CN102063591B - 基于可信平台的平台配置寄存器参考值的更新方法 - Google Patents

Abstract

基于可信平台的平台配置寄存器参考值的更新方法涉及信息安全领域。可信平台控制模块的PCR参考值是评判平台可信度的依据。本发明提供了三种更新PCR参考值的方法。方法1：生成的PCR参考值是根据当前系统的状态生成的一组PCR内容，系统的可信依据建立在管理员认定此时系统是可信的，并以此状态作为评定系统将来可信的标准。方法2：生成的PCR参考值是由可信平台控制模块连接的外部可信实体对所述可信平台的当前系统所有待度量数据进行度量得到的。方法3：对所述可信平台进行默认PCR参考值的恢复。此方式避免了在可信平台控制模块芯片中占用单独的空间存储默认PCR参考值，节约了芯片的存储单元和成本，并保证了数据在传输过程中的安全性和完整性。

Description

基于可信平台的平台配置寄存器参考值的更新方法

技术领域

本发明涉及信息安全领域，尤其涉及可信平台的平台配置寄存器参考值的更新方法。

背景技术

随着对可信计算技术研究的不断深入，上层可信应用对可信芯片(国外TCG组织定义的可信芯片成为，可信平台控制模块。国内定义的可信芯片在TCG基础上加入了主动控制功能，称为可信平台控制模块。)的功能需求也在不断增加。伴随着可信芯片功能的增加，可信芯片内部实现逻辑、存储单元、固件规模、设计复杂度也在不断增长，进而影响了可信芯片的制造成本。

另一方面，芯片纳米制造工艺的飞速发展，使得芯片的集成度越来越高。并可以将之前多个板卡实现的功能集成到一颗芯片上。集成度的不断提高，芯片级别的安全隐患也渐渐凸显出来。例如：集成电路在设计过程中因设计缺陷或恶意植入使得电路或程序不受使用方控制。相对于传统安全威胁，基于芯片级别的安全威胁更难消除。为此我们需要定义可信硬件设备模型，对芯片可靠性提供检查，为可信平台提供底层硬件支持。而本发明是以国内研究的可信平台控制模块为基础，设计了可信平台的平台配置寄存器(PlatformConfiquration Registers，PCR是平台配置寄存器的英文缩写形式。它是可信控制模块上的存储区域。)参考值的更新方法来有效的保证平台的可信度。

可信平台控制模块是一种具有密码运算功能的安全芯片，主要提供完整性度量、完整性报告、可信存储、加解密操作、数字签名操作等功能。参考相关专利《一种可信平台模块及其主动度量方法》(专利号：ZL200810115280.5)

发明内容

本发明的目的在于提供了可信平台PCR参考值的更新办法。可信平台控制模块在信任链建立过程中，可信平台使用可信平台控制模块对硬件合法性的检查、工作状态的正确性、固件代码的完整性、工作模式配置信息的完整性和控制策略配置的信息的完整性等等安全相关操作，都需要通过度量操作得到PCR的值与PCR参考值比对的方式进行平台完整性验证。因此，可信平台控制模块的PCR参考值是评判平台可信度的依据。

为了达到上述目的，本发明的技术方案通过以下方法实现：

一、一种可信平台包括CPU、显卡、内存、硬件设备、BOOT ROM、可信平台控制模块和外围设备控制器，其特征在于包括：

1.1可信平台控制模块除包括：执行引擎、通信总线、非易失性存储单元、易失性存储单元、计数器和输入输出总线接口之外，还包括：控制裁决引擎、控制策略配置信息定制引擎、工作模式配置信息定制引擎、状态切换控制引擎、主动检查引擎、可信密码模块；

1.2可信密码模块除包括：对称密码算法引擎、非对称密码算法引擎、随机数发生器、度量算法引擎、执行部件、非易失性存储单元、易失性存储单元、可信接口单元和通信总线之外，还包括输入输出隔离单元。

1.3硬件设备除包括非可信硬件设备之外，还包括可信硬件设备。

可信硬件设备包括基本硬件电路、总线控制器、平台总线接口、外围总线接口、固件存储单元、策略存储单元、配置存储单元和可信模块。

总线控制器通过通信总线与基本硬件电路、平台总线接口、外围设备接口、固件存储单元、策略存储单元、配置存储单元和可信模块相互连接。

1.4外围设备控制器的控制信号输入端口连接到可信平台的处理器和可信平台控制模块；外围设备控制器的输入输出总线端口连接到可信平台的可信平台控制模块和硬件设备。

在可信平台控制模块内部，通过通信总线将控制裁决引擎、执行引擎、非易失性存储单元、易失性存储单元、计数器、输入输出总线接口、控制策略配置信息定制引擎、工作模式配置信息定制引擎、状态切换控制引擎、主动检查引擎、可信密码模块，相互连接在一起。

1.5该可信平台还包括输入输出隔离单元；

输入输出隔离单元：包括两个端口，其中一个端口通过通信总线连接对称密码算法引擎、非对称密码算法引擎、随机数发生器、度量算法引擎、执行部件、非易失性存储单元和易失性存储单元，另一个端口连接可信平台控制模块的通信总线。

参考值更新按钮：通过数据线连接到可信平台控制模块的输入输出总线接口上。

身份识别设备：通过数据线连接到可信平台控制模块的输入输出总线接口上。

身份识别设备含有一个智能卡插槽，它通过读取智能卡方式对用户的授权状态进行检查。

在Intel公司提供的计算机系统架构中，外围设备控制器可以分为北桥控制器和南桥控制器，在Intel公司之外的处理器公司提供的计算机系统架构中，外围设备控制器不区分北桥控制器和南桥控制器，而是直接与处理器相连接的设备控制器；如图6、7、8所示，分别是硬件设备与不同的外围设备控制器的连接方式；

二、所述可信平台的PCR参考值更新方法，其特征在于提供了三种更新PCR参考值的方法。

PCR参考值生成方法应用说明：

方法1：生成的PCR参考值是根据当前系统的状态生成的一组PCR内容，系统的可信依据建立在管理员认定此时系统是可信的，并以此状态作为评定系统将来可信的标准。

方法2：生成的PCR参考值是由可信平台控制模块连接的外部可信实体对所述可信平台的当前系统所有待度量数据进行度量得到的。在进行操作前，所述可信平台需要和外部可信实体进行相互可信认证。并且一般认为，外部可信实体安全级别不会低于所述可信平台。通过此方法生成的PCR参考值与方法1生成的PCR参考值通常情况下是一致的。当出现不一致情况时，由于外部可信实体的安全级别更高，并且它被所述可信平台所信任。因此，采用方法2生成的PCR参考值作为可信平台控制模块的PCR参考值。

