可信計(jì)算

1、所有模塊或組件，除了CRTM（信任鏈構(gòu)建起點(diǎn)，段運(yùn)行的用于可信度量的代碼），在沒(méi)有經(jīng)過(guò)度量以前，均認(rèn)為是不可信的。同時(shí)，只有通過(guò)可信度量且與預(yù)期數(shù)據(jù)相符的模塊或組件，才可歸入可信邊界內(nèi)。

2、可信邊界內(nèi)部的模塊或組件，可以作為驗(yàn)證代理，對(duì)尚未完成驗(yàn)證的模塊或組件進(jìn)行完整性驗(yàn)證。

3、只有可信邊界內(nèi)的模塊或組件，才可以獲得相關(guān)的TPM 控制權(quán)，可信邊界以外的模塊或組件無(wú)法控制或使用可信平臺(tái)模塊。

可信計(jì)算建立連接

度量：該信任鏈以BIOS引導(dǎo)區(qū)與TPM為信任根，其中，BIOS引導(dǎo)區(qū)為可信度量根（RTM），TPM為可信存儲(chǔ)根（RTS）、可信報(bào)告根（RTR）。從BIOS引導(dǎo)區(qū)出發(fā)，到OS Loader、再到 OS、應(yīng)用，構(gòu)成一條信任鏈。沿著這條信任鏈，一級(jí)度量一級(jí)，一級(jí)信任一級(jí)，確保平臺(tái)資源的完整性。

存儲(chǔ)：由于可信平臺(tái)模塊存儲(chǔ)空間有限，所以，采用度量擴(kuò)展的方法（即現(xiàn)有度量值和新度量值相連再次散列）來(lái)記錄和存儲(chǔ)度量值到可信平臺(tái)模塊的PCR中，同時(shí)將度量對(duì)象的詳細(xì)信息和度量結(jié)果作為日志存儲(chǔ)在磁盤(pán)中。存儲(chǔ)在磁盤(pán)中的度量日志和存儲(chǔ)在PCR中的度量值是相互印證的，防止磁盤(pán)中的日志被篡改。

可信計(jì)算遠(yuǎn)程證明

遠(yuǎn)是征明使得用主或其他人可以選測(cè)到波用中的比第機(jī)的變化。這樣可以都鮑向不安全或安全受拔的計(jì)算凱隊(duì)發(fā)送隊(duì)有言息或重要的命今遠(yuǎn)程狂明時(shí)制通過(guò)/生來(lái)個(gè)證書(shū)，聲明哪望納件正在運(yùn)行，月中可以將這個(gè)任書(shū)發(fā)給遠(yuǎn)租的-方以表賽幫社的第鋼沒(méi)有受到篡改。遠(yuǎn)程證明通常與公鑰加密結(jié)合來(lái)保證發(fā)出的信息只能被發(fā)出證明要求的程序讀取，而非其它者。

再用士面日記的例子，用守的日記全可以將日記發(fā)送創(chuàng)其性的機(jī)臊，但是只能發(fā)給船絲能夠證明所吃運(yùn)行臺(tái)的是一份安全的運(yùn)軟性。與其他技術(shù)將合起來(lái)，遠(yuǎn)登征時(shí)河可以為日遇供一個(gè)競(jìng)或安全的路徑:通近推益劍人從以及在再韓顯剝動(dòng)貿(mào)安劊f0的縣護(hù)，內(nèi)存屏蔽在日記軟件運(yùn)行時(shí)保護(hù)日記，而封裝存儲(chǔ)在它存儲(chǔ)到硬盤(pán)的時(shí)候保護(hù)它，并且遠(yuǎn)程證明保護(hù)它在其它計(jì)算機(jī)使用時(shí)不受非授權(quán)軟件的破壞。

操作系統(tǒng)安全升級(jí)，如防范UEFI中插入rootkit、防范OS中插入rootkit、以及防范病毒和攻擊驅(qū)動(dòng)注入等。應(yīng)用完整性保障，如防范在應(yīng)用中插入木馬。安全策略強(qiáng)制實(shí)現(xiàn)，如防范安全策略被繞過(guò)/篡改、強(qiáng)制應(yīng)用只能在某個(gè)計(jì)算機(jī)上用、強(qiáng)制數(shù)據(jù)只能有某幾種操作等?？梢?jiàn)，可信計(jì)算則相當(dāng)于重構(gòu)一套系統(tǒng)，原理是這樣的：我的地盤(pán)我做主，不管什么應(yīng)用程序，只要想在開(kāi)啟了可信計(jì)算的操作系統(tǒng)上運(yùn)行，就必須經(jīng)過(guò)我的允許。這個(gè)允許的過(guò)程就是將這個(gè)可執(zhí)行文件的哈希度量值存儲(chǔ)到可信計(jì)算基當(dāng)中。理論上，開(kāi)啟了可信計(jì)算的操作系統(tǒng)，任何病毒、木馬都無(wú)法在其上運(yùn)行的。國(guó)家去年底推出的《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（等保2.0）也強(qiáng)化了對(duì)可信計(jì)算的要求。