|
龍芯中科聯(lián)合衛(wèi)士通于2020年8月5日發(fā)布了龍芯安全模塊及SDK，今天我們?yōu)榇蠹規(guī)砩疃燃夹g(shù)解讀，帶您從技術(shù)角度走進(jìn)最新產(chǎn)品，深度了解龍芯CPU內(nèi)生安全體系！
1. 自主和安全的深度結(jié)合
龍芯是自研CPU標(biāo)桿企業(yè)，有20年的研發(fā)和產(chǎn)業(yè)推廣歷史。龍芯堅持“從每一行源代碼設(shè)計”的自主研發(fā)路線，掌握CPU核心設(shè)計能力。經(jīng)過近20年的積累，龍芯基本完成技術(shù)“補(bǔ)課”�，F(xiàn)有產(chǎn)品龍芯3A4000/3B4000基于28nm工藝，與AMD公司28nm工藝最后產(chǎn)品“挖掘機(jī)”性能相當(dāng)。在研的3A5000/3C5000將達(dá)到目前AMD市場主流產(chǎn)品水平。
信息安全是創(chuàng)新發(fā)展的重要保障，CPU成為構(gòu)建網(wǎng)絡(luò)信息系統(tǒng)安全防護(hù)體系的起點和根基。2020年8月5日，龍芯中科聯(lián)手合作伙伴發(fā)布了龍芯安全模塊及SDK，并推出了龍芯CPU芯片級內(nèi)生安全體系，代表我國在安全方面的兩支隊伍——“自主設(shè)計”隊伍和“安全可信”隊伍的會師。兩支隊伍經(jīng)過幾年的交流達(dá)成共識，自主的不一定安全，但不自主一定不安全。正確的做法是在自主設(shè)計的基礎(chǔ)上，加上從可信根開始的可信機(jī)制與安全保密機(jī)制。
龍芯3A4000/3B4000在CPU芯片內(nèi)集成了漏洞防范設(shè)計、硬件國密算法、安全可信模塊與安全訪問控制機(jī)制，已初步實現(xiàn)“自主設(shè)計”和“安全可信”的深度融合。
2. 龍芯CPU安全體系
龍芯CPU安全體系的基礎(chǔ)是龍芯芯片級的內(nèi)生安全機(jī)制，包括四個方面，分別是漏洞防范設(shè)計、硬件國密算法、安全可信模塊、安全訪問控制。
基于龍芯芯片級的內(nèi)生安全機(jī)制，建立起上層的安全生態(tài)。基礎(chǔ)安全體系包括安全固件、可信計算支撐體系、工控安全支撐體系�；A(chǔ)硬件設(shè)施包括各種終端電腦、服務(wù)器、網(wǎng)絡(luò)安全設(shè)備（例如堡壘機(jī)、VPN、防火墻、交換機(jī)等）、密碼設(shè)備（例如密碼機(jī)、密碼卡、USBKey、密碼CA等）。安全操作系統(tǒng)為應(yīng)用程序提供運行環(huán)境，制定應(yīng)用安全審核、內(nèi)核安全接口、以及自主訪問控制等標(biāo)準(zhǔn)規(guī)范。安全平臺軟件是信息網(wǎng)絡(luò)安全等級保護(hù)規(guī)范要求的產(chǎn)品，種類繁多，包括安全瀏覽器、防病毒軟件、安全電子郵件、電子文檔管理、安全網(wǎng)絡(luò)會議、視頻監(jiān)控系統(tǒng)、安全登錄、以及各類審計管理系統(tǒng)。
3. 漏洞防范設(shè)計
龍芯掌握CPU核心設(shè)計能力，芯片設(shè)計源代碼全部自主研發(fā)，在設(shè)計過程中主動防范芯片漏洞、消除后門隱患。
CPU是復(fù)雜巨系統(tǒng)，只有通過自主研發(fā)的實踐才能真正把握核心技術(shù)。2016年發(fā)現(xiàn)的“熔斷”和“幽靈”漏洞影響全球大量Intel、ARM處理器�！叭蹟唷焙汀坝撵`”漏洞屬于芯片硬件設(shè)計缺陷，無法通過軟件打補(bǔ)丁或者操作系統(tǒng)升級的方法修復(fù)。即使Intel、ARM自己對CPU的復(fù)雜性引起的漏洞都難以完全把握，到2020年仍然發(fā)現(xiàn)多款引進(jìn)的ARM處理器型號存在幽靈漏洞。
