經歷了傳統互聯網、移動互聯網和物聯網的幾次科技浪潮后，密碼學或者說密碼技術已經走入人們生活的方方面面。當今人們每日需要傳送大量的信息，但敏感信息以明文形式在網絡上傳輸隱患很大，密碼技術作為網絡安全的基石，通過加密、認證等手段完成對信息的安全傳輸。
三未信安副總經理高志權
就像剛剛度過的“618”購物節，除了各大電商推出的誘人低價以外，更值得關注的是區塊鏈技術正在被逐漸應用于商品安全溯源中，覆蓋了生鮮、食品、母嬰等眾多品類場景。而區塊鏈技術作為一種底層技術，大量依賴于密碼學和安全技術的研究成果。此外，網銀的U盾、Web頁面的HTTPS協議和基礎通信系統等都要依靠密碼技術支持，可以說如果沒有現代密碼學和信息安全的研究成果，人類社會也許無法進入信息時代。
近年來我國的信息化進程不斷加快，網絡安全問題日益凸顯，網絡安全即國家安全，由于密碼技術能保證信息的機密性、真實性、完整性和行為的不可否認性，使其在網絡安全中發揮著重要的基礎支撐作用，并直接關系到網絡的安全性，對于我國密碼技術的發展也提出了更高的要求。密碼技術既是維護國家網絡空間安全的需要，同樣也是為了更好的保護和改善民生。
然而人們對密碼技術卻知之甚少，大致的原因有兩個，其一是漢語環境中密碼一詞存在一詞多義的翻譯，沒有明確區分出Cryptography(密碼學)和Password(口令)這兩個詞，造成了人們對于密碼的理解只是停留在表層密碼(口令)上，如“admin、222222、12345678”;其二密碼學相對壁壘較高，相應的人才本就不多，普及的力度薄弱。
作為商用密碼行業的聚焦者，三未信安擁有領先的密碼相關技術，專注于為客戶提供整套的密碼安全產品和多種類應用場景的解決方案。三未信安副總經理高志權表示，密碼技術已經成為一種普適性的技術，隨著它的應用越來越廣，勢必對社會發展產生巨大影響。
政策助力商用密碼技術發展
隨著密碼技術在網絡安全領域的應用逐漸加深，為了更明確密碼技術的分類管理，2017年國家密碼管理局起草的《中華人民共和國密碼法(草案征求意見稿)》中明確指出國家將密碼分為核心密碼、普通密碼、商用密碼，實行分類管理，并提出了密碼分類保護要求：核心密碼、普通密碼可以用于保護國家秘密信息，商用密碼用于保護不屬于國家秘密的信息。
我國密碼使用歷史悠久，實踐經驗豐富，但在民用領域，密碼應用歷史較短。隨著20世紀90年代網絡化的概念不斷擴散，金融、證券等行業面臨的信息安全問題逐漸增多，使用商用密碼技術保護非國家秘密信息的需求越來越強烈。
在1996年時，中央辦公廳印發的《關于發展商用密碼和加強對商用密碼管理工作的通知》，就確立了商用密碼發展和管理方針，1999年由國務院頒布施行《商用密碼管理條例》，則對商用密碼的研制、生產、使用等環節提出了更明確的規定。
高志權表示，我國的商用密碼起步晚于歐美等發達國家，但我國商用密碼事業發展迅速，從無到有經過20多年的發展，已經在網絡安全中也發揮著舉足輕重的作用。
法律層面，《中華人民共和國密碼法(草案征求意見稿)》中明確規定了關鍵信息基礎設施應當依照法律、法規和密碼相關國家標準的強制性要求使用密碼進行保護，同步規劃、同步建設、同步運行密碼保障系統。《中華人民共和國網絡安全法》強調了關鍵信息基礎設施安全，維護網絡數據的完整性、保密性和可用性，并且對網絡運營者應該履行的用戶信息保護義務提出了明確要求。在《數據安全管理辦法(征求意見稿)》中提到了網絡運營者應當參照國家有關標準，采用數據分類、備份、加密等措施加強對個人信息和重要數據保護。
在政策層面，高志權表示，目前各個行業中政策多是依賴于《商用密碼管理條例》，另外在《網絡安全等級保護條例(征求意見稿)》中也專門提到了非涉密網絡應當按照國家密碼管理法律法規和標準的要求，使用密碼技術、產品和服務。近年來，密碼行業在金融、電信、交通、鐵路、民航、電力、政務外網等重點領域推進國產密碼應用。這一系列政策將推動企業用戶采用密碼技術保護信息化系統，在關鍵信息基礎設施等重要領域，加速部署密碼產品，構建有效的數據安全防線。
打牢技術基礎 為下游廠商提供更好的服務
有了政策的支持，當然技術進步還是要靠密碼企業自身的創新和耕耘。在整個商用密碼產業鏈中，上下游產品包含芯片、板卡和整機設備等，PCI-e接口的密碼卡作為商用密碼產業鏈中上游的產品之一，它的先進與否直接牽動產業鏈中各個層面的企業，因此商用密碼技術的推進必然要從密碼卡入手，而三未信安的密碼卡產品正是基于此推出的產品，即打造底層產品，“造福”下游廠商。
在這一理念下，三未信安依靠在密碼卡領域積累多年的技術儲備，在今年4月，三未信安的密碼卡通過了密碼模塊安全三級的密碼檢測和專家安全性審查，拿到了國內首張達到安全三級要求的密碼模塊型號證書：SJK1926 PCI-E密碼卡。
