CN102884535A - 受保护装置管理 - Google Patents

受保护装置管理 Download PDF

Info

Publication number
CN102884535A
CN102884535A CN2010800588032A CN201080058803A CN102884535A CN 102884535 A CN102884535 A CN 102884535A CN 2010800588032 A CN2010800588032 A CN 2010800588032A CN 201080058803 A CN201080058803 A CN 201080058803A CN 102884535 A CN102884535 A CN 102884535A
Authority
CN
China
Prior art keywords
audit
request
security partitioning
voucher
host operating
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2010800588032A
Other languages
English (en)
Other versions
CN102884535B (zh
Inventor
N.M.史密斯
V.C.穆尔
史蒂文·L·格罗布曼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of CN102884535A publication Critical patent/CN102884535A/zh
Application granted granted Critical
Publication of CN102884535B publication Critical patent/CN102884535B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/305—Authentication, i.e. establishing the identity or authorisation of security principals by remotely controlling device operation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/062—Securing storage systems
    • G06F3/0623—Securing storage systems in relation to content
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
    • G06F3/0629—Configuration or reconfiguration of storage systems
    • G06F3/0632—Configuration or reconfiguration of storage systems by initialisation or re-initialisation of storage systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/0671—In-line storage system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2147—Locking files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Human Computer Interaction (AREA)
  • Mathematical Physics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

