采用可信計算技術為政務云平臺構建一體化防護模型

王彩學 季瑞齊 馮麗

摘要：可信計算技術為全網絡、全系統構建一體化、全局化防護模型，是“互聯網+”時代最具發展潛力的安全技術之一。通過該技術，為政務云平臺方、客戶方兩方，物理層、實體設備層、虛擬設備層、虛擬化平臺管理層、應用層、進程層、服務層、人員層八個層面添加可信憑證。實現“可信能通信，不可信不通信”的安全通信架構，大幅度提升政務云平臺安全。

關鍵詞：可信計算;政務云平臺;網絡安全

作為網絡安全代表技術之一，可信計算技術與其他安全技術存在很大的不同。諸如防火墻技術、入侵檢測技術、防病毒技術、密碼技術、身份鑒別技術、訪問控制技術等經典安全技術，往往是關注某一個安全點，或者安全層，不能做到全局覆蓋。不能全局覆蓋，則安全防護體系有缺口，容易被不法分子利用，導致安全防護措施失效。針對安全缺口進行攻擊，已經成為不法分子慣用的手段，給信息系統和網絡造成極大破壞。

可信計算技術關注的不是安全點和安全面，而是為整個網絡系統構建一體化、全局化安全防護模型，覆蓋網絡的方方面面，能有效杜絕安全缺口，做到防患于未然。可信計算技術是“互聯網+”時代最有發展前途的安全技術之一。下面以政務云平臺，這一“互聯網+”代表技術為例，詳細說明可信計算技術的應用前景。本文先簡要介紹可信計算技術和政務云平臺的基本特性，之后再研究將可信計算技術嵌入政務云平臺的方法。

1 可信計算技術特性

可信計算技術，是密碼技術的一種應用。采用密碼技術是為了做身份認證，防止身份數據篡改和冒用。可信計算的實現手段可以分為硬件形式和軟件形式。硬件形式即將可信計算內容寫入硬件芯片，是可信認證的傳統實現形式。軟件形式是通過編寫代碼，將可信計算內容寫入程序，是可信認證的新實現形式。在芯片一級實現可信計算，需要復雜的制造工藝，同時芯片數據一次性寫入，不容易更改，呈現費力不討好的局面。同時隨著信息技術的發展，出現大量可編程芯片，硬件和軟件的邊界逐漸模糊。所以，目前更多是以軟件編程的形式實現可信計算。

按照時效性，可以將可信計算分為靜態可信和動態可信。差別是前者永久有效。后者存在有效期，超出有效期，可信失效。同時可以根據安全狀況，提前終止可信有效期。相比之下，后者靈活性強，安全性高。按照粒度，可以將可信計算劃分為物理級可信、網絡級可信、系統級可信、主機級可信、服務級可信、進程級可信、用戶級可信、文件級可信、數據庫庫級可信、數據庫表級可信等等。同時還可以根據業務需求和編程手段實現新粒度的可信計算。

可信計算需要認證憑證，能夠提供合法憑證的主體或客體，才是合法的主客體。原則上說，只要是能作為身份證明的、全局唯一的元素，都能作為認證憑證。諸如，設備硬件MAC地址、CA數字證書、服務進程ID、全局唯一用戶名、文件名、主機名、數據庫名等。設備硬件MAC地址、CA數字證書分別作為全球唯一的標識符和專業的身份認證設備，具備較高的安全性，是認證憑證首選。

可信認證有基點，獲得該基點認可的軟硬件，屬于可信的軟硬件。獲得可信認證的軟硬件，可以繼續認可其余軟硬件，逐漸形成可信鏈條，該鏈條被稱為可信鏈。為了對可信基點和可信鏈進行管理，需要成立專門的管理機構，這個機構就被稱為可信管理中心。

