SJJ1601云密码机技术白皮书11.docx
- 文档编号:5683890
- 上传时间:2022-12-31
- 格式:DOCX
- 页数:15
- 大小:1.87MB
SJJ1601云密码机技术白皮书11.docx
《SJJ1601云密码机技术白皮书11.docx》由会员分享,可在线阅读,更多相关《SJJ1601云密码机技术白皮书11.docx(15页珍藏版)》请在冰豆网上搜索。
SJJ1601云密码机技术白皮书11
SJJ1601云密码机
技术白皮书V2.5
版权声明
欢迎使用三未信安密码产品
Copyright (c) 2017 sansec
版权所有
本文档由北京三未信安科技发展有限公司编写,仅用于用户和合作伙伴参阅。
本公司依中华人民共和国著作权法,享有及保留一切著作之专属权力,任何公司和个人未经北京三未信安科技发展有限公司事先书面同意,不得擅自使用、复制、修改、仿制、传播本文档的内容。
本文档的内容将做不定期性的变动,且不会另行通知。
更改的内容将不会补充到本文档,且会在发行新版本时予以更新。
本公司不做任何明示或默许担保,其中包括本文档的内容的适售性或符合特定使用目的的默许担保。
北京三未信安科技发展有限公司
2017年11月
1概述
随着云计算技术的普及与发展,越来越多的传统应用开始向云端迁移,借助云计算特有的高可靠性、高伸缩性,实现数据集中管理及高效的资源利用,可有效降低应用系统维护成本,为用户提供更优质的服务。
但是,云端迁移同样也带来许多问题,信息安全问题尤其突出。
当前,许多传统应用系统已通过集成密码机、签名服务器等硬件密码设备,为业务应用提供信息安全保障。
当这些传统的密码设备随着应用系统向云端迁移时,会产生一系列问题,这些问题有来自于应用提供商的,也有来自于云服务提供商的。
来自应用提供商的问题:
●密码设备在云端托管,我的密钥是否安全?
●我能否进行远程密钥管理?
●远程管理是否安全?
●能否像云应用扩容一样,方便的实现密码设备扩容?
来自云服务提供商的问题:
●能否减轻密码设备托管维护的工作量?
●能否支持密码设备的远程密钥管理,并将管理权完全交给用户?
●能否提供集中的设备管理与监控功能?
●能否将密码服务做成云服务模式?
作为国内优秀的密码硬件方案提供商,北京三未信安科技发展有限公司为解决云环境下的密码产品应用问题,结合云计算和虚拟化技术,推出贴合需求的新型安全产品——SJJ1601云密码机。
它解决了传统密码机在云环境下部署的一系列问题,采用了密钥管理与设备管理分离的核心理念,实现了云应用环境下网络管理员仅维护设备,用户自行管理密钥的工作模式。
SJJ1601云密码机通过密码机集群与虚拟化技术的结合扩充密码运算能力,将密码运算能力进行细粒度划分,并通过集中的密钥管理及配套的安全策略保护用户密钥整生命周期的安全。
SJJ1601云密码机可广泛应用于公有云、私有云、混合云、政务云、金融云等各种云环境,为应用提供商及云服务提供商提供管理安全、密钥安全、业务安全的云密码服务。
SJJ1601云密码机不仅可直接为云应用提供密码服务,还可为其他合作产品(如统一认证服务、云身份认证系统、云密钥管理系统、云密码服务平台、时间戳服务、电子签章服务等)提供基于硬件的虚拟密码模块。
2产品特性
SJJ1601云密码机是针对云计算环境的特殊需求,设计开发的硬件密码产品。
主要实现在一台物理实体机上,提供多台虚拟密码机(VSM),每台虚拟密码机均可对主机应用层数据加/解密、消息来源正确性验证、密钥管理等,最大限度的发挥硬件资源性能,为云环境下的计算机网络系统提供安全保密数据通信服务,防止网上的各种欺诈行为发生。
2.1产品特点
⏹密码机虚拟化:
每台物理密码机可运行多个VSM虚拟密码机,每个VSM可对应用独立提供密码服务,并且各个VSM之间密钥完全隔离。
密码机的虚拟化增加了密码设备资源利用率,将密码服务进行了更细致的划分,可以为应用提供稳定、可靠的密码运算服务。
⏹安全的远程密钥管理:
VSM密钥管理由用户自行操作,管理中心及VSM对用户身份采用基于数字证书的强认证机制,满足认证权限的用户才能进行对应的密钥管理操作,同时保证了用户之间管理的隔离。
⏹安全的业务调用:
应用主机到VSM之间的业务调用采用加密通道,保护用户应用数据经过中间网络环节时的安全。
⏹贴合云应用环境部署需求:
SJJ1601云密码机贴合当前虚拟化与云应用环境部署需求,解决了密钥管理与设备管理权限分离、用户之间管理隔离问题,具备完善的技术手段和安全机制保证用户密钥安全。
