密码泛在化实践者之路
密码泛在化实践者之路
嘉宾:周俊,曾任中国电子科技集团第三十研究所研究室主任。长期从事网络安全、信息保密相关技术和产品的研究,牵头和参与多个国家重大课题的研究工作,并拥有多项发明专利,曾获密码科学技术进步奖评审委员会科技进步一等奖,工业和信息化部国防科学进步三等奖等。
索引
国家政策法规从顶层推动了密码的泛在化应用;密码应用是体系性的技术工程,技术路线的选择应结合实际;终端的密码产品部署需要因地制宜,存在着差异性;密码服务化可集中解决分散的、广泛的、场景化的密码应用需求;基础软硬件可基于内嵌密码的安全CPU构建内生安全机制;密码从业者需至少具备三方面密码能力;密码泛在化,大有可为。
目录
-
01 宏观政策为密码泛在化保驾护航
-
02 安全风险呈现泛在化趋势
-
03 密码技术的泛在化应用思路
-
04 终端侧的密码产品部署
-
05 密码的服务化之道
-
06 基础软硬件的内生安全机制
-
07 典型案例
-
08 密码应用推进思考
-
09 从业者建议
-
10 密码泛在化的未来
01 宏观政策为密码泛在化保驾护航
密码是保障网络空间安全的核心技术和基础支撑。过去,密码主要用来保护重要IT系统的通信与存储安全问题,普通老百姓很少和它打交道。如今,密码已经应用到各行各业,影响我们生活的方方面面。密码产品也从传统的密码机、密钥管理系统等整机形态,衍生发展为安全芯片、软件密码模块、IP核、密码板卡等不同形态,密码和IT技术呈现融合发展的趋势,密码的服务化更是打破了密码产品的形态限制。密码应用已经呈现出多元化、融合化、泛在化等新特点。
近年来,我国不断健全密码相关的政策法规,先后制定和实施了网络安全法、密码法、36号文、GM/T0054、等保 2.0标准等系列法规政策标准,从顶层构建了密码与网信事业的宏伟蓝图。在宏观政策的指引下,我国密码事业经历了从无到有、从初创到规范完善的阶段,取得了跨越式的发展,这也为全面推进密码工作和密码泛在化应用奠定了坚实有力的基础。
02 安全风险呈现泛在化趋势
物联网、云计算、5G、大数据、人工智能等创新技术正在加速驱动物理世界与信息世界的融合。我们在享受高新技术带来的信息红利的同时,也无形中打破了固有的网络边界,加剧了信息泛在化的发展趋势。物理世界与信息空间的泛在融合,也将物理空间的违法破坏行为引入虚拟世界,网络空间变得更加复杂。
信息技术的融合,既加速了信息化进程,也增大了网络攻击的可能性,网络安全问题异常严峻。近年来网络安全事件层出不穷、形式各异,涉及到物联网安全、数据安全、虚拟化安全等方方面面。比如,在物联网领域,视频监控弱密码、偷拍、DDoS攻击等事件屡见不鲜;大量智能门锁存在通信监听、门卡复制、APP攻击等安全风险;传感器网络等无人值守设备分布广泛,被攻破而不被发现的事件也时常被事后报道。随着信息技术的发展,网络安全风险加速扩散,网络安全问题已然泛化。
![](https://pic1.zhimg.com/80/v2-9df46ee4bdf48a731527ab549c1fc487_720w.png)
03 密码技术的泛在化应用思路
面对快速发展的信息技术及泛在多变的网络安全需求,需要对网络空间进行体系性的安全防护。密码是网络信息安全的核心技术,是整个网络信任体系的基础支撑,依托密码技术在认证、加密等方面的重要作用,构建以密码为基石的网络安全体系,能够有力解决网络与信息安全问题。我们在开展具体密码工作时,需注意密码技术与业务应用的结合。在不同的业务场景中,应当采用不同的密码技术路线或者组合。总的来说,包括经典密码技术、创新密码技术、前沿密码技术三个方面。
