CN109804598B - 信息处理的方法、系统及计算机可读介质 - Google Patents

信息处理的方法、系统及计算机可读介质 Download PDF

Info

Publication number
CN109804598B
CN109804598B CN201780059579.0A CN201780059579A CN109804598B CN 109804598 B CN109804598 B CN 109804598B CN 201780059579 A CN201780059579 A CN 201780059579A CN 109804598 B CN109804598 B CN 109804598B
Authority
CN
China
Prior art keywords
processor
management controller
secrets
information handling
handling system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201780059579.0A
Other languages
English (en)
Other versions
CN109804598A (zh
Inventor
J·拉哈尔佐
M·卡特里
T·S·韦勃
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Dell Products LP
Original Assignee
Dell Products LP
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Dell Products LP filed Critical Dell Products LP
Publication of CN109804598A publication Critical patent/CN109804598A/zh
Application granted granted Critical
Publication of CN109804598B publication Critical patent/CN109804598B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Abstract

本发明公开了一种信息处理的方法，可以包括：将与信息处理系统相关联的第一组秘密存储在管理控制器的凭证保险库中，所述管理控制器被配置为联结到信息处理系统的主机系统的处理器，以便经由在所述管理控制器和外部管理网络之间通信的管理流量提供对所述信息处理系统的管理，以便所述第一组秘密响应于管理控制器的验证引导能够被访问；以及将与信息处理系统相关的第二组秘密存储在由所述管理控制器拥有的加密处理器的存储器中，使得能够响应于管理员将授权提供给所述加密处理器而授予对所述第二组秘密的访问权，并且如果所述验证的授权不存在，则在所述主机系统的运行期间防止对所述第二组秘密的访问。

