一种基于微服务的原子化车辆信息安全服务系统和方法与流程

1.本发明属于车辆信息安全服务技术领域，具体涉及一种基于微服务的原子化车辆信息安全服务系统和方法。

背景技术：

2.近年来，汽车四化(电动化、智能化、网联化、共享化)趋势越来越明显，汽车作为云计算、大数据、物联网/车联网、多维度传感器、人工智能、和以4g/5g为代表的新型通信技术的综合应用体，已经成为一个与物联网技术高度融合的智能终端，各车企都在充分利用iot的技术去打造差异化的产品，共同推进越来越多的业务场景的智能化、网联化落地；这些场景的落地又推动了汽车智能化、联网化程度的提高、汽车也越来越多的需要与外部数据的通信交互、需要处理并承载越来越多的用户和车辆数据，同时也让汽车信息安全、数据安全成为一个无法回避的课题，需要行业共同来破解应对。
3.一方面因应法规和监管的要求，同时更是从为用户提供安全可靠的产品和服务的角度出发，各汽车企业先后开启了车联网信息安全和数据安全建设之路，pki/kms作为解决通信和数据安全的基础设施也就成了各大车企首先要建设的能力。但是一些企业在实践构建pki等基础服务后，面临了新的问题：主要体现在两方面：
4.严重依赖pki服务厂商，每个车型开发中需要应用到pki服务时都需要有pki厂商提供基于新软硬件环境的sdk包，响应效率低，同时增加车型开发成本，议价能力低下；
5.pki基础设施直接对接应用场景，导致基础设施服务受制于某一单一厂商，后续新的服务严重依赖于前期选择的pki厂商，一旦厂商技术迭代出现问题，车厂很难及时做好应对。
6.目前通用做法，是建立企业的pki和kms的密码学基础服务，然后由pki和kms厂商根据业务应用需求，将基础服务结合应用场景的工具链环境，开发成sdk软件包，由应用软件和系统进行集成后形成应用链。但现有做法依然存在如下问题：
7.每次新的业务应用场景都需要密码学厂商来重新进行软件sdk 包开发，周期长、开发成本高；
8.pki基础设施与业务应用场景紧耦合，无法进行基础设施的迭代升级，同时也限制了基础设施的多样性；
9.密码服务的碎片化为密码服务的审计带来了新的难题，传统的 kms和pki系统中，仅提供了非常有限的日志信息，很难识别不同业务的使用情况，难以输出统计报表；
10.传统的kms和pki服务产品只能基于身份信息(密钥或客户端证书)、ip白名单等措施来判断请求的合法性，却无法判断密码服务是否被滥用。

