CN105144185B

CN105144185B - 验证控制器代码和系统启动代码

Info

Publication number: CN105144185B
Application number: CN201380075617.3A
Authority: CN
Inventors: J.K.让索内; V.Y.阿利; J.M.曼; B.巴拉谢夫
Original assignee: Hewlett Packard Development Co LP
Current assignee: Hewlett Packard Development Co LP
Priority date: 2013-04-23
Filing date: 2013-04-23
Publication date: 2018-06-05
Anticipated expiration: 2033-04-23
Also published as: US20160055332A1; US11520894B2; TW201443686A; CN105144185A; US20200302057A1; WO2014175867A1; TWI539324B; US10733288B2

Abstract

与系统的处理器分离的控制器验证用于在控制器上执行的控制器代码。响应于验证控制器代码，控制器验证系统启动代码。

Description

验证控制器代码和系统启动代码

背景技术

计算系统可以包括用以执行计算系统的各种启动功能的代码。此代码可以包括基本输入/输出系统（BIOS）代码。BIOS代码可以是在计算机系统中或来自外部服务的恶意软件攻击的对象。作为攻击的结果，BIOS代码可能变得被损害。

附图说明

相对于以下各图来描述某些实施方式：

图1是根据某些实施方式的示例性系统的框图；

图2是根据某些实施方式的由嵌入式控制器执行的启动过程的流程图；

图3是根据某些实施方式的验证过程的流程图；

图4是根据其它实施方式的示例性系统的框图；以及

图5—7是根据其它实施方式的过程的流程图。

具体实施方式

对被用来执行计算系统启动的系统代码的恶意软件攻击可以促使计算系统的完整性被损害，使得可能发生计算系统中的未授权访问和操作。例如，被损害系统代码可以允许计算系统被恶意实体隐蔽地远程监视和/或控制、计算系统中的数据被恶意软件未授权访问和/或修改、计算系统的禁用等。被损害系统代码可以指代已被损坏、使得系统代码不再可用的系统代码，或者替换地，被损害系统代码可以指代已经以某种方式改变、但仍能够执行的系统代码。请注意，系统代码也可能偶然地或无意中被损害。

虽然可以在计算系统中提供保护机制以保护系统代码，但是此类保护机制在能够使系统代码经受恶意软件攻击的某些条件下可能变得被损害。

用来执行计算系统的启动的系统代码可以包括系统固件，其可以采取可在计算系统的（一个或多个）处理器上执行的机器可读指令的形式。“系统固件”可以指代能够执行计算系统的启动的任何机器可读指令。计算系统的示例包括台式计算机、笔记本计算机、平板计算机、个人数字助理（PDA）、智能电话、游戏设备、服务器计算机、存储节点、网络通信节点等。

系统固件可以包括基本输入/输出系统（BIOS）代码，其可以对计算系统的各种部件进行初始化，并加载计算系统的操作系统（OS）。BIOS代码可以执行硬件部件的检查以确保硬件部件存在并适当地运行。这可以是例如通电自检（POST）程序的一部分。在POST程序之后，BIOS代码可以行进通过启动序列的其余部分，在其之后，BIOS代码可以加载OS并向其传递控制。BIOS代码可以包括传统BIOS代码或统一可扩展固件接口（UEFI）代码。在某些示例中，BIOS代码可以包括在OS加载之后执行的运行时间部分。

系统固件可以被存储在非易失性存储器中，诸如闪存或可编程的任何其它持久性存储器。一旦非易失性存储器中的系统固件被损害，则一个可能的补救措施可涉及到在物理上替换包括非易失性存储器的部件。解决被损害系统固件的此类技术可能是劳动密集的、成本高的且耗时的。

根据某些实施方式，提供了用以允许实现被损害系统固件的检测以及检测到系统固件损害的情况下的系统固件自愈的技术或机制。图1是包括嵌入式控制器102、共享非易失性存储器104、处理器106以及私用非易失性存储器116的示例性计算系统100的框图。共享非易失性存储器104在其可被多个实体访问的意义上被“共享”，所述多个实体包括嵌入式控制器102和至少一个其它实体（包括处理器106）。私用非易失性存储器116可被嵌入式控制器102访问，但是对于处理器106或计算系统100中的其它部件是不可访问。使得私用非易失性存储器116不可被吹冷气106及其它部件访问保护私用非易失性存储器116的内容不被未授权篡改。私用非易失性存储器116始终可被嵌入式控制器102访问。

虽然在图1中未示出，但可以在处理器106与共享非易失性存储器104之间提供输入/输出（I/O）控制器。

私用（private）非易失性存储器116可以在物理上与共享非易失性存储器104（诸如在不同的物理存储器件中实现）分离。替换地，私用非易失性存储器116和共享非易失性存储器104可以在物理上驻于公共存储器件上，但是共享非易失性存储器104和私用非易失性存储器116在物理存储器件的不同段中，其中包含私用非易失性存储器116的物理存储器件的段仅可被嵌入式控制器102访问。

