安全电脑的介绍.ppt

ThinkCentreM8000t 安全 Disclosure Release2009 8 3 前言 本资料的目标客户为 KAB Centraltechnicalsupport KAB Regiontechnicalsupport KAB Salessupport ligangm wangyuanf Content ThinkCentreM8000t目标客户和主诉求TCM芯片介绍联想数据盾牌v2 0介绍U盘无忧的五点客户价值 ThinkCentreM8000t安全机型主诉求和目标客户 Placeholder presentationtitle 6April 2006 Page5of12 ThinkCentreM8000t安全机型外观 可靠的身份及硬件保护方案可以与用户windows登录密码关联 免除客户每次登录系统时都要输入密码的繁琐操作 可以与ThinkCentre的指纹软件配合使用 用指纹来替代网站登录密码 邮箱密码等 Thinkcentre安全系列都可以通过CTO选配此部件 指纹键盘功能介绍 可靠的硬件保护方案通过安全芯片TCM加密 保护用户数据安全指纹键盘与安全PC配合 进一步防护用户数据低辐射显示器防止屏幕信息泄漏 安全机型 指纹键盘 低辐射显示器 自由组合三重数据安全方案 TCM芯片 信息保密 加密 ThinkcentreM系列安全机型 指纹键盘 TCM 低辐射显示器 关联 防泄漏 TCM芯片简介 国家标准可信计算芯片级数据保护权威政府部门认证 国家标准可信计算 ThinkCentreM8000t安全机型采用符合国家标准的可信计算密码模块TCM TrustedCryptologyModule TCM安全芯片是中国政府唯一许可在中国大陆生产和销售的核心密码模块 推进政府采购政策出台国密局 含密码技术的信息产品 政府采购政策已于2008年3月1日出台 为TCM创建了良好政策环境 推进TCM进入 科技部自主创新目录 然后进入 财政部首购清单 在推进国家信息系统安全等级保护政策中 明确规定3级以上信息系统的设备要求使用TCM芯片 芯片级数据保护 坚固的核心算法 安全芯片采用国密局批准的椭圆曲线安全密码算法 强行破解需要10万年以上 独立的安全计算与存储 独立于主机操作系统 免受非法攻击 所有对加密数据的访问必须经过TCM芯片授权 通过授权和认证后才可以读出或写入数据 TCM芯片作为安全存储区 保存客户重要数据 口令 密钥 指纹模版等 并且保证这些数据不出芯片 注 TCM安全芯片必须初始化之后方可使用 权威政府部门认证 权威认证 获得国家公安部的信息安全产品检测证书 确保安全性 ThinkCentreM8000t 权威政府部门认证 权威认证 获得国家保密局的涉密信息系统产品检测证书 确保安全性 ThinkCentreM8000t 权威政府部门认证 权威认证 获得国家密码管理局的技术鉴定和测试认证的产品 确保安全性 安全芯片 权威政府部门认证 权威认证 获得国家密码管理局的技术鉴定和测试认证的产品 确保安全性 可信计算密码支撑平台 权威政府部门认证 权威认证 获得国家信息安全中心的信息技术产品安全评测证书认证的产品 确保安全性 ThinkCentreM8000t 数据盾牌应用1 0升级到2 0 数据盾牌1 0ThinkCentreM4000t G31 数据盾牌2 0 U盘无忧 ThinkCentreM4000t G31 ThinkCentreM8000t Q45 Page16 Page17 联想数据盾牌2 0功能总集 应用功能 管理功能 低成本 高安全的高效USB内网防泄漏方案解决USB盘在 安全域 中安全合法使用问题基于TCM可信芯片保护 硬件级高强度支持基于通用USB设备 无需额外硬件成本低成本高效实现方案 U盘无忧 的客户价值1 解决 公司机密数据通过U盘泄密 的问题 Page18 用户需求场景描述 公司范围内 希望能够自由使用U盘拷贝交换机密文件U盘内容只能在公司范围内查看及修改离开公司范围内 不能查看该U盘的内容 U盘无忧 实现方案 安全U盘中的文件通过公司主机TCM进行加密保护只有公司范围内的机器才能解密公司范围外的机器无法解密查看写入安全U盘的数据文件被自动加密 用户无需干预 合法的计算机 低成本 高安全的高效USB内网防泄漏方案解决USB盘在 安全域 