用于在虚拟化和非虚拟化环境中管理通过加密、用户认证以及密码保护和审计方案进行保护的存储装置的方法、设备、系统和计算机程序产品。

Description

受保护装置管理
版权声明
本文所包含的资料受版权保护。版权拥有者并不反对任何人按照专利和商标局的专利文件或记录拓制本专利公开，但是在其它方面无论如何都对版权保留所有权利。
技术领域
本公开一般涉及通过加密、用户认证和密码保护方案进行保护的装置的管理。
背景技术
公司数据正变得越来越具移动性、分散性和丰富性。通常会从物理上安全的设施取出数据以适应旅行或具有灵活工作习惯的工作者。数据还在地理上具有分散性，因为公司的商业利益将它们带到其它城市、州和国家。数据在生成速率和呈现它们的多媒体格式方面是丰富的。所有这些力量都推动着在运送和静止时都需要保护数据的新型存储介质、更高带宽子系统和网络连接存储设备的发展。
静态数据（DAR）加密技术防止存储在丢失或被盗存储装置上的数据被未经授权地使用，从而防止这些数据在互联网或其它网络上散播。DAR加密充当防止存储装置的不可避免的丢失和被盗变成存储在那些装置上的数据的丢失和被盗的自动且快速的响应机制。
保护存储在与计算平台相关联的各种存储装置上的数据的挑战之一是，加密技术和密钥管理策略随执行加密的实体而有所区别。存储硬件可具有对于存储硬件供应商而言唯一的内置加密能力，从而需要使用存储硬件供应商的工具才能访问数据。基于软件的加密则需要不同于基于硬件的加密的密钥生成和管理服务，并且因此需要使用软件供应商的工具才能访问软件加密的数据。因此，在发生被盗或丢失时的密钥恢复和数据迁移计划需要使用多个不同供应商的工具才能保护和/或恢复与计算平台相关联的所有数据。
保护存储在存储装置上的数据的另一个挑战是，存储装置本身可利用密码保护方案进行保护。例如，根据高级技术附连（ATA）规范，盘锁定是硬盘驱动器的内置式安全性特征。ATA规范规定，一个盘有两个密码：用户密码和主密码。一个盘可以在两种模式锁定：高安全性模式或最大安全性模式。在高安全性模式中，可利用“SECURITY UNLOCK DEVICE（安全解锁装置）”ATA命令通过用户密码或主密码来将盘解锁。存在通常设置为5的尝试极限，在尝试极限之后，必须电源重启或硬复位盘，然后才能再次尝试解锁。并且，在高安全性模式，SECURITY ERASE UNIT（安全擦除单元）命令可与用户密码或主密码一起使用。
在最大安全性模式中，没有用户密码就不可以解锁盘。使盘回到可用状态的唯一方法是先发出SECURITY ERASE PREPARE（安全擦除准备）命令，紧接着发出SECURITY ERASE UNIT命令。在最大安全性模式中，SECURITY ERASE UNIT命令需要用户密码，并且将完全擦除盘上的所有数据。因此，如果盘受密码保护，设置成最大安全性模式，并且用户密码未知，那么盘上的数据不可恢复。
保护存储在与计算平台相关联的存储装置上的数据的又一个挑战是，平台可能需要在认证用户凭证之后才允许访问相关联的存储装置上的数据。例如，一些计算平台利用Kerberos用户认证来进行保护。Kerberos利用对称Needham-Schroeder协议作为其基础。它利用称为密钥分配中心（KDC）的可信第三方，可信第三方由两个逻辑独立的部分组成：认证服务器（AS）和票据许可服务器（TGS）。Kerberos在用于证实用户身份的“票据”基础上工作。
KDC维护秘密密钥的数据库；网络上的每个实体（不管是客户端还是服务器）共享只为它本身和KDC所知的秘密密钥。对该密钥的了解用于证实实体的身份。对于两个实体之间的通信，KDC生成会话密钥，它们可利用该会话密钥来使它们的交互安全。协议的安全性很大程度上依赖于保持松散同步化时间的参与者和称为Kerberos票据的短期真实性断言。
在Kerberos协议下，客户端向认证服务器认证它本身并接收票据（所有票据都有时间标记）。接着，客户端联系票据许可服务器，通过利用票据，它证明它的身份并要求服务。如果客户端有资格获得服务，那么票据许可服务器向客户端发送另一票据。然后，客户端联系服务服务器，利用该票据，证实已经批准它接收服务。
附图说明
图1是根据本发明一个实施例的系统的框图，该系统配置成管理通过加密、用户身份认证和密码保护方案进行保护的装置。
图2示出根据本发明一个实施例图1中的系统在管理受保护装置时的进一步细节。
图3是根据本发明一个实施例在重设(reset)具有通过加密、用户身份认证和密码保护方案进行保护的装置的系统时执行的方法的流程图。
图4是根据本发明一个实施例在接收解锁通过加密、用户身份认证和密码保护方案进行保护的装置的命令时执行的方法的流程图。
图5A示出根据本发明一个实施例图1中的系统在使得能够动态地附连通过加密、用户身份认证和密码保护方案进行保护的装置并动态地重新确认用户认证凭证而无需重新引导时的进一步细节。
图5B是在辨识装置的热插入事件时由图5A的系统执行的方法的流程图。
图6示出根据本发明一个实施例图1中的系统在管理受保护装置时的进一步细节。
图7是根据本发明一个实施例在检测到在系统的安全分区内发生潜在可审计事件时执行的方法的流程图。
图8示出根据本发明一个实施例用于实现安全分区以管理诸如利用加密、用户身份认证和密码保护方案保护装置的动作的虚拟机环境。
具体实施方式
本发明的实施例可提供用于管理具有通过加密、用户身份认证和密码保护方案进行保护的装置的系统的方法、设备、系统和计算机程序产品。
说明书中提到本发明的“一个实施例”或“实施例”时表示，结合该实施例描述的特定特征、结构或特性包含在本发明的至少一个实施例中。因此，在说明书的各个地方出现短语“在一个实施例中”、“根据一个实施例”等时不一定都指相同的实施例。
出于说明的目的，阐述了特定配置和细节以便充分理解本发明。但是，本领域普通技术人员将明白，没有本文介绍的这些特定细节也可实践本发明的实施例。此外，公知的特征可省略或简化以免使本发明晦涩难懂。整篇描述中给出各种实例。它们只是描述本发明的特定实施例。本发明的范围不限于给出的实例。
在一个实施例中，在提供隔离且受控的环境的安全分区内提供受保护装置管理。安全分区可从可信管理应用接收执行管理操作的命令。安全分区确保核实管理受保护装置的命令源自经过认证的源。可信管理应用可远离系统，并且可经由安全通信信道与安全分区通信。
受保护装置管理器的隔离且安全的环境可包括各种不同类型的分区，包括完全分离硬件分区（例如，利用Intel?公司的可管理性引擎（“ME”）、主动管理技术（“AMT”）、平台资源层（“PRL”）和/或其它相当的或类似的技术）和/或虚拟化分区（例如，Intel?公司的虚拟化技术（“VT”）方案中的虚拟机）。本领域普通技术人员将明白，也可利用虚拟化主机来实现ME、AMT和PRL技术（如下文参考图8进一步详细描述）。
在一个实施例中，受保护装置管理器在与系统的主机操作系统隔离的安全分区中执行。安全分区可接收将耦合到系统的加密装置解锁的请求。安全分区经由在可信远程控制台与安全分区之间建立的安全通信信道接收请求。安全分区响应请求而在无需主机操作系统参与的情况下将加密装置解锁。
安全分区可从可信远程控制台接收令牌并利用令牌来解开用于将加密装置的块加密的密钥。安全分区可从加密装置的安全存储区域获得密钥，其中安全存储区域对于主机操作系统是隐藏的。安全分区可在将加密装置解锁之前确认请求源自可信远程控制台。安全分区可在将加密装置解锁之后执行管理操作，其中请求还指定要执行的管理操作，并在执行管理操作之后引导主机操作系统。当系统的主机操作系统发生故障时，可在无需系统用户参与的情况下执行加密装置的解锁。
图1示出根据本发明一个实施例配置成管理通过加密、用户身份认证和密码保护方案进行保护的装置的系统。平台100包括经由桌面管理接口（DMI）111a连接到芯片组/安全分区120的处理器110。芯片组/安全分区120包括用于管理平台100的配置和操作的可管理性引擎（ME）130，ME 130可作为微处理器来实现。在一个实施例中，可管理性引擎（ME）130收集审计事件，认证用户，控制对外围装置的访问，管理加密密钥以保护存储在平台100的存储装置上的数据，并经由网络控制器160与管理控制台166接口。利用管理控制台166，可管理性引擎（ME）130对于平台（如平台100）的配置和管理保持与企业范围的政策一致。可管理性引擎（ME）130经由主机嵌入式控制器接口（HECI）111b连接到处理器110。
虚拟化引擎控制器接口（VECI）111c将处理器110连接到芯片组/安全分区120的I/O命令解码模块140。在一个实施例中，I/O命令解码模块140是利用专门的固件配置成执行存储命令解码和其它加速操作的通用控制器。I/O命令解码模块140的功能性也可完全以专用硬件来实现。I/O命令解码模块140提供保护写入到与平台100相关联的存储装置的数据的管理功能性。例如，I/O命令解码模块140可与用于加密存储装置的加密引擎150交互，保护用于保护存储装置的元数据，拦截和处理与存储装置有关的硬件中断，并便于存储装置上的管理操作。
可管理性引擎（ME）130通过配置政策和加密密钥来控制I/O命令解码模块140和加密引擎150的行为。下文将进一步详细描述可管理性引擎（ME）130、I/O命令解码模块140和加密引擎150的操作。
平台100还包括存储器装置，例如动态随机存取存储器（DRAM）114、芯片组/安全分区120内的静态随机存取存储器（SRAM）122、以及闪速存储器190。当平台100满功率供电时，称为上存储器区域（UMA）的DRAM 114的一部分ME-UMA 116可用于供可管理性引擎（ME）130使用。一般来说，由于存在通过基本输入输出系统（BIOS）配置的存储器隔离机制，所以平台100的主机操作系统115不能访问ME-UMA 116。该存储器隔离机制在主机操作系统运行之前锁定了对ME-UMA存储器116的访问。通过将供可管理性引擎130使用的DRAM 114的该部分与主机操作系统隔离，保护了可管理性引擎130的完整性以免受可能感染主机操作系统115的病毒或其它恶意软件的攻击。
闪速存储器190包含用于初始化平台100的固件。该初始化固件包括BIOS固件192、用于配置网络控制器160的网络控制器固件194以及用于配置芯片组/安全分区120的芯片组固件196。在数字签名存储在闪速存储器190上之前，可管理性引擎（ME）130和I/O命令解码模块140的芯片组固件196的完整性通过该数字签名来确保。供可管理性引擎（ME）130使用的数据（例如，用户认证信息）可通过可管理性引擎（ME）130内的加密固件来加密并存储在闪速存储器190的数据区198内。
如图1所示的平台100的实施例还包括连接到通用串行总线（USB）装置177的USB控制器175。USB装置可包括定位装置（如鼠标）、键盘、数字照相机、打印机、个人媒体播放器、闪速驱动器和外部硬盘驱动器。USB规范使得能够在不打开计算机机箱（热切换）或重启计算机的情况下安装和移除装置，从而使得它可用于移动外围设备，包括各种种类的驱动器。最初设想并且如今仍然用于光存储装置（CD-RW驱动器、DVD驱动器等）的是，若干制造商提供了具有与内部驱动器相当的性能的外部便携式USB硬盘驱动器或盘驱动器的空壳，其受到所附连的USB装置的当前数量和类型以及USB接口的上限（实际上，对于USB 2.0为约40 MiB/s，而对于USB 3.0可能潜在地为400 MiB/s或更大）的限制。这些外部驱动器通常包含桥接在驱动器的接口（IDE、ATA、SATA、PATA、ATAPI或甚至SCSI）到USB接口端口之间的“转化装置”。在功能上，该驱动器对于用户来说看起来很像是内部驱动器。外部驱动器连接性的其它竞争标准包括eSATA、ExpressCard（现在是2.0版本）和FireWire（IEEE 1394）。
如图1所示的平台100的实施例还包括可经由I/O控制器170访问的不同类型的存储装置，包括可经由存储接口171访问的非易失性存储器存储装置172和可经由存储接口181访问的串行高级技术附连（SATA）存储装置180。存储接口171可作为非易失性存储器（NVM）的非易失性存储器主机控制器接口（HCI）来实现，而存储接口181可作为串行高级技术附连（SATA）存储装置180的高级HCI（AHCI）接口来实现。I/O控制器170包括NVM和SATA控制器功能性。
存储在存储装置172和180上的数据可通过芯片组/安全分区120的加密引擎150加密。SATA存储装置180用作芯片组加密的装置的实例，并且还包括用于存储元数据182的保留区域，元数据182包括存储装置180的至少一个装置加密密钥（DEK）184以及供可管理性引擎（ME）130使用的其它元数据。在I/O命令解码模块140和I/O控制器170处理I/O命令期间，元数据182受到保护以防止被在处理器110上运行的应用覆写。
在一个实施例中，在通过芯片组/安全分区120的加密引擎150执行数据的加密或解密之前，可管理性引擎（ME）130将与输入/输出操作中所涉及的存储装置相关联的装置加密密钥（DEK）（如DEK 184）插入到与加密引擎150相关联的存储器寄存器中。如果一个物理存储装置在逻辑上划分成多个不同的逻辑装置或分区，那么每个逻辑装置或分区可具有它自己的相应的装置加密密钥（DEK），并且那些DEK中的每个DEK可插入到加密引擎150的相应存储器寄存器中。
在一个实施例中，可管理性引擎（ME）130管理与平台100相关联的所有数据的加密，包括由芯片组/安全分区120内的加密引擎150执行的加密以及不是由芯片组执行而是由在处理器110上运行的软件或由存储硬件本身执行的数据加密。由可管理性引擎（ME）130提供的服务之一是管理公共框架和用户接口中的加密密钥，而与执行数据加密的平台100的组件无关。发明人Ned Smith的题为“Enforcing Use of Chipset Key Management Services for Encrypted Storage Devices”的专利申请12/319210中提供了关于芯片组/安全分区120和可管理性引擎（ME）130的框架以及在管理数据加密时的操作的进一步细节，该专利申请由此通过引用的方式全文结合于本文。
图2示出根据本发明一个实施例图1中的芯片组/安全分区120的可管理性引擎（ME）130和I/O命令解码模块140组件的进一步细节。在芯片组/安全分区120内，可管理性引擎（ME）130包括ME内核231、ME公共服务233、受保护装置管理器235、安全性/密钥管理固件237和身份管理固件239。这些组件中的每个组件将在下文进一步详细论述。
ME内核231提供基本功能性，包括SRAM 122以及DRAM 112的部分（如ME-UMA 114）的存储器使用、闪速存储器190内持续不断的数据存储、以及访问控制。ME内核231控制I/O命令解码模块140和加密引擎150的操作。
ME公共服务233包括不同固件模块共同所需的服务，包括安全性服务、联网服务和供应服务。由ME公共服务233提供的安全性服务一般包括：由HTTP摘要和Kerberos认证组成的用户认证；利用微软活动目录和/或其它服务的域名授权；用于使客户端和服务器时钟同步的时钟同步服务；以及安全性审计服务。
由ME公共服务233提供的联网服务包括传输控制协议/互联网协议（TCP/IP）堆、传输层安全性（TLS）、超文本传输协议（HTTP）、简单对象访问协议（SOAP）、web服务可管理性（WS-MAN）和称为本地可管理性服务（LMS）的基于主机的TLS接口。
由ME公共服务233提供的供应服务与图1中的管理控制台166一起用于向平台100供应企业软件。这些供应服务支持两种部署模式：零触摸和一次触摸。在零触摸模式下，将部署证书锚密钥存储在诸如图1的闪速存储器190的数据区198的数据存储区域中，以允许利用公知的证书颁发机构密钥来验证IT凭证，然后可利用IT凭证来获得平台的拥有权。一次触摸模式配置组织证书、对称密钥和可用于远程完成设置和部署任务的可信主机。
可管理性引擎130还包括带外（OOB）通信模块230。OOB通信模块230利于平台100的组件与管理控制台166的对应组件之间经由网络控制器160通信。OOB通信模块230在芯片组/安全分区120与管理控制台166之间建立安全的OOB通信信道168。
可管理性引擎（ME）130还包括身份管理固件239。身份管理固件239可将用户的认证信息与存储在例如闪速存储器190的数据区198中的用户帐户元数据进行比较。身份管理固件239还可与可管理性引擎（ME）130的安全性/密钥管理固件237交互以确认用户的信息还存储在诸如SATA存储装置180的存储装置内的容器中。用户对诸如SATA存储装置180的特定存储装置的访问的该确认提供了对存储在SATA存储装置180上的数据的额外一层保护。
安全性/密钥管理固件237管理诸如由加密引擎150创建的加密密钥的密钥。安全性/密钥管理固件237还可在允许访问存储在与平台100相关联的存储装置上的数据之前认证用户。安全性/密钥管理固件237管理密钥管理信息，并将该密钥管理信息存储在与平台相关联的存储器或存储装置（例如，闪速存储器190或SATA存储装置180）中。存储密钥管理信息的位置取决于可用的存储空间和待存储的数据量，并且本发明不限于特定的配置来存储密钥管理信息。在一个实施例中，安全性/密钥管理固件237利用捆绑到平台100的平台容器密钥（PCK）来加密密钥管理信息。
由安全性/密钥管理固件237管理的密钥管理信息包括由芯片组（即，由芯片组/安全分区120内的加密引擎150）生成并存储在元数据182中的加密密钥，其称为装置加密密钥（DEK）184。
可管理性引擎（ME）130还示为包括受保护装置管理器235。在一个实施例中，受保护装置管理器235与I/O命令解码模块140通信以提供用于解锁诸如SATA存储装置180的装置的装置密码。下文将参考图3和图4进一步详细描述受保护装置管理器235的操作。
I/O命令解码模块140示为包括I/O模块内核241和SATA虚拟化固件243。I/O模块内核241向I/O命令解码模块140提供基本功能性，并从ME内核231接收命令。尽管参考该实施例将SATA虚拟化固件243作为固件加以描述，但是SATA虚拟化固件243的功能性也可作为专用硬件来实现。SATA虚拟化固件243用于访问诸如SATA存储装置180的SATA存储装置，并使得可管理性引擎（ME）130能够执行装置管理功能。例如，SATA虚拟化固件243使得能够通过将SARA控制分组注入到I/O数据流而在无需主机操作系统115或在处理器110上运行的其它主机软件参与的情况下由管理控制台166远程访问受保护装置。控制分组可用于例如经由来自管理控制台166的命令来解锁SATA存储装置180。
SATA虚拟化固件243还用于向主机操作系统115隐藏SATA存储装置180上的一定范围的线性块地址。本文将对于主机操作系统访问隐藏的该范围的隐藏的线性块地址称为安全存储区域，该安全存储区域受保护以使得装置元数据182可存储在驱动器上。装置元数据182可包括使得能够对SATA存储装置180的块进行加密和解密的装置加密密钥184。
SATA虚拟化固件243还可拦截由I/O控制器170检测的事件，例如在新装置附连到平台100时生成的热插入中断。SATA虚拟化固件243还可监视前往和来自存储装置的I/O流并检测事件以进行审计。
在一个实施例中，利用加密和密码（如ATA密码）来保护SATA存储装置180，用户必须输入密码才可访问装置。密码用于解锁SATA存储装置180的固有锁定机制。加密引擎150用于加密SATA存储装置180的块。SATA装置加密密钥（DEK）（如DEK 184）存储在SATA装置上的对于主机操作系统隐藏的位置中。首先，通过对于固有锁定机制利用密码来解锁装置，然后可访问DEK以解密加密块。
当重设平台100时，I/O命令解码模块140和可管理性引擎（ME）130协作以便从装置读取诸如加密密钥和用户认证凭证的装置元数据并将装置元数据存储在安全存储设备中，例如作为装置元数据298存储在闪速存储器190数据区198中。在一个实施例中，对于可通过管理控制台166认证的每个用户，有一个令牌，例如图2中的令牌-1 266A，它用于导出特定装置的包装密钥。而装置包装密钥用于包装该特定装置的加密密钥。
用户包装密钥和装置包装密钥一起用于确定用户是否可访问特定装置，并且用户包装密钥/装置包装密钥对作为装置元数据298存储在闪速存储器190数据区198中。相比之下，诸如DEK 184的装置加密密钥则存储在存储装置本身上。当要访问装置时，使用令牌-1的副本来从装置元数据298确定合适的用户包装密钥/装置包装密钥对。密钥对中的装置包装密钥用于解密装置上的元数据182，由此暴露装置加密密钥184。当不存在任何用户时，或者当用户不能产生所需的认证凭证时，利用令牌-1来对存储装置执行管理操作。
在一个实施例中，加密引擎150利用由存储在诸如USB装置177的USB装置上的另一个令牌（本文称为令牌-2）导出的另一个装置包装密钥来加密装置元数据182。USB装置177是要安全地存储在远离小偷可能访问的位置的物理位置。当没有网络连接可供远程管理控制台166连接到存储装置时，利用令牌-2来对存储装置执行管理操作。USB装置177包含未加密的明码文本形式的令牌-2，以使得暗示地授权令牌-2的持有者对存储装置执行管理操作。如果提供了令牌-2，那么利用令牌-2来导出第二组用户包装密钥，并将第二组用户包装密钥/装置包装密钥对也作为装置元数据298的一部分存储在闪速存储器190中。令牌-1和令牌-2值都受到诸如身份管理固件239的用户认证系统的保护，以使得只有授权用户才能够暴露装置加密密钥。
在一个实施例中，将令牌-1 266A与装置180密码266B一起安全地存档在与管理控制台166相关联的远程存储设备266（或目录服务）中。管理控制台166利用装置180密码266B和令牌-1 266A来远程解锁SATA装置180。远程管理控制台166将装置180密码266B提供给受保护装置管理器235，受保护装置管理器235利用装置180密码266B来解锁装置。受保护装置管理器235将令牌-1 266A提供给安全性/密钥管理固件237，安全性/密钥管理固件237可利用身份管理固件239来解开用户包装密钥。用户包装密钥用于解开装置包装密钥，装置包装密钥用于解密元数据182并且由此提供对装置加密密钥184的访问，加密引擎150可利用装置加密密钥184来解密SATA存储装置180的块。通过依赖管理控制台166与芯片组/安全分区120之间的安全通信信道（例如，OOB通信信道168）来保护令牌-1 266A以免受到网络攻击。可利用例如Kerberos会话密钥来使OOB通信信道168安全。
