CN117009003B - 一种安全启动方法及相关装置 - Google Patents

Abstract

本申请提出一种安全启动方法及相关装置，涉及计算机应用技术领域。该安全启动方法可以包括：响应于上电请求，进入安全启动过程；在所述安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型；其中，所述令牌存储区域为所述一次性可编程存储部件中的存储区域；所述镜像服务指示令牌是在更换所述计算设备的启动过程所要加载的镜像服务前写入所述令牌存储区域中的，用于指示所述计算设备在之后启动过程中所要加载的镜像服务类型；根据确定的所要加载的镜像服务类型，引导加载对应的镜像文件。本申请提供的技术方案能够使用户可根据自身需求使用不同的镜像服务。

Description

一种安全启动方法及相关装置

技术领域

本申请涉及计算机应用技术领域，尤其涉及一种安全启动方法及相关装置。

背景技术

计算设备的通用平台是信息***的底座，承载着千行百业的期许，在办公、金融、媒体、科研、生态等多个领域有着广泛的应用需求。然而，不同行业对平台应用各有侧重，需求更是千差万别，如何利用固化的硬件平台应变用户的差异化需求，成为亟待解决的问题。

发明内容

基于上述现有技术的缺陷和不足，本申请提出一种安全启动方法及相关装置，以实现用户可根据自身需求使用不同的镜像服务。

根据本申请实施例的第一方面，提供了一种安全启动方法，应用于计算设备，所述计算设备包括一次性可编程存储部件，所述方法包括：

响应于上电请求，进入安全启动过程；

在所述安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型；其中，所述令牌存储区域为所述一次性可编程存储部件中的存储区域；所述镜像服务指示令牌是在更换所述计算设备的启动过程所要加载的镜像服务前写入所述令牌存储区域中的，用于指示所述计算设备在之后启动过程中所要加载的镜像服务类型；

根据确定的所要加载的镜像服务类型，引导加载对应的镜像文件。

根据本申请实施例的第二方面，提供了一种安全启动装置，应用于计算设备，所述计算设备包括一次性可编程存储部件，所述装置包括：

启动模块，用于响应于上电请求，进入安全启动过程；

第一确定模块，用于在所述安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型；其中，所述令牌存储区域为所述一次性可编程存储部件中的存储区域；所述镜像服务指示令牌是在更换所述计算设备的启动过程所要加载的镜像服务前写入所述令牌存储区域中的，用于指示所述计算设备在之后启动过程中所要加载的镜像服务类型；

引导加载模块，用于根据确定的所要加载的镜像服务类型，引导加载对应的镜像文件。

根据本申请实施例的第三方面，提供了一种电子设备，包括：存储器和处理器；

所述存储器与所述处理器连接，用于存储程序；

所述处理器用于通过运行所述存储器中的程序，实现如第一方面所述的安全启动方法。

根据本申请实施例的第四方面，提供了一种存储介质，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时，实现如第一方面所述的安全启动方法。

在本申请实施例中，对于用户对***镜像的差异化需求，可以提供不同类型的镜像服务（也可以理解为是不同类型的镜像服务模式），用户可根据自身需求，进行镜像服务更换。此外，对于镜像服务的更换，本申请实施例设计了镜像服务指示令牌，不同镜像服务指示令牌用于指示不同的镜像服务。在每次更换镜像服务之前，可将相应的镜像服务指示令牌写入令牌存储区域，这样，计算设备在启动过程中，则可以依据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型，以便正确引导加载对应的镜像文件，提升启动过程的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例提供的一种安全启动方法的流程示意图。

图2为本申请实施例提供的一种安全启动装置的框图。

图3为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

申请概述

不同行业对于平台应用各有侧重，需求更是千差万别，如何利用固化的硬件平台应变用户的差异化需求成为了通用平台所面临的一大挑战。为了应对上述挑战，有方案提出根据用户对设备安全性的需求程度，将设备从硬件层面上划分为开发版、标准版、网安版等不同版本，但对于***镜像仍采用通用镜像管理策略，即对于不同的用户需求，镜像供应商维护一个通用镜像文件。但申请人发现，通用镜像管理策略在面对各行各业千差万别的需求时缺乏灵活性，且存在一定的安全隐患，如下所述：

问题1、上述方案是根据设备安全性将设备划分为三类，然而用户需求的差异并非只有安全性，在软件***系能、应用支持等方面也会有所不同，因此，上述方案只能起到一定的缓解作用，并无法解决实际的挑战。

问题2：为所有用户维护一个通用镜像文件，一定程度上是把所有用户绑定成命运共同体，当为满足某一用户的需求而发布的镜像发现有重大漏洞时，可能该漏洞已经在各行业的***中扩散，从而造成不可估量的损失。

问题3、在数字时代，软件漏洞（如已知漏洞、零日漏洞、未知漏洞等）是不可避免的。随着用户需求日益增长，通用镜像文件的复杂性也会不断提高，出现安全漏洞的风险自然也就越大。而针对***镜像的抗回滚手段，虽然可以防止攻击者利用过往版本的已知漏洞实施攻击，但无法应对镜像文件内产生的潜在威胁。

