大唐高鸿信安可信计算产品架构师李业旺：区块链安全浅析及可信解决方案2018-10-10
来源：中国信息产业网 作者：
它的主要作用一是重要数据保护，比如密钥、身份信息、医疗记录等等。二是程序代码保护，保护程序本身的逻辑、代码、算法的安全，防止泄露。三是远程证明，SGX应用向远端应用证明自己的运行平台安全，应用没有被非法篡改。四是数据密封，当内存中的重要数据需要持久化密封时保存，可以使用SGX的数据密封功能。我们主要是用这两个技术做一些应用。这个优势就过一下。
其实我们国家的法律法规对可信计算技术已经在支持了，比如说公安部的网络安全等级保护条例其中有一条就说到了国家鼓励利用新技术、新应用开展网络安全等级保护管理和技术防护，采取主动防御、可信计算、
人工智能等技术，这里面提到了可信计算。然后
信息安全等级保护网络安全等级保护条例也提到信息系统需要采用免收恶意代码攻击的措施或者可信计算技术，所以条例里面说把可信计算技术和免受恶意代码攻击，默认了可信计算技术可以保护系统免受恶意代码攻击，这是两个法律法规对可信计算的规定。
下一个讲一下我们基于可信计算技术做了哪些产品，产品架构大概就这样，我们从底层开始有技术服务器，可信网络设备以及可信的终端都是带有可信密码芯片的。再往下我们对操作系统也做了很多大量的这些可信的增强的功能，我们用的操作系统和传统用的操作系统其实是有大量的可信增强在里面。再往上做了可信的管理平台，可信的云全部都有，这是我们一个产品架构。
简单介绍两个产品，一个是操作系统可信增强系统HTE，六大功能：一是文件完整性保护，如果你的一对应用部署到操作系统里面去，我的这个应用里面的一些数据可能被篡改，篡改完成之后会不会出问题？比如最简单的以前经常有些主页，特别是政府主页被篡改了，但是如果我们有完整性保护，它的主页就不可被篡改。
二是命令白名单控制，因为我们的传统防护手段其实就两种，一种白名单，一种黑名单，这里面就是说如果攻击者攻击进来之后，他要执行一个他的恶意代码，必须执行才能起作用，当然恶意代码肯定不到白名单里面去，他执行不了，执行不了就发挥不了作用。
三是三权分立，将root权限分解为系统管理员、安全管理员和审计管理员，相互制约，即使某个用户的身份泄露了，也不会给系统带来太大隐患。
四是USB端口，服务器、设备，U口使用非常泛滥，U口使用泛滥会带来两个问题，一是U盘带来病毒，报还有数据泄露，很多数据泄露都是从公司内部。
五是双因子远程认证，基于USBKey或者短信验证码的双因子登录。
六是可信启动，系统不被篡改，软硬件是不是完整等等，这是我们的一个核心产品。
还有一个产品就是基于可信的应用做了一个可信的软件产权保护，它主要的四大功能一个是可信的程序加壳，传统意义上加壳就是基于一个软件加壳，但是它很容易被脱壳，毕竟现在加壳软件都是开源的，我们就是说基于可信芯片的一个绑定的加壳，这时候就没办法脱壳了。还有可信数据加密，软件里面用到这些数据要保护不能被人窃取怎么办？就要加密，这时候用可信计算，可信芯片的一个加密存储在磁盘里面，用的时候解密弄到内存里面去，内存怎么安全？这里面就有一个可信的内存数据保护，重要的数据一旦弄到内存里面可以把它放到内存的保护区域里面去，这个时候就不可能泄漏了。还有可信程序设备绑定，这是我们基于可信计算技术做的产品，它其实可以做到静态的存储安全和动态的运行安全。
最后来讲一下区块链中怎么应用可信。
这里面也是讲到区块链也是传统的信息系统之上的亿，所以它需要保护，我们提供硬件级别的完整性保护，保护环境的安全，提供操作系统的加固，保证我的应用，我的环境不被人给攻破，不被人给窃取数据，还有就是说对我的区块链的软件进行保护，保护软件在运行时的安全，比如说智能合约里面的一些隐私信息，它的安全都可以用到这些技术。
利用可信计算技术保障数据还有安全，可信计算模块具有丰富的密码学功能，所以我们可以用它来生成密钥保护密钥，加解密数据以及做一些远程认证，证明我的程序我的应用的可信，安全性。
利用SGX内存保护技术保护智能合约安全，它可以为智能合约提供一个安全可信的运营环境，只要保护环境安全我们就可以信任我的应用是安全的，所以SGX可以与底层的区块链相互呼应，它可以做到这样一个事情。
这边讲一个案例，这是一个开源的区块链的应用，我们跟一家公司一起合作把这些可信计算技术应用到区块链中保证它的运行安全、智能合约安全等等这些安全，现在这个智能合约数据非公开，交易是通过可信计算技术来签名的。所以这里面其实讲了一个新的，这是
英特尔做的一个共识算法，基于时间的。还有我们提供底层的环境，比如服务器、操作系统以及保护的应用，然后把它的区块链部署到我们这个环境中，大家一起做一个验证，确认它的安全性，这是我们做的一个事情。
这都是我们自己的产品，服务器、交换机、可信终端，这全是我们做的研究验证。这是我的微信，大家如果有兴趣对我们的产品，我们的技术比较感兴趣的话，可以欢迎大家到我们公司去交流指导，一起去推这个应用。因为最近经常会听到可信可信，其实我今天讲的可信和我们现在写到的可信其实不是一个东西，每年都会有一个热点，我是希望明年可信成为一个热点，今年是区块链，谢谢大家！
职业小炒肉
登录用户ID：
0
评论(12)
收藏
展开
