CN109743319B

CN109743319B - 一种联网式专用服务器的可信启动和安全运行方法

Info

Publication number: CN109743319B
Application number: CN201910003517.9A
Authority: CN
Inventors: 张建标; 王超; 韩现群; 韩利
Original assignee: Beijing University of Technology
Current assignee: Beijing University of Technology
Priority date: 2019-01-03
Filing date: 2019-01-03
Publication date: 2021-02-05
Anticipated expiration: 2039-01-03
Also published as: CN109743319A

Abstract

联网式专用服务器的BMC可信启动和安全运行方法属于BMC可信启动领域其特征在于，构建一个由互联网中央控制器和各专用服务器构成的二级系统网，为一对多、一对一的通信分别提供了不同密级的通信方式，在启动时刻t1使用在初始时刻t0时储存到中控器的各个BMC操作系统内核，文件系统目录树和设备树等镜像值得到的基准值映射表来校验t0时刻存到中控器的同一映射表是否相同的方法来检验t0‑t1时刻系统软件是否受到外来攻击，还提出了校验失败时系统软件故障所在的预测方法，运行后，中控器若有故障时转移到指定的专用服务器来完成中央控制以及主动修改系统程序的方法；本发明解决了集群化的专用服务器在联网时BMC是否可信启动、故障所在及运行时如何应急的问题。

Description

一种联网式专用服务器的可信启动和安全运行方法

技术领域

本发明涉及群式专用服务器系统可信启动技术领域，特别是涉及一种联网化的、目标一致、任务各异但又需联网协调运行的专用服务器集群本身的可信启动和安全运行问题。

背景技术

目前从系统软件着手，对适用于服务器的基板管理控制器BMC的可信启动方法对于防止系统加载引导程序U-boot在引导操作系统的过程中可能受到的程序篡改和完整性破坏有重要意义；申请公布号为CN106384052A的名为“一种实现U-boot可信启动控制方法”以及申请公布号为CN107506663A的名为“基于可信BMC的服务器安全启动的方法”这两篇发明专利申请作了详尽描述，但是对于由目标一致，任务各异但在互联网统一控制下集群化运行的专用服务器集群的联网可信启动却没有公开，但这却是网络战中黑客攻击的主要目标，可称之为网络战中的“斩首行动”即网络战争中首先要考虑的所谓“擒贼先擒王”，其防控技术将会在今后得到迅猛发展，如航母舰队、全国金融网等都存在这样一个在中央控制服务器统一管控下的集群化的专用服务器的可信安全启动问题；

发明内容

本发明主要解决的技术问题是提供一种联网式专用服务器的可信启动和安全运行的方法，能够以系统软件的完整性、可信启动为首要出发点，来解决集群化专用服务器集群的可信启动及协调运行问题。

为解决上述技术问题，本发明采用的一个技术方案是：提供一种在互联网管控下目标一致，任务各异但又协调运行的专用服务器集群的可信启动、安全运行的方法，所述任务是指各专用服务器所要解决的具体技术问题，所述方法是在一个由互联网中央控制服务器，简称中控器和各专用服务器共同组成的二级系统网络中依次按以下步骤实现的：

步骤(1)中控器和专用服务器集群约定：

(1)各专用服务器，简称本地服务器的网址IP、设备标识DP和各专用服务器编号，以及中控器的网址；

(2)二级系统的通信方式：

中控器与各专用服务器之间实时通信时，随机选用具有一对相同密钥的对称加密算法在二级系统网络内部各专用服务器管理人员范围内较低涉密级别的内部公开通信；

中控器与指定的专用服务器之间执行与任务有关的较高级别的保密通信时随机选用发信方和收信方各自按自己选择的非对称加密算法RSA得到的一对公私密钥在各方需要时进行涉密通信；

步骤(2)t0时刻二级系统的初始化

步骤(2.1)中控器和各专用服务器之间以及各专用服务器之间互相交换用各自选择的非对称加密算法得到的公钥，私钥则由自己保存；

步骤(2.2)各本地服务器中的基板管理控制器BMC，简称本地BMC进行初始化；

步骤(2.2.1)把完成任务需要的操作系统、文件系统目录树和设备树存入一个与本地BMC相连的外部存储器中；

步骤(2.2.2)本地BMC对从外部存储器中取出的操作系统内核、文件系统目录树和设备树并依次用mkImage工具得到相应的镜像；

步骤(2.2.3)本地BMC用杂凑算法对步骤(2.2.2)中得到的三个镜像分别进行计算得到对应的基准值；

步骤(2.2.4)本地BMC用所述非对称加密算法RSA的公钥对步骤(2.2.3)中的三个所述基准值进行加密并存入所述的外部存储器中；

步骤(2.2.5)本地BMC使用步骤(2.1)中的中控器发来的公钥对步骤(2.2.4)中得到的三个所述基准值加密得到校验值，组成下述本地BMC可信启动和安全运行信息映射表简称信息映射表向中控器发出备案，格式如下：

