高性能密码资源池关键技术研究

0引言近年来，随着物联网、云计算、大数据、区块链等新技术的不断发展，不同技术领域的边界正逐渐被打破并相互融合，各种业务数据正在不断地汇总聚合，数据时代正悄然来临。随着《网络安全法》《密码法》等法律法规的相继出台，标志着我国密码发展进入有法可依的时代，为相关领域合规、正确和有效应用密码提供了法律依据。通过密码技术产品和服务，来解决身份认证、访问控制、安全传输、抗抵赖等问题，为数据安全、应用安全、网络安全等提供保障。新型的技术架构将计算资源、存储资源、网络资源、数据资源等资源进行整合，资源使用方式由原有独享式变为共享式，资源可以根据实际业务情况进行动态调整、随需而变，最大限度的提高资源的利用率，此时，对密码应用提出了高性能、高并发、高吞吐的高速应用需求，国外云厂商通过提供云化HSM（HardwareSecurityModule）满足该需求，如AWSCloudHSM，AzureDedeicatedHSM等，但该方案严重依赖于云自身架构实现，国内密码厂商也在积极探索具备虚拟化能力的云服务器密码机等设备类产品，本方案中提出的高速密码资源池作为密码产品和应用系统的有效衔接，实现技术、产品、应用深度融合，提供密码资源的高速调度，可以有效满足新型业务场景的安全需求，促进商用密码产业的快速发展。本文重点研究了高速密码运算、节点虚拟化、弹性资源管理的高速密码资源池，重点探讨了高速密码资源池在设计开发过程中需要重点关注的密钥安全管理、高性能、虚拟化管理、高弹性密码服务等关键技术。可应用于云计算、大数据、人工智能等高安全需求的领域。1新技术领域的高性能密码安全需求当前以物联网、数据中心、云计算、区块链应用等为代表的新技术领域正在如火如荼地涌现在“新型数字基础设施建设”的浪潮中，成为众多传统行业转型升级的新动力，不断推动社会发展进入数字时代，随着相关的法律要求和安全意识的增强，配套的密码安全建设的需求也日益显著。1.1物联网领域5G技术、大数据等新技术正与物联网相互交织，融为一体，物联网所蕴含的“万物互联，物物相通”使得物联网技术成为未来经济发展、社会进步和科技创新最重要的基础设施。据麦肯锡和IDC(互联网数据中心)报告显示，到2025年全球将有416亿个物联网设备，产生数据量达79.4ZB，每年将创造4万亿到11万亿美元的经济价值，但作为一种新技术，物联网的行业标准、协议制定以及管理工作都还处于初级阶段。物联网庞大的设备基数带来海量的信息传输与价值分析，从感知节点的身份识别到汇聚中心的数据保护，物联网中心平台都对其高性能密码运算提出了迫切需求，可以有效支撑海量设备身份认证，高性能数据加解密等高性能密码产品，将作为物联网安全发展的核心引擎为物联网的高速发展提供动力。1.2数据中心领域数字经济已成为全球经济增长的新引擎，正在深刻改变人类社会的生产和生活方式，数据中心承载着业务的数据，包括核心数据以及隐私数据，支撑着所有业务和运营，业务的核心枢纽。作为数据的汇聚中心，在关注平台安全、网络安全的基础上，数据安全和隐私合规也逐渐引起全行业的重视。数据安全是指数据中心为支撑数据存储、传输、处理等全生命周期过程提供的数据安全保护能力，如数据加密、数据隔离、访问控制、完整性校验等。隐私合规是指数据中心为保障数据存储、移动、再利用等过程中的合规提供的能力，如数据脱敏、违规分析、密文搜索同态加密等。数据中心的数据量正逐渐从PB级迈向EB级，高性能密码运算，尤其是数据的加解密吞吐成为最迫切的安全需求，可以有效提升整个数据中心数据安全防护的水平。1.3云计算领域云服务提供商将计算资源汇集到资源池中，通过多租户模式共享给多个用户，根据用户的需求对不同的物理资源和虚拟资源进行动态分配，2018年，以IaaS、PaaS和SaaS为代表的全球公有云市场规模达到1363亿美元，增速23.01％。未来几年市场平均增长率在20％左右，预计到2022年市场规模将超过2700亿美元。