【技术实现步骤摘要】
本专利技术涉及信息安全，具体涉及一种基于trustzone技术的安全启动方法。
技术介绍
1、可信密码模块tcm(trusted cryptography module)提供密码算法支撑，具有完整性度量、可信存储以及可信报告等功能。tcm芯片单元是可信密码模块的服务实现者，是安全可信计算的核心。tcm功能及接口规范应符合包括《gb/t38638-2020信息安全技术可信计算可信计算体系结构》在内的相关国家规范的要求。通常情况下，实现相关国家规范的要求需要硬件tcm芯片单元的支持。然而，当前很多计算机上并没有硬件tcm芯片单元，甚至有些主板上没有预留tcm接口，无法插入tcm卡，所以这些设备无法依靠相关硬件设备实现完整的可信计算体系结构。
2、当前，针对这些设备所提出的软件虚拟tcm技术并不成熟，尤其是针对设备上电启动这一环节，大多数设备在这一环节不仅需要进行bios、操作系统(os，operatingsystem)、cpu等基础服务或硬件的安全启动，也需要为其他各种厂商、型号各异的第三方软硬件提供具有安全保障的初始化驱动。而虚拟tcm作为一款软件，其必须依托于已启动的运行环境才能提供服务，因此如何设计一种安全启动方法，能够在设备启动阶段，通过虚拟tcm为各类软硬件提供有效的安全防护就成为亟需解决的问题。
技术实现思路
1、有鉴于此，本专利技术提供了一种基于trustzone技术的安全启动方法，能够通过虚拟tcm为设备中的各类软硬件提供启动阶段的有效安全防护，提升软件虚拟
2、为了解决上述技术问题，本专利技术是这样实现的：
3、一种基于trustzone技术的安全启动方法，包括：
4、步骤1，设备上电后，在tee环境中，启动虚拟tcm模块和安全启动模块；
5、步骤2，在ree环境中，bios加载第三方efi文件；
6、步骤3，在tee环境中，所述安全启动模块调用所述虚拟tcm模块提供的tcm服务以对所述efi文件进行验签；
7、步骤4，在ree环境中，如果验签成功，则bios执行所述efi文件，完成安全启动；如果验签失败，则不执行所述efi文件，完成安全启动。
8、较佳地，在步骤1与步骤2之间，进一步进行bios的配置修改，包括：
9、步骤101，从外界导入平台密钥和/或密钥交换密钥数据，并通过所述安全启动模块进行保存；
10、步骤102，所述安全启动模块根据所述平台密钥和/或密钥交换密钥数据，通过bios的配置接口对bios进行配置修改。
11、较佳地，所述安全启动模块，包括：权限验证子模块、功能配置子模块、执行管理子模块和密码算法子模块；
12、所述权限验证子模块，对登录用户进行身份鉴别，确认用户权限；
13、所述功能配置子模块，根据所述用户权限，为拥有相应权限的用户提供控制安全启动的使能与关闭的安全启动开关；
14、所述执行管理子模块，根据所述安全启动开关的当前状态，判断是否调用所述密码算法子模块进行验签，并根据所述密码算法子模块的计算结果判断是否执行所述efi文件；
15、所述密码算法子模块，通过哈希算法和/或非对称算法对所述efi文件进行验签对比计算；验签对比计算所采用的算法和所述efi文件签名的算法一致。
16、较佳地，所述安全启动模块，进一步包括：密钥存储子模块和密钥管理子模块；
17、所述密钥存储子模块，创建数据库以存储所述平台密钥和/或密钥交换密钥数据；
18、所述密钥管理子模块，根据所述平台密钥和/或密钥交换密钥数据，通过bios的配置接口对bios进行配置修改。
19、较佳地，所述虚拟tcm模块提供的tcm服务，包括：非对称加密或解密运算、对称加密或解密运算、生成非对称密钥对、杂凑运算、生成随机数、非易失性存储和易失性存储。
20、较佳地，所述非易失性存储服务，如果设备系统有独立的nv硬件，则利用所述nv硬件实现所述虚拟tcm模块的非易失性存储功能；如果设备系统没有独立的nv硬件，则利用bios系统所在的flash芯片的空闲区域实现所述虚拟tcm模块的非易失性存储功能。
21、较佳地，所述密码算法子模块，调用所述虚拟tcm模块提供的杂凑运算和/或非对称加密或解密运算服务以对所述efi文件进行验签。
22、较佳地，所述密钥存储子模块，调用所述虚拟tcm模块提供的非易失性存储和易失性存储服务以创建数据库存储所述平台密钥和/或密钥交换密钥数据。
23、一种基于trustzone技术的安全启动系统，包括：处于tee环境中的虚拟tcm模块和安全启动模块；
24、设备上电后，所述安全启动模块调用所述虚拟tcm模块提供的tcm服务以对bios加载的第三方efi文件进行验签；如果验签成功，则bios执行所述efi文件，完成安全启动；如果验签失败，则不执行所述efi文件，完成安全启动。
25、较佳地，所述安全启动模块，进一步导入并保存平台密钥和/或密钥交换密钥数据；所述安全启动模块根据所述平台密钥和/或密钥交换密钥数据，通过bios的配置接口对bios进行配置修改。
26、有益效果：
