《可信计算技术标准与应用》由会员分享，可在线阅读，更多相关《可信计算技术标准与应用（54页珍藏版）》请在金锄头文库上搜索。
1、可信计算技术、标准与应用可信计算技术、标准与应用吴秋新吴秋新中国可信计算工作组中国可信计算工作组2010年年9月月17日日中国可信计算中国可信计算 缔造安全价缔造安全价值值内容提纲内容提纲l可信计算概念与技术原理可信计算概念与技术原理l自主可信计算标准体系自主可信计算标准体系l可信计算产业与应用可信计算产业与应用l自主可信计算产业未来发展自主可信计算产业未来发展内容提纲内容提纲l可信计算概念与技术原理可信计算概念与技术原理l自主可信计算标准体系自主可信计算标准体系l可信计算产业与应用可信计算产业与应用l自主可信计算产业未来发展自主可信计算产业未来发展Page 4可信计算概念可信计算概念可信计算
2、概念可信计算概念可信可信客观特征主观特征机器判断人判断包含包含适用适用适用适用描述实体的一种描述实体的一种属性特征属性特征定义定义依据客观特征，依据客观特征，适应机器判断适应机器判断计算可信性计算可信性ISO/IEC(1999) ：定定义可信可信为参与参与计算的算的组件、操作或件、操作或过程在任意条件下程在任意条件下是可是可预测的的，并能抵御病毒和一定程度并能抵御病毒和一定程度的物理干的物理干扰；TCG(Trusted Computing Group) (2002)：用用实体行体行为的的预期性来定期性来定义可信可信，一，一个个实体体是是可信可信的的，如果如果它的行它的行为总是是以以预期的方式，
3、朝着期的方式，朝着预期的目期的目标；IEEE：可信可信是指是指计算机系算机系统所提供的所提供的服服务是是可可论证其是可信其是可信赖的的，这里可信里可信赖主要指系主要指系统的可靠性和可用性的可靠性和可用性；中国学者：可信中国学者：可信计算系算系统是能是能够提供系提供系统的的可靠性可靠性/可用性、信息和行可用性、信息和行为安全性安全性的的计算机系算机系统，可信包括，可信包括许多方多方面，如正确性、可靠性、安全性、可用性、效率等，但安全性和可靠性是面，如正确性、可靠性、安全性、可用性、效率等，但安全性和可靠性是现阶段可信最主要两方面，段可信最主要两方面，简称称可信可信=可靠可靠 + 安全安全可信计算
4、可信计算 先先在在计算机系算机系统中建立一个信任根中建立一个信任根( (基基) )，信任根可信性由物理安，信任根可信性由物理安全、技全、技术安全与管理安全共同确保安全与管理安全共同确保； 再建立一条信任再建立一条信任链，从信任根开始从信任根开始，到硬件平台到硬件平台，到操作系到操作系统，再到再到应用用，一一级度度量量认证一一级，一一级信任一信任一级，把把这种信任种信任扩展到展到整个整个计算机系算机系统。基本基本思想思想计算机计算机 硬硬件系统件系统( (主主板板) )计算机计算机 软件系统软件系统运行时运行时建立建立 可信链可信链标识平台标识平台身份身份保护保护 密钥密钥加电加电BIOSBIO
5、S自检自检主引导区主引导区 可信密码模块可信密码模块OSOS装载器装载器OSOS内核内核可信可信服务服务及可及可信应信应用用认证控制模块认证控制模块密码处理模块密码处理模块可信链模块内产生一对密钥模块内产生一对密钥权威签发数字证书权威签发数字证书表征平台可信身份表征平台可信身份保护数据的密钥保护数据的密钥密封密封在密码模块内在密码模块内抵御病抵御病毒攻击毒攻击识别假识别假冒平台冒平台盗取密钥不可行盗取密钥不可行;受保护数据拷不走受保护数据拷不走;可信密码模块可信密码模块嵌入可信可信可信可信计计算技算技算技算技术术理念理念理念理念解决当前核解决当前核心安全问题心安全问题Page 5定定定定义义可
6、信密可信密可信密可信密码码模模模模块块(TCM)(TCM)(TCM)(TCM)结结构与功能构与功能构与功能构与功能目标：目标：建立计算平台安全信任根基建立计算平台安全信任根基核心功能：核心功能：1)度量平台完整性，建立平台免疫力；度量平台完整性，建立平台免疫力；2)平台身份唯一性标识；平台身份唯一性标识；3)提供硬件级密码学计算与密钥保护。提供硬件级密码学计算与密钥保护。 主计算区主计算区 密码计算区密码计算区受保护存储区受保护存储区可信密码模块可信密码模块（TCMTCM）I/O接口接口CPU内存公钥密码引擎杂凑算法引擎对称密码引擎随机数算法引擎平台配置寄存器(PCR)芯片固件存储区主密钥存储
7、区Page 6由由由由TCMTCMTCMTCM构建构建构建构建3 3 3 3个信任根个信任根个信任根个信任根n可信报告根可信报告根(Root of Trust for Reporting-RTR)n提供密码学机制，签署提供密码学机制，签署TCMTCM的状态和数据信息的状态和数据信息(Provides cryptographic mechanism to digitally sign TCM state and information)n可信存储根可信存储根(Root of Trust for Storage-RTS)n提供密码学机制，保护提供密码学机制，保护TCM的放置外部的数据信的放置外部的