技术实现要素：

11.为了解决上述问题，本发明从密码学应用的架构上，结合微服务技术服务体系和原子化思想，创新性提出企业车联网应用中的信息安全服务架构，通过自主开发信息安全
服务平台，实现将密码学服务设施和车辆信息安全应用场景从结构上进行解耦，并通过微服务的架构，让业务在使用密码学服务时不用考虑不同密码学设施不一样带来的技术差异，同时完善密码应用中的审计功能，实现对密码服务应用的可跟踪审计。
12.实现本发明目的之一的一种基于微服务的原子化车辆信息安全服务系统，包括证书密钥管理对接层、密码学核心服务层、业务处理层；
13.所述证书密钥管理对接层用于对接各个安全厂商提供的密码学基础设施，根据各个安全厂商提供的密码学基础设施的api接口，形成密码学基础服务的sdk包；所述sdk包用于提供密码学基础设施的对接服务；
14.所述密码学基础设施包括pki(public key infrastructure)基础设施和kms(key management service)基础设施；
15.所述pki基础设施包括证书申请、证书更新、证书查询校验和证书撤销；
16.所述kms基础设施包括签名验签、创建对称密钥、创建半对称密钥、激活密钥、注销密钥、销毁密钥、加密密钥和hmac；
17.所述密码学核心服务层通过对接证书密钥管理对接层提供的密码学基础服务sdk包，将各个不同的密码学基础设施所提供的接口封装为统一的接口；
18.进一步地，所述统一的接口为符合kmip标准的接口。
19.所述业务处理层用于针对不同的业务所需要的密码学服务，通过组合调用密码学核心服务层封装的接口，提供每个业务所需要的模块化sdk包，所述模块化sdk包为各个不同的业务提供对应的信息安全服务。
20.所述不同的业务对应的信息安全服务举例如下：比如车辆数字钥匙业务中需要的密码学服务包括：签名、加密；车云通信业务所需要的密码学服务包括：数字证书申请、注销、查询、更新；
21.进一步地，所述证书密钥管理对接层包括pki服务对接模块和 kms服务对接模块；
22.所述pki服务对接模块用于对接厂商提供的pki基础设施，形成密码学基础服务的sdk包；
23.所述kms服务对接模块用于对接厂商提供的kms基础设施，形成密码学基础服务的sdk包。
24.进一步地，还包括日志模块和访问控制模块；
25.所述日志模块用于在业务调用业务处理层提供的信息安全服务时，增加日志记录，用于对业务所调用的接口名称、调用时间、请求数据、响应数据进行记录；
26.所述访问控制模块用于基于双向认证机制为接入的业务发放安全证书，通过证书对接入的业务进行合法性认证。
27.进一步地，所述业务处理层包括数字钥匙业务处理模块，用于对数字钥匙服务提供数学钥匙和签名，其具体方法如下：
28.步骤1、数字钥匙的业务云平台申请派生数字钥匙及签名服务；
29.步骤2、访问控制模块对收到的申请进行https双向认证，认证通过后将收到的申请转发给业务处理层对应的数字钥匙业务处理模块；
30.步骤3、数字钥匙业务处理模块调用密码学核心服务层提供的密钥派生和签名服务，密码学核心服务层调用kms提供的服务进行密钥派生并完成签名后将派生的数字钥匙
和签名返回给密码学核心服务层；
31.步骤5、数字钥匙业务处理模块从密码学核心服务层接收到数字钥匙和签名后，向数字钥匙的业务云平台返回带签名的数字钥匙；
32.步骤6、数字钥匙的业务云平台将数字钥匙和签名分发给申请数字钥匙的数字钥匙app。
33.进一步地，所述步骤5中还包括：数字钥匙业务处理模块对整个密钥申请和派生的过程生成审计日志，所述审计日志包括本次所调用的接口名称、调用时间、请求数据、响应数据进行记录。
34.实现本发明目的之二的基于微服务的原子化车辆信息安全服务平台方法，包括如下步骤：