基于上述技术问题，本申请提供了一种安全启动方法，下面将结合附图，对本申请提供的安全启动方法进行示例性描述。

示例性方法

以应用于计算设备为例，本申请实施方式提供了一种安全启动方法，该方法可以包括：

步骤101：响应于上电请求，进入安全启动过程。

计算设备上电后，自动进入安全启动过程。

本申请实施例中的安全启动过程可以是链式安全引导过程，即由片上镜像开始逐级加载、验证和引导下一级镜像，换言之，每个镜像文件在安全引导中对应固定的引导层级（即引导次序），从而提升整个启动过程的安全性。

步骤102：在安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型。

其中，令牌存储区域为计算设备中的一次性可编程（One Time Programmable，OTP）存储部件中的存储区域。

其中，镜像服务指示令牌是在更换计算设备的启动过程所要加载的镜像服务前写入令牌存储区域中的，用于指示计算设备在之后启动过程中所要加载的镜像服务类型。

本申请实施例中，对于用户对***镜像的差异化需求，不再是维护一个通用镜像服务，而是可以提供不同类型的镜像服务（也可以理解为是不同类型的镜像服务模式），用户可根据自身需求，进行镜像服务更换。其中，不同类型的镜像服务对应的镜像文件不同。

这样使得固化的硬件平台能够更好地应对用户的不同使用需求，同时这样也可以使得一般用户与特需用户（即有特殊需求的用户）解耦，而不必绑定为命运共同体，减少各自的相互影响，当某一类型的镜像服务下的镜像文件出现安全漏洞，不会影响使用其他类型镜像服务的用户，从而减小镜像漏洞的危害范围。进一步的，由于可以为用户提供不同类型的镜像服务，因此不必再借助通用镜像服务满足用户的个性化需求，从而降低通用镜像文件的复杂度，减小通用镜像文件产生安全漏洞的风险，也即降低镜像文件内的潜在威胁。

对于镜像服务的更换，本申请实施例设计了镜像服务指示令牌，不同镜像服务指示令牌用于指示不同的镜像服务。在每次更换镜像服务之前，可将相应的镜像服务指示令牌写入令牌存储区域，这样，计算设备在启动过程中，则可以依据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型。

本申请实施例中，镜像服务指示令牌在使用时将其写入OTP存储部件中的令牌存储区域即可，操作简单便捷。此外，镜像服务指示令牌的生效条件为写入OTP存储部件中的令牌存储区域内，换言之，生效的镜像服务指示令牌不可更改和删除，这样可以避免由于恶意篡改或删除而造成无法使用镜像服务的问题，有利于提高安全性和可靠性。

步骤103：根据确定的所要加载的镜像服务类型，引导加载对应的镜像文件。

在基于服务指示令牌确定所要加载的镜像服务类型后，计算设备可依此正确引导加载对应的镜像文件，从而提升启动过程的安全性。

在一种可能的实现方式中，镜像服务类型可以包括：与通用镜像文件对应的通用镜像服务和与专属镜像文件对应的专属镜像服务。

其中，通用镜像文件是指镜像供应商为绝大多数用户制定的镜像文件，例如，在一般的工作、家庭等多数场景中的计算设备所使用的镜像文件。其中，该通用镜像文件可以包括镜像文件的基础特性，如完整性、可读性、可重现性等，能够满足绝大多数用户的使用需求。其中，完整性是指镜像文件应该完整地包含了所需的数据信息，没有损坏或丢失数据。可读性是指镜像文件应该能够被计算设备正确地读取和解析。可重现性是指在不同的计算设备上，使用相同的镜像文件可以得到相同的结果。其中，通用镜像文件不限使用设备，换言之，任意一计算设备均可使用通用镜像文件。计算设备出厂时注入的镜像文件一般为通用镜像文件。

其中，专属镜像文件是指镜像供应商根据用户的特殊需求而特制的镜像文件。这里所述的特殊需求是指通用镜像文件无法满足的使用需求，例如，对于保密性要求高的行业（如科研行业），对安全性需求更高，但通用镜像文件的安全性可能难以满足用户使用需求，因此用户可以向镜像供应商申请高安全性的专属镜像文件。再例如，对于数据处理量较大的行业（如金融行业），对软件***性能需求更高，同样的，通用镜像文件支持的软件***性能可能难以满足用户使用需求，因此用户可以向镜像供应商申请能够支持高性能的专属镜像文件。其中，专属镜像文件限于特定使用设备，换言之，仅特定计算设备可使用专属镜像文件。

在本申请实施例中，通用镜像文件对应的镜像服务也可以称为主流镜像服务模式，专属镜像文件对应的镜像服务也可以称为特需镜像服务模式。

本申请实施例中，通过专属镜像文件能够满足用户的各种差异化需求，使得固化的硬件平台能够更好地应对用户的不同使用需求，同时这样也可以使得一般用户与特需用户（即有特殊需求的用户）解耦，而不必绑定为命运共同体，减少各自的相互影响，当通用镜像文件出现安全漏洞，不会影响使用专属镜像文件的用户，反之，专属镜像文件出现安全漏洞，也不会影响使用通用镜像文件的用户，从而减小镜像漏洞的危害范围。进一步的，由于可以为用户提供专属镜像文件，因此不必再借助通用镜像文件满足用户的个性化需求，从而降低通用镜像文件的复杂度，减小通用镜像文件产生安全漏洞的风险。

