張嵩　孫忠偉　李雪巖

摘要：油氣行業(yè)通過(guò)多年的建設(shè)已形成較為完整的信息化支撐，圍繞數(shù)據(jù)和應(yīng)用的安全防護(hù)已經(jīng)成為建設(shè)重點(diǎn)。借鑒中臺(tái)的基礎(chǔ)理念和架構(gòu)，把SM（商用密碼拼音縮寫(xiě)）系列算法的密碼安全服務(wù)用中臺(tái)思路進(jìn)行建設(shè)，利用平臺(tái)化手段發(fā)現(xiàn)、沉淀與復(fù)用SM系列算法的密碼服務(wù)能力，通過(guò)搭建一個(gè)服務(wù)平臺(tái)、建設(shè)一個(gè)基礎(chǔ)設(shè)施、形成一套密碼體系與機(jī)制，成為面向前臺(tái)提供可復(fù)用密碼能力的載體，打造共享共用、統(tǒng)一管理的密碼應(yīng)用云平臺(tái)。

關(guān)鍵詞：油氣行業(yè)；SM系列算法；中臺(tái)；云平臺(tái)

一、前言

沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全，沒(méi)有信息化就沒(méi)有現(xiàn)代化。網(wǎng)絡(luò)安全牽一發(fā)而動(dòng)全身，已成為信息時(shí)代國(guó)家安全的戰(zhàn)略基石。油氣行業(yè)是經(jīng)濟(jì)社會(huì)運(yùn)行的神經(jīng)中樞，其數(shù)字化平臺(tái)的安全防護(hù)直接影響著國(guó)家數(shù)字經(jīng)濟(jì)發(fā)展和網(wǎng)絡(luò)強(qiáng)國(guó)建設(shè)。油氣行業(yè)運(yùn)營(yíng)著大量關(guān)鍵信息基礎(chǔ)設(shè)施和重要信息系統(tǒng)，承載著大量國(guó)家重要數(shù)據(jù)，成為了攻擊者覬覦的目標(biāo)，數(shù)據(jù)安全威脅已經(jīng)成為關(guān)乎油氣行業(yè)命運(yùn)的關(guān)鍵業(yè)務(wù)風(fēng)險(xiǎn)。密碼技術(shù)作為網(wǎng)絡(luò)與信息安全保障的核心技術(shù)和基礎(chǔ)支撐，是解決數(shù)據(jù)安全問(wèn)題最有效、最可靠、最經(jīng)濟(jì)的手段。本文通過(guò)分析當(dāng)前油氣行業(yè)面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)和密碼技術(shù)應(yīng)用存在的挑戰(zhàn)，借鑒中臺(tái)的基礎(chǔ)理念和架構(gòu)，打造密碼應(yīng)用云平臺(tái)，實(shí)現(xiàn)云環(huán)境下的“密碼即服務(wù)”，進(jìn)一步探索商用密碼在油氣行業(yè)的創(chuàng)新應(yīng)用和落地實(shí)踐。

二、油氣行業(yè)數(shù)據(jù)亟待有效防護(hù)

油氣行業(yè)是國(guó)民經(jīng)濟(jì)的命脈，是國(guó)家的基礎(chǔ)和支柱行業(yè)，是社會(huì)運(yùn)行、人民生活的基礎(chǔ)和保障，關(guān)乎國(guó)計(jì)民生。油氣行業(yè)的關(guān)鍵信息基礎(chǔ)設(shè)施已成為網(wǎng)絡(luò)空間作戰(zhàn)重要目標(biāo)，是整個(gè)國(guó)家安全保障體系的重要環(huán)節(jié)。伴隨網(wǎng)絡(luò)攻擊國(guó)家化和組織化的趨勢(shì)日益明顯，油氣行業(yè)的網(wǎng)絡(luò)安全工作形勢(shì)錯(cuò)綜復(fù)雜，面臨更加嚴(yán)峻的安全挑戰(zhàn)。

近年來(lái)，油氣行業(yè)成為黑客攻擊的重災(zāi)區(qū)，數(shù)據(jù)泄漏事件頻發(fā)。2021年7月，全球最大石油生產(chǎn)商沙特阿美（Saudi Aramco）的1TB機(jī)密數(shù)據(jù)遭泄露，被黑客勒索要求其支付5000萬(wàn)美元贖金，這些機(jī)密數(shù)據(jù)時(shí)間跨度長(zhǎng)達(dá)27年，包括員工信息、項(xiàng)目規(guī)范和分析報(bào)告等敏感內(nèi)容[1]。2021年6月，美國(guó)最大的丙烷供應(yīng)商AmeriGas，在美國(guó)50個(gè)州服務(wù)超過(guò)200萬(wàn)客戶，自曝遭遇數(shù)據(jù)泄露威脅。