8、数据信息息(Provides cryptographic mechanism to protect information held outside of the TCM)n可信度量根可信度量根(Root of Trust for Measurement-RTM)n提供密码学机制，有序度量平台的状态提供密码学机制，有序度量平台的状态 (Provided by platform to measure platform state)可信密码模块可信密码模块TCMRTRRTS隔离、受保护隔离、受保护的存储区域的存储区域受保护的操受保护的操作命令作命令RTMPage 7平台平台Trusted Buil
9、ding Block (TBB)(可信构筑模块可信构筑模块)安全芯片安全芯片(TCM)CPUBIOS/EFI硬盘硬盘Graphics / output键盘键盘/ /鼠标鼠标Main MemorySupporting H/W由用户控制由用户控制Platform Platform ResetReset可信性连接可信性连接关系需用户关系需用户物理现场明物理现场明确指示确指示CRTM与主板与主板1-11-1连接连接安全芯片与安全芯片与CRTM 1-1 1-1连接连接主板主板平台主板与平台主板与平台主板与平台主板与TCMTCMTCMTCM建立可信绑定关系建立可信绑定关系建立可信绑定关系建立可信绑定关系P
10、age 8以以以以TCMTCMTCMTCM为核心建立平台信任链为核心建立平台信任链为核心建立平台信任链为核心建立平台信任链TCMPage 9平台平台平台平台每一个每一个TCMTCM的密的密码模模块密密钥EKEK是是唯一的唯一的可由可由创建创建: :TCM TCM 厂商厂商平台厂商平台厂商最终用户最终用户方法方法: :事先产生事先产生EKEK绝不能暴露在绝不能暴露在TCMTCM外外密密码模模块证书(EK(EK证书) )是由可信是由可信CACA签署的署的EKEK公公钥证书平台身份平台身份证书是由可信第三方是由可信第三方CACA签署的平署的平台身份公台身份公钥证书( (采用我国双采用我国双证书机制机
11、制) )，针对隐私保私保护，可以，可以创建若干个平台身份建若干个平台身份密密钥和和证书密码模块证书密码模块证书TCM其它密钥其它密钥PCRs密码模块密钥密码模块密钥EKEndorsement Key平台身份密钥平台身份密钥Platform ID Key隐私控制隐私控制平台身份证书平台身份证书由由由由TCMTCMTCMTCM构建身份标识表征平台身份构建身份标识表征平台身份构建身份标识表征平台身份构建身份标识表征平台身份Page 10TCM存存储密密钥(SK)SMK(存存储主密主密钥)由由由由TCMTCMTCMTCM建立建立建立建立“数据密封数据密封数据密封数据密封”保护形式保护形式保护形式保护形
12、式把数据和存储密钥的授权信息发送给把数据和存储密钥的授权信息发送给TCM同时包含启封过程要使用的同时包含启封过程要使用的PCR值值TCM 对数据加密并密封成一数据块对数据加密并密封成一数据块包含要求的包含要求的PCR值值密封后的数据块存储到密封后的数据块存储到TCM之外之外本地存本地存储器器密封的密封的数据数据数据数据授权信息授权信息PCRTCM存存储密密钥(SK)SMK(存存储主密主密钥)加载密封的数据块和授权信息，使用存储密钥加载密封的数据块和授权信息，使用存储密钥解密密封的数据块解密密封的数据块核对核对PCR值是否和配置中的值相同值是否和配置中的值相同如果如果PCR值相匹配，则返回数据值
13、相匹配，则返回数据否则返回失败否则返回失败本地存本地存储器器密封的密封的数据数据授权信息授权信息数据数据数据数据PCRPage 11配置配置选择选择数据数据可信存储根可信存储根可信报告根可信报告根可信度量根可信度量根度量存储度量存储可信密可信密码模块码模块(TCM) 平台完整性度量与报告平台完整性度量与报告平台身份可信平台身份可信数据安全保护数据安全保护安全应用安全应用计计算算机机系系统统CRTMTCM服服务模块务模块(TSM) BIOS操作系统操作系统运行时平台运行时平台防护防护身份证明身份证明完整性报告完整性报告密钥保护密钥保护平台数据安全平台数据安全密码学服务密码学服务信信任任链链可信计
14、可信计算密码算密码支撑平支撑平台台 密码算密码算 法引擎法引擎公钥密码引擎公钥密码引擎杂凑算法引擎杂凑算法引擎对称密码引擎对称密码引擎随机数算法引擎随机数算法引擎可信计算平台架构可信计算平台架构可信计算平台架构可信计算平台架构 以以TCMTCM为核心，构建为核心，构建可信计算密码支撑平可信计算密码支撑平台，支撑安全应用，台，支撑安全应用，形成安全功能体系：形成安全功能体系：平台完整性保护平台完整性保护平台可信身份标平台可信身份标识与证实识与证实平台数据密封与平台数据密封与绑定绑定Page 12平台完整性度量信平台完整性度量信息收集器息收集器平台完整性度量信平台完整性度量信息验证器息验证器TNC
