下载文档原格式
第三章TCG 可信计算体系
可信计算平台原理与应用可信计算平台原理与应用：：
xuzhen@
提纲
1、TCG及其规范
TCG规范
2、TCG可信计算体系结构
（1）整体架构
可信平台模块
硬件平台
信任的传递
基本特性
特性1－受保护的能力
的特权。
被屏蔽
屏蔽位置的特权。
被屏蔽命令具有访问被屏蔽位置
命令具有访问被
特性2-证明(Attestation)
特性3－、完整性度量完整性度量、存储和报告
TCG可信计算平台的信任根
可信计算平台的信任根（（Cont.）TCG可信计算平台的信任根
可信构建块
可信构建块可信构建块（（Cont.）
信任边界（The Trust Boundary）
完整性度量（Integrity Measurement）
完整性报告（Integrity Reporting）
（2）TPM
结构图
输入/输出（I/O）
密码协处理
RSA引擎
随机数生成器
SHA
SHA--1引擎（SHA
SHA--1 Engine）
电源检测（Power Detection）
Opt--In Opt
执行引擎（Execution Engine）
持久性存储（Non
Non--Volatile Memory）
平台配置寄存器（PCR）
1. 2.
（3）TSS
TSS设计目标
TSS体系结构
TSS体系结构-TDDL
TSS体系结构-TPM Driver。
《可信计算规范第2部分：可信平台主板功能接口规范》编制说明可信计算标准平台组2011年09月国家标准《可信计算规范第2部分：可信平台主板功能接口规范》编制说明一、任务来源可信计算技术解决了以往终端PC体系结构上的不安全，从基础上提高了可信性，正在成为计算机安全技术与产业的发展趋势，各个国家和IT企业巨头都积极投身于可信计算领域的技术研究、标准制定与可信计算产品开发，以企占领未来信息安全以至IT技术的制高点。
为了推进可信计算在中国快速、健康的发展，2008年2月，全国信息安全标准化技术委员会将“可信平台主板功能接口”课题下达给北京工业大学，课题负责人沈昌祥院士。
沈昌祥院士组织成立了以企业为主体的“产学研用”结合的“可信平台主板功能接口”，研究制定“可信平台主板功能接口规范”。
项目启动会于2008年12月17日在北京工业大学召开。
可信计算规范分为4个部分，第1部分：可信平台控制模块规范、第2部分：可信平台主板功能接口规范、第3部分：可信基础支撑软件规范、第4部分：可信网络连接架构规范。
本部分是该系列标准的第2部分，由北京工业大学、中国长城计算机深圳股份有限公司、武汉大学、南京百敖软件有限公司、航天科工706所等负责起草。
参与标准制定的单位有中国电子科技集团公司信息化工程总体研究中心、北京龙芯中科技术服务中心有限公司、中安科技集团有限公司、瑞达信息安全产业股份有限公司、江南计算所、中船重工第707研究所、华为技术有限公司、北京超毅世纪网络技术有限公司、北京华大恒泰科技有限责任公司等。
二、编制原则1）积极采用国家标准和国外先进标准的技术，并贯彻国家有关政策与法规；2）标准编制要具有一定的先进性、科学性、可行性、实用性和可操作性；3）标准内容要符合中国国情，广泛征求用户、企业、专家和管理部门的意见，并做好意见的正确处理；4）面向市场，参编自愿；标准编制工作与意见处理，应坚持公平、公正，切实支持产业发展；5）合理利用国内已有标准科技成果，处理好标准与知识产权的关系；6）采用理论与实践相结合的工作方法，开展标准验证试点工作，并充分利用国内已有的各类可信计算重点项目、示范项目的建设经验，处理好标准的先进性和实用性之间的关系；7）尽可能吸纳成熟的技术和已有共识的框架结构，适当的提出前瞻性的规范。
中国医学科学院阜外医院韩作为☐《GBT 22240-2020 信息安全技术网络安全等级保护定级指南》☐《GBT 25058-2019 信息安全技术网络安全等级保护实施指南》☐《GBT 22239-2019 信息安全技术网络安全等级保护基本要求》☐《GBT 25070-2019 信息安全技术网络安全等级保护安全设计技术要求》☐《GBT 28448-2019 信息安全技术网络安全等级保护测评要求》1可信计算基础2可信与等保2.0 Contents3可信应用实例可信计算基础Classified protection of cybersecurity“封堵”：以网络隔离为代表，无法适应云计算话你就能够特性，以及云计算应用导致的边界虚拟化、动态变化；“查杀”：以杀病毒、入侵检测为代表，采用基于已知“特征”的检查技术，不能抵御新出现的未知恶意代码。
通过“计算+保护”的双计算体系，建立可信的计算环境，是其他安全防御机制的基础支撑；形成自动识别“自我”和“非我”程序的安全免疫机制，实现对未知病毒木马的安全免疫。
被动防御主动免疫杀毒、防火墙、入侵检测的传统“老三样”难以应对人为攻击且容易被攻击者利用，找漏洞、找补丁的传统思路不利于整体安全◆可信根可信根是可信计算平台可信的基点，源头，一般基于硬件来实现：TPM、TCM可信计算平台有三个可信根：可信度量根RTM、可信存储根RTS、可信报告根RTR◆可信链可信链是从可信根开始，通过信任度量把可信关系扩展到整个可信计算的平台，在每一步的过程中，上一级（可信环境）要对下一级组件（未可信环境）进行度量，若组件完整，则将控制权转移，以此类推，直至延伸到整个系统。
