我國可信計算創(chuàng)新與應用

1、中國可信計算創(chuàng)新與應用2目錄目錄頁可信計算是什么？中國可信計算的作用3國內外可信計算差異2中國可信計算技術的應用情況415可信計算技術發(fā)展趨勢3可信計算是什么？可信計算技術的提出應用層攻擊ROOTKIT攻擊升級BOOTKIT攻擊攻擊防護引導層硬件層應用層內核層4可信計算是什么？可信計算技術的提出 密碼是信息安全的基石； 密鑰管理是構建安全密碼防護體系的基礎； 當前的計算機體系結構缺少密鑰等要重信息存儲的根；5可信計算是什么？可信計算技術的提出6可信計算是什么？可信計算技術的提出 國外可信計算技術發(fā)展較早，技術體系較為完整，支持廠商均是IT產(chǎn)業(yè)國際巨頭。 1999年，世界領先的IT巨頭企業(yè)IBM

2、、惠普、英特爾以及微軟聯(lián)合發(fā)起并建立了可信計算平臺聯(lián)盟 (簡稱為TCPA)。 2003年，可信計算平臺聯(lián)盟改名并重組成為可信計算組織(簡稱為TCG)，研究并確定了多種關于可信計算平臺、可信存儲以及可信網(wǎng)絡連接等關于可信計算技術規(guī)范。 國際IT廠商，開發(fā)出TCG標準的TPM硬件芯片、TSS支撐中間件，可信計算機、可信網(wǎng)絡接入產(chǎn)品等，其中TPM芯片裝機超過2億片。7 Windows BitlockerWindows Bitlocker可信計算是什么？可信計算技術的提出8核查應用程序核查應用程序信譽服務信譽服務 具有EV代碼簽名證書不具有EV代碼簽名證書已建立信譽未建立信譽SmartScreen為應

3、用程序提供信譽服務，建立信譽的應用程序直接運行，未建立信譽，因而存在風險的應用程序時向用戶發(fā)出警告啟動應用程序應用程序驗證驗證EVEV代碼簽名代碼簽名 允許啟動允許啟動允許啟動允許啟動不允許啟動并發(fā)不允許啟動并發(fā)出警告出警告Symantec和DigiCert為SmartScreen頒發(fā)EV代碼簽名證書，SmartScreen截獲應用程序檢查是否存在EV代碼簽名證書可信計算是什么？可信計算技術的提出9u 為什么不能用國際可信計算技術可信計算是什么？中國可信計算技術架構10u 為什么要大力發(fā)展我國自己的可信計算可信計算是什么？中國可信計算技術架構11中國可信計算技術架構可信計算是什么？12可信計算

4、 是指在運算的同時進行安全防護，使計算結果總是與預期一樣，計算全程可測可控，不被干擾。 可信計算是一種運算和防護并存的主動免疫的新計算模式，具有身份識別、狀態(tài)度量、保密存儲等功能。 可信計算技術能夠及時識別“自己”和“非己”成份，從而破壞與排斥進入機體的有害物質?？尚庞嬎闶鞘裁?？中國可信計算技術架構13目錄目錄頁可信計算是什么？中國可信計算的作用國內外可信計算差異中國可信計算技術的應用情況可信計算技術發(fā)展趨勢3451214國內外可信計算差異TPCM為主動控制設備TPM為外掛式被動設備主動對外設、系統(tǒng)、軟件、網(wǎng)絡進行度量被動對外設、系統(tǒng)、軟件、網(wǎng)絡進行度量信任鏈從TPCM開始建立信任鏈從BIOS

5、開始建立可信監(jiān)控體系和宿主計算體系分離可信監(jiān)控體系和宿主計算體系耦合中國可信計算中國可信計算TCG15u 可信平臺控制模塊創(chuàng)新點TPCM作為自主可控的可信根，植入可信源根，在TCM基礎上加以信任根控制功能，實現(xiàn)密碼與控制相結合以TPCM為根的主動控制和度量功能，TPCM先于CPU啟動，對BIOS進行驗證改變了可信平臺模塊作為被動設備的傳統(tǒng)思路，將可信平臺控制模塊設計為主動控制節(jié)點，實現(xiàn)了TPCM對整個平臺的主動控制國內外可信計算差異我國可信計算的創(chuàng)新16u 可信主板創(chuàng)新點在可信平臺主板中，增加了可信度量節(jié)點，構成雙節(jié)點(TPCM+TCM)，實現(xiàn)到操作系統(tǒng)的信任傳遞，為上層提供可信硬件環(huán)境平臺對

