近日，为了不断提升和优化云环境的安全性及安全体验，对用户业务和数据的云上安全实现更高安全等级保护，阿里云正式发布系统可信解决方案。该产品与和10月份发布的业界首个基于SGX2.0和TPM的虚拟化实例将形成有力呼应，标志着阿里云已具备提供完整云可信产品的能力。
系统可信解决方案
可用于保护系统启动过程中的关键组件以及用户指定的关键应用，通过虚拟可信芯片设备，提供完整性度量值存储、完整性度量值报告、密码学运算和密钥管理等功能，并支持用户进行上层安全机制二次研发。
虚拟可信芯片设备：
提供可靠的完整性度量值存储和报告功能，支持各类对称与非对称密码学算法。用户可基于这些功能自行实现零信任、安全环境证明和安全业务调度等。
目前国内外在商用云计算环境安全保障领域，常见的安全机制依然是防火墙、入侵检测等传统安全机制。系统可信产品基于物理或虚拟安全芯片实现安全机制，则更加强调安全机制的可靠性以及保护周期的覆盖度，从而帮助用户实现底层高等级安全，对入侵检测等传统安全机制实现了补充与增强。
作为业内首个可提供完善商业化可信虚拟化实例的云厂商，阿里云从用户看不见的基础设施最底层开始提供安全能力，基于物理服务器安装的硬件可信芯片，保证系统启动过程中的UEFI、BootLoader、内核镜像和初始文件系统等都被可靠度量和安全存证，在解决复杂场景、甚至在传统IT环境中无解的安全问题方面，做出了创新的实践示范：
- 有效对抗 RootKit/BootKit 等底层安全威胁：从物理机和虚拟化实例启动开始，完整收集启动过程中的关键组件信息，及时、准确感知系统状态，识别传统IT环境难以察觉的风险；
- 可靠证明系统启动与运行状态：基于数字签名安全上报度量结果，将度量的状态作为远程证明依据；
- 可靠证明系统启动与运行状态：基于数字签名安全上报度量结果，将度量的状态作为远程证明依据；
- 零信任密钥管理与密码算法应用：依托vTPM，ECS环境在启动时第一时间创建可靠的密钥、申请证书并执行数字签名和加解密等运算。
目前，国标等保（2.0）中1-4级均对可信计算技术应用提出明确要求。例如，在应用最广泛的等保三级要求：“基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至管理中心”。
阿里云推出的系统可信解决方案，遵照上述要求和国内外可信计算标准，将可信计算相关功能无缝集成至可信实例C6T，实现关键信息的提取和验证。如果发现安全隐患，用户在云安全中心控制台实例详情、安全告警以及ECS实例详情等多页面进行详情提示。系统可信解决方案可有力地帮助用户通过等级保护测评。
云计算环境日渐成为影响国计民生的重要信息基础设施，构建安全可信的云环境势在必行。云具备远超传统计算环境的复杂性、异构性和网络连通性，云原生迭代更新速度更是决定了留给安全技术进行环境适配的时间机会更少。引入硬件设备作为系统的信任根基，基于硬件设备以及跟踪、隔离等技术手段创建可信的计算环境，有效把安全漏洞、恶意代码和网络攻击等对云计算环境的影响降至最低。