方法3：对所述可信平台进行默认PCR参考值的恢复。默认PCR参考值指可信平台控制模块首次启动时对所述可信平台进行度量生成的一组PCR内容。

可信平台的PCR参考值存储在可信平台控制模块非易失存储单元中，命名为RPCRO-15共16个存储单元。

1、管理员主动控制实现PCR参考值的更新操作

1.1所述可信平台上电启动时，可信平台控制模块先于BIOS启动。

可信平台度量的起点需要从可信度量根出发，可信度量根存在于可信平台控制模块芯片内部。因此，所述可信平台上电时可信平台控制模块必须先于BIOS启动，由可信度量根发起平台度量操作。

度量或完整性是指采用消息摘要算法根据被度量数据生成固定字节长度的唯一且不重复的特征信息的操作。

1.2管理员按下参考值更新按钮来进行PCR参考值更新操作。

在可信平台控制模块启动，BIOS未引导时，所述可信平台的键盘还不能够被使用。因此，需要参考值更新按钮来触发可信平台控制模块的PCR参考值更新操作。

1.3可信平台控制模块通过身份识别设备认证登录用户是否为管理员。认证成功则继续进行PCR参考值更新操作，否则拒绝用户更新PCR参考值操作请求，关闭计算机。

1.4可信平台控制模块中的执行引擎对所述可信平台的BIOS引导块、BIOS上电自检代码和嵌入式Option ROM进行度量并将度量结果存储在RPCRO单元中。

嵌入式Option ROM指由主板厂商控制并维护的主板固件的二进制代码镜像。

RPCRO单元中的内容生成过程为：得到BIOS引导块的度量结果A；A拼接上BIOS上电自检代码的度量结果B再次进行度量得到结果C；将C拼接上嵌入式Option ROM的度量结果D再进行度量得到的结果E；此时将E作为RCPCRO的内容。

1.5可信平台控制模块屏蔽所述可信平台的可屏蔽中断。

PCR参考值更新过程中会对可信平台控制模块中的非易失性存储进行写操作，屏蔽可屏蔽中断是为了防止外部事件通过中断方式篡改PCR参考值或其他核心数据。

1.6CPU执行BIOS中的度量代码对所述可信平台的平台配置信息进行度量并将结果保存在RPCR1单元中。

1.7CPU执行BIOS中的度量代码度量Option ROM代码并将度量结果存储在RPCR2单元中。

1.8CPU执行BIOS中的度量代码度量Option ROM的配置信息和数据并将度量结果存储在RPCR3单元中。

1.9CPU执行BIOS中的度量代码度量IPL代码并将度量结果存储在RPCR4单元中。

1.10CPU执行BIOS中的度量代码度量IPL配置信息并将度量结果存储在RPCR5单元中。

1.11CPU执行BIOS中的度量代码度量平台状态转换事件并将度量结果存储在RPCR6单元中。

平台状态转换事件指系统从(休眠)或(关机)状态返回到(全速运行)状态事件。

1.12CPU执行IPL中的度量代码度量操作系统内核程序文件并将度量结果存储在RPCR7单元中。

1.13CPU执行IPL中的度量代码度量操作系统内核配置信息并将度量结果存储在RPCR8单元中。

1.14操作系统对应用程序及配置信息进行度量，并将结果存储在RCPR9-15单元中。

此专利所提及的操作系统特指包含运行时平台防护模块的操作系统，当操作系统运行时，它需要对核心应用程序进行度量操作并把度量结果存储在RPCR9-15单元中，具体度量的内容根据操作系统内定义的核心应用程序而有所区别。

1.15操作系统引导结束后恢复对可屏蔽中断的响应。

操作系统引导结束后，PCR参考值也完成更新，此时恢复所述可信平台对可屏蔽中断的响应。操作系统进入正常工作状态。

2、可信平台控制模块通过外部可信实体对所述可信平台进行PCR参考值的更新；

2.1管理员调用操作系统的更新PCR寄存器参考值命令，进行PCR参考值更新操作。

此专利所提及的操作系统特指包含运行时平台防护模块的操作系统。更新PCR寄存器参考值命令包含在操作系统的安全服务中。

2.2操作系统在调用更新PCR参考值命令之前，通过可信平台控制模块对管理员的身份合法性进行检查；如果是管理员，则继续执行PCR参考值更新操作，否则拒绝继续执行PCR参考值更新操作；

2.3所述可信平台向外部实体发送平台完整性度量报告的请求，当接收到回应以后所述可信平台通过内部的可信平台控制模块对返回的报告进行完整性检查。验证失败，则拒绝管理员的更新请求，返回操作系统。验证成功则认定外部实体为可信实体并将所述可信平台的平台完整性报告发送给外部实体，外部实体对所述可信平台发送的平台完整性报告进行检查。验证失败，则拒绝更新请求，返回操作系统。验证成功则重新启动所述可信平台。

2.4所述可信平台的可信平台控制模块中的执行引擎对BIOS引导块、BIOS上电自检代码和嵌入式Option ROM进行度量，并将度量结果存储在RPCRO单元中。

此阶段可信平台控制模块是主动进行度量操作的。因此，认定可信平台控制模块度量的内容数据或代码是可信的。此时内容数据或代码并不作为待度量数据发送给外部可信实体。

嵌入式Option ROM指由主板厂商控制并维护的主板固件的二进制代码镜像。

RPCRO单元中的内容生成过程为：得到BIOS引导块的度量结果A；A拼接上BIOS上电自检代码的度量结果B再次进行度量得到结果C；将C拼接上嵌入式Option ROM的度量结果D再进行度量得到的结果E；此时将E作为RCPCRO的内容。

