下一代安全计算基础

**下一代安全計算基礎**（英文 **Next-Generation Secure Computing Base**，縮寫 **NGSCB**），以前被稱作 **Palladium**，是微軟設計的一種軟體架構，旨在在未來新版本的 Microsoft Windows 作業系統上實現其頗有爭議的「可信計算」理念，是微軟首創的可信計算的一部份。微軟聲稱其目標在於增強電腦使用者的安全和隱私保護，但是評論家們斷言說，這項技術不僅不能解決當前大多數的 IT 安全問題，還會加重廠商釘選現象，降低 IT 市場的競爭。

NGSCB 依賴於可信計算組（TCG）的成員設計的硬體技術 ，其中提供了一系列安全方面的特性，包括快速亂數生成器，一個安全的加密協處理器，並有能力以一種即使是金鑰所有者也無法取得的方式持有金鑰。正是這種能力使得對啟用 NGSCB 的電腦進行硬體遠端認證和軟體組態變得可能，而這也正是對該方案持否定態度者主要反對的地方。一些電腦廠商出售帶有可信平台模組（TPM）晶片的電腦，主要是 IBM／聯想的 ThinkPad 和戴爾的 OptiPlex GX620 。

## 架構和技術細節

一個完整的基於微軟產品並啟用了可信計算的系統不僅包含由微軟開發的軟體組件，還包含可信計算組開發的硬體組件。NGSCB 引入的主要功能嚴重依賴於特殊的硬體，所以在 2004 年前出售的個人電腦上不能運作。

根據目前可信計算的規範，NGSCB 有兩個硬體組件：提供安全金鑰儲存、安全密碼協處理器的可信平台模組（TPM）和具有封鎖記憶體特性的中央處理器（CPU）。以及兩個軟體組件：Nexus—— 作業系統的安全核心，Nexus Computing Agents (NCAs)—— 啟用 NGSCB 的應用程式內部的可信模組。

### 安全儲存與驗證

在生產製造階段，金鑰就被產生並儲存在 TPM 中。此金鑰永遠都不會被傳送給其他的組件，而且 TPM 被設計成無論是採取逆向工程還是其他任何方式都極難取出被儲存的金鑰，即使是金鑰的所有者。應用程式可以把用此金鑰加密過的資料傳送給 TPM 來進行解密，但是 TPM 只會在一些嚴格的條件下才這樣做。特別地，解密後的資料只會傳遞給被證明可信的應用程式，而且只儲存在受封鎖的記憶體中，其他應用程式和作業系統都不能存取。儘管 TPM 只能保障一條金鑰的安全儲存，但是從廣義上來講任何資料的安全儲存都是可能的，因為用安全存放的金鑰加密的資料只能用它來解密。

TPM 也可以基於隱藏起來的金鑰產生加密簽章，這一簽章可以被使用者和任何第三方所證實，因此能夠用於遠端驗證電腦處於安全狀態。

### 封鎖記憶體

NGSCB 還依賴於 CPU 提供的封鎖記憶體特性。位於封鎖記憶體中的資料只能被屬於它的應用程式存取，任何其他應用程式和作業系統都不可以。TPM 提供驗證功能用於向受信任的應用程式證實其確實執行在封鎖記憶體中，因此任何人，也包括所有者，試圖欺騙受信任的應用程式讓其執行在封鎖記憶體之外都是極為困難的。

### 應用程式

啟用 NGSCB 的應用程式將分割為兩個截然不同的區塊：NCA—— 可以存取有限應用程式介面（API）的可信模組，以及可以存取全部 Windows API 的不可信部份。涉及到 NGSCB 功能的程式碼必須位於 NCA 之中。

進行這種分割的原因是，Windows API 已經開發了很多年而變得極為複雜，審查安全漏洞是非常困難的。為了實現最大程度的安全性，要求可信程式碼只能使用一小部份已經過仔細審查的 API。在安全性不是最重要的情況下，全部的 API 都可以使用。

