# QingTian威胁假设与安全方法
#### 威胁假设
为了给云上租户提供系统全栈的敏感工作负载运行隔离和数据保护能力，QingTian系统在安全设计上假设存在如下三类威胁模式：
- **威胁类型1：敌手通过控制VMM来攻击租户VM**
  这类威胁的典型模式包括：
  - 云上恶意租户通过购买ECS虚拟机实例，利用VMM零日漏洞或侧信道攻击模式实施VM逃逸攻击，进而控制VMM并攻击运行在同一硬件上的其它租户实例。
  
  - CSP内部人员因为部署、变更、调试、诊断等工作需要而使用合法凭证远程访问主机，并利用攻击者工具读取或篡改租户VM的敏感数据。
   

- **威胁类型2：敌手进入数据中心实施近端物理攻击**
  数据中心内部人员因为硬件部署、维护和修复原因而需要访问数据中心的物理设备，这可能产生的典型威胁模式包括：
  - 窃取硬盘后使用攻击者工具离线访问硬盘数据。
  
  - 窃听物理网络设备之间传输的所有流量数据。
  
  - 在服务器主板系统中预装、变更或注入恶意的固件。
   

- **威胁类型3：敌手通过控制Guest操作系统来攻击租户的敏感应用**
  这类威胁的典型模式包括：
  - 攻击者通过软件供应链方式植入不可信代码，利用Guest操作系统零日漏洞或错误配置实施提权攻击，获得Guest操作系统root权限后即可利用攻击者工具读取或篡改敏感应用程序及其数据。
  
  - 客户自己的内部人员因为部署、变更、调试、诊断等工作需要而使用合法凭证远程访问VM，并利用攻击者工具读取或篡改VM上运行的敏感应用程序及其数据。
   
 
#### 安全方法
QingTian系统在安全设计上采用了如下原则和方法用以解决上述假设的三类威胁。
- **抵御恶意利用VMM**
  - 基于前后端分离式VMM架构方法，将VM管理和I/O功能虚拟化卸载到后端QingTian Cards，极大化隔离云系统管理与租户工作负载。
  
  - 基于最小TCB设计，提供前端QingTian Hypervisor，仅保留虚拟化运行最基本的代码，极大程度上消减VM逃逸风险。
  
  - 基于"ECS Control Plane --\> QingTian Cards --\> QingTian Hypervisor"的单向控制方法，仅允许单向发起连接初始化，逐级限制逃逸攻击的威胁半径，增强安全防御纵深。
  
  - 基于强制安全启动和可信度量方法，提供前后端系统固件、引导系统和Hypervisor的完整性保护和异常检测。
  
  - 基于零特权运维方法，提供运维操作API来替代传统的SSH远程登录访问服务器，极致裁剪操作系统并剔除协议栈和文件系统以及网络抓包工具和内存导出工具。
   
- **抵御近端物理攻击**
  - 基于数据加密方法，提供块存储加密和VPC流量加密，实现对租户VM相关的I/O数据在离开QingTian计算节点后的加密。
  
  - 基于硬件保护数据密钥方法，针对KMS硬件到QingTian Cards硬件，提供端到端的数据密钥安全分发。
  
  - 基于硬件身份认证、可信度量证明等方法，防止接入或挂载不可信硬件设备，避免启动被篡改的系统固件。
  
  
  此外，我们还将在新一代服务器中支持内存加密和总线数据加密，进一步提升系统安全基线。
  
- **抵御恶意利用Guest操作系统**
  - 基于可信计算方法，为租户虚拟机实例提供UEFI安全启动和QingTian TPM，支持标准的可信度量及远程证明方法，提供对Guest操作系统的完整性监控。
  
  - 基于将租户VM与云系统进行隔离的设计方法，为虚拟机实例提供QingTian Enclave特性，将虚拟机内的敏感工作负载与Guest操作系统进行隔离。 租户的敏感工作负载仅在QingTian Enclave环境中运行，即使攻击者完全控制了Guest操作系统，也不影响Enclave运行环境的机密性和完整性。