一种基于UEFI的可信日志的实现方法技术

本发明专利技术公开了一种基于UEFI的可信日志的实现方法，包括以下步骤：步骤一，当UEFI执行外部程序时，首先校验外部程序的完整性，并生成度量信息，然后把度量信息添加到本次启动对应的可信日志中，从而更新UEFI可信日志数据库中的数据；步骤二，UEFI在SETUP里面实现一个界面，向用户展示可信启动日志，可信启动日志包括设备整个生命周期的启动日志，每一笔启动日志均展示了每次启动过程中的所有度量结果。本发明专利技术能够在保留UEFI的灵活性的同时，也确保了安全。用户也可以通过查看日志来明确的得知哪一个模块的度量不通过。用户还可以可以进一步通过UEFISETUP界面直观的查看整个设备周期的可信启动日志。可信启动日志。可信启动日志。

【技术实现步骤摘要】
一种基于UEFI的可信日志的实现方法


[0001]本专利技术涉及一种基于UEFI的可信日志的实现方法。

技术介绍

[0002]可信计算是一种通过校验平台完整性来确保安全的机制，通过可信链的传递来确保平台完整性；每次交验完一个实体后，向对应的平台配置寄存器(PCR)写入度量值，最终通过校验累计的PCR值来确定这个度量序列是否正确。但是这种方法无法无法满足如下要求：1.基于UEFI的BIOS，启动过程中运行的模块会经常发生变化从而导致每次启动的路径不一样。2.当一次启动序列发生问题，无法确定是哪一个模块度量不通过。3.用户无法直观的看到整个可信启动度量的过程。

