在新基建的大背景下，随着网络安全与密码技术的不断演进，融合密码技术的网络安全体系框架逐渐成为网络安全建设的新趋势。
在 2020 国家网络安全周举行之际，记者有幸在现场采访到了中国电科集团网络安全领域首席专家、中国网安副总工程师、卫士通总工程师董贵山。就密码在新基建中的应用、服务等问题，董贵山谈了他的看法。
记者：2020年4月20日国家发改委相关负责人首次明确新型基础设施的范围，请问新型基础设施具体包括哪些内容，又有哪些特性？ 董贵山：新型基础设施主要包括三个方面内容：一是信息基础设施。主要是指基于新一代信息技术演化生成的基础设施，比如，以5G、物联网、工业互联网、卫星互联网为代表的通信网络基础设施，以人工智能、云计算、区块链为代表的新技术基础设施，以数据中心、智能计算中心为代表的算力基础设施等；二是融合基础设施。主要是指深度应用互联网、大数据、人工智能等技术，支撑传统基础设施转型升级，进而形成的融合基础设施，比如，智能交通基础设施、智慧能源基础设施等；三是创新基础设施。主要是指支撑科学研究、技术开发、产品研制的具有公益属性的基础设施，比如，重大科技基础设施、科教基础设施、产业技术创新基础设施等。 从以上三个方面的分类来看，新型基础设施是未来引领数字经济发展的关键载体和支柱，覆盖了网络通信、信息计算、新兴技术领域、行业性融合平台以及科研支撑平台，将成为数字中国在网络空间“数字孪生”的沃土和通路。网络安全作为新基建、数字经济发展的基石， 也受到了广泛的关注与重视。 新型基础设施具备基础平台支撑、海量数据汇聚、广泛实体接入、泛在服务交付四大特性。“基础平台支撑”体现了新型基础设施的总体定位，不管是信息基础设施、融合基础设施还是创新基础设施，都具有显著的基础性和平台性，是网络通信、信息服务和科研创新的基础支撑；“海量数据汇聚”“广泛实体接入”体现了新型基础设施的平台价值，信息基础设施和融合基础设施汇聚了海量的通信数据、行业数据和科研数据，提供网络互联平台，为广泛的网络实体提供网络接入和服务功能；“泛在服务交付”体现了新型基础设施的交付模式，不管是传统基础设施还是信息基础设施，均是采用服务化的价值交付模式，结合互联网泛在接入、网络互联的特点，新型基础设施能够为广泛的网络实体提供泛在化的服务覆盖，最大化平台价值。这四大特性无一不代表着巨大的数据价值和平台价值，对网络攻击者具有极高的诱惑力，存在极大的安全风险。 记者：密码技术在新基建中扮演什么样的角色？ 董贵山：“网络安全与信息化是一体之两翼，驱动之双轮”。安全是发展的保障，发展是安全的目的，网络安全和信息化建设互相依存、协调共生。新型基础设施建设是“云大物移智”的有机聚合和结构化升级，网络安全风险也覆盖了信息服务平台、IoT设备、PC端、移动端，这些承载着新基建业务、数据和服务的载体正在时刻接受海量网络攻击的考验，如何全面保障新型基础设施安全也受到了业界的广泛关注。新型基础设施作为国家级的网络信息服务平台、行业融合支撑平台和科研平台，应参考关键信息基础设施的相关要求进行安全防护设计和建设工作，同时针对新基建各领域特定场景进行定制化防护。传统的网络安全防护体系多具有通用性和普适性，无法细粒度的涵盖到特定场景和业务数据流转方面，而密码技术因其技术特点和防护理念能够深入到业务场景之中，与业务应用进行深入融合，像为士兵穿上“盔甲”一样，为防护对象提供“贴身防护”能力。 密码是保障网络和信息安全最有效、最可靠、最经济的关键核心技术，是网络安全的最后一道防线，能够为新基建的“基础平台支撑、海量数据汇聚、广泛实体接入、泛在服务交付” 四大特性提供针对性的防护。 （1）密码为“基础平台支撑”构筑完善的安全防护体系。 新型基础设施为国家信息化建设提供新一代的基础支撑平台，其平台价值极高，因此需要完善的安全防护能力。密码技术在网络安全防护体系中位居核心和基础地位，依靠密码技术和网络安全技术能够打造集感知安全、传输安全、存储安全、计算安全、处理安全、应用安全于一体的安全防护能力，构建以密码技术为核心、多种技术相互融合的新网络安全体系， 构筑新基建安全防护体系。 （2）密码为“海量数据汇聚”建立坚实的数据保护能力。 新型基础设施是基于多种功能、多种要素、多种技术的体系化集成，支撑着跨领域、跨平台和跨系统的数据交换和信息共享，提供海量数据分析，实现数据的互操作和流程协同。