CN112433737A - 一种服务器管理控制平台安全升级卡 - Google Patents

Abstract

本发明提供了一种服务器管理控制平台安全升级卡，包括：镜像存储区，用于在第一阶段存储原始的固件镜像文件；第一算法模块，用于在第一阶段基于原始的固件镜像文件生成第一原运算值，在第二阶段基于从镜像存储区提取的固件镜像文件生成第一新运算值；第二算法模块，用于在第一阶段生成一对相映射的公钥和私钥，利用私钥对第一原运算值进行加密运算得到签名值，在第二阶段利用公钥对从镜像存储区提取的签名值进行解密运算得到第一原运算值恢复值；主控模块，用于在第二阶段比较第一原运算值恢复值与第一新运算值是否相等，并基于比较结果允许或禁止启动固件升级程序；密钥擦除模块，用于响应于检测到安全升级卡被破坏而清除公钥和私钥。

Description

一种服务器管理控制平台安全升级卡

技术领域

本发明涉及服务器管理控制技术领域，尤其涉及一种服务器管理控制平台安全升级卡。

背景技术

服务器管理控制平台是服务器的管理单元，管理员利用虚拟的键盘、界面、鼠标、电源等对服务器进行远程管理和控制，能够监视服务器的物理特征，如各部件的温度、电压、风扇工作状态、电源供应以及机箱入侵；另外，服务器管理控制平台还用来存储相应的日志记录、镜像升级包等文件。服务器管理控制平台作为服务器的管理单元，承担计算任务、存储任务等，工作负载较重，另外服务器管理控制平台也是易被攻击的目标。

目前，服务器平台的网卡、磁盘阵列卡、GPU卡等各固件的升级直接由服务器管理控制平台负责进行升级和维护。由服务器管理控制平台负责进行所有固件的升级，一方面加重了服务器管理控制平台自身的计算和存储负担；另一方面，一旦服务器管理控制平台宕机或被恶意人员控制，会影响固件更新的业务功能，进而影响服务器业务的连续性；再一方面，服务器管理控制平台中存储的密钥不慎泄露，会存在安全隐患。

发明内容

有鉴于此，本发明的目的在于提出一种服务器管理控制平台安全升级卡，用以将服务器上的固件存储和升级业务转移到安全升级卡中，减轻服务器管理控制平台的计算和存储负担，并提高固件升级的安全性。

基于上述目的，本发明提供了一种服务器管理控制平台安全升级卡，包括：

镜像存储区，用于在第一阶段存储原始的固件镜像文件；

第一算法模块，用于在第一阶段对原始的固件镜像文件通过第一算法进行第一运算以生成第一原运算值，和在第二阶段对从镜像存储区提取的固件镜像文件通过第一算法进行第一运算以生成第一新运算值；

第二算法模块，用于在第一阶段通过第二算法生成一对相映射的公钥和私钥，利用私钥对第一原运算值进行加密运算得到签名值并将签名值存储在镜像存储区，和在第二阶段利用公钥对从镜像存储区提取的签名值进行解密运算得到第一原运算值恢复值；

