Cerberus 项目

Cerberus 是符合 NIST 800-193 要求的硬件信任根,其标识无法克隆。 Cerberus 旨在通过为固件完整性提供强大的信任锚来进一步提高 Azure 基础结构的安全状况。

启用信任锚

每个 Cerberus 芯片都有一个唯一的加密标识,该标识是使用植根于 Microsoft 证书颁发机构 (CA) 的签名证书链建立的。 从 Cerberus 获得的度量可用于验证组件的完整性,例如:

  • 主机
  • 基板管理控制器 (BMC)
  • 所有外设,包括网络接口卡和系统芯片 (SoC)

此信任锚可帮助保护平台固件免受以下攻击:

  • 平台上运行的已泄露固件二进制文件
  • 利用操作系统、应用程序或虚拟机监控程序中的 bug 的恶意软件和黑客
  • 某些类型的供应链攻击(制造、组装、运输)
  • 具有管理特权或硬件访问权限的恶意内部攻击

Cerberus 证明

Cerberus 使用平台固件清单 (PFM) 验证服务器组件的固件完整性。 PFM 定义授权固件版本的列表,并为 Azure 主机证明服务提供平台度量。 主机证明服务可验证度量,并决定仅允许受信任的主机加入 Azure 机群以及托管客户工作负载。

结合主机证明服务,Cerberus 的功能可以增强和提升高度安全的 Azure 生产基础结构。

注意

要了解详细信息,请参阅 GitHub 上的 Project Cerberus 信息。

后续步骤

若要详细了解为提高平台完整性和安全性而做的工作,请参阅: