固件中的防盗制造技术

公开了用于在将引导代码加载到系统存储器之前基于用户的生物统计信息认证引导代码的增强系统引导处理的方法、系统和存储介质。对于至少一些实施例，生物统计认证增加了基于唯一平台标识符的引导代码认证。增强引导代码认证发生在操作系统加载之前，并且可在统一可扩展固件接口(UEFI)引导序列期间执行。描述了其它实施例，并对其要求保护。

【技术实现步骤摘要】
【国外来华专利技术】
技术介绍
相对便携的计算系统，诸如平板计算机、笔记本计算机、膝上型计算机、上网本、超级本、蜂窝电话、智能电话以及其它手持装置经常容易被盗。在一些情况下，盗窃的目的可能是获取装置的所有权以便窃贼使用，或者将该装置卖给其他人。为了阻止窃贼想要对所偷装置重新进行使用的情形，阻止由除了原始所有者的任何人引导该装置将是符合需要的。附图说明图1是说明UEFI引导序列的阶段图。图2是说明用于用生物统计信息加密固件的方法的至少一个实施例的流程图。图3是说明图2方法在UEFI引导期间的至少一个实施例的阶段图.图4是说明使用固件的基于生物统计的认证的增强引导过程的至少一个实施例的流程图。图5是说明图4方法在UEFI引导期间的至少一个实施例的阶段图.图6是说明用于执行在引导期间固件的生物统计认证的至少一个实施例的固件模块的框图。图7是说明在UEFI引导期间执行固件的生物统计加密和解密的功能固件和软件模块的阶段图。图8是说明根据本专利技术至少一个实施例的第一和第二系统的框图。图9是根据本专利技术至少一个其它实施例的系统的框图。图10是根据本专利技术至少一个其它实施例的系统的框图。具体实施方式所描述的实施例提供了计算装置固件的防盗能力。更确切地说，使用用户的生物统计信息加密引导处理系统的操作系统(OS)所必需的固件。在随后引导时，在引导期间使用生物统计信息解密固件，使得仅该用户可引导该系统。用此方式，可阻碍对被偷装置被重新使用。在当前防盗技术中间，它们中的许多技术都在OS环境下作为软件驱动运行。在被偷机器上，通过卸载它们，重新安装OS或者将硬盘用新的替换，都可阻碍这些技术。其它当前的防盗技术是固件特征。这些动作类似于上电密码保护，并且可通过改变固件代码的几个字节以跳到绕过认证处理，或者通过从相同类型的另一装置向被偷计算装置烧录固件的新拷贝进行阻碍。本文所描述的实施例提供了优于几个已知安全技术的优点，因为实施例提供了是计算系统的预OS固件的固有特征并且用可绕过某些其它安全机制的方式不可能被绕过的安全机制。为了避免对计算装置进行未授权的重新使用，本文描述的实施例从而解决了几个安全漏洞技术。例如，一个此类技术是入侵被偷计算装置的ROM(只读存储器)以重新安装不同的操作系统(“OS”)。在没有本文描述的实施例的计算系统中，这例如可通过重新刷写BIOS映像以改变引导加载程序代码使得在引导期间加载不同的OS来达成。用此方式，可绕过原始所有者的OS上电密码。本文描述的实施例通过在执行引导加载程序代码之前在引导序列中执行生物统计认证检查，解决了这种类型的漏洞。在不包含本文描述的任何实施例的计算系统中，重新刷写BIOS(基本输入输出系统)映像还可用于绕过由系统的单独组件而不是由CPU自身提供的安全特征。例如，可重新刷写计算装置的BIOS映像，以便禁用带外安全特征。此类带外安全特征例如可包含由可管理引擎、可信平台模块(“TPM”)或与CPU分开的其它独立安全组件提供的安全特征。作为对此类带外安全特征的增强，本文描述的实施例提供了在认证故障的情况下阻止装置引导的加密固件组件。由本文描述的实施例解决的另一安全漏洞技术是计算系统中的存储器的互换。换句话说，为了绕过计算装置上存储装置的加密，未授权用户可改变或关上计算装置上的用户可替换存储硬件。