安全之心：一文讀懂可信計算

簡介： 信 or 不信，這是個問題
可信計算
TC （Trusted Computing）
業界新寵，愈來愈被高頻提到
本質是
創造可信執行環境的芯片級安全防禦方案

然而，江湖流傳 TA 的傳說
卻鮮少有人見過真身
阿里雲做爲亞太區最先佈局可信計算的雲廠商
今天咱們一塊兒來聊聊 TA 是誰？

1、環境可信

「把大象放入冰箱須要幾步」
如何經過「信任鏈」創建可信執行環境
能夠分爲三步來理解它

可信根
可信鏈
度量/驗證
第一步
可信根：芯片級、底層、不可篡改

芯片級硬件的不可篡改性
決定了其能夠做爲最高等級安全的基礎
再將硬件層安全虛擬映透傳整個目標環境
造成軟硬結合的安全體系

一臺電腦組件來自四面八方
包括他的主板芯片
當你打開電腦的時候
可能同時喚醒了隱藏在啓動鏈路上的後門
Rootkit/Bootkit

可信硬件的插入
病毒沒法篡改系統原設計
快速發現Rootkit/Bootkit並及時處理

可信根
對密鑰等私密數據進行物理保護
參與創建並保障可信鏈的傳遞
對可信芯片進行安全調用

面對深度隱藏且難以察覺的威脅
須要來自底層的保護
保障上層的不可篡改性

此處
引入一個比喻來加深一下理解

工人把半成品交給下一個工人
爲了工做順利完成
首先須要保證
工做鏈條是在可信的前提下推動着……

方法一

每一個工人在交出去以前
檢查下一個工人是否爲內部人士

注：第一個工人很重要
若是其身份造假
後面的工做都是錯誤的
此時第一位工人就是信任根
其參與創建並決定可信鏈的傳遞

方法二

流水線保持流動
每一次交付都記錄下來

注：每次交付的記錄自己很重要
保證這個記錄不被篡改
記錄就像密鑰同樣存儲在可信根

把 TA 做爲整個安全的可信起點
對不可控的軟硬件實體實現管理

那麼
問題來了
如何完成從可信起點到應用、到網絡的透傳？

兩步並做一步：
信任鏈與驗證/度量結果
說好的三步變兩步
此處我失去了一點你的信任

此處，
咱們又故做神祕的引入一個歷史故事

戰國「策」

秦攻打趙
魏信陵君但願魏王出兵營救

信陵君
經過通關密文進了魏王殿
經過使者找到了魏王妃
經過魏王妃拿到兵符
（一半的玉佩）
經過兵符配對
（與將軍手裏的兵符契合成功）

![上傳中...]()

歷史上的信陵君成功調用兵力
這是一箇中性的信任關係的傳遞
由於其未經驗證
不可信的人完成了總體關係的傳遞

若是
關係鏈起點和傳遞過程
通過驗證與及時異常行爲管理
兵符並不會這麼輕易被拿走
因此
驗證/度量結果的重要性不容忽視

一樣是這個故事
咱們換成當代可信環境下驗證思考
會有不一樣的結局
當信陵君進魏王殿
守衛發現其並不是白名單成員

再好比
信陵君見到魏王妃
王妃驗證目的：
你要偷兵符
上報魏王

或者
最後就算信陵君拿到兵符
魏王有及時發現兵符丟失的敏感機制
並及時甚至提早通報將軍
「誰拿着兵符來找你就殺了他」

這是有可信根參與的
通過度量值比對的可信鏈

可信計算的核心功能
是基於可信硬件創建主動免疫機制
核心流程是可信根經過可信鏈連接各應用
過程通過度量值比對
將信任關係逐漸擴展至整機乃至網絡

2、隱世高手

可信計算神龍見首不見尾？
歷史上真實發生的「竊符救趙」
更貼近傳統IT架構下安全產品和服務的部署
想要實現可信計算環境
並不容易

一個相對重要的計算環境
爲了保障處於可信環境
至少須要面對如下問題

懂芯片
懂硬件
懂固件
懂虛擬技術
懂可信鏈
懂軟硬結合
懂……

一邊是啥也不懂很難
一邊是啥都懂了的阿里雲

如今
阿里雲「拿捏住了」這個點：
可信內置在基礎設施中
雲管理物理機運行環境可信
阿里雲能夠按需對雲虛擬服務器提供可信服務
BIOS、引導程序、操做系統內核、
應用程序加載等進行度量/驗證
不須要用戶採購組件

一、系統可信：
雲上物理機和虛擬機運行環境
即操做系統的可信
二、應用可信：
雲上管理應用和用戶側應用可信

3、安全可信

雲環境比以往任何計算環境
都須要安全可信
場景一

數據上雲
數據不在本身眼前
而在遠程存儲
用戶須要確認遠程的存儲環境是否可信

可信前：
存儲以後
東西被黑了

可信後：
遠程證實
能夠遠程確認儲存/計算環境可行性

場景二

APT等高等級攻擊威脅不斷升級

黑客瘋狂攻擊
手段變幻莫測
驚叫「這是什麼新手段」

單點防護傳統安全思路照搬到雲環境
必然面臨水土不服的窘境

可信計算方案
則是將防禦前置
這也是更有前瞻性的安全技術
任你變幻無窮，我以不變應萬變

可信雲服務方案示意圖

啓動時
經過可信啓動機制
對系統程序和引導程序等
進行可信驗證以及控制

運行時
經過貫穿固件和軟件各層面的可信軟件基
對軟件執行的關鍵環節
例如進程啓動、文件訪問和網絡訪問等
進行攔截和斷定

審計上報
全部報警均上報雲運維監控平臺
或用戶側的雲安全中心

切勿浮沙築高臺
將安全創建在硬件的不可篡改性
與密碼學的理論安全性之上

關於可信計算的實際應用：
構築企業級可信計算環境

遠程證實：

基於數字簽名安全上報度量結果
可靠證實系統啓動與運行狀態
動度量的狀態做爲遠程證實依據

零信任密鑰管理與密碼算法應用：

vTPM/vTCM（虛擬可信模塊）
提供完備的密鑰管理與密碼算法功能
所以依託vTPM
ECS環境可在啓動時
第一時間可靠的建立密鑰、申請證書
並執行數字簽名與加解密等運算

最後

咱們不妨再作一個使人興奮的假設：

此時你擁有500萬流動資金
在開心之餘
這筆錢的安全問題也給你帶來了幸福的煩惱
這筆財富放在哪？
家裏和銀行怎麼選？

選擇
銀行中專業的保險箱
仍是
家裏普通的櫃子

至關於
雲上網絡、主機等各方面系統化的
安全防禦機制
vs
我的安裝的殺毒軟件

選擇銀行卡
仍是現金

至關於
雲上專業完善的數據安全機制
vs
我的簡陋單一的口令機制

並且
服務方面銀行專職的保安與櫃員
對比
家裏普通家庭成員

至關於
雲上態勢感知服務與專業安全專家運
vs
我的非專業的安全知識

綜上

多數人都會選擇把這筆鉅款存放銀行
這就比如傳統架構與雲上架構對比
從平臺、數據、服務三個維度
爲雲上客戶提供可信與安全

原文連接本文爲阿里雲原創內容，未經容許不得轉載。