KR101471379B1 - 플랫폼 자원들의 도메인-인증 제어 - Google Patents

플랫폼 자원들의 도메인-인증 제어 Download PDF

Info

Publication number
KR101471379B1
KR101471379B1 KR1020137000796A KR20137000796A KR101471379B1 KR 101471379 B1 KR101471379 B1 KR 101471379B1 KR 1020137000796 A KR1020137000796 A KR 1020137000796A KR 20137000796 A KR20137000796 A KR 20137000796A KR 101471379 B1 KR101471379 B1 KR 101471379B1
Authority
KR
South Korea
Prior art keywords
platform
resource
domain
credential
access
Prior art date
Application number
KR1020137000796A
Other languages
English (en)
Other versions
KR20130044293A (ko
Inventor
네드 엠 스미스
스티븐 엘 그로브만
크레이그 티 오웬
Original Assignee
인텔 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인텔 코포레이션 filed Critical 인텔 코포레이션
Publication of KR20130044293A publication Critical patent/KR20130044293A/ko
Application granted granted Critical
Publication of KR101471379B1 publication Critical patent/KR101471379B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/88—Detecting or preventing theft or loss
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2105—Dual mode as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2147—Locking files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Abstract

플랫폼 자원들의 도메인-인증을 위한 제어방법, 장치, 시스템, 및 컴퓨터 프로그램 제품이 제공된다. 플랫폼의 제어 하의 자원들은 디렉토리 서비스에 의해 중앙에서 관리되는 액세스 제어 규칙들에 따라 관리된다. 보안 정책들은 하드 드라이브들, 플래시 메모리, 센서들, 네트워크 제어기들 및 전력 상태 제어기들을 포함하는 플랫폼 자원들로의 이용자 액세스의 인증을 요구함으로써 균일하게 적용된다.