在上述实施例基础上，镜像服务指示令牌可以包括第一指示令牌和第二指示令牌。

其中，第一指示令牌用于指示启动过程所要加载的镜像服务类型为通用镜像服务。第二指示令牌用于指示启动过程所要加载的镜像服务类型为专属镜像服务。

在一种可能的实施方式中，本申请实施例中的镜像服务指示令牌可以是用户向计算设备的芯片厂商申请的。

可选地，该镜像服务指示令牌可以是用户通过计算设备向芯片厂商申请的，申请过程可以包括如下两个步骤：

步骤A1：发送镜像服务指示令牌的申请请求至芯片厂商。

步骤A2：接收芯片厂商根据申请请求发送的至少一个镜像服务指示令牌。

用户可以通过计算设备触发镜像服务指示令牌的申请请求，以将申请请求发送至芯片厂商。芯片厂商可以根据计算设备发送的申请请求，生成至少一个镜像服务指示令牌，并下发至计算设备。

对于计算设备接收到的镜像服务指示令牌，可以由计算设备将其存储至非OTP存储部件的其他存储区域，该其他存储区域可以根据实际需求选择，本申请实施例对此不进行具体限定；当然也可以由用户选择镜像服务指示令牌的存储区域（非OTP存储部件）。

可以理解的是，用户还可以通过其他可实现方式向芯片厂商申请镜像服务指示令牌，本申请实施例对此不进行具体限定。

可选地，在镜像服务类型包括通用镜像服务和专属镜像服务的情况下，芯片厂商可一次性生成第一指示令牌和第二指示令牌，并同时下发至计算设备，即：步骤A2中所述的至少一个镜像服务指示令牌的数量为2个，分别为第一指示令牌和第二指示令牌。这样可以允许用户有限地自主更换镜像服务，还可以减少镜像服务指示令牌的申请次数，不必每次都申请，方便用户的使用。此外，生成的两个指示令牌总有一个是最近一次切换时所需的镜像服务指示令牌，因此，计算设备在发送申请请求时，可不必上报具体需要哪类镜像服务指示令牌，芯片厂商也不必对此进行分析处理，能够简化申请请求处理流程。

需要说明的是，在芯片厂商根据镜像服务指示令牌的申请请求每次仅下发一个镜像服务指示令牌的情况下，计算设备可以在发送的申请请求中添加所需镜像服务指示令牌的信息，以便芯片厂商下发相应的镜像服务指示令牌。

在一种可能的实施方式中，镜像服务指示令牌可以包括存储位置编号、功能标识以及用户设备标识中的至少一种，以及数字签名信息。下面分别对前述几种信息进行解释说明。

存储位置编号

存储位置编号（可以表示为TGID）用于指示OTP存储部件的令牌存储区域中用于写入该镜像服务指示令牌的存储位置。用户在向芯片厂商申请镜像服务指示令牌时，可以将该存储位置编号提供给芯片厂商，以便芯片厂商将其添加至镜像服务指示令牌中。

该存储位置编号可以指代至少一个存储位置。在其指代多个存储位置的情况下，镜像服务指示令牌按照存储区域从头到尾的顺序依次写入即可。

下面分别以两个示例对存储位置编号进行举例说明。

如表1所示，示意了一种令牌存储区域的结构示例。在该示例中，令牌存储区域包括8个存储位置，表示可以存储8个镜像服务指示令牌，每个存储位置对应的编号信息分别为：0、1、2、3、4、5、6、7。若TGID=1，则表示镜像服务指示令牌可写入令牌存储区域中编号为1的存储位置。

表1

对于表1示意的编号方式，存储位置编号指代一个存储位置。此种编号方式可适用于芯片厂商一次性下发任意数量的镜像服务指示令牌的情况，并且不同镜像服务指示令牌中的存储位置编号均不相同。

如表2所示，示意了另一种令牌存储区域的结构示例。在该示例中，令牌存储区域同样包括8个存储位置，表示可以存储8个镜像服务指示令牌。与表1示意的结构不同之处在于，该示例中为每两个存储位置设置一个存储位置编号。

表2

对于表2示意的编号方式，存储位置编号指代两个存储位置。此种编号方式更适用于芯片厂商一次性下发两个不同镜像服务指示令牌的情况，并且同一批次下发的两个镜像服务指示令牌中的存储位置编号相同，不同批次下发的镜像服务指示令牌中的存储位置编号不同。例如，芯片厂商一次性下发第一指示令牌T1和第二指示令牌T2。计算设备在发送镜像服务指示令牌的申请请求时，可以在申请请求中添加存储位置编号。芯片厂商将从申请请求中获得的存储位置编号分别添加至第一指示令牌T1和第二指示令牌T2中。在对两个镜像服务指示令牌的使用过程中，可以按照使用顺序依次写入与存储位置编号对应的两个存储位置。如表2所示，假设，第一指示令牌T1和第二指示令牌T2中的存储位置编号为“0”，则在先使用第一指示令牌T1的情况下，将第一指示令牌T1写入存储位置编号为“0”的第一个存储位置，后面在使用第二指示令牌T2的情况下，将第二指示令牌T2写入存储位置编号为“0”的第二个存储位置，如表2所示。当使用完第一指示令牌T1和第二指示令牌T2后，用户可以再次向芯片厂商申请镜像服务指示令牌，再次申请时，申请请求中携带的存储位置编号可以是“1”。

