TZISIA 04-2024 自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)可信計(jì)算技術(shù)要求

ICS35.240L70/84團(tuán) 體 標(biāo) 準(zhǔn)T/ZISIA04-2024自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)可信計(jì)算技術(shù)要求Autonomousandinnovativecybersecuritytechnology——Technicalrequirementsfortrustedcomputing2024-06-05發(fā)布 2024-06-05實(shí)施中關(guān)村網(wǎng)絡(luò)安全與信息化產(chǎn)業(yè)聯(lián)盟發(fā)布T/ZISIA04-2024T/ZISIA04-2024ii目 次前言 I引言 II范圍 1規(guī)范性引用文件 1術(shù)語(yǔ)和定義 1符號(hào)和縮略語(yǔ) 2可信計(jì)算邏輯框架 2總體說(shuō)明 2可信根構(gòu)建及能力要求說(shuō)明 3可信計(jì)算功能說(shuō)明 3技術(shù)要求 3可信根構(gòu)建及能力技術(shù)要求 3可信根構(gòu)建方式技術(shù)要求 3可信根隔離機(jī)制技術(shù)要求 3可信根啟動(dòng)時(shí)序技術(shù)要求 4可信根主動(dòng)度量技術(shù)要求 4虛擬可信根構(gòu)建技術(shù)要求 4可信計(jì)算功能技術(shù)要求 4靜態(tài)度量 4動(dòng)態(tài)度量 4可信控制 4可信接入 4可信審計(jì) 4可信報(bào)告 4可信存儲(chǔ) 4虛擬可信根可信能力 4附錄A（資料性附錄）可信根結(jié)構(gòu)及構(gòu)建方式 5T/ZISIA04-2024T/ZISIA04-2024PAGE\*ROMANPAGE\*ROMANII前 言本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則 第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起規(guī)則》的規(guī)定起草。請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任。本文件由中關(guān)村網(wǎng)絡(luò)安全與信息化產(chǎn)業(yè)聯(lián)盟提出并歸口。（北京有限（北京）航空科技有限公司。引 言T/ZISIA01-2024《自主創(chuàng)新T/ZISIA02-2024《自主T/ZISIA03-2024《自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)計(jì)算基礎(chǔ)環(huán)境安全要求》相關(guān)內(nèi)容互相支撐。T/ZISIA04-2024T/ZISIA04-2024PAGEPAGE1自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)可信計(jì)算技術(shù)要求范圍規(guī)范性引用文件（包括所有的修改版適用于本文件。GB/T25069-2010信息安全技術(shù)術(shù)語(yǔ)GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T29827-2013信息安全技術(shù)可信計(jì)算規(guī)范可信平臺(tái)主板功能接口GB/T37935-2019信息安全技術(shù)可信計(jì)算規(guī)范可信軟件基GB/T40650-2021信息安全技術(shù)可信計(jì)算規(guī)范可信平臺(tái)控制模塊GM/T0011-2012可信計(jì)算可信密碼支撐平臺(tái)功能與接口規(guī)范GM/T0012-2020可信計(jì)算可信密碼模塊接口規(guī)范T/ZISIA01-2024自主創(chuàng)新型網(wǎng)絡(luò)安全技術(shù)框架術(shù)語(yǔ)和定義GB/T25069-2010、GB/T29827-2013、GB/T37935-2019和T/ZISIA01-2024界定的術(shù)語(yǔ)和定義適用于本文件。3.1可信根rootoftrustTPCMTCM3.2可信平臺(tái)控制模塊trustedplatformcontrolmodule[來(lái)源：GB/T29827-2013，3.20]3.3可信密碼模塊trustedcryptographymodule0012-2020，3.7]3.4靜態(tài)度量staticmeasurement在系統(tǒng)啟動(dòng)過(guò)程中，對(duì)系統(tǒng)完整性進(jìn)行測(cè)量和評(píng)估的可信度量方法。