产品推介 | 担心数据“裸奔”？数据加密服务帮你上一把安全锁

根据国家《信息安全技术网络安全等级保护基本要求》云计算安全扩展要求中对于数据完整性和保密性相关规定，应支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程。京东云为用户提供数据加密服务，保障用户数据保密性和完整性的同时，为用户数据访问提供权限管理机制，实现数据访问行为可审计。

数据加密服务适用于所有上云用户，其主要应用场景包括包括***金融交易支付系统、电子政务系统、企业信息系统、电子票据系统***等进行敏感数据保护。金融交易支付系统的数据加密服务使用场景主要包括银行卡号，身份证，PIN码等敏感信息的存储；电子政务系统的数据加密服务使用场景主要包括涉密业务的敏感信息存储；企业信息系统的数据加密服务使用场景主要包括财务报表、人员信息等敏感信息存储；电子票据系统的数据加密服务使用场景主要包括电子发票、保单、合同等敏感信息存储。

核心概念

数据加密服务的核心是硬件加密机（HSM），用户使用加密机生成和管理密钥，使用密钥对数据进行加/解密。而加密机的应用场景多是金融、政务等具有合规要求的行业。
一般情况下，用户在使用数据加密服务时都会比较关心以下两个问题：

• 云上加密是否也能满足合规要求？
• 用户自己的密钥是否会被云服务商获取？

以京东云的数据加密服务为例，在合规要求方面，我们的数据加密服务底层采用的是国家密码管理局认证的商用云服务密码机，支持符合国家和行业标准的数据加密算法，包括：对称加密算法：SM1、SM4、3DES、AES；非对称加密算法：SM2、RSA（1024-4096）；摘要算法：SM3、SHA1、SHA256、SHA384。

用户密钥的安全性上，我们的数据加密服务采用的是独有的硬件虚拟化与隔离技术，用户独享云端密码芯片资源，实现用户密钥硬件隔离的同时保障业务性能，云服务商只有硬件加密机的运维权限，无法获取用户加密机实例中的密钥。

因此以上两个问题都是可解决的。

京东云解决方案

京东云数据加密服务采用了国家密码局认证的硬件加密机，通过虚拟化技术，帮助用户满足数据安全方面的监管和功能要求，保护云上业务数据的安全性及隐私性。

数据加密服务和传统硬件加密机（HSM，Hardware Security Module）的区别：传统硬件加密机无法通过虚拟化技术以虚机或实例形态加入云上用户VPC中，因而也不具备云上弹性可扩展和高可用的特点。

数据加密服务和KMS密钥管理服务的区别：用户使用KMS密钥管理服务创建的主密钥，也是由硬件加密机生成和保存的，同样符合国家密码局要求和金融等行业规范。不同的是，KMS密钥管理服务提供给用户的是可以直接使用的密钥，而数据加密服务提供给用户的是加密机实例。这就好比，一个是给食客提供现成的菜肴，一个是给厨师提供食材和做菜的工具，就看用户喜欢扮演什么角色。

京东云加密服务技术架构

数据加密服务业务流程

用户在京东云控制台创建数据加密服务实例，选择实例所在私有网络和子网，填写实例名称和该实例使用者或运维管理人员的姓名、手机、邮箱、USB KEY收件地址，完成购买流程。
⬇️
购买成功后，硬件加密资源池虚拟出加密实例，并加入到用户私有网络（VPC）中，分配用户创建实例时指定的VPC私有IP地址。用户可在实例管理列表中查看实例信息。由于用户需要通过VPN接入云上私有网络（VPC），并通过VPN网关实例私有IP地址连接加密实例私有IP地址，因此需要在加密实例管理界面中将VPN网关实例私有IP地址添加到白名单。
⬇️
京东云根据用户填写信息快递USB KEY，USB KEY是用户使用加密实例的唯一凭证，请妥善保管。
⬇️
用户将USB插入本地PC客户端，开启VPN连接云上VPC，开启加密实例管理客户端软件，进行登陆、激活、初始化等一系列工作。
⬇️
客户端和加密实例之间使用IPsec VPN加密通信，建立安全管理通道。
⬇️
用户可以在客户端上进行密钥的创建、导入、备份以及授权业务服务/应用使用密钥加/解密等。
⬇️
业务使用人员发起正常的业务访问。
⬇️
业务服务/应用安装代理连接软件，通过代理连接端和加密实例建立安全业务通道，业务服务/应用根据授权调用密钥进行加/解密。

