隨著數據中心、云計算和物聯網（“IoT”）的擴展，確保對供應鏈的信任變得比以往任何時候都更加重要。從制造和平臺組裝中使用的組件的采購一直到最終產品的分銷和物流，都可以基于可信計算集團（“TCG”）開發的可信硬件和標準建立可信供應鏈（“TSC”）。本文旨在描述幫助將供應鏈信任作為主要組織問題進行優先級排序的激勵措施，并解釋使用硬件（“HW”）信任根（“RoT”）來建立可信供應鏈。

激勵供應鏈信任

在當今多樣化的制造、物流和準時制（“JIT”）庫存環境中，確保設備的來源和后續歷史已成為一項關鍵挑戰。遠程部署和配置還應在供應鏈中提供保證。這種保證還有一個額外的好處，即減少了對供應鏈中物理跟蹤設備的依賴，并降低了成本和服務時間。

需要進一步說服的公司應該快速搜索，看看找到供應鏈的重大黑客攻擊事件以及使用假冒，替代和有時是惡意組件是多么容易。最近的一起事件影響了多達300家公司，因此這不是一個潛在的問題。它是真實的。

圖1顯示了供應鏈中的薄弱環節以及添加可信賴元素的好處。在最終用戶打開新設備之前，供應鏈中有很多惡意行為發生的機會。此類攻擊應涉及每家公司，無論其規模或市場重點如何。軍事組織非常清楚這個問題的嚴重性。

美國情報參謀長聯席會議編制的內部報告，J-2指出，“網絡安全官員擔心。。.熟悉該報告的官員表示，計算機和手持設備可能會將受損的硬件引入國防部供應鏈，構成網絡間諜風險。

供應鏈雜志上的另一篇文章，“供應鏈無聲的威脅 - 網絡攻擊”，提供了 30 年的網絡攻擊歷史。這些努力并不新鮮。

美國國防部（“國防部”）于2015年發布，向國防聯邦采購法規增刊（“DFARS”）發布了一份三頁的臨時規則，該規則為政府承包商的截止日期為2017年12月31日，以實施美國國家標準與技術研究院（“NIST”）特別出版物（“SP”）800-171的要求［3］應對網絡安全威脅。第 252.246-7007 節 “承包商假冒電子部件檢測和避免系統”［4］具體涉及“設計、操作和維護系統，以檢測和避免假冒電子部件并懷疑假冒電子部件”。

信任解決方案

設備來源的保證有助于為可信供應鏈奠定基礎。TCG 的初始可信平臺模塊 （“TPM”） 標準定義了硬件信任根或“HRoT”。最近，TPM 2.0，現為國際標準化組織（“ISO”）標準（ISO 11889）［5］此外，還創建了一個庫規范來描述包括嵌入式系統在內的各種平臺中可以實現和可能需要的所有命令/功能。

在 TPM 中，認可密鑰 （“EK”） 是與特定 TPM 唯一關聯的永久（有一些例外）密鑰。它提供有關 TPM 的斷言，但不提供有關平臺的斷言。TPM EK 可以“認證”所有者或用戶創建的其他 TPM/平臺密鑰。此外，TPM 還具有平臺配置寄存器 （“PCR”）、證明 ID 密鑰、簽名密鑰和加密密鑰，用于驗證訪問和保護數據。

圖 2 顯示了 TPM 如何提供 HRoT。TPM EK 證書和平臺證書用于建立平臺的文檔。TPM 的 EK 證書由 TPM 供應商簽名。然后，平臺制造商 （“PM”） 將 TPM 附加到 EK 綁定到平臺的平臺，以提供特定于平臺的密鑰。

平臺制造商創建的平臺證書將有關平臺的資產信息以及將其綁定到 TPM 的度量信任根 （“RTM”） 歸因于平臺。測量值與平臺制造商提供的 RTM 的信任成正比。

最后，供應鏈獲取斷言證明，以驗證平臺和EK證書簽名，以及驗證綁定到該平臺的EK證書。

實施可信供應鏈

在 TPM 通用體系結構的基礎上，圖 3 顯示了 RoT 文檔的步驟，RoT 一直持續到供應鏈，直到到達最終所有者，其中信息技術 （“IT”） 專家使用開源上提供的工具驗證平臺簽名、EK 證書和其他信任確認任務。

基于在系統生命周期中建立的先前鏈，生成信任鏈從 TPM 開始，為每個 TPM 創建 EK 并建立硬件信任根。接下來，平臺制造商將 TPM 永久裝載到平臺上，并創建平臺證書并將其綁定到 EK。

然后，簽名服務提供一個平臺證書，該證書以加密方式將平臺綁定到 EK。最后，系統集成商創建一個設備證書，并將其綁定到平臺證書。在流程結束時，最終用戶可以從將設備追溯到可信的HRoT的能力中受益，從而建立技術提供商問責制和透明度。

信任鏈流程對于提供總體可追溯性和基于 TPM 的 HRoT 非常重要且至關重要。它為平臺和系統提供組件級可追溯性，以降低假冒電子零件的風險，同時符合DFARS補充246.870-2。

受信任的供應鏈還提供了最終用戶自動驗證工具，該工具可識別從制造到首次啟動時的某些系統更改。“竣工”數據報告和自動驗證工具使客戶對其系統的真實性充滿信心。

供應鏈中的可追溯性包括具有組件級可追溯性的平臺證書，該證書由工廠生成的“竣工”報告支持，證明系統真實性的一致性聲明，最后是客戶門戶網站，該門戶網站下載文件并發送有關文件/證書訪問詳細信息的鏈接。

自動驗證工具收集系統中所有組件（而不僅僅是 TPM）的數據，提供平臺證書驗證以及直接平臺組件驗證。這些組件可能包括帶有一些驅動器，內存，處理器等的筆記本電腦。客戶首次通電時，該工具會檢查該硬件中的任何更改，將客戶收到的與原始設計制造商（“ODM”）發貨的硬件進行比較。

系統級可追溯性基于每個系統的硬件信任根，并以主板上的 TPM 提供的 HRoT 開始。此外，在制造過程中部署的軟件工具在ODM上捕獲系統信息以及TPM證書（包括公共EK）。每個系統的唯一 X.509 平臺證書是使用平臺制造商證書頒發機構生成和簽名的。這證明購買的系統是由預期制造商構建的特定系統。為了幫助完成此過程，GitHub 上提供了平臺認證工具（PCVT_TPM20）。

在了解問題和開發良好的解決方案的可用性后，相關讀者應該怎么做？建立供應鏈信任側欄的步驟確定了從當今未知位置到可信供應鏈的四步流程。

獲得信任？

產品篡改和未經授權的替換可能發生在供應鏈的任何地方。為了防止產品被篡改，可信供應鏈基于使用可信計算組的可信平臺模塊標準建立的硬件信任根。通過各種制造和裝配階段以及分銷物流，最終用戶可驗證的組件真實性支持并建立在硬件信任根的基礎上。當系統最終掌握在最終用戶手中時，自動驗證工具將使用用于 TPM/平臺身份驗證的平臺證書驗證來驗證系統組件。該工具為用戶提供可追溯性，問責制，保證和安全性，旨在成為一個簡單易行的流程，建立對供應鏈的信任，并減輕由于供應鏈篡改而導致的網絡攻擊的可能性。

審核編輯：郭婷