15、客户端客户端TNC服务器服务器AAA服务器服务器接入策略执行点网络接入请求器网络接入请求器Network AccessRequestor平台信任服务平台信任服务TSMTCM完整性度量完整性度量日志数据日志数据接入策略决策点IF1IFvIF3IF2IFtIF4基于基于基于基于TCMTCMTCMTCM构建平台可信网络接入构建平台可信网络接入构建平台可信网络接入构建平台可信网络接入(TNC)(TNC)(TNC)(TNC)终端平台Page 13内容提纲内容提纲l可信计算概念与技术原理可信计算概念与技术原理l自主可信计算标准体系自主可信计算标准体系l可信计算产业与应用可信计算产业与应用l自主可信计算产业
16、未来发展自主可信计算产业未来发展TCGTCGTCGTCG影响力影响力影响力影响力TCG Standards应用软件应用软件软件协议栈软件协议栈(Software Stack)Operating SystemsWeb ServicesAuthenticationData Protection存储系统存储系统手机手机平台平台服务器服务器平台平台PCPC平台平台( (台式和台式和笔记本笔记本) )安全平台模安全平台模块块( (TPM) ) 可信网络接可信网络接入及应用中入及应用中间件间件安全基础设施安全基础设施将渗透到将渗透到ITIT每个领域每个领域自主可信计算标准发展背景自主可信计算标准发展背景自
17、主可信计算标准发展背景自主可信计算标准发展背景TCGTCGTCGTCG产业趋势产业趋势产业趋势产业趋势笔记本笔记本台式机台式机单位：千台单位：千台Page 15标准体系扩展标准体系扩展推广到服务器平台推广到服务器平台/移动平台移动平台推动应用开发推动应用开发制定制定可信计算平台应可信计算平台应用接口规范用接口规范产品开发产品开发SSX44/46/0903SQY44/45/46技术规范制定技术规范制定可信计算密码支撑平可信计算密码支撑平台技术规范台技术规范基础研究基础研究制定制定可信计算平台可信计算平台密码方案密码方案联盟联盟 标准标准 产业产业自主可信自主可信自主可信自主可信计计算算算算标标准
18、准准准发发展展展展总总体思路体思路体思路体思路Page 16中国可信计算工作组中国可信计算工作组(TCMU)国密局国密局国密局国密局卫卫士士通通江江南南所所吉吉大大正正元元软软件件所所国国防防科科大大同同方方可信可信OS方方正正长长城城兆兆日日国国民民技技术术瑞瑞达达TCM / TSM发改委发改委发改委发改委工信部工信部工信部工信部科技部科技部科技部科技部财政部财政部财政部财政部公安公安公安公安/ /保密保密保密保密/ /安全安全安全安全联联想想中中天天一一维维南南方方基基地地同同方方微微电电子子浪浪潮潮北北信信源源清清大大安安科科多多思思PC系统系统支撑软件支撑软件应用应用软件软件应用应用方
19、案方案服务器系服务器系统统产业产业链链专家领队专家领队建立自主可信建立自主可信建立自主可信建立自主可信计计算算算算产业联产业联盟盟盟盟31家单位，覆盖IT各领域Page 17构建自主可信计算核心模块构建自主可信计算核心模块构建自主可信计算核心模块构建自主可信计算核心模块-TCM-TCM-TCM-TCM 主计算区主计算区 密码计算区密码计算区受保护存储区受保护存储区可信密码模块可信密码模块TCMTCMI/O接口接口CPU内存公钥密码SM2引擎杂凑算法SM3引擎对称密码SMS4引擎随机数RNG引擎平台配置寄存器芯片Firmware主密钥及密钥树 使用自主密码算法：使用自主密码算法：使用自主密码算法
20、：使用自主密码算法：SM2/SM3/SMS4/RNGSM2/SM3/SMS4/RNGSM2/SM3/SMS4/RNGSM2/SM3/SMS4/RNG构建构建构建构建3 3 3 3个维度安全功能体系个维度安全功能体系个维度安全功能体系个维度安全功能体系 构建信任链确保平台完整性构建信任链确保平台完整性构建信任链确保平台完整性构建信任链确保平台完整性 通过身份密钥和数字签名实现平台身份可信通过身份密钥和数字签名实现平台身份可信 通过通过“密封密封”和和“绑定绑定”确保平台数据安全确保平台数据安全Page 18可信存储根可信存储根可信报告根可信报告根可信度量根可信度量根度量存储度量存储可信可信密码密
21、码模块模块(TCM) 平台完整性度量与报告平台完整性度量与报告平台身份可信平台身份可信数据安全保护数据安全保护安全应用安全应用计计算算机机系系统统CRTMTCM服服务模块务模块(TSM) BIOS操作系统操作系统运行时平台运行时平台防护防护身份证明身份证明完整性报告完整性报告密钥保护密钥保护平台数据安全平台数据安全密码学服务密码学服务信信任任链链可信计可信计算密码算密码支撑平支撑平台台 中国中国 密密 码码 算法算法 引引 擎擎SM2(256位位ECC)SM3(256位位Hash)SMS-4(128位分组位分组)RNG自主可信计算平台架构自主可信计算平台架构自主可信计算平台架构自主可信计算平台
