二十分钟可信计算科普

打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境北京工业大学计算机学院 可信计算北京市重点实验室 胡俊二十分钟可信计算科普打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u 安全机制自身的安全问题安全机制自身的安全问题u 上世纪八十年代的上世纪八十年代的TCSECTCSEC标准将系统中所有安全机制的总和定义为可标准将系统中所有安全机制的总和定义为可信计算基（信计算基（TCB)TCB)u TCBTCB的要求：的要求：u 独立的，具有抗篡改性独立的，具有抗篡改性u 不可旁路不可旁路u 最小化以便于分析和测试最小化以便于分析和测试u 问题：当安全机制分布在系统的各个位置时，如何保证问题：当安全机制分布在系统的各个位置时，如何保证TCBTCB的要求能够满足？的要求能够满足？可信计算的缘起打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u 可信计算的核心概念：可信根和可信链可信计算的核心概念：可信根和可信链u 可信环境必须有一个基于密码学和物理保护的可靠的信任源头，这可信环境必须有一个基于密码学和物理保护的可靠的信任源头，这一信任源头就是系统的可信根（一信任源头就是系统的可信根（TPM/TCMTPM/TCM或者或者TPCM)TPCM)。u 系统中的可信元件（安全机制），其可信性应通过从这一可信根出系统中的可信元件（安全机制），其可信性应通过从这一可信根出发，经过一环套一环的可信传递过程来保障其可信性。发，经过一环套一环的可信传递过程来保障其可信性。u 系统的可信计算基中所有元件应构成一个完整的可信链条，以确保系统的可信计算基中所有元件应构成一个完整的可信链条，以确保整个可信计算基的可信性。整个可信计算基的可信性。可信计算的解决思路打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u 可信报告可信报告u 可信存储可信存储u 可信度量可信度量可信计算的关键技术打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*可信报告基本原理TPM/TCM背书密钥（EK）背书密钥的公钥平台身份密钥（AIK）平台身份证书(含CA签名以及AIK公钥）证书认证中心可信报告可信报告签名验证打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*可信报告实施方式本地可信计算平台TPM/TCM背书密钥（EK）平台身份密钥（AIK）平台可信度量服务证书认证中心EK私钥存放于可信报告根中，公钥证书公开，但并不直接用于认证AIK由EK和证书认证中心联合生成，用以认证平台的身份可信策略服务中心远程可信计算平台证书认证中心为可信计算平台可信策略服务中心提供证书支持远程可信计算平台接收发来的可信报告，并根据可信策略服务中心获取的度量基准值验证本地可信计算平台的可信性平台可信度量服务度量平台可信性，并将度量结果发送给可信根，生成可信报告发送给远程可信计算平台打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*可信存储基本原理TPM/TCM存储根密钥（SRK）存储密钥保密数据加密存储密钥存储密钥密钥策略存储密钥存储密钥加密存储密钥包解密密钥导入/导出打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*可信存储实施方式存储根密钥（SRK）平台身份密钥（AIK）不可迁移存储密钥平台迁移密钥用户可迁移存储密钥用户不可迁移存储密钥用户签名密钥用户绑定密钥存储根密钥存放于可信根中，永远不TPM 传播密钥向外界暴露内容存储根密钥保护用于可信报告的平台身份密钥不可迁移存储密钥与平台绑定，仅能在本机执行，管理本机环境下的用户签名密钥和用户绑定密钥平台迁移密钥可通过密码协议实现存储密钥在可信计算平台间的迁移，以实现平台间的安全数据交换打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*可信度量基本原理TPM/TCMPCR寄存器安全机制写入安全机制读取可信基准库验证PCR写入原理PCR旧值写入值哈希算法PCR新值验证写入值1写入值2写入值3写入值n.