NVIDIA 的技術(shù)可幫助組織構(gòu)建和維護(hù)安全、可擴(kuò)展和高性能的網(wǎng)絡(luò)基礎(chǔ)設(shè)施。NVIDIA 在引領(lǐng) AI 技術(shù)的前沿，每天都在推動(dòng)安全方面的進(jìn)步，對(duì)保障網(wǎng)絡(luò)安全采取的更直接的方法之一就是采用安全的網(wǎng)絡(luò)操作系統(tǒng)（NOS）。

安全網(wǎng)絡(luò)操作系統(tǒng)（NOS）是一種專門的網(wǎng)絡(luò)操作系統(tǒng)，專注于強(qiáng)大的安全功能，以保護(hù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施免受各種威脅。

不同的系統(tǒng)提供多樣的安全功能。有些系統(tǒng)提供內(nèi)置防火墻、VPN 或監(jiān)控工具，有些系統(tǒng)提供高級(jí)威脅檢測(cè)和響應(yīng)功能，有些系統(tǒng)在啟動(dòng)級(jí)別提供強(qiáng)化的安全性，甚至在操作系統(tǒng)加載之前就能防止攻擊，其中一項(xiàng)功能稱為安全啟動(dòng)（Secure Boot）。

安全啟動(dòng)

越來越多的 NVIDIA 平臺(tái)支持安全標(biāo)準(zhǔn)安全啟動(dòng)。安全啟動(dòng)是一項(xiàng)安全 UEFI（統(tǒng)一可擴(kuò)展固件接口）功能，旨在防止在啟動(dòng)過程和固件更新期間運(yùn)行未經(jīng)授權(quán)的固件或軟件。

NVIDIA Spectrum-4交換機(jī)和NVIDIA BlueField-2DPU及更高版本現(xiàn)已完全支持 UEFI 安全啟動(dòng)。

系統(tǒng)會(huì)阻止未簽名或簽名不當(dāng)?shù)拇a在啟動(dòng)級(jí)別執(zhí)行，從而防止在操作系統(tǒng)或安全機(jī)制初始化之前加載 rootkits、bootkits、固件攻擊和其他惡意活動(dòng)。而在初始化之前，攻擊者可能會(huì)獲得對(duì)核心系統(tǒng)的完全控制權(quán)，獲得這種級(jí)別的訪問權(quán)限幾乎可以讓攻擊者執(zhí)行任何操作。

安全啟動(dòng)還顯著提高了攻擊者試圖利用物理訪問設(shè)備的門檻。即使攻擊者可以物理訪問設(shè)備，但如果沒有正確的密鑰，他們也無法更改啟動(dòng)組件，從而防止發(fā)生實(shí)際修改，例如更換 CPU 或硬盤。

安全啟動(dòng)的工作原理是建立“信任鏈”，從硬件級(jí)別開始，并擴(kuò)展到固件和啟動(dòng)加載程序。啟動(dòng)過程中的每個(gè)組件都會(huì)驗(yàn)證下一個(gè)，并且必須在執(zhí)行之前進(jìn)行簽名和檢查。如果簽名有效并且與已知的可信密鑰相匹配，系統(tǒng)將繼續(xù)啟動(dòng)過程。否則，固件將拒絕所有未簽名的代碼，系統(tǒng)將停止或發(fā)出警告。這包括攻擊者試圖直接安裝自己的操作系統(tǒng)。

SONiC 網(wǎng)絡(luò)操作系統(tǒng)中的安全啟動(dòng)

SONiC（Software for Open Networking in the Cloud）支持安全啟動(dòng)，這是一種基于 Linux 的開源、與硬件無關(guān)的網(wǎng)絡(luò)操作系統(tǒng)。NVIDIA 是 SONiC 項(xiàng)目的第二大貢獻(xiàn)者，并以多種方式支持 SONiC。詳細(xì)了解 NVIDIA 和 SONiC 。

與其他系統(tǒng)相比，SONiC 安全啟動(dòng)功能的最大優(yōu)勢(shì)在于自主性。作為開源軟件，SONiC 支持可定制的啟動(dòng)流程，而許多傳統(tǒng)或?qū)Ｓ邢到y(tǒng)則限制了用戶的修改權(quán)限。

運(yùn)行 SONiC 并不依賴于任何供應(yīng)商作為簽名實(shí)體。您可以使用自己的私鑰自由簽名您的鏡像，因此您知道只能安裝您明確授權(quán)的固件。這還會(huì)針對(duì)供應(yīng)商鎖定增加一個(gè)額外的層。您可以設(shè)計(jì)您的發(fā)行版，使其僅在某些供應(yīng)商或設(shè)備上運(yùn)行，并為攻擊者設(shè)置更多的知識(shí)門檻來跨越，因?yàn)樵S多設(shè)備通常需要專有或特殊知識(shí)才能訪問和使用。

圖 1 顯示了 SONiC 中安全啟動(dòng)的高級(jí)架構(gòu)流程設(shè)計(jì)。產(chǎn)生簽名流程的工作原理與開發(fā)略有不同，后者是在外部簽名服務(wù)器中簽名組件，而不是在自己的服務(wù)器中簽名。外部簽名服務(wù)器提供了一個(gè)隔離的環(huán)境，可在大型環(huán)境中實(shí)現(xiàn)額外的安全性、可擴(kuò)展性以及受控更新和管理。在運(yùn)行時(shí)，在整個(gè)流程中對(duì)啟動(dòng)組件進(jìn)行驗(yàn)證。

圖 1.SONiC 構(gòu)建簽名流程