共享非易失性存储器104可通过共享总线120被嵌入式控制器102或另一实体访问。在某些实施方式中，在任何给定时间仅一个实体可以访问共享存储器120，使得每次仅一个实体可以访问共享非易失性存储器104。在某些示例中，共享总线120是共享串行外围接口（SPI）总线。SPI总线是其中SPI总线上的设备在主从模式下操作的同步串行数据链路。在其它示例中，可以使用另一类型的共享总线120。在替换示例中，可以提供仲裁机制以允许在计算系统的各种状态下的总线120的共享访问，所述各种状态包括低功率状态和正常运行时间状态。

共享非易失性存储器104可以存储系统固件107，其可以包括BIOS代码。BIOS代码107可以包括用于由嵌入式控制器102执行的控制器代码108以及将由处理器106执行的启动块110。控制器代码108可以采取嵌入式控制器（EC）固件的形式，其可以指代可在嵌入式控制器102中执行的任何机器可读指令。替换地，控制器代码108可以是可以采取机器可读指令形式的应用软件。在随后的讨论中，虽然对“EC固件”进行参考，应注意的是可以将该技术或机制应用于其它形式的控制器代码108。

在根据图1的示例中，EC固件108被包括在系统固件107的启动块110。将EC固件108包括在启动块110内部可以提供EC固件108已被提供系统固件107的实体签名的指示，该实体可以是计算系统100的供应商或另一实体。在其它示例中，EC固件108可以与启动块110分离。

启动块110是BIOS代码的一部分，并且首先在计算系统100启动时执行。启动块110首先在BIOS代码的剩余部分被允许执行之前执行。启动块110可以用来检查BIOS代码的完整性以及执行其它初始功能。如果启动块110确认BIOS代码的完整性，则启动块110可以向BIOS代码的主要部分传递控制以用于发起与BIOS代码相关联的其余操作。

在某些实施方式中，启动块110可以包括可信测量核心根（CRTM）逻辑，其是由可信计算组（TCG）、行业标准工作组指定的逻辑。在计算系统100的通电程序期间，CRTM逻辑可以执行某些初始化任务，并且可以进行被存储以供稍后使用的许多测量。CRTM逻辑然后可以在向BIOS代码的主要部分传递控制之前检查BIOS代码。一旦BIOS代码完成执行并向OS传递控制，则OS可以基于由CRTM逻辑进行的测量来验证计算系统100的可信任性（trustworthiness）。

嵌入式控制器102在物理上与计算系统100的处理器106分离。处理器106被用于执行系统100中的OS、应用程序代码以及其它代码。嵌入式控制器102另一方面可以用来执行如被编程到EC固件108中的特定预定义任务。可以由嵌入式控制器102执行的任务的示例包括以下各项中的任何一个或某种组合：计算系统100中的电源控制（用于控制向计算系统100中的各种部件供应电源电压的电源）、计算系统100中的电池的充电和控制、热监视（用以监视计算系统100中的温度）、风扇控制（用以控制计算系统100中的风扇）以及与用户输入设备的交互（诸如执行计算系统100的键盘的扫描或与诸如鼠标、触控板、触摸屏等定点设备的交互）。可以用微控制器、专用集成电路（ASIC）、可编程门阵列（PGA）或任何其它类型的可编程电路来实现嵌入式控制器102。

计算系统100还包括私用非易失性存储器116，其存储系统固件拷贝114，其中，系统固件拷贝114包括启动块132和EC固件130。私用非易失性存储器116中的系统固件拷贝114可以是共享非易失性存储器104中的系统固件107的复制品。替换地，系统固件拷贝114可以是与系统固件107不同的版本（较晚版本或较早版本）。

在某些实施方式中，嵌入式控制器102可以首先在计算系统100的重启期间尝试使用私用非易失性存储器116中的EC固件130。如果嵌入式控制器102不能成功地使用EC固件130，则嵌入式控制器102可以使用共享非易失性存储器104中的EC固件108以尝试启动计算系统100。如果嵌入式控制器102不能使用EC固件130或EC固件108中的任一个来启动系统，则已发生错误，其可能是由于EC固件130和EC固件108两者的损害而引起的。

虽然对在尝试使用共享非易失性存储器104中的EC固件108之前首先尝试使用私用非易失性存储器116中的EC固件130进行参考，但不同的实施方式可以在尝试使用私用非易失性存储器116中的EC固件130之前首先尝试使用共享非易失性存储器104中的EC固件108。在其它示例中，可以将EC固件（或其一部分）嵌入该嵌入式控制器102中。被嵌入该嵌入式控制器102中的EC固件可以是不可变的。

根据某些实施方式，嵌入式控制器102包括能够验证在嵌入式控制器的初始化程序期间从非易失性存储器（116和/或104）检索的EC固件（130和/或108）的验证逻辑112。验证诸如EC固件之类的代码片可以指代以密码方式确认该代码片尚未改变和/或确认该代码片来自可信源。初始化程序（或更简单地“初始化”）指代当嵌入式控制器102在嵌入式控制器102已被重置之后或者在嵌入式控制器102的电源循环（其中从嵌入式控制器102去除电源且然后重新向其施加电源）之后首次启动时执行的程序。

