可信计算技术标准与应用ppt课件.ppt
可信计算技术、标准与应用,吴秋新中国可信计算工作组2010年9月17日,中国可信计算 缔造安全价值,内容提纲,可信计算概念与技术原理自主可信计算标准体系可信计算产业与应用自主可信计算产业未来发展,内容提纲,可信计算概念与技术原理自主可信计算标准体系可信计算产业与应用自主可信计算产业未来发展,Page 4,可信计算概念,依据客观特征，适应机器判断,计算机 硬件系统(主板),抵御病毒攻击,识别假冒平台,盗取密钥不可行;受保护数据拷不走;,可信计算技术理念,解决当前核心安全问题,Page 5,定义可信密码模块(TCM)结构与功能,目标：建立计算平台安全信任根基核心功能：度量平台完整性，建立平台免疫力；平台身份唯一性标识；提供硬件级密码学计算与密钥保护。,Page 6,由TCM构建3个信任根,可信报告根(Root of Trust for Reporting-RTR)提供密码学机制，签署TCM的状态和数据信息(Provides cryptographic mechanism to digitally sign TCM state and information)可信存储根(Root of Trust for Storage-RTS)提供密码学机制，保护TCM的放置外部的数据信息(Provides cryptographic mechanism to protect information held outside of the TCM),可信度量根(Root of Trust for Measurement-RTM)提供密码学机制，有序度量平台的状态 (Provided by platform to measure platform state),可信密码模块TCM,RTR,RTS,隔离、受保护的存储区域,受保护的操作命令,RTM,Page 7,平台,Trusted Building Block (TBB)(可信构筑模块),安全芯片(TCM),CPU,BIOS/EFI,Main Memory,Supporting H/W,由用户控制Platform Reset,可信性连接关系需用户物理现场明确指示,CRTM与主板1-1连接,安全芯片与CRTM 1-1连接,主板,平台主板与TCM建立可信绑定关系,Page 8,以TCM为核心建立平台信任链,TCM,Page 9,平台,每一个TCM的密码模块密钥EK是唯一的可由创建:TCM 厂商平台厂商最终用户方法:事先产生EK绝不能暴露在TCM外密码模块证书(EK证书)是由可信CA签署的EK公钥证书平台身份证书是由可信第三方CA签署的平台身份公钥证书(采用我国双证书机制)，针对隐私保护，可以创建若干个平台身份密钥和证书,密码模块证书,TCM,密码模块密钥EKEndorsement Key,平台身份密钥Platform ID Key,隐私控制,平台身份证书,由TCM构建身份标识表征平台身份,Page 10,TCM,存储密钥(SK),SMK(存储主密钥),由TCM建立“数据密封”保护形式,把数据和存储密钥的授权信息发送给TCM同时包含启封过程要使用的PCR值TCM 对数据加密并密封成一数据块包含要求的PCR值密封后的数据块存储到TCM之外,本地存储器,密封的数据,数据,授权信息,PCR,TCM,存储密钥(SK),SMK(存储主密钥),加载密封的数据块和授权信息，使用存储密钥解密密封的数据块核对PCR值是否和配置中的值相同如果PCR值相匹配，则返回数据否则返回失败,本地存储器,密封的数据,授权信息,数据,数据,PCR,Page 11,数据,安全应用,计算机系统,可信计算平台架构,以TCM为核心，构建可信计算密码支撑平台，支撑安全应用，形成安全功能体系：平台完整性保护平台可信身份标识与证实平台数据密封与绑定,Page 12,平台完整性度量信息收集器,平台完整性度量信息验证器,TNC客户端,TNC服务器,AAA服务器,接入策略执行点,网络接入请求器Network AccessRequestor,平台信任服务,TSM,TCM,完整性度量日志数据,接入策略决策点,IF1,IFv,IF3,IF2,IFt,IF4,基于TCM构建平台可信网络接入(TNC),终端平台,Page 