diff --git a/.comp.sh.swp b/.comp.sh.swp
new file mode 100644
index 0000000000000000000000000000000000000000..f24813fc6fab9c28c323249cbdeb44ac6c1ee38b
Binary files /dev/null and b/.comp.sh.swp differ
diff --git a/src/Summary.md b/src/SUMMARY.md
similarity index 97%
rename from src/Summary.md
rename to src/SUMMARY.md
index 83ec14927a4cf295a8840d162a5d2111caa8d58a..16643fe67add9028af1fb27794df69c02eed25aa 100644
--- a/src/Summary.md
+++ b/src/SUMMARY.md
@@ -1,4 +1,4 @@
-### 目录
+# Summary
- [OpenAnolis 龙蜥社区](openanolis.md)
- [可信计算简介与现状](introduction.md)
- [可信计算SIG简介](trustedcomputingSig.md)
diff --git a/src/anolisos-kernel.md b/src/anolisos-kernel.md
index 263f6a534f57269afdcc5e4958dfcf82e9caa8a0..1bff32476225ab251f0e75755753c632d917e446 100644
--- a/src/anolisos-kernel.md
+++ b/src/anolisos-kernel.md
@@ -2,22 +2,18 @@
龙蜥操作系统内核提供了成熟的可信计算特性支持，满足内核安全可信需求、为应用层提供安全可信服务。
# 二、可信驱动
## 2.1 TPM Eventlog
-本文档简要描述了什么是TPM日志，以及如何将TPM日志从预引导固件传递到操作系统。
-1. **介绍**
-预引导固件维护一个事件日志，每当它将某些内容散列到任何PCR寄存器时，该日志都会获得新条目。事件按其类型分隔，并包含散列PCR寄存器的值。通常情况下，预引导固件将对组件进行散列，这些组件的执行将移交给与引导过程相关的操作。
-它的主要应用是远程认证，它有用的原因很好地放在的第一部分:
-“认证用于向挑战者提供有关平台状态的信息。然而，PCR内容难以解释;因此，当PCR内容伴随着测量日志时，认证通常更有用。虽然测量日志本身不可信，但它包含比PCR内容更丰富的信息集。PCR内容用于提供测量日志的验证。
-2. **UEFI事件日志**
-UEFI提供的事件日志查询的服务。在调用ExitBootServices()之前，Linux EFI存根将事件日志复制到由存根自己定义的自定义配置表中。
-不幸的是，ExitBootServices()生成的事件最终不会出现在表中。固件提供了所谓的最终事件配置表来解决这个问题。在第一次调用EFI_TCG2_PROTOCOL.GetEventLog()之后，事件被镜像到这个表中。
-这就引入了另一个问题:没有什么能保证在Linux EFI存根运行之前不调用它。因此，它需要在存根仍然运行到自定义配置表时计算并保存最终事件表的大小，以便TPM驱动程序稍后在连接来自自定义配置表和最终事件表的事件日志的两半时可以跳过这些事件。
-
+本节简要描述了什么是TPM Eventlog,以及如何将TPM Eventlog从预引导固件传递到操作系统，事件中一般也将TPM Eventlog称为度量日志。
+1. **TPM Eventlog概述**
+预引导固件维护一个TPM Eventlog，每当固件度量新的组件并将度量结果扩展到任何PCR寄存器时，该日志都会新增一条记录。按事件类型分隔，并包含了扩展后的新PCR值。TPM Eventlog的主要用于远程证明，用于向挑战者证明平台的可信状态。度量日志（即TPM Eventlog)的主要作用是向挑战提供详细的度量日志、来证明详细的度量对象和度量结果，远程证明过程中通过包含PCR内容的可信报告验证度量日志的可信性。
+2. **UEFI TPM Eventlog**
+UEFI提供的 TPM Eventlog查询的protocol服务。在调用ExitBootServices()之前，Linux EFI存根将事件日志复制到由内核自定义的配置表中。
+需要说明的是，ExitBootServices()生成的度量结果不会出现在最终的度量日志表中。固件提供了最终事件配置表来解决这个问题。在第一次调用EFI_TCG2_PROTOCOL.GetEventLog()之后，事件被镜像到这个表中。
## 2.2 vTPM Proxy Driver for linux Container
-1. **介绍**
-这项工作的目标是为每个Linux容器提供TPM功能。这允许程序以与物理系统上的TPM交互相同的方式与容器中的TPM交互。每个容器都有自己独特的、模拟的软件TPM。
-2. **设计**
-为了使模拟软件TPM可用于每个容器，容器管理堆栈需要创建一个设备对，该设备对由一个客户端TPM字符设备/dev/tpmX (X=0,1,2…)和一个“服务器端”文件描述符组成。在将文件描述符传递给TPM仿真器的同时，通过创建具有适当主编号和副编号的字符设备将前者移动到容器中。然后，容器内的软件可以使用字符设备发送TPM命令，仿真器将通过文件描述符接收命令，并使用它发送回响应。
-为了支持这一点，虚拟TPM代理驱动程序提供了一个设备/dev/vtpmx，用于使用ioctl创建设备对。ioctl将其作为配置设备的输入标志。例如，这些标志指示TPM模拟器是否支持TPM 1.2或TPM 2功能。ioctl的结果是“服务器端”的文件描述符以及所创建的字符设备的主要和次要编号。此外，还会返回TPM字符设备的编号。例如，如果创建了/dev/tpm10，则返回数字(dev_num) 10。
+1. **面向容器的虚拟TPM驱动概述**
+该特性是为每个Linux容器提供TPM功能，该特性允许程序以与物理系统上TPM交互相同的方式与容器中的TPM交互。每个容器都有自己独特的、模拟的软件TPM。
+2. **面向容器的虚拟TPM驱动的设计**
+为了使模拟swTPM可用于每个容器，容器管理堆栈需要创建一个设备对，该设备对由一个客户端TPM字符设备/dev/tpmX (X=0,1,2…)和一个“服务器端”文件描述符组成。在将文件描述符传递给TPM仿真器的同时，通过创建具有适当主编号和副编号的字符设备将前者移动到容器中。然后，容器内的软件可以使用字符设备发送TPM命令，仿真器将通过文件描述符接收命令，并使用它发送回响应。
+虚拟TPM代理驱动程序提供了一个设备/dev/vtpmx，用于使用ioctl创建设备对。ioctl将其作为配置设备的输入标志。例如，这些标志指示TPM模拟器是否支持TPM 1.2或TPM 2功能。ioctl的结果是“服务器端”的文件描述符以及所创建的字符设备的主次编号。此外，还会返回TPM字符设备的编号。例如，如果创建了/dev/tpm10，则返回数字(dev_num) 10。
一旦设备被创建，驱动程序将立即尝试与TPM通信。驱动程序的所有命令都可以从ioctl返回的文件描述符中读取。这些命令应该立即得到响应。
3. **UAPI**
- flags for the proxy TPM
diff --git a/src/anolisos.md b/src/anolisos.md
index c884173d29765e9a6c4c88a91028c5ef4ea66a9a..afd73a5307acd7323bf4a68d483a4dce5018a979 100644
--- a/src/anolisos.md
+++ b/src/anolisos.md
@@ -1,10 +1,4 @@
