動態可信度量

提綱 靜態可信度量根 動態可信度量根 Flicker: Minimal TCB Code Execution 靜態可信度量的問題 2006年，德國Dresden大學的研究者發現現有的靜態可信度量根存在著如下缺陷： 引導裝載程序(Bootloader)中存在bug Dartmouth的Bear project的可信引導程序裝載不完整 IBM IMA把加載內核鏡像和度量并擴展PCR分開 Trusted GRUB在硬盤損壞或光盤啟動時不擴展PCR 無法抵御BIOS攻擊 BIOS可刷寫，機器啟動時不對BIOS進行度量 TPM的重啟攻擊 對LPC總線攻擊在平臺沒有重啟情況下重啟TPM 靜態可信度量根 動態可信度量根 Flicker: Minimal TCB Code Execution 動態可信度量根 作為TPM 1.2規范的一部分，TCG定義了一種新機制來度量系統的啟動過程：動態可信度量根。 動態可信度量根 動態可信度量根由CPU發出一條新增安全指令出發，告訴TPM芯片開始要創建一個受控的和可信的執行環境 信任鏈由該條新增指令開始重置動態平臺寄存器，TPM 1.2規范中規定的8個新增PCR 16~23平臺寄存器，以此為基礎開始構建信任鏈而且不需要重啟整個平臺 不像靜態信任根，動態可信度量根使得可以在任意時刻開始構建信任鏈并且可以按照需要多次創建可信執行環境而不用重啟整個平臺 動態可信度量根 對比SRTM把BIOS核心不可修改的部分作為靜態核心度量根，簡稱S-CRTM，那么這里新增的CPU指令就是動態核心可信度量根，簡稱D-CRTM。 目前Intel的TXT技術，以及AMD的SVM技術都是采用動態可信度量根作為基礎的安全技術 當然這兩項技術不僅僅只是DRTM，還包括DMA保護等等一些其他安全特性，但是DRTM無疑是這些系統最核心的信任基礎、信任根。 動態可信度量根 動態可信度量的信任鏈移除了BIOS及其配置，可選ROM及其配置以及前面提到的由于bugs帶來漏洞的Boot loaders 不會受到上述提到的缺陷1和缺陷2所帶來的威脅。 而且動態可信度量可以開始于任意時刻且不用重新啟動整個平臺 不存在度量的時機問題這個不足了，也不會影響到用戶體驗，對不可間斷服務的影響也大大的降低。 Locality 動態可信度量根的主要目的是引導一個可信的操作系統，并且該操作系統能支持創建多個相互隔離的安全域，在安全域中再運行客戶操作系統或者是應用程序。 然而當可信操作系統、客戶操作系統和應用程序都使用同一個TPM時，就出現了問題： TPM作為一個被動的接受指令的硬件，它如何能區分度量值、命令是源自可信操作系統、客戶操作系統還是應用程序呢？ Locality 在TPM 1.1規范中TPM擁有16個平臺配置寄存器PCR，在TPM 1.2規范中增加了8個共計24個平臺配置寄存器PCR。 靜態可信度量為了保證PCR度量值的可信，在TPM設計的時候要求PCR寄存器僅僅在平臺重啟的時候才可以被重置到初始值 而動態可信度量為了能夠不影響用戶體驗或者是服務的連續性可以在任意時刻重置動態PCR寄存器(PCR 16~23)到初始值 為了使TPM區分TPM指令來源于可信硬件、可信操作系統、可信操作系統中的應用程序還是普通環境(由S-CRTM及其信任鏈構建的傳統環境)，TPM 1.2規范限制了可以重置PCR 16~23的Locality。 Locality Locality 由于引入了Locality概念以及多個Locality級別，DRTM的保護可以做得更加安全。 比如說用戶可以設置某個密鑰只可以在Locality 1下被unseal出來并seal到可信操作系統的PCR上，那么在普通非可信操作系統中，惡意軟件無法偷取到這個密鑰； 而當惡意軟件啟動DRTM進入Locality時，因為DRTM信任鏈更加安全，惡意軟件很難進入可信操作系統，或者是讓不可信系統得到與可信系統相同的度量值。各個Locality的空間相互隔離，用戶不需要去擔心敏感信息被不可信的操作系統所竊取。 TXT 類似于AMD的SKINIT，Intel在06年提出了Lagrande Technology (LT)，后來叫做TXT 首先是TXT增加了一個認證的代碼模塊authenticated code module (AC module，又稱為SINIT ACM)，在指令GETSEC[SENTER]執行后這個代碼模塊首先被認證，因為該模塊是經過簽名的并包含一個公鑰，在Intel的CPU中含有這個公鑰的hash值，所以首先CPU將認證這個公鑰，然后再用這個公鑰去對AC module進行認證。 在認證完了之后才會執行AC module，而之后AC module將加載經過度量后的啟動環境MLE (Measured

總結

以上是生活随笔為你收集整理的动态度量 linux,动态可信度量.ppt的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。