走近可信计算
安全研究
近年来，在国家政治、经济领域，不断涌现出涉及信息安全的案例，国家情报泄露、银行系统瘫痪、企业信息遭遇黑客攻击，种种安全威胁不断侵蚀，严重影响了国家和企业的发展，前不久发生的力拓商业窃密案就是生动例证。在我国的信息安全领域，自主、可控成为不可妥协的发展方向，而可信计算的出现，将从根本上解决信息化进程中的安全问题。
传统信息安全和可信计算
目前计算机用户保证应用程序安全的方式主要是使用杀毒软件和防火墙，对于杀毒软件而言，最重要的特征是病毒扫描引擎，该引擎会扫描它所截取的数据以查看其中是否包含病毒，如果有病毒，就将它们清除掉。信息的扫描常通过两种方式进行：一种是将扫描信息与病毒数据库（即所谓的“病毒特征库”）进行对照，如果信息与其中的任何一个病毒特征符合，杀毒软件就会判断此文件被病毒感染；另一种是针对某些新的病毒或危险信息，在病毒数据库中并没有它们的特征，此时通过一种称为“启发式扫描”的方法有可能将它检测出来，该方法是通过分析信息的行为，并将它与一个危险行为样式库进行对照，以判别该信息的危险性。这两种方式各有利弊，前一种方式无法针对新出的病毒和木马进行防护，后一种方式虽然具备一定的智能预警性，但是仍然无法对所有新出的病毒和木马进行防护。
而随着国家出台《可信计算密码支撑平台功能与接口规范》后，基于可信计算密码支撑平台的应用开发得到了长足发展，相关产品也陆续面世。什么是可信计算呢？这要从信息安全说起，信息安全包含设备安全、数据安全、内容安全与行为安全，而可信计算为行为安全而生，同时行为安全又包括行为的机密性、行为的完整性、行为的真实性等特征。2006年11月，中国可信计算工作组成立，并于2007年12月正式颁布《可信计算密码支撑平台功能与接口规范》。2009年8月，可信计算工作组展示了中国可信计算研究成果，多家国内知名企业也展示了可信计算产品及相关应用案例。
从概念上来说，可信计算（Trusted Computing）是在计算和通信系统中广泛使用基于硬件安全模块支持下的平台，以提高系统整体的安全性，它包括安全协处理器、密码加速器、个人令牌、软件狗、可信平台模块（TPM）及增强型CPU、安全设备和多功能设备，主要实现数据的真实性、数据的机密性、数据保护及代码的真实性、代码的机密性和代码的保护。直观地说，可信计算技术是在PC主板上嵌入芯片，并提供三大功能：防御病毒攻击，通过一种可信链来防御攻击；建立一个可信身份，识别假冒用户的平台；高安全性的数据保护，使数据能够“密封”在非常安全的一个区域中。
可信计算的应用价值
在信息化和互联网应用已非常普及的今天，信息安全已经关系着国家安全、企业安全，混迹于全球信息系统的黑客、间谍、反社会力量，制造了数不胜数的政治安全事件，例如在2009年7月，韩国总统府、国防部、外交通商部等部门和主要银行、媒体网站同时遭遇黑客攻击，瘫痪时间长达4小时。而在企业商业领域，病毒、黑客、垃圾邮件、系统漏洞、网络窃密等不断带来安全威胁，前不久发生的“力拓案”就是一个很明显的例子。
事实上，可信计算从诞生之日起就有着深厚背景。早在上世纪80年代，可信计算由美国国防部率先提出。而在2009年6月，美国又宣布成立“网络战司令部”，折射出信息安全成为国家战略的趋势。而在我国，信息安全形势更不容忽视，绝大部分信息安全体系依然构建于国外技术基础之上。诸如电脑芯片、操作系统、办公软件等，安全后门普遍存在，因此，中国自主可信计算解决方案显得尤为重要。如果能将可信计算应用于PC、上网本、MID、移动存储、操作系统、软件设备等领域，例如个人电脑的开机过程需要可信技术配合指纹识别来共同完成，就可以避免“艳照门”之类的事件发生。
