CN101281570A

CN101281570A - 一种可信计算系统

Info

Publication number: CN101281570A
Application number: CNA2008101131279A
Authority: CN
Inventors: 张兴; 毛军捷; 姜广智; 刘贤刚; 孙瑜; 庄俊玺; 李萌萌; 李瑜
Original assignee: Beijing University of Technology
Current assignee: Beijing University of Technology
Priority date: 2008-05-28
Filing date: 2008-05-28
Publication date: 2008-10-08
Anticipated expiration: 2028-05-28
Also published as: CN101281570B

Abstract

一种可信计算系统属于信息安全领域。其特征在于：设置安全控制器，该安全控制器通过通讯线连接到系统主板南桥控制器上，再通过通信线将BOOT ROM连接到安全控制器上；该安全控制器还分别通过通讯线连接可信安全模块以及主板外围设备；所述安全控制器包括总线地址映射单元、安全隔离单元、策略执行单元、固化策略单元和动态策略单元组成。通过该方案中的可信安全模块和安全控制器的协助，提供了一种对主板外围设备的访问控制策略，为BIOS代码管理操作提供了实时保护的方法，同时也提供了对主板外围设备通讯数据的实时病毒检测功能。

Description

一种可信计算系统

技术领域

本发明涉及信息安全领域，尤其涉及一种可信计算系统硬件平台实现及对硬件平台安全可信保护的方法。

背景技术

近些年来可信计算已经成为信息安全领域一个新的发展方向，越来越多的引起相关研究单位的重视。可信计算系统的主要以可信安全芯片为基础，建立一个用户可以预期的安全计算环境，保证计算软硬件资源会被恶意篡改。

可信计算组织(Trusted Computing Group，TCG)最早提出并指定了可信计算行业标准。通过在主板上引入安全芯片来逐级建立信任链，并保证信任链的安全，最后在计算机硬件系统上构建一个安全可信的工作环境。

TCG组织已经相继推出了两个版本的可信计算规范，其中规定了可信安全芯片的硬件组成结构、芯片内部功能、芯片指令接口、芯片硬件接口、芯片链接到主板的方式、芯片的使用方式等相关内容。

现有的可信计算系统平台中，TPM、主板外围设备和BOOT ROM被安置在系统设备控制器的总线上，作为从设备，由该系统设备控制器操作。因此，TPM无法在CPU执行BIOS代码后，通过系统设备控制器对主板外围设备和BOOT ROM进行保护，也就无法对该系统设备控制器芯片自身的启动及该启动操作之前的动作提供可信的计算环境；并且，TCG规范中只提供了操作系统层以下的可信传递流程，但并未给出信任传递的具体实现方法，以及对系统硬件平台的安全要求和具体实现方法，且无法为OS层以上的计算提供可信的计算环境。

此前，目前有两种保护BIOS代码的方法，一是将BIOS启动代码放入到TPM模块内部、二是将BIOS代码固化到ROM只读存储体中。方法一：好处是保证了BIOS代码和系统平台的安全。缺点没有考虑到实际上BIOS代码的容量大，做到TPM芯片内部费用无法接受；方法二：好处是保证了BIOS代码和系统平台的安全。缺点没有考虑到实际上BIOS代码的实时更新的需要。

发明内容

本发明的目的在于提供一种可信计算系统硬件平台实现及对主板外围设备的访问控制和对BIOS代码的安全保护策略。

为达到上述目的，本发明的技术方案具体是这样实现的：

一种可信计算系统，包括主板及主板外围设备，主板包括可信安全模块、中央处理器CPU、主板南桥设备控制器(认为在AMD构架下指的是设备控制器)，BOOT ROM；

所述可信安全模块用于，不可篡改地存储核心可信度量根、可信存储根、可信报告根，对外围设备和BOOT ROM关键代码进行完整性度量与读写保护，对安全控制器和外围设备的控制功能；

