CN100504897C - 一种启动受保护分区的方法 - Google Patents

Abstract

一种启动受保护分区的方法，包括以下步骤：将安全初始化指令和域管理器中至少安全初始化指令加载到第一安全存储区域；准备并执行处理器的安全进入指令；从第一安全存储区域加载安全初始化指令并进行完整性校验，在完整性校验通过后运行安全初始化指令，并将完整性校验值存储在第一或第二安全存储区域；从第一安全存储区域中、或从存储域管理器的存储介质中将域管理器加载到第一或第二安全存储区域后进行完整性校验，并且将完整性校验值存储在第一、或第二安全存储区域；调用域管理器进行初始化，管理受保护的分区。该方法可以保证启动受保护分区过程中的安全性。

Description

一种启动受保护分区的方法

技术领域

本发明涉及计算机***分区的启动，特别是涉及一种启动受保护分区的方法。

背景技术

随着计算机在当今社会中起着越来越重要的作用，它必然会更多地处理一些高度敏感和机密的信息。这些信息通常具有较高的价值，是电脑黑客的极具吸引力的目标。而对客户计算机***的攻击，无论是攻击频率还是甄别的难度都在不断地增长；而且专家预测，这种攻击在未来还将持续增长。

虽然防火墙软件、病毒扫描软件、加密软件和其他的一些安全软件提供了一些保护，但是这些软件的解决方案只能通过大量的工作来保护一些跟它们具有相同或者更高权限级别的软件免受其他软件(可能是恶意的)的攻击。所以，纯软件的保护措施将会受到更大的限制。

TPM(Trusted Platform Module)，称为可靠平台模块，它是主板上密码算法芯片中内置的固件，是一个用来存储密钥、密码以及数字证书的微控制器。它通常被固定在PC的主板上，也可以应用于需要其相应功能的任何计算设备。该微控制器的特性保证了存储在里面的信息可以免受软件的攻击，防止通过物理上的偷窃而获取上面的信息，从而使存储在上面的信息更加安全。一些需要安全保护的过程，比如数字签名和密钥交换，可以通过TPM得到保护。如果启动过程不符合预期，则访问该平台上的数据和秘密都会被拒绝。从而使一些关键的应用和性能，如安全的电子邮件，安全的网络访问，以及数据的本地保护，都会因此而更加安全。

安装了操作***的***开机后，首先启动的是TPM。***一旦加电，TPM芯片就会立即检查基本输入输出***(BIOS)和包括如***ROM，硬件驱动的主引导记录(MBR)以及分区表的相关硬件，并将它们的哈希值存储在TPM的平台配置寄存器(PCR)中。这些值将会和保存的启动记录的值进行比较，如果结果产生矛盾，TPM就不允许对***分区进行访问；如果比较后通过，TPM将允许启动过程继续进行。接下来，主引导记录(MBR)会控制启动进程，其指定活动分区，加载首个扇区到***内存中，之后由启动扇区控制。

LT(LaGrande Technology)技术是指一系列功能增强的硬件组件，它们被设计用来帮助保护敏感的信息免受来自软件的攻击。LT特性包含了在微处理器、芯片组、I/O子***和其他一些平台组件上的特性。当LT技术和支持LT技术的操作***和应用结合时，它能够在安全性受到越来越多威胁的环境下帮助保护数据的安全性和完整性。LT技术支持引导启动受保护的分区的过程，该过程利用LT技术的后启动方式，支持在不重新启动计算平台的情况下启动受保护的分区。并且原有软件可以不做修改的运行在标准分区下。

如图1所示，LT支持由正常的Windows分区切换到安全的Windows分区。通常启动受保护的分区是由支持LT特性的操作***发出的请求，然后将内存空间划分为一系列受保护的内存空间，并标示为受保护，然后将域管理器(Domain Manager，DM)加载到指定的内存空间里，并通过认证码(Authenticated Code，AC)模块进行注册。