6、外設資源實行總線級硬件可信控制CPU上電前，TPCM主動對Boot ROM進行度量，提高系統(tǒng)安全性信任鏈在“加電第一時刻”開始建立國內外可信計算差異我國可信計算的創(chuàng)新17u 可信軟件基創(chuàng)新點國內外可信計算差異我國可信計算的創(chuàng)新18國內外可信計算差異我國可信計算的創(chuàng)新u 總結 國產(chǎn)化的密碼，實現(xiàn)了根的可信； 信任鏈在加電第一時刻開始建立，符合中國國情； 主動對硬件及外設資源進行度量，防止供應鏈安全問題發(fā)生； 主動對操作系統(tǒng)、應用軟件進行度量，防止已知、未知病毒、木馬等惡意代碼發(fā)作；19目錄目錄頁可信計算是什么？中國可信計算的作用國內外可信計算差異中國可信計算技術的應用情況可信計算技術發(fā)展趨勢45

7、12320可信計算保障系統(tǒng)主體、客體可信，構建可信框架：中國可信計算的作用21身份可信 是指基于可信硬件設備TCM的安全身份鑒別機制，為用戶、平臺提供基于硬件的身份認證機制。 在可信計算保障體系下，傳統(tǒng)的針對口令的字典攻擊將無法成功實施； 傳統(tǒng)的通過破解SAM數(shù)據(jù)庫進行攻擊身份認證的方法將無法實施； 傳統(tǒng)的通過截獲認證數(shù)據(jù)進行重放攻擊的方式將無法實施。中國可信計算的作用22存儲可信 是以可信存儲根為基礎，通過對稱/非對稱密碼機制管理系統(tǒng)中的存儲密鑰或安全機制需要的敏感信息。 實現(xiàn)口令等敏感認證數(shù)據(jù)的存儲安全； 實現(xiàn)密鑰、證書等加密數(shù)據(jù)的存儲安全。中國可信計算的作用23程序可信 是以可信第三方的

8、黑、白名單為基準，對執(zhí)行程序程序進行控制，白名單程序能夠運行，黑名單程序自動刪除，并告警。 能夠防止已知的惡意程序執(zhí)行； 能夠防止未知的惡意程序執(zhí)行。中國可信計算的作用24配置可信 是以可信第三方的安全配置庫為基準，對每一臺服務器的安全配置進行實時的監(jiān)控，分析程序配置是否符合程序安全配置標準，并對不符合標準的配置給予提示，并提供修復指導。 通過修改配置，使得安全功能失效的攻擊方法將無法實施； 因為不合理配置，導致安全隱患的情景將大大減少。中國可信計算的作用25行為可信 是預期行為為基準，對程序的訪問網(wǎng)絡行為、文件操作行為、進程操作行為、危險操作行為、其他行為等進行控制。 通過注入等攻擊方式，篡

9、改程序的行為將難以實施； 為提權攻擊造成技術障礙； 能夠有效遏制越權攻擊。中國可信計算的作用26總結 1）可信計算是技術，是思想，而不是一個安全產(chǎn)品。2）基于可信計算技術，能夠保障應用的配置正確、程序和發(fā)布版本一致、行為沒有變化、使用者身份不被冒充，從而實現(xiàn)程序的正確運行。但是，如果應用本身設計有重大缺陷，可信計算也無能為力。3）所以可信計算不是安全機制，而是一種保障機制，能夠保障應用和安全機制的按既定目標執(zhí)行。中國可信計算的作用27中國可信計算的作用基于可信計算技術構建安全防護系統(tǒng)28中國可信計算的作用基于可信計算技術構建安全防護系統(tǒng)29可信節(jié)點可信節(jié)點A可信節(jié)點可信節(jié)點B可信證明可信證明網(wǎng)

10、絡可信證明網(wǎng)絡可信證明中國可信計算的作用基于可信計算技術構建安全防護系統(tǒng)30可信計算環(huán)境可信計算環(huán)境可信證明可信證明可信節(jié)點可信節(jié)點C生產(chǎn)區(qū)域生產(chǎn)區(qū)域可信節(jié)點可信節(jié)點D可信證明可信證明可信節(jié)可信節(jié)點點A運維區(qū)運維區(qū)域域可信節(jié)可信節(jié)點點B可信證明可信證明可信節(jié)點可信節(jié)點C管理區(qū)管理區(qū)域域可信節(jié)點可信節(jié)點D中國可信計算的作用基于可信計算技術構建安全防護系統(tǒng)31中國可信計算的作用基于可信計算技術構建安全防護系統(tǒng)32目錄目錄頁可信計算是什么？中國可信計算的作用國內外可信計算差異中國可信計算技術的應用情況可信計算技術發(fā)展趨勢5123433中國可信計算技術的應用情況我國可信計算具備產(chǎn)業(yè)化條件國家中長期科學

11、技術發(fā)展（2006-2020年）明確提出“以發(fā)展高可信網(wǎng)絡為重點，開發(fā)網(wǎng)絡安全技術及相關產(chǎn)品，建立網(wǎng)絡安全技術保障體系”“十二五”規(guī)劃有關工程項目都把可信計算列為發(fā)展重點u 國家高度重視我國核心設備發(fā)展戰(zhàn)略已將可信計算技術列為網(wǎng)絡空間安全領域的第一個重要技術34中國可信計算技術的應用情況我國可信計算具備產(chǎn)業(yè)化條件可信計算標準系列逐步制定，研究制定單位達40多家，參加人員達400多，標準的創(chuàng)新點都作了技術驗證，申報專利達40多項中國可信計算于1992年正式立項研究并規(guī)模應用，早于TCG（2000年成立），經(jīng)過長期攻關，形成了自主創(chuàng)新的體系不少單位和部門已按有關標準研制了芯片、整機、軟件和網(wǎng)絡連接

