CN106991329A - 一种基于国产tcm的可信计算单元及其运行方法 - Google Patents

Abstract

本发明涉及一种基于国产TCM的可信计算单元及其运行方法，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；机械结构层包括机箱、散热系统、电源；固件层包括固件；操作系统层包括操作系统；平台硬件层包括背板、计算单元模块、可信密码模块；可信软件层包括可信应用模块、可信计算支撑模块；本发明功能完善、算法运算速率高、并发工作容量大；作为可信计算单元，它既可以为信息安全传输系统提供高性能的数据加/解密服务，又可以作为主机数据安全存储系统、身份认证系统以及对称、非对称密钥管理系统的主要密码设备和核心构件，具有广泛的系统应用潜力。

Description

一种基于国产TCM的可信计算单元及其运行方法

技术领域

本发明涉及一种基于国产TCM的可信计算单元及其运行方法，属于国产龙芯计算机、数据加解密以及身份验证等技术领域。

背景技术

随着“棱镜门”事件的爆发，国家对研制自主可控的国产计算机越来越重视。硬件方面，我国拥有自主研制的龙芯3A、3B系列CPU、飞腾1500A系列CPU、申威4A系列CPU等多款CPU，在性能方面已经接近普通intel处理器，可满足正常办公需求，同时拥有研制相应主板的核心技术和成熟工艺。软件方面，已有自主研制的BIOS(如昆仑、百敖)以及中标麒麟、银河麒麟、中科方德为代表的国产操作系统，配套的WPS等国产软件也逐渐丰富起来。

国产首先可以做到自主可控，这是一个基本的条件，自主可控的软硬件平台可以杜绝了x86系列计算机的安全后门，但是我国的安全防护技术仍然十分薄弱。以可信技术为支撑的安全可控软硬件技术正逐步发展起来，已成为我国个人终端抵御外界入侵的天然屏障。

普通的国产平台只是提供了一个硬件基础，硬件、BIOS、系统易被非法篡改。

中国专利文献CN 103106373A公开了一种可信计算芯片及可信计算系统。本发明的可信计算芯片包括：算法功能层、应用功能层、通信单元和平台配置寄存器。本发明的可信计算系统包括：服务模块、安全应用模块、可信计算芯片、可信计算模式设置模块、固件下载单元、固件单元。本发明的可信计算芯片及可信计算系统，通过简单的配置使可信计算系统能支持多种可信计算算法及应用。但是，该专利中存在以下缺陷：该专利只是描述了一种可信计算芯片，只能保证开机过程中的安全性，对于系统运行过程中的运行安全无法保证。

中国专利文献CN104200156A公开了一种基于龙芯处理器的可信加密系统，通过TCM芯片对BIOS及操作系统进行完整性保护，并基于TCM芯片密码算法对密钥进行加密保护，密钥存储在USBkey内部，通过对BIOS改造实现密钥使用认证，密钥从USBKey到硬盘密码芯片的传输，采用可信计算技术保证系统不被破坏，通过加密密钥存储、使用过程的安全性保护，保证加密数据的安全可信。但是，该专利中存在以下缺陷：该专利在开机过程中仅仅对BIOS、OS进行度量并未对平台的硬件进行完整性保护；其次只保证了系统运行过程中的数据安全，对于恶意程序无法阻止。

发明内容

针对现有技术的不足，本发明提供了一种基于国产TCM的可信计算单元；

本发明还提供了上述可信计算单元的运行方法；

本发明结合国产TCM，在开机阶段对光驱、网卡、硬盘以及BIOS、OS进行完整性度量，防止硬件、BIOS、系统的非法篡改；提供双重身份认证，BIOS阶段以及系统登录阶段均需认证通过；系统运行过程中通过白名单机制防止恶意程序的运行。本发明稳定性好、适用性强，在自主可控基础上保证机器的运行安全。

术语解释：

TCM，trusted cryptography module，可信密码模块；

本发明的技术方案为：

一种基于国产TCM的可信计算单元，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；

所述机械结构层包括机箱、散热系统、电源；所述固件层包括固件；所述操作系统层包括操作系统；所述平台硬件层包括背板、计算单元模块、可信密码模块；所述可信软件层包括可信应用模块、可信计算支撑模块；

所述可信计算支撑模块为所述可信应用模块访问可信密码模块的桥梁，所述可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；

