可信,更要可用
来源:IT168 更新时间:2012-04-13
今年以来,可信计算技术以及基于该技术的“安全芯片”、“安全PC”似乎一夜之间成了信息安全领域最热门的话题。一些厂家也纷纷宣布推出或正酝酿推出可信计算产品,但似乎雷声大,雨点小-------那么,市场上究竟有哪些经得起推敲的成熟的可信计算产品?可信计算产品究竟有什么用?怎么用?已经用起来了吗?记者从9月27日在京召开的“可信计算平台应用、发布研讨会”找到了答案:在国内,可信计算平台产品已走出实验室,成了商品化的东西;它不仅有用,好用,而且已经用了起来!

    此次大会由中国信息产业商会信息安全产业分会、中国信息协会信息安全专业委员会联合主办,由瑞达信息安全产业股份有限公司承办。国信办领导,以及屈延文、沈昌祥等著名信息安全专家均到会并发表讲话,会议吸引了上百名来自各行业的用户以及媒体记者。从他们聚精会神的眼光中不难看出他们对可信计算这一新兴技术及其成熟产品的期待。

    可信计算技术的发展在全球也就五年左右的时间,这五年时间正是信息安全技术飞速发展,呈现令人眼花缭乱局面的重要时期。面对层出不穷的信息威胁和攻击,以往的防范措施不断累加,依然不尽人意。专家们分析认为,旧有的防御手段在体系设计上就存在着一些问题,从底层做起,从PC终端做起的可信计算平台技术在这种情况下就显现出它的优势所在,以构建信认链的全新思路而跃上前台。

     在可信计算技术方面,本次会议的承办方、总部位于武汉的瑞达信息安全产业股份有限公司是国内第一家“敢吃螃蟹”的企业,这使她成为国内可信计算平台技术的领航者。2004年3月,联想集团对外宣布,已开始计算机安全芯片的研发,将在下半年开始进行安全芯片的测试生产,而在此之前,瑞达信安公司的安全芯片已经过三次流片研制成功,并已应用到瑞达可信计算机中。瑞达公司早在2000年6月就与武汉大学合作,开展了安全计算机的研究工作。2001年5月研制工作得到国家商业密码管理委员会的批准立项,并把瑞达公司所研制的安全计算机命名为“SQY14嵌入式密码计算机”。

    其后,该公司历时五年,以武汉研发基地、上海设计中心、信息安全博士后产业基地为基础,投入了巨大的人力资源和资金,为实现我国具有自主知识产权的安全计算机的产业化发展进行了不懈的努力和艰辛奋斗。先后研发出了基于可信计算平台技术的系列产品。为改进设计和完善功能,在“SQY14嵌入式密码计算机”及系列产品“JTC-845安全计算机”、“JTC-845DNS安全计算机”的研制开发工作中,仅主板的设计及试制就经历了五代。该公司产品在2004年中国首届可信计算平台(TCP)技术论坛上首次亮相就得到了国家有关部门和信息安全领域中著名专家的极大赞扬和高度评价。有关领导和专家认为:瑞达公司在可信计算技术的研究领域与世界同步。

    记者在会场参观了国内唯一通过国家商密认证、由瑞达公司研制的的国内首款可信计算平台(或曰安全PC)以及由其组成的网络信任管理系统(又名终端安全登录系统,已通过国家保密局认证检测),据介绍,瑞达的可信计算平台可以称之为“守口如瓶的电脑”,归纳起来有四大本领:首先在没有身份验证的情况下陌生人绝对无法进入电脑系统,谓之“进不去”,瑞达的IC卡就是这种“身份证”。其次叫拿不走,一旦主人设置了I/O限制,你再也无法用闪盘、光盘、磁盘、打印等任何方式将数据输出电脑,第三叫做“看不见”,文件一旦被主人设置为保密,即便硬盘被偷走也无法在其他机器上读取。最后是“赖不掉”,安全PC的日志记载了每个人持卡操作的日期、项目、事件等,并且人工无法删除这些记录。

    可信计算平台在通用计算机功能的基础上,赋予计算机开机过程中的身份认证、系统资源完整性校验及数字签名/验证、数字加/解密、外部设备的安全控制和日志审计等可信平台的安全功能。可广泛用于军队军工、公安、安全等涉密机关以及对信息安全敏感的普通商业用户,如金融、电信、电力等行业,有效放御来自外部和内部人员的泄密和恶意破坏行为,特别是在专用网的安全性方面可以大显身手。

    据介绍,去年某军校被联合国指定为维和军人训练营,校长在感到荣誉同时却不得不为学校的网络犯愁。校园内中国武警专用的军线肯定不能给外籍军人使用,但是完成教学要让他们使用校园网,满足他们日常生活需要给他们开通互联网,三网分离的结果就是学校必须申请更多经费采购为数不少的PC。最终瑞达的带有双网隔离功能的可信安全PC解决方案帮了这个校长的忙。按此方案,学校给每个学生都发了一个内含身份信息的IC卡,这张卡由网管规定了可以上哪个网的权限,上机前必须插卡验证,电脑读取卡内信息后安全芯片自动在三网间切换,以确保学生只能上指定的网,而不工作的网络将断电进行物理隔离。这就是可信安全PC的一个典型应用,识别电脑使用者身份并给予相应处理数据,从而解决了其它双网隔离产品所难以解决的用户身份可信问题。