另外，一旦EC固件被验证并加载以用于在嵌入式控制器102上执行，则EC固件可以在系统固件每次被处理器106进行重新启动执行之前验证系统固件，诸如由于计算系统100的冷重置、从计算系统100的低功率状态恢复、操作系统重启等。应注意的是还可以每当计算系统100进入低功率状态时由EC固件来验证系统固件。在其它示例中，EC固件还可以在处理器106仍被供电时验证系统固件。

计算系统100的低功率状态指代其中系统100的处理器106和某些其它硬件部件关闭（例如不向处理器和所述某些其它硬件部件提供功率）的计算系统100的状态。在低功率状态下，仍可以向嵌入式控制器102提供功率。计算系统100可以在以下情形中的任何一个中过渡至低功率状态：（1）作为促使系统100被断电以用于后续通电的计算系统100的冷重置的一部分，或者（2）作为省电程序的一部分，其中，计算系统100可在一定的不活动时间段之后或者响应于检测到低电池条件或者响应于用户或应用程序命令或者由于另一原因而从正常操作状态过渡到睡眠状态、冬眠状态或关断状态，或者（3）在任何其它情形中。

低功率状态的示例可以包括某些高级配置和电源接口（ACPI）状态，包括：ACPI S3状态（其是一种待机或睡眠状态，其中，计算系统100的系统上下文被保持在易失性存储器中，其在计算系统100的某些部件被断电的同时保持被供电）；ACPI S4状态（其是一种冬眠状态，其中，系统上下文被保存到持久性存储器以允许从包括易失性存储器的附加计算系统部件去除电源）；以及ACPI S5状态（其是一种系统关断状态形式，其中，已从计算系统100的甚至更多部件去除电源）。

在其它示例中，EC固件可以响应于计算系统100的热重置而执行系统固件的验证，在该热重置中在不去除到计算系统100的电源的情况下重启计算系统100。如下面进一步讨论的，为了允许EC固件响应于热重置而执行验证，可以迫使计算系统100在检测到热重置时过渡到适当的低功率状态（诸如上列低功率状态中的某些）。

在其它实施方式中，EC固件可以在任何时间执行验证，即使当计算系统并未处于低功率状态时。例如，EC固件可以在处理器空闲或并未访问共享非易失性存储器104时执行验证。还可以“实时地”执行由EC固件进行的验证，因为系统固件被检索以用于由处理器执行。

如在图2中所描绘的，作为系统启动的一部分，允许嵌入式控制器102执行其操作。可以将图2中所描绘的过程视为计算系统100的启动程序的阶段1。一般地，阶段1涉及到将EC固件检索到嵌入式控制器102中，验证EC固件，并在验证时执行EC固件。可以在计算系统100处于低功率状态的同时执行嵌入式控制器102的操作。

嵌入式控制器102首先检索（在202处）私用非易失性存储器116的EC固件130。验证逻辑112然后执行（在204处）EC固件130的验证。EC固件的验证可以基于基于密码的验证技术的使用。例如，该验证可以是采用密码加密的Rivest、Shamar以及Adleman（RSA）验证技术。RSA验证技术涉及到公开密钥和私用密钥的使用。公开密钥为多个实体所知，但是私用密钥仅为单个实体所知。可以使用相应的公开密钥将被用私用密钥加密的数据解密。替换地，可以使用私用密钥将数据加密，但使用公开密钥来解密。

如果验证逻辑112确定（在206处）来自私用非易失性存储器116的EC固件130已被成功地验证，则由嵌入式控制器102来执行（在208处）EC固件130以执行嵌入式控制器初始化任务。

然而，如果验证逻辑112确定（在206处）EC固件130未被成功地验证（例如由于EC固件130的损害或另外原因），则嵌入式控制器102从共享非易失性存储器104检索（在210处）EC固件108。验证逻辑112然后执行（在212处）EC固件108的验证（使用RSA验证技术或其它验证技术）。如果EC固件108被成功地验证（在214处确定），则由嵌入式控制器102来执行（在216处）EC固件108。然而，如果EC固件108未被验证逻辑112验证，则指示错误（在218处）。

在阶段1成功地完成（阶段1已经前进至任务208或216）之后，可以继续进行下一阶段（阶段2）。阶段2（有关图5进一步详细描述的）一般地涉及到EC固件（130或108）执行私用非易失性存储器116中的启动块132和共享非易失性存储器104中的启动块110的验证。可以在计算系统100处于低功率状态的同时执行阶段2。如果启动块132和110两者被EC固件验证，则阶段2可以成功地完成，并且系统准备使用启动块（132或110）启动。另一方面，如果EC固件确定私用非易失性存储器116中的启动块132或共享非易失性存储器104中的启动块110被损害，则EC固件使用指定的一个或多个策略来解决启动块132或启动块110的损害。如果启动块132和启动块110两者都被损害，则已发生系统错误，并且不允许计算系统100启动。

