我國可信計算創(chuàng)新與應(yīng)用

1、中國可信計算創(chuàng)新與應(yīng)用2目錄目錄頁可信計算是什么？中國可信計算的作用3國內(nèi)外可信計算差異2中國可信計算技術(shù)的應(yīng)用情況415可信計算技術(shù)發(fā)展趨勢3可信計算是什么？可信計算技術(shù)的提出應(yīng)用層攻擊ROOTKIT攻擊升級BOOTKIT攻擊攻擊防護(hù)引導(dǎo)層硬件層應(yīng)用層內(nèi)核層4可信計算是什么？可信計算技術(shù)的提出 密碼是信息安全的基石； 密鑰管理是構(gòu)建安全密碼防護(hù)體系的基礎(chǔ)； 當(dāng)前的計算機(jī)體系結(jié)構(gòu)缺少密鑰等要重信息存儲的根；5可信計算是什么？可信計算技術(shù)的提出6可信計算是什么？可信計算技術(shù)的提出 國外可信計算技術(shù)發(fā)展較早，技術(shù)體系較為完整，支持廠商均是IT產(chǎn)業(yè)國際巨頭。 1999年，世界領(lǐng)先的IT巨頭企業(yè)IBM

2、、惠普、英特爾以及微軟聯(lián)合發(fā)起并建立了可信計算平臺聯(lián)盟 (簡稱為TCPA)。 2003年，可信計算平臺聯(lián)盟改名并重組成為可信計算組織(簡稱為TCG)，研究并確定了多種關(guān)于可信計算平臺、可信存儲以及可信網(wǎng)絡(luò)連接等關(guān)于可信計算技術(shù)規(guī)范。 國際IT廠商，開發(fā)出TCG標(biāo)準(zhǔn)的TPM硬件芯片、TSS支撐中間件，可信計算機(jī)、可信網(wǎng)絡(luò)接入產(chǎn)品等，其中TPM芯片裝機(jī)超過2億片。7 Windows BitlockerWindows Bitlocker可信計算是什么？可信計算技術(shù)的提出8核查應(yīng)用程序核查應(yīng)用程序信譽(yù)服務(wù)信譽(yù)服務(wù) 具有EV代碼簽名證書不具有EV代碼簽名證書已建立信譽(yù)未建立信譽(yù)SmartScreen為應(yīng)

3、用程序提供信譽(yù)服務(wù)，建立信譽(yù)的應(yīng)用程序直接運(yùn)行，未建立信譽(yù)，因而存在風(fēng)險的應(yīng)用程序時向用戶發(fā)出警告啟動應(yīng)用程序應(yīng)用程序驗證驗證EVEV代碼簽名代碼簽名 允許啟動允許啟動允許啟動允許啟動不允許啟動并發(fā)不允許啟動并發(fā)出警告出警告Symantec和DigiCert為SmartScreen頒發(fā)EV代碼簽名證書，SmartScreen截獲應(yīng)用程序檢查是否存在EV代碼簽名證書可信計算是什么？可信計算技術(shù)的提出9u 為什么不能用國際可信計算技術(shù)可信計算是什么？中國可信計算技術(shù)架構(gòu)10u 為什么要大力發(fā)展我國自己的可信計算可信計算是什么？中國可信計算技術(shù)架構(gòu)11中國可信計算技術(shù)架構(gòu)可信計算是什么？12可信計算

4、 是指在運(yùn)算的同時進(jìn)行安全防護(hù)，使計算結(jié)果總是與預(yù)期一樣，計算全程可測可控，不被干擾。 可信計算是一種運(yùn)算和防護(hù)并存的主動免疫的新計算模式，具有身份識別、狀態(tài)度量、保密存儲等功能。 可信計算技術(shù)能夠及時識別“自己”和“非己”成份，從而破壞與排斥進(jìn)入機(jī)體的有害物質(zhì)?？尚庞嬎闶鞘裁矗恐袊尚庞嬎慵夹g(shù)架構(gòu)13目錄目錄頁可信計算是什么？中國可信計算的作用國內(nèi)外可信計算差異中國可信計算技術(shù)的應(yīng)用情況可信計算技術(shù)發(fā)展趨勢3451214國內(nèi)外可信計算差異TPCM為主動控制設(shè)備TPM為外掛式被動設(shè)備主動對外設(shè)、系統(tǒng)、軟件、網(wǎng)絡(luò)進(jìn)行度量被動對外設(shè)、系統(tǒng)、軟件、網(wǎng)絡(luò)進(jìn)行度量信任鏈從TPCM開始建立信任鏈從BIOS

