[发明专利]一种基于硬件加密的UEFIBIOS系统安全升级方法

说明书

技术领域

本发明涉及计算机系统安全技术领域，具体地说是一种基于硬件加密的UEFI BIOS系统安全升级方法。

背景技术

随着计算机的使用越来越普遍，计算机的安全性也越来越受到重视，尤其特殊行业对计算机的安全性有更高要求。

UEFI 统一可扩展固件接口，是一套介于平台固件与操作系统之间的接口与数据结构的定义集合。UEFI BIOS发展迅速，且具有很多上代BIOS所没有的优势。但由于各方面发展不同，尤其是UEFI BIOS维护的安全方面，尚有不足需要继续改进。

比如对于UEFI BIOS 的升级更新，可通过网络、存储介质等方式进行升级。但在升级安全上，客户对升级数据的权限限制，升级数据的完整性、安全性验证等没有充分的保证，软件加密保护安全性较硬件加密保护安全性差、容易被恶意升级代码损坏系统或者升级数据损坏引起系统崩溃。尤其对于某些特殊行业对于UEFI BIOS升级安全性要求更严格。

发明内容

本发明的技术任务是针对以上不足之处，提供一种基于硬件加密的UEFI BIOS系统安全升级方法，用以解决任意升级对系统带来的安全威胁。

本发明解决其技术问题所采用的技术方案是：

一种基于硬件加密的UEFI BIOS系统安全升级方法，包括UEFI BIOS系统升级和升级数据硬件安全加密两个方面，

UEFI BIOS升级， UEFI 包括SEC、PEI、DXE、BDS、TSL、RT加载过程，将系统升级验证过程封装为DXE驱动，在DXE阶段进行验证检测，提高升级数据的安全性、完整性；利用硬件KEY的随机数的唯一性以及密钥对的安全性提高系统升级的安全性；

升级数据，UEFI BIOS厂家通过利用国产密码芯片全部以国家密码算法完成对升级数据的硬件安全加密，并发布数字证书给客户端，全部以国家密码算法实现加解密满足特殊行业需求，硬件加密升级，相对于软件加密安全性很大程度提高。

该方法实施方式如下：

1）、客户端计算机启动，检测模块检测到通过接口连接到电脑的KEY设备并读取其中的最终加密文件，分别提取数字信封和密文；

2）、UEFI BIOS厂家发布的数字证书，解密数字信封得到完整验证数据，并分别提取消息摘要和随机数；

3）、将步骤2提取的随机数与芯片内随机数比较验证相同则继续运行，否则升级失败，直接退出升级过程；

4）、用随机数作为加密分散因子使用SM4加密算法解密加密文件得到UEFI BIOS升级数据，经过SM3 HASH计算后生成的消息摘要；

5）、步骤4的消息摘要与步骤2提取的消息摘要进行比较验证，如果完全相等，说明升级数据没有篡改，保证升级数据的完整性，再进行相应的升级工作。否则升级失败，退出升级过程。

本发明的一种基于硬件加密的UEFI BIOS系统安全升级方法和现有技术相比，具有以下有益效果：

可解决任意升级对系统带来的安全威胁。需要BIOS厂商提供数字证书和对应硬件才能升级，没有获得证书或是对应的同一个升级数据存储介质KEY则无法升级系统。全部以国家密码算法实现加解密满足特殊行业需求，硬件加密升级，相对于软件加密安全性很大程度提高。在DXE阶段进行验证检测，提高升级数据的安全性、完整性等。利用硬件KEY的随机数的唯一性以及密钥对的安全性提高系统升级的安全性。

具体实施方式

下面结合具体实施例对本发明作进一步说明。

一种基于硬件加密的UEFI BIOS系统安全升级方法，包括UEFI BIOS系统升级和升级数据硬件安全加密两个方面，

UEFI BIOS升级， UEFI 包括SEC、PEI、DXE、BDS、TSL、RT加载过程，将系统升级验证过程封装为DXE驱动，在DXE阶段进行验证检测，提高升级数据的安全性、完整性；利用硬件KEY的随机数的唯一性以及密钥对的安全性提高系统升级的安全性。

客户端对UEFI BIOS的升级处理：

1)首先以UEFI规范标准编写DXE驱动程序，识别存储系统升级数据的存储介质（KEY），并读取其中的最终加密文件。

2)由最终加密文件中分别提取数字信封和密文。

3)用收到的UEFI BIOS厂家发布的公钥，以SM2算法解密数字信封得到完整验证数据。

4）分别提取消息摘要和随机数。

5)将步骤4提取的随机数与芯片内随机数比较验证相同才能继续运行，否则升级失败，直接退出升级过程。