摘要：自处理器问世以来，其设计的主流方向一直聚焦于提升性能和降低功耗，而对硬件自身安全性的关注相对较少。近些年的研究揭示了各种处理器中存在的多种漏洞，这些漏洞对当前的网络信息安全构成了重大威胁。尤其是在当前复杂的国际环境下，处理器等核心芯片已成为影响国家信息安全和产

允中 发自 凹非寺
量子位 | 公众号 QbitAI

自处理器问世以来，其设计的主流方向一直聚焦于提升性能和降低功耗，而对硬件自身安全性的关注相对较少。近些年的研究揭示了各种处理器中存在的多种漏洞，这些漏洞对当前的网络信息安全构成了重大威胁。尤其是在当前复杂的国际环境下，处理器等核心芯片已成为影响国家信息安全和产业发展的关键。

面对当前局势，强化技术积累、提升自主研发能力，推动国产处理器的安全性创新，全面巩固国家网络安全的根基已迫在眉睫。

提及芯片安全事件，估计业内最先想到的就是中国网络空间安全协会近期建议对英特尔产品进行全面网络安全审查。据该协会发文内容显示，英特尔产品漏洞频发、故障率高。尽管英特尔方面在回应中，反复强调其对产品安全和质量的坚定承诺。但该事件还是引发了业内对于芯片安全的高度担忧。

无独有偶，今年10月，高通公司（Qualcomm）也发布安全警告称，其多达64款芯片组中的数字信号处理器（DSP）服务中存在一项潜在的严重的“零日漏洞”—CVE-2024-43047，且该漏洞已出现有限且有针对性的利用迹象。据高通公告，CVE-2024-43047源于使用后释放（use-after-free）错误，可能导致内存损坏。

而AMD在2024年也被曝光Heckler（CVE-2024-25743）漏洞，该漏洞是一种新的针对加密虚拟机进行攻击的漏洞。Hypervisor通过注入中断的方式破坏了包括AMD SEV-SNP、INTEL TDX在内的加密虚拟机的机密性和完整性。

具体到国内，2023年一些安全研究团队披露，小米智能设备中使用的芯片存在安全隐患，可能被利用来窃取用户数据或控制设备。小米迅速响应并发布了安全更新，但事件也引发了用户对国内芯片安全的关注；而在时间更早些的2021年，研究人员在紫光展锐（Unisoc）的芯片中发现了一个关键漏洞。该漏洞允许攻击者通过短信发送特定指令，从而让设备崩溃或被完全控制。此问题影响了一些低成本智能手机，虽然补丁随后发布，但事件暴露出国产芯片在安全上的不足。

上述这些案例表明，随着芯片应用的普及和复杂度的增加，芯片，特别是国产芯片面临着技术突破和安全保障的双重挑战。尤其是安全更应防患于未然。

如上述，随着网络攻击和数据泄露事件的频发，芯片安全成为全球半导体产业，尤其是中国半导体产业的关键课题。而随着安可、信创、国产化等趋势的加速，诸多芯片企业纷纷加大在安全方面的创新和应用，有的甚至已然走在了业内和市场的前列。

这里我们以国内芯片企业海光信息为例，其通过技术创新，特别是以“密码技术”、“机密计算”、“可信计算”、“漏洞防御”四大核心技术为基础，形成系统化解决方案，在业内，尤其是与其他同类产品相比，均彰显出其独特的优势。

以密码技术为例，众所周知，在现代芯片的安全设计中，硬件加密成为一种基础设施和手段，能够有效防止外部攻击者对数据的篡改和泄露。海光信息在其自主设计的芯片中，深度集成了密码运算模块（即CCP密码协处理器，其独立于CPU核心的硬件模块，专门用于高效的密码运算），特别支持了国密算法（如SM2、SM3、SM4等）。与国际主流厂商的加密技术相比，海光信息的密码技术具有更高的适应性和更强的防护能力。