5、開始建立可信監(jiān)控體系和宿主計算體系分離可信監(jiān)控體系和宿主計算體系耦合中國可信計算中國可信計算TCG15u 可信平臺控制模塊創(chuàng)新點TPCM作為自主可控的可信根，植入可信源根，在TCM基礎(chǔ)上加以信任根控制功能，實現(xiàn)密碼與控制相結(jié)合以TPCM為根的主動控制和度量功能，TPCM先于CPU啟動，對BIOS進(jìn)行驗證改變了可信平臺模塊作為被動設(shè)備的傳統(tǒng)思路，將可信平臺控制模塊設(shè)計為主動控制節(jié)點，實現(xiàn)了TPCM對整個平臺的主動控制國內(nèi)外可信計算差異我國可信計算的創(chuàng)新16u 可信主板創(chuàng)新點在可信平臺主板中，增加了可信度量節(jié)點，構(gòu)成雙節(jié)點(TPCM+TCM)，實現(xiàn)到操作系統(tǒng)的信任傳遞，為上層提供可信硬件環(huán)境平臺對

6、外設(shè)資源實行總線級硬件可信控制CPU上電前，TPCM主動對Boot ROM進(jìn)行度量，提高系統(tǒng)安全性信任鏈在“加電第一時刻”開始建立國內(nèi)外可信計算差異我國可信計算的創(chuàng)新17u 可信軟件基創(chuàng)新點國內(nèi)外可信計算差異我國可信計算的創(chuàng)新18國內(nèi)外可信計算差異我國可信計算的創(chuàng)新u 總結(jié) 國產(chǎn)化的密碼，實現(xiàn)了根的可信； 信任鏈在加電第一時刻開始建立，符合中國國情； 主動對硬件及外設(shè)資源進(jìn)行度量，防止供應(yīng)鏈安全問題發(fā)生； 主動對操作系統(tǒng)、應(yīng)用軟件進(jìn)行度量，防止已知、未知病毒、木馬等惡意代碼發(fā)作；19目錄目錄頁可信計算是什么？中國可信計算的作用國內(nèi)外可信計算差異中國可信計算技術(shù)的應(yīng)用情況可信計算技術(shù)發(fā)展趨勢45

7、12320可信計算保障系統(tǒng)主體、客體可信，構(gòu)建可信框架：中國可信計算的作用21身份可信 是指基于可信硬件設(shè)備TCM的安全身份鑒別機(jī)制，為用戶、平臺提供基于硬件的身份認(rèn)證機(jī)制。 在可信計算保障體系下，傳統(tǒng)的針對口令的字典攻擊將無法成功實施； 傳統(tǒng)的通過破解SAM數(shù)據(jù)庫進(jìn)行攻擊身份認(rèn)證的方法將無法實施； 傳統(tǒng)的通過截獲認(rèn)證數(shù)據(jù)進(jìn)行重放攻擊的方式將無法實施。中國可信計算的作用22存儲可信 是以可信存儲根為基礎(chǔ)，通過對稱/非對稱密碼機(jī)制管理系統(tǒng)中的存儲密鑰或安全機(jī)制需要的敏感信息。 實現(xiàn)口令等敏感認(rèn)證數(shù)據(jù)的存儲安全； 實現(xiàn)密鑰、證書等加密數(shù)據(jù)的存儲安全。中國可信計算的作用23程序可信 是以可信第三方的

8、黑、白名單為基準(zhǔn)，對執(zhí)行程序程序進(jìn)行控制，白名單程序能夠運(yùn)行，黑名單程序自動刪除，并告警。 能夠防止已知的惡意程序執(zhí)行； 能夠防止未知的惡意程序執(zhí)行。中國可信計算的作用24配置可信 是以可信第三方的安全配置庫為基準(zhǔn)，對每一臺服務(wù)器的安全配置進(jìn)行實時的監(jiān)控，分析程序配置是否符合程序安全配置標(biāo)準(zhǔn)，并對不符合標(biāo)準(zhǔn)的配置給予提示，并提供修復(fù)指導(dǎo)。 通過修改配置，使得安全功能失效的攻擊方法將無法實施； 因為不合理配置，導(dǎo)致安全隱患的情景將大大減少。中國可信計算的作用25行為可信 是預(yù)期行為為基準(zhǔn)，對程序的訪問網(wǎng)絡(luò)行為、文件操作行為、進(jìn)程操作行為、危險操作行為、其他行為等進(jìn)行控制。 通過注入等攻擊方式，篡

