1、密码技术在零信任安全中的作用与实践单位：北京数字认证股份有限公司 主讲人：夏冰冰01.从一个例子说起SPA中的密码技术02.密码在零信任安全体系中的作用03.零信任中密码技术的实践、挑战与展望Single Packet Authorization 单包授权SPA plays a huge role in SDP The purpose of SPA is to allow a service to be darkened via a default-drop firewall(The SPA)Packet must be encrypted and authenticatedBUT WHY?P

2、ort Knocking通过发送一串事先约定的“敲门序列”进行初始鉴别，很容易被重放攻击SPA通过密码技术进行初始鉴别，避免重放和伪造图片来源：Michael Rash.“Single Packet Authorization”,Linux JournalSDP Specification 1.0的定义引用RFC 4226(HOTP)基于Hash算法的HMAC机制64位Counter，需要SDP Client和SDP Server同步维护不做加密SPA包内容的完整性和SDP Client端的身份鉴别MAC或数字签名SPA包的防重放数据结构中包含Nonce（随机数、时间戳、序列号）SPA包内容的

3、机密性整包加密（真的需要么？）其他需求，例如对SDP Server端的鉴别开源组件fwknopMD5校验，攻击者很容易伪造（没有密钥参与，且算法已被破解）Client timestamp时间戳？整包内容AES 128或ElGamal公钥加密（攻击者也可以用公钥加密）SPA包内容的完整性和SDP Client端的身份鉴别MAC或数字签名SPA包的防重放数据结构中包含Nonce（随机数、时间戳、序列号）SPA包内容的机密性整包加密（真的需要么？）其他需求，例如对SDP Server端的鉴别01.从一个例子说起SPA中的密码技术02.密码在零信任安全体系中的作用03.零信任中密码技术的实践、挑战与展

4、望信任的建立需要：从信任锚点出发，从可信的数据来源不断收集信息，持续进行信任评估，并根据评估结果动态调整系统的防护策略设备信任、用户信任、应用信任、流量信任是实现零信任安全的关键控制平面数据平面建立用户信任用户证书（及对应私钥）动态令牌（基于密码运算）生物特征、口令、用户行为、属性建立设备信任设备证书（及对应私钥）设备环境感知信息网络地址和接入方式建立应用信任代码签名软件版本信息建立流量信任数据机密性数据完整性防病毒、WAF、持续评估+授权判决授权信息完整性（分发）策略完整性（存储）信任评估算法01.从一个例子说起SPA中的密码技术02.密码在零信任安全体系中的作用03.零信任中密码技术的实践

5、、挑战与展望数字证书是解决网络身份问题的最佳实践之一设备证书客户端/浏览器环境感知用户凭证国密算法的双向SSL传输网络策略执行点隐身网关设备认证SSL加速访问控制反向代理持续监测应用受保护资源数据API策略引擎证书管理策略管理用户管理信任评估注册/鉴别/信任评估策略下发/态势感知/动态调整首次核验再次核验证书签发证书使用采集设备静态信息证书到期前自动更新证书撤销证书到期采集设备静态信息登记设备与用户的关系开始（新设备注册）结束（设备注销）围绕数字证书的设备身份生命周期核验方法名称方法要点说明（全新的证书策略CP和电子认证业务规则CPS）不做核验允许任何设备注册，但可以限制每个用户能够注册的设备

6、数量或类型；人工核验需要用户与管理员协作完成。注册流程需要中途挂起，直到管理员在系统中点击确认后再继续，用户不能自助完成；用户身份相当于只允许企业认可的用户（如员工、合作方）注册任意设备OTP授权管理员用额外的途径给设备持有者/安装者预先分发一次性授权码（OTP），注意分发OTP时需要验证用户身份和权限；指定场所的网络连接只允许设备通过接入指定场所的网络连接进行注册（例如指定的WiFi热点，位于公司办公区域）资产管理系统对接注册流程中，将采集到的设备信息与资产管理系统事先登记过的信息进行比对；信任度很高，但仅适用于企业所有的设备，且需要资产管理系统提供相应的接口配合；有效的证书借助有效的证书建

7、立双向国密SSL连接，就相当于完成了核验；信任度很高，但仅适用于再次核验，无法用于首次核验（除非设备出厂预置证书，且制造商与应用系统的证书互信互认）场景描述具体服务类型用户设备的首次核验用户设备的再次核验医疗行业面向公众开放的服务（预约挂号）不做核验有效的证书面向已注册患者的服务院内终端设备人工核验远程服务（复诊、慢病管理）用户身份面向医师的服务（诊疗系统）院内PC办公（多人共用一台PC）指定场所的网络连接本院医师的远程办公（手机、个人PC）OTP授权外院医师的远程会诊OTP授权面向行政人员的服务（行政管理系统）院内PC办公指定场所的网络连接远程办公（手机、个人PC）OTP授权密码应用的关键是“密钥管理”零信任安全体系对密钥管理提出了新的挑战多样化的身份主体：物理设备、虚拟机、容器、应用SPA的HMAC密钥如何安全的分发、存储？“API Key”是口令还是密钥？如何正确的使用？