新闻大数据云密码应用解决方案2023/4/19 19:51:31

万胜

随着大数据应用的发展，大数据所依托云平台上的基础设施安全、认证及授权、端到端传输安全、数据安全、密钥安全等面临很多的挑战。虽然数据中心的内部及边界安全防护区配置了一些策略路由器、堡垒机、防火墙、入侵检测等络防护设备，但这只是络访问管理层面的基本防护，中间环节缺少对身份认证、数据保护等可信的密码应用功能防护。渔翁信息的大数据云密码应用方案通过解决络体鉴别、通信加密、数据完整性、行为抗抵赖等问题，可以为大数据的络、应用、数据提供全方位的密码应用保障。因此，这就是选择渔翁的原因，不可否认其带来的积极影响。渔翁信息技术股份有限公司（简称：渔翁信息）成立于2007年，是国内知名的商用密码产品和解决方案提供商。公司致力于服务“信创产业”的国家战略，现为国家“信创工委会”密码应用组组长单位，是国产密码信创战略的重要推动者。

一大数据安全问题与需求分析

1)政策需求分析



1《关于印发促进大数据发展行动纲要的通知》需要加强对基于大数据的络安全问题和络安全技术的研究，建立和完善大数据安全保障体系。



2等保要求重点对大数据、云计算等进行全面防护要求，对于涉及到身份的真性、行为的抗抵赖、内容的机密性和完整性等安全风险，要求使用密码技术提供络安全的保护支持。



2)大数据业务安全风险分析



1数据传输风险分析



络是云服务器之间、服务端和客户端之间数据传输的纽带，是云安全的主要组成部分，在云安全环境下，其既面临传统安全威胁，又面临络边界模糊化、络攻击集中化等安全威胁。



络边界模糊化带来的威胁：在云安全环境中，虚拟化技术导致络边界正在逐渐模糊化，在虚拟络中，同一台物理设备上的虚拟机之间通信，与外部络不会发生数据交换，外部络可以在物理计算机内部完成。数据不会通过传统的边界保护设备，这将导致传统的边界保护设备对这部分数据失去作用。



恶意攻击带来的威胁：在云安全环境中，大量用户数据保存在云端，一旦攻击者通过户外的络节点进行外部攻击，获得数据控制权，将会对云上所有应用产生影响，所有敏感信息和数据面临被窃取、篡改、删除等安全威胁。



2数据存储风险分析



大数据应用系统的数据库普遍存储了各种业务数据、财务信息、用户信息等含有敏感信息的数据，大部分都是明文存储，而且开发人员、业务人员、运维人员都可能直接接触到数据本身，此外，拖库或恶意绕开访问静态数据文件，黑客只需还原或附加数据库即可直接浏览用户数据，这对大量敏感数据构成威胁。



3密钥使用及存储风险分析



在大数据安全践中，普遍采用K作为服务的安全认证方式，对于敏感数据，在大数据系统中建立了加密区域，并启用了密钥管理服务以进行加密存储，加密区的密钥则使用密钥文件存储于系统目录中，存在密钥文件损坏或丢失的风险，安全性不够，关键生命周期和策略法控制;加密区域中数据的加密和解密将影响系统性能，从而拖累数据分析的响应时间。密钥的使用及存储不符合等级保护及密码测评相关要求。



4客户端业务接入安全风险分析



大数据应用系统通常接入终端多种多样，既有传统PC终端，又有以手机主的移动终端，每个终端都面临许多安全威胁，例如系统漏洞，软件漏洞，病，特洛伊木马等等。如此多的终端融入云安全环境后，攻击者可以通过任意终端对其发起攻击，使其安全防护面临空前威胁。



5终端用户身份真性风险分析



大数据应用系统中的终端用户的身份也是多种多样，有内部办公人员、运维管理人员、社会公众等用户角色，其身份的真性如果仅仅依靠注册信息，那么用户及口令很容易别假冒或盗用。因此如果用户身份不能确保真，则会导致数据本身也可能夹杂伪造数据而成为主不可信数据。



6数据及行为可追溯



大数据应用系统在数据的访问及操作、业务流程的申办及审核过程中，如果未建立行为溯源机制，当数据发生非法露或恶性行为失控事件后，找不到该数据集的露、漏洞责任源，不利于敏感信息的保密。



因此所有敏感数据的访问用户及业务申办审批流程各环节均需要对个人的访问及申办审批行为负责，比较大限度避免核心数据通过内部密和非法篡改。



综上所述，不论是在大数据平台的服务端还是客户端，所有业务均面临由于密码应用缺失造成的安全风险，可以归纳总结为个方面的安全问题，即认证安全：客户端的身份真性、数据及行为可追溯;传输安全：客户端的接入安全、服务端的数据传输安全;存储安全：服务端的数据存储安全、密钥使用及存储安全。



二大数据云密码应用解决方案介绍

1)方案总体架构



渔翁大数据云密码应用解决方案主要依赖基础密码设备或系统提供的云密码服务，在两个数据中心分别部署相同的密码基础设施，现云密码应用双活模式。密码基础设施包括云服务器密码机、签验签服务器、IPSSSLVPN安全关、时间戳服务器等密码硬件设备，以及以密码硬件设备为基础的云密码资源池子系统、数字证书认证子系统、云密钥管理服务子系统、电子签章服务子系统、云加密传输存储服务等，这些密码基础设施通过定制化和标准化两类密码服务接口，为上层大数据平台自身及其承载的应用系统提供一站式的云密码应用支撑服务。











图(1)方案总体络架构图











图(2)大数据中心密码基础设施组成



2)关键技术介绍



1大数据云密码应用拓扑及介绍















图(3)云密码应用拓扑图



云密码应用中离不开密码基础设施的支撑，密码设备虚拟化是现云密码应用的关键技术之一，该项目中主要应用到的虚拟化密码设备是支持虚拟密码机的云服务器密码机。



云服务器密码机在云平台环境下，基于SR-IOV虚拟化技术，以络形式，可以为多个租户的应用系统提供密码服务。虚拟密码机是在云服务器密码机上，采用虚拟化技术创建出来的提供类同体密码机服务的密码服务例。



2云密码应用双活设计拓扑及描述















图(4)云密码应用双活设计拓扑图



为了满足两个数据中心的双活要求，密码基础设施也完成了双活模式的部署，该项目中关键核心技术就是密钥等重要数据的安全同步。



设备认证



密码基础设施采用设备认证机制，设备完成双向认证后，才可安全通讯。



安全传输



密钥等重要的数据通过国密SSL协议安全传输，并对传输数据进行签及完整性校验，确保数据安全同步。



瞬间迁移



密码基础设施如遇一侧发生故障，在客户感知的情况下进行的瞬间迁移，确保云密码应用的高可用性。



3大数据云密码应用所需相关产品



云服务器密码机



签验签服务器



数字证书服务子系统



云密钥管理服务子系统



电子签章服务子系统



IPSECVPN综合安全关



时间戳服务器



智能密码钥匙