经典密码技术指的是常见的对称密码、PKI/CA公钥密码及标识密码技术。这类密码技术属于基石性技术,已经被广泛应用,能够解决传统信息系统安全认证与数据加密等问题。
我们重点想提一些创新密码应用的工作思路。我们在实践过程中,发现诸如工业控制、移动办公、智能家居等新兴场景都存在密码应用需求,然而受限于具体场景和环境,传统的密码技术往往无法直接应用。此时,我们就需要转变思路,对密码应用的方法进行创新和调整。第一种思路是“融”,即密码融合设计,在设计之初将密码流程融入到业务应用及通信协议中,避免后期堆叠密码设备带来的性能开销、系统损害等影响。第二种思路是“变”,我们对传统密码技术进行场景化的适配改造,以应对差异化的密码需求,如轻量化密码协议、短证书等。第三种思路是“合”,我们可以对加密、认证、授权、安全管理等功能进行整合,以能力打包的形式对接应用系统,提供“一揽子”的密码解决方案,减轻应用的密码集成难度,快速实现密码赋能。
密码技术在不断发展,学术界对零信任、区块链、安全多方计算、同态加密、格密码、抗量子密码等前沿密码技术进行了广泛的研究,部分成果已经应用到信息系统中,相信未来前沿密码技术会得到更加广泛和全面的应用。
04 终端侧的密码产品部署
终端种类众多、形态各异。不同种类的终端在价格成本、网络数据能力、软硬件架构等方面存在着巨大区别,终端侧的密码产品部署需求也存在着差异性,需要因地制宜。
终端侧的密码产品部署主要涵盖三种形式:安装软件密码模块、内嵌硬件密码模块以及外接安全网关。对于PC、手机、高性能嵌入式设备,我们可以部署软件密码模块,借助CPU的强大运算能力,实现高性能的密码运算,无需额外增加硬件成本。面向智能门锁、车载控制器等安全性较高的终端,我们可以采用设备内嵌密码硬件的方式,包括板载安全芯片、内接密码模块、使用基于密码的安全通信模组等,提供硬件级安全防护能力,保障设备安全。针对微型传感器、大型进口设备、老旧IT设备等难以施行密码改造的场景,我们可以接入安全网关,通过门卫式安全防护,保证设备的接入安全与通信安全问题。
05 密码的服务化之道
近年来,越来越多的应用迁移上云。我们如果要分别对不同的信息系统进行密码应用,工作量巨大,密码资源浪费严重。此时,我们可以借助云化、虚拟化的思想将密码能力服务化,按需提供密码资源,不同应用系统只需通过服务调用的方式即可安全地获取密码能力,从而快速实现密码应用改造。
![](https://pic2.zhimg.com/80/v2-97101f79d46098ddc0c1fb63ff03a7ca_720w.png)
一个可行的实践路线是构建密码服务平台。我所在的卫士通公司作为综合实力较强的密码企业,正在从传统密码产品提供商向平台型安全服务提供商转型,密码服务平台便是一个重要的抓手。密码服务平台不直接提供密码产品,面向应用提供场景化的密码服务,提升合规的密码应用效率,降低应用与密码对接的难度。我们看到,越来越多的政务云正在采用密码服务平台,实现云上应用的快速对接。可以预见,密码服务是促进密码泛在化落地的重要且有效的技术路径。
06 基础软硬件的内生安全机制
长久以来,计算机系统基础软硬件的安全及密码措施都是各自为政,较为独立。如果要做一个安全浏览器,我们可能会在浏览器内部集成OpenSSL算法库;如果要做一个加密数据库,我们可能为数据库配用密码硬件;如果要做安全启动,我们需要为计算机配置TPCM、TCM等可信计算芯片。计算机系统各个软硬件之间的密码能力缺乏协同,烟囱式存在。另外,各类软硬件厂商自行建设密码,也存在着合规性的问题。