所述CPU用于，接收到可信安全模块对BOOT ROM关键代码度量完成的指示后，加载并执行BOOT ROM中的初始化和启动代码；

主板外围设备用于，接受安全控制器和可信安全模块的权限访问控制，针对不同的用户提供不同的服务，同时还用于接受安全控制器和可信安全模块的特殊病毒特征检查、实时通讯数据监听和完整性特征值采样；

所述BOOT ROM用于，存储可信计算系统的初始化和启动代码；

其特征在于：设置安全控制器，该安全控制器通过通讯线连接到系统主板南桥控制器上，再通过通信线将BOOT ROM连接到安全控制器上；该安全控制器还分别通过通讯线连接可信安全模块以及主板外围设备；

所述安全控制器包括总线地址映射单元、安全隔离单元、策略执行单元、固化策略单元和动态策略单元组成；

所述安全控制器中的总线地址映射单元，用于完成南桥设备地址总线和主板外围设备总线之间的地址映射；

所述安全控制器中的安全隔离单元，用于隔离计算机南桥总线和主板外围设备总线，同时还具有对总线上数据的实时采样功能；安全隔离单元和总线地址映射单元之间通过两组总线连接，分别用于连接计算机的南桥总线端口和用于连接主板上各外围设备的设备总线端口；

所述安全控制器中的策略执行单元，用于实现固化策略单元和动态策略单元中指定的设备控制和数据监测的安全策略；

所述安全控制器中的固化策略单元，用于固化存储提供厂家出厂前预定义的控制策略；所述的固化策略单元由硬件实现；

所述安全控制器中的动态策略单元：动态策略是厂家预定义的控制策略的辅助策略；动态策略单元只接受可信安全模块发出的策略更新指令；动态策略包括代码和参数，来自可信安全模块。

所述可信安全模块包括：I/O总线接口、控制策略模块、安全隔离单元、策略执行引擎；

所述可信安全模块内部的I/O总线接口用于将可信安全模块和安全控制器之间的数据通讯和向安全控制器发送控制信号；

所述可信安全模块内部提供控制策略模块，用于向安全控制器提供动态配置的安全控制策略；

所述可信安全模块内部提供策略执行引擎，用于对安全控制器取得的外围设备通讯总线的采样信息进行处理；同时还用于对主板外围设备发出使能和禁用控制信号；

所述可信安全模块内部的安全隔离单元，用于防止可信安全模块外部恶意程序读取可信安全模块内部存储单元机密信息；

所述可信安全模块的I/O总线，包括至少一组LPC总线和一组通讯总线；所述输出模式LPC总线，可信安全模块通过使用LPC总线，被当作设备接着系统设备控制器上；所述输出模式总线，可信安全模块通过使用通讯总线，作为访问发起端，访问安全控制器；

进一步，还包括连接安全控制器的BIOS备份存储器，用于对BOOT ROM中BIOS代码的备份。

进一步，还包括身份识别设备，所述身份识别设备通过身份设备总线直接连接到可信安全模块。

所述身份识别设备总线是通用输入输出GPIO总线、USB总线、ISO7816总线中的一种。

所述安全控制器与BOOT ROM之间的通讯总线，是LPC总线、SPI总线之一。

在主板南桥设备控制器(认为在AMD构架下指的是设备控制器)与主板外围硬件设备的控制信号线之间设置一个设备访问控制器，由可信安全模块负责控制该设备访问控制器，阻断或者接通系统设备控制器与主板外围硬件设备的控制信号线；

所述的设备访问控制器，系统CPU发出的设备访问信号通过该设备访问控制器发送给主板外围硬件设备，达到对主板上的所有硬件设备的访问控制；

所述设备访问控制器的输入信号线，至少包括两条，其中一条接在系统设备控制器上，一条接在所述可信计算控制模块可信安全模块的I/O总线上。

可信安全模块和安全控制器对主板外围硬件设备的安全访问控制，通过可信安全模块读取用户身份识别设备，判断用户身份权限，通过对用户身份级别的分类，在安全控制器的协助下，控制用户对主板硬件设备的使用权限。