龍芯3A4000/3B4000及后續(xù)型號都實現(xiàn)對“熔斷”和“幽靈”漏洞免疫。龍芯走自研CPU的路線，看得懂、改得動，能夠從流水線、緩存、轉(zhuǎn)移猜測等關(guān)鍵機(jī)理上分析漏洞、規(guī)避問題。龍芯是國內(nèi)處理器中最早發(fā)布免疫CPU型號的廠商。龍芯通過硬件的方式防范漏洞，性能沒有明顯降低。
4. 硬件國密算法
密碼是國家重要戰(zhàn)略資源，是保障網(wǎng)絡(luò)與信息安全的核心技術(shù)和基礎(chǔ)支撐�！吨腥A人民共和國密碼法》于2020年1月1日正式施行，旨在規(guī)范密碼應(yīng)用和管理，促進(jìn)密碼事業(yè)發(fā)展，保障網(wǎng)絡(luò)與信息安全，提升密碼管理科學(xué)化、規(guī)范化、法治化水平，是我國密碼領(lǐng)域的綜合性、基礎(chǔ)性法律。
龍芯3A4000/3B4000是目前唯一通過國家商密二級型號認(rèn)證的CPU。龍芯3A4000/3B4000內(nèi)置安全模塊，集成硬件加解密算法。安全模塊獨立于處理器核工作，提供硬件密碼引擎、密鑰管理、安全存儲與隨機(jī)數(shù)發(fā)生等功能。安全模塊支持國密算法SM2/SM3/SM4，可以取代外置密碼卡。相比于使用軟件進(jìn)行加解密的方式，CPU硬件的加解密性能有數(shù)量級的提高，實際測試超過2Gbps。
安全模塊的開發(fā)庫（SDK）可以提供給廠商做定制開發(fā)。基礎(chǔ)SDK提供最基礎(chǔ)的密碼能力；通用密碼中間件基于安全模塊提供統(tǒng)一的密碼運算接口，滿足多種應(yīng)用對密碼功能的調(diào)用需求；國密SSL基于安全模塊提供符合OpenSSL框架的國密算法和國密協(xié)議。
龍芯在商用密碼領(lǐng)域具有高安全、低成本、易使用、輕改造和強(qiáng)合規(guī)等特點。龍芯CPU與密碼融合設(shè)計，可以在確保安全的前提下發(fā)揮最大效能。在商密、等保領(lǐng)域，龍芯安全性有明顯優(yōu)勢。
5. 安全可信模塊
安全可信是囯家網(wǎng)絡(luò)安全法律、戰(zhàn)略和等保制度的明確要求。計算機(jī)結(jié)構(gòu)無防護(hù)機(jī)理及部件的先天性缺陷，導(dǎo)致傳統(tǒng)的“封堵查”老三樣被動防御難以應(yīng)對嚴(yán)峻的安全形勢。主動免疫可信計算是指計算運算的同時進(jìn)行安全防護(hù)。
龍芯3A4000/3B4000內(nèi)部集成安全可信管理功能，可以在硬件層面實現(xiàn)基于國密算法進(jìn)行可信計算，取代外置可信芯片。龍芯支持可信管理功能內(nèi)置于CPU芯片的整機(jī)設(shè)備，操作系統(tǒng)層部署可信軟件基，由可信節(jié)點和可信管理中心共同組建可信系統(tǒng)。
基于龍芯CPU芯片的可信計算解決方案已經(jīng)在桌面電腦、服務(wù)器、工業(yè)控制等領(lǐng)域構(gòu)建了實際案例，在各行業(yè)廣泛應(yīng)用。
6. 安全訪問控制
龍芯支持流水線級別的安全訪問控制環(huán)境，實現(xiàn)CPU本質(zhì)安全的新型安全防御機(jī)制。
龍芯3A4000/3B4000在CPU核內(nèi)增加安全功能，可以監(jiān)督內(nèi)部模塊行為、上層BIOS/操作系統(tǒng)行為。例如，“影子�！睓C(jī)制可以防范內(nèi)核棧溢出攻擊，獨立的內(nèi)存防護(hù)單元可以保護(hù)敏感內(nèi)存區(qū)間不被修改，I/O防護(hù)機(jī)制可以對外設(shè)的訪問進(jìn)行監(jiān)管。
龍芯安全訪問控制環(huán)境相當(dāng)于“把紀(jì)檢組派到辦公室”，實現(xiàn)了CPU注重效率和增強(qiáng)本質(zhì)安全的有機(jī)融合，安全性進(jìn)一步提高，性能也進(jìn)一步提高，同時大幅度降低整機(jī)成本。龍芯在自主研發(fā)過程中形成“聽黨指揮”的技術(shù)能力，成為確保信息安全“槍桿子”。
