可信技术及其应用

《可信技术及其应用》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、可信技术及其应用11引言综观全球信息产业，安全问题已经引发了用户群体乃至行业厂簡的普遍性忧虑和不满,传统的安全保护方法无论从构架还是从强度上來看己经不能完全满足要求。日益复杂的计算环境中层出不穷的安全威胁使得可信技术以及相似概念备受推崇。本文首先阐述可信计算所遵循的TCG(TrustedComputingGnmp)规范与传统安全方案的区别，然后对其核心部件TPM(TrustedPlatformModule)进行详细的剖析，包括它的结构、原理和工作流程。本文对TCG及TPM的详细介绍主要为了下一步工作一一即对可信存储

2、的研究，所以本文还阐述了TCG针对存储方面的有关协议，然后又通过儿个实例介绍了国内外可信技术应用的现状。在本文的最后，总结了可信技术的前景和仍然存在的问题，为进一步对可信存储的研究做好了铺垫。2TCG(TrustedComputingGroup)规范与传统安全方案的区别TCG规范与传统安全方案的区别主要体现在理念和各自采取的主要技术两方面上。2.1理念上的区别传统安全解决方案往往侧重于先防外后防内、先防服务设施后防终端设施，而可信计算则反其道而行Z,首先保证所有终端的安全性，也即通过确保安全的组件来组建更人的安全系

3、统。可信计算平台在更底层进行更高级别防护，通过可信赖的硕件对软件层次的攻击进行保护可以使用户获得更强的保护能力和选择空I'可。2.2主要技术区别传统的安全保护基本是以软件为基础附以密钥技术，事实证明这种保护并不是非常可靠而且存在着被篡改的可能性。可信计算平台将加密、解密、认证等基本的安全功能写入硬件芯片，并确保芯片中的信息不能在外部通过软件随意获取。在这种情况下除非将硬件芯片从系统屮移除，否则理论上是无法突破这层防护的，这也是构建可信的计算机设备以及建立可信的计算机通信的基础。在硬件层执行保护的另外一个优势是能够获

4、得独立于软件坏境的安全保护，这使得可以设计出具有更高安全限制能力的硬件系统。通过系统硬件执行相对基础和底层的安全功能，能保证一些软件层的非法访问和恶意操作无法完成，同时这也为生产更安全的软件系统提供了支持。所以，相比之下，可信计算平台可以为建设安全体系提供更加完善的底层基础设施，并为需要高安全级别的用户提供更强有力的解决方案。3.可信系统中的关键技术TPM(TrustedPlatformModule)上文提到可信计算的主要优势在于它的安全方案是由硬件完成的，这个硬件也就是可信系统中的核心部件TPM。根据TCG规范，

5、可信系统几乎所有的关键技术都体现在TPM(TrustedPlatformModule)之屮，可信子系统的功能主要由TPM完成，它是可信计算平台的计算模块，在可信子系统中起核心的控制作用，是具有密码运算能力和存储能力的芯片。3.1TPM的主要功能TPM提供两个方面的功能。首先，它应能够衡量在这个平台上的软件环境的状态并且能够把数据封闭给一个特泄的软件环境，应提供状态报告信息使别的实体能够据此推演在此平台上的计算环境的状态是否可接受，并且还能够与此平台执行某个数据交换计划。笫二,如果这个数据交换涉及到存放在本平台上的敏

6、感数据，这个实体能够确保这些数据在秘密的形式下被使用，可信子系统必须提供一种方式去加密用于密码方面的关键信息（如密钥），并在这些关键信息被解密前确认软件环境是可信任的。3.2TPM的体系结构TPM作为可信计算平台的核心安全控制和运算部件，它的工作要先于操作系统和BIOS,不可能使用计算机的内存和外存，因此必须内部实现一些公开的安全算法，以便于与其它部件的接口标准化，并提供内部一些安全操作中的密码运算。所以，一个TPM产品至少需要内部实现-个基本的密码算法集合，根据TCPA的技术规范，这个集合至少应该包括RSA,SH

7、A-1,HMAC三种算法，也可以包含更多的算法如DSA或ECC。其中RSA主要用于加密和签名认证，SHA-1和HMAC是两种生成报文摘要的HASH算法。总体來讲，TPM的体系结构屮包括的部件如图1所示。1/0密码协处理器密钥生成器HMAC弓

8、擎随机数发生器SHA-1弓

9、擎电源检测选顶控制器执行部件非挥发性存储帑挥发性存储翡通信总线圉1TPM的体系结构图1/0部件负责管理通信总线，它的任务包括执行内部总线和外部总线Z间进行转换的通信协议，将消息发送到合适的部件，执行对TPM进行操作的安全策略。TPM中与密码运算相关的

10、操作有非对称密码运算RSA密钥生成、加密解密、HASH运算和随机数生成等，一般情况下，TPM中非对称密码运算功能仅供内部加密和签名认证使用，不对外提供服务函数接口。根据最新的技术要求，TPM中RSA算法使用的密钥长度至少为2048位RSA密傍。密码协处理器负责RSA运算的实现，它内含一个执行运算的RSA引擎，提供对内对外的数字签名功能，内部存储和传输数据的加