CN103069771B - 用于可管理性、安全路由和端点访问的方法、装置和系统 - Google Patents

用于可管理性、安全路由和端点访问的方法、装置和系统 Download PDF

Info

Publication number
CN103069771B
CN103069771B CN201180039849.4A CN201180039849A CN103069771B CN 103069771 B CN103069771 B CN 103069771B CN 201180039849 A CN201180039849 A CN 201180039849A CN 103069771 B CN103069771 B CN 103069771B
Authority
CN
China
Prior art keywords
mctp
end points
bus
configurable
inventory
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201180039849.4A
Other languages
English (en)
Other versions
CN103069771A (zh
Inventor
M·纳图
E·J·达伦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of CN103069771A publication Critical patent/CN103069771A/zh
Application granted granted Critical
Publication of CN103069771B publication Critical patent/CN103069771B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G06F13/38—Information transfer, e.g. on bus
    • G06F13/40—Bus structure
    • G06F13/4004—Coupling between buses
    • G06F13/4027—Coupling between buses using bus bridges
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

提出了一种为端点提供安全性的解决方案，该解决方案不需要单独的总线或通信路径。该解决方案允许通过按照分组格式与现有的互联通信路径重叠并将PCI地址BDF（总线号、设备号以及功能号）用于验证，以通过利用管理协议来控制对端点的访问。

