Bootstrapping Trust in Modern Computers

اعتماد به رایانه برای یک کار حساس به امنیت (مانند بررسی ایمیل یا بانکداری آنلاین) مستلزم آن است که کاربر اطلاعاتی درباره وضعیت رایانه داشته باشد. ما تحقیقات مربوط به ضبط ایمن وضعیت یک رایانه را بررسی می‌کنیم و کاربرد این اطلاعات را هم برای بهبود امنیت در رایانه محلی (به عنوان مثال، متقاعد کردن کاربر مبنی بر اینکه رایانه‌اش به بدافزار آلوده نشده است) و هم برای برقراری ارتباط با وضعیت رایانه از راه دور (مثلاً). ، برای اینکه کاربر بتواند بررسی کند که یک وب سرور به اندازه کافی از داده های او محافظت می کند). اگرچه ابتکار اخیر \"محاسبات قابل اعتماد\" توجه مثبت و منفی را به این حوزه جلب کرده است، ما موضوع قدیمی تر و گسترده تر راه اندازی اعتماد در رایانه را در نظر می گیریم. ما مسائلی را پوشش می‌دهیم، از مجموعه گسترده سخت‌افزار ایمن که می‌تواند به عنوان پایه‌ای برای اعتماد عمل کند، تا مشکلات قابلیت استفاده که هنگام تلاش برای انتقال اطلاعات وضعیت رایانه به انسان‌ها ایجاد می‌شود. این رویکرد تلاش‌های تحقیقاتی متفاوت را متحد می‌کند و فرصت‌هایی را برای کارهای اضافی برجسته می‌کند که می‌تواند به پیشرفت‌های دنیای واقعی در امنیت رایانه کمک کند.

Trusting a computer for a security-sensitive task (such as checking email or banking online) requires the user to know something about the computer's state. We examine research on securely capturing a computer's state, and consider the utility of this information both for improving security on the local computer (e.g., to convince the user that her computer is not infected with malware) and for communicating a remote computer's state (e.g., to enable the user to check that a web server will adequately protect her data). Although the recent "Trusted Computing" initiative has drawn both positive and negative attention to this area, we consider the older and broader topic of bootstrapping trust in a computer. We cover issues ranging from the wide collection of secure hardware that can serve as a foundation for trust, to the usability issues that arise when trying to convey computer state information to humans. This approach unifies disparate research efforts and highlights opportunities for additional work that can guide real-world improvements in computer security.