-# 一、引言
+# 龙蜥操作系统可信计算实践指南
龙蜥操作系统以开源社区优秀成果为上游集成了模拟可信根、可信软件、可信工具集，满足用户对可信计算基础服务的需求。同时，可信计算SIG对可信根增强引擎、远程证明等可信计算基础软件进行了探索分析，形成了龙蜥操作系统可信计算实践指南相关内容。未来，针对可信计算基础软件全展国密支持也将是可信计算SIG的重点工作，本白皮书最佳实践章节呈现了SIG成员单位在全栈国密支持方面的实践成果。
-# 二、实践指南
-## 2.1 [模拟可信根](anolisos-swtpm.md)
-## 2.2 [内核可信特性](anolisos-kernel.md)
-## 2.3 [可信软件栈](anolisos-tss.md)
-## 2.4 [可信工具集](anolisos-tpm2-tools.md)
-## 2.5 [可信根服务引擎](anolisos-tpm2-tss-engine.md)
-## 2.6 [远程证明](anolisos-attenstation.md)
+
diff --git a/src/images/TCA.png b/src/images/TCA.png
new file mode 100644
index 0000000000000000000000000000000000000000..bd787b5784b04cc56c926f3abde7027519d4758d
Binary files /dev/null and b/src/images/TCA.png differ
diff --git a/src/images/TNC.png b/src/images/TNC.png
new file mode 100644
index 0000000000000000000000000000000000000000..6fdf66ef55e834f93f9b89f74991e372018d41ce
Binary files /dev/null and b/src/images/TNC.png differ
diff --git "a/src/images/\344\277\241\344\273\273\351\223\276.png" "b/src/images/\344\277\241\344\273\273\351\223\276.png"
new file mode 100644
index 0000000000000000000000000000000000000000..3acbd7cffbbf7e4e9471f8513c96d71996dd95ba
Binary files /dev/null and "b/src/images/\344\277\241\344\273\273\351\223\276.png" differ
diff --git "a/src/images/\345\217\257\344\277\241\345\272\246\351\207\217\344\272\213\344\273\266\347\244\272\346\204\217\345\233\276.PNG" "b/src/images/\345\217\257\344\277\241\345\272\246\351\207\217\344\272\213\344\273\266\347\244\272\346\204\217\345\233\276.PNG"
new file mode 100644
index 0000000000000000000000000000000000000000..9552d375e827ac4af661d562723b05e0aef5e2c2
Binary files /dev/null and "b/src/images/\345\217\257\344\277\241\345\272\246\351\207\217\344\272\213\344\273\266\347\244\272\346\204\217\345\233\276.PNG" differ
diff --git a/src/introduction.md b/src/introduction.md
index 50472176b981ac9450c2b56bdc9ac6e103fa355a..cf31f86b83eb4019681151c5b23438a845ea6109 100644
--- a/src/introduction.md
+++ b/src/introduction.md
@@ -1,17 +1,19 @@
# 可信计算简介
-## （一） 可信计算的概念
- 可信计算是通过检测和强化实体行为的预期性来保障实体信任的技术，是一种从体系结构入手解决信息系统安全问题的技术理念；其基本思想是先在计算机系统中建立一个信任根(基)，信任根的可信性由物理安全、技术安全与管理安全共同确保；再建立一条信任链，从信任根开始，到硬件平台，到操作系统，再到应用，一级度量认证一级，一级信任一级，把这种信任扩展到整个计算机系统。
- 可信并不等同于安全，但可信是安全的基础，因为安全组件、策略只有运行在可信的环境下才能进一步达到安全目的。通过系统和安全组件的完整性保障，可以确保业务应用使用正确的软件栈，并在软件栈受到攻击发生改变后能及时发现。总之，在系统和应用中引入可信计算能够极大地降低由于使用未知或遭到篡改的系统/软件遭到攻击的可能性。
+## （一） 可计算的概念
+ 可信计算是通过检测和强化实体行为的预期性来保障实体信任的技术，是一种从体系结构入手解决信息系统安全问题的技术理念；其基本思想是先在计算机系统中建立一个信任根(基)，信任根的可信性由物理安全、技术安全与管理安全共同确保；再建立一条信任链，从信任根开始，到硬件平台，到操作系统，再到应用，一级度量认证一级，一级信任一级，把这种信任扩展到整个计算机系统。
+ 可信并不等同于安全，但可信是安全的基础，因为安全组件、策略只有运行在可信的环境下才能进一步达到安全目的。通过系统和安全组件的完整性保障，可以确保业务应用使用正确的软件栈，并在软件栈受到攻击发生改变后能及时发现。总之，在系统和应用中引入可信计算能够极大地降低由于使用未知或遭到篡改的系统/软件遭到攻击的可能性。
## （二）可信计算应用发展现状
- 可信计算概念最早可以追溯到 1983 美国国防部的 TCSEC 准则及之后出现的彩虹系列信息系统安全文件。1999 年，IBM、微软、Intel 等企业成了 TCPA（2003年改名为 TCG），主要致力于形成可信计算的工业标准。目前 TCG 已经制定了包括 TPM、TSS、TNC 等一系列技术规范，并形成了针对IoT、云计算、个人终端、移动终端、存储等不同场景的工作组、致力于可信计算在相关场景的应用标准编制与解决方案推动。
- 国际上已经形成以 Trusted Computing Group（TCG）为代表的可信计算组，并推动 TPM 规范在 PC、服务器、移动终端、网络、云计算、物联网等领域的应用。在服务器及云计算领域，国际 IT 巨头已将可信计算技术作为其产品的重要支撑。Intel服务器 CPU 已经全面支持 TPM2.0；微软 Windows Server 2012 已支持 TPM2.0，并计划发布 Server2016 将支持 vTPM2.0，支持可信云计算环境的构建；Linux Kernel4.0已经集成 TPM2.0，以及主流虚拟化软件 Xen、KVM、Openstack、VMware 等都提供了对 TPM 和 vTPM 的支持；IBM 收购的 Softlayer 公司为全球 60 多个重要客户提供可信云主机服务；同时, 许多芯片公司都将部分可信计算功能集成到商用的处理器中, 如 ARM 公司的 TrustZone 技术、 Intel 公司的 SGX 技术和 AMD 公司的SEV(secure encrypted virtualization)技术等, 都在处理器中实现了内存隔离, 可以为上层应用提供安全的执行环境, 保障敏感程序的安全性, 并被广泛应用在移动手机和云平台中.