22、架构可信密码模块可信密码模块TCM安全芯片驱动安全芯片驱动可信密码服务模块可信密码服务模块TSMTCM配置配置管理管理TCM应用应用信信任任链链平台平台接口接口可信可信计算计算密码密码支撑支撑平台平台密码平台应用密码平台应用技术架构技术架构产品架构Page 19总体(可信计算密码支撑平台功能原理)TCM规范TSM规范PC平台TCM接口规范TCM数据结构TSM数据结构可信可信计算计算密码密码支撑支撑平台平台技术技术规范规范数字证书规范可信计算平台密码方案自主可信计算技术规范体系自主可信计算技术规范体系自主可信计算技术规范体系自主可信计算技术规范体系可信计算密码支撑平台功能与接口规范1、2007年
23、12月28日国密局公告发布2、目前正在安标委形成报批稿Page 20 为推进现有安全应用平滑移植至为推进现有安全应用平滑移植至TCMTCM上，制定了通用的上，制定了通用的TCMTCM应用接口标准应用接口标准可信可信计算平台密码应用接口规范计算平台密码应用接口规范，使安全应用以，使安全应用以CryptoAPICryptoAPI、CNG-APICNG-API、PKCS-APIPKCS-API接接口形式直接实现口形式直接实现TCMTCM功能调用，功能调用，使使TCMTCM成为构建安全应用的信任根成为构建安全应用的信任根。CNGCSPPKCS11TSMTCMTSPICryptoAPIPKCS-APIC
24、NG -API安全应用安全应用可信计算平台可信计算平台密码应用接口密码应用接口制定制定制定制定TCMTCMTCMTCM通用接口标准通用接口标准通用接口标准通用接口标准Page 21Page 22终端计算机等保技术要求使用终端计算机等保技术要求使用终端计算机等保技术要求使用终端计算机等保技术要求使用TCMTCMTCMTCM基于自主可信计算技术，构建基于自主可信计算技术，构建了终端计算机系统的安全功能了终端计算机系统的安全功能体系体系 GA/T671-2006 GA/T671-2006 要求三级及以要求三级及以上上PCPC系统必须嵌入和使用可信系统必须嵌入和使用可信硬件模块硬件模块(TCM)(TC
25、M) GA/T671-2006 GA/T671-2006 目前正在向国目前正在向国家标准转化家标准转化内容提纲内容提纲l可信计算概念与技术原理可信计算概念与技术原理l自主可信计算标准体系自主可信计算标准体系l可信计算产业与应用可信计算产业与应用l自主可信计算产业未来发展自主可信计算产业未来发展核心产品：核心产品：核心产品：核心产品：TCMTCMTCMTCM芯片芯片芯片芯片芯片产品型号：SSX44芯片性能指标0.25mCMOS，数模混合设计工艺芯片面积25mm2以下功耗小于200mw内置NVRAM内置真随机数发生器具备高低电压检测、高低频率检测、总线加扰、关键存储区域加密、版图保护、功耗平滑、开
26、启检测等多种方法来实现芯片的防逻辑攻击、芯片级的防解剖和防物理攻击的能力Page 24核心产品：信任链核心产品：信任链核心产品：信任链核心产品：信任链技术原理BIOS修复修复( (BIOS代码代码) )：在在BIOS中添加检查代码，在计算机启动中对中添加检查代码，在计算机启动中对BIOS本身和存放在本身和存放在HPA中的自检模块的完整性进行检测。中的自检模块的完整性进行检测。 硬盘信息修复模块硬盘信息修复模块：在在BIOS引导引导HPA中修复程序，对硬盘的主引导中修复程序，对硬盘的主引导分区、分区信息和分区、分区信息和OSOS引导程序进行完整性检查和修复。引导程序进行完整性检查和修复。 系统内
27、核智能修复：系统内核智能修复：OS启动前，通过启动前，通过LEOS系统对系统对OS启动和运行文启动和运行文件进行完整性检查，并可以从件进行完整性检查，并可以从HPA中读取备份进行修复。中读取备份进行修复。系统智能防护：系统智能防护：在在OSOS运行中，通过文件截获引擎、注册表截获引擎等运行中，通过文件截获引擎、注册表截获引擎等底层模块，截获对系统文件的访问、修改行为，自动判断系统文件底层模块，截获对系统文件的访问、修改行为，自动判断系统文件的完整性，如果发现破坏则自动从的完整性，如果发现破坏则自动从HPA中读取正确信息进行修复。中读取正确信息进行修复。 o为可靠有效实现一键恢复功能，硬盘在出厂
28、前已划分出一块约为为可靠有效实现一键恢复功能，硬盘在出厂前已划分出一块约为3G的分区，用以存放硬盘镜像文件以及一键恢复程序文件。出于的分区，用以存放硬盘镜像文件以及一键恢复程序文件。出于安全考虑，该分区是隐含的，在安全考虑，该分区是隐含的，在BIOS及操作系统中均不可见及操作系统中均不可见。执执行行BIOSLEOS一键恢复应用一键恢复应用引引导导键盘触发恢复事件键盘触发恢复事件3G保保留空间留空间联想信任链系统Page 25Page 26台式机台式机联想ThinkcenterM4000T/M6000T/M8000T台式机方正君逸M530/M580台式机同方超翔/超越台式机长城安全电脑台式机笔记
29、本笔记本联想昭阳K43A笔记本DellLatitudeE4310笔记本研祥JIN1401加固笔记本服务器服务器联想R525G3服务器麒麟天机存储服务器基于基于基于基于TCMTCMTCMTCM的可信计算产品体系的可信计算产品体系的可信计算产品体系的可信计算产品体系同方银联理财电脑同方银联理财电脑 君逸君逸M530 DELL E4310研祥研祥JNB1401加固笔记本加固笔记本ThinkCentre系列昭阳 K43a麒麟天机存储服务器麒麟天机存储服务器R525 G3长城世恒长城世恒S联想数据盾牌联想数据盾牌联想数据盾牌联想数据盾牌2.0-2.0-2.0-2.0-功能体系功能体系功能体系功能体系 文
30、件加/解密文件保险箱安全文件共享个人数据备份个人数据共享U盘无忧日志和审计集中管理密钥备份/恢复硬盘无忧联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(1)(1)(1)(1)联想数据盾牌作为随机软件安装在联想可信联想数据盾牌作为随机软件安装在联想可信PCPC上上Page 27Page 28文件加/解密联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(2)(2)(2)(2)用户可以对电脑上的数据和文件进行加密和解密处理经过加密的文件只能在本地电脑打开，拷贝到别的电脑则无法打开、处理等可以在文件上点击
31、右键启动文件加密芯片级的密钥保护和高强度加密算法安全，易用文件保险箱联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(3)(3)(3)(3)加密保险箱是本地电脑上特别划出的区域，作为重要文件的保险箱文件可以任意拷贝进入或移出这个区域，锁定保险箱后，非机主本人都不能打开保险箱用硬件设防的安全存储区，坚固性超常保险箱的大小可以调整,灵活满足不同需要，符合用户使用习惯Page 29安全文件共享联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(4)(4)(4)(4)l将文件进行共享加密，文件以密文形式保存，
32、并可以在指定范围内的机器上解密l加密文件时，选择“可解密人”选择“可解密人”的过程是向加密文件中添加授权信息，添加一个授权信息表明该授权信息所属的计算机能够解密该文件l被加密文件可以指定“可解密人”机器范围内被解密l用户可以通过“修改可解密人”，来改变该加密文件的解密范围 整个过程安全易用设定的机器集合设定的机器集合非设定集合的机器非设定集合的机器Page 30Page 31联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(5)(5)(5)(5)U盘无忧( (安全移动存储安全移动存储) )合法合法USB设备设备合法合法USB设备设备数据流入数据流
33、入数据流出数据流出TCM芯片芯片交叉认证交叉认证交叉认证交叉认证产品特性：TCM代表主机身份，USB设备在主机上使用必须验证USB身份不符合授权的USB不能使用，授权的USB只能在指定的主机上使用非法非法USB设备设备拒绝拒绝非法主机非法主机拒绝拒绝用户价值：单位内部移动设备安全管理，保证数据不外泄“U U U U盘无忧盘无忧盘无忧盘无忧”主要功能主要功能主要功能主要功能制作受TCM保护的安全U盘个人专用安全U盘多人共用安全U盘C/SC/S管理架构管理架构审计及日志审计及日志终端策略管理终端策略管理分发和制作管理分发和制作管理孤岛终端管理TCMTCM认证绑定认证绑定l制作受TCM保护的安全U盘
34、：将普通U盘通过TCM安全算法“安全格式化”成“受TCM保护的安全U盘”，无需依赖特殊USB设备，成本低、安全性高l个人安全专用USB：U盘绑定本机使用，其他人不得查看其内容l多人共用安全USB：U盘在授权域内安全使用，非授权机器不能查看其内容l lC/SC/S管理管理架构:基于服务器-客户端架构管理安全U盘，采用最简便管理员集中管理方案l lTCMTCM认证绑定：通过认证绑定：通过TCMTCM硬件认证保护，保证高安全级别的硬件认证保护，保证高安全级别的“UU盘无忧盘无忧”功能功能l l 终端策略管理：是否允许使用普通终端策略管理：是否允许使用普通UU盘，是否允许卸载客户端不接受服务器管理盘，
35、是否允许卸载客户端不接受服务器管理l l 分发和制作管理分发和制作管理 : :限制限制“分发和制作分发和制作”安全安全UU盘的主机盘的主机l l孤岛终端管理：支持企业环境内孤岛终端管理：支持企业环境内“孤岛孤岛”型终端机器加入型终端机器加入“UU盘无忧盘无忧”方案，满足安全共享要求方案，满足安全共享要求l l审计及日志：所有经安全审计及日志：所有经安全TCMTCM认证及加密的操作均进行日志审计记录，并上传到服务器，提供事后审计和监管能力认证及加密的操作均进行日志审计记录，并上传到服务器，提供事后审计和监管能力管理功能应用功能联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安