13,内容提纲,可信计算概念与技术原理自主可信计算标准体系可信计算产业与应用自主可信计算产业未来发展,自主可信计算标准发展背景,TCG产业趋势,Page 15,联盟 标准 产业,自主可信计算标准发展总体思路,Page 16,中国可信计算工作组(TCMU),建立自主可信计算产业联盟,31家单位，覆盖IT各领域,Page 17,构建自主可信计算核心模块-TCM,使用自主密码算法：SM2/SM3/SMS4/RNG构建3个维度安全功能体系 构建信任链确保平台完整性 通过身份密钥和数字签名实现平台身份可信 通过“密封”和“绑定”确保平台数据安全,Page 18,自主可信计算平台架构,可信密码模块TCM,安全芯片驱动,可信密码服务模块TSM,TCM配置管理,TCM应用,信任链,平台接口,可信计算密码支撑平台,密码平台应用,技术架构,产品架构,Page 19,可信计算平台密码方案,自主可信计算技术规范体系,Page 20,为推进现有安全应用平滑移植至TCM上，制定了通用的TCM应用接口标准可信计算平台密码应用接口规范，使安全应用以CryptoAPI、CNG-API、PKCS-API接口形式直接实现TCM功能调用，使TCM成为构建安全应用的信任根。,CNG,CSP,PKCS11,TSM,TCM,TSPI,CryptoAPI,PKCS-API,CNG -API,安全应用,可信计算平台密码应用接口,制定TCM通用接口标准,Page 21,Page 22,终端计算机等保技术要求使用TCM,基于自主可信计算技术，构建了终端计算机系统的安全功能体系 GA/T671-2006 要求三级及以上PC系统必须嵌入和使用可信硬件模块(TCM) GA/T671-2006 目前正在向国家标准转化,内容提纲,可信计算概念与技术原理自主可信计算标准体系可信计算产业与应用自主可信计算产业未来发展,核心产品：TCM芯片,芯片产品型号：SSX44 芯片性能指标0.25mCMOS，数模混合设计工艺芯片面积25mm2 以下功耗小于200mw内置NVRAM内置真随机数发生器具备高低电压检测、高低频率检测、总线加扰、关键存储区域加密、版图保护、功耗平滑、开启检测等多种方法来实现芯片的防逻辑攻击、芯片级的防解剖和防物理攻击的能力,Page 24,核心产品：信任链,技术原理,Page 25,Page 26,台式机联想 Thinkcenter M4000T/M6000T/M8000T 台式机方正 君逸 M530/M580 台式机同方 超翔/超越台式机长城安全电脑台式机笔记本联想 昭阳 K43A 笔记本Dell Latitude E4310笔记本研祥JIN1401加固笔记本服务器联想 R525 G3服务器麒麟天机存储服务器,基于TCM的可信计算产品体系,同方银联理财电脑,君逸M530,DELL E4310,研祥JNB1401加固笔记本,ThinkCentre系列,昭阳 K43a,麒麟天机存储服务器,R525 G3,长城世恒S,联想数据盾牌2.0-功能体系,文件加/解密,文件保险箱,安全文件共享,个人数据备份,个人数据共享,U盘无忧,日志和审计,集中管理,密钥备份/恢复,硬盘无忧,联想基于TCM的安全应用(1),联想数据盾牌作为随机软件安装在联想可信PC上,Page 27,Page 28,文件加/解密,联想基于TCM的安全应用(2),用户可以对电脑上的数据和文件进行加密和解密处理经过加密的文件只能在本地电脑打开，拷贝到别的电脑则无法打开、处理等可以在文件上点击右键启动文件加密芯片级的密钥保护和高强度加密算法安全，易用,文件保险箱,联想基于TCM的安全应用(3),加密保险箱是本地电脑上特别划出的区域，作为重要文件的保险箱文件可以任意拷贝进入或移出这个区域，锁定保险箱后，非机主本人都不能打开保险箱用硬件设防的安全存储区，坚固性超常保险箱的大小可以调整,灵活满足不同需要，符合用户使用习惯,Page 29,安全文件共享,联想基于TCM的安全应用(4),将文件进行共享加密，文件以密文形式保存，并可以在指定范围内的机器上解密 加密文件时，选择“可解密人” 选择“可解密人”的过程是向加密文件中添加授权信息，添加一个授权信息表明该授权信息所属的计算机能够解密该文件 被加密文件可以指定“可解密人”机器范围内被解密 用户可以通过“修改可解密人”，来改变该加密文件的解密范围 