- 鉴于可信计算技术对国家信息安全体系的重要性, 经国家密码管理局批准, 中国于2006年成立了可信计算密码专项组, 并于2008年12月更名为中国可信计算工作组(China TCM Union), 简称TCMU.2007年12月, 国家密码管理局颁布了《可信计算密码支撑平台功能与接口规范》, 将国内使用的可信基础模块定义为TCM(trust cryptography module).相较于TPM, TCM采用了我国《商用密码管理条例》中规定的SM2、SM3等国密算法, 同时引入了对称密钥算法, 简化了TPM中复杂的密钥管理.TCM的证书认证机制采用签名密钥以及加密密钥的双证书机制, 将对称密钥与非对称密钥结合保护系统安全, 在密钥管理体系和基础密码服务体系等方面进行了改进, 提升了系统的安全性. TPM和TCM的构成和功能类似, 提供可信计算平台的信任根(RTS, RTR), 是由CPU、存储器、I/O、密码协处理器、随机数产生器和嵌入式操作系统等部件组成的独立SoC芯片, 具备可信度量的存储、可信度量的报告、密钥产生、加密和签名、数据安全存储等功能.2015年TPM 2.0 library specification（Trusted Platform Module）正式成为国际标准ISO/IEC 11889，吸纳了TCM中相关的安全改进，并首次成体系支持中国密码算法体系，包括SM2/SM3/SM4密码算法。这是中国密码算法技术和标准的又一次重要突破，也是中国信息安全标准在国际标准化工作中的重要进展。ISO/IEC 11889 支持中国商用密码算法体系（SM2/SM3/SM4），使得在数据安全保护上更加牢不可破。
+ 可信计算概念最早可以追溯到 1983 美国国防部的 TCSEC 准则及之后出现的彩虹系列信息系统安全文件。1999 年，IBM、微软、Intel 等企业成了 TCPA（2003年改名为 TCG），主要致力于形成可信计算的工业标准。目前 TCG 已经制定了包括 TPM、TSS、TNC 等一系列技术规范，并形成了针对IoT、云计算、个人终端、移动终端、存储等不同场景的工作组、致力于可信计算在相关场景的应用标准编制与解决方案推动。
+ 国际上已经形成以 Trusted Computing Group（TCG）为代表的可信计算组，并推动 TPM 规范在 PC、服务器、移动终端、网络、云计算、物联网等领域的应用。在服务器及云计算领域，国际 IT 巨头已将可信计算技术作为其产品的重要支撑。Intel服务器 CPU 已经全面支持 TPM2.0；微软 Windows Server 2012 已支持 TPM2.0，并计划发布 Server2016 将支持 vTPM2.0，支持可信云计算环境的构建；Linux Kernel4.0已经集成 TPM2.0，以及主流虚拟化软件 Xen、KVM、Openstack、VMware 等都提供了对 TPM 和 vTPM 的支持；IBM 收购的 Softlayer 公司为全球 60 多个重要客户提供可信云主机服务；同时, 许多芯片公司都将部分可信计算功能集成到商用的处理器中, 如 ARM 公司的 TrustZone 技术、 Intel 公司的 SGX 技术和 AMD 公司的SEV(secure encrypted virtualization)技术等, 都在处理器中实现了内存隔离, 可以为上层应用提供安全的执行环境, 保障敏感程序的安全性, 并被广泛应用在移动手机和云平台中.
+ 鉴于可信计算技术对国家信息安全体系的重要性, 经国家密码管理局批准, 中国于2006年成立了可信计算密码专项组, 并于2008年12月更名为中国可信计算工作组(China TCM Union), 简称TCMU.2007年12月, 国家密码管理局颁布了《可信计算密码支撑平台功能与接口规范》, 将国内使用的可信基础模块定义为TCM(trust cryptography module).相较于TPM, TCM采用了我国《商用密码管理条例》中规定的SM2、SM3等国密算法, 同时引入了对称密钥算法, 简化了TPM中复杂的密钥管理.TCM的证书认证机制采用签名密钥以及加密密钥的双证书机制, 将对称密钥与非对称密钥结合保护系统安全, 在密钥管理体系和基础密码服务体系等方面进行了改进, 提升了系统的安全性. TPM和TCM的构成和功能类似, 提供可信计算平台的信任根(RTS, RTR), 是由CPU、存储器、I/O、密码协处理器、随机数产生器和嵌入式操作系统等部件组成的独立SoC芯片, 具备可信度量的存储、可信度量的报告、密钥产生、加密和签名、数据安全存储等功能.2015年TPM 2.0 library specification（Trusted Platform Module）正式成为国际标准ISO/IEC 11889，吸纳了TCM中相关的安全改进，并首次成体系支持中国密码算法体系，包括SM2/SM3/SM4密码算法。这是中国密码算法技术和标准的又一次重要突破，也是中国信息安全标准在国际标准化工作中的重要进展。ISO/IEC 11889 支持中国商用密码算法体系（SM2/SM3/SM4），使得在数据安全保护上更加牢不可破。
我国学者则从传统计算机体系结构着手，考虑到传统冯诺伊曼架构存在的安全设计缺陷，提出了“在计算运行的同时进行安全防护的信计算模模式，即以密码为基因产生抗体，实施身份识别、状态度量、保密存储等功能，及时识别自己和非自己成份，从而破坏和排斥进入机体的有害物质”即“主动免疫安全可信计算”技术体系（这一体系被学界称为“可信计算3.0”）。主动免疫安全可信计算通过构建“计算+防护”并行双体系结构，实现防护部件并行动态的方式对计算部件运算过错进行可信验证，达到主动免疫防护效果。在并行的双体系结构中，采用了一种安全可信策略管控下的运算和防护并列的主动免疫的新计算体系结构，以可信密码模块（ＴＣＭ）连接可信平台控制模块（TPCM），组成可信根，由策略产生可信验证规则，由可信软件基根据安全可信策略规则实施身份识别、状态度量、保密存储等功能，及时发现异常并加以处置，从根本上防止（恶意代码）对计算部件（主机）的攻击．该体系的可信验证通过对人的操作访问策略４要素（主体、客体、操作、环境）进行动态可信度量、识别和控制，以达到纠正传统访问控制策略模型局限于授权标识属性进行操作，而不作可信验证、难防篡改的安全缺陷．另外，传统访问控制不考虑环境要素（代码及参数）是否被破坏，难以防止恶意代码攻击，为此必须对环境要素进行可信验证的基础上依据策略规则进行动态访问控制。当前，国内主要以中关村可信计算产业联盟代表推动可信计算3.0技术体系及其生态的繁荣发展，在开源开方方面，北京工业大学推出了一系列的可信计算3.0开源教学实践探索、可信计算产业联盟推出了一系列团体标准，并通过“等级保护2.0与可信计算3.0联合攻关基地”推动相关团体标准的落地实施。
## （三） 可信计算关键技术及术语
### 3.1 信任根
- **概念**
-信任根是可信计算机系统可信的基础，可信计算平台包含三个信任根：可信度量根(Root of Trust for Measurement, RTM)、可信报告根(Root of Trust for Report, RTR)、可信存储根(Root of Trust for Storage, RTS)。如下图所示：
-
+ 信任根是可信计算机系统可信的基础，可信计算平台包含三个信任根：可信度量根(Root of Trust for Measurement, RTM)、可信报告根(Root of Trust for Report, RTR)、可信存储根(Root of Trust for Storage, RTS)。如下图所示：
+
+
+
度量存储报告机制是可信计算平台重要工作机制，这一机制是指“对可信计算平台进行度量并将度量产生的可信直进行存储，当访问客体询问时提供可信报告”。这一机制是确保可信计算平台自身可信并向外提供可信服务的基础。RTM是对可信计算平台进行度量的信任基点，它的本质是一段代码；RTS是平台可度量值可信存储的基点，它是由信任根（如TPM/TCM）中的平台状态寄存器（PCR）和信任根中的存储根密钥（SRK）共同构成；RTR是平台向访问客体提供可信报告的信任基点，它是由PCR和信任根中的背书密钥（EK）共同构成。它们共同构成了可信计算平台的信任基础。
