采用可信計算技術為政務云平臺構建一體化防護模型

王彩學 季瑞齊 馮麗

摘要：可信計算技術為全網(wǎng)絡、全系統(tǒng)構建一體化、全局化防護模型，是“互聯(lián)網(wǎng)+”時代最具發(fā)展?jié)摿Φ陌踩夹g之一。通過該技術，為政務云平臺方、客戶方兩方，物理層、實體設備層、虛擬設備層、虛擬化平臺管理層、應用層、進程層、服務層、人員層八個層面添加可信憑證。實現(xiàn)“可信能通信，不可信不通信”的安全通信架構，大幅度提升政務云平臺安全。

關鍵詞：可信計算;政務云平臺;網(wǎng)絡安全

作為網(wǎng)絡安全代表技術之一，可信計算技術與其他安全技術存在很大的不同。諸如防火墻技術、入侵檢測技術、防病毒技術、密碼技術、身份鑒別技術、訪問控制技術等經(jīng)典安全技術，往往是關注某一個安全點，或者安全層，不能做到全局覆蓋。不能全局覆蓋，則安全防護體系有缺口，容易被不法分子利用，導致安全防護措施失效。針對安全缺口進行攻擊，已經(jīng)成為不法分子慣用的手段，給信息系統(tǒng)和網(wǎng)絡造成極大破壞。

可信計算技術關注的不是安全點和安全面，而是為整個網(wǎng)絡系統(tǒng)構建一體化、全局化安全防護模型，覆蓋網(wǎng)絡的方方面面，能有效杜絕安全缺口，做到防患于未然?？尚庞嬎慵夹g是“互聯(lián)網(wǎng)+”時代最有發(fā)展前途的安全技術之一。下面以政務云平臺，這一“互聯(lián)網(wǎng)+”代表技術為例，詳細說明可信計算技術的應用前景。本文先簡要介紹可信計算技術和政務云平臺的基本特性，之后再研究將可信計算技術嵌入政務云平臺的方法。

1 可信計算技術特性

可信計算技術，是密碼技術的一種應用。采用密碼技術是為了做身份認證，防止身份數(shù)據(jù)篡改和冒用?？尚庞嬎愕膶崿F(xiàn)手段可以分為硬件形式和軟件形式。硬件形式即將可信計算內(nèi)容寫入硬件芯片，是可信認證的傳統(tǒng)實現(xiàn)形式。軟件形式是通過編寫代碼，將可信計算內(nèi)容寫入程序，是可信認證的新實現(xiàn)形式。在芯片一級實現(xiàn)可信計算，需要復雜的制造工藝，同時芯片數(shù)據(jù)一次性寫入，不容易更改，呈現(xiàn)費力不討好的局面。同時隨著信息技術的發(fā)展，出現(xiàn)大量可編程芯片，硬件和軟件的邊界逐漸模糊。所以，目前更多是以軟件編程的形式實現(xiàn)可信計算。

按照時效性，可以將可信計算分為靜態(tài)可信和動態(tài)可信。差別是前者永久有效。后者存在有效期，超出有效期，可信失效。同時可以根據(jù)安全狀況，提前終止可信有效期。相比之下，后者靈活性強，安全性高。按照粒度，可以將可信計算劃分為物理級可信、網(wǎng)絡級可信、系統(tǒng)級可信、主機級可信、服務級可信、進程級可信、用戶級可信、文件級可信、數(shù)據(jù)庫庫級可信、數(shù)據(jù)庫表級可信等等。同時還可以根據(jù)業(yè)務需求和編程手段實現(xiàn)新粒度的可信計算。

可信計算需要認證憑證，能夠提供合法憑證的主體或客體，才是合法的主客體。原則上說，只要是能作為身份證明的、全局唯一的元素，都能作為認證憑證。諸如，設備硬件MAC地址、CA數(shù)字證書、服務進程ID、全局唯一用戶名、文件名、主機名、數(shù)據(jù)庫名等。設備硬件MAC地址、CA數(shù)字證書分別作為全球唯一的標識符和專業(yè)的身份認證設備，具備較高的安全性，是認證憑證首選。

可信認證有基點，獲得該基點認可的軟硬件，屬于可信的軟硬件。獲得可信認證的軟硬件，可以繼續(xù)認可其余軟硬件，逐漸形成可信鏈條，該鏈條被稱為可信鏈。為了對可信基點和可信鏈進行管理，需要成立專門的管理機構，這個機構就被稱為可信管理中心。

