S J J1601云密码机技术白皮书V2.5北京三未信安科技发展有限公司2017年11月版权声明欢迎使用三未信安密码产品Copyright (c) 2017 sansec版权所有本文档由北京三未信安科技发展有限公司编写，仅用于用户和合作伙伴参阅。
本公司依中华人民共和国著作权法，享有及保留一切著作之专属权力，任何公司和个人未经北京三未信安科技发展有限公司事先书面同意，不得擅自使用、复制、修改、仿制、传播本文档的内容。
本文档的内容将做不定期性的变动，且不会另行通知。
更改的内容将不会补充到本文档，且会在发行新版本时予以更新。
本公司不做任何明示或默许担保，其中包括本文档的内容的适售性或符合特定使用目的的默许担保。
北京三未信安科技发展有限公司2017 年11 月目录版权声明 (1)1概述 (4)2产品特性 (5)2.1产品特点 (5)2.2产品优势 (5)3产品功能 (6)3.1产品架构 (6)3.2主要功能 (6)4技术参数 (8)4.1硬件指标 (8)4.2性能指标 (9)5依据标准 (10)6产品资质 (11)7典型应用 (11)7.1典型部署 (11)7.2云端数据保护应用 (13)7.3云端身份认证应用 (14)7.4云端金融应用 (15)7.5SSL通信加速及密钥保护应用 (16)附录A 公司简介 (17)附录B 联系方式 (18)北京总部 (18)上海分公司 (18)济南研发中心 (18)1概述随着云计算技术的普及与发展，越来越多的传统应用开始向云端迁移，借助云计算特有的高可靠性、高伸缩性，实现数据集中管理及高效的资源利用，可有效降低应用系统维护成本，为用户提供更优质的服务。
但是，云端迁移同样也带来许多问题，信息安全问题尤其突出。
当前，许多传统应用系统已通过集成密码机、签名服务器等硬件密码设备，为业务应用提供信息安全保障。
当这些传统的密码设备随着应用系统向云端迁移时，会产生一系列问题，这些问题有来自于应用提供商的，也有来自于云服务提供商的。
来自应用提供商的问题：●密码设备在云端托管，我的密钥是否安全？●我能否进行远程密钥管理？●远程管理是否安全？●能否像云应用扩容一样，方便的实现密码设备扩容？来自云服务提供商的问题：●能否减轻密码设备托管维护的工作量？●能否支持密码设备的远程密钥管理，并将管理权完全交给用户？●能否提供集中的设备管理与监控功能？●能否将密码服务做成云服务模式？作为国内优秀的密码硬件方案提供商，北京三未信安科技发展有限公司为解决云环境下的密码产品应用问题，结合云计算和虚拟化技术，推出贴合需求的新型安全产品——SJJ1601云密码机。
它解决了传统密码机在云环境下部署的一系列问题，采用了密钥管理与设备管理分离的核心理念，实现了云应用环境下网络管理员仅维护设备，用户自行管理密钥的工作模式。
SJJ1601云密码机通过密码机集群与虚拟化技术的结合扩充密码运算能力，将密码运算能力进行细粒度划分，并通过集中的密钥管理及配套的安全策略保护用户密钥整生命周期的安全。
SJJ1601云密码机可广泛应用于公有云、私有云、混合云、政务云、金融云等各种云环境，为应用提供商及云服务提供商提供管理安全、密钥安全、业务安全的云密码服务。
SJJ1601云密码机不仅可直接为云应用提供密码服务，还可为其他合作产品（如统一认证服务、云身份认证系统、云密钥管理系统、云密码服务平台、时间戳服务、电子签章服务等）提供基于硬件的虚拟密码模块。
2产品特性SJJ1601云密码机是针对云计算环境的特殊需求，设计开发的硬件密码产品。
主要实现在一台物理实体机上，提供多台虚拟密码机（VSM），每台虚拟密码机均可对主机应用层数据加/解密、消息来源正确性验证、密钥管理等，最大限度的发挥硬件资源性能，为云环境下的计算机网络系统提供安全保密数据通信服务，防止网上的各种欺诈行为发生。