Description

플랫폼 자원들의 도메인-인증 제어{DOMAIN-AUTHENTICATED CONTROL OF PLATFORM RESOURCES}
본원에서는 저작권이 보호되어야 할 자료가 포함된다. 저작권 소유자는 어떠한 사람이라도 특허청 특허 문서들 또는 기록들에 나타나는 바대로 본 명세서를 복사하는 것에 반대하지 않으나, 그 외에 저작권 또는 기타 다른 모든 것에 대한 모든 권리들 등을 소유한다.
본 명세서는 일반적으로 컴퓨팅 플랫폼(computing platform)의 자원들로의 액세스를 제어하는 것에 관한 것이다.
기업 데이터는 점차 이동되고, 분배되고, 다량화되고 있다. 이동 중이거나 유연한 작업 습관들이 있는 작업자들을 수용하기 위해 데이터는 루틴에 따라 물리적으로 고정된 시설들로부터 취해진다. 데이터는 또한 기업들의 사업 관계자들이 데이터를 다른 도시들, 주들, 국가들로 가지고 감에 따라 지리적으로 분배된다. 데이터는 생성되는 속도 및 제공될 수 있는 멀티미디어 포맷들 이 둘 모두에 있어서 다량이다. 이 모든 영향력들로 인해, 데이터가 이동 중이고 이동되지 않는 동안 이 둘 모두에서 보호될 필요가 있는 새로운 저장 매체, 대역폭이 더 높은 서브시스템들, 및 네트워크 접속 스토리지(storage)가 진화하게 된다. 더욱이, 컴퓨팅 플랫폼들은 더 휴대하기 쉽고, 더 작으며, 무게가 더 가벼워지고 있다. 이용자들은 다수의 컴퓨팅 디바이스들을 지닐 가능성이 더 많다. 이 모든 요인들은 분실되거나 도난을 당할 확률을 증가시키고, 이 분실 및 도난 확률은 자본 지출들을 증가시킬 뿐만 아니라 이용자 패스워드들에 대한 사전 공격(dictionary attack)들에 대한 증가된 잠재성으로 인해 보안상 위험성을 증가시키는 것으로 이해된다.
데이터-앳-레스트(Data-at-rest; DAR) 암호 기술은 분실되거나 도난을 당한 저장 디바이스들 상에 저장되어 있는 데이터를 허가 없이 이용하는 것을 방지함으로써, 이들 데이터가 인터넷 또는 다른 네트워크들 상에서 확산되는 것이 방지된다. DAR 암호는 저장 디바이스의 불가피한 분실 및 도난이 이들 디바이스들 상에 저장된 데이터가 분실되고 도난 당하게 되는 것을 방지하는 자동화되고 신속한 응답 메커니즘으로 작동한다. 그러나, DAR 암호 기술은 흔히 단일 패스워드를 이용하여 암호화된 하드 드라이브 상에 저장된 데이터를 복호화하는데 이용될 수 있는 암호 키들로 액세스하는 것을 제어하여 구현된다. 유사하게, 하드 드라이브들은 흔히 단일 패스워드를 이용하여 보호된다. 이용자의 패스워드를 추측할 수 있는 절도범들은 이 공통 보호 메커니즘들을 피해갈 수 있다.
도 1은 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 도메인-인증 제어를 제공하도록 구성되는 시스템의 블록도;
도 2는 본 발명의 하나의 실시예에 따라 이용자 및/또는 플랫폼 크리덴셜(credential)들의 인증에 응답하여 암호화된 저장 디바이스의 언락(unlock)을 도시하는 흐름도;
도 3은 본 발명의 하나의 실시예에 따라 플랫폼의 인증에 응답한 익명의 이용자 사용에 대한 자원들의 언락을 도시하는 흐름도;
도 4는 본 발명의 하나의 실시예에 따라 플랫폼 및 이용자 모두의 인증에 응답하여 비-익명의 이용자 사용에 대해 인가되는 자원들의 언락을 도시하는 흐름도;
도 5는 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 도메인-인증 제어를 제공하도록 구성되는 시스템의 블록도;
도 6은 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 도메인-인증 제어를 제공하기 위한 보안 파티션(partition)을 구현하기 위한 가상 머신 환경(virtual machine environment)을 도시하는 도면.
본 발명의 실시예들은 플랫폼 자원들의 도메인 인증 제어를 수행하기 위한 방법, 장치, 시스템, 및 컴퓨터 프로그램 제품을 제공할 수 있다. 더 미세한 그레인(grain)으로부터의 플랫폼 이득의 제어 하의 자원들은 디렉토리 서비스에 의해 중앙에서 관리되는 제어 규칙들에 액세스한다. 보안 정책들은 하드 드라이브들, 플래시 메모리들, 센서들, 네트워크 제어기들 및 전력 상태 제어기들을 포함하는 플랫폼 자원들에 이용자가 액세스하는 것을 인증할 것을 요구함으로써 균등하게 적용될 수 있다.
하나의 실시예에서, 방법은 플랫폼에 대한 운영 시스템을 로딩하기 전에 플랫폼에 대한 도메인 크리덴셜(domain credential)을 획득하는 단계; 도메인 크리덴셜을 플랫폼으로부터 원격의 도메인 제어기로 인증하는 단계; 도메인 크리덴셜이 액세스 권한을 가지고 있는 플랫폼의 자원을 식별하는 단계; 및 도메인 크리덴셜을 이용하여 플랫폼에 대한 운영 시스템을 로딩하기 전에 플랫폼의 자원을 언락(unlock)하는 단계를 포함한다. 도메인 크리덴셜은 플랫폼의 이용자에 대한 크리덴셜 및/또는 플랫폼의 보안 파티션(secure partition)에 대한 크리덴셜을 포함할 수 있다. 도메인 크리덴셜을 이용하여 자원들을 언락하는 것은 도메인 크리덴셜을 이용하여 자원 상에 저장된 데이터를 복호화할 키를 획득하는 단계 및 키를 이용하여 자원 상에 저장된 데이터를 복호화하는 단계를 포함할 수 있다. 도메인 크리덴셜이 액세스할 권한을 가지고 있는 플랫폼의 자원을 식별하는 단계는 도메인 제어기에 의해 유지되는 플랫폼에 대한 액세스 정책을 리뷰(review)하는 단계를 포함할 수 있다. 플랫폼의 자원을 언락하는 단계는 도메인 제어기 및 자원 사이의 보안 통신 세션을 설정하는 단계를 포함할 수 있다. 자원을 언락하는 단계는 전력을 자원에 제공하는 단계를 포함할 수 있다. 방법은 도메인 제어기로부터 언락 토큰을 획득하는 단계를 더 포함할 수 있고, 여기서 자원을 언락하는 단계는 언락 토큰을 이용하여 자원을 언락하는 단계를 포함한다. 자원은 ATA 저장 디바이스 및 칩셋-제어 자원 중 적어도 하나를 포함할 수 있다. 시스템 및 상기 방법을 구현하기 위한 명령어를 구비하는 컴퓨터 프로그램 제품이 또한 제공된다.
본 발명의 명세서에서 “하나의 실시예” 또는 “실시예”라는 언급은 실시예와 관련되어 기술되는 특정한 특징, 구조 또는 특성이 적어도 부분적으로 본 발명의 하나의 실시예에 포함되는 것을 의미한다. 그러므로, 명세서 전체에 걸친 다양한 장소들에서 보이는 “하나의 실시예에서”, “하나의 실시예에 따른” 등의 어구들의 등장은 반드시 동일한 실시예를 언급하는 것은 아니다.
설명을 목적으로, 본 발명의 철저한 이해를 제공하기 위해 특정한 구성들 및 세부사항들이 진술된다. 그러나, 당업자에게는 본 발명의 실시예가 본원에 제시되는 특정한 세부사항들 없이도 실행될 수 있음이 분명할 것이다. 더욱이, 널리 공지되어 있는 특징들은 본 발명을 모호하지 않게 하도록 생략되고 간소화될 수 있다. 다양한 예들은 본 명세서 전체에 걸쳐 제공될 수 있다. 본 발명의 특정한 실시예들의 단순한 기술들이 존재한다. 본 발명의 범위는 제공되는 예들로 제한되지 않는다.
도 1은 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 도메인-인증 제어를 제공하도록 구성되는 플랫폼(100)의 블록도이다. 플랫폼(100)의 자원들은 플랫폼(100)의 초기화 동안 초기에 이용 가능할 수 있는 자원들 중 2개의 상이한 유형들, ATA(Advanced Technology Attachment) 디바이스들(180), 및 ME-제어 자원들(190)에 의해 예시된다. ATA 디바이스(180)는 시스템 초기화를 수행하는데 이용되는 플랫폼 펌웨어 및 소프트웨어에 대한 스토리지 역할을 하는, 하드 드라이브와 같은 플랫폼(100)에 대한 자원들을 나타낸다. 보호 메커니즘들이 실행될 수 있기 전의 부트 프로세스 동안의 취약성으로 인해, 플랫폼 초기화 펌웨어 및 소프트웨어를 제공하는 하드 드라이브들은 흔히 하드 드라이브 패스워드들 및/또는 전체 디스크 암호화를 이용하여 보호된다. 그러나, 절도범이 하드 드라이브 패스워드 또는 암호화된 디스크 패스워드를 추측할 수 있다면, 본 발명에 의해 실행되는 것과 같은 추가 보호 메커니즘들 없이 하드 드라이브 상의 데이터에 액세스할 수 있다.
ME-제어 자원들(190)은 칩셋/보안 파티션(105)에서 관리 기능으로 구현되는 기업 데이터 보호 방식에 의해 관리되는 자원들을 나타낸다. 예를 들어, ME-제어 자원들(190)은 센서들, 전력 상태 제어기들, 네트워크 제어기들, 및 플랫폼 초기화 동안 이용되는 제 3 자 펌웨어 및 소프트웨어를 제공하는 플래시 메모리를 포함할 수 있다. 플랫폼 초기화 동안의 취약성 및 그와 같은 제 3 자 펌웨어 코드의 바이러스 감염 가능성으로 인해, ME-제어 자원들(190)은 플랫폼(100)으로부터 원격으로 운영되는 기업 관리 소프트웨어의 제어를 받도록 배치된다. 따라서 ME-제어 자원들(190)은 플랫폼(100) 상에서 칩셋/보안 파티션(105)과 같은 보안 파티션 내에서 동작하는 매니지어빌리티 엔진(manageability engine)(140) 사이의 보안 채널을 통해 갱신될 수 있다. 기업 관리 소프트웨어와 함께 매니지어빌리티 엔진(140)의 동작이 더 자세하게 후술된다.
BIOS/PBA(프리-부트 인증)(110) 모듈은 시스템 초기화 동안 이용되는 플랫폼 펌웨어를 포함한다. 원래 IBM PC 호환 컴퓨터들에 대해 개발되고 시스템 BIOS로서 또한 공지되어 있는 베이직 입력/출력 시스템(Basic Input/Output System)은 펌웨어 인터페이스를 정의하는 사실상의 표준(de facto standard)이다. BIOS는 전력이 공급될 때 PC에 의해 실행되는 제 1 코드가 되도록 설계된, 부트 펌웨어이다. BIOS의 초기 기능은 비디오 디스플레이 카드, 하드 디스크, 플로피 디스크와 같은 시스템 디바이스들 및 다른 하드웨어를 식별하고, 테스트하고, 초기화하는 것이다. 초기화는 호환 매체 상에 저장되는 운영 시스템과 같은 소프트웨어가 로딩되고, 실행되고, PC의 제어에 제공될 수 있도록 머신을 공지된 상태로 준비시킨다. 이 프로세스는 부팅(booting), 또는 부팅 업(booting up)으로 공지되어 있으며, 이는 부트스트래핑(bootstrapping)에 대한 축약어이다. BIOS/PBA(110)는 운영 시스템을 부팅하기 전에 이용자 크리덴셜들을 획득하기 위해 프리-부트 인증 모듈을 포함한다.
BIOS/PBA(110)는 플랫폼 자원 ATA 디바이스들(180)과의 통신을 위해 인증 클라이언트(120) 및 고급 기술 결합(ATA) 명령 모듈(130)을 포함한다. 인증 클라이언트(120)는 매니지어빌리티 엔진(140)의 대역외 네트워크 스택(144)를 통해 도메인 제어기(170)에 의해 도메인 인증을 수행한다. 도메인 인증은 단지 플랫폼 아이덴티티만을, 단지 이용자 아이덴티티만을, 또는 플랫폼 아이덴티티와 이용자 아이덴티티의 결합을 이용하여 발생할 수 있다.
인증 클라이언트(120)는 본원에서 커버로스(Kerberos) 아이덴티티 관리 인프라구조를 이용하여 플랫폼(100)의 도메인 제어기(170) 및 다른 구성요소들과 상호 작용하는 것으로 기술되지만 본 발명은 그렇게 제한되지 않는다. 예를 들어 SAML(Security Assertion Markup Language), 카드 스페이스(Card Space), 리버티 얼라이언스(Liberty Alliance), 공중 키(Public Key) 등과 같은 다른 아이덴티티 관리 인프라구조들이 또한 이용될 수 있다. 더욱이, 인증 클라이언트(120)가 BIOS/PBA(110) 모듈의 일부로 구현되고 있는 것으로 도시되는 반면에, 인증 클라이언트(120)는 대안으로 매니지어빌리티 엔진(140) 또는 플랫폼(100)의 다른 보안 파티션의 일부로 구현될 수 있다.
하나의 실시예에서, 인증 클라이언트(120)는 커버로스 아이덴티티 관리 인프라구조에 따라 동작한다. 커버로스는 자신의 기반으로 대칭 Needham-Schroeder 프로토콜을 이용한다. 이는 키 분배 센터(key distribution center; KDC)로 칭해지는, 신뢰되는 제 3 자를 이용하고, 이것은 논리적으로 분리된 2개의 부분들; 인증 서버(AS) 및 티켓 그랜팅 서버(Ticket Granting Server; TGS)로 구성된다. 커버로스는 이용자들의 아이덴티티를 증명하는 역할을 하는 “티켓들”을 기반으로 작용한다.
KDC는 비밀 키들의 데이터베이스를 유지한다; 네트워크 상의 각각의 엔티티 -클라이언트이든 서버이든- 는 자신과 KDC에게만 공지된 비밀 키를 공유한다. 이 키를 아는 것이 엔티티의 아이덴티티를 증명하는 역할을 한다. 두 엔티티들 사이의 통신을 위해, KDC는 엔티티들이 자신들의 상호 작용들을 보안할 수 있는 세션 키를 생성한다. 프로토콜의 보안은 느슨하게 동기화된 시간을 유지하는 참여자들 및 커버로스 티켓들로 칭해지는 인증의 일시적인 어서션(assertion)들에 상당히 의존한다.
커버로스 프로토콜 하에서, 인증 클라이언트(120)와 같은 클라이언트는 자신을 인증 서버(도메인 제어기(170)의 KDC(171) 내에 있는)로 인증하고 티켓을 수신한다. (모든 티켓들은 타임 스탬핑(time stamping)된다.) 인증 클라이언트(120)는 그 후에 KDC(171)의 티켓 그랜팅 서버에 접촉하여 티켓을 이용하여 이의 아이덴티티를 검증하고 서비스를 요청한다. 인증 클라이언트(120)가 서비스 자격이 되면, 티켓 그랜팅 서버는 다른 티켓을 인증 클라이언트(120)로 송신한다. 그 후에 인증 클라이언트(120)는 서비스 서버(이 예에서, 매니지어빌리티 엔진(140) 내에 인증된 서비스(150))에 접속하고 이 티켓을 이용하여 인증 클라이언트(120)는 상기 티켓이 서비스를 받는데 승인되었음을 증명한다.
매니지어빌리티 엔진(140)은 대역외 네트워크 스택(144)를 포함하여, 공통 서비스들(142)을 포함한다. 하나의 실시예에서, 매니지어빌리티 엔진(ME)(140)은 플랫폼(100)에 대한 호스트 운영 시스템(도시되지 않음)이 액세스할 수 없는 보안 및 격리 환경을 제공한다. 하나의 실시예에서, 매니지어빌리티 엔진(ME)(140)은 이용자들을 인증하고, 주변 장치들로의 액세스를 제어하고, ATA 디바이스들(180) 및 ME-제어 자원들(190)과 같은 플랫폼(100)의 저장 디바이스들 상에 저장된 데이터를 보호하기 위한 암호 키들을 관리하고, 대역외 네트워크 스택(144)을 통해 도메인 제어기(170)에 인터페이스를 제공한다.
ME 공통 서비스들(142)은 상이한 펌웨어 모듈들에 의해 공통적으로 요구되는 서비스들을 포함하고, 보안 서비스들, 프로비져닝 서비스(provisioning service)들, 및 네트워킹 서비스들을 포함한다. ME 공통 서비스들(142)에 의해 제공되는 보안 서비스들은 일반적으로 HTTP 다이제스트 및 커버로스 인증 둘 모두; 마이크로소프트 액티브 디렉토리 및/또는 다른 서비스들을 이용한 도메인 인증; 클라이언트 및 서버 클럭들을 동기화하는 클럭 동기화 서비스들; 및 보안 감사 서비스들로 구성되는 이용자 인증을 포함한다. ME 공통 서비스들(142)에 의해 제공되는 프로비져닝 서비스들은 플랫폼(100)에 기업 소프트웨어를 제공하기 위해 기업 서버(도시되지 않음)와 함께 이용된다.
ME 공통 서비스들(142)에 의해 제공되는 네트워킹 서비스들은 대역외 네트워크 스택(144)을 포함하고, 이는 송신 전송 프로토콜/인터넷 프로토콜(TCP/IP), 전송 계층 보안(Transport Layer Security; TLS), 하이퍼텍스트 전송 프로토콜(HTTP), 단순 객체 액세스 프로토콜(Simple Object Access Protocol; SOAP), 매니지어빌리티용 웹 서비스(Web Services for Manageability; WS-MAN), 및 로컬 매니지어빌리티 서비스(Local Manageability Service; LMS)라 칭해지는 호스트-기반 TLS 인터페이스와 같은 서비스들에 대한 지원을 포함할 수 있다. 인증 클라이언트(120)는 대역외 네트워크 스택(144)을 이용하여 도메인 제어기(170)와 통신한다.
매니지어빌리티 엔진(140)은 또한 인증된 서비스(150)을 포함하고, 이는 인증 클라이언트(120) 및 매니지어빌리티 엔진(140)과 같은 클라이언트들로부터의 요청들에 응답하여 인증된 서비스들을 제공한다. 하나의 실시예에서, 인증된 서비스(150)는 센서들, 전력 제어기들, 네트워크 제어기들 및 집적 플래시 메모리를 포함하는 매니지어빌리티 엔진(140) 및 BIOS에 의해 제어 가능한 플랫폼 자원들로의 액세스를 제어하는 커버로스 서비스이다. 예를 들어, 커버로스 아이덴티티 관리 인프라구조를 이용하는 실시예에서, 인증된 서비스(150)는 서비스 티켓을 수신하는 것에 응답하여 인증 클라이언트(120)에 풀-디스크(full-disk) 암호 키 서비스들을 제공한다. 하나의 실시예에서, 인증된 서비스(150)는 복호화 키 역할을 하는 토큰을 제공하고 풀 디스크 암호화 기술을 이용하여 암호화된 저장 디바이스를 복호화한다.
하나의 실시예에서, 인증된 서비스(150)는 또한 도난 방지 서비스(160)를 포함한다. 도난 방지 서비스(160)는 도메인 제어기(170)의 기업 서버 구성요소(도시되지 않음)와 함께 이용되어 플랫폼(100)이 도난 당한 경우 플랫폼(100) 상의 저장 디바이스들로부터의 데이터의 도난이 방지된다. 도난 방지 서비스(160)는 플랫폼(100)의 도난이 보고되면 플랫폼 자원들이 불능화되고/되거나 락(lock)이 걸리도록 할 수 있다. 특히, 도난 방지 서비스(160)는 기업 서버(도시되지 않음)에 의해 대역외 네트워크 스택(144)을 통해 ME 제어 자원들(190)에 락 및 언락을 포함하여 액세스되는 것을 가능하게 한다. 도난 방지 서비스(160)의 제어는 자체의 이용자 계정을 이용하여 활성화될 수 있다; 플랫폼(100)이 도난을 당하면, 이용자 계정에 액세스하여 도난 방지 서비스(160)를 활성화시켜서, 칩셋 제어기들, 센서들, 및/또는 집적 플래시 메모리로의 전력을 제어함으로써 플랫폼(100)을 불능화시킬 수 있다.
하나의 실시예에서, 인증된 서비스(150)는 ATA 명령 모듈(131)을 더 포함하여 매니지어빌리티 엔진(140) 및 ATA 디바이스들(180) 사이의 직접 통신이 가능하다. 이 직접 통신은 도 2를 참조하여 후술된다.