7. 龍芯安全解決方案
龍芯致力于建設(shè)生態(tài)體系，聯(lián)合安全固件、網(wǎng)安/密碼設(shè)備、安全操作系統(tǒng)、安全瀏覽器、等級保護(hù)2.0等產(chǎn)品廠商共同研發(fā)解決方案。
安全固件為龍芯計算平臺提供安全引導(dǎo)和運行環(huán)境。安全固件可實現(xiàn)六方面功能，包括安全引導(dǎo)、數(shù)據(jù)保護(hù)、身份認(rèn)證、可信度量、可信恢復(fù)、配置管理。
安全操作系統(tǒng)在安全掃描與攻防、應(yīng)用商店簽名與審核、終端安全中心建設(shè)、安全性測試標(biāo)準(zhǔn)制定、漏洞跟蹤與報告流程等方面形成了自己的技術(shù)能力和體系，在保持良好使用體驗和性能的條件下捍衛(wèi)用戶系統(tǒng)安全。
龍芯平臺瀏覽器已完成國密改造，支持國密證書，可以訪問國密網(wǎng)關(guān)、國密Web服務(wù)器。瀏覽器調(diào)用龍芯硬件國密算法，相比以前采用軟件的計算方式，SM3散列性能提升14倍，SM4性能提升20倍。
網(wǎng)絡(luò)安全設(shè)備可以采用龍芯1A、1B、2H、2K、3A系列處理器，滿足低、中、高不同檔次需求。國內(nèi)一線安全設(shè)備廠商所提供的龍芯產(chǎn)品包括交換機(jī)、路由器、VPN、防火墻、堡壘機(jī)、網(wǎng)閘、負(fù)載均衡等。
密碼設(shè)備可以采用龍芯CPU研制密碼服務(wù)器、通訊加密機(jī)、CA服務(wù)器等，利用龍芯硬件密碼功能實現(xiàn)加解密運算，已批量應(yīng)用于多個領(lǐng)域。
工控安全領(lǐng)域采用龍芯實現(xiàn)可信方案，基于龍芯2K1000、3A4000等實現(xiàn)安全可信PLC控制器，是實現(xiàn)制造業(yè)數(shù)字化、網(wǎng)絡(luò)化、智能化的關(guān)鍵設(shè)備。
龍芯全線適配等級保護(hù)2.0安全產(chǎn)品。龍芯已經(jīng)與國內(nèi)超過50家專業(yè)安全軟件廠商合作，龍芯平臺上已經(jīng)適配的產(chǎn)品超過500種，類型覆蓋防病毒軟件、漏洞掃描系統(tǒng)、網(wǎng)絡(luò)審計系統(tǒng)、網(wǎng)頁防篡改系統(tǒng)、數(shù)據(jù)防泄漏系統(tǒng)等，可以全面滿足等級保護(hù)2.0要求。
8. 筑造信息安全邊疆
龍芯實現(xiàn)自主和安全的深度融合。龍芯處理器核心的微結(jié)構(gòu)和物理設(shè)計全部自主研發(fā)，取得數(shù)百項專利，知識產(chǎn)權(quán)自主掌握，有能力從根源上規(guī)避漏洞。龍芯研發(fā)團(tuán)隊全部在國內(nèi)，核心骨干有二十年研發(fā)背景，是真正掌握CPU設(shè)計技術(shù)的科技隊伍。龍芯有長遠(yuǎn)的處理器、橋片、顯卡等核心設(shè)備發(fā)展戰(zhàn)略和藍(lán)圖。龍芯堅持建設(shè)“從端到云”的開放生態(tài)，帶動產(chǎn)業(yè)鏈廠商共同提高技術(shù)和服務(wù)能力，帶動行業(yè)和區(qū)域產(chǎn)業(yè)鏈廣泛合作。
發(fā)展自主CPU、建立自主信息技術(shù)體系和產(chǎn)業(yè)生態(tài)，是國家的需要、時代的需要。信息技術(shù)應(yīng)用創(chuàng)新面臨前所未有的機(jī)遇，龍芯將與安全廠商相向而行，共同筑造信息安全邊疆！
查詢進(jìn)一步信息，請訪問官方網(wǎng)站 http://www.loongson.cn/news/company/1506.html。（張怡, 張底剪報）
|
