北京金融科技产业联盟：2024金融业容器云密钥管理技术研究报告（51页）.pdf

1、金融业容器云密钥管理技术研究报告北京金融科技产业联盟2024 年 4 月I版权声明本报告版权属于北京金融科技产业联盟，并受法律保护。转载、编摘或利用其他方式使用本报告文字或观点的，应注明来源。违反上述声明者，将被追究相关法律责任。II编制委员会编委会成员：聂丽琴编写组成员：沈震宇吴猛廖敏飞吴孟晴解敏黄威琪金艳焦靖伟蒋闻天温玉冰编审：黄本涛周豫齐参编单位：北京金融科技产业联盟秘书处中国工商银行股份有限公司中国建设银行股份有限公司平安银行股份有限公司北京信安世纪科技股份有限公司建信金融科技有限责任公司浪潮电子信息产业股份有限公司III摘要摘要随着容器云的快速发展，Kubernetes 已经成为云原

2、生应用的事实标准，并得到了广泛应用。容器云内遍布大量敏感数据使得数据安全性成为关键关注点。本文针对镜像安全交付和密钥使用等问题，提出了两个创新方案以应对这些挑战。首先，在镜像安全交付方面，通过测试当前已有方案，识别到容器镜像加密过程中的性能瓶颈，提出了对应的优化方案，使得解密性能有着近 40%的提升。通过该优化方案，能够显著提升镜像在多接收者条件下的启动速度，提高数据安全性并改善系统性能。其次，在强化密钥使用安全性上，设计了新的密钥分发方案。当前 Kubernetes 中的敏感信息仅通过 Base64 编码后存储，尝试通过信任链延伸、复用内部安全机制等方式，解决密钥存储的安全性问题，对此开发了

3、 Secret Client Plugin 测试程序，并以常见的接口访问密钥为示例进行测试。该方案有着密钥不落地、密钥随机化等优势，以达到密钥在本地的安全性和抗泄露性。本报告深入探讨了金融行业容器云中广泛存在的密钥管理问题，提出了创新的镜像安全交付和密钥分发方案，旨在提升重要数据的安全性，以解决镜像和密钥的分发安全问题。一方面，对现有加密镜像处理性能进行了提升；另一方面，设计了全新的密钥分发方案，保证了密钥使用的安全性和抗泄露性。以上创新方案的实施，将使得密钥管理技术在金融容器云中更加高效、灵活，并显著提升数据安全性。报告通过详细的测试验证了方案的IV有效性和实用性，为强化金融行业容器云中的重

4、要数据防护提供了实证基础与参考。关键词关键词：容器云、镜像加密、密钥管理、数据安全、云计算V目录目录一、引言.1二、研究背景及目标.3（一）研究背景.3（二）研究目标.4三、国内外研究现状.7（一）镜像加密技术.7（二）Kubernetes Secret.8四、痛点及创新方向.11（一）加速镜像分发解密.11（二）设计 Secret 替代方案.12五、创新方案及关键点.15（一）优化镜像解密速度.15（二）设计新的密钥使用方案.20六、测试及应用成果.26（一）加密镜像分发.26（二）数据层密钥分发.27七、总结展望.28附录：测试方案.30参考文献.451一、引言多项政策法规颁布促进信息安全

5、防护。多项政策法规颁布促进信息安全防护。“十四五”期间，国家将大力发展科技创新，其必要性在一定程度上高于经济建设。国产密码作为科技创新和自主创新的核心，在建设数字化世界时应立足于信息安全人才建设，创新领域的信息保护和国产化信息建设。在金融业，应当发挥市场机制作用，激励企业和个人竞争、完善高效的金融市场、建立更加高效的银企关系、激活劳动力市场，以满足和适应我国自身追赶、崛起和应对经济全球化竞争的需要。随着密码技术的飞速发展，金融和重要领域密码应用的深入推进和国际化拓展，以及新技术新应用新业态的不断涌现，商用密码迎来了大有可为的发展机遇期1。美国自1996年以来，颁布了2001年关键基础设施保护法

6、2002年关键基础设施信息法 加强联邦网络和关键基础设施安全等十余部立法、总统令和计划，大力推进联邦信息技术基础设施现代化，改善关键基础设施的网络安全态势和能力。欧盟在最新的欧盟安全联盟战略中将增强关键信息基础设施的保护水平和恢复能力作为未来五年网络安全领域的核心工作2。2021年7月30日，关键信息基础设施安全保护条例（以下简称条例）正式公布，标志着我国网络安全保护进入了以关键信息基础设施安全保护为重点的新阶段3。作为网络安全法的重要配套立法，条例积极应对国内外网络安全保护的主要问题和发展趋势，为下一步加强关键信息基础设施安全保护工作2提供了重要法治保障。随着相关法律和规范的发布实施，以中华