图3是根据某些实施方式的验证过程的流程图。可以由嵌入式控制器102来执行验证过程。在嵌入式控制器102的初始化期间，验证过程诸如通过使用RSA验证技术或其它验证技术来验证（在302处）从非易失性存储器（例如图1中的116或104）检索的EC固件。在由处理器106执行任何代码之前执行验证（在302处）。

在EC固件的验证之后，可以将EC固件加载到嵌入式控制器102中以用于执行。响应于验证EC固件，验证过程可以进一步验证（在304处）非易失性存储器（例如116或104）中的系统启动代码。被验证的系统启动代码可以包括启动块132和/或启动块110。更一般地，系统启动代码可以指代被用来启动计算系统100或使计算系统100从低功率状态恢复的任何系统代码。可以由在嵌入式控制器102中执行的EC固件来执行验证（在304处）。

如果系统启动代码（例如启动块132和/或启动块110）被验证，则计算系统100准备启动。如果启动块132和110中的一个不能被验证，则EC固件可以使用启动块132和110中的一个来校准（fix）启动块132和110中的另一个。然后可以从共享非易失性存储器104检索启动块110并将启动块110加载到处理器106以用于执行。

根据某些实施方式的验证过程因此可以验证在启动块110被处理器106执行之前启动块110未被损害（并且如果被损害，启动块110可以被校准）。以这种方式，可以针对系统固件的内容被恶意软件损害的可能性而提供保护。并且，可以针对涉及到用包含含有损害系统固件的非易失性存储器的另一部件来替换共享非易失性存储器部件104（或116）的部分替换攻击提供保护。

可以在计算系统100每次过渡到低功率状态时执行系统启动代码的验证。这确保在系统启动代码在从低功率状态出来过渡到较高功率状态期间被处理器106执行之前，系统启动代码未被损害。更一般地，可以在处理器106重新开始系统启动代码的执行的每个时刻之前执行系统启动代码的验证。

图4是根据其它实施方式的计算系统100的框图。图4的计算系统100包括输入/输出（I/O）控制器402，其被连接在处理器106与共享总线120之间。在某些示例中，I/O控制器402可以是来自英特尔公司的平台控制器集线器（PCH）。PCH可以包括各种功能，包括到图形子系统的显示器接口、到各种I/O设备可以被连接到的系统总线的系统总线接口等。在其它示例中，可以使用其它类型的I/O控制器。

如图4中所描绘的，嵌入式控制器102被耦合到用户输入设备404（例如，鼠标设备或其它类型的输入设备）、键盘406、风扇408、电池410以及电源413，以管理各设备（例如在EC固件的控制下）。

在图4示例中，嵌入式控制器102还包括密码硬件412，其可以执行密码计算，诸如在EC固件和启动块的验证中所使用的那些。密码硬件412可以采取被配置成执行密码计算的电路的形式。

嵌入式控制器102还包括只读存储器（ROM）414，其可以被用来存储启动加载程序416和加密密钥418。加密密钥418可以是用来执行EC固件（130或108）的验证的密钥（公开密钥或私用密钥）。在系统启动期间，启动加载程序416被从ROM 414加载以在嵌入式控制器102中执行以将EC固件从私用或共享非易失性存储器116或104检索到嵌入式控制器102的随机存取存储器（RAM）419中。启动加载程序416可以采取步骤以确保没有除嵌入式控制器102之外的其它实体在EC固件负载操作期间可访问共享总线120。

为了检索EC固件以用于加载到嵌入式控制器102中，启动加载程序416可以找到到EC固件图像的指针（或其它参考），其可以被存储在私用或共享非易失性存储器116或104中。

被检索的EC固件被图1的验证逻辑112验证，其可以包括能够调用密码硬件412以帮助执行密码计算的启动加载程序416中的功能。

在共享非易失性存储器104中，签名422与EC固件108相关联，并且签名424与启动块110相关联。同样地，在私有非易失性存储器116中，签名440与EC固件130相关联，并且签名442与启动块132相关联。签名440或422在各EC固件108或130的验证中使用，而签名442或424在各启动块110或132的验证中使用。验证过程中的签名的使用可以允许确定各EC固件或启动块的真实性，并确定各EC固件或启动块尚未被损害。

在某些实施方式中，EC固件108或130的验证可以通过使用存储在嵌入式控制器ROM 414中的加密密钥418将各签名422或440解密来实现。将签名解密产生可以与EC固件的相应计算值（例如哈希值）相比较的各值（例如哈希值）。如果前述值匹配，则EC固件被验证。可以将类似过程用于使用各数字签名424或442来验证BIOS启动块110或132。在替换示例中，可以使用任何密码技术来执行验证。

私用非易失性存储器116还可以存储机器独有数据430和策略信息434。例如，策略信息434可以包括关于以下策略中的一个或某种组合的信息：

指定是否将要使用积极（aggressive）操作模式的策略，其中，积极模式使得能够在其中主机处理器将执行启动块的每个情况下（在每次冷启动、热启动、从低功率状态恢复等）实现系统固件的验证。

