等保2.0下可信计算研究与测评探讨

◆何金军 王旭 邹俊

（上海市网络技术综合应用研究所 上海 200336）

随着新技术、新应用的发展，系统上云成为一种趋势，但由于云环境中虚拟化资源的高度集中、共享，现实网络环境安全漏洞百出，使得建立安全可信且具有主动免疫防御能力的系统成为新安全需求。

1 可信计算简介

现阶段网络安全问题多样，面对这些安全威胁，传统的防护手段主要依赖防火墙、入侵检测系统和恶意代码防护工具等被动防御手段。而攻击者层出不穷的攻击手段和不断涌现的新型漏洞，使得传统的被动防护措施难以适应当今复杂的网络环境。

国内外学者通过多年的研究和实践，提出了可信计算的基本思想：在计算平台创建一个可信根，再建立从底层硬件平台到操作系统直至应用系统的信任链，逐级别的对每个执行环节进行度量，并验证系统的可信性是否遭到破坏，从而使系统环境变得安全可信[1]。可信计算的发展历程及主要特征如表1 所示。在可信1.0 阶段，主要考虑的是通过冗余备份的方式提高系统的可用性。在可信2.0 阶段则通过提供可信组件接口，实现被动度量的防护能力。当今，我国已进入可信3.0 时代，由我国自主设计的运算和防护并行的双体系结构，具有对业务应用透明的特性，通过将被动模式变为主动模式，增加了网络信息系统的主动免疫防护功能，其思想是“安全可信策略管控下的运算和防护并存的主动免疫的新计算体系结构”[2]。

表1 可信计算发展历程

2 云环境下可信计算安全框架

云计算作为可信计算当前的重点应用方向，存在诸多的安全问题，如资源隔离失效、系统漏洞、非法篡改、数据泄露、虚拟机迁移攻击、虚拟机逃逸、虚拟机镜像攻击等。针对云环境下存在的各类安全问题，我国创新性提出一种基于可信计算的云安全框架[3]。该框架以商密算法为基础构建可信计算密码模块（TCM），以实现身份鉴别、状态度量及加密存储等功能，特别强调可信计算的重要作用，为构建“自主可信、可管、可控”的防护能力提供支撑。相对于可信2.0 被动度量的外挂式设计结构，我国在可信计算领域开创性地构建出以硬件可信芯片为支柱、可信网络连接（TNC）为纽带、安全可信策略管控等多重防护保障的安全可信双体系结构[2]。双体系架构主要包括计算部件和可信防护部件两大块，目的是通过可信的防护部件度量并监控计算部件的状态。该架构以商用密码体系为基础，进而建立可信密码模块（TCM）。可信平台控制模块（TPCM）是在可信平台模块（TPM）的基础上融合可信源根实现对整个平台的主动度量控制，TPM 提供了3 个可信根，其中可信度量根（RTM）用于度量检测对象的状态；可信存储根（RTS）用于保护存储在TPM 之外的信息，如度量结果值和密钥等；可信报告根则用于对TPM 的状态及数据信息进行签名校验[4]。可信软件基（TSB）对整个体系结构而言起着承上启下的重要作用，它向上用于保护宿主操作系统等基础软件及应用程序的安全，向下则是对TPCM 进行管理并承接可信链的传递[5]。为了使系统具有主动免疫的防护能力，TSB 通过构建双系统体系结构，同宿主操作系统并行，并在TPCM 的作用下实现系统内部进行主动拦截和度量保护等手段，使系统免疫于已知及未知的安全威胁，从而改变了传统的“封堵查杀”等被动防护思路。

3 可信验证测评探讨

等保2.0相关标准的实施使得可信计算作为重大变化映入大众的视野中，通过对比标准中二、三级可信验证部分的要求[6-7]，可发现三级比二级的要求区别主要体现在应用程序的关键执行环节是否进行动态的可信验证。可信验证包括度量、验证过程，度量即通过如哈希算法等计算所检测客体或应用的消息摘要，针对文件等静态信息和系统运行时开启的进程、内存变动等又可分为静态度量和动态度量。验证则是将度量后的值与可信基准库中的参考值进行比对，一致则表示验证成功，否则验证不通过，可信性将会受到破坏。

通过研究具有主动免疫防御能力的可信云安全框架、等保2.0 标准中的可信计算要求，可以明确安全可信产品应具备的功能，比如产品基于可信根下具有可信度量验证、可信审计、可信管理、可信密码算法等功能。针对云环境下的可信，云平台自身的可信性是保证云计算安全的基础，除了提供可信的服务外，不仅要保证云平台自身可信，如设备固件、虚拟机、操作系统等，而且还需保证云上的应用以及云租户的运行环境与应用可信[8]。然而，我国目前处于可信计算推广应用的初期阶段，对于可信性测评缺乏专门的评测机构和评测工具，而且可信性测评的经验也不够完善。另一方面，由于无专业的可信验证检测工具，无法去验证设备产品或应用程序是否满足可信验证要求，因此，对于购买了可信产品、可信服务的用户，在测评时主要查看其产品的白皮书介绍、查看设备是否具备公安部颁发的销售许可证及国家密码管理主管部门颁发的商用密码产品销售许可证、日志审计记录、安全角色划分情况、可信验证失败的告警记录等信息。总体而言，测评时关注的点如表2 所示。

表2 等保2.0 中二、三级可信验证测评关注点

4 结束语

无论是云计算系统还是传统系统，可信并不意味着安全，还需要结合安全策略、访问控制策略以及人的因素进行综合考虑，以确保业务信息和系统服务的安全可信。