27、1、本专利技术通过在可信执行环境(tee，trusted execution environment)中构建了独立于bios系统和os系统的虚拟tcm模块和安全启动模块，利用arm处理器的trustzone技术，不仅保证了tcm的实现，更提升了设备安全启动环节的安全性。本专利技术通过安全启动模块的设计，实现了对富执行环境(ree，rich execution environment)中的各种第三方软硬件的安全启动支持，从而能够提升软件虚拟tcm对安全启动环节的应用普适性，为设备中的各类软硬件提供启动阶段的有效安全防护，解决固件在启动过程中可能遭受的攻击问题，从而确保基于固件运行的系统的安全性和完整性。
28、2、本专利技术通过安全启动模块中密钥存储子模块和密钥管理子模块的设计，实现了对密钥数据更安全地导入、修改和保存，能够提升对bios配置进行修改和管理的安全性，为设备的安全启动和第三方efi文件的验签功能提供更安全的保障。
29、3、本专利技术通过在tee环境中构建了独立于bios系统和os系统的虚拟tcm模块，利用arm处理器的trustzone技术，不仅保证了虚拟tcm模块的安全性，也实现了虚拟tcm模块对ree环境中的bios系统、os系统和/或应用程序的服务支持，从而能够在不增加tcm硬件的情况下实现符合相关规范的可信计算体系，节省了硬件成本，也便于在没有预留tcm硬件接口的设备上实现。
30、4、本专利技术通过对虚拟tcm模块的子模块进行设计，对替代硬件tcm而构建的软件tcm进行了模块化的功能划分，实现了硬件设备和软件功能模块的对应映射，进一步降低了虚拟tcm模本文档来自技高网...
【技术保护点】
1.一种基于TrustZone技术的安全启动方法，其特征在于，包括：
2.如权利要求1所述的基于TrustZone技术的安全启动方法，其特征在于，在步骤1与步骤2之间，进一步进行BIOS的配置修改，包括：
3.如权利要求1所述的基于TrustZone技术的安全启动方法，其特征在于，所述安全启动模块，包括：权限验证子模块、功能配置子模块、执行管理子模块和密码算法子模块；
4.如权利要求2所述的基于TrustZone技术的安全启动方法，其特征在于，所述安全启动模块，进一步包括：密钥存储子模块和密钥管理子模块；
5.如权利要求1-4中任意一项所述的基于TrustZone技术的安全启动方法，其特征在于，所述虚拟TCM模块提供的TCM服务，包括：非对称加密或解密运算、对称加密或解密运算、生成非对称密钥对、杂凑运算、生成随机数、非易失性存储和易失性存储。
6.如权利要求5所述的基于TrustZone技术的安全启动方法，其特征在于，所述非易失性存储服务，如果设备系统有独立的NV硬件，则利用所述NV硬件实现所述虚拟TCM模块的非易失性存
7.如权利要求3所述的基于TrustZone技术的安全启动方法，其特征在于，所述密码算法子模块，调用所述虚拟TCM模块提供的杂凑运算和/或非对称加密或解密运算服务以对所述EFI文件进行验签。
8.如权利要求4所述的基于TrustZone技术的安全启动方法，其特征在于，所述密钥存储子模块，调用所述虚拟TCM模块提供的非易失性存储和易失性存储服务以创建数据库存储所述平台密钥和/或密钥交换密钥数据。
9.一种基于TrustZone技术的安全启动系统，其特征在于，包括：处于TEE环境中的虚拟TCM模块和安全启动模块；
10.如权利要求9所述的基于TrustZone技术的安全启动系统，其特征在于，所述安全启动模块，进一步导入并保存平台密钥和/或密钥交换密钥数据；所述安全启动模块根据所述平台密钥和/或密钥交换密钥数据，通过BIOS的配置接口对BIOS进行配置修改。
...【技术特征摘要】
1.一种基于trustzone技术的安全启动方法，其特征在于，包括：
2.如权利要求1所述的基于trustzone技术的安全启动方法，其特征在于，在步骤1与步骤2之间，进一步进行bios的配置修改，包括：
3.如权利要求1所述的基于trustzone技术的安全启动方法，其特征在于，所述安全启动模块，包括：权限验证子模块、功能配置子模块、执行管理子模块和密码算法子模块；
4.如权利要求2所述的基于trustzone技术的安全启动方法，其特征在于，所述安全启动模块，进一步包括：密钥存储子模块和密钥管理子模块；
5.如权利要求1-4中任意一项所述的基于trustzone技术的安全启动方法，其特征在于，所述虚拟tcm模块提供的tcm服务，包括：非对称加密或解密运算、对称加密或解密运算、生成非对称密钥对、杂凑运算、生成随机数、非易失性存储和易失性存储。
6.如权利要求5所述的基于trustzone技术的安全启动方法，其特征在于，所述非易失性存储服务，如果设备系统有独立的nv硬件，则利用所述nv硬件实现所述...
【专利技术属性】
技术研发人员：陈小春，张超，朱立森，孙亮，肖志坤，任彤，
申请(专利权)人：昆仑太科北京技术股份有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。