2015 中国互联网安全大会 China Internet Security Conference 可信计算池技术 - - 构建浪潮云计算安全基石 浪潮信息安全事业部 2015.9 蔡一兵 博士 目 录 一 云数据中心基础架构安全挑战 二 可信计算技术及产业现状 中 国 互 联 网 安 全 大 会 2015 China Internet Security Conference 三 可信计算池技术及典型应用 四 浪潮可信计算池工程实践 云数据中心特征 安全 2015 云数据中心 = 云计算服务 + 中国互联网安全大会 China Internet Security Conference 数据中心 + 大数据资源 云数据中心安全威胁 外部攻击 • • • • 网络攻击部队 网络黑客组织 个人职业黑客 攻防爱好者 云用户 云终端 本地接入 广域传输 网络攻击： 台式机 攻击技术 + 社会工程 DAAS 用户 数据中间件 2015 零终端 云通信 业务库 基站 • 被渗透内部人员 • 对单位不满人员 摄像视频 用户 移动接入 视频链路 行业驻地外链路 外单位接入党 社会企业接入 边界接入平台 云数据中心正在成为网络空间的战略攻防目标 行业应用 行业应用 全大 云 运 维 服 务 中 会 心 China Internet Security 专题库Conference 处理中间件 行业应用 存储池 用户 网络攻击： 攻击技术 + 社会工程 SAAS 云服务瘫痪 计算池 行 业 中 国 互 联 网PMI管 安 局域网 云 战略攻击力量 + 战略攻击目标 + 战略网络武器 + 战略打击时机 + 战略打击效果 理系统 手机 内部攻击 PAAS 无线接入 用户 APT攻击: IAAS 网络池 公安局 局域网 用户 笔记本 云服务 服务中间件 大数据泄露 开发中间件 逻辑库 PMI管 理系统 资源库 行业应用 行业应用 …… 云 安 全 服 务 中 心 私有云安全威胁 Tab.1 NSA-IAD’s List-of-Threats to Private-Cloud 2015 中国互联网安全大会 China Internet Security Conference NSA私有云安全评估： 威胁覆盖从底层硬件、中间虚拟化、上层应用 云安全技术挑战 应用安全威胁 传统安全风险并没有减少 应用攻击 层出不穷 虚拟安全威胁 新技术/应用模式引入的风险 虚拟共享 危害更大 2015 中国互联网安全大会 China Internet Security Conference 固件安全威胁 “棱镜门”事件后引发的挑战 硬件攻防 防护空白 NSA针对计算机固件的攻击工具 传统安全威胁日益严重，底层硬件APT网络武器威胁以及计算资源虚 拟化后带来的新型威胁更加难以应对。 云计算安全策略 2015 白安全策略：面向合法者 中国互联网安全大会  系统设计：完整性度量+最小权限+白名单， China Internet Security Conference 如：交换机ACL、可信计算  识别并控制有限的合法者集合 云数据中心安全策略：  白+黑  白是基础，是免疫  硬件/虚拟/应用一体  解决合法者干非法事困难 黑安全策略：面向非法者  攻防对抗：攻击画像+黑名单，如：云查 杀、云WAF等  识别并控制有限的已知攻击集合  解决非法者无法穷尽困难 云基础架构挑战 2015 云计算基础架构演进挑战： 中国互联网安全大会 China Internet Security Conference  业务驱动融合架构  传统架构无法满足需求，基于新技术进行架构变革  弹性按需计算服务  传统安全技术无法应对威胁，基于新安全理念进行云端防御  软件定义数据中心  数据中心融合架构 = 硬件重构 + 软件定义 + 主动免疫  硬件重构基础设施  主动免疫安全架构 目 录 一 云数据中心基础架构安全挑战 二 可信计算技术及产业现状 中 国 互 联 网 安 全 大 会 2015 China Internet Security Conference 三 可信计算池技术及典型应用 四 浪潮可信计算池工程实践 可信计算与传统防护措施的对比 2015 黑安全策略 中国互联网安全大会 China Internet Security Conference 白安全策略 可信计算安全价值 从单机可信到云计算可信   从单机可信到云计 算可信  计算环境完整性保 护 2015 计算架构安全缺陷 ，从单机扩散到云 中国互联网安全大会 主机 China Internet Security Conference  破坏计算环境完整 性，可能是攻击目 的，也可能是攻击 途径 可信计算技术价值：构建基于计算环境完整性保护的计算免疫能力 可信计算概况 信任 信任 信任 • A信任B……D信任E 信任 • A信任E A B C D E 构建信任根->硬件平台->操作系统->上层应用， 计 算 信 任 体 系 2015 中国互联网安全大会 信任链构建 一级认证一级，一级信任一级，把这种信任扩展 信任度验证 通过密码技术验证各级对象的完整性是否受到篡 到整个计算机系统。 改, 信任根设置 China Internet Security Conference 先完整性度量->后完整性验证 可信芯片--基于硬件芯片物理保护及安全密钥管 理机制，构成计算机信任体系信任根； 可信计算概况 可信计算概况 可信计算技术理念 可信芯片 计算机 硬件 系统(主板) 嵌入 2015 可信链 建立 可信链 计算机 软件系统 运行时 BIOS 自检 保护 密钥 木马攻击 China Internet Security Conference OS装载器 OS内核 可信 服务 及可 信应 用 加电 认证控制模块 标识 平台身份 主引导区 中 国 互 联抵御病毒/ 网安全大会 模块内产生一对密钥 可信芯片 权威签发数字证书 保护数据的密钥密封在密码模块内 密码处理模块 表征平台可信身份 • 盗取密钥不可行; • 受保护数据拷不走; 13 识别假 冒平台 中国可信计算创新点 网络层面的三元三层对等架构 芯片层面的主动控制 可信计算自主密码方案 管理 可信应用软件 软件层面的双系统体系结构 主板层面的计算和可信双节点融合 连接 请求 2015 中国互联网安全大会 China Internet 可信软件基 Security Conference 宿主OS （TSB） 可信BIOS 计算部件 TPCM TCM 双体系结构 中国可信计算标准体系 打基础 密码标准：自主密码体系 构主体 四个主体标准：芯片、主板、软件、网络 中国互联网安全大会 2015 China Internet Security Conference 搞配套 四个配套标准：规范结构、服务器、存储、测评 成体系 各种应用相关标准：网站、办公、等保等 可信计算产业发展阶段 二 零 一 五 年 2015 用推广 产业生态 链形成 技术标准体 系建设 规模化应 中国互联网安全大会 China Internet Security Conference 中国可信计算产业生态 2015 中国互联网安全大会 China Internet Security Conference 目 录 一 云数据中心基础架构安全挑战 二 可信计算技术及产业现状 中 国 互 联 网 安 全 大 会 2015 China Internet Security Conference 三 可信计算池技术及典型应用 四 浪潮可信计算池工程实践 从计算池到可信计算池 2015 中国互联网安全大会 China Internet Security Conference 可信计算池系统由可信服务器集群、虚拟化软件和计算池可信管控软件组成， 池化管理服务器集群的CPU、内存、硬盘等计算资源，对外按租户要求提供具有 可信免疫能力的虚拟可信服务器。 可信的云架构示意图 可 信 应 用 可 信 计 算 池 数据位置控制 可信云访问控制 合规性审计 2015 …… 中国互联网安全大会 China Internet Security Conference