指定将使用手动还是自动化恢复模式的策略，其中，手动恢复模式涉及到在允许执行被损害启动块的恢复之前的用户动作；以及

指定是将使用锁定还是解锁模式的策略，其中，锁定模式促使系统固件被锁定到指定版本，诸如私用非易失性存储器116中的版本。

机器独有数据430可以指代为每个特定计算系统所独有的任何数据或设置。机器独有数据的示例可以包括以下各项中的任何一个或某种组合：产品名称、产品型号、库存量单位（SKU）数目（用于识别待售的各计算系统）、计算系统的序列号、系统或商品跟踪号（用于识别计算系统的系统板）、系统配置标识符（用于识别计算系统的配置）、保证数据（用于描述与计算系统相关联的保证书）、通用唯一标识符（UUID）、BIOS代码的默认设置等。前述内容是作为机器独有数据的示例而提供的；在其它示例中，可以提供其它或附加类型的机器独有数据。

共享非易失性存储器104还存储与机器独有数据430相同或类似的机器独有数据436。

图5是阶段2过程的流程图，其是在图2中描绘的阶段1过程成功完成之后执行的。图5的阶段2过程可以在在阶段1过程中（在图2中的任务208或216中）执行的EC固件的控制下由嵌入式控制器102执行。

如图5中所示，嵌入式控制器确定（在502处）确定私用非易失性存储器116中的启动块130（在图5中表示为EC_BB）是否被验证（基于使用图4的签名442执行的验证）。如果不是，则EC_BB_Valid标志被清零（在504处）至已清零状态，以指示私用非易失性存储器116中的启动块130未被验证。

然而，如果502处的确定指示启动块132已被验证，则EC_BB_Valid标志被设定（在506处）成设定状态，以指示私用非易失性存储器116中的启动块132已被验证。

接下来，EC固件确定（在508）共享非易失性存储器104中的启动块110（在图5中表示为SYS_BB）是否已被验证（基于使用图4的签名424执行的验证）。如果不是，则EC固件接下来检查（在510处）EC_BB_Valid标志是否被设定（在510处）。如果不是，则其为私用和共享非易失性存储器116和104中的启动块132和110两者不能验证的指示，并且指示错误（在511处）。在这里，图5的阶段2过程停止，因为由于被损害的启动块而不能允许系统启动。

如果确定（在510处）EC_BB_Valid标志被设定，则其为私用非易失性存储器116中的启动块132已被验证的指示，即使共享非易失性存储器104中的启动块110不能被验证。在这种情况下，EC固件确定（在512处）恢复策略（存储为图4的私用非易失性存储器116中的策略信息434的一部分）是指定手动模式还是自动化模式。如果指示了自动化模式，则私用非易失性存储器116中的有效启动块132被拷贝（在514处）以替换共享非易失性存储器104中的无效启动块110。

然而，如果恢复策略指定手动模式，则可以输出（在516处）指示以提示用户输入，诸如密钥序列或其它输入。用户输入的接收促使任务514被执行，其中，用私用非易失性存储器116中的有效启动块132的拷贝来替换共享非易失性存储器104中的无效启动块110。

接下来，EC固件设定（在518处）各种状态信息以报告所采取的动作，其中可以在计算系统的下一次启动中使用状态信息。

EC固件接下来确定（在520处）私用非易失性存储器116中的启动块132是否已被更新。如果不是，则计算系统准备好启动（522）。然而，如果私用非易失性存储器116中的启动块132已被更新，则EC固件执行（在524处）动作以促使计算系统检查嵌入式控制器102正在运行EC固件的正确版本，其可以通过将嵌入式控制器102重置来实现，这促使图2的阶段1过程被执行，其然后将再次地继续进行至图5的阶段2过程，如果阶段1过程成功地验证EC固件的话。

在图5的任务508中，如果EC固件能够验证共享非易失性存储器104中的启动块110，则EC固件检查（在526处）EC_BB_Valid标志是否被设定。如果不是，则其为共享非易失性存储器110中的启动块110有效、但私用非易失性存储器116中的启动块132无效的指示。在这种情形中，EC固件确定（在528处）锁定策略（如在图4的策略信息434中所指示的）是指定锁定模式还是解锁模式。如果指定了解锁模式，则意味着私用非易失性存储器116中的启动块132可以被更新，在这种情况下，EC固件将共享非易失性存储器104中的启动块110拷贝（在530处）到私用非易失性存储器116以替换启动块132。

另一方面，如果确定（在528处）锁定策略指定锁定模式，则其指示不允许EC固件更新私用非易失性存储器116中的启动块132。在这种情况下，EC固件可以设定标志（在532处）以指示锁定策略的变化，其涉及到锁定策略被改变成指定解锁模式。将锁定策略从锁定模式变成解锁模式允许用共享非易失性存储器104中的启动块110来替换私用非易失性存储器116中的启动块132（如在532处执行的）。另外，可以向审计记录（未示出）添加信息以指示前述事件（锁定策略被改变）。