所述可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。

根据本发明优选的，所述计算单元模块为龙芯3A处理器。

根据本发明优选的，所述龙芯3A处理器的主频为1GHZ，主板通过北桥芯片AMDRS780连接Intel82574芯片扩展2个千兆网口、1个PCIEx16插槽、1个VGA接口、1个串口，对外扩展预留一个PCI-E×16插槽，主板通过南桥芯片AMD SB710扩展4个USB接口和SATA接口。

根据本发明优选的，所述可信密码模块包括国产TCM芯片、FPGA芯片、电源转换芯片。

此处设计的优势在于，可信密码模块通过军用TCM芯片、FPGA等核心硬件设计，实现底层可信功能电路，通过TCM COS软件设计，实现底层可信基础功能、身份认证、安全审计等安全功能。

根据本发明优选的，所述身份认证基于USBkey和TCM芯片实现，设备开机登录、可信应用软件登录时，对用户信息进行身份合法性验证；

所述可信程序控制基于白名单机制实现，基于LSM机制对HOOK函数进行重载，实现对可执行文件执行的拦截；

所述可信文件保护通过Linux LSM内核安全模块机制，回调文件保护函数过滤用户的操作，实现文件的保护；

所述可信文件加密基于Linux加密文件系统进和TCM芯片密码服务接口开发，通过调用TCM密码服务接口对称加解密；

所述安全审计主要审计用户违规行为日志；

所述可信接入验证主要对其他设备进行完整性验证和认证。

根据本发明优选的，所述固件为昆仑固件。

上述可信计算单元的运行方法，包括步骤如下：

(1)系统开机后，对整机BIOS进行完整性度量；

(2)对用户进行认证；

(3)对光驱、硬盘、显卡硬件以及内核关键文件进行完整性度量；

(4)完整性度量完成后，系统加载，进入登陆界面，调用USBKey和TCM芯片共同完成身份认证；

(5)系统运行过程中通过可信文件加密以及可信文件保护来实现文件的访问控制；通过可信程序控制实现非法程序拦截以及防止应用程序的篡改；

(6)可信接入控制功能主要是实现对客户端的访问控制，通过对客户端的软硬件信息进行收集判断，对于非法客户端拒绝链接访问该单元，预防非法攻击。

本发明的有益效果为：

1、本发明功能完善、算法运算速率高、并发工作容量大；作为可信计算单元，它既可以为信息安全传输系统提供高性能的数据加/解密服务，又可以作为主机数据安全存储系统、身份认证系统以及对称、非对称密钥管理系统的主要密码设备和核心构件，具有广泛的系统应用潜力。

2、本发明中不仅可以实现文件的加解密以及访问控制，有效地保护文件安全；其次还可以实现对非法程序拦截以及防止应用程序的篡改。

3、本发明中的可信计算单元同时还可以实现安全网关的功能，对接入的终端设备进行有效的过滤，防止非法客户端的访问攻击。

附图说明

图1为本发明可信计算单元的系统框图；

图2为本发明可信计算支撑模块的调用关系示意图；

图3为本发明可信应用模块的组织架构示意图。

具体实施方式

下面结合说明书附图和实施例对本发明作进一步限定，但不限于此。

实施例1

一种基于国产TCM的可信计算单元，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；

机械结构层包括机箱、散热系统、电源；固件层包括昆仑固件；操作系统层包括操作系统；平台硬件层包括背板、计算单元模块、可信密码模块；可信软件层包括可信应用模块、可信计算支撑模块；如图1所示；

可信计算支撑模块为可信应用模块访问可信密码模块的桥梁，可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；

可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，如图2所示；采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。如图3所示。

计算单元模块为龙芯3A处理器。龙芯3A处理器的主频为1GHZ，主板通过北桥芯片AMD RS780连接Intel82574芯片扩展2个千兆网口、1个PCIEx16插槽、1个VGA接口、1个串口，对外扩展预留一个PCI-E×16插槽，主板通过南桥芯片AMD SB710扩展4个USB接口和SATA接口。

可信密码模块包括国产TCM芯片、FPGA芯片、电源转换芯片。可信密码模块通过军用TCM芯片、FPGA等核心硬件设计，实现底层可信功能电路，通过TCM COS软件设计，实现底层可信基础功能、身份认证、安全审计等安全功能。