因为SATA存储装置180上的数据可加密，所以将装置加密密钥（DEK）184存储在可供可管理性引擎（ME）130的受保护装置管理器235访问的位置中。通过使DEK可供受保护装置管理器235使用，可为经由HECI/VECI接口111b和111c的SATA读取/写入请求服务，即使SATA存储装置180上的数据被加密。一旦受保护装置管理器235访问了密码以解锁SATA存储装置180，受保护装置管理器235便可制作存储在装置元数据298中的装置包装密钥的副本。装置包装密钥可用于解开包含在附连到平台的每个SATA装置的装置元数据中的装置加密密钥。
图3是根据本发明一个实施例在重设具有通过加密、用户身份认证和密码保护方案进行保护的装置的系统时执行的方法的流程图。将把图3中的方法作为通过图2中的系统的组件来执行而加以描述，但是该方法不限于这样的实现。一旦发生系统重设，控制继续进行至步骤310“ME受保护装置管理器通过MECI经由I/O命令解码模块从SATA装置间接读取装置元数据”。在步骤310，可管理性引擎130受保护装置管理器235通过从诸如SATA存储装置180的SATA装置读取装置元数据而获得有关所附连的存储装置的信息。由于可管理性引擎130不直接连接到存储装置，所以可管理性引擎130受保护装置管理器235通过MECI 131经由I/O命令解码模块140间接访问装置元数据。可管理性引擎130受保护装置管理器235利用SATA虚拟化固件243来访问存储在诸如SATA存储装置180的SATA装置上的装置元数据。SATA虚拟化固件243将存储接口暴露给受保护装置管理器235，以使得SATA存储装置180看起来就像是线性块地址的块存储装置。SATA虚拟化固件243向主机操作系统隐藏一些线性块地址，并将它们暴露给受保护装置管理器235。SATA虚拟化固件243利用SATA I/O协议与SATA存储装置180交互。
从步骤310“ME受保护装置管理器通过MECI经由I/O命令解码模块从SATA装置间接读取装置元数据”，控制继续进行至步骤320“I/O命令解码模块读取包含元数据描述符信息的虚拟驱动器定义元数据”。在步骤320中，I/O命令解码模块140 SATA虚拟化固件243读取包含存储在元数据182（其存储在SATA存储装置180上）中的元数据描述符信息的虚拟驱动器定义元数据。在一个实施例中，SATA虚拟化固件243将存储装置虚拟化，以使得可以辨识多个虚拟驱动器分区。这些虚拟驱动器分区中的每个分区将在虚拟驱动器定义数据中加以描述。包含在第一虚拟硬盘驱动器（HDD）定义内的可以是传统的驱动器几何元素。例如，在线性块地址（LBA）零开始，可存储主引导记录（MBR），接着存储驱动器数据，例如操作系统文件和用户文件。一些系统具有可供BIOS或其它系统设施使用的隐藏分区。主机受保护区域（HPA）可用于存储紧急恢复OS（ROS）、多媒体工具、诊断工具或其它程序。实现廉价磁盘冗余阵列（RAID）的系统可在虚拟驱动器的末端放置RAID元数据。通过在虚拟驱动器的末端放置RAID元数据，RAID可选ROM可在系统初始化时容易地定位RAID元数据。
在一个实施例中，诸如DEK 184的单个装置加密密钥将每个虚拟HDD横跨在装置上，从而导致用相同的密钥来加密所有虚拟HDD。将虚拟驱动器定义（VDD）数据放置在物理驱动器的末端，例如放置在最后一个线性块地址LBA-n处。VDD数据包含驱动器几何形状，以便标记每个虚拟HDD的起点和终点。VDD还标识可管理性引擎元数据区域的起始和结束位置，例如元数据182的起始和结束位置。VDD和ME元数据可以不通过加密引擎150加密，而是元数据182的内容通过I/O命令解码模块140和可管理性引擎（ME）130进行保护。
在一个实施例中，元数据182包含AHCI文件系统块、预引导认证（PBA）码和PBA元数据。AHCI文件系统供固件存储驱动器使用，其可由处理器110执行。元数据182还可包括包装好的DEK 184、装置配置数据、驱动器转换状态信息和可用于将诸如SATA存储装置180的装置迁移到另一平台的驱动器迁移包。迁移包还包含利用与平台无特定关连的恢复密钥包装的DEK 184的副本。元数据182还可包含PBA可执行文件以及包括将在加载主机操作系统之前在主机处理器110上预引导期间执行的PBA码的存储区域的标识符。例如，包含PBA码的该存储区域可以是闪速存储器190的一部分。通过在主机处理器110上执行的代码经由I/O命令解码模块140利用VECI 111c或经由可管理性引擎（ME）130通过利用HECI 111b的主机命令接口而允许访问PBA区域。I/O命令解码模块140确保将访问PBA存储区域的请求局限在存储PBA可执行文件的存储范围，因为PBA码在主机处理器110上执行。
当I/O命令解码模块140 SATA虚拟化固件243在步骤320“I/O命令解码模块读取包含元数据描述符信息的虚拟驱动器定义元数据”中读取包含存储在元数据182（其存储在SATA存储装置180上）中的元数据描述符信息的虚拟驱动器定义元数据时，元数据描述符信息可包括装置元数据182内的诸如DEK 184的包装好的装置加密密钥的多个示例。例如，DEK 184可通过平台特有的装置包装密钥以及与平台100无关的恢复密钥来包装。由于可存在装置加密密钥的多个示例，所以需要确定可利用在执行系统重设时所涉及的用户认证凭证来解开的特定装置加密密钥的位置。
如上所述，执行系统重设的用户将具有用于包装装置包装密钥的相关联的用户包装密钥。用户包装密钥/装置包装密钥存储在闪速存储器190的装置元数据289中。控制继续进行至步骤330“I/O命令解码模块定位用户认证元数据偏移并读取装置元数据”。在步骤330中，I/O命令解码模块140利用元数据描述符信息来定位闪速存储器190内的用户认证元数据偏移以便利用用户凭证来执行系统重设。从由该偏移标识的闪速存储器190的位置读取用户认证元数据和其它装置元数据。
在步骤330“I/O命令解码模块定位用户认证元数据偏移并读取装置元数据”中从闪速存储器190读取装置元数据298之后，控制继续进行至步骤340“ME受保护装置管理器将装置元数据存储在安全存储设备中”。例如，ME受保护装置管理器235可将包括SATA存储装置180的用户认证凭证的装置元数据存储在闪速存储器190的装置元数据298中以便供可管理性引擎（ME）130稍后访问。然后，控制继续进行至步骤350“ME受保护装置管理器等待发出可管理性操作命令”。例如，ME受保护装置管理器235等待诸如解锁命令的可管理性操作命令以便访问SATA存储装置180。当接收到可管理性操作命令时，ME受保护装置管理器235可访问所存储的元数据以获得访问SATA存储装置180所需的用户认证凭证和/或其它信息。
图4是根据本发明一个实施例在接收到解锁通过加密、用户身份认证和密码保护方案进行保护的装置的命令时执行的方法的流程图。将把图4中的方法作为由图2中的系统的组件来执行而加以描述，但是该方法不限于这样的实现。图4中提供了方法流程的两个实例，这取决于解锁受保护装置的请求的起源。远程解锁方框402中所包含的方法步骤涉及处理远程解锁命令，例如经由诸如OOB通信信道168的安全通信信道从管理控制台166接收的解锁命令。USB解锁方框418中所包含的方法步骤涉及结合存储令牌的USB装置来处理解锁命令以解锁存储装置。
用于处理远程解锁命令的远程解锁方框402中的方法步骤从步骤404“管理控制台对SATA装置触发远程解锁请求”开始。管理控制台166可响应于企业管理政策而发起该请求，或者管理控制台166可响应于来自可管理性引擎（ME）130的应当解锁诸如SATA存储装置180的装置的通知而行动。在键盘处不存在任何用户时、在存在用户但用户不能够成功地通过平台的认证时、在平台处于低功率状态（例如，高级配置电源接口（ACPI）Sx功率状态S1至S5之一）时、在系统经由有线或无线网络连接或位于公司防火墙之外但装置不可访问时、以及在系统的主机操作系统发生故障时的情况下，管理控制台166触发经由可管理性引擎（ME）130和芯片组/安全分区120来解锁加密的SATA装置的请求。
控制从步骤404“管理控制台对SATA装置触发远程解锁请求”继续进行至步骤406“管理控制台连接到安全分区；发送包含令牌-1和装置密码的盘解锁命令”。管理控制台166可利用诸如OOB通信信道168的独立地安全且加密的信道来发送安全命令，安全命令向由芯片组/安全分区120提供的嵌入式安全性子系统指示解锁操作。当在管理控制台166与芯片组/安全分区120之间建立诸如OOB通信信道168的安全通信信道时，身份管理固件239利用Kerberos认证来认证管理控制台166和可管理性引擎（ME）130。如果由可管理性引擎（ME）130发起远程解锁请求，那么在建立安全通信信道之后，管理控制台166可获得用户凭证，例如与平台100相关联的用户的用户名和密码。如果由管理控制台166发起远程解锁请求，那么可对平台100使用管理员用户凭证。管理控制台166利用这些用户凭证来从管理数据库266获得装置的相关联的密码（例如，装置180密码266B）以及用于解密装置的令牌（例如，令牌-1 266A）。
在步骤406“管理控制台连接到安全分区；发送包含令牌-1和装置密码的盘解锁命令”中，装置密码包含在解锁命令中，以使得可利用装置密码来解锁装置。通过在命令中包含令牌-1，可在例如装置元数据298中标识用户包装密钥/装置包装密钥。用户包装密钥/装置包装密钥可用于解密加密的存储装置的块，包括包含装置加密密钥184的元数据182。
从步骤406“管理控制台连接到安全分区；发送包含令牌-1和装置密码的盘解锁命令”，控制继续进行至步骤408“ME受保护装置管理器验证源自可信控制台的命令”。可利用在管理控制台166与芯片组/安全分区120之间建立安全通信信道所必需的Kerberos认证凭证来验证命令源自可信管理控制台166。然后，控制继续进行至步骤410“ME受保护装置管理器利用令牌-1来解开装置元数据中的DEK的副本”。如上所述，一旦受保护装置管理器235访问装置180密码266B以解锁SATA存储装置180，受保护装置管理器235便可制作存储在闪速存储器190的装置元数据298中的装置包装密钥的副本。装置包装密钥可用于解开包含在附连到平台的每个SATA装置的装置元数据中的装置加密密钥。
一旦ME受保护装置管理器235获得加密的存储装置的装置加密密钥，控制便继续进行至步骤412“ME安全性/密钥管理固件将DEK写入到加密引擎的对应于SATA装置的键槽寄存器中”。如发明人Ned Smith的题为“Enforcing Use of Chipset Key Management Services for Encrypted Storage Devices”的专利申请12/319210中所描述（上文将该专利申请以引用的方式结合于本文），装置加密密钥可存储在加密引擎150内的键槽寄存器中。然后，当访问装置时，加密引擎150利用来自对应键槽寄存器的存储的装置加密密钥来解密存储在对应装置上的数据。
在步骤412“ME安全性/密钥管理固件将DEK写入到加密引擎的对应于SATA装置的键槽寄存器”中使装置加密密钥可供加密引擎150访问之后，控制继续进行至步骤414“ME受保护装置管理器执行可管理性操作（其可包括引导OS）”。例如，响应于远程解锁命令，ME受保护装置管理器235解锁装置，这可包括提供装置密码以解锁装置并利用加密引擎150来解密加密装置的块。如果通过主机软件进一步加密装置，那么可管理性操作可能需要管理控制台166与可信的主机软件通信以进一步解密装置。响应于USB解锁命令，ME受保护装置管理器235类似地解锁装置，包括利用装置密码来解锁装置并利用加密引擎150来解密加密装置的块。取决于所处理的特定可管理性操作命令，可重新引导平台，包括引导主机操作系统。
在步骤414“ME受保护装置管理器执行可管理性操作（其可包括引导OS）”中执行可管理性操作之后，控制继续进行至步骤416“ME受保护装置管理器重设平台而导致SATA装置再次变成锁定”。ME受保护装置管理器235执行参考图3所描述的步骤以重设系统，由此导致再次锁定存储装置。
如上所述，图4还包括利用USB解锁命令来手动解锁装置的方法步骤。用于处理USB解锁命令的USB解锁方框418中的方法步骤从步骤420“BIOS应用提示用户插入包含令牌-2的USB装置”开始。一旦系统启动，BIOS应用便提示用户插入包含令牌-2的USB装置以使得用户能够访问诸如SATA存储装置180的装置。例如，如果用户不能提供访问装置的密码，那么便可能提供这样的BIOS提示。控制继续进行至步骤422“BIOS读取令牌-2并经由HECI/DHCI将它发送给ME受保护装置管理器”。BIOS应用读取由用户提供的令牌-2并经由HECI 111b将令牌-2发送给ME受保护装置管理器235。然后，控制继续进行至步骤424“ME受保护装置管理器利用令牌-2来解开装置元数据中的DEK的副本”。如上所述，一旦受保护装置管理器235访问了解锁令牌以解锁SATA存储装置180，受保护装置管理器235便可制作存储在诸如闪速存储器190数据区198的装置元数据中的装置包装密钥（DWK）的副本。DWK可用于解密包含在附连到平台的每个SATA装置的装置元数据中的DEK。在步骤412“ME安全性/密钥管理固件将DEK写入到加密引擎的对应于SATA装置的键槽寄存器”中使装置加密密钥可供加密引擎150访问之后，控制如上所述那样地继续进行。
图2、图3和图4中的系统使得能够在无需主机操作系统参与的情况下解锁装置。如果希望在认证系统的用户的凭证之后才允许访问附连到系统的任何装置，那么必需有特殊考虑。该认证通常是在引导系统时进行的，以使得在没有重新引导系统的情况下动态附连的装置省略对用户的认证凭证的确认。优选的是，可认证用户对热插入装置的访问，但重新引导系统以确认用户的凭证则过于繁重。使得能够对存储装置的动态附连进行认证可用于例如确保由授权的用户执行作为RAID阵列的一部分的存储装置的动态替换。
在利用ATA命令锁定或加密的装置中存在类似的问题。ATA锁定或ATA加密的装置由BIOS在系统启动时解锁，并且因而不能热插入到系统中。重新引导系统对于在可访问装置上的数据之前解锁或解密装置是必需的。
图5A和5B的系统使得能够在认证系统的用户的凭证时调节对热插入装置的访问。可解锁和/或解密热插入装置，并且可确认用户的凭证，而无需重新引导系统，即使利用ATA命令锁定或加密装置。
图5A和5B的系统需要首先认证系统的用户的凭证才允许访问附连到系统的多个装置中的任何装置。与系统的主机操作系统隔离的系统的安全分区拦截指示新装置附连到系统的事件。在不引导系统的情况下请求用于访问新装置的第二凭证，认证第二凭证，并在认证第二凭证之后启用对新装置的访问。将新装置的热插入事件从安全分区递送到主机操作系统。
请求用于访问新装置的第二凭证可包括利用到显示装置的可信路径连接来显示对第二凭证的请求并利用用户输入装置来接收第二凭证。认证第一和第二凭证可包括利用可信第三方来认证第一和第二凭证。第二凭证可包括新装置的密码，并且启用对新装置的访问可包括利用密码来解锁新装置。第二凭证可包括用户标识符，并且启用对新装置的访问可包括向可信第三方提供用户标识符，并且如果可信第三方认证了用户标识符，那么启用对新装置的访问。
图5A示出根据本发明一个实施例图1中的系统在使得能够动态地附连通过加密、用户身份认证和密码保护方案进行保护的装置并且动态地重新确认用户认证凭证而无需重新引导时的进一步细节。可管理性引擎内核531、可管理性引擎公共服务533、安全性/密钥管理固件537、I/O模块内核541和SATA虚拟化固件543的操作如参考图2的系统的对应组件所描述。
在可管理性引擎（ME）130内，身份管理固件Kerberos客户端539A与身份管理固件Kerberos服务器539B交互以认证用户。Kerberos客户端539A对密钥分配中心（例如，图1的密钥分配中心164）实现Kerberos协议。Kerberos客户端539A可利用可信I/O固件536（如果可用的话）来利用到显示装置的可信路径连接和用户输入装置而获得来自系统的用户的凭证。Kerberos客户端539A可向密钥分配中心164提供用户凭证并获得Kerberos票据以访问诸如Kerberos服务器539B的Kerberos服务。一旦接收到指示用于访问装置的用户的凭证已通过认证的Kerberos票据，Kerberos服务器539B便启用对SATA存储装置180的访问。Kerberos票据可包括包含诸如图2的令牌-1 266A的用户令牌的扩展字段，用户令牌使得能够生成如上文参考图2所描述地可用于解开装置包装密钥和装置加密密钥的用户包装密钥。Kerberos票据还可包括包含可用于解锁装置的诸如图2的装置180密码266B的装置密码的扩展字段。
在I/O命令解码模块140内，热插入虚拟化固件545解码由I/O控制器170接收的热插入事件，并在处理那些事件之后将热插入事件转发给主机操作系统115。将参考图5B进一步详细描述热插入虚拟化固件545的操作。
图5B是在辨识装置的热插入事件时由图5A的系统执行的方法的流程图。在动作5.1，I/O控制器170检测SATA热插入事件，其中SATA存储装置180已经动态地附连到平台100。在动作5.2，热插入虚拟化固件545拦截热插入事件，并与SATA虚拟化固件543交互以发现装置的属性。热插入虚拟化固件545请求从身份管理固件539的Kerberos客户端539A访问热插入装置。如果利用ATA密码方案、ATA加密、和/或基于芯片组的加密来锁定装置，那么热插入虚拟化固件545还可通知Kerberos客户端539A作为用于访问装置的请求的一部分锁定SATA存储装置180。
在动作5.4，Kerberos客户端539A获得诸如用户认证凭证的用户信息。Kerberos客户端539A可确定用户的凭证是否本地缓存在可管理性引擎（ME）130内，例如是否本地缓存在SRAM 122内。如果本地缓存了用户的凭证，那么可省略动作5.4和5.5。如果不是本地缓存用户的凭证，那么可经由平台100上的可信I/O固件536（如果可用的话）获得这些用户认证凭证。可信I/O固件536利用可信路径连接（例如，到显示装置的可信路径连接）来显示对凭证的请求，并利用到用户输入装置（如键盘）的可信路径连接来接收凭证。在可信I/O固件536在平台100上不可用的实施例中，可向在处理器110上运行的主机代理（未示出）发送已经附连了新装置的通知。主机代理可收集用户的凭证并连接到芯片组/安全分区120以解锁装置并使装置对于主机操作系统115可见。
在动作5.5，Kerberos客户端539A从密钥分配中心164获得Kerberos票据。在一个实施例中，Kerberos票据与SATA存储装置180的用户的解锁令牌（例如，图2中的令牌-1 266A）以及属于用户的ATA密码（例如，图2中的装置180密码266B）一起提供。该解锁令牌和用户的ATA密码可从诸如图1和图2中的管理控制台166的目录服务获得。Kerberos票据确认用户凭证的真实性以从Kerberos服务器539B接收服务。在一个实施例中，Kerberos服务器539B使得Kerberos客户端539A能够访问可管理性引擎（ME）130内的所有其它服务，例如来自安全性/密钥管理固件537和受保护装置管理器539的服务。在其它实施例中，可获得单独的Kerberos票据以访问由诸如安全性/密钥管理固件537的其它可管理性引擎（ME）130组件提供的服务。在一个实施例中，用户对于SATA存储装置180的解锁令牌和属于用户的ATA密码作为是Kerberos会话密钥的一部分的扩展字段进行递送。
在动作5.6，Kerberos客户端539A向Kerberos服务器539B确认用户的凭证。在备选实施例中，Kerberos客户端539A可向密钥分配中心164直接确认用户的凭证，而无需经过诸如Kerberos服务器539B的本地Kerberos服务器。例如，Kerberos客户端539A可获得Kerberos票据以访问不同的用户认证服务，例如将在随后交换中返回令牌-1 266A和装置180密码266B的活动目录服务。在一个实施例中，图1和图2中的管理控制台166可代理到不同用户认证服务的连接和/或主控用户认证服务本身。
动作5.7至5.10描述在通过诸如ATA密码或ATA加密的固有锁定机制保护热插入SATA存储装置180时采取的动作。如果没有通过诸如ATA密码或ATA加密的固有锁定机制来保护装置，那么步骤5.7至5.10将省略。
在动作5.7，在利用ATA密码锁定了热插入SATA存储装置180的情形中，Kerberos客户端539A向受保护装置管理器535提供用户的ATA密码。在动作5.8，受保护装置管理器535向I/O命令解码模块140的SATA虚拟化固件543提供用户的ATA密码。在动作5.9，SATA虚拟化固件543向I/O控制器170发送ATA命令以解锁SATA存储装置180。在动作5.10，I/O控制器170利用ATA命令来解锁SATA存储装置180。如上所述，如果通过加密引擎150加密了SATA存储装置180，那么安全性/密钥管理固件/Kerberos服务器537可与身份管理固件/Kerberos客户端539一起工作以利用包含在Kerberos票据的扩展字段中的用户的解锁令牌来导出用户包装密钥。用户包装密钥可用于从SATA存储装置180访问装置包装密钥和装置加密密钥。
动作5.11和5.12描述在通过加密引擎150加密热插入SATA存储装置180时采取的动作。如果没有通过加密引擎150来加密热插入SATA存储装置，那么步骤5.11和5.12将省略。如果通过芯片组/安全分区120加密引擎150来加密热插入SATA存储装置180，那么在动作5.11，Kerberos客户端539A可请求安全性/密钥管理固件537以便对热插入SATA存储装置180启用装置解密。如上文参考图2所描述，可利用用户凭证来获得装置加密密钥。在动作5.12，将装置加密密钥184提供给加密引擎150。如上所述，装置加密密钥可写入到加密引擎150的键槽寄存器并供加密引擎150用于解密热插入装置、SATA存储装置180的块。如果热插入SATA存储装置180还通过ATA密码进行保护，那么利用上文参考动作5.7至5.10所描述的用于解锁SATA存储装置180的步骤来解锁装置，然后才可访问存储在装置上的装置加密密钥。