2.5所述可信平台的可信平台控制模块屏蔽可信平台的可屏蔽中断。

PCR参考值更新过程中会对可信平台控制模块中的非易失性存储进行写操作，屏蔽所有可屏蔽中断是为了防止外部事件通过中断方式篡改PCR参考值或其他核心数据。

2.6所述可信平台的CPU执行BIOS中的度量代码对所述可信平台的平台配置信息进行度量并将结果保存在RPCR1单元中。另外，所述可信平台向外部可信实体发送RPCRO内容和主机平台配置信息的加密密文，外部可信实体接收数据解密后对RPCRO内容和所述可信平台的配置信息的明文进行度量。

2.7所述可信平台的CPU执行BIOS中的度量代码度量Option ROM代码，并将度量结果存储在RPCR2单元中。另外，所述可信平台向外部可信实体发送Option ROM代码数据的加密密文，

2.8所述可信平台的CPU执行BIOS中的度量代码度量Option ROM的配置信息和数据并将度量结果存储在RPCR3单元中。另外，所述可信平台向外部可信实体发送Option ROM的配置信息和数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.9所述可信平台的CPU执行BIOS中的度量代码度量IPL代码并将度量结果存储在RPCR4单元中。另外，所述可信平台向外部可信实体发送IPL代码数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.10所述可信平台的CPU执行BIOS中的度量代码度量IPL配置信息并将度量结果存储在RPCR5中。另外，所述可信平台向外部可信实体发送IPL配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.11所述可信平台的CPU执行BIOS中的度量代码度量平台状态转换事件并将度量结果存储在RPCR6单元中。另外，所述可信平台向外部可信实体发送平台状态转换事件数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

平台状态转换事件指系统从(休眠)或(关机)状态返回到(全速运行)状态事件。

2.12所述可信平台的CPU执行IPL中的度量代码度量操作系统内核程序文件并将度量结果存储在RPCR7单元中。另外，所述可信平台向外部可信实体发送作系统内核程序文件数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.13所述可信平台的CPU执行IPL中的度量代码度量操作系统内核配置信息并将度量结果存储在RPCR8单元中。另外，所述可信平台向外部可信实体发送操作系统内核配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.14所述可信平台的操作系统对应用程序及配置信息进行度量，并将结果存储在RCPR9-15单元中。另外，所述可信平台向外部可信实体发送应用程序及配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

当操作系统运行时，它需要对核心应用程序进行度量操作并把度量结果存储在RPCR9-15单元中，具体度量的内容根据操作系统内定义的核心应用程序而有所区别。

2.15所述可信平台将由所属可信平台生成的PCR参考值加密后发送给外部可信实体，外部可信实体将所述可信平台生成的PCR参考值与由外部实体度量的结果进行比对。比对结果一致时，返回比对成功信息，所述可信平台不进行PCR参考值更新。否则，返回外部实体的度量结果，所述可信平台根据此结果完成PCR参考值更新。

2.16所述可信平台的操作系统引导结束后恢复软件和硬件中断；

操作系统引导结束后，PCR参考值也完成更新，此时恢复所述可信平台的软件和硬件中断。操作系统进入正常工作状态。

3、可信平台控制模块通过外部可信实体恢复所述可信平台的默认PCR参考值的方法；

3.1管理员调用操作系统的恢复所述可信平台的默认PCR参考值命令，进行PCR参考值更新操作。

3.2操作系统在调用更新PCR参考值命令之前，通过可信平台控制模块对用户的身份合法性进行检查。检查通过，则继续进行更新PCR参考值的后续操作。否则，拒绝更新请求，返回操作系统。

3.3所述可信平台向外部实体发送平台完整性度量报告的请求，当接收到回应以后所述可信平台通过内部的可信平台控制模块对返回的报告进行完整性检查。验证失败，则拒绝管理员的更新请求，返回操作系统。验证成功，则认定外部实体为可信实体并将主机平台完整性报告发送给外部实体，外部实体对所述可信平台发送的平台完整性报告进行检查。验证失败，则拒绝更新请求，返回操作系统。验证成功则建立通信连接。

3.4所述可信平台发送获取所述可信平台的默认PCR参考值请求给外部可信实体，外部可信实体响应请求。

外部可信实体：所述可信平台的可信平台控制模块对外部实体进行身份认证和可信认证。通过身份认证和可信认证的外部实体称之为外部可信实体。可信认证是通过由所述可信平台的可信平台控制模块与外部实体的可信平台控制模块之间进行相互认证实现的。

3.5外部可信实体将所述可信平台的默认PCR参考值进行数字签名，并将数字签名与所述可信平台的默认PCR参考值进行拼接，然后加密发送给所述可信平台。

3.6所述可信平台首先解密数据，然后检查数字签名，并利用数字签名对收到的所述可信平台的PCR参考值进行完整性校验；完整性检查正确则继续执行PCR参考值更新操作，否则停止继续执行PCR参考值更新操作。

3.7所述可信平台的操作系统将通过完整性检查的所述可信平台的默认PCR参考值发给可信平台控制模块，完成所述可信平台的默认PCR参考值的更新操作。

实施效果

现有的可信平台控制模块的PCR参考值通常采用出厂时设置方式，并不能根据系统的变化进行更新。本发明提供的方法可以通过管理员的控制主动对PCR参考值进行更新，并且对更新PCR参考值时的环境进行了安全控制，确保更新PCR参考值过程中不受到外界的干扰。另外，本发明还设计了通过外部可信实体对所述可信平台待度量数据进行度量生成PCR参考值，提供更高可信要求的PCR参考值更新方式。最后，对于获取所述可信平台的默认PCR参考值，本发明中也提供了一种安全高效的方法。

1、管理员主动控制实现PCR参考值更新操作

此方式可以在可信平台核心硬件或软件发生改变以后通过管理员主动控制的方式重新生成PCR参考值。例如，可信平台中的BIOS进行了固件升级，可信平台控制模块会认定BIOS为不可信状态，此时的系统是无法被正确引导的。管理员如果认定当前状态可信时，按下特定按钮主动控制可信平台控制模块的PCR参考值进行更新操作。系统被重新认定为可信状态并被正确引导。

2、可信平台控制模块通过外部可信实体进行PCR参考值的更新

此方式在进行PCR参考值更新以前，需要对外部实体的身份进行确认，而外部实体也会对所述可信平台进行身份认证。互相握手建立信任以后，才可以进行后续操作。这个过程确保了由所述可信平台发送给外部可信实体的待度量数据是可信的。而外部实体对此数据进行度量的结果也被所述可信平台所信任。因此，由外部实体在线度量生成的PCR参考值相对于管理员主动控制实现PCR参考值方法更可靠。