整个过程安全易用,设定的机器集合,非设定集合的机器,Page 30,Page 31,联想基于TCM的安全应用(5),U盘无忧(安全移动存储),合法USB设备,合法USB设备,数据流入,数据流出,TCM芯片,交叉认证,交叉认证,产品特性：TCM代表主机身份，USB设备在主机上使用必须验证USB身份不符合授权的USB不能使用，授权的USB只能在指定的主机上使用,非法USB设备,拒绝,非法主机,拒绝,用户价值：单位内部移动设备安全管理，保证数据不外泄,“U盘无忧”主要功能,制作受TCM保护的安全U盘,个人专用安全U盘,多人共用安全U盘,C/S管理架构,审计及日志,终端策略管理,分发和制作管理,孤岛终端管理,TCM认证绑定,制作受TCM保护的安全U盘：将普通U盘通过TCM安全算法“安全格式化”成“受TCM保护的安全U盘”， 无需依赖特殊USB设备，成本低、安全性高 个人安全专用USB： U盘绑定本机使用，其他人不得查看其内容 多人共用安全USB： U盘在授权域内安全使用，非授权机器不能查看其内容C/S管理架构 : 基于服务器-客户端架构管理安全U盘，采用最简便管理员集中管理方案 TCM认证绑定：通过TCM硬件认证保护，保证高安全级别的“U盘无忧”功能 终端策略管理：是否允许使用普通U盘，是否允许卸载客户端不接受服务器管理 分发和制作管理 : 限制“分发和制作”安全U盘的主机孤岛终端管理：支持企业环境内“孤岛”型终端机器加入“U盘无忧”方案，满足安全共享要求审计及日志：所有经安全TCM认证及加密的操作均进行日志审计记录，并上传到服务器，提供事后审计和监管能力,管理功能,应用功能,联想基于TCM的安全应用(6),Page 32,Page 33,联想基于TCM的安全应用(7),U盘无忧,客户价值 1-满足“限制内网机密数据传播范围”的用户需求,Page 34,联想基于TCM的安全应用(8),U盘无忧,客户价值2- 满足“禁止外来U盘在公司范围内使用”需求,联想基于TCM的安全应用(9),U盘无忧,客户价值3 -满足“低成本、高易用性需求”,用户需求场景描述： 需求：低硬件成本 不希望购买昂贵的专用U盘硬件 需求：低管理成本 实现简单易用的管理，管理员不希望花费过多的管理时间 需求：低学习培训成本 希望“客户端和管理员软件”均容易上手，不用专门的培训和学习,“U盘无忧”实现方案： 基于TCM实现硬件级安全保护，无需专用U盘 将普通U盘格式化成“受TCM保护的安全U盘” 插入该U盘时，必须需要TCM安全验证通过才能挂载使用 TCM验证未通过，禁止挂载 基于CS架构，采用最简便管理员集中管理方案 多人加密功能，需要加入到服务器组才能支持，并接受管理员管理 精简集中管理，将管理员管理工作降到最低，实现最低IT管理成本 支持“孤岛PC”和离线管理设计 软件整体简单易用，符合用户使用习惯，无需专门的学习和培训过程,Page 35,Page 36,硬盘更新 换位置； 维修； 变更用途；,卸载所有硬盘,运送所有包括坏硬盘,安全区域内处理,运送到新位置,重新安全处理使用,硬 盘 无 忧,关闭电源 = 硬盘加锁加密 = 安全立即更新 = 清除TCM芯片,提供安全的硬盘管理方式，保证数据安全；降低IT维护成本，减少硬盘插除，增加硬盘寿命；保护个人隐私。,硬盘数据保护新模式,联想基于TCM的安全应用(10),硬盘无忧,产品特色,采用基于物理扇区级加密方法，能加密硬盘上任何数据，包括操作系统非授权用户不仅看不到硬盘上文件内容，而且也看不到保存在磁盘上的任何文件名称。由于硬盘上所有数据均处于加密状态，得到加密硬盘的人无法得到任何信息只有计算机正常启动后磁盘数据才可被访问，避免攻击者通过引导另一操作系统或者将硬盘转移到另一台已安装操作系统的PC上，以便绕过正常启动和用户身份识别过程来访问硬盘数据采用TCM对加/解密使用的密钥进行保护，利用TCM防攻击以及完整性度量等特性，可有效防止离线状态下对用户密码的离线攻击,联想基于TCM的安全应用(11),硬盘无忧,Page 37,联想基于TCM的安全应用(12),密钥备份/恢复,电脑上的重要信息如密钥需要进行备份，以备电脑硬件损坏情况下的数据恢复和还原周密安排，万无一失,可信密码模块,Page 38,Page 39,方正基于TCM的安全应用(1),TCM安全应用中心是对TCM芯片进行管理，为其他应用程序提供使用芯片各种保护服务的软件，同时TCM安全应用中心还提供TCM的一些基本应用加密和保护功能。