도메인 제어기(170)는 키 분배 센터(key distribution center; KDC)(171), 플랫폼 자원들에 대한 액세스 제어 정책을 유지하기 위한 마이크로소프트 액티브 디렉토리 또는 경량 디렉토리 액세스 프로토콜(Lightweight Directory Access Protocol; LDAP)과 같은 디렉토리 서비스(172), 및 자원 및 정책 관리 시스템을 포함하는 백-엔드 서비스들 서너 개를 포함할 수 있다. 도메인 제어기(170)는 인증 서비스(AS) 프로토콜에 따라 동작하는 인증 서버 및 티켓 그랜팅 서비스(TGS) 프로토콜에 따라 동작하는 티켓 그랜팅 서버와 같이, 아이덴티티 관리를 위한 인프라구조를 제공하는 서버들을 더 포함할 수 있다. 하나의 실시예에서, 도메인 제어기(170)에 의해 발행되는 티켓은 디렉토리 서비스들(172)로부터의 액세스 제어 정책의 표현들인 인증 속성들을 포함하여, 플랫폼 자원들로의 액세스를 인가할 수 있다. 도메인 제어기(170)는 하나 이상의 기업 서버들을 더 포함하여 도난 방지 서비스(160)와 같은 다양한 도메인 관련 서비스들을 관리할 수 있다.
하나의 실시예에서, 인증 속성 페이로드들과 결합된 커버로스 프로토콜은 플랫폼에 의해 열거되는 다양한 자원들에 대한 액세스 제어 규칙들을 전달할 수 있다. 이 레벨의 제어는 칩셋 내에 커버로스 서비스 프로세스, ATA 저장 디바이스들(180) 및 ME 제어 자원들(190)과 같은 플랫폼 자원들에 액세스하기 위한 게이트 역할을 하는 인증된 서비스(150)를 임베딩(embedding)함으로써 커버로스 모델을 이용하여 달성된다. 커버로스 클라이언트, 인증 클라이언트(120)는 또한 플랫폼 내에 임베딩되어 이용자들을 커버로스 키 분배 센터(KDC)(171)로 인증하고 디렉토리 서비스(172)에 포함되는 중앙 관리식 보안 정책에 따라 이용자의 역할 및 특권들을 설정한다. 보안 정책들은 커버로스 티켓에게 이용자가 하드 드라이브들, 플래시 메모리들, 센서들, 네트워크 제어기들 및 전력 상태 제어기들을 포함하는 플랫폼 자원들로 액세스하는 것을 인가하라고 요구함으로써 균등하게 적용될 수 있다.
하나의 실시예에서, 도메인 제어기(170)는 플랫폼에 대한 도메인 크리덴셜을 수신하고, 도메인 크리덴셜을 인증하고, 도메인 크리덴셜을 인증하는 것에 응답하여 플랫폼에 액세스 정책을 제공한다. 액세스 정책은 도메인 크리덴셜이 액세스할 권한을 가지는 플랫폼의 자원들을 식별하는데 이용되고 액세스 정책은 자원을 언락하기 위한 토큰을 포함한다.
도 2는 본 발명의 하나의 실시예에 따라 도 1의 플랫폼의 이용자 및/또는 플랫폼 크리덴셜들의 인증에 응답하여 암호화된 저장 디바이스의 언락을 도시하는 흐름도이다. 상술한 바와 같이, 이 크리덴셜들은 운영 시스템을 부팅하기 전에, BIOS/프리-부트 인증(PBA)(110) 모듈의 플랫폼 펌웨어에 의해 플랫폼 초기화 프로세스에서 초기에 획득된다. 액션 2.1에서, 인증 클라이언트(120)는 예를 들어 로그인 프로세스 동안 이용자의 크리덴셜들을 획득하고, 이용자의 크리덴셜들을 도메인 제어기(170)에 제공한다. 하나의 실시예에서, 도메인 제어기(170)에 의해 관리되는 이용자에 대한 식별자는 매니지어빌리티 엔진(140)의 네트워크 스택(144)을 통해 인증 서버(AS) 프로토콜을 이용한 요청으로서 도메인 제어기(170) 인증 서버(AS)(도시되지 않음)로 송신된다. 이용자의 크리덴셜들은 또한 플랫폼에 대한 식별자일 수 있거나 플랫폼 식별자 및 사용자 식별자 이 둘 모두를 포함할 수 있다. 이 이용자 및/또는 플랫폼 크리덴셜들은 매니지어빌리티 엔진(140)의 네트워크 스택(144)을 통해 송신되는데, 왜냐하면 운영 시스템을 로딩하기 전의 초기화 프로세스에서의 이 초기 국면에서, 플랫폼에 대한 네트워크 통신 케이퍼빌리티(capability)들은 아직 초기화되지 않았기 때문이다. 기업 관리 시스템에 의해 제공되는 네트워크 통신을 위해 플랫폼 구성 특성들을 이용함으로써, 도메인 제어기(170)와의 통신들은 심지어 네트워크 통신이 플랫폼에 대해 구성되기 전에도 가능하다.
액션 2.2에서, 요청에 대한 응답은 도메인 제어기(170)의 인증 서버에 의해 송신된다. 상기 응답은 인증 클라이언트(120)를 인가하는 인증 클라이언트(120)에 대한 티켓 그랜팅 티켓(ticket granting ticket; TGT)을 포함하여 도메인 내에서의 인증된 서비스(150)와 같이 인증된 서비스로의 접속을 설정한다. 액션 2.3에서, 인증 클라이언트(120)는 티켓 그랜팅 티켓(TGT)을 이용하여 티켓 그랜팅 서비스(TGS)를 통해 인증된 서비스(150)와 같은 인증된 서비스로 액세스할 것을 요청한다. 상술한 바와 같이, 하나의 실시예에서, 인증된 서비스(150)는 복호화 키 역할을 하는 토큰을 제공하고 풀 디스크 암호화 기술을 이용하여 암호화된 저장 디바이스를 복호화한다.
액션 2.4에서, 액세스가 허용되면, 서비스 티켓 형태의 응답이 도메인 제어기(170)의 티켓 그랜팅 서버(TGS, 도시되지 않음)에 의해 인증 클라이언트(120)로 발행된다. 액션 2.5에서, 인증 클라이언트(120)는 서비스 티켓을 이용하여 이 예에서 Kerberized 풀 디스크 암호화 서비스인, 인증된 서비스(150)에 액세스한다. 인증된 서비스(150)는 클라이언트 아이덴티티(액션 2.1로부터의)와 연관되는 액세스 제어 정책을 리뷰한다. 이 액세스 제어 정책은 서비스 티켓에 포함되고 도메인 제어기(170)의 디렉토리 서비스(172)에 의해 제공된다. 액세스 정책은 인증된 클라이언트(120)가 어떤 플랫폼 자원들에 액세스할 수 있는지를 지정한다. 예를 들어, 액세스 정책은 플랫폼 식별자, 저장 디바이스 식별자, 디바이스 키, 검증 목적들을 위한 디바이스 펌웨어 측정치들, 디바이스에 대한 액세스 토큰들을 포함할 수 있다. 상이한 유형들의 자원들은 상이한 토큰 구조들 및/또는 컨텐츠를 요구할 수 있으나, 자원에 액세스하는데 필요한 정보, 토큰 또는 토큰 값들은 서비스 티켓의 일부로 제공되는 액세스 정책에 포함될 것이다. 서비스 티켓을 수신하는 것에 응답하여, 액세스가 허용되는 경우, 인증된 서비스(150)(또는 도난 방지 서비스(160) 또는 ATA 명령 모듈(131)과 같은 이의 구성요소)는 액세스 정책으로부터 액세스 토큰을 획득한다. 액션 2.6에서, 액세스 토큰은 인증된 서비스(150)에 의해 인증 클라이언트(120)로 제공된다. 하나의 실시예에서, 인증 클라이언트(120) 및 인증된 서비스(150) 사이의 채널 보안은 네트워크 스택(144) 전송 계층 보안(Transport Layer Security; TLS)에 의해 커버로스 세션 키를 이용하여 제공된다. 이 채널 보안은 중간자 및 중계자 공격들로부터 보호한다.
액션 2.7에서, 토큰은 ATA 명령 모듈(130)에 제공되고, 이 ATA 명령 모듈(130)은 언락 명령을 액션 2.8에서 하나 이상의 ATA 디바이스들(180)에 발행한다. 토큰은 직렬 고급 기술 결합(Serial Advanced Technology Attachment; SATA) 프로토콜로의 OPAL 및 IEEE 1667 확장들에 따라 ATA 디바이스들(180)로 공급될 수 있다.
하나의 실시예에서, 액세스 토큰은 인증된 서비스(150)가 ATA 디바이스들(180) 중의 소정의 디바이스로의 액세스 토큰을 실링(sealing)하게 함으로써 종단 간에(도메인 제어기(170)로부터 ATA 디바이스들(180)로의) 더 보호된다. 예를 들어, 액세스 정책으로부터의 액세스 토큰 및 디바이스 식별자는 액세스 정책으로부터의 디바이스 키를 이용하여 디바이스 넌스(nonce)와 함께 암호화될 수 있다. 인증된 서비스(150)는 블럽(blob)이 실링될 때 디바이스가 디바이스 넌스를 생성하도록 한다. 이 실링되어 암호화된 블럽은 인증 클라이언트(120)로 복귀되고 나서 ATA 명령 모듈(130) 및 ATA 디바이스들(180)로 제공될 수 있다. 넌스 및 디바이스ID는 ATA 디바이스들(180) 중 하나 이상에 언락 명령을 발생하기 전에 ATA 명령 모듈(130)에 의해 검증될 수 있다.
다른 실시예에서, 액세스 토큰은 매니지어빌리티 엔진(140)으로부터 ATA 디바이스들(180)로 곧장 TLS 채널을 만듦으로써 “조직적 바인딩(organizational binding)”으로 기술되는 프로세스에서 종단 간에(도메인 제어기(170)로부터 ATA 디바이스들(180)로의) 보호된다. 이 종단 간 보호를 구현하는데 BIOS/PBA (110) 모듈의 인증 클라이언트(120) 및 ATA 명령 모듈(130)을 통과하여 진행하는 대신 직접 ATA 디바이스들(180)에 액세스하는 ATA 명령 모듈(131)이 이용된다. 그러한 실시예에서, 상기 액션 2.5를 참조하여 기술된 바와 같이 획득된 언락 토큰은 동작들 2.6 및 2.7을 참조하여 상술된 바와 같이 인증된 클라이언트(120) 및 ATA 명령 모듈(130)을 통해 진행하기 보다는, TLS 세션에 걸쳐 인증된 서비스(150)로부터 ATA 명령 모듈(131)을 통해 ATA 디바이스들(180)로 직접 전송될 것이다. 이 조직적 바인딩 구현에 있어서, TLS 프로토콜은 종단 간에 액세스 토큰을 보호하기 위해 넌스 및 실링 요건들을 만족시킨다.
인증된 서비스(150)는 ATA 디바이스들(180)이 저장된 데이터를 복호화하기 전에 적절하게 구성된다. 데이터는 디바이스 펌웨어의 측정치 및 액세스 토큰에 키-유도 함수(key-derivation function; KDF)를 적용함으로써 디바이스 구성에 실링된다. 예를 들어, ATA 디바이스들(180) 중 소정의 디바이스 상의 데이터를 암호화하고 복호화하는데 이용되는 토큰(T1’)은 디바이스 펌웨어의 측정 및 액세스 토큰(T1)에 적용되는 키 유도 함수를 이용하여 계산될 수 있다(통상적으로 펌웨어의 해시 함수 H1로 계산된다). 이 예에서, 토큰 T1’ = KDF(토큰 T1, 해시 H1). ATA 디바이스들(180) 중 소정의 디바이스는 디바이스 펌웨어의 암호화 해시(예를 들어 SHA256 또는 AES-CMAC) 및 관련 구성 세팅들을 계산함으로써 디바이스 펌웨어의 측정치를 획득한다. 인증된 서비스(150)는 제조사로부터의 디바이스 펌웨어 측정치들을 펌웨어 갱신 배포의 일부로 획득한다.
암호화 해시 함수를 이용하여 디바이스 펌웨어를 보호함으로써 ATA 디바이스들(180)로부터 암호화된 데이터를 불법적으로 획득한 손상된 디바이스 펌웨어에 대한 추가 보호가 제공된다. 손상된 디바이스 펌웨어는 ATA 디바이스들(180) 중 소정의 디바이스 상에 저장된 데이터를 복호화하는 액세스 토큰을 도출하기 위해 해시 H1 값의 값을 추론할 필요가 있을 것이다. 정확한 해시 H1 값을 추론할 가능성은 매우 낮으므로, 암호화된 ATA 디바이스들(180)로부터의 데이터가 불법적으로 획득될 수 있을 확률도 매우 낮다.
ATA 디바이스들(180)의 액세스 권한들의 철회는 도메인 제어기(170)와 함께 인증된 서비스(150)에 의해 중앙에서 관리된다. 디바이스가 도난 될 때 조직이 적법 및 불법 이용 이 둘 모두를 제한하고자 하는 경우, 관리자는 도난 된 디바이스에 대한 액세스 토큰을 인증된 서비스(150)에 대한 액세스 정책으로부터 삭제할 수 있다. 액세스에 대한 후속 요청들은 실패할 것이고, 인증 클라이언트(120)로 어떠한 티켓도 전달되지 않을 것이므로 상술한 동작들 2.5 내지 2.7은 완료되지 않을 것이다.
인증 크리덴셜들이 이용자 및 플랫폼 식별자 모두를 포함하는 상황에서, 단계 2.2에서 획득된 바와 같은 티켓 그랜팅 티켓(TGT)은 아이덴티티들 모두를 포함할 것이다. 액세스 정책은 클라이언트에 대한 식별자로서 튜플(tuple)(이용자 아이덴티티, 플랫폼 아이덴티티)을 포함하도록 구성될 것이다.
도 3은 본 발명의 하나의 실시예에 따라 플랫폼의 인증에 응답한 익명의 이용자 사용에 대한 자원들의 언락을 도시하는 흐름도이다. 이 예에서, 자원들(R0 내지 RN)의 세트는 익명의 이용자 액세스에 대해 인가되어서 액세스는 플랫폼이 도메인에 성공적으로 인증되었을 때 플랫폼의 모든 이용자들로 제공된다. 하나의 실시예에서, 플랫폼을 도메인에 인증하는 것은 매니지어빌리티 엔진(140)과 같은 플랫폼의 보안 파티션을 도메인 제어기(170)로 인증하는 것을 포함한다.
플랫폼(100) 및 도메인 제어기(170) 사이에 네트워크 접속이 설정되면, 액션 3.1에서 인증된 서비스(150)가 도메인 제어기(170)에 등록되어 서비스 요청들에 대해 이용 가능함을 표시한다. 액션 3.1은 이용자 프레즌스(presence)를 요구하지 않는 자원들의 활성화에 대한 자동화된 요청을 나타낸다. 예를 들어, 플랫폼이 도난 된 것으로 보고되지 않으면, 칩셋/보안 파티션(105)에는 풀 파워 업을 인가하는 서비스 티켓이 제공될 것이다. 반대로, 플랫폼의 도난이 보고되면, 칩셋/보안 파티션(105)의 풀 파워 업을 인가하는 서비스 토큰은 제공되지 않을 것이다. 플랫폼이 도난된 상황에서, 인증된 서비스(150)만이 도메인 제어기(170)와 교환하기 위한 전력을 받을 필요가 있고; 모든 다른 칩셋/보안 파티션(105) 구성요소들은 파워-다운 상태로 유지될 수 있다. 도메인 제어기(170)는 도 2의 동작들 2.1 내지 2.5를 참조하여 상술한 바와 같이 액세스 정책에 따라 인가된 요청자들에 대해 서비스 티켓들을 발행한다. 이 예에서, 서비스 티켓은 인증된 서비스(150)에 발행될 것이다.
액션 3.2에서, 도메인 제어기(170)는 암호화 토큰을 요구하는 자원들에 대한 언락 토큰들을 제공한다. 액세스가 설정되어 있는 이용자 프레즌스에 대한 요건이 없을 때만 프로그램에 따라 액세스가 시행되는 자원들의 경우, 액세스 정책 정보가 인증된 서비스(150)에 제공된다.
인증된 서비스(150)는 ATA 디바이스들(180)과 같은 저장 디바이스들에 액세스하라는 호스트 애플리케이션으로부터의 명령어에 응답한다. 하나 이상의 ATA 디바이스들(180)을 언락하라는 요청에 응답하여, 액션 3.3에서, 인증된 서비스(150)는 액세스 정책을 평가하고 자원들(R0 내지 Rm)(ATA 디바이스들(180)에 대응하는)에 대해 언락 토큰들을 제공한다. ATA 명령 모듈(130)은 ATA, OPAL, 또는 저장 자원들을 언락하는 다른 명령어에 적절한 토큰 파라미터를 공급하는 적절한 ATA 명령을 공식화(formulate)하고, 액션 3.4에서 ATA 디바이스(180)는 언락된다.
인증된 서비스(150)는 또한 ME-제어 자원들(190)과 같은 매니지어빌리티 엔진(140)에 의해 직접 제어되는 자원들로의 액세스를 제어한다. 예를 들어, 매니지어빌리티 엔진(140)은 플랫폼 펌웨어를 포함하는 플래시 메모리를 직접 제어할 수 있다. 인증된 서비스(150)는 ME-제어 자원들(190)(자원(Rm +1 내지 Rn))로의 액세스가 가능하도록 도난 방지 서비스(160)를 인가한다. 이 예에서 ME-제어 자원들(190)의 적어도 일부가 요구하는 것처럼 액세스된 자원이 암호화 토큰을 요구하면, 암호화 토큰은 액션 3.5에 도시된 바와 같이, 도난 방지 서비스(160)에 제공된다. 액션 3.6에서, 도난 방지 서비스(160)는 ME-제어 자원들(190)을 언락하라는 명령을 발행한다.
도 4는 본 발명의 하나의 실시예에 따라 플랫폼 및 이용자 모두의 인증에 응답하여 비-익명의 이용자 사용에 대해 인가되는 자원들의 언락을 도시하는 흐름도이다. 이 예는 도 3의 프로세스가 이미 발생해서, 자원들(R0 내지 RN)의 세트가 이미 익명의 이용자 액세스에 대해 인가되었고 인증된 서비스(150)가 도메인 제어기(170)에 이미 등록되어 있다고 가정한다. 다음의 단계들은 액세스하는데 이용자가 검증되었던 추가 자원들(RN +1 내지 Rz)을 인증하고 언락하는 추가 동작들을 기술한다. 이 예에서, 자원들(RN +1 및 RY)은 액세스하는데 이용자가 검증되었던 ATA 자원들이고 자원들(RY +1 내지 Rz)은 액세스하는데 이용자가 검증되었던 ME-제어 자원들이다.
액션 4.1에서, 이용자가 도메인에 등록된다. 이 이용자 등록은 대역외 네트워크 스택(144)을 이용하여 플랫폼의 BIOS/PBA(110)에서 구현되는 인증 클라이언트(120) 및 도메인 제어기(170) 사이에서 통신하는 도 2의 동작들 2.1 내지 2.5에서 수행된 것과 유사한 방식으로 수행된다. 이 예에서 인증 서비스(150)는 이미 도메인에 등록되었기 때문에, 액션 4.2에서, ME 서버 티켓(즉, 매니지어빌리티 엔진(140)의 인증된 서비스(150)로 액세스하는 서비스 티켓)이 도메인 제어기(170)에 의해 인증 클라이언트(120)로 제공된다. 도메인 제어기(170)는 이용자의 특권들을 더 평가하고 액세스를 암호화하여 수여하는데 필요한 언락 토큰들을 찾음으로써, 자원들(RN +I 내지 RY), 액세스하는데 이용자가 검증되었던 ATA 자원들에 대한 언락 토큰들이 인증 클라이언트(120)로 제공된다. 액션 4.3에서, 인증 클라이언트(120)는 액세스 특권들이 수여될 수 있도록 인증된 서비스(150)에 자원들(RN +1 내지 RY)에 대한 언락 토큰들 및 ME 서버 티켓을 제공한다.
액션 4.4에서, ATA 디바이스들(180) 자원들(RN +1 내지 RY)에 액세스하라는 요청에 응답하여, 인증된 서비스(150)는 자원들(RN +1 내지 RY)에 대한 언락 토큰들을 ATA 명령 모듈(130)로 제공한다. 그리고 나서 ATA 명령 모듈(130)은 언락 명령을 ATA 디바이스들(180)에 발행하고 디바이스를 언락한다.
액션 4.6에서, 인증된 서비스(150)는 자원들(RY +1 내지 Rz)에 대한 언락 토큰들을 도난 방지 서비스(160)에 제공한다. 액션 4.7에서, 도난 방지 서비스(160)는 ME-제어 자원들(190)을 언락한다. 예를 들어, 언락 토큰은 칩셋 제어기들에 대해 전력이 가능하거나 불가능할 수 있고/있거나 전력 상태를 변경시킬 수 있다. 하나의 실시예에서, 언락 토큰은 도메인 제어기(170)에 의해 제공되는 다 된 토큰 값을 재충전하는데 이용되는 토큰 값을 포함한다.