技术实现思路

[0003]为了克服当前可信计算在UEFI上存在启动过程的模块度量难以准确展示的技术问题，本专利技术提供一种能够保证UEFI的灵活性的同时，也确保了安全并易于查阅的基于UEFI的可信日志的实现方法。
[0004]为了实现上述技术目的，本专利技术的技术方案是，
[0005]一种基于UEFI的可信日志的实现方法，包括以下步骤：
[0006]当UEFI在启动过程中执行每个外部程序时，首先校验外部程序的完整性，然后进行度量以生成度量信息，并把度量信息添加到本次启动对应的可信日志中，从而更新UEFI可信日志数据库中的数据；所述的度量是指对非对称加密进行验签；
[0007]其中UEFI可信日志数据库中的数据在UEFI的设置界面中设有展示界面，以向用户展示可信日志，展示内容包括设备整个生命周期的可信日志，每一次设备启动对应的可信日志均展示了启动过程中的所有度量结果。
[0008]所述的一种基于UEFI的可信日志的实现方法，所述的步骤一中，校验外部程序的完整性是通过TCM安全芯片的校验接口来执行的。
[0009]所述的一种基于UEFI的可信日志的实现方法，所述的步骤一中，所述的度量信息是通过UEFI可信日志代理模块的相关接口来添加到可信日志中的。
[0010]所述的一种基于UEFI的可信日志的实现方法，所述的UEFI可信日志代理模块用于提供把可信日志写入UEFI可信日志数据库的接口；其中接口包括：
[0011]1)创建一个新的可信日志节点：每次启动后，UEFI会调用接口为本次启动创建一个日志节点，创建后的可信日志节点暂时只包含一个度量信息：TCM度量UEFI，即TCM对UEFI文件的签名进行验证；
[0012]2)添加度量信息：每次发起一次新的度量后，通过接口添加这一次度量所产生的度量信息到本次的可信日志节点。
[0013]所述的一种基于UEFI的可信日志的实现方法，UEFI可信日志数据库是基于UEFIVariable区域进行存储，且可信日志在存储前先需要利用非对称加密算法进行签名。
这里采用的非对称加密算法进行签名，使被签名的数据实现防篡改、不可抵赖的效果。
[0014]所述的一种基于UEFI的可信日志的实现方法，在对外部程序进行度量并生成的度量信息包括度量发起者、被度量的对象、时间和度量结果。
[0015]所述的一种基于UEFI的可信日志的实现方法，所述的度量发起者包括TCM、UEFI或GRUB，被度量的对象为UEFI、任何外部的EFI程序或系统内核，时间为本次度量发生的具体日期及时间，度量结果为度量是否通过；其中度量过程包括计算HASH，以及解密签名并比对HASH两部分；当TCM度量UEFI时，则由TCM完成整个度量过程；当UEFI度量外部的EFI程序或GRUB度量系统内核时，则由UEFI或GRUB完成计算HASH，然后由TCM执行解密签名并比对HASH。
[0016]所述的一种基于UEFI的可信日志的实现方法，所述的度量结果是通过以下方式得出：
[0017]如果TCM判定被度量对象的签名正确，则度量通过，否则度量不通过；其中发起度量命令时，需要将文件的哈希值和签名作为参数传给TCM。
[0018]所述的一种基于UEFI的可信日志的实现方法，可信日志是由TCM把每次度量UEFI的结果来生成的汇总日志，并存储在TCM内部以等待UEFI获取，其中可信日志中的信息包括：启动序号和度量结果，其中启动序号用于表明是设备生命周期内的几次启动，度量结果记载度量是否成功。
[0019]所述的一种基于UEFI的可信日志的实现方法，可信日志是在UEFI运行时，在初始化TCM后，发送命令给TCM，从而获取TCM度量日志，UEFI根据获取到的信息，生成一个针对本次启动的的可信日志节点，包括直接使用从TCM获取的启动序号，以及日志数量，其中日志数量包括本次启动过程发起的度量次数，每次度量的信息都存储在单独的度量信息里面。
[0020]本专利技术的技术效果在于：由于基于UEFI的BIOS，启动过程中运行的模块会经常发生变化从而导致每次启动的路径不一样，而通过实施本专利技术的技术方案，能够在保留UEFI的灵活性的同时，也确保了安全。用户也可以通过查看日志来明确的得知哪一个模块的度量不通过。用户还可以可以进一步通过UEFISETUP界面直观的查看整个设备周期的可信启动日志。
[0021]下面结合附图对本专利技术作出进一步说明。
附图说明
[0022]图1为本专利技术的流程示意图。
具体实施方式
[0023]本实施例提供了基于UEFI的可信日志的实现方法的具体实现步骤，其中可信链即度量的方式设置如下
[0024](1)TCM作为可信根，校验UEFI，如果校验通过则CPU上电，运行UEFI。
[0025](2)UEFI校验任何外部的EFI文件，包括OSLoader(grub)，PCIeOpRom，其他的EFI程序(包括UEFI更新程序，UEFI测试、调试程序等)签名。
[0026](3)OSLoader(grub)校验内核文件。
[0027]具体来说，度量(即验签校验过程)是非对称加密的验签，包括计算HASH、解密签名
并比对HASH两部分。
[0028]2.TCM把每次度量UEFI的结果生成一份日志，存储在TCM内部，等待UEFI获取，TCM可信日志包括的主要信息如下：
[0029](1)启动序号：表明是设备生命周期内的第N次启动。
[0030](2)度量结果(表明度量成功与否)。
[0031]3.UEFI运行时，在初始化TCM后，发送命令给TCM，获取TCM度量日志，UEFI根据获取到的信息，生成一个针对本次启动的的可信日志节点，主要信息包括：
[0032](1)启动序号：直接使用从TCM获取的值。
[0033](2)日志数量：本次启动过程发起的度量次数(创建可信日志时，日志数量为1)，每次度量的信息都存储在单独的“度量信息”中。
[0034](3)“度量信息”的数据包含：
[0035]①
度量发起者：本次度量发起的主体，目前能够发起度量的主体有TCM，UEFI，GRUB。
[0036]②
被度量的对象：UEFI、任何外部的EF本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于UEFI的可信日志的实现方法，其特征在于，包括以下步骤：当UEFI在启动过程中执行每个外部程序时，首先校验外部程序的完整性，然后进行度量以生成度量信息，并把度量信息添加到本次启动对应的可信日志中，从而更新UEFI可信日志数据库中的数据；所述的度量是指对非对称加密进行验签；其中UEFI可信日志数据库中的数据在UEFI的设置界面中设有展示界面，以向用户展示可信日志，展示内容包括设备整个生命周期的可信日志，每一次设备启动对应的可信日志均展示了启动过程中的所有度量结果。2.根据权利要求1所述的一种基于UEFI的可信日志的实现方法，其特征在于，所述的步骤一中，校验外部程序的完整性是通过TCM安全芯片的校验接口来执行的。3.根据权利要求1所述的一种基于UEFI的可信日志的实现方法，其特征在于，所述的步骤一中，所述的度量信息是通过UEFI可信日志代理模块的相关接口来添加到可信日志中的。4.根据权利要求3所述的一种基于UEFI的可信日志的实现方法，其特征在于，所述的UEFI可信日志代理模块用于提供把可信日志写入UEFI可信日志数据库的接口；其中接口包括：1)创建一个新的可信日志节点：每次启动后，UEFI会调用接口为本次启动创建一个日志节点，创建后的可信日志节点暂时只包含一个度量信息：TCM度量UEFI，即TCM对UEFI文件的签名进行验证；2)添加度量信息：每次发起一次新的度量后，通过接口添加这一次度量所产生的度量信息到本次的可信日志节点。5.根据权利要求4所述的一种基于UEFI的可信日志的实现方法，其特征在于，UEFI可信日志数据库是基于UEFIVariable区域进行存储，且可信日志在存储前先需要利用非对称加密算法进行签名。6.根据权利要求1所述的一种基于UEFI的可信日志的实现方...

【专利技术属性】
技术研发人员：朱秀军，王佳，黄辉伟，于博，
申请(专利权)人：长城信息股份有限公司，
类型：发明
国别省市：