安全之心：一文读懂可信计算
簡介：?信 or 不信，這是個問題
?
可信計算
TC （Trusted Computing）
業界新寵，越來越被高頻提到
本質是
創造可信執行環境的芯片級安全防護方案
然而，江湖流傳 TA 的傳說
卻鮮少有人見過真身
阿里云作為亞太區最早布局可信計算的云廠商
今天我們一起來聊聊 TA 是誰？
?
一、環境可信
“把大象放入冰箱需要幾步”?
如何通過“信任鏈”建立可信執行環境
可以分為三步來理解它
- 可信根
- 可信鏈
- 度量/驗證
第一步
可信根：芯片級、底層、不可篡改
芯片級硬件的不可篡改性
決定了其可以作為最高等級安全的基礎
再將硬件層安全虛擬映透傳整個目標環境
形成軟硬結合的安全體系
?
?
一臺電腦組件來自四面八方
包括他的主板芯片
當你打開電腦的時候
可能同時喚醒了隱藏在啟動鏈路上的后門
Rootkit/Bootkit
可信硬件的插入
病毒無法篡改系統原設計
快速發現Rootkit/Bootkit并及時處理
可信根
對密鑰等私密數據進行物理保護
參與建立并保障可信鏈的傳遞
對可信芯片進行安全調用
?
?
面對深度隱藏且難以察覺的威脅
需要來自底層的保護
保障上層的不可篡改性
?
?
此處
引入一個比喻來加深一下理解
工人把半成品交給下一個工人
為了工作順利完成
首先需要保證
工作鏈條是在可信的前提下推進著……
?
?
方法一
每個工人在交出去之前
檢查下一個工人是否為內部人士
注：第一個工人很重要
如果其身份造假
后面的工作都是錯誤的
此時第一位工人就是信任根
其參與建立并決定可信鏈的傳遞
?
?
方法二
流水線保持流動
每一次交付都記錄下來
注：每次交付的記錄本身很重要
保證這個記錄不被篡改
記錄就像密鑰一樣存儲在可信根
把 TA 作為整個安全的可信起點
對不可控的軟硬件實體實現管理
那么
問題來了
如何完成從可信起點到應用、到網絡的透傳？
?
?
兩步并作一步：
信任鏈與驗證/度量結果
說好的三步變兩步
此處我失去了一點你的信任
?
?
此處，
我們又故作神秘的引入一個歷史故事
戰國“策”
?
?
秦攻打趙
魏信陵君希望魏王出兵營救
信陵君
通過通關密文進了魏王殿
通過使者找到了魏王妃
通過魏王妃拿到兵符
（一半的玉佩）
通過兵符配對
（與將軍手里的兵符契合成功）
?
?
歷史上的信陵君成功調用兵力
這是一個中性的信任關系的傳遞
因為其未經驗證
不可信的人完成了整體關系的傳遞
?
?
如果
關系鏈起點和傳遞過程
經過驗證與及時異常行為管理
兵符并不會這么輕易被拿走
所以
驗證/度量結果的重要性不容忽視
?
?
同樣是這個故事
我們換成當代可信環境下驗證思考
會有不同的結局
當信陵君進魏王殿
守衛發現其并非白名單成員
?
?
再比如
信陵君見到魏王妃
王妃驗證目的：
你要偷兵符
上報魏王
?
?
或者
最后就算信陵君拿到兵符
魏王有及時發現兵符丟失的敏感機制
并及時甚至提前通報將軍
“誰拿著兵符來找你就殺了他”
?
?
這是有可信根參與的
經過度量值比對的可信鏈
可信計算的核心功能
是基于可信硬件建立主動免疫機制
核心流程是可信根通過可信鏈鏈接各應用
過程經過度量值比對
將信任關系逐漸擴展至整機乃至網絡
?
二、隱世高手
可信計算神龍見首不見尾？?
歷史上真實發生的“竊符救趙”
更貼近傳統IT架構下安全產品和服務的部署
想要實現可信計算環境
并不容易
一個相對重要的計算環境
為了保障處于可信環境
至少需要面對以下問題
?
- 懂芯片
- 懂硬件
- 懂固件
- 懂虛擬技術
- 懂可信鏈
- 懂軟硬結合
- 懂……
?
一邊是啥也不懂很難
一邊是啥都懂了的阿里云
?
?
現在
阿里云“拿捏住了”這個點：
可信內置在基礎設施中
云管理物理機運行環境可信
阿里云可以按需對云虛擬服務器提供可信服務
BIOS、引導程序、操作系統內核、
應用程序加載等進行度量/驗證
不需要用戶采購組件
1、系統可信：
云上物理機和虛擬機運行環境
即操作系統的可信
2、應用可信：
云上管理應用和用戶側應用可信
?
三、安全可信
云環境比以往任何計算環境 都需要安全可信?
場景一
數據上云
數據不在自己眼前
而在遠程存儲
用戶需要確認遠程的存儲環境是否可信
?
?
可信前：
存儲之后
東西被黑了
可信后：
遠程證明
可以遠程確認儲存/計算環境可行性
?
?
場景二
APT等高等級攻擊威脅不斷升級
?
?
黑客瘋狂攻擊
手段變幻莫測
驚叫“這是什么新手段”
單點防御傳統安全思路照搬到云環境
必然面臨水土不服的窘境
可信計算方案
則是將防護前置
這也是更有前瞻性的安全技術
任你千變萬化，我以不變應萬變
?
可信云服務方案示意圖
?
?
啟動時
通過可信啟動機制
對系統程序和引導程序等
進行可信驗證以及控制
運行時
通過貫穿固件和軟件各層面的可信軟件基
對軟件執行的關鍵環節
例如進程啟動、文件訪問和網絡訪問等
進行攔截和判定
審計上報
所有報警均上報云運維監控平臺
或用戶側的云安全中心
?
?
切勿浮沙筑高臺
將安全建立在硬件的不可篡改性
與密碼學的理論安全性之上
?
?
關于可信計算的實際應用：
構筑企業級可信計算環境
?
?
遠程證明：
基于數字簽名安全上報度量結果
可靠證明系統啟動與運行狀態
動度量的狀態作為遠程證明依據
零信任密鑰管理與密碼算法應用：
vTPM/vTCM（虛擬可信模塊）
提供完備的密鑰管理與密碼算法功能
因此依托vTPM
ECS環境可在啟動時
第一時間可靠的創建密鑰、申請證書
并執行數字簽名與加解密等運算
?
?
最后
我們不妨再做一個令人興奮的假設：
此時你擁有500萬流動資金
在開心之余
這筆錢的安全問題也給你帶來了幸福的煩惱
這筆財富放在哪？
家里和銀行怎么選？
?
?
選擇
銀行中專業的保險箱
還是
家里普通的柜子
相當于
云上網絡、主機等各方面系統化的
安全防護機制
vs
個人安裝的殺毒軟件
?
?
選擇銀行卡
還是現金
相當于
云上專業完善的數據安全機制
vs
個人簡陋單一的口令機制
?
?
而且
服務方面銀行專職的保安與柜員
對比
家里普通家庭成員
相當于
云上態勢感知服務與專業安全專家運
vs
個人非專業的安全知識
綜上
多數人都會選擇把這筆巨款存放銀行
這就好比傳統架構與云上架構對比
從平臺、數據、服務三個維度
為云上客戶提供可信與安全
原文鏈接
本文為阿里云原創內容，未經允許不得轉載。
總結
以上是生活随笔為你收集整理的安全之心：一文读懂可信计算的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 基于 Scheduled SQL 对 V
- 下一篇： 在淘宝，我们是这样衡量代码质量的