自處理器問(wèn)世以來(lái)，其設(shè)計(jì)的主流方向一直聚焦于提升性能和降低功耗，而對(duì)硬件自身安全性的關(guān)注相對(duì)較少。近些年的研究揭示了各種處理器中存在的多種漏洞，這些漏洞對(duì)當(dāng)前的網(wǎng)絡(luò)信息安全構(gòu)成了重大威脅。尤其是在當(dāng)前復(fù)雜的國(guó)際環(huán)境下，處理器等核心芯片已成為影響國(guó)家信息安全和產(chǎn)業(yè)發(fā)展的關(guān)鍵。

面對(duì)當(dāng)前局勢(shì)，強(qiáng)化技術(shù)積累、提升自主研發(fā)能力，推動(dòng)國(guó)產(chǎn)處理器的安全性創(chuàng)新，全面鞏固國(guó)家網(wǎng)絡(luò)安全的根基已迫在眉睫。

芯片安全事件頻發(fā)，國(guó)產(chǎn)芯片應(yīng)防患于未然

提及芯片安全事件，估計(jì)業(yè)內(nèi)最先想到的就是中國(guó)網(wǎng)絡(luò)空間安全協(xié)會(huì)近期建議對(duì)英特爾產(chǎn)品進(jìn)行全面網(wǎng)絡(luò)安全審查。據(jù)該協(xié)會(huì)發(fā)文內(nèi)容顯示，英特爾產(chǎn)品漏洞頻發(fā)、故障率高。盡管英特爾方面在回應(yīng)中，反復(fù)強(qiáng)調(diào)其對(duì)產(chǎn)品安全和質(zhì)量的堅(jiān)定承諾。但該事件還是引發(fā)了業(yè)內(nèi)對(duì)于芯片安全的高度擔(dān)憂。

無(wú)獨(dú)有偶，今年10月，高通公司（Qualcomm）也發(fā)布安全警告稱，其多達(dá)64款芯片組中的數(shù)字信號(hào)處理器（DSP）服務(wù)中存在一項(xiàng)潛在的嚴(yán)重的“零日漏洞”—CVE-2024-43047，且該漏洞已出現(xiàn)有限且有針對(duì)性的利用跡象。據(jù)高通公告，CVE-2024-43047源于使用后釋放（use-after-free）錯(cuò)誤，可能導(dǎo)致內(nèi)存損壞。

而AMD在2024年也被曝光Heckler（CVE-2024-25743）漏洞，該漏洞是一種新的針對(duì)加密虛擬機(jī)進(jìn)行攻擊的漏洞。Hypervisor通過(guò)注入中斷的方式破壞了包括AMD SEV-SNP、INTEL TDX在內(nèi)的加密虛擬機(jī)的機(jī)密性和完整性。

具體到國(guó)內(nèi)，2023年一些安全研究團(tuán)隊(duì)披露，小米智能設(shè)備中使用的芯片存在安全隱患，可能被利用來(lái)竊取用戶數(shù)據(jù)或控制設(shè)備。小米迅速響應(yīng)并發(fā)布了安全更新，但事件也引發(fā)了用戶對(duì)國(guó)內(nèi)芯片安全的關(guān)注；而在時(shí)間更早些的2021年，研究人員在紫光展銳（Unisoc）的芯片中發(fā)現(xiàn)了一個(gè)關(guān)鍵漏洞。該漏洞允許攻擊者通過(guò)短信發(fā)送特定指令，從而讓設(shè)備崩潰或被完全控制。此問(wèn)題影響了一些低成本智能手機(jī)，雖然補(bǔ)丁隨后發(fā)布，但事件暴露出國(guó)產(chǎn)芯片在安全上的不足。

上述這些案例表明，隨著芯片應(yīng)用的普及和復(fù)雜度的增加，芯片，特別是國(guó)產(chǎn)芯片面臨著技術(shù)突破和安全保障的雙重挑戰(zhàn)。尤其是安全更應(yīng)防患于未然。

