隨著數(shù)據(jù)中心、云計(jì)算和物聯(lián)網(wǎng)（“IoT”）的擴(kuò)展，確保對(duì)供應(yīng)鏈的信任變得比以往任何時(shí)候都更加重要。從制造和平臺(tái)組裝中使用的組件的采購(gòu)一直到最終產(chǎn)品的分銷(xiāo)和物流，都可以基于可信計(jì)算集團(tuán)（“TCG”）開(kāi)發(fā)的可信硬件和標(biāo)準(zhǔn)建立可信供應(yīng)鏈（“TSC”）。本文旨在描述幫助將供應(yīng)鏈信任作為主要組織問(wèn)題進(jìn)行優(yōu)先級(jí)排序的激勵(lì)措施，并解釋使用硬件（“HW”）信任根（“RoT”）來(lái)建立可信供應(yīng)鏈。

激勵(lì)供應(yīng)鏈信任

在當(dāng)今多樣化的制造、物流和準(zhǔn)時(shí)制（“JIT”）庫(kù)存環(huán)境中，確保設(shè)備的來(lái)源和后續(xù)歷史已成為一項(xiàng)關(guān)鍵挑戰(zhàn)。遠(yuǎn)程部署和配置還應(yīng)在供應(yīng)鏈中提供保證。這種保證還有一個(gè)額外的好處，即減少了對(duì)供應(yīng)鏈中物理跟蹤設(shè)備的依賴(lài)，并降低了成本和服務(wù)時(shí)間。

需要進(jìn)一步說(shuō)服的公司應(yīng)該快速搜索，看看找到供應(yīng)鏈的重大黑客攻擊事件以及使用假冒，替代和有時(shí)是惡意組件是多么容易。最近的一起事件影響了多達(dá)300家公司，因此這不是一個(gè)潛在的問(wèn)題。它是真實(shí)的。

圖1顯示了供應(yīng)鏈中的薄弱環(huán)節(jié)以及添加可信賴(lài)元素的好處。在最終用戶(hù)打開(kāi)新設(shè)備之前，供應(yīng)鏈中有很多惡意行為發(fā)生的機(jī)會(huì)。此類(lèi)攻擊應(yīng)涉及每家公司，無(wú)論其規(guī)模或市場(chǎng)重點(diǎn)如何。軍事組織非常清楚這個(gè)問(wèn)題的嚴(yán)重性。

美國(guó)情報(bào)參謀長(zhǎng)聯(lián)席會(huì)議編制的內(nèi)部報(bào)告，J-2指出，“網(wǎng)絡(luò)安全官員擔(dān)心。。.熟悉該報(bào)告的官員表示，計(jì)算機(jī)和手持設(shè)備可能會(huì)將受損的硬件引入國(guó)防部供應(yīng)鏈，構(gòu)成網(wǎng)絡(luò)間諜風(fēng)險(xiǎn)。

供應(yīng)鏈雜志上的另一篇文章，“供應(yīng)鏈無(wú)聲的威脅 - 網(wǎng)絡(luò)攻擊”，提供了 30 年的網(wǎng)絡(luò)攻擊歷史。這些努力并不新鮮。

美國(guó)國(guó)防部（“國(guó)防部”）于2015年發(fā)布，向國(guó)防聯(lián)邦采購(gòu)法規(guī)增刊（“DFARS”）發(fā)布了一份三頁(yè)的臨時(shí)規(guī)則，該規(guī)則為政府承包商的截止日期為2017年12月31日，以實(shí)施美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（“NIST”）特別出版物（“SP”）800-171的要求［3］應(yīng)對(duì)網(wǎng)絡(luò)安全威脅。第 252.246-7007 節(jié) “承包商假冒電子部件檢測(cè)和避免系統(tǒng)”［4］具體涉及“設(shè)計(jì)、操作和維護(hù)系統(tǒng)，以檢測(cè)和避免假冒電子部件并懷疑假冒電子部件”。