도 5는 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 제어를 위한 도메인-인증으로 구성되는 시스템의 블록도이다. 호스트 컴퓨터 시스템에 대응하는 플랫폼(500)은 데스크탑 관리 인터페이스(DMI)(511)를 통해 칩셋(520)에 접속되는 프로세서(510)를 포함한다. 프로세서(510)는 플랫폼(500)에 프로세싱 전력을 제공하고 단일 코어 또는 다중 코어 프로세서일 수 있으며, 하나 이상의 프로세서가 플랫폼(500)에 포함될 수 있다. 프로세서(510)는 하나 이상의 시스템 버스들, 통신 경로들 또는 매체들(도시되지 않음)을 통해 플랫폼(500)의 다른 구성요소들에 접속될 수 있다.
칩셋(520)은 호스트 프로세서(510)와는 독립적으로 동작하는 임베디드 마이크로프로세서로서 구현될 수 있는 매니지어빌리티 엔진(ME)(530)을 포함하여 플랫폼(500)의 구성 및 동작을 관리한다. 하나의 실시예에서, 프로세서(510)는 호스트 운영 시스템(도시되지 않음)의 지시를 받아 동작하는데 반해 매니지어빌리티 엔진(ME)(530)은 호스트 운영 시스템이 액세스할 수 없는 보안 및 격리 환경을 제공한다. 하나의 실시예에서, 매니지어빌리티 엔진(ME)(530)은 이용자들을 인증하고, 주변 장치들로의 액세스를 제어하고, 플랫폼(500)의 저장 디바이스들 상에 저장된 데이터의 보호를 위해 암호화 키들을 관리하고, 네트워크 제어기(560)를 통해 기업 서비스들(570)에 인터페이스를 제공한다. 기업 서비스들(570)을 이용하여, 매니지어빌리티 엔진(ME)(530)은 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 도메인 인증 제어를 제공하는 것을 포함하여, 플랫폼(500)과 같은 플랫폼들의 구성 및 관리에 대한 전사적(enterprise-wide) 정책들과 일관성을 유지한다.
ME(530) 및 기업 서비스들(570) 사이의 통신은 대역외 통신 채널(571)을 통해 발생한다. 하나의 실시예에서, 대역외 통신 채널(571)은 호스트 시스템 상의 매니지어빌리티 엔진(ME)(530) 및 호스트 시스템을 관리하는 기업 서비스들(570) 사이의 보안 통신 채널이다. 플랫폼(500) 및 기업 서비스들(570) 사이의 보안 통신을 가능하게 하는 암호화/복호화 키들은 칩셋(520) 및 매니지어빌리티 엔진(ME)(530)의 제작 중에 도 5의 플래시 메모리(590)에 저장될 수 있다.
도 5에서의 실시예에서, 매니지어빌리티 엔진(ME)(530)은 매니지어빌리티 엔진 제어기 인터페이스(MECI)(531)를 통해 마이크로 제어기(540)에 결합된다. 하나의 실시예에서, 마이크로 제어기(540)는 저장 명령 디코딩 및 다른 가속 동작들을 수행하는 범용 제어기이다. 도시된 실시예에서, 매니지어빌리티 엔진(ME)(530)은 마이크로 제어기(540)의 작동을 제어하고, 마이크로 제어기(540)는 차례로 저장 제어기(550)의 작동을 제어한다. 마이크로 제어기(540)는 임의의 디스크 암호화 기능과 관련되는 논리뿐만 아니라 저장 제어기(550)에 대한 드라이버들을 포함한다. 저장 제어기(550)는 저장 디바이스(552)와 같은 저장 디바이스들에 대한 제어기이고 마이크로 제어기(540) 및 ME(530)가 저장 디바이스(552) 상에 저장된 데이터에 액세스하는 것을 가능하게 한다.
플랫폼(500)은 동적 임의 액세스 메모리(DRAM)(512), 칩셋(520) 내의 정적 임의 액세스 메모리(SRAM)(522), 플래시 메모리(590)뿐만 아니라 저장 제어기(550)를 통해 액세스 가능한 저장 디바이스(552)를 더 포함할 수 있다. 이 메모리 디바이스들은 임의 액세스 메모리(RAM) 및 판독 전용 메모리(ROM)를 포함할 수 있다. 본 명세서의 목적들을 위해, 용어 “ROM”은 일반적으로 소거 가능 프로그래머블 ROM(erasable programmable ROM; EPROM), 전기적 소거 가능 프로그래머블 ROM(electrically erasable programmable ROM; EEPROM), 플래시 ROM, 플래시 메모리, 등을 칭하는데 이용될 수 있다. 저장 디바이스(552)는 집적 드라이브 일렉트로닉스(integrated drive electronics; IDE) 하드 드라이브들과 같은 대용량 저장 디바이스들, 및/또는 플로피 디스크들, 광 스토리지, 테이프, 플래시 메모리, 메모리 스틱들, 디지털 비디오 디스크들, 생체 스토리지, 등과 같은 다른 디바이스들 또는 매체를 포함할 수 있다.
플래시 메모리(590)는 칩셋(520)에 의해 플래시 인터페이스(591)를 통해 액세스 가능하다. 저장 디바이스(552) 상에 그리고/또는 메모리 디바이스들 DRAM(512), SRAM(522), 및 플래시 메모리(590) 내에 저장되는 데이터는 암호화될 수 있다.
플래시 메모리(590)는 플랫폼(500)을 초기화하는데 이용되는 펌웨어를 포함한다. 초기화 펌웨어는 기본 입력/출력 시스템(BIOS) 펌웨어(592)를 포함하여 시스템 구성요소 하드웨어(비디오 디스플레이 카드 및 하드 디스크와 같은) 및 매니지어빌리티 엔진(ME)(530)을 포함하는 다른 어떤 하드웨어 디바이스들을 식별하고 초기화한다. BIOS 펌웨어(592)는 공지되어 있는 낮은 케이퍼빌리티 상태에서 동작하도록 플랫폼(500)의 시스템 구성요소 하드웨어를 준비하여, 운영 시스템을 포함하는 다양한 매체 상에 저장된 다른 소프트웨어 프로그램들이 로딩되고, 실행되고, 플랫폼(500)의 제어에 제공될 수 있다. BIOS 펌웨어(592)는 부트 프로세스 동안 매니지어빌리티 엔진(ME)(530)의 초기 구성을 가능하게 하는 BIOS/ME 통신 모듈(593)을 포함한다. 하나의 실시예에서, 매니지어빌리티 엔진(ME)(530)는 BIOS/ME 통신 모듈(593)에 등록되어 운영 시스템이 플랫폼(500)에 대해 로딩되기 바로 전에 통지를 수신한다. 이 통지는 매니지어빌리티 엔진(ME)(530)이 운영 시스템이 로딩되는 것에 대비하여 어떤 특정한 명령어를 수행할 수 있게 한다.
플래시 메모리(590)는 또한 네트워크 제어기(560)를 구성하는 네트워크 제어기 펌웨어(595) 및 칩셋(520)을 구성하는 칩셋 펌웨어(596)을 포함한다. 플래시 메모리(590)는 또한 데이터 영역(598)을 포함한다. 하나의 실시예에서, 데이터 영역(598)은 암호화되고 매니지어빌리티 엔진(ME)(530)에 의해 단지 판독만 될 수 있다. ME(530)에 의해 플랫폼 자원들의 도메인-인증 제어를 제공하는데 이용되는 정보는 플래시 메모리(590)의 데이터 영역(598) 내에 또는 저장 디바이스(552) 상에 저장될 수 있다.
프로세서(510)는 또한 비디오 제어기들, 스몰 컴퓨터 시스템 인터페이스(small computer system interface; SCSI) 제어기들, 네트워크 제어기들, 범용 직렬 버스(USB) 제어기들, 키보드 및 마우스와 같은 입력 디바이스들 등과 같은 추가 구성요소들에 통신하도록 결합될 수 있다. 플랫폼(500)은 또한 다양한 시스템 구성요소들을 통신하도록 결합시키기 위해서 메모리 제어기 허브, 입력/출력(I/O) 제어기 허브, PCI 루트 브릿지 등과 같은 하나 이상의 브릿지들 또는 허브들을 포함할 수 있다. 본원에서 이용되는 바와 같이, 용어 “bus”는 공유 통신 경로들뿐만 아니라 지점-대-지점 경로들을 칭하는데 이용될 수 있다.
예를 들어 네트워크 제어기(560)와 같은 일부 구성요소들은 버스와 통신하기 위한 인터페이스들(예를 들어 PCI 커넥터)을 구비하는 어댑터 카드들로 구현될 수 있다. 하나의 실시예에서, 하나 이상의 디바이스들은 프로그래머들 또는 논-프로그래머블 로직 디바이스들 또는 어레이들, 주문형 반도체(application-specific integrated circuits; ASICs), 임베디드 컴퓨터들, 스마트 카드들 등과 같은 구성요소들을 이용하는 임베디드 제어기들로 구현될 수 있다.
본원에서 이용되는 바와 같이, 용어 “프로세싱 시스템” 및 “데이터 프로세싱 시스템”은 단일 머신, 또는 통신하게 결합되어 같이 동작하는 머신들 또는 디바이스들의 시스템을 광의로 포함하도록 의도된다. 예의 프로세싱 시스템들은 배포 컴퓨팅 시스템들, 슈퍼컴퓨터들, 고 성능 컴퓨팅 시스템들, 컴퓨팅 클러스터들, 메인 프레임 컴퓨터들, 미니 컴퓨터들, 클라이언트 서버 시스템들, 개인용 컴퓨터들, 워크스테이션들, 서버들, 휴대용 컴퓨터들, 랩탑 컴퓨터들, 태블릿들, 전화기들, 개인용 디지털 보조장치(PDA들), 휴대용 디바이스, 오디오 및/또는 비디오 디바이스들과 같은 엔터테인먼트 디바이스들, 정보를 프로세싱하거나 전송하기 위한 다른 디바이스들을 포함하나, 제한되지 않는다.
플랫폼(500)은 키보드, 마우스 등과 같은 종래의 입력 디바이스들로부터의 입력에 의해, 그리고/또는 다른 머신, 바이오메트릭 피드백, 또는 다른 입력 소스들 또는 신호들에 의해 적어도 부분적으로 제어될 수 있다. 플랫폼(500)은 예를 들어 네트워크 인터페이스 제어기(network interface controller; NIC)(560), 모뎀, 또는 다른 통신 포트들 또는 커플링들을 통해, 하나 이상의 원격 데이터 프로세싱 시스템들(도시되지 않음)로의 하나 이상의 접속들을 이용할 수 있다.
플랫폼(500)은 물리적 및/또는 논리적 네트워크, 예를 들어 로컬 에어리어 네트워크(local area network; LAN), 광역 에어리어 네트워크(wide area network; WAN), 인트라넷, 인터넷 등을 통해 다른 프로세싱 시스템들(도시되지 않음)에 상호 접속될 수 있다. 네트워크를 포함하는 통신들은 무선 주파수(radio frequency; RF), 위성, 마이크로웨이브, IEEE(Institute of Electrical and Electronics Engineers) 802.11, 블루투스, 광, 적외선 케이블, 레이저 등을 포함하는 다양한 유선 및/또는 무선 단거리 또는 장거리 캐리어(carrier)들 및 프로토콜들을 이용할 수 있다.
도 6은 본 발명의 하나의 실시예에 따라 플랫폼 자원들의 도메인-인증 제어를 제공하기 위한 보안 파티션을 구현하기 위한 가상 머신 환경을 도시하는 도면이다. 플랫폼(600)이 가상화되면, 플랫폼(600)은 단 하나의 단일 프로세서만을 포함할 수 있으나 호스트 상의 가상 머신 모니터(“VMM(630)”)는 호스트의 다수의 추상물들 및/또는 뷰(view)들을 제공할 수 있어서, 호스트의 기본 하드웨어는 독립적으로 동작하는 하나 이상의 가상 머신들(“VM들”)로 보인다. VMM(630)이 소프트웨어(예를 들어, 독립형 프로그램 및/또는 호스트 운영 시스템의 구성요소로서), 하드웨어, 펌웨어, 및/또는 이들의 결합으로 구현될 수 있다. VMM(630)은 호스트 상의 자원들의 할당을 관리하고 필요에 따라 컨텍스트 전환을 수행하여 라운드 로빈 또는 다른 소정의 방식에 따라 다양한 VM들을 순환시킨다. 단 하나의 프로세서가 도시될지라도(“프로세서(605)”), 본 발명의 실시예들은 이렇게 제한되지 않고 다수의 프로세서들이 또한 가상 환경 내에서 이용될 수 있음이 당업자에게는 분명히 자명할 것이다.
단 2개의 VM 파티션들이 도시될지라도("VM(610)” 및 “VM(620)”, 이후에는 총칭하여 “VM들”로 칭해진다), 이 VM들은 단지 예시이며 추가 가상 머신들이 호스트에 추가될 수 있다. VM(610) 및 VM(620)은 각각 내장된 플랫폼들로 기능하여, 자기 자신의 “게스트 운영 시스템들”(즉, VMM(630)에 의해 호스팅되는 운영 시스템, “게스트 OS(611)” 및 “게스트 OS(621)”로 예시되고 이후에 총칭하여 “게스트 OS”로 칭해진다) 및 다른 소프트웨어(“게스트 소프트웨어(612)” 및 “게스트 소프트웨어(622)"로 예시되고 이후에 총칭하여 “게스트 소프트웨어”로 칭해진다)를 작동시킬 수 있다.
각각의 게스트 OS 및/또는 게스트 소프트웨어는 마치 가상 머신이 아닌 전용 컴퓨터에서 작동하고 있는 것과 같이 동작한다. 즉, 각각의 게스트 OS 및/또는 게스트 소프트웨어는 다양한 이벤트들을 제어하고 플랫폼(600) 상의 하드웨어 자원들에 액세스할 것으로 예상될 수 있다. 각각의 VM 내에서, 게스트 OS 및/또는 게스트 소프트웨어는 마치 실제로, 플랫폼(600)의 물리적 하드웨어(“호스트 하드웨어(640)”, 이는 네트워크 제어기(660)를 포함할 수 있다)에서 작동하고 있는 것처럼 작동할 수 있다.
도 1의 매니지어빌리티 엔진(ME)(140)과 같은 전용 프로세서가 있는 물리적 하드웨어 파티션은 가상 파티션(도 6에 도시된 바와 같은)보다 더 높은 레벨의 보안을 제공할 수 있음이 당업자에게는 분명히 자명할 것이지만, 본 발명의 실시예들은 다양한 레벨들의 보안을 제공하기 위해 환경 및/또는 이 환경들의 결합으로 실행될 수 있다. ME, AMT 또는 PRL 플랫폼이 가상 환경 내에서 구현될 수 있음이 또한 당업자에게는 분명히 자명할 것이다. 예를 들어, VM(620)는 호스트 상에 ME 파티션으로 전용될 수 있고 반면에 VM(610)는 호스트 상에서 전형적인 애플리케이션들을 가동시킨다. 이 시나리오에서, 호스트는 다수의 프로세서들을 포함할 수 있거나 포함하지 않을 수 있다. 호스트가 예를 들어 2개의 프로세서들을 포함하면, VM(620)에는 다른 프로세서가 할당될 수 있고 반면에 VM(610)(및 호스트 상의 다른 VM들)은 프로세서(605)의 자원들을 공유할 수 있다. 반면에, 호스트가 단 하나의 단일 프로세서를 포함하면, 프로세서는 양 VM들 모두에 대해 작업할 수 있으나, VM(620)은 호스트 상의 다른 VM들과는 여전히 떨어져서 VMM(630)와 협력할 수 있다. 간소화를 위해, 본 발명의 실시예들은 매니지어빌리티 엔진(ME) 환경에서 기술되지만, 본 발명의 실시예들은 그렇게 제한되지 않는다. 대신, 매니지어빌리티 엔진, 즉 ME, “파티션”, “보안 파티션”, “안전 파티션” 및/또는 “관리 파티션”에 대해 어떤 것을 언급하더라도 임의의 물리적 및/또는 가상 파티션(상술한 바와 같은)을 포함할 것이다.
가동 시에 또는 새로운 디바이스가 플랫폼으로 핫-플러깅되면, VMM(630)은 디바이스를 VM(610 또는 620)로 할당한다.
플래시 메모리(190)는 각각의 VM과 연관되는 이용자 계정 메타데이터를 유지하는데 또한 이용된다. 저장 디바이스가 디바이스 패스워드 아니면 디바이스 암호화 키를 이용하여 언락 되어야 하면, 플래시 메모리(190) 내의 이용자 계정 메타데이터가 디바이스가 할당되는 VM에 대응하는 것을 보장하기 위해 추가 검사가 수행될 수 있다.
VMM(630)은 과도적인 VM 환경들이 허가되지 않은 드라이브들을 할당하는 결과를 발생시키지 않는 것을 보장한다. 하나의 실시예에서, VMM(630)은 각각의 VM(610 및 620)에 대해 GUID(전지구적으로 고유한 ID)를 생성한다. GUID는 플래시 메모리(190) 내의 메타데이터를 파티셔닝하는데 이용된다.
본원에 개시된 메커니즘들의 실시예들은 하드웨어, 소프트웨어, 펌웨어, 또는 그와 같은 구현 방법들의 결합으로 구현될 수 있다. 본 발명의 실시예들은 적어도 하나의 프로세서, 데이터 저장 시스템(휘발성 및 비휘발성 메모리 및/또는 저장 요소들을 포함한다), 적어도 하나의 입력 디바이스, 및 적어도 하나의 출력 디바이스를 포함하는 프로그램 가능 시스템들 상에서 실행되는 컴퓨터 프로그램들로 구현될 수 있다.
프로그램 코드는 데이터를 입력하여 본원에 기술된 기능들을 수행하고 출력 정보를 생성하는데 적용될 수 있다. 본 발명의 실시예들은 또한 본 발명의 동작들을 수행하기 위한 명령어를 포함하거나 구조들, 회로들, 장치들, 프로세서들, 및/또는 본원에 기술되는 시스템 특징들을 규정하는 HDL과 같은 설계 데이터를 포함하는 머신-액세스 가능 매체를 포함한다. 그와 같은 실시예들은 또한 프로그램 제품들로 칭해질 수 있다.
그와 같은 머신 액세스 가능 저장 매체는, 제한 없이, 하드 디스크들, 플로피 디스크들, 광 디스크들, 컴팩트 디스크 판독 전용 메모리(compact disk read-only memory; CD-ROM)들, 컴팩트 디스크 리라이터블(compact disk rewritable; CD-RW)들, 및 자기-광 디스크들을 포함하는 임의의 다른 유형의 디스크와 같은 저장 매체, 판독 전용 메모리(ROM)들, 동적 임의 액세스 메모리(DRAM)들, 정적 임의 액세스 메모리(SRAM)들과 같은 임의 액세스 메모리(RAM)들, 소거 가능 프로그래머블 판독 전용 메모리(EPROM)들, 플래시 프로그래머블 메모리(FLASH)들, 전기적 소거 가능 프로그래머블 판독 전용 메모리(EEPROM)들, 자기 또는 광학 카드들과 같은 반도체 디바이스들, 또는 전자 명령어를 저장하는데 적합한 임의의 다른 유형의 매체를 포함하는 머신 또는 디바이스에 의해 제작 또는 형성되는 입자들의 유형의 배열들을 포함할 수 있다.
출력 정보는 공지된 방식으로 하나 이상의 출력 디바이스들에 적용될 수 있다. 이 적용을 위해, 프로세싱 시스템은 예를 들어; 디지털 신호 프로세서(digital signal processor; DSP), 마이크로 제어기, 주문형 반도체(application specific integrated circuit; ASIC), 또는 마이크로프로세서와 같은 프로세서를 가지는 임의의 시스템을 포함한다.
프로그램들은 프로세싱 시스템과의 통신을 위해 고 레벨 절차 또는 객체 지향 프로그래밍 언어로 구현될 수 있다. 프로그램들은 또한 원하는 경우, 어셈블리 또는 기계어로 구현될 수 있다. 실제로, 본원에 기술된 메커니즘들은 범위에 있어서 임의의 특정한 프로그래밍 언어로 제한되지 않는다. 어떠한 경우에도, 언어는 컴파일링되거나 해석되는 언어일 수 있다.
플랫폼 자원들의 도메인-인증 제어를 위한 방법들 및 시스템들의 실시예들이 본원에서 제시된다. 본 발명의 특정한 실시예들이 도시되고 기술되었을지라도, 당업자에게는 수많은 변형들, 변경들 및 수정들이 첨부된 청구항들의 범위를 벗어나지 않고 행해질 수 있음이 명확할 것이다. 따라서, 당업자는 변형들 및 수정들이 자체의 가장 넓은 양태로서 본 발명을 벗어나지 않고 행해질 수 있음을 인정할 것이다. 첨부된 청구항들은 자신들의 범위 내에서 본 발명의 진정한 범위 및 정신 내에 해당하는 모든 그와 같은 변경들, 변형들 및 수정들을 포함할 수 있다.

