CN106919845B - 系统安全信任链构建装置和构建方法 - Google Patents

Abstract

本公开提供了一种系统安全信任链构建装置和系统安全信任链构建方法。所述装置包括：FPGA单元，用于在服务器上电后为安全管理控制单元和可信度量芯片供电；安全管理控制单元，用于在所述FPGA单元为所述服务器的主板供电前，获取所述FPGA单元的固件信息以及所述服务器BIOS信息；可信度量芯片，用于对所述FPGA单元的固件信息以及BIOS信息进行可信度量，确定所述FPGA单元的固件信息以及BIOS信息是否被篡改。本公开的装置和方法能够有效地度量服务器启动的基础是否被篡改。

Description

系统安全信任链构建装置和构建方法

技术领域

本公开涉及计算机领域，具体地涉及一种系统安全信任链构建装置和构建方法。

背景技术

系统在构建安全信任链的过程中，可信度量根RTM(Root of Trust Measurement)作为系统完整性度量，构建信任链的原点，在整个系统中的作用尤为重要。现有的方案都是以CPU作为RTM，来开始构建信任链。由于CPU由制造商直接提供，用户对CPU的内部构造和内部信息等的掌握非常有限，尤其是在中国，当前计算机中的CPU都是外国的大型制造商供应。在这种情况下，以CPU作为RTM在国产化可信计算方面就会存在较大的不安全因素。

发明内容

本公开的一个方面提供了一种系统安全信任链构建装置，包括：FPGA单元，用于在服务器上电后为安全管理控制单元和可信度量芯片供电；安全管理控制单元，用于在所述FPGA单元为所述服务器的主板供电前，获取所述FPGA单元的固件信息以及所述服务器BIOS信息；可信度量芯片，用于对所述FPGA单元的固件信息以及BIOS信息进行可信度量，确定所述FPGA单元的固件信息以及BIOS信息是否被篡改。

可选地，所述安全管理控制单元还用于在所述可信度量芯片确定所述FPGA单元的固件信息以及所述服务器BIOS信息没有被篡改时，控制所述FPGA单元向所述服务器的主板供电。

可选地，所述安全管理控制单元设置在基板管理控制器BMC芯片上。

可选地，所述可信度量芯片为TPM或TCM芯片。

本公开的另一个方面提供了一种系统安全信任链构建方法，包括：

服务器上电后，FPGA单元向安全管理控制单元和可信度量芯片供电；

在所述FPGA单元为所述服务器的主板供电前，

所述安全管理控制单元获取所述FPGA单元的固件信息以及所述服务器BIOS信息，

可信度量芯片对所述FPGA单元的固件信息以及BIOS信息进行可信度量，确定所述FPGA单元的固件信息以及BIOS信息是否被篡改。

可选地，所述方法还包括：在所述可信度量芯片确定所述FPGA单元的固件信息以及所述服务器BIOS信息没有被篡改时，所述安全管理控制单元控制所述FPGA单元向所述服务器的主板供电。

可选地，所述安全管理控制单元设置在基板管理控制器BMC芯片上。

可选地，所述可信度量芯片为TPM或TCM芯片。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本公开的各实施例的应用场景图；

图2示意性示出了根据本公开一实施例的系统安全信任链构建装置的结构框图；

图3示意性示出了根据本公开一实施例的系统安全信任链构建方法流程图；

图4示意性示出了根据本公开另一实施例的系统安全信任链构建方法流程图。

具体实施方式

根据结合附图对本公开示例性实施例的以下详细描述，本公开的其它方面、优势和突出特征对于本领域技术人员将变得显而易见。

在本公开中，术语“包括”和“含有”及其派生词意为包括而非限制；术语“或”是包含性的，意为和/或。

在本说明书中，下述用于描述本公开原理的各种实施例只是说明，不应该以任何方式解释为限制公开的范围。参照附图的下述描述用于帮助全面理解由权利要求及其等同物限定的本公开的示例性实施例。下述描述包括多种具体细节来帮助理解，但这些细节应认为仅仅是示例性的。因此，本领域普通技术人员应认识到，在不背离本公开的范围和精神的情况下，可以对本文中描述的实施例进行多种改变和修改。此外，为了清楚和简洁起见，省略了公知功能和结构的描述。此外，贯穿附图，相同参考数字用于相似功能和操作。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。

