澄清可信计算与系统加固认识误区 友谊需要澄清的误区

　　近年来，面对信息安全的挑战，越来越多的厂商推出了各有特色的终端安全产品，其中包括瑞达信安、联想、兆日等公司推出的增加可信计算模块的可信计算机，并形成了基于可信计算技术的可信计算机终端安全解决方案一大流派；而另一些厂商，则在普通计算机上安装系统加固软件并结合标识用户身份的USB KEY，实现用户对计算机的身份认证、授权访问控制和审计，形成了对普通计算机增强的另一大流派。
　　很多用户为此很头疼，这两大流派之间是否形成竞争关系？该如何选择才能既让系统安全又能跟上主流技术的发展？
　　近日，记者采访了瑞达公司负责可信计算平台产品的相关负责人，他告诉记者，两者之间无论从技术、产品还是市场方面，都存在巨大差距，不能统一而论。
　　对上述两大流派的产品进行分析和比较，尽管它们在功能方面（如用户身份认证、设备访问控制等）表象上看是非常相似，但是它们的技术的出发点和实现方式有本质的区别，具体表现在如下几个方面：
　　● 安全起点不同。可信计算机是在计算机加电启动时，由TPM安全模块主动对用户身份与平台信息进行强制身份认证和完整性校验，而终端安全增强系统是在系统内核加载时，有的甚至时在系统登录时才进行身份认证和授权访问控制和审计。
　　● 安全基础不同。可信计算机以TPM安全芯片为核心，以可信平台模块为信任根来度量硬件配置、操作系统、应用程序等整个平台的完整性，将完整性数据存储在可信平台模块中，并通过可信平台模块向关注该平台状态的实体提供完整性报告，再由该实体按照一定的安全策略将平台所报告的完整性数据与预期值进行比较，从而做出该平台是否可信是否与其交互的决策，以保证所交互的平台没有被恶意程序所感染。这样将可信平台模块的可信扩展到整个平台，保证用户的行为及计算机的行为是可预期的，攻击者不可能绕过预先设置的安全策略。
　　终端安全增强系统以纯软件的方式来解决终端问题，尽管采用USB KEY的方式对用户身份进行有效认证，但是USB KEY不能主动校验系统的完整性及安全加固系统的完整性，导致攻击者可能通过修改BIOS、修改引导过程或是攻击终端安全增强软件等方式绕开设置的安全策略。
　　● 安全强度不同。基于TPM模块的可信计算机的安全性从本质上来自安全芯片技术和高强度的密码技术。而采用对操作系统打补丁的方式，进行终端的安全增强，可信计算机从硬件底层提供身份认证、外设访问控制和审计等功能，具有高等级的安全强度，而终端安全增强系统则是以纯软件的方式提供身份认证、访问控制和审计等功能。它的安全性来自于软件编写者的技术水平，一旦攻击者的技术更高，则终端安全增强系统形同虚设。
　　通过上面分析，我们不难得出这样的结论：针对对普通计算机的安全增强系统虽然从一定程度上能解决目前计算机面临的安全问题，但它不能从根本上解决终端安全问题; 而基于可信计算技术的可信计算机代表了终端安全的未来发展趋势，它能从根本上解决终端安全问题，
　　安全性与方便性和成本永远是一对矛盾。针对不同的安全需求和安全强度，用户可在成本和安全性之间作出权衡。在一些关键岗位和具有较高安全等级要求的信息系统中，尤其是关系到国家安全的时候，应采用可信计算机作为安全支撑平台。而在一般级别的系统中，则可考虑安全加固的系统。（小月）