BIOS安全制造技术

技术编号:21207968 阅读:18 留言:0更新日期:2019-05-25 03:45
描述了与基本输入/输出系统(BIOS)安全相关联的示例。一个示例包括检测活动的BIOS设置与保存的BIOS设置之间的不匹配。对先前应用于活动的BIOS设置的更新进行验证。将该更新应用于保存的BIOS设置,从而创建更新的BIOS设置。当更新的BIOS设置与活动的BIOS设置匹配时,对保存的BIOS设置进行更新。将保存的BIOS设置更新为活动的BIOS设置。当更新的BIOS设置与活动的BIOS设置不同时,采取安全动作。

BIOS security

Examples associated with basic input/output system (BIOS) security are described. An example includes detecting a mismatch between the BIOS settings of the activity and the saved BIOS settings. Verify updates to BIOS settings previously applied to activities. Apply this update to the saved BIOS settings to create the updated BIOS settings. When the updated BIOS settings match the active BIOS settings, the saved BIOS settings are updated. Update the saved BIOS settings to the active BIOS settings. When the updated BIOS settings are different from the active BIOS settings, take security actions.

【技术实现步骤摘要】
【国外来华专利技术】BIOS安全
技术介绍
基本输入/输出系统(BIOS)是由系统(例如,计算机)在执行引导以将各种硬件接口初始化时所使用的固件,并且用以在系统操作时向该系统提供各种服务。一种BIOS标准被称为统一可扩展固件接口(UEFI),其被用在许多个人计算机中。UEFI指定若干个引导变量,这些引导变量可以在系统操作时被更新,以对BIOS如何进行操作加以调整。这些变量中的一些被定义为认证变量并且被用于帮助防止对BIOS和系统本身的恶意攻击。附图说明结合以下结合附图所做的详细描述,可以更全面地理解本申请。图1示出了与BIOS安全相关联的示例存储器。图2示出了与BIOS安全相关联的示例操作的流程图。图3示出了与BIOS安全相关联的示例操作的另一流程图。图4示出了与BIOS安全相关联的示例系统。图5示出了示例BIOS。图6示出了示例系统和方法以及等同物可在其中进行操作的示例计算设备。具体实施方式描述了与基本输入/输出系统(BIOS)安全相关联的系统、方法以及等同物。系统BIOS将配置设置存储在专用于BIOS的闪存中。这些设置中的一些是安全敏感的并且由在系统管理模式(SMM)下运行的BIOS代码进行管理。随着针对SMM的恶意攻击的增加,这些安全敏感的设置可能会被暴露,并潜在地允许攻击者破坏SMM的安全功能。这可能会致使例如BIOS以及具有受损BIOS的系统进一步受到损害。为了保护这些设置,BIOS可以被配置为在BIOS闪存中存储两个敏感变量集:活动版本以及保存版本。BIOS闪存还可以存储自先前引导以来对变量所做的更新的有序列表。此外,可以将保存版本的描述存储在安全闪存中。取决于安全闪存中的可用资源,该描述可以是保存的变量的副本、保存的变量的哈希等。当在系统引导期间加载了变量时,可以将活动版本与安全闪存中的描述进行比较。如果两者匹配,则在系统上次进行操作时没有对活动版本做出改变,并且该引导可以正常进行。如果存在差异,则可以对来自有序列表的更新进行验证并将该更新应用于保存版本以创建敏感变量的更新版本。如果更新版本与活动版本匹配,则在先前系统操作期间对活动版本所做的改变会被授权,并且如上所述,系统可以正常引导。然而,如果更新版本与活动版本不匹配,或者其中一个更新失败,则保存版本、活动版本和更新中的至少一个可能已被不经意地破坏或者通过恶意攻击而被破坏。这可以导致BIOS采取动作以例如恢复到先前已知的安全状态、警告对BIOS进行操作的系统的用户,或者采取与重申对系统的控制和/或防止今后发生类似的攻击相一致的一些其他动作。