文章编号：1007-9416（2019）08-0171-02
0 引言
习总书记在中央网信领导小组成立时提出“没有网络安全就没有国家安全”，给网络安全工作确定了框架性的总基调，将信息安全提升到了国家安全的战略层面。在国家信息化发展的进程中，云计算、大数据、物联网等新兴技术正在不断带来新的技术变革，新兴技术在给经济发展带来巨大持助的同时，也带来了巨大的攻击风险，因此，密码技术作为核心的保护手段变得至关重要。近几年方兴未艾的云计算技术，彻底颠覆了IT行业的面貌，云计算通过虚拟化技术打破原有的基础设施壁垒，通过整合各种资源（计算资源，存储资源，网络资源等），将资源使用方式由原有独享式变为共享式，资源可以根据实际业务情况进行动态调整、随需而变，最大限度的提高资源的利用率，实现资源的集约化管理与使用。传统密码设备如何适应云计算这种新型的技术形态成为大家关注的焦点。
1 传统密码应用模式
密码作为信息安全中的核心基础支撑技术，通过不同密码技术的组合构建演化出了较为完整的安全防护核心脉络。在传统密码设备应用模式中，如图1所示，可以从几个维度分析其应用特点：从功能区分上分析，密码设备作为特定的功能模块提供标准的密码运算服务;从产品形态上分析，密码设备以专用产品的形态部署在需要保障的地方，如业务机房或数据中心等;从部署模式上分析，采用专用的密码设备与业务系统进行背靠背直连方式部署，密码设备提供的密码运算功能被业务系统独占;从网络位置上看，其所属的位置位于核心业务系统背后，仅对核心业务系统提供服务，因此传统密码设备不支持远程管理。
2 云环境中密码应用面临的挑战
云计算平台由众多分布式服务器和相应的系统构成，面临资源隔离、数据共享、多租户、虚拟化等带来的安全问题，其中包括：需要应用密码技术建立用户资源隔离机制，防止资源非授权访问;需要建立数据加密存储和传输机制，保障数据存储和传输安全;需要建立统一身份认证机制，应对海量身份认证问题;需要建立虚拟化安全机制，保障虚拟化安全等，这一系列安全需求，都需要安全可靠的密码运算资源提供支撑。而传统的密码设备应用模式已经无法适应云计算环境，主要包括如下几方面：（1）虚拟化：云计算中的业务应用系统主要采用资源虚拟化提供服务支撑，传统背靠背直连方式的密码设备部署模式已经无法适用于云中虚拟化的应用模式，所有的应用调用都必须采用网络调用的形式进行调用，且需要保证不同的虚拟化业务资源配备隔离专用的密码资源。（2）弹性计算：弹性计算是密码服务的一个典型特征，在业务高峰到来的时候云计算环境可以快速扩充较多的计算资源应对业务高峰，业务高峰的出现同样代表着对密码运算资源的高峰需求，传统的独享式密码应用模式无法提供动态调整的密码运算能力。（3）远程管理：云计算服务中一般支持多租户能力，同时对租户提供的密码资源，租户需要具备完整的密钥管理权，包括密钥的产生、分发、运算、更新以及销毁等，安全的远程密钥管理是密码在云中应用的基本要求，远程管理要求具备完备的身份认证机制，而传统密码应用对该能力存在明显欠缺。
3 云环境中密码应用模式
为了充分适应云计算环境中的安全需求，将密码资源作为云中基础资源构造出适用于云环境的云密码资源池是最佳的云中密码应用模式，云密码资源池的能力需求，如图2所示，需要重点考虑满足如下几点基本要求：（1）支持硬件虚拟化。硬件虚拟化是实现云密码资源池的的关键核心技术之一，通过虚拟化技术可实现密码设备资源的统一虚拟化和池化，虚拟密码资源则作为云计算环境中的密码资源提供单元。密码卡作为众多密码设备的核心基础密码部件，支持硬件虚拟化的密码卡可以自下而上提供云中全链路的硬件级密钥保护，基于硬件隔离的密钥保护可以有效服务于桌面虚拟化，服务器虚拟化等云计算应用场景，保证各个虚拟业务单元独享安全密码服务，以SR-IOV硬件虚拟化技术为代表的密码卡实现能够提供最高安全等级的密钥保护。（2）支持弹性计算。利用虚拟化技术可以将虚拟化密码设备统一成为云密码资源池，通过密码资源调度系统根据业务压力对密码资源进行动态的扩展、分配、管理和统一调度，并对外提供统一的密码服务，当业务高峰到来时，可以利用弹性计算的特点，调度更多的密码资源满足业务需求，保证业务稳定运行。（3）支持密钥隔离。云中业务复杂多样，根据不同的安全需求，云密码资源池需要提供多种不同安全等级的密钥隔离机制。