35.步骤1、证书密钥管理对接层通过https的方式调用密码学基础设施提供的api接口，形成对应的密码学基础服务的sdk包；
36.步骤2、密码学核心服务层对证书密钥管理对接层形成的每个密码学基础服务的sdk包，按照kmip的标准进行封装，得到符合kmip 标准接口的sdk包；所述符合kmip标准接口的sdk包以微服务的形式被调用；
37.步骤3、业务处理层按照每个业务的实际需求，调用密码学核心服务层发布的微服务，提供每个业务所需要的信息安全服务。
38.进一步地，所述步骤1中，对应的密码学基础服务的sdk包包括适用于pki基础设施的sdk包和适用于kms基础设施的sdk包。
39.进一步地，所述步骤3中还包括：
40.在每个业务调用业务处理层提供的信息安全服务时，记录每个业务所调用的接口名称、调用时间、请求数据、响应数据的记录。
41.进一步地，所述步骤3中还包括：
42.在每个业务调用业务处理层提供的信息安全服务时，基于https 双向认证机制为接入的业务发放安全证书，通过证书对接入的业务进行合法性认证。
43.有益效果：
44.1、能力解耦：统一了不同业务的证书、密码等安全服务的入口，并形成针对不同业务的服务，实现了与具体kms、pki等密码学基础设施的解耦，降低对密码学厂商的技术依赖，同时避免将基础设施的api 接口向车辆开发供应链无差别开放；
45.2、增强管控：扩大密码学基础设施供应商的选择范围，通过解耦实现不同密码学设施的接入，解决在基础设施和产品开发中的问题，加强了对基础设施供应商的管控力度和议价能力，实现调整供应商不对业务造成影响；
46.3、降本增效：在车型开发的信息安全应用工作中，可自行选择业务模块供应商或进行自研，降低了整车开发中信息安全基础服务集成开发的成本、缩短信息安全产品集成开发周期；
47.4、能力沉淀：基于模块化架构，实现基于模板的开发套件，让车辆功能开发者仅关注车辆业务实现，有效降低了业务模块开发成本。平台构建过程中形成了自主开发业务模块的能。敏捷开发的模式，基于模板的开发套件，可以降低50％～70％的业务模块开发成本；
48.5、模块化、高可用、可弹性伸缩：总体架构平台基于kubernetes 容器编排技术和集化的部署，实现了密码学服务的模块化、高可用，同时当业务出现高并发时可以快速进行能力扩展；
49.6、安全审计：实现对业务访问安全服务的入口双向认证，通过日志功能实现对所有安全服务使用的全过程审计记录，避免出现安全服务的滥用。
附图说明
50.图1是本发明所述系统的应用示意图；
51.图2是实施例二中派生数字钥匙和签名的流程示意图。
具体实施方式
52.下列具体实施方式用于对本发明权利要求技术方案的解释，以便本领域的技术人员理解本权利要求书。本发明的保护范围不限于下列具体的实施结构。本领域的技术人员做出的包含有本发明权利要求书技术方案而不同于下列具体实施方式的也是本发明的保护范围。
53.下面结合图1讲述本发明所述系统的一个实施例。
54.包括证书密钥管理对接层、密码学核心服务层、业务处理层；
55.证书密钥管理对接层用于对接各个安全厂商提供的密码学基础设施，根据各个安全厂商提供的api接口，形成密码学基础服务的sdk 包；
56.证书密钥管理对接层对接所有密码学基础设施，可以将企业所有的pki/kms基础设施集中为密码服务池，进行统一的规划和调度，最大化利用企业内部现有的密码学计算和存储能力，提高资源使用效率。同时也可以对接第三方权威认证机构提供的密码学基础设施，例如，国家授权的v2x pki基础设施。
57.密码学核心服务层通过对接证书密钥管理对接层提供的密码学基础服务sdk包，将各个不同的密码学基础设施所提供的接口封装为统一的接口；
58.密码学核心服务层将不同的基础设施所提供的接口和服务统一为规范的标准接口服务，通过对基础设施服务产品的api进行封装，形成原子化的接口服务，接口标准采用kmip协议定义。所有业务层的密码学调用均通过本管理层进行，同时服务管理层在业务层调用的过程中，全面记录业务层的行为信息，形成完整的跨业务的密码服务调用审计记录。
