ICS35. 040 L 80 中 华 人 民 共 和 国 国 家 标 准 GB/T 36639—2018 信息安全技术 可信计算规范 服务器可信支撑平台 I n f o rma t i ons e c u r i t e chno l o u s t e dc ompu t i ngs c i f i c a t i on— yt gy—Tr pe Tr u s t e ds uppo r tp l a t f o rmf o rs e r v e r 2018 09 17 发布 2019 04 01 实施 国家市场监督管理总局 中国国家标准化管理委员会 发 布 GB/T 36639—2018 目 次 前言 ………………………………………………………………………………………………………… Ⅰ 1 范围 ……………………………………………………………………………………………………… 1 2 规范性引用文件 ………………………………………………………………………………………… 1 3 术语和定义、缩略语 ……………………………………………………………………………………… 1 4 组成结构 ………………………………………………………………………………………………… 2 4. 1 服务器可信支撑平台组成 ………………………………………………………………………… 2 4. 2 服务器可信支撑平台与服务器硬件系统的关系 ………………………………………………… 3 4. 3 服务器可信支撑平台与服务器操作系统的关系 ………………………………………………… 3 5 总体要求 ………………………………………………………………………………………………… 4 5. 1 概述 ………………………………………………………………………………………………… 4 5. 2 物理可信根 ………………………………………………………………………………………… 4 5. 3 虚拟可信根 ………………………………………………………………………………………… 4 5. 4 可信基础组件 ……………………………………………………………………………………… 4 5. 5 完整性度量、存储及报告 …………………………………………………………………………… 4 5. 6 密码算法 …………………………………………………………………………………………… 4 6 服务器硬件系统可信功能要求 ………………………………………………………………………… 5 6. 1 信任链建立流程 …………………………………………………………………………………… 5 6. 2 度量要求 …………………………………………………………………………………………… 5 7 虚拟可信组件 …………………………………………………………………………………………… 6 7. 1 对服务器硬件系统的要求 ………………………………………………………………………… 6 7. 2 虚拟可信根 ………………………………………………………………………………………… 6 7. 3 虚拟可信根管理器 ………………………………………………………………………………… 8 7. 4 可信迁移 …………………………………………………………………………………………… 9 7. 5 远程证明 …………………………………………………………………………………………… 9 8 虚拟可信根可信迁移 …………………………………………………………………………………… 9 8. 1 概述 ………………………………………………………………………………………………… 9 8. 2 可信迁移流程 ……………………………………………………………………………………… 9 附录 A (规范性附录) 服务器时序控制 ………………………………………………………………… 11 A. 1 概述 ……………………………………………………………………………………………… 11 A. 2 服务器主板上电时序 …………………………………………………………………………… 11 A. 3 服务器主板复位时序 …………………………………………………………………………… 12 A. 4 服务器 OMM 复位时序 ………………………………………………………………………… 12 附录 B (资料性附录) 虚拟可信度量根 ………………………………………………………………… 13 参考文献 …………………………………………………………………………………………………… 14 GB/T 36639—2018 前 言 本标准按照 GB/T1. 1—2009 给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息安全标准化技术委员会( SAC/TC260)提出并归口。 本标准主要起草单位:浪潮电子信息产业股份有限公司、曙光信息 产 业(北 京)有 限 公 司、中 电 科 技 (北京)有限公司、联想(北京)有限公司、中国船舶重工集团公司第七〇九研究所、华为技术有限公司、北 京工业大学、阿里云计算有限公司、上海兆芯集成电路有限公司、南 京 百 敖 软 件 有 限 公 司、武 汉 大 学、大 唐高鸿信安(浙江)信息科技有限公司、北京新云东方系统科技有限责任公司、北京可信华泰信息技术有 限公司、华大半导体有限公司、中国电子技术标准化研究院、全球能源互联网研究院有限公司。 