Description

用于可管理性、安全路由和端点访问的方法、装置和系统
伪装攻击是一个人或程序通过伪造标识符而成功地伪装成另一个人或程序，由此获得对特许资源的未授权访问的情形。例如，攻击者可伪装为属于金融机构的电子邮件地址，并哄骗接收者安装恶意程序。类似地，攻击者可使用DNS高速缓存污染以将银行网站访问重定向到受攻击者控制的另一服务器。攻击服务器可捕获诸如用户名和密码之类的机密信息。这些攻击不是因特网独有的，而存在于所有网络之中。这些网络系统必须针对伪装攻击和机密信息的泄漏而提供足够的保护。
管理组件传输协议（MCTP）是由DMTF Pre-OS工作组的DMTF平台管理组件互通子团队所定义的协议。MCTP被设计成支持组成平台管理子系统的不同智能硬件组件之间的通信，该平台管理子系统提供受管理系统内部的监测和控制功能。在给定介质上的MCTP通信的各种不同实现方式由伙伴传输绑定规范所定义，诸如通过PCIe和通过SMBus/I2C。由于MCTP涉及彼此通信的多个实体，所以它实际上是联网系统。因此，MCTP需要以可扩展硬件解决方案的方式来提供针对伪装和信息泄漏的保护。
若干可管理性应用需要在多个组件之间的高带宽和低等待时间通信。例如，介质重定向和视频重定向。用于可管理性应用的当前解决方案包括：类似于RMII或内部总线的快速边带总线。不幸的是，专用的边带总线由于更多的引脚而提高了组件成本，并且限制了主板安装选择。或者，内部总线限制了混合搭配，并且阻止了利用分立LAN或分立图形组件的介质重定向。
附图简述
图1是根据所要求保护主题的一个实施例的供总线拥有者来维护端点的装置的逻辑图。
图2是根据所要求保护主题的一个实施例的装置内的消息流。
图3是根据所要求保护的主题的一个实施例的按照PCIe格式来传输管理信息的分组格式。
图4是根据所要求保护的主题的一个实施例的系统。
图5是根据所要求保护主题的一个实施例的总线重新编号流程的方法。
详细描述
如之前所讨论，现有的可管理性应用需要快速边带总线，类似于RMII或内部总线之类的快速边带总线用于满足这些需求。不幸的是，专用的边带总线由于更多的引脚而提高了组件成本，并且限制了主板安装选择。或者，内部总线限制了混合搭配，并且阻止了利用分立LAN或分立图形组件的介质重定向。
管理组件传输协议（MCTP）定义了旨在便于管理控制器与其他管理控制器之间以及管理控制器与管理设备之间的通信的通信模型。该通信模型包括消息格式、传输描述、消息交换模式以及配置和初始化消息。当MCTP在PCI Express接口上传输时（PCIe上的MCTP），它解决了之前段落中陈述的问题。
如之前所讨论，存在以提高安全性并且作为可扩展的硬件解决方案的方式在伙伴传输绑定规范上引入MCTP的需求。
以下描述和实施例允许在一些MCTP端点可能不包含任何固件的情况下在硬件中的实现。此外，以下描述和实施例允许不同市场细分的可扩展解决方案，并且可与现有的MCTP标准相容。
在一个实施例中，所要求保护的主题将PCI地址BDF（总线号、设备号以及功能号）用于验证。在其他实施例中，MCTP端点ID（EID）可被用于验证。在PCI和PCI Express体系结构中，每个PCI Express端点通过唯一的地址来标识，该独特的地址包括PCI总线号、PCI设备号以及PCI功能号。它们被称为BDF。为了进一步清楚地表达和说明BDF，PCI/PCIe具有PCI配置空间的概念。每个PCI express设备包含多个寄存器，该多个寄存器需要被配置以供设备起作用。这些寄存器被映射到PCI配置空间中。个体设备被分配唯一的BDF。主控软件可利用BDF对每个设备单独地寻址。例如，总线2、设备0、功能0可被分配给NIC卡，而总线3、设备0、功能0可被分配给存储控制器。
在一个实施例中，为了讨论用于安全性分析的应用的目的，MCTP端点可被指定为两类：特许MCTP端点（PME）和服务提供方MCTP端点（SPME）。在一个实施例中，PME被允许访问来自服务提供方MCTP端点（SPME）的特许服务（例如，存储配置），并且知晓敏感（机密）数据。PME的一些示例可以是受信任嵌入式控制器，诸如客户机中的管理引擎（ME）或服务器中的ME/BMC。在一个实施例中，其他可管理性控制器可担当PME的角色。
相反，SPME可以是网络接口卡（NIC）、图形控制器、存储控制器、中央处理单元（CPU）。在一个实施例中，完成敏感请求的SPME需要保证该请求实际上来自PME，并且发回的机密数据不被重定向至恶意端点。
在用于配置的一个实施例中，存在被允许访问来自若干服务提供方MCTP端点（SPME）的服务的一个或多个特许MCTP端点（PME）。例如，BMC和受信任嵌入式控制器（对于一个实施例而言是ME）是经由MCTP访问来自网络和存储控制器的服务的特许实体。此外，在一些实施例中，受信任嵌入式控制器需要访问来自网络和图形控制器的服务。此外，特许实体有时可担当服务提供方的角色。例如，在一些配置中，受信任嵌入式控制器可向BMC提供服务。在MCTP上提供的一些服务可能是无危险的（例如，端点发现），而一些服务可能是敏感的（例如，读取盘内容、截屏等等）。完成敏感请求的服务提供方需要保证该请求实际是来自PME。
