CN103733206A - 保护从在包含嵌入式控制器的平台中的键盘接收到的击键 - Google Patents

Abstract

在嵌入式键盘环境中管理击键数据的系统和方法可以包括经由专用通信信道从管理控制器将模式请求传送到键盘的嵌入式控制器。击键动作可以在键盘处被检测到，响应于击键动作和模式请求，可以经由专用通信信道将击键数据从嵌入式控制器传送到管理控制器。此外，管理控制器可用于加密击键数据，其中加密后的击键数据可以经由网络控制器从管理控制器传输到平台外服务。

Description

保护从在包含嵌入式控制器的平台中的键盘接收到的击键

技术领域

概括地讲，实施例涉及在嵌入式键盘环境中击键数据的管理。更具体地讲，实施例涉及防止恶意软件访问击键数据，并且使缺乏可操作的或较不安全的主机操作系统（OS）的平台具有键盘功能。

背景技术

在较不安全的计算系统中，恶意软件可以被用来攻击从键盘接收到的击键。例如，“传统的按键记录器”攻击已知是在操作系统驱动器中启动的，会导致从键盘接收的密码、信用卡信息等的丢失。此外，“按键注入器”攻击可能会对接收击键的服务器创建虚假的人类在场的指示，也潜在地导致重大的安全隐患。其他与键盘相关的问题可能涉及可管理性应用（例如远程键盘-视频-鼠标（KVM）控制应用）以及“热键”应用，这些应用可能即使当主机操作系统（OS）不可操作并且通常用于与键盘通信的主机OS堆栈不可用时也要求来自用户的安全的键盘输入。

附图说明

通过阅读下面的描述和附加的权利要求，并参照下面的附图，本发明的实施例的各种优点对本领域的技术人员将会变的明显，其中：

图1是根据实施例的计算架构的示例的框图；

图2是根据实施例的管理击键动作的方法的示例的流程图；和

图3A和3B是根据实施例的管理嵌入式控制器固件更新的方法的示例的流程图。

具体实施方式

实施例可以包括具有键盘、网络控制器、带有第一逻辑的嵌入式控制器，和带有第二逻辑的管理控制器的计算平台。嵌入式控制器的第一逻辑可以被配置以经由专用的边带通信信道接收模式请求。如果模式请求对应于安全模式，则第一逻辑还可以检测键盘处的击键动作并且经由专用的边带通信信道传输击键数据，其中击键数据对应于击键动作。管理控制器的第二逻辑可以被配置以将模式请求传输到嵌入式控制器，并且在安全或证实模式下接收击键数据。在安全模式下，数据不再发送到操作系统。在证实模式下，数据可以被发送到第二逻辑和操作系统。第二逻辑还可以经由网络控制器将加密后的击键数据传输到平台外服务，或者在平台上本地使用它们。

实施例还可以包括计算机可读的持久性存储器介质，其具有一组嵌入式控制器固件指令，该指令如果由嵌入式控制器执行，则会使嵌入式控制器经由专用通信信道从管理控制器接收模式请求。如果模式请求对应于安全模式，则固件指令也可以使嵌入式控制器检测到在键盘处的击键动作，并且经由专用通信信道将击键数据传输到管理控制器，其中击键数据对应于击键动作。固件指令还可以使管理控制器将加密后的击键数据传输到平台外服务。

其它实施例可以包括计算机可读存储介质，其具有一组管理控制器固件指令，该指令如果由管理控制器执行，则会使管理控制器经由专用通信信道从嵌入式控制器接收击键数据，并且同时将击键数据发出到操作系统。固件指令还也以使管理控制器将加密后的击键数据传输到平台外服务。

此外，实施例可以涉及计算机实现方法，其中模式请求经由专用通信信道从管理控制器传送到嵌入式控制器，其中模式请求对应于安全模式和证实输入模式中的至少一个。击键动作可以在耦合到嵌入式控制器的键盘处检测到，其中击键数据被经由专用通信信道从嵌入式控制器传送到管理控制器，作为对击键动作和模式请求的响应。管理控制器可用于加密击键数据，并且加密后的击键数据可以经由网络控制器从管理控制器传输到平台外服务。

现在转到图1，示出了计算架构10，其中计算平台12的用户具有硬件嵌入式小键盘16，其与例如云服务14的平台外服务交互。特别的，计算平台12可以是移动平台的一部分，所述移动平台例如是膝上型计算机、个人数字助理（PDA）、无线智能手机、媒体播放器、成像设备、移动互联网设备（MID），任何智能设备例如智能手机、智能平板电脑、智能电视等等，或其任何组合。计算平台12也可以是固定平台的一部分，所述固定平台例如是个人计算机（PC）、服务器、工作站等。