由表2示意的内容可以发散得到，在芯片厂商一次性下发三个或三个以上的镜像服务指示令牌时，还可以适应性的将令牌存储区域中三个或三个以上的存储位置划分为一组，并对每组进行编号。

在前述基础上，在进入本次安全启动之前，该方法还可以包括：

响应于令牌写入请求，将一服务指示令牌写入令牌存储区域中与该服务指示令牌中的存储位置编号对应的存储位置，更改计算设备在之后启动过程所要加载的镜像服务类型。

本申请实施例中，通过在镜像服务指示令牌添加存储位置编号信息，使得镜像服务指示令牌只能在特定存储位置有效，可避免用户频繁更换镜像服务。

功能标识

功能标识（可以表示为FLAG）用于标识镜像服务指示令牌的指示功能，这里所述的指示功能即：指示计算设备在之后启动过程中所要加载的镜像服务类型。

可选地，对于前述第一指示令牌，可以将其功能标识设置为“false”；对于前述第二指示令牌，可以将其功能标识设置为“true”，从而区分两种镜像服务指示令牌的指示功能。

在前述功能标识的基础上，步骤102：根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型，可以包括：

步骤B1：从令牌存储区域的尾部开始，在令牌存储区域存储的镜像服务指示令牌中，查找合法指示令牌。

计算设备可以从令牌存储区域的尾部开始，检测是否存在合法指示令牌，例如，以表1为例，按照存储位置编号从大到小的顺序逐一进行检测。

由于镜像服务指示令牌在写入令牌存储区域时是按照存储区域从头到尾的顺序写入的，因此，最近一次写入的镜像服务指示令牌的存储位置靠后，为了快速定位可用于判断此次启动所要加载的镜像服务类型的指示令牌，所以可以从令牌存储区域的尾部开始，检测是否存在合法指示令牌。

步骤B2：根据查找到的第一个合法指示令牌中的功能标识，确定所要加载的镜像服务类型。

若存在合法指示令牌，则可以根据检测到的第一个合法指示令牌中的功能标识，确定所要加载的镜像服务类型。例如，当第一个合法指示令牌中的功能标识为“true”时，说明本次启动所要加载的镜像服务类型为专属镜像服务，安全引导过程中应引导加载专属镜像文件；当第一个合法指示令牌中的功能标识为“false”时，说明本次启动所要加载的镜像服务类型为通用镜像服务，安全引导过程中应引导加载通用镜像文件。

若不存在合法指示令牌，则认为令牌存储区域没有有效的镜像服务指示令牌，此种情况下则确定所要加载的镜像服务类型为通用镜像服务。

数字签名信息

数字签名信息根据目标信息生成，这里所述的目标信息可以包括：镜像服务指示令牌中除所述数字签名信息外的至少一种其他信息生成的。例如，芯片厂商可以使用设备根密钥（RPK）对存储位置编码TGID、功能标识、用户设备标识UFGID等至少一种信息进行签名处理，得到数字签名信息。

可选地，目标信息除了可以包括上述信息外，还可以包括设备芯片的唯一标识（UID），换言之，该数字签名信息还可以根据镜像服务指示令牌中的至少一种信息以及UID生成得到的，这样可以使得切换令牌只能在UID指定的设备中生效，提高安全性。该UID可以由用户提供给芯片厂商，例如，将UID携带在计算设备发送的指示令牌的申请请求中，由此提供给芯片厂商。

可选地，步骤B1：从令牌存储区域的尾部开始，在令牌存储区域存储的镜像服务指示令牌中，查找合法指示令牌，可以包括：

步骤B11：从令牌存储区域的尾部开始，根据每一镜像服务指示令牌中的数字签名信息，逐一对每一镜像服务指示令牌进行验签。

步骤B12：将第一个通过验签的镜像服务指示令牌，确定为第一个合法指示令牌。

本申请实施例中，在确定令牌存储区域是否存在合法指示令牌的过程中，可以先判断令牌存储区域是否存储有指示令牌。

若没有存储指示令牌，则不存在合法切换令牌，此时也说明没有发生过镜像更换，则可确定本次启动所要加载的镜像服务为通用镜像服务（计算设备出厂时默认镜像服务为通用镜像服务）。

若存储有指示令牌，则可以从令牌存储区域的尾部方向开始，逐一对指示令牌进行验签，判断指示令牌是否为合法令牌。一旦一个指示令牌通过验签，则停止继续验签，并确定存在合法指示令牌，之后则可以根据该合法指示令牌中的功能标识，确定本次启动所要加载的镜像服务。具体地，可以通过设备根密钥对应的公钥进行验签。

若令牌存储区域内的所有指示令牌均未通过验签，则确定不存在合法切换令牌，此时，则认为本次启动所要加载的镜像服务为通用镜像服务。

可选地，本申请实施例中，可以在每个引导层级均执行一次步骤B11和步骤B12，也可以仅在第一个可执行步骤B11和步骤B12的引导层级执行一次，具体可根据实际需求设置，本申请实施例对此不进行具体限定。

本申请实施例中，通过对令牌存储区域内的指示令牌进行验签，确定是否存在合法指示令牌，并在存在合法指示令牌的情况下，根据合法指示令牌本次启动所要加载的镜像服务，这样可以提高判断结果的准确性和有效性。