在动作5.13，Kerberos客户端539A通知热插入虚拟化固件545已经批准了对SATA存储装置180的访问。如参考动作5.7至5.10所描述，如果利用ATA密码来锁定SATA存储装置180，那么装置便已解锁。如参考动作5.11和5.12所描述，如果由加密引擎150来加密装置，那么便已启用解密。在动作5.14，热插入虚拟化固件545将热插入事件递送给主机操作系统115。然后，主机操作系统115访问来自SATA存储装置180的经解锁且经解密的数据。响应于接收到热插入事件，主机操作系统115可调用文件系统以安装SATA存储装置180和/或将SATA存储装置180结合于RAID阵列。
在上文参考图1至图5B所描述的系统中，在芯片组/安全分区120内由加密引擎150执行存储装置的加密。此外，上文参考图1至图5B描述的系统在与主机操作系统隔离的系统的安全分区内提供加密和受保护装置管理功能性。例如，加密引擎150驻留在芯片组/安全分区120内，图2的受保护装置管理器235驻留在芯片组/安全分区120的可管理性引擎（ME）130中，并且图5B的SATA虚拟化固件543和热插入虚拟化固件545驻留在芯片组/安全分区120的I/O命令解码模块140内。
通常，在主机操作系统和/或BIOS的控制之下运行的审计软件中捕获可审计事件。由于本文描述的管理和加密功能性与主机操作系统和BIOS隔离，所以不是通过典型的审计软件来捕获在安全分区内执行的事件。但是，希望捕获和审计影响受保护装置的管理和存储数据的加密的事件。还希望在受到保护以免受主机操作系统和/或BIOS的潜在破坏的环境中执行审计操作。还优选的是在发生可审计事件的安全环境内及时捕获审计信息。
图6示出根据本发明一个实施例图1中的系统在管理受保护装置时的进一步细节。可管理性引擎内核631、可管理性引擎公共服务633、受保护装置管理器635、安全性/密钥管理固件637和身份管理固件639的操作如关于图2和图5A的对应组件所描述。
在图6所示的实施例中，可管理性引擎（ME）130包括可管理性引擎审计子系统638，并且I/O命令解码模块140包括I/O模块审计子系统648。可管理性引擎审计子系统638和I/O模块审计子系统648标识和处理在芯片组/安全分区120的它们的相应组件内发生的可审计动作。由于由I/O命令解码模块140准备I/O到存储装置的数据并直接与加密引擎150一起工作以在数据写入到存储装置时加密数据，所以I/O模块审计子系统648捕获在I/O期间发生的可审计事件。相比之下，可管理性引擎（ME）130不直接涉及到存储装置的I/O，并且因此可管理性引擎审计子系统638捕获与受保护装置的管理有关的可审计事件。例如，可管理性引擎审计子系统638捕获涉及系统的配置和设置的事件以管理加密、用户认证、装置初始化和故障、加密密钥、偷盗检测和其它企业平台管理政策。
可管理性引擎审计子系统638和I/O模块审计子系统648经由可管理性引擎控制器接口（ME）131通信。可管理性引擎审计子系统638还可经由OOB通信信道168、网络控制器160和带外通信模块630与管理控制台166内的远程审计管理服务640通信。
在一个实施例中，在审计政策中定义可审计事件。审计政策可定义将生成审计事件记录的可审计事件以及其它可忽略的不可审计事件。由于审计在系统内发生的每个事件会使系统的性能大大降级，所以利用审计政策来根据组织优先级和政策选择性地捕获特别感兴趣的事件。在一个实施例中，利用审计位掩码作为选择器来激活和去激活能够检测可审计事件的不同硬件和/或固件组件。
审计政策中的事件类型可包括：加密系统供应/取消供应事件；用户管理事件；装置管理事件；密钥管理事件；装置初始化事件；偷盗检测事件；以及装置故障事件。特定的可审计事件可包括：由位于系统的安全分区外部的动作触发的事件，例如由主机操作系统触发的造成安全分区内的活动的事件；和/或在安全分区内部发生的动作，例如中断。
外部触发的事件可包括：启用或禁用偷盗保护服务；创建、删除或修改用户帐户；用户登录/注销成功或失败；对于诸如装置加密密钥、装置包装密钥和恢复密钥的各种类型的加密密钥生成或删除的加密密钥；配置成用于加密或解密的装置；作为安全性管理的装置的装置转换或取消转换；PASS_THROUGH的装置配置；装置迁移或装置迁移准备；装置加密密钥（DEK）插入或从加密引擎寄存器删除；审计事件政策登记或撤销登记；平台或装置元数据的恢复；本地平台令牌的用户；加密政策的改变，例如密钥强度的改变、密钥刷新或加密政策的远程配置；经过认证和未经认证的加密之间的转变；装置解锁操作；装置故障。内部触发的可审计事件可包括：可管理性引擎、I/O命令解码模块、加密引擎和/或到安全分区的接口的自我测试故障；同盟信息处理标准自我测试成功或失败；审计初始化故障；和/或存储器故障。
当可管理性引擎审计子系统638或I/O模块审计子系统648检测到事件时，可确定检测的事件是否是在审计政策中定义的可审计事件之一。如果检测的事件是审计政策中的可审计事件之一，那么将该事件标识为可审计事件。
审计政策可包括为每个可审计事件的审计事件记录服务的指令。审计政策还可指定在无法记录可审计事件的日志时要采取的动作。例如，可管理性引擎审计子系统638或I/O模块审计子系统648可配置成暂停或复原（使其效果倒退）无法将审计事件记录写入到审计日志的操作。此外，审计政策可指定耗尽的审计存储日志资源的处理，以使得可管理性引擎审计子系统638或I/O模块审计子系统648可配置成覆写审计日志或停止将审计事件记录写入到审计日志。
在一个实施例中，可管理性引擎审计子系统638和I/O模块审计子系统648中的每个都为标识的可审计事件生成审计事件记录。将审计事件记录写入到与主机操作系统隔离的审计日志。在如图6所示的实施例中，可管理性引擎审计子系统638将可审计事件写入到审计日志610，而I/O模块审计子系统将可审计事件写入到审计日志620。在一个实施例中，审计日志610存储在闪速存储器的隔离区域中，例如存储在图1的闪速存储器190的数据区198的隔离区域中，而审计日志620则存储在非易失性存储器的隔离区域中，例如存储在图1的非易失性存储器存储装置172的隔离区域中。由于非易失性存储器比闪速存储器快，所以在一个实施例中，如果非易失性存储器可用，那么首先将审计事件记录写入到存储在非易失性存储器中的审计日志（在该实例中为审计日志620）。由于I/O命令解码模块140准备I/O到存储装置的数据并且与加密引擎150直接一起工作以在数据写入到存储装置时加密数据，所以I/O模块审计子系统648耦合到存储在非易失性存储器中的较快速的审计日志620以减少处理I/O事件的等待时间。由于可管理性引擎审计子系统638不直接涉及I/O，所以可管理性引擎审计子系统638将审计事件记录写入到存储在诸如闪速存储器190的闪速存储器中的较慢的审计日志610。
当审计日志610和/或审计日志620达到阈值时，可管理性引擎审计子系统638可通知远程审计管理服务640为审计日志服务。在一个实施例中，审计管理服务640将审计日志610和620的内容复制到远程存储设备并重设阈值。审计管理服务640不会中断可管理性引擎审计子系统638或I/O模块审计子系统648的操作，由此继续在标识可审计事件的同时将审计事件记录写入到它们的相应审计日志610和620。当审计日志620接近阈值时，I/O模块审计子系统648经由MECI 131通知可管理性引擎审计子系统638，以使得可管理性引擎审计子系统638可向审计管理服务640发送服务请求。
在一个实施例中，可管理性引擎审计子系统638与审计管理服务640一起工作以管理在安全分区内活动的所有审计子系统。当诸如I/O模块审计子系统648的其它审计子系统过载并且无法处理可审计事件时，可管理性引擎审计子系统638可执行这些其它审计子系统的功能。可管理性引擎审计子系统638还可为其它审计子系统的审计日志服务。在一个实施例中，可管理性引擎审计子系统638需要登记其它审计子系统。登记用于通知可管理性引擎审计子系统638存在由其它审计子系统保持的本地审计日志，例如审计日志620。登记还可用于通知可管理性审计子系统638是否重新路由离散的可审计事件以用于处理和/或是否请求审计日志的服务。
在一个实施例中，可管理性引擎审计子系统638和I/O模块审计子系统648的操作由企业域特权利用Kerberos票据来加以控制。在一个实施例中，标识在系统的安全分区中执行的可审计事件，其中安全分区与系统的主机操作系统隔离。为可审计事件生成审计事件记录，并将审计事件记录写入到与主机操作系统隔离的审计日志。在一个实施例中，在审计政策中定义多个可审计事件，审计政策包括为这多个可审计事件中的每个可审计事件服务的指令，并且标识可审计事件包括确定检测的事件是否是在审计政策中定义的多个可审计事件之一。
审计日志可以是只可从安全分区内访问的多个审计日志中的第一审计日志。这多个审计日志中的每个审计日志与主机操作系统隔离。在一个实施例中，确定第一审计日志是否可用。如果第一审计日志可用，那么将审计事件记录发送到与第一审计日志相关联的第一审计子系统，并且第一审计子系统执行将审计事件记录写入到第一审计日志。如果第一审计日志不可用，那么将审计事件记录发送到与这多个审计日志中的第二审计日志相关联的第二审计子系统，并且第二审计子系统执行将审计事件记录写入到第二审计日志。
在一个实施例中，监测对第一审计日志的写入操作的等待时间。如果等待时间达到预定阈值，那么将随后的写入操作转移到第二审计子系统，以使得可以将随后写入操作的随后审计事件记录写入到第二审计日志。在另一个实施例中，如果等待时间达到预定阈值，那么向第二审计子系统发送为第一审计日志服务的请求。第二审计子系统通过将审计事件记录从第一审计日志移动到诸如第三审计日志的另一位置来为第一审计日志服务。在一个实施例中，第二审计子系统调度远程管理应用以便为第三审计日志服务，远程管理应用与安全分区建立安全通信信道，并且远程管理应用经由安全通信信道为第三审计日志服务。
在一个实施例中，从请求系统的安全分区接收为审计日志服务的请求，其中安全分区与请求系统的主机操作系统隔离，审计日志包含在安全分区中执行的可审计事件的审计事件记录，并且审计日志与请求系统的主机操作系统隔离。与安全分区建立安全通信信道；并经由安全通信信道为审计日志服务。为审计日志服务可包括根据审计政策处理可审计事件。
图7是根据本发明一个实施例在检测到在系统的安全分区内发生的潜在的可审计事件时执行的方法的流程图。在步骤702“检测事件”中检测到在诸如芯片组/安全分区120的安全分区内发生事件时，控制继续进行至判定点704“是否是可审计事件？”。在判定点704“是否是可审计事件？”处，在硬件中编码的逻辑和/或相应的审计子系统（可管理性引擎审计子系统638或I/O模块审计子系统648）可检查审计政策以确定事件是否可审计。在一个实施例中，利用审计位掩码来激活能够检测可审计事件的不同硬件和/或固件组件。在判定点704“是否是可审计事件？”处对审计位掩码的评估确定事件是否可审计。
在判定点704“是否是可审计事件？”处，如果事件可审计，那么控制继续进行至步骤706“生成审计事件记录”。审计事件记录可通过在硬件中编码的逻辑和/或相应的审计子系统（可管理性引擎审计子系统638或I/O模块审计子系统648）来生成。在生成审计事件记录之后，控制继续进行至判定点708“NVM日志是否可用？”。如之前所论述，如果非易失性存储器日志可用，那么优选的是将审计事件记录写入到非易失性存储器以减少与处理事件相关联的等待时间。在判定点708“NVM日志是否可用？”处，如果NVM日志可用，那么控制继续进行至步骤710“将事件记录发送到I/O模块审计子系统”。在步骤710“将事件记录发送到I/O模块审计子系统”处，将事件记录发送到I/O模块审计子系统648。
从步骤710“将事件记录发送到I/O模块审计子系统”，控制继续进行至判定点712“是否达到阈值？”。达到阈值的实例是当I/O模块利用率降到低于正常水平和/或审计日志变满时。当达到阈值时，控制继续进行至步骤718“将阈值状态发送给可管理性引擎审计子系统”。例如，当I/O模块利用率降到低于阈值水平时，审计活动可能需要卸载至可管理性引擎审计子系统638，和/或需要为审计日志620服务。当执行步骤718“将阈值状态发送给可管理性引擎审计子系统”时，可管理性引擎审计子系统638采取合适的动作以根据审计政策对达到阈值进行管理。例如，可管理性引擎审计子系统638可调度审计管理服务640以便为日志服务和/或将达到阈值的日志复制到其它档案存储设备。从步骤718“将阈值状态发送给可管理性引擎审计子系统”，控制继续进行至步骤715“将事件记录写入到审计日志”，其中通过可管理性引擎审计子系统638将造成达到阈值的审计事件记录写入到日志。
从判定点712“是否达到阈值？”，如果没有达到阈值，那么控制继续进行至步骤715“将事件记录写入到审计日志”，其中相应的审计子系统将审计事件记录写入到其相应的日志。然后，控制继续进行至步骤714“执行事件”，其中执行事件并完成处理可审计事件。
在判定点708“NVM日志是否可用”处，如果NVM日志不可用，那么控制继续进行至步骤716“将事件记录发送到可管理性引擎审计子系统”。将审计事件记录发送到可管理性引擎审计子系统638。然后，可管理性引擎审计子系统638在步骤715“将事件记录写入到审计日志”中将事件记录写入到审计日志610。控制继续进行至步骤714“执行事件”，其中执行事件并完成处理可审计事件。
在判定点704“是否是可审计事件？”处，如果事件不可审计，那么控制继续进行至步骤714“执行事件”。执行事件并完成事件的处理。
可审计事件的处理可由在硬件中编码的逻辑和/或由固件来执行。诸如可管理性引擎（ME）130、I/O命令解码模块140和加密引擎150的芯片组/安全分区120组件的初始化是可审计事件，它们可编码到那些相应组件的硬件中和/或包含在那些相应组件的固件中。类似地，诸如HECI 111b、VECI 111c、网络控制器160、USB控制器175、I/O控制器170的控制器和接口的硬件和/或固件可包括用于处理可审计事件的逻辑。
在初始配置时以及在可管理性引擎（ME）130的组件的操作期间，例如在图2的安全性/密钥管理固件237的操作期间，可在可管理性引擎（ME）130内执行审计事件处理。例如，当安全性/密钥管理固件237将装置加密密钥（DEK）写入到加密引擎150的对应寄存器中时，当要加密存储装置或从加密引擎150的对应寄存器移除DEK时，当禁用加密时，可触发审计事件。
当数据以明码文本形式从I/O控制器170传送到加密引擎150时（对于写入操作）以及当加密引擎150以密码文本形式返回数据时，也可执行审计事件处理。经由I/O控制器170与加密引擎150之间的信道进行的审计事件提供正在对数据进行加密的证据，但审计政策可将审计这些事件限制为定期符合性测试。
审计事件处理可在可管理性引擎控制器接口（MECI）131处执行，因为审计子系统之间的协调可经由MECI 131通信。I/O命令解码模块140的初始配置也经由MECI 131执行，并将生成可审计事件。
审计事件处理可通过经由接口HECI 111b和VECI 111c的来自处理器110的通信而生成。例如，关于装置的锁定状态的ATA安全性命令以及经由这些接口传播到I/O控制器170或USB控制器175的命令产生可审计事件。此外，关于用户认证、加密、安全性、密钥管理和状态的HECI命令也是可审计事件。用于初始化诸如I/O控制器170、USB控制器175和网络控制器160的控制器的命令也是可审计事件。审计日志存储和配置命令也是可审计的，如同与图6中的远程审计管理服务640的审计子系统通信一样。经由USB控制器175和/或I/O控制器170将装置附连到平台100也是可审计事件。
通过在审计政策中将特定事件配置成可审计或不可审计，审计系统可微调以平衡性能、存储容量和安全性。通过经由安全通信信道利用远程管理控制台和审计管理服务管理审计子系统，可保护审计信息的完整性。
图8示出根据本发明一个实施例用于实现安全分区以管理诸如利用加密、用户身份认证和密码保护方案保护装置的动作的虚拟机环境。如果平台800经虚拟化，那么它可只包括单个处理器，但是主机上的虚拟机监视器（“VMM 830”）可呈现主机的多个抽象和/或视图，以使得主机的基础硬件看起来就像是一个或多个独立操作的虚拟机（“VM”）。VMM 830能以软件（例如，作为独立程序和/或主机操作系统的组件）、硬件、固件和/或其任意组合来实现。VMM 830管理主机上的资源分配，并根据轮替或其它预定方案按照在各种VM之间循环所需执行上下文切换。本领域普通技术人员将容易地明白，尽管只示出一个处理器（“处理器805”），但本发明的实施例不限于此，而是也可在虚拟化环境中使用多个处理器。
尽管只示出两个VM分区（“VM 810”和“VM 820”，此后统称为“VM”），但这些VM只是说明性的，可以在主机中增加额外的虚拟机。VM 810和VM 820可分别用作自包含平台，以运行它们自己的“访客操作系统”（即，由VMM 830主控的操作系统，图中示为“访客OS 811”和“访客OS 821”，此后统称为“访客OS”）和其它软件（图中示为“访客软件812”和“访客软件822”，此后统称为“访客软件”）。
每个访客OS和/或访客软件就像是它在专用计算机而不是虚拟机上运行那样操作。即，每个访客OS和/或访客软件可预期控制各种事件，并访问平台800上的硬件资源。在每个VM内，访客OS和/或访客软件可就像它们实际上是在平台800的物理硬件（“主机硬件840”，其可包括网络控制器860）上运行一样表现。
本领域普通技术人员将容易地明白，具有诸如图1中的可管理性引擎（ME）130的专用处理器的物理硬件分区可提供高于虚拟化分区（如图8所示）的安全性等级，但是本发明的实施例也可在提供不同的安全性等级的环境和/或这些环境的组合中实现。本领域普通技术人员还将容易地明白，ME、AMT或PRL平台可在虚拟化环境内实现。例如，VM 820可专用作主机上的ME分区，而VM 810在主机上运行典型应用。在这种情形中，主机可以或者可以不包括多个处理器。例如，如果主机确实包括两个处理器，那么可将VM 820指派给另一处理器，而VM 810（和主机上的其它VM）可共享处理器805的资源。另一方面，如果主机只包括单个处理器，那么该处理器可为这两个VM服务，而VM 820仍可与VMM 830协作并与主机上的其它VM隔离。出于简化的目的，在可管理性引擎（ME）环境中描述本发明的实施例，但是本发明的实施例不限于此。相反，任何时候提到可管理性引擎、ME、“分区”、“安全分区”、“安全性分区”和/或“管理分区”时应包括任何物理和/或虚拟分区（如上所述）。
在启动时或者当将新装置热插入到平台中时，VMM 830将装置指派给VM 810或820。为了在虚拟化环境（例如，在图8中描述的虚拟化环境）中在芯片组/安全分区120内执行审计，VMM 830管理VM 810和820中的每个的审计掩码简要表。当将装置指派给VM 810或820时，将VM的相应的审计掩码简要表与芯片组/安全分区120相关联。每次与芯片组/安全分区120相关联的VM审计掩码简要表发生改变时，VMM 830生成审计事件记录。这样，便在审计事件记录中表示发起可审计事件的VM 810或820。例如，在审计事件记录中标识向装置发出存储I/O命令的VM 810或820。
如果将装置热插入到平台中，那么在审计事件记录中标识接收装置指派的VM 810或820。当检测到热插入事件时，I/O命令解码模块140可能需要确定是否授权当前与芯片组/安全分区120相关联的VM 810或820接收装置指派。在指派装置并可确定指派给芯片组/安全分区120的正确的审计掩码简要表之前，可利用内部审计掩码简要表来审计热插入事件之后的事件直到发生装置指派。
VMM 830可通过将当前活动的审计掩码简要表写入到闪速存储器190来向芯片组/安全分区标识当前活动的VM审计掩码简要表。闪速存储器190还用于保存与每个VM相关联的用户帐户元数据。当利用装置密码或装置加密密钥来解锁存储装置时，可执行额外的检查以确保闪速存储器190中的用户帐户元数据对应于指派给装置的VM。
VMM 830确保瞬息VM环境不会导致驱动器的未经授权的指派。在一个实施例中，VMM 830为每个VM 810和820生成GUID（全局唯一ID）。GUID用于闪速存储器190中的分区元数据。
本文公开的机制的实施例能以硬件、软件、固件或这些实现方法的组合来实现。本发明的实施例可作为在可编程系统上执行的计算机程序来实现，可编程系统包括至少一个处理器、数据存储系统（包括易失性和非易失性存储器和/或存储元件）、至少一个输入装置和至少一个输出装置。
可对输入数据运用程序代码以执行本文描述的功能并生成输出信息。本发明的实施例还包括包含用于执行本发明的操作的指令或包含定义本文描述的结构、电路、设备、处理器和/或系统特征的诸如HDL的设计数据的机器可访问介质。这些实施例也可称为程序产品。
这些机器可访问存储介质可包括但不限于由机器或装置制造或形成的有形微粒布置，包括诸如下列的存储介质：硬盘；任何其它类型的盘，包括软盘、光盘、致密盘只读存储器（CD-ROM）、可重写致密盘（CD-RW）和磁光盘；半导体装置，例如只读存储器（ROM）、随机存取存储器（RAM）（例如，动态随机存取存储器（DRAM）、静态随机存取存储器（SRAM））、可擦除可编程只读存储器（EPROM）、闪速可编程存储器（FLASH）、电可擦除可编程只读存储器（EEPROM）、磁卡或光卡；或任何其它类型的适于存储电子指令的介质。
可以按已知方式对一个或多个输出装置运用输出信息。出于本申请的目的，处理系统包括具有处理器的任何系统，处理器可以是例如数字信号处理器（DSP）、微控制器、专用集成电路（ASIC）或微处理器。
程序能以高级程序或面向对象编程语言来实现以与处理系统通信。如果需要，程序也能以汇编或机器语言来实现。实际上，本文描述的机制在范围方面不限于任何特定的编程语言。在任何情况下，语言可以是编译或解释语言。
本文介绍了用于管理通过加密、用户认证和密码保护方案进行保护的装置的方法和系统的实施例。尽管示出和描述了本发明的特定实施例，但对于本领域普通技术人员来说显而易见的是，在不背离随附权利要求的范围的情况下，可进行众多改变、变化和修改。因此，本领域普通技术人员将意识到，在不背离本发明的情况下，可在其更广方面进行改变和修改。随附权利要求要在其范围内涵盖所有落在本发明真实范围和精神内的这些改变、变化和修改。

