阿里云的CDN支持國密是通過Tengine加上babassl兩個軟件的結(jié)合實現(xiàn)的,其中Tengine是阿里云CDN的接入開源框架,babassl是螞蟻金服為了支持國密算法,基于openssl1.1.1的開源版本進行深度定制開發(fā)的代碼庫。通過阿里云CDN和螞蟻金服的深入合作為客戶打造國密合規(guī)的代理服務(wù)。該軟件部署到全網(wǎng)2000+節(jié)點,對外提供國內(nèi)最大規(guī)模的國密接入能力。
第一階段阿里云CDN會先支持接入層的國密算法能力,通過控制臺上傳國密證書后,配置選擇單證書或者雙證書方案,客戶端即可通過CDN邊緣節(jié)點完成國密算法的接入。這里更推薦客戶使用的是單證書方案,該方案的通用性比較高,與國際標準接軌,同時該方案的客戶端開發(fā)復(fù)雜度低,能降低開發(fā)成本。
第二階段,阿里云CDN會支持全鏈路的國密算法能力,包括接入層、節(jié)點之間的加密傳輸鏈路以及回源的數(shù)據(jù)鏈路,通過這個能力極大保障客戶數(shù)據(jù)的安全。但是需要客戶端以及源站均支持國密的接入能力。
正如前文所述,隨著密碼法頒布及各項密碼相關(guān)標準的發(fā)布和實施,國密合規(guī)已經(jīng)成為國家高度關(guān)注的重點,尤其是對金融和政企行業(yè)的數(shù)據(jù)安全提出了更高的要求。阿里云CDN推出的國密能力,能夠幫助客戶構(gòu)建更加安全的數(shù)據(jù)傳輸鏈路,從而滿足國密合規(guī)的要求。
這里有個好消息是:babassl在充分驗證可用性和安全性之后有計劃作為開源軟件推出,客戶端和源站的開發(fā)可以基于babassl代碼庫實現(xiàn)。
為了更好的支持國密算法的推廣,螞蟻金服相關(guān)團隊針對國密算法的性能進行深度優(yōu)化,以openssl1.1.1版本的實現(xiàn)為基線,目前sm4能夠?qū)崿F(xiàn)2倍以上的性能優(yōu)化,sm2能夠?qū)崿F(xiàn)5倍以上的性能優(yōu)化。算法性能的提升讓阿里云CDN能夠?qū)ν馓峁└觾?yōu)質(zhì)的國密服務(wù),歡迎更多用戶一同參與到國密算法的開發(fā)和使用,一起共建安全合規(guī)的互聯(lián)網(wǎng)環(huán)境。

kf@jusoucn.com
4008-020-360


4008-020-360