用户设备标识

用户设备标识（可以表示为UFGID）用于指示专属镜像文件的使用对象。前文提到专属镜像文件限于特定使用设备，为了标识此类特定使用设备，设计了该用户设备标识。该用户设备标识使得专属镜像文件仅能在特定的用户设备中使用，从而防止他人盗用。

该用户设备标识可以是由芯片厂商与用户通过协商确定，确保用户设备标识的唯一性，使该用户设备标识只归属一个用户（个人或组织）。例如，在专属镜像文件为个人使用时，可以基于用户的身份证号码或手机号码等信息，生成该用户设备标识。在专属镜像文件为企业组织使用时，可以基于企业组织代码等信息，生成该用户设备标识。当然这里仅是举例说明，具体情况可根据实际需求设计。

具体地，本申请实施例中，为了区别通用镜像文件和专属镜像文件，可以在授权的镜像文件中添加使用对象信息，并在启动过程中，基于该使用对象信息，验证镜像文件是否属于所要加载的镜像服务，以进一步提高安全启动过程的安全性。

可选地，对于通用镜像文件，可以以“0”表示使用对象信息（也即不限使用设备）。对于专属镜像文件，其使用对象信息则为用户设备标识。

需要说明的是，专属镜像文件的使用对象信息可以是用户向镜像供应商申请专属镜像文件时，由用户提供给镜像供应商的。由于专属镜像文件的使用对象信息为用户设备标识，而用户设备标识是保存在镜像服务指示令牌中的，因此，用户可以先申请镜像服务指示令牌，再向镜像供应商申请专属镜像文件。

本申请实施例中，在引导加载对应的镜像文件的过程中，还可以包括：

步骤C1：根据待加载的目标镜像文件对应的第一使用对象信息，验证目标镜像文件的类型是否属于所要加载的镜像服务。

步骤C2：在所要加载的镜像文件的类型为通用镜像文件的情况下，若第一使用对象信息指示目标镜像文件的使用对象为通用镜像文件的使用对象，则确定目标镜像文件属于所要加载的镜像服务。

步骤C3：在所要加载的镜像文件的类型为专属镜像文件的情况下，若第一使用对象信息指示目标镜像文件的使用对象为专属镜像文件使用的使用对象，且第一使用对象信息与第一个合法指示令牌中的用户设备标识相同，则确定目标镜像文件属于所要加载的镜像服务。

本申请实施例的启动过程中，在对镜像文件验签时，包括校验待加载的镜像文件是否属于基于镜像服务指示令牌确定的所要加载的镜像服务类型，也就是校验镜像服务指示令牌设定的使用对象与待加载的目标镜像文件的使用对象是否一致，以此实现镜像使用授权功能，提高启动过程的安全性。当目标镜像文件不属于所要加载的镜像服务时，则停止引导加载，启动失败。

在前述基础上，当镜像供应商针对专属镜像文件发布新版本镜像文件之后，可以发送通知消息至特需用户。特需用户根据通知消息可以主动更新镜像，以获取新特性和提升设备的安全性，其大致流程可以如下所述：

1、特需用户向镜像供应商提交镜像版本更新请求报告，报告内容中包括用户设备标识UFGID；

2、镜像供应商根据报告请求找到对应的镜像文件，生成镜像摘要，并根据报告内容中的用户设备标识UFGID、镜像摘要等信息，生成电子授权信息；

3、镜像供应商将进行电子授权后的新版本专属镜像文件发送给特需用户；

4、特需用户使用镜像供应商响应回的新版本专属镜像文件进行安全启动。

此外，在某些场景中，如新版本镜像与设备适配不良等，用户需要将镜像回滚到先前的某个版本。在这些镜像变更的场景中，特需用户也可以主动向镜像供应商申请所需版本的特需镜像文件以完成镜像变更，其大致流程如下：

1、特需用户向镜像供应商提交镜像版本变更请求报告，报告内容包括所需的镜像版本信息以及UFGID；

2、镜像供应商根据报告请求的镜像版本找到对应的镜像文件，在确定该镜像文件为安全版本后，生成镜像摘要，并根据报告内容中的用户设备标识UFGID、镜像摘要等信息，生成电子授权信息；

3、镜像供应商将进行电子授权后的专属镜像文件发送给特需用户；

4、特需用户使用镜像供应商响应回的专属镜像文件进行安全启动。

优选地，本申请实施例中，镜像服务指示令牌包括存储位置编号、功能标识、用户设备标识以及数字签名信息，如表3所示。

表3

以上即为对本申请实施例提供的镜像文件的版本验证方法的描述。

综上所述，对于用户对***镜像的差异化需求，不再是维护一个通用镜像服务，而是可以提供不同类型的镜像服务，用户可根据自身需求，进行镜像服务更换，这样不用再通过通用镜像文件满足用户的各种需求，可以在一定程度上降低通用镜像文件的复杂度，减小通用镜像文件出现安全漏洞的风险。其次，对于镜像服务的更换，本申请实施例设计了镜像服务指示令牌，不同镜像服务指示令牌用于指示不同的镜像服务。在每次更换镜像服务之前，可将相应的镜像服务指示令牌写入令牌存储区域，这样，计算设备在启动过程中，则可以依据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型，以便正确引导加载对应的镜像文件，以及提升启动过程的安全性。

