中國全自主堡壘主機:芯片軟件全自造 無任何後門

中國堡壘主機，搭載龍芯CPU，配備曙光自主研發的安全操作系統，不存在任何後門。（資料圖）

從芯片到軟件全部中國造，不存在任何“後門”，國內首台全自主堡壘主機發布

把系統的“鑰匙”抓在自己手裏（創新故事）

本報記者趙展慧

近日，國內首款全自主可控的堡壘主機問世。由曙光公司推出的這一堡壘主機搭載國產第四代龍芯機處理器，配備曙光自主研發的安全操作系統及應用軟件，是國內首款自主可控、完全解決運維操作安全審計的一體化平台。

曙光堡壘主機是一個前端機器，也叫做操作風險管理機，保護的是後端的服務器系統，能對所有登錄的用户和操作進行監控。打個比方，如果信息以及服務器、主機都存放在一個大堡壘中，堡壘主機就相當於是一個守門的衞兵。實現國產全自主意味着這是一個有着中國心的衞兵，絕對忠誠。此前，這類對接入人員、操作行為和所有信息進行分析的安全產品大多是國外研發，有很大的“後門”風險，相當於雖然鎖了門，但是鑰匙卻還在別人手裏。

據曙光公司副總裁沙超羣介紹，堡壘主機主要適用於兩種用户，一種是超過50台服務器的單位，另一種是有大量使用者進入系統平台的單位，比如説雲計算中心，每天有成千上萬用户湧進，進行各種各樣的操作。這些用户是不是正常用户？他們的操作是否符合權限？堡壘主機會對所有進入系統的賬號進行認證、監控和規範。

發揮衞兵作用，這款堡壘主機的做法體現在三個層面——

防禦階段中採取單點登錄的方式，所有進入到操作系統級別的操作都需要登錄到堡壘主機的界面，“只有這一個門，沒有別的窗”，工作人員介紹説，這意味着登錄用户必須接受堡壘主機的檢驗。除了登錄密碼外，還搭配了實物驗證，任何人登錄，需要插上一個秘鑰進行身份驗證，如果黑客僅攻破賬號仍然無法進入系統。

事中防範階段中，系統用户如果進行超過賬户授權的操作，那麼操作會被堡壘主機拒絕。比如軍方的一些數據不允許任何人拷貝，通過設置堡壘主機權限，一旦有拷貝操作立馬報警並斷掉連接。

事後解決分析階段依靠的是記錄功能。登錄系統用户的所有操作行為都會被記錄。就像這個“衞兵”經過身份驗證讓用户進了堡壘，還要進行全程跟拍，發生違規操作時進行阻止，也相當於是系統的“貼身保鏢”。同時這些記錄都會被保存下來，可以回放用於事後追查，比如這個賬號什麼時間以什麼IP地址登錄，做了什麼事，被阻止的違規操作是什麼。

作為安全產品體系中重要的一環，通過三個階段的“守衞”，堡壘主機至少可以排除80%的安全問題。

中國工程院院士李國傑認為，全自主可控的曙光堡壘主機可從源頭上消除安全隱患，採用國產CPU的信息安全產品將全面消解我國電子政務、金融、國防等方面的安全困惑，改變在信息安全領域的被動局面，保障國家信息產業體系的安全。