36、全应用的安全应用的安全应用(6)(6)(6)(6)Page 32Page 33联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(7)(7)(7)(7)U盘无忧客户价值1-满足“限制内网机密数据传播范围”的用户需求用户需求场景描述：在公司范围中，希望限制机密文件的传播范围无权限用户不能查看其内容“U盘无忧”实现方案：安全U盘所有者可以指定“安全U盘使用人”“在安全U盘使用人”范围内的用户机器可以挂载该U盘，并正常使用不在“安全U盘使用人”范围内的用户机器，无法挂载改U盘（给出用户提示）安全U盘所有者可以修改“安全U盘使用人”，更改其使用范围合法的计
37、算机之间自动进行密钥和策略的传递公司内网安全安全U U盘盘Page 34联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(8)(8)(8)(8)U盘无忧客户价值2-满足“禁止外来U盘在公司范围内使用”需求用户需求场景描述：在公司范围中，希望限制外来U盘不能使用限制外来U盘数据拷贝/交换，造成泄密避免外来U盘带来恶意程序或病毒“U盘无忧”实现方案：外来U盘不能挂载非安全U盘插入主机后，给出提示告知用户不能挂载该功能需要管理员软件设置“客户端策略”为“禁止使用普通U盘”合法的计算机之间自动进行密钥和策略的传递公司内网安全安全U U盘盘非安全非安全US
38、BUSB盘盘联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(9)(9)(9)(9)U盘无忧客户价值3-满足“低成本、高易用性需求”用户需求场景描述：需求：低硬件成本不希望购买昂贵的专用U盘硬件需求：低管理成本实现简单易用的管理，管理员不希望花费过多的管理时间需求：低学习培训成本希望“客户端和管理员软件”均容易上手，不用专门的培训和学习“U盘无忧”实现方案：基于TCM实现硬件级安全保护，无需专用U盘将普通U盘格式化成“受TCM保护的安全U盘”插入该U盘时，必须需要TCM安全验证通过才能挂载使用TCM验证未通过，禁止挂载基于CS架构，采用最简便管理
39、员集中管理方案多人加密功能，需要加入到服务器组才能支持，并接受管理员管理精简集中管理，将管理员管理工作降到最低，实现最低IT管理成本支持“孤岛PC”和离线管理设计软件整体简单易用，符合用户使用习惯，无需专门的学习和培训过程Page 35Page 36硬盘更新 换位置； 维修； 变更用途；卸载所有硬盘运送所有包括坏硬盘安全区域内处理运送到新位置重新安全处理使用硬盘无忧关闭电源=硬盘加锁加密=安全立即更新=清除TCM芯片提供安全的硬盘管理方式，保证数据安全；提供安全的硬盘管理方式，保证数据安全；降低降低ITIT维护成本，减少硬盘插除，增加硬盘寿命；维护成本，减少硬盘插除，增加硬盘寿命；保护个人隐私
40、。保护个人隐私。硬盘数据保护新模式联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(10)(10)(10)(10)硬盘无忧产品特色采用基于物理扇区级加密方法，能加密硬盘上任何数据，包括操作系统采用基于物理扇区级加密方法，能加密硬盘上任何数据，包括操作系统非授权用户不仅看不到硬盘上文件内容，而且也看不到保存在磁盘上的任何文件名称。非授权用户不仅看不到硬盘上文件内容，而且也看不到保存在磁盘上的任何文件名称。由于硬盘上所有数据均处于加密状态，得到加密硬盘的人无法得到任何信息由于硬盘上所有数据均处于加密状态，得到加密硬盘的人无法得到任何信息只有计算机正常
41、启动后磁盘数据才可被访问，避免攻击者通过引导另一操作系统或者只有计算机正常启动后磁盘数据才可被访问，避免攻击者通过引导另一操作系统或者将硬盘转移到另一台已安装操作系统的将硬盘转移到另一台已安装操作系统的PCPC上，以便绕过正常启动和用户身份识别过程上，以便绕过正常启动和用户身份识别过程来访问硬盘数据来访问硬盘数据采用采用TCMTCM对加对加/ /解密使用的密钥进行保护，利用解密使用的密钥进行保护，利用TCMTCM防攻击以及完整性度量等特性，防攻击以及完整性度量等特性，可有效防止离线状态下对用户密码的离线攻击可有效防止离线状态下对用户密码的离线攻击联想基于联想基于联想基于联想基于TCMTCMTC
42、MTCM的安全应用的安全应用的安全应用的安全应用(11)(11)(11)(11)硬盘无忧Page 37联想基于联想基于联想基于联想基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(12)(12)(12)(12)密钥备份/恢复电脑上的重要信息如密钥需要进行备份，以备电脑硬件损坏情况下的数据恢复和还原电脑上的重要信息如密钥需要进行备份，以备电脑硬件损坏情况下的数据恢复和还原周密安排，万无一失周密安排，万无一失可信密码模块可信密码模块Page 38Page 39方正基于方正基于方正基于方正基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(1)(1)(1)(1)