发送时刻-专用服务器网址、编号-中控器网址-操作系统内核校验值-文件系统目录树校验值-设备树校验值

步骤(2.2.6)中控器用本地的非对称加密算法RSA的私钥对得到信息映射表解密，使用本地BMC发来的非对称加密算法公钥对解密后的所述信息映射表进行签名后发给所述本地BMC；

步骤(3)t1时刻，管理员对本地BMC作第一次可信启动检验：

本地BMC对从外部存储器中取出的操作系统内核、文件系统目录树和设备树并依次用mkImage工具得到相应的镜像；本地BMC用杂凑算法对上述得到的三个镜像分别进行计算得到对应的校验值；同时本地BMC利用自身的非对称加密私钥解密外t0时刻存储到外部存储器中的三个所述的基准值，验证两者是否相等：

若相等，则说明t0-t1时间段内本地BMC的操作系统内核、文件系统目录树和设备树未遭到外来攻击或受到内部人员篡改，本地BMC执行步骤(4)若不相等，本地BMC执行步骤(5)剖析故障性质；

步骤(4)本地BMC进入运行状态：

步骤(4.1)本地BMC判别：是否有已经通过身份认定的主动请求来修改所述操作系统内核、文件系统目录树以及设备树中至少一种系统镜像的指令输入，若有，则执行主动修改任务，修改完毕则返回步骤(4.1)，若没有则执行步骤(4.2)；

步骤(4.2)本地BMC判别：是否作为收方从某一个专用服务器收到过中控器的功能因某种原因转移到了其它所属专用服务器的通知,或者是否从中控器收到过已恢复原有功能的通知,若有则恢复新的运行状态，否则返回步骤(4.1)；

步骤(5)本地BMC判别：在t0-t1时间段内：

若t0、t1时刻所述操作系统内核、文件系统目录树和设备树这三个基准值都不相等，表示操作系统内核首先受到攻击，其余两个系统分别受到波及；

若在t0，t1两个时刻，只有设备树镜像的基准值相等，表明操作系统内核中，涉及文件系统目录树受到了攻击；

若在t0，t1两个时刻，只有文件系统目录树镜像的基准值相等，表明操作系统内核中涉及设备树受到攻击；

本发明的有益效果是：本发明提出了专用服务器的BMC在联网后的可信启动和安全运行的问题，为此解决了以下四个问题：

解决了联网化后，在由互联网中控器和专用服务器集群协调运行的二级系统网络中中控器-专用服务器集群之间，专用服务器-专用服务器之间的两种通信机制的问题；

为了检测相邻两个时刻t0与t1之间是否有黑客或内部人员篡改了系统软件，而提出了BMC中由操作系统内核基准值-文件系统目录树基准值-设备树基准值共同组成的用于检测是否能在t1时刻保证可信启动的基准值映射表，同时也提出了在t0时刻用传送到中控器的上述映射表来校验已在t0时刻存储在外部存储器的映射表但需在t1时刻使用的相同映射表是否相一致的方法作为在t1时刻是否受到攻击以及能否可信启动的判断准则；

提出了在专用服务器集群在中控器控制下正常运行时中控器和指定的专用服务器在互联网中相互转移以保证中控器在发生故障时由随机被指定的专用服务器来代理其职责以及中控器在消除故障后的复原问题；

在判定系统软件故障后，如何用所述的基准值映射表确定哪一个子系统的软件被篡改了。

附图说明

图1是本发明一种联网式专用服务器的可信启动和安全运行方法一较佳系统原理构图；

图2是一种联网式专用服务器的可信启动和安全运行方法所示的程序流程构图；

具体实施方式

下面结合附图对本发明的较佳实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。

请参阅图1和图2，本发明实施例包括：

一种联网式专用服务器的可信启动和安全运行方法，包括：中央服务器与各专用服务器以及各专用服务器之间的通信协议的商定、二级系统初始化以及服务器启动时操作系统，文件系统目录树和设备树的校验；

集群间通信协议商定的实现步骤如下：

S1：各专用服务器(简称本地服务器)的网址IP、设备标识DP和各专用服务器编号，还有中控器的网址；

S2：中控器和各专用服务器以及各专用服务器之间互相交换用各自选择的非对称加密算法得到的公钥，私钥由自己保存；

二级系统初始化步骤：

S1:各本地服务器中的基板管理控制器BMC(本地BMC)进行初始化；

S2:把完成任务需要的操作系统、文件系统目录树和设备树存入一个与本地相连的外部存储器中；

S3:本地BMC对从外部存储器中取出的操作系统内核、文件系统目录树和设备树并依次用mkImage工具得到相应的镜像；

S4：使用哈希算法对操作系统内核镜像，文件系统目录树以及设备树进行杂凑运算，得到各镜像的基准值H-Value＝Sha1_Calc(*zImage)；

S5:本地BMC用所述非对称加密算法RSA的私钥对三个所述基准值进行加密E(H-Value)＝Rsa_Encryp(*H-Value)，并将校验值E(H-Value)存入所述的外部存储器中；