2.1产品特点⏹密码机虚拟化：每台物理密码机可运行多个VSM虚拟密码机，每个VSM可对应用独立提供密码服务，并且各个VSM之间密钥完全隔离。
密码机的虚拟化增加了密码设备资源利用率，将密码服务进行了更细致的划分，可以为应用提供稳定、可靠的密码运算服务。
⏹安全的远程密钥管理：VSM密钥管理由用户自行操作，管理中心及VSM对用户身份采用基于数字证书的强认证机制，满足认证权限的用户才能进行对应的密钥管理操作，同时保证了用户之间管理的隔离。
⏹安全的业务调用：应用主机到VSM之间的业务调用采用加密通道，保护用户应用数据经过中间网络环节时的安全。
⏹贴合云应用环境部署需求：SJJ1601云密码机贴合当前虚拟化与云应用环境部署需求，解决了密钥管理与设备管理权限分离、用户之间管理隔离问题，具备完善的技术手段和安全机制保证用户密钥安全。
2.2产品优势⏹集中设备管理支持：由统一的管理中心进行设备集中管理和监控，管理员随时可掌握设备的工作状态。
与用户密钥管理权限分离，用户也可集中管理自身的密码设备密钥，保证用户密钥的安全性。
⏹多用户/应用支持：通过完善的审核控制和身份认证机制，支持多用户之间的设备及管理隔离，同时仍支持多应用调用。
⏹应用兼容性支持：SJJ1601云密码机支持JCE、PKCS#11、CSP、国密SDF和SAF等多种标准密码应用接口，可兼容传统服务器密码机、金融数据密码机及签名验证服务器产品应用接口，支持传统应用平滑迁移，满足传统应用迁入云环境后对密码服务的需求。
⏹用户密钥托管支持：通过与密钥管理系统对接，可支持安全的用户密钥托管，满足不同的应用需求。
⏹减少密码设备采购与管理成本：SJJ1601云密码机支持密码服务申请的方式为用户提供服务，用户仅需少量服务费用就可以使用VSM提供的各种密码服务；在大量设备需求及应用场景下，减少了设备集成与管理工作，降低了用户对密码设备的管理成本。
3产品功能3.1产品架构SJJ1601云密码机主要由密码机主机、USBKey、管理平台、代理程序及应用接口等组成。
其中密码机主机包括宿主机HSM和虚拟密码机VSM，USBKey是作为管理人员访问用的身份硬件设备，管理平台主要提供给管理人员对HSM和VSM进行管理操作，代理程序和应用接口则提供给应用来调用VSM的密钥存储及密码运算功能。
3.2主要功能3.2.1管理平台功能SJJ1601云密码机主要通过管理平台来进行设备和密钥管理。
管理平台主要管理功能如下：✧设备管理提供多种密码设备类型的集中安全管理。
支持密码设备的增删、启停、配置、分配、分组等操作。
支持密码设备的状态监控，保障业务的连续性。
支持开放设备管理协议和服务接入标准，满足对第三方密码设备的兼容。
✧密钥管理将各密码设备的密钥的产生、存储、更新、销毁等生命周期的各个环节进行集中安全管理，规划建立密钥与设备（组），密钥与业务的关系模型。
✧业务规划为用户提供业务管理视图，建立多用户的“业务—设备（组）—密钥”的关联体系，将密码运算抽象为服务的形式，规避底层设备及密钥访问的复杂性，并提供高效的按需服务和高可用性支撑。
可为用户的业务分析、安全分析积累海量业务数据。
✧安全管理将设备管理与业务管理分开，采用各级管理员基于角色的管理体系，各自具有不交叉的权限，提供证书加USBKey的双因素认证手段，并提供可追溯的审计记录。
提供用户远程管理密码设备的安全方式，提供远程管理的网络级访问控制和隔离，彻底规避运维管理的现场维护工作。
✧安全使用提供多平台，多语言的标准接口，支持配置SSL方式调用密码服务，提高安全可靠性。
同时，使业务系统与加密机不必直接关联，降低开发难度。