我们在构建自主信息系统时,可以从系统体系的角度出发,使用一套密码方案,贯通计算机基础软硬件的各个环节,实现密码运算和可信计算。基础此种思想,如卫士通与龙芯联合推出的内嵌安全SE的国产处理器,打通了CPU、BIOS、操作系统、中间件、数据库、浏览器等各环节,构建了内生安全的基础软硬件密码应用生态。
07 典型案例
分享两个场景化案例。一是视频融合通信,包含视频监控、直播、会商等多种业务模式。我们可以采用端到端的安全方式对视频终端、服务端进行密码改造,对大带宽、高清、多路、实时音视频进行加解密。GB35114便是此类方式的标准化落地,未来也将会有更多音视频密码应用的标准指导相关工作。二是物联网密码应用,我们可以建立覆盖物联网“端-边-网-云”的密码应用体系。端,指的是物联网终端侧部署安全芯片/软件密码模块等密码产品,实现终端安全防护;边,指的是提供安全边缘网关,安全接入物联网终端;网,指的是基于密码技术保障物联网通信安全;云,指的是物联网平台具备密码与安全能力。
08 密码应用推进思考
密码事业的政策性较强,我们密码工作者要时刻关注国家政策法规,尤其是中央、地方、大型机关单位的商密规划,这将带来大量的密码泛在化建设项目。另外,随着等保2.0、密评工作的广泛、有序开展,更多的细分领域将会开展密码工作,密码市场规模迅速扩大。我们在专注既有业务领域的同时,应不断开拓新的行业用户和业务领域,拓展密码应用的范围。
![](https://pica.zhimg.com/80/v2-54603948219c83bbde442fde9f9d8cf8_720w.png)
密码应用和改造需要达到什么程度?是否密码措施越多越好?如何让更多的行业用户、企业单位放下对密码或安全的固有成见,愿意用密码?这些问题都值得我们思考。我们在做密码应用和推广的时候,一定要结合行业政策与应用实际,按需地开展密码应用,密码应用的强度不能单一量化,做到合规的同时,保证相当的安全性。
09 从业者建议
在密码泛在化的背景环境下,我们从业者需要哪些方面的能力素养?我认为,至少需要三方面的能力。第一,完备的密码知识。密码技术不断发展,我们需要广泛涉猎密码知识,同时也应当潜心钻研一些重点的密码知识,尤其是我们工作中可能用到的密码技术。第二,全栈的密码设计能力。包括密码算法、产品化设计、接口对接、协议优化等等,只有具备了全栈的设计能力,才能应对复杂多变的情况,准确地对密码方案进行优化和改造。第三,快速理解业务应用的能力。密码和业务不能是“两张皮”,密码的设计必须基于业务实际,密码工作者应当理解业务流程并梳理出安全痛点及密码应用需求,才能做好密码建设的实际工作。
1月15日,人社部发文拟新增“密码技术应用员”职业,并将其定义为运用密码技术,从事信息系统安全密码保障的架构设计、系统集成、检测评估、运维管理、密码咨询等相关密码服务的人员。“密码技术应用员”作为密码泛在化的一个专门职业被正式提出,这无疑会促进密码泛在化的应用与推广工作。同时,作为密码从业者的我们,也应当参照“密码技术应用员”的要求积极提升个人能力。
10 密码泛在化的未来
传统信息行业、新技术业务领域快速发展并交相辉映,信息世界正朝着相互渗透、多元发展的方向演进。我们有理由相信,未来,密码就是信息世界不可或缺的组件,密码也将作为泛化信息世界的安全基石,有力保障信息世界的安全持续发展。密码人,大有可为。
-End-
![](https://pic3.zhimg.com/80/v2-ba648760a549c41caf05f38bf8cb8648_720w.png)
![](https://pic1.zhimg.com/80/v2-9cee10d8593c7d18a4106f1b37415492_720w.png)