写入值序列打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*可信度量实施方式可信度量根可信度量根可信可信存储根存储根可信可信报告根报告根可信根可信根BIOSBIOS度量阶段度量阶段OS Loader度量阶段度量阶段OS 度量阶段度量阶段OS Loader可信基准值可信基准值OS LoaderOS应用应用可信芯片可信芯片度量阶段度量阶段可信链条可信链条度量值度量值度量值度量值度量值度量值OS 可信基准值可信基准值系统从可信根开始，首先进行BIOS的可信度量，度量通过后启动BIOSBIOS度量OS Loader，度量通过后将控制权移交OS Loader度量OS启动过程，度量通过后执行OS启动流程打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u 被动可信计算体系：被动可信计算体系：TCGTCG可信可信u 可信机制由安全机制调用，被动地提供服务可信机制由安全机制调用，被动地提供服务u 所有经可信认证的系统元件构成一个生态圈，排除所有未经认证的所有经可信认证的系统元件构成一个生态圈，排除所有未经认证的元件和修改件元件和修改件u 主动可信计算体系：我国的可信计算标准体系主动可信计算体系：我国的可信计算标准体系u 可信机制自成系统，主动监控系统并提供可信服务可信机制自成系统，主动监控系统并提供可信服务u 可信的标准由安全管理者自行制定，可信机制验证系统是否符合安可信的标准由安全管理者自行制定，可信机制验证系统是否符合安全管理者所制定的标准全管理者所制定的标准两种可信计算体系打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*TCG的被动可信机制示例运行态安全机制安全控制安全控制安全决策安全决策安全监视安全监视操作系统安全架构操作系统安全服务模块第三方安全服务模块平台可信服务模块可信软件栈并发访问数据流封装对象管理可信服务提供者（TSP)接口初始安全机制证书判决机制操作系统安全服务接口会话管理证书发放者（微软）嵌入式可信机制嵌入式可信机制可信根打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u TCGTCG的可信是的可信是“保证可信保证可信”u 通过一个信任领域的通过一个信任领域的“上帝上帝”来保证共同的可信观。来保证共同的可信观。u 可信与不可信的界限之间泾渭分明。可信与不可信的界限之间泾渭分明。u 用户被动接收可信的结论，没有自主选择权。用户被动接收可信的结论，没有自主选择权。u“内鬼内鬼”会污染整个可信体系会污染整个可信体系TCG可信 Tips 打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u TCGTCG可信二元化的可信认证方式，不能处理现代信息系统的可信二元化的可信认证方式，不能处理现代信息系统的复杂信任关系复杂信任关系u TCGTCG可信被动式的可信调用模式，无法现代信息系统灵活多可信被动式的可信调用模式，无法现代信息系统灵活多变的应用运行模式变的应用运行模式。为什么TCG可信不适应现代信息系统？打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*主动可信机制示例可信硬件平台运行态安全机制运行态安全机制运行态安全机制安全服务评估方安全服务评估方安全决策安全决策底层安全监控机制安全机制组件初始安全机制可信平台控制模块安全服务测评方安全服务提供商安全管理中心策略模板测评结果实施策略安全管理程序实施策略实施策略用户安全需求可信协作中间件可信调度策略传递纵深防御安全扩展可信基础软件可信审计程序实施策略实施策略审计报告TCM可信硬件可信机制组件可信机制组件可信机制组件打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u 主动可信机制可以实现多元化的复杂可信管理与协作，能适主动可信机制可以实现多元化的复杂可信管理与协作，能适应复杂信任模型的需求应复杂信任模型的需求u 主动可信机制能够实现安全机制的按需调度配置，能适应多主动可信机制能够实现安全机制的按需调度配置，能适应多种软件定义的应用运行模式种软件定义的应用运行模式u 主动可信机制可以独立于已有架构实现，既可保证系统的兼主动可信机制可以独立于已有架构实现，既可保证系统的兼容性，又便于实现安全的自主自控容性，又便于实现安全的自主自控主动可信机制适用于现代信息系统打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境*可信计算可信计算北京市北京市重点实验室重点实验室*u 在信息系统中，不需要，也不应该有一个信任上的在信息系统中，不需要，也不应该有一个信任上的“上帝上帝”u 电子空间的信任体系，应当是现实信任关系在信息系统中的映射。电子空间的信任体系，应当是现实信任关系在信息系统中的映射。u 通过主动可信机制，可以逼近这种映射，让用户能掌控自己的信任。通过主动可信机制，可以逼近这种映射，让用户能掌控自己的信任。u 电子空间的信任体系，应该通过用户之间的多角度，多层次的协商，以电子空间的信任体系，应该通过用户之间的多角度，多层次的协商，以自组织方式实现。自组织方式实现。u 从信任入手重组安全，将让信息安全真正走向体系化，带来信息安全领从信任入手重组安全，将让信息安全真正走向体系化，带来信息安全领域的一场革命域的一场革命u 信任机制的实现和信任服务领域，蕴藏着巨大的商机信任机制的实现和信任服务领域，蕴藏着巨大的商机结论打造自主可控，安全可信的计算环境打造自主可控，安全可信的计算环境谢谢大家！