依據(jù)《信息安全技術(shù) 重要數(shù)據(jù)識(shí)別指南（征求意見(jiàn)稿）》[2]，考慮反映國(guó)家戰(zhàn)略儲(chǔ)備、反映重點(diǎn)目標(biāo)等因素，油氣行業(yè)涉及重要數(shù)據(jù)特征如表1所示。

油氣行業(yè)通過(guò)多年的建設(shè)和迭代已形成較為完整的業(yè)務(wù)層信息化支撐，網(wǎng)絡(luò)安全邊界防御建設(shè)也相對(duì)完備，圍繞數(shù)據(jù)和應(yīng)用的安全防護(hù)成為當(dāng)下建設(shè)重點(diǎn)。密碼技術(shù)基于安全底線思維，利用密碼在安全認(rèn)證和加密保護(hù)等方面的重要作用，能夠重構(gòu)數(shù)據(jù)和應(yīng)用安全防線，獲得網(wǎng)絡(luò)空間制網(wǎng)權(quán)。

三、油氣行業(yè)密碼應(yīng)用面臨挑戰(zhàn)

由于油氣行業(yè)信息化建設(shè)起步較早，部分早期建設(shè)的信息系統(tǒng)仍然采用安全強(qiáng)度較低、非受控的密碼技術(shù)和體系。通過(guò)對(duì)油氣行業(yè)信息化建設(shè)的深入分析，阻礙密碼全面應(yīng)用的挑戰(zhàn)，可以概括為四方面：

（1）從管理上，各信息系統(tǒng)采用密碼應(yīng)用安全強(qiáng)度參差不齊，采用的密碼技術(shù)也不相同，算法類(lèi)型、密鑰長(zhǎng)度、實(shí)現(xiàn)方式等方面差異較大，系統(tǒng)安全強(qiáng)度參差不齊。密鑰、算法及安全協(xié)議管理分散，更重要的是密鑰的產(chǎn)生、傳輸、存儲(chǔ)以及銷(xiāo)毀等沒(méi)有行業(yè)安全規(guī)范，存在安全隱患。

（2）從技術(shù)上，常規(guī)SM算法實(shí)現(xiàn)效率低，難以滿足業(yè)務(wù)高性能需求。硬件產(chǎn)品的實(shí)現(xiàn)雖然增強(qiáng)了相應(yīng)系統(tǒng)的安全性，但在云端、虛擬機(jī)端、移動(dòng)端等新場(chǎng)景中無(wú)法靈活部署硬件密碼產(chǎn)品，影響用戶體驗(yàn)。

（3）從運(yùn)維上，密碼設(shè)備及密碼系統(tǒng)運(yùn)維不方便。增加信息系統(tǒng)，就相應(yīng)增加密碼設(shè)備或部署密碼系統(tǒng)，而密碼設(shè)備及系統(tǒng)接口不統(tǒng)一，且與各自業(yè)務(wù)系統(tǒng)關(guān)聯(lián)性強(qiáng)，設(shè)備更換或升級(jí)復(fù)雜性高。

（4）從成本上，密碼計(jì)算資源相對(duì)分散，不能有效集中利用，導(dǎo)致密碼設(shè)備的計(jì)算資源浪費(fèi)，同時(shí)帶來(lái)信息化建設(shè)成本的增加。

四、油氣行業(yè)密碼應(yīng)用設(shè)計(jì)思想

借鑒中臺(tái)的基礎(chǔ)理念和架構(gòu)[3]，把密碼安全服務(wù)用中臺(tái)的思路進(jìn)行建設(shè)，利用平臺(tái)化手段發(fā)現(xiàn)、沉淀與復(fù)用密碼能力，成為面向前臺(tái)提供可復(fù)用密碼能力的載體，打造共享共用、統(tǒng)一管理的密碼應(yīng)用云平臺(tái)。

密碼應(yīng)用云平臺(tái)設(shè)計(jì)原則如下：一是解耦，抽象密碼服務(wù)后臺(tái)業(yè)務(wù)能力，減少應(yīng)用系統(tǒng)與硬件的耦合度和綁定關(guān)系；二是分層，從底層硬件、中層驅(qū)動(dòng)和硬件運(yùn)算、上層應(yīng)用接口都進(jìn)行了清晰的層次劃分；三是統(tǒng)一，平臺(tái)整合應(yīng)用程序接口，對(duì)外提供統(tǒng)一密碼服務(wù)接口；四是分域，根據(jù)不同的功能定位，對(duì)認(rèn)證類(lèi)、簽名、加密等不同密碼應(yīng)用類(lèi)別設(shè)計(jì)不同的接口與功能模塊。