图1示出了与基本输入/输出系统(BIOS)安全相关联的示例存储器。应当理解,图1中所描绘的项目是说明性的示例,并且许多不同的系统、设备等可以根据各种示例来进行操作。图1示出BIOS存储器100。BIOS存储器100可以是例如闪存,该闪存由系统的BIOS使用以存储与运行BIOS相关联的设置、指令等。系统可以依赖于BIOS以例如执行与启动或引导系统以及系统进行操作时相关联的各种功能。这些功能可以包括例如加载操作系统、检测系统部件、将系统部件彼此连接等。当执行这些功能时,BIOS可以依赖于存储在BIOS存储器100中的各种设置和/或变量。这些设置中的一些可以是例如安全敏感黑名单、白名单等。作为说明,统一可扩展固件接口(UEFI)标准指定了由UEFI标准描述为认证变量的平台密钥(PK)、密钥交换密钥(KEK)、禁止签名数据库(DBX)、签名数据库(DB)、时间戳签名数据库(DBT)等。这些认证变量如果受到损害,则可能会阻止系统进行操作,并允许恶意代码的操作等。因此,认证变量通过由在系统管理模式(SMM)(一种特权执行模式)下操作的BIOS代码进行管理从而得到保护。然而,即使是SMM也会受到攻击。因此,为了保护安全敏感的BIOS变量,可能需要确定它们是否已被恶意操纵,并且如果资源可用,则将它们恢复到先前的安全状态。在各种示例中,这可以部分地通过将敏感BIOS变量的两个副本存储在BIOS存储器100中来实现。这里,这些被示出为保存的变量110和活动变量120。在该示例中,四个敏感BIOS变量被示出为保存的变量110SV1至SV4和相应的活动变量120AV1至AV4。然而,在不同的示例中,可以使用更多或更少数量的敏感BIOS变量。当运行BIOS的系统被引导时,该系统将首先检查自上次系统被操作以来活动变量120是否已被改变。虽然可以仅通过比较活动变量120和保存的变量110来检测这一点,但是有可能会恶意地对保存的变量110和活动变量120进行更新以试图逃避这种类型的检测。为了防止这种情况,可以将保存的变量描述160存储在与BIOS存储器100分开的私有存储器150中。私有存储器150可以由安全实体来控制,该安全实体的任务是防止BIOS受到损害。在各种示例中,保存的变量描述160可以是保存的变量110的副本、保存的变量110的哈希等。在私有存储器150内获取的表单式保存的变量描述160可以取决于可用于存储保存的变量描述160的系统资源、以及在检测到不匹配的情况下所需的恢复功能。如果没有检测到活动变量120与保存的变量描述160之间的差异,则系统可以如同没有对敏感变量作出恶意攻击那样继续正常引导。如果检测到差异,则在采取安全措施之前首先确定该差异是授权修改的结果还是恶意攻击的结果。这可以通过尝试使用保存的变量110以及针对敏感变量的保存的更新130的集合重建活动变量120来实现。保存的更新130可以是在系统的先前操作期间对敏感变量所做出的更新的有序列表。因此,为了根据保存的变量110重建活动变量120,可以重新验证保存的更新130,并且按照列出保存的更新的顺序来将保存的更新130应用于保存的变量110。这可以创建更新的变量的集合(未示出)。然后可以将更新的变量与活动变量120进行比较。如果更新的变量与活动变量匹配,则无论是操纵保存的变量110、活动变量120、保存的更新130还是其组合,都不会对敏感变量做出攻击。值得注意的是,当活动变量120通过在系统引导期间将它们与更新的变量进行比较从而得到验证时,这表明了该活动变量集是安全的活动变量集,以用于将来继续使用。因此,还可以对保存的变量110进行更新以匹配活动变量120,并且可以对保存的变量描述160进行更新以与新保存的变量110相对应。当已经应用了更新时,也可以清除保存的更新队列130。当在对保存的变量110应用保存的更新130之后存在更新的变量与活动变量120之间的不匹配时,这表明了对敏性变量的恶意攻击。此时,可以采取安全动作以尝试修复保存的变量和/或通知对系统的安全感兴趣的实体。所采取的安全动作的规模可以取决于保存的变量描述160在私有存储器150中采用何种形式。如果保存的变量描述160是保存的变量110的副本,则可以将保存的变量和/或活动变量120恢复到已知的安全状态。如果关于敏感变量的可用信息较少,例如,如果保存的变量描述160存储保存的变量110的哈希,则恢复动作可能是不可行的。在这些场景中,可以使用当前设置、已知的安全设置集等来引导系统,并且可以通知对系统的安全感兴趣的实体。该实体可以是例如系统的用户和/或管理员、维护系统的远程逻辑等。如所讨论的,存储了保存的变量描本文档来自技高网...

