CN104361280B - 一种通过smi中断实现对usb存储设备进行可信认证的方法 - Google Patents

Abstract

本发明提供一种通过SMI中断实现对USB存储设备进行可信认证的方法，通过BIOS对USB控制器寄存器的设置，USB存储设备在插入USB接口时，可产生PME事件，通过对PCH桥片寄存器的设置，可将USB的PME事件转换成SMI中断或者SCI中断，将其设置为产生SCI中断，在BIOS的ACPI代码中添加SCI中断处理代码，查询是否为USB产生的SCI中断，如果是USB控制器产生的SCI中断，则通过ASL代码写SMI软中断命令，产生一个SMI中断，在BIOS的SMI中断处理程序中，查询USB控制器的端口状态位，若有效，则说明USB接口有设备接入。

Description

一种通过SMI中断实现对USB存储设备进行可信认证的方法

技术领域

本发明涉及计算机应用技术领域,具体地说是一种通过SMI中断实现对USB存储设备进行可信认证的方法。

背景技术

USB存储设备是计算机系统中使用较为频繁的一种设备，若考虑到信息的安全，USB接口通常需要被保护或者通过一种方法对其进行可信认证。信息安全技术的发展除了建立在操作系统级别上的安全机制，还进一步延伸到了固件层。固件BIOS处于计算机系统的底层，通过BIOS实现对USB存储设备的可信认证可以较好地保护计算机系统的资料安全。

通过BIOS对插入的USB存储设备进行识别和认证，只有通过认证的USB存储设备，才能够被操作系统识别。若插入的为不可信任的USB存储设备，BIOS从底层断开此设备，操作系统将无法识别该设备，因此不能进行数据的传输，从而较好地保护了系统的信息安全。本文将阐述该方法的实现过程，描述BIOS通过SMI中断实现对USB存储设备进行可信认证的方法。

发明内容

本发明的目的是提供一种通过SMI中断实现对USB存储设备进行可信认证的方法。

本发明的目的是按以下方式实现的，具体步骤如下：

1）通过BIOS对USB控制器寄存器的设置，USB存储设备在插入USB接口时，可产生PME事件，通过对PCH桥片寄存器的设置，将USB的PME事件转换成SMI中断或者SCI中断，将其设置为产生SCI中断，在BIOS的ACPI代码中添加SCI中断处理代码，查询是否为USB产生的SCI中断，如果是USB控制器产生的SCI中断，则通过ASL代码写SMI软中断命令，产生一个SMI中断；

2）在BIOS的SMI中断处理程序中，查询USB控制器的端口状态位，若有效，则说明USB接口有设备接入，然后读取设备描述符，根据USB设备所返回的设备描述符中的配置描述符个数，来逐一读取设备的配置描述符，BIOS分两次读取配置描述符，第一次读取配置描述符，第二次将配置描述符，接口描述符和端口描述符一并读出，通过接口描述符的内容判定是哪种USB设备插入；

3）如果是USB大容量存储设备，则BIOS加载USB存储设备协议和驱动，然后对该USB存储设备进行访问，读取其根目录下secure.cfg文件的内容，如果secure.cfg文件不存在，则返回错误码，否则将secure.cfg文件中的内容读出放在一块内存区域，作为该USB存储设备的签名；

4）在BIOS的NVSTORAGE区域中添加对USB存储设备的签名进行解密的私钥，BIOS在获得USB存储设备上的secure.cfg文件的内容后，再读取NVSTORAGE区域中的私钥，利用该私钥对USB存储设备的secure.cfg文件签名进行解密，如果解密后的签名是可信任的，那么BIOS将正常返回；

5）如果未获得信任，BIOS将清除USB控制器的端口状态位，清除PME状态位，SCI状态位，同时将USB设备从控制器端口删除，这样操作系统将无法识别USB存储设备，因此不能对USB存储设备进行数据传输操作；

6）如果USB存储设备获得BIOS的可信认证，BIOS将正常返回，操作系统将将正常识别该USB存储设备，如果BIOS的SMI处理程序发现插入的不是大容量存储设备则正常返回，操作系统将仍正常识别该USB设备；

7）BIOS的NVSTORAGE中存储的私钥和USB存储设备中保存的签名能够互换，在BIOS设置菜单中添加设置私钥或签名的菜单，可进行手动修改私钥或签名，方便用户的使用，通过在BIOS设置菜单中设置BIOS密码，防止他人查看私钥和签名。

本发明的有益效果是：通过BIOS对插入的USB存储设备进行识别和认证，只有通过认证的USB存储设备，才能够被操作系统识别。若插入的为不可信任的USB存储设备，BIOS从底层断开此设备，操作系统将无法识别该设备，因此不能进行数据的传输，从而较好地保护了系统的信息安全。本文将阐述该方法的实现过程，描述BIOS通过SMI中断实现对USB存储设备进行可信认证的方法。

