如何讓金鑰更安全？安盟資訊做好“金鑰”守護人

密碼是國之重器，是數字技術發展的安全基因，是保障網路與資料安全的核心技術，也是推動我國數字經濟高質量發展、構建網路強國的基礎支撐。而金鑰作為密碼安全性的根基，其重要性不言而喻。

金鑰是密碼安全性的根基

關於金鑰

● 密碼是什麼？

密碼是一種用來混淆的技術。它可以將正常的（可識別的）資訊轉變為無法識別的資訊，但這種無法識別的資訊是可以再加工並恢復的。密碼主要用來保護我們的秘密，這裡的秘密可以是個人隱私資料、企業商業秘密，甚至是國家秘密資訊。未加工的秘密我們稱之為明文，明文是可以被直接識別的，任何人看見明文就可以知道我們的秘密；加工後的秘密我們稱之為密文，密文是無法被直接識別的，即使被別人竊取也無法解讀我們的秘密。

● 密碼的工作原理是什麼？

密碼通常分為加密和解密，即明文和密文的轉換過程。加密，就是透過一系列方法或規則，使用金鑰將明文隱藏起來變成密文的過程。解密，就是透過一系列方法或規則，使用金鑰將密文恢復成明文的過程。其中提到的一系列方法或規則，我們稱之為密碼演算法。一個典型的加解密流程如下圖所示：

加解密過程示意圖

● 金鑰有什麼作用？

簡單來講，金鑰就是一長串的數字，但是它卻扮演著十分重要的角色。它就像保險櫃的鑰匙，我們把秘密鎖在櫃子裡面，只有拿著“金鑰”這把鑰匙開啟保險櫃，才能看到裡面的秘密。金鑰的價值等同於秘密的價值，如果你的秘密值1000萬，那麼用來保護你秘密的金鑰就值1000萬。因為只要拿到“金鑰”就可以隨時開啟保險櫃訪問和使用你的秘密了，所以金鑰需要妥善保管。

● 金鑰有哪些型別？

金鑰分為對稱金鑰和非對稱金鑰。

對稱金鑰，就是加密和解密使用同一個金鑰。這要求金鑰必須嚴格妥善保管，不能公開，傳輸時必須保證其安全性。因為金鑰一旦洩露，加密資訊將受到威脅。

使用對稱金鑰進行加解密過程示意圖

非對稱金鑰，就是加密和解密使用的是不同的金鑰。在資料加解密場景下，用於加密的金鑰稱為公鑰，顧名思義它是可以被公開的，任何人都可以使用公鑰進行加密。用於解密的金鑰稱為私鑰，私鑰是絕對不能公開的，只能由自己保管，不能讓任何人知曉，因此又稱作秘密金鑰。公鑰和私鑰必須配對使用，由公鑰進行加密的密文，必須使用與該公鑰配對的私鑰才能夠解密。

使用非對稱金鑰進行加解密過程示意圖

相反，由私鑰加密的資料只能由其配對的公鑰解密，非對稱金鑰的這個特點也使其應用於數字簽名場景。

金鑰管理是資訊保安的基礎

從上面幾個問題和答案，我們可以瞭解到，金鑰是密碼技術的鑰匙。金鑰這樣一個很短的位元序列可以確保重要資訊的機密性，還可以證明你的身份。奧古斯特·柯克霍夫在19世紀提出柯克霍夫原則：“即使密碼系統的任何細節已為人悉知，只要金鑰未洩漏，它也應是安全的。”後來，柯克霍夫原則成為現代密碼學演算法設計基本原則之一。

所以，密碼體系的安全取決於金鑰的安全，而不只是密碼演算法或密碼裝置的安全。現代密碼體制通常要求加密演算法是可以公開的，整個密碼體系的安全性並不取決於對密碼演算法的保密或者是對加密裝置的保護，即使密碼演算法被公開或者密碼裝置丟失，它們都不危及密碼體系的安全性。但一旦金鑰丟失或者洩露，非法使用者將會有可能破壞資料的機密性、可用性和完整性。

由此可見，金鑰管理是資訊保安的基礎。如何管理和保護好金鑰，關係個人隱私保護、企業商業秘密甚至國家安全。

金鑰管理必須合法合規

國家和密碼行業一直以來都高度重視密碼應用和金鑰管理，陸續釋出了一系列的標準規範指導密碼應用和金鑰管理工作。《基於SM2密碼演算法的證書認證系統密碼及其相關安全技術規範》（GM/T 0034-2014）、《證書認證金鑰管理系統檢測規範》（GM/T 0038-2014）、《資訊保安技術 證書認證系統密碼及其相關安全技術規範》（GB/T2018-25056），這些標準都對金鑰管理的產品和技術應用提出了明確要求。2019年，國家釋出《中華人民共和國密碼法》，將密碼工作上升至依法管理的層面。

2021年，國家釋出的《資訊保安技術 資訊系統密碼應用基本要求》（GB/T 39786-2021）“金鑰生存週期管理”章節明確要求：“金鑰管理對於保證金鑰全生存週期的安全性是至關重要的，可以保證金鑰（除公鑰外）不被非授權的訪問、使用、洩露、修改和替換，可以保證公鑰不被非授權的修改和替換。資訊系統的應用和資料層面的金鑰體系由業務系統根據密碼應用需求在密碼應用方案中明確，並在密碼應用實施中落實。”同時，該標準對金鑰管理的各個環節還提出了具體的要求：

