申請(qǐng)單位 |
大唐高鴻數(shù)據(jù)網(wǎng)絡(luò)技術(shù)股份有限公司 |
申報(bào)云獎(jiǎng)?lì)愋? |
以下可多選
容器類
□容器虛擬化
□容器管理
□其他
計(jì)算類
□內(nèi)核
□內(nèi)存
□資源管理
□虛擬化
□其他
存儲(chǔ)類
□塊設(shè)備
□數(shù)據(jù)庫(kù)
□緩存
□對(duì)象存儲(chǔ)
□其他
網(wǎng)絡(luò)類
□基礎(chǔ)網(wǎng)絡(luò)
□VPC
□外網(wǎng)接入
□CDN
□其他
安全類
□網(wǎng)絡(luò)安全
□業(yè)務(wù)安全
■其他 |
申報(bào)技術(shù) |
技術(shù)一
可信計(jì)算池(TCP Trusted Computing Pool) |
技術(shù)名稱 |
安全類其他子類可信計(jì)算技術(shù) |
創(chuàng)新點(diǎn)
（15分） |
我們的創(chuàng)新點(diǎn)：可信計(jì)算資源池
可信計(jì)算資源池技術(shù)包括：
1） 可信引導(dǎo)技術(shù)
平臺(tái)計(jì)算環(huán)境的可信鏈由可信安全模塊為基礎(chǔ)，發(fā)起逐級(jí)度量。首先在計(jì)算機(jī)系統(tǒng)中建立一個(gè)信任根，再建立一條信任鏈，從信任根開(kāi)始，經(jīng)過(guò)硬件平臺(tái)和操作系統(tǒng)，再到應(yīng)用，逐級(jí)測(cè)量，逐級(jí)認(rèn)證，一級(jí)信任一級(jí)，這種信任機(jī)制可以通過(guò)傳遞的方式保持下去并不被破壞。達(dá)到可信環(huán)境下的各種操作也是可信任的，不存在不被信任的實(shí)體，達(dá)到不破壞平臺(tái)本身完整性目的，從而很好的保證平臺(tái)及應(yīng)用的安全?？尚乓龑?dǎo)確保了系統(tǒng)按照經(jīng)過(guò)嚴(yán)格驗(yàn)證的路徑進(jìn)行引導(dǎo)。它對(duì)主引導(dǎo)記錄、操作系統(tǒng)裝載器、操作系統(tǒng)內(nèi)核、系統(tǒng)配置信息、虛擬管理器等進(jìn)行驗(yàn)證，確保引導(dǎo)過(guò)程中各部件的完整性。
2） 遠(yuǎn)程認(rèn)證技術(shù)
遠(yuǎn)程認(rèn)證指可信平臺(tái)將可信鏈的各個(gè)部分進(jìn)行度量并報(bào)告至遠(yuǎn)程認(rèn)證平臺(tái)，以證明其平臺(tái)狀態(tài)的可信性。每個(gè)可信計(jì)算模塊存在唯一的可信根。在對(duì)外認(rèn)證時(shí)，一個(gè)可信計(jì)算模塊實(shí)體要向遠(yuǎn)程認(rèn)證者提供其可信鏈各個(gè)部分的度量值。最終實(shí)現(xiàn)經(jīng)過(guò)安全認(rèn)證的可信計(jì)算平臺(tái)具有相同的安全級(jí)別。在可信的計(jì)算平臺(tái)上使用遠(yuǎn)程認(rèn)證技術(shù)實(shí)現(xiàn)對(duì)通信雙方平臺(tái)運(yùn)行環(huán)境的可信性驗(yàn)證，從而來(lái)保證雙方通信的可信性，并據(jù)此搭建可信的網(wǎng)絡(luò)應(yīng)用環(huán)境。
3）可信資源池構(gòu)建技術(shù)