密码技术提供的数据加密存储、可信数据汇聚、安全数据共享、数据流转确权能够实现数据的全生命周期安全，并对敏感数据、个人隐私数据提供针对性的数据脱敏、数据加密和数据隐藏能力，将防护能力深入到业务流转之中。 （3）密码为“广泛实体接入”提供安全的鉴别防护机制。 新型基础设施的部分重点领域如铁路、公路、电网、通信、管网等，为规模化的网络实体接入建设网络互联平台，实现实体的广泛接入和互联通信。网络互联平台的安全稳定运行成为了新型基础设施建设实现价值的前提。基于密码技术为网络实体建立安全的数据执行和存储环境，基于密码技术建立平台侧与网络实体之间的可信鉴别和安全传输机制，两者结合构建从终端侧到平台侧的安全接入环境，有效的保护平台外延的网络实体安全，保障新型基础设施的网络实体安全和边界接入安全。 （4）密码为“泛在服务交付”构建泛在的密码服务能力。 从新型基础设施的建设领域如智慧城市、物联网、车联网、充电桩可以看出，核心价值是为数字经济广大领域提供泛在化的服务，将基础能力提供给更多的企业、组织和个人去使用，拓展服务范围，让更多人享受数字经济发展的红利。泛在的服务能力一方面需要服务于各行业领域，密码技术需要依托各行业领域特性提供相适应的防护能力，另一方面需要延伸到海量的网络实体，这些网络实体是新型基础设施建设的价值延伸和受益主体，同时也会成为网络攻击的薄弱点和攻击点，成为攻击平台的跳板。为此，需要建立泛在化的密码保障机制， 为广大行业领域提供泛在的密码服务接入能力，为移动终端、PC端、IoT终端提供体系化的密码防护能力，有力的支持新基建泛在服务的安全稳定和可管可控。 新型基础设施建设一方面兼具关键信息基础设施的价值定位，另一方面融合新兴技术、新兴领域的业务特点，具有较高的复杂性和先进性。因此需要基于密码技术为新型基础设施设计建设完善的网络安全防护体系。 记者：密码法的发布对新基建的推动工作有哪些影响？ 董贵山：当前，密码的价值得到了广泛的重视，2020年1月1日，《中华人民共和国密码法》正式实施，2020年成为了“密码法元年”，密码法对密码进行明确的定义，密码是指采用特定变换的方法对信息进行加密保护、安全认证的技术、产品和服务。其中，商用密码用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。商用密码具备机密性、完整性、真实性和不可否认性四大防护特性，能够应对网络安全的数据泄露、数据篡改、身份仿冒和行为否认等风险。 商用密码是我国自主完善的技术体系，经过二十余年的发展和演进，提出了包含SM1、SM2、SM3、SM4、SM7、SM9和ZUC算法的一套完整自洽的商用密码算法体系，建立了覆盖密码算法、密码协议、密码功能接口、密码产品规格、密码应用要求和测评规范的一套完善的标准体系，形成了以密码芯片、密码板卡、密码整机和密码系统等传统产品为主，多种产品形态和应用模式并现的产品体系。 商用密码的建设受到了政策、法规、标准、规范的全面推动。以法规奠定密码法制基础，国家相继出台了网络安全法、密码法，加速数据安全法、个人信息保护法立法进程，旨在规范网络安全，以法理奠定密码的核心定位；以政策推动密码按需建设，国家在关键信息基础设施、政务信息化建设、信创产业等方面均以政策文件的方式明确了密码是网络安全和信息化建设的重要组成部分；以标准构建密码使用基线，网络安全等级保护标准体系的升级明确了密码在等保定级和合规防护方面的基本要求，密码行业标准体系的快速增补也在全面完善密码技术和产品的合规应用；以测评保障密码应用合规，参考网络安全等级保护的测评机制和测评要求，密码行业出台了密码应用安全性评估制度，以测评来明确密码应用的合规性、正确性和有效性，从而保障密码应用设计的完备性和密码产品在各个环节的正确有效使用。 新型基础设施建设同样需要密码技术的保障，无论是从合法合规角度还是消除安全风险角度来看，密码技术都是新型基础设施网络安全的最后一道防线。 从基础设施这个词汇来看，密码行业同样存在一个基础设施——公钥密码基础设施（Public Key Infrastructure，PKI），公钥密码基础设施是一个包括硬件、软件、人员、策略和规程的集合，用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等功能，目前已广泛应用于政务、金融、电力等构架关键信息基础设施领域，为其提供可信的密钥和证书管理，建立网络安全的可信根。 