一种多处理器计算设备及其可信链构建方法技术

本说明书实施例公开了一种多处理器计算设备及其可信链构建方法，所述计算设备包括两个以上处理器，所述方法包括：启动位于所述计算设备上的第一可信根；通过第一可信根分别验证各处理器的首代码，并在验证通过后启动对应处理器的首代码；对于所述两个以上处理器中的每一个：首代码对其下一级代码进行验证，并在验证通过后启动其下一级代码；首代码的下一级代码对再下一级代码进行验证，并在验证通过后启动所述再下一级代码；依此，逐层验证并启动下一级的代码，进而完成该处理器的可信链建立；其中，与各所述验证相关的信息被存储在第一可信根中。一可信根中。一可信根中。

【技术实现步骤摘要】
一种多处理器计算设备及其可信链构建方法


[0001]本专利技术涉及信息安全
，特别涉及一种多处理器计算设备及其可信链的构建方法。

技术介绍

[0002]可信计算体系构建了一种“宿主—可信双节点”的可信免疫架构。具体的，在计算设备(或称为宿主设备)自有的系统之外构建了一个逻辑上独立的可信系统，上电启动时该可信系统会为宿主设备创建一条从计算设备的底层软硬件到应用程序的可信链，进而为宿主设备提供自下而上的全面保护。
[0003]随着人们对计算性能的要求不断提高，一个计算设备中常具有两个甚至更多的处理器，由此，如何构建多处理器计算设备的可信链，为多处理器计算设备提供更好的安全支撑是亟待解决的技术问题。