◆可信模块TCG的TPM中国的TCM：中国版的TPM中国的TPCM：TCM+信任根的控制功能，密码和控制双结合◆可信软件基（TSS+TSB）可信计算平台上的支撑软件。
主要是为操作系统和应用软件提供使用可信平台模块的接口Intel 、微软、IBM 等发起成立了TCPA ，标志着可信计算进入产业界1999年10月Intel 推出带有SGX 技术的CPU,主要功能是在计算平台上提供一个基于芯片级的可信执行环境2016年改组为TCG ，TCG 提出TPM1.2及相关规范2003年Windows10发布，并宣布“所有新设备和电脑，运用所有win10系统必须有TPM2.0支持”2015年Google 发布Titan 安全芯片，防止窃听硬件和插入固件植入来攻击电脑2017年Intel 正式发布了可信执行技术通过硬件内核和子系统来控制被访问的计算基资源2007年ARM 芯片采用推出了TrustZone 技术来支持可信技术发展TPM 发展2019年082018年072017年06762014年052007年042005年032000年021992年01基于ARM架构推出片内同构方式构建双体系瓶体的可信解决方案华为基于ARM TrustZone实现内置TCP功能可信计算产品在国家电网和中央电视台等重要部门使用中关村可信计算产业联盟成立，可信计算3.0旗舰产品—“白细胞”操作系统免疫平台发布，可信3.0时代到来由北京工业大学牵头完成可信计算3.0四个主体标准形成可信框架体系联想集团的TPM芯片和可信计算相继研制成功武汉瑞达和武汉大学合作，开始研制“国内第一款可信计算机”我国专家发明了微机保护卡，达到了无病毒、自我免疫的效果可信1.0（主机）主机可靠性计算机部件冗余备份故障诊查容错算法可信2.0（PC ）节点安全性PC 单机功能模块被动度量TPM+TSS可信3.0（网络）系统免疫性节点虚拟动态链宿主+可信双节点主动免疫TPCM+TSB+服务平台容错容错组织被动防御国际可信计算组织（TCG ）主动防御中国可信技术创新可信与等保2.0 Classified protection of cybersecurity坚持创新驱动发展，积极创造有利于技术创新的政策环境，统筹资源和力量，以企业为主体，产学研用相结合，协同攻关、以点带面、整体推进，尽快在核心技术上取得突破。
Computer Science and Application 计算机科学与应用, 2017, 7(4), 310-319 Published Online April 2017 in Hans. /journal/csa https:///10.12677/csa.2017.74038文章引用: 周艺华, 安会, 王冠, 孙亮. 基于UEFI 的操作系统完整性度量方法[J]. 计算机科学与应用, 2017, 7(4):Operating System Integrity Measurement Method Based on UEFIYihua Zhou 1, Hui An 1,2, Guan Wang 1,2, Liang Sun 31College of Computer Science, Beijing University of Technology, Beijing 2Key Laboratory of Trustworthy Computing in Beijing, Beijing 3ZD Technologies (Beijing), BeijingReceived: Apr. 2nd , 2017; accepted: Apr. 14th , 2017; published: Apr. 19th, 2017AbstractIf the operating system kernel is under attack, it can pose a significant threat to operating systems and applications.In order to ensure the integrity of the operating system kernel, this paper presents an operating system integrity measurement method based on UEFI firmware. In the scheme, we measure the integrity of operating system mainly in UEFI BIOS boot process, using TCM chip’s encryption, authentication functions and Hash algorithm. The scheme can effectively protect the kernel and the safety of the operating system.KeywordsUEFI, OS Kernel, TCM, Integrity Measurement基于UEFI 的操作系统完整性度量方法周艺华1，安 会1,2，王 冠1,2，孙 亮31北京工业大学计算机学院，北京 2可信计算北京市重点实验室，北京 3中电科技(北京)有限公司，北京收稿日期：2017年4月2日；录用日期：2017年4月14日；发布日期：2017年4月19日摘 要操作系统内核受到攻击，会对操作系统以及应用程序造成重大的威胁，为了保证操作系统内核的完整性，周艺华等本文提出了一种基于UEFI固件的操作系统完整性度量机制，该方案主要在UEFI BIOS启动过程中，利用TCM芯片的加密，认证和Hash运算等技术，对操作系统内核进行完整性度量，能够有效保护内核以及操作系统的安全。
