|
2016年4月19日,國(guó)家領(lǐng)導(dǎo)人強(qiáng)調(diào)指出,要樹(shù)立正確的網(wǎng)絡(luò)安全觀,加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系,增強(qiáng)網(wǎng)絡(luò)安全防御能力和威懾能力。在總書(shū)記“419”重要講話七周年之際,再一次引發(fā)了關(guān)于CPU安全的討論,什么樣的CPU才是真正安全的CPU? 隨著黑客技術(shù)不斷迭代升級(jí),防火墻、殺毒軟件和入侵檢測(cè)“老三樣”已經(jīng)難以抵擋。嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì),對(duì)國(guó)產(chǎn)CPU提出了更高的挑戰(zhàn)。面對(duì)漏洞易被利用、外掛式防御手段防御范圍和能力有限等問(wèn)題,要從CPU底層開(kāi)始保護(hù)信息安全,保障上層的不可篡改性。 
堅(jiān)持設(shè)計(jì)自主可控,才能不被“卡脖子” 2022年10月,國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)聯(lián)合發(fā)布了《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求》國(guó)家標(biāo)準(zhǔn),確定今年5月1日正式實(shí)施。該標(biāo)準(zhǔn)提出了3項(xiàng)安全保護(hù)的基本原則:以關(guān)鍵業(yè)務(wù)為核心的整體防控、以風(fēng)險(xiǎn)管理為導(dǎo)向的動(dòng)態(tài)防護(hù)、以信息共享為基礎(chǔ)的協(xié)同聯(lián)防的關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)。 根據(jù)相關(guān)政策文件的指導(dǎo)精神不難看出,新時(shí)期對(duì)CPU的要求主要體現(xiàn)在兩大方面,一是在研發(fā)設(shè)計(jì)上要實(shí)現(xiàn)自主可控,二是提高主動(dòng)防御能力,對(duì)抗未知攻擊。 一顆CPU的設(shè)計(jì),一般要?dú)v經(jīng)需求定義、架構(gòu)設(shè)計(jì)、邏輯設(shè)計(jì)、驗(yàn)證、物理設(shè)計(jì)和封裝設(shè)計(jì)。以國(guó)產(chǎn)CPU領(lǐng)軍企業(yè)飛騰為例,在CPU設(shè)計(jì)環(huán)節(jié)已全面實(shí)現(xiàn)自主可控。飛騰在內(nèi)核研發(fā)設(shè)計(jì)方面不斷迭代,推出了FTC8、6、3三大系列的處理器內(nèi)核,在高性能、高效能、低功耗方面來(lái)滿足不同產(chǎn)品系列的需求。
強(qiáng)化系統(tǒng)安全設(shè)計(jì),夯實(shí)內(nèi)生安全能力 如何提高主動(dòng)防御能力,對(duì)抗未知攻擊?首先是要要通過(guò)系統(tǒng)的主動(dòng)安全設(shè)計(jì)對(duì)漏洞風(fēng)險(xiǎn)進(jìn)行免疫,在CPU研發(fā)設(shè)計(jì)的整個(gè)流程中貫穿安全設(shè)計(jì)的思想。 2019年,飛騰提出PSPA1.0規(guī)范(Phytium Security Platform Architecture),從十個(gè)方面定義了安全處理器中涉及的軟硬件功能和屬性,涵蓋芯片的硬件設(shè)計(jì)、固件設(shè)計(jì)、量產(chǎn)等多個(gè)方面,實(shí)現(xiàn)CPU的內(nèi)生安全機(jī)制。
在“密碼加速引擎和密鑰管理”方面,支持片內(nèi)國(guó)密SM2、SM3、SM4和SM9的硬件加密引擎,支持關(guān)鍵密鑰片內(nèi)安全存儲(chǔ),重點(diǎn)CPU型號(hào)已通過(guò)“芯片級(jí)”國(guó)密安全認(rèn)證。 在“可信執(zhí)行環(huán)境”方面,通過(guò)提供可信核、安全內(nèi)存、可信I/O,使得TEE與REE在硬件上是完全隔離的,且TEE訪問(wèn)資源權(quán)限較高。 在“支持可信啟動(dòng)”方面,片內(nèi)集成ROM,作為可信根,第一條指令從PBR(飛騰啟動(dòng)ROM)中執(zhí)行,PBR存放驗(yàn)簽程序,啟動(dòng)加解密引擎對(duì)片外Flash進(jìn)行驗(yàn)簽。 在“安全存儲(chǔ)機(jī)制”方面,敏感信息及密鑰的加解密過(guò)程均在可信執(zhí)行環(huán)境中完成,保障敏感信息存儲(chǔ)的安全性。 在“硬件漏洞免疫”方面,實(shí)現(xiàn)或支持分層級(jí)訪問(wèn)控制、數(shù)據(jù)執(zhí)行保護(hù)機(jī)制、內(nèi)核保護(hù)機(jī)制、ROP攻擊防護(hù)機(jī)制、前瞻控制及分支預(yù)測(cè)控制等,對(duì)多種已知的安全漏洞免疫,為CPU系統(tǒng)的安全提供支撐。 飛騰多款CPU支持PSPA規(guī)范,從底層實(shí)現(xiàn)了關(guān)后門(mén)、堵漏洞,讓黑客無(wú)計(jì)可施。
今年,飛騰將推出PSPA2.0規(guī)范,擴(kuò)展PSPA安全機(jī)制覆蓋范圍,提高PSPA安全機(jī)制支撐強(qiáng)度,進(jìn)一步提升內(nèi)生安全能力。飛騰后續(xù)的CPU設(shè)計(jì),無(wú)論是面向服務(wù)器的、面向桌面的,還是面向嵌入式的,都將全面支持PSPA2.0安全架構(gòu)規(guī)范,使得內(nèi)生安全技術(shù)的覆蓋面越來(lái)越廣。 計(jì)算核、可信核“雙體系”安全防護(hù) 可信計(jì)算3.0是我國(guó)網(wǎng)絡(luò)安全等保2.0標(biāo)準(zhǔn)確定的核心防御技術(shù),可信計(jì)算的核心功能是基于可信硬件建立主動(dòng)免疫機(jī)制。基于PSPA的密碼加速引擎和密鑰管理、可信執(zhí)行環(huán)境、可信啟動(dòng)和安全存儲(chǔ)等機(jī)制,在CPU內(nèi)部建立可信計(jì)算3.0的“雙體系”架構(gòu),將進(jìn)一步提升可信計(jì)算方案的安全性、集成度和兼容性。
目前,飛騰已與合作伙伴聯(lián)合開(kāi)發(fā)了可信服務(wù)器、可信終端等可信通用設(shè)備,電力可信DCS、金融一體機(jī)等工控設(shè)備,基于TPCM的可信云等軟硬件產(chǎn)品,部分產(chǎn)品已經(jīng)投入實(shí)際使用中。 CPU僅僅自主不等于安全,高性能也不代表高安全。“自主可控+內(nèi)生安全+可信計(jì)算”三位一體,才是真安全,才能實(shí)現(xiàn)體系安全。 |