2.2产品优势
⏹集中设备管理支持:
由统一的管理中心进行设备集中管理和监控,管理员随时可掌握设备的工作状态。
与用户密钥管理权限分离,用户也可集中管理自身的密码设备密钥,保证用户密钥的安全性。
⏹多用户/应用支持:
通过完善的审核控制和身份认证机制,支持多用户之间的设备及管理隔离,同时仍支持多应用调用。
⏹应用兼容性支持:
SJJ1601云密码机支持JCE、PKCS#11、CSP、国密SDF和SAF等多种标准密码应用接口,可兼容传统服务器密码机、金融数据密码机及签名验证服务器产品应用接口,支持传统应用平滑迁移,满足传统应用迁入云环境后对密码服务的需求。
⏹用户密钥托管支持:
通过与密钥管理系统对接,可支持安全的用户密钥托管,满足不同的应用需求。
⏹减少密码设备采购与管理成本:
SJJ1601云密码机支持密码服务申请的方式为用户提供服务,用户仅需少量服务费用就可以使用VSM提供的各种密码服务;在大量设备需求及应用场景下,减少了设备集成与管理工作,降低了用户对密码设备的管理成本。
3产品功能
3.1产品架构
SJJ1601云密码机主要由密码机主机、USBKey、管理平台、代理程序及应用接口等组成。
其中密码机主机包括宿主机HSM和虚拟密码机VSM,USBKey是作为管理人员访问用的身份硬件设备,管理平台主要提供给管理人员对HSM和VSM进行管理操作,代理程序和应用接口则提供给应用来调用VSM的密钥存储及密码运算功能。
3.2主要功能
3.2.1管理平台功能
SJJ1601云密码机主要通过管理平台来进行设备和密钥管理。
管理平台主要管理功能如下:
✧设备管理
提供多种密码设备类型的集中安全管理。
支持密码设备的增删、启停、配置、分配、分组等操作。
支持密码设备的状态监控,保障业务的连续性。
支持开放设备管理协议和服务接入标准,满足对第三方密码设备的兼容。
✧密钥管理
将各密码设备的密钥的产生、存储、更新、销毁等生命周期的各个环节进行集中安全管理,规划建立密钥与设备(组),密钥与业务的关系模型。
✧业务规划
为用户提供业务管理视图,建立多用户的“业务—设备(组)—密钥”的关联体系,将密码运算抽象为服务的形式,规避底层设备及密钥访问的复杂性,并提供高效的按需服务和高可用性支撑。
可为用户的业务分析、安全分析积累海量业务数据。
✧安全管理
将设备管理与业务管理分开,采用各级管理员基于角色的管理体系,各自具有不交叉的权限,提供证书加USBKey的双因素认证手段,并提供可追溯的审计记录。
提供用户远程管理密码设备的安全方式,提供远程管理的网络级访问控制和隔离,彻底规避运维管理的现场维护工作。
✧安全使用
提供多平台,多语言的标准接口,支持配置SSL方式调用密码服务,提高安全可靠性。
同时,使业务系统与加密机不必直接关联,降低开发难度。
✧日志审计
管理平台具备完善的日志审计功能,针对人员操作提供带签名的日志记录,方便审计管理。
审计管理员独立于其他人员权限,负责所有人员及设备的日志信息的审计工作。
3.2.2密码服务功能
✧密钥生成:
可以生成256位SM2密钥对和2048位RSA密钥对。
✧密钥存储:
VSM内可存储对称密钥、SM2密钥对和RSA密钥对,并且私钥部分受系统保护密钥的加密保护。
✧数据加密和解密:
支持SM1、SM4、SM7、AES、3DES算法的ECB/CBC/CTR/GCM等模式的数据加密和解密运算。
✧消息鉴别码的产生和验证:
支持基于各种对称算法的MAC产生及验证。
✧数据摘要的产生和验证:
支持SM3、SHA1、SHA256、SHA384、SHA512等杂凑算法。
✧数字签名的产生和验证:
可以利用内部存储的RSA/SM2私钥或外部导入RSA/SM2私钥对请求数据进行数字签名或验证。
✧数字信封功能:
支持基于RSA/SM2密码算法的数字信封功能,支持PKCS#7标准各种格式的数字信封封装和解封。
✧签名验证格式:
支持PKCS#1、PKCS#7、XML等格式的数据签名、签名验证功能,支持文件签名验证功能。
✧证书验证方式:
支持CA、CRL、OCSP等方式证书有效性验证。
✧物理随机数的产生:
采用由国家密码管理局批准使用的物理噪声源发生器芯片生成随机数。
✧密钥备份及恢复:
支持基于主密钥保护下的密钥的备份和恢复功能,保证了安全应用系统的安全性和可靠性
✧可支持ATM、POS及银行的其他用途。
✧可支持ANSI和ISO安全标准。
✧可支持PIN的转发和校验。