在一些情况下，存储装置可被刷写，但刷写的备选(或除此之外)的是，替换的存储硬件可以是计算系统的内部硬盘驱动器或其它存储介质。本文描述的实施例通过在执行引导加载程序代码之前在引导序列中执行生物统计认证检查，解决了这种类型的漏洞。由本文描述的实施例解决的另一安全漏洞技术是，禁用实施为可选ROM中代理的安全特征。例如参见Ortega等人的“De-Activate the RootKit: Attacks on BIOS Anti-theft Technologies”(Black Hat Briefings 2009 USA. Las Vegas, NE. July 30, 2009)。这些特征不作为与计算系统的BIOS关联的安全预OS处理中的可信计算基础的一部分运行，而是在由第三方提供的可选ROM的后期引导处理期间加载。作为对此类基于ROM的安全特征的增强，所描述的实施例提供了在认证故障的情况下阻止装置引导的加密固件组件。因而，阻止了对可选ROM的未授权访问。现在参考图1，示出了用于引导计算系统OS的方法100的全面描绘。图1示出的方法100的至少一个实施例对应于统一可扩展固件接口(UEFI)规范，诸如 UEFI 2.3.1c，其可在***.uefi.org (“www”用星号替换以避免活动超链接)找到。图1说明了方法100开始于块110。在块110，接收平台重置事件的通知。对于至少一个实施例，平台重置事件可以是上电事件或者热启动事件(例如，诸如从低功率状态(诸如S3和/或S4低功率状态)重新开始)。块110的处理一般可对应于UEFI引导序列的安全(SEC)阶段111。对于此类实施例，块110不仅包含接收重置事件已经发生的通知，而且包含执行某种初步初始化处理。例如，对于至少一个实施例，在块110，可响应于重置事件通知而执行如下初步处理：预RAM代码(诸如，例如适当执行非易失性存储器中的 (XIP)代码)处置初始CPU初始化以在CPU高速缓存中创建瞬态堆栈。图1说明了在初始安全阶段111期间在重置处理110之后，处理继续进行块120。在块120，初始化平台硬件，诸如CPU和其它系统组件。对于一些实施例，此类其它组件的示例可包含如下任何一项或多项：存储器控制器硬件、I/O控制器硬件、芯片集硬件(如果芯片集存在的话)和/或母板硬件(如果母板存在的话)。对于至少一个实施例，在块120的平台初始化可对应于UEFI引导序列的预EFI初始化(“PEI”)阶段121。对于至少一个此类实施例，在块120的处理包含完成CPU初始化的动作，并且还可包含发现DRAM，并且发现在块110接收的重置事件是冷启动事件还是热启动事件(诸如从低功率模式(例如S3/S4睡眠或休眠模式)重新开始)。如果事件是冷启动事件，则处理从块120继续进行到块130。对于一些实施例，如果事件是某种类型的热启动事件(诸如从低功率模式(诸如S3功率状态)重新开始)，则处理从120跳过在块130、140、150和160的处理，并且代替其而继续进行OS重新开始/向量处理(未示出)。在驱动执行阶段(DXE) 131，对于至少一个实施例，方法100解密(见块130)并加载(见块140)用于初始化剩余系统硬件的驱动。执行在块130的解密，因为加密了与DXE阶段关联的UEFI驱动，以促进确保安全引导的目标。在块130，使用基于平台标识符的密钥(例如参见图2的平台ID密钥180)，解密DXE级固件。对于至少一个实施例，平台标识符是与计算平台关联的唯一标识符，诸如产品序列号、以太网装置的MAC地址、TPM (可信计算模块)密钥等。对于至少一个实施例，制造商已经使用平台标识符生成了平台密钥，并且制本文档来自技高网...