3、可信平台控制模块通过外部可信实体恢复所述可信平台默认PCR参考值的方式。

此方式避免了在可信平台控制模块芯片中占用单独的空间存储默认PCR参考值，节约了芯片的存储单元和成本。另外，在进行恢复默认PCR参考值操作以前，所述可信平台与外部实体进行了相互认证。整个流程采用所述可信平台发送请求，接收回复的方式进行，其中通信的原始数据需要先使用摘要算法生成摘要值，再将摘要值与原始数据封装并采用进行加密处理。从而保证了数据在传输过程中的安全性和完整性。

附图说明

图1可信平台控制模块硬件结构，描述一种可信平台控制模块硬件组成结构的一种完整的实现方案。可信密码模块被当作一个硬件单元嵌入到可信平台控制模块中。

图2现有可信密码模块硬件结构，国家密码管理局在《可信计算密码支撑平台功能与接口规范》文档中描述了现有可信密码模块的硬件结构。

图3改造后的可信密码模块硬件结构，描述了一种在现有可信密码模块基础上进行改造的可信密码模块，通过输入输出接口模块嵌入到可信平台控制模块内部使用。

图4现有的可信密码模块与可信平台的连接方式，描述了现有可信密码模块与可信平台之间的连接方式。

图5可信平台的使用方法，描述在可信平台上的可信平台控制模块、可信硬件设备、可信管道之间的连接关系。

图6可信平台控制模块与可信平台连接方式1，描述的是外围设备控制器不区分南桥和北桥控制器的情况下，可信平台控制模块和可信平台之间的连接方式，以及参考值更新按钮和身份识别设备与可信平台控制模块的连接方式。

图7可信平台控制模块与可信平台连接方式2，描述的是外围设备控制器由南桥和北桥控制器构成的情况下，可信平台控制模块和可信平台的南桥控制器之间的连接方式，以及参考值更新按钮和身份识别设备与可信平台控制模块的连接方式。

图8可信平台控制模块与可信平台连接方式3，描述的是外围设备控制器由南桥和北桥控制器构成的情况下，可信平台控制模块和可信平台的北桥控制器之间的连接方式，以及参考值更新按钮和身份识别设备与可信平台控制模块的连接方式。

图9一种改造后的可信密码模块的具体实现方案，在具体实施方式中实现的一种改造后的可信密码模块结构，其中密码模块的算法引擎采用了国家密码管理局在《可信计算密码支撑平台功能与接口规范》文档中规定的密码算法引擎。

具体实施方式

本发明提供了可信平台控制模块PCR参考值更新的方法。以下是具体的实现方法。

一、可信平台控制模块的实现：

一种可信平台控制模块分为功能组成和硬件结构两个部分。硬件上包括输入输出总线接口、执行引擎、易失性存储单元、非易失性存储单元、可信密码模块、控制裁决引擎、工作模式配置信息定制引擎、控制策略配置信息定制引擎、主动检查引擎和状态切换控制引擎。功能上包括PCR参考值更新功能、可信密码模块管理功能、可信度量功能、可信存储功能、可信报告功能、可信设备控制功能、可信硬件设备控制策略生成功能、可信硬件设备工作模式配置信息定制功能、可信硬件设备工作状态切换控制、可信硬件设备控制策略切换控制、可信硬件设备固件代码切换控制和主动检查功能。

其中本发明主要涉及的硬件部分包括：输入输出总线接口、控制裁决引擎、工作模式配置信息定制引擎、控制策略配置信息定制引擎、主动检查引擎、状态切换控制引擎、可信密码模块，功能部分包括可信硬件设备控制裁决功能、可信硬件设备控制策略生成功能、可信硬件设备工作模式配置信息定制功能、可信硬件设备工作状态切换控制、可信硬件设备控制策略切换控制、主动度量功能、配置信息载入功能、动态算法功能。

可信硬件设备的输入输出总线接口，通过信号线连接到可信平台的外围设备控制器的控制端和总线上，然后从外围设备控制器经信号线连接到可信硬件设备的平台总线接口，最后再通过信号线连接到可信硬件设备内部的总线控制器和可信模块上。

参考值更新按钮通过数据线连接到可信平台控制模块的输入输出总线上，用于在所述可信平台BIOS引导前，键盘不能工作时，触发可信平台控制模块进行PCR参考值更新操作。

身份识别设备通过数据线连接到可信平台控制模块的输入输出中线上，用于对管理员用户进行身份的合法性认证。身份识别设备含有一个智能卡插槽，它通过读取智能卡方式对用户的授权状态进行检查完成对用户身份合法性认证。具体实现时，可以采用现有的智能卡设备。

控制裁决引擎，用于可信平台控制模块判定访问者的身份合法性和访问控制权限；用于可信平台控制模块裁决访问者调用的，可信平台控制模块定制可信硬件设备工作模式配置信息和控制策略配置信息的请求是否有权限执行；用于可信平台控制模块裁决访问者调用的，可信平台控制模块切换可信硬件设备的固件代码、工作状态和控制策略的请求是否有权限执行；用于可信平台控制模块裁决访问者调用的，可信平台控制模块主动检查连接到可信平台的可信硬件设备的身份合法性和完整性的请求是否有权限执行；在具体实现时，控制裁决引擎可以采用现有8位的8051单片机实现。

控制命令包括可信硬件设备工作模式配置信息和控制策略模式配置信息的载入和下发命令、可信硬件设备工作模式配置信息和控制策略模式配置信息的下发并且切换命令、可信硬件设备工作模式切换命令、可信硬件设备控制策略模式切换命令、可信硬件设备工作状态检查命令、可信硬件设备控制策略状态检查命令。访问者在调用可信硬件设备的控制命令时，可信平台控制模块需要先检查访问者身份的合法性、命令是否授权、访问者的物理存在性、命令调用操作的真实性、命令调用操作的时效性。检查访问者身份的合法性，可以通过认证手段实现，如口令、身份识别设备等。检查命令是否授权，是针对调用命令的访问者身份标识，确认访问者是否具有对该可信硬件设备的使用和控制权限。检查访问者的物理存在性，可以通过按钮或者操作认证设备的方式进行检验。检查命令调用操作的真实性，可以向访问者发出确认信息。检查命令调用操作的时效性，可以通过时间戳的方式予以实现。