Claims (35)

  1. 컴퓨터로 구현되는 방법에 있어서,
    플랫폼에 대한 운영 시스템을 로딩하기 전에 상기 플랫폼에 대한 도메인 크리덴셜(domain credential)을 획득하는 단계와,
    상기 플랫폼으로부터 원격인 도메인 제어기를 통해 상기 도메인 크리덴셜을 인증하는 단계와,
    상기 도메인 제어기를 통해 상기 도메인 크리덴셜을 인증하는 것에 응답하여 상기 플랫폼에 대한 액세스 제어 정책(access control policy)을 수신하는 단계와 - 상기 액세스 제어 정책은 상기 도메인 크리덴셜이 액세스할 권한을 가지는 상기 플랫폼의 자원에 대응하는 자원 식별기(resource identifier)를 포함함 -,
    상기 액세스 제어 정책의 상기 자원 식별기에 기초하여 상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 상기 자원을 식별하는 단계와,
    상기 플랫폼에 대한 운영 시스템을 로딩하기 전에 상기 도메인 크리덴셜을 이용하여 상기 플랫폼의 자원을 언락(unlock)하는 단계를 포함하는
    방법.
  2. 제 1 항에 있어서,
    상기 도메인 크리덴셜은 상기 플랫폼의 이용자에 대한 크리덴셜과 상기 플랫폼의 보안 파티션(partition)에 대한 크리덴셜 중 적어도 하나를 포함하는
    방법.