信任解決方案

設(shè)備來(lái)源的保證有助于為可信供應(yīng)鏈奠定基礎(chǔ)。TCG 的初始可信平臺(tái)模塊 （“TPM”） 標(biāo)準(zhǔn)定義了硬件信任根或“HRoT”。最近，TPM 2.0，現(xiàn)為國(guó)際標(biāo)準(zhǔn)化組織（“ISO”）標(biāo)準(zhǔn)（ISO 11889）［5］此外，還創(chuàng)建了一個(gè)庫(kù)規(guī)范來(lái)描述包括嵌入式系統(tǒng)在內(nèi)的各種平臺(tái)中可以實(shí)現(xiàn)和可能需要的所有命令/功能。

在 TPM 中，認(rèn)可密鑰 （“EK”） 是與特定 TPM 唯一關(guān)聯(lián)的永久（有一些例外）密鑰。它提供有關(guān) TPM 的斷言，但不提供有關(guān)平臺(tái)的斷言。TPM EK 可以“認(rèn)證”所有者或用戶(hù)創(chuàng)建的其他 TPM/平臺(tái)密鑰。此外，TPM 還具有平臺(tái)配置寄存器 （“PCR”）、證明 ID 密鑰、簽名密鑰和加密密鑰，用于驗(yàn)證訪問(wèn)和保護(hù)數(shù)據(jù)。

圖 2 顯示了 TPM 如何提供 HRoT。TPM EK 證書(shū)和平臺(tái)證書(shū)用于建立平臺(tái)的文檔。TPM 的 EK 證書(shū)由 TPM 供應(yīng)商簽名。然后，平臺(tái)制造商 （“PM”） 將 TPM 附加到 EK 綁定到平臺(tái)的平臺(tái)，以提供特定于平臺(tái)的密鑰。

平臺(tái)制造商創(chuàng)建的平臺(tái)證書(shū)將有關(guān)平臺(tái)的資產(chǎn)信息以及將其綁定到 TPM 的度量信任根 （“RTM”） 歸因于平臺(tái)。測(cè)量值與平臺(tái)制造商提供的 RTM 的信任成正比。

最后，供應(yīng)鏈獲取斷言證明，以驗(yàn)證平臺(tái)和EK證書(shū)簽名，以及驗(yàn)證綁定到該平臺(tái)的EK證書(shū)。

實(shí)施可信供應(yīng)鏈

在 TPM 通用體系結(jié)構(gòu)的基礎(chǔ)上，圖 3 顯示了 RoT 文檔的步驟，RoT 一直持續(xù)到供應(yīng)鏈，直到到達(dá)最終所有者，其中信息技術(shù) （“IT”） 專(zhuān)家使用開(kāi)源上提供的工具驗(yàn)證平臺(tái)簽名、EK 證書(shū)和其他信任確認(rèn)任務(wù)。

基于在系統(tǒng)生命周期中建立的先前鏈，生成信任鏈從 TPM 開(kāi)始，為每個(gè) TPM 創(chuàng)建 EK 并建立硬件信任根。接下來(lái)，平臺(tái)制造商將 TPM 永久裝載到平臺(tái)上，并創(chuàng)建平臺(tái)證書(shū)并將其綁定到 EK。

然后，簽名服務(wù)提供一個(gè)平臺(tái)證書(shū)，該證書(shū)以加密方式將平臺(tái)綁定到 EK。最后，系統(tǒng)集成商創(chuàng)建一個(gè)設(shè)備證書(shū)，并將其綁定到平臺(tái)證書(shū)。在流程結(jié)束時(shí)，最終用戶(hù)可以從將設(shè)備追溯到可信的HRoT的能力中受益，從而建立技術(shù)提供商問(wèn)責(zé)制和透明度。

信任鏈流程對(duì)于提供總體可追溯性和基于 TPM 的 HRoT 非常重要且至關(guān)重要。它為平臺(tái)和系統(tǒng)提供組件級(jí)可追溯性，以降低假冒電子零件的風(fēng)險(xiǎn)，同時(shí)符合DFARS補(bǔ)充246.870-2。