云服务14可以包括驻留在全球互联网、企业内部网、家庭局域网等的一个或多个电子商务和/或可管理性服务器。因此，就云服务14包括电子商务功能而言，为了完成购买、查看账户信息等，示出的架构10可以涉及从小键盘16传送敏感信息（例如密码和信用卡信息）到云服务14。将会更详细地讨论，经由小键盘16输入的信息可以得到保护以免受到例如恶意软件18的病毒软件的未经授权的访问，恶意软件18可能包括记录小键盘16的用户键入的击键的恶意软件。此外，计算平台12可以向云服务14提供证实/验证：从计算平台12接收到的信息来源于平台12的用户而非恶意软件18，恶意软件18也可以包括伪装成人类的病毒软件（例如，按键注入器恶意软件）。

就云服务14包括可管理性功能而言，示出的架构10可以涉及计算平台的12的远程访问和/或控制，以解决关于计算平台的问题和进行其他动作。在这样的使用模型中，即使在以下情况下：当计算平台12的主机操作系统（OS）软件，如主机OS/应用（例如，互联网浏览器、电子邮件，等）20和/或主机OS／驱动器22是不能操作的，示出的计算平台12的用户也能够经由小键盘16输入安全信息，例如账户标识符、用户标识符、用户同意等。

特别的，示出的计算平台12包括网络控制器34、中央处理单元（CPU）36和平台控制器中心（PCH）24，平台控制器中心（PCH）24具有与存储在例如闪存28中的固件（FW）相关联的安全管理控制器26。示出的管理控制器26工作在安全环境中，并且可以使用不容易访问的存储器来进行安全操作，例如封装内静态随机存取存储器（SRAM）或封装外一致存储器访问（UMA）存储器。此外，计算平台12可以包括具有存储在闪存32中的关联固件的嵌入式控制器30。

将在下面更详细地讨论，管理控制器26和嵌入式控制器30可以在专用通信信道44（例如系统管理总线（SMBus Specification,SBS ImplementersForum,Ver.2.0,2000年8月3日，等））上彼此通信，以保护在小键盘16处的击键动作不被被恶意软件18捕获和/或假冒。特别的，示出的嵌入式控制器30的FW闪存32包括下游逻辑（“d”）40用来在键盘16处检测击键动作，以及上游逻辑（“u”）42用来处理与击键动作相关联的击键数据，以在专用通信信道44上传输到管理控制器26，和/或经由PCH24和CPU36的不安全部分传输到主机OS。

此外，示出的管理控制器FW闪存28包括下游逻辑（“d”）46，以在专用通信通道44上与嵌入式控制器30的上游逻辑42接口。在一个例子中，管理控制器下游逻辑46和嵌入式控制器上游逻辑42使用协议，例如可管理性运输通信协议（MCTP Base Specification,Distributed Management TaskForce,Version1.0.0,2009年7月28日），在专用通信通道44上通信有关的击键信息。管理控制器FW闪存28也可以包括上游逻辑（“u”）38以加密击键数据，并在将加密后的击键数据传输到云服务14时直接（例如，使用本地网络堆栈）或间接与网络控制器34接口。在一个例子中，管理控制器26和云服务14使用以标准的公钥基础设施（PKI）为基础的非对称密钥交换协议相互通信。管理控制器上游逻辑还可以包括能够与网络控制器34通信的网络堆栈，而不需要来自主机OS部件的任何帮助。

网络控制器34能够提供平台外通信功能用于多种目的，例如蜂窝电话（例如，W-CDMA（UMTS）、CDMA2000（IS-856/IS-2000）等）、WiFi（例如，IEEE802.11，1999版本，LAN/MAN无线LAN）、蓝牙（例如，IEEE802.15.1-2005，无线个人局域网）、WiMAX（例如，IEEE802.16-2004，LAN/MAN宽带无线LAN）、全球定位系统（GPS）、扩频（例如，900MHz）和其他无线电频率（RF）电话目的。网络控制器34也可以使用有线数据连接（例如，RS-232（电子工业联盟/EIA）、以太网（例如，IEEE802.3-2005，LAN/MAN CSMA/CD访问方法）、电力线通信（例如，X10，IEEE P1675）、USB（例如，通用串行总线2.0规范）、数字用户线（DSL）、电缆调制解调器、T1连接）等，使其能够访问额外的平台外服务/资源。通过选择性地路由击键数据经过安全管理控制器，示出的方法提供了用于击键数据的提高的保护级别。

