从目前可信计算的应用场景来看，目前计算设备的可信化实践中，个人设备远远超过服务

器，而腾讯的内部实践场景主要是面向服务器的，这在一定程度上增加了服务器应用可信计算

的门槛和技术难度。通过一系列的研究和不断的优化测试，BladeTeam团队与腾讯安全管家网

络平台部，BladeTeam安全研究小组联合在一起，最终形成了腾讯内部可落地的可信计算实践

。在这篇文章中，我们主要简单介绍了部分实践内容，供同行参考。

 

 

了解上述等保要求，并结合腾讯的实际经验和内部运营场景，在实践落地，我们将以上内容：

通信设备的定义被理解为：机房中业务实现、通信、存储、主体即x86平台服务器的关键设备

。重要配置参数和通信应用程序”的定义被理解为：关键配置文件和服务器上的程序。与安全

管理中心相关”的定义理解为：上述可信验证过程的结果不只是局部的，关键是集中地提交存

档。

 

并在应用程序的关键执行环节进行动态可信验证"定义的理解是：建立了一个可独立自我证明

的操作执行环境(SGX)，保证在执行环节中没有任何问题，或者保证多方对齐计算核对(区块

链)动态关联感知”被理解为：在业务事务级别上对多维数据、异构数据进行关联，以发现异常。

 

 

在腾讯的内部可信计算实践中，硬件可信安全是最早受到关注的一个行业，也是这篇文章介

绍的重点。在前期的实践过程中，腾讯也遇到了包括但不限于以下困难和挑战：·缺乏关键技

术：部分厂商没有与BootGuard匹配，没有硬件TCB的可信引导；·缺少管理途径：目前货架

技术中的可信启动技术都是针对PC机设计的，缺少对服务器进行大规模管理所需的管理途径

，如secureboot的证书管理、带外断路等；报警信息不具备报警能力：缺乏类似的管理途径

，现有的货架技术不具备本地报警功能，更别说远程报警了。

 

·安全事件记录粒度过粗：在供应商的实现中，TPM只具有记录PCR值的能力，没有实现事件

日志记录，但即使有事件日志记录，记录的信息量仍然不足以快速确定事件的性质。面对上

述可信度计算的挑战，腾讯从供应链和自研两个方面着手，