本发明效果：

1)可信安全模块内部设置安全隔离单元提高了可信安全模块自身的安全性；设置了控制策略模块，提高了对安全控制器控制的灵活性；设置了监控引擎提高了对主板外围设备的安全控制。

2)可信安全模块、BOOT ROM、BIOS备份存储器、身份设备设备、安全控制器先于CPU启动，主动的完成对BOOT ROM中BIOS关键代码的完整性检测，并实现了对BIOS操作过程中的安全保护，进而保证了在信任链传递过程中，BIOS的完整性。

3)通过该方案中的可信安全模块和安全控制器的协助，提供了一种对主板外围设备的访问控制策略，为BIOS代码管理操作提供了实时保护的方法，同时也提供了对主板外围设备通讯数据的实时病毒检测功能。

4)可信安全模块和安全控制器之间使用高速的通讯总线，提高了请求响应速度和数据传输时间。

5)提供了一种解决计算机系统中信息泄露的有效途径，为解决系统中隐通道问题提供了思路。

本发明对计算机主板的改动稍大，提高了主板生产成本。但该方案与将BIOS做到可信计算芯片中的方案相比，成本的增加还是可以接受的。

附图说明

图1可信主板接线图

图2安全控制器结构框图

图3可信安全模块结构框图

具体实施方式

计算机硬件改造，如图1所示：

1)在计算机硬件平台上设置安全控制器，通过数据线可控制信号线连接到计算机主板南桥设备控制器。

2)BOOT ROM和主板外围设备通过数据线和控制信号线连接到安全控制器的输出端。

3)可信安全模块作为从属设备，通过其LPC通讯接口或者USB通讯接口连接到计算机南桥设备控制器上。

4)可信安全模块作为控制端，通过通讯总线与安全控制器相连接，用于控制和数据传输。

5)BOOT ROM、安全控制器、BIOS备份存储单元、身份识别设备和可信安全模块使用同一个电源系统，并且该电源系统独立与计算机系统其他硬件设备的电源系统。

6)可信安全模块通讯线2中的输出控制信号线，直接连接到安全控制器。

7)可信安全模块通过安全控制器，完成对外围设备的访问控制、地址映射、数据传输、实时安全检查、完整性关键值度量操作。

8)其中外围设备中包括一块用FLASH实现的和BOOT ROM同等大小容量的备份存储单元，用于受控存储BIOS备份信息。

使用方法简述：

1)计算机系统开机时，计算机电源系统首先给可信安全模块、控制器、BIOS备份存储单元、身份识别设备和BOOT ROM供电。

2)可信安全模块通过通讯线1，实现与计算机南桥设备控制器之间通讯。

3)可信安全模块通过通讯线2，向安全控制器发送读取BOOT ROM中BIOS的控制信号。

4)可信安全模块接收到BIOS信息后，对BIOS进行完整性标准值的检查和病毒特征值的检查。

5)如果完整性特征值的检查和病毒特征值的检查都顺利通过后，再给CPU和系统硬件平台其他部分上电。

6)如果未通过完整性特征值的检查和病毒特征值的检查，则应从BIOS备份存储单元中恢复BIOS备份数据。

7)安全控制器通过通讯线3，实现与BIOS备份存储器、计算机主板外围设备通讯

8)安全控制器通过通讯线4，实现与BOOT ROM通讯。

9)通过安全控制器地址映射后，BIOS备份存储单元只响应可信安全模块发出的控制信号。

10)只有当可信安全模块通过通讯线2中的输出控制信号线，向安全控制器发出外围设备时能信号时，外围设备才能响应计算机南桥总线控制器发出的对计算机外围硬件设备的控制信号，并开始进行数据传输。