为支持这种切换，LT芯片组提供新的指令，其安全启动过程如图2所示，具体步骤如下：

①将处理器的安全初始化指令(SINIT)和DM加载到内存当中，对处理器进行初始化；

②执行安全进入指令(SENTER)，该指令运行后原处理器中所有的运算等活动全部停止，准备进入受保护的分区；

③处理器从第①步所述的内存中加载SINIT指令，利用处理器厂家的公钥对SINIT指令进行认证，通过认证后启动SINIT指令；

④SINIT指令检测主要硬件配置是否正确，此时是在受保护的区域内运行，同时将经过认证后的SINIT指令的完整性校验值存储在TPM相应的平台配置寄存器(PCR)中；

⑤SINIT指令对第①步内存中的DM进行完整性校验，通过后调用DM，并且将DM的完整性校验值也存储在TPM相应的PCR中；

⑥DM进行初始化，将操作权交给DM，由DM管理受保护的内存分区。

在上述启动过程中，SINIT执行的目的是检测不正确配置的硬件；SENTER过程用来确保启动没有干扰；DM的校验是指由SENTER对DM进行校验操作，检测对域管理器的篡改；注册DM是指SENTER把DM的校验值存储到TPM中；认证码用来检测不正确的硬件配置，其中包括芯片组，直到芯片组配置被验证后，内存才被信赖；认证码由芯片组厂家采用非对称密钥的私钥进行签名，认证时，认证码在专门的硬件保护区域内通过数字签名的公钥进行认证。

注意到上面的过程中，加载SINIT和DM过程存在安全漏洞：由于第①步SINIT指令和DM放在不受保护的内存区域当中，因此病毒程序可能对其进行攻击，这样在第③步校验SINIT完整性校验值和第⑤步校验DM完整性校验值时，其无法通过校验，在不重新启动计算平台的状况下永远无法进入安全操作***状态。

有鉴于此，需要对在启动受保护分区的过程中对SINIT指令和DM提供进一步的保护，从而增强整个启动受保护分区方法的安全性。

发明内容

本发明的目的是，提供一种启动受保护分区的方法，解决现有技术中启动受保护分区过程安全初始化指令和域管理器加载的存储区域容易受到软件病毒攻击，从而影响整个启动过程安全性的问题。

为了实现上述目的，本发明的启动受保护分区的方法，包括以下步骤：

步骤100，将安全初始化指令和域管理器中至少安全初始化指令加载到第一安全存储区域；

步骤110，准备并执行处理器的安全进入指令；

步骤120，从第一安全存储区域加载安全初始化指令并对所述安全初始话指令进行完整性校验，在完整性校验通过后运行安全初始化指令，并将完整性校验值存储在第一或第二安全存储区域；

步骤130，从第一安全存储区域中、或从存储域管理器的存储介质中将域管理器加载到第一或第二安全存储区域后，对所述域管理器进行完整性校验，并且将完整性校验值存储在第一、或第二安全存储区域；

步骤140，调用域管理器进行初始化，管理受保护的分区。

本发明的另一种启动受保护分区的方法，包括以下步骤：

步骤200，对处理器进行初始化，准备并执行安全进入指令；

步骤210，将安全初始化指令和域管理器中至少安全初始化指令发送到第一安全存储区域，利用Hash算法进行完整性校验，并将完整性校验值存储在第一或第二安全存储区域；

步骤220，从存储介质中加载安全初始化指令，，对所述安全初始化指令进行认证码方式的完整性校验认证，通过完整性校验后启动安全初始化指令，并将完整性校验值存储在第一或第二安全存储区域中；

步骤230，将域管理器加载到第一或第二安全存储区域，进行完整性校验，通过后调用域管理器，并将完整性校验值存储在第一、第二或第三安全存储区域中；

步骤240，调用域管理器进行初始化，管理受保护的内存分区。

与现有技术相比，本发明的有益效果是：在原有启动受保护分区的方法的基础上，通过在加载SINIT和DM时利用Hash算法对其进行完整性校验，确保加载的SINIT和DM的完整性，进一步，通过在安全的存储区域内进行SINIT和DM的完整性校验，并将完整性校验值存储在安全存储区域中，可以使其免受病毒程序的攻击，从而保证了启动受保护分区过程的安全性。