主要功能包括：芯片管理TCM芯片使用状态已被TCM保护的应用TCM管理员密码更改TCM芯片信息导出紧急解密密钥文件/文件夹加密加密解密日志,Page 40,方正基于TCM的安全应用(2),文件安全域功能说明文件安全域为用户提供加密个人的私密重要数据方法。每个共享的文件，必须授权才能访问，保证文件共享的安全功能特色支持TCM不需要服务器,Page 41,隔离网可信接入管理,使用TCM提供的加密接口，提供更安全的终端用户身份识别TCM接入方案由服务器端、客户端及管理端三个部分构成,通过TCM芯片防止无授权终端计算机非法接入网络。密钥唯一，通过TCM芯片生成的密钥，与主机的硬件信息相关联，脱离当前硬件环境将无法使用。,方正基于TCM的安全应用(3),Page 42,同方TST2.0安全电脑管理平台：同方TST（Tong fang Security Technology）安全平台是基于TCM安全芯片针对计算机系统及用户数据进行全方位保护的整体解决方案,信息安全应用软件,信息安全应用软件,国产自主加密芯片,用户进行数据保护的应用软件,由硬件来实现数据保护的加密过程,同方基于TCM的安全应用(1),Page 43,同方基于TCM的安全应用(2),Page 44,为用户创建一个被加密保护的网络工作域，支持网络办公与移动办公，通过严格的权限控制，有效管控数据传播范围,同方基于TCM的安全应用(3),授权密网,专用安全操作系统，内核加密引擎，高强度非对称数据加密算法基于证书和智能卡的身份认证、密钥管理、数据加密及安全传输机制数据加密共享和隐藏，细粒度的访问控制，安全的密钥备份管理支持基于TCM的密钥管理,麒麟天机安全存储系统,TCM应用-,Page 45,北信源安全终端管理系统,结合TCM实现终端系统的接入控制、补丁分发、移动介质管理等安全功能,TCM应用-,终端桌面安全应用,Page 46,Page 47,卫士通基于TCM和USBKey的操作系统安全防护系统,TCM应用,银联电子支付示范应用,可信支付终端 在系统终端嵌入TCM，经过与后台终端设备完成认证后，支持用户使用银联卡完成网上支付、账户查询等功能。遵循用户传统的刷卡支付习惯，同时利用TCM保证支付过程安全可信。 系统在08年度“金融电子展”亮相后，获得强力关注。,电子支付应用,Page 48,铁路电子支付平台可信终端,安全架构：TCM可信计算平台 + 安全操作系统,瞄准国家等保4级安全要求,TCM应用方案,功能规格可信引导系统其功能主要是在系统启动时，构建系统引导程序到OS的信任链，需满足如下要求： 在OS未启动前，度量和验证关键系统文件的完整性； 报告系统可信启动链的结果，验证系统启动链； 在系统环境下能够配置可信引导参数，包括启动阶段需要度量的系统文件配置，启动方式的定义(认证启动方式/安全启动方式) 当OS内核文件损坏或被篡改，能够基于备份的系统内核进行恢复。安全操作系统采用银河麒麟安全操作系统，4级信任链系统 完成OS启动后系统运行环境完整性状态的收集，需提供如下功能：1) 系统内存度量：对系统运行过程中载入内存的可执行文件进行度量，为用户提供度量列表查询功能，并在TCM芯片中储存度量列表的哈希值。2) 组件度量：完成对于组件以及组件所处环境的完整性状态度量，可以根据应用程序发来的度量请求，对特定组件进行度量。3) 远程证明：包括系统环境远程证明以及组件远程证明。系统环境远程证明完成系统内存中可执行内容的远程证明。组件远程证明根据验证方需求，为验证方提供单个组件状态的远程证明。敏感信息存储服务本功能基于TCM可信存储根，可实现密钥管理、平台数据安全保护功能，并为系统提供相应密码服务，确保机密数据不被非法访问、窃取、篡改、冒用。,Page 49,可信网络接入应用,Page 50,内容提纲,可信计算概念与技术原理自主可信计算标准体系可信计算产业与应用自主可信计算产业未来发展,依托自主密码技术，建立完整的自主可信计算技术体系,自主可信计算未来发展,Page 52,根据产业发展需求，逐步完善自主计算技术标准体系,自主可信计算未来发展,Page 53,谢谢！,
