diff --git a/src/Summary.md b/src/Summary.md index d60e571812c684992a575beab71314282feb20cc..104bda71f7b4e78190e755334410abc0e2a82df3 100644 --- a/src/Summary.md +++ b/src/Summary.md @@ -6,10 +6,10 @@ - [中国可信标准化体系](standard-china.md) - [国际可信标准化体系](standard-international.md) - [龙蜥操作系统可信计算实践指南](anolisos.md) + - [模拟可信根](anolisos-swtpm.md) - [可信软件栈](anolisos-tss.md) - [可信根工具集](anolisos-tpm2-tools.md) - [可信根服务引擎](anolisos-tpm2-tss-engine.md) - - [模拟可信根](anolisos-swtpm.md) - [远程认证](anolisos-remote-attestation.md) - [可信计算最佳实践及解决方案](practices.md) - [飞腾平台可信计算最佳实践](practices-phytium.md) @@ -17,6 +17,6 @@ - [Keylime最佳实践](practices-keylime.md) - [基于可信根的全盘加密](practices-luks-with-tpm2.md) - [基于国密的可信计算最佳实践](practices-shangmi_trusted_computing.md) - - [基于机密计算的vTPM解决方案](practices-Confidential_vtpm.md) + - [基于机密计算的虚拟可信根解决方案](practices-Confidential_vtpm.md) - [可信计算3.0解决方案](practices-trustedComputing3.md) diff --git a/src/anolisos.md b/src/anolisos.md index a6c2467979f21f670618f3ec2c064c80709602ea..901937f6e5507b05acaef918824ec0cd244f7dfd 100644 --- a/src/anolisos.md +++ b/src/anolisos.md @@ -1,7 +1,9 @@ -# 一、引言 +# 一、引言 +龙蜥操作系统以开源社区优秀成果为上游集成了模拟可信根、可信软件、可信根工具集，满足用户对可信计算基础服务的需求。同时，可信计算SIG对可信根增强引擎、远程证明等可信计算基础软件进行了探索分析，形成了龙蜥操作系统可信计算实践指南相关内容。未来，针对可信计算基础软件全展国密支持也将是可信计算SIG的重点工作，本白皮书最佳实践章节呈现了SIG成员单位在全栈国密支持方面的实践成果。 +![Anolis Trusted Computing Practices](images/龙蜥操作系统可信计算实践.png) # 二、实践指南 -## 2.1 [可信软件栈](anolisos-tss.md) -## 2.2 [可信根工具集](anolisos-tpm2-tools.md) -## 2.3 [可信根服务引擎](anolisos-tpm2-tss-engine.md) -## 2.4 [模拟可信根](anolisos-swtpm.md) +## 2.1 [模拟可信根](anolisos-swtpm.md) +## 2.2 [可信软件栈](anolisos-tss.md) +## 2.3 [可信根工具集](anolisos-tpm2-tools.md) +## 2.4 [可信根服务引擎](anolisos-tpm2-tss-engine.md) ## 2.5 [远程认证](anolisos-attenstation.md) diff --git a/src/images/Resource Requirements for TSS 2.0 Component.PNG b/src/images/Resource_Requirements_for_TSS_2.0_Component.PNG similarity index 100% rename from src/images/Resource Requirements for TSS 2.0 Component.PNG rename to src/images/Resource_Requirements_for_TSS_2.0_Component.PNG diff --git a/src/images/tcSigJob.png b/src/images/tcSigJob.png index 