CN102955921A

CN102955921A - 电子装置与安全开机方法

Info

Publication number: CN102955921A
Application number: CN2012104881856A
Authority: CN
Inventors: 黄宗庆; 张国航; 汤尧文; 詹浚玮
Original assignee: Via Technologies Inc
Current assignee: Via Technologies Inc
Priority date: 2012-10-19
Filing date: 2012-11-26
Publication date: 2013-03-06
Anticipated expiration: 2032-11-26
Also published as: US20140115314A1; US9292300B2; TW201416899A; CN102955921B; TWI564747B

Abstract

电子装置与安全开机方法。该安全开机方法适用于一电子装置，其中该电子装置包括一内嵌式控制器与一处理器。该安全开机方法包括：通过该内嵌式控制器验证一安全载入器；当该安全载入器被验证通过后，该内嵌式控制器对该电子装置的一外围硬件解锁；该处理器执行该安全载入器。

Description

电子装置与安全开机方法

技术领域

本发明为一种安全开机（secure boot）方法，特别是一种利用内嵌式控制器执行的安全开机方法。

背景技术

随着计算机与其他手持式电子装置的普及，消费者已经习惯将各种数据存储在电子装置中，因此信息安全也成为消费者越来越重视的问题。随着越来越多的恶意软件以及网络上存在着各种木马程序，电子装置被黑客入侵的机会大增，使得消费者存储的数据也越来越容易遭到黑客窃取。甚至一些恶意软件可以在电子装置开机时就已经被载入，即使电子装置有安装防毒软件也因为电子装置已经不是处于安全开机的状态下，而无法正常运作。目前市面上有很多方法可以达到电子装置的安全开机的目标，其中最常见的就是利用一信任平台模块（Trust Platform Module）来认证软件以确保电子装置可以被安全开机。信任平台模块可以直接对电子装置内的数据进行加密解密的动作，且即使消费者的密码遭到黑客窃取，但是因为黑客没有对应的信任平台模块的芯片，因此黑客也无法窃取被加密的数据。不过，信任平台模块的芯片会增加电子装置的成本，对电子装置的制造商来说并非最佳的解决方式。

发明内容

本发明的目的在于利用电子装置内的内嵌式控制器来达成电子装置的安全开机的目的。

本发明的一实施例为一种安全开机方法。该安全开机方法适用于一电子装置，其中该电子装置包括一内嵌式控制器与一处理器。该安全开机方法包括：通过该内嵌式控制器验证一安全载入器；当该安全载入器被验证通过后，该内嵌式控制器对该电子装置的一外围硬件解锁；该处理器执行该安全载入器。

本发明的另一实施例提供一种电子装置，具有一安全开机机制。该电子装置包括一处理器、一安全载入器、一外围硬件以及内嵌式控制器，以验证该安全载入器，其中当该安全开机机制被执行，该内嵌式控制器验证该安全载入器，且当该安全载入器被验证通过后，该内嵌式控制器对该外围硬件解锁。接着该处理器执行该安全载入器。

附图说明

图1为根据本发明的一电子装置的安全开机方法的一实施例的流程图。

图2为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。

图3为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。

图4为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。

图5为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。

图6为根据本发明的一具有安全开机机制的电子装置的示意图。

【主要元件符号说明】

61~处理器

62~内嵌式控制器

63~快闪存储器

63a～安全载入器

63b~操作系统载入器

63c~BIOS

64~芯片组

64a～南桥芯片

64b～北桥芯片

65~主存储器

66~硬盘

66a～操作系统

具体实施方式

有关本发明的前述及其他技术内容、特点与功效，在以下配合参考附图的一优选实施例的详细说明中，将可清楚的呈现。以下实施例中所提到的方向用语，例如：上、下、左、右、前或后等，仅是参考附加附图的方向。因此，使用的方向用语是用来说明并非用来限制本发明。

图1为根据本发明的一电子装置的安全开机方法的一实施例的流程图。本实施例的安全开机方法适用于一手持式电子装置、桌上型计算机或一笔记型计算机。本实施例以一笔记型计算机为例说明。笔记型计算机包括一内嵌式控制器（embedded controller），该内嵌式控制器可以负责该笔记型计算机的电源管理，电池管理以及该笔记型计算机的中央处理器的温度控制与风扇控制。在另一实施例中，该内嵌式控制器还作为该笔记型计算机的键盘控制器。

