杜 彪，王苏灵，王运兵，王 坚

（中国电子科技集团公司第三十研究所，四川 成都 610041）

一种基于第三方密码服务的信息安全通用解决方案

杜 彪，王苏灵，王运兵，王 坚

（中国电子科技集团公司第三十研究所，四川 成都 610041）

分析当前互联网主流的业务架构和安全架构，发现大部分业务服务和安全服务由同一提供者提供,存在用户信息不安全问题。于是，提出一种基于第三方密码服务的信息安全通用解决方案。方案通过引入第三方密码安全服务，使业务服务和安全服务相隔离，保证业务服务和安全服务提供者都无法单独解析、篡改或伪造用户数据，提升了用户数据安全性。方案重点对系统结构设计、典型工作流程、应用业务适配、密码模块和互通密码配置等内容进行描述，模拟实现结果表明，该方案具备可行性，用户数据安全得到了有效增强。

第三方密码；信息安全；安全架构；安全服务

0 引 言

本文主要对互联网用户信息安全展开研究。对于大部分互联网应用，业务服务和安全服务均由应用提供者一体提供，使得应用提供者具备解析用户数据的全部资源，从而无法有效确保用户数据安全的问题。例如，云存储系统提供者既提供了数据存储服务又提供了数据安全服务，系统提供者拥有解析、篡改或伪造用户数据的全部资源。因此，该模式并不能有效确保用户数据的安全。针对存在这种“防外不防内”的用户信息安全问题，提出一种基于第三方密码服务的信息安全通用解决方案。……