附图说明

图1示出了LT技术中由正常的Windows分区切换到受保护的Windows分区后的***示意图；

图2示出了现有技术启动受保护分区的方法的流程图；

图3为本发明在内存保留区中启动安全分区的方法的第1例子的流程图；

图4为本发明在内存保留区中启动安全分区的方法的第2例子的流程图；

图5为本发明在内存保留区中启动安全分区的方法的第3例子的流程图；

图6为本发明在TPM中对SINIT和DM进行完整性校验的启动受保护分区的方法的流程图；

图7为本发明启动受保护分区的方法中由TPM进行完整性校验的流程，其中，校验值存储在CPU或芯片组硬件中预留的寄存器内；

图8为本发明启动受保护分区方法中由TPM进行完整性校验的流程，其中，校验值存储在TPM中预留的寄存器内；

图9为本发明启动受保护分区方法中由TPM来对SINIT进行完整性校验，然后在清空的内存内进行DM完整性校验的流程。

具体实施方式

为了便于本领域普通技术人员理解与实施本发明，下面参照附图描述本发明的基于LT技术的启动受保护分区的方法。

在本发明中，为了填补现有技术在启动安全分区时的漏洞，提出了两种解决方案，即，后面将要分别描述的内存隔离法以及TPM执行完整性校验两种方法。

内存隔离法

对于内存隔离法，本发明在内存物理上提供特殊的内存空间，该空间只能由CPU的特定的硬件指令访问，而软件无法使用该内存空间。所说的特定硬件指令只能由相应的SINIT等LT指令调用。为了方便描述，后续将该特殊的内存空间称为内存保留区。

上述的内存保留区可以通过如下的方法实现：

首先对内存的某些地址线(如低端地址线或者片选信号线)在进行地址译码时增加控制逻辑，控制逻辑判断当前指令是否为LT指令，如果是则允许访问，否则不允许访问。这部分地址对来自CPU的访问有一定的限制，预留给特殊的指令访问。然后，在BIOS启动阶段，这些受到特殊指令访问保护的内存空间被分配给特定指令使用。

通过上述的实现方法，这样分配的内存保留区就只能由LT指令控制，从而防止外部代码的攻击其存储的内容。

以下将参考图3至图5说明本发明采用内存保留区启动安全分区的方法。

图3为本发明在内存保留区中启动安全分区的方法的第1例子的流程图。如图3所示，本发明启动受保护分区的方法包括以下步骤：

1)首先利用Hash算法对存储在硬盘或其他存储介质中的SINIT指令和DM进行完整性校验。

2)将通过完整性校验的SINIT指令或DM加载到内存保留区当中，对处理器进行初始化。如果DM过大，那么只加载SINIT指令。

3)执行SENTER指令，该指令运行后原处理器中所有的运算等活动全部停止，准备进入受保护的环境。

4)处理器在第2)步的内存保留区中加载SINIT指令，利用处理器厂家的公钥对SINIT指令进行认证，通过认证后启动SINIT指令。

5)SINIT指令检测主要硬件配置是否正确，此时是在内存保留区中运行，同时将经过认证后的SINIT指令的完整性校验值存储在TPM相应的平台配置寄存器中，清空内存保留区的内存。注意，本步骤5)中所指的完整性校验为现有LT技术启动安全分区方法中对SINIT指令进行认证码方式的完整性校验，与步骤1)中采用Hash算法对SINIT和DM进行的完整性校验方式不同。

6)如果DM已经加载，则SINIT指令对第2)步内存保留区中的DM进行完整性校验，在完整性校验通过后调用DM，并且将DM的完整性校验值也存储在TPM相应的PCR中；否则将DM调入内存保留区后再对DM进行完整性校验，在完整性校验通过后调用DM，并且将DM的完整性校验值也存储在TPM相应的PCR中。注意，本步骤6)中所指的完整性校验为现有LT技术启动安全分区方法中对DM进行认证码方式的完整性校验，与步骤1)中采用Hash算法对SINIT和DM进行的完整性校验方式不同。

