基于密码技术的云安全服务商

新闻中心

当前位置:首页 > 新闻中心 > 行业动态

密码卡在云安全中的展望

来源:原创 | 浏览:0 | 时间:2015-08-14 17:20:37

摘要:

云安全是一个热点话题,如何在云端保证安全,传统的封堵查杀是远远不够的。可信技术是很好的保证云环境安全的方式,结合传统密码行业的密码卡技术,我们能在云安全中走得更远。


云计算是当今信息领域的热点,云计算的魅力在于将大量计算资源、存储资源与软件资源链接在一起,形成巨大规模的共享虚拟IT资源池,为使用者提供“随时使 用”、“能力无限”的 IT 服务。因此,虚拟化技术是云计算的关键技术之一。广义的虚拟化技术包括了计算资源虚拟化、存储资源虚拟化、网络虚拟化、应用的虚拟化等,但其核心技术是主 机的虚拟化。主机的虚拟化,是指将一台物理计算机虚拟为多台逻辑计算机,即在一台计算机上同时运行多个逻辑计算机,每个逻辑计算机可运行不同的操作系统,应用程序可 以在相互独立的空间内运行而互不影响。多台虚拟机共享物理计算机可以提高计算机硬件的利用率;加载同一应用服务虚拟机在不同物理计算机上并行执行可以提高 系统的可靠性;虚拟机的动态加载、在不同主机上的迁移等技术使得信息系统的部署更具有弹性。虚拟机技术的优势使得它在公有云、私有云中得到迅速推广应用。

任何事物都有两面性,我们在使用虚拟化技术带来的好处的同时,也要看到它的缺点:在云计算服务平台中,资源以虚拟、租用的模式提供给用户,这些虚拟资源根据 实际运行所需与物理资源相绑定,由于在云计算中是多租户共享资源,多个虚拟资源很可能会被绑定到相同的物理资源上,如果云平台中的虚拟化软件中存在安全漏 洞,那么用户的数据就可能被其他用户访问。因此,用户会对云中的虚拟机的可信性产生疑虑,怎么相信这个虚拟机是安全可靠的?实际上这可以通过可信计算的思 想来解决。

可信计算作为一种计算机安全技术已经出现了十多年,其最初的目地是为了保证终端计算机的环境安全,使单机环境能够按照预期的设计正确运行。我国专家将可信理 解为:可信≈可靠+安全。1999年,IBM、Intel、HP、Microsoft等国际知名公司发起成立了可信计算平台联盟,并在2003年改名为可 信计算组织(Trusted Computing Group,TCG),并陆续制定了一系列相关的标准,我国在2008年也成立了中国可信计算联盟(Chinese Trusted Computing union            ,CTCU),并采用中国自己的密码算法制定了中国自己的可信计算标准。

准确判断一个信息系统可信是困难的,但可信计算给出了一种有效的方法,这种方法的基本思想是:在信息系统增加硬件TPM模块(可信平台模块),并以此为基础 建立计算机系统的信任根,再建立一条信任链,从信任根开始到硬件平台到操作系统再到应用,一级度量认证一级,一级信任一级,把信任关系扩大到整个计算机系 统,从而认为整个计算机系统是可信的。我们可以继续把信任的边界扩展到虚机,乃至整个云中,从而保证云计算环境的可信性。

但可信计算最初的单机初衷在虚拟化中存在本质问题。虚拟化技术都是通过软件技术将物理硬件虚拟成多个实例供虚拟机操作系统使用,因此本质上是硬件共享的技 术。可信计算的核心是TPM模块的应用,TPM也是一个硬件资源,可信平台技术移植到虚拟机环境,首先要实现TPM模块的虚拟化,即多虚机共享物理 TPM,每个虚机都通过虚拟化技术得到一个逻辑上独立的vTPM。如何选择TPM的虚拟化方式,即vTPM的实现机制是很重要的,如果通过软件虚拟TPM 必然带来安全性的降低,为了支持虚拟化,vTPM的很多功能在软件层实现,但其安全可信的根必须在物理TPM。

                        

TPM安全芯片


目前业界的普遍做法是在云主机的主板上嵌入TPM芯片,但传统的TPM芯片在处理速度,并发能力,存储空间,密钥管理机制及支持虚拟化的程度上都难以满足云端大数据的处理要求。另一方面,由于云需要支持多租户应用,因此在云中运行的虚拟机具有多样性、动态性,比如对VPC的支持、对虚拟网络的支持、对SDN 等新技术的支持、对新型加密应用的支持、对新型网络应用的支持,因此一成不变的、不能动态升级的TPM可能无法面对云中复杂的应用环境,过去对静态PC的 TPM模块不能满足需要,云中的TPM模块最好能支持算法的灵活性升级、加载。再有,对TPM高效、灵活的应用要求,需要高效的通信接口。基于单机TPM设计的LPC总线满足不了云中的应用需求。



密码卡作为TPM使用,先天具有很多优势,首先是在计算能力上,具有传统TPM无法比拟的速度优势;其次在存储空间的扩展上,也比单芯片的TPM具备更高的灵活性;同时,密码卡基于PCI-E总线的高度灵活性,也解决了对于市场上存量服务器无法添加TPM芯片的尴尬。北京三未信安作为国内领先的密码硬件服务 提供商,更是在传统密码卡基础上,研发出了加解密速度达到8Gbps的高速密码卡,能够支持云端更高的加密速度需要,极大的扩展了密码卡在云端的应用场 景。

但密码卡作为虚拟环境下的TPM,为多个虚拟机提供vTPM,本身必须支持虚拟化技术,将单卡的资源模拟成为多个逻辑上隔离的vTPM。密码卡的虚拟化技术可通过两种层次实现,基于软件的虚拟化和基于硬件的虚拟化。软件虚拟化基于虚拟化平台(如KVM、Xen等)本身所提供的驱动机制来实现,密码 卡的资源通过驱动的虚拟化映射来实现调度和共享,因此,基于软件的虚拟化不利于发挥硬件资源的性能。当密码卡作为外部设备提供了很高的性能时,单个虚拟机将无法发挥其工作效率,为此需要实现多个虚拟机对密码卡资源的共享。硬件虚拟化技术作为一种基于硬件层的虚拟化可实现密码卡资源的分割,能够充分发挥密码卡硬件的性能,密码卡支持硬件虚拟化技术后,VMM通过TPM驱动程序可以直接访问密码卡,减少了软件层调度对性能的影响,因此在虚拟化环境中可以获得较高的性能。在密码卡的虚拟化方面,北京三未信安也很早就进行了投入,目前量产的多款密码卡均支持硬件虚拟化技术。

云中有了硬件密码卡作为每个云服务器的强可信根,相当于云端的每个实体都可以通过可信计算技术进行安全防护。由于支持硬件虚拟化技术,虚拟机操作系统通过 TPM驱动就可以直接使用密码卡内的密钥进行密码运算,这样,密码卡作为一个标准的TPM组件,可以直接被操作系统层透明的调用。操作系统通过上文描述的 软件机制,结合TPM模块即可构造一套软硬件一体,且足够安全的数据保护体系。

密码卡不仅仅可以作为TPM,在云端还可以充分发挥自身的密钥保护和密码运算加速功能,为所有涉及密码技术的云端应用模式提供硬件层支撑。在这里可以列举几个例子:比如在虚拟化环境中,借助密码卡在虚拟机中对文件系统或磁盘协议进行加密,以保护数据安全;比如通过密码卡保护Https的服务器密钥,以防止诸如心脏滴血等SSL漏洞;再比如密码卡在硬件层面为每个虚机维护传输会话密钥,在云中建立P2P的VPN通道。密码卡解决了密钥的安全存储问题,为整个体系提供了密钥保护和密码运算卸载,相当于在操作系统上增加了一个高速的、可信的密码运算模块。密码卡在云端的应用远不止于此,还有待于深度的挖掘。归根到底密码技术是一种主动防御的安全技术,之所以在云端没有大量应用,还是在于密码技术本身在形态、性能和使用方式上的局限性。相信随着密码技术向云端的渗透,我们能看到一个更安全的云环境。