做對(duì)的事，這家國(guó)產(chǎn)廠商跑在國(guó)際前列

如上述，隨著網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露事件的頻發(fā)，芯片安全成為全球半導(dǎo)體產(chǎn)業(yè)，尤其是中國(guó)半導(dǎo)體產(chǎn)業(yè)的關(guān)鍵課題。而隨著安可、信創(chuàng)、國(guó)產(chǎn)化等趨勢(shì)的加速，諸多芯片企業(yè)紛紛加大在安全方面的創(chuàng)新和應(yīng)用，有的甚至已然走在了業(yè)內(nèi)和市場(chǎng)的前列。

這里我們以國(guó)內(nèi)芯片企業(yè)海光信息為例，其通過(guò)技術(shù)創(chuàng)新，特別是以“密碼技術(shù)”、“機(jī)密計(jì)算”、“可信計(jì)算”、“漏洞防御”四大核心技術(shù)為基礎(chǔ)，形成系統(tǒng)化解決方案，在業(yè)內(nèi)，尤其是與其他同類(lèi)產(chǎn)品相比，均彰顯出其獨(dú)特的優(yōu)勢(shì)。

以密碼技術(shù)為例，眾所周知，在現(xiàn)代芯片的安全設(shè)計(jì)中，硬件加密成為一種基礎(chǔ)設(shè)施和手段，能夠有效防止外部攻擊者對(duì)數(shù)據(jù)的篡改和泄露。海光信息在其自主設(shè)計(jì)的芯片中，深度集成了密碼運(yùn)算模塊（即CCP密碼協(xié)處理器，其獨(dú)立于CPU核心的硬件模塊，專(zhuān)門(mén)用于高效的密碼運(yùn)算），特別支持了國(guó)密算法（如SM2、SM3、SM4等）。與國(guó)際主流廠商的加密技術(shù)相比，海光信息的密碼技術(shù)具有更高的適應(yīng)性和更強(qiáng)的防護(hù)能力。

與國(guó)內(nèi)其他產(chǎn)品不同，海光芯片通過(guò)將密碼加速引擎、密鑰管理（TKM）等安全模塊直接集成到CPU內(nèi)核中，避免了對(duì)外部加密卡或獨(dú)立硬件的依賴，從而降低了成本、簡(jiǎn)化了硬件部署，并提供了更高的安全性和性能，尤其是在大數(shù)據(jù)處理和高頻交易等場(chǎng)景下表現(xiàn)突出。相比之下，其他廠商的產(chǎn)品往往需要額外的硬件設(shè)備進(jìn)行加密運(yùn)算，這可能帶來(lái)額外的運(yùn)維和性能瓶頸。

值得一提的是，海光信息的芯片不僅支持國(guó)密算法，還根據(jù)國(guó)家安全政策的要求，針對(duì)性地增加了額外的防護(hù)措施。例如，在數(shù)據(jù)存儲(chǔ)和傳輸?shù)倪^(guò)程中，其采用了具有高抗干擾性的加密通道和信息溯源功能，這在當(dāng)前國(guó)際標(biāo)準(zhǔn)無(wú)法完全涵蓋的情況下，無(wú)疑提供了額外的安全保障。

總體而言，海光CPU的密碼技術(shù)具有六大優(yōu)勢(shì)：適用性廣，兼容國(guó)產(chǎn)化全場(chǎng)景需求；性能強(qiáng)，簽名驗(yàn)簽性能是傳統(tǒng)加密卡的數(shù)倍；安全可靠，內(nèi)置于CPU，提高穩(wěn)定性；兼容性強(qiáng)，支持容器、虛擬機(jī)和主流云平臺(tái)；軟件生態(tài)完善，提供標(biāo)準(zhǔn)接口，支持主流密碼套件；成本效益高，無(wú)需額外硬件采購(gòu)，可直接升級(jí)。

而在機(jī)密計(jì)算方面，隨著云計(jì)算的廣泛應(yīng)用，數(shù)據(jù)管理者和數(shù)據(jù)使用者分離的模式成為新常態(tài)。這意味著在云上存儲(chǔ)和處理的數(shù)據(jù)可能面臨被惡意訪問(wèn)的風(fēng)險(xiǎn)。

