密钥—数字经济时代秘密的精华

随着大数据、物联网、云计算、人工智能等技术驱动的新一轮科技革命和产业变革的深入发展，数字化转型已是大势所趋，数字经济成为继农业经济、工业经济之后的主要经济形态。数字经济时代呼唤安全创新。密码是国之重器，是数字技术发展的安全基因，是保障网络与数据安全的核心技术，也是推动我国数字经济高质量发展、构建网络强国的基础支撑。

1.密钥是密码安全性的根基

(1)关于密钥

谈到密钥，自然离不开密码。那么什么是密码？密码和密钥是什么关系呢？我们从下面几个问题中去寻找答案。

第一，密码是什么？

密码是一种用来混淆的技术。它可以将正常的（可识别的）信息转变为无法识别的信息，但这种无法识别的信息是可以再加工并恢复的。密码主要用来保护我们的秘密，这里的秘密可以是个人隐私数据、企业商业秘密，甚至是国家秘密信息。未加工的秘密我们称之为明文，明文是可以被直接识别的，任何人看见明文就可以知道我们的秘密；加工后的秘密我们称之为密文，密文是无法被直接识别的，即使被别人窃取也无法解读我们的秘密。

第二，密码的工作原理是什么？

密码通常分为加密和解密，即明文和密文的转换过程。加密，就是通过一系列方法或规则，使用密钥将明文隐藏起来变成密文的过程。解密，就是通过一系列方法或规则，使用密钥将密文恢复成明文的过程。其中提到的一系列方法或规则，我们称之为密码算法。一个典型的加解密流程如下图所示。

加解密过程示意图

第三，密钥有什么作用？

简单来讲，密钥就是一长串的数字，但是它却扮演着十分重要的角色。它就像保险柜的钥匙，我们把秘密锁在柜子里面，只有拿着“密钥”这把钥匙打开保险柜，才能看到里面的秘密。密钥的价值等同于秘密的价值，如果你的秘密值1000万，那么用来保护你秘密的密钥就值1000万。因为只要拿到“密钥”就可以随时打开保险柜访问和使用你的秘密了，所以密钥需要妥善保管。

第四，密钥有哪些类型？

密钥分为对称密钥和非对称密钥。

对称密钥，就是加密和解密使用同一个密钥。这要求密钥必须严格妥善保管，不能公开，传输时必须保证其安全性。因为密钥一旦泄露，加密信息将受到威胁。

使用对称密钥进行加解密过程示意图

非对称密钥，就是加密和解密使用的是不同的密钥。在数据加解密场景下，用于加密的密钥称为公钥，顾名思义它是可以被公开的，任何人都可以使用公钥进行加密。用于解密的密钥称为私钥，私钥是绝对不能公开的，只能由自己保管，不能让任何人知晓，因此又称作秘密密钥。公钥和私钥必须配对使用，由公钥进行加密的密文，必须使用与该公钥配对的私钥才能够解密。

使用非对称密钥进行加解密过程示意图

相反，由私钥加密的数据只能由其配对的公钥解密，非对称密钥的这个特点也使其应用于数字签名场景。

(2)密钥管理是信息安全的基础

从上面几个问题和答案，我们可以了解到，密钥是密码技术的钥匙。密钥这样一个很短的比特序列可以确保重要信息的机密性，还可以证明你的身份。奥古斯特·柯克霍夫在19世纪提出柯克霍夫原则：“即使密码系统的任何细节已为人悉知，只要密钥未泄漏，它也应是安全的”，后来，柯克霍夫原则成为现代密码学算法设计基本原则之一。

所以，密码体系的安全取决于密钥的安全，而不只是密码算法或密码设备的安全。现代密码体制通常要求加密算法是可以公开的，整个密码体系的安全性并不取决于对密码算法的保密或者是对加密设备的保护，即使密码算法被公开或者密码设备丢失，它们都不危及密码体系的安全性。但一旦密钥丢失或者泄露，非法用户将会有可能破坏数据的机密性、可用性和完整性。

由此可见，密钥管理是信息安全的基础。如何管理和保护好密钥，关系个人隐私保护、企业商业秘密甚至国家安全。

2.密钥管理必须合法合规

国家和密码行业一直以来都高度重视密码应用和密钥管理，陆续发布了一系列的标准规范指导密码应用和密钥管理工作。《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》（GM/T 0034-2014）、《证书认证密钥管理系统检测规范》（GM/T 0038-2014）、《信息安全技术 证书认证系统密码及其相关安全技术规范》（GB/T2018-25056），这些标准都对密钥管理的产品和技术应用提出了明确要求。

2019年，国家发布《中华人民共和国密码法》，将密码工作上升至依法管理的层面。

2021年，国家发布的《信息安全技术 信息系统密码应用基本要求》（GB/T 39786-2021）“密钥生存周期管理”章节明确要求：“密钥管理对于保证密钥全生存周期的安全性是至关重要的，可以保证密钥（除公钥外）不被非授权的访问、使用、泄露、修改和替换，可以保证公钥不被非授权的修改和替换。信息系统的应用和数据层面的密钥体系由业务系统根据密码应用需求在密码应用方案中明确，并在密码应用实施中落实。”同时，该标准对密钥管理的各个环节还提出了具体的要求：