59.业务处理层用于针对不同的业务所需要的密码学服务，通过组合调用密码学核心服务层封装的接口，提供每个业务所需要的模块化 sdk包，所述模块化sdk包为各个不同的业务提供对应的信息安全服务。
60.业务处理层面向不同的业务，根据业务所需要的密码学服务，通过使用微服务开发框架，如spring cloud业务项目模板，方便开发者快速开发业务处理服务集中的微服务项目。面向业务的接口处理服务的开发框架，如spring boot项目模板，包含后端及前端代码，方便开发者快速开发接口服务。可大大简化业务模块的开发工作。对于固定业务也可在方案业务层创建模板，大大降低后续车型相似业务的开发量。业务模块中还负责对业务调用的风险控制，在结合不同业务应用场景的前提下，通过对业务调用密码服务接口的行为进行分析和评估，判断每一次调用的风险等级，及时向调用者发起风险挑战，形成对调用
者的二次认证，来防止业务层对密码服务的滥用。
61.本系统在具体使用时，具体方法如下：
62.步骤1、证书密钥管理对接层通过https的方式调用密码学基础设施提供的api接口，形成对应的密码学基础服务的sdk包；所述 api接口一般以restful api形式提供；
63.步骤2、密码学核心服务层对证书密钥管理对接层形成的每个密码学基础服务的sdk包，按照kmip的标准进行封装，得到符合kmip 标准接口的sdk包；所封装的符合kmip标准的接口以微服务的形式存在，并在微服务注册中心进行注册，安全服务平台的微服务架构按照服务发现、服务调用、负载均衡等基本机制支持业务模块的调用。
64.步骤3、安全服务平台业务处理层按照业务的需求、调用封装密码学核心服务层发布的微服务，形成一个个面向不同业务的安全服务模块。
65.在另一个实施例中，步骤4后还包括安全服务平台的访问控制步骤，具体如下：
66.安全服务平台的访问控制：建立安全服务平台与实际业务对象 (比如车辆数字钥匙服务)基于https的双向认证机制，安全服务平台为业务对象(比如车辆数字钥匙服务)发放安全证书；业务对象通过证书来与安全服务平台进行认证，确保访问的合法性。
67.在另一个实施例中，步骤4后还包括安全服务平台的日志审计步骤，具体如下：
68.在业务对象调用安全服务平台的接口服务时，增加日志记录指令，实现对接口名称、调用时间、请求数据、响应数据等记录。同时日志信息会以持久化的方式保存在安全服务平台的数据库中，确保所有对安全服务平台服务的调用可全程审计。
69.下面结合图2讲述如何利用本系统派生密钥的一个实施例。
70.1、数字钥匙的业务云平台提出申请一个派生密钥和签名服务，并发送给本实施例所述的安全服务平台；
71.2、安全服务平台接受该申请，同时根据约定的规则进行身份校验确认是合法需求，并将需求转发给对应的业务处理层的数字钥匙业务处理模块；
72.3、数字钥匙业务处理模块启动密钥派生过程，调用密码学核心服务层的密钥派生和签名服务；密码学核心服务层调用kms提供的服务进行密钥派生并完成签名后将派生的数字钥匙和签名一起返回给密码学核心服务层。
73.4、数字钥匙业务处理模块接受到返回的带签名的数字钥匙，对整个密钥申请和派生的过程生成审计日志存放到安全服务平台，同时向数字钥匙的业务云平台返回带签名的数字钥匙；
74.5、数字钥匙业务云平台接收到带签名的数字钥匙，并将数字钥匙分发给对应的手机app；整个过程完成。
75.应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本技术实施例的实施过程构成任何限定。
76.本说明书未作详细描述的内容属于本领域专业技术人员公知的现有技术。