11)安全控制器将南桥总线地址映射后，主板外围设备相对于南桥总线来说，仍然沿用原来的地址映射空间。

12)安全控制器用于实现对BIOS信息的读写控制、防止信号干扰、保护度量过程安全。

13)在外围设备通过安全控制器与计算机南桥设备控制器进行数据通讯时，安全控制器可以根据预定义策略，对通讯信息进行实时监测。监测内容包括通讯数据流量、设备占用时间、是否含有病毒特征值、是否有恶意攻击。

安全控制器，如图2所示：

硬件组成：

1)安全控制器由总线地址映射单元、安全隔离单元、策略执行单元、固化策略单元和动态策略单元组成。

2)总线地址映射单元：用于完成南桥设备地址总线和主板外围设备总线之间的地址映射。

3)安全隔离单元：用于隔离计算机南桥总线和主板外围设备总线，同时还具有对总线上数据的实时采样功能。安全隔离单元和总线地址映射单元之间通过两组总线连接，分别用于连接计算机的南桥总线端口和用于连接主板上各外围设备的设备总线端口。

4)策略执行单元：用于实现固化策略单元和动态策略单元中指定的设备控制和数据监测的安全策略。

5)固化策略单元：用于固化存储提供厂家出厂前预定义的控制策略。固化策略单元由硬件实现。

6)动态策略单元：动态策略是厂家预定义的控制策略的辅助策略。动态策略单元只接受可信安全模块发出的策略更新指令。动态策略包括代码和参数，主要来自可信安全模块。

硬件特征：

1)安全控制器通过系统总线连接到计算机南桥设备总线控制器上。

2)安全控制器通过高速通讯总线和可信安全模块连接。

3)安全控制器通过各种设备总线和使能控制信号线连接到主板外围设备和BOOT ROM上。

使用方法：

1)连接到计算机南桥设备总线控制器上，用于完成对计算机南桥设备控制器的总线地址映射。

2)连接到可信安全模块上，用于实时接受可信安全模块的监控和数据传输要求。

3)连接到主板外围设备和BOOT ROM上，用于完成对主板外围设备和BOOT ROM的数据传输和控制操作。

4)提供对从外围设备流入到系统的数据流进行实时采样和检查的功能。

5)同时具有数据隔离和安全保护功能，防止恶意数据侵入计算机系统。

6)及时响应可信安全模块对实时数据的采样和检查的要求。

7)提供固化策略单元和可配置的动态控制策略单元，存储出厂固化的预定义安全控制策略或者由可信安全控制模块动态设置的安全控制策略。

8)可配置的控制策略单元配合可信安全模块实现对硬件设备的访问控制。

可信安全模块，如图1所示：由I/O接口、安全隔离单元、控制策略模块、监控处理引擎、密码协处理器、密钥生成器、自主密码引擎、随即数发生器、执行部件、电源检测、非挥发性存储器、挥发性存储器和内部通讯总线。

