1. 概述

近年来，网络安全已上升到国家战略高度，密码技术作为网络安全重要的主动防护技术，在国家信息化进程中也得到了更多的应用和发展。随着应用业务的多样化以及基于云计算的基础设施建设不断完善，对密码技术的应用方式也提出了更多的要求，传统的直接集成密码设备的方式也面临着各种问题。

2. 需求分析

传统的基于各种密码设备的集成方式，在应用业务多样化的环境下，很难灵活的适应业务需求变化带来的密码应用新需求，同时传统的硬件密码设备在云环境中部署具有一定障碍，很难满足云计算环境下弹性部署、动态调配密码资源的需求。并且传统密码设备集成中，应用开发商专业程度不同，应用密钥管理和使用分散，导致应用集成密码开发及用户的运维成本急剧上升，更增加了系统安全风险，亟需为用户整合密码资源，提供统一的密码资源管理与统一的密码服务接入规范，为应用业务提供更规范、更专业、更高效的密码技术支撑。

3. 方案架构

密码服务资源池的设计与开发遵循了国家商用密码相关标准及规范，支持SM1、SM2、SM3、SM4等国密算法，同时也应用了虚拟化、Docker等成熟技术来组织密码资源，满足弹性部署需求。

3.1 技术架构

图 3 1产品架构图

密码资源池属于密码基础设施，是利用采用虚拟化技术在硬件平台上同时运行多个虚拟化密码机，达到保证功能服务不变同时降低总体成本及提高服务资源利用率的目的。密码管理层是密码服务资源池的支撑与运维平台，其中密钥管理子系统为密码服务资源池提供密钥与证书的管理服务支撑，密码资源管理子系统负责密码服务资源池的运维保障。密码服务层是由密码服务API及密码应用代理等组成的密码服务资源池，可以基于密码资源为应用层提供丰富的密码服务功能。

3.2 产品部署图

图 3 2产品部署图

云密码机作为密码资源池载体与密钥管理子系统部署在核心区，密码资源管理子系统部署在管理区，服务节点部署在服务区，为业务网络的业务服务器提供密码服务。各区域之间采用TLS安全协议互联，保证通信的安全性。

密码服务节点服务接口在《GM/T0018-2014 密码设备应用接口规范》以及《GMT 0019-2012 通用密码服务接口规范》的基础上以RPC调用的形式进行了扩展和进一步的封装，在保证性能的前提下保证了对业务和监控的支撑能力。

用户业务访问密码资源池采用符合国密标准的TLS安全协议来保护通信的安全。业务请求在资源池内部处理时，密码服务节点会根据密钥属性配置和请求信息来判定对密钥的请求是否满足密钥权限，并拒绝非法请求。

3.3 主要功能

 密码服务资源管理：将密码硬件资源虚拟化、池化，进行统一的管理与监控，降低运维成本。

 密钥管理：提供集中密钥管理服务，为应用系统及密码资源提供密钥全生命周期管理。

 密码服务管理：为业务系统提供统一、规范的密码服务功能，降低应用开发成本，规范应用系统使用密码的安全性。

 业务应用规划：系统可进行业务应用的规划，根据业务需要分配其所需的密码资源，支持应用认证策略和访问策略配置。

 集中监控：系统支持对密码资源状态、密码服务状态进行实时监控，发现异常时可通过短信邮件等方式发送告警信息。

3.4 主要技术指标

密码服务节点在推荐配置（CPU: Intel Xeon E5-2670v3，内存：16G）上运行时，单节点最大并发数不低于20000，服务热备切换时间小于1s，平均业务转发延迟小于15ms。具体密码运算指标如下：

 SM2签名: 120,000 TPS

 SM2验签：110,000 TPS

 SM1加解密: 10Gbps

 SM3加解密：14Gbps

 SM4加解密：15Gbps

4. 方案特色

 密码资源弹性调度：借鉴云计算基础设施的弹性计算概念，实现了密码资源的动态调度算法，密码资源分配自动可伸缩，保障业务系统可靠性的同时也实现了密码资源的优化分配。

 以应用业务为核心进行密码资源的分配与管理：系统以用户业务为核心来组织自身的各项管理功能，可助力用户快速实现业务应用的密码集成规划部署。

 智能化的统计分析机制：系统支持运行数据的智能统计分析功能，为智能运维提供数据支撑。

5. 适用领域

密码服务资源池方案是依据应用功能和业务场景云化应运而生的新型密码技术方案，可适用于任何使用传统密码设备的场景，特别适用于密码设备繁多、应用系统多样的传统业务场景，以及运行在云中的应用场景。

6. 企业分工

7. 应用案例

国内某政府行业用户已建设了密码服务资源池系统，密码服务资源池主要为用户提供了数据加解密服务、数据签名验证服务、密钥管理服务等功能，其中重点实现关键业务系统中敏感数据的加密保护，涉及数十个业务系统，数据规模约几千万条。密码服务资源池系统为该用户提供了高效的密码资源调度及密码计算功能，为用户各个应用系统的信息安全建设保驾护航。

                                        北京三未信安科技发展有限公司

                                         联系人：许永欣

                                         电  话：18660805090

                                                 0531-88988936