2023-12-19-龙蜥社区-2023可信计算技术最佳实践白皮书_193页_19mb

文档基于MulanPSL v2许可证发布，主要介绍龙蜥社区及龙蜥操作系统在可信计算领域的发展与实践。龙蜥社区已获得行业广泛认可，荣获包括“OSCAR开源尖峰案例奖”在内的25项行业奖项。社区围绕可信计算构建了完整的SIG（特别兴趣小组）体系，并设立可信计算实验室，推动TPM、TSS、国密算法、虚拟化安全等技术的研发与标准化。

在技术实现方面，文档详细介绍了swtpm和libtpms的编译安装流程，以及vTPM在Xen环境下的集成架构，涵盖从虚拟机前端驱动到硬件TPM的完整通信链路。同时，展示了TPM 2.0常用命令的操作示例，包括初始化、PCR读取与扩展、密钥创建与加解密、NV存储管理、字典锁机制等，验证了TPM基础功能的可用性。

在软件栈层面，重点介绍tpm2-tss的分层架构，包括SAPI、ESAPI、FAPI、TCTI等接口，支持开发者基于不同抽象层级进行应用开发。社区已集成海光提供的国密算法支持（SM2/SM3/SM4），并推动tpm2-tools、tpm2-tss等工具链在Anolis OS中的适配与优化。通过tpm2-tss-engine实现了OpenSSL引擎集成，支持使用TPM保护私钥并进行加解密和签名操作，可生成自签名证书并用于SSL服务。

文档还介绍了TDM（可信度量模块）在海光平台上的实现，包括度量任务管理、异常检测、报告生成与验证流程，并通过hag工具实现AK证书获取、报告解析与链式验证，构建了完整的远程证明能力。此外，龙蜥社区积极跟进Keylime项目，探索基于Rust的rust-keylime实现，支持远程完整性验证，并在Anolis OS上实现部署与RESTful API管理。

在安全增强应用方面，文档演示了如何利用TPM密封LUKS磁盘加密密钥，并结合PCR策略实现基于系统状态的身份验证，防止密钥在非法环境下被解封。同时支持通过签名策略授权PCR变更，提升策略灵活性。最后，文档提及GRUB2的可信启动配置与度量文件部署，确保从固件到操作系统的全链路可信。

整体来看，龙蜥社区已构建起覆盖硬件、内核、工具链、应用层的完整可信计算生态，持续推动国产化支持与国际主流技术接轨。