方法：

1)可信安全模块内部提供一组主动读取BOOT ROM的数据总线接口，用于主动读取并对BIOS信息的检查工作。

2)可信安全模块内部提供高速通讯总线控制器，用于连接安全控制器，进行高速传输BIOS信息和安全控制器提供的主板外围设备通过程的采样信息。

3)可信安全控制模块内部提供安全隔离单元，用于芯片内部的I/O控制器和可信安全模块内部各单元隔离开，防止I/O接口恶意读写可信安全模块内部存储单元。

4)可信安全模块内部提供身份识别控制器接口，用于连接身份识别设备。

5)可信安全模块内部提供控制策略模块，用于向安全控制器提供动态配置的安全控制策略。

6)可信计算系统的用户可以通过指令形式通知可信安全模块，如何进行安全可控制策略的生成。

7)可信安全模块内部提供监控处理引擎，用于对安全控制器取得的外围设备通讯总线的采样信息进行处理。同时还用于对主板外围设备发出使能和禁用控制信号。

一、工作流程

1、开机启动阶段工作流程

1)计算机开机，总电源通电后，计算机电源系统首先给可信安全模块、控制器、BIOS备份存储单元、身份识别设备和BOOT ROM供电。

2)此时，南桥未启动，通讯线1无通讯信号。如果可信安全模块功能使能，则首先完成初始化工作。

3)安全控制器执行出厂预定义的计算机启动过程安全控制策略。只接受来自可信安全模块的控制命令。

4)可信安全模块首先通过身份识别设备认证用户的合法性及对计算机系统的使用权限。

5)可信安全模块通过对用户的认证后，向安全控制器发出读BOOT ROM中BIOS的控制命令。

6)安全控制器读取BOOT ROM中的指定地址上的数据信息，并对该信息进行特殊病毒检查，同时将BIOS信息转发给可信安全模块处理。

7)安全控制器对BIOS进行的特殊病毒检查，检查对象主要是指对针对BIOS进行攻击的恶意代码。

8)在可信安全模块和安全控制器对BIOS进行检查时，安全控制器应隔离计算机南桥控制器和主板外围硬件设备对整个过程的干扰。主要是指对外部信号的隔离，防止发生串扰和外界发出的恶意攻击。

9)可信安全模块对安全控制器转发来的BIOS关键代码进行完整性特征值的检查。

10)当可信安全模块对BIOS的完整性特征值检查通过以及安全控制器对BIOS信息进行特殊病毒检查完成，且未发现病毒代码后，才可以向可信计算平台上其他备份供电。如果完整性特征值检查和特殊病毒检查中任意一项没有通过，则应立即通过输出信号的方式通知系统管理员，并可以进行对BIOS代码的恢复操作。

11)当可信安全模块接受到管理员发出的恢复BIOS备份信息的指令后，应立即通知安全控制单元，将BIOS备份存储单元中的BIOS代码恢复到BOOT ROM中。如果系统执行BIOS备份数据的恢复操作后，应立即重新启动计算机。

12)当可信安全模块和安全控制器顺利的完成对BIOS的检查后，应立即向总电源发出其他部件供电的控制命令。

13)整个系统完全供电后，CPU发出读取BIOS的命令，通过南桥和安全控制器完成对BIOS代码的读取操作，并执行BIOS代码，完成计算机系统初始化操作。

14)CPU读取BIOS并执行时，安全控制器始终禁用除键盘、鼠标、显示器、BIOS备份存储单元之外的所有主板外围设备。并且安全控制器始终监听CPU对BIOS的读取过程，防止整个过程收到外部干扰，保证系统启动过程的安全可信。

2、计算机系统关机过程

1)当按下计算机关机按钮或者通过操作系统命令执行关机操作后，可信安全模块应能够立即接收到关机中断，并通过安全控制器禁用除BIOS备份存储单元和身份识别设备外的主板外围设备。

2)可信安全模块通知安全控制器共同完成对BIOS关键代码的特殊病毒检查和完整性特征值的检查操作。

3)如果上述检查操作出现错误，则可信安全模块应立即通知管理员进行BIOS的恢复操作或者继续完成关机操作。

4)同时安全控制器也要完成对主板外围设备的完整性特征值的检查工作。如果检查没有通过，也应及时通过硬件显示方式告知系统管理员，并由系统管理员进行操作。

5)关机之前，安全控制器一直负责监听来自南桥控制器的数据流，保证系统对BIOS检查过程无干扰。

3、正常工作过程中对主板外围设备和BIOS的访问控制过程

●对主板外围设备的访问控制过程

1)当计算机南桥控制器对主板外围硬件设备发出控制信号时，安全控制器先检查当前用户对南桥控制器所请求响应的设备，是否具有使用权限、是否已经使能和使用权限等级。

2)如果有使用权限，且已经对该外部外围设备进行了使能操作，则可以响应南桥控制器的访问请求，可以正常使用。同时安全控制器还要对通讯的数据流就行实时采样进行分析检查或者传送给可信安全模块进行检查。如果实时检查发现问题，则应立即停止数据传送，并告知当前用户。

