ICS 35.040 CCS L80 15 内 蒙 古 自 治 区 地 方 标 准 DB15/T 2198—2021 大数据应用 云密码应用规范 Big data application ——Cloud cryptographic application specification 2021-05-25 发布 2021-06-25 实施 内蒙古自治区市场监督管理局 发 布 DB15/T 2198—2021 目 次 前言 ................................................................................. II 1 范围 ............................................................................... 1 2 规范性引用文件 ..................................................................... 1 3 术语和定义 ......................................................................... 1 4 云密码应用总体架构 ................................................................. 2 4.1 概述 ........................................................................... 2 4.2 云密码建设要求 ................................................................. 3 5 云密码资源池 ....................................................................... 4 5.1 5.2 5.3 5.4 5.5 5.6 6 概述 ........................................................................... 框架图 ......................................................................... 云密码管理平台 ................................................................. 云密码服务 ..................................................................... 云密码资源 ..................................................................... 基础设施 ....................................................................... 4 4 4 4 5 5 云密码服务接口规范 ................................................................. 5 6.1 概述 ........................................................................... 5 6.2 接口说明 ....................................................................... 6 附录 A（资料性） 云密码应用合规性参考表 ............................................... 7 附录 B（规范性） 接口规范 ............................................................. 9 参考文献 ............................................................................. 18 I DB15/T 2198—2021 前 言 本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件由内蒙古自治区大数据中心提出并归口。 本文件起草单位：内蒙古自治区大数据中心、杭州安恒信息技术股份有限公司、内蒙古工业大学网 络空间安全研究所、杭州弗兰科信息安全科技有限公司。 本文件主要起草人：孙卫、包瑞林、杨扬、吴卓群、王钢、林明峰、戚志军、袁国平。 II DB15/T 2198—2021 大数据应用 云密码应用规范 1 范围 本文件规定了云密码应用总体技术架构，规定了云密码资源池和云密码服务接口的技术要求。 本文件适用于指导云密码建设和云平台中的用户终端、网络与接入、云平台服务、云安全管理对云 密码的应用。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 7408 数据元和交换格式 信息交换 日期和时间表示法 GB/T 31167 信息安全技术 云计算服务安全指南 GM/T 0029 签名验签服务器技术规范 GM/T 0054 信息系统密码应用基本要求 GM/T 0062 密码产品随机数检测要求 3 术语和定义 下列术语和定义适用于本文件。 3.1 云密码 cloud cryptographic 一种将云计算技术与身份认证、授权访问、传输加密、存储加密等密码技术深度融合，实现密码服 务云化的密码功能呈现模式。 3.2 云密码服务 cloud cryptographic service 按照云计算技术架构的要求整合密码产品、密码使用策略、密码服务接口和服务流程，将密码系统 设计、部署、运维、管理、计费等组合成一种服务，来解决用户的密码应用需求。 3.3 云密码应用 cloud cryptographic application 通过使用云密码服务，实现密码功能的应用。 3.4 虚拟化 virtualization 1 DB15/T 2198—2021 一种资源管理技术，将计算机的各种实体资源（CPU、内存、磁盘空间、网络适配器等），予以抽 象、转换后呈现出来并可供分割、组合为一个或多个电脑配置环境。 3.5 数据退役 data retire 数据生命周期中的一个阶段，将被归档、转移、丢弃、销毁以及对存储介质的销毁处理后不再被使 用。 4 云密码应用总体架构 4.1 概述 云密码服务依托核心密码防护技术，借助云计算资源，对云计算平台提供密码支撑与应用设计能力。 从用户终端、网络与接入、云平台、云安全管理等角度，为云平台及云租户应用系统的安全可靠运行提 供全面高效的密码应用服务，保证云平台及上云系统符合国家法律法规、政策文件、标准规范的要求， 满足合规性、完整性和安全性要求。 云密码应用框架如图1所示，框架图分为上下两部分： ——上部分为云密码应用层，分为终端密码应用、网络与接入安全密码应用、云平台密码应用。 其中终端密码应用包含传统 PC 端、物联网终端、移动终端、安全浏览器、智能密码钥匙等中 涉及密码相关的应用；网络与接入安全密码应用包含了可信接入、访问控制、身份认证、 IPSecVPN 网关、SSLVPN 网关等网络通信与接入的密码相关应用；云平台密码应用包括云管理 平台与云应用平台，云应用平台涉及服务层与平台层，服务层中包含了云上托管业务密码应 用与云上数据，平台层中包含了资源、系统、存储等安全。以上终端密码应用、网络与接入 安全密码应用、云平台密码应用在使用密码服务时，均可通过调用密码资源池对外接口，为 身份认证、访问控制、授权管理、数据安全等信息安全功能提供基础和统一的密码支撑； ——下部分为密码资源池，基于云密码资源、密码基础设施，对外开放密码服务即接口，为云平 台及云租户提供统一的密码服务。 2 DB15/T 2198—2021 图1 云密码应用总体架构 4.2 云密码建设要求 4.2.1 环境安全 为确保云密码应用基础环境的安全，云密码服务在云端的建设应符合GB/T 31167的要求。 4.2.2 密码算法 云密码应用中凡涉及对称算法、非对称算法、杂凑算法时，需采用满足国家密码主管部门批准的算 法。 4.2.3 秘钥隔离 根据不同的安全需求,云密码资源池需提供多种不同安全等级的密钥隔离机制。针对高安全等级场 景，能够支持基于硬件虚拟化技术实现的密钥隔离，以保证各个虚拟业务单元独享安全密码服务。 4.2.4 访问控制 为保证云密码资源池提供的密码服务中接入应用的安全性，需结合多种认证模式，基于角色、服务、 身份对云密码服务进行访问授权控制。对于不同的业务服务模式，采取最合适的访问控制机制，同时， 借助访问控制机制，为云中密码服务的审计提供有效的技术支撑。 4.2.5 云密码测评 云密码应用在规划阶段、 建设阶段和运行阶段，需根据《商用密码应用安全性评估管理办法（试行）》 等相关要求，按照 GM/T 0054执行，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数 据安全四个层面采用密码技术措施，建立安全的密钥管理方案，采取有效的安全管理措施。云密码应用 通过云密码测评是项目验收的必要条件，云密码测评合规性参考表见附录A。 3 DB15/T 2198—2021 5 云密码资源池 5.1 概述 构建云密码资源池，对外提供统一的密码服务是当前实现密码云化的一种有效方式。云密码资源池 将虚拟化技术和云管理技术应用在密码设备集群，把密码设备集群组织成“密码设备云”，形成集成化 的云密码服务资源池。 云密码资源池为云中数据提供全生命周期的安全服务，需通过硬件虚拟化技术，为多个应用系统提 供高速、可靠、可扩展的密钥管理服务、随机数服务、签名与验签服务、身份认证服务和加解密服务， 有效地提高密码资源的利用率。同时，云密码服务自身应能确保可伸缩、动态、高效的运行，具备抗攻 击能力。 5.2 框架图 云密码资源池架构如图2所示，从上至下分为云密码管理平台、云密码服务、云计算密码资源和基 础设施。其中服务层包含云密码资源池的基础设施和虚拟化出的各