2021年4月10日，CITE2021 工業互聯網發展與安全峰會在深圳召開，中電（海南）聯合創新研究院技術總師黃明在會上發表了題為《PKS體系助力工業互聯網發展》的報告。

中電（海南）聯合創新研究院技術總師 黃明

       黃明表示，2016年總書記的“419”講話將網絡安全提到了一個前所未有的高度。中國電子根據自己國家網絡安全信息國家隊的定位，經過十年磨一劍，構建了基于飛騰CPU和麒麟操作系統的PK體系。PKS是基于PK構建的一個開放的安全架構，體現了安全和可信，主要是要解決現有計算機先天缺乏免疫的問題及漏洞和效率問題。其中P為CPU、內存、網絡交換芯片內置可信核安全機制，內置密碼體系；K為操作系統、數據庫等基礎軟件內置白名單、訪問控制、未知漏洞防護等安全增強機制；S為可信策略管理、安全控制中心、安全軟件應用商店等立體防護和管控體系。

PKS核心理念

       黃明指出，PKS第一個核心理念是“雙體系架構”，也是基于CPU隔離的技術。

      雙體系架構有如下幾個特征：

·       計算與防護雙體系結構：軟件定義物理隔離，全程動態可信度量控制；

·       內存內置物理防護技術，使得關鍵區域不能篡改，關鍵數據保密存儲；

·       兼容性好，可以實現不修改應用程序，同時使性能損耗不超5%（64核）。

       第二個核心理念是“內生內置”（Build In）。

        “內生內置”有如下四點特征：

·       CPU內置可信計算3.0主動防御架構

·       OS內置安全控制臺，直觀配置和狀態展示

·       安全內存保護核心內存區域免受攻擊

·       未知漏洞防護引擎攔截可信程序的漏洞攻擊

PKS優勢特點

       黃明指出，PKS的主要優勢特點有三個：

·       國際首次采用CPU的內置可信技術

       飛騰CPU隔離出可信核用于可信計算，將白名單機制嵌入麒麟OS，實現計算和安全防護的雙體系結構；

·       國際首次采用內存內置物理防護技術

       在內存緩存控制器內置硬件防護芯片，對關鍵代碼和關鍵數據按需實時權限策略管理；

·       未知漏洞指令流檢測技術和終端云端統一安全管控

        基于內存指令流的未知漏洞檢測技術、安全軟件與PK核心一體化，終端云端統一安全管控

       黃明表示，“這是我們的三大核心技術，三大核心技術構筑了最底層的安全底座，基于三大核心技術研制出來的產品有八個技術點，把完整點分散于整個信息系統的所有關鍵地方。“那么黃明所指的八大控制點又有哪些呢？

PK體系的八大控制點

       第一，  基于飛騰CPU通用核的可信核。CPU內置PSPA安全平臺架構，將密鑰管理、可信執行等放入CPU內，是可信和安全運行的起始點。

       第二，  基于麒麟OS的安全及可信控制。將多種核心安全組件以OS內核內置驅動的方式深度融合，形成高強度基礎安全防護能力。

       第三，  基于芯片的內存安全防護。安全內存模組內置安全控制芯片，兼容通用內存標準的同時提供對關鍵代碼區、關鍵數據區的內存訪問權限動態管理。

       第四，  基于安全固件的整機防護。安全可信固件形成可信啟動、軟件定義安全資源、防止固件被惡意篡改等能力。

       第五，  安全隔離環境（可信運行區）。可信運行具備整系統的動態可信監控、安全策略動態收發等能力，將“被動防御”變為“主動免疫”。

       第六，  基于雙體系的開放安全架構。含通用API和安全API的開放式安全開發框架，兼容既有PK應用程序，保障PK生態開放安全、高效開發。

       第七，  基于內存指令流的未知漏洞防護引擎。漏洞防護擺脫對文件、流量、數據、行為的依賴，采用內存指令控制流檢測技術，從更低層提供對各種未知和已知漏洞的防護能力。

       第八，  云端一體的安全管控。前端運行狀態與后臺監控分析相互聯系、相互作用，在整體上具備單個產品和服務所沒有的安全功能，從而有效保障復雜系統的安全。

       在談及PKS的防護優勢時，黃明表示，在2020年的網絡攻防演練中，以PKS為核心的安全防護體系在一天之內成功檢測并攔截120余支戰隊的攻擊71298次，攻擊無一成功。在2020年數字中國創新大賽虎符網絡安全賽道，“PKS立體安全防護體系”成功應對了攻防大賽681支安全攻擊團隊的挑戰。下圖所示，綠色代表防護成功；紅色代表攻擊成功。圖表上半部分是基于Intel+Linux，下半部分是基于PKS的防護成果。

        PKS的體系優勢同樣重要。“這些核心的技術不是憑空短時間內產生的，是CEC有一個信創產業鏈深度的融合，也是十年磨一劍的結果。“，黃明表示，“與國外商用平臺的對比，它們其實是在一個CPU封裝兩套系統，真正應用CPU計算資源的空間是看不到，只是在外圍圍繞通過總線來逐步查看。手機上應用的技術包括支付、人臉識別都是在這里完成的，但是這些程序之間一旦進入這個空間，里面是沒有私密性的，但是PKS利用前面的三大技術是完全隔離私密性的。這是一個體系的優勢。”

PKS在工業互聯網上怎么用？

       PKS是安全、兼容、低損耗的。“第一個優勢是完全兼容已有用戶的軟件（不需要做開發），使用過程中用戶完全感知不到這一塊安全保護的存在；它的性能損耗控制在5%以內，只有一個度量的損耗，硬件上如果是基于PK的主板也不需要換主板，我們完成通過軟件定義（從固定級到操作系統級），已有的數據和軟件不需要重新安全，完全做到了兼容和低損耗。另外雙體系的第二個體系也不做可信，因為工業控制也很多實時性要求和安全要求，我們可以把實時做到第二個關鍵里面，把安全要求做到第一個區域，可以有更多的變種實現數據的一體機，在一個開放的環境里面實現非常私密和高效的安全。” 黃明表示。

       “我們這個工業互聯網可以在中后臺，比如說邊緣的網關、數據平臺和云平臺上使用，可以在局部的關鍵部位來使用，也可以在全網來使用，安全控制平臺可以越級直達后臺的管控中心。另外我們的管控中心是可有可無的，對于前端的安全策略進行配置之后也可以把它關掉。”黃明補充道。

       同時，PKS體系也是開放、標準、可控的。“PKS完全符合ARM和Linux的標準，我們基于PK體系，除了核心架構之外還有相應的標準、場景和生態。是基于這個標準化的框架進行我們產品的研發。”