与国内其他产品不同，海光芯片通过将密码加速引擎、密钥管理（TKM）等安全模块直接集成到CPU内核中，避免了对外部加密卡或独立硬件的依赖，从而降低了成本、简化了硬件部署，并提供了更高的安全性和性能，尤其是在大数据处理和高频交易等场景下表现突出。相比之下，其他厂商的产品往往需要额外的硬件设备进行加密运算，这可能带来额外的运维和性能瓶颈。

值得一提的是，海光信息的芯片不仅支持国密算法，还根据国家安全政策的要求，针对性地增加了额外的防护措施。例如，在数据存储和传输的过程中，其采用了具有高抗干扰性的加密通道和信息溯源功能，这在当前国际标准无法完全涵盖的情况下，无疑提供了额外的安全保障。

总体而言，海光CPU的密码技术具有六大优势：适用性广，兼容国产化全场景需求；性能强，签名验签性能是传统加密卡的数倍；安全可靠，内置于CPU，提高稳定性；兼容性强，支持容器、虚拟机和主流云平台；软件生态完善，提供标准接口，支持主流密码套件；成本效益高，无需额外硬件采购，可直接升级。

而在机密计算方面，随着云计算的广泛应用，数据管理者和数据使用者分离的模式成为新常态。这意味着在云上存储和处理的数据可能面临被恶意访问的风险。

针对于此，海光信息通过构建可信执行环境（TEE），确保云上数据的安全。通过硬件层面的安全加固，海光的机密计算技术能够在不信任的环境中实现数据的保密性、完整性和可用性，进一步提升了云计算应用的安全性。

这里，海光信息机密计算的核心是CPU硬件可信执行环境（TEE），通过硬件加密和密钥管理，确保虚拟机和容器资源在运行过程中的数据和代码不受外部篡改或窃取。相比传统解决方案，海光的CSV（China Secure Virtualization）技术具备提供独立的密钥管理与虚拟机加密功能、支持大数据量处理和AI场景下的异构加速和满足云计算场景下的数据安全需求的优势。

至于可信计算，是指通过建立可信环境以确保计算设备和数据的安全性。从技术路径来看，可信计算体系最重要的是底层的硬件信任根，信任根是可信的基础和源头。目前国内部分CPU产品，采用的传统实现信任根的方式多是依赖于主板上专门的硬件模块，在成本、安全性及易用性上存在一定的缺陷。

针对于此，海光信息可信计算的核心是通过建立硬件信任根（Root of Trust），实现系统从硬件到软件的全链条信任传递。例如硬件信任根是借助芯片内置的硬件安全模块（TPM）通过加密技术验证系统启动的完整性，来防止未经授权的硬件和软件介入，而动态可信传递则是在系统运行过程中，海光芯片能够动态检测并报告系统的安全状态，实现实时的安全性保障。

海光芯片可做到安全启动，以及动态度量保护。其中安全启动是保障设备在启动过程中，可以基于硬件的可信根，验证平台的相关部件，保证平台部件的完整性。而动态度量保护更多的是要保证系统在运行过程中的持续监控，通过动态度量相关的手段，来防止设备在运行过程中的非法操作。

最后在漏洞防御方面，海光也同样做了大量自主创新的工作。不可否认，抵御底层硬件漏洞的攻击是所有芯片厂商都需要面对的严峻挑战。为此，海光信息芯片构建了全面、立体的漏洞防御体系。

芯片内置的漏洞检测模块能够实时监控潜在的缓冲区溢出、代码注入等攻击行为，并在第一时间触发防御机制；而自动化漏洞修复则通过与操作系统和应用软件的深度集成，确保漏洞修复的时效性和全面性。

海光信息的漏洞防御手段主要是两类，一类是基于硬件的防御，海光信息会建立完善的应急响应机制，构建芯片漏洞库。而另外一类针对软件的漏洞，海光信息应用了新兴的技术，例如通过比较影子栈以及程序栈之间的反馈，有效应对一些基于程序执行控制流的攻击，来防御基于缓冲区溢出的软件类漏洞的攻击。

为了支持上述四大核心能力，海光通过自主研发创新，在芯片中添加安全密钥、安全处理器、安全启动、安全存储、密钥管理及使用、动态度量保护、内存加密、机密计算、密码计算、可信计算标准支持、芯片安全防护等功能，实现了芯片安全系统化、综合化的防御，实现的是从底层固件到上层应用软件的全方位保护，恐怕这才是其芯片安全有别于国内同类产品最大的竞争优势。