43、TCMTCM安全应用中心是对安全应用中心是对TCMTCM芯片进行管理，为其他应用程序提供使用芯片各种保护芯片进行管理，为其他应用程序提供使用芯片各种保护服务的软件，同时服务的软件，同时TCMTCM安全应用中心还提供安全应用中心还提供TCMTCM的一些基本应用加密和保护功能。的一些基本应用加密和保护功能。主要功能包括：主要功能包括：p芯片管理nTCMTCM芯片使用状态芯片使用状态n已被已被TCMTCM保护的应用保护的应用nTCMTCM管理员密码更改管理员密码更改nTCMTCM芯片信息芯片信息n导出紧急解密密钥导出紧急解密密钥p文件/文件夹加密n加密加密n解密解密n日志日志Page 40方正基于方
44、正基于方正基于方正基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(2)(2)(2)(2)p文件安全域功能说明n文件安全域为用户提供加密个人的私密重要数据方法。每个共享的文件，必须文件安全域为用户提供加密个人的私密重要数据方法。每个共享的文件，必须授权才能访问，保证文件共享的安全授权才能访问，保证文件共享的安全功能特色n支持支持TCMTCMn不需要服务器不需要服务器Page 41隔离网可信接入管理使用TCM提供的加密接口，提供更安全的终端用户身份识别TCM接入方案由服务器端、客户端及管理端三个部分构成u通过TCM芯片防止无授权终端计算机非法接入网络。u密钥唯一，通过TCM芯
45、片生成的密钥，与主机的硬件信息相关联，脱离当前硬件环境将无法使用。方正基于方正基于方正基于方正基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(3)(3)(3)(3)Page 42同方同方TST2.0TST2.0安全电脑管理平台：安全电脑管理平台：同方同方TST（Tong fang Security Technology）安全平台是基于）安全平台是基于TCM安全芯片针安全芯片针对计算机系统及用户数据进行全方位保护的整体解决方案对计算机系统及用户数据进行全方位保护的整体解决方案授权密授权密授权密授权密网网网网即时即时即时即时备份备份备份备份个人个人个人个人密盘密盘密盘密盘行为
46、行为行为行为审计审计审计审计信息安全信息安全应用软件应用软件TCMTCM安全加解密芯片安全加解密芯片信息安全信息安全应用软件应用软件国产自主国产自主加密芯片加密芯片用户进行数据保护的用户进行数据保护的应用软件应用软件由硬件来实现数据保由硬件来实现数据保护的加密过程护的加密过程同方基于同方基于同方基于同方基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(1)(1)(1)(1)Page 43同方基于同方基于同方基于同方基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(2)(2)(2)(2)及时备份即时备份是提供给用户对重要的文件夹进行定时备份的工具，当用户不
47、慎将文件丢失或修改后，可以使用该功能将文件还原采用增量备份的方式，备份规则由用户自行设定，既可以同时备份一个文件夹，也可以单独备份一文件夹中的某些特殊类型文件。指纹关联将用户的指纹与某一特定的操作相关联，用户只需要刷一下指纹，便可启动相关联的操作。TST安全平台可以联以下3种功能:个人密盘、windows登录和应用程序启动个人密盘一个经过特殊加密安全处理的专属磁盘区域，保护用户涉密数据，防止他人非法窃取、黑客攻击，非授权用户进不来、看不懂、拿不走。数据一旦保存到个人密盘中，数据都将会被加密。建立密盘后，用户可直接将文件存储到个人密盘，并可对其进行正常编辑处理等操作。当密盘打开时，若未经您的授权
48、将文件复制出个人密盘，则文件将会为乱码。从而有效的保证了您的个人数据安全。个人密盘是一个虚拟出的磁盘盘符，此磁盘容量，用户可根据其所在实际磁盘分区大小随意设定。Page 44为用户创建一个被加密保护的网络工作域，支持网络办公与移动办公，通过严格的权限控制，有效管控数据传播范围同方基于同方基于同方基于同方基于TCMTCMTCMTCM的安全应用的安全应用的安全应用的安全应用(3)(3)(3)(3)授权密网专用安全操作系统，内核加密引擎，高强度非对称数据加密算法基于证书和智能卡的身份认证、密钥管理、数据加密及安全传输机制数据加密共享和隐藏，细粒度的访问控制，安全的密钥备份管理支持基于TCM的密钥管理