2 政務云平臺特性

政務云平臺是云平臺的一種，特點是云平臺上面部署的都是政務系統。作為云平臺的子集，政務云平臺具備云平臺的一般特征，同時具有政務系統專有的特性。

政務云平臺存在大量共享網絡設備和安全設備，可以節省大量網絡資源。政務云平臺不同客戶不同系統的部署環境基本一致，方便管理。政務云平臺上部署大量信息系統，集中度高，便于集中預警和防護。政務云平臺采用虛擬化設備部署客戶系統，資源調度靈活。政務云配備專業化的運維團隊和安全團隊，專業性強。

政務系統屬于國民基礎設施，事關國計民生，重要程度高。如果發生故障，將引發社會動蕩和恐慌。

3 可信計算技術切入政務云平臺的操作方法

依據上文對可信計算技術的分析，采用軟件編程的方式實現動態可信，通過設備硬件MAC地址、CA數字證書作為可信憑證，為政務云平臺構建可信計算安全防護體系。對于人員，可信憑證定為CA證書;支持CA證書的設備，可信憑證定為CA證書，不支持CA證書的設備，可信憑證定為MAC地址。強調一點：政務云平臺存在大量虛擬網絡設備、安全設備、服務器和虛擬化管理平臺，這些虛擬設備和平臺同樣要做可信認證。

可信認證的粒度，是個很值得探究的問題。由于可信計算技術處于推廣初期，很難一步到位，建議云平臺方可信粒度定為較容易實現的設備級和人員級。除了云平臺方，客戶方同樣是云平臺的重要組成部分。客戶是否愿意在自身的應用系統當中嵌入可信計算技術，由客戶自身決定，政務云平臺方無權決定。但是，政務云平臺方要為客戶提供相關功能，供客戶選擇。根據云平臺方和客戶方職責的不同，分別繪制可信計算部署圖。

云平臺方可信計算體系分為物理機房層、實體設備層、虛擬化管理平臺層、虛擬設備層和操作人員層。為了對這五個安全層進行統一，或者說全局化管理，成立專門的可信計算管理部門--可信計算中心。該中心負責發放可信CA證書或對設備可信MAC地址進行注冊。對于機房，可信計算中心對門禁系統進行可信注冊。

云客戶方可信計算體系分為基礎資源層、進程和服務層、終端層，共三層。其中比較特殊的是第二層，進程和服務層。該層重要性最高，可信粒度也隨之更細，不能通過CA證書和MAC地址注冊進行可信標識，而要通過全局唯一ID進行標識。第三層終端層包含人員和業務終端兩類，這是由于政務系統的特殊性決定的。政務系統存在大量自動化終端，這些終端是不法分子入侵的重要途徑，所以要納入可信計算范圍。

4 政務云平臺可信計算最終拓撲結構

可信計算的典型特征之一，就是全局性防護和一體化管理。客戶方可信計算中心需要獲得平臺方可信計算中心的可信憑證，才允許接入政務云平臺。可信憑證建議采用CA證書。

5 總結

事務是持續運動、變化和發展的，計算機技術亦不例外。可信計算技術與其誕生之初，已經發生了顯著的變化，而且這種變化會持續進行，永遠不終止。我們只能時刻保持警惕，密切關注，深入學習，才可保證不被時代拋棄。

參考文獻：

[1] 劉千仞，薛淼，任夢璇，等.基于區塊鏈的數據共享與可信計算應用與研究[J].郵電設計技術，2020（11）：18-23.

[2] 尚文利，邢祥宇，劉賢達，等.基于可信計算的全艦計算環境安全增強研究[J].艦船科學技術，2020，42（13）：125-129.

[3] 高建軍，閆文，石郡儒，等.星載操作系統可信計算與度量認證技術研究[J].西北工業大學學報，2020，38（5）：1063-1067.

[4] 岳陽，康利剛，李理，等.基于可信計算技術的抗惡意代碼攻擊安全結構框架設計[J].通信技術，2020，53（5）：1250-1255.

【通聯編輯：唐一東】