    瑞达公司总经理刘毅指出:“从组成信息系统的服务器、网络、终端三个层面上来看,现有的保护手段是逐层递减的,这说明人们往往把过多的注意力放在对服务器和网络的保护上,而忽略了对终端的保护,这显然是不合理的:首先,终端往往是创建和存放重要数据的源头;其次,绝大多数的攻击事件都是从终端发起的。这恰恰是人们对待信息安全问题上的一个误区。究其根源,都是终端体系结构和操作系统的不安全所引起的。如果从终端操作平台实施高等级的安全防范,这些不安全因素将从终端源头被控制。”

    针对这种现状,瑞达提出了网络“可信域”解决方案,以实现下述目标:

    1、 用户操作平台可信:用户使用的计算机以及操作系统是安全的、可信的。

    2、 用户身份可信:登录和使用计算机资源(终端、服务器、网络资源)的用户的身份是合法的,并且标识用户身份信息的载体是唯一的和不可伪造的。

    3、用户行为可信:用户的行为是在受控的范围内使用终端、服务器、网络资源。

    4、集中控制、分布式管理:为日常管理提供了方便、易用的安全管理平台。

    据到场的专家分析,可信终端首先将在关键的重点行业,比如电子政务、军队等采用。随后,当大众接受了可信计算的概念,随着市场上出现越来越多的可信计算产品,可信计算平台大众化普及的时代也必将会到来。

    据瑞达公司有关人员介绍,各应用单位对瑞达可信计算平台反响积极,公司已经在某省党政机关涉密网的网络设计方案中加入了可信计算平台的组成部分,这个“可信域”方案通过了主管单位的专家组的论证,并已开始批量采购,进行试点。按照瑞达的“可信域”方案,该省党政密码通信网络以省、市、县机关网为核心,在扩展性方面,考虑到区域横向连接各个政务工作局域网的需求。在这个网络中,省、市、县机关网以及横向接入的局域网都是逻辑上独立的区域,机关网在最核心层,在密级保护层次、安全隔离措施、权限管理措施方面都进行了充分的考虑。通过实施瑞达可信域产品体系,保证在上述区域中,所有用户是经过强制身份验证的,所有终端是经过强制验证的、所有服务器资源是经过强制验证和强制访问权限控制的,是完全可信的。如果有非法的终端接入、有非法的使用者,局域网信任管理系统会从安全方面来对其进行孤立,因此可以认为这个区域是安全的,可以被完全信任的。如果多个可以信任的区域构成一个更大的网络,那么该网络也可以认为是安全的、可以被信任的。

    从国家有关部委来看,公安部“金盾工程”已将可信计算平台纳入使用范围,目前应用方案基本完成。公安部拟于近期在一些省份开展试点应用工作,并拟规定外单位(如检察院、法院、监察局等)若申请接入“金盾网”必须采用可控制、可认证的可信安全计算机。一些西北地区的公安系统也已大批量采购瑞达可信计算平台构筑可信网络。民政部全国“低保”信息系统对瑞达的可信计算平台表现出很高的兴趣,应用方案提交过去以后,立刻得到重视,他们拟在“全国城市低保信息系统”中采用瑞达的产品作为城市低保信息系统的终端,以强化身份认证和责任审计功能。其他一些国家涉密单位也拟在计算机网络的关键岗位上应用可信安全计算机来克服失密问题。预计2005年可以开展部分试点应用,其发展潜力巨大。

    从行业系统来看,一些电信系统也拟采用瑞达可信计算平台改造其“九•七平台”,以保障关键信息和客户资料。此外,市场潜力尤其巨大的是军队系统。军队一些部门经过长达近一年的严格审查和考察论证,已将瑞达公司的产品确定为某重点项目之一,需求极大,可达数亿元。据悉一些项目已在进行之中,并同国内其他一些安全厂商进行了项目联合。

    可信终端只是可信计算的一个分支,并且是入门级技术,目前,多家厂商正在研究可信网络设备、可信服务器,其目的是在所有的网络节点中建立可信任机制,最终形成一个全球性的可信网络。
各种迹象表明,安全PC未来的发展会非常迅猛。据IDC的一项研究结果显示,到2007年,全球所有PC中将有70% 都会加上安全芯片和可信软件;在中国市场,截至2009年,也将至少有500万台PC需要装上安全芯片和可信软件。我们有理由相信,随着此次“可信计算平台应用、发布研讨会”的成功召开,可信计算将走下神坛,开始全面应用。一个可信、可靠、安全的新IT时代必将来临。