附图说明

图1是可信认证流程图。

具体实施方式

参照说明书附图对本发明的可信认证方法作以下详细地说明。

通过BIOS对USB控制器寄存器的设置，USB存储设备在插入USB接口时，可产生PME事件。通过对PCH桥片寄存器的设置，可将USB的PME事件转换成SMI中断或者SCI中断。我们将其设置为产生SCI中断。在BIOS的ACPI代码中添加SCI中断处理代码，查询是否为USB产生的SCI中断，如果是USB控制器产生的SCI中断，则通过ASL代码写SMI软中断命令，产生一个SMI中断。在BIOS的SMI中断处理程序中，查询USB控制器的端口状态位，若有效，则说明USB接口有设备接入。然后读取设备描述符，根据USB设备所返回的设备描述符中的配置描述符个数，来逐一读取设备的配置描述符。BIOS分两次读取配置描述符，第一次读取配置描述符，第二次将配置描述符，接口描述符和端口描述符一并读出。通过接口描述符的内容可以判定是哪种USB设备插入。如果是USB大容量存储设备则BIOS加载USB存储设备协议和驱动，然后对该USB存储设备进行访问，读取其根目录下secure.cfg文件的内容。如果secure.cfg文件不存在，则返回错误码，否则将secure.cfg文件中的内容读出放在一块内存区域，作为该USB存储设备的签名。

在BIOS的NVSTORAGE区域中添加对USB存储设备的签名进行解密的私钥。BIOS在获得USB存储设备上的secure.cfg文件的内容后，再读取NVSTORAGE区域中的私钥，利用该私钥对USB存储设备的secure.cfg文件签名进行解密，如果解密后的签名是可信任的，那么BIOS将正常返回。如果未获得信任，BIOS将清除USB控制器的端口状态位，清除PME状态位，SCI状态位，同时将USB设备从控制器端口删除。这样操作系统将无法识别USB存储设备，因此不能对USB存储设备进行数据传输操作。如果USB存储设备获得BIOS的可信认证，BIOS将正常返回，操作系统将可以正常识别该USB存储设备。如果BIOS的SMI处理程序发现插入的不是大容量存储设备则正常返回，操作系统将可以正常识别该USB设备。

BIOS的NVSTORAGE中存储的私钥和USB存储设备中保存的签名可以互换。在BIOS设置菜单中添加设置私钥或签名的菜单，可进行手动修改私钥或签名，方便用户的使用。通过在BIOS设置菜单中设置BIOS密码，防止他人查看私钥和签名。

实施例

1. 在BIOS源代码中添加针对USB存储设备的SMI中断处理程序、相关ACPI代码和BIOS设置菜单的代码，编译BIOS源代码产生可执行的ROM文件；

2. 更新刚编译的BIOS文件到系统Firmware中；

3. 在BIOS设置菜单中添加USB存储设备的签名或密钥；

4. 在USB存储设备中添加secure.cfg文件，在文件中添加签名或密钥；

5. 开机启动系统，进入操作系统，插入USB存储设备，查看是否被识别；删除USB存储设备中的secure.cfg文件，重新插拔USB存储设备，看系统是否可以识别设备；修改USB存储设备中secure.cfg文件的内容，重新插拔USB存储设备，看系统是否可以识别设备。

除说明书所述的技术特征外，均为本专业技术人员的已知技术。

Claims (1)

1.一种通过SMI中断实现对USB存储设备进行可信认证的方法, 其特征在于具体步骤如下：

1）通过BIOS对USB控制器寄存器的设置，USB存储设备在插入USB接口时，可产生PME事件，通过对PCH桥片寄存器的设置，将USB的PME事件转换成SMI中断或者SCI中断，将其设置为产生SCI中断，在BIOS的ACPI代码中添加SCI中断处理代码，查询是否为USB产生的SCI中断，如果是USB控制器产生的SCI中断，则通过ASL代码写SMI软中断命令，产生一个SMI中断；

2）在BIOS的SMI中断处理程序中，查询USB控制器的端口状态位，若有效，则说明USB接口有设备接入，然后读取设备描述符，根据USB设备所返回的设备描述符中的配置描述符个数，来逐一读取设备的配置描述符，BIOS分两次读取配置描述符，第一次读取配置描述符，第二次将配置描述符，接口描述符和端口描述符一并读出，通过接口描述符的内容判定是哪种USB设备插入；

3）如果是USB大容量存储设备，则BIOS加载USB存储设备协议和驱动，然后对该USB存储设备进行访问，读取其根目录下secure.cfg文件的内容，如果secure.cfg文件不存在，则返回错误码，否则将secure.cfg文件中的内容读出放在一块内存区域，作为该USB存储设备的签名；

4）在BIOS的NVSTORAGE区域中添加对USB存储设备的签名进行解密的私钥，BIOS在获得USB存储设备上的secure.cfg文件的内容后，再读取NVSTORAGE区域中的私钥，利用该私钥对USB存储设备的secure.cfg文件签名进行解密，如果解密后的签名是可信任的，那么BIOS将正确返回，操作系统将正常识别该USB存储设备；

5）如果未获得信任，BIOS将清除USB控制器的端口状态位，清除PME状态位，SCI状态位，同时将USB设备从控制器端口删除，这样操作系统将无法识别USB存储设备，因此不能对USB存储设备进行数据传输操作；

6）如果BIOS的SMI处理程序发现插入的不是大容量存储设备则正常返回，操作系统仍将正常识别该USB设备；

7）BIOS的NVSTORAGE中存储的私钥和USB存储设备中保存的签名能够互换，在BIOS设置菜单中添加设置私钥或签名的菜单，可进行手动修改私钥或签名，方便用户的使用，通过在BIOS设置菜单中设置BIOS密码，防止他人查看私钥和签名。