铁流：中国安全等级最高的自主可控终端问世

大参考

　　不久前，中国电子科技网络信息安全有限公司发布自主高安全终端产品——龙御系列自主可控安全计算机和和自主可控安全交换机。

　　据了解，该产品是中国网安历经三年潜心研发，深度融合中国网安安全一体化发展思路的智慧结晶。该型计算机采用全自主技术的龙芯3A2000处理器，龙芯3A2000处理器由龙芯中科自主设计，相对于那些购买国外IP做集成的“国产CPU”，龙芯3A2000的CPU除标准单元和MemoryCompiler生产的RAM之外，不存在第三方IP。另外，龙3A2000是中国第一款境内设计、境内流片的高性能处理器，也正是因此，3A2000拥有非常好的安全特性，被诸多高安全终端产品采用也就理所当然了。

　　龙御系列自主可控安全计算机的特点和关键技术

　　作为自主高安全终端产品龙御系列自主可控安全计算机采用国产化高性能处理器和操作系统，自主设计制造主板等核心模块，集成Office、影音等国产应用软件，并通过模块化的设计思路，保证产品能够快速适应不同的市场需求。

　　此外，龙御安全计算机将安全植根硬件及BIOS底层，在BIOS、操作系统层面支持统一集中、功能全面的管控能力。采用一体化设计思路，具有电磁泄露发射防护、机箱拆卸审计、全硬盘加密、多功能导入装置、安全刻录、USbKey/指纹开机认证、基于TCM可信计算的信任链度量、关键系统文件备份与恢复、用户行为监控与审计及硬件级输入输出端口控制等安全特色能力。最后，龙御安全计算机具有丰富的扩展能力，内部提供PCI、PCI-Ex1、PCI-Ex4、PCI-Ex16插槽，并对外采用行业标准接口设计，实现各种架构通用计算机接口的统一与标准化。

　　值得一提的是，相比常见的自主可控计算机，作为网络安全旗舰企业的中国网安为龙御系列注入了别具特色的十大安全功能，从物理安全、数据安全、系统安全、管理安全四个方面入手为用户提供了可灵活配置的强大安全能力。

　　作为在网络安全中扮演着重要角色的交换机，中国网安公司也下了不少功夫——卫士通中华卫士系列自主可控安全交换机，并没有像很多商业公司那样采用国外芯片，而是采用了龙芯系列处理器，结合盛科交换芯片实现接入层、汇聚层高性能兼容性网络交换能力的同时对控制数据、配置文件、介入安全、互联安全进行安全保护，成为保障网络通信安全的利器。

　　正是在技术上煞费苦心，龙御系列自主可控安全计算机和和自主可控安全交换机实现了符合以下标准规范：

　　《信息技术设备的安全》（GB4943.1-2011）

　　《信息技术设备的无线电骚扰限值和测量方法》（GB9254-2008）

　　《电磁兼容限值谐波电流发射限值》(GB17625.1-2012)

　　《信息安全技术信息系统安全等级保护技术要求》（GB/T22239-2008）

　　《涉及国家秘密的信息系统分级保护技术要求》（BMB17-2006）

　　《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）

　　《信息技术安全技术信息安全管理体系要求》（GB/T22080-2008）

　　《信息技术安全技术信息安全管理实用规则》（GB/T22081-2008）

　　《互联网安全保护技术措施规定》（公安部第82号令）

　　龙御系列自主可控安全计算机安全在哪

　　龙御系列自主可控安全计算机安全程度到底如何呢，我们就从产品拥有的功能说起。

　　可以实现电磁泄露发射防护

　　该安全计算机将红黑电源内置在机箱内部，除对主机进行供电外，提供一路输出供显示器使用。在设计时对材料、元器件、部件器件进行优化设计，采用整机屏蔽隔离电磁防护等技术，阻断电磁信息的外泄，提高自主高安全终端的整体安全性。

　　可以做到机箱拆卸审计

　　如果自主高安全终端的机箱盖被打开，会被机箱内置传感器捕获，并在BIOS中进行审计记录，管理员可以随时审计机箱被异常开启的情况。具备机箱物理锁，可提供一定程度的安全防护能力。

　　全硬盘加密

　　采用固态硬盘SSD集合高速加密芯片，在BIOS和TCM管理密码密钥对密钥进行安全管理，对硬盘数据进行加密保护，可有效防止失窃、维修、退役等情况下易导致硬盘上敏感数据的泄露。固态硬盘具有速度快、工作温度范围大等特点，并硬盘数据安全存储整个加解密过程对操作系统及应用软件是透明的，在保障数据安全性的同时，完全不影响用户的正常使用。在不采用加密硬盘情况下，支持对普通硬盘进行口令保护，只有输入正确的口令才能使用硬盘。

