高志權 三未信安副總經理

　　我在密碼行業做了有18年的時間，說實話，整個這些年見證了中國商用密碼的發展歷程。我講這些是想先給大家科普一下什么是密碼？密碼是什么？因為我們經常接觸的密碼可能更多的是什么啊？更多的是一些網站的用戶名的口令，這個跟我今天要說的密碼完全沒有關系，不是那個詞匯。

　　密碼其實是數學的一種運算，尤其是網絡還有計算機發展起來之后，它是一種數學計算的過程。

　　我有時候跟人說密碼是加密，但是加密又不全，因為密碼要做的事情可能不止加密這么簡單，它基本上要做四件事情：

　　1、私密性，就是加密，保證數據是別人看不到的。

　　2、完整性，因為我們經常看很多，包括《等保》里面的要求數據的完整性，什么是完整性？可以用密碼的技術來保證你這個密碼被篡改之后是可被感知的，或者能夠留下記錄的，這叫完整性。

　　3、真實性，因為在網絡包括云上很多業務的處理或者交易，不是面對面的，而是不可見的，我們要保證實體身份的真實性，這是天威他們的強項，他們做的電子認證，電子認證就是鑒別交易雙方實體的身份真實性。

　　4、不可否認性，就是你做的事情，你不能說這個事情不是你做的，假如轉了一筆賬從網上，你不能說這不是你干的。

　　這個是一個密碼完整的一個功能，就是“四信”。

　　我們說為什么要用密碼？因為剛才提到了，在網絡安全或者信息安全領域里面，要保證它的安全性，或者達到一種系統可用形成，是離不開密碼的。其實現在在很多的地方，我們都用到密碼，因為密碼它是一個基礎性的一個技術，或者對用戶來說它是不可驗的，像我們如果用微信或者QQ聊天是加密的，如果我們訪問一個網頁，網頁也是走了trs加密，對用戶來說我不需要做任何的東西，我只需要打開網頁就可以了。

　　還有我們做銀行轉賬的時候，銀行會給大家送一個U盾，這個U盾是普通百姓最直接接觸的一個純密碼的產品，它就是保證你身份的一種技術。

　　我們管密碼叫做幕后的一個東西，因為你不知道它到底有沒有發揮作用？

　　我們看在云計算這個領域里面，應該說是更離不開密碼，不管是在網絡信息連接也好，或者本身云端的計算或者存儲也好，都離不開密碼，這個算是最近的CSA發布的，應該是一年多了，是一個列表。其實CSA以前從1.0、2.0、3.0到4.0，到后面專門出了一個行業驗證報告，它會周期性的出這么一個排名。

　　數據泄露一直是在前面的，當然引起數據泄露的這種因素肯定有很多，有些可能就是純粹的黑客的攻擊，有些是一些內部的行為，或者說是你的授權不當。總之，引起數據泄密是一個非常嚴重的，它還是影響力比較大的。這個用的好多是密碼的手段，剛才提到的不管用加密的方式也好，還是認證的方式也好，都能夠進一步保護好你的數據安全。

　　這是這幾年的趨勢，就是數據泄露，我們看黑客的攻擊還是占最高的比例。

　　另外就是合規性的要求，我們根據這幾年的建設經驗來說的話，我們不光是做中國的客戶，我們還跟很多的外企，包括國外的一些用戶，從這種感覺來說的話，就是國外它也要合規，另外它的安全意識非常強。你看《網絡安全法》發布之后，國外企業要在中國建立數據處理中心，他首先想到的是我要對數據進行加密，他們會主動尋求數據加密的方案。

　　然后就是國內這些用戶來說的話，更多的還是要滿足合規的需求，當然需要達到合規需求，這里面有很多的政策，或者這種法律法規都有一些明確的要求。比如網絡安全法里面，明顯提到了要對重要的數據進行加密，當然具體什么是重要的數據？這個可能還需要自己去識別。通常來說，密碼用在等保三級和四級以上的，就是一級和二級里面目前還不是強制性的要求你用密碼的技術去包裝你的數據安全，你可能用其他的防護手段就可以了。但是從三級以上，明確的要求你要用密碼的技術，要實現你對數據的加密，要實現你安全的身份認證，這個是很多政策或者條例都規定的。