图1示意性示出了根据本公开的各实施例的应用场景图。

如图1所示，本公开的各个实施例应用于服务器1中，用于在服务器启动过程中构建系统安全信任链。在服务器1上电后，系统安全信任链构建装置200中的FPGA单元、安全管理控制单元和可信度量芯片先于服务器主板中的CPU、PCI接口等通电并启动，并且服务器主板上的BIOS芯片也先于服务器主板中的CPU等通电。即本公开的各个实施例中，服务器上电后先启动系统安全信任链构建装置200中的FPGA单元、安全管理控制单元和可信度量芯片，以及上电给服务器主板上的BIOS芯片，并且在给服务器主板中的CPU、PCI接口等芯片进行通电前，系统安全信任链构建装置200先判定FPGA单元的固件信息以及服务器BIOS信息是否被篡改。

在图1所示的应用场景以及本公开的各个实时例中，服务器主板指的是包括CPU、PCI接口等芯片组的具备服务器复杂的运算能力和处理能力的主电路板。其中，各种芯片也包括其更新换代的升级产品，例如，一些服务器主板中使用UEFI芯片替代BIOS芯片、PCI接口的升级产品PCIE等。并且，服务器主板上的BIOS芯片的通电独立于服务器主板上其他芯片的通电，而且其通电要先于服务器主板上的其他芯片(如CPU、PCI接口等)，从而使系统安全信任链构建装置200能够在启动CPU前，可以从BIOS芯片中获取服务器BIOS信息并对其安全性进行度量。BIOS芯片的上电可以是与服务器上电同步进行的，也可以是在服务器上电之后受供电控制器件的控制上电，例如由FPGA单元控制给BIOS芯片上电。

根据度量结果的第一种情况是，可以确定FPGA单元的固件信息和/或服务器BIOS信息有被篡改过，则说明服务器当前的启动基础是不安全的。在这种情况下，使用者就需要警惕服务器1的继续启动可能会造成更大信息泄露、或者导致服务器1遭受更大的攻击。此时，可以考虑及时中断服务器1的继续启动。

根据度量结果的第二种情况是，可以确定FPGA单元的固件信息以及服务器BIOS信息都未被篡改过，则表明服务器启动过程的基础是可信赖的。由于服务器BIOS信息用于服务器启动过程中各种硬件设备的初始化和检测，因此验证了服务器BIOS信息的可信赖性，就保证了在服务器主板通电后通过服务器BIOS信息获得的检测的结果的可信赖性。在这种情况下，给服务器主板进行供电继续启动CPU等以后，可以将可信赖的服务器BIOS信息作为基础来度量服务器启动过程中的后续程序的安全性。

根据本公开的各个实施例，在服务器启动的过程中，通过系统安全信任链构建装置200度量服务器BIOS信息的同时，FAGA单元作为向系统安全信任链构建装置200中的其他芯片和服务器主板各个芯片进行供电的控制芯片，其固件信息也得到了度量。以此方式，提高了系统安全信任链构建装置200的度量结果的可信度，增强了服务器启动过程的的安全性。

图2示意性示出了根据本公开一实施例的系统安全信任链构建装置的结构框图。

如图2所示，根据本公开一实施例的系统安全信任链构建装置200包括：FPGA单元210、安全管理控制单元220和可信度量芯片230。其中：FPGA单元210用于在服务器上电后为安全管理控制单元220和可信度量芯片230供电。安全管理控制单元220用于在该FPGA单元210为服务器主板供电前，获取该FPGA单元的固件信息以及该服务器BIOS信息。可信度量芯片230用于对该FPGA单元210的固件信息以及BIOS信息进行可信度量，确定FPGA单元210的固件信息以及BIOS信息是否被篡改。

本实施例中，服务器上电后，先由FPGA单元210控制首先给安全管理控制单元220和可信度量芯片230上电，而服务器主板上的CPU等芯片(BIOS芯片除外)暂不上电。在此情况下，由安全管理控制单元220获取FPGA单元210上的固件信息，以及服务器BIOS信息，并由可信度量芯片230通过可信度量算法等确定FPGA单元210上的固件信息以及服务器BIOS信息是否被篡改过，从而在服务器主板上的CPU等芯片通电前，确定服务器启动的基础层面是否是安全的。

