2021年4月10日，CITE2021 工業(yè)互聯(lián)網(wǎng)發(fā)展與安全峰會在深圳召開，中電（海南）聯(lián)合創(chuàng)新研究院技術(shù)總師黃明在會上發(fā)表了題為《PKS體系助力工業(yè)互聯(lián)網(wǎng)發(fā)展》的報告。

中電（海南）聯(lián)合創(chuàng)新研究院技術(shù)總師 黃明

       黃明表示，2016年總書記的“419”講話將網(wǎng)絡(luò)安全提到了一個前所未有的高度。中國電子根據(jù)自己國家網(wǎng)絡(luò)安全信息國家隊的定位，經(jīng)過十年磨一劍，構(gòu)建了基于飛騰CPU和麒麟操作系統(tǒng)的PK體系。PKS是基于PK構(gòu)建的一個開放的安全架構(gòu)，體現(xiàn)了安全和可信，主要是要解決現(xiàn)有計算機先天缺乏免疫的問題及漏洞和效率問題。其中P為CPU、內(nèi)存、網(wǎng)絡(luò)交換芯片內(nèi)置可信核安全機制，內(nèi)置密碼體系；K為操作系統(tǒng)、數(shù)據(jù)庫等基礎(chǔ)軟件內(nèi)置白名單、訪問控制、未知漏洞防護等安全增強機制；S為可信策略管理、安全控制中心、安全軟件應(yīng)用商店等立體防護和管控體系。

PKS核心理念

       黃明指出，PKS第一個核心理念是“雙體系架構(gòu)”，也是基于CPU隔離的技術(shù)。

      雙體系架構(gòu)有如下幾個特征：

·       計算與防護雙體系結(jié)構(gòu)：軟件定義物理隔離，全程動態(tài)可信度量控制；

·       內(nèi)存內(nèi)置物理防護技術(shù)，使得關(guān)鍵區(qū)域不能篡改，關(guān)鍵數(shù)據(jù)保密存儲；

·       兼容性好，可以實現(xiàn)不修改應(yīng)用程序，同時使性能損耗不超5%（64核）。

       第二個核心理念是“內(nèi)生內(nèi)置”（Build In）。

        “內(nèi)生內(nèi)置”有如下四點特征：

·       CPU內(nèi)置可信計算3.0主動防御架構(gòu)

·       OS內(nèi)置安全控制臺，直觀配置和狀態(tài)展示

·       安全內(nèi)存保護核心內(nèi)存區(qū)域免受攻擊

·       未知漏洞防護引擎攔截可信程序的漏洞攻擊

PKS優(yōu)勢特點

       黃明指出，PKS的主要優(yōu)勢特點有三個：

·       國際首次采用CPU的內(nèi)置可信技術(shù)

       飛騰CPU隔離出可信核用于可信計算，將白名單機制嵌入麒麟OS，實現(xiàn)計算和安全防護的雙體系結(jié)構(gòu)；

·       國際首次采用內(nèi)存內(nèi)置物理防護技術(shù)

       在內(nèi)存緩存控制器內(nèi)置硬件防護芯片，對關(guān)鍵代碼和關(guān)鍵數(shù)據(jù)按需實時權(quán)限策略管理；

·       未知漏洞指令流檢測技術(shù)和終端云端統(tǒng)一安全管控

        基于內(nèi)存指令流的未知漏洞檢測技術(shù)、安全軟件與PK核心一體化，終端云端統(tǒng)一安全管控

       黃明表示，“這是我們的三大核心技術(shù)，三大核心技術(shù)構(gòu)筑了最底層的安全底座，基于三大核心技術(shù)研制出來的產(chǎn)品有八個技術(shù)點，把完整點分散于整個信息系統(tǒng)的所有關(guān)鍵地方。“那么黃明所指的八大控制點又有哪些呢？

PK體系的八大控制點

       第一，  基于飛騰CPU通用核的可信核。CPU內(nèi)置PSPA安全平臺架構(gòu)，將密鑰管理、可信執(zhí)行等放入CPU內(nèi)，是可信和安全運行的起始點。

       第二，  基于麒麟OS的安全及可信控制。將多種核心安全組件以O(shè)S內(nèi)核內(nèi)置驅(qū)動的方式深度融合，形成高強度基礎(chǔ)安全防護能力。

       第三，  基于芯片的內(nèi)存安全防護。安全內(nèi)存模組內(nèi)置安全控制芯片，兼容通用內(nèi)存標準的同時提供對關(guān)鍵代碼區(qū)、關(guān)鍵數(shù)據(jù)區(qū)的內(nèi)存訪問權(quán)限動態(tài)管理。

       第四，  基于安全固件的整機防護。安全可信固件形成可信啟動、軟件定義安全資源、防止固件被惡意篡改等能力。

       第五，  安全隔離環(huán)境（可信運行區(qū)）。可信運行具備整系統(tǒng)的動態(tài)可信監(jiān)控、安全策略動態(tài)收發(fā)等能力，將“被動防御”變?yōu)椤爸鲃用庖摺薄?/p>

       第六，  基于雙體系的開放安全架構(gòu)。含通用API和安全API的開放式安全開發(fā)框架，兼容既有PK應(yīng)用程序，保障PK生態(tài)開放安全、高效開發(fā)。

       第七，  基于內(nèi)存指令流的未知漏洞防護引擎。漏洞防護擺脫對文件、流量、數(shù)據(jù)、行為的依賴，采用內(nèi)存指令控制流檢測技術(shù)，從更低層提供對各種未知和已知漏洞的防護能力。

       第八，  云端一體的安全管控。前端運行狀態(tài)與后臺監(jiān)控分析相互聯(lián)系、相互作用，在整體上具備單個產(chǎn)品和服務(wù)所沒有的安全功能，從而有效保障復(fù)雜系統(tǒng)的安全。

       在談及PKS的防護優(yōu)勢時，黃明表示，在2020年的網(wǎng)絡(luò)攻防演練中，以PKS為核心的安全防護體系在一天之內(nèi)成功檢測并攔截120余支戰(zhàn)隊的攻擊71298次，攻擊無一成功。在2020年數(shù)字中國創(chuàng)新大賽虎符網(wǎng)絡(luò)安全賽道，“PKS立體安全防護體系”成功應(yīng)對了攻防大賽681支安全攻擊團隊的挑戰(zhàn)。下圖所示，綠色代表防護成功；紅色代表攻擊成功。圖表上半部分是基于Intel+Linux，下半部分是基于PKS的防護成果。

        PKS的體系優(yōu)勢同樣重要。“這些核心的技術(shù)不是憑空短時間內(nèi)產(chǎn)生的，是CEC有一個信創(chuàng)產(chǎn)業(yè)鏈深度的融合，也是十年磨一劍的結(jié)果?！?，黃明表示，“與國外商用平臺的對比，它們其實是在一個CPU封裝兩套系統(tǒng)，真正應(yīng)用CPU計算資源的空間是看不到，只是在外圍圍繞通過總線來逐步查看。手機上應(yīng)用的技術(shù)包括支付、人臉識別都是在這里完成的，但是這些程序之間一旦進入這個空間，里面是沒有私密性的，但是PKS利用前面的三大技術(shù)是完全隔離私密性的。這是一個體系的優(yōu)勢?！?/p>

PKS在工業(yè)互聯(lián)網(wǎng)上怎么用？

       PKS是安全、兼容、低損耗的?！暗谝粋€優(yōu)勢是完全兼容已有用戶的軟件（不需要做開發(fā)），使用過程中用戶完全感知不到這一塊安全保護的存在；它的性能損耗控制在5%以內(nèi)，只有一個度量的損耗，硬件上如果是基于PK的主板也不需要換主板，我們完成通過軟件定義（從固定級到操作系統(tǒng)級），已有的數(shù)據(jù)和軟件不需要重新安全，完全做到了兼容和低損耗。另外雙體系的第二個體系也不做可信，因為工業(yè)控制也很多實時性要求和安全要求，我們可以把實時做到第二個關(guān)鍵里面，把安全要求做到第一個區(qū)域，可以有更多的變種實現(xiàn)數(shù)據(jù)的一體機，在一個開放的環(huán)境里面實現(xiàn)非常私密和高效的安全?！?黃明表示。

       “我們這個工業(yè)互聯(lián)網(wǎng)可以在中后臺，比如說邊緣的網(wǎng)關(guān)、數(shù)據(jù)平臺和云平臺上使用，可以在局部的關(guān)鍵部位來使用，也可以在全網(wǎng)來使用，安全控制平臺可以越級直達后臺的管控中心。另外我們的管控中心是可有可無的，對于前端的安全策略進行配置之后也可以把它關(guān)掉。”黃明補充道。

       同時，PKS體系也是開放、標準、可控的?！癙KS完全符合ARM和Linux的標準，我們基于PK體系，除了核心架構(gòu)之外還有相應(yīng)的標準、場景和生態(tài)。是基于這個標準化的框架進行我們產(chǎn)品的研發(fā)。”