概言之，以下诸个实施例利用以下要素中的一些或全部。在一个实施例中，提供安全性敏感服务的每个SPME维护由PME PCI BDF组成的访问控制清单（ACL）。对于每个安全性敏感服务请求，SPME将MCTP分组中的请求方BDF字段与ACL作比较。
此外，在一个实施例中，处理器和/或芯片组中的每个PCI Express根端口和开关端口包含地址验证过滤器（AVF）逻辑，该逻辑防止恶意端点伪装PME BDF。对于每个请求，PCI Express根端口和开关端口将MCTP分组中的BDF字段与该地址验证清单（AVL）作比较。在一个实施例中，处理器和/或芯片组中的PCI Express根端口和开关端口还防止针对PME的话务被重定向到恶意端点。此外，在另一实施例中，芯片上系统（SoC）实现PCI Express根端口和开关端口。此外，在一个实施例中，SoC支持外部PCI Express插槽或分立设备。
在一个实施例中，ACL和AVL可在能由受信任嵌入式控制器编程的硬件寄存器中实现。在一个实施例中，受信任嵌入式控制器是管理引擎（ME）。
在一些实施例中，该解决方案可被扩展以解决PME需要保证该响应来自预期SPME的情况。这可通过确保SPME PCI BDF无法被伪装来实现。该解决方案还可被扩展以按照不同的多个特权等级来处理PME。
图1是根据所要求保护主题的一个实施例的供总线拥有者来维护端点的装置的逻辑图。在一个实施例中，总线拥有者102管理其他端点304，并且负责MCTP端点发现并负责分配MCTP端点id。例如，在该图中，端点id9、10和11分别被分配给端点B、C和D。此外，MCTP总线拥有者的端点id是8。在一个实施例中，端点可以是NIC、图形控制器（GFX）、存储控制器等等。
在一个实施例中，总线拥有者102可以是具有固定PCIe地址的MCTP总线拥有者，并且经由路由至根复合体PCIe路由类型被访问。
在MCTP体系结构下，总线拥有者维护当前的MCTP EID到PCIeBDF号映射。此外，端点可请求总线拥有者提供用于给定EID的PCIe BDF。因此，端点然后可使用PCIe总线/设备/功能号来与另一端点直接通信。
图2是根据所要求保护主题的一个实施例的装置内的消息流。每个标签指示消息流和特定路由。例如，在一个实施例中，消息流202是路由至根复合体类型，其被路由至PCH根复合体内的受信任嵌入式控制器（在一个实施例中，诸如ME）和总线拥有者。
在该图中，CPU根复合体经由直接介质接口（DMI）互连连接至PCH根复合体。然而，所要求保护的主题不限于DMI互连或CPU到PCH根复合体组合。
此外，在一个实施例中，所有MCTP VDM话务在到达对等端点之前通过PCIe根端口和/或开关端口来引导。在一个实施例中，端点可以是网络接口卡（NIC）、图形控制器（GFX）、存储控制器等等。
在一个实施例中，每个端点和端口在其自身总线、设备、功能（BDF）处可访问。此外，总线解码器寄存器存在于包括根端口的PCIe端口中，而主控PnP软件通过配置这些寄存器来将总线号分配给端点。这些解码器控制MCTP VDM的路由。
例如，在一个实施例中，消息流204是来自根复合体的广播，在MCTP发现期间被广播至所有端点且由总线拥有者所使用。在又一示例中，消息流206是按照ID的路由(Route by ID)，而且被直接路由至目的地（端对端、去往/来自诸如ME之类的受信任嵌入式控制器的端）。
图3是根据所要求保护的主题的一个实施例的按照PCIe格式来传输管理信息的分组格式。在该分组格式中，PCIe VDM首部包含用于请求者端点和目标端点的PCI总线、设备、功能（BDF）信息。如之前提到的，每个端点和端口在其自身的总线、设备、功能（BDF）处可访问，总线拥有者维护当前的MCTP EID到PCIe总线/设备/功能（BDF）号映射。
此外，在同一实施例中，PCIe VDM首部包含MCTP传输首部。反之，PCIe VDM数据包含MCTP分组有效载荷，该MCTP分组有效载荷包括消息类型、MCTP消息首部和数据（且可横跨多个分组）。
图4是根据所要求保护的主题的一个实施例的系统。如之前所讨论，在一个实施例中，提供安全性敏感服务的每个SPME维护由PME PCI BDF组成的ACL。对于每个安全性敏感服务请求，SPME将MCTP分组中的请求方BDF字段（字节4和5）与该清单作比较。图4示出MCTP厂商定义的消息（VDM）格式。SPME可将未经授权的访问请求记录在状态位中。