图2展示了管理击键动作的方法48。方法48可以在计算平台中实现为一组可执行逻辑指令，其存储在机器或计算机可读存储介质中，所述介质例如是随机存取存储器（RAM）、只读存储器（ROM）、可编程ROM（PROM），闪存、固件、微码等，或可使用电路技术存储在固定功能的硬件中，所述电路技术例如是专用集成电路（ASIC）、互补金属氧化物半导体（CMOS）或晶体管-晶体管逻辑（TTL）技术，或其任何组合。例如，用于执行方法48所示的操作的计算机程序代码可以使用一种或多种编程语言的任意组合编写，包括面向对象的编程语言（例如C++等）和传统的过程化编程语言（例如“C”编程语言或类似的编程语言）。此外，使用上述任何电路技术，可以将方法48的各方面实现为图形处理器的嵌入式和/或可编程逻辑。

管理控制器处理块50提供经由专用通信信道将模式请求传输到键盘的嵌入式控制器。专用通信信道可以是SMBus信道或在不同物理实现上的其他虚拟通信信道。在一个例子中，模式请求可能对应于安全模式，其中嵌入式控制器被命令将击键数据仅发送到管理控制器。模式请求还可能对应于证实输入模式，其中嵌入式控制器被命令将击键数据发送到计算平台的管理控制器和主机OS。在证实输入模式的例子中，平台内或平台外服务可能比较经由两种路径接收到的击键数据，以确定击键数据是否已被例如按键注入器的恶意软件所改变/假冒。简单的说，如果经由两种路径接收到的击键数据匹配，那么平台外服务（例如平台外服务）可以确定有人存在于键盘处。因此，证实输入模式可以使管理控制器有效地用作独立的验证体。

此外，模式请求的生成可以响应于确定计算平台的主机OS不能操作。在这种情况下，计算系统的用户仍然能够与远程工作人员（例如，技术服务人员）交互，以便寻找主机OS的故障/维修主机OS。事实上，在接收到用户的授权时，远程工作人员能够把计算系统放置于键盘-视频-鼠标（KVM）模式，当计算平台的主机OS不能操作时，该授权可经由键盘输入。操作的KVM模式可以因此使远程人员使用远程输入/输出（IO）设备（例如，远程键盘、监控器/视频、鼠标）来控制讨论的计算平台。

在嵌入式控制器块52处接收到模式请求时，嵌入式控制器在块54处可以确定是否已检测到击键动作。如已经提到的，击键动作可以包含敏感数据的输入，如密码或信用卡信息、KVM同意响应、“热键”（例如，预定义的帮助请求按键序列）、聊天对话内容等等。如果检测到击键动作，则示出的嵌入式控制器块56确定是否已输入热键序列，如果是的话，则示出的嵌入式控制器块58包括在与击键动作相关联的击键数据中的热键序列的标识符（例如，“请求帮助”标识符）。可替换地，热键确定过程可以被转移到管理控制器，其中嵌入式控制器可将原始击键传送到管理控制器。

嵌入式控制器块60可以将与键盘动作相关联的击键数据经由专用通信信道传输到管理控制器。示出的管理控制器块62接收击键数据，并且管理控制器块64可以将人类在场证实添加到击键数据。可替代地，在管理控制器供应适当的安全凭据（例如，数字签名/证书）到平台外服务的前提下，人类在场可以通过平台内或平台外服务推断出。击键数据可以在管理控制器块66处加密（例如，采用合适的私人加密密钥），其中示出的管理控制器块68将加密后的击键数据经由例如网络控制器34（图1）的网络控制器传输到平台外服务。特别的，如果主机操作系统是可操作的，则加密后的击键数据可以通过主机OS部件间接传输到网络控制器，或如果例如主机OS是不能操作或不可信赖的，则使用与管理控制器（例如，运行在管理控制器固件内部）相关联的网络堆栈直接传输到网络控制器。

嵌入式控制器还可以在块70处确定模式请求是否对应于证实输入模式。如果是的话，则示出的嵌入式控制器块72提供将击键数据传输到计算平台的主机OS。在块76处，在主机OS块74处接收到击键数据时，主机OS可以经由网络控制器将击键数据传输到平台外服务。

图3A从管理控制器例如管理控制器26（图1）的角度，示出了用来管理嵌入式控制器固件更新方法78。因此，方法78可以在计算平台中实现为一组可执行的管理控制器逻辑指令，其存储在机器或计算机可读存储介质中，例如，RAM、ROM、PROM、闪存、固件、微码等，在使用电路技术的固定功能硬件中，例如，ASIC、CMOS或TTL技术，或其任何组合。

