基于可信计算的PKS体系

1. 可信计算

        中国可信计算源于1992年立项研制的可信计算综合安全防护系统（智能安全卡），于1995年2月底通过测评和鉴定。经过长期军民融合攻关应用，形成了自主创新安全可信体系，开启了可信计算3.0时代。

        主动免疫可信计算是指计算运算的同时进行安全防护，以密码为基因实施身份识别、状态度量、保密存储等功能，及时识别“自己”和“非己”成分，从而破坏不排斥进入机体的有害物质，相当于为网络信息系统培育了免疫能力。

2. PKS可信计算架构

        中国电子“十年磨一剑"，形成了具有时代性的自主计算机软硬件“PK"体系（飞腾CPU和麒麟操作系统），在全球首创将“可信计算3.0”技术融入到CPU、操作系统和存储控制器中，实现底层构架的本质安全。

 

PKS可信架构

 

2.1. PKS架构优势

（1） 国际首次釆用CPU的内置可信技术

飞腾CPU隔离出可信核用于可信计算，将白名单机制嵌入麒麟OS,实现计算和安全防护的双体系结构。

（2） 国际首次采用内存内置物理防护技术

在内食存控制器内置硬件防护芯片，对关键代码和关键数据按需实时权限策略管理。

（3） 终端统一安全中心和云端统一安全管控

终端统一安全防护软件入口、云端统一安全管控接口，使常规安全软件与PK底层核心一体化，提升安全防护效果和效率。

 

2.2. PKS架构特点

（1）基于飞腾CPU通用核的可信核

在飞腾芯片中设置专门的可信核进行可信计算，将最安全的密码和最可信的信息放到CPU中，以此为基础构建一个行为可信鉴别、资源可信度量、数据可信存储的安全体系架构。

（2） 基于麒麟OS的安全及可信控制

麒麟操作系统的核心组件可以从系统底层以内置驱动的方式进行可信控制，，通过相关安全产品的深度融合，形成立体的安全防护能力，有效保障PK体系安全。 ''

（3） 基于芯片的内存安全防护

工创造性地通过安全内存模组上的安全芯片内的安全区，使芯片在处理内存数据流的同时控制使用，排除恶意指令，加强第二重防控。

（4） 基于安全固件的整机防护

长城安全BIOS固件可通过启动度量方式，在CPU启动时联动获取最安全的初始状态，保证系统启动阶段安全可信，有效防止固件被篡改，防止受外设ROM或第三方UEFI可执行程序实施入侵式安装后门攻击。

（5） 安全隔离环境（可信运行区）

实现可信计算运行环境，提供可信接口，管控系统关键软硬件资源和运行状态，实现内置式主动安全防御机制。

（6） 基于双体系的开放安全架构

构建整体的立体防护和管控体系，把合作方纳入到安全体系内，保障和监控其程序的安全性，给用户带来最佳的安全体验

（7）云端一体安全管控

依托中国电子产业布局和生态优势，立足“PK"体系、可信计算和网络攻防等技术积累，将内生安全、主动防护和体系化对抗进行深度融合，构建基于可信计算的PKS架构。整合多源情报,通过大数据分析、人工智能等技术，提供多重安全防御机制，提升智能监测和协同响应能力。

 

3. 可信安全管理中心

        可信安全管理中心遵循三权分立的管理模式，通过釆用标准化的接口和协议，统一管理计算节点、安全组件和应用系统，可信安全管理平台可以对应用、可信终端软件、系统环境进行统一管理和集中体现。可信安全管理平台提供一套集中管理手段的平台软件，可集中管理区域中的可信终端。

        可信安全管理中心统一建设集中化的管理机制，统一完成对各区域、各层面的安全机制的执行与管理。从系统管理、安全管理和审计管理角度出发，通过对应用系统的计算分析从而建立起集中统一的安全管理机制。主要从软件管理、可信执行程序保护、安全标记、访问控制、系统安全审计、边界安全审计等方面着手进行全方位安全设计，建立可信安全管理平台一体化的设备监测和管理平台，进行统一的管理、配置和审计，通过对审计和监测数据的分析，能够对当前系统的危害进行实时响应。

       可信安全管理中心是可信软件基和可信平台控制模块的策略、基准值、日志的管理平台，是可信连接的仲裁平台，也是基于可信报告等数据的分析服务协同平台。

       可信安全管理中心是主动免疫防御体系的控制中枢，构建了全系统的可信策略库/可信基准库。

 

可信安全管理中心功能列表

 

 作者：符利华

转载：https://blog.csdn.net/m0_46573967/article/details/112002730