一文讀懂可信計(jì)算技術(shù)與產(chǎn)品生態(tài)

一什么是可信計(jì)算1可信計(jì)算帶來哪些好處？可信計(jì)算的基礎(chǔ)是“可信平臺模塊”（TrustedPlatformModule，TPM），其核心是一顆密碼安全芯片，TPM可為主機(jī)提供三大可信計(jì)算基本功能：一是身份認(rèn)證功能，用于賦予信息終端唯一可信身份,確保其內(nèi)部運(yùn)行程序合法性,確立互聯(lián)網(wǎng)終端節(jié)點(diǎn)可信；二是安全度量功能，從技術(shù)上保障信息終端內(nèi)部軟硬件環(huán)境不被非法篡改或利用,有效預(yù)防底層固件的蠕蟲攻擊；三是密碼服務(wù)功能，提供數(shù)據(jù)加密服務(wù),使云端存儲、云端數(shù)據(jù)交換等服務(wù)成為可信任的安全應(yīng)用。TPM的高安全防護(hù)等級可以有效阻止硬件設(shè)備運(yùn)行BIOS級別和外設(shè)固件級別的惡意程序，有效保護(hù)具有計(jì)算能力的設(shè)備，防止非法用戶/設(shè)備訪問，并提供物理安全級別的敏感數(shù)據(jù)及密鑰加密保護(hù)，安全配置策略等。任何軟件方式的數(shù)據(jù)盜取，通信鏈路上的中間人和重放攻擊，以及本地物理現(xiàn)場的探針、刨片等物理攻擊方式對TPM芯片來說都不起作用。符合ISO/IEC11889標(biāo)準(zhǔn)的TPM還支持中國商用密碼算法體系（SM2/SM3/SM4），使得在數(shù)據(jù)保護(hù)上更加安全。2TPM的應(yīng)用場景是什么？擁有自己的TPM應(yīng)用，就不用操心防御中間人攻擊，重放攻擊，字典攻擊這些問題，即使在TPM指令的通信傳輸協(xié)議不加密的情況下，采用TPM協(xié)議也可以抵御上述網(wǎng)絡(luò)攻擊。有計(jì)算能力的設(shè)備都可以使用TPM，例如小型機(jī)、服務(wù)器、臺式機(jī)、筆記本、平板電腦、智能手機(jī)、打印機(jī)、手寫板、工業(yè)控制系統(tǒng)、電動(dòng)汽車控制系統(tǒng)、AIoT設(shè)備等，用途非常廣泛。3可信計(jì)算產(chǎn)品開發(fā)生態(tài)如何？目前，多個(gè)開源項(xiàng)目對TPM2.0的支持顯示出ISO/IEC11889標(biāo)準(zhǔn)強(qiáng)大的生命力，為新一代標(biāo)準(zhǔn)的廣泛應(yīng)用奠定了基礎(chǔ)，也為可信應(yīng)用開發(fā)提供了高端體驗(yàn)。硬件環(huán)境：市面上許多計(jì)算平臺均已支持TPM2.0，以微軟Surfacebook為例，SurfacePro5/6/7/8/9系列已經(jīng)內(nèi)嵌了國民技術(shù)Z32H330TC可信計(jì)算芯片。安全BIOS：基于Z32H330TC的完整性安全度量機(jī)制已經(jīng)集成在設(shè)備BIOS中，可以抵御badBIOS這樣的惡意攻擊。OS驅(qū)動(dòng)：LinuxKernel4.0開始支持TPM2.0，如Ubuntu20.04，F(xiàn)edora等，完美支持國民技術(shù)Z32H330TC芯片。TPM中間件：開源項(xiàng)目TPM2.0-TSS實(shí)現(xiàn)了TPM2.0的各種API，為上層可信計(jì)算應(yīng)用開發(fā)提供支撐。軟件工具：開源項(xiàng)目TPM2.0Tool在TSS2.0基礎(chǔ)上包裝了TPM2.0常用的安全操作、密碼服務(wù)操作等功能，可以直接使用。4可信計(jì)算標(biāo)準(zhǔn)有哪些？我國可信計(jì)算起步較早，國家密碼管理局于2007年12月在國密局公告第13號中發(fā)布了《可信計(jì)算密碼支撐平臺功能與接口規(guī)范》，這是我國第一個(gè)可信計(jì)算行業(yè)標(biāo)準(zhǔn)。