密钥管理及安全服务系统v0-产品白皮书

1、密钥管理及安全服务系统产品白皮书2017-10目录目录1概述11.1 产品简介11.2 产品应用21.3 系统结构32产品功能42.1 统一密钥管理42.2 统一应用安全接口42.3 密码设备分组及负载均衡52.4 远程主密钥分发功能52.5 多算法、多厂家密码机支持62.6 分级管理，职权分离62.7 模块化设计，支持热升级63高可用性设计73.1 集群化部署74性能指标84.1 性能指标84.2 对称算法算法84.3 非对称算法85软硬件酉己置方案95.1 服务器配置95.1.1 硬件配置95.1.2 软件配置95.1.3 客户端配置95.1.4 硬件配置95.1.5 软件配置106成功案

2、例111概述1.1 产品简介密钥管理及安全服务系统是为银行各种业务系统提供交易过程中安全服务的核心系统，通过安全方案的设计和数据安全处理保障交易过程中数据的安全。密钥管理及安全服务系统管理各种型号的密码设备，支持同时为多个业务系统提供安全服务。支持密码设备的分组和复用，不同的业务系统可共享相同型号的密码设备，大大降低了银行在安全系统和密码设备上的投入成本。密钥管理及安全服务系统管理业务系统安全方案中的所有密钥，提供密钥的生成、启用、更新、停用、销毁、作废、备份、恢复等功能。密钥管理及安全服务系统为业务安全方案中的所有密钥提供流程化的管理，重要的密钥操作都需要通过领导审批才能执行，保证密钥的安全

3、。业务系统通过密钥管理及安全服务系统提供的联机服务接口（API）获取实时的交易安全服务，例如PIN转换、MAC生成/验证、签名生成/验证、数据加/解密、密钥联机服务等，保证交易过程中的数据安全。相关密钥初始化完成后，业务系统就可以调用密钥管理及安全服务系统提供的API进行各种安全处理。密钥管理及安全服务系统支持金融行业的多个标准和规范，支持多个主流密码机厂商（56所、30所、歌盟等）的密码机。系统通过配置化的方式实现安全方案的建设、业务系统的接入、密码设备的增加等，有较强的可扩展性，业务拓展非常方便。系统具有完善的人员认证、操作授权、安全控制、运维监控及审计机制，关键算法运算和操作通过硬件密码

4、设备来实现，具有极高的安全性和可靠性，完全符合金融行业对核心安全系统的要求。1.2 广品应用易全证统交安认系业务敬将存储安全模块用户号交易战扮认证体认证模块模块交易节点认证模块信息安全传蛤模块密钥管理模块证书管理模斑-一、安全室建管系密钥管理及安全服务系统组成的安全平台定义成全行的安全基础设施，为全行各业务系统提供统一的安全和密钥管理服务。密钥管理系统作为全行密钥管理的统一入口，实现全行密钥的管理。安全服务系统（也叫交易安全认证系统或者是密码服务平台）作为全行的数据加密处理中心（如对PIN验证、MAC产生与验证、签名验签等），最终的加解密运算都由它们后部挂接的硬件加密机完成。安全平台的监控模块

5、对安全平台以及密码机设备进行实时监控，确保系统能够在出现故障时能够及时通知相关人员。1.3 系统结构安全服务子系跣密钥管趣子系统曲控子系统1总行/分行）多由议支持服先（TCP.则XiL*接入控制用势道口金融IC接口蝇端事加分发接口解钊管理接口也择置芳子条统同年披口常的及该题）空饵统i管理XU短信平台邮件系统打内嫁自监控整境接口监拧物播采案监控曾埋入口密码运肆眼势的密算看胴势密陷4员靴均衡外管理,动卷管理）密门服外万桌模板身理隔势路由管母通ifl管理模块什外管拧取第I通洲管理模级任务管理里处空钢管理服势沆程控制帙块密初地晋理福钊计划任务书切短电模板管理密VJ&'计智理理务陶由管母

6、监控数据分所报鳖箪路管理监控管理服胃用比希象管理统计分析器表管理书讯曾刘梅轶任务皆理服务|_4应用服外层糊阴/胸用忻写故非I南包档案/限置较氯I跄府凝甥肘置数据部掂铤。II数据层结构描述：为了确保密钥的安全性，提高密钥管理的可维护性，保证密钥管理在整个生命周期中能做到职权分离，我们必须降低密钥使用和密钥管理的耦合性，由此，本方案将整个系统分成安全服务子系统（密钥使用）、密钥管理子系统（密钥管理）、以及配套的对上述资源进行监控管理的监控子系统。安全服务子系统：主要包括对应用系统提供的密码服务接口、多协议支持服务、接入控制系统、加密算法服务、密码服务、密码机管理、密码服务方案模板管理等。密钥管理子

7、系统：主要包括密钥和证书管理统一入口、密钥和证书管理服务、密钥和证书策略模板服务、密钥和证书审计服务、流程控制模块等。监控子系统：主要包括监控运维服务、监控管理服务、报警策略管理、同级分析报表管理等。上述的公共模块包括：配置管理服务、系统安全服务、运行配置管理、服务路由管理、日志管理模块、通讯管理模块、统计分析及报表管理等。2产品功能2.1 统一密钥管理对密钥和证书所处的密钥生命周期中（产生、分发、使用、更新、存储、恢复/恢复、销毁）的每个环节，能通过对其状态进行有效控制，也即能及时阻止非授权的密钥和证书操作（如密钥设置有效期，超过有效期的密钥本系统将拒绝其使用，这样可以强制要求业务系统定期更

