[发明专利]服务器主动管理技术协助的安全引导

说明书

技术领域

本发明的实施例一般地涉及平台的引导，尤其涉及使用存储在平台上的安全位置中的签名密钥来进行的安全引导。

背景技术

对于安全引导，有多种机制。统一可扩充固件接口(UEFI)规范定义一种用于操作系统与平台固件之间的接口的新模型。此接口由包含平台相关信息的数据表组成，另外还有对于操作系统及其装载程序可用的引导和运行时服务调用。它们一起提供用于引导操作系统和运行引导前应用程序的标准环境。可以在URL www*uefi*org/home的公众互联网上找到有关UEFI的更多信息。请注意本文献中以星号替代了句点以防止无意产生的超链接。UEFI标准可用于协助平台的安全引导。

UEFI规范2.1的第26章描述一种用于安全引导的协议。此定义的协议为通用认证信息的访问提供特定装置路径。该协议可以在任何设备句柄上使用以获取与物理或逻辑装置关联的信息。可以将公用密钥和证书保存在固件上，并检查第三方EFI驱动程序和操作系统(OS)装载程序上的数字签名。将公用密钥绑定到平台已成为一个部署问题。其安全性仅相当于平台能够安全地存储公用密钥。在引导时撤销公用密钥或证书是不可能的。假冒装载程序可被插入到平台中以规避此安全性。因此，这种安全引导方法在引导时间期间可能仍容易受到攻击。

发明内容

本发明为克服上述背景技术中存在的问题构思而成。

本发明的第一方面是一种用于平台上安全引导的系统，包括：与固件存储器耦合的主处理器；用于引导所述主处理器的固件，所述固件在引导期间利用一个或多个签名密钥，各签名密钥与引导期间要在所述平台上装载的软件映像关联；以及所述平台上的第二处理器，所述第二处理器以通信方式耦合到存储器的安全区域，所述存储器的所述安全区域对于所述固件或其他主处理器应用程序不可访问；所述第二处理器配置成管理所述一个或多个签名密钥以控制引导期间的映像装载。

本发明的第二方面是一种用于平台上安全引导的方法，包括如下步骤：

由平台固件起始所述平台上主处理器的安全引导；

确定第二处理器是否对与引导时要装载且存储在安全存储器中的软件映像关联的至少一个签名密钥具有访问权，如果是，则所述第二处理器从所述安全存储器检索出所述至少一个签名密钥，但是

如果否，则从固件存储器检索出所述至少一个签名密钥；

由所述第二处理器检索出与所述至少一个签名密钥关联的验证信息；以及

用所述验证信息验证所述至少一个签名密钥。

本发明的第三方面是用于平台上安全引导的机器可访问媒体，所述媒体中存储有在机器上执行时使所述机器执行如下操作的指令：

由平台固件起始所述平台上主处理器的安全引导；

确定第二处理器是否对与引导时要装载且存储在安全存储器中的软件映像关联的至少一个签名密钥具有访问权，

如果是，则所述第二处理器从所述安全存储器检索出所述至少一个签名密钥，但是

如果否，则从固件存储器检索出所述至少一个签名密钥；

由所述第二处理器检索与所述至少一个签名密钥关联的验证信息；以及

用所述验证信息验证所述至少一个签名密钥。

附图说明

本发明的特征和优点将通过以下参照附图对本发明的详细描述阐明，附图中：

图1是表示根据本发明实施例的带外(out-of-band)微控制器(OOB微控制器)的特征的框图；

图2A是表示根据本发明实施例的示范性服务器平台的框图；

图2B是表示根据本发明实施例的示范性客户机平台的框图；

图3是说明根据本发明实施例的可扩充固件接口(EFI)体系结构系统的执行的流程图；

图4说明根据本发明实施例的用于确保引导和系统完整性的签名密钥的分级结构；

图5是说明根据本发明实施例的用于验证密钥和证书的示范性方法的流程图。

具体实施方式

本发明的一实施例是与平台的安全引导相关的系统和方法。在至少一个实施例中，本发明预设为使用存储在平台上安全位置中的签名密钥来安全地引导平台，其中对该签名的访问是由平台上的微控制器或其他辅助处理器来执行，并且主处理器没有直接访问权来更改签名密钥。