可信計算安全防護

安全防護手段在終端架構上缺乏控制，這是一個非常嚴重的安全問題，難以應對利用邏輯缺陷的攻擊。目前利用邏輯缺陷的漏洞頻繁爆出，如“”“熔斷”，都是因為CPU性能優(yōu)化機制存在設計缺陷，只考慮了提高計算性能而沒有考慮安全性。由這種底層設計缺陷導致的漏洞難以修補，即使有了補丁其部署難度也是越來越大。、熔斷的補丁部署后會使性能下降3 0 %。補丁難打、漏洞難防已經是當前信息安全防御主要問題之一。

可信計算

以PC機可信計算舉例。操作系統(tǒng)首先將系統(tǒng)上所有的可執(zhí)行程序做一個哈希度量，將這個度量值存儲在可信計算基中。系統(tǒng)啟動時檢測BIOS和操作系統(tǒng)的完整性和正確性，保障你在使用PC時硬件配置和操作系統(tǒng)沒有被篡改過，所有系統(tǒng)的安全措施和設置都不會被繞過。然后系統(tǒng)要運行應用程序，除了經過傳統(tǒng)的操作系統(tǒng)的權限判斷之外，還要與可信計算基中存儲的度量值做一個對比，如果或是惡意程序修改了可執(zhí)行文件的內容，就可以檢測到應用程序已經發(fā)生了更改，則禁止程序運行。

可信計算建立連接

度量：該信任鏈以BIOS引導區(qū)與TPM為信任根，可信計算組，其中，BIOS引導區(qū)為可信度量根（RTM），TPM為可信存儲根（RTS）、可信報告根（RTR）。從BIOS引導區(qū)出發(fā)，可信計算組價格，到OS Loader、再到 OS、應用，構成一條信任鏈。沿著這條信任鏈，一級度量一級，一級信任一級，確保平臺資源的完整性。

存儲：由于可信平臺模塊存儲空間有限，所以，采用度量擴展的方法（即現(xiàn)有度量值和新度量值相連再次散列）來記錄和存儲度量值到可信平臺模塊的PCR中，同時將度量對象的詳細信息和度量結果作為日志存儲在磁盤中。存儲在磁盤中的度量日志和存儲在PCR中的度量值是相互印證的，防止磁盤中的日志被篡改。