可信计算实现终极安全

　　作者: 边歆, 　出处:网界网,　责任编辑: 郭秋爽,　 2008-08-18 00:00

　　要解决来自电脑内部的安全威胁，就需要建立一个信息的可信传递模式。只有实现终端的“可信”，才能从源头上解决人与程序之间、人与机器之间的信息安全传递。

　　传统的信息安全措施主要是堵漏洞、做高墙、防外攻等“老三样”，但最终的结果是防不胜防。产生这种局面的主要原因是我们没有去控制产生不安全问题的根源，而总是在外围进行封堵。我们知道，所有的计算机入侵攻击都是从个人计算机终端上发起的：黑客利用被攻击系统的漏洞窃取超级用户权限，肆意进行破坏;注入病毒也是从终端发起的，病毒程序利用个人计算机操作系统对执行代码不检查一致性的弱点，将病毒代码嵌入到执行代码程序，从而造成病毒的传播，更为严重的是对合法的用户没有进行严格的访问控制，可以进行越权访问，造成了许多不安全事件。因此，我们应该以“防内为主、内外兼防”的模式，从提高使用节点自身的安全着手，构筑积极、综合的电脑安全防护系统。

　　要解决来自电脑内部的安全威胁，就需要建立一个信息的可信传递模式。只有实现终端的“可信”，才能从源头上解决人与程序之间、人与机器之间的信息安全传递。因此，“可信计算”成为信息安全发展的必由之路。

　　有别于传统的安全技术，可信计算技术从终端开始防范攻击。可信计算的主要思想是在硬件平台上引入安全芯片(称作可信平台模块(TPM))架构，来提高终端系统的安全性，从而将部分或整个计算平台变为“可信”的计算平台。可信计算平台的安全性根植于具有一定安全防护能力的安全硬件，它基于安全硬件实现隔离计算、计算环境完整性保证和远程安全性质证明等服务，以保证平台上计算实体行为的可信性，从而解决远程信任问题。

　　其主要目的是通过增强现有的PC终端体系结构的安全性来保证整个计算机网络的安全，意义就是在计算机网络中搭建一个诚信体系，每个终端都具有合法的网络身份，并能够被认可，而且终端具有对恶意代码(病毒、木马等)的免疫能力。在这样的可信计算环境中，任何终端出现问题，都能保证合理取证，方便监控和管理。增加可信密码模块的可信计算机可以实现：抵御病毒攻击，识别假冒平台，盗取密钥不可行，受保护数据拷不走等功能。

　　中兴集成电路设计有限公司经理赵立生在接受采访时说：“可信计算可以理解为推动信息安全技术向第三阶段发展的一次革命。作为可信计算的基础，需要在每个终端平台上植入一个信任根，这是一种基于信任链的技术。建立一个信任链需要从BIOS到操作系统的内核，再到应用层，构建出每一层之间的可信任关系。当信任链形成后，就有机会实现第四阶段，即安全免疫计算时代。”

　　体现终端安全思想的可信技术已成为信息安全的重要组成部分，建立自主可信计算平台被专家们认为是有望从根本上解决信息安全问题的“良方”。而涉及可信计算的标准之争也成为影响国家安全及整个产业发展的重中之重。