操作系统内核的动态可信度量模型摘要:动态可信度量是可信计算的研究热点和难点，针对由操作系统内核动态性所引起的可信度量困难问题，提出一种操作系统内核的动态可信度量模型，使用动态度量变量描述和构建系统动态数据对象及其关系，对内核内存进行实时数据采集，采用语义约束描述内核动态数据的动态完整性，通过语义约束检查验证内核动态数据是否维持其动态完整性。
给出了模型的动态度量性质分析与证明，模型能够有效地对操作系统内核的动态数据进行可信度量，识别对内核动态数据的非法篡改。
关键词:可信计算；可信度量；动态度量；操作系统内核；远程证明dynamic trusted measurement model of operating system kernelxin si.yuan1*, zhao yong2, liao jian.hua3, wang ting4 1．institute of electronic technology, information engineering university, zhengzhou henan 450004，china；2．college of computer science，beijing university of technology，beijing 100124，china；3．school of electronics engineering and computer science, peking university, beijing 100871, china；4． unit 65047 of pla，shenyang liaoning 100805，chinaabstract:dynamic trusted measurement is a hot and difficult research topic in trusted computing. aim at the measurement difficulty problem invoked by the dynamic nature of operating system kernel a dynamic trusted kernel measurement (dtkm) model is proposed, dynamic measurement variable (dmv) is presented to describe and construct dynamic data objects and their relations, and the method of semantic constraint is proposed to measure the dynamic integrity of kernel components.in dtkm, the collection of memory data is implemented in real time, and the dynamic integrity is verified by checking whether the constructed dmv is consistent with semantic constraints which are defined based on the security semantic. formal analysis and application examples show that dtkm can effectively implement dynamic measurement of the kernel and detect the illegal modification of the kernel dynamic data.dynamic trusted measurement is a hot and difficult research topic in trusted computing. concerning the measurement difficulty invoked by the dynamic nature of operating system kernel, a dynamic trusted kernel measurement (dtkm) model was proposed. dynamic measurement variable (dmv) was presentedto describe and construct dynamic data objects and their relations, and the method of semantic constraint was proposed to measure the dynamic integrity of kernel components. in dtkm, the collection of memory data was implemented in real.time, and the dynamic integrity was