《可信计算规范第4部分可信连接架构》

《可信计算规范第4部分：可信连接架构》（报批稿）编制说明全国信息安全标准化技术委员会中国可信计算标准工作组网络组2011年10月《可信计算规范第4部分：可信连接架构》（报批稿）编制说明一、任务来源随着计算机的使用越来越广泛，研究越来越深入，可信计算逐渐被提上日程。

为了推进可信计算计算在中国快速、健康的发展，由中国电子技术标准化研究所组织国内相关可信计算研究单位与企业，共同制定《可信计算规范》。

2007年2月，全国信息安全标准委员会将“可信计算关键标准研究”课题下达给北京工业大学，课题负责人沈昌祥院士。

根据信安秘字[2007] 5号“由沈昌祥院士牵头，联合有积极性的相关企业和部门共同研究”的通知精神，沈昌祥院士组织成立了以企业为主体的“产学研用”结合的“可信计算标准工作组”，研究制定可信计算关键标准。

项目启动会于2007年4月17日在北京工业大学召开。

《可信计算规范》目前包括4个部分，第1部分：可信平台控制模块；第2部分：可信平台主板功能接口；第3部分：可信基础支撑软件；第4部分：可信连接架构。

本项目是《可信计算规范》的第4部分，由全国信息安全标准化技术委员会、中国电子技术标准化研究所、西安西电捷通无线网络通信股份有限公司、北京工业大学、瑞达信息安全产业股份有限公司、西安电子科技大学、北京理工大学、武汉大学、北京天融信科技有限公司、北京电子科技学院、北京金奥博数码信息技术有限责任公司、中国电子科技集团公司第三十研究所、国家无线电监测中心、北京网贝合创科技有限公司、中国航天科工集团二院七O六所、郑州信大捷安信息技术有限公司、上海格尔软件股份有限公司、西安邮电学院、江南计算机技术研究所、国家广播电影电视总局广播科学研究院、中国电子技术标准化研究所、华为技术有限公司、深圳长城电脑有限公司、中安科技集团有限公司、长春吉大正元信息技术股份有限公司、北京鼎普科技股份有限公司、成都卫士通信息产业股份有限公司、北京密安网络技术股份有限公司等单位负责起草。

本项目《可信计算规范第4部分：可信连接架构》是2009年国家标准立项项目（国家标准计划编号：20090337-T-469）。

二、研究目标本项目目标是提出一个易管理、高安全的可信网络连接架构，并具体实现该可信网络连接架构。

三、研究内容本项目研究内容为提出了一种基于三元对等鉴别的可信网络连接架构，简称为可信连接架构，并给出了可信连接架构的具体实现，即给出了可信连接架构中各个接口的定义。

四、编制原则本项目编写遵循的原则如下：1）积极采用国家标准和国外先进标准的技术，并贯彻国家有关政策与法规；2）标准编制要具有一定的先进性、科学性、可行性、实用性和可操作性；3）标准内容要符合中国国情，广泛征求用户、企业、专家和管理部门的意见，并做好意见的正确处理；4）面向市场，参编自愿；标准编制工作与意见处理，应坚持公平、公正，切实支持产业发展；5）合理利用国内已有标准科技成果，处理好标准与知识产权的关系；6）采用理论与实践相结合的工作方法，开展标准验证试点工作，并充分利用国内已有的各类网格重点项目、示范项目的建设经验，处理好标准的先进性和实用性之间的关系；7）尽可能吸纳成熟的技术和已有共识的框架结构，适当的提出前瞻性的规范。

引导交换体系应用向着成熟稳定和良好结构的方向发展。

8）面向实际应用需求，重点解决具有共性的交换问题，而不涉及应用面狭窄或者使用落后技术的交换应用，或者纯学术研究型交换技术和不成熟的技术。

9）标准结构和编写规则，按照GB/T1.1-2009执行。

五、主要工作过程2007年4月于北京工业大学召开第1次会议，北京工业大学、中国电子技术标准化研究所四所、西安西电捷通无线网络通信有限公司、西安电子科技大学、武汉瑞达信息安全产业股份有限公司和深圳华为技术有限公司等单位对可信网络连接的技术思路进行了首次讨论，并安排了后续工作。

2007年6月于北京工业大学召开第2次会议，北京工业大学、中国电子技术标准化研究所四所、西安西电捷通无线网络通信有限公司、西安电子科技大学、武汉瑞达信息安全产业股份有限公司和深圳华为技术有限公司等单位进一步讨论可信网络连接的技术思路，然后根据沈院士的建议组内讨论了监管问题，并最终形成了两个不同的《可信接入与监管体系结构草案》。

2007年8月于中国长城计算机深圳股份有限公司召开第3次会议，西安西电捷通无线网络通信有限公司、西安电子科技大学、武汉瑞达信息安全产业股份有限公司、北京工业大学、中国长城计算机深圳股份有限公司和深圳华为技术有限公司等单位讨论6月份提出的两个草案，最终经沈院士审核决定使用西安西电捷通无线网络通信有限公司所提出的草案，并对该草案进行了讨论和完善，最终形成了相应的方案和标准。

2007年9月和10月分别于北京工业大学和中安科技集团公司召开第4次和第5次会议，西安西电捷通无线网络通信有限公司、西安电子科技大学、武汉瑞达信息安全产业股份有限公司、北京工业大学、北京理工大学、中国长城计算机深圳股份有限公司和中安科技集团公司等单位继续修改和完善方案和标准文本。