12、等可信部件和設備，并得到了有效的應用u 技術已經(jīng)成熟35中國可信計算技術的應用情況我國可信計算具備產(chǎn)業(yè)化條件由中國工程院沈昌祥院士提議，中國電子信息產(chǎn)業(yè)集團、中國信息安全研究院、北京工業(yè)大學、中國電力科學研究院等60家單位發(fā)起，經(jīng)北京市民政局批準、具有法人資格的社會團體中關村可信計算產(chǎn)業(yè)聯(lián)盟（“聯(lián)盟”）于14年4月16日正式成立聯(lián)盟成員單位具有廣泛的代表性，60家發(fā)起單位涉及到國內可信計算產(chǎn)業(yè)鏈的各個環(huán)節(jié)，覆蓋了“產(chǎn)學研用”各界。其中，既有國有企業(yè)，也有民營企業(yè)、大學、事業(yè)單位；既有生產(chǎn)企業(yè)，還有科研院所、部門與行業(yè)用戶，甚至包括政府采購領域媒體、投資平臺等u 產(chǎn)業(yè)正在形成36中國可信計算技術

13、的應用情況我國可信計算相關產(chǎn)品37中國可信計算技術的應用情況我國可信計算應用情況u 應用前景廣闊-電網(wǎng)調度系統(tǒng)應用CPU使用率內存使用率計算時間加載前加載后影響度加載前加載后影響度加載前加載后影響度應用12.92%2.95%1.03%11%11%0%69s69.9s1.3%應用22.3%2.33%1.3%6.9%7%1.45%24.6s25.1s2.03%應用32.8%2.85%1.79%7.8%7.9%1.28%18.9s19.4s2.65%采用PCI可信卡的方式進行部署實施實現(xiàn)了對已知、未知惡意代碼的免疫實現(xiàn)了可信保障機制，使得系統(tǒng)中的安全機制不被旁路或篡改基于D5000平臺的安全標簽，實

14、現(xiàn)針對服務的強制訪問控制 通過逐級認證實現(xiàn)系統(tǒng)的主動免疫，達到等級保護四級技術要求38中國可信計算技術的應用情況我國可信計算應用情況u 應用前景廣闊-央視播出系統(tǒng)39中國可信計算技術的應用情況當前可信計算應用情況u 應用前景廣闊-央視播出系統(tǒng)40中國可信計算技術的應用情況當前可信計算應用情況u 總結在電力、政府、金融、廣電等重要信息系統(tǒng)中廣泛使用已開始在軍隊大規(guī)模推廣獲得軍隊科技進步一等獎獲得公安部科技進步二等獎41目錄目錄頁可信計算是什么？中國可信計算的作用國內外可信計算差異中國可信計算技術的應用情況可信計算技術發(fā)展趨勢1234542可信計算技術發(fā)展趨勢可信計算技術的局限性u 新技術新應用下

15、可信計算的挑戰(zhàn)43構建基準庫，將操作系統(tǒng)和業(yè)務軟件進行備案，并對備案的系統(tǒng)或軟件做安全測試。只有預裝控制模塊的系統(tǒng)才能接入到業(yè)務環(huán)境，并且只有符合知識庫要求的程序才能運行。通過構建知識庫和預裝控制模塊，可實現(xiàn)對操作系統(tǒng)的：構建基準庫預裝控制模塊可信、可控、可管行業(yè)范圍的可信基準庫構建u 應對不斷變化的環(huán)境，加強策略中心、構建可信基準庫、進行分析與展示可信計算技術發(fā)展趨勢44記錄每一個系統(tǒng)程序和業(yè)務程序的漏洞信息，并提供相應解決方案。記錄系統(tǒng)程序和業(yè)務程序的配置文件模版和配置參數(shù)描述。記錄每一個系統(tǒng)程序和業(yè)務程序的HASH值，并做安全性分析,標記黑白名單。程序身份信息調用漏洞信息程序配置信息廠商主動投遞（系統(tǒng)、軟件）程序安全性檢查（專用檢查環(huán)境）基準庫發(fā)布（開放查詢接口）記錄系統(tǒng)程序和業(yè)務程序的網(wǎng)絡、文件等操作訪問行為。程序行為信息行業(yè)范圍的可信基準庫構建可信計算技術發(fā)展趨勢45操作系統(tǒng)接入業(yè)務環(huán)境前需開啟安全控制模塊，未開啟安全控制模塊的系統(tǒng)禁止接入系統(tǒng)環(huán)境。操作系統(tǒng)需要出廠時預裝安全控