新型基础设施继承了传统基础设施建设的服务化特性，通过端到端的服务模式创造和交付价值，这一模式特性要求密码支撑能力能够提供相匹配的能力，PKI更倾向于传统的安全基础设施，提供基础通用的密码支撑能力，对新型基础设施建设的密码需求的匹配性不高。 新型基础设施的基础平台支撑要求密码支撑提供灵活弹性可伸缩的服务能力，海量数据汇聚要求密码支撑提供融合数据全生命周期的数据防护能力，广泛实体接入要求密码支撑提供平台化的通信保护和接入管控能力，泛在服务交付要求密码支撑提供服务化的密码交付能力，让新基建的受益者能够享受经过密码防护的安全新基建服务。这些能力都是传统的密码建设模式无法全面响应的。为此我们提供建设以密码服务平台为核心的新型密码管理与服务基础设施，应对新型基础设施泛在互联海量支撑的平台特性提供泛在化、平台化的密码服务能力和一窗式、多维度的密码管理能力。 记者：新基建场景中，您认为这种新的密码服务模式能够带来什么价值？ 董贵山：基于我上述提到的目标，卫士通提出了集密码服务与密码管理为一体的密码服务平台的理念模型。在该模型的服务侧，密码服务平台包括层次化密码服务、通用密码中间件和API网关，通过标准化集成能力集成优秀的密码系统和密码设备；通过资源虚拟化和微服务化设计对外提供覆盖基础密码服务、通用密码服务和安全应用服务的层次化密码服务能力；通过通用密码中间件封装层次化密码服务接口为应用提供一站式的密码集成能力；依托API 网关与管理侧协同实现对应用的接入认证和访问控制。在管理侧，密码服务平台通过密码设备与服务管理提供统一的访问入口和管理界面，支持租户、应用、设备、服务和订单的多维度管理，对使用情况进行信息统计和可视化展现，支撑外部的密码监管和安全运营；各类平台用户可以通过统一访问入口进行登录认证，完成各自的管理职责。 密码服务平台提出“密码可用、密码好用、密码能管、密码好管”的四大服务目标。在密码可用方面，通过密码虚拟化、层次化密码服务应对目前密码资源使用率低、密码技术使用不当、对新业务场景适应性不强的问题；在密码好用方面，通过通用密码中间件、标准化集成能力应对密码与应用对接困难、密码服务接口不一致以及已建密码资源难以利旧的问题；在密码能管方面，通过API网关、密码设备与服务管理应对业务应用情况不可控、密码使用情况不可见以及密码资源无法统一管理等问题；在密码好管方面，通过密码服务的使用计量和专业化技术团队应对密码整体态势无法获取、密码使用应急能力不足以及使用计量困难等问题。 针对新型基础设施的场景要求，密码服务平台在基础密码服务方面能够提供海量密钥和证书服务能力、适应物联网、车联网的多元化证书签发和管理能力以及覆盖全网的密码监管和管理能力；在通用密码服务方面能够提供联接人机物的异构统一身份认证服务能力、数据流转管控与追溯机制、物联网设备的统一标识管理能力、车联网平台的电子地图安全管控服务和车端密码支撑能力等针对性的密码服务能力。 记者：您认为应该从哪些方面推进新基建领域密码应用建设工作。 董贵山：新基建是数字中国发展的“新”阶段，密码服务是密码行业发展的“新”模式，两“新”碰撞，迸发新机，以新的密码服务模式保障新基建的“内生安全”。因此为保障密码在新基建中发挥更好的安全支撑作用，需从多个角度推进新基建领域密码应用建设工作。 一是通过政策推动、业务驱动等推进密码在新基建领域的广泛部署，立足密码作为网络安全的“内置基因”定位，实现新基建的“内生安全”，推动密码在新基建的建设和示范，形成新基建各典型领域密码应用最佳实践。 二是从项目建设、场景需求中提炼业务场景和技术需求，开展密码技术突破和产品研制，从而能够实现密码技术与新基建各领域的深度融合，以密码服务支撑基础设施对外安全服务。三是落实国家网络安全等级保护相关要求和密码应用建设的相关要求，在新型基础设施建设过程中要同步规划、同步建设、同步运行密码保障系统并定期进行评估。在规划过程中，要立足新型基础设施安全要求，站在整体角度设计密码应用方案，在建设过程中，把密码服务融入到整体架构中，新型基础设施需与密码保障体系同步运行，并通过定期安全评估、密码应用安全性评估等手段，持续保持密码应用的有效性和安全性。
