密码是平衡数据安全与数据流通价值的关键技术之一，是保障网络与信息安全的核心技术和基础支撑。

8月9-11日，在2023商用密码大会现场，阿里云展出的全新云上密码应用方案得到广泛关注。来自多个省市的密码管理局和用户单位相关领导莅临展台，表达了对阿里云作为国内领先云服务商厂商牵头推动云上密码应用发展的期望。

安全与合规双驱动的密码应用需求

密码之于数字世界的重要性不言而喻。为了合规、正确、有效的使用密码，保护数据安全，国家陆续出台了一系列法律、法规和标准，逐步建立起成熟规范的商用密码应用管理体系与机制。

法律

《密码法》
2019年10月26日发布，2020年1月1日生效
第八条表明“公民、法人和其他组织可以依法使用商用密码保护网络与信息安全”。
第二十七条“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评”。
第三十七条 关键信息基础设施的运营者违反本法第二十七条第一款规定，未按照要求使用商用密码，或者未按照要求开展商用密码应用安全性评估的，由密码管理部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

行政法规

《网络安全等级保护条例》
（征求意见稿）

第三级以上网络运营者应在网络规划、建设和运行阶段，按照密码应用安全性评估管理办法和相关标准，委托密码应用安全性测评机构开展密码应用安全性评估。
《国家政务信息化项目建设管理办法》
(国办发[2019]57号)

• 备案文件应包括密码应用方案和密码应用安全性评估报告；
• 应同步规划、同步建设、同步运行密码保障系统并定期进行评估；
• 报批阶段，要提供项目密码应用和安全审查情况；
• 验收报告须有密码应用安全性评估报告；
• 不符合密码应用要求的政务信息系统，不安排运行维护经费；
• 主管部门对密码应用情况实施监督管理；
• 各部门应严格按要求采用密码技术，并定期开展密码应用安全性评；

《商用密码应用安全性评估管理办法》
（试行）

关键信息基础设施、网络安全等级保护第三级及以上信息系统，每年至少评估一次。

标准及测评文件

《GB/T 39786—2021信息安全技术 信息系统密码应用基本要求》是密码应用安全性评估依据的新标准。其配套文件如下：

密码服务的演进云为密码应用带来了什么

传统密码产品的交付必须以硬件盒子为载体，虽然可以提供独立的密码应用能力，且对于用户来说可控性更高，但是密码硬件资源的物理瓶颈限制，导致密码资源无法按需弹性伸缩，不同厂商的硬件资源管控和服务接口不统一导致密码设备部署、运维运营复杂。

2014-2015年左右出现的密码产品虚拟化部署模式，虽然可以在一定程度上解决硬件盒子的一些弊端，但是密码资源的隔离性与网络的安全性难以保障，尤其是到了云上，无法与云产品及云上安全体系融合，出现兼容性等问题。

阿里云原生的密码应用方案，通过将密码能力内置云平台基础设施，以“密码管理即服务KMaaS”的形式交付用户，实现“密码·应用一体化”，带来密码应用的本质变革。同时，阿里云整套密码应用方案全面支持国密算法。

01.高可用

• 弹性：快速扩容和收缩能力，资源利用最大化；
• 高可用：基于云服务保障高可用服务能力；
• 多类型：基于伙伴丰富的密码服务提供多类型的服务能力；

02.云管融合

• 统一管理：支持与云管平台集成，统一管理密码资源；
• 统一权限：对接云管平台账户体系、统一权限控制；
• 云原生：支持密码资源服务自动化部署、配置、监控、调度；
• 态势感知：提供密码服务运行情况感知能力，支持对接密码监管；

03.安全合规

• 全面能力：满足云平台和云租户应用密评需求以及资源独立；
• 安全隔离：租户独享密码资源和密码服务，租户间资源隔离；

阿里云飞天企业版一体化密码服务架构

商用密码安全性评估，简称“密评”。云上客户进行商用密码安全性评估验证包括两部分，一是云平台自身需要满足密评要求，二是云上业务系统满足密评要求。

阿里云飞天企业版是国内首家通过密评验证的云平台。飞天企业版客户进行密评时，可以直接复用云平台侧解决方案，无需对云平台做任何改造。

同时，阿里云为客户提供了云上密码应用统一服务平台，该平台将底层复杂的密码硬件资源管理难题进行虚拟化封装，并以服务化方式交付客户，从而实现对密码硬件资源的统一分配和管理，进而降低云上应用对接难度，拉齐各分支单位的密码应用水位，提升密评改造效率。

