预览加载中，请您耐心等待几秒...

基于可信计算的工业控制安全体系架构研究_张向宏.pdf

预览
1/10
2/10
3/10
4/10
5/10
6/10
7/10
8/10
9/10
10/10

亲，该文档总共11页，到这已经超出免费预览范围，如果喜欢就直接下载吧～

下载提示 文本预览

如果您无法下载资料，请参考说明：

1、部分资料下载需要金币，请确保您的账户上有足够的金币

2、已购买过的文档，再次下载不重复扣费

3、资料包下载后请先用软件解压，在使用对应软件打开

专家之声ExpertOpinion 基于可信计算的工业控制 安全体系架构研究 张向宏耿贵宁/中国信息安全研究院 张向宏经济学博士，高级工程师、高级经济师，现任中国信息安全研究院副院 长，享受国务院政府特殊津贴。历任中国电子信息产业发展研究院副院长、中国 软件评测中心常务副主任等职。兼任北京化工大学兼职教授、中国软件行业协会 过程改进分会副理事长、全国信息技术标准化技术委员会SOA标准工作组副组 长、科技部国家文化科技创新支撑计划总体组专家、数字北京专家组委员等。 随着工业信息化进程的快速推进，工业控制系对“信任链”上的转换节点进行“信任度量”。即 统脆弱的安全状况以及日益严重的攻击威胁，已经从初始的“信任根”出发，在平台环境进行每一次 引起了世界各国的高度重视，尤其是2010年网络超转换时，这种信任都可以通过“信任链”传递的方 级武器“震网（Stuxnet）”病毒的出现，更促使各式保持下去不被破坏，那么平台计算环境就始终是 国将保证关键基础设施安全作为国家安全的重要议可信的。如可信PC就是以TPM为信任根，建立了 题，许多国家甚至将工业控制安全提升到“国家安BIOSBootBlockBIOSOSLoaderOS的信任链， 全战略”的高度，并在政策、标准、技术、方案等将信任传递给了操作系统。而可信网络就是将这种 方面展开了积极应对。我国政府也对工业控制系统信任传递到网络系统，一级认证一级，一级信任一 安全高度重视，2011年10月工信部印发通知，要求级，从而把信任扩展到整个网络环境。 各级政府和国有大型企业切实加强工业控制系统的可信计算平台通常具有认证功能、度量功能、 信息安全管理。公安部负责开展的《信息安全等级证明功能三项基本功能。认证功能采用硬件随机 保护》工作，国内重要行业的工业控制系统普遍被数产生器在芯片内产生密钥对，以及公钥签名、 定为三级以上保护级。科技部、发改委等国家主管验证、加密和解密等方法，通过在芯片中生成私 部门在政策和科研层面上也在积极部署工业控制系钥，并在其要传送至芯片外部时进行加密等方法， 统的安全保障工作。TPM可以保证恶意软件不能访问密钥。度量功能是 指完整性度量，在可信引导过程中，引导序列中配 一、可信计算概述置信息的散列值被存储到芯片中的平台配置寄存器 （PCR）中，平台启动后，如果病毒在OS中留有后 （一）可信计算的原理和功能 门，由于PCR值无法匹配，则不能解封，从而保证 可信计算的核心思想，就是构造“信任链”和数据不被恶意代码访问。证明功能是指收集提交给 4|保密科学技术|2014年8月 ExpertOpinion专家之声 PCR的所有软件度量的列表，然后用只有TPM知道固产品。同方公司研制了支持完整TCM信任链校验 的私钥进行签名，这样，一个可信的客户端就可以的EFI固件，提供对系统配置的完整性验证。另外， 向第三方证明其软件没有危险。同方公司还研制出了基于TCM安全芯片的安全技术 平台TST2.0，对系统进行安全加固。联想公司也推 （二）可信计算的应用 出了基于TCM的安全加固服务器，即T168G7塔式 随着信息技术的发展，多种不同形态的可信服务器，可以系统化地解决平台恶意代码防护、可 计算平台相继出现，如可信计算机、可信服务器、信身份标识及敏感数据保护等关键问题。 可信移动平台、可信嵌入设备等。可信计算应用也可信云服务应用。基于可信计算技术构建可 逐步向各行业、各领域全面渗透，在数据保护、安信云，主要是利用信任链构建、完整性度量、远程 全认证、系统安全加固、可信云服务、可信移动设证明及可信网络接入等可信计算机制，为云服务端 备、可信工业控制设备等方面，可信计算已取得广提供可信运行环境。可信云既能为云服务用户提供 泛应用。云环境的可信证明，也可以验证使用云服务的用户 数据保护应用。可信计算平台能提供比基于平台可信性。马里兰大学提出的构建云设施信任环 软件加密机制更强的数据保护方案。微软推出的境方案，是通过让云用户参与可信云环境的构建过 WindowsBitlocker机制就是一种基于可信计算平台程，建立起云用户与云服务之间的信任。Santos等 的全面加密方案，能够有效防范操作系统数据、用人提出了可信云计算平台（TCCP），利用嵌入TPM 户应用数据和内存镜像等被篡改和破坏。联想公司安全芯片的云服务平台提供的可信服务，确保云环 推出的U盘无忧、同方公司生产的安全网盘（数据境中用户数据和应用的安全性。云安全联盟正在实 保险箱）等，都是基于自主安全芯片TCM的数据保施可信云计划（TCI），期望利用基于硬件安全芯 护应用系统和工具。片的可信计算技术，增强对云中设备的身份认证和 安全认证应用。基于可信计算平台的安全认访问控制。中电网际公司联合可信华泰公司正在开 证，能够同