CN104410636A - 一种云计算***中增强bmc/smc安全性的方法 - Google Patents

一种云计算***中增强bmc/smc安全性的方法 Download PDF

Info

Publication number
CN104410636A
CN104410636A CN201410711391.8A CN201410711391A CN104410636A CN 104410636 A CN104410636 A CN 104410636A CN 201410711391 A CN201410711391 A CN 201410711391A CN 104410636 A CN104410636 A CN 104410636A
Authority
CN
China
Prior art keywords
bmc
smc
cloud computing
module
remote administration
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201410711391.8A
Other languages
English (en)
Inventor
金长新
刘强
高明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inspur Group Co Ltd
Original Assignee
Inspur Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inspur Group Co Ltd filed Critical Inspur Group Co Ltd
Priority to CN201410711391.8A priority Critical patent/CN104410636A/zh
Publication of CN104410636A publication Critical patent/CN104410636A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0485—Networking architectures for enhanced packet encryption processing, e.g. offloading of IPsec packet processing or efficient security association look-up
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及云计算***安全技术领域，特别涉及一种云计算***中增强BMC/SMC安全性的方法。该方法通过在BMC/SMC***中增加TPM安全可信模块保证BMC/SMC固件的安全性，在BMC/SMC远程管理路径上增加IPSEC加解密模块保证管理路径的安全性，在远程管理终端增加USBKEY实现对用户身份的安全认证。基于这三种安全加密及认证方法可确保对采用BMC/SMC***进行管理的云计算基础设备的安全性提供最高级别的安全保护，对促进安全云计算装备的应用具有重要的意义。

