一种基于国产TCM的可信计算单元及其运行方法技术

本发明专利技术涉及一种基于国产TCM的可信计算单元及其运行方法，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；机械结构层包括机箱、散热系统、电源；固件层包括固件；操作系统层包括操作系统；平台硬件层包括背板、计算单元模块、可信密码模块；可信软件层包括可信应用模块、可信计算支撑模块；本发明专利技术功能完善、算法运算速率高、并发工作容量大；作为可信计算单元，它既可以为信息安全传输系统提供高性能的数据加/解密服务，又可以作为主机数据安全存储系统、身份认证系统以及对称、非对称密钥管理系统的主要密码设备和核心构件，具有广泛的系统应用潜力。

Trusted computing unit based on domestic TCM and operation method thereof

The invention relates to a trusted computing unit of domestic TCM and its operation method based on mechanical structure including hardware layer, firmware layer, platform layer, operating system layer, software layer; mechanical structure layer comprises a chassis, cooling system, power supply; the firmware layer includes firmware; operating system layer includes operating system platform including hardware layer; backplane, calculation module, trusted cryptography module; trusted software layer includes a support module of trusted computing, trusted application module; the invention has perfect function, high speed and complicated algorithm work capacity; as a trusted computing unit, it can provide high performance data encryption / decryption services for information security transmission system, but also can as the host data security storage system, identity authentication system and the asymmetric and symmetric key management system of the main equipment and the core components of the password It has wide potential for system application.

【技术实现步骤摘要】
一种基于国产TCM的可信计算单元及其运行方法
本专利技术涉及一种基于国产TCM的可信计算单元及其运行方法，属于国产龙芯计算机、数据加解密以及身份验证等

技术介绍
随着“棱镜门”事件的爆发，国家对研制自主可控的国产计算机越来越重视。硬件方面，我国拥有自主研制的龙芯3A、3B系列CPU、飞腾1500A系列CPU、申威4A系列CPU等多款CPU，在性能方面已经接近普通intel处理器，可满足正常办公需求，同时拥有研制相应主板的核心技术和成熟工艺。软件方面，已有自主研制的BIOS(如昆仑、百敖)以及中标麒麟、银河麒麟、中科方德为代表的国产操作系统，配套的WPS等国产软件也逐渐丰富起来。国产首先可以做到自主可控，这是一个基本的条件，自主可控的软硬件平台可以杜绝了x86系列计算机的安全后门，但是我国的安全防护技术仍然十分薄弱。以可信技术为支撑的安全可控软硬件技术正逐步发展起来，已成为我国个人终端抵御外界入侵的天然屏障。普通的国产平台只是提供了一个硬件基础，硬件、BIOS、系统易被非法篡改。中国专利文献CN103106373A公开了一种可信计算芯片及可信计算系统。本专利技术的可信计算芯片包括：算法功能层、应用功能层、通信单元和平台配置寄存器。本专利技术的可信计算系统包括：服务模块、安全应用模块、可信计算芯片、可信计算模式设置模块、固件下载单元、固件单元。本专利技术的可信计算芯片及可信计算系统，通过简单的配置使可信计算系统能支持多种可信计算算法及应用。但是，该专利中存在以下缺陷：该专利只是描述了一种可信计算芯片，只能保证开机过程中的安全性，对于系统运行过程中的运行安全无法保证。中国专利文献CN104200156A公开了一种基于龙芯处理器的可信加密系统，通过TCM芯片对BIOS及操作系统进行完整性保护，并基于TCM芯片密码算法对密钥进行加密保护，密钥存储在USBkey内部，通过对BIOS改造实现密钥使用认证，密钥从USBKey到硬盘密码芯片的传输，采用可信计算技术保证系统不被破坏，通过加密密钥存储、使用过程的安全性保护，保证加密数据的安全可信。但是，该专利中存在以下缺陷：该专利在开机过程中仅仅对BIOS、OS进行度量并未对平台的硬件进行完整性保护；其次只保证了系统运行过程中的数据安全，对于恶意程序无法阻止。
技术实现思路
针对现有技术的不足，本专利技术提供了一种基于国产TCM的可信计算单元；本专利技术还提供了上述可信计算单元的运行方法；本专利技术结合国产TCM，在开机阶段对光驱、网卡、硬盘以及BIOS、OS进行完整性度量，防止硬件、BIOS、系统的非法篡改；提供双重身份认证，BIOS阶段以及系统登录阶段均需认证通过；系统运行过程中通过白名单机制防止恶意程序的运行。本专利技术稳定性好、适用性强，在自主可控基础上保证机器的运行安全。术语解释：TCM，trustedcryptographymodule，可信密码模块；本专利技术的技术方案为：一种基于国产TCM的可信计算单元，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；所述机械结构层包括机箱、散热系统、电源；所述固件层包括固件；所述操作系统层包括操作系统；所述平台硬件层包括背板、计算单元模块、可信密码模块；所述可信软件层包括可信应用模块、可信计算支撑模块；所述可信计算支撑模块为所述可信应用模块访问可信密码模块的桥梁，所述可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；所述可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。根据本专利技术优选的，所述计算单元模块为龙芯3A处理器。根据本专利技术优选的，所述龙芯3A处理器的主频为1GHZ，主板通过北桥芯片AMDRS780连接Intel82574芯片扩展2个千兆网口、1个PCIEx16插槽、1个VGA接口、1个串口，对外扩展预留一个PCI-E×16插槽，主板通过南桥芯片AMDSB710扩展4个USB接口和SATA接口。根据本专利技术优选的，所述可信密码模块包括国产TCM芯片、FPGA芯片、电源转换芯片。此处设计的优势在于，可信密码模块通过军用TCM芯片、FPGA等核心硬件设计，实现底层可信功能电路，通过TCMCOS软件设计，实现底层可信基础功能、身份认证、安全审计等安全功能。根据本专利技术优选的，所述身份认证基于USBkey和TCM芯片实现，设备开机登录、可信应用软件登录时，对用户信息进行身份合法性验证；所述可信程序控制基于白名单机制实现，基于LSM机制对HOOK函数进行重载，实现对可执行文件执行的拦截；所述可信文件保护通过LinuxLSM内核安全模块机制，回调文件保护函数过滤用户的操作，实现文件的保护；所述可信文件加密基于Linux加密文件系统进和TCM芯片密码服务接口开发，通过调用TCM密码服务接口对称加解密；所述安全审计主要审计用户违规行为日志；所述可信接入验证主要对其他设备进行完整性验证和认证。根据本专利技术优选的，所述固件为昆仑固件。上述可信计算单元的运行方法，包括步骤如下：(1)系统开机后，对整机BIOS进行完整性度量；(2)对用户进行认证；(3)对光驱、硬盘、显卡硬件以及内核关键文件进行完整性度量；(4)完整性度量完成后，系统加载，进入登陆界面，调用USBKey和TCM芯片共同完成身份认证；(5)系统运行过程中通过可信文件加密以及可信文件保护来实现文件的访问控制；通过可信程序控制实现非法程序拦截以及防止应用程序的篡改；(6)可信接入控制功能主要是实现对客户端的访问控制，通过对客户端的软硬件信息进行收集判断，对于非法客户端拒绝链接访问该单元，预防非法攻击。本专利技术的有益效果为：1、本专利技术功能完善、算法运算速率高、并发工作容量大；作为可信计算单元，它既可以为信息安全传输系统提供高性能的数据加/解密服务，又可以作为主机数据安全存储系统、身份认证系统以及对称、非对称密钥管理系统的主要密码设备和核心构件，具有广泛的系统应用潜力。2、本专利技术中不仅可以实现文件的加解密以及访问控制，有效地保护文件安全；其次还可以实现对非法程序拦截以及防止应用程序的篡改。3、本专利技术中的可信计算单元同时还可以实现安全网关的功能，对接入的终端设备进行有效的过滤，防止非法客户端的访问攻击。附图说明图1为本专利技术可信计算单元的系统框图；图2为本专利技术可信计算支撑模块的调用关系示意图；图3为本专利技术可信应用模块的组织架构示意图。具体实施方式下面结合说明书附图和实施例对本专利技术作进一步限定，但不限于此。实施例1一种基于国产TCM的可信计算单元，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；机械结构层包括机箱、散热系统、电源；固件层包括昆仑固件；操作系统层包括操作系统；平台硬件层包括背板、计算单元模块、可信密码模块；可信软件层包括可信应用模块、可信计算支撑模块；如图1所示；可信计算支撑模块为可信应用模块访问可信密码模块的桥梁，可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提本文档来自技高网...