本实施例中，对FPGA单元210的固件信息进行度量，是因为FPGA单元210控制服务器上其他器件的供电，包括给安全管理控制单元220和可信度量芯片230的供电，和给服务器主板上CPU等芯片的供电等。对FPGA单元210的固件信息进行度量，可以确保FPGA单元210的初始化参数等信息没有被篡改过，从而可以确定FPGA单元210在启动安全管理控制单元220、可信度量芯片230以及在服务器启动的后续动作中给其他器件供电的过程(例如给服务器主板供电)是符合预定设计的，不存在任何不可信的因素或机制。对服务器BIOS信息进行度量，是对BIOS启动时所必须的初始化数据进行度量，从而确定BIOS的完整性。这是因为BIOS保存着计算机最重要的基本输入输出的程序、开机后自检程序和系统自启动程序，为计算机提供最底层的、最直接的硬件设置和控制。验证了BIOS信息的完整性，就可以确定当CPU启动后，BIOS在CPU的控制下对系统进行检查、设置和控制等过程的可信赖性。

本实施例中，FPGA单元210是现场可编程门阵列，是一种半导体集成电路，一般可以焊在服务器主板上，也可以独立于服务器主板单独固定。FPGA单元210可以通过改变其内部的电路结构进行编程，实现对服务器系统各个部分的上电控制，并且在掉电后其内部逻辑关系可以恢复。服务器上电后FPGA单元210控制在给服务器主板供电前，先为安全管理控制单元220和可信度量芯片230供电。通过这种方式，当一旦发现FPGA单元210的固件信息或者BIOS信息被篡改过，就可以选择不再继续启动服务器，从而提高了系统安全性。

本实施例中，安全管理控制单元220在上电后，可以获取FPGA单元210的固件信息，以及获取服务器BIOS信息。然后将获取的FPGA单元210的固件信息和服务器BIOS信息发送给可信度量芯片230，由可信度量芯片230通过可信度量算法度量FPGA单元210的固件信息和服务器BIOS信息是否被篡改过。当度量结果确定为上述两类信息都没有被篡改过时，就能够确定系统启动的最基础层面是可信的。

本实施例中，可信度量芯片230进行可信度量时利用的可信度量算法可以是哈希算法。例如，可信度量芯片230可以将安全管理控制单元220获取的FPGA单元210的固件信息和服务器BIOS信息分别通过哈希算法进行运算，得到与FPGA单元210的固件信息对应的哈希值和与BIOS信息对应的哈希值，并将这两个哈希值与可信度量芯片230中预存的对应的标准哈希值作比较。当度量计算得到的哈希值与对应的标准哈希值一致时，则认为对应的FPGA单元210的固件信息或服务器BIOS信息没有被篡改过，是可信赖的。相反，当度量计算得到的哈希值与对应的标准哈希值不一致时，则认为对应的FPGA单元210的固件信息或服务器BIOS信息被篡改过，说明服务器中存在不安全隐患。

根据本公开一实施例的系统安全信任链构建装置200，其中安全管理控制单元220还用于在可信度量芯片230确定FPGA单元210的固件信息以及服务器BIOS信息没有被篡改时，控制FPGA单元210向服务器主板上的各个芯片(如CPU等)供电。当确定FPGA单元210的固件信息以及服务器BIOS信息没有被篡改时，就能够确定系统启动的最基础层面是可信的。在这种情况下，系统安全信任链构建装置200中的安全管理控制单元220可以控制FPGA单元210向服务器主板供电。服务器主板上电后，包括CPU、内存、电源灯、南桥、北桥、PCI等芯片组和电路接通电信号，进入各自的启动进程，同时由于BIOS芯片已经先于CPU供电，并且BIOS信息被度量是可信任的，此时CPU通电后就可以启动BIOS进行系统自检。以此方式，确保了服务器主板上的各个器件启动前的基础是完整的、可信赖的，并且可以利用被验证是可信赖的BIOS信息作为服务器后续启动进程的度量基础，来度量服务器后续进程是否被篡改过。

本实施例中，在服务器主板上电后，CPU开始运行并主导系统的启动进程，并可以将被度量通过的可信任的BIOS作为服务器启动过程中的信任构建的基础来构建系统的信任链，逐级的验证各个环节的完整性。例如，通过用BIOS度量PCI接口的初始化数据，从而确保无论是通过PCI网卡远程启动和/或者本地启动时的进程显示的正确性；和/或通过BIOS度量Bootloader的完整性，从而引导操作系统启动。