示例性装置

相应的，本申请实施例还提供了一种安全启动装置，应用于计算设备。

如图2所示，该装置可以包括：

启动模块201，用于响应于上电请求，进入安全启动过程。

第一确定模块202，用于在所述安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型。

其中，所述令牌存储区域为所述一次性可编程存储部件中的存储区域；所述镜像服务指示令牌是在更换所述计算设备的启动过程所要加载的镜像服务前写入所述令牌存储区域中的，用于指示所述计算设备在之后启动过程中所要加载的镜像服务类型。

引导加载模块203，用于根据确定的所要加载的镜像服务类型，引导加载对应的镜像文件。

可选地，所述镜像服务类型包括：与通用镜像文件对应的通用镜像服务和与专属镜像文件对应的专属镜像服务，所述通用镜像文件不限使用设备，所述专属镜像文件限于特定使用设备。

可选地，所述镜像服务指示令牌包括第一指示令牌和第二指示令牌，其中，所述第一指示令牌用于指示启动过程所要加载的镜像服务类型为通用镜像服务；所述第二指示令牌用于指示启动过程所要加载的镜像服务类型为专属镜像服务。

可选地，所述镜像服务指示令牌包括存储位置编号、功能标识以及用户设备标识中的至少一种，以及数字签名信息。

所述存储位置编号用于指示所述令牌存储区域中用于写入所述镜像服务指示令牌的存储位置。

所述功能标识用于标识所述镜像服务指示令牌的指示功能。

所述用户设备标识用于指示专属镜像文件的使用对象。

所述数字签名信息根据目标信息生成，所述目标信息包括：所述镜像服务指示令牌中除所述数字签名信息外的至少一种其他信息生成的。

可选地，所述目标信息还包括：所述计算设备的芯片唯一标识。

可选地，在所述镜像服务指示令牌包括功能标识的情况下，所述第一确定模块202包括：

查找单元，用于从所述令牌存储区域的尾部开始，在所述令牌存储区域存储的镜像服务指示令牌中，查找合法指示令牌。

确定单元，用于根据查找到的第一个合法指示令牌中的功能标识，确定所要加载的镜像服务类型。

可选地，所述查找单元具体用于：

从所述令牌存储区域的尾部开始，根据每一所述镜像服务指示令牌中的数字签名信息，逐一对每一所述镜像服务指示令牌进行验签；

将第一个通过验签的镜像服务指示令牌，确定为所述第一个合法指示令牌。

可选地，在所述镜像服务指示令牌中包括用户设备标识的情况下，所述装置还包括：

验证模块，用于在所述引导加载对应的镜像文件的过程中，根据待加载的目标镜像文件对应的第一使用对象信息，验证所述目标镜像文件是否属于所要加载的镜像服务。

第二确定模块，用于在所要加载的镜像服务类型为所述通用镜像服务的情况下，若所述第一使用对象信息指示所述目标镜像文件的使用对象为通用镜像文件的使用对象，则确定所述目标镜像文件属于所要加载的镜像服务。

第三确定模块，用于在所要加载的镜像服务类型为所述专属镜像服务的情况下，若所述第一使用对象信息指示所述目标镜像文件的使用对象为专属镜像文件的使用对象，且所述第一使用对象信息与所述第一个合法指示令牌中的用户设备标识相同，则确定所述目标镜像文件属于所要加载的镜像服务。

可选地，在所述镜像服务指示令牌包括存储位置编号的情况下，所述装置还包括：

令牌写入模块，用于在进入本次安全启动之前，响应于令牌写入请求，将一服务指示令牌写入令牌存储区域中与所述服务指示令牌中的存储位置编号对应的存储位置，更改所述计算设备在之后启动过程所要加载的镜像服务类型。

本实施例提供的安全启动装置，与本申请上述实施例所提供的安全启动方法属于同一申请构思，可执行本申请上述任意实施例所提供的安全启动方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本申请上述实施例提供的安全启动方法的具体处理内容，此处不再加以赘述。

示例性电子设备

本申请实施例还提供了一种电子设备，如图3所示，该电子设备包括：存储器300和处理器310。

存储器300与处理器310连接，用于存储程序。

处理器310用于通过运行存储器300中存储的程序，实现上述实施例中的安全启动方法。

具体地，上述电子设备还可以包括：通信接口320、输入设备330、输出设备340和总线350。

处理器310、存储器300、通信接口320、输入设备330和输出设备340通过总线相互连接。其中：

总线350可包括一通路，在计算机***各个部件之间传送信息。

处理器310可以是通用处理器，例如通用中央处理器（CPU）、微处理器等，也可以是特定应用集成电路（application-specific integrated circuit，ASIC），或一个或多个用于控制本发明方案程序执行的集成电路。还可以是数字信号处理器（DSP）、专用集成电路（ASIC）、现成可编程门阵列（FPGA）或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

处理器310可包括主处理器，还可包括基带芯片、调制解调器等。

存储器300中保存有执行本发明技术方案的程序，还可以保存有操作***和其他关键业务。具体地，程序可以包括程序代码，程序代码包括计算机操作指令。更具体地，存储器300可以包括只读存储器（read-only memory，ROM）、可存储静态信息和指令的其他类型的静态存储设备、随机存取存储器（random access memory，RAM）、可存储信息和指令的其他类型的动态存储设备、磁盘存储器、flash等等。

