专题·商业秘密新时代| 商用密码改造在电信运营商运营领域的应用实践

邮寄代码 2-786

认购热线：

文字| 中国移动通信集团湖南有限公司 李祥宁、陈琳、梁坤

随着互联网技术的快速发展和数字经济的快速推进，全球数据量呈现指数级增长和海量积累。 电信运营商作为国内基础通信网络的提供商，其应用系统中流通着个人用户和政企客户的大量重要数据信息。 因此，在基础电信运营商的企业应用中，对结构化和非结构化数据中的海量敏感数据进行密码保护是网络安全和数据安全防护体系中不可或缺的技术手段。

1、操作员密码改造意义重大

《中华人民共和国密码法》重塑了中国特色新型商用密码管理制度，针对国内外日益严峻的网络安全形势，提出了创新的商用密码管理制度方案。 该密码法强调要加强商用密码应用的事中和事后管理，特别是关键信息基础设施的商用密码保护。 同时，面对数字经济的快速发展，这部法律也将推动商用密码产品管理的放权、监管、服务改革，进一步刺激商用密码产业的发展。

新修订的《商用密码管理规定》规定，“网络运营者应当按照国家网络安全等级保护制度的要求，使用商用密码保护网络安全”。 商用密码应用的安全评估也从“推荐”调整为“强制”。 为满足国家颁布的密码行业法律、政策、标准等，以实现密码自主可控、安全可靠为目标，推动国产化信息安全产品的开发和使用，努力建立完善密码产品体系和管理制度，促进信息安全。 产品和密码产品的国产替代，以及相关行业国产密码算法的改造。

作为国内最大的基础电信公司，中国移动高度重视网络安全和商用加密推广。 为落实国家相关政策，运用密码技术保障数据安全，中国移动近年来不断拓展商用密码应用场景，商用密码应用规模逐步扩大。 由于密码改革启动时间较短，目前还存在不少信息系统国密算法未能改革、未能使用合规密码产品、密码建设分散、使用范围受到严格限制等问题。业务扩展能力。 因此，有必要不断拓展和探索国密算法在运营商的应用场景。

2. 密码修改难点及解决方法

电信行业运营域承载的业务包括语音、数据、多媒体等，其承载的重要系统汇聚了大量的网络数据和敏感数据，如信令、告警、故障、网络资源等。商用密码的使用在身份认证、数据传输、数据存储、密钥管理等方面要求较高，特别是在不造成业务中断的情况下完成改造，以及改造后的高可用性方面都有较高的要求，实现密码变换具有重要意义。

本文以运营领域的漏洞管理系统和网络投诉管理系统两个业务系统为例，讲解相关转型实践经验。

（一）转型目标及难点分析

运营商漏洞管理系统主要为安全管理员提供资产漏洞管理； 网络投诉管理系统主要支持投诉预警预测、投诉预处理与拦截、投诉处理闭环、投诉智能分析与可视化的全流程管控。

此次改造的目标主要是基于商用密码技术，为漏洞管理系统和网络投诉管理系统数据库中的敏感数据文件提供动态加解密能力，并提供基于权限的解密范围服务； 同时，实现基于用户权限的数据访问安全机制，对系统敏感数据进行加密/脱敏，确保敏感数据不泄露。

按照GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》，密码变换包括物理与环境安全、网络与通信安全、设备与计算安全、应用与数据安全，以及相应的管理体系和运营、应急响应和其他要求。 其中应用和数据安全权重最高，也是密码改造的重点。

密码转换面临以下难点：一是基于合规算法的身份认证。 运营商一般采用4A系统为内部移动员工和第三方人员提供身份认证，以安全访问企业内部资产。 如何使用合规的密码算法和密码技术进行身份认证也是这次转型的难点之一。 其次，代码调整困难。 由于这两个业务系统已经上线运行，如果通过代码开发改造来增强和补充密码等安全能力，则需要对应用代码进行调整，将面临成本高、周期长、风险高等问题。 三是密文数据的模糊查询。 使用密码技术对敏感业务数据进行加密存储后，检索方式只能是完全匹配。 如果是模糊匹配，那就根本没有匹配。 数据加密后如何实现快速模糊查询也是该密码学应用中需要解决的一个难点。 第四是密码服务的高可用性。 运营商业务系统对服务连续性要求较高，密文数据需要经过密码基础设施和数据库透明加密组件来提供服务； 另外，在紧急情况下，还需要对数据库中的密文数据进行紧急解密。 因此，需要以适当的方式解决密码服务的高可用性问题。

