可信計算概述

如今信息技術(shù)已經(jīng)成為了人們生活中不可分割的一部分，人們每天都通過計算機和互聯(lián)網(wǎng)獲取信息、進行各種活動。但計算機與網(wǎng)絡(luò)空間并不總是安全的，一方面?zhèn)儠ㄟ^在網(wǎng)絡(luò)中散布惡意病毒來對正常用戶進行攻擊，例如2017年5月爆發(fā)的病毒；另一方面許多不良廠商會在自己的軟件中“開后門”，趁用戶不注意時獲取用戶的隱私或者彈出彈窗廣告，這些都給維護網(wǎng)絡(luò)空間的信息安全帶來了巨大的挑戰(zhàn)。為了使人們能夠正常地通過計算機在互聯(lián)網(wǎng)上進行各種活動，我們必須建立一套安全的可靠的防御體系來確保我們的計算機能夠按照預(yù)期穩(wěn)定地提供服務(wù)。

可信計算

早在2000年伊始，我國就開始關(guān)注可信計算，并進行了立項、研究，和國外不同，我國在可信計算上走的是先引進技術(shù)后自主研發(fā)、先產(chǎn)品化后標(biāo)準(zhǔn)化的跨越式發(fā)展。2004 年，武漢瑞達(dá)生產(chǎn)了款TPM，之后聯(lián)想、長城等基于TPM生產(chǎn)了可信PC。2005年1月，信息安全標(biāo)準(zhǔn)化技術(shù)成立了可信計算工作小組（WGI），先后研制制定了可信密碼模塊（TCM）、可信主板、可信網(wǎng)絡(luò)聯(lián)接等多項標(biāo)準(zhǔn)規(guī)范。2005年，***出臺“十一五”規(guī)劃和“863”計劃，把“可信計算”列入***支持項目，我國出現(xiàn)了一系列的可信計算產(chǎn)品。

①信任芯片是否支持國產(chǎn)密碼算法，***密碼局主導(dǎo)提出了中國商用密碼可信計算應(yīng)用標(biāo)準(zhǔn)，并禁止加載國際算法的可信計算產(chǎn)品在國內(nèi)銷售；

②信任芯片是否支持板卡層面的優(yōu)先加電控制，國內(nèi)部分學(xué)者認(rèn)為提出的CPU先加電、后依靠密碼芯片建立信任鏈的模式強度不夠，為此，提出基于TPCM芯片的雙體系計算安全架構(gòu)，TPCM芯片除了密碼功能外，必須先于CPU加電，先于CPU對BIOS進行完整性度量；

③可信軟件棧是否支持操作系統(tǒng)層面的透明可信控制，國內(nèi)部分學(xué)者認(rèn)為需要程序被動調(diào)用可信接口，不能在操作系統(tǒng)層面進行主動度量，為此，提出在操作系統(tǒng)內(nèi)核層面對應(yīng)用程序完整性和程序行為進行透明可信判定及控制思路。

以PC機可信計算舉例。操作系統(tǒng)首先將系統(tǒng)上所有的可執(zhí)行程序做一個哈希度量，將這個度量值存儲在可信計算基中。系統(tǒng)啟動時檢測BIOS和操作系統(tǒng)的完整性和正確性，保障你在使用PC時硬件配置和操作系統(tǒng)沒有被篡改過，所有系統(tǒng)的安全措施和設(shè)置都不會被繞過。然后系統(tǒng)要運行應(yīng)用程序，除了經(jīng)過傳統(tǒng)的操作系統(tǒng)的權(quán)限判斷之外，還要與可信計算基中存儲的度量值做一個對比，如果或是惡意程序修改了可執(zhí)行文件的內(nèi)容，就可以檢測到應(yīng)用程序已經(jīng)發(fā)生了更改，則禁止程序運行。