压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

葛小宇（華為公司IT產品線安全標準總監）：
主題：虛擬信任根國際標準提案情況介紹

大家好，我的議題是國家安全標準的相關工作。正式分享之前，我先分享最近看到的一句話，原文是：一些不被看好的人，反而最終實現了別人很難想象的成績。為什么說這個事？在國際標準的工作中，我們更多講的是合作與開放。

在這里有一個問題，我們不只是要打破這個圈子，因為有時候大家習慣講安全圈，這個提法我個人不是特別喜歡。因為對于娛樂圈 來講，圈里面的是明星，圈外面的是粉絲。但是安全不一樣，安全基本上沒有一個圈，大家都在這個圈子里面，包括做安全的、做產業的、做其他的。

尤其在國際安全這一塊，我們首先要打破這個圈子。其次，要打破技術的墻。因為誰知道哪個技術會突然流行起來呢？最終會在業界起到很大的作用呢？甚至在國際標準這一塊還要突破國界。

具體到安全標準，我們為什么要做標準？

首先，這個大會昨天很多主題，主題里面也講到了，尤其安全這一塊講求的是生態，尤其在云這個時代，不是以前單一的產品或者一個單一的盒子能夠解決很多問題。很多時候就是需要我們整個產業來合作，所以標準這一塊第一個功能就是首先在產業空間這一塊能夠達成共識。讓整個產業對某種技術、某種產品有一個共同的認可，這樣的話，讓大家在方向上有一個共同的認識和共同的建樹。

比如說31168和31167，這個就在行業里面達成了共識。另外，建立共同標準的規則，很多客戶建立新的系統，他不太有信心，因為他覺得這個東西是不是符合某種趨勢、某種國家和行業的標準，這個是不清楚的，所以在標準的制訂過程也是行業規則的制訂過程。

另外，聚焦主流。因為技術方面有很多分支，怎么通過標準聚焦主流，讓這個產業把力都用在一個地方，這是一個很重要的方面。另外一個是技術方面，標準很多時候要有領先的牽引這個產業發展的功能。

首先，標準前有一些研究，無線領域，像GSM。其次就是國際的組織，ISO、IEC、ICU，行業的組織，WTF。另外還有標準后的，因為他主要在做標準的推廣和應用。比較有名的像GSM，GCF這種組織都在做標準應用的推廣。具體的提案上也有一些標準和訴求，美國的科技顧問給總統的建議里面就提出來建可信性相關的技術建立他基本的技術，歐洲比較大的標準阻止也提到了網絡信息化的應用。

另外，一些工業組織，國際上一些組織也在做可信性相關的工作。美國說我們國家在迅速變化的全球競爭和影響力競爭中，他們覺得他們在激烈的全球化過程中，跟標準化的過程是密切關聯的，另外，他提到了美國本身致力于滿足全球化的標準的需求。

這也是他對標準全球化的理解。另外提到跟全球化標準的采購的關系，他們說在政府的采購管理方面，盡可能用協商一致的標準區做一些要求，從而減少一些額外的監管要求。從另外一個角度來看，如果從經濟全球化的需求，自然有標準化的需求。

具體到虛擬信任根的標準，為什么要做虛擬信任根？在可信性計算、云計算的標準下，在其他組織里面，TXT他有一些基本的規定，他傳遞了一個信任鏈，包括其他的功能。信任連分層，每一層要產地什么內容，有些定義不是很清楚。另外，如果大家了解可信，可信也存在不同的制式，幾種不同的制式在云計算里面應用，怎么最大化的兼容，減少開發的工作量，最大的達到一次開發、多次應用，要達到這樣這是需要挑戰的。

虛擬信任根解決了哪些問題呢？一方面這里面有一些安全的威脅，比如說非法訪問、人類合作項目，虛擬機的VCR拷貝，在這些方面他是可以使用虛擬信任根技術去解決這些問題的。所以，虛擬信任根這個方法在實際云計算應用中還是比較能解決一些很實際的問題的。

整個標準的項目過程，10月份，我作為聯合報告人做了一個報告，結束了以后我發了一個朋友圈：不靠洪荒之力，一步一步走出我們自己的路。這個話有一個根源，來源于我們今年在華為的會上我們CEO講了一句話，他的原話是：哪有什么洪荒之力，成功是一步一步走出來的，我把這個做了一個改變，我們虛擬信任根標準還和成功很遠。

從2015年10月份的時候我們正式提出這個提案，提出在ISO里面研究項目的提案，這個項目提出之前，在國內和香港項目上也有一些類似于其他標準提了一個提案，但是不是作為一個項目去提出來的。10月份的時候當時提出來，整個會場還是收到了很多的意見，包括國際上TC界的一個專家，TDMA的制式可能就是他開發出來的。

他當時問了一個問題，他說TCG已經做了相應的技術規范，我們為什么還要做一個另外的規范和標準做這個工作？這當時的確是有些人的疑問。但是基于我們剛才的講解，在整個云計算應用可信計算技術這一塊還遠遠不夠。

因為TCG制訂了VTM的方法，他怎么定，每一層傳遞什么內容，接口是什么樣的，他的安全性和應對風險的需求也是不一樣的。還有一些其他的可信性的制式。我們在那次會議上有一個法國的代表，他當時提出他的全球Glat Phone（音）的應用，也是他提出來的。

我們是去年12月份做這個項目，中期匯報的時候，大家有一個問題，大家對這個還是達成比較大的共識，包括一些企業積極的在聯系我們，快要參與這個標準的工作。今年在阿布扎比的會議上我們做了一個匯報，最終根據ISO的規則，他先要做研究項目，研究項目做完了以后，再決定要不要做新項目的立項，要給一個正式的編號。所以明年四月份要做正式的立項的匯報。