当该笔记型计算机通过一交流变压器供电时，该内嵌式控制器先执行一初始程序，并将该笔记型计算机的一电源键反致能（disable），此时使用者将无法通过该电源键使该笔记型计算机开机。同样地，本实施例所示的安全开机方法如果应用在手持式电子装置，则手持式电子装置的电源键也会被反致能（disable），此时使用者将无法通过该电源键使手持式电子装置开机。因为在一些手持式电子装置中，如果要对手持式电子装置进行更新或是进入工程模式时，可能必须通过特定按键的组合才能进入工程模式或是进行更新，因此通过将电源键锁住的方式，可以确保电子装置可以处于安全开机的状态下，降低手持式电子装置的操作系统遭到黑客修改的可能性。

接着，在步骤S11中，内嵌式控制器先验证一安全载入器（secure loader）。内嵌式控制器通过一Hash认证方式对安全载入器进行验证。在本实施例中，安全载入器为BIOS的一部分。在一实施例中，安全载入器与BIOS存储于同一存储装置，此存储装置例如是快闪只读存储器(flash ROM)。内嵌式控制器存储有该安全载入器正确的Hash值以及该安全载入器的地址。当内嵌式控制器完成一初始程序后，内嵌式控制器自该地址读取该安全载入器，并验证该安全载入器是否有被修改。在一实施例中，当内嵌式控制器执行初始程序时，电子装置内除了该内嵌式控制器以及主存储器是可被使用外，电子装置内的其他元件或外围装置是被内嵌式控制器所锁住而无法被存取以及运作。

在步骤S12中，如果验证失败的话，步骤S14被执行。内嵌式控制器会控制电子装置以发出警示讯息以通知使用者。该警示讯息可能通过电子装置的一蜂鸣器发出特定声音信号或是控制一特定的发光二极管，使该发光二极管闪烁。在步骤S12中，如果验证通过的话，步骤S13被执行。在步骤S13中，内嵌式控制器会对该电子装置的硬件进行解锁的动作。此时，电子装置的电源键才会被解锁，使用者才可以通过电源键对电子装置开机。

在步骤S15中，内嵌式控制器执行一般电源管理程序。在步骤S16中，处理器执行安全载入器。接着，在步骤S17中，安全载入器对BIOS进行验证。在步骤S18中，如果验证失败，则步骤S14被执行，内嵌式控制器会控制电子装置以发出警示讯息以通知使用者。如果验证成功，则执行步骤S19，处理器会执行BIOS，并载入电子装置的操作系统。

图2为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。本实施例的安全开机方法适用于手持式电子装置、桌上型计算机或笔记型计算机。本实施例以一笔记型计算机为例说明。笔记型计算机包括一内嵌式控制器（embedded controller），该内嵌式控制器可以负责该笔记型计算机的电源管理、电池管理以及该笔记型计算机的中央处理器的温度控制与风扇控制。在另一实施例中，该内嵌式控制器更作为该笔记型计算机的键盘控制器。

在步骤S21中判断电子装置的电源配置是否符合预设状态。在本实施例中是根据先进配置与电源接口（Advanced Configuration and Power Interface，ACPI）中的电源配置为例说明。在步骤S21中判断的是电子装置的预设状态是否由一特定电源配置回到一般工作状态（S0）。该特定电源配置包括S3，S4以及S5配置。下文则说明该配置的代表意思。

S3（sleeping state，睡眠状态或称待机状态）：在这个状态下，主存储器(RAM)仍然有电源供给，且几乎是唯一的有电源供给的元件。因为操作系统、所有应用程序和被开启的文档等的状态都是保存在主存储器中，计算机从S3状态回来时，主存储器的内容和它进入S3状态时候的内容是相同的，故使用者可以把计算机恢复到上次他们保持的状态。在S3配置下，如果任何正在执行的应用程序(被开启的文档等)有私有信息在里面，这些信息是不会被写到非易失性存储器，例如硬盘。