Description

一种云计算***中增强BMC/SMC安全性的方法
技术领域
本发明涉及云计算***安全技术领域，特别涉及一种云计算***中增强BMC/SMC安全性的方法。
背景技术
云装备作为云计算的基础设施，在云计算***中承担着的越来越重要的角色。而云装备的安全性是云计算安全性的根本保障，没有云装备的安全性就无从谈起云计算的安全性。在软件应用层面云计算的安全性可以积极借鉴现有的安全架构和体系，其实现起来相对容易，实现方法相对成熟。但涉及到云计算设备的安全管理方面，尤其是针对BMC/SMC的高安全性的整机安全管理***的实现未有成熟的方案，需要深入分析BMC/SMC的实现机制，设计出可针对国外及国内处理器平台的具有较高安全级别的BMC/SMC管理***，弥补整机装备安全性的不足，实现具有全面安全性保证的安全可信的云计算设备。
BMC（Baseboard Management Controller）基板管理控制器，SMC（System Management Controller）***管理控制器。BMC是云计算服务器中计算刀片中的管理管理控制器用于对计算刀片的管理；SMC是云计算服务器中管理单元中的管理控制器用于对云计算服务器整机的管理。
TPM安全可信模块，即Trusted Platform Module可信平台模块，是一个含有密码运算部件和存储部件的小型片上***，是“可信计算”技术最核心的部分。
IPSEC（InternetProtocolSecurity），Internet 协议安全性，是一种开放标准的框架结构，通过使用加密的安全服务以确保在 Internet 协议（IP）网络上进行保密而安全的通讯。
发明内容
为了解决现有技术的问题，本发明提供了一种云计算***中增强BMC/SMC安全性的方法，其可确保对采用BMC/SMC进行管理的云计算基础设备的安全性提供最高级别的安全保护，对促进安全云计算装备的应用具有重要的意义。
本发明所采用的技术方案如下：
一种云计算***中增强BMC/SMC安全性的方法，包括以下步骤：
A、TPM安全可信模块对BMC/SMC处理器的固件模块进行可信性方面的度量； 
B、在TPM安全可信模块进行完整性度量完成后，则BMC/SMC处理器进行正常的启动，另一方面对于通过网络传递到远程管理终端的数据经过IPSEC加解密模块进行加密；使得由BMC/SMC处理器传到远程管理终端的数据进行IPSEC加解密，对于由远程管理终端传递到BMC/SMC处理器的信号则利用IPSEC加解密模块进行相关的解密；
C、远程管理终端设置有进行管理授权的USB KEY。   
步骤A中，TPM安全可信模块同时进行身份认证、敏感数据加密存储、内部资源访问授权的步骤。
步骤B中，如果远程管理终端采用WINDOWS操作***则对于IPSEC的加解密可直接采用WINDOWS***本身所带的IPSEC功能，无需单独附加解密模块。
步骤C中，远程管理终端的USB KEY对用户身份的安全认证是通过BMC/SMC处理器经由远程管理终端的WEB插件获取USB KEY认证所需的相关信息并传递到BMC/SMC处理器来实现。
一种云计算***中增强BMC/SMC安全性的***，包括BMC/SMC管理单元、远程管理终端，所述的BMC/SMC管理单元由BMC/SMC处理器、TPM安全可信模块、固件模块、IPSEC加解密模块组成，所述的BMC/SMC***中设置所述的TPM安全可信模块；在BMC/SMC远程管理路径上增加IPSEC加解密模块。
远程管理终端设置有进行管理授权的USB KEY。
本发明的方法通过在BMC/SMC***中增加TPM安全可信模块保证BMC/SMC固件的安全性；在BMC/SMC远程管理路径上增加IPSEC加解密模块保证管理路径的安全性；在远程远程管理终端增加USB KEY实现对用户身份的安全认证。基于这三种安全加密及认证方法可确保对采用BMC/SMC进行管理的云计算基础设备的安全性提供最高级别的安全保护。
BMC/SMC***中的TPM安全可信模块实现的功能包括但不限于对BMC/SMC固件完整性度量、身份认证、敏感数据加密存储、内部资源访问授权等。
BMC/SMC远程管理路径上设计有IPSEC加解密模块，使得由BMC/SMC传到管理端的数据包括但不限于KVM OVER IP等信息进行IPSEC加解密，对于由远程管理端传递到BMC/SMC的信号则利用IPSEC加解密模块进行相关的解密。远程管理端如果采用WINDOWS操作***则对于IPSEC的加解密可直接采用WINDOWS***本身所带的IPSEC功能，无需单独附加解密模块。
远程用户管理USB KEY对用户身份的安全认证是通过BMC/SMC经由远程管理终端的WEB插件获取USB KEY认证所需的相关信息并传递到BMC/SMC来实现。
本发明提供的技术方案带来的有益效果是：
1、通过TPM安全可信模块对BMC/SMC处理器的固件模块进行可信性方面的度量，确保固件完整性，即固件未经篡改；
2、对于通过网络传递到远程管理终端的数据需要经过IPSEC加解密模块进行加密，保证了数据在网络传输中的安全；
3、远程管理终端上有进行管理授权的USB KEY。和单纯的口令认证相比，USB KEY的安全性大大加强，在本发明中可以结合口令+USB KEY双重认证方式实现用户的认证。
基于以上，本发明可确保对采用BMC/SMC进行管理的云计算基础设备的安全性提供最高级别的安全保护，对促进安全云计算装备的应用具有重要的意义。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明的一种云计算***中增强BMC/SMC安全性的方法的***框图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。
实施例一
如附图1所示：本发明由BMC/SMC管理单元（100）、远程管理终端（105）及USB KEY(106)组成。BMC/SMC管理单元(100)由BMC/SMC处理器（101）、TPM安全可信模块（102）、固件模块（103）、IPSEC加解密模块（104）组成。
首先通过TPM安全可信模块（102）对BMC/SMC处理器（101）的固件模块（103）进行可信性方面的度量，确保固件完整性，即固件未经篡改。同时TPM安全可信模块也可以进行身份认证、敏感数据加密存储、内部资源访问授权等。
在TPM安全可信模块进行完整性度量完成后则BMC/SMC处理器（101）可以进行正常的启动，实现BMC/SMC的功能。另一方面对于通过网络传递到远程管理终端（105）的数据需要经过IPSEC加解密模块（104）进行加密，以保证数据在网络传输中的安全。
远程管理终端（105）要想对BMC/SMC管理单元(100)进行管理首先需要配置管理终端的IPSEC设置，以便能正常进行IPSEC加解密，和BMC/SMC管理单元（100）进行正常通信。在远程管理终端上还应该有进行管理授权的USB KEY（106）。远程管理终端和BMC/SMC管理单元的通信正常后，会调出BMC/SMC管理单元的管理页面，其中的插件会识别并传递远程管理终端的USB KEY认证信息到BMC/SMC管理单元，从而实现对远程管理终端用户的认证。和单纯的口令认证相比，USB KEY的安全性大大加强，在本发明中可以结合口令+USB KEY双重认证方式实现用户的认证。
本实施例的BMC/SMC处理器可采用AST2400、AST2300、AST2050；TPM安全可信模块、USB KEY可采用国产TPM和USB KEY模块；IPSEC加解密模块可采用专用芯片也可以通过FPGA实现。
以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种云计算***中增强BMC/SMC安全性的方法，包括以下步骤：
A、TPM安全可信模块对BMC/SMC处理器的固件模块进行可信性方面的度量； 
B、在TPM安全可信模块进行完整性度量完成后，则BMC/SMC处理器进行正常的启动，另一方面对于通过网络传递到远程管理终端的数据经过IPSEC加解密模块进行加密；使得由BMC/SMC处理器传到远程管理终端的数据进行IPSEC加解密，对于由远程管理终端传递到BMC/SMC处理器的信号则利用IPSEC加解密模块进行相关的解密；
C、远程管理终端设置有进行管理授权的USB KEY。
2.根据权利要求1所述的一种云计算***中增强BMC/SMC安全性的方法，其特征在于，所述的步骤A中，TPM安全可信模块同时进行身份认证、敏感数据加密存储、内部资源访问授权的步骤。
3.根据权利要求1所述的一种云计算***中增强BMC/SMC安全性的方法，其特征在于，所述的步骤B中，如果远程管理终端采用WINDOWS操作***则对于IPSEC的加解密可直接采用WINDOWS***本身所带的IPSEC功能，无需单独附加解密模块。
4.根据权利要求1所述的一种云计算***中增强BMC/SMC安全性的方法，其特征在于，所述的步骤C中，远程管理终端的USB KEY对用户身份的安全认证是通过BMC/SMC处理器经由远程管理终端的WEB插件获取USB KEY认证所需的相关信息并传递到BMC/SMC处理器来实现。
5.一种云计算***中增强BMC/SMC安全性的***，包括BMC/SMC管理单元、远程管理终端，所述的BMC/SMC管理单元由BMC/SMC处理器、TPM安全可信模块、固件模块、IPSEC加解密模块组成，所述的BMC/SMC***中设置所述的TPM安全可信模块；在BMC/SMC远程管理路径上增加IPSEC加解密模块。
6.根据权利要求5所述的一种云计算***中增强BMC/SMC安全性的方法，其特征在于，所述的远程管理终端设置有进行管理授权的USB KEY。
CN201410711391.8A 2014-12-01 2014-12-01 一种云计算***中增强bmc/smc安全性的方法 Pending CN104410636A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410711391.8A CN104410636A (zh) 2014-12-01 2014-12-01 一种云计算***中增强bmc/smc安全性的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410711391.8A CN104410636A (zh) 2014-12-01 2014-12-01 一种云计算***中增强bmc/smc安全性的方法