3)如果当前用户对该设备没有使用权限，则南桥控制器不能对该设备进行正常的访问控制。安全控制器向南桥返回不可用的响应信号。

4)如果当前用户对该设备有使用权限，但当前没有使能该设备，则安全控制器应先向可信安全模块发出使能该设备的请求。如果可信安全模块响应该请求，并通过身份识别设备对当前用户进行再次身份认证后，则安全控制器可以使能该主板外围设备。

5)当可信安全模块收到管理员命令修改用户对主板外围设备使用权限时，可信安全模块首先向安全控制器发出控制信号，立即修改使用权限，禁用制定设备，并通知该用户。可信安全模块维护着用户对主板外围设备的使用信息，每次关机前应禁用除键盘、鼠标、显示器、BIOS备份存储器、身份识别设备以外的所有主板外围设备，在计算机开机时再根据用户指令相继启用。

●对BIOS的访问控制过程

1)读BIOS过程

a)首先，CPU通过南桥控制器想安全控制器发出读取BIOS的请求。

b)其次，由于已经进入到了可信工作环境中，安全控制器可以直接读取BIOS代码并转发给南桥控制器，进而CPU执行BIOS代码。

c)再次，在CPU读取BIOS的短暂过程中，安全控制器要对主板外围设备应进行通讯通道的严格划分，提供相互隔离的通讯通道，并进行行为监控，防止恶意代码篡改正在传输的BIOS代码数据流，同时防止主板外围设备对BIOS数据传输通道进行监听。

d)正读取BIOS的过程中，短暂禁用用户没有请求使用的主板外围硬件设备，保证通讯过程不被外界干扰。通讯结束后，再使能相应主板外围设备。

2)更新BIOS过程

a)更新BIOS的过程中，禁止当前用户对除键盘、鼠标、显示器、身份识别设备、BIOS备份存储单元外的所有设备的使用。

b)当用户要对BIOS进行更新时，应先向可信安全模块发出更新BIOS的请求信号，BIOS接收到该请求信号后，立即通过身份识别设备对当前用户进行身份识别认证，确认该用户是否有对BIOS进行更新的权限。如果没有该权限，则对该用户发出拒绝更新请求。如果有对BIOS的更新权限，则可信安全模块立即向安全控制器发出使能BOOT ROM的控制指令，并接收南桥控制器发出的BIOS更新代码。

c)在BIOS代码更新的过程中，可信安全模块通过安全控制器短暂禁用当前用户没有请求使用的所有外围设备，更新完成后，再次开启。同时，安全控制器还为BIOS代码数据流单独开辟独立的通讯通道，并实时监控主板外围设备的行为，为BIOS的更新过程提供安全通道。

d)在BIOS代码更新的过程中，可信安全模块通过安全控制器对BIOS代码进行实时采样，记录关键特征数据，并进行完整性特征参考值计算，并将该参考值记录在可信安全模块中，作为完整性度量检查的标准值。

e)在BIOS代码更新的过程中，安全控制器也要对BIOS代码进行特殊病毒的检查。如果发现有疑似病毒特征，应立即通过可信安全模块想当前用户告知当前BIOS代码被病毒感染，并等待当前用户执行确认判断。如果当前用户确认为正常代码，则继续执行更新操作。如果当前用户无法确认或者确认BIOS代码可能存在被病毒感染风险时，安全控制器应立即停止BIOS更新，并向可信安全模块发出恢复BIOS的请求并告知用户。由当前用户决定是否执行恢复BIOS的操作。