秉承“以數(shù)據(jù)為中心”的新安全理念，在密碼應(yīng)用云平臺(tái)建設(shè)中，通過(guò)免開(kāi)發(fā)改造應(yīng)用或輕量級(jí)改造應(yīng)用的模式，將密碼與業(yè)務(wù)在技術(shù)上解耦，有效解決業(yè)務(wù)與密碼開(kāi)發(fā)對(duì)接不吻合等情況，封裝調(diào)用底層密碼硬件接口，實(shí)現(xiàn)信息系統(tǒng)靈活選擇不同廠商、不同型號(hào)的硬件密碼設(shè)備，從而能更好地適應(yīng)油氣業(yè)務(wù)對(duì)密碼技術(shù)的多樣化需求。

五、密碼應(yīng)用云平臺(tái)設(shè)計(jì)與實(shí)現(xiàn)

（一）密碼應(yīng)用云平臺(tái)總體架構(gòu)

通過(guò)密碼應(yīng)用云平臺(tái)，將各類(lèi)密碼資源和密碼服務(wù)應(yīng)用進(jìn)行有效的整合，并通過(guò)服務(wù)的方式面向油氣行業(yè)信息系統(tǒng)提供統(tǒng)一的、標(biāo)準(zhǔn)的、可監(jiān)控、可計(jì)量的綜合密碼服務(wù)。

云環(huán)境下的“密碼即服務(wù)”，通過(guò)建設(shè)密碼云平臺(tái)，可為業(yè)務(wù)應(yīng)用提供如下密碼支撐服務(wù)。

（1）IaaS服務(wù)：也稱(chēng)為密碼基礎(chǔ)設(shè)施層，密碼能力最終以密碼模塊、密碼機(jī)等形式提供，通過(guò)密碼設(shè)備完成密碼功能。

（2）PaaS服務(wù)：也稱(chēng)為密碼應(yīng)用支撐層，業(yè)務(wù)系統(tǒng)無(wú)需關(guān)注硬件和系統(tǒng)，只需通過(guò)開(kāi)放平臺(tái)即可使用密碼云所提供的密碼能力。如移動(dòng)終端連接密碼云完成所需的數(shù)字簽名，可以提供信息系統(tǒng)免改造的數(shù)據(jù)加解密能力。

（3）SaaS服務(wù)：也稱(chēng)為密碼應(yīng)用服務(wù)層，密碼云還支持各種密碼功能的業(yè)務(wù)化封裝，形成若干邏輯上獨(dú)立的業(yè)務(wù)單元，完整交付用戶。如電子合同服務(wù)，將電子合同所需的數(shù)字證書(shū)、數(shù)字簽名、時(shí)間戳等功能集成到電子合同簽署邏輯中。

（4）安全接入層：密碼云面向應(yīng)用系統(tǒng)提供統(tǒng)一的接口，屏蔽不同密碼產(chǎn)品和服務(wù)的差異性，并且負(fù)責(zé)應(yīng)用系統(tǒng)安全可信的接入密碼云平臺(tái)。

（5）應(yīng)用層：油氣行業(yè)的各類(lèi)各級(jí)應(yīng)用系統(tǒng)，應(yīng)用系統(tǒng)和密碼云平臺(tái)對(duì)接實(shí)現(xiàn)了統(tǒng)一化管理與維護(hù)。

（6）密碼應(yīng)用模塊：密碼云平臺(tái)提供軟件代理模塊（Agent），應(yīng)用系統(tǒng)直接安裝Agent實(shí)現(xiàn)應(yīng)用系統(tǒng)“零代碼”，通過(guò)應(yīng)用系統(tǒng)加載已開(kāi)發(fā)的密碼功能模塊，實(shí)現(xiàn)應(yīng)用系統(tǒng)“低代碼”。

（7）密鑰保護(hù)：密鑰的安全管理采用層次化的保護(hù)方法，密鑰管理分層管理機(jī)制將密鑰分為三層，即根密鑰、密鑰加密密鑰和工作密鑰，下層密鑰為上層密鑰提供加密保護(hù)。

（二）密碼應(yīng)用云平臺(tái)技術(shù)實(shí)現(xiàn)

