大唐高鸿信安与飞腾 可信区块链一体机联合解决方案

     随着区块链技术在交通、金融、政务、制造、能源等行业的应用和推广，各种区块链攻击事件频繁发生，安全威胁手段日益隐蔽，带来的危害愈加严重，深度影响了区块链技术的推广应用进程。区块链技术体系架构采用了较为健壮的安全算法思想构建，可以很好的保证连上数据的安全，但从以区块链攻击事件来看，现有的区块链整套安全体系在数据产生、数据上链等环节存在着严重的安全缺陷。传统以防火墙、入侵监测、防病毒为主的安全防护手段又难以应对新时期的区块链系统安全需求，致使区块链应用行业面临巨大的安全风险，一旦被恶意攻击，可能给国家、社会和企业带来不可估量的影响。

       亟需构建高安全、高可信的区块链业务架构，以满足交通、金融、政务、制造等行业开展数字化建设的迫切要求。为有效应对相关安全挑战，飞腾与大唐高鸿信安（以下简称“高鸿信安”）携手推出可信区块链一体机联合解决方案，以基于飞腾PSPA规范的安全处理器平台为基础，以高鸿信安系列可信安全计算软件为核心组件，应用可信计算和操作系统安全等技术，助力合作伙伴解决从区块链主机硬件到固件、操作系统、业务应用及数据的全生命周期可信安全问题，为交通、金融、政务、制造、能源等行业区块链数字化建设提供端到端和端到云的可信安全支撑。

可信区块链一体机联合解决方案组成如下图示。

1. REE侧安全防护

       平台层面，采用飞腾的安全处理器和支持中国商用安全算法的国产可信计算模块为可信根，确保可信区块链主机信任起点的可信性。高鸿信安可信支撑模块，为实现可信计算功能提供基础的驱动程序、可信启动模块和可信服务模块；操作系统可信增强系统对Linux等主流操作系统进行可信安全增强，增加主动免疫能力，具备等保2.0标准对“安全计算环境”要求的全部安全功能；可信管理平台和可信代理软件具备等保2.0标准对“安全管理中心”要求的可信/安全功能，帮助用户对区块链端到端和端到云系统进行统一可信安全管理；可信运行态保护平台以可信计算技术及安全计算技术等为基础，为区块链应用程序提供高级别可信执行环境TEE。

       基于可信根，结合高鸿信安的固件可信安全方案、可信支撑模块软件、操作系统可信增强系统软件、可信管理平台软件、可信代理软件，保证区块链主机REE侧硬件、固件、OS、程序、关键配置文件及数据（产生、存储、加工、发布、使用、更新、销毁等过程）的完整性和安全性。结合可信管理平台对可信防护内容及过程进行审计管理，确保区块链主机系统及数据全生命周期安全可追溯。

2. TEE侧安全防护

       基于高鸿信安可信增强的TEE SDK套件构建的可信运行态保护平台为区块链业务应用和数据提供可信执行环境TEE。高鸿信安区块链可信应用套件对区块链数据的产生、存储、加工、发布（上链）、使用、更新、销毁等过程进行安全保护，保证数据的完整性和安全性；TEE I/O可信增强模块将区块链关键硬件资源进行划入安全域，为业务应用提供专用安全通道；可信执行环境TEE结合可信计算模块对系统及区块链业务应用涉及的核心密钥、证书和身份验证过程进行物理级安全防护，保证区块链平台核心身份信息安全。

3. 防护效果

      可信区块链一体机联合解决方案，基于可信计算技术、安全计算技术和操作系统安全技术确保区块链主机系统从硬件上电到应用的静态可信启动和动态可信运行，保证区块链数据在产生、存储、加工、发布、使用、更新、销毁等过程的完整性和安全性，从而确保区块链主机系统和业务数据的全时态、全生命周期的可信安全，结合区块链平台系统为交通、金融、政务、制造、能源等行业区块链数字化建设提供高安全、高可信的区块链整体可信安全方案。

某智慧收费系统可信区块链项目

高鸿信安操作系统可信增强系统

高鸿信安可信支撑模块软件

高鸿信安可信代理软件

高鸿信安可信管理平台

高鸿信安区块链可信应用套件

高鸿信安TEE I/O可信增强模块

高鸿信安运行态保护平台