Claims (24)

1. 一种计算机实现的方法，包括：
接收将耦合到系统的加密装置解锁的请求，其中所述请求由所述系统的安全分区经由在可信远程控制台与所述安全分区之间建立的安全通信信道接收，并且所述安全分区与所述系统的主机操作系统隔离；以及
所述安全分区响应所述请求而在无需所述主机操作系统参与的情况下将所述加密装置解锁。
2. 如权利要求1所述的方法，还包括：
由所述安全分区从所述可信远程控制台接收令牌；以及
利用所述令牌来解开用于加密所述加密装置的块的密钥。
3. 如权利要求2所述的方法，还包括：
从所述加密装置的安全存储区域获得所述密钥，其中所述安全存储区域对于所述主机操作系统是隐藏的。
4. 如权利要求1所述的方法，还包括：
在将所述加密装置解锁之前，确认所述请求源自所述可信远程控制台。
5. 如权利要求1所述的方法，还包括：
在将所述加密装置解锁之后执行管理操作，其中所述请求还指定要执行的管理操作；以及
在执行所述管理操作之后引导所述主机操作系统。
6. 如权利要求1所述的方法，其中，当所述系统的主机操作系统发生故障时，执行将所述加密装置解锁。
7. 如权利要求1所述的方法，其中，在无需所述系统的用户参与的情况下执行将所述加密装置解锁。
8. 如权利要求1所述的方法，其中，
所述请求包括所述加密装置的密码；并且
将所述加密装置解锁包括利用所述密码来将所述加密装置解锁。
9. 一种设备，包括：
至少一个处理器；
与在所述处理器上执行的主机操作系统隔离的安全分区；以及
包括用于在所述安全分区中执行的装置管理器的指令的存储器，所述指令执行以下步骤：
接收将耦合到所述设备的加密装置解锁的请求，其中所述请求由所述安全分区经由在可信远程控制台与所述安全分区之间建立的安全通信信道接收，并且所述安全分区与所述主机操作系统隔离；以及
响应所述请求而在无需所述主机操作系统参与的情况下将所述加密装置解锁。
10. 一种计算机程序产品，包括：
计算机可读存储介质；以及
所述计算机可读存储介质中的指令，其中所述指令在处理系统的安全分区中执行时使所述安全分区执行包括以下步骤的操作：
接收将耦合到所述处理系统的加密装置解锁的请求，其中所述请求由所述安全分区经由在可信远程控制台与所述安全分区之间建立的安全通信信道接收，并且所述安全分区与所述处理系统的主机操作系统隔离；以及
响应所述请求而在无需所述主机操作系统参与的情况下将所述加密装置解锁。
11. 一种计算机实现的方法，包括：
在可信远程控制台与系统的安全分区之间建立安全通信信道，其中所述安全分区与所述系统的主机操作系统隔离；以及
发送将耦合到所述系统的加密装置解锁的请求，其中经由所述安全通信信道将所述请求发送到所述安全分区，并且其中通过所述安全分区在无需所述系统的主机操作系统参与的情况下将所述加密装置解锁。
12. 如权利要求11所述的方法，还包括：
在所述请求中将来自所述可信远程控制台的令牌提供给所述安全分区，其中所述安全分区利用所述令牌来解开用于解密存储在所述加密装置上的块的密钥。
13. 如权利要求11所述的方法，还包括：
在所述请求中提供所述加密装置的密码，其中所述安全分区利用所述密码来将所述加密装置解锁。
14. 如权利要求11所述的方法，还包括：
在所述请求中指定在将所述加密装置解锁之后要执行的管理操作，其中所述安全分区在将所述加密装置解锁之后执行所述管理操作。
15. 一种计算机实现的方法，包括：
在允许访问附连到系统的多个装置中的任何装置之前认证所述系统的用户的第一凭证；
拦截指示有新装置附连到所述系统的事件，其中所述拦截由所述系统的安全分区执行，并且所述安全分区与所述系统的主机操作系统隔离；
请求用于访问所述新装置的第二凭证，其中在不引导所述系统的情况下请求所述第二凭证；
认证所述第二凭证；
在认证所述第二凭证之后启用对所述新装置的访问；以及
将所述新装置的热插入事件递送给所述主机操作系统。
16. 如权利要求15所述的方法，其中，
请求用于访问所述新装置的所述第二凭证包括利用到显示装置的可信路径连接来显示对所述第二凭证的请求并利用用户输入装置来接收所述第二凭证。
17. 如权利要求15所述的方法，其中，启用对所述新装置的访问包括对所述装置利用固有命令以启用对所述新装置的解密。
18. 如权利要求15所述的方法，其中，
所述第二凭证包括所述新装置的密码；并且
启用对所述新装置的访问包括利用所述密码来将所述新装置解锁。
19. 如权利要求15所述的方法，其中，
所述第二凭证包括用户标识符；并且
启用对所述新装置的访问包括：将所述用户标识符提供给可信第三方，并且如果所述可信第三方认证了所述用户标识符，则启用对所述新装置的访问。
20. 一种设备，包括：
至少一个处理器；
与在所述处理器上执行的主机操作系统隔离的安全分区；以及
包括用于在所述安全分区中执行的固件的指令的存储器，所述指令用于执行以下步骤：
在允许访问附连到系统的多个装置中的任何装置之前认证所述系统的用户的第一凭证；
拦截指示有新装置附连到所述系统的事件，其中所述拦截由所述安全分区执行；
请求用于访问所述新装置的第二凭证，其中在不引导所述系统的情况下请求所述第二凭证；
认证所述第二凭证；
在认证所述第二凭证之后启用对所述新装置的访问；以及
将所述新装置的热插入事件递送给所述主机操作系统。
21. 一种计算机程序产品，包括：
计算机可读存储介质；以及
所述计算机可读存储介质中的指令，其中所述指令在处理系统的安全分区中执行时使所述安全分区执行包括以下步骤的操作：
在允许访问附连到系统的多个装置中的任何装置之前认证所述系统的用户的第一凭证；
拦截指示有新装置附连到所述系统的事件，其中所述拦截由所述安全分区执行，并且所述安全分区与所述系统的主机操作系统隔离；
请求用于访问所述新装置的第二凭证，其中在不引导所述系统的情况下请求所述第二凭证；
认证所述第二凭证；
在认证所述第二凭证之后启用对所述新装置的访问；以及
将所述新装置的热插入事件递送给所述主机操作系统。
22. 一种计算机实现的方法，包括：
标识在系统的安全分区中执行的可审计事件，其中所述安全分区与所述系统的主机操作系统隔离；
生成所述可审计事件的审计事件记录；以及
将所述审计事件记录写入到审计日志，其中所述审计日志与所述主机操作系统隔离。
23. 如权利要求22所述的方法，其中，
所述审计日志是多个审计日志中的第一审计日志，
所述多个审计日志只可从所述安全分区内访问，以及
所述多个审计日志中的每个审计日志与所述主机操作系统隔离；
并且所述方法还包括：
确定所述第一审计日志是否可用；
如果所述第一审计日志可用，则将所述审计事件记录发送到与所述第一审计日志相关联的第一审计子系统，其中所述第一审计子系统执行将所述审计事件记录写入到所述第一审计日志；以及
如果所述第一审计日志不可用，则将所述审计事件记录发送到与所述多个审计日志中的第二审计日志相关联的第二审计子系统，其中所述第二审计子系统执行将所述审计事件记录写入到所述第二审计日志。
24. 一种计算机实现的方法，包括：
从请求系统的安全分区接收为审计日志服务的请求，其中所述安全分区与所述请求系统的主机操作系统隔离，所述审计日志包含在所述安全分区中执行的可审计事件的审计事件记录，并且所述审计日志与所述请求系统的所述主机操作系统隔离；
与所述安全分区建立安全通信信道；以及
经由所述安全通信信道为所述审计日志服务。
CN201080058803.2A 2009-12-21 2010-11-29 受保护装置管理 Expired - Fee Related CN102884535B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/653,796 US20110154023A1 (en) 2009-12-21 2009-12-21 Protected device management
US12/653796 2009-12-21
PCT/US2010/058228 WO2011084265A2 (en) 2009-12-21 2010-11-29 Protected device management