　　另外就是《密碼法》也快發布了，它也會成為一個商業發，然后會對一些密碼的系統怎么去用好密碼？怎么合規的使用密碼？以及像這種密碼的應用評估，有一個更明確的規定。其實現在密碼的評估工作已經是陸續開展了，2017年發了一個適用的辦法，2018年大約有一百多個企業，經過了測試性的評估。密碼應用的評估可能在《密碼法》頒布之后會全面的開展，你不僅要做等保的測評，也要做密碼的測評，這個以后是一個趨勢。

　　另外，為什么說要構建一個密碼資源池呢？其實密碼這個東西很早就出現了，我們說有網絡的時候就應用到的密碼，但是隨著云計算這種信號的IT架構的提出來，原來的那種密碼，原來你的產品形態，原來的工程方案到新了環境里面就很吃力，已經不知道怎么用了。為什么呢？因為我們可能看到好多密碼的實踐方式，里面是一個U盾，或者它在服務端是一個加密機，就是一個服務器的黑盒子。在傳統的環境里面，它是跟你的應用服務器不屬于一起的，你的應用服務器，比如以網銀為例，網銀的系統是在后端的機房里，它加密器就在一塊，它倆是背靠背的。

　　但是云化就不一樣了，我的應用系統在哪我都不知道，我只知道我買的是一個服務，我只知道ERP系統。但是還想用加密怎么辦？我原來的盒子往哪放？不知道往哪放。所以才開始在尋求云上的一些密碼解決方案。

　　其實就是根據云計算的發展，國外的云計算比國內的云計算確實要早很多，他們比較早的或者到目前來說，已經系統性的提出來在云上一系列的密碼服務。從密鑰的管理，到數據的加密等等一些服務，在云上已經形成一個體系了。

　　然后這里面確實有些關鍵技術需要解決，我們在云上怎么把密碼的方案或者工程能夠部署上去？以前的時候，我是一個研究盒子，現在研究盒子不好使了，軟件也可以實現密碼的方案，但是我們也知道你像從國外來說的話，有一個fei si標準，它就是來解決你的密碼方案的安全性。國內現在也在推密碼安全技術的要求，也是把密碼的產品分成1234級，你如果用純軟件的，你的安全等級可能就不夠，你就不能用在類似于三級四級的服務系統里面去。所以還是要解決密碼方案的安全性，所以硬件的全窮化成為一個基礎。

　　再就是海量密鑰的管理，我全用硬件也不太現實，因為成本比較高，所以海量的密鑰怎么依托于這種核心的部件，然后再結合身份認證的手段，實現一種云端安全密鑰的一個保護，這就是現在包括國外國內都在用的技術，就是密鑰放在云端，但是由你來掌握的這么一種技術。

　　除了這兩個之外，另外還有很多，比如通道的加密，還有縱向的隔離，這些都是一些云計算本身的一些技術，可以幫你去做好這種安全的一些防護。

　　有了這些基礎之后，我們就可以把密碼的一個盒子，就把它變成了一個個虛擬化的密碼設立，它是一個虛擬化的，但是它其實還是在一個專用的盒子里，只是虛擬化有什么好處呢？我就可以把它部署到云上去了，就可以通過VPC去訪問到我自己專屬的密碼服務，構建了這么一個密碼資源池，我們管它叫虛擬密碼機，對用戶來說它就是一個IP地址，然后里面有自己的一些密鑰。在此基礎上，然后再去構建一些其他密碼的應用，這個是密碼資源池的方案。