其中基于硬件虚拟化技术实现的密钥隔离能够在云计算环境中提供最安全、可靠、合规的密钥保护，基于硬件隔离的密钥作为云中可信根可以为用户或业务系统在云计算环境中构造出独享专属的密码资源。（4）支持远程管理。云密码资源池的运维管理可根据实际需要与云服务商分配运维责任，并且用户对密钥的运维管理只能远程进行。通常情况下，密码硬件基础设施和基础网络的运维管理由云密码服务商或云计算服务提供商提供，用户更关注密钥管理、安全策略配置及安全审计等方面的运维管理。云密码资源池的远程管理需使用PKI或其他身份認证技术、SSL/TLS安全通信技术等保证远程管理的安全性。（5）支持访问控制。云密码资源池不同于传统的密码设备单一、可控的安全部署模式，其灵活性、远程性、迁移性都会带来更高的风险。访问控制作为云密码资源池提供的密码服务中接入服务的关键一环，应结合多种认证模式基于角色、服务、身份的对云密码服务进行访问授权控制，对于不同的业务服务模式，采取最合适的访问控制机制，同时，借助访问控制机制，为云中密码服务的全链审计提供有效的技术支撑。
4 結语
为积极应对解决云计算时代的安全问题，国家商用密码管理局成立了云计算和大数据工作组，从云计算相关密码标准、密码技术、密码应用、密码产业等多个角度体系化解决云计算时代的安全问题。以北京三未信安科技发展有限公司为代表的密码安全服务厂商在云密码资源池的应用实践中做出了卓有成效的探索，该公司以云服务器密码机（商用密码产品型号：SJJ1601）为基础的云密码资源池在上海政务云、电信天翼云中为云计算提供了可靠的密码服务支撑，典型部署架构如图3所示。经过实践应用，以具备虚拟化能力的密码设备为基础构建贴合云计算需求的云密码资源池是当前密码设备在云环境中的最佳应用实践。
参考文献
[1] 何明，王海燚，沈军.云数据中心密码服务技术研究[J].广东通信技术，2017（11）：34-36.
[2] 张晏，岑荣伟，沈宇超.云计算环境下密码资源池系统的应用[J].信息安全研究，2016（06）：558-561.
[3] 田景成.云计算与密码技术[J].信息安全与通信保密，2012（11）：132-134.
[4] 冯登国，张敏，张妍，徐震.云计算安全研究[J].软件学报，2011（01）：71-83.
[5]容晓峰，李增欣，郭晓雷.密码服务系统研究综述[J].计算机安全，2010（03）：62-66.
Research on Key Technologies of Cryptographic Application in Cloud Computing
LIU Hui-yi
（Beijing Sansec Technology Development Co.， Ltd.， Beijing 100102）
Abstract：Featuring virtualization， multi-tenancy， elastic computing， etc.， cloud computing presents higher requirements for data security. The application of traditional crypto devices has been greatly challenged in the cloud computing. The cryptographic resource pool uses crypto resource as the basic resource in cloud， and has features of hardware virtualization， key separation， elastic computing， remote management and access control. It is demonstrated in practice that the application of cloud cryptographic resource pool is applicable for the cryptographic security requirements in cloud computing.
Key words：Cloud Computing;Cryptographic Technique;Hardware Virtualization