产品功能

1、支持国产及国际的加密算法

• 对称加密算法
  SM1、SM4、DES、3DES、AES
• 非对称加密算法
  SM2、RSA（1024~4096）
• 摘要算法
  SM3、SHA1、SHA256、SHA384

2、符合中国人民银行标准和规范的金融行业定制加解密需求

• 支持金融及行业IC卡（芯片卡）应用
  支持中国人民银行（PBOC 1.0/2.0/3.0）相关标准，支持GP、TSM、EMV 等；支持NFC等增值业务

• 支持传统金融交易（磁条卡）应用
  支持PIN的加密、转加密、验证等操作；支持CVV/CVN的产品及校验；支持MAC计算；支持数据签名及验证

• 支持动态口令
  支持生成种子密钥并支持其安全传输；支持动态口令的计算

• 分级的权限管理功能
  基于智能UKey的分级权限管理功能，提高了用户密码及设备的安全性。

3、权限和责任分离

• 设备及密钥管理
  密码机设备管理与敏感信息管理权限分隔，即使是京东云的运维人员也无法接触到用户的个人密钥。

• 敏感指令授权控制
  敏感指令支持分类授权控制，有效防止越权行为的出现。

• 支持多种认证方式
  支持用户名口令认证，数字证书认证等多种权限认证方式。

4、可用性保障

• 高可用
  密码机之间实现集群化和负载均衡功能，有效应对机房断线、设备故障等突发事件。

• 密钥的备份及恢复
  支持基于主密钥保护下的密钥的备份和恢复功能，保证了用户应用系统的安全性和可靠性。

• 芯片阵列
  密码机内部采用硬件芯片阵列实现架构设计，即使部分硬件芯片损坏也不影响使用。

• 异常恢复系统
  独有的异常恢复系统，帮助客户有效应对各种突发事件。

产品优势

• 安全可靠的数据加解密平台
  使用符合国家密码管理局（ GM/T 0029-2014 ）和中国人民银行（ PBOC 1.0/2.0/3.0 ）要求的密码机设备，符合国家密码监管部门的监管规范和使用要求。

• 设备管理和密钥管理权限分离
  京东云只负责物理设备的维护，包括监控设备的可用性，以及对设备的启用、停止等。密钥完全由客户自己管理，其他人没有任何方法可以获取客户的密钥。

• 满足国家监管合规需求
  数据加密服务使用通过国家密码管理局检测认证的密码机，让用户可以安全地生成、存储和管理密钥，满足合规需求。

• 高可用及弹性扩展
  密码机是集群化部署，并支持负载均衡功能，能够有效地应对如机房断电、设备故障等突发事件；同时用户可以根据自己的业务需要灵活地调整配置和规格，以满足不同的加解密运算要求。

应用场景

1、金融交易支付加密

应用于POS收单、手机支付、卡支付、互联网支付等支付业务场景，保证支付数据在传输、存储过程中的完整性、保密性，支付身份的认证、支付过程的不可否认性，完全满足金融行业的监管合规要求。

2、电子票据加密

应用于电子病例、电子发票、电子合同、电子保单等各类系统应用，保证各类电子票据在生产、传输、存储过程中的完整性、保密性，确保电子票据类的应用用户身份的真实性，保障了电子化安全性，促进电子化业务持续健康发展。

3、常见敏感数据加密

应用于政务、企业、电商、门户、Web 站点等各类包含大量个人敏感信息的系统应用。杜绝了内部非授权用户非法访问，明文数据被泄露和篡改的风险，提升系统的健壮性和客户价值。

点击“这里”可了解免费获取加密服务操作文档！