三未信安認為，從產業的角度出發研制產品固然重要，但構建符合自身國情的標準體系顯得更為重要。通過更為深入地理解下游廠商的實際需求，三未信安選擇了更為嚴苛的安全標準，打造足夠安全的密碼模塊產品。剛剛提到的密碼模塊安全三級技術要求，依據的就是GM/T 0028-2014《密碼模塊安全技術要求》，該標準共有四級，從第一級到第四級安全性依次遞增。高志權表示，只有有了更安全的密碼模塊，才能做出更高安全的整機產品，作為國內主要的密碼模塊供應商，密碼卡達到安全三級要求，是三未信安義不容辭的責任，這將為合作伙伴實現高安全等級的整機類密碼產品奠定基礎。
顯然，安全三級標準還未達到“頂峰”，但根據三未信安給出的資料顯示，從全球市場來看，國外僅有百分之十幾的安全產品達到安全三級要求，國內目前除了SJK1926PCI-E密碼卡之外，達到三級要求的產品相對較少;達到安全四級要求的產品目前國內為零，國外也是鳳毛麟角。可以說，從目前實用性的方面來看，安全三級標準已經達到了相對較高的要求，要達到此要求是很困難的，不僅是因為GM/T 0028的要求高，在某些安全域中的要求甚至比FIPS 140-2 Level3還嚴格，而且無先例可循。
三未信安作為先行者，摸著石頭過河難度確實很大，不過相信未來，安全三級產品將會越來越豐富。高志權也明確地指出，未來密碼模塊的安全等級需要跟系統的安全等級相匹配，國內密碼安全體系尚處于推廣起步階段，目前與其配合的僅有GM/T 0054-2018《信息系統密碼應用基本要求》，該標準中規定等保三級/四級信息系統，宜采用/應基于符合GM/T 0028的三級及以上密碼模塊或通過國家密碼管理部門核準的硬件密碼產品實現密碼運算和密鑰管理。國際上如WebTrust認證、PCI-DSS認證等，對密碼產品的安全等級要求寫的很清楚，鑒于此種情況，國內未來在電力、金融等行業標準也會逐漸的把對密碼模塊安全等級的要求補充進去，這將成為未來發展的趨勢。
從網絡安全防御的角度出發，商用密碼作為網絡安全的一種手段，與防火墻、防病毒、防入侵等被動防御手段不同，密碼技術是主動地對需要保護的信息進行加密，屬于一種主動的防御手段。只有標準更嚴，要求更高，網絡環境才能更安全。
云時代，商用密碼何去何從
不過在當前，根據法律法規要求，密碼技術的應用主要在重點領域進行保護，包括基礎信息網絡、交通系統、工控系統和社會服務系統等，而在更多新技術場景中，密碼技術尚未深入涉及，而這些技術正是滿足企業用戶創新的需求。
從2013年開始，移動互聯網、云計算、物聯網和大數據等迅速發展，傳統的IT架構發生了變化。高志權也認為，新環境的快速發展給密碼領域確實帶來了很大的挑戰，但同樣也是新機遇，軟件定義一切的時代讓通信數據的安全成了又一難題，云計算的興起催生出密碼技術新的應用場景。三未信安整合了各項資源和技術儲備，在2015年發布了云密碼機，基于密碼卡的硬件虛擬化技術及BYOK云密鑰管理技術，在云上構建密碼資源池服務，解決了把密碼的方案或工程部署到云中的問題。在云密碼資源池服務基礎上，再構建其他的密碼應用，如數字簽名、數據加解密。這就是三未信安云密碼資源池解決方案，可根據負載動態調整云密碼機的規模，實現密碼運算資源的動態調整和靈活調度，為用戶提供按需高效、彈性可擴展的密碼服務。
在數據保護方面，三未信安采取數據脫敏的方式保護數據安全，當企業用戶在比較開放的環境進行數據分析時，對隱私數據進行了密碼變換(脫敏處理)，這樣不僅提高了安全性，也給企業用戶處理數據帶來便利。此外，針對猖獗的數據倒買倒賣，三未信安還提供數據溯源的解決方案。
三未信安到今年成立了已經11年，技術領先是表象，研發團隊才是基礎，高志權表示，由于密碼行業的迅速發展，為了實現前沿技術上的領先，三未信安與眾多科研機構、高校的合作一直保持得比較密切。以此加快商用密碼的創新發展，扎實推進商用密碼技術的廣泛應用，為企業用戶、下游廠商提供更為系統、完善的商用密碼產品和服務。
[被采訪人簡介]
高志權，三未信安副總經理、密標委應用組專家。2001年起從事于國產商用密碼的研究和開發工作，“密碼機”、“云密碼應用方案”等多次獲得“國家密碼科技進步三等獎”(省部級)，參與國家863計劃、發改委等重大課題或項目，在云密碼技術等方向有多項發明專利。在密碼應用方面有較多的經驗積累，牽頭或參與了多項密碼行業標準的制定工作，并成為密碼行業標準化技術委員會應用組的專家。
推薦閱讀
據英國科技新聞網站The Register報道稱，麗笙酒店集團(Radisson hotel Group，以下簡稱“麗笙”)已經于10月30日開始向參與其獎勵計劃的會員發出電子郵件，確>>>詳細閱讀
本文標題：三未信安率先通過密碼模塊安全三級檢測
地址：http://www.tjyalang.cn/jishu/dengbao/308553.html
網友點評
精彩導讀
科技快報
品牌展示