[发明专利]一种联网式专用服务器的可信启动和安全运行方法

权利要求书

1.一种联网式专用服务器的可信启动和安全运行方法；其特征在于，包括：是一种在互联网管控下目标一致，任务各异但又协调运行的专用服务器集群的可信启动、安全运行的方法，所述任务是指各专用服务器所要解决的具体技术问题，所述方法是在一个由互联网中央控制服务器，简称中控器和各专用服务器共同组成的二级系统网络中依次按以下步骤实现的：

步骤(1)中控器和专用服务器集群约定：

(1)各专用服务器，简称本地服务器的网址IP、设备标识DP和各专用服务器编号，以及中控器的网址；

(2)二级系统的通信方式：

中控器与各专用服务器之间实时通信时，随机选用具有一对相同密钥的对称加密算法在二级系统网络内部各专用服务器管理人员范围内较低涉密级别的内部公开通信；

中控器与指定的专用服务器之间执行与任务有关的较高级别的保密通信时随机选用发信方和收信方各自按自己选择的非对称加密算法RSA得到的一对公私密钥在各方需要时进行涉密通信；

各专用服务器之间随机按需使用各自选择的非对称加密算法实施涉密通信；

步骤(2)t0时刻二级系统的初始化

步骤(2.1)中控器和各专用服务器之间以及各专用服务器之间互相交换用各自选择的非对称加密算法得到的公钥，私钥则由自己保存；

步骤(2.2)各本地服务器中的基板管理控制器BMC，简称本地BMC进行初始化；

步骤(2.2.1)把完成任务需要的操作系统、文件系统目录树和设备树存入一个与本地BMC相连的外部存储器中；

步骤(2.2.2)本地BMC对从外部存储器中取出的操作系统内核、文件系统目录树和设备树并依次用mkImage工具得到相应的镜像；

步骤(2.2.3)本地BMC用杂凑算法对步骤(2.2.2)中得到的三个镜像分别进行计算得到对应的基准值；

步骤(2.2.4)本地BMC用所述非对称加密算法RSA的私钥对步骤(2.2.3)中的三个所述基准值进行加密并存入所述的外部存储器中；

步骤(2.2.5)本地BMC使用步骤(2.1)中的中控器发来的公钥对步骤(2.2.4)中得到的三个所述基准值加密得到校验值，组成下述本地BMC可信启动和安全运行信息映射表简称信息映射表向中控器发出备案，格式如下：

发送时刻-专用服务器网址、编号-中控器网址-操作系统内核校验值-文件系统目录树校验值-设备树校验值

步骤(2.2.6)中控器用本地的非对称加密算法RSA的私钥对得到信息映射表解密，使用本地BMC发来的非对称加密算法公钥对解密后的所述信息映射表进行签名后发给所述本地BMC；

步骤(3)t1时刻，管理员对本地BMC作第一次可信启动检验：

本地BMC对从外部存储器中取出的操作系统内核、文件系统目录树和设备树并依次用mkImage工具得到相应的镜像；本地BMC用杂凑算法对上述得到的三个镜像分别进行计算得到对应的校验值；同时本地BMC利用自身的非对称加密私钥解密外t0时刻存储到外部存储器中的三个所述的基准值，验证两者是否相等：

若相等，则说明t0-t1时间段内本地BMC的操作系统内核、文件系统目录树和设备树未遭到外来攻击或受到内部人员篡改，本地BMC执行步骤(4)

若不相等，本地BMC执行步骤(5)剖析故障性质；

步骤(4)本地BMC进入运行状态：

步骤(4.1)本地BMC判别：是否有已经通过身份认定的主动请求来修改所述操作系统内核、文件系统目录树以及设备树中至少一种系统镜像的指令输入，若有，则执行主动修改任务，修改完毕则返回步骤(4.1)，若没有则执行步骤(4.2)；

步骤(4.2)本地BMC判别：是否作为收方从某一个专用服务器收到过中控器的功能因某种原因转移到了其它所属专用服务器的通知,或者是否从中控器收到过已恢复原有功能的通知,若有则恢复新的运行状态，否则返回步骤(4.1)；

步骤(5)本地BMC判别：在t0-t1时间段内：

若t0、t1时刻所述操作系统内核、文件系统目录树和设备树这三个基准值都不相等，表示操作系统内核首先受到攻击，其余两个系统分别受到波及；

若在t0，t1两个时刻，只有设备树镜像的基准值相等，表明操作系统内核中，涉及文件系统目录树受到了攻击；

若在t0，t1两个时刻，只有文件系统目录树镜像的基准值相等，表明操作系统内核中涉及设备树受到攻击。

2.根据权利要求1所述的一种联网式专用服务器的可信启动和安全运行方法，其特征在于：中控器在发生故障时依次按以下步骤转移到所指定的专用服务器，简称指定服务器；

步骤(1)中控器按非对称加密的涉密通信方式，向指定服务器发出请求转移指令，包括：中控器的网址IP和设备标识DP，指定服务器的网址IP和设备标识DP，预设的请求转移标志；

步骤(2)指定服务器按所述非对称加密的涉密通信方式，向所述中控器发出同意转移的应答信息；

步骤(3)中控器向所述指定服务器发送经非对称加密算法加密后的报文，包括：

全部专用服务器的IP，DP编号初始化t0时刻的各专用服务器BMC的操作系统内核、文件系统目录树和设备树各自的基准值；

步骤(4)指定、定服务器收到步骤(3)所述报文后，再向其余专用服务器用较低的涉密级别的内部公开通信方式告知自己的IP，DP编号；表明代理中控器执行可信启动和正常运行功能。