**信任根的可信性由物理、技术和管理等方面的安全措施共同确保。**
@@ -24,18 +26,83 @@
|TCM|TCM1.0在服务器领域应用较少，开源成果有限，随着TCM2.0规范的发布，与国际可信计算开源生态的融合，未来TCM在服务器领域的应用将丰富起来。|国家密码局牵头发布的系列TCM规范，当前已发布TCM2.0、TCM2.0配套的软件服务模块（TSM）标准正在修订中|被动可信：可信根由处理器拉起|- 独立芯片实现，接口主要为SPI或I2C
- 软件模拟，主要用于研究开发与虚拟化场景
- 处理器内置，提高一个独立的核作为TCM的计算资源
|
|TPCM|TPCM由国内学者提出，用于实现可信计算3。0平台构建。在特种领域应用成熟、开源生态方面的建设亟待提升|已发布TPCM国家标准及配套的可信软件基（TSB）国家标准|主动可信：可信根优先上电运行且相对独立|- 独立版卡，接口多为PCIe、也有为USB接口
- 软件模拟，主要用于研究开发与虚拟化场景
- 处理器内置，处理器开辟出一个专用的核作为TPCM的计算单元，同时提供专用的计算存储资源|
-### 3.2 信任度量模型与信任链
+### 3.2可信度量与信任链
+ 可信计算中采用对客体哈希的方式实现客体完整性值的采集，通过实时采集到的完整性值与客体完整性基准值比对的方式验证客体的可信状态。对客体进行哈希、将哈希结果扩展到可信根、并记录事件日志的过程称为可信度量或度量事件。 如下图所示。
+
+
+
+ 信任链的主要作用是将信任关系扩展到整个计算机平台，它建立在信任根的基础上。信任链可以通过可信度量机制来获取各种各样影响平台可信性的数据，并通过将这些数据与预期数据进行比较，来判断平台的可信性[ 石文昌编著. 信息系统安全概论. 电子工业出版社，2014.68-71]。
+ **建立信任链时遵循以下三条规则：**
+ (1)所有模块或组件，除了CRTM（信任链构建起点，第一段运行的用于可信度量的代码），在没有经过度量以前，均认为是不可信的。同时，只有通过可信度量并且与预期数据相符的模块或组件，才可归入可信边界内。
+ (2)可信边界内部的模块或组件，可以作为验证代理，对尚未完成验证的模块或组件进行完整性验证。
+ (3)只有可信边界内的模块或组件，才可以获得相关的TPM 控制权，可信边界以外的模块或组件无法控制或使用可信平台模块。
+ 下图所示为基于TPM2.0/TCM2.0的信任链构建示意图。
+
+
### 3.3 可信计算平台
+ 可信计算平台是指具有可信计算安全机制并能够提供可信服务的计算平台.其主要特征是：有信任根，并基于此构键信任链机制、具有度量存储报告机制、能够提供确保系统数据完整性、数据安全存储和平台远程证明等可信功能服务[ 张焕国、赵波等著. 可信计算. 武汉大学出版社.]。典型的可信计算平台包括:可信PC、可信服务器、可信PDA等。
+
+ 可信计算平台以CRTM（可信度量根核）为起点，以信任链的方式来度量整个平台资源的完整性，将度量值存储至可信根的平台配置寄存器中，并通过可信芯片向询问平台可信状态的实体提供报告，供访问者判断平台是否可信，以决定是否可以与其交互。这种工作机制被称为可信度量、报告、存储机制，是可信计算机和普通计算机在安全机制上的最大区别。
+
### 3.4 可信软件栈
+ 可信软件栈是为了方便操作系统层面的安全应用访问可信芯片提供的服务，从而实现为用户提供可信服务。
+- 位于用户应用软件与可信芯片之间，作为使用可信芯片的入口
+- 提供安全芯片访问、安全认证、密码服务和资源管理等功能
+- 为应用程序提供一套函数接口来同步访问可信芯片的功能
+- 对安全芯片自身有限的资源进行管理；管理多个应用程序访问可信芯片资源的请求，提供可信全芯片的并发访问，
+- 以合理的字节流顺序及赋值对上层应用隐藏内部命令处理过程
+- 解决可信芯片自身接口的复杂性和对外服务的不便性
+- TPM对应可信软件栈TSS（TCG Software Stack）
+- TCM对应TCM服务模块TSM（TCM Service Module）
+
### 3.5 远程证明
+ 远程证明是指可信计算平台向外部实体证明平台身份及可信状态的过程。相对于基于身份的认证机制，远程证明进一步扩展和丰富了认证的内容，使得认证的实体能够对认证客体进行更深层次更细粒度的认证。有效的避免了基于身份认证的过程中对实体安全状态一无所知的窘境。远程证明不仅对用户和平台身份进行了认证、还进一步的对平台的安全状态、软硬件配置等信息进行了验证，保证了平台的状态符合预期的安全策略，从源头上消除了大量潜在的安全攻击。
+ 基于TPM/TCM的远程证明与上述目标一致，是一种验证计算机系统软硬件配置正确性的方法。在这个方法中，验证者向系统发送挑战查询，选择要验证的范围。证明者收集描述系统的引导状态、当前配置和身份的证据。背书密钥用于签署证明证据，其公钥会传递给验证者。验证者使用密码学方式检查证据是否满足其信任评估策略，并确定设备是否来自期望的制造商。
+ **远程证明基本流程：** 完整的远程证明流程包括两个主要步骤：
+
+- 服务器验证客户端可信根设备
+
+
+
+ 每个可信根（TPM/TCM）设备都有一个唯一的非对称密钥，称为背书密钥（Endorsement Key，EK）。其中公钥被称为EKPub，私钥被称为EKPriv。EK由TPM制造商在生产过程中烧录到TPM芯片中，并可能由制造商颁发EKCert作为公钥的数字签名。
+* 为了验证可信根设备的真实性，需要建立对EKPub或EKCert的信任。这通常是通过与颁发EKCert的证书颁发机构（CA）进行交互来实现的。
+* 用户会生成一个密钥对AK，并向Server证明该密钥与可信根的EKPub存在加密关系，并且用户拥有EKPriv。
+* AK是在可信根内部由EK派生的一个密钥对，用于生成远程证明的关键。每次创建AK都会生成一个全新的密钥，使得该密钥具备匿名性。
+* 用户向Server提交证书请求，并将自己的AKPub和与可信根的EKPub相关的证明信息提交给Server。
+* Server对用户提供的信息进行验证，以确保用户的密钥AK与可信根的EKPub存在加密关系，并且用户具有对应的私钥。
+* 如果验证成功，Server会向用户颁发一个证书，表示用户的密钥已通过由可信根保护的证明过程。
+
+- 服务器验证来自客户端的度量事件日志
+度量事件日志完整性验证是指确保存储在可信根（如TPM）中的事件日志未被篡改且保持可信的过程。
+
+
+
+ 在引导过程中，可信根会记录一系列的事件，例如启动固件的验证、启动操作系统的过程等。这些事件会被存储在TPM的事件日志中，以提供关于系统引导过程的可信证据。可信根会使用称为“度量”（measure）的过程来记录引导过程中的各个阶段的度量值。这些度量值是通过对引导代码和配置进行哈希计算得到的。这些测量值会被存储在事件日志中，并且使用可信根的密钥进行签名，以确保其完整性和真实性。
+* 服务器向客户端平台请求quote。
+* 客户端平台使用AK私钥将PCR列表作为quote进行签名，并将quote发送给服务器。
+* 服务器使用AKPub验证quote的签名。如果验证成功，则服务器确认PCR列表是真实的。一旦验证成功，服务器会发送请求以获取事件日志。
+* 客户端平台直接将事件日志发送给服务器。
+* 服务器回放事件日志以还原PCR值。如果还原的PCR值与原始PCR值相同，则服务器确认事件日志是真实的。
+
### 3.6 可信网络连接
+**TNC可信连接架构**
+ 可信网络连接（TNC）是对可信平台应用的扩展，其目的是是确保网络访问者的完整性，其认证过程可简述为：终端接入网络的过程中先后对终端用户身份、终端平台身份、终端平台可信状态等信息进行认证，只有全部满足认证需求的情况下才允许接入网络。
+ TNC的架构分为3 层.网络访问层: 从属于传统的网络互联和安全层, 支持现有的如VPN 和802.1X 等技术, 这一层包括NAR (网络访问请求)、PEP (策略执行) 和NAA (网络访问管理) 3 个组件. 完整性评估层:这一层依据一定的安全策略评估AR(访问请求者)的完整性状况. 完整性度量层: 这一层负责搜集和验证AR 的完整性信息.TNC 通过网络访问请求, 搜集和验证请求者的完整性信息, 依据一定的安全策略对这些信息进行评估, 决定是否允许请求者与网络连接, 从而确保网络连接的可信性.