　　然后為了要實現對密碼資源池的統一管控、統一的管理，它可以去管理傳統的密碼設備的集成，還有密碼的服務平臺。

　　另外就是這種云端的密鑰管理，剛才提了就是個人掌握自己的密鑰，另外對于一個統一接口的支持，這個是我正在牽頭，正在把它作成國內的一個行業標準。

　　結合這種基礎密碼的支撐，我們在上面就可以實現更豐富的一些密碼應用，也就是把它做成一個個密碼的服務，你本來就是密碼資源池，給用戶提供的是一個虛擬密碼池，本身就是一個服務，底層是密碼資源服務，呢可能就是提供最基礎的知識，再往上提供一些像數據簽名或者加密啊，還是偏向于密碼的，但是可能是一種VPI的方式，或者其他的方式。再上面就是一些用戶直接用到的應用服務，比如加密存儲，我用電子合同把它變成三層了，這個結構是北京商業協會，我們去年一塊做的一個課題，就是對密碼服務進行了一個研究，這個是出了一個白皮書的報告。

　　其實這些都是要做的，包括云的資源池，還有密碼池，然后中間的存儲，再就是密碼，最上面是應用的實例。其實從這張圖上看云不云的好像和傳統沒什么大區別，因為密碼你把所有東西分裝之后，你跟最終的用戶，尤其從開發的角度和從使用的角度來說，它就跟傳統用密碼的方式是一樣的。

　　第二個跟大家講的是數據全生命周期加密。這個《數據安全管理辦法（征求意見稿）》，這是大家這兩天都在熱議的問題。這里面可能沒有提到很多跟加密有關的東西，但是這里面明確了數據的主體，也明確了什么是重要的數據，什么數據需要保護？你可能要配合著《網絡安全法》來看的話，這個可能就有意義了。因為好多人做安全的檢查，或者安全執法的時候，碰到了什么啊？用戶說我沒有重要的數據要保護的，我不需要加密，一下把你給堵住了。通過《數據安全管理辦法（征求意見稿）》告訴你哪些數據是重要數據？你這里到底有沒有重要數據？有的話，就是需要加密。

　　從采集或者使用終端來說，三未原來是一個基礎密碼廠商，剛才我們提到的也是做的資源池，做底層的，更上層的密碼服務是我們合作伙伴在做。從端的解決方案來說，我們還是提供一個基礎方案，上面的應用、app是合作伙伴在做。

　　傳輸這一塊也是一樣的情況，我們提供最核心的密碼模塊，然后合作伙伴可能做一些網關，然后來保證這種數據在傳輸過程中的安全。

　　然后靜態存儲的安全性，這個是三未這幾年一直在重點去投入研發做的一件事情。主要包括像這種數據庫、大數據以及文件加密、應用加密等等。這個里面最中間的，就是密鑰管理系統，剛才我提到的一個密鑰基礎設施，也就是說要實現云端密鑰安全的管理，就是剛才提到的那個BIOK、BIOE，就是用戶的密鑰雖然是放在云端了，你的數據，你的密鑰雖然都在云端，但是通過這種技術保證只有你才能合法的使用這些數據，這是它的一個安全思想。

　　整個圍繞這一塊，就是以密鑰的管理為中心的，其他的這種數據加密都是一些插件或者說一些組件，然后跟很多基礎性的一些軟件進行集成。但是能達到這個集成的目的，就是我剛才提到了密鑰管理的一個協議，這是本身是一個國際標準，我們要把它跟中國的密碼體制結合起來，我們在推一個國內的密碼一個行標。

　　首先說這個數據庫加密，因為很多業務系統在改造的時候，你比如說我原來沒有加密，你現在突然讓我做等保的改造我怎么加密啊？我再改我的應用系統啊，那可能太重了，我的應用系統已經用了很多年了，開發商估計都跑路了，或者倒閉了，我怎么辦？我們可以用這種透明的解決方案，我們的數據是在數據庫里的，我們通過部署一個數據庫加密的中間件，當然也可以用數據加密機的方式，然后把數據庫里面的，各個數據庫可能也不太一樣，把有些表，或者列進行加密，這樣的話可以不去改造你的應用，我只需要把數據庫重新裝一個插件，重新配置一下，會有一個工具把歷史的數據給你重新加密，然后到一個新的庫里就可以了。這樣就可以實現對合規性的改造，這個是數據庫的加密解決方案。