S4（休眠状态）：S3与S4都是睡眠状态，只是在这两个睡眠状态下，计算机内的硬件设定并不完全相同。在S4状态下，电子装置的大部分元件都未被供电。在这个状态下，所有主存储器的内容被存储在非易失性存储器，例如硬盘，保护操作系统当前的状态，包括所有应用程序，开启的文档等。这也就是说，当计算机从S4恢复后，使用者可以恢复到原本的工作状态，这部分是与S3是一样的。状态S4和S3之间的差异是，除了把主存储器中的内容移进移出所消耗的时间差异以外，在S3状态下的时候如果一旦停电了，所有主存储器上的数据就会丢失，包括所有的没有保存的文档，而在S4状态下，因为数据是存储在硬盘，所以没有影响。

S5（soft off，软关机状态）：除了操作系统并不会存储任何数据外，S5状态与S4大部分都是相似的。当计算机位于S5状态时，计算机仍有可能被通过网络，键盘，USB装置被唤醒。

在步骤S21中，只要判断电子装置的电源配置从前述配置进入一般工作状态（S0），则步骤S22被执行。在步骤S22中，内嵌式控制器先验证一安全载入器（secure loader）。内嵌式控制器通过一Hash认证方式对安全载入器进行验证。内嵌式控制器存储有该安全载入器正确的Hash值以及该安全载入器的地址。当内嵌式控制器完成该初始程序后，内嵌式控制器自该地址读取该安全载入器，并验证该安全载入器是否有被修改。

在步骤S23中，如果验证失败的话，步骤S24被执行。内嵌式控制器会控制电子装置以发出警示讯息以通知使用者。该警示讯息可能通过电子装置的一蜂鸣器发出特定声音信号或是控制一特定的发光二极管，使该发光二极管闪烁。在步骤S23中，如果验证通过的话，步骤S25被执行。在步骤S25中，内嵌式控制器会对该电子装置的硬件进行解锁的动作。在步骤S26中，内嵌式控制器执行一般电源管理程序。接着在步骤S27中，电子装置的处理器执行BIOS或是安全载入器。

图3为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。本实施例的安全开机方法适用于手持式电子装置、桌上型计算机或笔记型计算机。本实施例以一笔记型计算机为例说明。笔记型计算机包括一内嵌式控制器（embedded controller），该内嵌式控制器可以负责该笔记型计算机的电源管理，电池管理以及该笔记型计算机的中央处理器的温度控制与风扇控制。在另一实施例中，该内嵌式控制器更为该笔记型计算机的键盘控制器。

当笔记型计算机开机时，如果要确保笔记型计算机载入的操作系统（operating system，OS）是正确且没有遭到黑客修改，则必须要先确保操作系统载入器（OS loader）是安全可靠。而操作系统载入器则是通过BIOS来验证，因此如果BIOS是安全可靠的情况下，就可以确保操作系统载入器室安全可靠。但是为防止BIOS被修改或是被以其他方式变动，因此本发明提出通过内嵌式控制器来验证BIOS的方式，以确保笔记型计算机可以被安全的开机。

在步骤S31中，先由笔记型计算机内的一内嵌式控制器来验证BIOS。内嵌式控制器通过一Hash认证方式对BIOS进行验证。内嵌式控制器存储有对应该BIOS正确的Hash值以及该BIOS存储在存储器的地址。当内嵌式控制器确认BIOS并没有被修改后，执行步骤S32。在步骤S32中，笔记型计算机的中央处理器执行BIOS，并对BIOS内的操作系统载入器（OS loader）进行验证。在一实施例中，操作系统载入器与BIOS存储于同一存储装置，此存储装置例如是快闪只读存储器。在另一实施例中，操作系统载入器与BIOS存储于不同的存储装置，例如操作系统载入器存储于硬盘、BIOS存储于快闪只读存储器。

当操作系统载入器被验证通过后，执行步骤S33，由中央处理器执行作业载入器以载入操作系统。在一实施例中，操作系统载入器与操作系统存储于同一存储装置，此存储装置例如是硬盘或快闪只读存储器。在另一实施例中，操作系统载入器与操作系统存储于不同的存储装置，例如操作系统载入器存储于快闪只读存储器、操作系统存储于硬盘。

