CN108399339A

CN108399339A - 一种基于安全芯片的可信启动方法

Info

Publication number: CN108399339A
Application number: CN201810146731.5A
Authority: CN
Inventors: 肖堃; 罗蕾; 李允�; 罗建超; 陈丽蓉; 陈虹; 桂盛霖
Original assignee: Guangdong Chen Mdt Infotech Ltd
Current assignee: Guangdong Chen Mdt Infotech Ltd
Priority date: 2018-02-12
Filing date: 2018-02-12
Publication date: 2018-08-14
Anticipated expiration: 2038-02-12
Also published as: CN108399339B

Abstract

本发明公开了一种基于安全芯片的可信启动方法，将BootLoader划分为6个部分，基于数字签名分别制作这6个部分的镜像，将关键的镜像存储在安全芯片中，按照顺序加载这6个部分的镜像，在加载镜像后进行完整性验证，所有完整性通过之后即开始Linux的引导过程。本发明采用数字签名和完整性验证保证启动可信链可信的基础上，通过使用安全芯片存储关键数据，可有效提高启动可信度。

Description

一种基于安全芯片的可信启动方法

技术领域

本发明属于移动智能终端安全技术领域，更为具体地讲，涉及一种基于安全芯片的可信启动方法。

背景技术

硬件结构和操作系统的安全是信息系统安全的基础。目前，针对嵌入式系统安全问题，现有的解决方法是引入可信计算技术，其主要思路是建立可信根和信任链来保证系统的完整新和安全性。在嵌入式系统中，现有的可信计算技术的实现方式分为两类：一类是采用可信计算组织(trusted Computing Program，简称TCG)提出的可信平台模块(trustedplatform module，简称TPM)与嵌入式CPU进行通信。将TPM作为可信根，在TPM中存储启动实体初始的预期度量值，启动时将实体加载到内存中，通过比较初始预期度量值和当前计算值的一致性，确定启动过程是否可以安全继续。但是由于TPM芯片缺乏主动控制能力，而嵌入式系统中的处理器调度能力往往相对较弱,无法进行复杂的调度与分配,难以控制整个信任链的度量与扩展过程；此外嵌入式设备对成本控制非常严格，大多没有可信平台模块。因此，该类方法对于嵌入式系统而言，具有很大的局限性。另一类可信启动方法是设计只读的块设备存储启动实体，启动时从该设备中读取未受更改的实体。因为只读设备中实体在出厂时一次性烧写，所以启动中实体无法被篡改，可保证启动实体的完整性。此方法需要加载的实体一次性烧写，无法实现正常的系统更新。同时，此方法没有考虑到在启动过程中可能受到扫描物理内存获取明文、利用内存数据残留的冷启动攻击以及显微镜读取芯片内部数据等物理攻击。最后，两者均没有考虑到针对嵌入式系统的恢复技术。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于安全芯片的可信启动方法，采用数字签名和完整性验证保证启动可信链可信的基础上，通过使用安全芯片存储关键数据，可有效提高启动可信度。

为实现上述发明目的，本发明基于安全芯片的可信启动方法的具体步骤包括：

S1：根据安全启动过程中各部分不同的功能，将BootLoader划分为6个部分，分别为BL1程序、BL2程序、BL30程序、BL31程序、BL32程序、BL33程序；其中BL1程序用于设置异常向量表，初始化cpu，设置mmu，设控制寄存器，初始化UART0；BL2为BL30程序、BL31程序、BL32程序、BL33程序的加载和校验程序；BL30是独立的System Control Processor固件，用于电源、时钟、复位和系统管理；BL31为System Security Monitor；BL32为TEE OS；BL33为U-Boot程序；

S2：采用非对称加密算法，生成私钥和公钥；

S3：对步骤S1得到的BL1程序、BL2程序、BL30程序、BL31程序、BL32程序、BL33程序分别制作初始镜像，对各级BL程序的初始镜像采用SHA1算法进行一次哈希计算得到一个哈希值，将证书基本信息与这个哈希值进行链接得到证书信息，证书基本信息包括日期，发表者和公钥，将此证书信息进行哈希计算得到一个证书哈希值，将证书哈希值用私钥进行签名得到数字签名，将数字签名连接到镜像头部成为完整镜像，将各级BL程序的完整镜像烧写到嵌入式系统的存储区域，其中BL31镜像和BL32镜像存储在安全芯片中，BL33镜像存储在eMMC中，每个镜像都在可信区域进行备份，将公钥嵌入L-load程序；