Publications (1)

Publication Number Publication Date
CN104410636A true CN104410636A (zh) 2015-03-11

Family

ID=52648234

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410711391.8A Pending CN104410636A (zh) 2014-12-01 2014-12-01 一种云计算***中增强bmc/smc安全性的方法

Country Status (1)

Country Link
CN (1) CN104410636A (zh)

Cited By (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104809823A (zh) * 2015-03-13 2015-07-29 东方通信股份有限公司 一种atm加密授权集线器及方法
CN104834845A (zh) * 2015-05-12 2015-08-12 武汉上博科技有限公司 一种可信工业相机的实现方法
CN105159808A (zh) * 2015-09-21 2015-12-16 无锡中太服务器有限公司 一种对bios进行审计的方法
CN105550579A (zh) * 2016-02-02 2016-05-04 浪潮电子信息产业股份有限公司 一种基于tpcm实现bmc完整性度量的方法
CN105718806A (zh) * 2016-01-26 2016-06-29 浪潮电子信息产业股份有限公司 一种基于国产bmc和tpm2．0实现可信主动度量的方法
CN106295373A (zh) * 2016-08-23 2017-01-04 记忆科技(深圳)有限公司 一种基于m‑phy接口实现的数据传输加密装置
CN106528458A (zh) * 2016-11-01 2017-03-22 广东浪潮大数据研究有限公司 一种接口控制器、基板管理控制器及安全***
CN106874771A (zh) * 2017-02-16 2017-06-20 浪潮(北京)电子信息产业有限公司 一种构建可信硬件信任链的方法以及装置
CN107528829A (zh) * 2017-07-31 2017-12-29 湖南国科微电子股份有限公司 Bmc芯片、服务器端及其远程监控管理方法
CN108229209A (zh) * 2018-01-02 2018-06-29 湖南国科微电子股份有限公司 一种双cpu构架的bmc芯片及其自主安全提高方法
CN109032636A (zh) * 2018-07-17 2018-12-18 济南浪潮高新科技投资发展有限公司 一种基于加密认证bmc更新uefi固件的方法
CN109740353A (zh) * 2019-01-03 2019-05-10 北京工业大学 一种服务器的bmc固件的可信启动方法
CN110781465A (zh) * 2019-10-18 2020-02-11 中电科技（北京）有限公司 基于可信计算的bmc远程身份验证方法及***
CN111092918A (zh) * 2018-10-23 2020-05-01 联想企业解决方案(新加坡)有限公司 计算节点和建立云集群的方法
CN111309333A (zh) * 2020-02-13 2020-06-19 山东超越数控电子股份有限公司 一种通过smc远程操作bmc的结构及其实现方法
CN113660283A (zh) * 2021-08-25 2021-11-16 新华三云计算技术有限公司 一种合法性认证方法以及装置
CN113872992A (zh) * 2021-11-03 2021-12-31 管芯微技术(上海)有限公司 一种在BMC***中实现远程Web访问强安全认证的方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1723425A (zh) * 2002-10-09 2006-01-18 英特尔公司 在服务器管理协处理器子***内封装tcpa可信平台模块功能
CN102271153A (zh) * 2010-06-03 2011-12-07 英特尔公司 用于虚拟化tpm访问的***、方法以及装置
US8230220B2 (en) * 2007-09-14 2012-07-24 China Iwncomm Co., Ltd. Method for realizing trusted network management
CN103841198A (zh) * 2014-03-07 2014-06-04 中南大学 一种净室云计算数据处理方法及***
CN104144059A (zh) * 2014-08-13 2014-11-12 浪潮集团有限公司 一种刀片私有云***中实现多机共享usb安全认证模块的方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1723425A (zh) * 2002-10-09 2006-01-18 英特尔公司 在服务器管理协处理器子***内封装tcpa可信平台模块功能
US8230220B2 (en) * 2007-09-14 2012-07-24 China Iwncomm Co., Ltd. Method for realizing trusted network management
CN102271153A (zh) * 2010-06-03 2011-12-07 英特尔公司 用于虚拟化tpm访问的***、方法以及装置
CN103841198A (zh) * 2014-03-07 2014-06-04 中南大学 一种净室云计算数据处理方法及***
CN104144059A (zh) * 2014-08-13 2014-11-12 浪潮集团有限公司 一种刀片私有云***中实现多机共享usb安全认证模块的方法