對(duì)于密碼應(yīng)用云平臺(tái)，IaaS、PaaS、SaaS層的密碼服務(wù)分類(lèi)組裝，通過(guò)微服務(wù)架構(gòu)提供統(tǒng)一的服務(wù)支撐，密碼應(yīng)用云平臺(tái)的微服務(wù)架構(gòu)部署如圖1所示。

基于密碼應(yīng)用安全性評(píng)估要求的密碼應(yīng)用體系，密碼應(yīng)用云平臺(tái)涵蓋：密碼硬件資源池、密碼云平臺(tái)、運(yùn)維系統(tǒng)、運(yùn)營(yíng)系統(tǒng)及開(kāi)放管理平臺(tái)五個(gè)部分。

（1）密碼硬件資源池：主要提供密碼計(jì)算資源，由密碼計(jì)算能力的實(shí)體密碼設(shè)備組成的物理密碼資源池，密碼設(shè)備服務(wù)層以接口的方式為密碼服務(wù)層提供服務(wù)，同時(shí)進(jìn)行統(tǒng)一密碼資源調(diào)度和統(tǒng)一密鑰管理。

（2）密碼云平臺(tái)：由基礎(chǔ)密碼服務(wù)、擴(kuò)展密碼服務(wù)和定制密碼服務(wù)組成，基礎(chǔ)密碼服務(wù)提供簽名驗(yàn)簽服務(wù)、加解密服務(wù)、摘要運(yùn)算服務(wù)、密鑰管理服務(wù)。典型密碼服務(wù)提供網(wǎng)絡(luò)加密服務(wù)、移動(dòng)認(rèn)證服務(wù)、動(dòng)態(tài)密碼服務(wù)、電子印章服務(wù)等密碼服務(wù)。定制密碼服務(wù)提供虛擬密碼模塊、安全套件服務(wù)、數(shù)據(jù)治理服務(wù)、數(shù)據(jù)防泄漏服務(wù)等密碼服務(wù)。密碼服務(wù)層通過(guò)統(tǒng)一接入層為信息系統(tǒng)提供密碼服務(wù)，在統(tǒng)一接入層實(shí)現(xiàn)API管理、權(quán)限認(rèn)證、流量控制和數(shù)據(jù)統(tǒng)計(jì)等功能。

（3）運(yùn)維系統(tǒng)：主要包含服務(wù)注冊(cè)、監(jiān)控報(bào)警、統(tǒng)一日志、統(tǒng)一配置和統(tǒng)一調(diào)度。

（4）運(yùn)營(yíng)系統(tǒng)：由策略配置、應(yīng)用接入、密碼應(yīng)用情況統(tǒng)計(jì)、異常問(wèn)題監(jiān)管、安全態(tài)勢(shì)感知組成，實(shí)現(xiàn)對(duì)云平臺(tái)、租戶業(yè)務(wù)系統(tǒng)的應(yīng)用情況的統(tǒng)一監(jiān)管。

（5）開(kāi)放管理平臺(tái)：供用戶在線查看密碼應(yīng)用情況、在線接口調(diào)試等。

六、密碼應(yīng)用云平臺(tái)的應(yīng)用場(chǎng)景

油氣行業(yè)產(chǎn)業(yè)鏈涉獵眾多細(xì)分領(lǐng)域，包括勘探、開(kāi)發(fā)、煉油、化工、管道、儲(chǔ)備、銷(xiāo)售等，每個(gè)細(xì)分領(lǐng)域又包括業(yè)務(wù)管理信息系統(tǒng)和生產(chǎn)工業(yè)控制系統(tǒng)兩大類(lèi)別。通過(guò)密碼應(yīng)用云平臺(tái)及附屬密碼模塊為油氣行業(yè)賦能，實(shí)現(xiàn)其安全訪問(wèn)控制、機(jī)密性傳輸、數(shù)據(jù)完整性和機(jī)密性保障。

（一）密碼基礎(chǔ)設(shè)施層服務(wù)

密碼基礎(chǔ)設(shè)施層服務(wù)涵蓋所有傳統(tǒng)商用密碼機(jī)、密碼卡的功能，支持商用密碼算法，如SM系列算法，提供HTTP/HTTPS Restful（representational state transfer）接口以及標(biāo)準(zhǔn)SM系列算法接口。

（二）密碼應(yīng)用支撐層服務(wù)

密碼應(yīng)用支撐層通過(guò)云服務(wù)的體系，通過(guò)開(kāi)放服務(wù)的方式來(lái)接入，涵蓋了絕大多數(shù)的密碼及泛密碼服務(wù)。典型的密碼應(yīng)用支撐服務(wù)如下：