+
+
+
+**TCA可信连接架构**
+ TNC本质上其实是一个二元架构，这里只涉及访问请求者和网络接入方，且网络接入方处于控制地位，整个网络接入过程的可信认证都是为了确保网络的安全，却无法确保终端安全，即终端无法确认所接入的网络是否可信，从而无法确保获取的网络服务是否可信。
+ 我国于2005年开始制定的可信连接架构（TCA），有效的解决了该问题。TCA在制定过程中参考了TCG的TNC标准，同时采用了具有自主知识产权的三元对等实体鉴别及访问控制方法。
+该架构如下图所示，由图可知该架构设计包括可三个实体、三个层次和若干组件。相比于TNC，该架构最大特点是采用了三元对等架构，将访问请求者和平台控制器视为对等实体，其中策略管理器作为可信第三方，提供访问请求者和访问控制者之间的双向身份认证。这种方式既简化了身份管理、策略管理和证书管理机制，又保证了终端与网络的双向认证。
+
+
+
## （四） 可信计算技术面临的挑战
随着移动互联网、量子计算、物联网、云计算、区块链等技术的发展和应用, 可信计算技术也开辟了新的应用场景.
- 在移动可信计算方面, 设计具有更小可信计算基 (trusted computing base, TCB) 的移动可信体系架构, 以及实现内核运行时和移动应用的安全防护是重要的研究问题.
- 随着量子计算的发展, 设计高效的抗量子密码算法和协议是一个亟需解决的科学问题; 更进一步, 需要设计具有抗量子能力的 TPM/TCM, 并且构建抗量子可信计算技术体系.
- 在可信物联网方面, 轻量级的信任根、高效安全的软件证明、安全代码更新机制是该领域的重要研究问题.
- 在可信云中, 如何利用虚拟可信平台模块、虚拟机监控技术、新型的硬件安全技术实现云平台安全防护是该领域需要解决的重要安全问题.
-- 在可信区块链方面, 新型的可信执行环境技术可以为区块链提供新的思路, 例如, 利用硬件安全机制改进共识协议, 使用可信执行环境 (trusted execution environment,TEE) 保障区块链的计算环境等.
-
-{{#template template/footer.md}}
+- 在可信区块链方面, 新型的可信执行环境技术可以为区块链提供新的思路, 例如, 利用硬件安全机制改进共识协议, 使用可信执行环境 (trusted execution environment,TEE) 保障区块链的计算环境等.
diff --git a/src/openanolis.md b/src/openanolis.md
index 244ebc2fa28a81b99b2782aafc3f7cb0d36be654..09fe869b565bc72ede1ea694dacb39e656fe3b04 100644
--- a/src/openanolis.md
+++ b/src/openanolis.md
@@ -44,8 +44,6 @@
OpenAnolis是一个开放包容的社区，因此我们也欢迎志同道合之士参与我们的文档修订。
-对于文档中您认为不足之处，欢迎到我们的官方仓库 [Whitebook ShangMi](https://github.com/openanolis/whitebook-shangmi) 新开issue，我们会第一时间进行响应。
+对于文档中您认为不足之处，欢迎到我们的官方仓库 [Whitebook TrustedComputing](https://gitee.com/anolis/whitebook-trusted-computing) 新开issue，我们会第一时间进行响应。
-另外，若您想更新文档，也同样欢迎在 [Whitebook ShangMi](https://github.com/openanolis/whitebook-shangmi) 提PR。
-
-{{#template template/footer.md}}
\ No newline at end of file
+另外，若您想更新文档，也同样欢迎在 [Whitebook TrustedComputing](https://gitee.com/anolis/whitebook-trusted-computing) 提PR。
diff --git a/src/practices-phytium.md b/src/practices-phytium.md
index b844e23cccb46630b3697a746e5aa03305aaf61c..e69de29bb2d1d6434b8b29ae775ad8c2e48c5391 100644
--- a/src/practices-phytium.md
+++ b/src/practices-phytium.md
@@ -1,2 +0,0 @@
-
-{{#template template/footer.md}}
\ No newline at end of file
diff --git a/src/practices-shangmi_trusted_computing.md b/src/practices-shangmi_trusted_computing.md
index fc20e72a3f967164951a961ed04bbab52148dfbe..e9dc1a5de66725e1da4b69c8eb6f4e727e192c0a 100644
--- a/src/practices-shangmi_trusted_computing.md
+++ b/src/practices-shangmi_trusted_computing.md
@@ -105,6 +105,4 @@ Please Input the Corresponding Operations.