通过上述的方式便可以确保操作系统的载入过程中都是安全的，如此便可达到笔记型计算机安全开机的目的。

图4为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。本实施例的安全开机方法适用于一手持式电子装置。一般来说，当手持式电子装置开机时，会通过一操作系统载入器载入操作系统。为确保手持式电子装置能够安全的被开机，本实施例通过一安全载入器来达成此一目的。

在步骤S41中，手持式电子装置被开机，此时手持式电子装置内的一内嵌式控制器被致能，并自一存储装置内的一特定位置取得该安全载入器，存储装置例如是非易失性存储器。接着，内嵌式控制器验证该安全载入器。在本实施例中，该内嵌式控制器可能是一键盘控制器或是手持式电子装置中除应用处理器（application processor）外的一控制器或一控制电路。

在步骤S42中，如果安全载入器被验证通过，则执行步骤S43。如果验证没有通过，则执行步骤S44，内嵌式控制器会控制手持式电子装置以发出警示讯息以通知使用者。在步骤S43中，由手持式电子装置的应用处理器验证一操作系统载入器。在步骤S45中，如果操作系统载入器没有被验证通过，则执行步骤S44，由内嵌式控制器会控制手持式电子装置以发出警示讯息以通知使用者。如果操作系统载入器被验证通过，则执行步骤S46，由应用处理器执行该操作系统载入器以载入手持式电子装置的操作系统。

图5为根据本发明的一电子装置的安全开机方法的另一实施例的流程图。本实施例的安全开机方法适用于一手持式电子装置。在本实施例中，手持式电子装置例如是笔记型计算机，其中该笔记型计算机包括一内嵌式控制器（embedded controller），该内嵌式控制器可以负责该笔记型计算机的电源管理，电池管理以及该笔记型计算机的中央处理器的温度控制与风扇控制。在另一实施例中，该内嵌式控制器更为该笔记型计算机的键盘控制器。

在笔记型计算机连接至一交流变压器，且一安全载入器被验证前，笔记性计算机内的一特定电路会使得笔记型计算机的一电源键暂时失效（invalidate）。利用这样的方式可以避免笔记型计算机的固件被降级，而遭到黑客入侵。虽然本实施例是以笔记型计算机为例说明，但并非将本发明限制于此，本实施例的安全开机方法也可适用于一手持式电子装置。

在步骤S501中，笔记型计算机连接至一交流变压器，使得内嵌式控制器被致能，此时内嵌式控制器执行一初始化程序。内嵌式控制器会通过一非公开的系统总线（private system bus），自一快闪只读存储器取得一固件，以执行初始化程序。在初始化程序中，内嵌式控制器会对笔记型计算机中，除了该内嵌式控制器以及主存储器外的元件或外围装置上锁，使得元件与外围装置无法被存取或是使用。

在内嵌式控制器初始化完成后，在步骤S502中，内嵌式控制器对一安全载入器进行验证。该安全载入器为笔记型计算机的BIOS的一部分。在一实施例中，安全载入器与BIOS存储于同一存储装置，此存储装置例如是快闪只读存储器。内嵌式控制器存储有该安全载入器正确的Hash值以及该安全载入器的地址。在步骤S503中，如果安全载入器验证不通过，则执行步骤S504，由内嵌式控制器发出警示讯息以通知使用者。如果验证通过则执行步骤S505。

在步骤S505中，内嵌式控制器对笔记型计算机的硬件解锁，且笔记型计算机会进入其内核服务（core service），此内核服务例如是对外围电路的检测。当使用者按下笔记型计算机的电源键时，内嵌式控制器会传送一触发信号给笔记型计算机的中央处理器。在步骤S506中，中央处理器会去一特定地址，如OxFFF_FFF0，去抓取指令。接着在步骤S507中，中央处理器会执行安全载入器。在安全载入器被中央处理器执行完毕后，中央处理器执行一BIOS自我测试（Power-On SelfTest，POST）。

在步骤S508中，中央处理器执行BIOS自我测试，中央处理器会进行笔记型计算机的自我测试，并会与内嵌式控制器交互认证。在步骤S509中，如果步骤S508的交互认证失败，则执行步骤S504。如果认证成功，则执行步骤S510。在步骤S510中，中央处理器执行BIOS中的一操作系统载入器，并载入一操作系统。在一实施例中，操作系统载入器与BIOS存储于同一存储装置，此存储装置例如是快闪只读存储器。在另一实施例中，操作系统载入器与BIOS存储于不同的存储装置，例如操作系统载入器存储于硬盘、BIOS存储于快闪只读存储器。此外，在又一实施例中，操作系统载入器与操作系统存储于同一存储装置，此存储装置例如是硬盘或快闪只读存储器。在另一实施例中，操作系统载入器与操作系统存储于不同的存储装置，例如操作系统载入器存储于快闪只读存储器、操作系统存储于硬盘。

值得一提的是，在本实施例中，当操作系统被载入时，内嵌式控制器会锁住存储安全载入器、操作系统载入器、BIOS以及对应的Hash值的一存储装置，如快闪存储器，防止快闪存储器存储的数据被恶意写入或修改。

图6为根据本发明的一具有安全开机机制的电子装置的示意图。电子装置包括了处理器61、内嵌式控制器62、快闪存储器63、芯片组64、主存储器65以及存储有操作系统66a的硬盘66。芯片组64包含了南桥芯片64a与北桥芯片64b。快闪只读存储器63存储了安全载入器63a、操作系统载入器63b以及BIOS 63c。当电子装置开机时，内嵌式控制器62与处理器61可执行如图1至图5的安全开机方法，以确保电子装置能被安全开机。此外，已知技艺者也可针对不同的电子装置的硬件设置，并根据图1至图5的安全开机方法删减部分安全开机方法的步骤或是根据图1至图5的安全开机方法开发新的安全开机方法的流程。

在本实施例中，当电子装置开机时，一安全开机机制被执行。内嵌式控制器62先执行一初始化程序，此时电子装置内除了内嵌式控制器62以及主存储器65是可被使用外，电子装置内的其他元件是被内嵌式控制器62所锁住而无法运作。

内嵌式控制器62通过一Hash认证方式对安全载入器63a进行验证。内嵌式控制器62存储有安全载入器63a正确的Hash值以及安全载入器63a存储于快闪只读存储器63的地址。如果内嵌式控制器62对安全载入器63a验证失败，内嵌式控制器62会控制电子装置以发出警示讯息以通知使用者。该警示讯息可能通过电子装置的一蜂鸣器发出特定声音信号或是控制一特定的发光二极管，使该发光二极管闪烁。

如果安全载入器63a通过内嵌式控制器62的认证，内嵌式控制器63a会对该电子装置的硬件进行解锁的动作。此时，电子装置的电源键才会被解锁，使用者才可以通过电源键对电子装置开机。

接着，处理器61执行安全载入器63a。安全载入器63a验证BIOS 63c以确认BIOS 63c没有被修改。如果BIOS 63c被验证失败，内嵌式控制器62会控制电子装置以发出警示讯息以通知使用者。如果BIOS 63c被验证成功，处理器61执行BIOS 63c与操作系统载入器63b，以载入存储在硬盘66的操作系统66a。

本实施例是以BIOS 63c，但也可应用在使用统一可延伸固件接口（UnifiedExtensible Firmware Interface、UEFI）的电子装置。

芯片组64作为处理器61与内嵌式控制器62之间的沟通媒介。北桥芯片64b主要与处理器61以及主存储器62沟通，南桥芯片64a则是接收处理器61的指令与电子装置的外围装置沟通。外围装置可能是硬盘66、键盘、鼠标…等等。

然而以上所述仅为本发明的优选实施例而已，当不能以此限定本发明实施的范围，即依本发明申请专利范围及发明说明内容所作的简单的等效变化与修饰，皆仍属本发明专利涵盖的范围内。另外本发明的任一实施例或申请专利范围不须达成本发明所公开的全部目的或优点或特点。此外，摘要部分和标题仅是用来辅助专利文件搜寻之用，并非用来限制本发明的权利范围。

