GM/T 0104-2021 云服务器密码机技术规范

ICS35030

CCSL.80

中华人民共和国密码行业标准

GM/T0104—2021

云服务器密码机技术规范

Specificationsofcloudhostcryptographicserver

2021-10-18发布2022-05-01实施

国家密码管理局发布

GM/T0104—2021

目次

前言

…………………………Ⅲ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

缩略语

4……………………2

功能要求

5…………………2

设备形态

5.1……………2

设备管理

5.2……………3

密码运算

5.3……………4

日志审计

5.4……………4

设备自检

5.5……………5

设备使用

5.6……………5

虚拟化

5.7………………5

安全要求

6…………………6

密钥管理

6.1……………6

访问控制与身份鉴别

6.2………………8

随机数生成和检验

6.3…………………9

硬件安全

6.4……………9

软件安全

6.5……………9

虚拟机安全

6.6…………………………9

安全隔离

6.7……………9

安全漂移

6.8……………11

设备状态

6.9……………11

硬件要求

7…………………12

对外接口

7.1……………12

随机数发生器

7.2………………………12

环境适应性

7.3…………………………12

可靠性

7.4………………12

软件要求

8…………………12

基本要求

8.1……………12

管理工具

8.2……………12

接口规范

9…………………13

服务接口

9.1……………13

管理接口

9.2……………13

检测要求

10………………13

Ⅰ

GM/T0104—2021

检测说明

10.1…………………………13

外观和结构的检查

10.2………………13

提交文档的检查

10.3…………………13

功能检测

10.4…………………………13

性能检测

10.5…………………………15

环境适应性检测

10.6…………………17

合格判定

11………………17

附录资料性云服务器密码机服务接口消息语法

A()Web…………18

Ⅱ

GM/T0104—2021

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。。

本文件由密码行业标准化技术委员会提出并归口

。

本文件起草单位成都卫士通信息产业股份公司四川大学山东得安信息技术有限公司北京三未

:、、、

信安科技发展有限公司北京江南天安科技有限公司北京海泰方圆科技股份有限公司格尔软件股份

、、、

有限公司中国科学院数据与通信保护研究教育中心兴唐科技通信有限公司无锡江南信息安全工程

、、、

技术中心北京数字认证股份有限公司

、。

本文件主要起草人罗俊龚勋董贵山吴庆国张立廷李川宋飞马洪富高志权李国马晓艳

:、、、、、、、、、、、

柳晶蒋红宇郑强梁乐曹硕王伟徐明翼赵松

、、、、、、、。

Ⅲ

GM/T0104—2021

云服务器密码机技术规范

1范围

本文件定义了云服务器密码机的相关术语规定了云服务器密码机的总体结构功能要求硬件要

,、、

求软件要求安全性要求和检测要求等有关内容

、、。

本文件适用于云服务器密码机的研制使用也可用于指导云服务器密码机的检测

、,。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

计算机通用规范第部分服务器

GB/T9813.3—20173:

信息安全技术云计算服务安全能力要求

GB/T31168—2014

信息安全技术二元序列随机性检测规范

GB/T32915—2016

信息技术云计算虚拟机管理通用要求

GB/T35293—2017

信息安全技术密码设备应用接口规范

GB/T36322—2018

信息安全技术密码模块安全要求

GB/T37092—2018

信息安全技术技术规范

GB/T36968—2018IPSecVPN

信息安全技术传输层密码协议

GB/T38636—2020(TLCP)

信息安全技术密码模块安全检测要求

GB/T38625—2020

服务器密码机技术规范

GM/T0030—2014

密码产品随机数检测要求

GM/T0062—2018

云服务器密码机管理接口规范

GM/T0088—2020

密码术语

GM/Z4001

3术语和定义

界定的以及下列术语和定义适用于本文件

GM/Z4001。

31

.

云计算cloudcomputing

通过网络访问可扩展的灵活的物理或虚拟资源池并可按需自助获取和管理资源的模式

、,。

32

.