中安全合法使用问题基于TCM可信芯片保护 硬件级高强度支持基于通用USB设备 无需额外硬件成本低成本高效实现方案 U盘无忧 的客户价值2 满足 限制内网机密数据传播范围 的用户需求 用户需求场景描述 在公司范围中 希望限制机密文件的传播范围无权限用户不能查看其内容 U盘无忧 实现方案 安全U盘所有者可以指定 安全U盘使用人 在安全U盘使用人 范围内的用户机器可以挂载该U盘 并正常使用不在 安全U盘使用人 范围内的用户机器 无法挂载改U盘 给出用户提示 安全U盘所有者可以修改 安全U盘使用人 更改其使用范围 低成本 高安全的高效USB内网防泄漏方案解决USB盘在 安全域 中安全合法使用问题基于TCM可信芯片保护 硬件级高强度支持基于通用USB设备 无需额外硬件成本低成本高效实现方案 U盘无忧 的客户价值3 满足 禁止外来U盘在公司范围内使用 的需求 用户需求场景描述 在公司范围中 希望限制外来U盘不能使用限制外来U盘数据拷贝 交换 造成泄密避免外来U盘带来恶意程序或病毒 U盘无忧 实现方案 外来U盘不能挂载非安全U盘插入主机后 给出提示告知用户不能挂载该功能需要管理员软件设置 客户端策略 为 禁止使用普通U盘 低成本 高安全的高效USB内网防泄漏方案解决USB盘在 安全域 中安全合法使用问题基于TCM可信芯片保护 硬件级高强度支持基于通用USB设备 无需额外硬件成本低成本高效实现方案 U盘无忧 的客户价值4 满足 U盘行为事后审计 的需求 用户需求场景描述 所有的U盘拷贝 交换行为 均能够事后审计查询提供公司级安全审计监管发生泄密事件 可以回溯审计查询 U盘无忧 实现方案 提供终端U盘行为日志和审计功能具备本地日志记录查询及管理员审计查询功能日志记录集中上传到管理员端 管理员集中管理审计行为审计采用TCM签名 保证有迹可查 无法抵赖 低成本 高安全的高效USB内网防泄漏方案解决USB盘在 安全域 中安全合法使用问题基于TCM可信芯片保护 硬件级高强度支持基于通用USB设备 无需额外硬件成本低成本高效实现方案 U盘无忧 的客户价值5 满足 低成本 高易用性需求 用户需求场景描述 需求 低硬件成本不希望购买昂贵的专用U盘硬件需求 低管理成本实现简单易用的管理 管理员不希望花费过多的管理时间需求 低学习培训成本希望 客户端和管理员软件 均容易上手 不用专门的培训和学习 U盘无忧 实现方案 基于TCM实现硬件级安全保护 无需专用U盘将普通U盘格式化成 受TCM保护的安全U盘 插入该U盘时 必须需要TCM安全验证通过才能挂载使用TCM验证未通过 禁止挂载基于CS架构 采用最简便管理员集中管理方案多人加密功能 需要加入到服务器组才能支持 并接受管理员管理精简集中管理 将管理员管理工作降到最低 实现最低IT管理成本支持 孤岛PC 和离线管理设计软件整体简单易用 符合用户使用习惯 无需专门的学习和培训过程 Page25 产品概要 ExecutiveSummary U盘无忧全面保护企业USB移动存储安全 国家标准 可信计算 芯片级的数据保护 权威的政府部门认证 简单易用的功能设计 U盘无忧 是什么 目标市场 价格 解决 企业USB移动存储设备造成信息泄露 的解决方案 中国区政府 军工 大企业客户 零价格 随机软件 U盘无忧 30s话述 U盘无忧 是一款解决 使用USB移动存储设备造成信息泄露 问题的解决方案 它适用于 政府 军工 大企业 客户 可以为目标用户解决一般性USB数据泄漏问题 该产品采用符合国家标准的可信计算密码模块 TCM 实现高安全硬件数据保护 U盘无忧 经过完善的可用性设计及测试 是一款 简单 易用 高安全解决方案 Page27 U盘无忧 主要功能 制作受TCM保护的安全U盘 个人专用安全U盘 共享安全U盘 C S管理架构 审计及日志 终端策略管理 分发和制作管理 孤岛终端管理 TCM认证绑定 制作受TCM保护的安全U盘 将普通U盘通过TCM安全算法 安全格式化 成 受TCM保护的安全U盘 无需依赖特殊USB设备 成本低 安全性高个人安全专用USB U盘绑定本机使用 其他人不得查看其内容共享安全USB U盘在授权域内安全使用 非授权机器不能查看其内容 C S管理架构 基于服务器 客户端架构管理安全U盘 采用最简便管理员集中管理方案TCM认证绑定 通过TCM硬件认证保护 保证高安全级别的 U盘无忧 