本标准主要起草人:刘刚、吴 保 锡、黄 家 明、张 考 华、肖 思 莹、杜 克 宏、徐 明 迪、申 峰、付 颖 芳、李 凯、 赵江、张东、公维锋、孙永博、王冠、石源、于昇、宁振虎、沈楚楚、王惠莅、赵保华、刘冰、曹永 超、陈 小 春、 高瞻、张建标、胡俊、孙瑜、徐瑞雪、赵波、余发江、黄坚会、王志皓、安宁钰、薛刚汝、李业旺、赵祯龙、刘广庆、 郝庄严、王涛、孙亮、肖鹏、周斌奇。 Ⅰ GB/T 36639—2018 信息安全技术 可信计算规范 服务器可信支撑平台 1 范围 本标准规定了服务器 可 信 支 撑 平 台 的 功 能 和 安 全 性 要 求,并 描 述 了 服 务 器 可 信 支 撑 平 台 的 组 成 结构。 本标准适用于可信计算体系下服务器可信支撑平台的设计、生产、集成、管理和测试。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引 用 文 件,仅 注 日 期 的 版 本 适 用 于 本 文 件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。 GB/T29827—2013 信息安全技术 GB/T29829—2013 信息安全技术 可信计算规范 可信平台主板功能接口 可信计算密码支撑平台功能与接口规范 3 术语和定义、缩略语 3. 1 术语和定义 GB/T29827—2013、 GB/T29829—2013 界定的以及下列术语和定义适用于本文件。 3. 1. 1 服务器可信支撑平台 t r u s t e ds uppo r tp l a t f o rmf o rs e r v e r 构建在服务器硬件系统或者服务器硬件系统和操作系统的组合 中,用 于 实 现 可 信 计 算 功 能 的 支 撑 系统。 注:在虚拟化环境中,操作系统中还应包含虚拟机监控器。 3. 1. 2 物理可信根 phy s i c a lr o o to ft r u s t 用于为服务器可信支撑平台提供完整性度量、安全存储、可信 报 告 以 及 密 码 服 务 等 功 能 的 模 块,通 常由硬件或硬件和固件组成。 3. 1. 3 虚拟可信根 v i r t ua lr o o to ft r u s t 服务器可信支撑平台中为虚拟机提供的符合物理可信根功能要求、并具备迁移特性的组件。 3. 1. 4 虚拟可信组件 v i r t ua lt r u s t e dc omponen t 操作系统中为虚拟机提供可信功能支撑的所有程序和数据的集合,包括虚拟可信根、虚拟可信根管 理器和可信迁移组件等。 3. 1. 5 可信基础组件 t r u s t e dba s i cc ompone n t 为虚拟可信组件 及 服 务 器 可 信 支 撑 平 台 外 部 实 体 提 供 访 问 和 管 理 物 理 可 信 根 能 力 的 软 件 模 块 统称。 注:例如,TCM 服务模块等。 1 GB/T 36639—2018 3. 1. 6 虚拟可信根管理器 mana e rf o rv i r t ua lr o o to ft r u s t g 位于虚拟可信组件中,用于管理虚拟可信根生命周期,并保证虚拟可信根实例与虚拟机一一对应关 系的组件。 注:虚拟可信根实例是虚拟机生命周期内,虚拟可信根为该虚拟机提供可信服务的实体。 3. 1. 7 虚拟可信度量根 v i r t ua lr oo to ft r u s tf o rme a s u r eme n t 位于虚拟可信根中,用于可靠进行完整性度量的模块,是虚拟机完整性度量的起始点。 3. 1. 8 带外管理模块 ou t o f bandmana emen tmodu l e g 是服务器硬件系统上用于监控主板各功能部件状态的独立管理单元。 注:例如, x86 平台的 BMC、 POWER 平台的 FSP 等。 3. 1. 9 虚拟机监控器 v i r t ua lma ch i nemon i t o r 一种管理和虚拟化下层服务器硬件系统的软件,允许多个操作系统在隔离的环境中同时运行,并共 享服务器硬件系统资源。 注:也可使用 Hype r v i s o r,是相同概念。 3. 2 缩略语 下列缩略语适用于本文件。 BMC:基板管理控制器( ba s eboa r dmanagemen tc on t r o l l e r) EK:背书密钥( endo r s emen tkey) FSP:弹性服务处理器( f l ex i b l es e r v i c ep r oc e s s o r) NVRAM:非易失性存储空间( nonvo l a t i l eRAM) OMM:带外管理模块( ou t o f bandmanagemen tmodu l e) OMM ROM:带外管理模块非易失存储空间( ou t o f -bandmanagemen tmodu l er e adon l r y memo y) TCM:可信密码模块( t rus t edc r t og r aphy modu l e) yp