02ce9cca8b50980b9e325a174aac79d250fe54b7..70e49da6c9b50504a02a08ae1a96db43dddfe97b 100644 Binary files a/src/images/tcSigJob.png and b/src/images/tcSigJob.png differ diff --git "a/src/images/\351\276\231\350\234\245\346\223\215\344\275\234\347\263\273\347\273\237\345\217\257\344\277\241\350\256\241\347\256\227\345\256\236\350\267\265.png" "b/src/images/\351\276\231\350\234\245\346\223\215\344\275\234\347\263\273\347\273\237\345\217\257\344\277\241\350\256\241\347\256\227\345\256\236\350\267\265.png" new file mode 100644 index 0000000000000000000000000000000000000000..e679f78a0236e2d170751af1c90a94a530e1901e Binary files /dev/null and "b/src/images/\351\276\231\350\234\245\346\223\215\344\275\234\347\263\273\347\273\237\345\217\257\344\277\241\350\256\241\347\256\227\345\256\236\350\267\265.png" differ diff --git a/src/introduction.md b/src/introduction.md index 6452fa84d6e348bbe19909d34f6b06e91008c0b1..9b6fa997be7fb3a2d8c573aab77ac8af6d716fdc 100644 --- a/src/introduction.md +++ b/src/introduction.md @@ -8,11 +8,11 @@   鉴于可信计算技术对国家信息安全体系的重要性, 经国家密码管理局批准, 中国于2006年成立了可信计算密码专项组, 并于2008年12月更名为中国可信计算工作组(China TCM Union), 简称TCMU.2007年12月, 国家密码管理局颁布了《可信计算密码支撑平台功能与接口规范》, 将国内使用的可信基础模块定义为TCM(trust cryptography module).相较于TPM, TCM采用了我国《商用密码管理条例》中规定的SM2、SM3等国密算法, 同时引入了对称密钥算法, 简化了TPM中复杂的密钥管理.TCM的证书认证机制采用签名密钥以及加密密钥的双证书机制, 将对称密钥与非对称密钥结合保护系统安全, 在密钥管理体系和基础密码服务体系等方面进行了改进, 提升了系统的安全性. TPM和TCM的构成和功能类似, 提供可信计算平台的信任根(RTS, RTR), 是由CPU、存储器、I/O、密码协处理器、随机数产生器和嵌入式操作系统等部件组成的独立SoC芯片, 具备可信度量的存储、可信度量的报告、密钥产生、加密和签名、数据安全存储等功能.2015年TPM 2.0 library specification（Trusted Platform Module）正式成为国际标准ISO/IEC 11889，吸纳了TCM中相关的安全改进，并首次成体系支持中国密码算法体系，包括SM2/SM3/SM4密码算法。这是中国密码算法技术和标准的又一次重要突破，也是中国信息安全标准在国际标准化工作中的重要进展。ISO/IEC 11889 支持中国商用密码算法体系（SM2/SM3/SM4），使得在数据安全保护上更加牢不可破。   我国学者则从传统计算机体系结构着手，考虑到传统冯诺伊曼架构存在的安全设计缺陷，提出了“在计算运行的同时进行安全防护的信计算模模式，即以密码为基因产生抗体，实施身份识别、状态度量、保密存储等功能，及时识别自己和非自己成份，从而破坏和排斥进入机体的有害物质”即“主动免疫安全可信计算”技术体系（这一体系被学界称为“可信计算3.0”）。主动免疫安全可信计算通过构建“计算+防护”并行双体系结构，实现防护部件并行动态的方式对计算部件运算过错进行可信验证，达到主动免疫防护效果。在并行的双体系结构中，采用了一种安全可信策略管控下的运算和防护并列的主动免疫的新计算体系结构，以可信密码模块（ＴＣＭ）连接可信平台控制模块（TPCM），组成可信根，由策略产生可信验证规则，由可信软件基根据安全可信策略规则实施身份识别、状态度量、保密存储等功能，及时发现异常并加以处置，从根本上防止（恶意代码）对计算部件（主机）的攻击．