　　集成多功能导入装置

　　自主高安全终端支持内置单导装置，内部采用光纤来传输信号，实现高效的单向传输，光传输是一种可证明的单向传输技术。外来信息单向导入：对外来普通移动存储介质中的数据，通过终端计算机上的单向导入软件单向接收数据，终端计算机上的数据无法传输到普通移动存储介质，保证终端计算机上数据的安全。专用U盘的管控和使用：专用U盘必须通过服务端授权后方可在指定范围内使用。使用专用U盘时，需由导入装置对专用U盘进行认证，认证通过后方可与终端计算机进行数据交互。

　　五是安全刻录光驱

　　在光驱中无缝集成安全控制与密码芯片，实现对光盘刻录的安全控制及对刻录数据加密保护。

　　多种开机认证方式

　　在BIOS管理登录认证及BIOS引导阶段认证阶段，基于“用户名+口令”、指纹方式（或含数字密码键盘）、专用USBKEY数字证书几种开机认证方式，增强用户开机登录使用终端及管理员对BIOS安全管理的安全性。根据策略支持登录异常的审计与报警。BIOS与操作系统共同完成单点登录的认证，当BIOS一体化认证策略启用时，用户只需要在BIOS启动阶段完成身份认证，便可以直接登录操作系统。

　　基于TCM可信计算的信任链度量（完整性保护）

　　在开机后，BIOS对BIOS固件自身、认证模块（指纹模块）、硬件外设（硬盘、光驱、PCI卡等）、操作体系核心文件（OS装载器、OS内核及其它重要文件）的特征值进行可信度量验证，若度量验证失败，可记录日志并连接服务器进行登记审计，并能够针对指定的变化设定对应的开机策略。

　　关键系统文件备份与恢复（自动修复）

　　BIOS持久化守护技术能够在底层固件启动后，验证操作系统的关键文件签名是否和预期值一致，若对比不一致则根据策略能够从特定安全区域下载并恢复相应的文件或软件。

　　用户行为监控与审计

　　在自主高安全终端国产操作系统中集成主机监控与审计系统，对用户打印、刻录、网络访问、文件访问、外设端口访问行为进行监控与审计，实现自主高安全终端的操作系统加固及事后追责的能力。

　　硬件级输入输出端口控制

　　根据预定义的配置策略，设计采用SuperIO芯片通过硬件电路控制网络、串口、USB、音频等物理端口的断开与连接；只有得到授权的物理端口才可以正常使用，未授权状态的物理端口将无法使用，硬件级IO端口控制在更底层进行IO端口控制，有效防止旁路的可能。

　　硬件级输入输出端口控制直接使用电子开关实现端口的封闭、开放，可免拆卸、免封条实现封口易碎贴的作用。

　　集中安全管理

　　自主高安全终端在BIOS开机至操作系统层面都能接受终端终端综合安全管理中心的管理，实现对联网、级联、分区域终端的远程认证、锁定、解锁及策略等集中管控，并支持对离线终端的集中安全管理，全方位覆盖在线、离线终端，不论何时何地都能对自主高安全终端进行有效的保护和管理。

　　龙御系列自主可控安全计算机的意义

　　目前，国内政府机关、军队、公安、保密部门、科研机构、金融、证券等企事业单位大量使用的计算机、网络设备、操作系统及应用系统等方面对国外的依赖度很高，这些设备、系统带来高效应用的同时，也带来了各种安全风险和隐患。

　　近年来，为有效保障与国计民生相关的重点领域及行业信息系统的安全，维护国家安全和社会稳定，国家对信息安全非常重视，对处理器和软件等信息产业关键环节也是重金投入，尤其以在芯片、核心模块、整机、操作系统、应用及安全防护软件等领域实现国产化上无比重视。

　　但就在国家大力发展IT产业之时，国内一些买办公司纷纷拿国外技术穿马甲，一方面从国家获取高额项目经费，另一方面，将存在安全隐患的芯片打入党政军市场，甚至在工信部官网的文章中，都将某公司的马甲芯片进入党政军保密电脑试点列为其值得夸耀的政绩。

　　处理器是信息产业的基础部件，如果处理器上无法实现自主可控，那么整个信息产业的自主可控将无从谈起。本次中国网安发布的龙御系列自主可控安全计算机和和自主可控安全交换机则给鱼龙混杂的安全计算机市场注入一股清泉，在元器件、核心模块、整机、操作系统及应用软件各个层面实现了自主可控和高安全设计。同时中国网安公司还结合对保密安全的经验与理解，创新的开发出多项具有特色的实用功能，使自主高安全一体机在保证高安全性的同时满足能用、好用的要求。

　　目前，自主高安全终端普通型(龙御LS3A2000-S)适用于党政、金融、电信、能源等具有一定安全需求非密信息系统。自主高安全终端增强型Ⅰ(龙御LS3A2000-SEⅠ)与增强型Ⅱ(龙御LS3A2000-SEⅡ)用于党政、专用信息终端、军队/军工等高安全领域。由于应用领域的特殊性，笔者不方便举出具体应用案例，但笔者可以明确的说，在安全计算机领域，从芯片、硬件平台、操作系统、防护软件、应用软件等方面的国产化环境的生态链已初步形成。