49、麒麟天机安全存储系统麒麟天机安全存储系统TCMTCMTCMTCM应应用用用用-Page 45中天一维TCM与指纹融合应用操作系统/关键应用指纹安全登录可信指纹移动存储数据保护和数据安全传递北信源安全终端管理系统结合TCM实现终端系统的接入控制、补丁分发、移动介质管理等安全功能TCMTCMTCMTCM应应用用用用-终端桌面安全应用Page 46Page 47登录控制登录控制数据加密数据加密木马和病毒主动木马和病毒主动防御防御资源控制白名单资源控制白名单系统外设控制系统外设控制计算机接口控制计算机接口控制用户行为审计用户行为审计USBKEY(证书证书)TCM刻录控制刻录控制移动介质控制移动介质控制
50、网络接入控制网络接入控制内核层文件过滤驱动内核层文件过滤驱动内核层过滤驱动内核层过滤驱动内核层内核层HOOK安全模式控制安全模式控制存储加密存储加密文件交换加密文件交换加密终端状态检测与修复终端状态检测与修复卫士通基于TCM和USBKey的操作系统安全防护系统TCMTCMTCMTCM应用应用应用应用银联电子支付示范应用 可信支付终端在系统终端嵌入TCM，经过与后台终端设备完成认证后，支持用户使用银联卡完成网上支付、账户查询等功能。遵循用户传统的刷卡支付习惯，同时利用TCM保证支付过程安全可信。系统在08年度“金融电子展”亮相后，获得强力关注。电电子支付子支付子支付子支付应应用用用用Page 4
51、8铁路电子支付平台可信终端安全架构：TCM可信计算平台+安全操作系统瞄准国家等保瞄准国家等保4 4级安全要求级安全要求TCMTCMTCMTCM应用方案应用方案应用方案应用方案功能规格l可信引导系统其功能主要是在系统启动时，构建系统引导程序到OS的信任链，需满足如下要求：在OS未启动前，度量和验证关键系统文件的完整性；报告系统可信启动链的结果，验证系统启动链；在系统环境下能够配置可信引导参数，包括启动阶段需要度量的系统文件配置，启动方式的定义(认证启动方式/安全启动方式)当OS内核文件损坏或被篡改，能够基于备份的系统内核进行恢复。l安全操作系统采用银河麒麟安全操作系统，4级l信任链系统 完成OS
52、启动后系统运行环境完整性状态的收集，需提供如下功能：1)系统内存度量：对系统运行过程中载入内存的可执行文件进行度量，为用户提供度量列表查询功能，并在TCM芯片中储存度量列表的哈希值。2)组件度量：完成对于组件以及组件所处环境的完整性状态度量，可以根据应用程序发来的度量请求，对特定组件进行度量。3)远程证明：包括系统环境远程证明以及组件远程证明。系统环境远程证明完成系统内存中可执行内容的远程证明。组件远程证明根据验证方需求，为验证方提供单个组件状态的远程证明。l敏感信息存储服务本功能基于TCM可信存储根，可实现密钥管理、平台数据安全保护功能，并为系统提供相应密码服务，确保机密数据不被非法访问、窃
53、取、篡改、冒用。Page 49可信网可信网可信网可信网络络接入接入接入接入应应用用用用Page 50内容提纲内容提纲l可信计算概念与技术原理可信计算概念与技术原理l自主可信计算标准体系自主可信计算标准体系l可信计算产业与应用可信计算产业与应用l自主可信计算产业未来发展自主可信计算产业未来发展依托自主密码依托自主密码技术，建立完技术，建立完整的自主可信整的自主可信计算技术体系计算技术体系可信密可信密码模模块TCMTCM-PCTCM-SeverTCM-MobileTSM-PCTSM-SeverTSM-Mobile检测平台平台模模块检测平台平台检测支撑支撑服服务检测应用用检测可信可信计算基算基础设施
54、施可信可信证书服服务信任信任(完整性完整性)服服务可信网可信网络接入接入可信平台管理服可信平台管理服务密密钥管理服管理服务可信可信计算平台算平台PC平台平台服服务器平台器平台手机平台手机平台TBB与可信与可信BIOS信任信任链TBB与可信与可信BIOS信任信任链TBB与可信与可信BIOS信任信任链可信可信OS可信可信OS可信可信OS可信可信外外设可信嵌入可信嵌入式系式系统可信可信应用用基基础应用用可信存可信存储平台安全管理平台安全管理可信平台身份管理可信平台身份管理密密钥管理管理行行业应用用电子政子政务应用用电子支付子支付应用用文档分文档分发与与管理管理(DRM)企企业业务应用用新一代安全互新
55、一代安全互联网网可信云服可信云服务可信物可信物联网网自主可信计算未来发展自主可信计算未来发展自主可信计算未来发展自主可信计算未来发展Page 52基基础模模块TCMTSM根据产业发根据产业发展需求，逐展需求，逐步完善自主步完善自主计算技术标计算技术标准体系准体系TSM-mTCM-hTCM-mTSM-h移移动平台平台（手持设备）服服务器平台器平台PC平台平台通用密码接口可信操作系统可信存储系统TCM接口可信固件移移动平台平台应用用Profile服服务器平器平台台应用用ProfilePC平台平台应用用Profile电子支子支付付应用用Profile电子政子政务应用用Profile可信可信应用用Profile检测平台平台TCM检测测评系系统应用符合性用符合性检测可信可信PC检测自主可信计算未来发展自主可信计算未来发展自主可信计算未来发展自主可信计算未来发展基基础支支撑撑设施施证书格式格式规范范证书架构架构证书应用用Profile可信可信软件服件服务可信中可信中间件件可信网络连接可信平台安全管理Page 53谢谢！谢谢！
