[发明专利]一种基于国产TCM的可信计算单元及其运行方法

说明书

技术领域

本发明涉及一种基于国产TCM的可信计算单元及其运行方法，属于国产龙芯计算机、数据加解密以及身份验证等技术领域。

背景技术

随着“棱镜门”事件的爆发，国家对研制自主可控的国产计算机越来越重视。硬件方面，我国拥有自主研制的龙芯3A、3B系列CPU、飞腾1500A系列CPU、申威4A系列CPU等多款CPU，在性能方面已经接近普通intel处理器，可满足正常办公需求，同时拥有研制相应主板的核心技术和成熟工艺。软件方面，已有自主研制的BIOS(如昆仑、百敖)以及中标麒麟、银河麒麟、中科方德为代表的国产操作系统，配套的WPS等国产软件也逐渐丰富起来。

国产首先可以做到自主可控，这是一个基本的条件，自主可控的软硬件平台可以杜绝了x86系列计算机的安全后门，但是我国的安全防护技术仍然十分薄弱。以可信技术为支撑的安全可控软硬件技术正逐步发展起来，已成为我国个人终端抵御外界入侵的天然屏障。

普通的国产平台只是提供了一个硬件基础，硬件、BIOS、系统易被非法篡改。

中国专利文献CN 103106373A公开了一种可信计算芯片及可信计算系统。本发明的可信计算芯片包括：算法功能层、应用功能层、通信单元和平台配置寄存器。本发明的可信计算系统包括：服务模块、安全应用模块、可信计算芯片、可信计算模式设置模块、固件下载单元、固件单元。本发明的可信计算芯片及可信计算系统，通过简单的配置使可信计算系统能支持多种可信计算算法及应用。但是，该专利中存在以下缺陷：该专利只是描述了一种可信计算芯片，只能保证开机过程中的安全性，对于系统运行过程中的运行安全无法保证。

中国专利文献CN104200156A公开了一种基于龙芯处理器的可信加密系统，通过TCM芯片对BIOS及操作系统进行完整性保护，并基于TCM芯片密码算法对密钥进行加密保护，密钥存储在USBkey内部，通过对BIOS改造实现密钥使用认证，密钥从USBKey到硬盘密码芯片的传输，采用可信计算技术保证系统不被破坏，通过加密密钥存储、使用过程的安全性保护，保证加密数据的安全可信。但是，该专利中存在以下缺陷：该专利在开机过程中仅仅对BIOS、OS进行度量并未对平台的硬件进行完整性保护；其次只保证了系统运行过程中的数据安全，对于恶意程序无法阻止。

发明内容

针对现有技术的不足，本发明提供了一种基于国产TCM的可信计算单元；

本发明还提供了上述可信计算单元的运行方法；

本发明结合国产TCM，在开机阶段对光驱、网卡、硬盘以及BIOS、OS进行完整性度量，防止硬件、BIOS、系统的非法篡改；提供双重身份认证，BIOS阶段以及系统登录阶段均需认证通过；系统运行过程中通过白名单机制防止恶意程序的运行。本发明稳定性好、适用性强，在自主可控基础上保证机器的运行安全。

术语解释：

TCM，trusted cryptography module，可信密码模块；

本发明的技术方案为：

一种基于国产TCM的可信计算单元，包括机械结构层、平台硬件层、固件层、操作系统层、可信软件层；

所述机械结构层包括机箱、散热系统、电源；所述固件层包括固件；所述操作系统层包括操作系统；所述平台硬件层包括背板、计算单元模块、可信密码模块；所述可信软件层包括可信应用模块、可信计算支撑模块；

所述可信计算支撑模块为所述可信应用模块访问可信密码模块的桥梁，所述可信应用模块通过调用可信软件基和可信软件服务的接口来使用可信密码模块提供的安全功能，安全功能包括完整性度量、身份认证、加解密功能；

所述可信应用模块基于所述可信计算支撑模块提供的编程接口和操作系统安全内核机制设计开发，采用QT库设计图形化用户界面，提供身份认证功能、可信文件加密功能、可信程序控制功能、可信文件保护功能、安全审计功能、可信接入验证功能，同时在内核层设计内核安全模块支撑用户层功能模块。

根据本发明优选的，所述计算单元模块为龙芯3A处理器。

根据本发明优选的，所述龙芯3A处理器的主频为1GHZ，主板通过北桥芯片AMD RS780连接Intel82574芯片扩展2个千兆网口、1个PCIEx16插槽、1个VGA接口、1个串口，对外扩展预留一个PCI-E×16插槽，主板通过南桥芯片AMD SB710扩展4个USB接口和SATA接口。

根据本发明优选的，所述可信密码模块包括国产TCM芯片、FPGA芯片、电源转换芯片。