  3. 제 1 항에 있어서,
    상기 도메인 크리덴셜을 이용하여 상기 자원에 저장된 데이터를 복호화하는 키를 획득하는 단계와,
    상기 키를 이용하여 상기 자원에 저장된 데이터를 복호화하는 단계를 더 포함하는
    방법.
  4. 제 1 항에 있어서,
    상기 플랫폼의 상기 액세스 제어 정책은 상기 도메인 제어기에 의해 유지되고,
    상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 자원을 식별하는 단계는, 상기 플랫폼에 대한 상기 수신된 액세스 제어 정책을 리뷰하는(reviewing) 단계를 포함하는
    방법.
  5. 제 1 항에 있어서,
    상기 플랫폼의 자원을 언락하는 단계는 상기 도메인 제어기와 상기 자원 사이에 보안 통신 세션을 설정하는 단계를 포함하는
    방법.
  6. 제 1 항에 있어서,
    상기 자원을 언락하는 단계는 상기 자원에 전력을 제공하는 단계를 포함하는
    방법.
  7. 제 1 항에 있어서,
    상기 도메인 제어기로부터 언락 토큰을 획득하는 단계를 더 포함하되,
    상기 자원을 언락하는 단계는 상기 언락 토큰을 이용하여 상기 자원을 언락하는 단계를 포함하는
    방법.
  8. 제 1 항에 있어서,
    상기 자원은 ATA 디바이스와 칩셋-제어 자원 중 적어도 하나를 포함하는
    방법.
  9. 삭제
  10. 삭제
  11. 삭제
  12. 삭제
  13. 삭제
  14. 삭제
  15. 삭제
  16. 삭제
  17. 명령어를 포함하는 컴퓨터 판독 가능 저장 매체로서,
    상기 명령어는, 프로세싱 시스템에서 실행될 때, 상기 프로세싱 시스템으로 하여금,
    플랫폼에 대한 운영 시스템을 로딩하기 전에 상기 플랫폼에 대한 도메인 크리덴셜을 획득하는 동작과,
    도메인 제어기를 통해 상기 도메인 크리덴셜을 인증하는 것에 응답하여 상기 플랫폼에 대한 액세스 제어 정책을 수신하는 동작과 - 상기 액세스 제어 정책은 상기 도메인 크리덴셜이 액세스할 권한을 가지는 상기 플랫폼의 자원에 대응하는 자원 식별기를 포함함 -,
    상기 플랫폼으로부터 원격인 도메인 제어기를 통해 상기 도메인 크리덴셜을 인증하는 동작과,
    상기 액세스 제어 정책의 상기 자원 식별기에 기초하여 상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 상기 자원을 식별하는 동작과,
    상기 플랫폼에 대한 운영 시스템을 로딩하기 전에 상기 도메인 크리덴셜을 이용하여 상기 플랫폼의 자원을 언락하는 동작을 수행하도록 하는
    컴퓨터 판독 가능 저장 매체.
  18. 제 17 항에 있어서,
    상기 도메인 크리덴셜은 상기 플랫폼의 이용자에 대한 크리덴셜과 상기 플랫폼의 보안 파티션에 대한 크리덴셜 중 적어도 하나를 포함하는
    컴퓨터 판독 가능 저장 매체.
  19. 제 17 항에 있어서,
    상기 명령어는 상기 프로세싱 시스템으로 하여금 또한,
    상기 도메인 크리덴셜을 이용하여 상기 자원에 저장된 데이터를 복호화하는 키를 획득하는 동작과,
    상기 키를 이용하여 상기 자원에 저장된 데이터를 복호화하는 동작을 수행하도록 하는
    컴퓨터 판독 가능 저장 매체.
  20. 제 17 항에 있어서,
    상기 플랫폼에 대한 상기 액세스 제어 정책은 상기 도메인 제어기에 의해 유지되고,
    상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 자원을 식별하는 동작은 상기 플랫폼에 대한 상기 수신된 액세스 제어 정책을 리뷰하는 동작을 포함하는
    컴퓨터 판독 가능 저장 매체.
  21. 제 17 항에 있어서,
    상기 플랫폼의 자원을 언락하는 동작은 상기 도메인 제어기와 상기 자원 사이에 보안 통신 세션을 설정하는 동작을 포함하는
    컴퓨터 판독 가능 저장 매체.
  22. 제 17 항에 있어서,
    상기 자원을 언락하는 동작은 상기 자원에 전력을 제공하는 동작을 포함하는
    컴퓨터 판독 가능 저장 매체.
  23. 제 17 항에 있어서,
    상기 명령어는 상기 프로세싱 시스템으로 하여금 또한,
    상기 도메인 제어기로부터 언락 토큰을 획득하는 동작을 수행하도록 하되,
    상기 자원을 언락하는 동작은 상기 언락 토큰을 이용하여 상기 자원을 언락하는 동작을 포함하는
    컴퓨터 판독 가능 저장 매체.
  24. 제 17 항에 있어서,
    상기 자원은 ATA 디바이스와 칩셋-제어 자원 중 적어도 하나를 포함하는
    컴퓨터 판독 가능 저장 매체.
  25. 컴퓨터로 구현되는 방법에 있어서,
    플랫폼으로부터 원격인 도메인 제어기에서 상기 플랫폼에 대한 도메인 크리덴셜을 수신하는 단계와,
    상기 도메인 크리덴셜을 인증하는 단계와,
    상기 도메인 크리덴셜을 인증하는 것에 응답하여 상기 플랫폼에 액세스 정책을 제공하는 단계를 포함하되,
    상기 액세스 정책은 (i) 상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 자원을 식별하는 자원 식별기와 (ii) 상기 자원을 언락하기 위한 토큰을 포함하는
    컴퓨터로 구현되는 방법.
  26. 제 25 항에 있어서,
    상기 도메인 크리덴셜은 상기 플랫폼의 이용자에 대한 크리덴셜과 상기 플랫폼의 보안 파티션에 대한 크리덴셜 중 적어도 하나를 포함하는
    컴퓨터로 구현되는 방법.
  27. 제 25 항에 있어서,
    상기 자원은 ATA 디바이스와 칩셋-제어 자원 중 적어도 하나를 포함하는
    컴퓨터로 구현되는 방법.
  28. 플랫폼의 자원을 언락(unlock)하는 컴퓨팅 디바이스로서,
    (ⅰ) 플랫폼에 대한 운영 시스템을 로딩하기 전에 상기 플랫폼에 대한 도메인 크리덴셜을 획득하고, (ⅱ) 상기 플랫폼으로부터 원격인 도메인 제어기를 통해 상기 도메인 크리덴셜을 인증하며, (iii) 상기 도메인 제어기를 통해 상기 도메인 크리덴셜을 인증하는 것에 응답하여 상기 플랫폼에 대한 액세스 제어 정책을 수신하는 - 상기 액세스 제어 정책은 상기 도메인 크리덴셜이 액세스할 권한을 가지는 상기 플랫폼의 자원에 대응하는 자원 식별기를 포함함 - 인증 클라이언트(an authentication client)와,
    상기 액세스 제어 정책의 상기 자원 식별기에 기초하여 상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 상기 자원을 식별하는 인증된 서비스(an authenticated service)와,
    상기 플랫폼에 대한 운영 시스템을 로딩하기 전에 상기 도메인 크리덴셜을 이용하여 상기 플랫폼의 자원을 언락하는 명령 모듈(a command module)을 포함하는
    컴퓨팅 디바이스.
  29. 제 28 항에 있어서,
    상기 도메인 크리덴셜은 상기 플랫폼의 이용자에 대한 크리덴셜과 상기 플랫폼의 보안 파티션에 대한 크리덴셜 중 적어도 하나를 포함하는
    컴퓨팅 디바이스.
  30. 제 28 항에 있어서,
    상기 인증된 서비스는 또한,
    상기 도메인 크리덴셜을 이용하여 상기 자원에 저장된 데이터를 복호화하는 키를 획득하고,
    상기 플랫폼의 상기 자원은 상기 키를 이용하여 상기 자원에 저장된 데이터를 복호화하는
    컴퓨팅 디바이스.
  31. 제 28 항에 있어서,
    상기 플랫폼에 대한 상기 액세스 제어 정책은 상기 도메인 제어기에 의해 유지되고,
    상기 도메인 크리덴셜이 액세스할 권한을 가진 상기 플랫폼의 자원을 식별하는 것은, 상기 플랫폼에 대한 상기 수신된 액세스 제어 정책을 리뷰하는 것을 포함하는
    컴퓨팅 디바이스.
  32. 제 28 항에 있어서,
    상기 플랫폼의 자원을 언락하는 것은 상기 도메인 제어기와 상기 자원 사이에 보안 통신 세션을 설정하는 것을 포함하는
    컴퓨팅 디바이스.
  33. 제 28 항에 있어서,
    상기 자원을 언락하는 것은 상기 자원에 전력을 제공하는 것을 포함하는
    컴퓨팅 디바이스.
  34. 제 28 항에 있어서,
    상기 인증된 서비스는 또한,
    상기 도메인 제어기로부터 언락 토큰(token)을 획득하고,
    상기 자원을 언락하는 것은 상기 언락 토큰을 이용하여 상기 자원을 언락하는 것을 포함하는
    컴퓨팅 디바이스.
  35. 제 28 항에 있어서,
    상기 자원은 ATA 디바이스와 칩셋-제어 자원(a chipset-controlled resource) 중 적어도 하나를 포함하는
    컴퓨팅 디바이스.
KR1020137000796A 2010-07-14 2011-07-08 플랫폼 자원들의 도메인-인증 제어 KR101471379B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/836,156 2010-07-14
US12/836,156 US10482254B2 (en) 2010-07-14 2010-07-14 Domain-authenticated control of platform resources
PCT/US2011/043411 WO2012009231A2 (en) 2010-07-14 2011-07-08 Domain-authenticated control of platform resources