【技术保护点】
一种基于国产TCM的可信计算单元，其特征在于，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；所述机械结构层包括机箱、散热系统、电源；所述固件层包括固件；所述操作系统层包括操作系统；所述平台硬件层包括背板、计算单元模块、可信密码模块；所述可信软件层包括可信应用模块、可信计算支撑模块；所述可信计算支撑模块为所述可信应用模块访问可信密码模块的桥梁，所述可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；所述可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。

【技术特征摘要】
1.一种基于国产TCM的可信计算单元，其特征在于，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；所述机械结构层包括机箱、散热系统、电源；所述固件层包括固件；所述操作系统层包括操作系统；所述平台硬件层包括背板、计算单元模块、可信密码模块；所述可信软件层包括可信应用模块、可信计算支撑模块；所述可信计算支撑模块为所述可信应用模块访问可信密码模块的桥梁，所述可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；所述可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。2.根据权利要求1所述的一种基于国产TCM的可信计算单元，其特征在于，所述计算单元模块为龙芯3A处理器。3.根据权利要求2所述的一种基于国产TCM的可信计算单元，其特征在于，所述龙芯3A处理器的主频为1GHZ，主板通过北桥芯片AMDRS780连接Intel82574芯片扩展2个千兆网口、1个PCIEx16插槽、1个VGA接口、1个串口，对外扩展预留一个PCI-E×16插槽，主板通过南桥芯片AMDSB710扩展4个USB接口和SATA接口。4.根据权利要求1所述的一种基于国产TCM的可信计算单元，其特征在于，所述可信密码模块包括...

【专利技术属性】
技术研发人员：冯磊，李小敏，郭猛善，
申请(专利权)人：山东超越数控电子有限公司，
类型：发明
国别省市：山东,37