可信計算

可信計算是在計算和通訊系統中普遍使用基於硬件安全模塊支持下的可信計算平臺，以提升總體的安全性。

    1.1 可信計算相關概念

    可信計算的概念由TCG提出，但並無明肯定義，並且聯盟內部的各大廠商對「可信計算」的理解也不盡相同。其目的主要是經過加強現有的PC終端體系結構的安全性來保證整個計算機網絡的安全，意義就是在計算機網絡中搭建一個誠信體系，每一個終端都具備合法的網絡身份，並可以被承認；並且終端具備對惡意代碼，如病毒、***等有免疫能力。在這樣的可信計算環境中，任何終端出現問題，都能保證合理取證，方便監控和管理。可信計算提供的安全功能有：終端設備認證、數據完整性校驗、用戶身份認證、用戶權限合法性、端口控制和管理、數據的加密存儲、重要信息的硬件保護。這些安全功能保證了使用者、軟硬件的配置、應用程序等的可信，進一步保證了終端的可信，最終構建出可信任的計算機網絡。

    1.2可信硬件

    要構建可信計算平臺，必須引入獨立的硬件，其實現方式通常採用獨立CPU設計的片上系統，同時輔之外部控制邏輯和安全通訊協議。做爲可信計算平臺的基礎部件，可信硬件自身的保護措施也是至關嚴格的，涉及到命令協議的設計，算法的實現，存儲部件的保護等。除此以外，硬件的實現還要考慮各類固件的可信設計，主要是對BIOS和各類ROM代碼的改進。

    1.2可信計算平臺

    TCG從行爲的角度來定義可信性：若是一個實體的行爲老是以所指望的方式，朝者預期目標。那麼它是可信的，所謂平臺是一種能向用戶發佈信息或從用戶那裏接收信息的實體。可信計算平臺是可以提供可信計算服務的計算機軟硬件實體，它可以提供系統的可靠性、可用性和信息的安全性。可信計算平臺基於可信平臺模塊(TPM)，以密碼技術爲支持、安全操做系統爲核心。安全操做系統是可信計算平臺的核心和基礎,沒有安全的操做系統,就沒有安全的應用,也不能使TPM發揮應有的做用。

    1.3內網安全架構解決方案

    在最初的信息安全建設中，人們首先想到的是防止外部***以及本地網絡安全邊界問題，於是重點採用訪問控制、***檢測、網絡隔離和病毒防範等方法來解決信息安全問題。在這以後用戶認識到，做爲網絡組成部分的終端是網絡與用戶的接口，是安全保障比較脆弱的地方，也是通常網絡安全解決方案所容易忽視的地方。據統計，網絡上超過一半的安全問題來自內部用戶，也就是內網的終端結構和操做系統的不安全所引發的。

    2.1內部安全威脅的分析

    經過詳細分析內網面臨的風險，咱們發現全部的安全威脅都是經過內網的用戶終端來起做用的。威脅看似來源於外部，其實，若能安全合理控制內網的用戶終端，就不可能對內網形成傷害。來自用戶終端的安全威脅主要有如下幾種表現形式：1．隨意更改IP地址；2．私自以撥號等方式上互聯網；3．內部人員大量使用移動存儲設備，易形成內外網間接地交換數據；4．安裝、使用盜版軟件或***軟件，對內網的其它計算機構成了重大的安全威脅；5．竊取、傳播違禁、機密的數據資料；6．內部終端用戶越權使用單位的網絡資源；7．操做系統的「後門」引發的安全問題。

    2.2基於可信計算機的解決方案

    採用可信計算機實現內網用戶終端的安全防禦問題，可信計算機可以確保用戶的合法性和資源的一致性，使用戶只能按照規定的權限和訪問控制規則進行操做，能作到什麼樣權限級別的人只能作與其身份規定的訪問操做，只要控制規則是合理的，那麼整個信息系統資源訪問過程是安全的。可信計算機奠基了可信網絡的基礎。可信計算機的安全功能以下：基於智能卡和口令的身份認證，防止非法使用機器；自主和強制存取控制，防止非法訪問文件；多級權限管理，防止越權操做；存儲設備安全管理，防止非法軟盤拷貝和硬盤啓動；數據和程序代碼加密存儲，防止信息被竊；預防病毒，防止病毒侵襲；嚴格的審計跟蹤，便於追查責任事故。此種解決方案除了「隨意更改IP地址」不能解除之外，其餘安全威脅都可解決。

    2.3構建在操做系統加強基礎上的解決方案

    採用在普通終端上加裝「USB電子鑰匙＋現有操做系統的加強軟件」，經過USB KEY和終端之間的雙向認證，達到終端設備和用戶之間的雙向認證關係。USB電子鑰匙中能夠存儲網絡終端用戶的密鑰或算法，或是存儲用戶的我的身份以及用戶可訪問網絡的權限。此種方案須要配合內網的審計、監控和管理等其餘手段，纔可以有效解決前述安全威脅。

    審計的做用是：1．自動登記受控終端的硬件配置；2．自動記錄受控終端操做系統配置的用戶、工做組、邏輯驅動器；3．自動記錄系統服務的啓動和中止；4．自動記錄受控終端上應用程序的安裝與卸載狀況；5．自動記錄受控終端上運行進程的啓動和中止；6．記錄用戶對規則指定文件進行的各類操做；7．記錄用戶對規則指定網址進行的訪問操做；8．對本地打印機使用狀況進行審計；9．對受控終端的USB移動存儲設備的使用狀況進行審計；10．對受控終端軟盤使用狀態進行審計；11．對撥號訪問狀況進行審計。

    監控的做用是：1．容許或阻斷用戶經過撥號訪問Internet；2．容許或阻斷用戶對受控終端的各類輸出設備進行訪問；3．對受控終端進行IP地址和MAC地址的綁定；4．容許或禁止某些進程的啓動；5．容許或阻斷對某些網絡地址的訪問；6．容許或阻斷用戶對本地打印機進行訪問。

    管理的做用是：1．自動發現並生成網絡拓撲圖；2．動態顯示交換機端口狀態、流量等信息；3．監視、分析網絡性能提供未知(未登記)IP地址、MAC地址列表，自動發現有未知受控終端接入的交換機端口；4．實現交換機端口的打開和阻斷控制；5．自動識別網絡中全部設備的IP地址、MAC地址、設備名稱等基本設備信息；6．動態顯示受控終端的當前狀態，對各類不正常狀態均提供聲音報警和屏幕顯示報警；7．能夠按設備類型(如服務器、主機、打印機、交換機、路由器、網關)、子網、部門等方法對設備進行分類管理，列表顯示出設備的名稱、所屬部門、IP地址、MAC地址、發現時間等信息；8．能夠根據交換機端口鏈接的工位對內網終端進行管理；9．能夠方便地查看受控終端的配置信息、審計日誌信息。

    3.結語

    目前可信計算正成爲我國信息安全研究的熱點領域，我國也已完成了多個符合美國國家可信計算機系統評價準則中B1級以上的安全操做系統以及有中國自主知識產權和特點的可信計算機。一方面，信息安全問題的日趨嚴重帶來信任恐慌，使得構建一個可信任的環境成爲重點行業用戶的共識。另外一方面，國內「可信技術」的發展與國際同步，在某些方面有本身的獨到之處。能夠說，可信計算表明將來計算機的發展趨勢，一旦技術和產品成熟，將掀起一場新的革命。