主控模块，用于在第二阶段比较第一原运算值恢复值与第一新运算值是否相等，并基于比较结果允许或禁止固件升级程序；以及

密钥擦除模块，用于响应于检测到安全升级卡被破坏而清除公钥和私钥。

在一些实施例中，固件升级程序配置为将从镜像存储区提取的固件镜像文件传递给服务器待升级模块进行固件升级。

在一些实施例中，安全升级卡还包括密钥存储区，用于在第一阶段存储相映射的公钥和私钥。

在一些实施例中，安全升级卡还包括缓存区，用于接收原始的固件镜像文件并暂时存储。

在一些实施例中，安全升级卡还包括输入输出端口，用于将服务器管理控制平台发送的原始的固件镜像文件发送到缓存区。

在一些实施例中，第一算法为SHA256算法；第一运算为杂凑运算。

在一些实施例中，第二算法为RSA算法；加密运算为RSA算法的加密运算；解密运算为RSA算法的解密运算。

在一些实施例中，密钥存储区为Flash存储器；镜像存储区为非易失性存储器。

在一些实施例中，密钥擦除模块包括：

压力传感器，用于接收安全升级卡的外壳被外力破坏的压力信息，并将压力信息转化为压力信号；

压力检测单元，用于接收压力信号并发送给主控模块；

擦除执行单元，用于接收由主控模块基于压力信号而发送的擦除指令并执行密钥擦除操作，其中，密钥擦除操作包括对密钥存储区的公钥和私钥进行擦除；以及

独立供电单元，用于为压力检测单元和擦除执行单元供电。

在一些实施例中，压力传感器有四个，四个压力传感器分别设置在外壳的四角内部。

本发明至少具有以下有益技术效果：

1.通过将固件镜像文件转移到服务器管理控制平台安全升级卡中，并进行计算和存储任务，将服务器管理控制平台的服务器固件存储和升级业务转移到安全升级卡中，减轻了服务器管理控制平台的计算和存储负担；

2.通过第一算法模块和第二算法模块的安全性运算，保证了固件升级业务的完整性、可信度及合法性；

3.通过设置密钥擦除模块，可以通过检测到安全升级卡受外力破坏而将密钥擦除，有效保证了安全升级卡的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的实施例。

图1为根据本发明提供的服务器管理控制平台安全升级卡的实施例的示意图；

图2为根据本发明提供的是密钥擦除模块的实施例的示意图；

图3为根据本发明提供的检测开关的打开状态与关闭状态的实施例的示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明实施例进一步详细说明。

需要说明的是，本发明实施例中所有使用“第一”和“第二”的表述均是为了区分两个相同名称的非相同的实体或者非相同的参量，可见“第一”“第二”仅为了表述的方便，不应理解为对本发明实施例的限定。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备固有的其他步骤或单元。

基于上述目的，本发明实施例提出了一种服务器管理控制平台安全升级卡。图1示出的是本发明提供的服务器管理控制平台安全升级卡的实施例的示意图。如图1所示，本发明实施例的服务器管理控制平台安全升级卡包括：镜像存储区40、第一算法模块20、第二算法模块30、主控模块10和密钥擦除模块；镜像存储区40用于在第一阶段存储原始的固件镜像文件；第一算法模块20用于在第一阶段对原始的固件镜像文件通过第一算法进行第一运算以生成第一原运算值；第一算法模块20还用于在第二阶段对从镜像存储区40提取的固件镜像文件通过第一算法进行第一运算以生成第一新运算值；第二算法模块30用于在第一阶段通过第二算法生成一对相映射的公钥和私钥，利用私钥对第一原运算值进行加密运算得到签名值，其中，签名值被存储在镜像存储区40；第二算法模块30还用于在第二阶段利用公钥对从镜像存储区40提取的签名值进行解密运算得到第一原运算值恢复值；主控模块10用于在第二阶段比较第一原运算值恢复值与第一新运算值是否相等，并基于比较结果允许或禁止固件升级程序(例如若相等，则发送升级指令启动固件升级；若不相等，则禁止固件升级)；密钥擦除模块用于响应于检测到安全升级卡被破坏而清除公钥和私钥。

本实施例中，主控模块10可以实现对其他各模块的控制，该主控模块10可以是可编程逻辑控制器FPGA。

本发明实施例通过将固件镜像文件转移到服务器管理控制平台安全升级卡中，并进行计算和存储任务，将服务器管理控制平台的服务器固件存储和升级业务转移到安全升级卡中，减轻了服务器管理控制平台的计算和存储负担；通过第一算法模块20和第二算法模块30的安全性运算，保证了固件升级业务的完整性、可信度及合法性；通过设置密钥擦除模块，可以通过检测到安全升级卡受外力破坏而将密钥擦除，有效保证了安全升级卡的安全性。