針對(duì)于此，海光信息通過(guò)構(gòu)建可信執(zhí)行環(huán)境（TEE），確保云上數(shù)據(jù)的安全。通過(guò)硬件層面的安全加固，海光的機(jī)密計(jì)算技術(shù)能夠在不信任的環(huán)境中實(shí)現(xiàn)數(shù)據(jù)的保密性、完整性和可用性，進(jìn)一步提升了云計(jì)算應(yīng)用的安全性。

這里，海光信息機(jī)密計(jì)算的核心是CPU硬件可信執(zhí)行環(huán)境（TEE），通過(guò)硬件加密和密鑰管理，確保虛擬機(jī)和容器資源在運(yùn)行過(guò)程中的數(shù)據(jù)和代碼不受外部篡改或竊取。相比傳統(tǒng)解決方案，海光的CSV（China SecureVirtualization）技術(shù)具備提供獨(dú)立的密鑰管理與虛擬機(jī)加密功能、支持大數(shù)據(jù)量處理和AI場(chǎng)景下的異構(gòu)加速和滿足云計(jì)算場(chǎng)景下的數(shù)據(jù)安全需求的優(yōu)勢(shì)。

至于可信計(jì)算，是指通過(guò)建立可信環(huán)境以確保計(jì)算設(shè)備和數(shù)據(jù)的安全性。從技術(shù)路徑來(lái)看，可信計(jì)算體系最重要的是底層的硬件信任根，信任根是可信的基礎(chǔ)和源頭。目前國(guó)內(nèi)部分CPU產(chǎn)品，采用的傳統(tǒng)實(shí)現(xiàn)信任根的方式多是依賴于主板上專(zhuān)門(mén)的硬件模塊，在成本、安全性及易用性上存在一定的缺陷。

針對(duì)于此，海光信息可信計(jì)算的核心是通過(guò)建立硬件信任根（Root of Trust），實(shí)現(xiàn)系統(tǒng)從硬件到軟件的全鏈條信任傳遞。例如硬件信任根是借助芯片內(nèi)置的硬件安全模塊（TPM）通過(guò)加密技術(shù)驗(yàn)證系統(tǒng)啟動(dòng)的完整性，來(lái)防止未經(jīng)授權(quán)的硬件和軟件介入，而動(dòng)態(tài)可信傳遞則是在系統(tǒng)運(yùn)行過(guò)程中，海光芯片能夠動(dòng)態(tài)檢測(cè)并報(bào)告系統(tǒng)的安全狀態(tài)，實(shí)現(xiàn)實(shí)時(shí)的安全性保障。

海光芯片可做到安全啟動(dòng)，以及動(dòng)態(tài)度量保護(hù)。其中安全啟動(dòng)是保障設(shè)備在啟動(dòng)過(guò)程中，可以基于硬件的可信根，驗(yàn)證平臺(tái)的相關(guān)部件，保證平臺(tái)部件的完整性。而動(dòng)態(tài)度量保護(hù)更多的是要保證系統(tǒng)在運(yùn)行過(guò)程中的持續(xù)監(jiān)控，通過(guò)動(dòng)態(tài)度量相關(guān)的手段，來(lái)防止設(shè)備在運(yùn)行過(guò)程中的非法操作。

最后在漏洞防御方面，海光也同樣做了大量自主創(chuàng)新的工作。不可否認(rèn)，抵御底層硬件漏洞的攻擊是所有芯片廠商都需要面對(duì)的嚴(yán)峻挑戰(zhàn)。為此，海光信息芯片構(gòu)建了全面、立體的漏洞防御體系。

芯片內(nèi)置的漏洞檢測(cè)模塊能夠?qū)崟r(shí)監(jiān)控潛在的緩沖區(qū)溢出、代碼注入等攻擊行為，并在第一時(shí)間觸發(fā)防御機(jī)制；而自動(dòng)化漏洞修復(fù)則通過(guò)與操作系統(tǒng)和應(yīng)用軟件的深度集成，確保漏洞修復(fù)的時(shí)效性和全面性。