工作模式配置信息定制引擎，设置于可信平台控制模块内部，当访问者发出定制可信硬件设备工作模式配置信息的请求时，可信平台控制模块的控制裁决引擎，先检查访问者身份的合法性、访问控制权限、此次请求是否授权、访问者的存在性、请求信息的真实性、请求信息的时效性。检查通过后，根据访问者发出的工作模式配置信息定制请求，定制可信硬件设备的工作模式配置信息。同时，配置策略和配置信息需要经过认证后，通过可信硬件设备，从可信平台之外，传递到可信平台，再传递到可信平台控制模块中的工作模式配置信息定制引擎。在具体实现时，控制裁决引擎可以采用现有8位的8051单片机实现。

控制策略配置信息定制引擎，设置于可信平台控制模块内部，当访问者发出定制可信硬件设备控制策略配置信息的请求时可信平台控制模块的控制裁决引擎，先检查访问者身份的合法性、访问控制权限、此次请求是否授权、访问者的存在性、请求信息的真实性、请求信息的时效性。检查通过后，根据访问者发出的控制策略配置信息定制请求，定制可信硬件设备的控制策略配置信息。同时，配置策略和配置信息需要经过认证后，通过可信硬件设备，从计算平台之外，传递到可信平台，再传递到可信平台控制模块中的控制策略配置信息定制引擎。在具体实现时，控制裁决引擎可以采用现有8位的8051单片机实现。

主动检查引擎，设置于可信平台控制模块内部，用于在可信平台启动阶段或者可信平台控制模块执行主动检查操作时，经可信平台控制模块的输入输出总线接口、可信平台外围设备控制器和信号线，主动向可信硬件设备的可信模块发出检查命令，接收可信硬件设备返回的检查结果和需要检查的数据。主动检查引擎将可信硬件设备报告的检查结果与可信平台控制模块的非易失性存储单元中存储的可信硬件设备完整性参考值进行比对，确定可信硬件设备的当前固件代码、工作状态和控制策略的正确性，以及工作模式配置信息、控制策略配置信息、密钥和证书等重要数据的完整性。默认状态下，可信平台控制模块的主动检查引擎只将可信硬件设备是否通过完整性检查的判断结果，发送给可信平台的操作系统和访问者，其他信息一律保留在可信平台控制模块内部或者经过加密处理后存储在可信平台的存储单元中。这样的目的是为了防止可信硬件设备的相关信息泄露。在具体实现时，控制裁决引擎可以采用现有8位的8051单片机实现。

状态切换控制引擎，设置于可信平台控制模块内部，用于可信平台控制模块对可信硬件设备的工作状态切换控制、固件代码切换和控制策略切换。当可信平台控制模块的执行引擎或者由访问者提出请求，经过控制裁决引擎裁决后，向可信平台控制模块的状态切换控制引擎，发送请求执行可信硬件设备的工作状态切换、固件代码切换和控制策略切换的信号。状态切换控制引擎，根据收到请求信号的种类，可以选择在可信平台控制模块和可信硬件设备之间，使用普通的通信管道、保护完整性的通信管道、加密的通信管道和保护完整性的加密通信管道，共四种通信管道。当使用保护完整性通信管道、加密通信管道和保护完整性的加密管道时，需要状态切换控制引擎调用可信平台控制模块的可信密码模块中密码算法引擎，用于对数据进行加解密和签名。在具体实现时，控制裁决引擎可以采用现有8位的8051单片机实现。

可信密码模块，设置与可信平台控制模块内部，用于为可信平台控制模块提供密码操作服务，硬件组成包括：密码算法引擎(SMS4引擎和ECC引擎)，摘要算法引擎(SCH引擎和HMAC引擎)、随机数发生器、执行部件、非挥发性存储单元、挥发性存储单元、通信总线和输入输出隔离单元。

可信密码模块的输入输出隔离单元，一端通过可信密码模块的通信总线连接到SMS4引擎、ECC引擎、SCH引擎、随机数发生器、HMAC引擎、执行部件、非挥发性存储单元、挥发性存储单元，另一端连接到可信平台控制模块的通信总线，用于隔离可信平台控制模块外部对可信密码模块的密码算法引擎、非挥发性存储单元和挥发性存储单元的直接读写操作。

可信平台控制模块对可信密码模块的访问，是通过命令请求方式实现的。在可信平台控制模块内部，可以主动通过命令方式请求可信密码模块提供密码服务的单元包括：执行引擎和状态切换控制引擎。

可信平台控制模块中的密钥和证书，为了保证安全性，需要考虑存储介质的安全性，通常将密钥和证书存储可信密码模块中的非易失性存储单元中，由可信密码模块的输入输出隔离单元对其进行保护。

二、可信平台PCR参考值更新方法

可信平台的PCR参考值存储在可信平台控制模块非易失存储单元中，命名为RPCRO-15共16个存储单元。

1、管理员主动控制实现PCR参考值的更新操作

1.1所述可信平台上电启动时，可信平台控制模块先于BIOS启动。

可信平台度量的起点需要从可信度量根出发，可信度量根存在于可信平台控制模块芯片内部。因此，所述可信平台上电时可信平台控制模块必须先于BIOS启动，由可信度量根发起平台度量操作。

度量或完整性是指采用消息摘要算法根据被度量数据生成固定字节长度的唯一且不重复的特征信息的操作。消息摘要算法可以采用现有的MD5或者SHA1算法。

1.2管理员按下参考值更新按钮来进行PCR参考值更新操作。

参考值更新按钮的实现，需要通过修改现有可信平台控制模块的固件代码，加入对参考值更新按钮的响应函数。

1.3可信平台控制模块通过身份识别设备认证登录用户是否为管理员。认证成功则继续进行PCR参考值更新操作，否则拒绝用户更新PCR参考值操作请求，关闭计算机。

身份识别设备基于智能卡设备实现，并在可信平台控制模块与身份识别设备间订立一个私有协议，可信平台控制模块的固件代码根据此协议实现对身份的检查逻辑。

1.4可信平台控制模块中的执行引擎对所述可信平台的BIOS引导块、BIOS上电自检代码和嵌入式Option ROM进行度量并将度量结果存储在RPCRO单元中。

嵌入式Option ROM指由主板厂商控制并维护的主板固件的二进制代码镜像。

RPCRO单元中的内容生成过程为：得到B I OS引导块的度量结果A；A拼接上BIOS上电自检代码的度量结果B再次进行度量得到结果C；将C拼接上嵌入式Option ROM的度量结果D再进行度量得到的结果E；此时将E作为RCPCRO的内容。

