什么叫動態安全，我們有一個出發點和傳統的技術有很大的區別，硬件里的問題很多時候是運行中出現的，比如有可能是由你不斷變化的數據觸發的。一定是在處理器運行過程當中，對它里面潛在的問題進行檢查和處理。先講講出發點，大家知道微電子技術發展到現在，現在可以在單個芯片上集成200億到300億顆粒晶體管，現在可以做到7nm，在這么多億顆晶體管當中，我們如果要植入一個硬件木馬或者惡意硬件，大致需要消耗幾顆到幾十顆晶體管就可以了。在幾百億顆晶體管當中我們找出可能存在問題的，這個無異于大海撈針。

為什么叫動態可重構，這是一個非常新的技術，整個運行當中，功能在動態改變，換句話說，沒有指令的東西去檢查有指令的東西，本身它自己被惡意硬件、硬件木馬攻擊的概率大幅下降。看一下這個例子，由于本身檢查的這塊芯片存在部分動態重構它的功能，它本身遭到攻擊的概率大幅下降，下面用一個示意圖來說明這個問題，大致上是這個位置，當我可以動態變化的時候，我遭到別人攻擊的概率大幅下降，采用這樣的方式，把我自身的安全性提高，基于此才檢查其他的操作。這是檢測幽靈v1攻擊的例子，比如左上角，當預測的時候究竟執行什么操作，這個操作是要被取消掉的，因為它是個非法操作，但是我們通過硬件檢測的方式可以知道這個操作確實發生了。第一，是動態的抓住，在芯片運行當中抓住，第二，這是我們通過第三方的硬件來找到里面的問題，這和目前市面上所有商業的手段是不一樣的。為什么現在我們的方法很難解決問題，比如有熔斷，像微軟的方法是KPTI，他這種方法是可以做，把熔斷的問題解決了，但是性能下降。如果有更復雜的I/O操作，性能下降會到50%左右。軟件是信息量不夠，硬件當然可以解決，基于處理器這幾年的發展技術，比如cache技術，以及相應的亂序執行技術，你如果不用這些技術，要解決這些問題，不用這些技術，一旦你用，性能會下降很多。這是對付漏洞的機制，也可以擴展到對應相應的惡意硬件，這三部分，檢測、分析預警、抵御，分析預警是傳統軟件方法，這個不講了。在檢測上，引入硬件數據，比如cache訪問、外存訪問，這些數據訪問后就可以大大縮小軟件定位攻擊代碼的范圍。這是傳統的方式，如果僅僅用軟件，可以看看它究竟有沒有數據被反復讀，還有PF Error，以及分支預測、cache命中帶來的PMC變化，這些變化里真的有可能是惡意攻擊發生了，但是信息量遠遠不夠。這時候再引入硬件這邊Flush Cache的行為發生以及芯片訪存的行為。利用這個技術，瀾起做了津逮芯片，重新設計BIOS、虛擬機以及一系列軟件。這個平臺當中最關鍵的技術是動態安全檢查，我們經常有一個想法，能不能出廠之前查一遍，合格了蓋一個章，基本上沒有道理，所有這些惡意行為的操作、攻擊的發生，實際上是運行里才會出現。這種情況90%以上的問題都是這類問題，我們該怎么處理。安全啟動，這是把BIOS重新設計以后，可以通過RCP對立面的數據是否經過簽名來進行驗證，另外微碼更新，這里面會不會存在問題。還有ME安全管控、加解密引擎，用RCP來進行密文的處理，以及熔斷幽靈等防范，香港免備案主機 美國服務器，這些東西都在我們方案中進行了比較完整的考慮。

10月16日，2018年開放數據峰會（Open Data Center Summit 2018）于上午在北京國際會議中心開幕。作為數據中心行業的一大盛事，ODCC每年都將匯聚數千名數據中心專家與幾十名主流媒體。本屆峰會時間為16日-17日，ODCC將發布最新研究成果，碰撞尖端熱點技術，分享國際技術進展，展示主流產品應用。

劉雷波：下面我介紹一下剛才山總提到的處理器動態安全監控技術和一些細節的東西。

方案，不論它是什么樣的處理器，把它的運行能夠輸入和輸出，能夠被我先拿到，我拿到以后，所有的訪問memory和I/O，數據我都可以拿到，拿到以后我可以在里面做相應的分析和操作，同時可以看到處理器里執行的指令以及相應的memory的一些值，無論里面有多少晶體管，里面有沒有不符合預期的行為，如果這個之后出現了其他的額外的沒有設定的操作，一定存在這樣那樣的問題，有可能就是我們需要找到的問題。整個過程分成幾個不同的技術，一個是把數據流抓到，數據的速率非常快，需要精準跟蹤、實時解析。第二，免備案空間 香港服務器，把數據拿到后，RCP在這個里面要做相應的處理，用它來判斷這個CPU運行是不是符合我們預期。第三，如果發現問題，根據用戶的需要進行管控，正常的方法是我可以在哪一段時間把數據盡量多收集一些。一方面跟我們的指令手冊對比，另外一方面，可以跟它的指令解析和軟件的方式結合起來，這樣就可以把里面可能出現的帶來的危害攻擊找到。這是我們做的RCP芯片，一方面和外設通過PCIe連接起來，另外一方面和memory實現高速連接。BIOS，從安全啟動開始，整個過程都得在RCP下，所有的BIOS軟件都要經過RCP檢查。