在一些实施例中，固件升级程序配置为将从镜像存储区40提取的固件镜像文件传递给服务器待升级模块进行固件升级。由此，实现了从服务器管理控制平台为服务器各固件升级转变为了由安全升级卡对服务器各固件进行升级。服务器待升级模块可能是服务器的网卡、磁盘阵列卡、GPU卡等。

在一些实施例中，安全升级卡还包括密钥存储区60，用于在第一阶段存储相映射的公钥和私钥。

在一些实施例中，安全升级卡还包括缓存区50，用于接收原始的固件镜像文件并暂时存储。

在一些实施例中，安全升级卡还包括输入输出端口70，用于将服务器管理控制平台发送的原始的固件镜像文件发送到缓存区50。本实施例中的输入输出端口70还用做安全升级卡和服务器之间的数据传输接口。

在一些实施例中，第一算法为SHA256算法；第一运算为杂凑运算。对于任意长度的消息，SHA256都会产生一个256位的哈希值。杂凑运算又称哈希函数(Hash函数)，是把任意长的输入消息串变化成固定长的输出串的一种函数；密码杂凑函数常和许多重要的密码算法相关联。

在一些实施例中，第二算法为RSA算法；加密运算为RSA算法的加密运算；解密运算为RSA算法的解密运算。RSA算法常被作为重要的加密算法，具有极高的安全性。

本实施例中，当需要进行第一阶段时，服务器管理控制平台发送指令1，安全升级卡接收指令1后启动以下过程：

1.1将原始的固件镜像文件(Image)通过输入输出端口70(I/O口)传输至缓存区50中临时存储，主控模块10调用第二算法模块30，启动RSA算法生成一对映射的公钥(Pub_Key)和私钥(Pri_Key)；

1.2主控模块10调用第一算法模块20，启动SHA-256算法对原始的固件镜像文件Image进行杂凑运算，生成第一原运算值Digst，即Digst＝Hash(Image)_SHA-256；

1.3利用私钥Pri_Key对Digst进行加密运算，生成固件镜像文件的签名值Sign，即Sign＝ENC(Digst)_{Pri_Key}，ENC代表加密运算；

1.4将固件镜像文件Image连同签名值Sign一起(Image+Sign)存储于安全升级卡中的镜像存储区40；

1.5将签名用的公钥Pub_Key和私钥Pri_Key存储于安全升级卡的密钥存储区60中。

完成步骤1.1至1.5后，安全升级卡发送应答指令1，通知服务器管理控制平台已完成第一阶段，即实现了计算和存储任务。

当需要对服务器平台中某个模块(网卡、或RAID卡、或GPU卡、或其他模块)进行镜像升级时，进入第二阶段，服务器管理控制平台发送升级指令2，安全升级卡收到升级指令2后，启动以下步骤：

2.1：控制模块从镜像存储区40提取固件镜像文件及签名值(Image+Sign)；

2.2：控制模块从密钥存储区60提取公钥Pub_Key，之后调用第二算法模块30，启动RSA算法的解密运算解密签名值，得到第一原运算值恢复值Digst，即Digst＝DEC(Sign)_{Pub_Key}，DEC代表解密操作；

2.3：控制模块调用第一算法模块20计算步骤2.1中的固件镜像文件Image的第一新运算值Digst’,即Digst’＝Hash(Image)_SHA-256；

2.4：比对第一原运算值恢复值Digst与第一新运算值Digst’是否相等，比对一致后，将验证通过的固件镜像文件传递给待升级的模块，之后发送指令3启动固件升级；

2.5：若校验失败(Digst≠Digst’)，禁止固件升级。

完成步骤2.1～2.5后，安全升级卡发送应答指令2，通知服务器管理控制平台已完成镜像的升级业务，实现了计算任务。

以下对本实施例进行安全性分析：

(1)镜像完整性保证：如果服务器管理控制平台被恶意人员操控，对固件镜像文件Image进行了篡改，即上述步骤2.1中将Image篡改为Image’，经过步骤2.3计算得出的Digst’必然不等于Digst，从而保证了镜像的完整性。