该过程然后接下来前进至任务518。

在任务526中，如果确定EC_BB_Valid标志被设定，则其指示启动块132和启动块110两者已被验证。在这种情形中，EC固件确定（在534处）基于启动块132的内容导出的值（例如，哈希值、校检和值等）等于基于启动块110的内容导出的值。如果是这样，则确认两个启动块132和110是相同的，并且因此系统准备好启动（522）。另一方面，如果基于启动块132和110的内容导出的值不相等（其指示启动块132和110是不同版本），则EC固件确定（在536处）BIOS锁定策略指定锁定模式或解锁模式。如果指定了解锁模式，则EC固件可以将共享非易失性存储器104中的启动块110拷贝（在538处）到私用非易失性存储器116以替换启动块132。该过程然后前进至任务518。

如果在536处确定的锁定策略指定锁定模式，则其为共享非易失性存储器104中的启动块110将被锁定到存储在私用非易失性存储器116中的启动块132的版本的指示。在某些情况下，共享非易失性存储器104中的启动块110可能已被更新到较新的版本。然而，如果锁定策略指定锁定模式，则共享非易失性存储器104中的启动块110的此更新是不允许的，在这种情况下用私用非易失性存储器116中的启动块132来替换共享非易失性存储器104中的启动块110（通过在542处执行拷贝）。在拷贝（在542）启动块132以替换启动块110之前，EC固件可以检查（在540处）恢复策略是指定自动化模式还是手动模式。如果指定了自动化模式，则可以直接地执行542处的拷贝。然而，如果指定了手动模式，则EC固件可以提供（在544处）输出以提示用户输入，在其之后可以执行542处的拷贝。

该过程然后前进至任务518。

图6示出了图5中阶段2过程的成功完成之后（阶段2过程已前进至522）的阶段3过程。阶段3过程可以由嵌入式控制器102和处理器106执行。

嵌入式控制器102检测（在602处）计算系统中的唤醒事件，其中，该唤醒事件促使计算系统从低功率状态过渡至较高功率状态。唤醒事件可以由诸如计算系统的键盘或鼠标之类的用户输入设备的致动、电源按钮的致动等引起。

嵌入式控制器102将处理器106从重置中释放（在604处）。处理器106然后开始从共享非易失性存储器104执行（在606处）启动块110（在图6中表示为SYS_BB）。在启动块110的控制下，处理器106从嵌入式控制器102获得（在608处）状态信息。此状态信息是由嵌入式控制器在图5中的任务518中设定的状态信息。

在某些示例中，启动块110可以设定（在610处）嵌入式控制器策略，其可以是与上文所讨论的EC固件的性能有关的锁定策略、恢复策略、恢复策略或任何其它策略中的任何一个。设定嵌入式控制器策略可以涉及到向嵌入式控制器102发送指令以促使嵌入式控制器102更新私用非易失性存储器116中的策略信息434（图4）。

启动块110然后向嵌入式控制器102发送（在612处）命令以促使嵌入式控制器102在启动块向BIOS代码的主要部分传递控制之前不再接受任何策略更改。该命令的效果是防止来自可能经受损害且因此可能不可信的代码的策略更改，诸如BIOS代码或操作系统的主要部分。

嵌入式控制器102接下来确定（在614处）是否已发生热启动。如果不是，则嵌入式控制器102等待（在616处）计算系统过渡到低功率状态，诸如ACPI S3、S4或S5状态。

在计算系统已经过渡到低功率状态之后，嵌入式控制器102接下来确定（在618处）嵌入式控制器是否可独有地访问共享总线120。如果是这样的话，则过程前进（在622处）至阶段4过程（图7）以引起启动块132和110的验证。从阶段4过程的成功返回指示计算系统准备好启动（624）并前进至运行时间状态（例如ACPI S0状态）。

如果确定（在618处）嵌入式控制器102不可独有地访问共享总线120，则即使计算系统已过渡至低功率状态，嵌入式控制器102也可以根据策略信息（图4中的434）来确定（在620处）是否指定了积极模式。

如果指定了积极模式，则嵌入式控制器102可以执行动作以迫使（在621处）进行共享总线120的独有访问。此动作可以包括迫使计算系统的核心逻辑（例如，包括图4的I/O控制器402的芯片组）进入允许嵌入式控制器102获得共享总线120的独有访问的状态。在某些示例中，这可以仅在S4或S5状态而不在S3状态下发生，以避免S3上下文的丢失（被用于使计算系统从S3状态恢复的易失性存储器中的信息）。如果计算系统处于S3状态或者并未设定积极模式策略，则阶段4过程622将被绕过，这绕过启动块的验证。

在图6的任务614中，如果嵌入式控制器102检测到热启动（其中保持到计算系统的部件（包括处理器106）的供电的计算系统的启动），则嵌入式控制器102确定（在626处）是否按策略指定了积极模式。如果不是，则嵌入式控制器102继续等待（在616处）计算系统进入低功率状态。

然而，如果指定了积极模式，则嵌入式控制器102前进至任务621。期望嵌入式控制器102在每次热重置时验证启动块真实性，因为热重置促使处理器106从启动块的开头起开始执行。