云服务器密码机cloud-hostedhardwaresecuritymoduleCHSM/cloudcryptographicserver

()

在云计算环境下采用虚拟化技术以网络形式为多个租户的应用系统提供密码服务的服务器密

,,,

码机

。

33

.

宿主机host

为虚拟密码机提供运行环境和硬件资源的物理设备同一台宿主机内的多个虚拟密码机共享该宿

,

1

GM/T0104—2021

主机内的密码运算资源和密钥存储资源

。

34

.

单根IO虚拟化singlerootI/OvirtualizationSRIOV

;

使单根端口下的单个物理设备可针对管理程序或客户机操作系统显示为多个单独的虚拟

PCIE

设备的一种规范

PCIE(VF)。

35

.

私钥访问控制码privatekeyaccesspassword

用于验证私钥使用权限的口令字

。

36

.

虚拟密码机virtualsecuritymoduleVSM

;

云服务器密码机上采用虚拟化技术创建出来的提供类同实体密码机服务的密码服务实例

,。

37

.

虚拟密码机数据影像VSMdataimage

包含虚拟密码机内与用户相关的配置密钥及敏感信息等虚拟密码机数据影像的安全性使用加

、。

密和签名机制进行保护

。

用于虚拟密码机的漂移过程

。

38

.

虚拟密码机漂移VSMdrift

当一台虚拟密码机发生故障时云平台管理系统自动将此虚拟密码机的数据影像导入至另外一台

,

空闲正常的虚拟密码机上并快速切换用户网络在用户无感知的情况下恢复虚拟密码机的可用性

,。,。

39

.

虚拟密码机镜像VSMimage

包含虚拟密码机所有软件包括操作系统及配置的模板文件虚拟密码机镜像的安全性使用签名

()。

机制保护

。

用于虚拟密码机的创建过程

。

310

.

Web服务WebService

一种应用编程接口或应用编程接口通过标准的规约进行定义并通过标准进行访问和使用

Web,,。

4缩略语

下列缩略语适用于本文件

。

分组链接

CBC:(CipherBlockChaining)

电子密本

ECB:(ElectronicCodebook)

单根虚拟化

SRIOV:IO(SingleRootI/OVirtualization)

5功能要求

51设备形态

.

云服务器密码机在物理形态上表现为一台独立的密码设备在逻辑上由一个宿主机和若干个虚拟

,

密码机组成云服务器密码机总体结构见图

。1。

宿主机通过云服务器密码机管理接口接受云平台管理系统的管理和调度命令并执行包括执行虚

,

拟密码机的创建启动关闭删除漂移等操作宿主机不提供密码服务云服务器密码机的设备维护

、、、、。。

2

GM/T0104—2021

通过宿主机进行

。

云服务器密码机通过虚拟化技术实现多个虚拟密码机对物理设备的处理器网络存储等资源以及

、、

密码运算部件密钥存储部件及随机数发生器等密码部件的共享与安全隔离

、。

虚拟密码机作为独立的密码服务单元为租户和应用提供密码服务并对密码运算部件密钥存储部

,、

件及随机数发生器进行调用

。

图1云服务器密码机总体结构

52设备管理

.

521管理要求

..