✧可支持交易完整性校验TAC。
✧可支持SM1/SM4算法与国际金融密码算法的转换。
✧可支持IC卡密钥管理及发卡系统。
✧可支持更换本地主密钥时密文数据的转换功能。
✧可兼容国际信用卡安全应用标准。
✧可支持多种填充标准,如PKCS1,ANSIX9.31,EMV2000等数据填充模式。
4技术参数
4.1硬件指标
物理特性
规格
2U
液晶屏
有
外形尺寸(宽x深x高)
520x440x89mm
重量
14Kg
电气特性
工作电源
220V,50Hz,350W冗余电源
功耗
280W
网络接口
RJ-4510/100/1000Mbx2;
光纤网口10Gb*2(可选)
工作协议
TCP/IP
读卡器
符合ISO/IEC7816-3协议
MTBF
大于50000小时
环境参数
工作温度
10℃-50℃
非凝结的工作湿度
5%-85%
存储温度
0℃-60℃
非凝结的存储湿度
5%-95%
4.2性能指标
虚拟密码机(VSM)数
Y1型
32
SM2算法性能
256位SM2密钥对生成
500对/秒
256位SM2签名速度
1600次/秒
256位SM2验证速度
1300次/秒
256位SM2加密速度
350次/秒
256位SM2解密速度
400次/秒
RSA算法性能
1024位RSA密钥对生成
4对/秒
1024位RSA签名速度
350次/秒
1024位RSA验证速度
1600次/秒
2048位RSA密钥对生成
1对/秒
2048位RSA签名速度
80次/秒
2048位RSA验证速度
800次/秒
杂凑算法性能
SM3
100Mbps
对称算法性能
SM1(包长度:
16KByte)
8Mbps
SM4(包长度:
16KByte)
25Mbps
AES(包长度:
16KByte)
25Mbps
3DES(包长度:
16KByte)
12Mbps
SM4
(不同包长度)
16Byte
5600Tps
32Byte
5600Tps
256Byte
5600Tps
1024Byte
5600Tps
2048Byte
4800Tps
4096Byte
4000Tps
注:
以上性能指标的测试环境:
1)测试主机:
CPU:
E5-2670v3,内存:
32G,系统:
OpenSuse13.264位,测试线程为30个并发。
2)测试网络:
万兆直连。
3)性能指标为每台VSM的指标。
4)对称算法不同包长的Tps指标对应的是Y2型。
5)不同测试环境下性能会有差异。
5依据标准
GM/T0002-2012SM4分组密码算法
GM/T0003-2012SM2椭圆曲线公钥密码算法
GM/T0004-2012SM3密码杂凑算法
GM/T0005-2012随机性检测规范
GM/T0006-2012密码应用标识规范
GM/T0009-2012SM2密码算法使用规范
GM/T0010-2012SM2密码算法加密签名消息语法规范
GM/T0018-2012密码设备应用接口规范
GM/T0019-2012通用密码服务接口规范
GM/T0029-2014签名验签服务器技术规范
GM/T0030-2014服务器密码机技术规范
GM/T0039-2015密码模块安全检测要求
GM/T0045-2016金融数据密码机技术规范
JR/T0025—2013中国金融集成电路(IC)卡规范(PBOC3.0)
6产品资质
7典型应用
7.1典型部署
SJJ1601典型部署拓扑架构图如下:
图7-1典型部署拓扑图
用户的应用部署在云端,运行在云服务提供商提供的虚拟主机中,云密码机同样部署在云端网络中,和虚拟主机一样由云服务提供商负责物理设备的维护。
当用户应用有密码服务需求时,可根据实际业务吞吐量申请或租用相应数目的VSM,并可通过安全的远程密钥管理对VSM进行初始化和密钥部署。
在完成VSM密钥部署后,部署在虚拟主机中的应用可通过云密码机提供的业务接口实现密码服务的集成与调用,云密码机在虚拟主机与VSM之间采用安全通道技术保护用户业务数据的安全。
7.2云端数据保护应用
图7-2云端数据保护应用架构图
SJJ1601云加密机可帮助云端业务系统实现数据的加密安全存储,如系统账号敏感信息、公文文件、电子合同、数据库核心字段、CRM及财务系统中的重要企业数据。
支持多操作系统及多编程语言调用,简单易用。
支持SM1、SM2、SM3、SM4等国产密码算法,帮助企业建立安全、合规系统。
7.3云端身份认证应用
图7-3云端身份认证应用架构图