目前越来越多的企业使用公共云和混合云部署，同时越来越多的敏感数据被存储在云服务厂商的环境中，企业不断积极寻求更好的方法保护他们在云中的数据，数据加密、安全传输、安全隔离成为用户数据安全的重要技术手段，因此，企业用户独立管理掌控的密码产品成为数据上云的重要安全手段，因此适用于云环境的具备高性能、虚拟化等能力的密码产品是密码云服务的重要产品形态。1.4区块链领域区块链是利用块链式数据结构来验证和存储数据，利用分布式节点共识算法来生成和更新数据、利用密码技术来保证数据传输和访问的安全，其中涉及到分布式数据存储、点对点传输、共识机制、密码算法、智能合约等技术的新应用模式，在新的技术革新和产业变革中起着重要作用。在所有的区块链技术中都应用大量的密码技术来保证系统的安全性，区块链中每个用户都通过非对称密钥进行身份标识，所有的业务操作都需要签名验签操作来完成，且节点通过验签确保用户的合法性，整个业务链对于验签运算的性能具有较高的需求；对于节点的合法性校验，应用了大量高频的哈希运算，确保数据的完整性；与此同时，对于数据隐私保护的需求，同态加密、零知识证明和安全多方计算等高级密码算法和协议，还可以为区块链提供密文计算、密文检索和分布式密钥管理的能力，为区块链更多场景提供安全保护。2高性能密码资源池的设计目标通过对物联网领域、数据中心领域、云计算领域和区块链领域等行业现状的分析，各领域对高安全、高性能密码运算的需求日益迫切，同时，不同的应用场景也潜在体现了本行业对密码技术的特殊需求，而融合高效运算、调度灵活的密码资源池方案是有效应对未来业务安全调度的高效密码解决方案，通过对密码资源池产品的综合设计，产品需要满足如下目标。2.1高性能运算当前业务系统处理的数据容量设计已经达到PB级甚至EB级，业务处理要求达到几十万甚至上百万TPS，而为业务服务提供安全支撑的密码运算也必然提出高性能要求，才能最大限度的降低因附加的密码运算带来性能损耗，从而避免密码运算成为业务处理的性能瓶颈。密码资源池对高性能密码运算要求单节点具备非常突出的密码运算性能表现，同时为了满足云化资源的要求，密码运算节点支持池化管理、弹性扩容，经过密码运算池化处理后能够提供更为可观的密码支撑能力。2.2密钥安全性密钥安全是密码安全体系的核心，在密码资源池场景中，池化管理必然带来密码运算节点之间密钥的同步、迁移、销毁等敏感业务操作，通过一套安全高效的密钥管理机制，有效实现密钥的全生命周期管理，从密钥的种类、用途、属性、对象、等级等多个维度进行应用策略控制，借助硬件密码设备作为可信密钥流转锚点，从而建立以密钥为核心的高性能密码资源池密钥管理流转体系，充分保证密钥的安全性。2.3节点虚拟化云计算等应用场景中主要采用资源虚拟化提供服务支撑，传统应用模式中单系统专用密码设备已经无法适用云中虚拟化的应用需求，所有的应用调用都必须采用网络调用的形式进行调用，而面对混合云等场景，需要保证不同的业务资源配备隔离专用的密码资源，密码资源的管理可以授权赋予给真正的业务用户，基于硬件级的虚拟化密码解决方案是密码资源池的可以提供的最安全的技术方案。2.4弹性计算弹性计算是密码资源池提供密码服务的一个典型特征，在业务高峰到来时可以快速扩充较多的计算资源应对业务高峰，当业务状态恢复平稳后，又可以动态灵活的回收多余的密码资源。密码资源池通过“人工+智能”的多维资源预警机制，有效识别资源使用阈值，设计多种灵活的密码运算资源节点调度算法，通过多级、分层的调度模式实现资源的弹性分配，最大限度的提升密码资源池中密码计算资源的利用率。2.5远程管理云计算服务中一般支持多租户能力，同时对租户提供密码资源，租户需要具备完整的密钥管理权，包括密钥的产生、分发、运算、更新以及销毁等，安全的远程密钥管理是密码资源池应用的基本要求，密码资源池对于分配给用户的特定密码计算资源，用户可实现独立自主全面管理，在用户远程管理过程中，提供多种用户身份识别手段，最大限度的提升密码资源池管理面的接入安全性，同时远程管理必将具备完备的操作审计机制，可以定期进行风险评估与安全预警。