1. 在 KOS 部署可信代理端之后、配置后可在可信管理端识别到响应的节点、之后通过可信管理端可以部署相应节点的国密远程证明证书（Attestation Certification)。
-2. 部署可信证书后、节点即可以用远程证明的方式向可信管理端发送报告进行可信证明。
-
-{{#template template/footer.md}}
+2. 部署可信证书后、节点即可以用远程证明的方式向可信管理端发送报告进行可信证明。
diff --git a/src/practices-trustedComputing3.md b/src/practices-trustedComputing3.md
index 37062a7bd3aaa08c92cd88e8ba1fff1a424228e2..e0f8e5f86886932841c28202b9cf4f814ce68797 100644
--- a/src/practices-trustedComputing3.md
+++ b/src/practices-trustedComputing3.md
@@ -82,6 +82,3 @@ KeyarchOS是浪潮信息基于Anolis OS发布服务器操作系统，**一方面
2. 可信整机产线流程目前已经在浪潮服务器、新华三服务器产线上进行了实践。
3. **浪潮信息副总裁张东**于2022年**KeyarchOS**发布会上表示
-
-
-{{#template template/footer.md}}
\ No newline at end of file
diff --git a/src/practices.md b/src/practices.md
index e6545555b6e81199896fb555b77dcefc0ecc77bc..08fcdef63012626c8e930ee955623edd9c1bc6cb 100644
--- a/src/practices.md
+++ b/src/practices.md
@@ -1,16 +1,6 @@
-# 一、引言
+# 可信计算最佳实践及解决方案
如图所示，可信计算技术作为一种系统级安全增强技术，例如系统可信验证（动态、静态）、系统全盘加密增强、轻量级可信集群构建等，应用得当可以极大的提升操作系统安全能力、这些能力的应用也是可信计算SIG探索可信计算最佳实践的重要方向。本节主要主要选编了基于海光平台内置可信根服务的可信计算最佳实践，基于keylime的轻量级可信集群构建实践探索、基于可信根的全盘加密安全增强最佳实践等内容。
在解决方案方面，近年来随着关键信息基础设施建设及合规要求的发展与演变，可信计算面临的场景与挑战也截然不同，面向边缘场景的轻量远程证明要求、面向混合云场景的数据安全要求、面向公有云场景的信任优先要求、面向合规建设场景的可信验证及可信计算3.0要求等；本节节选了可信计算3.0解决方案、基于机密计算的虚拟可信根解决方案等内容。未来，可信计算SIG将挑选痛点场景的痛点需求重点开展相关解决方案的挖掘与探索工作。
-# 二、最佳实践
-## 2.1 [飞腾平台可信计算最佳实践](practices-phytium.md)
-## 2.2 [海光平台可信计算最佳实践](practices-hygon.md)
-## 2.3 [Keylime最佳实践](practices-keylime.md)
-## 2.4 [基于可信根的全盘加密](practices-luks-with-tpm2.md)
-## 2.5 [基于国密的可信计算最佳实践](practices-shangmi_trusted_computing.md)
-## 2.6 [基于机密计算的虚拟可信根解决方案](practices-Confidential_vtpm.md)
-## 2.7 [可信计算3.0解决方案](practices-trustedComputing3.md)
-
-{{#template template/footer.md}}
diff --git a/src/standard-china.md b/src/standard-china.md
index 719e3d0fea775af83ed20cc5b58f58e65fe5c8a2..340ce37baac8de502c594721435640df9f8fbc96 100644
--- a/src/standard-china.md
+++ b/src/standard-china.md
@@ -1,8 +1,8 @@
-# 一、国内可信计算标准
+# 国内可信计算标准
当前国内可信计算标准已构建了密码为基础、芯片为支柱、主板为平台，软件为核心，网络为纽带、应用成体系的可信计算标准化体系。为落实《网络安全法》，支持《网络安全等级保护条例》、《关键信息基础设施条例》执法，促进“网络安全等级保护”系列标准的实施提供了重要依据和支撑。
-## 1.1 国家标准化委员会发布
-### 1.1.1 全国信息安全标准化技术委员会
+## 国家标准化委员会发布
+### 全国信息安全标准化技术委员会
| 标准编号 | 标准名称 | 归口单位 | 标准概述 |
|---------|--------|---------|----------------------------|
|GB/T 38638-2020| 信息安全技术 可信计算 可信计算体系结构|全国信息安全标准化技术委员会|该标准规定了可信计算的体系结构、可信部件及完整性度量模式、可信计算节点类型。该标准为第一次发布。|
@@ -13,13 +13,13 @@
|GB/T 29828-2013| 信息安全技术 可信计算规范 可信连接架构|全国信息安全标准化技术委员会|该标准规定了可信连接架构的层次、实体、组件、接口、实现流程、评估、隔离和修补以及各个接口的 具体实现,解决终端连接到网络的双向用户身份鉴别和平台鉴别问题,实现终端连接到网络的可信网络 连接。 本标准适用于具有可信平台控制模块的终端与网络的可信网络连接。|
|GB/T 38644-2020| 信息安全技术 可信计算 可信连接测试方法|全国信息安全标准化技术委员会|该标准依据GB/T 29828-2013,规定了可信网络连接协议以及所涉及的密码算法的测试要求及方法。|
|GB/T 36639-2018 | 信息安全技术 可信计算规范 服务器可信支撑平台|全国信息安全标准化技术委员会|该标准规定了服务器可信支撑平台的功能和安全要求，并描述了服务器可信支撑平台的组成结构。该标准为第一次发布。|
-### 1.1.2 国家标准化管理委员会
+### 国家标准化管理委员会
| 标准编号 | 标准名称 | 归口单位 | 标准概述 |
|---------|--------|---------|----------------------------|
|GB/T 30847.1-2014| 系统与软件工程 可信计算平台可信性度量 第1部分：概述与词汇|国家标准化管理委员会|对可信计算平台可信性度量进行概述;总述可信计算平台及可信计算平台 可信性度量方法;简要描述 Plan-Do-Check-Act(PDCA)循环过程;定义可信计算平台可信性度量标准 中使用的词汇。|
|GB/T 30847.2-2014| 系统与软件工程 可信计算平台可信性度量 第2部分：信任链|国家标准化管理委员会|从信任链的角度定义了可信计算平台的可信度量方法,包括信任链度量模型和度量指标。|
-## 1.2 国家密码管理局标准化委员会发布
+## 国家密码管理局标准化委员会发布
我国可信计算密码应用相关技术标准自2007年开始起步，目前已经形成比较完善的可信密码模块（TCM）标准体系，TCM以SM2、SM3、SM4商用密码算法为核心，相关行业应用标准包括：
| 标准编号 | 标准名称 | 归口单位 | 标准概述 |
|---------|--------|---------|----------------------------|
@@ -30,7 +30,7 @@
|GM/T 0079-2020| 可信计算平台直接匿名证明规范 |密码行业标准化技术委员会|该标准规定了可信计算平台的直接匿名证明协议的功能、接口和数据结构。该标准为第一次发布。 |
|GM/T 0082-2020| 可信密码模块保护轮廓 |密码行业标准化技术委员会|该标准以GB/T 29829和GB/T 18336为基础，构建可信密码模块的保护轮廓，对符合评估保障级第3级的TOE的定义、安全环境、安全目的、安全要求等进行了详细的说明，并给出相应的基本原理说明|
- 目前可信计算标准已由TCM 1.0全面向TCM 2.0演进，密标委组织制定了支撑可信计算密码应用的机制、协议，接口的相关标准。我国SM2密码算法的密钥生成、SM2密码算法签名/验签，SM2密码算法密钥交换，SM3密码算法，SM4密码算法应用等已经被纳入ISO/IEC 11889国际可信计算标准。
-## 1.3 可信计算密码产品认证
+## 可信计算密码产品认证
在由市场监管总局、国家密码管理局联合发布的《商用密码产品认证目录》第一批/第二批中，包括如下可信计算密码相关产品种类：
| 产品种类 | 产品描述 | 认证依据 |
@@ -41,7 +41,7 @@
- 可信密码模块认证:为了适应TCM标准规范由1.0向2.0升级，2022年7月在由市场监管总局、国家密码管理局发布的《商用密码产品认证目录（第二批）》中，新增了可信密码模块产品认证种类，其依据《GM/T 0028 密码模块安全技术要求》和《GM/T 0012-2020 可信计算密码模块接口规范》进行认证，即所谓TCM 2.0认证。TCM2.0协议依据GM/T 0012-2020测试，GM/T 0012-2020中规定，TCM 2.0协议是TPM 2.0协议的一个子集。GM/T 0028则分为安全等级1-4级进行认证。