S4：设备开机上电，BOOTROM进行初始代码执行；

S5：BootLoader加载BL1镜像到片内RAM，对BL1镜像进行完整性验证，如果完整性校验通过，进入步骤S6，否则从备份镜像中恢复BL1镜像，对恢复的BL1镜像进行完整性校验，如果完整性校验通过，进入步骤S6，否则提示校验失败并退出安全启动；

S6：主核跳转到片内RAM中执行BL1程序，BL1程序通过计算自己程序段的范围来检测可用的可信SRAM内存大小，将BL2镜像加载到片内RAM；

S7：对BL2镜像进行完整性验证，如果完整性校验通过，进入步骤S8，否则从备份镜像中恢复BL2镜像，对恢复的BL2镜像进行完整性校验，如果完整性校验通过，进入步骤S8，否则提示校验失败并退出安全启动；

S8：主核跳转到片内RAM中执行BL2程序，BL2加载BL30镜像；

S9：对BL30镜像进行完整性验证，如果完整性校验通过，进入步骤S10，否则从备份镜像中恢复BL30镜像，对恢复的BL30镜像进行完整性校验，如果完整性校验通过，进入步骤S10，否则提示校验失败并退出安全启动；

S10：主核跳转到片内执行BL2程序，给安全芯片上电并进行相关初始化操作，让安全芯片引导启动代码，初始化SPI接口并且通过SPI总线与SE中的启动代码通信，将存储在安全芯片中的BL31镜像读出并加载到片内RAM中；

S11：对BL31镜像进行完整性验证，如果完整性校验通过，进入步骤S12，否则从备份镜像中恢复BL31镜像，对恢复的BL31镜像进行完整性校验，如果完整性校验通过，进入步骤S12，否则提示校验失败并退出安全启动；

S12：主核跳转到片内执行BL2程序，通过SPI总线与安全芯片中的启动代码通信，将存储在安全芯片中的BL32镜像读出，并将BL32镜像加载到DDR中；

S13：从BL32镜像读取TEE OS头并进行完整性验证，如果完整性校验通过，进入步骤S14，否则从备份镜像中恢复BL33镜像，对恢复的BL33镜像进行完整性校验，如果完整性校验通过，进入步骤S14，否则提示校验失败并退出安全启动；

S14：将存储在eMMC中的BL33镜像读出，将BL33镜像加载到DDR中；

S15：对BL33镜像进行完整性验证，如果完整性校验通过，进入步骤S16，否则从备份镜像中恢复BL33镜像，对恢复的BL33镜像进行完整性校验，如果完整性校验通过，进入步骤S16，否则提示校验失败并退出安全启动；

S16：BL2程序执行SMC调用切换到BL1程序运行，然后依次运行BL31程序、BL32程序、BL33程序，即开始Linux的引导过程。

本发明基于安全芯片的可信启动方法，将BootLoader划分为6个部分，基于数字签名分别制作这6个部分的镜像，将关键的镜像存储在安全芯片中，按照顺序加载这6个部分的镜像，在加载镜像后进行完整性验证，所有完整性通过之后即开始Linux的引导过程。

本发明具有以下有益效果：

1)本发明利用完整性验证技术和数字签名技术建立嵌入式可信启动信任链，并可有效地保护预期度量值，这种通过验证签名的技术可以验证启动实体内容的完整性和来源的真实性，简化了硬件设计难度，缩减了开销，在保障可信启动的前提下降低了开发难度，同时做到实体可更新；

2)本发明采用安全芯片存储关键数据，可有效的防止直接扫描物理内存获取明文，利用内存数据残留的冷启动攻击以及显微镜读取芯片内部数据等常见的物理攻击。

3)本发明采用了恢复技术，当检测到被篡改的数据后，可以及时进行恢复，从而保证安全启动。

附图说明

图1是本发明基于安全芯片的可信启动方法的具体实施方式流程图；

图2是本发明中制作镜像的流程图；

图3是本发明中得到的完整镜像结构示意图；

图4是镜像公钥验证的流程图；

图5是镜像证书哈希值校验的流程图；

图6是镜像校验的流程图；

图7是Linux引导完整过程的示意图。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述，以便本领域的技术人员更好地理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许会淡化本发明的主要内容时，这些描述在这里将被忽略。