概括地讲，示出的方法78可以用来保护计算系统免受针对键盘嵌入式控制器固件本身的攻击。具体地讲，示出的方法需要通过在嵌入式控制器和管理控制器之间的专用通信信道请求修改嵌入式控制器固件，管理控制器能够验证更新请求。例如，处理块80可能会接收到更新请求以修改嵌入式控制器固件指令，块82可以进行更新请求的源的认证。因此，示出的方法可能会涉及从平台外服务如云服务14（图1）接收签名的图像，并且验证该图像源于有效的来源。如果在块84确定出认证已成功，那么块86可以经由专用通信信道传输更新请求到嵌入式控制器。

图3B从嵌入式控制器例如嵌入式控制器30（图1）的角度，示出了用来管理嵌入式控制器固件更新的方法88。因此，方法88可以在计算平台中实现为一组可执行嵌入式控制器逻辑指令，其存储在机器或计算机可读存储介质中，例如，RAM、ROM、PROM、闪存、固件、微码等，在使用电路技术的固定功能硬件中，例如，ASIC、CMOS或TTL技术，或其任何组合。

处理块90提供接收更新请求以修改嵌入式控制器固件指令。如果在块92处确定出利用安全管理控制器经由专用通信信道接收到更新请求，则块94可以提供准许更新请求。如果没有经由专用通信信道接收到更新请求，则示出的块96拒绝更新请求。因此，示出的方法使嵌入式控制器固件能够在更好地保护固件修改免受恶意软件攻击的意义上是“坚定的”。

本发明的实施例适用于所有类型的半导体集成电路（“IC”）芯片。这些IC芯片的例子包括但不限于处理器、控制器、芯片组部件、可编程逻辑阵列（PLA）、存储器芯片、网络芯片、片上系统（SoC）、SSD/NAND控制器ASIC等。此外，在一些附图中，信号传导线用线表示。一些线可能粗一些，表明有更多组成信号路径，具有编号标签，表明大量组成信号路径，和/或在一端或多端具有箭头，表明主要信息流方向。然而，这不应解释为限制的方式。相反，这些增加的细节可以结合一个或多个示例实施例使用以促进更容易地理解电路。任何表示的信号线，无论是否具有额外的信息，实际上都可包括一个或多个可以在多个方向行进的信号，并且可由任何合适类型的信号方案实现，例如，用差分对实现的数字或模拟线、光纤线和/或单端线。

已经给出了示例性尺寸/模型/值/范围，但是本发明的实施例的不局限于此。随着制造技术（例如，光刻）经时间的推移而成熟，预计可以制造更小尺寸的设备。此外，到IC芯片和其他部件的众所周知的电源/接地连接可能会或不会在图中展示，是为了让解释和讨论简单，从而不模糊本发明实施例中的某些方面。此外，布置可以以框图的形式展示，以避免模糊本发明的实施例，并且还鉴于以下事实：关于完成这样的框图布置的细节高度依赖于在其中完成实施例的平台，也就是说，这样的细节应当完全处在本领域技术人员的视界中。在为了描述本发明的示例性实施例而阐述特定的细节（例如，电路）时，本领域的技术人员应当理解本发明实施例的实现可以不需要这些特定细节或者利用这些特定细节的变化。所述描述因此被视为说明性的而不是限制性的。

术语“耦合”在这里可以用于指在讨论的部件之间直接或间接的任何类型的关系，并可应用于电气、机械、流体、光学、电磁、机电或其他连接。此外，术语“第一”、“第二”等用在这里只是为了便于讨论，并没有特定的时间或顺序的意义，除非另有说明。

本领域技术人员将从前面的描述领会：本发明的实施例的广泛技术可以以各种形式实现。因此，虽然已经结合其特定实例描述了本发明的实施例，但本发明的实施例的真正范围不应如此有限，因为在研究附图、说明书和以下权利要求时专业的实施者将明白其他修改。

Claims (20)