(2)镜像合法性保障：如果恶意人员对固件镜像文件的签名值Sign进行篡改，即在上述步骤2.1中将Sign篡改为Sign’，经过步骤2.2计算得出的Digst也必然不等于步骤2.3中的Digst’，从而保证了镜像签名值的可信、合法。

(3)如果恶意人员同时篡改了Image+Sign，将上述步骤2.1中的Image+Sign改为Image’和Sign’，经过步骤2.2和步骤2.3，Digst与Digst’必然也不相等，从而保证了镜像文件的完整性和合法性。

在一些实施例中，密钥存储区60为Flash存储器；镜像存储区40为非易失性存储器。Flash存储器和非易失性存储器即使在掉电后存储的数据也不会丢失。

图2示出的是密钥擦除模块的示意图。如图2所示，密钥擦除模块包括：压力传感器、压力检测单元80、擦除执行单元和独立供电单元；压力传感器用于接收安全升级卡的外壳被外力破坏的压力信息，并将压力信息转化为压力信号；压力检测单元80用于接收压力信号并发送给主控模块10；擦除执行单元用于接收由主控模块10基于压力信号而发送的擦除指令并执行密钥擦除操作，其中，密钥擦除操作包括对密钥存储区60的公钥和私钥进行擦除；独立供电单元用于为压力检测单元80和擦除执行单元供电。

本实施例通过设置密钥擦除模块，可以使得安全升级卡的密钥不会泄露，从而保证了安全升级卡的安全性。独立供电单元的作用是为压力检测单元80和擦除执行单元供电，当安全升级卡被人恶意从服务器上拔出后，虽然脱离了服务器的供电，但独立供电单元仍然能够通过检测到被外力破坏而擦除密钥，保证安全升级卡的安全性。该独立供电单元可以采用纽扣电池、可充电电池、法拉电容等。

在一些实施例中，压力传感器有四个，四个压力传感器分别设置在外壳的四角内部。如图2所示，四个压力传感器分别为Sensor1、Sensor2、Sensor3和Sensor4，分别设置在外壳的四个角的内部；安全升级卡的外壳采用刚性较强的金属外壳做保护，例如合金钢等。其中，压力传感器的一种实现方式可以采用检测开关，如图3示出的检测开关的打开状态与关闭状态的实施例示意图。正常情况下，如图3(a)所示，外壳未打开时，检测开关的弹簧受金属外壳的挤压，处于打开状态(on状态)；非正常情况下，如图3(b)所示，当外壳被打开后，检测开关的弹簧失去外力的作用往上弹起，从而使检测开关的状态发生变化，处于关闭状态(off状态)。

最后需要说明的是，本文的计算机可读存储介质(例如，存储器)可以是易失性存储器或非易失性存储器，或者可以包括易失性存储器和非易失性存储器两者。作为例子而非限制性的，非易失性存储器可以包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦写可编程ROM(EEPROM)或快闪存储器。易失性存储器可以包括随机存取存储器(RAM)，该RAM可以充当外部高速缓存存储器。作为例子而非限制性的，RAM可以以多种形式获得，比如同步RAM(DRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据速率SDRAM(DDRSDRAM)、增强SDRAM(ESDRAM)、同步链路DRAM(SLDRAM)、以及直接Rambus RAM(DRRAM)。所公开的方面的存储设备意在包括但不限于这些和其它合适类型的存储器。

本领域技术人员还将明白的是，结合这里的公开所描述的各种示例性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。为了清楚地说明硬件和软件的这种可互换性，已经就各种示意性组件、方块、模块、电路和步骤的功能对其进行了一般性的描述。这种功能是被实现为软件还是被实现为硬件取决于具体应用以及施加给整个***的设计约束。本领域技术人员可以针对每种具体应用以各种方式来实现的功能，但是这种实现决定不应被解释为导致脱离本发明实施例公开的范围。