在某些实施方式中，由于实体（诸如图4的I/O控制器402中的实体或另一实体）在低功率状态下仍被启用且可访问共享总线120的可能性而执行用以确保即使计算系统处于低功率状态（例如ACPI S3、S4或S5状态）嵌入式控制器102也可独有地访问共享总线120的检查（在618处）。

在低功率状态下可以保持被启用并可访问共享总线120的示例性实体是作为来自英特尔公司的芯片组的一部分的管理引擎（ME）。ME提供用以允许进行计算系统的监视、维护、更新、升级以及修复的功能。可以将ME规定成在低功率状态（例如S3、S4或S5状态）下操作。根据某些实施例，只有当嵌入式控制器102从MED接收到ME处于已经从ME去除电源的状态的指示（例如，来自ME的SLP_A#信号处于断言状态）时，嵌入式控制器102才将验证启动块132和110。如果嵌入式控制器102并未接收到该指示（例如来自ME的SLP_A#信号处于断言状态），则嵌入式控制器102假设共享总线120正在被ME使用，并且嵌入式控制器102并未尝试访问系统总线102。

如果当计算系统处于S4或S5状态时指定了积极模式（如在图6的620处所确定的），则嵌入式控制器102可以通过断言重置信号（例如到I/O控制器402的RSMRST#）以迫使ME进入关断状态来迫使（在621处）进行共享总线120的独有访问。当系统处于S3状态时，不使用迫使进行共享总线120的独有访问的这种技术，因为其将引起S3上下文的丢失。

在某些情况下，还可以当系统处于低功率状态时使ME在嵌入式控制器102正在访问共享总线120的同时从关断状态恢复（以例如执行图2的阶段1过程）。为了防止ME在嵌入式控制器102正在访问共享总线120的同时进行此类恢复，可以提供用以通过断言到I/O控制器402的BATLOW#信号、通过阻止向ME提供电源良好指示（例如M_PWRGD）来防止ME恢复的逻辑。电源良好指示是ME电源正在活动的指示，而BATLOW#信号是平台主电池（例如图4中的410）可能不能供应用于适当操作的足够功率的指示。嵌入式控制器102可以控制此逻辑以在嵌入式控制器102正在访问共享总线120的同时阻止电源良好指示。一旦嵌入式控制器102已完成其涉及到共享总线120的访问的操作，则嵌入式控制器120可以停止阻止到ME的电源良好的指示和/或停止断言BATLOW#信号。

图7是根据某些实施方式的阶段4过程的流程图。请注意，阶段4过程（在图6中的622处发起）假设EC_BB_Valid标志被设定（其意味着私用非易失性存储器116中的启动块132已被验证且因此是有效的）。阶段4过程前进至任务508，其与上文所讨论的图5中的任务508相同。在图7中描绘的其余任务与图5中的各任务相同，并且因此将不进一步讨论。请注意，在图7中，省略了任务502、504、506、510以及511，因为假设EC_BB_Valid标志被设定。

通过使用根据某些实施方式的技术或机制，检查系统固件的完整性以针对由可能能够突破计算系统的保护机制的恶意软件攻击引起的系统固件损害进行保护。另外，可以针对涉及到包括包含系统固件的非易失性存储器的零件的物理替换的攻击提供保护。针对系统固件损害的保护不必依赖于来自第三方供应商的核心逻辑或IO控制器中的保护机制，其对于不同的供应商而言可不同且可被损害。在系统固件被损害的情况下，系统固件可以被恢复而不必涉及到维修人员。可以提供被损害系统固件的检测和恢复，与损害的起因、损害的时间、损害被如何执以及执行了什么类型的损害无关。

上述各种模块的机器可读指令被加载以用于在处理电路（例如嵌入式控制器102或处理器106）上执行。处理电路可以包括微处理器、微控制器、处理器模件或子系统、可编程集成电路、可编程门阵列或另一控制或计算设备。

数据和指令被存储在各存储设备中，其被实现为一个或多个计算机可读或机器可读存储介质。存储介质包括不同形式的存储器，包括半导体存储器件，诸如动态或静态随机存取存储器（DRAM或SRAM）、可擦可编程只读存储器（ EPROM）、电可擦可编程只读存储器（EEPROM）和闪存；磁盘，诸如固定磁盘、软盘和可移动磁盘；包括磁带的其它磁性介质；光学介质，例如紧凑式磁盘（CD）或数字视频磁盘（DVD）；或其它类型的存储设备。请注意，上文所讨论的指令可以在一个计算机可读或机器可读存储介质上提供，或者替换地可以在分布于具有可能多个节点的大型系统中的多个计算机可读或机器可读存储介质上提供。此类一个或多个计算机可读或机器可读存储介质被视为物品（或制品）的一部分。物品或制品可以指代任何制造的单个部件或多个部件。一个或多个存储介质可以位于运行机器可读指令的机器中，或者位于可以通过网络从其下载机器可读指令以用于执行的远程位置处。