3)恢复BIOS过程

a)恢复BIOS的操作由当前用户决定。当用户向可信安全模块发出更新BIOS的指令后，可信安全模块立即向安全控制器发出恢复BIOS的控制信号，安全控制器应立即短暂关闭说有主板外围设备，为BIOS备份存储单元和BOOT ROM建立单独的通讯通道，并保证通讯过程中，不受其他主板外围设备和南桥控制器的干扰。

b)恢复BIOS的恢复过程中安全控制器对BIOS代码流进行实时监控。同时可信安全模块通过安全控制器对BIOS代码进行实时采样，记录关键特征数据，并进行完整性特征参考值计算，并将该参考值存储在可信安全模块中，作为完整性度量检查的标准值。

c)BIOS完成恢复操作后，应恢复短暂禁用的硬件设备，并告知当前用户BIOS恢复操作结束。

4)备份BIOS过程

a)被授权的当前用户或者管理员可以向可信安全模块发出备份BIOS的指令。

b)可信安全模块接受备份BIOS指令后，应控制计算机系统总电源，重新启动计算机。

c)重新启动计算机后，只有可信安全模块、安全控制器、BOOT ROM和BIOS备份存储器上电工作。

d)可信安全模块通过身份认证设备对当前用户再次进行身份认证，确定当前用户身份有备份BIOS的权限。如果没有该权限，则给出提示，并再次提示验证身份。三次没有通过身份认证后，可信安全模块向总电源发出计算机关机信号，计算机系统关机。

e)如果通过身份认证，则可信安全模块通过安全控制器确认是否禁用了除鼠标、键盘、显示器、BOOT ROM、身份识别设备、BIOS备份存储器外的主板所有外围设备。如果没有禁用，则立即执行短暂禁用操作。

f)主板外围设备禁用后，安全控制器应立即对BIOS代码执行特殊病毒特征检查，如果未查出病毒特征，则继续进行备份操作。如果查处疑似病毒特征，则应通过可信安全模块通知当前用户，并等待用户处理。用户处理包括：停止备份、关机、重新启动计算机、恢复BIOS代码。进行病毒检查的同时，安全控制器应向可信安全模块发送BIOS完整性特征值采样。由可信安全模块对BIOS进行完整性参考值计算，并将该标准参考值存储到可信安全模块内部。

如果没有发现病毒特征，则安全控制器立即为BOOT ROM和BIOS存储器建立独立的通讯通道，隔离计算机南桥控制器和主板外围设备发出的任何干扰信号，并立即执行对BIOS的备份操作，将BOOT ROM中的BIOS代码读入到BIOS备份存储单元中。

Claims

1.一种可信计算系统，包括主板及主板外围设备，主板包括可信安全模块、中央处理器CPU、系统设备控制器，BOOT ROM；

所述BOOT ROM用于，存储可信计算系统的初始化和启动代码；

所述安全控制器中的动态策略单元：动态策略是厂家预定义的控制策略的辅助策略；动态策略单元只接受可信安全模块发出的策略更新指令；

所述可信安全模块的I/O总线，包括至少一组LPC总线和一组通讯总线；所述输出模式LPC总线，可信安全模块通过使用LPC总线，被当作设备接着系统设备控制器上；所述输出模式总线，可信安全模块通过使用通讯总线，作为访问发起端，安全控制器。

2.根据权利要求1所述的可信计算系统，其特征在于，主板外围设备还包括连接安全控制器的BIOS备份存储器，用于对BOOT ROM中BIOS代码的备份。

3.根据权利要求1所述的可信计算系统，其特征在于，主板外围设备还包括身份识别设备，所述身份识别设备通过身份设备总线直接连接到可信安全模块；所述身份识别设备总线是通用输入输出GPIO总线、USB总线、ISO7816总线中的一种。

4.根据权利要求1所述的可信计算系统，其特征在于，所述安全控制器与BOOT ROM之间的通讯总线，是LPC总线、SPI总线之一。

5.根据权利要求1所述的可信计算系统，其特征在于，由可信安全模块负责控制所述的安全控制器，阻断或者接通系统主板设备控制器与主板外围硬件设备的控制信号线；

所述的安全控控制器，系统CPU发出的设备访问信号通过所述的安全控制器发送给主板外围硬件设备，达到对主板上的所有硬件设备的访问控制；

所述安全控制器的输入信号线，至少包括两条，其中一条接在系统主板设备控制器上，一条接在所述可信安全模块的I/O总线上。