Cited By (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104809823A (zh) * 2015-03-13 2015-07-29 东方通信股份有限公司 一种atm加密授权集线器及方法
CN104834845A (zh) * 2015-05-12 2015-08-12 武汉上博科技有限公司 一种可信工业相机的实现方法
CN105159808B (zh) * 2015-09-21 2019-02-19 苏州中太服务器有限公司 一种对bios进行审计的方法
CN105159808A (zh) * 2015-09-21 2015-12-16 无锡中太服务器有限公司 一种对bios进行审计的方法
CN105718806A (zh) * 2016-01-26 2016-06-29 浪潮电子信息产业股份有限公司 一种基于国产bmc和tpm2．0实现可信主动度量的方法
CN105550579A (zh) * 2016-02-02 2016-05-04 浪潮电子信息产业股份有限公司 一种基于tpcm实现bmc完整性度量的方法
CN106295373A (zh) * 2016-08-23 2017-01-04 记忆科技(深圳)有限公司 一种基于m‑phy接口实现的数据传输加密装置
CN106295373B (zh) * 2016-08-23 2019-02-19 记忆科技(深圳)有限公司 一种基于m-phy接口实现的数据传输加密装置
CN106528458A (zh) * 2016-11-01 2017-03-22 广东浪潮大数据研究有限公司 一种接口控制器、基板管理控制器及安全***
CN106874771A (zh) * 2017-02-16 2017-06-20 浪潮(北京)电子信息产业有限公司 一种构建可信硬件信任链的方法以及装置
CN107528829B (zh) * 2017-07-31 2021-07-27 湖南国科微电子股份有限公司 Bmc芯片、服务器端及其远程监控管理方法
CN107528829A (zh) * 2017-07-31 2017-12-29 湖南国科微电子股份有限公司 Bmc芯片、服务器端及其远程监控管理方法
CN108229209B (zh) * 2018-01-02 2021-11-12 湖南国科微电子股份有限公司 一种双cpu构架的bmc芯片及其自主安全提高方法
CN108229209A (zh) * 2018-01-02 2018-06-29 湖南国科微电子股份有限公司 一种双cpu构架的bmc芯片及其自主安全提高方法
CN109032636A (zh) * 2018-07-17 2018-12-18 济南浪潮高新科技投资发展有限公司 一种基于加密认证bmc更新uefi固件的方法
CN111092918A (zh) * 2018-10-23 2020-05-01 联想企业解决方案(新加坡)有限公司 计算节点和建立云集群的方法
CN111092918B (zh) * 2018-10-23 2023-08-18 联想企业解决方案(新加坡)有限公司 计算节点和建立云集群的方法
CN109740353A (zh) * 2019-01-03 2019-05-10 北京工业大学 一种服务器的bmc固件的可信启动方法
CN110781465A (zh) * 2019-10-18 2020-02-11 中电科技（北京）有限公司 基于可信计算的bmc远程身份验证方法及***
CN110781465B (zh) * 2019-10-18 2022-04-19 中电科技(北京)股份有限公司 基于可信计算的bmc远程身份验证方法及***
CN111309333A (zh) * 2020-02-13 2020-06-19 山东超越数控电子股份有限公司 一种通过smc远程操作bmc的结构及其实现方法
CN111309333B (zh) * 2020-02-13 2023-08-08 超越科技股份有限公司 一种通过smc远程操作bmc的结构及其实现方法
CN113660283A (zh) * 2021-08-25 2021-11-16 新华三云计算技术有限公司 一种合法性认证方法以及装置
CN113872992A (zh) * 2021-11-03 2021-12-31 管芯微技术(上海)有限公司 一种在BMC***中实现远程Web访问强安全认证的方法

Similar Documents

Publication Publication Date Title
CN104410636A (zh) 一种云计算***中增强bmc/smc安全性的方法
CN108965230B (zh) 一种安全通信方法、***及终端设备
CN103856478B (zh) 一种可信网络的证书签发、认证方法及相应的设备
CN107465689B (zh) 云环境下的虚拟可信平台模块的密钥管理***及方法
CN103780618B (zh) 一种基于访问授权票据的跨异构域身份认证及会话密钥协商方法
US11102191B2 (en) Enabling single sign-on authentication for accessing protected network services
CN108123795B (zh) 量子密钥芯片的发行方法、应用方法、发行平台及***
CN102685749B (zh) 面向移动终端的无线安全身份验证方法
CN103973736A (zh) 一种数据共享的方法及装置
US10193895B2 (en) System and method for remote authentication with dynamic usernames
CN103152179A (zh) 一种适用于多应用***的统一身份认证方法
CN101778099A (zh) 可容忍非信任组件的可信网络接入的架构及其接入方法
CN104601593A (zh) 基于挑战方式实现网络电子身份认证过程中防追踪的方法
CN103780609A (zh) 一种云数据的处理方法、装置和云数据安全网关
CN106656490B (zh) 量子白板数据存储方法
CN109362074A (zh) 一种混合模式APP中h5与服务端安全通讯的方法
CN103108028A (zh) 一种具有安全架构的云计算处理***
CN103916363A (zh) 加密机的通讯安全管理方法和***
CN102404337A (zh) 数据加密方法和装置
CN108965342A (zh) 数据请求方访问数据源的鉴权方法及***
CN104821883A (zh) 一种基于非对称密码算法的保护隐私征信方法
CN103973714A (zh) 电子邮件账户生成方法及***
CN106789845A (zh) 一种网络数据安全传输的方法
CN102594564B (zh) 交通诱导信息安全管理设备
CN104486322A (zh) 终端接入认证授权方法及终端接入认证授权***

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20150311

WD01 Invention patent application deemed withdrawn after publication