你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Cerberus 项目

  • 项目

Cerberus 是符合 NIST 800-193 要求的硬件信任根，其标识无法克隆。 Cerberus 旨在通过为固件完整性提供强大的信任锚来进一步提高 Azure 基础结构的安全状况。

启用信任锚

每个 Cerberus 芯片都有一个唯一的加密标识，该标识是使用植根于 Microsoft 证书颁发机构 (CA) 的签名证书链建立的。 从 Cerberus 获得的度量可用于验证组件的完整性，例如：

  • 主机
  • 基板管理控制器 (BMC)
  • 所有外设，包括网卡和片上系统 (SoC)

此信任锚可帮助保护平台固件免受以下攻击：

  • 平台上运行的已泄露固件二进制文件
  • 利用操作系统、应用程序或虚拟机监控程序中的 bug 的恶意软件和黑客
  • 某些类型的供应链攻击（制造、组装、运输）
  • 具有管理特权或硬件访问权限的恶意内部攻击

Cerberus 证明

Cerberus 使用平台固件清单 (PFM) 验证服务器组件的固件完整性。 PFM 定义授权固件版本的列表，并为 Azure 主机证明服务提供平台度量。 主机证明服务可验证度量，并决定仅允许受信任的主机加入 Azure 机群以及托管客户工作负载。

结合主机证明服务，Cerberus 的功能可以增强和提升高度安全的 Azure 生产基础结构。

注意

要了解详细信息，请参阅 GitHub 上的 Project Cerberus 信息。

后续步骤

若要详细了解为提高平台完整性和安全性而做的工作，请参阅：