【技术保护点】
1.一种方法,包括:检测活动的基本输入/输出系统(BIOS)设置与保存的BIOS设置之间的不匹配;验证先前应用于所述活动的BIOS设置的更新;将所述更新应用于所述保存的BIOS设置以创建更新的BIOS设置;当所述更新的BIOS设置与所述活动的BIOS设置匹配时,对所述保存的BIOS设置进行更新,其中所述保存的BIOS设置被更新为所述活动的BIOS设置;以及当所述更新的BIOS设置与所述活动的BIOS设置不同时,采取安全动作。

【技术特征摘要】
【国外来华专利技术】1.一种方法,包括:检测活动的基本输入/输出系统(BIOS)设置与保存的BIOS设置之间的不匹配;验证先前应用于所述活动的BIOS设置的更新;将所述更新应用于所述保存的BIOS设置以创建更新的BIOS设置;当所述更新的BIOS设置与所述活动的BIOS设置匹配时,对所述保存的BIOS设置进行更新,其中所述保存的BIOS设置被更新为所述活动的BIOS设置;以及当所述更新的BIOS设置与所述活动的BIOS设置不同时,采取安全动作。2.根据权利要求1所述的方法,包括:接收对所述活动的BIOS设置进行更新的请求;验证所述请求;将所述更新应用于所述活动的BIOS设置;以及存储所述更新的副本。3.根据权利要求1所述的方法,其中,所述BIOS是统一可扩展固件接口(UEFI),并且其中所述BIOS设置是UEFI变量。4.根据权利要求3所述的方法,其中,所述UEFI变量是UEFI认证变量。5.根据权利要求1所述的方法,其中,检测所述活动的BIOS设置与所述保存的BIOS设置之间的不匹配包括:将所述活动的BIOS设置的哈希与存储在安全存储器上的所述保存的BIOS设置的哈希进行比较。6.根据权利要求1所述的方法,其中,检测所述活动的BIOS设置与所述保存的BIOS设置之间的不匹配包括:将活动的BIOS设置集的哈希与保存的BIOS设置集的哈希进行比较,其中所述保存的BIOS设置集的哈希存储在安全存储器上,其中所述活动的BIOS设置集包括所述活动的BIOS设置,并且其中所述保存的BIOS设置集包括所述保存的BIOS设置。7.根据权利要求1所述的方法,其中,所述安全动作是以下之一:恢复所述BIOS设置的先前版本并引导对所述BIOS进行操作的系统、以及引导所述系统并将与所述BIOS相关联的安全事件警告给实体。8.一种系统,包括:基本输入/输出系统(BIOS)存储器,存储活动BIOS变量集、对所述活动BIOS变量集的已知有效先前版本进行描述的保存的BIOS变量集、以及对针对所述保存的BIOS变量集所做的改变进行描述的排队的更新集;安全存储器,存储所述保存的BIOS变量集的描述;更新模块,验证对BIOS变量的更新,将所述更新应用于活动BIOS变量,并且将所述更新存储在所述BIOS存储器中;以及BIOS安...

【专利技术属性】
技术研发人员:M·维拉泰尔波利斯·巴拉切夫大卫·普拉坎瓦利·阿利杰弗里·凯文·耶安松尼
申请(专利权)人:惠普发展公司有限责任合伙企业
类型:发明
国别省市:美国,US

网友询问留言 已有0条评论
  • 还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。

1