度量内容结果长度为160位，RPCRO-RPCR15每一个存储单元均需要20个存储单位(字节)。可信平台控制模块中非易失性存储单元中至少需要为PCR参考值保留320字节以上的存储空间。

1.5可信平台控制模块屏蔽所述可信平台的可屏蔽中断。

PCR参考值更新过程中会对可信平台控制模块中的非易失性存储进行写操作，屏蔽可屏蔽中断是为了防止外部事件通过中断方式篡改PCR参考值或其他核心数据。

可信平台控制模块通过对CPU中可屏蔽中断标志位进行置位，控制CPU不响应可屏蔽中断完成对中断的屏蔽。

1.6CPU执行BIOS中的度量代码对所述可信平台的平台配置信息进行度量并将结果保存在RPCR1单元中。

1.7CPU执行BIOS中的度量代码度量Option ROM代码并将度量结果存储在RPCR2单元中。

1.8CPU执行BIOS中的度量代码度量Option ROM的配置信息和数据并将度量结果存储在RPCR3单元中。

1.9CPU执行BIOS中的度量代码度量IPL代码并将度量结果存储在RPCR4单元中。

1.10CPU执行BIOS中的度量代码度量IPL配置信息并将度量结果存储在RPCR5单元中。

1.11CPU执行BIOS中的度量代码度量平台状态转换事件并将度量结果存储在RPCR6单元中。

平台状态转换事件指系统从(休眠)或(关机)状态返回到(全速运行)状态事件。

1.12CPU执行IPL中的度量代码度量操作系统内核程序文件并将度量结果存储在RPCR7单元中。

1.13CPU执行IPL中的度量代码度量操作系统内核配置信息并将度量结果存储在RPCR8单元中。

1.14操作系统对应用程序及配置信息进行度量，并将结果存储在RCPR9-15单元中。

此专利所提及的操作系统特指包含运行时平台防护模块的操作系统，当操作系统运行时，它需要对核心应用程序进行度量操作并把度量结果存储在RPCR9-15单元中，具体度量的内容根据操作系统内定义的核心应用程序而有所区别。

1.15操作系统引导结束后恢复所述可信平台对可屏蔽中断的响应。

操作系统引导结束后，PCR参考值也完成更新，此时恢复所述可信平台对可屏蔽中断的响应。操作系统进入正常工作状态。

2、可信平台控制模块通过外部可信实体对所述可信平台进行PCR参考值的更新；

2.1管理员调用操作系统的更新PCR寄存器参考值命令，进行PCR参考值更新操作。

此专利所提及的操作系统特指包含运行时平台防护模块的操作系统。更新PCR寄存器参考值命令包含在操作系统的安全服务中。此安全服务通过编写虚拟驱动并将它加载到操作系统中实现。虚拟驱动是指不驱动具体物理设备的驱动程序。它工作在操作系统内核态，从而确保了服务的安全性。

2.2操作系统在调用更新PCR参考值命令之前，通过可信平台控制模块对管理员的身份合法性进行检查；如果是管理员，则继续执行PCR参考值更新操作，否则拒绝继续执行PCR参考值更新操作；

2.3所述可信平台向外部实体发送平台完整性度量报告的请求，当接收到回应以后所述可信平台通过内部的可信平台控制模块对返回的报告进行完整性检查。验证失败，则拒绝管理员的更新请求，返回操作系统。验证成功则认定外部实体为可信实体并将所述可信平台的平台完整性报告发送给外部实体，外部实体对所述可信平台发送的平台完整性报告进行检查。验证失败，则拒绝更新请求，返回操作系统。验证成功则重新启动所述可信平台。

2.4所述可信平台的可信平台控制模块中的执行引擎对BIOS引导块、BIOS上电自检代码和嵌入式Option ROM进行度量，并将度量结果存储在RPCRO单元中。

此阶段可信平台控制模块是主动进行度量操作的。因此，认定可信平台控制模块度量的内容数据或代码是可信的。此时内容数据或代码并不作为待度量数据发送给外部可信实体。

嵌入式Option ROM指由主板厂商控制并维护的主板固件的二进制代码镜像。

RPCRO单元中的内容生成过程为：得到BIOS引导块的度量结果A；A拼接上BIOS上电自检代码的度量结果B再次进行度量得到结果C；将C拼接上嵌入式Option ROM的度量结果D再进行度量得到的结果E；此时将E作为RCPCRO的内容。

2.5所述可信平台的可信平台控制模块屏蔽可信平台的可屏蔽中断。

PCR参考值更新过程中会对可信平台控制模块中的非易失性存储进行写操作，屏蔽所有可屏蔽中断是为了防止外部事件通过中断方式篡改PCR参考值或其他核心数据。

可信平台控制模块通过对CPU中可屏蔽中断标志位进行置位，控制CPU不响应可屏蔽中断完成对中断的屏蔽。

2.6所述可信平台的CPU执行BIOS中的度量代码对所述可信平台的平台配置信息进行度量并将结果保存在RPCR1单元中。另外，所述可信平台向外部可信实体发送RPCRO内容和主机平台配置信息的加密密文，外部可信实体接收数据解密后对RPCRO内容和所述可信平台的配置信息的明文进行度量。

传输过程中数据采用非对称密钥体系进行操作，并根据实际要求选择RSA算法或ECC算法。

2.7所述可信平台的CPU执行BIOS中的度量代码度量Option ROM代码，并将度量结果存储在RPCR2单元中。另外，所述可信平台向外部可信实体发送Option ROM代码数据的加密密文，