技术实现思路

[0004]本说明书实施例之一提供一种多处理器计算设备的可信链构建方法，所述计算设备包括两个以上处理器，所述方法包括：启动位于所述计算设备上的第一可信根；通过第一可信根分别验证各处理器的首代码，并在验证通过后启动对应处理器的首代码；对于所述两个以上处理器中的每一个：首代码对其下一级代码进行验证，并在验证通过后启动其下一级代码；首代码的下一级代码对再下一级代码进行验证，并在验证通过后启动所述再下一级代码；依此，逐层验证并启动下一级的代码，进而完成该处理器的可信链建立；其中，与各所述验证相关的信息被存储在第一可信根中。
[0005]本说明书实施例之一提供一种多处理器计算设备，包括第一可信根以及两个以上处理器；其中，所述第一可信根用于在启动后分别验证各处理器的首代码，并在验证通过后启动对应处理器的首代码；所述两个以上处理器中的每一个用于：通过首代码对其下一级代码进行验证，并在验证通过后通过首代码启动其下一级代码；通过首代码的下一级代码对再下一级代码进行验证，并在验证通过后通过所述首代码的下一级代码启动所述再下一级代码；依此，逐层验证并启动下一级的代码，进而完成该处理器的可信链建立；其中，与各所述验证相关的信息被存储在第一可信根中。
附图说明
[0006]本说明书将以示例性实施例的方式进一步说明，这些示例性实施例将通过附图进行详细描述。这些实施例并非限制性的，在这些实施例中，相同的编号表示相同的结构，其中：
[0007]图1是根据本说明书一些实施例所示的多处理器计算设备的可信链构建方法的示例性流程图；
[0008]图2是根据本说明书一些实施例所示的计算设备的结构示意图；
[0009]图3是根据本说明书一些实施例所示的主处理器的可信链示意图；
[0010]图4是根据本说明书一些实施例所示的协处理器的可信链示例图。
具体实施方式
[0011]为了更清楚地说明本说明书实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本说明书的一些示例或实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图将本说明书应用于其它类似情景。除非从语言环境中显而易见或另做说明，图中相同标号代表相同结构或操作。
[0012]应当理解，本文使用的“系统”、“装置”、“单元”和/或“模组”是用于区分不同级别的不同组件、元件、部件、部分或装配的一种方法。然而，如果其他词语可实现相同的目的，则可通过其他表达来替换所述词语。
[0013]如本说明书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其它的步骤或元素。
[0014]本说明书中使用了流程图用来说明根据本说明书的实施例的系统所执行的操作。应当理解的是，前面或后面操作不一定按照顺序来精确地执行。相反，可以按照倒序或同时处理各个步骤。同时，也可以将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。
[0015]为了有效的应对当前形式下的计算机信息安全需求，人们提出了全新的可信计算体系框架。它在计算设备中构建了一个“宿主—可信双节点”的可信免疫架构。具体的，在计算设备(或称为宿主设备)自有的系统之外构建了一个逻辑上独立的可信系统，为宿主设备提供自下而上的可信支撑。
[0016]可信系统(又可称为可信计算平台)可以进一步包括可信根以及可信软件基。其中，可信根为可信系统的基础功能模块，是无法检测到不当行为而必须信任的最小计算系统，可以基于安全芯片实现，进一步包括可信度量根、可信存储根以及可信报告根。其中，可信度量根(root of trust for measurement,RTM)是可信系统进行可信度量的基点，其在计算设备自身系统中的首代码，如BIOS，之前启动，用以对计算设备的重要底层计算资源进行可信度量。具体的，RTM按照预设的度量方式对计算设备的重要资源数据进行度量，度量方式可以包括但不限于计算数字摘要、散列值、加解密等。例如在计算设备出厂时对其初始的资源数据计算散列值，并将散列值作为可信度量值进行安全存储；在计算设备启动或运行时，RTM重新计算重要资源数据的散列值，并与存储的初始散列值比较以实现完整性度量。又例如，可以从生产厂商处获取计算设备中代码的数字签名，如BIOS的数字签名、OS加载器的数字签名等，在计算设备启动或运行时，RTM重新计算重要资源数据的数字摘要，并基于相关代码的数字签名以及代码厂商的公钥得到数字签名的数字摘要，通过比对当前计算出的数字摘要与数字签名中的数字摘要验证相关代码的完整性。可信存储根(root of trust for storage，RTS)是对可信度量值，如计算设备的重要资源数据的可信散列值或数字签名(或统称为基准值)，进行安全存储的基点，除此，RTS还可以存储度量过程中的其他
信息，如重新计算的散列值、重新计算的散列值与基准值的比较结果等。可信报告根(root of trust for report，RTR)可以响应于请求方的证明请求，向请求方发送具有数字签名的审计报告，以向请求方证明可信系统对计算设备中计算资源的度量情况。可信软件基(TSB，Trusted Software Base)为向计算设备的可信性提供支持的软件元素的集合，在计算设备启动后的运行过程中对其系统内部的数据请求或数据访问进行主动拦截和度量保护，实现动态免疫防御的安全能力。在一些实施例中，对计算设备内部的访问控制情况可以以日志形式存储在RTS中。
[0017]多处理器计算设备包含两个以上的处理器，如CPU(中央处理器，Central Processing Unit)、DPU(数据处理器，Data Processing Unit)、GPU(图像处理器，Graphics Processing Unit)、DSA(领域特定构架，Domain Specific Architecture)等，处理器之间可以彼此交换数据，实现作业、任务以及程序等的并行执行。在一些实施例中，计算设备可以包括一个主处理器以及一个或多个协处理器本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种多处理器计算设备的可信链构建方法，所述计算设备包括两个以上处理器，所述方法包括：启动位于所述计算设备上的第一可信根；通过第一可信根分别验证各处理器的首代码，并在验证通过后启动对应处理器的首代码；对于所述两个以上处理器中的每一个：首代码对其下一级代码进行验证，并在验证通过后启动其下一级代码；首代码的下一级代码对再下一级代码进行验证，并在验证通过后启动所述再下一级代码；依此，逐层验证并启动下一级的代码，进而完成该处理器的可信链建立；其中，与各所述验证相关的信息被存储在第一可信根中。2.如权利要求1所述的方法，所述第一可信根基于安全芯片实现，其包括可信度量根、可信存储根以及可信报告根。3.如权利要求1或2所述的方法，通过第一可信根分别验证各处理器的首代码，包括：通过第一可信根中的可信度量根分别对各处理器的首代码的一项或多项信息进行度量，并将度量结果与预存的基准值进行比较，当比较结果为一致时确定相应处理器的首代码的验证通过；对于所述两个以上处理器中的每一个，其中的验证包括通过当前层代码按照预设的度量机制对其下一级代码的一项或多项信息进行度量，并将度量结果与预存的基准值进行比较，当比较结果为一致时确定其下一级代码的验证通过。4.如权利要3所述的方法，与各所述验证相关的信息通过第一可信根的可信存储根存储；第一可信根的可信报告根用于响应于证明请求向对应的请求方发送审计报告，所述审计报告包括与各所述验证相关的信息中的至少部分；其中，所述请求方为所述计算设备以外的设备或所述计算设备中的处理器。5.如权利要求1所述的方法，所述两个以上处理器包括主处理器以及协处理器；所述主处理器的首代码为BIOS；对于主处理器，所述首代码对其下一级代码进行验证，并在验证通过后启动其下一级代码；依此，逐层验证并启动下一级的代码，进而完成该处理器的可信链建立，包括：通过BOIS对主引导代码进行验证，并在验证通过后将主引导代码调入计算设备的内存以运行；通过主引导代码对OS装载器进行验证，并在验证通过后将OS装载器调入计算设备的内存以运行；通过OS装载器对OS内核程序进...

【专利技术属性】
技术研发人员：侯伟星，武鹏，安伟，罗海林，李超，胡磊，帅峰云，
申请(专利权)人：支付宝杭州信息技术有限公司，
类型：发明
国别省市：