功能终端策略管理 是否允许使用普通U盘 是否允许卸载客户端不接受服务器管理分发和制作管理 限制 分发和制作 安全U盘的主机孤岛终端管理 支持企业环境内 孤岛 型终端机器加入 U盘无忧 方案 满足安全共享要求审计及日志 所有经安全TCM认证及加密的操作均进行日志审计记录 并上传到服务器 提供事后审计和监管能力 功能详细介绍参考附录页 U盘无忧 交互界面 Page28 U盘无忧安全U盘只能在其所有者指定的计算机上能够使用 其它计算机无法使用普通U盘根据策略决定是否可以使用文件加密本地加密共享加密文件保险箱机密文件希望存储在磁盘安全位置 并可以隐藏起来该磁盘安全位置必须经过安全芯片口令认证通过后才能正常使用 制作受TCM保护的安全U盘 低成本 高安全的高效USB方案 将普通U盘通过TCM安全算法 安全格式化 成 受TCM保护的安全U盘 无需依赖特殊USB设备 成本低 安全性高格式化普通U盘为 特殊文件格式的安全U盘 主机会主动识别 安全U盘 和 普通U盘 安全U盘 需要TCM认证通过才能打开 普通U盘 根据策略可以禁止使用写入安全U盘中的文件将 自动加密 不用用户干预 简单高效 Page29 通过将安全U盘 格式化为普通U盘 可以把安全U盘降级为普通U盘重新使用 最大限度重用资产 安全USB盘格式说明安全U盘被格式化为 安全镜像文件 打开该镜像文件需要TCM认证通过USB盘基本信息 包括 Owner 标识 容量 卷标 将被写入镜像文件该安全USB盘的 可使用人 列表记入镜像文件基本信息中每个USB盘只能被制作成一个安全USB盘 不支持多分区形式写入安全USB盘中的文件将受到TCM安全保护 无权限主机无法打开查看 共享安全U盘 共享安全U盘 实现公司范围内文件的安全共享 防止通过USB设备泄露机密机密文件通过 安全USB设备 传递外来普通USB设备通过策略可以禁用 安全USB设备 在授权域内安全使用 非授权机器不能查看其内容安全USB设备 可以在安全内网中使用 不能在安全内网外使用 看不到其文件格式 安全USB设备的 所有人 Owner 可以在安全内网中指定该USB设备的使用范围 哪些机器可以使用 安全内网中 指定范围内的机器 可以共享该USB设备 正常使用安全内网中 非指定范围内的机器 可以挂载该设备 但是无权查看其内容外来普通USB设备 通过策略设定 不能在安全内网中使用 Page30 只有该安全USB盘的所有人 可以通过 修改安全USB盘使用人 功能 修改该USB设备的使用范围可使用人范围是 加入到同一个服务器组内的用户机器 个人专用安全U盘 将个人重要数据文件用 个人专用安全U盘 进行备份存储 实现个人数据安全备份功能格式化USB设备为 个人独享安全USB设备 此USB设备绑定本机使用 其他人不得查看其内容 Page31 安全备份 个人独享的安全USB U盘无忧 的服务器 客户端管理架构 Page32 基于服务器 客户端架构 采用最简便管理员集中管理方案服务器集中管理所有客户端申请和注销请求服务器集中管理所有客户端的授权信息客户端申请加入服务器 将上传自己的授权信息当组内授权信息发生变化时 服务器自动下传授权更新信息列表到每个客户端客户端及服务器端均保留一份 授权信息列表 并定时更新 保持一致使用 共享安全U盘 的用户必须加入同一服务器 接受集中管理服务器可以控制客户端机器的USB端口管理策略是否可以使用普通USB设备禁用 只读 读写是否可以制作安全USB设备 安装了数据盾牌服务器端软件 U盘无忧 客户端终端策略管理 服务器控制终端策略 集中管理终端设备安全机制 包括 普通USB设备接入策略是否允许某终端接入普通USB设备 非安全USB设备 安全USB设备策略是否允许某终端 将普通U盘 制作成 安全USB设备 客户端卸载策略是否允许某终端卸载安全TCM应用软件 不接受安全管理 Page33 允许使用普通USB设备 只读 读写 禁用 允许制作安全USB设备 允许卸载TCM安全应用 U盘无忧 孤岛终端管理 支持企业环境内 孤岛 型终端机器加入安全方案 满足安全共享要求满足以文件方式注册 注销服务器的功能 并接受服务器以文件方式为 孤岛终端 制定的安全策略支持孤岛终端通过文件方式注册服务器支持 制作注销许可证 的方式注销服务器 Page34 U盘无忧 对离线客户端的支持 允许客户端暂时离线 客户端在线后 