该体系的可信验证通过对人的操作访问策略４要素（主体、客体、操作、环境）进行动态可信度量、识别和控制，以达到纠正传统访问控制策略模型局限于授权标识属性进行操作，而不作可信验证、难防篡改的安全缺陷．另外，传统访问控制不考虑环境要素（代码及参数）是否被破坏，难以防止恶意代码攻击，为此必须对环境要素进行可信验证的基础上依据策略规则进行动态访问控制。当前，国内主要以中关村可信计算产业联盟代表推动可信计算3.0技术体系及其生态的繁荣发展，在开源开方方面，北京工业大学推出了一系列的可信计算3.0开源教学实践探索、可信计算产业联盟推出了一系列团体标准，并通过“等级保护2.0与可信计算3.0联合攻关基地”推动相关团体标准的落地实施。 ## （三） 可信计算技术面临的挑战 - 随着移动互联网、量子计算、物联网、云计算、区块链等技术的发展和应用, 可信计算技术也开辟了新的应用场景. - (1) 在移动可信计算方面, 设计具有更小可信计算基 (trusted computing base, TCB) 的移动可信体系架构, 以及实现内核运行时和移动应用的安全防护是重要的研究问题. - (2) 随着量子计算的发展, 设计高效的抗量子密码算法和协议是一个亟需解决的科学问题; 更进一步, 需要设计具有抗量子能力的 TPM/TCM, 并且构建抗量子可信计算技术体系. - (3) 在可信物联网方面, 轻量级的信任根、高效安全的软件证明、安全代码更新机制是该领域的重要研究问题. - (4) 在可信云中, 如何利用虚拟可信平台模块、虚拟机监控技术、新型的硬件安全技术实现云平台安全防护是该领域需要解决的重要安全问题. - (5) 在可信区块链方面, 新型的可信执行环境技术可以为区块链提供新的思路, 例如, 利用硬件安全机制改进共识协议, 使用可信执行环境 (trusted execution environment,TEE) 保障区块链的计算环境等 +  随着移动互联网、量子计算、物联网、云计算、区块链等技术的发展和应用, 可信计算技术也开辟了新的应用场景. +- 在移动可信计算方面, 设计具有更小可信计算基 (trusted computing base, TCB) 的移动可信体系架构, 以及实现内核运行时和移动应用的安全防护是重要的研究问题. +- 随着量子计算的发展, 设计高效的抗量子密码算法和协议是一个亟需解决的科学问题; 更进一步, 需要设计具有抗量子能力的 TPM/TCM, 并且构建抗量子可信计算技术体系. +- 在可信物联网方面, 轻量级的信任根、高效安全的软件证明、安全代码更新机制是该领域的重要研究问题. +- 在可信云中, 如何利用虚拟可信平台模块、虚拟机监控技术、新型的硬件安全技术实现云平台安全防护是该领域需要解决的重要安全问题. +- 在可信区块链方面, 新型的可信执行环境技术可以为区块链提供新的思路, 例如, 利用硬件安全机制改进共识协议, 使用可信执行环境 (trusted execution environment,TEE) 保障区块链的计算环境等. {{#template template/footer.md}} diff --git a/src/practices.md b/src/practices.md index ce81ec3beeacffbc3e71e705bd223ca7fd7c06a9..574e7e6b37322f1ed35359f5c57ffea967eba07f 100644 --- a/src/practices.md +++ b/src/practices.md @@ -1,12 +1,13 @@ -# 一、引言 - +# 一、引言 +如图所示，可信计算技术作为一种系统级安全增强技术，例如系统可信验证（动态、静态）、系统全盘加密增强、轻量级可信集群构建等，应用得当可以极大的提升操作系统安全能力、这些能力的应用也是可信计算SIG探索可信计算最佳实践的重要方向。本节主要主要选编了基于海光平台内置可信根服务的可信计算最佳实践，基于keylime的轻量级可信集群构建实践探索、基于可信根的全盘加密安全增强最佳实践等内容。在解决方案方面，近年来随着关键信息基础设施建设及合规要求的发展与演变，可信计算面临的场景与挑战也截然不同，面向边缘场景的轻量远程证明要求、面向混合云场景的数据安全要求、面向公有云场景的信任优先要求、面向合规建设场景的可信验证及可信计算3.0要求等；本节节选了可信计算3.0解决方案、基于机密计算的虚拟可信根解决方案等内容。未来，可信计算SIG将挑选痛点场景的痛点需求重点开展相关解决方案的挖掘与探索工作。 +![Anolis Trusted Computing Practices](images/龙蜥操作系统可信计算实践.png) # 二、最佳实践 ## 2.1 [飞腾平台可信计算最佳实践](practices-phytium.md) ## 2.2 [海光平台可信计算最佳实践](practices-hygon.md) ## 2.3 [Keylime最佳实践](practices-keylime.md) ## 2.4 [基于可信根的全盘加密](practices-luks-with-tpm2.md) ## 2.5 [基于国密的可信计算最佳实践](practices-shangmi_trusted_computing.md) -## 2.6 [基于机密计算的vTPM解决方案](practices-Confidential_vtpm.md) +## 2.6 [基于机密计算的虚拟可信根解决方案](practices-Confidential_vtpm.md) ## 2.7 [可信计算3.0解决方案](practices-trustedComputing3.md) {{#template template/footer.md}} diff --git a/src/standard-international.md b/src/standard-international.md index fa6f88f78f5a4a9e6a1b4632432f9fd146f2398c..47d7ecbdece01abc4c1f04e62eaddc23eb3d3cab 100644 --- a/src/standard-international.md +++ b/src/standard-international.md @@ -1,14 +1,14 @@ # 一、国际标准 -## 1.1 ISO发布 -### 1.1.1 ISO简介 -ISO(国际标准化组织)和IEC(国际电工委员会)组成了专门的全球标准化体系。作为ISO或IEC成员的国家机构通过各自组织建立的技术委员会参与国际标准的制定，以处理特定领域的技术活动。ISO和IEC技术委员会在共同感兴趣的领域进行合作。与ISO和IEC保持联系的其他政府和非政府国际组织也参加了这项工作。在信息技术领域，ISO和IEC成立了一个联合技术委员会ISO/IEC JTC 1。国际标准是根据ISO/IEC指令第2部分中给出的规则起草的。联合技术委员会的主要任务是制定国际标准。联合技术委员会通过的国际标准草案分发给国家机构表决。作为国际标准出版需要至少75%的国家机构投票通过。 -### 1.1.2 ISO/IEC 11889系列标准概述 +## 1.1 ISO发布 +### 1.1.1 ISO简介 +&embsp;&embps;ISO(国际标准化组织)和IEC(国际电工委员会)组成了专门的全球标准化体系。作为ISO或IEC成员的国家机构通过各自组织建立的技术委员会参与国际标准的制定，以处理特定领域的技术活动。ISO和IEC技术委员会在共同感兴趣的领域进行合作。与ISO和IEC保持联系的其他政府和非政府国际组织也参加了这项工作。在信息技术领域，ISO和IEC成立了一个联合技术委员会ISO/IEC JTC 1。国际标准是根据ISO/IEC指令第2部分中给出的规则起草的。联合技术委员会的主要任务是制定国际标准。联合技术委员会通过的国际标准草案分发给国家机构表决。作为国际标准出版需要至少75%的国家机构投票通过。 +### 1.1.2 ISO/IEC 11889系列标准概述 ISO/IEC 11889-1是由可信计算小组(TCG)编制的，并根据PAS程序由ISO/IEC信息技术联合技术委员会JTC 1通过，同时得到ISO和IEC国家机构的核准。 ISO/IEC 11889由以下部分组成，总标题为“信息技术-可信平台模块”: - 第一部分:概述 - 第二部分:设计原则 - 第三部分:结构 -- 第4部分:命令 +- 第4部分:命令
![TPM标准](images/iso_TPM_standard_roadmap.png) __说明：附图源自ISO官网__ ### 1.1.2 ISO/IEC 11889系列标准下载入口 @@ -18,7 +18,7 @@ ISO/IEC 11889由以下部分组成，总标题为“信息技术-可信平台模 [ISO/IEC 11889-4:2015 Information technology — TPM Library — Part 4: Supporting Routines](https://www.iso.org/standard/66513.html) ## 1.2 TCG发布 ### 1.2.1关于TCG -可信计算组（Trusted Computing Group，TCG）是一个非营利组织，旨在为可互操作的可信计算平台开发、定义和推广基于硬件信任根的供应商无关的全球行业规范和标准。TCG的核心技术包括可信平台模块（Trusted Platform Module，TPM），可信网络通信（Trusted Network Communications，TNC）以及网络安全和自加密驱动器的规范和标准。TCG还设有工作组，将信任的核心概念从企业扩展到物联网的云安全、虚拟化和其他平台以及计算服务。 +&embsp;&embsp;可信计算组（Trusted Computing Group，TCG）是一个非营利组织，旨在为可互操作的可信计算平台开发、定义和推广基于硬件信任根的供应商无关的全球行业规范和标准。TCG的核心技术包括可信平台模块（Trusted Platform Module，TPM），可信网络通信（Trusted Network Communications，TNC）以及网络安全和自加密驱动器的规范和标准。TCG还设有工作组，将信任的核心概念从企业扩展到物联网的云安全、虚拟化和其他平台以及计算服务。 ### 1.1.2 TPM2.0库标准 TPM2.0库标准是TPM2.0中基础规范，该规范描述了TPM2.0实现的所有核心功能。库标准由四部分组成： - 第一部分：架构规范，该部分描述了TPM2.0的操作规范、设计原理及工作细节（例如如何创建用于授权、审计、加密命令的会话）。 @@ -36,10 +36,10 @@ Trusted Platform Module Library Specification, Family “2.0”, Level 00, Revis - [Part 4: Supporting Routines – Code](https://trustedcomputinggroup.org/wp-content/uploads/TCG_TPM2_r1p59_Part4_SuppRoutines_code_pub.pdf) ### 1.1.3 TPM Software Stack（TSS）标准 TSS (TCG Software Stack)是一种软件规范，提供了访问TPM功能的标准API,TSS由多层组成，允许对可扩展的TSS实现进行定制，以适应高端系统和资源受限的低端系统(如下图所示)。TSS也设计了应用程序提供与本地或远程TPM通信的接口方法。 -![TCG Software Stack 2.0](images/tcg_software_stack20.png) +![TCG Software Stack 2.0](images/tss2.0spec-arch.PNG) __说明：附图源自TCG官网__ TSS2各组成部分所需资源如下图所示: -![Resource Requirements for TSS 2.0 Component](images/Resource Requirements for TSS 2.0 Component.PNG) +![Resource Requirements for TSS 2.0 Component](images/Resource_Requirements_for_TSS_2.0_Component.PNG) __说明：附图源自TCG官网__ 应用程序开发人员可以参考该规范开发可互操作的客户端应用程序，以实现对可信计算能力的调用。TSS的另一个作用是将程序程序员与与TPM接口的底层细节隔离开来、降低TPM应用开发的学习成本。 - [TSS规范官网入口](https://trustedcomputinggroup.org/resource/tcg-software-stack-tss-specification/) @@ -68,7 +68,8 @@ TNC标准的采用也从供应商和最终用户扩展到其他标准组织。In ### 1.1.6 TNC TCG的可信网络通信(TNC-Trusted Network Communications)工作组定义并发布了一个开放架构和一套不断增长的网络安全标准，在跨各种端点、网络技术和策略的多供应商环境中提供可互操作的端到端信任。TNC支持在不同的网络和安全系统之间进行端点遵从性评估、智能策略决策、动态安全实施和安全自动化。 - 标准编制 -TNC工作组已经定义并发布了一个开放架构和一套不断增长的标准，用于端点遵从性评估、网络访问控制和安全自动化。TNC体系结构使网络运营商能够在网络连接和跨不同安全和网络设备的协调信息时或之后执行有关端点完整性的策略。TNC标准确保跨各种端点、网络技术和策略的多供应商互操作性。 +TNC工作组已经定义并发布了一个开放架构和一套不断增长的标准，用于端点遵从性评估、网络访问控制和安全自动化。TNC体系结构使网络运营商能够在网络连接和跨不同安全和网络设备的协调信息时或之后执行有关端点完整性的策略。TNC标准确保跨各种端点、网络技术和策略的多供应商互操作性。 + |一级标准|子标准| |-------|-----| |TNC Architecture for Interoperability|无| @@ -95,9 +96,11 @@ TNC工作组已经定义并发布了一个开放架构和一套不断增长的 |IF-PTS – Platform Trust Services Interface|Integrity Report Schema| |IF-PTS – Platform Trust Services Interface|Reference Manifest (RM) Schema| |IF-PTS – Platform Trust Services Interface|Security Qualities Schema| -|IF-PTS – Platform Trust Services Interface|Verification Result Schema| +|IF-PTS – Platform Trust Services Interface|Verification Result Schema| + - 应用场景 TNC不同场景下的安全需求提供了可互操作的标准： + |需求场景|要求|解决的问题| |-------|--------|----| |合规遵从|网络和端点可见性|谁和什么都在我的网络上? @@ -108,17 +111,19 @@ TNC不同场景下的安全需求提供了可互操作的标准： |安全调度|安全系统协调|共享用户、设备、威胁等实时信息。| - 标准推广： -TNC标准的采用也从供应商和最终用户扩展到其他标准组织。互联网工程任务组(IETF)网络端点评估(NEA)工作组发布了几个基于TNC客户端-服务器协议的rfc: +TNC标准的采用也从供应商和最终用户扩展到其他标准组织。互联网工程任务组(IETF)网络端点评估(NEA)工作组发布了几个基于TNC客户端-服务器协议的rfc: + |IETF RFC|TNC Specification| |--------|-----------------| |PA-TNC: A Posture Attribute (PA) Protocol Compatible with Trusted Network Connect (TNC) - RFC 5792|TNC IF-M: TLV Binding Version 1.0| |PB-TNC: A Posture Broker (PB) Protocol Compatible with Trusted Network Connect (TNC) - RFC 5793| TNC IF-TNCCS: TLV Binding Version 2.0| |A Posture Transport Protocol over TLS (PT-TLS) - RFC 6876| TNC IF-T Binding to TLS Version 2.0| -|PT-EAP: Posture Transport (PT) Protocol for Extensible Authentication Protocol (EAP) Tunnel Methods - RFC 7171| TNC IF-T: Protocol Bindings for Tunneled EAP Methods, Version 2.0| +|PT-EAP: Posture Transport (PT) Protocol for Extensible Authentication Protocol (EAP) Tunnel Methods - RFC 7171|TNC IF-T: Protocol Bindings for Tunneled EAP Methods, Version 2.0| + TNC提供了一个灵活、开放的体系结构，可以适应不断变化的环境，而不依赖于任何一家供应商。跨国公司支持的技术提高了投资回报率，支持使用现有的网络设备和同类最佳产品，并避免了供应商锁定。可见性和协调性有助于有效的网络管理和安全。 TNC开放的网络安全架构和完整的标准得益于安全专家的全面技术审查。为了获得最强的安全性，TNC可以利用TPM进行健壮的身份验证、认证和危害检测。商业供应商、开源社区和IETF对TNC标准提供了广泛的支持。 TNC可以与TPM集成，以实现安全身份验证和认证，解决rootkit和其他受损软件的检测和缓解问题。TNC标准为保护嵌入式系统(如网络设备、汽车和物联网解决方案)提供了通信基础。 -### 1.1.5 其他 +### 1.1.5 其他 | 工作组 | 标准名称/案例 | |---------|--------| |cloud|Trusted Multi-Tenant Work Group Trust Assessment Framework| @@ -151,7 +156,7 @@ TNC可以与TPM集成，以实现安全身份验证和认证，解决rootkit和 |Mobile|TCG Runtime Integrity Preservation in Mobile Devices| |Mobile|TCG Trusted Network Communications for Mobile Platforms| |Mobile|TCG TPM 2.0 Mobile Specification Implementation Guidance| -|Embedded Systems| +|Embedded Systems| | {{#template template/footer.md}}