可信计算，给网络安全“开个白”

编者按：本文来自微信公众号“中智观察”（ID:Hapiweb-soft6），作者：陈杨，36氪经授权发布。

毋庸置疑的是，从PC互联网时代到万物互联的数字智能时代，网络安全在企业战略中的地位越来越高，企业对网络安全的投入不断增加。

数据最有说服力，《IDC全球网络安全支出指南》报告预测：从2019到2023年，全球网络安全相关支出将实现10.0%的CAGR（年均复合增长率），预计2023年达到1571.6亿美元。

也不得不说，在PC互联网时代，“防火墙、杀病毒、入侵检测”传统老三样尚能发挥作用，移动互联网时代，其便显得力不从心，更不用谈物联网的未来。

无处不在的攻击点催生了无界防护需求，网络安全防护技术也不断升级迭代。除了零信任外，可信计算也成为近两年网络安全领域的热门理念。

01可信计算的原理

可信计算，即Trusted Computing，简称TC，是由TCG(可信计算组)推动和开发的技术。其本质是在计算和通信系统中使用基于硬件安全模块支持下的可信计算平台，由此提升整个系统的安全性。

具体来看，可信计算平台分为四个组成部分，分别为信任根、硬件平台、操作系统和应用系统，自下而上形成一条完整链路。其中，硬件安全模块扮演信任根的角色，是整个可信计算平台的基石。

在信任根之上为可信任的硬件平台，同理，操作系统经过硬件平台的信任，应用经过操作系统的认证。由于整个链条环环相扣，每个部分都由上一部分可信验证，所以由可信计算组成的IT系统安全性大大提高。

之所以可信计算能满足物联网时代的网络安全需要，关键在于其相比传统老三样，实现了网络安全防护的提前出击。众所周知，传统老三样的原理是防御，如操作系统产生漏洞了，马上下载补丁。哪个应用有病毒了，借助杀毒软件查杀。不难发现，传统老三样的安全防护，往往都是“救治于后”，此时企业或多或少已经产生了损失。

而可信计算的原理是出击。由于整个链路都经过可信认证，所以无论从应用、操作系统还是硬件，必须经过授权才能使用，这无疑降低了病毒、网络攻击的概率。

形象理解的话，传统老三样好比病人被病毒感染后的救治，可信计算旨在从根本上杜绝病毒的来源，把病毒拦在外界。

02 1.0到3.0，不温不火的几十年

虽说可信计算近两年成为网络安全领域的热门理念，但其并不是新鲜事物。事实上，早在1983年的时候，美国国防部便颁布了《可信计算机系统评价标准》（TCSEC），这也是世上首个可信计算标准。

相比美国，我国关于可信计算的研究晚了大概十年左右。在1992年时，我国立项成立了免疫可信计算综合安全防护系统，并于1995年2月底通过测评鉴定。在可信计算的推广上，中国工程科学院沈昌祥院士、中科院冯登国研究员、武汉大学张焕国教授等无疑是主要推广者。

从八十年代至今，可信计算的发展已历经三个阶段。可信计算1.0，主要防护对象是主机，其以容错技术为标志，主要为提供主机的可靠性，所以提供了冗余备份、故障排除等功能。

可信计算2.0，主要防护对象是PC，由可信计算组织TCG推动，代表技术为TPM（Trusted Platform Module,可信平台模块），通过硬件被动挂接、软件被动调用等形式，为PC提供静态保护。在结构上，可信计算2.0为外挂式体系结构。

可信计算3.0，即当下的热门，其防护对象扩大到了整个网络。不同于1.0和2.0，可信计算3.0采用双系统体系架构实现可信，即在保证原有计算体系架构不变的基础上，单独建立一个逻辑独立的可信计算架构。

该架构可为系统中的安全机制提供统一的基础，并为各安全机制的动态连接、构成纵深防御体系提供支持。

对我国而言，TPCM（Trusted Platform Control Module，可信平台控制模块）是可信计算3.0中的创新点之一和主动免疫机制的核心。相比TPM，TPCM可提供完整性度量、可信报告、控制存储、可信密码等功能。

03 可信计算的四类玩家

物联网、区块链，这无疑是ICT产业最热门的技术之二，也正是物联网、区块链的安全防护需要，使得可信计算3.0有了更广的应用场景。尤其在互联网和金融行业，可信计算与区块链可谓相辅相成。

这也是为何IT厂商们纷纷发力可信计算的原因。从类别上看，可信计算的玩家主要可分为四类：一是大型软硬件厂商，以硬件厂商为主，如英特尔、IBM、华为、百度。由于硬件平台是可信计算的偏底层组成部分，所以不难理解软硬件巨头为何参与。

二是云服务商，包括Azure、阿里云、谷歌云、腾讯云等。以阿里云为例，其表示已提供了较完整的平台安全措施和强边界防御能力，同时通过可信来有效减小攻击面和攻击源，提升攻击门槛，使云平台安全升级。

如依赖云平台硬件安全中的可信计算能力，通过自研开发的可信服务，阿里云实现了云上的软件栈可信；云平台可信则指确保云平台上运行的系统软件，如固件、操作系统（OS）的安全，保障平台上的系统不被篡改，即保持运行环境是所要求的运行环境。

三是网络安全厂商，能看到包括奇安信、启明星辰、绿盟等在内的国内多家安全厂商均有涉及。如启明星辰，早在2014年时便选择收购国内数字签名、文档数据巨头书生电子，挺进可信计算。

绿盟科技则于2019年开始研究可信计算，通过与可信华泰精诚合作，打造了一套基于可信3.0的网络安全方案，所涉及的产品包括网络入侵防护系统、网络入侵检测系统、远程安全评估系统、NF防火墙系统、运维安全管理系统、WEB应用防护系统、安全审计系统、数据库审计系统以及日志审计系统等。

四则是区块链公司，如ARPA、公信宝（GXChain）、趣链科技等。如GXChain曾公开表示，其推出的可信计算方案通过 TEE 来实现链外计算，通过 MPC 实现分布式密钥管理机制来增强 TEE 的安全性和稳定性，并在 TEE 里面加载小型虚拟机从而实现通用的可信计算，更好地衔接现有大数据基础设施。

04 静待风口到来

尽管可信计算3.0是热门，但在中国软件网看来，可信计算3.0距离大规模应用，仍有很长的路要走。原因在于当下，可信计算3.0更多停留在理论、概念阶段，同时其不像传统老三样般是个看得见摸得着的网络安全防护产品，企业更愿意为真正能落地、产生价值的系统买单。

同时，由于可信计算从底层平台颠覆了传统网络防护的规则，这意味着企业如果构建一套可信计算3.0方案，无疑要斥巨资做出升级。而在企业IT支出中，网络安全本就是弱势，企业不愿过多投入，这进一步增加了落地难度。

但可信计算3.0，的确有未来，这毋庸置疑，IT巨头纷纷牵头参与便是最好的证明。随着物联网、区块链等技术进一步得以应用，可信计算3.0才真正迎来风口。