（二）密码修改方案简要说明

为了解决上述改造困难，本计划主要进行以下技术创新。 第一个是基于密码技术的单点登录认证。 该方案采用SM2数字证书与4A系统、堡垒机等进行联动，通过权限和策略配置实现单点登录和对系统资源的细粒度授权访问。 二是整合多种解决方案，实现免改造技术应用。 所有SQL语句均通过数据库透明加密组件透明拦截，无需改变应用系统原有的运行机制，无需对应用进行修改。 通过密钥和策略管理中心灵活的策略管理，可以实现重要数据的灵活加密、解密和数据脱敏。 三是密文模糊查询。 插入数据时，将需要支持模糊查询的特征数据加密并分段存储； 查询时对条件进行加密并与特征数据的密文进行匹配，实现密文查询功能。 四是系统高可用技术。 高可用方面，采用分布式部署、系统高可用、应急刷库工具，保证加密功能的高可用和应急处理，实现业务系统的高可用。

基于上述改造思路，改造过程中，通过数据库加密、应用免修改、漏洞管理系统和网络投诉管理系统代码不修改等方式，对重要数据按照策略进行加密脱敏。 该方案的技术架构如图所示，主要包括密码基础设施、密钥与策略管理中心以及数据库透明加密组件。

技术结构示意图

各模块的功能如下： 一、密码基础设施作为整个解决方案技术架构的基础密码支撑，为整个解决方案提供密码机管理、密钥计算、密码操作、签名验证、加密组件接口管理和密码管理。整个密钥和策略管理中心。 机器集群管理服务。 其次，密钥和策略管理中心集中管理加密策略和密钥，可以通过可视化界面方便地设置策略。 它包含两个内部模块：数据库加密策略管理模块和密钥管理模块。 数据库加密策略管理模块提供可视化管理控制台，管理员可以设置加解密权限规则。 密钥管理模块实现多种密钥和算法的统一管理和安全认证。 第三，数据库透明加密组件部署在业务系统侧，负责数据库的透明加解密，无需修改应用系统。 四、支持的业务系统是指采用商用密码算法进行加密保护的业务系统。

该计划的关键技术包括：一是无代码加密改造。 在应用系统和数据库之间部署数据库透明加密组件。 业务系统只需将指向数据库的IP地址改为指向透明加密组件的IP地址，并对数据库字段进行简单调整即可实现数据库加密存储，无需对原有应用系统进行修改代码、数据加密可快速启动，短时间、低风险实现数据安全保护。 二是使用密集状态数据库。 加密数据存储可以保护数据的机密性，但也会影响数据的可用性。 该方案中，在查询密集数据库时，由系统发起查询，通过数据库透明加密组件对SQL语句进行解析、重写、加密、解密、执行。 三是密文模糊查询。 通过FPE（ ）算法对个人姓名、手机号码、身份证号码等特殊数据进行脱敏。 使用SM4-CMAC算法根据切分规则计算自定义模糊查询中切分后的内容数据，并将CMAC值存储在HASH字段中。 查询时，使用该字段进行匹配。 四是多种密码算法的融合与应用。 本项目改造采用SM2/SM3/SM4/SM9算法。 采用SM2算法进行密钥申请、密钥分发、安全合规； 采用SM3算法进行数据完整性保护，有效可靠； 采用SM4算法进行数据加密。 ，高速高效； SM9算法用于基于用户加密策略的分发和验证、外围导出密文数据时的密钥封装等场景，简单、快速。

三、规划效果及实施情况

基于国密算法和数据库透明加密方案，经过长期测试验证，可保证现有业务系统所有功能正常运行，为漏洞管理系统、网络投诉管理系统提供加密服务。 后期可以根据需要连接其他应用，提供数据安全能力。

（一）规划实施效果

透明加密。 支持漏洞管理系统和网络投诉管理系统，仅修改访问数据库的IP地址，无需修改任何代码。 插入记录后的敏感字段可以是密文数据，查询可以是明文数据。

按需加密。 支持漏洞管理系统，网络投诉管理系统可以根据实际需要选择对敏感字段进行加密，并且可以使用不同的加密算法和不同的密钥对不同的字段进行加密。 即使数据库文件被非法复制或存储文件丢失，真正的敏感数据也不会泄露。

战略视觉管理。 通过密钥和策略管理中心实现系统策略的统一可视化管理，通过可视化管理界面配置漏洞管理系统和网络投诉管理系统的敏感领域策略。

特殊字段的格式保持不变。 使用SM4-FPE算法进行现场加密后，仍保留原始格式。 数据长度/类型与明文相同，以实现数据加密/脱敏。 例如手机号码对外显示时仍然是11位，但看不到。 手机号码是多少？

密文可用。 支持漏洞管理系统、网络投诉管理系统中加密数据字段的精确匹配检索和模糊查询。

(2)密码申请实施步骤

为了保证线上业务系统的稳定性和可靠性，采用三阶段过渡方法。 在第一阶段，数据库中同时存在明文和密文。 查询时采用明文，保证业务系统的正常处理和密文的正确性。 第一阶段测试正确后，切换到第二阶段，同时仍会保存。 密文和明文，但查询时会解密密文； 经过第一阶段和第二阶段，即加解密运行正常，业务处理正常后，过渡到第三阶段，数据库中只会存在密文，查询时会解密密码。 艺术。

（本文发表于《中国信息安全》杂志2023年第7期）

《中国安全信息》杂志推荐

《企业成长计划》