海光信息的漏洞防御手段主要是兩類(lèi)，一類(lèi)是基于硬件的防御，海光信息會(huì)建立完善的應(yīng)急響應(yīng)機(jī)制，構(gòu)建芯片漏洞庫(kù)。而另外一類(lèi)針對(duì)軟件的漏洞，海光信息應(yīng)用了新興的技術(shù)，例如通過(guò)比較影子棧以及程序棧之間的反饋，有效應(yīng)對(duì)一些基于程序執(zhí)行控制流的攻擊，來(lái)防御基于緩沖區(qū)溢出的軟件類(lèi)漏洞的攻擊。

為了支持上述四大核心能力，海光通過(guò)自主研發(fā)創(chuàng)新，在芯片中添加安全密鑰、安全處理器、安全啟動(dòng)、安全存儲(chǔ)、密鑰管理及使用、動(dòng)態(tài)度量保護(hù)、內(nèi)存加密、機(jī)密計(jì)算、密碼計(jì)算、可信計(jì)算標(biāo)準(zhǔn)支持、芯片安全防護(hù)等功能，實(shí)現(xiàn)了芯片安全系統(tǒng)化、綜合化的防御，實(shí)現(xiàn)的是從底層固件到上層應(yīng)用軟件的全方位保護(hù)，恐怕這才是其芯片安全有別于國(guó)內(nèi)同類(lèi)產(chǎn)品最大的競(jìng)爭(zhēng)優(yōu)勢(shì)。

應(yīng)用中不斷精進(jìn)，未來(lái)可期

所謂實(shí)踐是檢驗(yàn)真理的惟一標(biāo)準(zhǔn)。對(duì)于芯片安全也是如此，惟有在市場(chǎng)中得到應(yīng)用和檢驗(yàn)才是安全價(jià)值的真體現(xiàn)。

我們這里還是以前述的海光信息為例，來(lái)證明芯片安全給市場(chǎng)和行業(yè)帶來(lái)的價(jià)值。

眾所周知，在金融行業(yè)中，信息安全是至關(guān)重要的。目前海光信息已與多家金融機(jī)構(gòu)合作，推出了一系列基于海光CPU的安全加密產(chǎn)品。例如，某證券公司基于海光CPU的加密能力，成功地對(duì)其證券交易系統(tǒng)進(jìn)行了國(guó)密改造。改造后的系統(tǒng)不僅符合國(guó)家的安全合規(guī)要求，還能夠在高并發(fā)的交易環(huán)境中保持較高的處理效率。

又如在對(duì)數(shù)據(jù)敏感性和私密性要求極高的醫(yī)療行業(yè)，海光芯片的機(jī)密計(jì)算技術(shù)可確保醫(yī)療數(shù)據(jù)在云端存儲(chǔ)和共享的過(guò)程中始終處于加密狀態(tài)。而某省級(jí)醫(yī)院通過(guò)部署海光芯片，在實(shí)現(xiàn)醫(yī)療數(shù)據(jù)共享的同時(shí)，確保了患者隱私不被泄露。

而在多租戶的云計(jì)算環(huán)境中，用戶數(shù)據(jù)的隔離和加密是服務(wù)商的重要競(jìng)爭(zhēng)力。通過(guò)海光芯片的機(jī)密計(jì)算和虛擬機(jī)加密技術(shù)，國(guó)內(nèi)某頂級(jí)云服務(wù)商成功推出了基于機(jī)密計(jì)算的云實(shí)例，為用戶提供高安全等級(jí)的云服務(wù)。

除了上述行業(yè)和應(yīng)用場(chǎng)景外，海光信息還與許多業(yè)內(nèi)廠商建立了多種不同層次的合作。

例如麒麟軟件與海光的合作主要體現(xiàn)在操作系統(tǒng)對(duì)海光處理器的適配上。銀河麒麟操作系統(tǒng)從項(xiàng)目立項(xiàng)初期，就將海光處理器的安全技術(shù)作為重要組成部分，確保安全技術(shù)的早期和全面適配。在此過(guò)程中，麒麟軟件通過(guò)充分利用海光處理器的國(guó)密加速能力，在加密領(lǐng)域做出了突破，減少了對(duì)外部密碼卡的依賴，降低了成本，同時(shí)確保了合規(guī)性。

