大唐高鸿信安与飞腾 安全计算联合解决方案

    随着云计算、物联网、大数据、人工智能和区块链等新兴技术的发展和应用，各种网络安全事故频繁发生，同时安全威胁手段日益隐蔽，带来的危害则愈加严重。传统的以防火墙、入侵监测、防病毒为主的安全防护手段难以应对新时期的安全需求。政务、能源、交通、金融等行业的关键信息基础设施正面临着巨大的安全风险，其一旦被恶意攻破，可能给国家、社会和人民带来不可估量的影响。

    相关行业亟需建设更加安全可信、可控的业务系统，来满足网络安全保护建设的要求。针对当前面临的安全挑战，大唐高鸿信安与飞腾推出安全计算联合解决方案，方案的核心组件为支持飞腾PSPA技术的处理器、大唐高鸿信安的安全计算产品（可信支撑模块、操作系统可信增强系统、可信安全管理套件、运行态保护平台、可信软件版权保护系统等）和国产可信计算模块等。基于飞腾PSPA技术的处理器平台，通过可信计算、操作系统可信增强和安全计算等技术，可以赋能上下游合作伙伴一同解决行业从设备硬件到固件、操作系统以及业务应用的整体可信安全问题。为政务、能源、交通、金融等关键信息基础设施行业，提供端到端可信安全计算解决方案。

    本安全计算方案构成如下图所示，网络、边界和计算等物理设备采用飞腾PSPA技术的处理器和支持中国安全算法SMx的国产可信计算模块，确保了信任起点的可信性；结合可信支撑模块，可主动校验业务系统的软硬件的完整性，确保业务系统始终运行在一个安全可信的环境上；其上运行高鸿信安的操作系统可信增强系统以增强操作系统的主动免疫能力；运用运行态保护平台、可信软件版权保护系统等安全计算产品，为业务数据构建安全的运行环境，确保重要数据始终处于安全状态；并通过可信安全管理套件提供对端到端的设备的统一可信安全管理能力。

图1 安全计算解决方案

1. 广泛的设备支持

    本方案支持对包括计算设备（如服务器、终端等）、边界设备（如网闸、防火墙等）及通信设备（如路由器、交换机等）等各类设备的安全可信增强及管理。

2. 可信支撑模块

    可信支撑模块，支持多种形态的可信根，支持中国商用安全算法SMx，为实现可信计算功能提供基础的驱动程序、可信服务模块和可信启动模块，为上层应用提供接口和服务，为可信设备实施各种可信计算功能提供基础支撑。提供可信启动功能，能够在系统启动阶段依次对系统引导程序和系统程序进行可信验证，根据验证结果并结合可信策略阻止系统的启动，确保系统的安全可控。

3. 操作系统可信增强系统

    操作系统可信增强系统提供多种安装部署方式，既支持直接安装部署，也支持以模块形式对Linux等主流操作系统进行可信安全增强，为用户业务应用提供安全可信的运行环境，主动有效应对各种新型病毒、木马和0Day漏洞的攻击，保障系统平台和应用程序的持续安全。具备等保2.0标准对”安全计算环境”要求的安全功能，如可信验证、身份鉴别、访问控制、安全审计、入侵防范、可信验证、数据完整性和保密性等，为用户合规提供支撑。

4. 可信安全管理套件

    可信安全管理套件针对(云)数据中心可信安全管理需求设计研发，具备等保2.0标准对”安全管理中心”要求的可信安全功能，支持中国商用安全算法SMx，将可信验证、软硬件完整性监控与可信配置管理相结合，通过监控、分析、报告等方式，帮助用户直观、高效地对数据中心信息系统进行统一安全管理。

    可信安全管理套件以可信计算技术为基础，结合操作系统可信增强系统的服务和接口支持，对数据中心通信网络、区域边界、计算环境等端到端设备，Linux、Windows等操作系统，KVM等VMM进行统一可信安全管理；支持对各种可信设备进行可信验证策略配置与监控，支持对操作系统进行安全策略配置和管理，保证平台级可信安全及关键数据安全。

5. 可信运行态保护平台

    可信运行态保护平台以可信计算技术及飞腾可信执行环境（TEE）技术等为基础，为应用程序提供安全可信的运行环境，有效保护应用程序运行阶段代码和数据的安全。

6. 可信软件版权保护系统

    可信软件版权保护系统综合应用可信计算及飞腾可信执行环境（TEE）等技术，实现对目标软件的可信加壳保护，对目标软件重要数据、文件的安全存储，以及软件运行态内存重要数据进行全时保护，全方位保护目标软件的安全。

7. 行业应用解决方案

    行业应用解决方案融合安全计算技术与5G、云计算、工业互联网、物联网、人工智能、区块链、大数据等新兴技术，利用安全计算在身份可信、网络可信、实体可信等方面的技术优势，与各种应用在运行环境、网络连接、端到端认证等方面的安全需求相结合，通过与产业链上下游合作伙伴的协同合作，共同打造的具有安全可信属性符合行业合规性的应用，为用户业务创新和产业发展提供安全助力。

    方案实施效果

1. 安全合规

    方案可应用于等保2.0标准涉及的安全计算环境、安全通信网络、安全区域边界和安全管理中心等设备或信息系统，实现“可信验证”等标准要求的可信安全功能，为用户设备或信息系统安全合规提供支撑。

2. 稳定高效

    方案有效的将飞腾处理器的内生安全技术与成熟的可信计算技术结合，优化处理器资源占用，保证了系统的稳定高效。

3. 应用广泛

    方案提供标准接口和工具，可应用于5G、云计算、大数据、工业互联网、物联网、人工智能、区块链等特定行业应用领域，实现内生安全和主动防御功能，可结合传统的防火墙、入侵检测、防病毒等安全防护机制提供更加全面的安全保护方案，有效应对未知威胁。

    CTRUST TSM (TRUSTED SUPPORT MODULE)可信支撑模块

    CTRUST HTE (HOST TRUSTED ENHANCEMENT) 操作系统可信增强系统

    CTRUST RPP (Runtime Protection Platform)可信运行态保护平台

    CTRUST SRM (SOFTWARE RIGHT MANAGEMENT)可信软件版权保护系统

    CTRUST TMS (TRUSTED MANAGEMENT SUITE) 可信安全管理套件