9、改程序的行為將難以實施； 為提權(quán)攻擊造成技術(shù)障礙； 能夠有效遏制越權(quán)攻擊。中國可信計算的作用26總結(jié) 1）可信計算是技術(shù)，是思想，而不是一個安全產(chǎn)品。2）基于可信計算技術(shù)，能夠保障應(yīng)用的配置正確、程序和發(fā)布版本一致、行為沒有變化、使用者身份不被冒充，從而實現(xiàn)程序的正確運(yùn)行。但是，如果應(yīng)用本身設(shè)計有重大缺陷，可信計算也無能為力。3）所以可信計算不是安全機(jī)制，而是一種保障機(jī)制，能夠保障應(yīng)用和安全機(jī)制的按既定目標(biāo)執(zhí)行。中國可信計算的作用27中國可信計算的作用基于可信計算技術(shù)構(gòu)建安全防護(hù)系統(tǒng)28中國可信計算的作用基于可信計算技術(shù)構(gòu)建安全防護(hù)系統(tǒng)29可信節(jié)點可信節(jié)點A可信節(jié)點可信節(jié)點B可信證明可信證明網(wǎng)

10、絡(luò)可信證明網(wǎng)絡(luò)可信證明中國可信計算的作用基于可信計算技術(shù)構(gòu)建安全防護(hù)系統(tǒng)30可信計算環(huán)境可信計算環(huán)境可信證明可信證明可信節(jié)點可信節(jié)點C生產(chǎn)區(qū)域生產(chǎn)區(qū)域可信節(jié)點可信節(jié)點D可信證明可信證明可信節(jié)可信節(jié)點點A運(yùn)維區(qū)運(yùn)維區(qū)域域可信節(jié)可信節(jié)點點B可信證明可信證明可信節(jié)點可信節(jié)點C管理區(qū)管理區(qū)域域可信節(jié)點可信節(jié)點D中國可信計算的作用基于可信計算技術(shù)構(gòu)建安全防護(hù)系統(tǒng)31中國可信計算的作用基于可信計算技術(shù)構(gòu)建安全防護(hù)系統(tǒng)32目錄目錄頁可信計算是什么？中國可信計算的作用國內(nèi)外可信計算差異中國可信計算技術(shù)的應(yīng)用情況可信計算技術(shù)發(fā)展趨勢5123433中國可信計算技術(shù)的應(yīng)用情況我國可信計算具備產(chǎn)業(yè)化條件國家中長期科學(xué)

11、技術(shù)發(fā)展（2006-2020年）明確提出“以發(fā)展高可信網(wǎng)絡(luò)為重點，開發(fā)網(wǎng)絡(luò)安全技術(shù)及相關(guān)產(chǎn)品，建立網(wǎng)絡(luò)安全技術(shù)保障體系”“十二五”規(guī)劃有關(guān)工程項目都把可信計算列為發(fā)展重點u 國家高度重視我國核心設(shè)備發(fā)展戰(zhàn)略已將可信計算技術(shù)列為網(wǎng)絡(luò)空間安全領(lǐng)域的第一個重要技術(shù)34中國可信計算技術(shù)的應(yīng)用情況我國可信計算具備產(chǎn)業(yè)化條件可信計算標(biāo)準(zhǔn)系列逐步制定，研究制定單位達(dá)40多家，參加人員達(dá)400多，標(biāo)準(zhǔn)的創(chuàng)新點都作了技術(shù)驗證，申報專利達(dá)40多項中國可信計算于1992年正式立項研究并規(guī)模應(yīng)用，早于TCG（2000年成立），經(jīng)過長期攻關(guān)，形成了自主創(chuàng)新的體系不少單位和部門已按有關(guān)標(biāo)準(zhǔn)研制了芯片、整機(jī)、軟件和網(wǎng)絡(luò)連接

12、等可信部件和設(shè)備，并得到了有效的應(yīng)用u 技術(shù)已經(jīng)成熟35中國可信計算技術(shù)的應(yīng)用情況我國可信計算具備產(chǎn)業(yè)化條件由中國工程院沈昌祥院士提議，中國電子信息產(chǎn)業(yè)集團(tuán)、中國信息安全研究院、北京工業(yè)大學(xué)、中國電力科學(xué)研究院等60家單位發(fā)起，經(jīng)北京市民政局批準(zhǔn)、具有法人資格的社會團(tuán)體中關(guān)村可信計算產(chǎn)業(yè)聯(lián)盟（“聯(lián)盟”）于14年4月16日正式成立聯(lián)盟成員單位具有廣泛的代表性，60家發(fā)起單位涉及到國內(nèi)可信計算產(chǎn)業(yè)鏈的各個環(huán)節(jié)，覆蓋了“產(chǎn)學(xué)研用”各界。其中，既有國有企業(yè)，也有民營企業(yè)、大學(xué)、事業(yè)單位；既有生產(chǎn)企業(yè)，還有科研院所、部門與行業(yè)用戶，甚至包括政府采購領(lǐng)域媒體、投資平臺等u 產(chǎn)業(yè)正在形成36中國可信計算技術(shù)