## 用途

當前，NGSCB 被設定成為一個用於建立可信計算應用程式的框架，因此有著廣泛的潛在套用領域，不過從使用者的角度來說它根本沒有提供任何功能。

### 數位著作權管理

利用可信平台模組（TPM）提供的驗證、封鎖記憶體和加密特性，可以開發出一種可靠的數位著作權管理（DRM）形式。評論家們指責道，儘管 NGSCB 本身不提供 DRM 功能，但是研發它的主要動機就是 DRM。

通過對受到 DRM 保護的檔案進行加密並且只允許可信應用程式得到解密金鑰，就能實現數位著作權管理。複製保護和眾多的類似功能，只要想像得到都可以實現。比如，可以建立一種只能在一個電腦上打開的檔案，或者是只能在一個組織內傳閱的檔案，甚至是一個只能閱讀三次的檔案。受 DRM 保護的檔案和不受保護的檔案一樣可以輕鬆複製和閱讀，但是在未得到授權的地方進行解密是極其困難的，使其變得沒有用處。

### 網路安全

在公司和教育機構的網路環境中，NGSCB 提供了一個很有吸引力的特性：無論是對工作站軟體還是硬體，沒有得到授權的修改都可以安全地避免。無法證明自己合法的工作站在接受檢查期間對網路服務的部份或全部存取會被自動阻止。

### 多玩家遊戲

NGSCB 提供的驗證和封鎖記憶體功能有希望被套用於阻止大多數種類的網路遊戲作弊行為。在各種多人遊戲中行行色色的作弊方式十分普遍，損害了守法玩家在遊戲中的娛樂性。

常見的作弊手段有：

* 篡改遊戲的可執行檔或者顯示驅動程式，例如讓玩家可以看穿牆壁。藉助遠端驗證來確保遊戲的可執行檔和顯示驅動程式都沒有遭到篡改，可以阻止這種形式的作弊。
* 篡改客戶端與伺服器端的網路傳輸資訊流，例如在第一人稱射擊遊戲中提高玩家武器瞄準的能力。阻止這種形式的作弊，可以在封鎖記憶體里將網路資訊流加密之後再進行傳輸，到了伺服器端再相應地解密。

## 批評

NGSCB 和可信計算可能被蓄意濫用以釘選某些使用者，使他們無法使用某些檔案、產品和服務，例如，阻止使用者使用競爭對手的產品，這有可能導致嚴重的使用者釘選。這類似於現在很多企業都不得不購買使用 Microsoft Word，以便和使用這個軟體的生意夥伴相容。今天，這個問題被 OpenOffice.org 這類產品部份解決，它提供對微軟 Office 檔案格式的有限支援。使用 NGSCB 之後，如果 Microsoft Word 將生成的文件加密了，任何其他軟體即便有能力解讀底層檔案格式也無法解密。

NGSCB 和可信計算無益於解決當前大多數的安全問題，比如電腦病毒和木馬。儘管如此，微軟在過去曾宣稱為了抗擊未來病毒爆發對 Microsoft Windows 使用者造成的威脅，NGSCB 不可或缺。現在微軟不再聲稱 NGSCB 可以解決這些病毒問題了。

## 可行性

最初公布的時候，NBSCB 在預想之中將成為 Windows 作業系統下一個主要版本 ——Windows Vista 的一部份。然而，2004 年五月的時候有報導稱微軟擱置了 NGSCB 專案，微軟很快召開新聞發布會進行了否定，宣稱他們正在重新啟動計劃。Windows Vista 發布很久之後 NGSCB 的主要特性才有可能實現。不過，Vista 包含了 BitLocker，可以利用可信平台模組晶片來進行安全啟動和全分割區加密。很多採用 Intel Core 2 Duo 處理器或者是使用 AM2 介面的 AMD Athlon 64 處理器的系統都已經整合了 TPM。

## 命名歷史

微軟最初公布 NGSCB 技術的時候使用的代號是 Palladium，指的是保衛特洛伊城安全的守護神器。開發用名是「Next-Generation Secure Computing Base」，就像.NET 的開發用名是「Next-Generation Windows Services」。2006 年初，微軟將自己的 NGSCB 團隊更名為 **System Integrity Team**。