输入设备330可包括接收用户输入的数据和信息的装置，例如键盘、鼠标、摄像头、扫描仪、光笔、语音输入装置、触摸屏、计步器或重力感应器等。

输出设备340可包括允许输出信息给用户的装置，例如显示屏、打印机、扬声器等。

通信接口320可包括使用任何收发器一类的装置，以便与其他设备或通信网络通信，如以太网，无线接入网（RAN），无线局域网(WLAN)等。

处理器310执行存储器300中所存放的程序，以及调用其他设备，可用于实现本申请上述实施例所提供的安全启动方法的各个步骤。

示例性计算机程序产品和存储介质

除了上述方法和设备以外，本申请的实施例还可以是计算机程序产品，其包括计算机程序指令，计算机程序指令在被处理器运行时使得处理器执行本申请实施例中描述的安全启动方法中的步骤。

计算机程序产品可以以一种或多种程序设计语言的任意组合来编写用于执行本申请实施例操作的程序代码，程序设计语言包括面向对象的程序设计语言，诸如Java、C++等，还包括常规的过程式程序设计语言，诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。

此外，本申请的实施例还可以是存储介质，其上存储有计算机程序，计算机程序被处理器执行本申实施例中描述的安全启动方法中的步骤。

对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本申请各实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减，各实施例中记载的技术特征可以进行替换或者组合。

本申请各实施例种装置及终端中的模块和子模块可以根据实际需要进行合并、划分和删减。

本申请所提供的几个实施例中，应该理解到，所揭露的终端，装置和方法，可以通过其它的方式实现。例如，以上所描述的终端实施例仅仅是示意性的，例如，模块或子模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个子模块或模块可以结合或者可以集成到另一个模块，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或模块的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的模块或子模块可以是或者也可以不是物理上分开的，作为模块或子模块的部件可以是或者也可以不是物理模块或子模块，即可以位于一个地方，或者也可以分布到多个网络模块或子模块上。可以根据实际的需要选择其中的部分或者全部模块或子模块来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能模块或子模块可以集成在一个处理模块中，也可以是各个模块或子模块单独物理存在，也可以两个或两个以上模块或子模块集成在一个模块中。上述集成的模块或子模块既可以采用硬件的形式实现，也可以采用软件功能模块或子模块的形式实现。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件单元，或者二者的结合来实施。软件单元可以置于随机存储器（RAM）、内存、只读存储器（ROM）、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (16)

1.一种安全启动方法，其特征在于，应用于计算设备，所述计算设备包括一次性可编程存储部件，所述方法包括：

响应于上电请求，进入安全启动过程；

在所述安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型；其中，所述令牌存储区域为所述一次性可编程存储部件中的存储区域；所述镜像服务指示令牌是在更换所述计算设备的启动过程所要加载的镜像服务前写入所述令牌存储区域中的，用于指示所述计算设备在之后启动过程中所要加载的镜像服务类型；

校验待加载的目标镜像文件是否属于基于所述镜像服务指示令牌确定的所要加载的镜像服务类型；

在所述待加载的目标镜像文件不属于所述所要加载的镜像服务类型的情况下，停止引导加载，确定启动失败；

其中，所述镜像服务指示令牌包括存储位置编号；

在进入本次安全启动之前，所述方法还包括：

响应于令牌写入请求，将一镜像服务指示令牌写入令牌存储区域中与所述镜像服务指示令牌中的存储位置编号对应的存储位置，更改所述计算设备在之后启动过程所要加载的镜像服务类型。

2.根据权利要求1所述的安全启动方法，其特征在于，所述镜像服务类型包括：与通用镜像文件对应的通用镜像服务和与专属镜像文件对应的专属镜像服务，所述通用镜像文件不限使用设备，所述专属镜像文件限于特定使用设备。

3.根据权利要求2所述的安全启动方法，其特征在于，所述镜像服务指示令牌包括第一指示令牌和第二指示令牌，其中，所述第一指示令牌用于指示启动过程所要加载的镜像服务类型为通用镜像服务；所述第二指示令牌用于指示启动过程所要加载的镜像服务类型为专属镜像服务。

4.根据权利要求2或3所述的安全启动方法，其特征在于，所述镜像服务指示令牌还包括功能标识以及用户设备标识中的至少一种，以及数字签名信息；

所述功能标识用于标识所述镜像服务指示令牌的指示功能；

所述用户设备标识用于指示专属镜像文件的使用对象；

所述数字签名信息根据目标信息生成，所述目标信息包括：所述镜像服务指示令牌中除所述数字签名信息外的至少一种其他信息生成的，所述其他信息包括所述存储位置编号、所述功能标识以及所述用户设备标识中的至少一种。

5.根据权利要求4所述的安全启动方法，其特征在于，所述目标信息还包括：所述计算设备的芯片唯一标识。

6.根据权利要求4所述的安全启动方法，其特征在于，在所述镜像服务指示令牌包括功能标识的情况下，所述根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型，包括：