此外，在一个实施例中，处理器和/或芯片组中的每个PCI Express根端口和开关端口包含地址验证过滤器（AVF）逻辑，该逻辑防止恶意端点伪装伪装PME BDF。对于每个请求，PCI Express根端口和开关端口将MCTP分组中的BDF字段与该地址验证清单（AVL）作比较。AVF逻辑对比AVL来检查每个上游事务上的PCI请求方ID字段（VDM首部中的字节4和5），以防止恶意端点伪装伪装PME BDF。如果该地址在AVL上，则该端口会禁止该上游MCTP事务。AVF逻辑对比AVL来检查每个下游事务上的PCI目标ID字段（VDM首部中的字节8和9），以防止恶意端点接收针对PME的话务。如果该地址在AVL上，则该端口会禁止该下游MCTP事务。
在一些实施例中，ACL和AVL的硅实现方式可选择执行部分解码，即，在一些市场细分中，仅解码总线号字段。此外，PCI Express根端口和开关端口能可选地将伪装尝试记录在寄存器中。所有MCTP VDM话务在到达对等端点之前都通过PCIe根端口和开关端口来引导。
在一个实施例中，ACL和AVL可在硬件寄存器中实现。在一个实施例中，诸如ME之类的受信任嵌入式控制器负责经由安全机制来确定PME清单和对ACL和AVL编程。该安全路径可采取各种形式：
（a）点对点链路——点对点链路不易遭受伪装。
（b）处于该部件内部的链路——这些链路与外部访问屏蔽，从而提供必要的保护，例如，ME可使用芯片组内部的链路来与南桥中集成的设备和根端口以及开关端口安全地通信。
（c）受保护的专有VDM——这些可利用PCIe根端口中的专有逻辑来保护。
（d）源自ME BDF的MCTP VDM——为实现此目的，AVF将始终阻挡源自ME BDF的MCTP访问。这将确保没有外部设备会产生带有ME BDF的MCTP访问。
ME还可检查由根端口/开关端口/端点所记录的未经授权的访问尝试，并将那些记录报告给更高级的实体。
特别参考图4，一个实施例的高级概要便于维护AVF逻辑和AVL，以使根端口能阻止代理欺伪装ME地址。此外，如果该地址匹配受信任的嵌入式控制器（诸如ME），则NIC和/或GFX准许服务。
在一个实施例中，之前的描述描绘了SPME维护AVL以及根端口包含AVF，以基于AVL防止恶意端点伪装PME请求方ID。要求保护的主题可利用若干实现方式，这些实现方式至少部分地基于PME清单的动态特征如何。以下描述描述了基于PME清单的类型的三种不同实现方式，诸如静态的、引导时间可编程的、以及运行时间可编程的。
在一个实施例中，PME清单是静态PME清单。例如，ACL保持针对受信任嵌入式控制器（诸如ME）的一个请求方BDF。因此，GFX控制器将拒绝来自其它PCIe端点（总线1和总线3）的截屏请求。在一个实施例中，诸如ME之类的受信任嵌入式控制器是PCI Express主控桥的一部分。因此，ME所产生的MCTP分组将永远不会沿上游方向通过PCIe根端口。图4示出每个根端口中的AVF，其防止PCIe端点伪装ME请求方ID。如果总线1端点试图产生具有匹配ME的请求方BDF的MCTP请求，则南桥中的根端口1将阻挡该请求。在ME配置GFX或NIC中的ACL之前，ME必须配置AVL。
在另一实施例中，PME清单是引导时间可编程的。例如，平台具有不止一个南桥，而且每个南桥可具有ME的实例。第二南桥中的ME的请求方ID通常将可在引导时间由BIOS编程。在这样的配置中，PME清单将必须是可编程的。主ME可发现第二ME的存在、确定其总线号、锁定该总线号以及将该总线号包括在ACL和AVL中。
为了克服现有技术的限制，要求保护的主题防止一些操作系统改变利用ACPI机制被分配给BMC的总线号。例如，BIOS可通过将BMC上游的根端口声明为已被分配1总线的单独主控桥来实现此目的。如果BMC总线号在引导时间以此方式被固定，则ME可在引导时间设定PME清单从而设定ACL/AVL。
由于BMC的物理位置和总线号可从一个平台改变至另一平台，所以诸如ME之类的受信任嵌入式控制器从BMC获得此信息。存在许多方法来实现此目的，伴随着复杂度相对于安全性的不同程度的折衷。在一个当前解决方案中，BMC经由点对点SMBUS连接至ME。BMC可使用该点对点接口来与PCIe根端口BMC所连接的ME通信。另选地，BMC和ME可利用加密方案在MCTP/PCIe上安全地交换该信息。由于ME和BMC二者都包含固件和足够的MIPS，所以它们将能够在每次引导时较容易地加密这一个分组内的数据。另选地，平台制造商可经由软带将此信息提供给ME。一旦ME知晓BMC所附连的PCIe根端口，则它可封锁根端口中的总线号字段，以防止恶意软件改变它。然后ME可将BMC的BDS包含在所有根端口的AVL中，除了BMC上的AVL之外。ME还可包括各个SPME ACL中的BMC BDF。在一些实现方式中，BMC也可执行该活动。
图5是根据所要求保护主题的一个实施例的总线重新编号流程的方法。在一个实施例中，它描绘了运行时间可编程的PME清单。