（1）證書(shū)服務(wù)：在線完成企業(yè)、個(gè)人的身份核驗(yàn)，并發(fā)放證書(shū)，證書(shū)既支持優(yōu)盾介質(zhì)證書(shū)，也支持移動(dòng)證書(shū)，在授權(quán)客戶鑒別用戶信息后，通過(guò)在線接口直接為用戶身份標(biāo)識(shí)。

（2）密鑰管理服務(wù)：為數(shù)字證書(shū)認(rèn)證系統(tǒng)提供密鑰管理，主要包括密鑰生成、派發(fā)、導(dǎo)入、導(dǎo)出、備份、恢復(fù)、更新、歸檔、銷(xiāo)毀、查詢等生命周期管理。

（3）簽名服務(wù)：用戶鑒證、發(fā)證和用證一體化服務(wù)，支持帶用戶管理和身份核驗(yàn)的協(xié)同簽名服務(wù)，支持移動(dòng)證書(shū)等各種簽名方式。

（4）數(shù)據(jù)加密服務(wù)：支持基于SM4分組密碼算法等提供對(duì)稱(chēng)加解密服務(wù)，提供在線的加解密服務(wù)及密鑰托管服務(wù)，可應(yīng)用在數(shù)據(jù)流轉(zhuǎn)的多個(gè)層次環(huán)節(jié)中，對(duì)數(shù)據(jù)進(jìn)行加密保護(hù)，有效保護(hù)結(jié)構(gòu)化與非結(jié)構(gòu)化數(shù)據(jù)。

（5）去標(biāo)識(shí)化服務(wù)：提供基于密碼技術(shù)的去標(biāo)識(shí)化技術(shù)能力服務(wù)，可保障業(yè)務(wù)數(shù)據(jù)在安全合規(guī)的前提下，能夠高效地共享流轉(zhuǎn)。

（6）身份認(rèn)證服務(wù)：支持基于SM2密碼算法等，通過(guò)PKI（Public Key Infrastructure）技術(shù)，以云服務(wù)的方式支持用戶的身份鑒別服務(wù)。

（三）密碼應(yīng)用服務(wù)層服務(wù)

密碼應(yīng)用服務(wù)是針對(duì)具體的業(yè)務(wù)場(chǎng)景開(kāi)發(fā)的一系列泛密碼業(yè)務(wù)，密碼應(yīng)用服務(wù)通過(guò)云服務(wù)的體系，提供解決共性需求的云服務(wù)，典型密碼應(yīng)用服務(wù)如下：

（1）電子合同：包括云認(rèn)證、云合同等核心產(chǎn)品，為用戶提供實(shí)名認(rèn)證、數(shù)字證書(shū)、電子合同簽署與管理等服務(wù)。

（2）電子印章服務(wù)：包括電子印章管理、應(yīng)用、備案等電子印章相關(guān)的功能，為信息系統(tǒng)和電子印章應(yīng)用子系統(tǒng)提供電子簽章支撐。

（3）電子證據(jù)：提供電子證據(jù)的存證及保全服務(wù)，使用 PKI 技術(shù)，對(duì)用戶的數(shù)據(jù)進(jìn)行保全和固化，支持哈希和原文保全，提供豐富的電子簽名報(bào)告、簽署證明、存證報(bào)告、保全報(bào)告、電子證據(jù)包等功能。

七、結(jié)語(yǔ)

油氣行業(yè)密碼應(yīng)用云平臺(tái)通過(guò)搭建一個(gè)服務(wù)平臺(tái)、建設(shè)一個(gè)基礎(chǔ)設(shè)施、形成一套密碼體系，解決了油氣行業(yè)安全認(rèn)證和加密保護(hù)存在的問(wèn)題，面向廣泛業(yè)務(wù)應(yīng)用，打造高效安全、兼顧實(shí)戰(zhàn)與合規(guī)的密碼防護(hù)體系。H

參考文獻(xiàn)

[1]黃培昭.沙特阿美被黑客勒索5000萬(wàn)美元[EB/OL].（2021-07-23）[2022-03-10].https：//finance.huanqiu.com/article/443J2H8qKWS

[2]全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì).信息安全技術(shù)重要數(shù)據(jù)識(shí)別指南（征求意見(jiàn)稿）[S].中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)，2021.

[3]鐘華.企業(yè)IT架構(gòu)轉(zhuǎn)型之道：阿里巴巴中臺(tái)戰(zhàn)略思想與架構(gòu)實(shí)戰(zhàn)[M].北京：機(jī)械工業(yè)出版社，2017.