　　另外就是大數據，大數據安全性一直是一個熱點討論的話題，大數據方案現在也挺多的。我們初步現在有這么兩個，一個對于ADS的加密，這個ADS加密也是通過KMIP的接口，集成到hadoop里面，然后對一些指定的文件一些點進行加密。另外就是對HBase，通過把密鑰管理的接口，把接口接進去之后，然后可以用原生的加密模塊對于你這個數據進行加密。

　　另外就是靜態存儲的加密，這個是像那種網絡存儲都可以用，更多用在比如說云桌面，很多企業或者單位，為了對辦公系統更集中的管理，他可能部署這種云桌面系統。但是這種云桌面系統好處是什么？我進行統一的安全策略的配置統一的管理。但是也有很多人有擔心，你比如說某個領導他原來電腦里有很重要的數據，他的數據本來自己的臺式機就在辦公室，辦公室還有把鎖，它現在全部用成云桌面之后，所有的數據都是在NaaS上存儲，他就在想數據管理員是不是就能夠訪問到所有人的數據？包括重要領導的數據。

　　所以NaaS這種透明管理方案，就是為了防止類似于這種數據管理人員隨意的越權訪問你的數據，它雖然是透明加密，其實不是這樣，我們訪問的時候都需要去做身份認證，身份認證之后才能拿到你的密鑰訪問權限，才能訪問你的數據。這個里面現在我們在原來數據人員的基礎上，又增加了一層安全管理人員，但是如果你安全管理人員和數據管理人員是同一個人，可能安全性就會差很多，如果這是兩個不同的角色，他就可以做一些相互的審計，就能夠知道誰訪問了什么樣的數據，都是有跡可循的。

　　除此之外就是在云上，因為現在好多像不管是AWS也好，或者是華為也好，它們都有云存儲的服務，我們也可以把這種密鑰管理的功能直接跟它的云存儲服務進行對接。對接上之后，我們為什么不用云廠商自己密鑰管理的方案呢？如果我需要去做數據遷移的時候，我可以去跨云實現這種數據的切換。這也是第三方密鑰管理的一個好處。

　　另外就是第三方密鑰管理，可以跟云廠商的系統之間進行互信的審計，要不然我用了一家的密鑰服務跟數據的服務，你所有的這種審計的功能都是由它們提供的，你可能是沒有辦法保證你數據真正的運行。所以我們推薦，包括現在也是國際上一種趨勢，就是用這種第三方的密鑰管理服務，我就把安全的功能跟我的業務功能是不懂廠商來做。

　　除了加密之外，大數據除了加密之外，還有些東西需要做脫敏，其實現在脫敏的方案挺多的，大多是字典式的替換，但是字典式的弱點是什么？缺點是什么？還是有可能找到替換的規律，是一個比較弱的加密手段，但是如果用加密的技術去做這種脫敏的話，它的安全防護要比那種更強一些。

　　剛才說的這些從技術資源池到數據加密，這個是我們對于，尤其是對于私有云我們提出了一個整體的建設方案，可以實現從這種密碼的使用到數據的保護，整個這種技術的防護。

　　我們自己本身也做了一些應用的發展，像SAP的中間件，SAP比較著名的是ERP軟件，它們本身就提供了密碼的安全功能，它默認的是國外的密碼是不合規的，我們就通過把它底層的中間件提出來，實現合規的要求，這個是我們自己做的。其他更多的還要依賴于合作伙伴去提供一些像這種電子合同啊，或者電子印章這樣的一些安全密碼服務。