密码服务平台技术架构

1密码服务平台定义

       本文中我们对密码服务平台的定义如下：密码服务平台是为了商用密码的应用和发展，针对某个或多个信息系统一定时期的需求，通过组织整合、集成优化各类密码资源，提供可共享共用的密码基础设施、加解密功能、签名验签功能、密钥管理功能等，以期为一个或多个信息系统的公共需求提供统一的密码解决方案，达到减少重复投入、提高资源效率、便利密码应用的目的。

2密码服务平台参考架构

      本文中我们提出了密码服务平台的参考架构。一个典型的密码服务平台应包括密码服务接口层、密码功能支撑层、密码资源层以及平台管理层、密码基础设施层。

2.1密码资源层

        平台基于密码资源池的概念来集中管理各种密码设备，实现密码计算资源的充分利用。平台可以管理支持虚拟化的云密码机，也支持传统的密码设备，如服务器密码机、签名验签服务器、安全认证网关等，通过统一的接入协议将各类密码设备整合形成密码资源池。

        密码资源层可根据平台的需要，随时增加已有密码设备的数量，扩展密码设备种类，源源不断的为上层密码服务提供最底层的密码资源保障。

2.2密码功能支撑层

        密码功能支撑层包含两部分，即基础密码功能、典型密码功能。

        基础密码功能指通过直接调用密码资源层中整合的密码设备即可实现的密码功能，密码资源池的组成设备包括密码卡、密码机、签名验签服务器、时间戳服务器等，因此基础密码功能包括SM1、SM2、SM3、SM4、SM7、SM9算法运算功能、随机数生成功能、密钥导入导出等功能，同时也包括数字签名申请、数字签名验证、时间戳申请、时间戳验证等密码功能。

        典型密码功能是服务平台在密码资源的基础上，为拓展平台密码功能的多样性，灵活增加的密码功能，可包括可信计算功能、安全电子签章功能、电子文件管理功能、数据库加密功能等。

2.3密码服务接口层

       密码服务平台提供灵活的密码服务组件和接口，从根本上解决信息系统项目开发中密码基础设施的重复开发、重复投资等问题。对密钥管理、密码运算、密码功能的开发接口实现统一封装和定制，能够支持应用系统开发中对基础密码功能和典型密码功能的灵活调用，有效屏蔽密码资源层不同厂商密码设备底层实现细节的差异化，

        提高应用系统的开发效率和运行维护效率。同时实现密码资源的实时性、可用性横向扩展，实现了密码资源、密码功能的按需调配。

2.4密码服务平台管理层

        密码服务平台管理层的主要功能是密码服务平台的管理与运维，通过管理层形成密码平台的安全管理体系。

        设备管理：基于密码资源池的方式对密码设备进行集中管理，实现密码计算资源的充分利用。

        密钥管理：建设统一的密钥管理功能，提供密钥的统一生成、分发、查询、更新、恢复和销毁。定义应用标识体系，分别建立密钥与应用系统、系统不同模块之间的对应关系，建立自主、可靠、安全的密钥管理系统。

        应用权限管理：提供密码服务功能申请，实现应用接入注册与授权管理，支持配置应用认证策略和访问策略。

        监控管理：负责密码资源池的运维保障，包括监控密码设备、密码资源池服务、密码应用及其运行状况。

        统计管理：根据不同用户单位的信息系统对各项密码服务的使用情况，提供数据分析、报表统计的功能，支持业务运行态势的全景展示，优化密码资源分配策略，提升密码资源利用率。

2.5密码基础设施层

        密码基础设施层，是密码服务平台安全建设的基础与核心，是安全提供密码服务的基本保障，本文中，密码基础设施主要指公钥基础设施，基于公钥密码学，通过权威证书认证中心签发的数字证书实现互联网身份真实性、数据保密性和完整性、操作的不可否认性。公钥密码基础设施主要包括 CA 和密钥管理中心两部分。密钥全生命周期管理，包括密钥的生成、存储、导入和导出、分发、使用、备份和恢复、归档、销毁等。

        基础设施层应包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。密码服务平台可自主构建证书服务，也可通过接入第三方CA机构获取证书服务。

说明：本文仅代表作者自己观点，更多密码安全解决方案、产品设计，请添加WX与我联系TYNNNL。