Claims

1.一种安全开机方法，适用于一电子装置，其中该电子装置包括一内嵌式控制器与一处理器，该方法包括：

通过该内嵌式控制器验证一安全载入器；

当该安全载入器被验证通过后，该内嵌式控制器对该电子装置的一外围硬件解锁；

该处理器执行该安全载入器。

2.如权利要求1所述的安全开机方法，在该处理器执行该安全载入器之后，还包括：

对该电子装置的一BIOS进行验证；以及

当该BIOS验证通过后，该处理器执行该BIOS以载入一操作系统。

3.如权利要求2所述的安全开机方法，其中当该处理器执行该BIOS时，还包括该内嵌式控制器与该BIOS进行交互认证。

4.如权利要求2所述的安全开机方法，其中当该处理器执行该BIOS时，还包括：

该内嵌式控制器对存储该BIOS与该安全载入器的存储装置上锁，以防止该存储装置内的数据被修改。

5.如权利要求2所述的安全开机方法，还包括该处理器执行一操作系统载入器以载入该操作系统。

6.如权利要求1所述的安全开机方法，在通过该内嵌式控制器验证该安全载入器之前，还包括：

当该内嵌式控制器被致能时，该内嵌式控制器执行一初始化程序，且于该初始化程序中，该外围硬件被上锁。

7.如权利要求1所述的安全开机方法，还包括：

当该安全载入器没有被验证通过时，该电子装置的一电源键被该内嵌式控制器所反致能。

8.如权利要求1所述的安全开机方法，还包括：

判断该电子装置的一电源配置是否符合一预定状况，其中该预定状况为该电子装置由睡眠模式或待机模式回到一般工作模式；

如果该电子装置的该电源配置不符合该预定状况，该内嵌式控制器不验证该安全载入器。

9.一种安全开机方法，适用于一电子装置，其中该电子装置包括一内嵌式控制器与一处理器，该方法包括：

通过该内嵌式控制器验证该电子装置的一BIOS；

当该BIOS被验证通过后，执行该BIOS并验证一操作系统载入器；以及

当该操作系统载入器被验证通过后，该处理器执行该操作系统载入器以载入该电子装置的一操作系统。

10.如权利要求9所述的安全开机方法，在通过该内嵌式控制器验证该电子装置的该BIOS之前，还包括：

当该内嵌式控制器被致能时，该内嵌式控制器执行一初始化程序，且于该初始化程序中，一外围硬件被上锁。

11.如权利要求9所述的安全开机方法，其中当该BIOS或该操作系统载入器被执行时，该内嵌式控制器对存储该BIOS与该安全载入器的一存储装置上锁，以防止该存储装置内的数据被修改。

12.一种电子装置，具有一安全开机机制，包括：

一处理器；

一安全载入器；

一外围硬件；以及

一内嵌式控制器，以验证该安全载入器，其中当该安全开机机制被执行，该内嵌式控制器验证该安全载入器，且当该安全载入器被验证通过后，该内嵌式控制器对该外围硬件解锁，该处理器执行该安全载入器。

13.如权利要求12所述的电子装置，其中该处理器执行该安全载入器以对该电子装置的一BIOS进行验证，且当该BIOS验证通过后，该处理器执行该BIOS以载入一操作系统。

14.如权利要求13所述的电子装置，其中当该处理器执行该BIOS时，该内嵌式控制器与该BIOS进行交互认证。

15.如权利要求13所述的电子装置，该处理器执行一操作系统载入器以载入该操作系统。

16.如权利要求13所述的电子装置，其中当该处理器执行该BIOS时，该内嵌式控制器对存储该BIOS与该安全载入器的一存储装置上锁，以防止该存储装置内的数据被修改。

17.如权利要求12所述的电子装置，其中当该内嵌式控制器被致能时，该内嵌式控制器执行一初始化程序，且于该初始化程序中，该外围硬件被上锁。

18.如权利要求12所述的电子装置，其中当该安全载入器没有被验证通过时，该电子装置的一电源键被该内嵌式控制器所反致能。

19.如权利要求12所述的电子装置，其中该内嵌式控制器更判断该电子装置的一电源配置是否符合一预定状况，且当该电源配置不符合该预定状况时，该内嵌式控制器不验证该安全载入器，而该预定状况为该电子装置由睡眠模式或待机模式回到一般工作模式。

20.如权利要求12所述的电子装置，其中该内嵌式控制器用以控制该电子装置的键盘、电池或监控该处理器的一温度与一工作状态。