Publications (2)

Publication Number Publication Date
CN102884535A true CN102884535A (zh) 2013-01-16
CN102884535B CN102884535B (zh) 2016-08-24

Family

ID=44152808

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201080058803.2A Expired - Fee Related CN102884535B (zh) 2009-12-21 2010-11-29 受保护装置管理

Country Status (8)

Country Link
US (3) US20110154023A1 (zh)
EP (1) EP2517144A4 (zh)
JP (1) JP5724118B2 (zh)
KR (1) KR101434069B1 (zh)
CN (1) CN102884535B (zh)
AU (1) AU2010340222B2 (zh)
RU (1) RU2557756C2 (zh)
WO (1) WO2011084265A2 (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103345453A (zh) * 2013-06-27 2013-10-09 清华大学 支持sata接口的硬盘数据加密卡及加解密方法
CN103530581A (zh) * 2013-10-09 2014-01-22 中国联合网络通信集团有限公司 硬盘加密方法和操作系统
CN106462718A (zh) * 2014-03-20 2017-02-22 微软技术许可有限责任公司 存储设备的快速数据保护
CN107924365A (zh) * 2015-08-31 2018-04-17 纽曼H-R计算机设计有限责任公司 防黑客计算机设计
CN108509250A (zh) * 2017-02-28 2018-09-07 英特尔公司 具有受保护的访客机验证主机控制的安全公共云
CN109407971A (zh) * 2018-09-13 2019-03-01 新华三云计算技术有限公司 升级磁盘锁的方法及装置
CN110445756A (zh) * 2019-07-04 2019-11-12 中国电子科技集团公司第三十研究所 云存储中可搜索加密审计日志的实现方法
CN110741614A (zh) * 2017-07-07 2020-01-31 古鲁洛吉克微系统公司 数据通信系统和方法
CN113383335A (zh) * 2020-01-09 2021-09-10 西部数据技术公司 数据存储设备事件的安全日志记录

