采用可信计算技术为政务云平台构建一体化防护模型

来源:用户上传      作者:王彩学 季瑞齐 冯丽

　　摘要：可信计算技术为全网络、全系统构建一体化、全局化防护模型，是“互联网+”时代最具发展潜力的安全技术之一。通过该技术，为政务云平台方、客户方两方，物理层、实体设备层、虚拟设备层、虚拟化平台管理层、应用层、进程层、服务层、人员层八个层面添加可信凭证。实现“可信能通信，不可信不通信”的安全通信架构，大幅度提升政务云平台安全。
　　关键词：可信计算;政务云平台;网络安全
　　作为网络安全代表技术之一，可信计算技术与其他安全技术存在很大的不同。诸如防火墙技术、入侵检测技术、防病毒技术、密码技术、身份鉴别技术、访问控制技术等经典安全技术，往往是关注某一个安全点，或者安全层，不能做到全局覆盖。不能全局覆盖，则安全防护体系有缺口，容易被不法分子利用，导致安全防护措施失效。针对安全缺口进行攻击，已经成为不法分子惯用的手段，给信息系统和网络造成极大破坏。
　　可信计算技术关注的不是安全点和安全面，而是为整个网络系统构建一体化、全局化安全防护模型，覆盖网络的方方面面，能有效杜绝安全缺口，做到防患于未然。可信计算技术是“互联网+”时代最有发展前途的安全技术之一。下面以政务云平台，这一“互联网+”代表技术为例，详细说明可信计算技术的应用前景。本文先简要介绍可信计算技术和政务云平台的基本特性，之后再研究将可信计算技术嵌入政务云平台的方法。
　　1 可信计算技术特性
　　可信计算技术，是密码技术的一种应用。采用密码技术是为了做身份认证，防止身份数据篡改和冒用。可信计算的实现手段可以分为硬件形式和软件形式。硬件形式即将可信计算内容写入硬件芯片，是可信认证的传统实现形式。软件形式是通过编写代码，将可信计算内容写入程序，是可信认证的新实现形式。在芯片一级实现可信计算，需要复杂的制造工艺，同时芯片数据一次性写入，不容易更改，呈现费力不讨好的局面。同时随着信息技术的发展，出现大量可编程芯片，硬件和软件的边界逐渐模糊。所以，目前更多是以软件编程的形式实现可信计算。
　　按照时效性，可以将可信计算分为静态可信和动态可信。差别是前者永久有效。后者存在有效期，超出有效期，可信失效。同时可以根据安全状况，提前终止可信有效期。相比之下，后者灵活性强，安全性高。按照粒度，可以将可信计算划分为物理级可信、网络级可信、系统级可信、主机级可信、服务级可信、进程级可信、用户级可信、文件级可信、数据库库级可信、数据库表级可信等等。同时还可以根据业务需求和编程手段实现新粒度的可信计算。
　　可信计算需要认证凭证，能够提供合法凭证的主体或客体，才是合法的主客体。原则上说，只要是能作为身份证明的、全局唯一的元素，都能作为认证凭证。诸如，设备硬件MAC地址、CA数字证书、服务进程ID、全局唯一用户名、文件名、主机名、数据库名等。设备硬件MAC地址、CA数字证书分别作为全球唯一的标识符和专业的身份认证设备，具备较高的安全性，是认证凭证首选。
　　可信认证有基点，获得该基点认可的软硬件，属于可信的软硬件。获得可信认证的软硬件，可以继续认可其余软硬件，逐渐形成可信链条，该链条被称为可信链。为了对可信基点和可信链进行管理，需要成立专门的管理机构，这个机构就被称为可信管理中心。
　　2 政务云平台特性
　　政务云平台是云平台的一种，特点是云平台上面部署的都是政务系统。作为云平台的子集，政务云平台具备云平台的一般特征，同时具有政务系统专有的特性。
　　政务云平台存在大量共享网络设备和安全设备，可以节省大量网络资源。政务云平台不同客户不同系统的部署环境基本一致，方便管理。政务云平台上部署大量信息系统，集中度高，便于集中预警和防护。政务云平台采用虚拟化设备部署客户系统，资源调度灵活。政务云配备专业化的运维团队和安全团队，专业性强。
　　政务系统属于国民基础设施，事关国计民生，重要程度高。如果发生故障，将引发社会动荡和恐慌。
　　3 可信计算技术切入政务云平台的操作方法
　　依据上文对可信计算技术的分析，采用软件编程的方式实现动态可信，通过设备硬件MAC地址、CA數字证书作为可信凭证，为政务云平台构建可信计算安全防护体系。对于人员，可信凭证定为CA证书;支持CA证书的设备，可信凭证定为CA证书，不支持CA证书的设备，可信凭证定为MAC地址。强调一点：政务云平台存在大量虚拟网络设备、安全设备、服务器和虚拟化管理平台，这些虚拟设备和平台同样要做可信认证。
　　可信认证的粒度，是个很值得探究的问题。由于可信计算技术处于推广初期，很难一步到位，建议云平台方可信粒度定为较容易实现的设备级和人员级。除了云平台方，客户方同样是云平台的重要组成部分。客户是否愿意在自身的应用系统当中嵌入可信计算技术，由客户自身决定，政务云平台方无权决定。但是，政务云平台方要为客户提供相关功能，供客户选择。根据云平台方和客户方职责的不同，分别绘制可信计算部署图。
　　云平台方可信计算体系分为物理机房层、实体设备层、虚拟化管理平台层、虚拟设备层和操作人员层。为了对这五个安全层进行统一，或者说全局化管理，成立专门的可信计算管理部门--可信计算中心。该中心负责发放可信CA证书或对设备可信MAC地址进行注册。对于机房，可信计算中心对门禁系统进行可信注册。
　　云客户方可信计算体系分为基础资源层、进程和服务层、终端层，共三层。其中比较特殊的是第二层，进程和服务层。该层重要性最高，可信粒度也随之更细，不能通过CA证书和MAC地址注册进行可信标识，而要通过全局唯一ID进行标识。第三层终端层包含人员和业务终端两类，这是由于政务系统的特殊性决定的。政务系统存在大量自动化终端，这些终端是不法分子入侵的重要途径，所以要纳入可信计算范围。
　　4 政务云平台可信计算最终拓扑结构
　　可信计算的典型特征之一，就是全局性防护和一体化管理。客户方可信计算中心需要获得平台方可信计算中心的可信凭证，才允许接入政务云平台。可信凭证建议采用CA证书。
　　5 总结
　　事务是持续运动、变化和发展的，计算机技术亦不例外。可信计算技术与其诞生之初，已经发生了显著的变化，而且这种变化会持续进行，永远不终止。我们只能时刻保持警惕，密切关注，深入学习，才可保证不被时代抛弃。
　　参考文献：
　　[1] 刘千仞，薛淼，任梦璇，等.基于区块链的数据共享与可信计算应用与研究[J].邮电设计技术，2020（11）：18-23.
　　[2] 尚文利，邢祥宇，刘贤达，等.基于可信计算的全舰计算环境安全增强研究[J].舰船科学技术，2020，42（13）：125-129.
　　[3] 高建军，闫文，石郡儒，等.星载操作系统可信计算与度量认证技术研究[J].西北工业大学学报，2020，38（5）：1063-1067.
　　[4] 岳阳，康利刚，李理，等.基于可信计算技术的抗恶意代码攻击安全结构框架设计[J].通信技术，2020，53（5）：1250-1255.
　　【通联编辑：唐一东】
转载注明来源:https://www.xzbu.com/8/view-15393118.htm