Shielded VMs：GCP(谷歌云平台)的加固服务-技术博客集

Shielded VMs：GCP(谷歌云平台)的加固服务
互联网 / houtizong 发布于 2年前 104

HardenedLinux 写道 "近日，GCP(谷歌云平台)终于推出了VM加固服务项目Shielded VM的beta版本，目前Shielded VMs提供了基于UEFI v2.3.1的verifiedboot和作为measuredboot方案的vTPM实现，vTPM实现了TPM v2.0规范以及通过了FIPS 140-2 Level 1认证，GCP使用了自己研发的芯片TITAN作为物理机的信任根，TITAN项目除了解决传统的固件攻击平面问题外也把通用TPM存在的LPC总线中间人攻击给一并解决掉了，配合硬件信任根以及Hypervisor(类似coreos的定制实现)，GCP的用户可以方便的在管理平台上开启vTPM后在Guest VM中使用vTPM完成整个VM启动过程的可信链条构建，用户可以定制自己的策略比如一旦有固件或者内核镜像完整性不满足健康基线则停掉VM展开取证工作或者调查是否因为运维失误导致的故障。自从2013年开始，不少人认为云基础架构安全中remote attestation(远程证明)和Enclave(飞地计算）是刚需，Google为了满足前者开源了go-tpm作为TPM的实现参考以帮助用户更好的融入GCP的基础设施安全，对后者的自由软件实现的推动主要体现在Asylo框架的开源，如果目标是Enclave的通用框架其工程复杂度可见一斑，以Intel SGX为例，不同的实现其安全防护的侧重点完全不同，HardenedLinux社区完全赞同可信计算顶级团队ITL关于Intel SGX的评估。除此之外，GCP对于基础架构安全的设计已经不局限在常规固件领域，对于私有固件和外设的风险也有考量包括BMC，Intel ME以及OEM UEFI等，希望GCP未来能开源更多的项目让整个自由软件/固件社区收益，HardenedLinux社区的hardenedboot也会持续进化不久的将来会完成TPMv2的迁移。"

上一篇：流浪行星被发现能产生明亮的极光

下一篇：欧罗巴会吹“口哨”

请勿发布不友善或者负能量的内容。与人为善，比聪明更重要！

<div>          <a href="http://github.com/hardenedlinux">HardenedLinux</a> 写道 <i>"近日，GCP(谷歌云平台)终于推出了<a href="https://cloud.google.com/security/shielded-cloud/shielded-vm" target="_blank">VM加固服务项目Shielded VM</a>的beta版本，目前Shielded VMs提供了基于UEFI v2.3.1的<a href="http://www.uefi.org/sites/default/files/resources/UEFI_Secure_Boot_in_Modern_Computer_Security_Solutions_2013.pdf" target="_blank">verifiedboot</a>和作为measuredboot方案的<a href="https://cloud.google.com/blog/products/gcp/virtual-trusted-platform-module-for-shielded-vms-security-in-plaintext" target="_blank">vTPM实现</a>，vTPM实现了<a href="https://trustedcomputinggroup.org/work-groups/trusted-platform-module/" target="_blank">TPM v2.0规范</a>以及通过了<a href="https://csrc.nist.gov/projects/cryptographic-module-validation-program/Certificate/2964" target="_blank">FIPS 140-2 Level 1认证</a>，GCP使用了自己研发的芯片<a href="https://cloudplatform.googleblog.com/2017/08/Titan-in-depth-security-in-plaintext.html" target="_blank">TITAN作为物理机的信任根</a>，TITAN项目除了解决传统的固件攻击平面问题外也把通用TPM存在的LPC总线中间人攻击给一并解决掉了，配合硬件信任根以及Hypervisor(类似<a href="https://github.com/coreos/qemu/commit/ed988a3274c8e08ce220419cb48ef81a16754ea4?diff=unified" target="_blank">coreos的定制</a>实现)，GCP的用户可以方便的<a href="https://cloud.google.com/blog/products/gcp/security-in-plaintext-use-shielded-vms-to-harden-your-gcp-workloads" target="_blank">在管理平台上开启vTPM后在Guest VM中使用vTPM</a>完成整个VM启动过程的可信链条构建，用户可以定制自己的策略比如一旦有固件或者内核镜像完整性不满足健康基线则停掉VM展开取证工作或者调查是否因为运维失误导致的故障。自从2013年开始，不少人认为云基础架构安全中remote attestation(远程证明)和Enclave(飞地计算）是刚需，Google为了满足前者开源了<a href="https://github.com/google/go-tpm" target="_blank">go-tpm</a>作为TPM的实现参考以帮助用户更好的融入GCP的基础设施安全，对后者的自由软件实现的推动主要体现在<span class="col-11 text-gray-dark mr-2" itemprop="about"><a href="https://github.com/google/asylo" target="_blank">Asylo框架</a>的开源，如果目标是Enclave的通用框架其工程复杂度可见一斑，以Intel SGX为例，不同的实现其安全防护的侧重点完全不同，HardenedLinux社区完全赞同<a href="https://blog.golemproject.net/introducing-graphene-ng-running-arbitrary-payloads-in-sgx-enclaves-a03f219447a5" target="_blank">可信计算顶级团队ITL关于Intel SGX的评估</a>。除此之外，GCP对于基础架构安全的设计已经不局限在常规固件领域，对于私有固件和<a href="https://www.solidot.org/story?sid=54291" target="_blank">外设的风险也有考量</a>包括BMC，Intel ME以及OEM UEFI等，希望GCP未来能开源更多的项目让整个自由软件/固件社区收益，HardenedLinux社区的<a href="https://github.com/hardenedlinux/Debian-GNU-Linux-Profiles/tree/master/docs/hardened_boot" target="_blank">hardenedboot</a>也会持续进化不久的将来会完成TPMv2的迁移。</span>"</i></div>

留言需要登陆哦

技术博客集 - 网站简介：
前后端技术：
后端基于Hyperf2.1框架开发,前端使用Bootstrap可视化布局系统生成
网站主要作用：
1.编程技术分享及讨论交流，内置聊天系统;
2.测试交流框架问题，比如：Hyperf、Laravel、TP、beego;
3.本站数据是基于大数据采集等爬虫技术为基础助力分享知识，如有侵权请发邮件到站长邮箱，站长会尽快处理;
4.站长邮箱：[email protected];

文章归档

文章标签

友情链接

首页
关于我们

Auther ·HouTiZong: 侯体宗的博客