過去十年，在云計算廣泛深入社會各個領域的同時，安全也成為云計算領域亟待突破的重要問題。尤其是作為網(wǎng)絡安全核心的密碼應用，正在加速從幕后走向臺前。為此，以北京數(shù)字認證股份有限公司（簡稱：數(shù)字認證）為代表的密碼領域領先企業(yè)，對密碼上云進行了探索與實踐。

01 滯后的密碼上云建設

密碼與云的融合還在發(fā)展中，相關的標準規(guī)范也尚不完備。這種狀況下，國內(nèi)市場從具體需求的視角，出現(xiàn)了形態(tài)各異的密碼應用實踐。數(shù)字認證首席科學家、研究院院長夏魯寧以三種密碼上云實踐為例，介紹了目前國內(nèi)常見的密碼上云方式及存在的問題：

純SaaS平臺密碼應用實踐

即把電子合同等業(yè)務放在云計算的SaaS層提供。由于缺乏硬件密碼資源的支持，密碼功能多以SaaS層的軟件方式來實現(xiàn)，這導致對于密鑰等關鍵密碼參數(shù)的保護強度不夠，相當多的案例都是在開放環(huán)境下進行密碼計算和密鑰存儲，隨機數(shù)的熵和隨機性也得不到保障。雖然看起來做到了“云原生”，但關鍵安全參數(shù)的泄露風險頗大，整體安全風險不可忽視，也不符合國家、行業(yè)標準對密碼應用的要求。

支持虛擬化的密碼設備實踐

即采用虛擬化技術，在物理密碼機內(nèi)提供虛擬密碼機vHSM。這種方式的優(yōu)勢在于密鑰等關鍵安全參數(shù)仍在密碼機物理邊界內(nèi)，能夠依賴設備內(nèi)建安全體系來保護密碼計算、密鑰管理以及隨機數(shù)的安全。但缺點是可擴展性差，能夠利用的最大計算和存儲資源受限于物理密碼機自身，資源分配的靈活性受限。

云密碼資源池實踐

即在多臺物理密碼設備的基礎上云化成密碼資源池，統(tǒng)一管理密碼資源集群，向應用按需提供密碼資源服務。這種方式能夠有效保證密碼應用安全，是近年來云密碼應用的巨大進步。但現(xiàn)有的云密碼資源池實踐通用化程度不高，多為具體的云計算平臺定制，只能有效支持運行在本平臺上的信息化應用，在業(yè)務遷移、敏捷演進等方面存在挑戰(zhàn)。

不難發(fā)現(xiàn)，無論是哪種密碼上云的方式，在安全合規(guī)、可靈活擴展、可中立運營等方面都尚未做到兼顧。如何做到既符合對敏感密碼資源的保護要求，又充分實現(xiàn)云上密碼資源的按需配用、靈活擴展、快速演進，成為云時代密碼應用的挑戰(zhàn)。

02“密碼云”重塑密碼基礎設施

在云化趨勢和政策合規(guī)性的雙重導向下，傳統(tǒng)的密碼技術正在向云密碼服務方向轉(zhuǎn)變，“密碼+云”的融合成為大勢所趨。那么，密碼上云到底該如何做？是否存在既安全合規(guī)，又充分利用云計算優(yōu)勢的密碼上云模式呢？

在夏魯寧院長看來，結(jié)合已有密碼上云的實踐經(jīng)驗，“融合、分層、解耦”將成為密碼上云的最佳實踐理念。

其中，“融合”是指以云的思想、架構和技術來統(tǒng)籌管理密碼資源，做到密碼資源在合規(guī)安全的前提下，實現(xiàn)按需擴展、可靈活配置?！胺謱印笔侵冈贗aaS、PaaS、SaaS三個典型的云服務層面，為用戶分別提供密碼資源服務（CRaaS）、密碼功能服務（CFaaS）、密碼業(yè)務服務（CBaaS）?！敖怦睢眲t是指上下層服務在統(tǒng)一標準、通用接口下，做到云密碼服務與具體平臺、具體信息化業(yè)務的解耦。

基于此，數(shù)字認證創(chuàng)新推出了業(yè)界領先的“全棧、敏捷、安全”的密碼云，為用戶提供全新的密碼云服務體驗。

全棧

數(shù)字認證在密碼云服務的IaaS、PaaS、SaaS三個層面上提供層次完整、可解耦的密碼云服務解決方案，為用戶構建一站式泛密碼服務平臺，支持公有云、私有云、混合云等多種交付形式。

敏捷

數(shù)字認證的密碼云產(chǎn)品提供統(tǒng)一、標準的服務接口，屏蔽密碼資源的硬件差異，通過柔性重組隨需接入，把密碼資源變成可管可控的云資源，實時擴展和敏捷管理。