此外，麒麟還與海光共同推動(dòng)在銀行、證券、公安、政府等多個(gè)領(lǐng)域的安全創(chuàng)新應(yīng)用，特別是在加密和服務(wù)器密碼技術(shù)方面，推動(dòng)了數(shù)字安全技術(shù)的實(shí)踐落地。

對(duì)此，麒麟軟件安全產(chǎn)品專(zhuān)家魏剛評(píng)價(jià)稱，麒麟軟件和海光的合作不僅提升了操作系統(tǒng)的安全性，還通過(guò)深度整合安全生態(tài)，促進(jìn)了整個(gè)產(chǎn)業(yè)鏈的協(xié)同創(chuàng)新，同時(shí)，通過(guò)與海光的緊密合作，麒麟軟件推動(dòng)了國(guó)產(chǎn)操作系統(tǒng)和處理器的普及，進(jìn)一步實(shí)現(xiàn)了國(guó)產(chǎn)化替代，降低了對(duì)外部技術(shù)的依賴。

相較于麒麟軟件，沖量在線則從基礎(chǔ)的海光CPU+GPU硬件平臺(tái)開(kāi)始，逐步推出了AI隱私計(jì)算相關(guān)的硬件、軟件產(chǎn)品，如AI pass、隱私計(jì)算一體機(jī)等。通過(guò)這些產(chǎn)品，用戶可以快速部署基于海光芯片的AI安全推理和隱私計(jì)算環(huán)境。目前，沖量在線的技術(shù)在多個(gè)行業(yè)中得到了應(yīng)用，包括銀行、通信、公安等領(lǐng)域。例如，浦發(fā)銀行使用沖量在線與海光的技術(shù)組合，開(kāi)展AI模型開(kāi)放服務(wù)，在保護(hù)數(shù)據(jù)隱私的同時(shí)，實(shí)現(xiàn)了合同和票據(jù)的自動(dòng)識(shí)別。

對(duì)此，沖量在線創(chuàng)始人劉堯稱，沖量在線的解決方案在技術(shù)上對(duì)標(biāo)了國(guó)際領(lǐng)先的產(chǎn)品，如英偉達(dá)的H100，尤其在AI計(jì)算和可信執(zhí)行環(huán)境的結(jié)合上，沖量在線與海光的合作已達(dá)到國(guó)際主流技術(shù)水平。

站在現(xiàn)在看未來(lái)，海光信息除了持續(xù)創(chuàng)新外，還要借助國(guó)產(chǎn)化，在2+8+N的體系里，把海光信息的安全賦能到各行各業(yè)，維護(hù)基礎(chǔ)行業(yè)的安全，打造一個(gè)安全的體系。

為此，強(qiáng)化芯片安全生態(tài)、推動(dòng)技術(shù)標(biāo)準(zhǔn)化和探索更多行業(yè)場(chǎng)景無(wú)疑將是海光信息芯片安全的發(fā)展方向。

寫(xiě)在最后：回望芯片安全，其實(shí)早在2017年，海光信息就成立了安全技術(shù)部，截至目前已接近8年的時(shí)間，期間在安全方面投入了大量研發(fā)，并做出了很多成果，而正是源于這種積淀，使海光信息在自身多維度實(shí)施安全保障的理念之下，目前能以其領(lǐng)先的密碼技術(shù)、機(jī)密計(jì)算能力、可信計(jì)算功能和漏洞防御體系，為用戶提供全方位的數(shù)據(jù)安全保障，加之其始終堅(jiān)持的自主可控的技術(shù)路線，不僅滿足了國(guó)家對(duì)信息安全的戰(zhàn)略需求，也為各行業(yè)的信息化建設(shè)注入了強(qiáng)大動(dòng)力，占據(jù)國(guó)產(chǎn)芯片安全C位自在情理之中。