3高性能密码资源池关键技术为了充分满足高性能密码运算的安全需求，将密码资源作为基础管理单元，构造出更高性能的密码资源池是最佳的高性能密码应用模式，密码资源池应用结构如图1所示，通过将密码资源进行整合，配合服务层调度管理程序为应用层提供高性能的密码服务。图1密码资源池应用架构密码资源池在实现过程中的关键技术主要包括如下几点：3.1单节点高速密码实现通过对称密码算法、非对称密码算法、密码杂凑算法的高性能实现研究，优化大整数运算、多项式计算等算法，设计多核协同并行、多级流水线、脉动阵列等硬件模块，形成高性能密码运算IP核，通过对运算调度的进一步的优化和调整，进而在单台密码设备中获得极高的密码运算性能，以高性能的单节点密码运算为基础构建的密码资源池通过横向扩展，集群扩充可以对外输出更为客观的密码运算，从而为数据中心、云计算等海量业务场景提供更为可靠的密码支撑保障。3.2硬件虚拟化硬件虚拟化是实现密码资源池的关键核心技术，通过虚拟化技术可实现密码设备资源的虚拟化和虚拟节点池化管理。芯片、密码卡作为众多密码设备的核心基础密码部件，支持硬件虚拟化能力可以自下而上提供云中全链路的硬件级密钥保护，基于硬件隔离的密钥保护可以有效服务于桌面虚拟化，服务器虚拟化等应用场景，保证各个虚拟业务单元独享安全密码服务，以SR-IOV硬件虚拟化技术为代表的虚拟化技术实现能够提供最高安全等级的虚拟化密钥保护。3.3安全密钥管理根据业务复杂多样，不同的安全需求，密码资源池需要提供多种不同安全等级的密钥安全保护机制。密钥管理采用三级密钥安全模型，密钥的安全性由密码卡提供硬件保护，通过配合内置的密钥管理服务，共同提供密码资源池中各应用系统的密钥管理，在统一的安全认证授权策略的情况下，密钥的迁移、备份、恢复等都可以得到有效的安全保证，同时提供多种密钥备份恢复机制，可有效应对各种迁移、灾备等复杂的密钥应用场景。3.4资源池化弹性调度对密码资源池中的资源进行池化管理，池化后的资源可以弹性伸缩、按需分配，独立部署为密码计算单元（应用系统虚拟服务器）、密码计算单元集群（应用系统虚拟服务器集群）。密码计算实体由密码资源池管理平台对其进行申请、审批、创建、分配、监控、回收等全生命周期的管理，通过“人工+智能”的自动化弹性策略，有效设定资源使用阈值，灵活预警、自动扩充，可实现计算单元实体的自动漂移，横向扩展的自动化调度控制，充分保证密码资源对业务资源的支撑能力。3.5密码服务高可用性密码资源池中各特定的密钥产品通过虚拟化节点对外提供服务，在虚拟化层形成计算资源池和密码资源池，为业务系统的虚拟机提供不同的服务质量和能力，包括高可用（HighAvailability）、容错（FaultTolerant）、在线迁移（LiveMigration/vMotion）、资源动态负载均衡（DistributedResourceScheduler）等特性。3.6远程管理密码资源池的运维管理可根据实际需要与服务商分配运维责任，并且用户对密钥的运维管理只能远程进行。通常情况下，密码硬件基础设施和基础网络的运维管理由云密码服务商或云计算服务提供商提供，用户更关注密钥管理、安全策略配置及安全审计等方面的运维管理，密码资源池的远程管理需使用PKI或其他身份认证技术、SSL/TLS安全通信技术等保证远程管理的安全性。3.7访问控制密码资源池不同于传统的密码设备单一、可控的安全部署模式，其灵活性、远程性、迁移性都会带来更高的风险。访问控制作为密码资源池提供的密码服务中接入服务的关键一环，应结合多种认证模式基于角色、服务、身份对云密码服务进行访问授权控制，对于不同的业务服务模式，采取最合适的访问控制机制，同时，借助多种安全访问控制机制，为云中密码服务的全链审计提供有效的技术支撑。3.8自定义密码服务应用密码资源池通过提炼抽象的标准密码服务模板，模板中提供安全的密码服务支撑能力，同时，还提供了密码资源池配套的池化管理能力，如网络配置、VLAN配置、日志管理、密钥管理、认证授权、集群管理、负载均衡等，用户可将自己的