安全

數(shù)字認證嚴格遵照系列國家、行業(yè)標準對密碼應用的要求，為用戶提供安全可靠、合法合規(guī)的密碼云服務，包括運維安全、技術安全、數(shù)據(jù)存儲安全、傳輸安全、數(shù)據(jù)安全隔離、數(shù)據(jù)所有權清晰、身份安全以及安全審計等方面。

據(jù)悉，數(shù)字認證密碼云解決方案，已在能源、教育、醫(yī)療、政務等行業(yè)領域的多個大型企業(yè)成功落地實踐，為客戶提供電子合同SaaS業(yè)務、密碼功能統(tǒng)一供給、密碼資源統(tǒng)一管理等服務，獲得了市場的廣泛認可。

例如，某國內(nèi)100強企業(yè)在引入數(shù)字認證密碼云后，建成一套符合行業(yè)密碼應用要求的統(tǒng)一密碼資源服務體系。在上層業(yè)務系統(tǒng)和底層密碼設備之間，構建了統(tǒng)一密碼服務平臺，實現(xiàn)了對多類密碼設備的集中管理，向上層屏蔽設備差異、統(tǒng)一提供密碼資源。在其之上，該企業(yè)還構建了身份鑒別、電子簽名驗簽、數(shù)據(jù)加解密等密碼功能服務。

目前，該企業(yè)通過“統(tǒng)一密碼服務平臺”接入的機構、用戶、設備超過1億，一期密鑰需求高達5億對，成為企業(yè)在物聯(lián)網(wǎng)、密碼應用以及人機交互場景下“最有效、最可靠、最經(jīng)濟”的信息安全基礎設施。

03云時代的密碼安全建設趨勢

在新基建和信創(chuàng)的新機遇下，密碼產(chǎn)業(yè)已然蓄勢待發(fā)。但不可否認的是，國內(nèi)云密碼服務市場仍處于萌芽期，還需經(jīng)歷較長時間的探索。

一方面，社會各界的密碼意識還不太到位，這導致對于密碼應用并未真正站在整體、全局的視角規(guī)劃密碼應用體系。另一方面，完整的密碼云服務對服務提供商的要求較高，在機構資質(zhì)、密碼技術能力、云服務運營能力、行業(yè)經(jīng)驗等方面都有著非常高的要求，數(shù)字認證便是其中的佼佼者。

隨著云計算、物聯(lián)網(wǎng)等新興技術的不斷推進，夏魯寧院長認為，未來的密碼安全建設還將出現(xiàn)四大趨勢：

1. 軟件定義密碼

雖然目前國內(nèi)密碼市場仍以硬件為主，但隨著云計算的普及和國家對密碼管理思路的演進，密碼應用必將在合規(guī)的前提下，走向更為靈活易用的軟件化。

2. 安全內(nèi)生

未來外掛式的單體密碼設備或?qū)⑾?，密碼將走向與基礎軟硬件融合、與云融合、與信息化業(yè)務融合，包括密碼在內(nèi)的信息安全能力將成為信息化的內(nèi)生特性。

3. 密碼服務多樣化

新技術的演進將不斷推動密碼應用的新場景和新產(chǎn)品涌現(xiàn)，相應的密碼技術服務也將從當前以證書服務為主，拓展到多樣化的密碼服務。例如，數(shù)字認證在密碼云體系架構之上，能夠廣泛提供證書認證、身份鑒別、時間戳、云協(xié)同簽名等信任服務。

4. 中立的第三方云密碼服務機構出現(xiàn)

目前已有的密碼云實踐以私有云為主，用戶出于控制權、隱私保護等考慮，不易接受將所依賴的密碼服務托管在公有云上。但從商業(yè)和法律的角度看，獨立第三方在涉及多方互動（例如：電子合同）的信息業(yè)務中，具有中立性的獨特優(yōu)勢。因此，正如當前中立的證書服務機構一樣，中立的云密碼服務機構未來也很可能會出現(xiàn)。一旦中立的云密碼服務機構被市場所接受，密碼產(chǎn)業(yè)將打開一個新的、廣闊的市場空間。

隨著《密碼法》的頒布和實施，未來密碼行業(yè)市場將更加規(guī)范，云密碼服務市場的競爭和精細化也將并行展開。以數(shù)字認證“密碼云”為代表的密碼上云應用探索與實踐，將進一步推動國內(nèi)密碼產(chǎn)業(yè)的模式創(chuàng)新和產(chǎn)業(yè)升級，重塑云時代的密碼基礎設施。
責任編輯：tzh