Families Citing this family (115)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11190936B2 (en) 2007-09-27 2021-11-30 Clevx, Llc Wireless authentication system
US10181055B2 (en) 2007-09-27 2019-01-15 Clevx, Llc Data security system with encryption
US10778417B2 (en) 2007-09-27 2020-09-15 Clevx, Llc Self-encrypting module with embedded wireless user authentication
US20110154023A1 (en) 2009-12-21 2011-06-23 Smith Ned M Protected device management
US8826039B2 (en) * 2010-02-02 2014-09-02 Broadcom Corporation Apparatus and method for providing hardware security
US9703586B2 (en) * 2010-02-17 2017-07-11 Microsoft Technology Licensing, Llc Distribution control and tracking mechanism of virtual machine appliances
US8555377B2 (en) * 2010-04-29 2013-10-08 High Cloud Security Secure virtual machine
US8856534B2 (en) * 2010-05-21 2014-10-07 Intel Corporation Method and apparatus for secure scan of data storage device from remote server
US8589702B2 (en) * 2010-05-28 2013-11-19 Dell Products, Lp System and method for pre-boot authentication of a secure client hosted virtualization in an information handling system
US9134990B2 (en) 2010-05-28 2015-09-15 Dell Products, Lp System and method for implementing a secure client hosted virtualization service layer in an information handling system
US8639923B2 (en) 2010-05-28 2014-01-28 Dell Products, Lp System and method for component authentication of a secure client hosted virtualization in an information handling system
US8990584B2 (en) 2010-05-28 2015-03-24 Dell Products, Lp System and method for supporting task oriented devices in a client hosted virtualization system
US10482254B2 (en) 2010-07-14 2019-11-19 Intel Corporation Domain-authenticated control of platform resources
US9294946B2 (en) * 2010-08-27 2016-03-22 Qualcomm Incorporated Adaptive automatic detail diagnostic log collection in a wireless communication system
US8756696B1 (en) * 2010-10-30 2014-06-17 Sra International, Inc. System and method for providing a virtualized secure data containment service with a networked environment
US8751782B2 (en) * 2010-12-16 2014-06-10 Intel Corporation Secure local boot using third party data store (3PDS) based ISO image
US8572754B2 (en) * 2011-02-25 2013-10-29 Wyse Technology Inc. System and method for facilitating unlocking a device connected locally to a client
CN102145683A (zh) * 2011-03-11 2011-08-10 广东铁将军防盗设备有限公司 车辆视频记录仪
US8687814B2 (en) * 2011-05-20 2014-04-01 Citrix Systems, Inc. Securing encrypted virtual hard disks
US9619262B2 (en) * 2011-05-31 2017-04-11 Micro Focus Software Inc. Techniques for security auditing of cloud resources
CN103620612B (zh) * 2011-07-12 2016-04-13 惠普发展公司，有限责任合伙企业 包括端口和来宾域的计算设备
US8874935B2 (en) 2011-08-30 2014-10-28 Microsoft Corporation Sector map-based rapid data encryption policy compliance
US8918862B2 (en) * 2011-08-31 2014-12-23 International Business Machines Corporation Managing access to storage media
CN104094267B (zh) 2011-12-15 2020-04-07 英特尔公司 安全共享来自源装置的媒体内容的方法、装置和系统
PL2792100T3 (pl) 2011-12-15 2021-03-22 Intel Corporation Sposób i urządzenie do bezpiecznej komunikacji w sieci przy użyciu sprzętowego silnika bezpieczeństwa
EP2791849A4 (en) * 2011-12-15 2015-08-19 Intel Corp METHOD, DEVICE AND SYSTEM FOR SECURELY PROTECTING AND DISPENSING MULTIMEDIA CONTENT
EP2795513A4 (en) * 2011-12-22 2015-12-16 Intel Corp SYSTEMS AND METHODS FOR PROVIDING PROTECTION AGAINST MALICIOUS SOFTWARE ON STORAGE DEVICES
EP2795505A4 (en) 2011-12-22 2015-09-02 Intel Corp ACTIVATION AND MONETIZATION OF INTEGRATED FUNCTIONS IN STORAGE SUBSYSTEMS USING A RELIABLE CONNECTION SERVICE BACKPACK INFRASTRUCTURE
WO2013101122A1 (en) * 2011-12-29 2013-07-04 Intel Corporation Secure error handling
US8646054B1 (en) * 2012-03-23 2014-02-04 Western Digital Technologies, Inc. Mechanism to manage access to user data area with bridged direct-attached storage devices
US9336357B2 (en) 2012-09-28 2016-05-10 Intel Corporation Secure access management of devices
WO2014059575A1 (zh) * 2012-10-15 2014-04-24 华为技术有限公司 输入输出操作的处理方法和装置
US9560014B2 (en) 2013-01-23 2017-01-31 Mcafee, Inc. System and method for an endpoint hardware assisted network firewall in a security environment
US9232176B2 (en) 2013-03-04 2016-01-05 Janus Technologies, Inc. Method and apparatus for securing computer video and audio subsystems
US20140281447A1 (en) * 2013-03-12 2014-09-18 Green Hills Software, Inc. Single-Chip Virtualizing and Obfuscating Communications System for Portable Computing Devices
EP2974123B1 (en) * 2013-03-13 2019-09-25 Intel Corporation Systems and methods for account recovery using a platform attestation credential
US8996889B2 (en) * 2013-03-29 2015-03-31 Dropbox, Inc. Portable computing device with methodologies for client-side analytic data collection
US20140344570A1 (en) 2013-05-20 2014-11-20 Microsoft Corporation Data Protection For Organizations On Computing Devices
US10430608B2 (en) * 2013-06-14 2019-10-01 Salesforce.Com, Inc. Systems and methods of automated compliance with data privacy laws
US9705869B2 (en) 2013-06-27 2017-07-11 Intel Corporation Continuous multi-factor authentication
US9424443B2 (en) 2013-08-20 2016-08-23 Janus Technologies, Inc. Method and apparatus for securing computer mass storage data
US9384150B2 (en) 2013-08-20 2016-07-05 Janus Technologies, Inc. Method and apparatus for performing transparent mass storage backups and snapshots
US9231921B2 (en) 2013-08-20 2016-01-05 Janus Technologies, Inc. System and architecture for secure computer devices
US11210432B2 (en) 2013-08-20 2021-12-28 Janus Technologies, Inc. Method and apparatus for selectively snooping and capturing data for secure computer interfaces
US9684805B2 (en) 2013-08-20 2017-06-20 Janus Technologies, Inc. Method and apparatus for securing computer interfaces
US9076003B2 (en) 2013-08-20 2015-07-07 Janus Technologies, Inc. Method and apparatus for transparently encrypting and decrypting computer interface data
US9215250B2 (en) 2013-08-20 2015-12-15 Janus Technologies, Inc. System and method for remotely managing security and configuration of compute devices
US9304941B2 (en) * 2014-02-27 2016-04-05 Mangstor, Inc. Self-encrypting flash drive
US9411975B2 (en) 2014-03-31 2016-08-09 Intel Corporation Methods and apparatus to securely share data
US9734121B2 (en) 2014-04-28 2017-08-15 Qualcomm Incorporated Sensors global bus
US10417172B2 (en) 2014-04-28 2019-09-17 Qualcomm Incorporated Sensors global bus
US9985970B2 (en) * 2014-05-28 2018-05-29 Conjur, Inc. Individualized audit log access control for virtual machines
US9680821B2 (en) 2014-05-28 2017-06-13 Conjur, Inc. Resource access control for virtual machines
US10397213B2 (en) 2014-05-28 2019-08-27 Conjur, Inc. Systems, methods, and software to provide access control in cloud computing environments
TW201608408A (zh) * 2014-08-18 2016-03-01 Innostor Technology Corp Usb儲存裝置之無線認證系統及方法
US9825945B2 (en) 2014-09-09 2017-11-21 Microsoft Technology Licensing, Llc Preserving data protection with policy
US9853812B2 (en) 2014-09-17 2017-12-26 Microsoft Technology Licensing, Llc Secure key management for roaming protected content
CN104268477B (zh) * 2014-09-26 2017-09-26 华为技术有限公司 一种安全控制方法及网络设备
US9900295B2 (en) 2014-11-05 2018-02-20 Microsoft Technology Licensing, Llc Roaming content wipe actions across devices
US9734117B2 (en) * 2015-01-26 2017-08-15 Western Digital Technologies, Inc. Data storage device and method for integrated bridge firmware to be retrieved from a storage system on chip (SOC)
PL3073405T3 (pl) * 2015-03-23 2019-07-31 Abb Schweiz Ag Sposób i urządzenie zapewniające bezpieczny dostęp do usługi dostawcy
US9565169B2 (en) * 2015-03-30 2017-02-07 Microsoft Technology Licensing, Llc Device theft protection associating a device identifier and a user identifier
US10645064B2 (en) * 2015-04-23 2020-05-05 Alcatel Lucent Virtualized application performance through disabling of unnecessary functions
CN105636036A (zh) * 2015-05-29 2016-06-01 宇龙计算机通信科技(深圳)有限公司 Wi-Fi连接控制方法、终端和Wi-Fi设备
US9853820B2 (en) 2015-06-30 2017-12-26 Microsoft Technology Licensing, Llc Intelligent deletion of revoked data
US10552619B2 (en) * 2015-07-20 2020-02-04 Intel Corporation Technologies for secure trusted I/O access control
US9760730B2 (en) 2015-08-28 2017-09-12 Dell Products L.P. System and method to redirect and unlock software secure disk devices in a high latency environment
US10097534B2 (en) * 2015-08-28 2018-10-09 Dell Products L.P. System and method to redirect hardware secure USB storage devices in high latency VDI environments
CN105184154B (zh) * 2015-09-15 2017-06-20 中国科学院信息工程研究所 一种在虚拟化环境中提供密码运算服务的系统和方法
US10073964B2 (en) 2015-09-25 2018-09-11 Intel Corporation Secure authentication protocol systems and methods
US9900325B2 (en) 2015-10-09 2018-02-20 Microsoft Technology Licensing, Llc Passive encryption of organization data
US10362007B2 (en) * 2015-11-12 2019-07-23 Facebook, Inc. Systems and methods for user account recovery
US10078748B2 (en) 2015-11-13 2018-09-18 Microsoft Technology Licensing, Llc Unlock and recovery for encrypted devices
TWI566103B (zh) * 2015-11-16 2017-01-11 宇瞻科技股份有限公司 PCIe橋接器之轉換裝置及其方法
US10037418B2 (en) * 2015-11-25 2018-07-31 Dell Products L.P. Pre-boot authentication credential sharing system
US10853516B2 (en) * 2015-12-09 2020-12-01 Intel Corporation Methods and apparatus using human electrocardiogram to protect electronic data
US10067770B2 (en) 2015-12-21 2018-09-04 Hewlett-Packard Development Company, L.P. Platform key hierarchy
GB2580549B (en) * 2016-01-04 2020-12-23 Clevx Llc Data security system with encryption
US9965313B2 (en) * 2016-01-05 2018-05-08 Bitdefender IPR Management Ltd. Systems and methods for auditing a virtual machine
WO2018160714A1 (en) 2016-03-18 2018-09-07 Ozzie Raymond E Providing low risk exceptional access with verification of device possession
EP3437322B1 (en) 2016-03-18 2020-11-04 Raymond E. Ozzie Providing low risk exceptional access
US10713102B2 (en) * 2016-07-05 2020-07-14 Matias Klein Unmanned ground and aerial vehicle attachment system
US10251060B2 (en) 2016-09-27 2019-04-02 Intel Corporation Modifying access to a service based on configuration data
US10520110B2 (en) * 2016-10-10 2019-12-31 Citrix Systems, Inc. Systems and methods for executing cryptographic operations across different types of processing hardware
US10855465B2 (en) * 2016-11-10 2020-12-01 Ernest Brickell Audited use of a cryptographic key
US10191818B2 (en) * 2016-11-14 2019-01-29 Sap Se Filtered replication of data in distributed system of data centers
US10929572B2 (en) * 2017-04-10 2021-02-23 Nyquist Semiconductor Limited Secure data storage device with security function implemented in a data security bridge
US10440006B2 (en) 2017-06-21 2019-10-08 Microsoft Technology Licensing, Llc Device with embedded certificate authority
US10558812B2 (en) 2017-06-21 2020-02-11 Microsoft Technology Licensing, Llc Mutual authentication with integrity attestation
US10938560B2 (en) 2017-06-21 2021-03-02 Microsoft Technology Licensing, Llc Authorization key escrow
US9953168B1 (en) 2017-06-26 2018-04-24 Bracket Computing, Inc. Secure boot of virtualized computing instances
US10459751B2 (en) 2017-06-30 2019-10-29 ATI Technologies ULC. Varying firmware for virtualized device
US11079959B2 (en) 2017-07-12 2021-08-03 Hewlett-Packard Development Company, L.P. Migration of memory devices
US10853474B2 (en) * 2017-07-31 2020-12-01 Dell Products, L.P. System shipment lock
US11374760B2 (en) 2017-09-13 2022-06-28 Microsoft Technology Licensing, Llc Cyber physical key
US10678708B2 (en) 2018-02-07 2020-06-09 Seagate Technology Llc Encrypted raid drive management
US11070375B2 (en) * 2018-02-08 2021-07-20 Micron Technology, Inc. Key encryption handling
US11880436B2 (en) * 2018-03-23 2024-01-23 Nanolock Security Inc. Remote access control for digital hardware
US11568039B2 (en) * 2018-06-03 2023-01-31 Apple Inc. Credential manager integration
CN109308170B (zh) * 2018-09-11 2021-11-30 北京北信源信息安全技术有限公司 一种数据处理方法及装置
CN109543475B (zh) * 2018-10-29 2020-07-07 北京博衍思创信息科技有限公司 一种外接式终端防护设备及防护系统
US11308243B2 (en) 2019-09-11 2022-04-19 International Business Machines Corporation Maintenance of access for security enablement in a storage device
US11188659B2 (en) 2019-09-11 2021-11-30 International Business Machines Corporation Concurrent enablement of encryption on an operational path at a host port
US11206144B2 (en) 2019-09-11 2021-12-21 International Business Machines Corporation Establishing a security association and authentication to secure communication between an initiator and a responder
US11201749B2 (en) 2019-09-11 2021-12-14 International Business Machines Corporation Establishing a security association and authentication to secure communication between an initiator and a responder
US11354455B2 (en) 2019-09-11 2022-06-07 International Business Machines Corporation Maintenance of access for security enablement on a host system
US11188658B2 (en) 2019-09-11 2021-11-30 International Business Machines Corporation Concurrent enablement of encryption on an operational path at a storage port
US11303441B2 (en) 2019-09-25 2022-04-12 International Business Machines Corporation Reverting from a new security association to a previous security association in response to an error during a rekey operation
US11245521B2 (en) 2019-09-25 2022-02-08 International Business Machines Corporation Reverting from a new security association to a previous security association in response to an error during a rekey operation
US11640475B1 (en) * 2019-11-26 2023-05-02 Gobeep, Inc. Systems and processes for providing secure client controlled and managed exchange of data between parties
US11438171B2 (en) * 2020-03-05 2022-09-06 Micron Technology, Inc. Virtualized authentication device
US11611540B2 (en) * 2020-07-01 2023-03-21 Vmware, Inc. Protection of authentication data of a server cluster
KR20220124452A (ko) 2021-03-03 2022-09-14 삼성전자주식회사 스토리지 장치
US20220377054A1 (en) * 2021-05-19 2022-11-24 Western Digital Technologies, Inc. Data storage device data recovery using remote network storage
US11966782B2 (en) * 2021-09-24 2024-04-23 Dell Products L.P. Method and system for performing historical state management services for composed information handling systems

Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030056051A1 (en) * 2001-09-20 2003-03-20 International Business Machines Corporation System and method for connecting a universal serial bus device to a host computer system
US20040103324A1 (en) * 2002-11-27 2004-05-27 Band Jamie Angus Automated security token administrative services
US6823463B1 (en) * 2000-05-16 2004-11-23 International Business Machines Corporation Method for providing security to a computer on a computer network
US20040250107A1 (en) * 2003-06-05 2004-12-09 Microsoft Corporation In-context security advisor in a computing environment
US20050262361A1 (en) * 2004-05-24 2005-11-24 Seagate Technology Llc System and method for magnetic storage disposal
US20060236127A1 (en) * 2005-04-01 2006-10-19 Kurien Thekkthalackal V Local secure service partitions for operating system security
CN1912886A (zh) * 2005-08-10 2007-02-14 惠普开发有限公司 有选择地允许改变硬件单元状态的方法和系统
US20080052777A1 (en) * 2006-08-28 2008-02-28 Seiichi Kawano Method and Apparatus for Managing Shared Passwords on a Multi-User Computer
US20080060068A1 (en) * 2006-08-31 2008-03-06 Mabayoje Bukie O Methods and arrangements for remote communications with a trusted platform module
US20080130901A1 (en) * 2002-08-07 2008-06-05 Radoslav Danilak System and method for transparent disk encryption
US20080162809A1 (en) * 2006-12-28 2008-07-03 Rothman Michael A Operating system-independent remote accessibility to disk storage
US20090222909A1 (en) * 2008-02-29 2009-09-03 Lenovo (Singapore) Pte. Ltd Password Management Outside of a Bios