该示例示出了BMC是特许端点的情况。NIC是SPME。在该流程的开始，BMC的总线号是3。为了简单起见，ACL和AVF逻辑仅着眼于总线号字段，且忽略设备/功能号。最初地，SPME被配置成服务对总线号0（ME）和3的请求。除了BMC上游的根端口之外的所有根端口被配置成阻挡具有源总线号0或3的MCTP请求。虚线过渡表示由本发明引入的步骤。完整过渡表示MCTP总线重新编号流程期间的标准步骤。在一个实施例中，以上描述的方法适用于引导时间时以及运行时间期间的总线号分配（OS重新编号或热插拔）。
根据PCIe规范，当该设备看到类型0PCI配置使用新总线号写入时，PCIe端点的总线号被改变。在该情况下，SW已选择将BMC的总线号改变为4。从此，BMC不能访问来自NIC的MCTP服务，因为NIC不招待来自总线号4的请求。根据MCTP规范，端点经由Discovery_Notify（发现_通知）消息来通知总线拥有者关于总线号改变。总线拥有者发起MCTP发现过程，在MCTP发现过程期间，总线拥有者重新编程某些MCTP参数。因此，BMC能够产生具有正确ID的MCTP消息。一旦MCTP重新编号流程完成，BMC就经由受信任的路径通知受信任的嵌入式控制器（诸如ME）关于总线号改变。如更早说明地，该受信任的路径可以是点对点接口或通过MCTP的加密消息。ME继续以从NIC ACL移除旧BMC总线号，并对除了BMC上的根端口之外的所有根端口中的AVL重新编程。AVL中的旧BMC总线号（3）被新总线号（4）代替。从此，除BMC之外，没有根端口能产生具有总线号为4的MCTP请求。ME将新的BMC总线号添加至NIC ACL，由此恢复对NIC MCTP服务的BMC访问。
各实施例可以用代码实现，并可存储在其上存储有指令的存储介质上，这些指令可用来对系统编程以执行这些指令。存储介质可包括但不限于任何类型的盘，包括软盘、光盘、光碟、固态驱动器(SSD)、紧凑盘只读存储器(CD-ROM)、可重写紧凑盘(CD-RW)和磁光盘、诸如只读存储器(ROM)的半导体器件、诸如动态随机存取存储器（DRAM）、静态随机存取存储器(SRAM)之类的随机存取存储器(RAM)、可擦除可编程只读存储器（EPROM）、闪存、电可擦除可编程只读存储器（EEPROM）、磁卡或者光学卡、或适于存储电子指令的任意其它类型的介质。
尽管本发明已针对有限数量的实施例作了描述，然而本领域技术人员将会从其中领会到许多修改和变型。所附权利要求旨在覆盖所有这样的修改和变型，只要其落在本发明的真实精神和范围内。
图1
102总线拥有者
CONTROL ENDPOINT控制端点
ROUTING FUNCTION路由功能
EID POOL EID池
ROUTING TABLE路由表
ENDPOINT端点
图2
ROOT COMPLEX根复合体
SOCKET套接字
ME管理引擎
BUS OWNER总线拥有者
ROOT PORT根端口
ENDPOINT端点
——按照ID的路由被直接路由至目的地（端对端、端去往/来自管理引擎）
——至根复合体的路由被路由至受信任的嵌入式控制器，诸如管理引擎、总线拥有者
——来自根复合体的广播被广播至所有端点，由总线拥有者在MCTP发现期间使用
图3
通过PCIe分组格式的MCTP
总线
设备
功能
PCI-E VDM首部
PCIe介质专属首部
MCTP传输首部
BYTE字节
TYPE类型
LENGTH长度
PCI REQUESTER ID PCT请求方ID
PCIe TAG FIELD PCIe标签字段
RSVD预留
PAD LEN填充长度
MCTP VDM码
MESSAGE CODE VENDOR DEFINED消息码厂商已定义
PCI TARGET ID PCI目标ID（用于按照ID消息来路由）
RSVD预留
VERSION版本
目的地端点ID
源端点ID
TAG标签
PCI-EVDM数据
MCTP分组有效载荷
BYTE字节
MESSAGE TYPE消息类型
MCTP消息首部（基于消息类型变化。消息类型字节仅在消息的第一分组首部中存在）
MCTP消息数据（可横跨多个分组）
PCIe介质专属尾部
消息完整性检查
如所请求的00h填充
图4
PORT端口
BLACK LIST黑名单
BUS总线
WHITELIST白名单
BUS总线
CPU或者SoC
ENDPOINT端点
ME BUS管理引擎
POINT点
402端点过滤器，如果总线号不在白名单中则阻挡
404根端口过滤器，如果总线号在黑名单中则阻挡上游和下游的消息
406MCTP端点
图5
根端口不在BMC上游
ME（BUSOWNER）管理引擎（总线拥有者）
BLACKLIST黑名单
INITIAL BMC BUS NUMBER初始BMC总线号
ME BUS NUMBER管理引擎总线号
WHITELIST白名单
类型0配置写入总线号＝4
BMC捕获新的总线号＝4
发现通知请求 由于总线号改变，BMC不能访问NIC服务
发现通知响应
端点发现请求
端点发现响应
设定端点ID请求
设定端点ID响应
经由SM总线的总线号改变通知 从白名单中移除旧的BMC总线号
更新黑名单中的BMC总线号
黑名单
将新的BMC总线号添加至白名单
白名单
总线重新编号流程
BMC无法访问NIC服务