2008年3月于北京工业大学召开第6次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、武汉瑞达信息安全产业股份有限公司和北京理工大学等单位讨论可信连接架构的接口问题以及其他问题，最终形成了可信连接架构研究报告、可信连接架构草案稿和可信连接架构草案编制说明。

2008年6月于北京工业大学召开第7次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、北京理工大学和北京电子科技学院等单位进一步讨论可信连接架构中各部件之间的接口实现问题，形成各接口的研究报告。

2008年11月于北京工业大学召开第8次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、北京理工大学和北京电子科技学院等单位进一步讨论可信连接架构中各部件之间的接口实现问题，完善各接口的研究报告。

2009年6月于北京工业大学召开第9次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、北京理工大学和北京电子科技学院、武汉大学、西安邮电学院、北京金奥博、56所、广播科学研究院、北京天融信、航天706所、中国电子科技集团30所、武汉瑞达、上海格尔软件、郑州信大捷安信息技术有限公司等单位进一步讨论可信连接架构中各部件之间的接口实现问题，基本确定各部件之间的接口实现。

2009年9月于无锡56所召开第10次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、北京理工大学和北京电子科技学院、武汉大学、西安邮电学院、北京金奥博、56所、广播科学研究院、北京天融信、航天706所、中国电子科技集团30所、武汉瑞达、上海格尔软件、郑州信大捷安信息技术有限公司等单位进一步讨论可信连接架构中各部件之间的接口实现问题，完善各部件之间的接口实现。

2009年12月于北京工业大学召开第11次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、北京理工大学、武汉大学和北京天融信6家核心单位对可信连接架构（TCA，Trusted Connect Architecture）标准文本进行了集中编写。

2010年3月于北京工业大学召开第12次会议，西安西电捷通无线网络通信有限公司、北京工业大学、西安电子科技大学、北京理工大学和北京电子科技学院、武汉大学、西安邮电学院、北京金奥博、56所、广播科学研究院、北京天融信、航天706所、中国电子科技集团30所、武汉瑞达、上海格尔软件、郑州信大捷安信息技术有限公司等单位对可信计算规范第4部分：信息系统可信连接架构进行了进一步讨论与完善，着重于TCA中的接口实现。

2011年3月于北京海军计算机所召开专家审查会议，会后形成了《可信计算规范第4部分：信息系统可信连接架构（征求意见稿）》。

2011年5月，根据《可信计算规范第4部分：信息系统可信连接架构（征求意见稿）》的反馈意见形成了《可信计算规范第4部分：信息系统可信连接架构（报批稿）》初稿。

2011年7月于北京召开安标委秘书处及WG1扩大会议，对《可信计算规范第4部分：信息系统可信连接架构（征求意见稿）》的反馈意见进行协调处理，会后根据会议反馈意见进行完善，形成《可信计算规范第4部分：可信连接架构》终稿。

2011年9月，根据全国信息安全标准化技术委员会秘书处的反馈意见完善《可信计算规范第4部分：可信连接架构》标准文本，形成《可信计算规范第4部分：可信连接架构》（送审稿）。

2011年10月，根据《可信计算规范第4部分：可信连接架构》（送审稿）的反馈意见完善《可信计算规范第4部分：可信连接架构》标准文本，形成《可信计算规范第4部分：可信连接架构》（报批稿）。

六、主要内容本标准基于已经发布的国际标准ISO/IEC 9798-3:1998/Amd.1:2010《信息技术安全技术实体鉴别第3部分采用数字签名技术的机制补篇1》，引入可信第三方的实体鉴别并采用三元结构，使可信连接架构实现双向的用户身份鉴别和平台鉴别（平台身份鉴别和平台完整性评估）。

本标准规定了可信连接架构的层次、实体、部件、接口、实现流程、评估、隔离和修补以及各个接口的具体实现，解决终端连接到网络的双向用户身份鉴别和平台鉴别问题，实现终端连接到网络的可信网络连接。

标准的主要框架如下：前言1 范围2 规范性引用文件3 术语和定义4 缩略语5 总体描述5.1 概述5.2 实体5.3 层次5.4 部件5.5 接口5.6 实现过程5.7 评估、隔离和修补6 网络访问控制层6.1 概述6.2 网络传输机制6.3 访问控制机制7 可信平台评估层7.1 概述7.2 平台鉴别基础设施8 完整性度量层8.1 概述8.2 IF-IM消息协议9 IF-IMC和IF-IMV9.1 概述9.2 IF-IMC9.3 IF-IMV附录A（规范性附录）基于三元对等鉴别的访问控制方法附录B（资料性附录）完整性管理框架附录C（资料性附录）安全策略管理框架附录D（资料性附录）数字信封七、有关技术问题的说明1 可信连接架构图1 可信连接架构在图1中，存在三个实体：访问请求者（AR ）、访问控制器（AC ）和策略管理器（PM ），从上至下分为三个抽象层：完整性度量层、可信平台评估层和网络访问控制层。

在每个实体中，矩形方框表示实体中的部件。

部件之间存在相应的接口，用带名称的双向虚线箭头表示。

AR 请求访问受保护网络，AC 控制AR 对受保护网络的访问。

PM 对AR 和AC 进行集中管理。

AR 和AC 基于PM 来实现AR 和AC 之间的双向用户身份鉴别和平台鉴别，其中平台鉴别包括平台身份鉴别和平台完整性评估，PM 在用户身份鉴别和平台鉴别过程中充当可信第三方。