实施例

图1是本发明基于安全芯片的可信启动方法的具体实施方式流程图。如图1所示，本发明基于安全芯片的可信启动方法的具体步骤包括：

S101：BootLoader划分：

Boot Loader是在操作系统内核运行之前运行的一段程序，通过这段程序，可以初始化硬件设备、建立内存空间的映射图，从而将系统的软硬件环境带到一个合适的状态，以便为最终调用操作系统内核准备好正确的环境。本发明中，首先根据安全启动过程中各部分不同的功能，将BootLoader划分为6个部分，分别为BL1程序、BL2程序、BL30程序、BL31程序、BL32程序、BL33程序，其中BL1程序用于设置异常向量表，初始化cpu，设置mmu，设控制寄存器，初始化UART0；BL2为BL30程序、BL31程序、BL32程序、BL33程序的加载和校验程序；BL30是独立的System Control Processor(系统控制处理机)固件，用于电源、时钟、复位和系统管理；BL31为System Security Monitor(系统安全监控机)；BL32为TEE(TrustedExecution Environment，可信执行环境)OS；BL33为U-Boot(Universal Boot Loader)程序。

S102：生成密钥对：

采用非对称加密算法，生成私钥和公钥。

S103：制作镜像：

图2是本发明中制作镜像的流程图。如图2所示，本发明中制作镜像的具体方法为：对步骤S101得到的BL1程序、BL2程序、BL30程序、BL31程序、BL32程序、BL33程序分别制作初始镜像，对各级BL程序的初始镜像采用SHA1算法进行一次哈希计算得到一个哈希值，将证书基本信息与这个哈希值进行链接得到证书信息，证书基本信息包括日期，发表者和公钥，将此证书信息进行哈希计算得到一个证书哈希值，将证书哈希值用私钥进行签名得到数字签名，将数字签名连接到镜像头部成为完整镜像，将各级BL程序的完整镜像烧写到嵌入式系统的存储区域，其中BL31镜像和BL32镜像存储在安全芯片中，将BL33镜像存储在eMMC中，每个镜像都在可信区域进行备份，将公钥嵌入L-load程序。图3是本发明中得到的完整镜像结构示意图。

S104：启动BOOTROM：

设备开机上电，BOOTROM进行初始代码执行。其中，BOOTROM存储在只读的块设备中。由于只读设备中实体在出厂时一次性烧写，所以启动中实体无法被篡改，可保证启动实体的完整性。因此，BOOTROM可作为可信链的可信根，加载和验证各级BootLoader形成可信链。

S105：BL1镜像完整性验证：

BootLoader加载BL1镜像到片内RAM，对BL1镜像进行完整性验证，如果完整性校验通过，进入步骤S106，否则从备份镜像中恢复BL1镜像，对恢复的BL1镜像进行完整性校验，如果完整性校验通过，进入步骤S106，否则提示校验失败并退出安全启动。

本发明中镜像的完整性验证过程可分为三个阶段：公钥验证→证书验证→镜像验证，具体过程为：

1)公钥校验：

图4是镜像公钥验证的流程图。如图4所示，镜像公钥验证的具体过程为：将存储于镜像证书中的公钥和嵌入L-load程序中的公钥分别进行提取，然后将两者进行对比，如果两个值是相同的，说明该公钥没有被修改过，进行证书哈希值校验，否则完整性校验不通过。

2)证书哈希值校验：

图5是镜像证书哈希值校验的流程图。如图5所示，镜像证书哈希值校验的具体过程为：将数字签名用公钥解密后得到的证书哈希值，接着将证书信息进行哈希计算得到一个新的哈希值，然后将两个哈希值进行对比，如果两个哈希值相同的，说明该证书没有被修改，进行证书哈希值校验，否则完整性校验不通过。

3)证书哈希值校验：

图6是镜像校验的流程图。如图6所示，镜像校验的具体方法为：将镜像进行哈希计算得到哈希值与证书提取得到的哈希值进行对比，如果两者相同，说明该内容没有被修改过，完整性校验通过，否则完整性校验不通过。

对于镜像的恢复，可以选择ROM或服务器端进行镜像备份，通过安全传输协议比如Ipv6进行数据的恢复。若采用ROM卡，只需将ROM卡中的地址空间拷贝到BL1在ROM中的地址空间，进行覆盖。

S106：执行BL1程序：

主核跳转到片内RAM中执行BL1程序。BL1程序设置异常向量表，初始化cpu，设置mmu，设控制寄存器，初始化UART0；通过计算自己程序段的范围来检测可用的可信SRAM内存大小，将BL2镜像加载到片内RAM。

S107：BL2镜像完整性校验：

对BL2镜像进行完整性验证，如果完整性校验通过，进入步骤S6，否则从备份镜像中恢复BL2镜像，对恢复的BL2镜像进行完整性校验，如果完整性校验通过，进入步骤S108，否则提示校验失败并退出安全启动。