金鑰產生，需要在符合《資訊保安技術密碼模組安全要求》（GB/T 37092-2018）的密碼產品中產生，產生的同時可在密碼產品中記錄金鑰關聯資訊，包括金鑰種類、長度、擁有者、使用起止時間等。

金鑰分發，是金鑰從一個密碼產品傳遞到另一個密碼產品的過程，分發時要抗擷取、篡改、假冒等攻擊，保證金鑰的機密性、完整性以及分發者、接收者身份的真實性等。

金鑰儲存，金鑰不以明文方式儲存在密碼產品外部是十分必要的，並須採取嚴格的安全防護措施，防止金鑰被非授權訪問和篡改。

金鑰更新，金鑰更新發生在金鑰超過使用期限、已洩露或存在風險時，根據相應的更新策略進行更新。

金鑰銷燬，需要注意銷燬過程的不可逆，即無法從銷燬結果中恢復原金鑰。

金鑰管理現狀及面臨問題

金鑰管理涉及金鑰全生命週期的各個環節，隨著商用密碼逐漸普及，雲計算、大資料、物聯網等技術在企業、政務等領域的大規模應用，使用者金鑰管理也面臨一系列的問題。

● 金鑰管理專業性強、管理難度大

金鑰管理是一項專業性很強的工作，涉及金鑰產生、分發、儲存、使用、更新、歸檔、撤銷、備份、恢復和銷燬各個環節，且每個環節都有比較嚴格的安全要求，使用者在使用和管理金鑰時往往存在較大的困難。

● 金鑰管理不合規現象普遍存在

金鑰管理實際應用過程中，存在很多不合規的地方。如硬體密碼裝置的主金鑰透過線上方式分發獲取，容易造成主金鑰洩露；金鑰生成時採用軟隨機源；隨機數熵值達不到密碼安全要求；軟密碼模組的私鑰未採用分割技術，完整私鑰出現在通訊鏈路或執行終端上，達不到安全等級要求等。

● 傳統金鑰管理難以滿足新應用場景需求

在雲計算、大資料和物聯網等新應用場景下，金鑰管理面臨一系列挑戰：應用數量不斷擴大、資料量指數級增長、金鑰種類和數量不斷增加、金鑰管理分散等。面對這些挑戰，傳統的金鑰管理模式難以滿足新應用場景下各類需求，如大規模化的金鑰管理能力、複雜多樣的金鑰管理模式、雲環境下的多租戶金鑰安全隔離等。

解決之道：平臺化金鑰管理服務

安盟資訊依託“安盟華御密碼服務平臺”，為使用者提供集中統一的平臺化金鑰管理服務，幫助使用者輕鬆建立和管理金鑰，實現對金鑰的全生命週期安全管控。

安盟資訊金鑰管理服務架構圖

● 金鑰全生命週期管理

支援對稱金鑰和非對稱金鑰的全生命週期管理，包含金鑰生成、金鑰分發、金鑰更新、金鑰歸檔、金鑰恢復和金鑰銷燬。對稱金鑰支援的商用密碼演算法有：SM1（128bit）、SM4（128bit），非對稱金鑰支援的商用密碼演算法有：SM2（256bit）。

● 金鑰模板管理

支援金鑰模板管理功能。使用者可以按需定義各種金鑰屬性，形成金鑰模板。系統根據金鑰模板的屬性快速建立金鑰，自動進行金鑰更新、銷燬等操作。方便金鑰整個生命週期的使用和管理，幫助使用者準確高效地使用和管理金鑰。

● 彈性規模化金鑰管理

使用者可根據應用對金鑰數量的實際需求申請金鑰管理服務，並可以在應用擴充套件時，動態彈性調整金鑰管理服務的金鑰數量，滿足使用者的金鑰使用需求。系統支援千萬級以上規模的金鑰管理。

● 多租戶金鑰安全隔離

支援面向多個租戶單位提供金鑰管理服務。系統採用公司創新設計的“一種雲計算環境下多使用者金鑰安全隔離方法及系統”等專利技術，從應用金鑰管理系統、虛擬雲伺服器密碼機、服務排程機制等多層次提供金鑰隔離機制，並採用金鑰容器隔離技術進行租戶隔離，實現多租戶場景下的金鑰全生命週期安全防護。

● 金鑰管理安全合規

金鑰管理服務，採用透過商用密碼檢測中心認證的硬體密碼裝置，按照國家主管部門認可的金鑰生成方法生成高質量隨機數、對稱金鑰和非對稱金鑰，提供金鑰儲存保護機制，保證金鑰生成及儲存的安全合規性。

安盟華御密碼服務平臺構築安全合規金鑰管理體系

安盟資訊基於密碼基因打造安全合規、統一管理、部署靈活、服務彈性可計量的密碼服務平臺，採用多模式資源整合技術，透過整合各種密碼裝置和系統、資料安全防護產品，打造服務化、場景化，易於行業快速對接整合的服務能力，對外向使用者應用系統提供的金鑰管理服務，可幫助使用者實現對稱金鑰和非對稱金鑰的全生命週期管理，簡化金鑰管理操作，減少金鑰管理的維護成本，滿足雲計算、大資料、物聯網等新應用場景下的金鑰數量彈性擴充套件、大規模金鑰管理和多租戶金鑰安全隔離需求，幫助使用者建立可管可控、便捷易用、安全合規的金鑰管理體系。