此次展会，阿里云重点展示了飞天企业版环境下一体化密码服务架构。

架构优势

• 密评方案统一规划和应用

提供可快速复制、可靠的密码建设方案，拉齐各应用单位密码安全性设计水平，保障应用正确使用密码服务。

• 密码资源统一部署和调度

集中规范管理密码资源，提升管理规范性，安全性及运维效率，降低安全风险。

• 密码服务统一建设和运维

服务与资源兼容性强，最大化资源利用率，降低应用对接难度，提升密评改造效率。

产品优势

• 安全合规

使用监管机构许可认证的密码设施，保证您的密钥在阿里云得到最严格的保护。

• 高可靠、高可用

依托阿里云高可靠和高可用的云平台底座及产品自身高可用架构设计，提供了99.9%的服务可用性保障。

• 易用、易运维

提供密码机全托管所需的自动运维能力，只需关注加密业务，无需关注繁琐密码机运维操作。

客户价值

既能满足云平台密评合规要求，同时帮助云上客户满足租户侧密评要求；
一站式解决密码应用需求，降低管理运维难度；
简化应用与密码系统对接流程，提升密评改造效率。

公共云内置的高等级密码应用方案

展会现场，阿里云同时展出了公共云上原生的高等级密码应用方案。通过将密码能力内置于云平台，使密码服务成为一种脱离于硬件资源限制可随取随用的资源。

阿里云密钥管理系统支持全球29个Region与88个可用区，支持国际FIPS 140-2/3、国内GM/T多个监管标准要求，支持国密算法与国际算法。

在面向用户使用场景下，支持云产品默认加密的能力、业务数据加密、文件进行服务端与客户端加密、凭据（AK、SK、STStoken、账号、口令）的安全加密能力；

用户通过阿里云密钥管理服务KMS，在密钥使用过程中支持BYOK（Bring your own key）、KYOK（Keep your own key）；支持针对不同种类的密钥轮转，有效解决密钥丢失或泄露问题；凭据管理产品可管理AK、SK等口令的安全性，从而有效缓解因AK、SK泄露导致的数据泄露等安全事件发生。

对于超大型客户而言阿里云密钥管理服务KMS支持万级别QPS的实时加解密能力，并且有效支持阿里云的TAG、支持多账号共享能力。

对于全球化国际客户阿里云密钥管理服务KMS支持Terraform自动化运维，有效降低客户使用密码产品的难度，提升运维效率。同时支持客户全球多区域自动化备份与恢复能力，密钥稳定性提升到SLA99.9999%。

云上密码应用典型案例

客户需求
该客户首次将IT基础设施迁移至云上，阿里云负责云平台整体安全保护。

• 保障业务系统关键数据的保密性
  针对特定的系统、业务、人员开放或者关闭相应数据的获取权限，按需且合法的处理和访问数据，降低数据泄露风险，保证“不该看的人看不到”。
• 保障特定数据的完整性
  数据加密之外保障特定数据的不可篡改、不可抵赖及可认证。以关键操作日志和电子合同为例，作为一种特定的“证据”，为了防止恶意者对其篡改，可分别通过加盖“时间戳”和“电子签章”，对数据进行完整性保护。

解决方案
阿里云安全除了为该客户提供了云基础设施默认安全服务，更是提供了一套高安全等级的密码基础设施，以及自下而上逐层递进式的云原生数据加密能力，保障云上数据的保密性和完整性：

所有上云数据自动落盘加密存储，拥有IDC机房同等控制权
“上云”意味着传统数据中心的物理安全边界消失。

该客户在将业务系统和数据迁移至阿里云时，通过打开和强制实施ECS盘、NAS文件系统、OSS桶等云产品加密能力，可实现对所有上云数据一键加密存储，同时通过自带密钥加密数据的方式在云上构建起一个由客户完全自主可控的虚拟数据中心。

通过这种方式，使得客户既能享受云计算带来的高可靠、高可用、弹性等技术优势，又能保障客户对云系统服务的数据处理流程（分区、调度、复制、备份）及数据使用依然拥有与线下IDC机房同等的控制权。

关键数据先加密后存储，最小化风险暴露面

利用阿里云加密产品和设施，实现业务层字段级数据加密，做到只有合法的业务流程才能发起对数据的解密和访问；并为客户节省在密钥保护和防泄露、密码机运维、加解密能力弹性扩缩容以及负载均衡等各方面的投入和持续性开销。

根据等保2.0三级要求进行分类分级后，使用阿里云的加密服务针对关键数据和敏感数据采取先加密后存储的安全策略，以实现数据曝露面最小化的可能性：

• 具备访问权限的人员，由业务系统解密后读取；
• 不具备访问权限的人员，例如DBA，机房管理人员等查看到的是密文数据。

支持广泛公钥密钥体系，满足数据完整性和认证需求
公钥密钥体系（PKI）可以对身份认证、终端准入等场景提供可信赖机制，对业务日志、时间戳提供不可篡改的能力，对电子文档、合同等提供合法的签名，并支撑各行业内的业务标准化互通。

然而公钥密钥体系多种多样，不同国家对公钥密钥体系也提出了不同的要求，复杂性可见一斑。阿里云的加密服务底座，支撑各类公钥密钥系统的集成和生态伙伴接入，可提供广泛的密码业务支撑，用于构建企业CA证书体系，实现海关、交通、银行、PCI等各行业的标准化交互认证，以及满足“电子签名法”、欧盟eIDAS等法律法规要求。

日志加密及防篡改，实现攻击可溯源

操作日志是记录谁何时访问了哪些系统及数据的依据，也是“溯源”的关键渠道。客户使用阿里云的密钥管理服务KMS可以实现对云原生系统服务产生的操作日志默认加密保护，防止数据被窃取和篡改，一旦发生攻击，可以做到“有效溯源”；同时可以使用加密服务进一步针对特定的敏感日志数据在业务层加密或者加盖时间戳，提供更有针对性的“历史证据保护”。