根据本公开一实施例的系统安全信任链构建装置200，其中，安全管理控制单元220设置在基板管理控制器BMC芯片上。

本实施例中，基板管理控制器BMC芯片可以执行伺服器远端管理控制，可以在机器为开机的状态下，对机器进行固件升级、查看固件设备等。具体地，将安全管理控制单元220设置在基板管理控制器BMC芯片上，使得安全管理控制单元220可以通过基板管理控制器BMC芯片在服务器主板未上电前就获得服务器BIOS信息，从而提供个可信度量芯片230进行度量。

本实施例中，将安全管理控制单元220设置在基板管理控制器BMC芯片上，可以是，例如，安全管理控制单元220构成基板管理控制器BMC芯片的一部分，对BMC芯片进行部分设置改动；或者，安全管理控制单元220是附加在基本管理控制器BMC芯片上的与BMC芯片具有电连接关系的独立结构等。具体地，例如，OpenBMC是可以由使用者自行编写芯片内部的源代码的BMC芯片，是开源的BMC解决方案。利用OpenBMC芯片作为安全管理控制单元220时，可以完全由国内人员进行开发编程。在这种情况下，安全管理控制单元220的源代码是由使用者自行编写，换言之，使用者能够清楚地掌握自己用于构建系统信任链的装置中的关键部件的内部属性，从而进一步增强了对系统安全信任链构建装置200运行结果的可信赖性。因此，以OpenBMC芯片作为安全管理控制单元220，一方面可以实现基板管理控制器BMC芯片在服务器中的远端管理控制等功能，另一方面还可以在构建系统安全信任链时提高系统安全信任链构建装置200的安全性。

根据本公开一实施例，可信度量芯片230为TPM芯片或者TCM芯片。TPM(TrustedPlatform Module)可信赖平台模块诞生与上世纪90年代末，为加强计算机系统的安全应用而生。TPM芯片是指符合TPM规范的安全芯片，能够实现数据加密、密码保护等安全功能，是一个含有密码运算部件的小型片上的系统。由于各个国家法律法规影响以及各国出于国家信息安全的考虑，TPM并没有推广到全球。在中国TPM使用就受到限制。中国拥有自主知识产权的可信计算规范被称为TCM(Trusted Computing Module)。TCM由中国国家密码管理局提出，是在构建计算系统中，用于实现可信计算功能的支撑系统。TCM芯片借鉴了TPM的架构，替换了TPM的核心算法，同时TCM芯片中也按照我国的相关证书、密码等政策提供了符合我国管理政策的安全接口。

在本实施例中，可信度量芯片230的具体应用情况，可以根据系统安全信任链构建装置200被安装的服务器的最终应用地区以及当地的法律规范等具体选择是使用TPM芯片还是TCM芯片，从而扩大了系统安全信任链构建装置200的应用范围。

图3示意性示出了根据本公开一实施例的系统安全信任链构建方法流程图。

如图3所示，根据本公开实施例的系统安全信任链构建方法包括：

步骤S301：服务器上电后，FPGA单元210向安全管理控制单元220和可信度量芯片230供电；

步骤S302：服务器主板供电前，安全管理控制单元220获取FPGA单元210的固件信息以及服务器BIOS信息；

步骤S303：可信度量芯片230对FPGA单元210的固件信息以及BIOS信息进行可信度量。

在本实施例中，步骤S302和步骤S303均在服务器主板供电前进行，即在服务器主板供电前，先度量对服务器各个部分供电的FPGA单元210的固件信息以及服务器BIOS信息是否被篡改。当度量后确定FPGA单元210的固件信息以及服务器BIOS信息都未被篡改，再考虑给服务器主板供电，保证了服务器主板的运行基础的完整性。当度量后发现FPGA单元210的固件信息和/或服务器BIOS信息被篡改过，此时就说明当前的服务器基础层已经受到攻击，服务器存在严重的安全漏洞，此时可以不再给服务器主板供电，及时中断服务器的启动。

本实施例中，FPGA单元210为服务器中的供电控制器件，在服务器上电后，FPGA单元210先向安全管理控制单元220和可信度量芯片230供电，使安全管理控制单元220和可信度量芯片230能够进入工作状态。然后，安全管理控制单元220获取FPGA单元210的固件信息以及服务器BIOS信息，并将获取到的这些信息传输给可信度量芯片230。可信度量芯片230利用相关的可信度量算法对FPGA单元210的固件信息以及服务器BIOS信息进行度量，确定FPGA单元210的固件信息以及服务器BIOS信息是否被篡改过。