verified by checking whether the constructed dmv was consistent with semantic constraints which were defined based on the security semantics. the nature analysis and application examples show that dtkm can effectively implement dynamic measurement of the kernel and detect the illegal modification of the kernel dynamic data. key words:trusted computing; trusted measurement; dynamic measurement; operating system kernel; remote attestation0引言可信度量是可信计算的关键技术，用于测量和评估系统预期描述和系统实际行为的符合程度，对于可信计算平台的信任链构建、远程证明起到重要的支撑作用。
可信度量在一定的时间点对度量对象的状态信息进行采集，以检验度量对象的当前状态是否符合预期［1］。
目前，可信计算平台中的可信度量大多采用静态完整性度量方法［2-5］，在计算实体启动和控制权传递之前，使用杂凑算法计算度量对象静态文件的摘要值，与事先记录的基准值相比较，从而判定将要运行的实体是否符合预期。
然而，当计算实体获得控制权并处于运行状态之后，其可信状态可能遭受动态的恶意篡改，破坏计算实体运行的可信性。
操作系统内核作为计算平台硬件之上的第一层软件，运行于cpu的最高特权级，是可信计算平台的核心构件。
由于操作系统内核动态性和复杂性，仅在操作系统启动之前度量硬盘中的静态镜像文件的静态摘要值是不够的，操作系统内核在运行过程中可能受到缓冲区溢出、直接内存存取(direct memory access,dma)外设攻击［6］等动态的攻击行为，使操作系统进入非预期的状态，此时再将静态的操作系统度量信息报告给远程平台会出现度量时与使用时状态的不一致问题［7］，造成失效的远程证明。
因此，操作系统内核的动态可信度量研究对构建可信计算环境、实现动态的远程证明具有重要意义。
现有的操作系统动态度量研究中，copilot系统［8］基于协处理器以dma方式周期性地对正在运行的操作系统内核代码段、只读数据等部分进行动态度量。
文献［1］的动态完整性度量框架对进程、内核模块的内存代码进行度量，但这两种方式还是基于杂凑函数对操作系统内核内存中的静态部分进行度量，无法度量在操作系统运行过程中动态变化的数据。
文献［9］提出了程序控制流完整性的概念。
文献［10］通过扫描分析操作系统内核的源码，对运行时的操作系统内核控制流进行监控，度量内核的控制流完整性，此方法依赖于系统源码，仅关注函数指针等控制数据，无法度量系统中非控制动态数据［11］；操作系统内核上下文监控技术［12］提供了一种度量内核运行时上下文中重要数据结构的方法，通过分析内核中的重要数据结构，对动态数据中的函数指针以及其上下文环境进行记录，然而此方法并没有给出分析所采集到的上下文动态数据的方法，无法判断操作系统的状态是否符合预期。
文献［13］通过基于软件的方法对嵌入式设备的内存进行度量，通过伪随机的方式对设备内存进行遍历和度量，这种方式侧重于通过精心的设计和构造保证度量模块受到篡改后能够被发现，它将设备的内存块作为一个整体进行度量，不能有效地对设备内存的动态部分进行度量。
文献［14］和文献［15］采用内核执行保护的思想，分别用硬件虚拟技术和影子内存技术（memory shadowing）保证只有证明过的代码才能够在内核态执行，但依然只能证明和保护静态的内核代码部分，对于如何度量和证明动态的内核数据部分并未解决。
现有的操作系统可信度量研究，能够对内核运行过程中内存的静态部分进行度量，读取和采集一定的内核动态数据，但不能描述内核动态部分的预期状态，无法对内核中动态变化的数据进行可信度量。
第4期辛思远等：操作系统内核的动态可信度量模型计算机应用第32卷针对由操作系统内核的动态性引起的可信度量困难问题，本文提出了一种操作系统内核的动态可信度量(dynamic trusted kernel measurement，dtkm)模型，对于加载到内存、处于运行状态的操作系统内核动态数据对象进行动态度量。
给出了动态完整性的概念，通过语义约束来描述内核动态元素的动态完整性，采用构造度量变量的方法统一描述度量的对象和内容，对动态的内核内存进行数据采集，验证动态度量对象是否符合预期的语义约束，实现对处于运行状态的操作系统内核的可信动态度量。
1模型组成在操作系统内核加载到内存中的各种组成元素中，内核的代码段、只读数据段、系统调用表、中断描述符表、全局描述符表等元素在操作系统运行过程中是静态不变的，仍然可以使用杂凑函数进行实时的度量，而内核初始化数据段、未初始化数据段、内核页表、进程链表等数据动态变化，需要进行动态的可信度量。
操作系统内核的动态元素大多都是一些动态的数据内容，这些数据会随着操作系统的运行而动态变化，而数据结构是数据存在的主要形式，研究内核的重要数据结构对象在动态变化中的变化轮廓和相互关系，表达和度量内核动态数据中的安全不变式，是内核动态度量研究的一个有效的切入点。