1.一种计算机可读存储介质，包括一组嵌入式控制器固件指令，如果所述指令被嵌入式控制器执行，则会使所述嵌入式控制器用于：

经由专用通信信道从管理控制器接收模式请求；

在键盘处检测击键动作；并且

如果所述模式请求对应于安全模式，则经由所述专用通信信道将击键数据传输到所述管理控制器，其中所述击键数据对应于所述击键动作。

2.如权利要求1所述的介质，其中所述固件指令如果被执行，则会使所述嵌入式控制器用于：

如果所述模式请求对应于证实输入模式，则经由所述专用通信信道将所述击键数据传输到所述管理控制器；并且

如果所述模式请求对应于所述证实输入模式，则将所述击键数据传输到主机操作系统。

3.如权利要求1所述的介质，其中所述模式请求将与主机操作系统的不可操作性相关联。

4.如权利要求1所述的介质，其中所述击键动作将与远程键盘-视频-鼠标同意响应相关联。

5.如权利要求1所述的介质，其中所述固件指令如果被执行，则会使计算机基于所述击键动作识别热键输入，其中所述击键数据包括所述热键输入的标识符。

6.如权利要求1所述的介质，其中所述固件指令如果被执行，则会使所述嵌入式控制器用于：

接收更新请求以修改所述固件指令；

如果经由所述专用通信信道接收到所述更新请求，则准许所述更新请求；并且

如果经由所述专用通信信道没有接收到所述更新请求，则拒绝所述更新请求。

7.一种计算机可读存储介质，包括一组管理控制器固件指令，如果所述指令被管理控制器执行，则会使管理控制器用于：

经由专用通信信道从嵌入式控制器接收击键数据；

加密所述击键数据；并且

将加密后的击键数据传输到平台外服务。

8.如权利要求7所述的介质，其中所述管理控制器固件指令如果被执行，则会使所述管理控制器经由所述专用通信信道将模式请求传输到所述嵌入式控制器，其中所述模式请求将指示所述嵌入式控制器将所述击键数据传输到所述管理控制器。

9.如权利要求8所述的介质，其中所述模式请求对应于证实输入模式，指示所述嵌入式控制器将所述击键数据传输到所述管理控制器，并且指示所述嵌入式控制器将所述击键数据传输到主机操作系统。

10.如权利要求8所述的介质，其中所述管理控制器固件指令如果被执行，则会使所述管理控制器用于：

检测主机操作系统的不可操作性；并且

响应于检测到所述主机操作系统的不可操作性，将所述模式请求传输到所述嵌入式控制器。

11.如权利要求7所述的介质，其中所述击键数据与键盘-视频-鼠标同意响应和热键输入中的至少一个相关联。

12.如权利要求7所述的介质，其中所述管理控制器固件指令如果被执行，则会使所述管理控制器用于：

接收更新请求以修改嵌入式控制器固件指令；

进行所述更新请求的源的认证；并且

如果所述认证是成功的，则经由所述专用通信信道将所述更新请求传输到所述嵌入式控制器。

13.如权利要求7所述的介质，其中所述加密后的击键数据将经由与所述管理控制器相关联的网络堆栈被发送到所述平台外服务，其中所述加密后的击键数据将会绕过主机操作系统。

14.如权利要求7所述的介质，其中所述加密后的击键数据将经由主操作系统被发送到所述平台外服务。

15.如权利要求7所述的介质，其中所述管理控制器固件指令如果被执行，将会使所述管理控制器将人类在场证实添加到所述加密后的击键数据。

16.一种计算平台，包括：

键盘；

网络控制器；

包括第一逻辑的嵌入式控制器，其用于，

经由专用通信信道接收模式请求，

在键盘处检测击键动作，并且

如果所述模式请求对应于安全模式，则经由所述专用通信信道传输击键数据，其中所述击键数据对应于所述击键动作；以及

包括第二逻辑的管理控制器，其用于，

将所述模式请求传输到所述嵌入式控制器，

接收所述击键数据，

加密所述击键数据，并且

经由所述网络控制器将加密后的击键数据传输到平台外服务。

17.如权利要求16所述的计算平台，进一步包括具有第三逻辑的芯片组用于执行主机操作系统，其中所述第一逻辑用于，

如果所述模式请求对应于证实输入模式，则经由所述专用通信信道将所述击键数据传输到所述管理控制器，并且

如果所述模式请求对应于所述证实输入模式，则将所述击键数据传输到所述主机操作系统。

18.如权利要求16所述的计算平台，其中所述第二逻辑用于，

检测与所述计算平台相关联的主机操作系统的不可操作性，并且

响应于检测到所述主机操作系统的不可操作性，将所述模式请求传输到所述嵌入式控制器。

19.如权利要求16所述的计算平台，其中所述击键数据与键盘-视频-鼠标同意响应和热键输入中的至少一个相关联。

20.如权利要求16所述的计算平台，其中所述第二逻辑用于，

接收更新请求以修改所述第一逻辑，

进行所述更新请求的源的认证，并且

如果所述认证是成功的，则经由所述专用通信信道将所述更新请求传输到所述嵌入式控制器。

Images