【技术保护点】
一种用于执行引导代码的生物统计认证的方法，包括：接收重置事件的通知；从一个或多个生物统计装置接收与用户关联的生物统计信息；基于所述生物统计信息加密在引导序列期间要执行的指令；以及执行附加处理以加载所述操作系统；其中所述加密进一步基于与所述计算装置关联的唯一标识符，并且在加载操作系统之前执行。

【技术特征摘要】
【国外来华专利技术】1.一种用于执行引导代码的生物统计认证的方法，包括：
接收重置事件的通知；
从一个或多个生物统计装置接收与用户关联的生物统计信息；
基于所述生物统计信息加密在引导序列期间要执行的指令；以及
执行附加处理以加载所述操作系统；
其中所述加密进一步基于与所述计算装置关联的唯一标识符，并且在加载操作系统之前执行。
2.如权利要求1所述的方法，进一步包括：
执行一个或多个平台初始化指令；以及
初始化所述一个或多个生物统计装置。
3. 如权利要求1所述的方法,其中：
所述加密在UEFI引导序列的驱动执行环境阶段期间执行。
4. 如权利要求1所述的方法，其中所述加密进一步基于与所述用户关联的一个或多个附加数据。
5. 如权利要求4所述的方法，其中所述一个或多个附加数据进一步包括如下一项或多项：(a)令牌的拥有、(b)密码、(c)口令以及(d)所述用户的位置。
6. 至少一个机器可读介质，包括多个指令，所述指令响应于在计算装置上的执行而使所述计算装置执行如权利要求1至5中任一项所述的方法。
7. 一种用于执行引导代码的生物统计认证的方法，包括：
接收重置事件的通知；
从一个或多个生物统计装置接收与用户关联的生物统计信息；
基于所述生物统计信息解密在引导序列期间要执行的指令；以及
执行附加处理以加载所述操作系统；
其中所述解密进一步基于与所述计算装置关联的唯一标识符，并且在加载操作系统之前执行。
8. 如权利要求7所述的方法，进一步包括：
执行一个或多个平台初始化指令，并且初始化所述一个或多个生物统计装置。
9. 如权利要求7所述的方法，其中：
所述解密在UEFI引导序列的预EFI初始化阶段期间执行。
10. 如权利要求7所述的方法，其中所述解密进一步基于与所述用户关联的一个或多个附加数据。
11. 如权利要求10所述的方法，其中所述一个或多个附加数据进一步包括如下一项或多项：(a)令牌的拥有、(b)密码、(c)口令以及(d)所述用户的位置。
12. 至少一个机器可读介质，包括多个指令，所述指令响应于在计算装置上的执行而使所述计算装置执行如权利要求7至11中任一项所述的方法。
13. 一种在引导操作系统期间执行引导代码的生物统计认证的系统，包括：
处理器；
耦合到所述处理器的非易失性存储器；以及
耦合到所述处理器的系统存储器；
其中所述非易失性存储器包含一个或多个指令，用于：基于用户的生物统计信息生成第一密钥；认证存储在所述非易失性存储器中的指令；以及将认证的指令从所述非易失性存储器加载到所述易失性存储器；
其中所述认证基于第一密钥以及与所述系统关联的唯一标识符。
14. 如权利要求13所述的系统，其中所述认证的指令是在将操作系统代码加载到所述系统存储器之前要执行的指令。
15. 如权利要求13所述的系统，其中所述唯一标识符是与所述系统关联的序列号。
16. 如权利要求13所述的系统，其中所述唯一标识符是可信平台模块密钥。
17. 如权利要求13所述的系统，其中所述生物统计信息是指纹。
18. 如权利要求13所述的系统，其中所述生物统计信息是所述用户的脸的图像。
19. 如权利要求13所述的系统，其中所述认证的指令进一步包括与一个或多个驱动关联的指令。
20. 如权利要求13所述的系统，其中存储在非易失性存储器中的所述指令进一步包括与一个或多个UEFI驱动关联的指令。
21. 如权利要求13所述的系统，其中：
所述非易失性存储器包含用于基于所述唯一标识符生成第二密钥的一个或多个指令。
22. 如权利要求13所述的系统，其中所述解密进一步基于与所述用户关联的附加数据。
23. 如权利要求22所述的系统，其中与所述用户关联的所述附加数据进一步包括密码。
24. 如权利要求22所述的系统，其中与所述用户关联的所述附加数据...

【专利技术属性】
技术研发人员：欧阳骞，王健，VJ齐默，MA罗思曼，张超，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国;US