目前收到的提案情況，GP提出了一些提案，因為他對這個問題還是很感興趣，在可信性計算和項目應用GP組織還是很感興趣，以前都是應用在手機上，他有可信的環境的東西。

他建議首先要識別虛擬架構中不同的組件，并且不同的物理層都要識別出來，這跟我們的要求是一致的，他提出不能專注于某一種技術，這個就是講TBM該怎么做，TE該怎么做，而是在云計算環境下通用的要求，這跟我們做這個事的想法也不謀而合，這本來就是通過通用的需求使我們的不同制式能在云計算的應用下減少他之間的差異性，盡量的做一些兼容，減少整個云生態體系里面各層的工作量，最終能推動制式的應用。

他還有一個最重要的功能，因為這次大會主要在講生態，他有一個很重要的功能就是其中的一個生態可以借助，如果他能最大化兼容的情況下，可以借助其他的制式的生態。

這是有案例的，就像CPU這一塊有一個明確的案例，以前在CPU的架構，整個業界就是因為達成了兼容的一致的意見，最后才會看到我配一個PC機，英特爾也能用，AMD同樣也能用，這對產業的發展還是有很大的貢獻。他的技術也是希望后續我們在標準的制訂過程中能一塊去考慮這些內容。

另外一些是現在中國的提案，這個提案之前我們也是有一個小組，包括電子四院、中科院、中國信息安全研究有限公司、浪潮、華為這些單位在會議之前也討論，對提案的內容，包括提案的目標，我們還是達成了一致的，對我們國家的制式還是比較有利的。

我簡單介紹一下我們國內的提案情況，我們是通過UNEED（音）形式梳理在云計算場景下具體需要什么樣的場景和需求。最基本的是要可信啟動，可信啟動在其他的團雖然有定義，但是有一些問題，包括在虛擬機啟動以后，他如何去兼顧虛擬化信任根，如何通過信任根將信任鏈傳遞給VM里面的Geust OS，包括Geust OS里面的軟件，因為可信化如果做長了的話，它可以做的更長。虛擬化可信任根行動方案目前無法建立主機的傳遞方式。

正好我們有各種制式，各種制式怎么在云計算場景下考慮他的兼容。虛擬信任根是為虛擬機服務的。但是在云計算這一塊也存在一些問題，虛擬機的完整性、什么時候生成、什么時候銷毀，什么時候恢復。信任根遷移過程怎么樣考慮，包括各種制式，而不是考慮一種制式。怎么能使我們云里面的某一層兼容各種制式，也都是挑戰。

遠程證明這一塊也都在做，因為基于TPM的制式也都有一些方案，但是同樣是對虛擬化證明內容對Geust OS這一塊的證明是不足的。之前我看到一些廠商對遠程證明的內容還是達不到最終應用的程度。就是因為我們在這一塊定義還不是很清的。

如何安全、高效的為虛擬機頒發證書，解決證書申請的機制，這些也能證明另外的一些問題。這只是基的兩個例子，舉的這個標準是想通過實際的在云計算環境下的應用，通過這些例子去看，我們虛擬信任根的標準具體要涉及到哪些要求，我們怎么去定義一個通用的高層架構，滿足不同的制式，不同的方法在云計算下面的應用。

這是我們要解決的問題。這個問題在現實中討論的還是比較充分的，會議中也討論了一些關鍵的問題，第一個大家比較關心的是，作為國際標準，他應用的可能性還是很多的，在這種情況下，討論要不要聚焦在某一個技術上，最后國際專家和我們達成一致，具體不是要做某一個技術的規范，而是要做一個通用的規范，如果是某一個具體的話，他解決不了我們在云計算場景下不同制式的應用。

首先要提煉出一些通用需求和高層架構。另外，討論具體的用意，從用意中真正的提煉出他的需求。如果直接定義架構，存在一些沖突，如果從具體的用意看TDM怎么做，其他的制式怎么做，提煉出通用的需求，大家都去遵守這個需求，各種制式在應用的時候，也能減少沖突，增加兼容性。

另外，標準的范圍，有些比較前沿的機構還是比較感興趣的，以后是不是DOC要做，其他也要做，這是他們他們關心的，因為有些已經到了應用層。這一塊目前來看，首先還是從基礎的架構、基礎的應用框架，基礎的分層上去看，不用在這個方面擴展到很多新興的技術上。

另外，相關的硬件內容是否要涉及，這也是專家討論的比較多的內容。會后我們達成了一致意見，也有一些共識，當然這是項目的共識，這個項目在會后做報告，最終決定項目怎么做。因為這是國際慣例，因為大家覺得這個項目還是比較有價值的。

但是還需要有更多的內容去填充它。他把名稱也改成“虛擬化環境下建立信任根的要求”，主要從要求框架上去提出來。后續我們主要的工作就是從用意的場景下去看，包括TPM、TCM、TE等不同的架構上來看要求。包括國內國外專家組達成了一致意見。

最后，還是征集國內相應廠商的參與，因為云計算是一個生態，他涉及到有的人是做DOC的，有的人是做芯片的，有的人是做其他的應用軟件的，有的做OS。在這個標準范圍里面都是屬于一部分。在這種情況下我們還是開放的，希望其他感興趣的公司、機構一塊來完善這個標準，使這個標準最終形成一個有用的標準。

這一塊是一些聯系人的情況，一塊是我們的報告人是斯文·伯克利，如果大家有參與、有任何想法，都可以聯系我們來參與。就像我最開始講的一句話，有時候看著不起眼的一個人、一個組織、一件事，最終達成的成績可能是別人無法想象的。只要大家有這個事情有想法，都可以聯系我們，我們一塊把這個事情做好。 謝謝大家！