云服务器密码机的宿主机由云平台或云服务器密码机所有者进行管理和使用虚拟密码机由租户

,

管理和使用

。

云服务器密码机宿主机和每个虚拟密码机应具备独立的管理界面和管理员管理员通过管理界面

,

进行密钥管理配置以及日志审计等管理操作不同的管理员应有不同的操作权限管理员登录系统前

、,。

应通过身份鉴别宿主机和不同的虚拟密码机不能相互访问对方的管理员账号口令文件和身份介质

。、。

云服务器密码机的宿主机接受云平台管理系统的集中统一管理管理接口和协议应符合

,GM/T0088

的要求虚拟密码机不接受云平台管理系统的集中统一管理可由虚拟密码机所属租户自己的管理系

。,

统进行集中统一管理

。

云服务器密码机的宿主机和不同虚拟密码机的远程管理通道和维护通道应彼此独立并采用加密

,

和身份鉴别等技术手段对远程管理通道和维护通道进行保护宿主机的管理员和维护人员不能登录虚

。

拟密码机不能获取虚拟密码机中的敏感信息也不能访问虚拟密码机的服务

,,。

宿主机的管理员具有对宿主机进行初始化和系统配置密钥管理等操作权限以及对虚拟密码机执

、,

3

GM/T0104—2021

行创建启动关闭删除漂移等操作权限宿主机的管理员不能对虚拟密码机执行初始化和系统配

、、、、。

置密钥管理等操作虚拟密码机的管理员具有对所属虚拟密码机进行初始化和系统配置密钥管理等

、。、

操作权限不能对宿主机和其他虚拟密码机执行初始化和系统配置密钥管理等操作也不能对虚拟密

,、,

码机执行创建启动关闭删除漂移等操作

、、、、。

522初始化

..

云服务器密码机宿主机的初始化主要包括宿主机密钥的生成恢复与安装生成管理员按照安全

()、、

机制对密钥进行安全存储和备份使设备处于就绪状态虚拟密码机的初始化主要包括虚拟密码机密

,。

钥的生成恢复与安装生成管理员生成或导入租户和虚拟密码机的数字证书或标识密码等身份鉴别

()、、

信息使虚拟密码机处于就绪状态在正常使用虚拟密码机之前需要完成租户和对应虚拟密码机身份

,。,

鉴别信息的生成或导入

。

523注册调度和监控

..、

云服务器密码机宿主机宜具有向云平台管理系统进行注册的功能登记本宿主机物理设备的物理

,

资源处理器内存网络密码运算能力密钥存储容量等同时接受云平台管理系统对其进行调度管

(、、、、),

理和运行状态的实时监控

。

53密码运算

.

虚拟密码机应具有对称密码运算公钥密码运算以及密码杂凑运算等密码运算功能并且支持多任

、,

务并发访问

。

531对称密码算法

..

虚拟密码机应至少支持分组密码算法至少包括电子密本和分组密码链接两种

SM4,(ECB)(CBC)

模式

。

532公钥密码算法

..

虚拟密码机应至少支持公钥密码算法

SM2。

533密码杂凑算法

..

虚拟密码机应至少支持密码杂凑算法

SM3。

54日志审计

.

云服务器密码机宿主机和不同虚拟密码机应提供日志记录查看和导出功能

、。

宿主机的日志内容包括

:

登录认证系统配置等管理员操作行为

a)、;

虚拟密码机的创建启动关闭删除漂移等操作或事件及其结果

b)、、、、;

接受云平台管理系统的相应管理命令及操作

c)。

虚拟密码机的日志内容包括

:

管理员操作行为包括登录认证系统配置密钥管理等操作

a),、、;

异常事件包括认证失败非法访问等异常事件的记录

b),、。

日志的存储和操作应满足以下要求

:

4

GM/T0104—2021

宿主机和不同虚拟密码机的日志记录应独立存储和操作

———;

宿主机和不同虚拟密码机的日志记录仅能由宿主机和不同虚拟密码机自身的管理员访问

———;

宜提供关键日志记录的完整性校验或其他防篡改功能

———;

宿主机和不同虚拟密码机的管理员不能相互访问对方的日志记录

———。

55设备自检

.

云服务器密码机的宿主机和虚拟密码机应具有启动时自检和接收自检指令时自检的功能宜具有

,

周期性自检的功能

。

宿主机自检宜包括以下功能

:

硬件部件自检

a);

密码部件自检

b);

虚拟化功能自检

c);

物理网络检查

d);

所存储数据的完整性检查

e)。

虚拟密码机的自检宜包括以下功能

:

密码算法正确性检查

a);

随机数发生器检查

b);

虚拟网络检查

c);

所存储密钥和数据的完整性检查

d)。

56设备使用

.

租户使用虚拟密码机可按以下过程进行

:

租户向云平台申请虚拟密码机获得批准后得到虚拟密码机的管理地址管理域名和管