从所述令牌存储区域的尾部开始，在所述令牌存储区域存储的镜像服务指示令牌中，查找合法指示令牌；

根据查找到的第一个合法指示令牌中的功能标识，确定所要加载的镜像服务类型。

7.根据权利要求6所述的安全启动方法，其特征在于，所述从所述令牌存储区域的尾部开始，在所述令牌存储区域存储的镜像服务指示令牌中，查找合法指示令牌，包括：

从所述令牌存储区域的尾部开始，根据每一所述镜像服务指示令牌中的数字签名信息，逐一对每一所述镜像服务指示令牌进行验签；

将第一个通过验签的镜像服务指示令牌，确定为所述第一个合法指示令牌。

8.根据权利要求6所述的安全启动方法，其特征在于，在所述镜像服务指示令牌中包括用户设备标识的情况下，所述校验待加载的目标镜像文件是否属于基于所述镜像服务指示令牌确定的所要加载的镜像服务类型，包括：

根据待加载的目标镜像文件对应的第一使用对象信息，验证所述目标镜像文件是否属于所要加载的镜像服务；

在所要加载的镜像服务类型为所述通用镜像服务的情况下，若所述第一使用对象信息指示所述目标镜像文件的使用对象为通用镜像文件的使用对象，则确定所述目标镜像文件属于所要加载的镜像服务；

在所要加载的镜像服务类型为所述专属镜像服务的情况下，若所述第一使用对象信息指示所述目标镜像文件的使用对象为专属镜像文件的使用对象，且所述第一使用对象信息与所述第一个合法指示令牌中的用户设备标识相同，则确定所述目标镜像文件属于所要加载的镜像服务。

9.一种安全启动装置，其特征在于，应用于计算设备，所述计算设备包括一次性可编程存储部件，所述装置包括：

启动模块，用于响应于上电请求，进入安全启动过程；

第一确定模块，用于在所述安全启动过程中，根据令牌存储区域存储的镜像服务指示令牌，确定所要加载的镜像服务类型；其中，所述令牌存储区域为所述一次性可编程存储部件中的存储区域；所述镜像服务指示令牌是在更换所述计算设备的启动过程所要加载的镜像服务前写入所述令牌存储区域中的，用于指示所述计算设备在之后启动过程中所要加载的镜像服务类型；

引导加载模块，用于校验待加载的目标镜像文件是否属于基于所述镜像服务指示令牌确定的所要加载的镜像服务类型；在所述待加载的目标镜像文件不属于所述所要加载的镜像服务类型的情况下，停止引导加载，确定启动失败；

其中，所述镜像服务指示令牌包括存储位置编号；

所述装置还包括：

令牌写入模块，用于在进入本次安全启动之前，响应于令牌写入请求，将一镜像服务指示令牌写入令牌存储区域中与所述镜像服务指示令牌中的存储位置编号对应的存储位置，更改所述计算设备在之后启动过程所要加载的镜像服务类型。

10.根据权利要求9所述的安全启动装置，其特征在于，所述镜像服务类型包括：与通用镜像文件对应的通用镜像服务和与专属镜像文件对应的专属镜像服务，所述通用镜像文件不限使用设备，所述专属镜像文件限于特定使用设备。

11.根据权利要求10所述的安全启动装置，其特征在于，所述镜像服务指示令牌还包括功能标识以及用户设备标识中的至少一种，以及数字签名信息；

所述功能标识用于标识所述镜像服务指示令牌的指示功能；

所述用户设备标识用于指示专属镜像文件的使用对象；

所述数字签名信息根据目标信息生成，所述目标信息包括：所述镜像服务指示令牌中除所述数字签名信息外的至少一种其他信息生成的，所述其他信息包括所述存储位置编号、所述功能标识以及所述用户设备标识中的至少一种。

12.根据权利要求11所述的安全启动装置，其特征在于，在所述镜像服务指示令牌包括功能标识的情况下，所述第一确定模块包括：

查找单元，用于从所述令牌存储区域的尾部开始，在所述令牌存储区域存储的镜像服务指示令牌中，查找合法指示令牌；

确定单元，用于根据查找到的第一个合法指示令牌中的功能标识，确定所要加载的镜像服务类型。

13.根据权利要求12所述的安全启动装置，其特征在于，所述查找单元具体用于：

从所述令牌存储区域的尾部开始，根据每一所述镜像服务指示令牌中的数字签名信息，逐一对每一所述镜像服务指示令牌进行验签；

将第一个通过验签的镜像服务指示令牌，确定为所述第一个合法指示令牌。

14.根据权利要求12所述的安全启动装置，其特征在于，在所述镜像服务指示令牌中包括用户设备标识的情况下，所述引导加载模块包括：

验证模块，用于根据待加载的目标镜像文件对应的第一使用对象信息，验证所述目标镜像文件是否属于所要加载的镜像服务；

第二确定模块，用于在所要加载的镜像服务类型为所述通用镜像服务的情况下，若所述第一使用对象信息指示所述目标镜像文件的使用对象为通用镜像文件的使用对象，则确定所述目标镜像文件属于所要加载的镜像服务；

第三确定模块，用于在所要加载的镜像服务类型为所述专属镜像服务的情况下，若所述第一使用对象信息指示所述目标镜像文件的使用对象为专属镜像文件的使用对象，且所述第一使用对象信息与所述第一个合法指示令牌中的用户设备标识相同，则确定所述目标镜像文件属于所要加载的镜像服务。

15.一种电子设备，其特征在于，包括：存储器和处理器；

所述存储器与所述处理器连接，用于存储程序；

所述处理器用于通过运行所述存储器中的程序，实现如权利要求1至8中任一项所述的安全启动方法。

16.一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时，实现如权利要求1至8中任一项所述的安全启动方法。