至頂網服務器頻道 08月28日 新聞消息：谷歌曾在公佈微型Titan芯片消息時表示，計劃利用Titan處理器給每個谷歌雲裡的服務器提供一個身份。
現在谷歌給出了一個更詳細的說明，還描述了Titan作為"硬件信任根證書"的具體做法，進而確保每臺機器的固件都可以安全地在數據中心裡載入和提供其他加密功能。
據瞭解，Titan芯片的作用是阻止一些諸如政府間諜攔截硬件植入固件後門一類的攻擊。攻擊者也可以利用固件漏洞繞過操作系統的防禦及安裝可一些即便重裝操作系統也不能移除的木馬後門(Rootkit)。
谷歌雲平臺工程師在博文中稱，"在本部設計的Titan硬件邏輯可望減少硬件後門的機會。"
Titan含"安全應用處理器、密碼協處理器、硬件隨機數發生器、精密的密鑰架構、嵌入式靜態RAM（SRAM）、嵌入式閃存和只讀存儲器模塊"。在服務器開機後，Titan芯片就會掃描CPU和其他組件並監視"引導固件的每個字節"，進而運行只讀存儲器裡的代碼。Titan芯片還會檢查固件是否被篡改過。
Titan的引導內存使用公鑰加密（PKI）機制，在加載自己的固件時會對其進行驗證，然後利用PKI再驗證主機系統固件。 谷歌的驗證啟動固件然後對機器進行配置並載入引導加載程序和操作系統。
據谷歌介紹，上述的各項檢查比安全啟動（Secure Boot）做的檢查更進了一步，安全啟動會在機器啟動時驗證固件，也可以修復Titan和識別啟動時運行的第一個字節的代碼。
谷歌還詳細介紹了Titan如何為每臺機器提供加密身份，這在有必要修復Titan固件時有用處。
谷歌表示，"Titan的芯片製造流程為每個芯片生成了一些獨特的密鑰資料，並將這些密鑰資料及來源信息一起都存在註冊表數據庫裡。數據庫的內容是經過密鑰保護的，而所用的密鑰則保存在基於脫機Quorum Titan認證中心（CA）裡。（Quorum協議指操作要在得到Vr個服務器或Vw個進程同意才能進行。）
“獨立的Titan可以生成針對Titan CA生成證書籤名請求（CSR），而Titan CA則可以在Titan身份管理員基於Quorum指導利用註冊表數據庫中的信息在發佈身份證書前驗證CSR的真實性。”
該認證系統允許谷歌的後端系統向啟用了Titan的機器配置密鑰，並可以簽署審核日誌，審核日誌因此可以顯示是否被篡改過，即便是具有超級用戶權限的惡意內部人員篡改審核日誌也會顯示出來。
相關推薦
