研賽與飛騰可信計算金融機具工控機解決方案

??金融機具作為金融機構信創(chuàng)改造的主要業(yè)務場景之一，在日常的業(yè)務處理中需要處理及存儲大量的金融數據。根據監(jiān)管要求及客戶的需求，金融機具處理及存儲數據需要使用國密算法，對數據傳輸對存儲進行加密，并且使用安全芯片對系統(tǒng)進行安全防護。當前的金融機具產品在數據加密及安全防護上無法滿足監(jiān)管及客戶的需求，需要進行升級。
????研賽科技基于飛騰平臺，根據銀行對金融工控機的可信安全要求，對原有金融機具工控機進行安全技術升級，通過添加板載加密芯片、使用飛騰CPU內置安全可信技術、對主板BIOS、麒麟操作系統(tǒng)引導程序進行安全可信校驗等技術手段，提升金融機具工控機安全防護能力。

2024-04-26 16:43:37深圳市研賽科技有限公司146

方案詳情:

研賽在標準飛騰主板上增加符合中國國密認證標準的主動度量控制芯片（TPCM）做為主板硬件可信源根：支持中國國密SM2，SM3，SM4算法硬件處理；安全存儲功能安全存儲和管理密碼，數據特征值和特定用戶數據；TPCM芯片的讀寫保護保證存儲區(qū)防止被非法讀出破除。

圖1 飛騰D2000 工控機主板

在主板硬件集成TPCM可信源根基礎上，TPCM與主板BIOS通過SPI接口通訊，在系統(tǒng)啟動時，TPCM做為系統(tǒng)的可信根，先于飛騰處理器啟動，并主動對主板BIOS鏡像文件進行驗證，在驗證通過后，通過主板電源管理單元允許飛騰處理器啟動運行，TPCM先于飛騰處理器啟動是為了保證對系統(tǒng)控制，防止可信機制被系統(tǒng)旁路，如果驗證不通過，TPCM禁止飛騰處理器啟動，同時記錄錯誤信息，進行報警。

圖2 BIOS驗證

TPCM主動驗證BIOS通過后，飛騰處理器上電啟動。在飛騰處理器上電啟動后，構建飛騰處理器TEE安全運行環(huán)境，在TEE安全運行環(huán)境中，BIOS調用飛騰TEE安全運行環(huán)境軟件接口針對操作系統(tǒng)的系統(tǒng)引導程序，系統(tǒng)內核文件和操作系統(tǒng)關鍵內核驅動程序模塊文件進行度量校驗，校驗通過，BIOS運行操作系統(tǒng)加載相應根文件系統(tǒng)，保證操作系統(tǒng)運行環(huán)境可信。