8、换密钥；而对于核心级别的密钥，前端系统如ATM要访问的话，本系统也将会给予拒绝，仅允许核心业务系统访问核心级别的密钥）。2.2 统一应用安全接口统一各业务系统的加密接口后，更易实现加密标准化，使得应用系统能够按照安全规范来实现业务功能。应用开发商只需专注于业务逻辑的实现，不用再涉及不太擅长的安全领域，这样可以降低前期开发、后期维护、升级改造的工作量。（如：人民银行正在主导的算法由DES改为国密算法SM4,因为所有安全接口处理都在本系统中完成，因此仅需在本系统后端服务进行相应的更改调整即可，业务系统甚至不用修改或作少量修改即可）目前支持的安全接口包括：传统业务安全接口：MAC计算/校验、PIN计

9、算/验证、数据加密/解密、CVV计算/校验等；IC卡交易安全接口:ARQC计算/校验、脚本MAC计算等；PKI及证书体系接口:签名/验签、人行二代支付、银联无卡支付等；密钥管理类接口:主密钥中请、工作密钥生成、更新等；证书管理类：生成证书请求、导入PFX、导入证书、导入证书链和CRL等；认证类接口：动态码生成/校验；2.3 密码设备分组及负载均衡对现有业务系统进行归纳分析，确定加密标准及算法的是否具有共享性，充分利用现有资源，实现对安全设备如密码机的负载均衡功能，对资源的利用率做到最大化。（如：假设银联系统使用的密码机和POS系统使用的一致：密码机主密钥，指令集，即可实现共享）。本系统对密码机

10、的分组及负载均衡实现的机制如下图所示：批量层/交易服务层.4配置管理一检测A:密码机1F密码机N密码机3密码机N:I-.密码机1密码机N国密密码机组密码机负载均衡模块密码机检测模块k卡密码机组如上图所示，客户端通过调用Socket方式与本系统通讯，通过访问的后台端口号来识别不同应用类别，最终在密码机负载均衡模块实现调度不同的密码机组，使得对应的应用系统能够正确访问密码机组，完成密码机。2.4 远程主密钥分发功能对于离行式自助终端（如ATM）的密钥初始化采用了远程分发管理方式，此方式采用基于安全算法的PKI体系，实现自动化的密钥更新流程，代替了传统的打印密钥信封方式，解决了传统方式必须提前较长时

11、间进行密钥申请等审批流程，同时需要耗费较多的人力来管理及监督密钥的执行流程。2.5 多算法、多厂家密码机支持本系统支持国际和国密双算法，包括：DES/3DES、MD5/SHA-1、RSA、SM1/SM2/SM3/SM4等金融行业主流算法。目前本系统支持主流密码机设备，包括SJL05、SJL06、SJJ1309、SJY42、SJJ1310、SJJ1321-A0对于目前暂不支持的密码机，只需提供的密码机的开发手册进行相应的开发即可完成支持工作。2.6 分级管理，职权分离按照用户角色划分，对各类密钥的管理操作实行权限控制。系统功能应以业务层面展示，使得业务人员能够易学易用，不依赖于IT技术人员即可完

12、成其职责范围内的操作，确保职权分离能有效实行。2.7 模块化设计，支持热升级内部的服务程序按模块化原则设计，一个模块的升级和异常不影响其他模块的工作。可实现热升级和滚动式升级方式。3高可用性设计为了确保系统具有高可用性，本系统在设计时即考虑业务连续性保障问题：本系统配置数据、密钥数据、其他动态数据均存放在数据库中，在本地磁盘上仅保存交易日志及其他固定数据，且所有数据的读写操作均直接操作数据库，目前支持主流数据库（Oracle、DB2）,数据库的同步操作交给数据库厂商成熟的同步方案，因此只要确保后台数据库能够实现数据同步，本系统则可采取集群方式部署。如下图所示：3.1集群化部署数据库RAC数据库

13、安全服务子系统数据库4性能指标主要包括高可靠性及稳定性等方面。其中，本系统在设计时已经考虑采用集群部署，实现系统级别的高可用性，同时在系统内部之间，为了实现可靠性和稳定性，在异常处理以及备份恢复机制上也进行了相应的考虑：4.1 性能指标目前本系统对于支持的算法操作主要性能指标如下：4.2 对称算法算法DES算法：每秒不低于20000次运算；SM4算法：每秒不低于20000次运算；4.3 非对称算法RSA算法：私钥签名每秒不低于3000次运算，公钥验证每秒不低于5000次运算。SM2算法：私钥签名每秒不低于5000次运算，公钥验证每秒不低于5000次运算。5软硬件配置方案5.1 服务器配置5.1

14、.1 硬件配置从安全和性能上考虑，三套子系统建议安装在独自服务器上，服务器采用小型机或PCsever进行部署，每台服务器的硬件环境配置如下：参数名称参数值备注主机型号处理器主频2G+CPU个数16核内存32G存储大小200G5.1.2 软件配置软件名称软件类型版本备注LINUX或AIX操作系统Linuxredhat6.0+Aix5+较新版本的系统都可以支持ORACLE或DB2数据库11g或较新版本的数据库都可以支持Java虚拟机Web平台jdk1.8Tomcat或其他Web中间件软件6.0+密钥管理子系统应用软件安全服务子系统应用软件5.1.3 客户端配置5.1.4 硬件配置PC机硬件配置推荐:参数名称参数值备注系统型号PC机处理器类型采用标准配置CPU个数1个，主频大于1G内存512M存储大小50G5.1.5 软件配置WINDOWS+IE10以上。6成功案例易宝支付KT/YPAYCOmS/njones新中新电子BG