所谓实践是检验真理的惟一标准。对于芯片安全也是如此，惟有在市场中得到应用和检验才是安全价值的真体现。

我们这里还是以前述的海光信息为例，来证明芯片安全给市场和行业带来的价值。

众所周知，在金融行业中，信息安全是至关重要的。目前海光信息已与多家金融机构合作，推出了一系列基于海光CPU的安全加密产品。例如，某证券公司基于海光CPU的加密能力，成功地对其证券交易系统进行了国密改造。改造后的系统不仅符合国家的安全合规要求，还能够在高并发的交易环境中保持较高的处理效率。

又如在对数据敏感性和私密性要求极高的医疗行业，海光芯片的机密计算技术可确保医疗数据在云端存储和共享的过程中始终处于加密状态。而某省级医院通过部署海光芯片，在实现医疗数据共享的同时，确保了患者隐私不被泄露。

而在多租户的云计算环境中，用户数据的隔离和加密是服务商的重要竞争力。通过海光芯片的机密计算和虚拟机加密技术，国内某顶级云服务商成功推出了基于机密计算的云实例，为用户提供高安全等级的云服务。

除了上述行业和应用场景外，海光信息还与许多业内厂商建立了多种不同层次的合作。

例如麒麟软件与海光的合作主要体现在操作系统对海光处理器的适配上。银河麒麟操作系统从项目立项初期，就将海光处理器的安全技术作为重要组成部分，确保安全技术的早期和全面适配。在此过程中，麒麟软件通过充分利用海光处理器的国密加速能力，在加密领域做出了突破，减少了对外部密码卡的依赖，降低了成本，同时确保了合规性。

此外，麒麟还与海光共同推动在银行、证券、公安、政府等多个领域的安全创新应用，特别是在加密和服务器密码技术方面，推动了数字安全技术的实践落地。

对此，麒麟软件安全产品专家魏刚评价称，麒麟软件和海光的合作不仅提升了操作系统的安全性，还通过深度整合安全生态，促进了整个产业链的协同创新，同时，通过与海光的紧密合作，麒麟软件推动了国产操作系统和处理器的普及，进一步实现了国产化替代，降低了对外部技术的依赖。

相较于麒麟软件，冲量在线则从基础的海光CPU+GPU硬件平台开始，逐步推出了AI隐私计算相关的硬件、软件产品，如AI pass、隐私计算一体机等。通过这些产品，用户可以快速部署基于海光芯片的AI安全推理和隐私计算环境。目前，冲量在线的技术在多个行业中得到了应用，包括银行、通信、公安等领域。例如，浦发银行使用冲量在线与海光的技术组合，开展AI模型开放服务，在保护数据隐私的同时，实现了合同和票据的自动识别。

对此，冲量在线创始人刘尧称，冲量在线的解决方案在技术上对标了国际领先的产品，如英伟达的H100，尤其在AI计算和可信执行环境的结合上，冲量在线与海光的合作已达到国际主流技术水平。

站在现在看未来，海光信息除了持续创新外，还要借助国产化，在2+8+N的体系里，把海光信息的安全赋能到各行各业，维护基础行业的安全，打造一个安全的体系。

为此，强化芯片安全生态、推动技术标准化和探索更多行业场景无疑将是海光信息芯片安全的发展方向。

写在最后：回望芯片安全，其实早在2017年，海光信息就成立了安全技术部，截至目前已接近8年的时间，期间在安全方面投入了大量研发，并做出了很多成果，而正是源于这种积淀，使海光信息在自身多维度实施安全保障的理念之下，目前能以其领先的密码技术、机密计算能力、可信计算功能和漏洞防御体系，为用户提供全方位的数据安全保障，加之其始终坚持的自主可控的技术路线，不仅满足了国家对信息安全的战略需求，也为各行业的信息化建设注入了强大动力，占据国产芯片安全C位自在情理之中。

— 完 —

来源：量子位一点号