以上是本发明公开的示例性实施例，但是应当注意，在不背离权利要求限定的本发明实施例公开的范围的前提下，可以进行多种改变和修改。根据这里描述的公开实施例的方法权利要求的功能、步骤和/或动作不需以任何特定顺序执行。此外，尽管本发明实施例公开的元素可以以个体形式描述或要求，但除非明确限制为单数，也可以理解为多个。

应当理解的是，在本文中使用的，除非上下文清楚地支持例外情况，单数形式“一个”旨在也包括复数形式。还应当理解的是，在本文中使用的“和/或”是指包括一个或者一个以上相关联地列出的项目的任意和所有可能组合。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明实施例公开的范围(包括权利要求)被限于这些例子；在本发明实施例的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，并存在如上的本发明实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。因此，凡在本发明实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。

Claims (10)

1.一种服务器管理控制平台安全升级卡，其特征在于，包括：

镜像存储区，用于在第一阶段存储原始的固件镜像文件；

第一算法模块，用于在所述第一阶段对所述原始的固件镜像文件通过第一算法进行第一运算以生成第一原运算值，和在第二阶段对从所述镜像存储区提取的固件镜像文件通过所述第一算法进行第一运算以生成第一新运算值；

第二算法模块，用于在所述第一阶段通过第二算法生成一对相映射的公钥和私钥，利用所述私钥对所述第一原运算值进行加密运算得到签名值并将所述签名值存储在所述镜像存储区，和在所述第二阶段利用所述公钥对从所述镜像存储区提取的签名值进行解密运算得到第一原运算值恢复值；

主控模块，用于在所述第二阶段比较第一原运算值恢复值与第一新运算值是否相等，并基于比较结果允许或禁止启动固件升级程序；以及

密钥擦除模块，用于响应于检测到所述安全升级卡被破坏而清除所述公钥和私钥。

2.根据权利要求1所述的安全升级卡，其特征在于，所述固件升级程序配置为将从所述镜像存储区提取的固件镜像文件传递给服务器待升级模块进行固件升级。

3.根据权利要求1所述的安全升级卡，其特征在于，所述安全升级卡还包括密钥存储区，用于在第一阶段存储所述相映射的公钥和私钥。

4.根据权利要求1所述的安全升级卡，其特征在于，所述安全升级卡还包括缓存区，用于接收所述原始的固件镜像文件并暂时存储。

5.根据权利要求4所述的安全升级卡，其特征在于，所述安全升级卡还包括输入输出端口，用于将服务器管理控制平台发送的所述原始的固件镜像文件发送到所述缓存区。

6.根据权利要求1所述的安全升级卡，其特征在于，所述第一算法为SHA256算法；所述第一运算为杂凑运算。

7.根据权利要求1所述的安全升级卡，其特征在于，所述第二算法为RSA算法；所述加密运算为所述RSA算法的加密运算；所述解密运算为所述RSA算法的解密运算。

8.根据权利要求3所述的安全升级卡，其特征在于，所述密钥存储区为Flash存储器；所述镜像存储区为非易失性存储器。

9.根据权利要求1所述的安全升级卡，其特征在于，所述密钥擦除模块包括：

压力传感器，用于接收所述安全升级卡的外壳被外力破坏的压力信息，并将所述压力信息转化为压力信号；

压力检测单元，用于接收所述压力信号并发送给所述主控模块；

擦除执行单元，用于接收由所述主控模块基于所述压力信号而发送的擦除指令并执行密钥擦除操作，其中，所述密钥擦除操作包括对所述密钥存储区的所述公钥和私钥进行擦除；以及

独立供电单元，用于为所述压力检测单元和擦除执行单元供电。

10.根据权利要求9所述的安全升级卡，其特征在于，所述压力传感器有四个，四个所述压力传感器分别设置在所述外壳的四角内部。

Images