Publications (2)

Publication Number Publication Date
KR20130044293A KR20130044293A (ko) 2013-05-02
KR101471379B1 true KR101471379B1 (ko) 2014-12-24

Family

ID=45467912

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020137000796A KR101471379B1 (ko) 2010-07-14 2011-07-08 플랫폼 자원들의 도메인-인증 제어

Country Status (7)

Country Link
US (2) US10482254B2 (ko)
EP (1) EP2593898B1 (ko)
JP (1) JP5592565B2 (ko)
KR (1) KR101471379B1 (ko)
CN (1) CN103003822B (ko)
TW (1) TWI450559B (ko)
WO (1) WO2012009231A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11366906B2 (en) 2010-07-14 2022-06-21 Intel Corporation Domain-authenticated control of platform resources

Families Citing this family (57)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8266429B2 (en) 2004-07-20 2012-09-11 Time Warner Cable, Inc. Technique for securely communicating and storing programming material in a trusted domain
US8312267B2 (en) 2004-07-20 2012-11-13 Time Warner Cable Inc. Technique for securely communicating programming content
US8520850B2 (en) 2006-10-20 2013-08-27 Time Warner Cable Enterprises Llc Downloadable security and protection methods and apparatus
US8621540B2 (en) 2007-01-24 2013-12-31 Time Warner Cable Enterprises Llc Apparatus and methods for provisioning in a download-enabled system
US8909940B2 (en) * 2008-06-23 2014-12-09 Intel Corporation Extensible pre-boot authentication
US9602864B2 (en) 2009-06-08 2017-03-21 Time Warner Cable Enterprises Llc Media bridge apparatus and methods
US8910295B2 (en) * 2010-11-30 2014-12-09 Comcast Cable Communications, Llc Secure content access authorization
US8799997B2 (en) 2011-04-18 2014-08-05 Bank Of America Corporation Secure network cloud architecture
US8918862B2 (en) * 2011-08-31 2014-12-23 International Business Machines Corporation Managing access to storage media
US8839350B1 (en) * 2012-01-25 2014-09-16 Symantec Corporation Sending out-of-band notifications
US9727740B2 (en) * 2012-01-30 2017-08-08 Hewlett-Packard Development Company, L.P. Secure information access over network
US8732456B2 (en) * 2012-04-13 2014-05-20 General Electric Company Enterprise environment disk encryption
US8782768B2 (en) * 2012-06-15 2014-07-15 Vmware, Inc. Systems and methods for accessing a virtual desktop
US10771448B2 (en) 2012-08-10 2020-09-08 Cryptography Research, Inc. Secure feature and key management in integrated circuits
US9838370B2 (en) 2012-09-07 2017-12-05 Oracle International Corporation Business attribute driven sizing algorithms
US9069979B2 (en) * 2012-09-07 2015-06-30 Oracle International Corporation LDAP-based multi-tenant in-cloud identity management system
US9336357B2 (en) 2012-09-28 2016-05-10 Intel Corporation Secure access management of devices
US9565472B2 (en) 2012-12-10 2017-02-07 Time Warner Cable Enterprises Llc Apparatus and methods for content transfer protection
US9705869B2 (en) 2013-06-27 2017-07-11 Intel Corporation Continuous multi-factor authentication
US9390248B2 (en) * 2013-08-28 2016-07-12 Intel Corporation Systems and methods for authenticating access to an operating system by a user before the operating system is booted using a wireless communication token
CN104601529B (zh) * 2013-10-31 2019-12-17 腾讯科技（深圳）有限公司 终端账号管理方法及装置
US10375013B2 (en) 2013-11-11 2019-08-06 Amazon Technologies, Inc. Managed directory service connection
US9736159B2 (en) 2013-11-11 2017-08-15 Amazon Technologies, Inc. Identity pool bridging for managed directory services
US10908937B2 (en) 2013-11-11 2021-02-02 Amazon Technologies, Inc. Automatic directory join for virtual machine instances
US9407615B2 (en) * 2013-11-11 2016-08-02 Amazon Technologies, Inc. Single set of credentials for accessing multiple computing resource services
US9846584B1 (en) * 2014-01-29 2017-12-19 Phoenix Technologies Ltd. Promoting a secure operating environment through oversight and provisioning of BIOS activity
CN105934751B (zh) * 2014-01-30 2020-02-07 惠普发展公司，有限责任合伙企业 目标设备的数据擦除
KR102204247B1 (ko) * 2014-02-19 2021-01-18 삼성전자 주식회사 전자 장치의 생체 정보 처리 방법 및 장치
US10389709B2 (en) 2014-02-24 2019-08-20 Amazon Technologies, Inc. Securing client-specified credentials at cryptographically attested resources
US9411975B2 (en) 2014-03-31 2016-08-09 Intel Corporation Methods and apparatus to securely share data
US9621940B2 (en) 2014-05-29 2017-04-11 Time Warner Cable Enterprises Llc Apparatus and methods for recording, accessing, and delivering packetized content
US20160105400A1 (en) * 2014-10-08 2016-04-14 Time Warner Cable Enterprises Llc Apparatus and methods for data transfer beteween a plurality of user devices
US10303879B1 (en) 2014-11-06 2019-05-28 Amazon Technologies, Inc. Multi-tenant trusted platform modules
CN105678117B (zh) * 2014-11-19 2019-12-20 比亚迪股份有限公司 单片机闪存程序的安全性保护方法及保护装置及单片机
US9525672B2 (en) * 2014-12-19 2016-12-20 Amazon Technologies, Inc. Multi-faceted compute instance identity
US9659170B2 (en) * 2015-01-02 2017-05-23 Senteon LLC Securing data on untrusted devices
US10509663B1 (en) 2015-02-04 2019-12-17 Amazon Technologies, Inc. Automatic domain join for virtual machine instances
US9749310B2 (en) * 2015-03-27 2017-08-29 Intel Corporation Technologies for authentication and single-sign-on using device security assertions
US9565169B2 (en) 2015-03-30 2017-02-07 Microsoft Technology Licensing, Llc Device theft protection associating a device identifier and a user identifier
US20160364553A1 (en) * 2015-06-09 2016-12-15 Intel Corporation System, Apparatus And Method For Providing Protected Content In An Internet Of Things (IOT) Network
US10073964B2 (en) 2015-09-25 2018-09-11 Intel Corporation Secure authentication protocol systems and methods
US9509684B1 (en) * 2015-10-14 2016-11-29 FullArmor Corporation System and method for resource access with identity impersonation
US9762563B2 (en) 2015-10-14 2017-09-12 FullArmor Corporation Resource access system and method
US9450944B1 (en) 2015-10-14 2016-09-20 FullArmor Corporation System and method for pass-through authentication
US10037418B2 (en) * 2015-11-25 2018-07-31 Dell Products L.P. Pre-boot authentication credential sharing system
US10459751B2 (en) 2017-06-30 2019-10-29 ATI Technologies ULC. Varying firmware for virtualized device
US11107068B2 (en) 2017-08-31 2021-08-31 Bank Of America Corporation Inline authorization structuring for activity data transmission
EP3585084A1 (de) * 2018-06-18 2019-12-25 Siemens Aktiengesellschaft Einrichtung einer zugangsberechtigung zu einem teilnetzwerk eines mobilfunknetzes
CN109347831A (zh) * 2018-10-24 2019-02-15 国家电网有限公司 一种基于UKey认证的双重认证安全接入系统及方法
US11341279B2 (en) 2019-07-29 2022-05-24 International Business Machines Corporation Management of securable computing resources
US10916889B1 (en) 2019-07-29 2021-02-09 International Business Machines Corporation Management of securable computing resources
US11531787B2 (en) 2019-07-29 2022-12-20 International Business Machines Corporation Management of securable computing resources
US11341278B2 (en) 2019-07-29 2022-05-24 International Business Machines Corporation Management of securable computing resources
US11210427B2 (en) 2019-07-29 2021-12-28 International Business Machines Corporation Management of securable computing resources
US11669602B2 (en) 2019-07-29 2023-06-06 International Business Machines Corporation Management of securable computing resources
KR102308511B1 (ko) * 2020-02-04 2021-10-06 (주) 씨이랩 빅데이터 및 인공지능을 이용한 사용자 정보 통합 플랫폼 및 이의 운용방법
US11392705B1 (en) * 2021-07-29 2022-07-19 Netskope, Inc. Disk encryption key management for booting of a device

