GM_T 0104-2021CN云服务器密码机技术规范.pdf

CCS L 80ICS 35.030GM中华人民共和国密码行业标准GM/T 0104—2021云服务器密码机技术规范Specifications of cloud host cryptographic server2021-10-18发布2022-05-01实施国家密码管理局发布 GM/T 0104—2021目次前言范围2规范性引用文件3术语和定义缩略语5功能要求5.1设备形态5,2设备管理5.3密码运算5.4日志审计5.5设备自检5,6设备使用5.7虚拟化安全要求6.1密钥管理6.2访间控制与身份鉴别6.3随机数生成和检验6.4硬件安全6,5软件安全6.6虚拟机安全6.7安全隔离6.8.安全漂移6.9设备状态硬件要求7.1对外接口7.2随机数发生器7,3环境适应性7.4可靠性·软件要求8.1基本要求8.2管理工具接口规范9.19.2管理接10检测要求 GM/T 0104—2021份鉴别等，云服务器密码机的宿主机和各个虚拟密码机都具有自已的管理密钥，管理密钥应安全存储。用户密钥：包括签名密钥对和加密密钥对，用于实现用户签名、验证、身份鉴别以及会话密钥的保护和协商等，代表租户或应用的身份。云服务器密码机的宿主机不使用和管理用户密钥，各个虚拟密码机采用各自的管理密钥加密存储各自的用户密钥，不同虚拟密码机不能相互访问用户密钥。设备密钥：是云服务器密码机的身份密钥，包括签名密钥对和加密密钥对，用于设备管理，代表云服务器密码机的身份。云服务器密码机的宿主机和各个虚报密码机都具有自己的设备密钥并采用各自的管理密销加密存储，密钥加密密钥：是定期更换的对称密钥，在预分配或导入导出密钥的情况下，虚报密码机采用密钥加密密钥对会话密钥进行保护，会话密钥：用于数据加解密。6.1.3密钥产生及安装管理密钥：由设备初始化时使用的管理工具生成或者安装，存储在云服务器密码机内部的安全存储区域。云服务器密码机的宿主机和各个虚拟密码机应使用各自融立的管理工具产生各自的管理密钥并存储在各自独立的安全存储区域。用户密钥：云服务器密码机的虚拟密码机各自的用户签名密钥对由虚拟密码机各自产生和安装，应独立分发到各个虚拟密码机，加密密钥对分发的格式应遵循GB/T36322对加密密钥对保护格式的要求。设备密钥：云服务器密码机的宿主机和各个虚拟密码机应使用各自独立的管理工具产生各自的设备签名密钥对，应使用物理噪声源产生的随机数和强素数生成设备签名密钥对，设备加密密钥对由密销管理系统生成并独立分发到宿主机和各个虚报密码机，设备加密密钥对分发的格式应遵循GB/T36322对加密密钥对保护格式的要求，密钥加密密钥：云服务器密码机的虚拟密码机应使用各自驶立的管理工具产生各自的密钥加密密钥并对会话密钥进行加密保护，应使用物理噪声源产生的随机数生成密钥加密密钥。会话密钥：应使用物理噪声源产生的随机数生成会话密钥，应支持一次会话更换一次会话密钥，6.1.4密钥安全存储和销段云服务器密码机的每个虚拟密码机应能够至少保存32对非对称密钥和100个对称密钥。全参数管理的规定，虚报密码机的设备密钥、用户密钥和密钥加密密钥采用该虚拟密码机的管理密钥加密存储在各虚拟密码机独立的安全存储区域，各虚拟密码机均应支持一定数量的密钥存储，会话密钥长期存储时应使用用户密钥对或密钥加密密钥进行加密保护，虚报密码机管理密钥的安全存储宜采用租户授权模式，避免宿主机和其他虚拟密码机/租户的访间，可采用以下方式：采用授权码结合其他密钥分量作为密钥素材加密存储，其他密钥分量可采用随机数和硬件特征码(如以太网卡的MAC地址、硬盘序列号等)等信息；在具有微电保护和毁钥触发装置的密钥存储部件上存储并采用授权码进行访间控制； GM/T 0104—2021在智能密码钥匙等外置密码模块上存储并采用授权码进行访间控制，不同的虚拟密码机应具有不同的授权码，授权码由租户保管和使用，虚拟密码机的管理员口令或智能密码钥匙的PIN码可以作为授权码使用。宿主机的设备密钥采用宿主机的管理密钥加密存储，宿主机的管理密钥需加密存储或者采用具有密钥。宿主机和虚拟密码机应各自其备立的密钢销毁功能。执行密钥销毁时，宿主机和虚拟密码机各自存储的指定密钥应按照GB/T37092安全二级及以上的要求进行置零操作，具有微电保护的密钥存储部件在毁期触发装置被能发时对所存诺的所有密钥进行置零操作。6.1.5密钥使用云服务器密码机在密钥使用方面，应符合GB/T37092安全二级及以上对敏感安全参数管理的规定，并满足以下要求：8)设备密钥的使用不对租户和应用开放；b)除公钥外，所有密钥均不能以明文形式出现在云服务器密码机外；虚拟密码机公钥以外的所有密钥均不能以明文形式出现在虚拟密码机运行空间和安全存储区之外；c)云服务器密码机应具备防止非法使用和导出密钥的权限控制机制，宿