✧日志审计管理平台具备完善的日志审计功能，针对人员操作提供带签名的日志记录，方便审计管理。
审计管理员独立于其他人员权限，负责所有人员及设备的日志信息的审计工作。
3.2.2密码服务功能✧密钥生成：可以生成256位SM2密钥对和2048位RSA密钥对。
✧密钥存储：VSM内可存储对称密钥、SM2密钥对和RSA密钥对，并且私钥部分受系统保护密钥的加密保护。
✧数据加密和解密：支持SM1、SM4、SM7、AES、3DES算法的ECB/CBC/CTR/GCM等模式的数据加密和解密运算。
✧消息鉴别码的产生和验证：支持基于各种对称算法的MAC产生及验证。
✧数据摘要的产生和验证：支持SM3、SHA1、SHA256、SHA384、SHA512等杂凑算法。
✧数字签名的产生和验证：可以利用内部存储的RSA/SM2私钥或外部导入RSA/SM2私钥对请求数据进行数字签名或验证。
✧数字信封功能：支持基于RSA/SM2密码算法的数字信封功能，支持PKCS#7标准各种格式的数字信封封装和解封。
✧签名验证格式：支持PKCS#1、PKCS#7、XML等格式的数据签名、签名验证功能，支持文件签名验证功能。
✧证书验证方式：支持CA、CRL、OCSP等方式证书有效性验证。
✧物理随机数的产生：采用由国家密码管理局批准使用的物理噪声源发生器芯片生成随机数。
✧密钥备份及恢复：支持基于主密钥保护下的密钥的备份和恢复功能，保证了安全应用系统的安全性和可靠性✧可支持ATM、POS及银行的其他用途。
✧可支持ANSI和ISO安全标准。
✧可支持PIN的转发和校验。
✧可支持交易完整性校验TAC。
✧可支持SM1/SM4算法与国际金融密码算法的转换。
✧可支持IC卡密钥管理及发卡系统。
✧可支持更换本地主密钥时密文数据的转换功能。
✧可兼容国际信用卡安全应用标准。
✧可支持多种填充标准，如PKCS1，ANSIX9.31，EMV2000等数据填充模式。
4技术参数4.1硬件指标物理特性规格2U液晶屏有外形尺寸（宽x深x高）520x440x 89mm重量14Kg电气特性工作电源220V，50Hz，350W冗余电源功耗280W网络接口RJ-45 10/100/1000Mb x2;光纤网口10Gb*2(可选)工作协议TCP/IP读卡器符合ISO/IEC7816-3协议MTBF大于50000小时环境参数工作温度10℃-50℃非凝结的工作湿度5%-85%存储温度0℃-60℃非凝结的存储湿度5%-95% 4.2性能指标虚拟密码机（VSM）数Y1型32SM2算法性能256位SM2密钥对生成500对/秒256位SM2签名速度1600次/秒256位SM2验证速度1300次/秒256位SM2加密速度350次/秒256位SM2解密速度400次/秒RSA算法性能1024位RSA密钥对生成4对/秒1024位RSA签名速度350次/秒1024位RSA 验证速度1600次/秒2048位RSA密钥对生成1对/秒2048位RSA签名速度80次/秒2048位RSA验证速度800次/秒杂凑算法性能SM3100Mbps 对称算法性能SM1（包长度：16K Byte）8 Mbps SM4（包长度：16K Byte）25 MbpsAES（包长度：16K Byte）25 Mbps 3DES（包长度：16K Byte）12 MbpsSM4 (不同包长度)16 Byte5600Tps 32 Byte5600Tps 256 Byte5600Tps 1024 Byte5600Tps 2048 Byte4800Tps 4096 Byte4000Tps注：以上性能指标的测试环境：1）测试主机：CPU：E5-2670 v3，内存：32G，系统：OpenSuse13.2 64位，测试线程为30个并发。