7)DM进行初始化，将操作权交给DM，由DM管理受保护的内存分区。

在上述第1例子中，通过在加载SINIT和DM之前利用Hash算法对其进行完整性校验，可以保证所加载的SINIT和DM为完整的SINIT和DM。并且，通过完整性校验的SINIT和DM的完整性校验值存储在TPM的特定PCR中，可以避免其在启动过程中完整性受到破坏。因此，可以进一步提高了SINIT和DM的可靠性。

上述第1例子的流程中，可以做以下修饰或者变化：

a.在步骤1)中进行SINIT和DM的完整性校验后，也可以不用存储在特定的内存保留区中，因为可以认为此时的SINIT和DM是完整的。

b.当SINIT和DM中任何一个未通过完整性校验时，可以采用自动修复的方式对其进行修复。所谓的自动修复是通过用备份在计算机***中的SIINIT和DM覆盖完整性被破坏的SINIT或DM来实现，保证加载之前SINIT指令和DM在存储介质上的完整性，避免被病毒或黑客工具攻击。

c.步骤1)中SINIT和DM可以不用同时进行完整性校验，可以在对SINIT完整性校验并加载后，再对DM进行校验；

d.上述步骤5)和步骤6)中的SINIT和DM的完整性校验值可以不用存储在TPM中的特定PCR中，可以存储在上述的内存保留区中为其分配的相应区域中，这部分区域在清空内存保留区的内存时不受影响。

图4为本发明在内存保留区中启动安全分区的方法的第2例子的流程图。如图4所示，该方法具体包括以下步骤：

步骤41，在BIOS启动阶段，分别为SINIT和DM分配相应的内存保留区，即，SINIT内存保留区和DM内存保留区；

步骤42，将SINIT和DM加载到SINIT内存保留区和DM内存保留区；

步骤43，分别在SINIT内存保留区和DM内存保留区，利用Hash算法对SINIT和DM进行完整性校验，校验值分别存储在SINIT内存保留区和DM内存保留区；

步骤44，运行LT的安全清除指令SCLEAR，该指令清空内存保留区之外的其他内存区域；

步骤45，依次启用SINIT和DM，在DM进行初始化后，将操作权交给DM，由DM管理受保护的分区。

从图4中的流程图可以看出，与图2中的启动受保护分区的方法相比，本发明启动受保护分区的方法中，将SINIT和DM分别加载到为其分配的SINIT内存保留区和DM内存保留区，并分别在SINIT内存保留区和DM内存保留区内进行完整性校验，然后把校验值分别存储在SINIT内存保留区和DM内存保留区内。可以有效避免SINIT和DM受到病毒攻击，提高SINIT和DM的可靠性。

并且，在这里，可以通过采用Hash算法对加载在内存保留区中的SINIT和DM进行完整性校验来代替现有启动受保护分区的方法中对SINIT和DM的完整性校验，省略了第1例子中的第二次完整性校验，从而，在保证SINIT和DM的完整性的情况下，简化了启动受保护分区的过程。

当然，可以在从内存保留区中加载SINIT和/或DM后进行现有启动受保护分区的方法中所采用的完整性校验，以进一步保证加载过程中SINIT和DM的完整性未受到破坏。

图5为本发明在内存保留区中启动安全分区的方法的第3例子的流程图。当DM需要的内存空间较大的时候，可以先加载SINIT后加载DM。如图5所示，为先加载SINIT后加载DM的例子，该方法具体包括以下步骤：

步骤51，在BIOS启动阶段，分别为SINIT分配内存保留区，即，SINIT内存保留区；

步骤52，将SINIT加载到SINIT内存保留区，利用Hash算法对SINIT进行完整性校验，校验值保存在SINIT内存保留区；

步骤53，运行LT的安全清除指令SCLEAR，该指令清空SINIT内存保留区之外的其他内存区域；

步骤54，从SINIT内存保留区中调用SINIT，启动SINIT；

步骤55，将DM加载到清空后的某一内存空间，利用Hash算法对DM进行完整性校验，将校验值保存在该内存空间内或者TPM相应的PCR中，然后启用DM；

步骤56，在DM进行初始化后，将操作权交给DM，由DM管理受保护的分区。

对于第3例子，上述步骤可以进行如下修饰和变化：

a.步骤54中，在调用SINIT后，可以首先与步骤52中的校验值进行比较，在一致的情况下，启动SINIT。

b.步骤52中，在加载SINIT后，可以不利用Hash算法对SINIT进行完整性校验，而在将其从SINIT内存保留区调用后，再进行完整性校验，并将完整性校验值存储在TPM相应的PCR中，或者SINIT内存保留区中。

TPM执行完整性校验

上述实施例针对在内存保留区中进行SINIT和DM的完整性校验的启动受保护分区的方法进行了描述，以下将结合实施例对在TPM中进行完整性校验的启动受保护分区的方法进行说明。

如图6所示，为本发明在TPM中对SINIT和DM进行完整性校验的启动受保护分区的方法的流程图，该方法包含以下步骤：

步骤61，对处理器进行初始化，准备执行SENTER指令；

步骤62，执行SENTER指令，该指令运行后原处理器中所有的运算等活动全部停止，准备进入受保护的环境；

步骤63，将SINIT指令或DM利用TPM_HASH指令发送到TPM，由TPM利用Hash算法对其完整性进行校验，并将校验值存储在TPM或CPU相应寄存器中，从而保证加载之前SINIT或DM的完整性，避免被病毒或黑客工具攻击，如果DM过大，那么只加载SINIT指令；

步骤64，处理器直接从硬盘或其他存储介质加载SINIT指令，利用处理器厂家的公钥对SINIT指令进行认证，通过认证后启动SINIT指令；

步骤65，SINIT指令检测主要硬件配置是否正确，此时是在特殊受保护的区域内运行，同时将经过认证后的SINIT指令的完整性校验值存储在TPM相应的PCR中，清空内存；

步骤66，SINIT指令加载DM，对DM进行完整性校验，通过后调用DM，并且将DM的完整性校验值也存储在TPM相应的PCR中；

步骤67，DM进行初始化，将操作权交给DM，由DM管理受保护的内存分区。

上述方法中，TPM执行完整性校验的关键在于由于TPM内部具有散列算法模块，而且执行过程完全在芯片内部完成，外部无法探测，因此可以将SINIT和DM的完整性校验通过只能由硬件发出给TPM的Hash指令交由TPM完成。

对于上述方法，存在相应的修饰或者改变的方案：

可以在初始化处理器之前进行SINIT和DM的完整性校验，即，在初始化处理器之前，同时或者依次在TPM中进行SINIT和DM的完整性校验，将完整性校验值分别存储在处理器或TPM中预定的寄存器中；

然后，在初始化处理器之后，执行SENTER指令，利用处理器厂家的公钥对SINIT指令进行认证，通过认证后启动SINIT指令；

接下来，SINIT指令调用DM，DM进行初始化，将操作权交给DM，由DM管理受保护的内存分区。

上述方法中，根据SINIT和DM校验后的数值存储区域的不同，以及DM加载到的区域不同，又分为3个不同的流程，分别如图7、图8和图9所示。

其中，图7表示，在CPU或芯片组硬件中预留SINIT和DM的校验寄存器，当需要对SINIT和DM进行完整性校验时，由CPU或芯片组发出相应的TPM Hash指令，由TPM来对SINIT和DM进行完整性校验，将校验后的数值存储在SINIT和DM的校验寄存器，而不用将SINIT和DM加载到内存后，由CPU在内存中完成完整性校验。

图8表示，在需要对SINIT和DM进行完整性校验时，由CPU或芯片组相应的TPM Hash指令发给TPM，由TPM来对SINIT和DM进行完整性校验，并将校验值存储在TPM内部的对应寄存器中，然后读取预先保存的比较基准校验值验证其完整性。