Claims (22)

1.一种用于管理安全端点的方法，包括：
定义通过一个或多个总线互连的第一类和第二类管理组件传输协议(MCTP)端点；
将PCI Express可配置的总线号、可配置的设备号和可配置的功能号分配给所述第一类MCTP端点；
至少部分地基于设备的总线号、设备号以及功能号和由所述第二类MCTP端点维护的访问控制清单，验证来自作为所述第一类MCTP端点的设备的请求，其中所述请求包含在PCI Express厂商定义消息VDM分组中，且所述设备的总线号、设备号以及功能号是VDM首部的请求者ID。
2.如权利要求1所述的方法，其特征在于，所述第一类MCTP端点是特许MCTP端点(PME)。
3.如权利要求1所述的方法，其特征在于，所述第一类MCTP端点是服务提供商MCTP端点(SPME)。
4.如权利要求1所述的方法，其特征在于，还包括维护地址验证清单以防止对所述第一类MCTP端点的伪装。
5.如权利要求1所述的方法，其特征在于，所述第一类MCTP端点是基板管理控制器。
6.如权利要求1所述的方法，其特征在于，所述第一类MCTP端点是受信任嵌入式控制器。
7.如权利要求1所述的方法，其特征在于，所述第二类MCTP端点是网络接口卡、图形控制器、存储控制器、中央处理单元。
8.如权利要求1所述的方法，其特征在于，所述第二类MCTP端点是图形控制器。
9.如权利要求1所述的方法，其特征在于，所述第二类MCTP端点是存储控制器。
10.如权利要求1所述的方法，其特征在于，所述第二类MCTP端点是中央处理单元。
11.一种用于管理安全端点的逻辑电路，包括：
解码电路，用于接收来自第一端点的包括管理组件传输协议(MCTP)请求的PCI Express厂商定义消息VDM分组，并用于解码所述分组的包含可配置的总线号、可配置的设备号以及可配置的功能号(BDF)的VDM分组的首部的PCI请求者ID字段，所述第一端点通过一个或多个总线互连到第二端点；以及
使能电路，用于允许至少部分地基于所述设备的可配置的BDF和安全端点的清单来处理所述请求。
12.如权利要求11所述的逻辑电路，其特征在于，所述端点是基板管理控制器。
13.一种用于管理安全端点的方法，包括：
定义通过一个或多个总线互连的第一类和第二类管理组件传输协议(MCTP)端点；
将PCI Express可配置的总线号、可配置的设备号和可配置的功能号(BDF)分配给所述第一类MCTP端点；
至少部分地基于设备的BDF和由所述第二类MCTP端点维护的可配置访问控制清单，验证来自作为所述第一类MCTP端点的设备的请求，其中所述请求包含在PCI Express厂商定义消息VDM分组中，且所述设备的总线号、设备号以及功能号是VDM首部的请求方ID。
14.如权利要求13所述的方法，其特征在于，还包括维护地址验证清单以防止对所述第一类MCTP端点的伪装。
15.如权利要求13所述的方法，其特征在于，所述可配置访问控制清单是静态的特许MCTP端点(PME)清单，且包含管理引擎BDF。
16.如权利要求13所述的方法，其特征在于，所述可配置访问控制清单是具有基板管理控制器(BMC)的引导时间可编程特许MCTP端点(PME)清单，所述基板管理控制器(BMC)可将相应的物理位置和总线号从一个平台改变至另一平台，且允许受信任的嵌入式控制器从所述BMC获得此信息。
17.如权利要求13所述的方法，其特征在于，所述可配置访问控制清单是运行时间可编程特许MCTP端点(PME)清单，所述运行时间可编程特许MCTP端点(PME)清单利用总线重新编号流程以允许对所述PME清单的运行时间改变。
18.如权利要求14所述的方法，其特征在于，所述地址验证清单由根端口或开关端口中的地址验证过滤器逻辑来维护。
19.如权利要求16所述的方法，其特征在于，所述受信任嵌入式控制器是管理引擎(ME)。
20.一种系统，包括：
处理器；
耦合至所述处理器的通过一个或多个总线互连的第一类和第二类管理组件传输协议(MCTP)端点，所述第一类MCTP端点被分配PCI Express可配置的总线号、可配置的设备号以及可配置的功能号(BDF)；
耦合至所述处理器的地址验证过滤器逻辑，用于至少部分地基于所述设备的BDF和由所述第二类MCTP端点维护的可配置访问控制清单，验证来自作为所述第一类MCTP端点的设备的请求，其中所述请求包含在PCI Express厂商定义消息VDM分组中，所述PCI Express厂商定义消息VDM分组包括管理组件传输协议MCTP首部和有效载荷，且其中所述VDM分组的首部包括所述设备的总线号、设备号以及功能号作为PCI请求方ID。
21.如权利要求20所述的系统，其特征在于，所述地址验证过滤器逻辑在根端口中。
22.如权利要求20所述的系统，其特征在于，所述地址验证过滤器逻辑在开关端口中。
CN201180039849.4A 2010-08-18 2011-07-22 用于可管理性、安全路由和端点访问的方法、装置和系统 Active CN103069771B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/806,643 US8930609B2 (en) 2010-08-18 2010-08-18 Method, apparatus, and system for manageability and secure routing and endpoint access
US12/806,643 2010-08-18
PCT/US2011/045029 WO2012024055A2 (en) 2010-08-18 2011-07-22 A method, apparatus, and system for manageability and secure routing and endpoint access