在2008年，我国的可信计算技术就已经被广泛应用，在政府、金融、教育、邮电、制造、航天军工、公共事业等多个领域，可信计算的各种产品大量上市，让国家和企业甚至普通百姓的数字化生活走向真正的安全无忧。例如将银联卡与可信支付终端（PC）作为身份标志的凭证，利用可信计算技术对敏感信息加密传送到相关服务器来完成网络交易，让老百姓可以放心大胆地使用信用卡在网上买卖物品。而商务人士也可以使用集成可信芯片的移动硬盘，随心所欲地在任何场所进行数据交换，上网本、笔记本、商用PC加入可信计算技术后，将带来非常安全可靠的应用环境。
可信计算在许多方面都开始展现出它的应用价值，就技术角度来看，可信计算的应用方向包括如下几个方面。
1.数字版权管理
可信计算将使企业创建很难规避的数字版权管理系统，例如下载的音乐文件，用远程认证可使音乐文件拒绝被播放，除非在执行唱片公司规则的特定音乐播放器上。密封存储防止用户使用其他的播放器或在另一台电脑上打开该文件。
2.身份盗用保护
可信计算可用来防止身份被盗用，以网上银行为例，当用户接入到银行服务器时使用远程认证，如果服务器能产生正确的认证证书，银行服务器将只对该页面进行服务，用户通过该页面可发送加密账号和PIN等私有信息。
3.保护系统安全
可信计算为软件进行数字签名，将使用户识别出间谍软件，例如某网站提供一个包含间谍软件的流行即时通信程序版本，操作系统可以发现这些版本里缺失有效的签名，并通知用户该程序已经被修改而加以安全防范。
4.生物识别验证
用于身份认证的生物鉴别设备可以使用可信计算技术（存储器屏蔽，安全I/O）来确保没有间谍软件安装在电脑上，这些间谍软件的目的是窃取敏感的生物识别信息。
5.核查远程计算结果
可信计算可确保网络计算系统返回的结果不是伪造的，这样在大型模拟运算时（例如天气系统模拟），不需要繁重的冗余运算来保证结果不被伪造，从而得到想要的正确结论。
打造可信计算应用环境
目前，可信计算产品涉及到诸多方面：可信密码芯片、计算机、服务器、网络接入、系统/应用软件、CA证书等，说到可信计算，不能不提TPM安全芯片，TPM标准由TCG可信赖计算组织制定，它从安全的BIOS、安全的硬件、安全的操作系统、安全的网络连接等入手，构建了一个可信的计算机平台标准。由于TPM安全芯片由国外厂商研发，为了确保安全性，我国PC企业联合推出了国产TCM（Trusted Cryptography Module，可信密码模块）安全芯片，它是符合《可信计算密码支撑平台功能与接口规范》的可信密码模块，是可信计算密码平台的关键基础部件，能够提供独立的密码算法支撑，主要作用是为系统平台和软件提供基础的安全服务，建立更加安全可靠的系统平台环境。
在整个可信计算系统中，可信计算机充当了极为重要的角色，它是基于TCM构建了可信计算密码支撑平台的计算机，其中包括可信台式机、可信笔记本、可信服务器、可信加固机等。在可信计算机平台上，通常需要安装可信操作系统，它是能够在平台中按照预定行为执行的操作系统，可信操作系统必须能够保证平台身份的可鉴别性、用户数据的完整性和私有性。而在可信操作系统中，则集成了基于可信计算的各类安全软件，可实现本机数据保护、身份鉴别、访问控制等功能。在互联网时代，可信网络接入也显得至关重要，其作用是利用TCM的证书体系，在网络内实现对于计算机终端以及计算机用户的认证，保证只有拥有合法授权的用户在经过授权的计算机终端上才能实现对网络资源的正常访问。
在政府、企业等办公中，经常会用到可信终端设备，例如银行刷卡支付就需要用到可信网络支付系统，它是一个基于可信计算平台的完整的、同时囊括了身份认证和设备认证的安全电子支付解决方案，极大地增强了用户终端中机密数据（密码、口令、数字证书）、交易数据的安全性。总的来说，以“安全芯片”为基础的“可信计算”主要表现为：用户的身份认证，这是对使用者的信任；平台软硬件配置的正确性，这体现了使用者对平台运行环境的信任；应用程序的完整性和合法性，体现了应用程序运行的可信；平台之间的可验证性，指网络环境下平台之间的相互信任。■
