当前位置：首页 > news >正文

鲲鹏安全库kunpengsecl安全最佳实践：构建零信任架构的关键步骤

news 2026/7/8 23:19:54

鲲鹏安全库kunpengsecl安全最佳实践：构建零信任架构的关键步骤

【免费下载链接】kunpengseclThis project develops security software components running on Kunpeng processors, specifically focusing on trusted computing related software components such as remote attestation client and service, etc.项目地址: https://gitcode.com/openeuler/kunpengsecl

前往项目官网免费下载：https://ar.openeuler.org/ar/

鲲鹏安全库（kunpengsecl）是基于鲲鹏处理器开发的基础安全软件组件，专注于可信计算领域的远程证明等技术，为社区安全开发者提供强大支持。通过该安全库，用户能够构建符合零信任架构的安全体系，实现对TEE（可信执行环境）中用户TA（可信应用）完整性的有效验证。

零信任架构与鲲鹏安全库的完美结合 🛡️

零信任架构的核心思想是“永不信任，始终验证”，要求对系统中的每一个访问请求都进行严格的身份验证和授权。鲲鹏安全库通过远程证明、密钥管理等功能，为零信任架构的落地提供了关键技术支撑。其软件架构如图所示：

鲲鹏安全库远程证明架构

核心功能模块

鲲鹏安全库主要包含以下核心功能模块，助力零信任架构的构建：

远程证明服务（RAS）：提供RESTful API，用于管理信任报告和获取目标服务器的信任状态。
远程证明客户端（RAC）：负责与RAS通信，获取远程证明所需的各种数据信息。
密钥缓存管理（KCMS）：实现密钥的生成、存储、获取和删除等功能，确保密钥的安全管理。
可信执行环境（TEE）：提供安全的执行环境，保护敏感数据和应用的安全运行。

构建零信任架构的关键步骤 🔑

步骤一：环境准备与安装

首先，需要获取鲲鹏安全库的源代码并进行安装。可以通过以下命令克隆仓库：

git clone https://gitcode.com/openeuler/kunpengsecl.git

进入kunpengsecl目录后，根据不同的操作系统选择合适的安装方式：

openEuler系统：使用RPM方式安装，执行make rpm生成RPM包，然后在rpmbuild/RPMS/x86_64(aarch64)目录下安装。
Ubuntu系统：进入attestation/ras和attestation/rac目录，执行make install命令进行编译和安装。

步骤二：配置数据库环境

为确保程序的正常运行，需要准备正确的数据库环境。进入usr/share/attestation/ras目录，执行以下脚本进行数据库环境配置：

./prepare-database-env.sh

步骤三：配置远程证明服务（RAS）

RAS的配置文件默认有三个路径：当前目录./config.yaml、HOME目录${HOME}/.config/attestation/ras/config.yaml和系统目录/etc/attestation/ras/config.yaml。可以通过执行prepare-rasconf-env.sh脚本自动完成家目录配置文件的部署。

启动RAS服务的命令如下：

ras

RAS启动参数包括-H（http/https开关）、-h（https模式下的监听端口）、-p（服务监听端口）等，可根据实际需求进行设置。

步骤四：启动远程证明客户端（RAC）

使用以下命令启动RAC客户端，需要sudo权限以启用物理TPM模块：

sudo raagent

RAC启动参数包括-s（指定RAS服务器地址）、-t（测试模式）、-v（详细信息输出）等。

步骤五：实现TEE远程证明

鲲鹏安全库提供了多种TEE远程证明的实现方式，包括最小实现、独立实现和集成实现。其中，集成实现方式可以利用安全库现有远程证明框架中集成的TEE/TA远程证明能力，验证TEE中用户TA的完整性。

TEE远程证明的流程如图所示：

TEE远程证明流程

步骤六：密钥缓存管理

密钥缓存管理是零信任架构中的重要环节，鲲鹏安全库通过KCMS模块实现密钥的安全管理。密钥缓存清理流程如图所示，确保密钥的及时更新和安全删除：

密钥缓存清理流程

鲲鹏安全库在零信任架构中的应用场景 🌟

服务器身份验证

通过远程证明服务，管理员可以对目标服务器进行身份验证，确保只有可信的服务器才能接入系统。可以使用/{id}接口查询目标服务器的详细信息：

curl -X GET -H "Content-Type: application/json" http://localhost:40002/1

可信应用验证

管理员可以查询目标服务器上特定用户TA的可信状态，确保应用未被篡改。使用/{id}/ta/{tauuid}/status接口：

curl -k -X GET -H "Content-type: application/json" -H "Authorization: $AUTHTOKEN" https://localhost:40003/{id}/ta/{tauuid}/status

基线值管理

通过基线值管理，可以确保系统的配置和状态符合安全策略。使用/{id}/newbasevalue接口添加基线值：

curl -X POST -H "Authorization: $AUTHTOKEN" -H "Content-Type: application/json" http://localhost:40002/1/newbasevalue -d '{"name":"test", "basetype":"host", "enabled":true, "pcr":"testpcr", "bios":"testbios", "ima":"testima", "isnewgroup":true}'