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004070875A (ja) * 2002-08-09 2004-03-04 Alpine Electronics Inc セキュアシステム
US20060190985A1 (en) * 2005-02-23 2006-08-24 Microsoft Corporation Automated policy change alert in a distributed enterprise
JP2008052704A (ja) * 2006-08-28 2008-03-06 Lenovo Singapore Pte Ltd コンピュータおよび共有パスワードの管理方法
KR20100080390A (ko) * 2008-12-30 2010-07-08 인텔 코오퍼레이션 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템

Family Cites Families (51)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6484262B1 (en) 1999-01-26 2002-11-19 Dell Usa, L.P. Network controlled computer system security
US6834351B1 (en) * 1999-10-29 2004-12-21 Gateway, Inc. Secure information handling system
US6999912B2 (en) * 2001-03-13 2006-02-14 Microsoft Corporation Provisioning computing services via an on-line networked computing environment
US7149854B2 (en) * 2001-05-10 2006-12-12 Advanced Micro Devices, Inc. External locking mechanism for personal computer memory locations
US7590684B2 (en) 2001-07-06 2009-09-15 Check Point Software Technologies, Inc. System providing methodology for access control with cooperative enforcement
US7043587B2 (en) * 2001-09-20 2006-05-09 Lenovo (Singapore) Pte. Ltd. System and method for connecting a universal serial bus device to a host computer system
US7167919B2 (en) * 2001-12-05 2007-01-23 Canon Kabushiki Kaisha Two-pass device access management
US20030177388A1 (en) * 2002-03-15 2003-09-18 International Business Machines Corporation Authenticated identity translation within a multiple computing unit environment
US7096333B2 (en) 2002-07-18 2006-08-22 International Business Machines Corporation Limited concurrent host access in a logical volume management data storage environment
US7546452B2 (en) * 2002-08-20 2009-06-09 Intel Corporation Hardware-based credential management
US8065717B2 (en) * 2002-11-27 2011-11-22 Activcard Automated security token administrative services
US20040215650A1 (en) * 2003-04-09 2004-10-28 Ullattil Shaji Interfaces and methods for group policy management
JP4649096B2 (ja) 2003-05-27 2011-03-09 キヤノン株式会社 情報処理システム
CN100459659C (zh) * 2003-09-17 2009-02-04 松下电器产业株式会社 应用执行设备、应用执行方法、和集成电路
US7424610B2 (en) * 2003-12-23 2008-09-09 Intel Corporation Remote provisioning of secure systems for mandatory control
US20050246529A1 (en) * 2004-04-30 2005-11-03 Microsoft Corporation Isolated persistent identity storage for authentication of computing devies
US20050262361A1 (en) 2004-05-24 2005-11-24 Seagate Technology Llc System and method for magnetic storage disposal
US7774824B2 (en) * 2004-06-09 2010-08-10 Intel Corporation Multifactor device authentication
US20070136581A1 (en) * 2005-02-15 2007-06-14 Sig-Tec Secure authentication facility
US7546632B2 (en) * 2005-02-17 2009-06-09 Cisco Technology, Inc. Methods and apparatus to configure a network device via an authentication protocol
DE102005014352A1 (de) 2005-03-24 2006-09-28 Utimaco Safeware Ag Verfahren und Steuervorrichtung zur Steuerung eines Zugriffs eines Computers auf Nutzdaten
US7451301B2 (en) * 2005-03-30 2008-11-11 Intel Corporation OS independent device management methods and apparatuses having a map providing codes for various activations of keys
US8619971B2 (en) * 2005-04-01 2013-12-31 Microsoft Corporation Local secure service partitions for operating system security
US7350074B2 (en) * 2005-04-20 2008-03-25 Microsoft Corporation Peer-to-peer authentication and authorization
US7657746B2 (en) 2005-04-22 2010-02-02 Microsoft Corporation Supporting statements for credential based access control
US8972743B2 (en) * 2005-05-16 2015-03-03 Hewlett-Packard Development Company, L.P. Computer security system and method
US8549592B2 (en) 2005-07-12 2013-10-01 International Business Machines Corporation Establishing virtual endorsement credentials for dynamically generated endorsement keys in a trusted computing platform
JP4793628B2 (ja) 2005-09-01 2011-10-12 横河電機株式会社 Ｏｓ起動方法及びこれを用いた装置
US7693838B2 (en) * 2005-11-12 2010-04-06 Intel Corporation Method and apparatus for securely accessing data
JP2007148466A (ja) 2005-11-24 2007-06-14 Hitachi Software Eng Co Ltd 可搬型記憶装置及びｏｓ
WO2008046101A2 (en) * 2006-10-13 2008-04-17 Ariel Silverstone Client authentication and data management system
US7971232B2 (en) * 2006-10-30 2011-06-28 Microsoft Corporation Setting group policy by device ownership
US8166515B2 (en) * 2006-10-30 2012-04-24 Microsoft Corporation Group policy for unique class identifier devices
US20080162809A1 (en) * 2006-12-28 2008-07-03 Rothman Michael A Operating system-independent remote accessibility to disk storage
US20080288782A1 (en) * 2007-05-18 2008-11-20 Technology Properties Limited Method and Apparatus of Providing Security to an External Attachment Device
US8467527B2 (en) * 2008-12-03 2013-06-18 Intel Corporation Efficient key derivation for end-to-end network security with traffic visibility
US8453142B2 (en) 2007-04-26 2013-05-28 Hewlett-Packard Development Company, L.P. Virtual machine control
US9178884B2 (en) * 2007-09-07 2015-11-03 Intel Corporation Enabling access to remote entities in access controlled networks
US8078713B1 (en) * 2008-03-05 2011-12-13 Full Armor Corporation Delivering policy settings with virtualized applications
US8543799B2 (en) * 2008-05-02 2013-09-24 Microsoft Corporation Client authentication during network boot
US8909940B2 (en) * 2008-06-23 2014-12-09 Intel Corporation Extensible pre-boot authentication
US20090327702A1 (en) * 2008-06-27 2009-12-31 Microsoft Corporation Key Escrow Service
US9131008B2 (en) * 2008-09-30 2015-09-08 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Discovery profile based unified credential processing for disparate security domains
US8196177B2 (en) * 2008-10-16 2012-06-05 International Business Machines Corporation Digital rights management (DRM)-enabled policy management for a service provider in a federated environment
US8863268B2 (en) * 2008-10-29 2014-10-14 Dell Products, Lp Security module and method within an information handling system
US8219792B2 (en) * 2009-10-06 2012-07-10 Dell Products L.P. System and method for safe information handling system boot
US20110154023A1 (en) * 2009-12-21 2011-06-23 Smith Ned M Protected device management
US8250638B2 (en) * 2010-02-01 2012-08-21 Vmware, Inc. Maintaining the domain access of a virtual machine
US8370905B2 (en) * 2010-05-11 2013-02-05 Microsoft Corporation Domain access system
US10482254B2 (en) 2010-07-14 2019-11-19 Intel Corporation Domain-authenticated control of platform resources
US9172538B2 (en) * 2012-04-20 2015-10-27 T-Mobile Usa, Inc. Secure lock for mobile device

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004070875A (ja) * 2002-08-09 2004-03-04 Alpine Electronics Inc セキュアシステム
US20060190985A1 (en) * 2005-02-23 2006-08-24 Microsoft Corporation Automated policy change alert in a distributed enterprise
JP2008052704A (ja) * 2006-08-28 2008-03-06 Lenovo Singapore Pte Ltd コンピュータおよび共有パスワードの管理方法
KR20100080390A (ko) * 2008-12-30 2010-07-08 인텔 코오퍼레이션 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11366906B2 (en) 2010-07-14 2022-06-21 Intel Corporation Domain-authenticated control of platform resources

Also Published As

Publication number Publication date
TW201225617A (en) 2012-06-16
US11366906B2 (en) 2022-06-21
WO2012009231A3 (en) 2012-03-29
CN103003822A (zh) 2013-03-27
JP2013532854A (ja) 2013-08-19
JP5592565B2 (ja) 2014-09-17
EP2593898A4 (en) 2014-10-22
EP2593898A2 (en) 2013-05-22
TWI450559B (zh) 2014-08-21
CN103003822B (zh) 2016-01-27
US20120017271A1 (en) 2012-01-19
US10482254B2 (en) 2019-11-19
EP2593898B1 (en) 2017-01-11
KR20130044293A (ko) 2013-05-02
WO2012009231A2 (en) 2012-01-19
US20200065496A1 (en) 2020-02-27

Similar Documents

Publication Publication Date Title
US11366906B2 (en) Domain-authenticated control of platform resources
US10489574B2 (en) Method and system for enterprise network single-sign-on by a manageability engine
US9426147B2 (en) Protected device management
US8595483B2 (en) Associating a multi-context trusted platform module with distributed platforms
US8103883B2 (en) Method and apparatus for enforcing use of danbury key management services for software applied full volume encryption
US20080148046A1 (en) Real-Time Checking of Online Digital Certificates
GB2538518A (en) Computer device and method for controlling access to a resource via a security system
CN116010957A (zh) 安全处理器的多个物理请求接口

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20181129

Year of fee payment: 5