Publications (2)

Publication Number Publication Date
CN103069771A CN103069771A (zh) 2013-04-24
CN103069771B true CN103069771B (zh) 2016-08-24

Family

ID=45594961

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201180039849.4A Active CN103069771B (zh) 2010-08-18 2011-07-22 用于可管理性、安全路由和端点访问的方法、装置和系统

Country Status (5)

Country Link
US (3) US8930609B2 (zh)
EP (1) EP2606606B1 (zh)
CN (1) CN103069771B (zh)
TW (1) TWI524204B (zh)
WO (1) WO2012024055A2 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11803503B2 (en) 2021-07-08 2023-10-31 Mediatek Inc. Chip having dual-mode device that switches between root complex mode and endpoint mode in different system stages and associated computer system

Families Citing this family (34)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8930609B2 (en) 2010-08-18 2015-01-06 Intel Corporation Method, apparatus, and system for manageability and secure routing and endpoint access
CN102467399A (zh) * 2010-11-18 2012-05-23 鸿富锦精密工业（深圳）有限公司 基板管理控制器的韧体更新系统及方法
US9077761B2 (en) * 2011-02-16 2015-07-07 Dell Products L.P. System and method for scalable, efficient, and robust system management communications via vendor defined extensions
US9614678B2 (en) * 2011-06-10 2017-04-04 Dell Products, Lp System and method for extracting device uniqueness to assign a license to the device
US8904079B2 (en) 2012-06-25 2014-12-02 Intel Corporation Tunneling platform management messages through inter-processor interconnects
US9589116B2 (en) * 2012-09-26 2017-03-07 Dell Products, Lp Managing heterogeneous product features using a unified license manager
US9286258B2 (en) 2013-06-14 2016-03-15 National Instruments Corporation Opaque bridge for peripheral component interconnect express bus systems
KR101832797B1 (ko) * 2013-07-31 2018-04-13 인텔 코포레이션 Usb 디바이스와의 mctp 통신을 수행하기 위한 방법, 장치 및 시스템
WO2015035574A1 (zh) * 2013-09-11 2015-03-19 华为技术有限公司 一种故障处理的方法、计算机系统和装置
EP3629186B1 (en) 2013-12-31 2022-02-23 Huawei Technologies Co., Ltd. Method and apparatus for extending pcie domain
CN104202197B (zh) * 2014-09-12 2019-03-01 华为技术有限公司 设备管理的方法和装置
CN104516838B (zh) * 2014-11-25 2018-02-09 华为技术有限公司 管理路径确定方法及装置
US9898435B2 (en) * 2014-12-10 2018-02-20 Intel Corporation Aggregate baseboard management controller (BMC) controller
ES2726302T3 (es) * 2015-09-21 2019-10-03 Huawei Tech Co Ltd Sistema informático y procedimiento para acceder a un dispositivo de punto extremo del mismo
US10089028B2 (en) * 2016-05-27 2018-10-02 Dell Products L.P. Remote secure drive discovery and access
US10242176B1 (en) * 2017-01-17 2019-03-26 Cisco Technology, Inc. Controlled access communication between a baseboard management controller and PCI endpoints
US10474606B2 (en) * 2017-02-17 2019-11-12 Hewlett Packard Enterprise Development Lp Management controller including virtual USB host controller
US10417458B2 (en) 2017-02-24 2019-09-17 Microsoft Technology Licensing, Llc Securing an unprotected hardware bus
US10270649B2 (en) * 2017-04-06 2019-04-23 Quanta Computer Inc. System and method for improved server module addressing
US11703910B2 (en) * 2017-09-08 2023-07-18 Realtek Semiconductor Corporation Docking station, electrical device, and method for configuring basic input output system
KR102352156B1 (ko) 2017-10-26 2022-01-17 삼성전자주식회사 Arp를 수행하는 슬레이브 장치 및 이의 동작 방법
US11017071B2 (en) * 2018-08-02 2021-05-25 Dell Products L.P. Apparatus and method to protect an information handling system against other devices
US10853271B2 (en) * 2018-08-03 2020-12-01 Arm Limited System architecture with query based address translation for access validation
JP7115128B2 (ja) * 2018-08-07 2022-08-09 富士通株式会社 情報処理装置、ブート方法及びブートプログラム
JP7205110B2 (ja) * 2018-08-24 2023-01-17 富士通株式会社 情報処理装置、情報処理方法及び情報処理プログラム
US10862900B2 (en) * 2018-10-25 2020-12-08 Dell Products, L.P. System and method for detecting rogue devices on a device management bus
US11296905B2 (en) * 2018-12-13 2022-04-05 Ati Technologies Ulc Management component transport protocol (MCTP) support for multiple bus segment groups
US10824471B2 (en) * 2019-03-22 2020-11-03 Dell Products L.P. Bus allocation system
CN113906400A (zh) * 2019-04-29 2022-01-07 迈凌有限公司 经由PCIe（高速串行计算机扩展总线）链接的系统通信技术
US20200151362A1 (en) * 2019-08-21 2020-05-14 Intel Corporation Integrity and data encryption (ide) over computer buses
US11334416B2 (en) * 2019-10-25 2022-05-17 Dell Products L.P. System and method for transferring peripheral firmware core data
US11558296B2 (en) * 2020-09-18 2023-01-17 Serialtek, Llc Transaction analyzer for peripheral bus traffic
US11720517B2 (en) * 2021-10-26 2023-08-08 Dell Products, L.P. Information handling system bus out of band message access control
CN114546900A (zh) * 2022-01-21 2022-05-27 山东云海国创云计算装备产业创新中心有限公司 一种验证mctp控制器的方法、系统、设备和存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101409670A (zh) * 2007-09-25 2009-04-15 英特尔公司 管理组件传输协议互连滤波和路由

