4、基于 TPM 2.0 的连续防篡改日志记录

基于 TPM 2.0 的连续防篡改日志记录

在当今的计算环境中，运行时安全机制往往不足以完全防止恶意活动。此时，审计系统日志成为确保系统安全的重要手段。可靠审计的一个基本要求是日志条目的完整性，但攻击者可能会篡改日志条目以谋取利益。本文介绍了一种基于 TPM 2.0 的安全日志记录基础设施，它能够检测强大对手对日志的篡改。

现有方案的不足

过去有很多关于开发防篡改日志记录协议的工作，这些协议旨在证明日志的完整性并检测对手对日志的篡改。然而，这些方案无法满足当今计算环境中对防篡改日志记录的严格要求，具体需求及现有方案的不足如下：
- 离线防篡改 ：许多设备经常离线，审计日志的完整性不应依赖于与中央服务器的持续连接，但部分现有方案缺乏离线防篡改支持。
- 跨电源周期的连续日志记录 ：设备可能会断电然后重启，日志记录基础设施需要在不联系远程服务器的情况下保持其跨电源周期的连续性，部分现有方案无法做到这一点。
- 高频日志更新 ：日志记录过程通常需要捕获来自许多进程的各种事件，因此需要足够快的速度来支持高频日志更新，部分现有方案在这方面表现不佳。
- 有限磁盘空间下的工作能力 ：设备的磁盘空间有限，日志记录基础设施应能在有限的磁盘空间下工作，部分现有方案无法满足这一要求。

新基础设施的特点

本文提出的日志记录基础设施满足了上述所有要求，其安全保证基于前向完整性对手模型，确保对手在破坏机器之前的操作会被记录且无法被篡改，从而可以被检测到。该基础设施主要由记录器（logger）和