經(jīng)過10多年的發(fā)展演進(jìn)，目前可信計(jì)算標(biāo)準(zhǔn)已由TCM1.0全面向TCM2.0演進(jìn)，密標(biāo)委組織制定了支撐可信計(jì)算密碼應(yīng)用的機(jī)制、協(xié)議、接口的相關(guān)標(biāo)準(zhǔn)體系，包括：GM/T0011可信計(jì)算可信密碼支撐平臺功能與接口規(guī)范GM/T0012可信計(jì)算可信密碼模塊接口規(guī)范GM/T0013可信計(jì)算可信密碼模塊接口符合性測試規(guī)范GM/T0058可信計(jì)算TCM服務(wù)模塊接口規(guī)范GM/T0079可信計(jì)算平臺直接匿名證明規(guī)范GM/T0082可信密碼模塊保護(hù)輪廓GB/T29829信息安全技術(shù)可信計(jì)算密碼支撐平臺功能與接口規(guī)范國際上，2015年國際可信計(jì)算組織（TrustedComputingGroup，TCG）制定的TPM2.0LibrarySpecification正式成為ISO/IEC11889國際標(biāo)準(zhǔn)，并且首次在ISO國際標(biāo)準(zhǔn)中成體系支持中國密碼算法SM2/SM3/SM4。5中國可信計(jì)算產(chǎn)品如何認(rèn)證？可信計(jì)算相關(guān)產(chǎn)品屬于商用密碼產(chǎn)品范疇，根據(jù)市場監(jiān)管總局、國家密碼管理局聯(lián)合發(fā)布的《商用密碼產(chǎn)品認(rèn)證目錄》，與可信計(jì)算相關(guān)的產(chǎn)品認(rèn)證種類有三種：可信計(jì)算密碼支撐平臺認(rèn)證在《商用密碼產(chǎn)品認(rèn)證目錄（第一批）》中，“可信計(jì)算密碼支撐平臺”類產(chǎn)品依據(jù)GM/T0011/0012/0058/0028進(jìn)行認(rèn)證，其中GM/T0028《密碼模塊安全技術(shù)要求》分為安全等級1-4級進(jìn)行認(rèn)證。可信密碼模塊認(rèn)證為了適應(yīng)TCM標(biāo)準(zhǔn)規(guī)范由1.0向2.0升級，2022年7月市場監(jiān)管總局、國家密碼管理局發(fā)布的《商用密碼產(chǎn)品認(rèn)證目錄（第二批）》中新增了“可信密碼模塊”產(chǎn)品認(rèn)證種類，其依據(jù)GM/T0028和GM/T0012進(jìn)行認(rèn)證，即所謂TCM2.0認(rèn)證。作為TPM2.0協(xié)議的一個(gè)子集，TCM2.0協(xié)議依據(jù)GM/T0012測試認(rèn)證。GM/T0028則分為安全等級1-4級進(jìn)行認(rèn)證。安全芯片認(rèn)證單顆芯片實(shí)現(xiàn)的TCM可信密碼模塊屬于密碼“安全芯片”產(chǎn)品認(rèn)證類，在《商用密碼產(chǎn)品認(rèn)證目錄（第一批）》中，安全芯片依據(jù)GM/T0008-2012《安全芯片密碼檢測準(zhǔn)則》來檢測，分為安全等級1-4級進(jìn)行認(rèn)證。二可信計(jì)算在網(wǎng)絡(luò)身份認(rèn)證中的應(yīng)用FIDO身份認(rèn)證框架網(wǎng)絡(luò)安全事件頻發(fā)，已經(jīng)披露的事件不過是眾多安全事件中的冰山一角。要解決網(wǎng)絡(luò)安全問題，首先必須解決網(wǎng)絡(luò)身份可信問題，相關(guān)基礎(chǔ)設(shè)施必不可少。技術(shù)層面上，人或物接入網(wǎng)絡(luò)并與身份認(rèn)證基礎(chǔ)設(shè)施交互時(shí)，需要分布式的身份采集／認(rèn)證子系統(tǒng)，為個(gè)人、通信服務(wù)和其它各種類型的服務(wù)提供平臺，這些要素從技術(shù)體系上構(gòu)成了網(wǎng)絡(luò)身份認(rèn)證的框架?？焖倬W(wǎng)絡(luò)身份認(rèn)證（FastIDOnline，F(xiàn)IDO）應(yīng)用是一個(gè)用于身份認(rèn)證的國際標(biāo)準(zhǔn)，F(xiàn)IDO通過易用的客觀物理事實(shí)如指紋、人臉、虹膜代替口令，統(tǒng)一分布式的認(rèn)證器系統(tǒng)，統(tǒng)一開放的基于密碼算法的認(rèn)證協(xié)議，基于風(fēng)險(xiǎn)策略的身份認(rèn)證基礎(chǔ)設(shè)施，來進(jìn)行可信身份認(rèn)證。對于用戶來說，刷指紋、刷臉等方式訪問網(wǎng)絡(luò)服務(wù)，勝在用戶體驗(yàn)。那么FIDO足夠安全嗎？如何保證身份認(rèn)證信息的安全性呢？這就需要可信平臺模塊（TPM）的參與了。FIDO規(guī)范定義了基于TPM形成安全環(huán)境，以保護(hù)FIDO用戶的網(wǎng)絡(luò)身份驗(yàn)證憑據(jù)。TPM芯片是高等級的安全芯片，其安全性有足夠保障。FIDO標(biāo)準(zhǔn)組織聯(lián)合W3C（萬維網(wǎng)聯(lián)盟，WorldWideWebConsortium）在W3CMemberSubmission提交的FIDO2.0:KeyAttestationFormat規(guī)范中詳細(xì)定義了基于TPM的認(rèn)證器實(shí)現(xiàn)，這意味著所有瀏覽器都要支持基于TPM的FIDO認(rèn)證協(xié)議。特別需要說明的是，基于ISO/IEC11889可信平臺模塊應(yīng)用的FIDO2.0可以直接使用中國密碼算法SM2進(jìn)行簽名驗(yàn)證機(jī)制。Windows可信身份認(rèn)證應(yīng)用Windows登錄使用的MicrosoftPassport基于FIDO標(biāo)準(zhǔn)框架建立，同時(shí)使用了可信平臺模塊提供的FIDO認(rèn)證密鑰保護(hù)機(jī)制，達(dá)到了領(lǐng)先的安全性水平。認(rèn)證密鑰在TPM中生成，私鑰將永遠(yuǎn)不會在物理安全芯片之外使用。MicrosoftEdge瀏覽器直接支持FIDO2.0，W3CWebAuthentication，可以直接基于TPM保護(hù)的密鑰進(jìn)行FIDO協(xié)議的身份認(rèn)證，為全球和中國用戶提供了一致、開放和領(lǐng)先的身份認(rèn)證安全方案。AIoT設(shè)備接入身份應(yīng)用樹莓派具有電腦的所有基本功能，可以很方便地搭建和開發(fā)出非常豐富的輕量級AIoT終端應(yīng)用，是AIoT應(yīng)用理想的開發(fā)平臺。其典型的應(yīng)用環(huán)境包括：已成為流行ARMCPU嵌入式方案的樹莓派開發(fā)平臺；Windows10IoTCore操作系統(tǒng)；TPM2.0可信模塊，提供全球一致的安全性；微軟AzureIoTHub云服務(wù)，為物聯(lián)網(wǎng)設(shè)備提供可靠的服務(wù)端數(shù)據(jù)存儲等服務(wù)。這些都是物聯(lián)網(wǎng)行業(yè)主流的技術(shù)應(yīng)用平臺。在系統(tǒng)搭建和配置完成后，物聯(lián)網(wǎng)設(shè)備與云服務(wù)之間的接入身份驗(yàn)證基于HMAC密碼算法完成。設(shè)備端的HMAC計(jì)算在TPM中進(jìn)行，服務(wù)端對計(jì)算結(jié)果進(jìn)行驗(yàn)證，確認(rèn)接入設(shè)備的身份，以防止設(shè)備身份假冒和釣魚等攻擊。TPM芯片是AIoT身份的理想安全載體，基于WindowsIoTCore接入AzureIoTHub云服務(wù)的物聯(lián)網(wǎng)設(shè)備身份應(yīng)用，基本上是即插即用的，充分實(shí)現(xiàn)了物理硬件安全，以及端到云的物聯(lián)網(wǎng)設(shè)備身份可信應(yīng)用。三國民技術(shù)可信計(jì)算產(chǎn)品解決方案作為中國大陸唯一一家可信計(jì)算芯片供應(yīng)商，國民技術(shù)面向全球市場提供一致化的可信計(jì)算芯片及解決方案，先后推出了全球第一款可信密碼模塊（TCM）安全芯片Z8H172T，第一款國產(chǎn)可信平臺模塊2.0（TPM2.0）安全芯片Z32H320TC等產(chǎn)品。目前，國民技術(shù)第三代可信計(jì)算芯片Z32H330TC以及基于Z32H330TC的可信密碼模塊（TCM）產(chǎn)品以高性能、高安全性、兼容國際和中國標(biāo)準(zhǔn)為核心競爭力，在全球一體化的產(chǎn)業(yè)鏈中被廣泛應(yīng)用。產(chǎn)品與x86，AMD64，ARM，龍芯，申威、RISC-V等主流CPU平臺兼容，并得到了主流BIOS代碼庫的支持，與全球主要的計(jì)算機(jī)操作系統(tǒng)，如Windows、Linux、中國統(tǒng)信、中國麒麟、中國方德等操作系統(tǒng)無縫集成。基于Z32H330TC的PCIe可信密碼模塊（TCM）PCIe屬于高速串行點(diǎn)對點(diǎn)雙通道高帶寬傳輸，所連接的設(shè)備分配獨(dú)享通道帶寬，不共享總線帶寬，主要支持主動(dòng)電源管理、錯(cuò)誤報(bào)告、端對端的可靠性傳輸、熱插拔以及服務(wù)質(zhì)量(QOS)等功能。PCIExpress2.0接口的TCM模塊為主機(jī)提供內(nèi)置化的高集成可信密碼模塊，在工程實(shí)施的便利性上具有獨(dú)特的優(yōu)勢，該模塊使用國民技術(shù)Z32H330TC可信計(jì)算芯片。基于Z32H330TC的