通過(guò)遠(yuǎn)程驗(yàn)證，驗(yàn)證每個(gè)可信計(jì)算平臺(tái)的可信狀態(tài)；結(jié)合基于芯片級(jí)別的資產(chǎn)標(biāo)簽和地理標(biāo)簽、服務(wù)保障等級(jí)等關(guān)鍵性指標(biāo)構(gòu)建不同的可信資源池及層次；結(jié)合群組加密技術(shù)，物理主機(jī)可以加入或者退出可信池，池成員之間可以進(jìn)行信任驗(yàn)證。同時(shí)高安全等級(jí)用戶能夠獲得對(duì)底層基礎(chǔ)架構(gòu)足夠的可見(jiàn)度，如硬件配置、軟件配置、固件配置等，能夠得到在特定軟硬件平臺(tái)上運(yùn)行其工作負(fù)載的服務(wù)保證。
4）可信的云資源調(diào)度技術(shù)
靈活的可信云資源調(diào)度層，根據(jù)業(yè)務(wù)系統(tǒng)及法規(guī)遵從的要求，可以在不同信任度的各個(gè)資源池中合理規(guī)劃和分配業(yè)務(wù)應(yīng)用，特定的計(jì)算工作量放在指定的服務(wù)器上運(yùn)行，使得自動(dòng)化的IT資源分區(qū)管理得到極大增強(qiáng)。同時(shí)資源調(diào)度技術(shù)保障云主機(jī)的整個(gè)生命周期在可信資源池中運(yùn)行。同時(shí)資源池中資源的可信狀態(tài)、服務(wù)保障等級(jí)是實(shí)時(shí)監(jiān)控的，保證可信資源池的安全性，進(jìn)而保障業(yè)務(wù)系統(tǒng)的安全性。
5)變更管理技術(shù)
利用可信平臺(tái)模塊技術(shù)提供的硬件級(jí)支持，關(guān)鍵硬件模塊，如主板、BIOS、磁盤，以及關(guān)鍵軟件模塊，如操作系統(tǒng)內(nèi)核、云平臺(tái)模塊等的非計(jì)劃變更可以得到完備的本地追蹤記錄，做到實(shí)時(shí)記錄、跟蹤。 |
技術(shù)介紹
（15分） |
可信計(jì)算資源池技術(shù)主要是解決：
在開(kāi)放式網(wǎng)絡(luò)計(jì)算環(huán)境中，形成服務(wù)器之間的可信關(guān)系。
可信計(jì)算資源池技術(shù)實(shí)現(xiàn)方式：
1. 通過(guò)可信平臺(tái)模塊的可信引導(dǎo)、度量、遠(yuǎn)程證明技術(shù)構(gòu)建云完整性；
2. 通過(guò)遠(yuǎn)程認(rèn)證技術(shù)構(gòu)建云環(huán)境下的可信認(rèn)證；
3. 通過(guò)芯片級(jí)標(biāo)簽、服務(wù)保障水平及群組加密技術(shù)構(gòu)建可信池；
4. 通過(guò)可信云調(diào)度技術(shù)保障云主機(jī)全生命周期運(yùn)行在適合的工作負(fù)載中；
5. 通過(guò)變更管理技術(shù)實(shí)時(shí)跟蹤負(fù)載變化；
|
技術(shù)特點(diǎn)
(10分) |
技術(shù)特點(diǎn)：
1. 通過(guò)可信計(jì)算技術(shù)，基于硬件級(jí)別的可信平臺(tái)模塊及可信技術(shù)，保證云環(huán)境中的工作負(fù)載的完整性；
2. 通過(guò)遠(yuǎn)程認(rèn)證技術(shù)構(gòu)建端到端的可信云環(huán)境；
3. 通過(guò)基于可信技術(shù)及基于芯片的標(biāo)簽技術(shù)，群組加密技術(shù)，構(gòu)建可信池，確保工作負(fù)載透明以及云主機(jī)全生命周期正確調(diào)度；
4. 通過(guò)變更管理技術(shù)，實(shí)時(shí)保證云環(huán)境的可信性。
技術(shù)優(yōu)勢(shì)：
1. 區(qū)別與以往的NAC與NAP技術(shù)，可信計(jì)算資源池技術(shù)可以更好的適應(yīng)在非可信環(huán)境下的對(duì)等認(rèn)證機(jī)制，不需要額外的設(shè)備參與認(rèn)證。
2. 區(qū)別以往傳統(tǒng)的CA與PKI架構(gòu)下證書的管理和使用。密碼、身份信息、認(rèn)證信息往往存在管理、維護(hù)困難，證書容易被竊取、身份信息被偽造等安全風(fēng)險(xiǎn)。而可信計(jì)算資源池技術(shù)的優(yōu)勢(shì)在于：在非可信環(huán)境下，可信計(jì)算單元可以從硬件層級(jí)的可信計(jì)算模塊來(lái)發(fā)起提供數(shù)字證書與服務(wù)器身份標(biāo)示來(lái)進(jìn)行身份認(rèn)證與通訊加密。無(wú)論是身份認(rèn)證可靠性，通訊加密強(qiáng)度，證書的安全性等方面，可信計(jì)算的身份認(rèn)證與認(rèn)證加密都有卓越的優(yōu)勢(shì)；
3. 區(qū)別于傳統(tǒng)的通過(guò)邊界防火墻、安全路由以及VLAN等方式進(jìn)行不同安全域的隔離。采用可信計(jì)算技術(shù)的計(jì)算環(huán)境，可以通過(guò)可信計(jì)算資源池技術(shù)，將相同安全等級(jí)的服務(wù)器自動(dòng)劃分到同一個(gè)動(dòng)態(tài)的安全域中。每次環(huán)境變化都進(jìn)行主動(dòng)度量。這樣避免了傳統(tǒng)方式下以人工方式進(jìn)行安全域度量造成的安全缺陷。將服務(wù)器的信息安全防護(hù)體系由被動(dòng)模式變?yōu)橹鲃?dòng)模式。
|
技術(shù)應(yīng)用
（10分） |
在公有云、私有云、混合云的環(huán)境里，安全是最需要保證的環(huán)節(jié)。通過(guò)可信計(jì)算資源池技術(shù)可以實(shí)現(xiàn)：無(wú)論服務(wù)器所處環(huán)境是否可信，均可以以可信服務(wù)器本身為節(jié)點(diǎn)，借助可信計(jì)算模塊的功能（生成證書、加解密模塊、身份認(rèn)證等）。實(shí)現(xiàn)服務(wù)器具備相同安全標(biāo)準(zhǔn)。可信服務(wù)器自動(dòng)組建并加入到可信安全池中，來(lái)實(shí)現(xiàn)統(tǒng)一的安全防護(hù)等級(jí)。此過(guò)程并不借助其他外部設(shè)備來(lái)實(shí)現(xiàn)，例如：防火墻、UTM、網(wǎng)閘、帶安全特性的交換機(jī)和路由器等設(shè)備。
舉例：在多租戶公有云環(huán)境中，如果底層服務(wù)器采用了可信計(jì)算服務(wù)器解決方案?？蓪碛薪y(tǒng)一可信標(biāo)準(zhǔn)的服務(wù)器構(gòu)建完整的安全認(rèn)證池。防止某一服務(wù)器發(fā)生安全風(fēng)險(xiǎn)時(shí)對(duì)其他服務(wù)器造成的安全威脅。 |
其它 |
其它需要說(shuō)明的地方 |
申報(bào)總結(jié) |
|
一段話自我推薦總結(jié)，最多300字 |
大唐高鴻新一代可信云計(jì)算基礎(chǔ)架構(gòu)解決方案通過(guò)可信服務(wù)器和可信云管理平臺(tái)，實(shí)現(xiàn)分權(quán)管理、資產(chǎn)標(biāo)簽、云完整性、可信資源池、合規(guī)審計(jì)、vTPM等功能，提供端到端的可信云基礎(chǔ)架構(gòu)，使云計(jì)算運(yùn)營(yíng)者可以實(shí)現(xiàn)資源可見(jiàn)、能力可控、質(zhì)量可知的云服務(wù)，保障客戶數(shù)據(jù)的安全性、隱私性、可感知性和可控性，降低云端用戶對(duì)云安全的疑慮，提升使用云服務(wù)的信心。 |
|
