繁杂密码产品，如何一体化实现数据加密保护
阿里云安全 9月7日
数据保护中，密码应用是实现数据加密的原始而有效的手段。开展商用密码应用安全性评估（简称“密评”）是《密码法》提出的明确要求。同时，在一些具体行业的业务场景中，密码应用也作为一种技术手段实现业务的安全诉求，比如验证用户身份、https加密链路安全、时间戳服务保障业务一致性等等。
由于密码设备的多样性、应用对接的复杂性等问题，在实际应用过程中并不是特别顺利，尤其到了全新的云环境，加密设备如何发挥出真正的价值。
8月27日，《数据安全法》解读与阿里云三大合规方案线上直播活动，阿里云解决方案架构师张锦军做了《云上一体化密码应用与数据加密》的主题分享，文字整理稿分享如下，解答在云上如何帮助用户简化密码应用难度，满足密码应用合规性基础上，做好数据加密保护。
01 密码产品应用现状
传统情况下，企业应用密码时需要根据需求采购不同的密码硬件产品，比如服务器密码机、签名验签服务器、金融类数据密码机、安全认证网关、时间戳服务器等各类硬件设备，以满足不同业务应用的不同使用场景。
国家密码管理局颁布的《商用密码产品认证目录》显示，涉及的密码应用产品总共有22类，包括身份鉴别、存储加密、通道加密、签名验签、密钥管理、应用加密等密码技术应用场景。
密码产品众多导致服务接口多样化，进一步导致企业需要对业务应用进行改造才能使用，这又加剧了密码产品烟囱式建设趋势，形成恶行循环，给企业的运维管理、密码资源集约化使用及弹性扩容带来巨大挑战。
02
云上一体化密码应用方案
阿里云推出的云上一体化密码应用服务方案，以更简单、便捷的方式使用密码产品和调用资源，帮助用户不需要关注底层复杂的密码资源建设问题。
整体方案分为三层架构：
- 最底层为硬件密码机资源层，统一向上提供基础密码算力和应用密码算力；
- 中间是基于硬件密码机资源提供的虚拟密码机服务层，向租户（分支机构）提供独享的密码资源；
- 最上层是密码应用服务镜像，通过结合实际业务场景，统一封装密码服务镜像，应用/租户可直接调用的应用密码技术，例如时间戳、电子签章、签名验证等等，便于应用系统直接使用。密码应用服务镜像根据业务场景可以独立使用，也可以在共享的VPC里供多业务集中调用。
该方案为用户提供统一的密码服务平台，通过一个控制台，对各分支机构调配密码资源和服务实现灵活集中管理，并且可以为分支机构提供合规分析等面向上层应用的密码服务监测能力。
相比于传统密码应用方案，该方案具有以下优势，尤其适合拥有多个分支机构的专有云场景：
- 分支机构可以独享密码服务及密码机，且彼此之间完全隔离，安全性更高；
- 密码服务平台与云平台深度融合，管理更便捷，运维更高效；
- 密码服务和密码机资源可动态分配，满足高并发、高可用的密码应用需求。
值得一提的是，与等保2.0合规测评一样，商用密码应用安全性评估也需要分别对云平台和云上业务系统两大部分进行评估。
2021年5月，阿里云专有云平台国内首家通过密评测试。
阿里云专有云客户进行密评时，可以直接复用云平台侧的解决方案；云上业务系统通过接入统一密码服务平台，可以大大降低对接改造难度，做到合规的同时，真正解决密码应用需求，降低管理运维难度，将已有的密码资源价值发挥到最大化。
03 最佳实践
某省级政府用户在进行密评早期过程中遇到以下问题：
- 需要从0开始购买各种符合密评要求的密码服务，如通道加密、数据加密、身份认证、密钥管理等；
- 使用非云原生的密码产品导致云上应用密码安全方案设计实施困难；
- 使用非云原生的密码产品依赖的硬件及网络要求复杂，安全风险较大；
- 应用需要对接多个厂商的密码产品，改造难度高，对接复杂，整合工作量大；
通过接入阿里云提供的云上一体化密码应用服务方案，客户完全不需要关注底层的密码硬件资源，即可实现对密码资源的统一部署和调度，密码服务的统一建设和运维，快速拉齐所有分支机构的密码应用水位，满足密评要求。
目前，该客户已经有超过 60个分支机构、数百个业务应用系统运行在云上，开通了200多类密码服务。
阿里云安全
国际领先的云安全解决方案提供方，保护全国 40% 的网站，每天抵御 60 亿次攻击。
2020 年，国内唯一云厂商整体安全能力获国际三大机构（Gartner/Forrester/IDC）认可，以安全能力和市场份额的绝对优势占据领导者地位。
阿里云最早提出并定义云原生安全，持续为云上用户提供原生应用、数据、业务、网络、计算的保护能力，和基础设施深度融合推动安全服务化，支持弹性、动态、复杂的行业场景，获得包括政府、金融、互联网等各行业用户认可。
作为亚太区最早布局机密计算、最全合规资质认证和用户隐私保护的先行者，阿里云从硬件级安全可信根、硬件固件安全、系统可信链、可信执行环境和合规资质等方面落地可信计算环境，为用户提供全球最高等级的安全可信云。