2.8所述可信平台的CPU执行BIOS中的度量代码度量Option ROM的配置信息和数据并将度量结果存储在RPCR3单元中。另外，所述可信平台向外部可信实体发送Option ROM的配置信息和数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.9所述可信平台的CPU执行BIOS中的度量代码度量IPL代码并将度量结果存储在RPCR4单元中。另外，所述可信平台向外部可信实体发送IPL代码数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.10所述可信平台的CPU执行BIOS中的度量代码度量IPL配置信息并将度量结果存储在RPCR5中。另外，所述可信平台向外部可信实体发送IPL配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.11所述可信平台的CPU执行BIOS中的度量代码度量平台状态转换事件并将度量结果存储在RPCR6单元中。另外，所述可信平台向外部可信实体发送平台状态转换事件数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

平台状态转换事件指系统从(休眠)或(关机)状态返回到(全速运行)状态事件。

2.12所述可信平台的CPU执行IPL中的度量代码度量操作系统内核程序文件并将度量结果存储在RPCR7单元中。另外，所述可信平台向外部可信实体发送作系统内核程序文件数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.13所述可信平台的CPU执行IPL中的度量代码度量操作系统内核配置信息并将度量结果存储在RPCR8单元中。另外，所述可信平台向外部可信实体发送操作系统内核配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.14所述可信平台的操作系统对应用程序及配置信息进行度量，并将结果存储在RCPR9-15单元中。另外，所述可信平台向外部可信实体发送应用程序及配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

当操作系统运行时，它需要对核心应用程序进行度量操作并把度量结果存储在RPCR9-15单元中，具体度量的内容根据操作系统内定义的核心应用程序而有所区别。

2.15所述可信平台将由所属可信平台生成的PCR参考值加密后发送给外部可信实体，外部可信实体将所述可信平台生成的PCR参考值与由外部实体度量的结果进行比对。比对结果一致时，返回比对成功信息，所述可信平台不进行PCR参考值更新。否则，返回外部实体的度量结果，所述可信平台根据此结果完成PCR参考值更新。

2.16所述可信平台的操作系统引导结束后恢复可信平台对可屏蔽中断的响应；

操作系统引导结束后，PCR参考值也完成更新，此时恢复所述可信平台对可屏蔽中断的响应。操作系统进入正常工作状态。

3、可信平台控制模块通过外部可信实体恢复所述可信平台的默认PCR参考值的方法；

3.1管理员调用操作系统的恢复所述可信平台的默认PCR参考值命令，进行PCR参考值更新操作。

3.2操作系统在调用更新PCR参考值命令之前，通过可信平台控制模块对用户的身份合法性进行检查。检查通过，则继续进行更新PCR参考值的后续操作。否则，拒绝更新请求，返回操作系统。

3.3所述可信平台向外部实体发送平台完整性度量报告的请求，当接收到回应以后所述可信平台通过内部的可信平台控制模块对返回的报告进行完整性检查。验证失败，则拒绝管理员的更新请求，返回操作系统。验证成功，则认定外部实体为可信实体并将主机平台完整性报告发送给外部实体，外部实体对所述可信平台发送的平台完整性报告进行检查。验证失败，则拒绝更新请求，返回操作系统。验证成功则建立通信连接。

3.4所述可信平台发送获取所述可信平台的默认PCR参考值请求给外部可信实体，外部可信实体响应请求。

外部可信实体：所述可信平台的可信平台控制模块对外部实体进行身份认证和可信认证。通过身份认证和可信认证的外部实体称之为外部可信实体。可信认证是通过由所述可信平台的可信平台控制模块与外部实体的可信平台控制模块之间进行相互认证实现的。

3.5外部可信实体将所述可信平台的默认PCR参考值进行数字签名，并将数字签名与所述可信平台的默认PCR参考值进行拼接，然后加密发送给所述可信平台。

3.6所述可信平台首先解密数据，然后检查数字签名，并利用数字签名对收到的所述可信平台的PCR参考值进行完整性校验；完整性检查正确则继续执行PCR参考值更新操作，否则停止继续执行PCR参考值更新操作。

3.7所述可信平台的操作系统将通过完整性检查的所述可信平台的默认PCR参考值发给可信平台控制模块，完成所述可信平台的默认PCR参考值的更新操作。

Claims (1)

1.基于可信平台的平台配置寄存器参考值的更新方法，该可信平台包括CPU、显卡、内存、硬件设备、BOOT ROM、可信平台控制模块和外围设备控制器，其中：

可信平台控制模块除包括：执行引擎、通信总线、非易失性存储单元、易失性存储单元、计数器和输入输出总线接口之外，还包括：控制裁决引擎、控制策略配置信息定制引擎、工作模式配置信息定制引擎、状态切换控制引擎、主动检查引擎、可信密码模块；

可信密码模块除包括：对称密码算法引擎、非对称密码算法引擎、随机数发生器、度量算法引擎、执行部件、非易失性存储单元、易失性存储单元、可信接口单元和通信总线之外，还包括输入输出隔离单元；

硬件设备除包括非可信硬件设备之外，还包括可信硬件设备；

可信硬件设备包括基本硬件电路、总线控制器、平台总线接口、外围总线接口、固件存储单元、策略存储单元、配置存储单元和可信模块；

总线控制器通过通信总线与基本硬件电路、平台总线接口、外围设备接口、固件存储单元、策略存储单元、配置存储单元和可信模块相互连接；

外围设备控制器的控制信号输入端口连接到可信平台的处理器和可信平台控制模块；外围设备控制器的输入输出总线端口连接到可信平台的可信平台控制模块和硬件设备；

在可信平台控制模块内部，通过通信总线将控制裁决引擎、执行引擎、非易失性存储单元、易失性存储单元、计数器、输入输出总线接口、控制策略配置信息定制引擎、工作模式配置信息定制引擎、状态切换控制引擎、主动检查引擎、可信密码模块，相互连接在一起；

该可信平台还包括输入输出隔离单元、参考值更新按钮和身份识别设备；

输入输出隔离单元：包括两个端口，其中一个端口通过通信总线连接对称密码算法引擎、非对称密码算法引擎、随机数发生器、度量算法引擎、执行部件、非易失性存储单元和易失性存储单元，另一个端口连接可信平台控制模块的通信总线；