技术特征：

1.一种基于微服务的原子化车辆信息安全服务系统，其特征在于，包括证书密钥管理对接层、密码学核心服务层、业务处理层；所述证书密钥管理对接层用于对接各个安全厂商提供的密码学基础设施，根据各个安全厂商提供的密码学基础设施的api接口，形成密码学基础服务的sdk包；所述密码学核心服务层通过对接证书密钥管理对接层提供的密码学基础服务sdk包，将各个不同的密码学基础设施所提供的接口封装为统一的接口；所述业务处理层用于针对不同的业务所需要的密码学服务，通过组合调用密码学核心服务层封装的接口，提供每个业务所需要的模块化sdk包，所述模块化sdk包为各个不同的业务提供对应的信息安全服务。2.如权利要求1所述的基于微服务的原子化车辆信息安全服务系统，其特征在于，所述证书密钥管理对接层包括pki服务对接模块和kms服务对接模块；所述pki服务对接模块用于对接厂商提供的pki基础设施，形成密码学基础服务的sdk包；所述kms服务对接模块用于对接厂商提供的kms基础设施，形成密码学基础服务的sdk包。3.如权利要求1或2所述的基于微服务的原子化车辆信息安全服务系统，其特征在于，所述密码学核心服务层中，所述统一的接口为符合kmip标准的接口。4.如权利要求1所述的基于微服务的原子化车辆信息安全服务系统，其特征在于，还包括日志模块和访问控制模块；所述日志模块用于在业务调用业务处理层提供的信息安全服务时，增加日志记录，用于对业务所调用的接口名称、调用时间、请求数据、响应数据进行记录；所述访问控制模块用于基于双向认证机制为接入的业务发放安全证书，通过证书对接入的业务进行合法性认证。5.如权利要求4所述的基于微服务的原子化车辆信息安全服务系统，其特征在于，所述业务处理层包括数字钥匙业务处理模块，用于对数字钥匙服务提供数学钥匙和签名，具体步骤如下：步骤1、数字钥匙的业务云平台申请派生数字钥匙及签名服务；步骤2、访问控制模块对收到的申请进行https双向认证，认证通过后将收到的申请转发给业务处理层对应的数字钥匙业务处理模块；步骤3、数字钥匙业务处理模块调用密码学核心服务层提供的密钥派生和签名服务，密码学核心服务层调用kms提供的服务进行密钥派生并完成签名后将派生的数字钥匙和签名返回给密码学核心服务层；步骤5、数字钥匙业务处理模块从密码学核心服务层接收到数字钥匙和签名后，向数字钥匙的业务云平台返回带签名的数字钥匙；步骤6、数字钥匙的业务云平台将数字钥匙和签名分发给申请数字钥匙的数字钥匙app。6.如权利要求5所述的基于微服务的原子化车辆信息安全服务系统，其特征在于，所述步骤5中包括：数字钥匙业务处理模块对整个密钥申请和派生的过程生成审计日志，所述审计日志包
括本次所调用的接口名称、调用时间、请求数据、响应数据进行记录。7.一种如权利要求1所述系统的基于微服务的原子化车辆信息安全服务方法，其特征在于，包括如下步骤：步骤1、证书密钥管理对接层通过https的方式调用密码学基础设施提供的api接口，形成对应的密码学基础服务的sdk包；步骤2、密码学核心服务层对证书密钥管理对接层形成的每个密码学基础服务的sdk包，按照kmip的标准进行封装，得到符合kmip标准接口的sdk包；所述符合kmip标准接口的sdk包以微服务的形式被调用；步骤3、业务处理层按照每个业务的实际需求，调用密码学核心服务层发布的微服务，提供每个业务所需要的信息安全服务。8.如权利要求7所述系统的基于微服务的原子化车辆信息安全服务方法，其特征在于，所述步骤1中，对应的密码学基础服务的sdk包包括适用于pki基础设施的sdk包和适用于kms基础设施的sdk包。9.如权利要求7所述系统的基于微服务的原子化车辆信息安全服务方法，其特征在于，所述步骤3中还包括：在每个业务调用业务处理层提供的信息安全服务时，记录每个业务所调用的接口名称、调用时间、请求数据、响应数据的记录。10.如权利要求7所述系统的基于微服务的原子化车辆信息安全服务方法，其特征在于，所述步骤3中还包括：在每个业务调用业务处理层提供的信息安全服务时，基于https双向认证机制为接入的业务发放安全证书，通过证书对接入的业务进行合法性认证。

技术总结

本发明公开了一种基于微服务的原子化车辆信息安全服务系统和方法，包括证书密钥管理对接层、密码学核心服务层、业务处理层；本发明采用微服务的架构体系，构建一个介于密码学基础设施和车联网业务场景的安全服务平台，面向车联网不同业务场景提供密码学基础服务；本发明统一了不同业务的证书、密码等安全服务的入口，降低对密码学厂商的技术依赖，同时避免将基础设施的API接口向车辆开发供应链无差别开放；通过解耦实现不同密码学设施的接入，实现了密码学服务的模块化、高可用，同时当业务出现高并发时可以快速进行能力扩展；降低了整车开发中信息安全基础服务集成开发的成本，缩短信息安全产品集成开发周期。信息安全产品集成开发周期。信息安全产品集成开发周期。