根据本公开实施例，安全管理控制单元220安装在基板管理控制器BMC芯片上，具有能够在服务器主板上电前获取服务器主板中的固件信息等的功能。优选地，安全管理控制单元220可以是OpenBMC芯片，是一种可以进行自主编写源代码的BMC芯片。通过这种方式，在系统安全信任链构建时的基础单元安全管理控制单元220的内部属性就能够被使用者所获知，一方面避免了从运营商处采购器件时被掺混不安全信息的隐患，另一方面当步骤S203度量的结果是被篡改过，也可以通过逐步核对数据等查找可能的被攻击位置等。

根据本公开实施例，可信度量芯片230可以是TPM芯片或者TCP芯片。具体应用中是选择使用TPM芯片还是TCP芯片还要根据服务器的运营地域以及当地的法律规范进行选择。

图4示意性示出了根据本公开另一实施例的系统安全信任链构建方法流程图。

如图4所示，根据本公开另一实施例的系统安全信任链构建方法包括：

步骤S301：服务器上电后，FPGA单元210向安全管理控制单元220和可信度量芯片230供电；

步骤S302：服务器主板供电前，安全管理控制单元220获取FPGA单元210的固件信息以及服务器BIOS信息；

步骤S303：可信度量芯片230对FPGA单元210的固件信息以及BIOS信息进行可信度量。

步骤404：当可信度量芯片230确定FPGA单元210的固件信息以及服务器BIOS信息没有被篡改时，安全管理控制单元220控制FPGA单元210向服务器的主板供电。

本实施例中，步骤S301、步骤S302、步骤S303与图3所示的实施例的步骤相同，即在向服务器主板供电前，先度量对服务器各个部分供电的FPGA单元210的固件信息以及服务器BIOS信息是否被篡改。并且，根据度量结果，当可信度量芯片230确定FPGA单元210的固件信息以及服务器BIOS信息没有被篡改时，执行步骤S404，由安全管理控制单元220控制FPGA单元210向服务器主板供电。

本实施例的步骤S404中，由于已经确定FPGA单元210的固件信息以及服务器BIOS信息没有被篡改没有被篡改过，因此，服务器就可以继续启动。安全管理控制单元220控制FPGA单元210向服务器主板供电，保证了服务器启动进程的连续性和安全性。另外，由于服务器BIOS信息也已经被确定没有被篡改过，那么，服务器主板上电后就可以利用利用服务器BIOS信息作为后续启动进程的度量基础，逐级检验服务器启动过程中各个器件的初始化数据的可信赖性。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (6)

1.一种系统安全信任链构建装置，包括：

FPGA单元，用于在服务器上电后为安全管理控制单元和可信度量芯片供电；

安全管理控制单元，用于在所述FPGA单元为所述服务器的主板供电前，获取所述FPGA单元的固件信息以及所述服务器BIOS信息，其中所述安全管理控制单元是OpenBMC芯片，所述OpenBMC芯片为可自主编写源代码的基板管理控制器BMC芯片；

可信度量芯片，用于对所述FPGA单元的固件信息以及BIOS信息进行可信度量，确定所述FPGA单元的固件信息以及BIOS信息是否被篡改。

2.如权利要求1所述的系统安全信任链构建装置，其中，

所述安全管理控制单元还用于在所述可信度量芯片确定所述FPGA单元的固件信息以及所述服务器BIOS信息没有被篡改时，控制所述FPGA单元向所述服务器的主板供电。

3.如权利要求1所述的系统安全信任链构建装置，其中，

所述可信度量芯片为TPM或TCM芯片。

4.一种系统安全信任链构建方法，包括：

服务器上电后，FPGA单元向安全管理控制单元和可信度量芯片供电；

在所述FPGA单元为所述服务器的主板供电前，

所述安全管理控制单元获取所述FPGA单元的固件信息以及所述服务器BIOS信息，

可信度量芯片对所述FPGA单元的固件信息以及BIOS信息进行可信度量，确定所述FPGA单元的固件信息以及BIOS信息是否被篡改；

其中，所述安全管理控制单元是OpenBMC芯片，所述OpenBMC芯片为可自主编写源代码的基板管理控制器BMC芯片。

5.如权利要求4所述的系统安全信任链构建方法，其中，

所述方法还包括：

在所述可信度量芯片确定所述FPGA单元的固件信息以及所述服务器BIOS信息没有被篡改时，

所述安全管理控制单元控制所述FPGA单元向所述服务器的主板供电。

6.如权利要求4所述的系统安全信任链构建方法，其中，

所述可信度量芯片为TPM或TCM芯片。

Images