S108：BL2加载BL30：

主核跳转到片内RAM中执行BL2程序，BL2加载BL30镜像。

S109：BL30镜像完整性校验：

对BL30镜像进行完整性验证，如果完整性校验通过，进入步骤S110，否则从备份镜像中恢复BL30镜像，对恢复的BL30镜像进行完整性校验，如果完整性校验通过，进入步骤S110，否则提示校验失败并退出安全启动。

S110：BL2加载BL31：

主核跳转到片内执行BL2程序，给安全芯片(Secure Element)上电并进行相关初始化操作，让安全芯片引导启动代码，初始化SPI接口并且通过SPI总线与SE中的启动代码通信，将存储在安全芯片中的BL31镜像读出并加载到片内RAM中。

S111：BL31镜像完整性校验：

对BL31镜像进行完整性验证，如果完整性校验通过，进入步骤S112，否则从备份镜像中恢复BL31镜像，对恢复的BL31镜像进行完整性校验，如果完整性校验通过，进入步骤S112，否则提示校验失败并退出安全启动。

S112：BL2加载BL32：

主核跳转到片内执行BL2程序，通过SPI总线与安全芯片中的启动代码通信，将存储在安全芯片中的BL32镜像读出，并将BL32镜像加载到DDR中。

S113：TEE OS头校验：

从BL32镜像读取TEE OS头并进行完整性验证，如果完整性校验通过，进入步骤S114，否则从备份镜像中恢复BL33镜像，对恢复的BL33镜像进行完整性校验，如果完整性校验通过，进入步骤S114，否则提示校验失败并退出安全启动。

S114：BL2加载BL33：

将存储在eMMC(Embedded Multi Media Card，嵌入式多媒体卡)中的BL33镜像读出，将BL33镜像加载到DDR中。

S115：BL33镜像完整性校验：

对BL33镜像进行完整性验证，如果完整性校验通过，进入步骤S116，否则从备份镜像中恢复BL33镜像，对恢复的BL33镜像进行完整性校验，如果完整性校验通过，进入步骤S116，否则提示校验失败并退出安全启动。

S116：进行linux引导：

BL2程序执行SMC调用切换到BL1程序运行，然后依次运行BL31程序(SystemSecurity Monitor程序对可信环境的硬件资源，包括中断控制器等进行初始化，并且填写中断向量表，实现可信运行环境与普通运行环境之间切换操作的公共代码库等)、BL32程序(TEE OS程序对TEE framework以及各种TEE软件库进行初始化)、BL33程序，即开始Linux的引导过程。图7是Linux引导完整过程的示意图。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领域的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims

1.一种基于安全芯片的可信启动方法，其特征在于，包括以下步骤：

S2：采用非对称加密算法，生成私钥和公钥；

S3：对步骤S101得到的BL1程序、BL2程序、BL30程序、BL31程序、BL32程序、BL33程序分别制作初始镜像，对各级BL程序的初始镜像采用SHA1算法进行一次哈希计算得到一个哈希值，将证书基本信息与这个哈希值进行链接得到证书信息，证书基本信息包括日期，发表者和公钥，将此证书信息进行哈希计算得到一个证书哈希值，将证书哈希值用私钥进行签名得到数字签名，将数字签名连接到镜像头部成为完整镜像，将各级BL程序的完整镜像烧写到嵌入式系统的存储区域，其中BL31镜像和BL32镜像存储在安全芯片中，BL33镜像存储在eMMC中，每个镜像都在可信区域进行备份，将公钥嵌入L-load程序；

S4：设备开机上电，BOOTROM进行初始代码执行；

S8：主核跳转到片内RAM中执行BL2程序，BL2加载BL30镜像；

S14：将存储在eMMC中的BL33镜像读出，将BL33镜像加载到DDR中；

2.根据权利要求1所述的基于安全芯片的可信启动方法，其特征在于，所述完整性校验的具体方法为：

将存储于镜像证书中的公钥和嵌入L-load程序中的公钥分别进行提取，然后将两者进行对比，如果两个值是相同的，进行证书哈希值校验，否则完整性校验不通过；

将数字签名用公钥解密后得到的证书哈希值，接着将证书信息进行哈希计算得到一个新的哈希值，然后将两个哈希值进行对比，如果两个哈希值相同的，进行证书哈希值校验，否则完整性校验不通过；

将镜像进行哈希计算得到哈希值与证书提取得到的哈希值进行对比，如果两者相同，完整性校验通过，否则完整性校验不通过。