受信任的供應(yīng)鏈還提供了最終用戶(hù)自動(dòng)驗(yàn)證工具，該工具可識(shí)別從制造到首次啟動(dòng)時(shí)的某些系統(tǒng)更改。“竣工”數(shù)據(jù)報(bào)告和自動(dòng)驗(yàn)證工具使客戶(hù)對(duì)其系統(tǒng)的真實(shí)性充滿(mǎn)信心。

供應(yīng)鏈中的可追溯性包括具有組件級(jí)可追溯性的平臺(tái)證書(shū)，該證書(shū)由工廠生成的“竣工”報(bào)告支持，證明系統(tǒng)真實(shí)性的一致性聲明，最后是客戶(hù)門(mén)戶(hù)網(wǎng)站，該門(mén)戶(hù)網(wǎng)站下載文件并發(fā)送有關(guān)文件/證書(shū)訪問(wèn)詳細(xì)信息的鏈接。

自動(dòng)驗(yàn)證工具收集系統(tǒng)中所有組件（而不僅僅是 TPM）的數(shù)據(jù)，提供平臺(tái)證書(shū)驗(yàn)證以及直接平臺(tái)組件驗(yàn)證。這些組件可能包括帶有一些驅(qū)動(dòng)器，內(nèi)存，處理器等的筆記本電腦。客戶(hù)首次通電時(shí)，該工具會(huì)檢查該硬件中的任何更改，將客戶(hù)收到的與原始設(shè)計(jì)制造商（“ODM”）發(fā)貨的硬件進(jìn)行比較。

系統(tǒng)級(jí)可追溯性基于每個(gè)系統(tǒng)的硬件信任根，并以主板上的 TPM 提供的 HRoT 開(kāi)始。此外，在制造過(guò)程中部署的軟件工具在ODM上捕獲系統(tǒng)信息以及TPM證書(shū)（包括公共EK）。每個(gè)系統(tǒng)的唯一 X.509 平臺(tái)證書(shū)是使用平臺(tái)制造商證書(shū)頒發(fā)機(jī)構(gòu)生成和簽名的。這證明購(gòu)買(mǎi)的系統(tǒng)是由預(yù)期制造商構(gòu)建的特定系統(tǒng)。為了幫助完成此過(guò)程，GitHub 上提供了平臺(tái)認(rèn)證工具（PCVT_TPM20）。

在了解問(wèn)題和開(kāi)發(fā)良好的解決方案的可用性后，相關(guān)讀者應(yīng)該怎么做？建立供應(yīng)鏈信任側(cè)欄的步驟確定了從當(dāng)今未知位置到可信供應(yīng)鏈的四步流程。

獲得信任？

產(chǎn)品篡改和未經(jīng)授權(quán)的替換可能發(fā)生在供應(yīng)鏈的任何地方。為了防止產(chǎn)品被篡改，可信供應(yīng)鏈基于使用可信計(jì)算組的可信平臺(tái)模塊標(biāo)準(zhǔn)建立的硬件信任根。通過(guò)各種制造和裝配階段以及分銷(xiāo)物流，最終用戶(hù)可驗(yàn)證的組件真實(shí)性支持并建立在硬件信任根的基礎(chǔ)上。當(dāng)系統(tǒng)最終掌握在最終用戶(hù)手中時(shí)，自動(dòng)驗(yàn)證工具將使用用于 TPM/平臺(tái)身份驗(yàn)證的平臺(tái)證書(shū)驗(yàn)證來(lái)驗(yàn)證系統(tǒng)組件。該工具為用戶(hù)提供可追溯性，問(wèn)責(zé)制，保證和安全性，旨在成為一個(gè)簡(jiǎn)單易行的流程，建立對(duì)供應(yīng)鏈的信任，并減輕由于供應(yīng)鏈篡改而導(dǎo)致的網(wǎng)絡(luò)攻擊的可能性。

審核編輯：郭婷