S6：本地BMC使用中控器发来的公钥对得到的三个所述基准值加密，使用本地BMC可信启动和安全运行信息映射表(简称信息映射表)的形式向中控器发出备案；

S7:中控器用本地的非对称加密算法RSA的私钥解密，得到信息映射表，使用作为对方的本地BMC发来的非对称加密算法公钥对解密后的所述信息映射表进行签名后发给所述本地BMC；

服务器启动时校验步骤如下：

S1：t1时刻，管理员对本地BMC作第一次可信启动检验，使用杂凑算法对外部存储器中的镜像进行计算，得到当前时刻本地BMC的三个所述镜像的校验值，本地BMC利用自身的非对称加密私钥解密外t0时刻存储到外部存储器中的三个所述的基准值，验证两者是否相等：若相等，则说明t0-t1时间段内本地BMC的操作系统内核、文件系统目录树和设备树等程序未遭到攻击或受到内部人员篡改，若不相等，本地BMC执行步骤S3剖析故障性质；

S2：本地BMC判别：是否有已经通过身份认定的主动请求修改所述操作系统内核、文件系统目录树以及设备树中至少一种的指令输入，若有，则执行主动修改任务，修改完毕则返回，若没有则判别：是否作为收方从某一个专用服务器收到过中控器的功能因某种故障而必须转移到其它所属专用服务器的通知，若有，则执行转移，或者是否从中控器收到过已恢复原有功能的通知，若有则恢复新的运行状态，否则返回；

S3：本地BMC判别：在t0-t1时间段内：若操作系统内核、文件系统目录树和设备树这三个基准值，时刻t0，t1下对应的基准值都不相等，表示操作系统内核首先受到攻击，其余两个系统分别受到波及；若在t0，t1两个时刻，只有设备树镜像的基准值相等，表明操作系统内核中，涉及文件系统目录树受到了攻击；若在t0，t1两个时刻，只有文件系统目录树镜像的基准值相等，表明操作系统内核中涉及设备树受到攻击。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims

1.一种联网式专用服务器的可信启动和安全运行方法；其特征在于，包括：是一种在互联网管控下目标一致，任务各异但又协调运行的专用服务器集群的可信启动、安全运行的方法，所述任务是指各专用服务器所要解决的具体技术问题，所述方法是在一个由互联网中央控制服务器，简称中控器和各专用服务器共同组成的二级系统网络中依次按以下步骤实现的：

步骤(1)中控器和专用服务器集群约定：

(2)二级系统的通信方式：

各专用服务器之间随机按需使用各自选择的非对称加密算法实施涉密通信；

步骤(2)t0时刻二级系统的初始化

步骤(2.2.4)本地BMC用所述非对称加密算法RSA的私钥对步骤(2.2.3)中的三个所述基准值进行加密并存入所述的外部存储器中；

步骤(3)t1时刻，管理员对本地BMC作第一次可信启动检验：

若相等，则说明t0-t1时间段内本地BMC的操作系统内核、文件系统目录树和设备树未遭到外来攻击或受到内部人员篡改，本地BMC执行步骤(4)

若不相等，本地BMC执行步骤(5)剖析故障性质；

步骤(4)本地BMC进入运行状态：

步骤(5)本地BMC判别：在t0-t1时间段内：

若在t0，t1两个时刻，只有文件系统目录树镜像的基准值相等，表明操作系统内核中涉及设备树受到攻击。

2.根据权利要求1所述的一种联网式专用服务器的可信启动和安全运行方法，其特征在于：中控器在发生故障时依次按以下步骤转移到所指定的专用服务器，简称指定服务器；

步骤(1)中控器按非对称加密的涉密通信方式，向指定服务器发出请求转移指令，包括：中控器的网址IP和设备标识DP，指定服务器的网址IP和设备标识DP，预设的请求转移标志；

步骤(2)指定服务器按所述非对称加密的涉密通信方式，向所述中控器发出同意转移的应答信息；

步骤(3)中控器向所述指定服务器发送经非对称加密算法加密后的报文，包括：

全部专用服务器的IP，DP编号初始化t0时刻的各专用服务器BMC的操作系统内核、文件系统目录树和设备树各自的基准值；

步骤(4)指定、定服务器收到步骤(3)所述报文后，再向其余专用服务器用较低的涉密级别的内部公开通信方式告知自己的IP，DP编号；表明代理中控器执行可信启动和正常运行功能。