13、的應(yīng)用情況我國可信計算相關(guān)產(chǎn)品37中國可信計算技術(shù)的應(yīng)用情況我國可信計算應(yīng)用情況u 應(yīng)用前景廣闊-電網(wǎng)調(diào)度系統(tǒng)應(yīng)用CPU使用率內(nèi)存使用率計算時間加載前加載后影響度加載前加載后影響度加載前加載后影響度應(yīng)用12.92%2.95%1.03%11%11%0%69s69.9s1.3%應(yīng)用22.3%2.33%1.3%6.9%7%1.45%24.6s25.1s2.03%應(yīng)用32.8%2.85%1.79%7.8%7.9%1.28%18.9s19.4s2.65%采用PCI可信卡的方式進(jìn)行部署實施實現(xiàn)了對已知、未知惡意代碼的免疫實現(xiàn)了可信保障機(jī)制，使得系統(tǒng)中的安全機(jī)制不被旁路或篡改基于D5000平臺的安全標(biāo)簽，實

14、現(xiàn)針對服務(wù)的強(qiáng)制訪問控制 通過逐級認(rèn)證實現(xiàn)系統(tǒng)的主動免疫，達(dá)到等級保護(hù)四級技術(shù)要求38中國可信計算技術(shù)的應(yīng)用情況我國可信計算應(yīng)用情況u 應(yīng)用前景廣闊-央視播出系統(tǒng)39中國可信計算技術(shù)的應(yīng)用情況當(dāng)前可信計算應(yīng)用情況u 應(yīng)用前景廣闊-央視播出系統(tǒng)40中國可信計算技術(shù)的應(yīng)用情況當(dāng)前可信計算應(yīng)用情況u 總結(jié)在電力、政府、金融、廣電等重要信息系統(tǒng)中廣泛使用已開始在軍隊大規(guī)模推廣獲得軍隊科技進(jìn)步一等獎獲得公安部科技進(jìn)步二等獎41目錄目錄頁可信計算是什么？中國可信計算的作用國內(nèi)外可信計算差異中國可信計算技術(shù)的應(yīng)用情況可信計算技術(shù)發(fā)展趨勢1234542可信計算技術(shù)發(fā)展趨勢可信計算技術(shù)的局限性u 新技術(shù)新應(yīng)用下

15、可信計算的挑戰(zhàn)43構(gòu)建基準(zhǔn)庫，將操作系統(tǒng)和業(yè)務(wù)軟件進(jìn)行備案，并對備案的系統(tǒng)或軟件做安全測試。只有預(yù)裝控制模塊的系統(tǒng)才能接入到業(yè)務(wù)環(huán)境，并且只有符合知識庫要求的程序才能運(yùn)行。通過構(gòu)建知識庫和預(yù)裝控制模塊，可實現(xiàn)對操作系統(tǒng)的：構(gòu)建基準(zhǔn)庫預(yù)裝控制模塊可信、可控、可管行業(yè)范圍的可信基準(zhǔn)庫構(gòu)建u 應(yīng)對不斷變化的環(huán)境，加強(qiáng)策略中心、構(gòu)建可信基準(zhǔn)庫、進(jìn)行分析與展示可信計算技術(shù)發(fā)展趨勢44記錄每一個系統(tǒng)程序和業(yè)務(wù)程序的漏洞信息，并提供相應(yīng)解決方案。記錄系統(tǒng)程序和業(yè)務(wù)程序的配置文件模版和配置參數(shù)描述。記錄每一個系統(tǒng)程序和業(yè)務(wù)程序的HASH值，并做安全性分析,標(biāo)記黑白名單。程序身份信息調(diào)用漏洞信息程序配置信息廠商主動投遞（系統(tǒng)、軟件）程序安全性檢查（專用檢查環(huán)境）基準(zhǔn)庫發(fā)布（開放查詢接口）記錄系統(tǒng)程序和業(yè)務(wù)程序的網(wǎng)絡(luò)、文件等操作訪問行為。程序行為信息行業(yè)范圍的可信基準(zhǔn)庫構(gòu)建可信計算技術(shù)發(fā)展趨勢45操作系統(tǒng)接入業(yè)務(wù)環(huán)境前需開啟安全控制模塊，未開啟安全控制模塊的系統(tǒng)禁止接入系統(tǒng)環(huán)境。操作系統(tǒng)需要出廠時預(yù)裝安全控