- 可信计算密码支撑平台认证:在《商用密码产品认证目录（第一批）》中，有《可信计算密码支撑平台》产品认证类别，依据GM/T 0011/0012/0058/0028进行认证。GM/T 0028分为1-4安全等级进行认证。
- 安全芯片认证:单颗芯片实现的TCM可信密码模块属于密码安全芯片类，在《商用密码产品认证目录（第一批）》中，安全芯片依据《GM/T 0008-2012 安全芯片密码检测准则》来检测，分为1-4安全等级进行认证。
-## 1.4 可信计算产品认证
+## 可信计算产品认证
由中关村可信计算产业联盟和公安部第三研究所联合开展的可信计算产品联合认证，认证范围包括如下产品种类：
|产品种类|认证依据|
@@ -50,26 +50,13 @@
|可信网络安全产品|T/ZTCIA 002-2022 可信计算 网络安全产品安全可信要求|
|办公设备产品|T/ZTCIA 003-2022 可信计算 办公设备产品技术规范|
-## 1.5 国内行业与团体发布
+## 国内行业与团体发布
| 标准编号 | 标准名称 | 归口单位 | 标准概述 |
|---------|--------|---------|----------------------------|
|GA/T 2001-2022| 移动警务 可信计算总体技术要求|公安部计算机与信息处理标准化技术委员会|该标准规定了移动警务可信计算总体架构、技术要求和密码使用要求。|
|T/ZTCIA 001-2022|可信计算产品规范|中关村可信计算产业联盟 标准化委员会||
|T/ZTCIA 002-2022|网络安全产品安全可信要求》|中关村可信计算产业联盟 标准化委员会||
|T/ZTCIA 003-2022|嵌入式可信计算技术要求与测评方法》|中关村可信计算产业联盟 标准化委员会||
-|T/ZTCIA 004-2022|外设产品可信计算技术规范》|中关村可信计算产业联盟 标准化委员会||
+|T/ZTCIA 004-2022|外设产品可信计算技术规范》|中关村可信计算产业联盟 标准化委员会||
-
-
-
-
-
-
-
-
-
-
-
-{#template template/footer.md}
-
diff --git a/src/standard-international.md b/src/standard-international.md
index 1a47794f7f41bd042e9bb33731c6ec7305f45bc8..4e37e3e26b089f4323bc72e9b04b804cf38eddcf 100644
--- a/src/standard-international.md
+++ b/src/standard-international.md
@@ -1,8 +1,8 @@
-# 一、国际可信计算标准
-## 1.1 ISO发布
-### 1.1.1 ISO简介
+# 国际可信计算标准
+## ISO发布
+### ISO简介
ISO(国际标准化组织)和IEC(国际电工委员会)组成了专门的全球标准化体系。作为ISO或IEC成员的国家机构通过各自组织建立的技术委员会参与国际标准的制定，以处理特定领域的技术活动。ISO和IEC技术委员会在共同感兴趣的领域进行合作。与ISO和IEC保持联系的其他政府和非政府国际组织也参加了这项工作。在信息技术领域，ISO和IEC成立了一个联合技术委员会ISO/IEC JTC 1。国际标准是根据ISO/IEC指令第2部分中给出的规则起草的。联合技术委员会的主要任务是制定国际标准。联合技术委员会通过的国际标准草案分发给国家机构表决。作为国际标准出版需要至少75%的国家机构投票通过。
-### 1.1.2 ISO/IEC 11889系列标准概述
+### ISO/IEC 11889系列标准概述
TPM2.0库规范系列标准以ISO/IEC 11889:2015发布。该规范由可信计算组(TCG)提交给ISO/IEC JTC 1*，遵循JTC 1公开可用规范(PAS)转换过程。
在最终的TPM 2.0标准化投票中，来自发达经济体和新兴经济体的支持，赞成票来自澳大利亚、比利时、加拿大、中国、捷克、丹麦、芬兰、法国、加纳、爱尔兰、意大利、日本、韩国、黎巴嫩、马来西亚、荷兰、尼日利亚、挪威、俄罗斯联邦、南非、阿拉伯联合酋长国、英国和美国。
TPM 2.0库规范支持现代安全和隐私保护，该规范整合了基于硬件和基于软件的安全技术的优势。它在计算设备中的实现保护了加密密钥;防止私钥被导出;屏蔽用于身份验证的PIN值;并记录和匿名报告在启动过程中加载的软件，以防止恶意软件和攻击。因此，它将成为任何综合安全战略的重要组成部分。
@@ -14,12 +14,12 @@ TPM 2.0库规范支持现代安全和隐私保护，该规范整合了基于硬
[ISO/IEC 11889-2:2015 Information technology — TPM Library — Part 2: Structures](https://www.iso.org/standard/66511.html)
[ISO/IEC 11889-3:2015 Information technology — TPM Library — Part 3: Commands](https://www.iso.org/standard/66512.html)
[ISO/IEC 11889-4:2015 Information technology — TPM Library — Part 4: Supporting Routines](https://www.iso.org/standard/66513.html)
-## 1.2 TCG发布
-### 1.2.1关于TCG
+## TCG发布
+### 关于TCG
可信计算组（Trusted Computing Group，TCG）是一个非营利组织，旨在为可互操作的可信计算平台开发、定义和推广基于硬件信任根的供应商无关的全球行业规范和标准。TCG的核心技术包括可信平台模块（Trusted Platform Module，TPM），可信网络通信（Trusted Network Communications，TNC）以及网络安全和自加密驱动器的规范和标准。TCG还设有工作组，将信任的核心概念从企业扩展到物联网的云安全、虚拟化和其他平台以及计算服务。
-### 1.1.2 TPM2.0库标准
+### TPM2.0库标准
TPM2.0库标准是TPM2.0中基础规范，该规范描述了TPM2.0实现的所有核心功能。库标准由四部分组成：
- 第一部分：架构规范，该部分描述了TPM2.0的操作规范、设计原理及工作细节（例如如何创建用于授权、审计、加密命令的会话）。
- 第二部分：数据结构规范，该部分描述了TPM2.0所使用的数据类型、结构体、联合体，该部分也包含了TPM所使用的命令码、错误码等内容。
@@ -33,7 +33,7 @@ TPM2.0库标准是TPM2.0中基础规范，该规范描述了TPM2.0实现的所
- [Part 3: Commands – Code](https://trustedcomputinggroup.org/wp-content/uploads/TCG_TPM2_r1p59_Part3_Commands_code_pub.pdf)
- [Part 4: Supporting Routines](https://trustedcomputinggroup.org/wp-content/uploads/TCG_TPM2_r1p59_Part4_SuppRoutines_pub.pdf)
- [Part 4: Supporting Routines – Code](https://trustedcomputinggroup.org/wp-content/uploads/TCG_TPM2_r1p59_Part4_SuppRoutines_code_pub.pdf)
-### 1.1.3 TPM Software Stack（TSS）标准
+### TPM Software Stack（TSS）标准
TSS (TCG Software Stack)是一种软件规范，提供了访问TPM功能的标准API,TSS由多层组成，允许对可扩展的TSS实现进行定制，以适应高端系统和资源受限的低端系统(如下图所示)。TSS也设计了应用程序提供与本地或远程TPM通信的接口方法。
@@ -44,7 +44,7 @@ TSS2各组成部分所需资源如下图所示:
__说明：附图源自TCG官网__
应用程序开发人员可以参考该规范开发可互操作的客户端应用程序，以实现对可信计算能力的调用。TSS的另一个作用是将程序程序员与与TPM接口的底层细节隔离开来、降低TPM应用开发的学习成本。
- [TSS规范官网入口](https://trustedcomputinggroup.org/resource/tcg-software-stack-tss-specification/)
-### 1.1.4 PC Client
+### PC Client
PC Client系列规范主要定义了TCG技术在计算机(例如笔记本电脑、台式机或平板电脑)中的上下文中所呈现的功能和行为，包括TPM以及与TPM交互或在其平台中集成TPM的平台OEM和固件供应商所需参考的规范、技术要求和指导。主要分为PC Client TPM Platform标准及配套参考文档和PC Client Firmware标准及配套参考文档。
