远程认证

远程证明 如果它像鸭子一样嘎嘎叫... Liam Wisehart Jul 09, 2026 1 1 共享 主机连接到您的网络。它看起来像是你舰队的一部分，但真的是这样吗？它运行您的软件，或者至少运行足够的软件来开始提供流量。它像鸭子一样嘎嘎叫。但里面是什么？我很惊讶 ChatGPT 同意制作这个。但说真的。您如何知道您的数据没有位于受损的堆栈上？您如何知道您没有尝试在攻击者控制的计算机上安排工作负载？您如何知道您的安全控制措施实际上已在主机上到位？一旦攻击者接管了主机，就有无数的地方可以隐藏并通过升级和重新启动来持续存在。一旦配置了主机，大多数设置都会对其抱有很大的信心。主机被放置在信任边界中，然后就留在那里，无论同时发生什么。如果他们一开始就应该在那里就好了。进入远程认证的奇妙世界，它（大部分）解决了这个问题。使用 TPM，我们可以远程加密地证明几件事： 主机具有预期的硬件 主机具有预期的固件 主机具有预期的内核和初始化映像 主机具有预期的根文件系统（取决于设置） 主机通过了我们定义的任意检查 这意味着重新启动后，我们知道主机所处的确切状态。如果没有大量的物理修改和篡改，全新启动要么使我们处于受信任状态，要么失败并破坏对主机的信任。测量启动周期与可信启动不同，它依赖于签名的测量，而不是安全启动等签名的工件。它提供了更大的覆盖面，但代价是相当复杂。即使是恶意的、经过签名的驱动程序和 rootkit 也可以被捕获。但是，如果我们不像安全启动那样阻止启动，那么测量还有什么意义呢？测量给我们带来什么？这涉及到您如何信任主机。您可以使用 TPM 加密全部或部分 root-fs（所有密钥和数据所在的位置），以便主机在测量引导成功之前无法运行。您的 RA 可以拒绝向不提供正确测量的主机颁发证书（您正在使用 mTLS，对吗？）。您甚至可以使用 TPM 支持 TLS x509 证书，因此错误重新启动的主机根本无法通过 mTLS 进行身份验证。这为主机的初始状态提供了极其有力的保证，因此您可以相信您的工作负载和数据位于您信任的环境中。这不是一个完美的解决方案。物理攻击（如内存窃听）仍然是一个问题。但是，再加上强大的 EDR 和良好的 LSM 策略，您就不会关闭大量问题的大门，特别是绕过所有良好的用户态防御的令人讨厌的内核和驱动程序供应链攻击。但是启动后的攻击又如何呢？那是你的 EDR 的问题。可信引导提供了在其上构建一堆其他原语的基石。包括加密证明您的 EDR 已安装并正在运行（启动时）、不可变文件系统（启动时验证）、签名升级、机密计算等。没有它，您将无法信任主机本身，也无法做出进一步的安全保证。房子建在沙子上等等。只需使用远程认证，这很容易不幸的是，对组织中的每台主机远程测量启动过程的每一步是一项艰巨的任务。它涉及如何构建和分发固件、初始化映像、内核。从好的方面来说，它会让你有机会清理一堆遗留问题，也可能揭示一些你没有考虑到的供应链问题。 TPM 的魔力或多或少是如何发挥作用的。 TPM 向主机公开有限的加密操作接口，并且该接口被充分锁定，可以控制您对加密材料的访问。它们也能抵抗物理攻击，但主要功能是减轻软件攻击，而不是物理攻击。即使是内核代码也无法深入 TPM 并提取私有材料。 TPM 附带一组 PCR（平台配置寄存器）。它们唯一的功能是存储哈希值。它们只会向前发展，您可以将新的散列值测量到 PCR 中，并将前一个值与新值进行散列，从而产生唯一的结果。没有后退。在启动和初始化期间，不同的工件会被测量到不同的 PCR 中，并且与安全启动类似，每个阶段都会测量下一阶段。在任何地方打破这条链都会污染 PCR 值。 TPM 关心这些值。您可以根据它们做几件事： TPM 密封：材料可以存储在 TPM 中，并且只有在 PCR（您选择的 PCR）检查时才解锁。 TPM 引用：可以使用 TPM 驻留的密钥对值进行签名。您的 RA 知道该密钥的来源（稍后会详细介绍），这提供了测量正确性的有力证据。完整的仪式超出了像这样的博客文章的范围（a