身份认证基于USBkey和TCM芯片实现，设备开机登录、可信应用软件登录时，对用户信息进行身份合法性验证；

可信程序控制基于白名单机制实现，基于LSM机制对HOOK函数进行重载，实现对可执行文件执行的拦截；

可信文件保护通过Linux LSM内核安全模块机制，回调文件保护函数过滤用户的操作，实现文件的保护；

可信文件加密基于Linux加密文件系统进和TCM芯片密码服务接口开发，通过调用TCM密码服务接口对称加解密；

安全审计主要审计用户违规行为日志；

可信接入验证主要对其他设备进行完整性验证和认证。

实施例2

实施例1所述的一种基于国产TCM的可信计算单元的运行方法，包括步骤如下：

(1)系统开机后，对整机BIOS进行完整性度量；

(2)对用户进行认证；

(3)对光驱、硬盘、显卡硬件以及内核关键文件进行完整性度量；

(4)完整性度量完成后，系统加载，进入登陆界面，调用USBKey和TCM芯片共同完成身份认证；

(5)系统运行过程中通过可信文件加密以及可信文件保护来实现文件的访问控制；通过可信程序控制实现非法程序拦截以及防止应用程序的篡改；

(6)可信接入控制功能主要是实现对客户端的访问控制，通过对客户端的软硬件信息进行收集判断，对于非法客户端拒绝链接访问该单元，预防非法攻击。

Claims (7)

1.一种基于国产TCM的可信计算单元，其特征在于，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；

所述机械结构层包括机箱、散热系统、电源；所述固件层包括固件；所述操作系统层包括操作系统；所述平台硬件层包括背板、计算单元模块、可信密码模块；所述可信软件层包括可信应用模块、可信计算支撑模块；

所述可信计算支撑模块为所述可信应用模块访问可信密码模块的桥梁，所述可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；

所述可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。

2.根据权利要求1所述的一种基于国产TCM的可信计算单元，其特征在于，所述计算单元模块为龙芯3A处理器。

3.根据权利要求2所述的一种基于国产TCM的可信计算单元，其特征在于，所述龙芯3A处理器的主频为1GHZ，主板通过北桥芯片AMD RS780连接Intel82574芯片扩展2个千兆网口、1个PCIEx16插槽、1个VGA接口、1个串口，对外扩展预留一个PCI-E×16插槽，主板通过南桥芯片AMD SB710扩展4个USB接口和SATA接口。

4.根据权利要求1所述的一种基于国产TCM的可信计算单元，其特征在于，所述可信密码模块包括国产TCM芯片、FPGA芯片、电源转换芯片。

5.根据权利要求4所述的一种基于国产TCM的可信计算单元，其特征在于，所述身份认证基于USBkey和TCM芯片实现，设备开机登录、可信应用软件登录时，对用户信息进行身份合法性验证；

所述可信程序控制基于白名单机制实现，基于LSM机制对HOOK函数进行重载，实现对可执行文件执行的拦截；

所述可信文件保护通过Linux LSM内核安全模块机制，回调文件保护函数过滤用户的操作，实现文件的保护；

所述可信文件加密基于Linux加密文件系统进和TCM芯片密码服务接口开发，通过调用TCM密码服务接口对称加解密；

所述安全审计主要审计用户违规行为日志；

所述可信接入验证主要对其他设备进行完整性验证和认证。

6.根据权利要求1所述的一种基于国产TCM的可信计算单元，其特征在于，所述固件为昆仑固件。

7.权利要求1-6任一所述的一种基于国产TCM的可信计算单元的运行方法，包括步骤如下：

(1)系统开机后，对整机BIOS进行完整性度量；

(2)对用户进行认证；

(3)对光驱、硬盘、显卡硬件以及内核关键文件进行完整性度量；

(4)完整性度量完成后，系统加载，进入登陆界面，调用USBKey和TCM芯片共同完成身份认证；

(5)系统运行过程中通过可信文件加密以及可信文件保护来实现文件的访问控制；通过可信程序控制实现非法程序拦截以及防止应用程序的篡改；

(6)可信接入控制功能主要是实现对客户端的访问控制，通过对客户端的软硬件信息进行收集判断，对于非法客户端拒绝链接访问该单元，预防非法攻击。