Family Cites Families (53)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US682346A (en) * 1901-03-02 1901-09-10 David P Sims Leakage-guard for water-motors.
JPS62241040A (ja) * 1986-04-11 1987-10-21 Nec Corp ハ−ドウエア動作トレ−ス装置
US6009527A (en) * 1995-11-13 1999-12-28 Intel Corporation Computer system security
US5919257A (en) * 1997-08-08 1999-07-06 Novell, Inc. Networked workstation intrusion detection system
US6263441B1 (en) * 1998-10-06 2001-07-17 International Business Machines Corporation Real-time alert mechanism for signaling change of system configuration
US20010011947A1 (en) * 1999-05-24 2001-08-09 Muhammed Jaber System and method for securing a computer system
JP2002055891A (ja) * 2000-08-15 2002-02-20 Hitachi Ltd コンピュータ管理装置
GB2366691B (en) * 2000-08-31 2002-11-06 F Secure Oyj Wireless device management
US6983372B1 (en) * 2000-09-14 2006-01-03 Micron Technology, Inc. BIOS lock CD-ROM encode/decode driver
US6823464B2 (en) * 2001-02-26 2004-11-23 International Business Machines Corporation Method of providing enhanced security in a remotely managed computer system
US6701464B2 (en) * 2001-03-01 2004-03-02 International Business Machines Corporation Method and system for reporting error logs within a logical partition environment
US20030070099A1 (en) * 2001-10-05 2003-04-10 Schwartz Jeffrey D. System and methods for protection of data stored on a storage medium device
US20030120918A1 (en) * 2001-12-21 2003-06-26 Intel Corporation Hard drive security for fast boot
US6633835B1 (en) * 2002-01-10 2003-10-14 Networks Associates Technology, Inc. Prioritized data capture, classification and filtering in a network monitoring environment
US7343493B2 (en) * 2002-03-28 2008-03-11 Lenovo (Singapore) Pte. Ltd. Encrypted file system using TCPA
JP4039660B2 (ja) * 2002-05-31 2008-01-30 株式会社東芝 情報処理装置
TWI253567B (en) 2002-08-06 2006-04-21 Quanta Comp Inc Method of remote controlling computers via network and architecture thereof
US7367063B1 (en) * 2002-09-17 2008-04-29 Cisco Technology, Inc. Methods and apparatus for providing security to a computerized device
US7337323B2 (en) * 2002-09-20 2008-02-26 Safenet, Inc. Boot-up and hard drive protection using a USB-compliant token
US7146512B2 (en) * 2003-06-30 2006-12-05 Intel Corporation Method of activating management mode through a network for monitoring a hardware entity and transmitting the monitored information through the network
US20050114686A1 (en) * 2003-11-21 2005-05-26 International Business Machines Corporation System and method for multiple users to securely access encrypted data on computer system
RU2263950C2 (ru) * 2003-11-28 2005-11-10 Федеральное Государственное Унитарное Предприятие "Концерн "Системпром" Устройство защиты от несанкционированного доступа к информации, хранимой в персональной эвм
US20050125648A1 (en) * 2003-12-05 2005-06-09 Luciani Luis E.Jr. System for establishing hardware-based remote console sessions and software-based remote console sessions
US8281114B2 (en) * 2003-12-23 2012-10-02 Check Point Software Technologies, Inc. Security system with methodology for defending against security breaches of peripheral devices
US7840763B2 (en) * 2004-03-12 2010-11-23 Sca Technica, Inc. Methods and systems for achieving high assurance computing using low assurance operating systems and processes
US20060037074A1 (en) * 2004-08-16 2006-02-16 Inventec Corporation Computer platform external communication port access authorization method and interface
JP4562464B2 (ja) * 2004-09-07 2010-10-13 富士通株式会社 情報処理装置
US8972743B2 (en) * 2005-05-16 2015-03-03 Hewlett-Packard Development Company, L.P. Computer security system and method
US7624279B2 (en) * 2005-06-29 2009-11-24 Lenovo Singapore Pte. Ltd. System and method for secure O.S. boot from password-protected HDD
US20070006307A1 (en) * 2005-06-30 2007-01-04 Hahn Scott D Systems, apparatuses and methods for a host software presence check from an isolated partition
US20070061879A1 (en) * 2005-09-15 2007-03-15 Dailey James E System and method for managing information handling system hard disk drive password protection
US7693838B2 (en) * 2005-11-12 2010-04-06 Intel Corporation Method and apparatus for securely accessing data
US20070174429A1 (en) * 2006-01-24 2007-07-26 Citrix Systems, Inc. Methods and servers for establishing a connection between a client system and a virtual machine hosting a requested computing environment
US20070180167A1 (en) * 2006-02-02 2007-08-02 Seagate Technology Llc Dynamic partition mapping in a hot-pluggable data storage apparatus
US8205238B2 (en) * 2006-03-30 2012-06-19 Intel Corporation Platform posture and policy information exchange method and apparatus
US7703126B2 (en) * 2006-03-31 2010-04-20 Intel Corporation Hierarchical trust based posture reporting and policy enforcement
US8122258B2 (en) * 2006-05-22 2012-02-21 Hewlett-Packard Development Company, L.P. System and method for secure operating system boot
JP2008108227A (ja) 2006-09-25 2008-05-08 Hitachi Ltd ストレージシステム及び監査ログ管理方法
US7941847B2 (en) * 2006-09-26 2011-05-10 Lenovo (Singapore) Pte. Ltd. Method and apparatus for providing a secure single sign-on to a computer system
US20080288782A1 (en) * 2007-05-18 2008-11-20 Technology Properties Limited Method and Apparatus of Providing Security to an External Attachment Device
US7779220B1 (en) * 2007-03-15 2010-08-17 Quantum Corporation Password-based media cartridge authentication
US9158920B2 (en) * 2007-06-28 2015-10-13 Intel Corporation System and method for out-of-band assisted biometric secure boot
US9178884B2 (en) * 2007-09-07 2015-11-03 Intel Corporation Enabling access to remote entities in access controlled networks
US8056127B2 (en) * 2007-10-31 2011-11-08 International Business Machines Corporation Accessing password protected devices
TW201007469A (en) * 2008-08-15 2010-02-16 Asustek Comp Inc Computer with remote mangement system
US8332604B2 (en) * 2008-09-30 2012-12-11 Intel Corporation Methods to securely bind an encryption key to a storage device
US8341430B2 (en) * 2008-10-03 2012-12-25 Microsoft Corporation External encryption and recovery management with hardware encrypted storage devices
US8103883B2 (en) * 2008-12-31 2012-01-24 Intel Corporation Method and apparatus for enforcing use of danbury key management services for software applied full volume encryption
US8161260B2 (en) * 2009-02-09 2012-04-17 Oracle International Corporation Optimal memory allocation for guested virtual machine(s)
US8935382B2 (en) * 2009-03-16 2015-01-13 Microsoft Corporation Flexible logging, such as for a web server
US8955108B2 (en) * 2009-06-17 2015-02-10 Microsoft Corporation Security virtual machine for advanced auditing
US20110040980A1 (en) * 2009-08-12 2011-02-17 Apple Inc. File Management Safe Deposit Box
US20110154023A1 (en) 2009-12-21 2011-06-23 Smith Ned M Protected device management

Patent Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6823463B1 (en) * 2000-05-16 2004-11-23 International Business Machines Corporation Method for providing security to a computer on a computer network
US20030056051A1 (en) * 2001-09-20 2003-03-20 International Business Machines Corporation System and method for connecting a universal serial bus device to a host computer system
US20080130901A1 (en) * 2002-08-07 2008-06-05 Radoslav Danilak System and method for transparent disk encryption
US20040103324A1 (en) * 2002-11-27 2004-05-27 Band Jamie Angus Automated security token administrative services
US20040250107A1 (en) * 2003-06-05 2004-12-09 Microsoft Corporation In-context security advisor in a computing environment
US20050262361A1 (en) * 2004-05-24 2005-11-24 Seagate Technology Llc System and method for magnetic storage disposal
US20060236127A1 (en) * 2005-04-01 2006-10-19 Kurien Thekkthalackal V Local secure service partitions for operating system security
CN1912886A (zh) * 2005-08-10 2007-02-14 惠普开发有限公司 有选择地允许改变硬件单元状态的方法和系统
US20080052777A1 (en) * 2006-08-28 2008-02-28 Seiichi Kawano Method and Apparatus for Managing Shared Passwords on a Multi-User Computer
US20080060068A1 (en) * 2006-08-31 2008-03-06 Mabayoje Bukie O Methods and arrangements for remote communications with a trusted platform module
US20080162809A1 (en) * 2006-12-28 2008-07-03 Rothman Michael A Operating system-independent remote accessibility to disk storage
US20090222909A1 (en) * 2008-02-29 2009-09-03 Lenovo (Singapore) Pte. Ltd Password Management Outside of a Bios

Cited By (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103345453B (zh) * 2013-06-27 2016-02-24 清华大学 基于支持sata接口的硬盘数据加密卡进行加密的方法
CN103345453A (zh) * 2013-06-27 2013-10-09 清华大学 支持sata接口的硬盘数据加密卡及加解密方法
CN103530581A (zh) * 2013-10-09 2014-01-22 中国联合网络通信集团有限公司 硬盘加密方法和操作系统
US10615967B2 (en) 2014-03-20 2020-04-07 Microsoft Technology Licensing, Llc Rapid data protection for storage devices
CN106462718A (zh) * 2014-03-20 2017-02-22 微软技术许可有限责任公司 存储设备的快速数据保护
CN106462718B (zh) * 2014-03-20 2019-06-28 微软技术许可有限责任公司 存储设备的快速数据保护
CN107924365A (zh) * 2015-08-31 2018-04-17 纽曼H-R计算机设计有限责任公司 防黑客计算机设计
CN108509250A (zh) * 2017-02-28 2018-09-07 英特尔公司 具有受保护的访客机验证主机控制的安全公共云
CN108509250B (zh) * 2017-02-28 2023-11-14 英特尔公司 具有受保护的访客机验证主机控制的安全公共云
CN110741614A (zh) * 2017-07-07 2020-01-31 古鲁洛吉克微系统公司 数据通信系统和方法
CN110741614B (zh) * 2017-07-07 2021-03-05 古鲁洛吉克微系统公司 数据通信系统和方法
US11070531B2 (en) 2017-07-07 2021-07-20 Gurulogic Microsystems Oy Data communication system and method
CN109407971B (zh) * 2018-09-13 2021-12-07 新华三云计算技术有限公司 升级磁盘锁的方法及装置
CN109407971A (zh) * 2018-09-13 2019-03-01 新华三云计算技术有限公司 升级磁盘锁的方法及装置
CN110445756A (zh) * 2019-07-04 2019-11-12 中国电子科技集团公司第三十研究所 云存储中可搜索加密审计日志的实现方法
CN110445756B (zh) * 2019-07-04 2021-07-09 中国电子科技集团公司第三十研究所 云存储中可搜索加密审计日志的实现方法
CN113383335A (zh) * 2020-01-09 2021-09-10 西部数据技术公司 数据存储设备事件的安全日志记录

Also Published As

Publication number Publication date
RU2557756C2 (ru) 2015-07-27
RU2012127390A (ru) 2014-01-10
KR101434069B1 (ko) 2014-09-22
US20140366116A1 (en) 2014-12-11
EP2517144A2 (en) 2012-10-31
WO2011084265A3 (en) 2011-12-01
KR20120096019A (ko) 2012-08-29
AU2010340222B2 (en) 2014-07-03
US20110154023A1 (en) 2011-06-23
US9426147B2 (en) 2016-08-23
US20160342798A1 (en) 2016-11-24
EP2517144A4 (en) 2017-02-15
WO2011084265A2 (en) 2011-07-14
JP2013515296A (ja) 2013-05-02
AU2010340222A1 (en) 2012-05-24
CN102884535B (zh) 2016-08-24
JP5724118B2 (ja) 2015-05-27

Similar Documents

Publication Publication Date Title
CN102884535B (zh) 受保护装置管理
US8281135B2 (en) Enforcing use of chipset key management services for encrypted storage devices
CN112074836B (zh) 通过可信执行环境保护数据的设备和方法
CN1801091B (zh) 用可信处理模块安全地引导计算机的系统和方法
JP3689431B2 (ja) 暗号化キーの安全処理のための方法及び装置
CN102948114B (zh) 用于访问加密数据的单次使用认证方法及系统
RU2385483C2 (ru) Система и способ использования гипервизора, чтобы управлять доступом к предоставляемой в аренду вычислительной машине
US7890993B2 (en) Secret file access authorization system with fingerprint limitation
US8886964B1 (en) Protecting remote asset against data exploits utilizing an embedded key generator
US20170277898A1 (en) Key management for secure memory address spaces
JP2007034875A (ja) ペリフェラルの使用管理方法、電子システム及びその構成装置
KR20140051350A (ko) 디지털 서명 권한자 의존형 플랫폼 기밀 생성 기법
US11469880B2 (en) Data at rest encryption (DARE) using credential vault
SG185640A1 (en) Method and system of secure computing environment having auditable control of data movement
US20090199017A1 (en) One time settable tamper resistant software repository
US7765407B2 (en) Method and apparatus for providing centralized user authorization to allow secure sign-on to a computer system
US11095628B2 (en) Device locking key management system
KR101387939B1 (ko) 백업용 스토리지 제어 시스템
JP2023136601A (ja) ソフトウェア管理装置、ソフトウェア管理方法、及びプログラム
JP2001119389A (ja) 認証装置、暗号処理装置、及びデータバックアップ装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1181146

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
REG Reference to a national code

Ref country code: HK

Ref legal event code: GR

Ref document number: 1181146

Country of ref document: HK

CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20160824

Termination date: 20171129

CF01 Termination of patent right due to non-payment of annual fee