密钥产生，需要在符合《信息安全技术密码模块安全要求》（GB/T 37092-2018）的密码产品中产生，产生的同时可在密码产品中记录密钥关联信息，包括密钥种类、长度、拥有者、使用起止时间等。

密钥分发，是密钥从一个密码产品传递到另一个密码产品的过程，分发时要抗截取、篡改、假冒等攻击，保证密钥的机密性、完整性以及分发者、接收者身份的真实性等。

密钥存储，密钥不以明文方式存储在密码产品外部是十分必要的，并须采取严格的安全防护措施，防止密钥被非授权访问和篡改。

密钥更新，密钥更新发生在密钥超过使用期限、已泄露或存在风险时，根据相应的更新策略进行更新。

密钥销毁，需要注意销毁过程的不可逆，即无法从销毁结果中恢复原密钥。

3.密钥管理现状及面临问题

密钥管理涉及密钥全生命周期的各个环节，随着商用密码逐渐普及，云计算、大数据、物联网等技术在企业、政务等领域的大规模应用，用户密钥管理也面临一系列的问题。

(1)密钥管理专业性强、管理难度大

密钥管理是一项专业性很强的工作，涉及密钥产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁各个环节，且每个环节都有比较严格的安全要求，用户在使用和管理密钥时往往存在较大的困难。

(2)密钥管理不合规现象普遍存在

密钥管理实际应用过程中，存在很多不合规的地方。如硬件密码设备的主密钥通过在线方式分发获取，容易造成主密钥泄露；密钥生成时采用软随机源；随机数熵值达不到密码安全要求；软密码模块的私钥未采用分割技术，完整私钥出现在通信链路或运行终端上，达不到安全等级要求等等。

(3)传统密钥管理难以满足新应用场景需求

在云计算、大数据和物联网等新应用场景下，密钥管理面临一系列挑战：应用数量不断扩大、数据量指数级增长、密钥种类和数量不断增加、密钥管理分散等。面对这些挑战，传统的密钥管理模式难以满足新应用场景下各类需求，如大规模化的密钥管理能力、复杂多样的密钥管理模式、云环境下的多租户密钥安全隔离等。

4.解决之道－－平台化密钥管理服务

安盟信息依托“安盟华御密码服务平台”，为用户提供集中统一的平台化密钥管理服务，帮助用户轻松创建和管理密钥，实现对密钥的全生命周期安全管控。

安盟信息密钥管理服务架构图

密钥全生命周期管理

支持对称密钥和非对称密钥的全生命周期管理，包含密钥生成、密钥分发、密钥更新、密钥归档、密钥恢复和密钥销毁。对称密钥支持的商用密码算法有：SM1(128bit)、SM4(128bit)，非对称密钥支持的商用密码算法有：SM2(256bit)。

密钥模板管理

支持密钥模板管理功能。用户可以按需定义各种密钥属性，形成密钥模板。系统根据密钥模板的属性快速创建密钥，自动进行密钥更新、销毁等操作。方便密钥整个生命周期的使用和管理，帮助用户准确高效地使用和管理密钥。

弹性规模化密钥管理

用户可根据应用对密钥数量的实际需求申请密钥管理服务，并可以在应用扩展时，动态弹性调整密钥管理服务的密钥数量，满足用户的密钥使用需求。系统支持千万级以上规模的密钥管理。

多租户密钥安全隔离

支持面向多个租户单位提供密钥管理服务。系统采用公司创新设计的“一种云计算环境下多用户密钥安全隔离方法及系统”等专利技术，从应用密钥管理系统、虚拟云服务器密码机、服务调度机制等多层次提供密钥隔离机制，并采用密钥容器隔离技术进行租户隔离，实现多租户场景下的密钥全生命周期安全防护。

密钥管理安全合规

密钥管理服务，采用通过商用密码检测中心认证的硬件密码设备，按照国家主管部门认可的密钥生成方法生成高质量随机数、对称密钥和非对称密钥，提供密钥存储保护机制，保证密钥生成及存储的安全合规性。

5.安盟华御密码服务平台，构筑安全合规密钥管理体系

安盟信息基于密码基因打造安全合规、统一管理、部署灵活、服务弹性可计量的密码服务平台，采用多模式资源集成技术，通过整合各种密码设备和系统、数据安全防护产品，打造服务化、场景化，易于行业快速对接集成的服务能力，对外向用户应用系统提供的密钥管理服务，可帮助用户实现对称密钥和非对称密钥的全生命周期管理，简化密钥管理操作，减少密钥管理的维护成本，满足云计算、大数据、物联网等新应用场景下的密钥数量弹性扩展、大规模密钥管理和多租户密钥安全隔离需求，帮助用户建立可管可控、便捷易用、安全合规的密钥管理体系。