图9表示，在DM文件较大的情况下，用TPM对其进行校验需要很长时间，因而，可以先对SINIT进行完整性校验。当对SINIT进行完整性校验时，由CPU或芯片组发出相应的TPM Hash指令，直接使用TPM对SINIT进行完整性校验，将校验值存储在TPM内部的寄存器中，然后读取相应的校验值验证其完整性。验证完SINIT的完整性后，进入SENTER阶段，启动SINIT，清空内存，将DM加载到清空的内存中，对DM进行完整性校验，并运行。

综上所述，本发明启动受保护分区方法中，SINIT和DM加载和校验都在安全的存储区域进行，从而使其免受病毒程序可能对其进行攻击，从而保证了启动受保护分区过程的安全性。

值得注意的是，在本发明中所指的计算机***，指的是这样一些基于处理器的***，比如台式计算机、笔记本电脑、服务器、顶置盒或者其他一些类似的设备。在本发明的具体实施例中，所述的计算机***通常包含支持LT技术的处理器。但是需要指出的是，本发明完全可以应用于其他一些含有支持类似安全计算环境的处理器的计算机***。

Claims (10)

1.一种启动受保护分区的方法，包括以下步骤：

步骤100，将安全初始化指令和域管理器中至少安全初始化指令加载到第一安全存储区域；

步骤110，准备并执行处理器的安全进入指令；

步骤120，从第一安全存储区域加载安全初始化指令并对所述安全初始话指令进行完整性校验，在完整性校验通过后运行安全初始化指令，并将完整性校验值存储在第一或第二安全存储区域；

步骤130，从第一安全存储区域中、或从存储域管理器的存储介质中将域管理器加载到第一或第二安全存储区域后，对所述域管理器进行完整性校验，并且将完整性校验值存储在第一、或第二安全存储区域；

步骤140，调用域管理器进行初始化，管理受保护的分区。

2.如权利要求1所述的方法，其特征在于，在步骤100之前对存储在存储介质中的安全初始化指令和域管理器进行完整性校验，如果通过完整性校验，则执行步骤100，如果没有通过完整性校验，则自动进行修复。

3.如权利要求1或2所述的方法，其特征在于，在步骤100和110之间对加载到第一安全存储区域中的至少安全初始化指令进行完整性校验，并将完整性校验值存储在第一安全存储区域中。

4.如权利要求1所述的方法，其特征在于，在步骤120和130之间对加载到第一安全存储区域中的至少安全初始化指令进行完整性校验，并将完整性校验值存储在第一安全存储区域中。

5.如权利要求1所述的方法，其特征在于，第一安全存储区域为内存保留区，第二安全存储区域为可靠平台模块中预定的平台配置寄存器。

6.如权利要求1所述的方法，其特征在于，上述完整性校验为认证码方式的完整性校验或者利用Hash算法的完整性校验。

7.一种启动受保护分区的方法，包括以下步骤：

步骤200，对处理器进行初始化，准备并执行安全进入指令；

步骤210，将安全初始化指令和域管理器中至少安全初始化指令发送到第一安全存储区域，利用Hash算法进行完整性校验，并将完整性校验值存储在第一或第二安全存储区域；

步骤220，从存储介质中加载安全初始化指令，对所述安全初始化指令进行认证码方式的完整性校验认证，通过完整性校验后启动安全初始化指令，并将完整性校验值存储在第一或第二安全存储区域中；

步骤230，将域管理器加载到第一或第二安全存储区域，进行完整性校验，通过后调用域管理器，并将完整性校验值存储在第一、第二或第三安全存储区域中；

步骤240，调用域管理器进行初始化，管理受保护的内存分区。

8.按照权利要求7所述的方法，其特征在于，所述第一安全存储区域为可靠平台模块。

9.如权利要求7所述的方法，其特征在于，所述第二安全存储区域为处理器预定的寄存器。

10.如权利要求7所述的方法，其特征在于，所述第三安全存储区域为内存保留区。

Images