PC Client TPM Platform标准及配套文档体系:
@@ -82,12 +82,12 @@ PC Client Firmware标准及配套文档体系:
|PC Client Firmware|TCG Platform Reset Attack Mitigation Specification|Version 1.1 Revision 17 2019.2.21|When a platform reboots or shuts down, the contents of volatile memory (RAM) are not immediately lost. Without an electric charge to maintain the data in memory, the data will begin to decay. During this period, there is a short timeframe during which an attacker can turn off or reboot the platform, and quickly turn it back on to boot into a program that dumps the contents of memory. Encryption keys and other secrets can be easily compromised through this method.|
|PC Client Firmware|TCG PC Client Platform Firmware Integrity Measurement|Version 1.0 Revision 43 2021.5.7|This document describes the requirements for a PC Client Endpoint in an enterprise computing environment complying with SP 800-155 BIOS Integrity Measurements|
|PC Client Firmware|TCG PC Client Physical Presence Interface Specification|Version 1.30 Revision 0.52 2015.7.28|This specification defines an interface between an operating system and the firmware to manage the configuration of a TPM and, if required, initiate TPM related operations. The specification gives suggestions on UI wording for interactions with users of a system, if UI interaction is required.|
-### 1.1.5 Storage
+### Storage
存储工作组以现有的TCG技术和理念为基础，重点关注专用存储系统上的安全服务标准。其中一个目标是开发标准和实践，用于跨专用存储控制器接口定义相同的安全服务，包括但不限于ATA、串行ATA、SCSI、FibreChannel、USB存储、IEEE 1394、网络附加存储(TCP/IP)、NVM Express和iSCSI。存储系统包括磁盘驱动器、可移动媒体驱动器、闪存和多个存储设备系统。
存储标准体系:
-### 1.1.6 TNC（可信网络通信）
+### TNC（可信网络通信）
TCG的可信网络通信(TNC-Trusted Network Communications)工作组定义并发布了一个开放架构和一套不断增长的网络安全标准，在跨各种端点、网络技术和策略的多供应商环境中提供可互操作的端到端信任。TNC支持在不同的网络和安全系统之间进行端点遵从性评估、智能策略决策、动态安全实施和安全自动化。
- 标准编制
TNC工作组已经定义并发布了一个开放架构和一套不断增长的标准，用于端点遵从性评估、网络访问控制和安全自动化。TNC体系结构使网络运营商能够在网络连接和跨不同安全和网络设备的协调信息时或之后执行有关端点完整性的策略。
@@ -144,7 +144,7 @@ TNC标准的采用也从供应商和最终用户扩展到其他标准组织。
TNC提供了一个灵活、开放的体系结构，可以适应不断变化的环境，而不依赖于任何一家供应商。跨国公司支持的技术提高了投资回报率，支持使用现有的网络设备和同类最佳产品，并避免了供应商锁定。可见性和协调性有助于有效的网络管理和安全。
TNC开放的网络安全架构和完整的标准得益于安全专家的全面技术审查。为了获得最强的安全性，TNC可以利用TPM进行健壮的身份验证、认证和危害检测。商业供应商、开源社区和IETF对TNC标准提供了广泛的支持。
TNC可以与TPM集成，以实现安全身份验证和认证，解决rootkit和其他受损软件的检测和缓解问题。TNC标准为保护嵌入式系统(如网络设备、汽车和物联网解决方案)提供了通信基础。
-### 1.1.5 其他
+### 其他
| 工作组 | 标准名称/案例 |
|---------|--------|
|cloud|Trusted Multi-Tenant Work Group Trust Assessment Framework|
@@ -177,7 +177,6 @@ TNC可以与TPM集成，以实现安全身份验证和认证，解决rootkit和
|Mobile|TCG Runtime Integrity Preservation in Mobile Devices|
|Mobile|TCG Trusted Network Communications for Mobile Platforms|
|Mobile|TCG TPM 2.0 Mobile Specification Implementation Guidance|
-|Embedded Systems| |
+|Embedded Systems| |
-{{#template template/footer.md}}
diff --git a/src/standard.md b/src/standard.md
index 746bea30d3e852de1bf10e3f84a6868d2623fdbb..0adfe55643874e58aa168aaa4b118e44398886ae 100644
--- a/src/standard.md
+++ b/src/standard.md
@@ -1,10 +1,6 @@
-# 一、引言
-标准是技术产业化应用成熟的标志、也是技术广泛应用的基础保障。经过20多年的探索发展，可信计算技术已形成成熟的标准体系。
+# 可信计算标准化
+
+ 标准是技术产业化应用成熟的标志、也是技术广泛应用的基础保障。经过20多年的探索发展，可信计算技术已形成成熟的标准体系。
- 国际方面，可信计算标准主要由国际可信计算组织（TCG，Trusted Computing Group)维护与发布，NIST等其他国际标准化机构主要是对相关标准的引用及应用推广。
- 国内方面，可信计算标准体系主要由参与可信计算的产学研机构撰写和维护，形成了覆盖可信根、可信平台、主板、可信软件栈、网络、测评及应用的标准化体系，促进了我国可信计算产业的高速发展与完善。
-本节主要介绍以TCG为代表的国际可信计算标准体系及最新进展和国内可信计算标准体系及最新进展。
-# 二、标准生态
-## 2.1 [国际可信计算标准](standard-international.md)
-## 2.2 [国内可信计算标准](standard-china.md)
-
-{{#template template/footer.md}}
+本节主要介绍以TCG为代表的国际可信计算标准体系及最新进展和国内可信计算标准体系及最新进展。
diff --git a/src/trustedcomputingSig.md b/src/trustedcomputingSig.md
index e701cbd22ec0ad83f5e7354d9b62ac5cc4d86f7e..c4cf1c4215e0b1a851cce450929f116b677c91dd 100644
--- a/src/trustedcomputingSig.md
+++ b/src/trustedcomputingSig.md
@@ -20,5 +20,14 @@
# SIG 主要目标
1. 开源可信基础软件开发维护：面向异构可信计算技术方案，提供通用的可信计算基础软件实现（包括可信软件栈、远程证明组件等），实现可信基础软件全栈国密支持，持续优化可信基础软件的稳定性和易用性；
2. 探索可信计算落地方案： 面向不同场景（如云服务、数据中心、桌面端、边缘侧等），探索可落地的可信计算解决方案参考实现，提供相应的代码仓库和发行版；
-3. 可信计算技术动态： 发布年度可信计算技术白皮书。
-
+3. 可信计算技术动态： 发布年度可信计算技术白皮书。
+
+
+
+# 加入可信计算 SIG
+以下是我们在 OpenAnolis 上的可信计算SIG，非常欢迎有兴趣的开发能参与到社区中来，携手繁荣中国可信计算开源生态、推动可信计算高速发展。
+
+🔗 SIG地址：[https://openanolis.cn/sig/tc-sig]
+
+**欢迎加入钉钉交流群，与社区用户和开发者实时交流：**
+ “龙蜥-可信计算SIG技术交流群”,群号： 15370024496