在前述描述中，阐述了许多细节以提供在本文中公开的对象的理解。然而，可在没有这些细节中的某些或全部的情况下实施各实施方式。其它实施方式可包括对上文所讨论的细节的修改和改变。意图在于所附权利要求涵盖此类修改和改变。

Claims

1.一种用于验证控制器代码和系统启动代码的方法，包括：

在系统中的控制器的初始化程序期间，由与系统的处理器分离的控制器来验证用于在控制器上执行的控制器代码，其中，所述验证是在处理器的执行之前执行；以及

在验证控制器代码之后，由控制器来验证系统启动代码，其中，所述系统启动代码被用于由处理器执行；

还包括：

所述控制器代码在被控制器执行时在处理器重新开始执行系统启动代码的每个时刻之前验证系统启动代码;

其中，所述控制器代码被从私用存储器检索以执行控制器代码的验证，并且其中，所述私用存储器可被控制器访问且不可被处理器访问，所述方法还包括：

响应于检测到私用存储器中控制器代码的损害，由控制器从也可被处理器访问的共享存储器检索控制器代码，并验证从共享存储器检索的控制器代码；以及

响应于验证从共享存储器检索的控制器代码，在控制器中执行从共享存储器检索的控制器代码以执行私用存储器和共享存储器中的一者或两者中的系统启动代码的验证。

2.权利要求1的方法，其中，所述控制器代码在控制器中执行时促使控制器执行选自以下各项中的至少一个：系统中的电源控制、系统中的热监视、系统中的风扇控制、系统中的电池充电和控制以及与用户输入设备的交互。

3.权利要求1的方法，其中，所述系统启动代码包括用于可在处理器上执行以实现系统中的测量的可信测量核心根（CRTM）逻辑，所述测量被系统用来确定系统的可信任性。

4.权利要求1的方法，其中，验证控制器代码包括验证嵌入式控制器固件，其为存储在存储器中的基本输入/输出系统（BIOS）代码的一部分。

5.权利要求1的方法，还包括：

响应于确定私用存储器中的系统启动代码或共享存储器中的系统启动代码被损害，用来自私用存储器或共享存储器的未被损害系统启动代码来更新私用存储器或共享存储器中的被损害系统启动代码。

6.权利要求1的方法，还包括：

由控制器来确定共享存储器中的系统启动代码是与私用存储器中的系统启动代码不同的版本；

响应于确定共享存储器中的系统启动代码是与私用存储器中的系统启动代码不同的版本，确定是否设定了指定系统启动代码将被锁定到私用存储器中的系统启动代码的版本上的锁定策略；以及

响应于确定设定了锁定策略，将共享存储器中的系统启动代码更新成专用存储器中的系统启动代码的版本。

7.权利要求1的方法，其中，所述控制器具有存储密码密钥的只读存储器，并且其中，控制器代码的验证使用密码密钥。

8.一种用于验证控制器代码和系统启动代码的系统，包括：

处理器；

第一存储器，其存储控制器固件和基本输入/输出系统（BIOS）代码的启动块；

第二存储器，其存储控制器固件和BIOS代码的启动块；以及

嵌入式控制器，其：

在处理器被关断的同时进行嵌入式控制器的初始化期间，确定存储在第一存储器中的控制器固件是否损害，其中，所述控制器固件用于在嵌入式控制器中执行，并且其中，所述第一存储器可被嵌入式控制器访问但不可被处理器访问；以及

响应于检测到第一存储器中的控制器固件的损害，检索存储在第二存储器中的控制器固件并且由嵌入式控制器执行检索的控制器固件。

9.权利要求8的系统，其中，所述嵌入式控制器将执行第一存储器或第二存储器的控制器固件以验证第一存储器和第二存储器中的启动块。

10.权利要求9的系统，其中，所述嵌入式控制器将用启动块中的未被损害的一个替换启动块中的被损害的一个。

11.权利要求9的系统，其中，响应于系统过渡到其后处理器将随后从第二存储器中的启动块重新开始执行的状态而执行启动块的验证。

12.权利要求8的系统，其中，所述第一存储器存储指示以下策略中的至少一个或组合的策略信息：

指定是否将要使用积极操作模式以使得能够在处理器从第二存储器中的启动块重新开始执行的每个时刻之前验证第二存储器中的启动块的策略；

指定将使用锁定还是解锁模式的策略，其中，锁定模式促使系统固件被锁定到指定版本。

13.一种包括存储指令的至少一个机器可读存储介质的物品，所述指令在执行时促使系统：

在系统的处理器开始执行启动块之前，由嵌入式控制器验证存储在第一存储器中的控制器代码，其中，所述控制器代码用于在嵌入式控制器中执行，并且其中，所述第一存储器可被嵌入式控制器访问但不可被系统的处理器访问；以及

响应于检测到第一存储器中的控制器代码的损害，检索存储在可被嵌入式控制器和处理器两者访问的第二存储器中的控制器代码，其中存储在第二存储器中的控制器代码用于在嵌入式控制器中执行；以及

由嵌入式控制器执行第一存储器或第二存储器的控制器代码以执行第一和第二存储器中的一者或两者中的启动块的验证。