3.5dynamicmeasurement在系統(tǒng)運(yùn)行過(guò)程中，對(duì)系統(tǒng)完整性和行為安全性進(jìn)行測(cè)量和評(píng)估的可信度量方法。[來(lái)源：GB/T37935-2019，3.9]3.6可信軟件基trustedsoftwarebase為可信計(jì)算平臺(tái)的可信性提供支持的軟件元素的集合。[來(lái)源：GB/T37935-2019，3.3]符號(hào)和縮略語(yǔ)下列符號(hào)和縮略語(yǔ)適用于本文件。BIOS：基本輸入/輸出系統(tǒng)（BasicInput/OutputSystem）IP：知識(shí)產(chǎn)權(quán)（IntellectualProperty）TPCM：可信平臺(tái)控制模塊（TrustedPlatformControlModule）TSB：可信軟件基（TrustedSoftwareBase）TCM：可信密碼模塊（TrustedCryptographyModule）TPM：可信平臺(tái)模塊（TrustedPlatformModule）可信整機(jī)產(chǎn)品邏輯框架T/ZISIA01-2024，可信計(jì)算節(jié)點(diǎn)應(yīng)建立計(jì)算部件和防護(hù)部件并存的雙體系架構(gòu)；1圖1可信整機(jī)產(chǎn)品邏輯框架CPU（IPCPU芯片）或CPU外置（主板板載芯片或主板插卡）等多種方式構(gòu)建（參考附錄A，如上圖所1CPUIPCPU（TCTPC（TSB）構(gòu)成。TPCMTCM，提供符合國(guó)密要求的密碼計(jì)算和密碼服務(wù)。BIOS總體說(shuō)明對(duì)應(yīng)GB/T22239網(wǎng)絡(luò)安全等級(jí)保護(hù)制度從第一級(jí)到第四級(jí)所提到的“可信驗(yàn)證”相關(guān)不同等級(jí)保護(hù)級(jí)別系統(tǒng)的可信整機(jī)產(chǎn)品應(yīng)具備的可信計(jì)算技術(shù)要求技術(shù)要求項(xiàng)第一級(jí)技術(shù)要求第二級(jí)技術(shù)要求第三級(jí)技術(shù)要求第四級(jí)技術(shù)要求可信根構(gòu)建及能力技術(shù)要求可信根構(gòu)建方式技術(shù)要求√√√√可信根隔離機(jī)制技術(shù)要求√√√√可信根啟動(dòng)時(shí)序技術(shù)要求√√√√可信根主動(dòng)度量技術(shù)要求√√√√虛擬可信根構(gòu)建技術(shù)要求可選，非必須可選，非必須√√可信計(jì)算功能技術(shù)要求靜態(tài)度量√√√√動(dòng)態(tài)度量可選，非必須可選，非必須√√可信控制√√√√可信接入可選，非必須可選，非必須可信審計(jì)√√√√可信報(bào)告√√√√可信存儲(chǔ)可選，非必須可選，非必須√√虛擬可信根可信能力可選，非必須可選，非必須√√注：表中√表示對(duì)應(yīng)級(jí)別應(yīng)具備該項(xiàng)技術(shù)要求?？尚鸥鶚?gòu)建及能力要求說(shuō)明GB/T22239-2019可信根設(shè)計(jì)可參考GB/T29827-2013和GB/T40650-2021標(biāo)準(zhǔn)的相關(guān)要求?？尚庞?jì)算功能說(shuō)明GB/T22239GB/T22239技術(shù)要求可信根構(gòu)建及能力技術(shù)要求可信根構(gòu)建方式技術(shù)要求GM/T0011-2012TPCMCPUBMCA?？尚鸥綦x機(jī)制技術(shù)要求可信根應(yīng)具備獨(dú)立于計(jì)算部件的隔離資源，包括密碼存儲(chǔ)資源、密碼運(yùn)算資源、通用計(jì)算資源、通用存儲(chǔ)資源（包括內(nèi)存和非易失性存儲(chǔ)。可信根應(yīng)具備對(duì)計(jì)算部件資源的完全單向訪問(wèn)，計(jì)算部件CPU不能訪問(wèn)可信根內(nèi)部資源?？尚鸥鶈?dòng)時(shí)序技術(shù)要求可信根主動(dòng)度量技術(shù)要求虛擬可信根構(gòu)建技術(shù)要求可信計(jì)算功能技術(shù)要求靜態(tài)度量GB/T22239動(dòng)態(tài)度量TPCM可信控制可信接入可信審計(jì)可信報(bào)告PCR可信存儲(chǔ)產(chǎn)品應(yīng)能夠基于可信根安全存儲(chǔ)能力進(jìn)行關(guān)鍵數(shù)據(jù)存儲(chǔ)。虛擬可信根可信能力產(chǎn)品應(yīng)支持在虛擬機(jī)創(chuàng)建、遷移、銷(xiāo)毀等全生命周期的虛擬可信根同步和維護(hù)。T/ZISIA04-2024T/ZISIA04-2024PAGEPAGE5附錄A（資料性附錄）可信根結(jié)構(gòu)及構(gòu)建方式可信根內(nèi)部結(jié)構(gòu)A.1附圖A.1可信根原理架構(gòu)TPCM可信根構(gòu)建方式TPCM3.0TPCMCPUTPCMTPCM