Atlas 800T A3 超节点 安全技术白皮书

核心观点

• 安全威胁: 服务器面临的主要安全威胁包括业务系统和管理系统的安全威胁，如非法认证、物理侵入、侧信道攻击、软件漏洞利用、木马攻击等。
• 安全架构: Atlas 800T A3 超节点基于自研鲲鹏CPU、昇腾NPU和iBMC芯片，构建了从芯片、硬件、固件到系统的安全能力，形成多层次的安全防护体系。
• 管理软件安全设计: iBMC管理软件提供了多种安全机制，包括账号安全（密码复杂度检查、禁用历史密码、密码有效期等）、认证管理（本地认证、LDAP认证、双因素认证等）、授权管理（管理员、操作员、普通用户等权限组）、证书管理、会话管理、安全协议、数据保护、安全配置、密钥管理、系统加固、日志审计、DICE、安全启动、不安全版本吊销等。
• BIOS软件安全设计: BIOS软件提供了账号安全（密码复杂度检查、禁用历史密码、密码有效期等）、认证管理（密码认证）、日志审计、安全启动等安全机制。
• NPU设备软件安全设计: NPU设备软件提供了芯片安全（调试接口保护、安全启动、固件签名升级、安全存储）、系统安全（设备系统安全、系统安全策略、系统配置和权限、系统日志、开源及第三方代码安全）、应用安全（安全算法、数据安全存储及访问、容器隔离、安全通信、最小授权）、安方面（管理安全面、控制安全面、业务安全面、参数安全面）等安全机制。
• 业务安全: 业务安全策略由客户负责，华为提供容器安全指导和基础的容器管理与调度能力，包括最小授权和镜像完整性保护。

关键数据

• iBMC最多支持16个用户。
• iBMC支持最大4个自定义权限组。
• iBMC的SSL证书默认使用自签名SSL证书，签名算法使用SHA256RSA（2048位）。
• iBMC支持日志的syslog远程转储。
• BIOS密码复杂度要求：长度为8～20个字符，至少包含一个空格或者以下特殊字符：`~!@#$%^&*()-_=+\|[{}];:'",<.>/?，至少包含以下字符中的两种：小写字母、大写字母、数字，不能是用户名或用户名的倒序。
• BIOS密码算法为PBKDF2。
• BIOS密码认证过程：用户第一次登录使用默认密码进行认证，认证通过后，会提示用户进行密码更改。
• BIOS密码输入时，转化为*显示，存储时采用PBKDF2算法加密存储。
• BIOS弱密码包括：系统默认的密码，过去曾被泄露的密码等。
• BIOS Admin和User密码登录权限控制：Admin密码进入BIOS配置界面可以设置User密码，Admin密码进入BIOS配置界面可以查看或者修改BIOS配置选项。User密码进入BIOS配置界面可以查看BIOS配置选项，可以修改但不可清除普通用户密码。

研究结论

• Atlas 800T A3 超节点提供了多层次的安全防护体系，能够满足数据中心服务器的高效运维和安全要求。
• iBMC管理软件、BIOS软件和NPU设备软件都提供了多种安全机制，能够有效抵御各种安全威胁。
• 业务安全策略由客户负责，华为提供容器安全指导和基础的容器管理与调度能力，能够保障业务安全。