参考值更新按钮：通过数据线连接到可信平台控制模块的输入输出总线接口上；

身份识别设备：通过数据线连接到可信平台控制模块的输入输出总线接口上；

身份识别设备含有一个智能卡插槽，它通过读取智能卡方式对用户的授权状态进行检查；

该更新方法，其特征在于提供了三种更新平台配置寄存器参考值的方法；(1)由所述可信平台管理员主动控制实现平台配置寄存器参考值的更新操作；(2)所述可信平台控制模块通过外部可信实体对所述可信平台进行平台配置寄存器参考值的更新；(3)可信平台控制模块通过外部可信实体恢复所述可信平台的默认平台配置寄存器参考值的方法；

可信实体包括通过所述可信平台控制模块身份认证的可信个人计算机、可信服务器、可信计算终端和可信便携式设备；

1)、管理员主动控制实现平台配置寄存器参考值的更新操作；

1.1可信平台上电启动时，可信平台控制模块先于BIOS启动；

1.2用户按下参考值更新按钮；

1.3可信平台控制模块通过身份识别设备认证登录用户是否为管理员；认证成功则继续进行平台配置寄存器参考值更新操作，否则拒绝用户更新平台配置寄存器参考值的操作请求，关闭计算机；

1.4可信平台控制模块中的执行引擎对所述可信平台的BIOS引导块、BIOS上电自检代码和嵌入式Option ROM进行度量；

1.5可信平台控制模块屏蔽所述可信平台的可屏蔽中断；

1.6CPU执行BIOS中的度量代码，度量所述可信平台的平台配置信息；

1.7CPU执行BIOS中的度量代码，度量Option ROM代码；

1.8CPU执行BIOS中的度量代码，度量Option ROM的配置信息和数据；

1.9CPU执行BIOS中的度量代码，度量IPL代码；

1.10CPU执行BIOS中的度量代码，度量IPL的配置信息；

1.11CPU执行BIOS中的度量代码，度量平台状态转换事件，所述第一种更新平台配置寄存器参考值的方法中的平台状态转换事件是指系统从休眠或关机返回到全速运行状态事件；

1.12CPU执行IPL中的度量代码，度量操作系统内核程序文件；

1.13CPU执行IPL中的度量代码度量操作系统内核配置信息；

1.14操作系统度量应用程序及配置信息；

1.15操作系统引导结束后恢复所述可信平台对可屏蔽中断的响应；

2)、可信平台控制模块通过外部可信实体对所述可信平台进行平台配置寄存器参考值的更新；

2.1管理员调用操作系统的更新平台配置寄存器参考值命令；

2.2操作系统在调用更新平台配置寄存器参考值的命令之前，通过可信平台控制模块对管理员的身份合法性进行检查；如果是管理员，则继续执行平台配置寄存器参考值更新操作，否则拒绝继续执行平台配置寄存器参考值的更新操作；

2.3所述可信平台与外部可信设备相互进行身份合法性认证；

2.4可信平台控制模块中的执行引擎对所述可信平台的BIOS引导块、BIOS上电自检代码和嵌入式Option ROM进行度量；

2.5所述可信平台的可信平台控制模块屏蔽可信平台的可屏蔽中断；

2.6所述可信平台的CPU执行BIOS中的度量代码对所述可信平台的平台配置信息进行度量；另外，所述可信平台向外部可信实体发送平台配置信息的加密密文，外部可信实体接收数据解密后对所述可信平台的平台配置信息的明文进行度量；

2.7所述可信平台的CPU执行BIOS中的度量代码，度量Option ROM代码；另外，所述可信平台向外部可信实体发送Option ROM代码的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.8所述可信平台的CPU执行BIOS中的度量代码，度量Option ROM的配置信息和数据；另外，所述可信平台向外部可信实体发送Option ROM的配置信息和数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.9所述可信平台的CPU执行BIOS中的度量代码，度量IPL代码；另外，所述可信平台向外部可信实体发送IPL代码的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.10所述可信平台的CPU执行BIOS中的度量代码，度量IPL配置信息；另外，所述可信平台向外部可信实体发送IPL配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.11所述可信平台的CPU执行BIOS中的度量代码，度量平台状态转换事件；另外，所述可信平台向外部可信实体发送平台状态转换事件数据的加密密文，外部可信实体对接收的数据解密后，进行度量，所述第二种更新平台寄存器参考值的方法中的平台状态转换事件是指从休眠或关机返回到全速运行状态事件；

2.12所述可信平台的CPU执行IPL中的度量代码，度量操作系统内核程序文件；另外，所述可信平台向外部可信实体发送操作系统内核数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.13所述可信平台的CPU执行IPL中的度量代码，度量操作系统内核配置信息；另外，所述可信平台向外部可信实体发送操作系统内核配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.14所述可信平台的操作系统对应用程序及配置信息进行度量；另外，所述可信平台向外部可信实体发送应用程序及配置信息数据的加密密文，外部可信实体对接收的数据解密后，进行度量；

2.15所述可信平台将由所述可信平台生成的平台配置寄存器参考值加密后发送给外部可信实体，外部可信实体将所述可信平台生成的平台配置寄存器参考值与由外部可信实体度量的结果进行比对，并将结果发送给所述的可信平台的可信平台控制模块；

2.16所述可信平台的操作系统引导完成后恢复软件和硬件中断；

3)、可信平台控制模块通过外部可信实体恢复所述可信平台的默认平台配置寄存器参考值的方法；

3.1管理员调用操作系统的恢复所述可信平台的默认平台配置寄存器参考值命令；

3.2操作系统在调用更新平台配置寄存器参考值的命令之前，通过可信平台控制模块对用户的身份合法性进行检查；

3.3所述可信平台与外部可信实体进行相互的身份合法性认证；

3.4所述可信平台发送获取所述可信平台默认平台配置寄存器参考值的请求给外部可信实体，外部可信实体响应请求；

3.5外部可信实体将所述可信平台的默认平台配置寄存器参考值进行数字签名，并将数字签名与所述可信平台的默认平台配置寄存器参考值进行拼接，然后加密发送给所述可信平台；

3.6所述可信平台首先解密数据，然后检查数字签名，并利用数字签名对收到的所述可信平台的平台配置寄存器参考值进行完整性校验；完整性检查正确则继续执行平台配置寄存器参考值更新操作，否则停止继续执行平台配置寄存器参考值更新操作；

3.7所述可信平台的操作系统将通过完整性检查的所述可信平台的默认平台配置寄存器参考值发给可信平台控制模块，完成所述可信平台的默认平台配置寄存器参考值的更新操作。

Images