2 政務云平臺特性

政務云平臺是云平臺的一種，特點是云平臺上面部署的都是政務系統(tǒng)。作為云平臺的子集，政務云平臺具備云平臺的一般特征，同時具有政務系統(tǒng)專有的特性。

政務云平臺存在大量共享網(wǎng)絡設備和安全設備，可以節(jié)省大量網(wǎng)絡資源。政務云平臺不同客戶不同系統(tǒng)的部署環(huán)境基本一致，方便管理。政務云平臺上部署大量信息系統(tǒng)，集中度高，便于集中預警和防護。政務云平臺采用虛擬化設備部署客戶系統(tǒng)，資源調(diào)度靈活。政務云配備專業(yè)化的運維團隊和安全團隊，專業(yè)性強。

政務系統(tǒng)屬于國民基礎設施，事關國計民生，重要程度高。如果發(fā)生故障，將引發(fā)社會動蕩和恐慌。

3 可信計算技術切入政務云平臺的操作方法

依據(jù)上文對可信計算技術的分析，采用軟件編程的方式實現(xiàn)動態(tài)可信，通過設備硬件MAC地址、CA數(shù)字證書作為可信憑證，為政務云平臺構建可信計算安全防護體系。對于人員，可信憑證定為CA證書;支持CA證書的設備，可信憑證定為CA證書，不支持CA證書的設備，可信憑證定為MAC地址。強調(diào)一點：政務云平臺存在大量虛擬網(wǎng)絡設備、安全設備、服務器和虛擬化管理平臺，這些虛擬設備和平臺同樣要做可信認證。

可信認證的粒度，是個很值得探究的問題。由于可信計算技術處于推廣初期，很難一步到位，建議云平臺方可信粒度定為較容易實現(xiàn)的設備級和人員級。除了云平臺方，客戶方同樣是云平臺的重要組成部分?？蛻羰欠裨敢庠谧陨淼膽孟到y(tǒng)當中嵌入可信計算技術，由客戶自身決定，政務云平臺方無權決定。但是，政務云平臺方要為客戶提供相關功能，供客戶選擇。根據(jù)云平臺方和客戶方職責的不同，分別繪制可信計算部署圖。

云平臺方可信計算體系分為物理機房層、實體設備層、虛擬化管理平臺層、虛擬設備層和操作人員層。為了對這五個安全層進行統(tǒng)一，或者說全局化管理，成立專門的可信計算管理部門--可信計算中心。該中心負責發(fā)放可信CA證書或?qū)υO備可信MAC地址進行注冊。對于機房，可信計算中心對門禁系統(tǒng)進行可信注冊。

云客戶方可信計算體系分為基礎資源層、進程和服務層、終端層，共三層。其中比較特殊的是第二層，進程和服務層。該層重要性最高，可信粒度也隨之更細，不能通過CA證書和MAC地址注冊進行可信標識，而要通過全局唯一ID進行標識。第三層終端層包含人員和業(yè)務終端兩類，這是由于政務系統(tǒng)的特殊性決定的。政務系統(tǒng)存在大量自動化終端，這些終端是不法分子入侵的重要途徑，所以要納入可信計算范圍。

4 政務云平臺可信計算最終拓撲結構

可信計算的典型特征之一，就是全局性防護和一體化管理?？蛻舴娇尚庞嬎阒行男枰@得平臺方可信計算中心的可信憑證，才允許接入政務云平臺?？尚艖{證建議采用CA證書。

5 總結

事務是持續(xù)運動、變化和發(fā)展的，計算機技術亦不例外。可信計算技術與其誕生之初，已經(jīng)發(fā)生了顯著的變化，而且這種變化會持續(xù)進行，永遠不終止。我們只能時刻保持警惕，密切關注，深入學習，才可保證不被時代拋棄。

參考文獻：

[1] 劉千仞，薛淼，任夢璇，等.基于區(qū)塊鏈的數(shù)據(jù)共享與可信計算應用與研究[J].郵電設計技術，2020（11）：18-23.

[2] 尚文利，邢祥宇，劉賢達，等.基于可信計算的全艦計算環(huán)境安全增強研究[J].艦船科學技術，2020，42（13）：125-129.

[3] 高建軍，閆文，石郡儒，等.星載操作系統(tǒng)可信計算與度量認證技術研究[J].西北工業(yè)大學學報，2020，38（5）：1063-1067.

[4] 岳陽，康利剛，李理，等.基于可信計算技術的抗惡意代碼攻擊安全結構框架設計[J].通信技術，2020，53（5）：1250-1255.

【通聯(lián)編輯：唐一東】