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7305562B1 (en) * 1999-03-09 2007-12-04 Citibank, N.A. System, method and computer program product for an authentication management infrastructure
US7650645B1 (en) * 2004-05-21 2010-01-19 Nvidia Corporation Trusted bus transactions
JP4896397B2 (ja) * 2004-12-28 2012-03-14 富士通株式会社 プログラム、制限方法及びコンピュータ
FI20050187A0 (fi) 2005-02-17 2005-02-17 Nokia Corp Kuljetuspalveluun liittyvän informaation tuottaminen pakettidataverkossa
US7398328B2 (en) * 2005-02-25 2008-07-08 International Business Machines Corporation Native virtualization on a partially trusted adapter using PCI host bus, device, and function number for identification
US7779275B2 (en) * 2005-11-23 2010-08-17 Microsoft Corporation Communication of information via an in-band channel using a trusted configuration space
US7454554B1 (en) * 2006-03-31 2008-11-18 Integrated Device Technology, Inc. Binary base address search device and method
WO2008085207A2 (en) * 2006-12-29 2008-07-17 Prodea Systems, Inc. Multi-services application gateway
US8285828B2 (en) 2007-03-21 2012-10-09 Broadcom Corporation Method and system for platform level data model for indications based event control and data transfer
US8479208B2 (en) * 2007-03-30 2013-07-02 Intel Corporation System partitioning to present software as platform level functionality including mode logic to maintain and enforce partitioning in first and configure partitioning in second mode
US7971261B2 (en) * 2007-06-12 2011-06-28 Microsoft Corporation Domain management for digital media
US7886335B1 (en) * 2007-07-12 2011-02-08 Juniper Networks, Inc. Reconciliation of multiple sets of network access control policies
US8230149B1 (en) * 2007-09-26 2012-07-24 Teradici Corporation Method and apparatus for managing a peripheral port of a computer system
US8484327B2 (en) * 2007-11-07 2013-07-09 Mcafee, Inc. Method and system for generic real time management of devices on computers connected to a network
US8103810B2 (en) * 2008-05-05 2012-01-24 International Business Machines Corporation Native and non-native I/O virtualization in a single adapter
US20090307719A1 (en) 2008-06-05 2009-12-10 At&T Intellectual Property I, L.P. Configurable Access Lists for On-Demand Multimedia Program Identifiers
US8578161B2 (en) * 2010-04-01 2013-11-05 Intel Corporation Protocol for authenticating functionality in a peripheral device
US8930609B2 (en) * 2010-08-18 2015-01-06 Intel Corporation Method, apparatus, and system for manageability and secure routing and endpoint access
US8719843B2 (en) * 2011-07-27 2014-05-06 Intel Corporation Virtualizable and forward-compatible hardware-software interface
US8631181B2 (en) * 2011-09-26 2014-01-14 Oracle International Corporation Validating message-signaled interrupts by tracking interrupt vectors assigned to devices
US8904079B2 (en) * 2012-06-25 2014-12-02 Intel Corporation Tunneling platform management messages through inter-processor interconnects

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101409670A (zh) * 2007-09-25 2009-04-15 英特尔公司 管理组件传输协议互连滤波和路由

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11803503B2 (en) 2021-07-08 2023-10-31 Mediatek Inc. Chip having dual-mode device that switches between root complex mode and endpoint mode in different system stages and associated computer system

Also Published As

Publication number Publication date
US8930609B2 (en) 2015-01-06
EP2606606A2 (en) 2013-06-26
EP2606606A4 (en) 2017-09-06
WO2012024055A3 (en) 2012-04-12
CN103069771A (zh) 2013-04-24
US10691839B2 (en) 2020-06-23
WO2012024055A2 (en) 2012-02-23
US20190138756A1 (en) 2019-05-09
EP2606606B1 (en) 2019-02-27
US20120047309A1 (en) 2012-02-23
US9971912B2 (en) 2018-05-15
TWI524204B (zh) 2016-03-01
TW201224839A (en) 2012-06-16
US20150096051A1 (en) 2015-04-02

Similar Documents

Publication Publication Date Title
CN103069771B (zh) 用于可管理性、安全路由和端点访问的方法、装置和系统
KR100921779B1 (ko) 보호 실행 모드로 동작 가능한 중앙처리장치를 포함한컴퓨터 시스템 및 보호 통신로를 통해 연결된 보호 서비스프로세서
KR100901271B1 (ko) 통신 시스템, 자격 심사/설정용 네트워크, 통신 디바이스및 네트워크 접속 방법
CN110073355A (zh) 服务器上的安全执行环境
US7725558B2 (en) Distributive access controller
EP2754278B1 (en) System and method for supporting at least one of subnet management packet (smp) firewall restrictions and traffic protection in a middleware machine environment
TWI342495B (en) A computer system including a bus bridge for connection to a security services processor
US8219496B2 (en) Method of and apparatus for ascertaining the status of a data processing environment
US10972449B1 (en) Communication with components of secure environment
US20070088857A1 (en) Using sequestered memory for host software communications
US10896266B1 (en) Computer hardware attestation
JP2005346689A (ja) マルチプロセッサシステムにおけるセキュアカーネルの起動
BR112013016632B1 (pt) método e dispositivo para controlar acesso a um sistema computador
CN110390201A (zh) 计算机系统以及初始化计算机系统的方法
US20230342472A1 (en) Computer System, Trusted Function Component, and Running Method
US10027678B1 (en) Location-aware security configuration of peripheral devices
CN108366087A (zh) 一种基于分布式文件系统的iscsi服务实现方法和装置
Akyol et al. Transaction-based building controls framework, Volume 2: Platform descriptive model and requirements
JP6560372B2 (ja) リンクディスカバリ情報をセキュアに交換する方法
CN112491830B (zh) 一种Ceph分布式块存储接入认证方法、介质及装置
CN115396165B (zh) 一种文件管理方法、装置、电子设备及存储介质
CN114615008B (zh) 一种海量存储分布式系统黑白名单控制方法及装置
KR102578799B1 (ko) 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
US20230122924A1 (en) Network gateway and method for transferring data from a first network to a second network
EP4167523A1 (en) Network gateway and method for transferring data from a first network to a second network

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant