可信计算技术系列谈：西电捷通平台鉴别PAI工程化研究.pdfVIP

可信计算技术系列谈 西电捷通平台鉴别PAI 工程化研究 西电捷通平台鉴别PAI 工程化研究 摘要：可信计算构筑网络安全，以密码技术为支持，以安全操作系统为核心 的可信计算技术，最早由微软、英特尔、惠普、IBM 等公司在 1999 年提出，其 主要思路是利用可信计算技术构建一个通用的终端硬件平台，增强现有PC 终端 体系结构的安全性。可信计算技术目前已成为国家信息安全领域的发展重点，可 信网络连接作为可信计算技术体系的组成部分，目的是实现网络接入设备与准入 设备之间的平台互信，防止不可信设备接入到应用网络。西电捷通于2007 年提 出可信网络安全连接解决方案——可信连接架构（Trusted Connect Architecture，TCA），并于2013 年被国家标准采纳发布为GB/T 29828-2013 《信 息安全技术 可信计算规范 可信连接架构》。TCA 技术是可信技术体系的重要组 成部分，它从机制上解决了身份合法性验证、平台评估及验证问题，实现了网络 接入设备与准入设备之间的平台互信，不仅能够防止坏人干坏事，还能阻止好人 干坏事的行为，从而提高了网络主动防御能力，为网络连接提供了更强的可信安 全防护。 关键词：可信计算 平台鉴别 PAI 工程化 平台鉴别基础设施（Platform Authentication Infrastructure，PAI）作 为TCA 技术体系的核心组件之一，提供平台鉴别安全服务。具体来说，PAI 协议 从理论到应用转化，必须以灵活的策略作为支撑，策略的作用在于为平台提供评 估要求及准则，实现协议与具体网络评估的有机结合。策略包括平台完整性评估 策略（简称评估策略）和平台完整性配置保护策略（简称配置保护策略），本文 旨在研究配置保护策略的相关技术，以提供有效、可行的工程化配置保护策略实 施方案。 1 PAI 协议工作原理 PAI 协议是TCA 标准中的核心技术之一，实现了平台身份鉴别和平台完整性 评估过程，TCA 层次结构分为网络访问控制层、可信平台评估层和完整性度量层， 实体分为访问请求者、访问控制器和策略管理器，其结构如图1 所示。PAI 协议 处于可信平台评估层，其角色分为：可信网络连接客户端（Trusted Network Connect Client，TNCC）、可信网络连接接入点（Trusted Network Connect Access Point，TNCAP）和评估策略服务者（Evaluation Policy Server，EPS），PAI 协 议通过6 条消息交互，实现平台身份鉴别和完整性评估过程，其交互过程如图2 可信计算技术系列谈 西电捷通平台鉴别PAI 工程化研究 所示。 访问请求者 访问控制器 策略管理器 IF-IM 完整性 完整性 完整性 IF-IM 完整性 度量层 度量收集者 度量收集者 度量校验者 IF-IMC IF-IMC IF-IMV 可信平台 IF-TNCCAP IF-EPS 评估策略 TNC客户端 TNC接入点 评估层 服务者 IF-TNT IF-APS 网络访问 网络访问 网络访问 鉴别策略 控制层 请求者 控制者