会自动接受服务器管理并更新权限列表及策略 满足企业环境内客户端 服务器临时离线的管理要求不要求客户端或服务器实时在线 离线时客户端仍然可以独立完成加解密及共享功能权限列表及策略存储在本地 发生变化时即时下发更新短暂离线后 一旦连线服务器 主动更新权限列表及策略长时间离线情况 可以通过 孤岛终端 方式获得服务器权限列表及策略更新 Page35 U盘无忧 分发和制作管理 服务器可以限制 分发和制作 安全U盘的主机 限制管理功能集中实现 Page36 用户需求场景描述 用户希望控制公司内 安全U盘 的流通及使用 防止滥用U盘造成数据泄漏禁止随便制作安全U盘 及扩大安全U盘的使用范围 典型需求如 只有管理员才能制作安全U盘只有管理员才能指定安全U盘的使用人普通员工只能接受分发U盘 并接受该U盘的使用范围 U盘无忧 实现方案 服务器软件设置 客户端终端管理策略 允许制作安全USB设备 为 禁止制作 普通员工的客户端主机不能制作安全U盘普通员工的客户端主机不能修改U盘使用人只能接受管理员分发 U盘无忧 审计及日志 所有经安全TCM认证及加密的操作均进行日志审计记录 并上传到服务器 提供事后审计和监管能力提供终端行为日志和审计 方便IT管理员对终端计算机使用人的行为审计采用TCM签名 保证行为的有迹可查 无法抵赖管理员可集中所有客户端日志审计信息 可管理性更强 本机审计 服务器审计 定期上传服务器 供管理员审计 Page37 TCM认证绑定 TCM芯片登录口令管理 U盘无忧 的所有安全功能均受到 TCM芯片口令 保护 所有安全功能均需要安全芯片口令验证通过才能使用第一次使用安全软件时 会弹出 初次使用 的窗口 用户可以创建口令 设置口令提示问题和答案用户提示问题用于用户忘记口令时 重置口令时使用该口令和答案将在芯片和本地配置文件 加密保存 中同时备份 作为容灾时数据恢复使用为保证系统容灾可能性 初始化过程中 强制要求用户备份口令 用户可选择 记住口令功能 但是在系统 屏保 休眠 注销 锁定 重启 后 记住口令功能自动失效 Page38 TCM认证绑定 加密密钥的 封装 自动传递 为多人加密 多人密钥将随文件头自动封装传递 无需交换密钥 减少握手交换次数为多人加密密钥封装机制基本原理如下 TCM产生随机密钥用授权用户密钥加密随机密钥 并封装在文件头内多人加密授权用户获得文件后 直接拆解文件头 验证本机密钥是否封装在文件头内 匹配验证通过后 获得随机密钥解密 Page39 为多人加密 安全USB 功能均基于该机制实现 TCM认证绑定 不依赖于操作系统的密钥保护 密钥保护不依赖于操作系统 即使操作系统损坏 崩溃 或者重装 仍然可以恢复加密的数据文件当OS被修复或重装后 数据文件可正常加解密 不会丢失 Page40 HW TCM 操作系统 TCM认证绑定 兼容指纹识别功能 对于有指纹识别的主机 可以用指纹验证代替 安全芯片口令验证 提高安全性和易用性兼容ZhaoyangK43a默认使用 指纹验证 代替 安全芯片验证 且用户可以根据个人喜好设置 Page41 系统容灾 密钥备份 恢复 系统容灾能力通过密钥备份 恢复机制和数据转移 保证加密数据容灾能力加密文件转移到新计算机上通过密钥恢复机制 初始化TCM芯片为 备份密钥 即可解密保密文件 保证 加密数据文件异地可恢复 Page42 灾难恢复 可维护能力 密钥备份 恢复 续 硬件故障可维护能力当TCM等硬件故障时 可以通过 密钥备份 恢复机制和硬件更换 保证加密数据可恢复更换或修复TCM硬件通过密钥恢复机制 初始化TCM芯片为 备份密钥 即可解密保密文件 保证 加密数据文件硬件故障可恢复 Page43 服务器端灾难恢复 当服务器崩溃或重装OS时 应该对本地授权列表做备份并且能够及时恢复 以实现服务器重建或恢复功能手动备份 管理员手动备份到文件 手动恢复 管理员从备份文件恢复到服务器 从客户端恢复 管理员能够从客户端导出授权文件并恢复到服务期 Page44 其它功能 个人加 解密 将本机保存的文件 通过TCM进行加解密 以密文形式保存在本地采用TCM芯片内独有的密钥进行数据保护 被加密的数据文件只有使用这个芯片的密钥才能正常解密本地加密后 原明文文件将自动删除 并用随机数覆盖存储地址 只保留加密后的密文选定文件夹加密后 该文件夹中所有文件都被加密 Page45 限制条件 本地加密