SJJ1601云加密机可以提供数字签名和验证签名功能,帮助云端签名应用系统(如网上电子合同等)提供用户签名服务,提高系统安全性。
通过采用强大的硬件级密钥保护机制,能够更好地保护密钥,防止密钥被盗或密钥滥用等安全问题。
数字签名和验证功能在云加密机内部完成,降低业务系统资源消耗。
7.4云端金融应用
图7-4云端金融应用架构图
使用SJJ1601云加密机加密保护金融交易数据,保证交易数据传输安全。
利用SJJ1601云加密机能够更好地保护金融应用系统使用的各类密钥,提高系统自身的安全性。
全面支持国内及国际加密算法,为应用系统提供更多的选择,提高云中金融应用系统的安全性及合规性。
7.5SSL通信加速及密钥保护应用
图7-5SSL通信加速及密钥保护应用架构图
通过简单配置,SJJ1601云加密机就可帮助B/S架构业务系统实现SSL安全通信,无需业务系统做任何改造。
保证用户与业务系统通信数据的机密性、完整性。
更好地保护服务器密钥,杜绝密钥丢失造成网站仿冒或类似Heartbleed事件的发生。
将业务系统服务器的加解密运算压力转移到云加密机内,提高业务服务器的业务服务能力。
附录A公司简介
北京三未信安科技发展有限公司(以下简称“三未信安”)成立于2008年8月,注册资金2353万元人民币。
总部位于北京市朝阳区,公司在济南设有研发中心,在上海成立了分公司,在多地设办事处。
三未信安专注于基于密码技术的产品和解决方案的研发、销售,是国家密码管理局批准的商用密码产品生产定点单位和商用密码产品销售许可单位。
公司是经过国家级认证的高新技术企业。
三未信安通过了ISO9001质量保证体系认证、ISO27001信息安全管理体系认证。
正在进行CMMI3软件开发管理成熟度模型认证。
三未信安的创始技术团队来源于山东大学,山东大学在密码理论和技术方面在中国处于领先地位。
公司核心研发团队由中国较早从事商用密码技术和产品研发的专家、资深技术人员组成。
公司是全国信息安全标准化技术委员会成员单位和密码行业标准化技术委员会成员单位,有多位专家参与中国信息安全相关技术标准、规范的制定工作。
三未信安注重研发投入、技术创新,公司积极进行新技术和产品的研发。
公司还与山东大学成立了联合实验室,共同进行新技术、新产品的研发。
2011年,密码机、密码卡产品获得“密码科技进步三等奖”(省部级)。
2013年,签名验证服务器获得“密码科技进步三等奖(省部级)”。
同年,取得北京产品评价中心颁发的“产品质量创新贡献奖-创新成果奖”。
由于技术先进,三未信安还获得国家科技部、国家发改委、以及北京市、朝阳区的多次项目资金资助。
三未信安是中国主要的商用密码设备供应商,已经推出了适用于各种应用场景的商密产品,包括:
服务器密码机、金融数据密码机、密码卡、签名验证服务器、安全认证网关、SD接口手机用密码卡、安全存储网关等硬件产品,以及身份认证系统、密钥管理系统、数字版权管理系统、统一用户管理及单点登录系统等软件系统。
针对云安全需求,三未信安开发了高速加密卡、云密码机/云密码服务平台、云密钥管理系统以及云存储加密系列产品等。
、
三未信安产品已广泛应用于金融、证券、电力、电信、石油、铁路、交通等行业,以及海关、公安、税务、水利、质检、国家政务外网等政府部门。
公司注重对用户的售后服务,我们认为优异的产品配合完善的服务才能形成良好的应用。
三未信安的目标是成为国际领先的密码产品和解决方案供应商。
附录B联系方式
北京总部
电话:
+86-10-56297902
传真:
+86-10-58236196
邮箱:
support@
地址:
北京市朝阳区广顺北大街16号院2号楼华彩大厦16层[100102]
网址:
上海分公司
电话:
+86-21-20238100
传真:
+86-21-20238100
地址:
上海市浦东新区金科路2966号创智空间北楼6A[201204]
广州分公司
电话:
+86-20-38939962
传真:
+86-20-38939962
地址:
广州市天河区天河路490号壬丰大厦东厅2204[510000]
济南研发中心
电话:
+86-531-88988936/7
传真:
+86-531-88988936-8080
地址:
济南市高新区新泺大街1299号鑫盛大厦2号楼18层[250101]
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- SJJ1601 密码机 技术 白皮书 11