Description

信息处理的方法、系统及计算机可读介质
技术领域
本发明通常涉及信息处理系统，并且更具体地涉及用于能够在管理控制器拥有的加密处理器中存储管理员秘密的方法和系统。
背景技术
随着信息的价值和使用不断增加，个人和企业寻求其他方式来处理和存储信息。用户可以使用的一个选项是信息处理系统。信息处理系统通常为商业、个人或其他目的处理、编译、存储和/或传送信息或数据，从而允许用户利用信息的价值。由于不同用户或应用程序之间的技术和信息处理需求和要求各不相同，因此信息处理系统也可能因待处理的信息，信息处理方式，处理、存储或传送信息量、以及可以处理、存储或传送信息的处理速度和效率而异。信息处理系统的变化允许信息处理系统是通用的或被配置用于特定用户或特定用途，例如金融交易处理、航空公司预订、企业数据存储或全球通信。另外，信息处理系统可以包括各种硬件和软件组件，各种硬件和软件组件可以被配置为处理、存储和传送信息，并且可以包括一个或多个计算机系统、数据存储系统和网络系统。
用于信息处理系统的带外管理的管理员凭证和证书的安全性长期以来一直是一个问题。为了克服这些问题中的一些的问题，用于信息处理系统的带外管理的管理控制器包括凭证保险库，其基于管理控制器的芯片中的硬件信任根，从而确保安全存储级别通过在信息处理系统每次启动期间经过验证的信任链而受保护。然而，这些方法可能具有缺点。例如，这样的方法可以保护信息处理系统免受在启动时间检测的破坏，但是在主机系统运行时期间发生的破坏仍然能够访问凭证保险库内容内的秘密。此外，凭证保险库内的秘密不受由管理控制器的破坏或由对信息处理系统的物理访问的保护。
发明内容
根据本发明的教导，可以减少或消除与用于维护信息处理系统上的管理员秘密的现有方法相关联的缺点和问题。
根据本发明的实施方式，一种信息处理系统可以包括：主机系统，其包括主机系统处理器；管理控制器，其通信地联结到主机系统处理器，并且被配置为通过在管理控制器和信息处理系统外部的专用管理网络之间通信的管理流量来提供对信息处理系统的管理，以及加密处理器通信地联结到管理控制器处理器并且由管理控制器处理器拥有。所述管理控制器可以包括：管理控制器处理器；以及凭证保险库，其通信地联结到管理控制器处理器，并且被配置为存储与信息处理系统相关联的第一组秘密，其中，第一组秘密响应于管理控制器的硬件验证的引导能够被访问。加密处理器可以包括存储器，所述存储器被配置为存储与信息处理系统相关联的第二组秘密，使得能够响应于管理员将经过验证的授权提供给加密处理器而授予对第二组秘密的访问权，并且如果经过验证的授权不存在，则在主机系统的运行期间防止对第二组秘密的访问。
根据本发明的这些和其他实施方式，本发明提供了一种方法可以包括：将凭证保险库通信地联结到管理控制器的管理控制器处理器，所述管理控制器处理器被配置为联结到信息处理系统的主机系统的主机系统处理器，以便经由管理控制器和信息处理系统外部的专用管理网络之间通信的管理流量提供对信息处理系统的管理，其中，凭证保险库被配置为存储与信息处理系统相关联的第一组秘密，其中，第一组秘密响应于管理控制器的硬件验证引导能够被访问。所述方法还可以包括将加密处理器通信地联结到管理控制器处理器，使得它由管理控制器处理器拥有，所述加密处理器包括存储器，所述存储器被配置为存储与信息处理系统相关联的第二组秘密，使得能够响应于管理员将经过验证的授权提供给加密处理器而授予对第二组秘密的访问权，并且如果经过验证的授权不存在，则在主机系统的运行期间防止对第二组秘密的访问。
根据本发明的这些和其他实施方式，本发明提供了一种方法，包括：将与信息处理系统相关联的第一组秘密存储在与管理控制器一体的凭证保险库中，所述管理控制器被配置为联结到信息处理系统的主机系统的主机系统处理器，以便经由在管理控制器和信息处理系统外部的专用管理网络之间通信的管理流量提供对信息处理系统的管理，以便第一组秘密响应于管理控制器的硬件验证引导能够被访问。所述方法还可以包括：将与信息处理系统相关的第二组秘密存储在通信地联结到管理处理器并由管理处理器拥有的加密处理器的存储器中，使得能够响应于管理员将经过验证的授权提供给加密处理器而授予对第二组秘密的访问权，并且如果经过验证的授权不存在，则在主机系统的运行期间防止对第二组秘密的访问。
根据本发明的这些和其他实施方式，本发明提供了一种制品可以包括：非暂时性计算机可读介质；以及计算机可读介质承载的计算机可执行指令，所述指令可被处理器读取当读取和执行指令时，所述指令用于使处理器：(i)将与信息处理系统相关联的第一组秘密存储在与管理控制器一体的凭证保险库中，所述管理控制器被配置为联结到信息处理系统的主机系统的主机系统处理器，以便经由在管理控制器和信息处理系统外部的专用管理网络之间通信的管理流量提供对信息处理系统的管理，以便第一组秘密响应于管理控制器的硬件验证引导能够被访问；以及(ii)将与信息处理系统相关的第二组秘密存储在通信地联结到管理处理器并由管理处理器拥有的加密处理器的存储器中，使得能够响应于管理员将经过验证的授权提供给加密处理器而授予对第二组秘密的访问权，并且如果经过验证的授权不存在，则在主机系统的运行期间防止对第二组秘密的访问。
通过本文包括的附图、描述和权利要求，本发明的技术优点对于本领域技术人员而言是显而易见的。至少通过权利要求中特别指出的元件、特征和组合来实现实施方式的目的和优点。
应理解，前面的一般性描述和以下的详细描述都是示例性的和解释性的，并且不限制本发明中阐述的权利要求。
附图说明
通过参考结合附图而进行的以下说明而获取对本实施方式及其优点的更全面的理解，其中，相同的附图标记表示相同的特征，并且附图中：
图1示出了根据本发明的实施方式的示例性信息处理系统的框图；以及
图2示出了根据本发明的实施方式的用于在管理控制器拥有的加密处理器中存储管理员秘密的示例性方法的流程图。
具体实施方式
通过参考图1和2可以最好地理解优选实施方式及其优点，其中，相同的附图标记用于表示相同和相应的部分。
出于本发明的目的，信息处理系统可以包括可用于计算、分类、处理、发送、接收、检索、发起、切换、存储、显示、展示、检测、记录、再现、处理、或利用用于商业、科学、控制、娱乐或其他目的的任何形式的信息、情报或数据的任何工具或工具集合。例如，信息处理系统可以是个人计算机、个人数字助理(PDA)、消费电子设备、网络存储设备或任何其他合适的设备，并且可以在大小、形状、性能、功能和价格上变化。信息处理系统可以包括存储器，一个或多个处理资源，例如中央处理单元(“CPU”)或硬件或软件控制逻辑。信息处理系统的附加组件可以包括一个或多个存储设备，用于与外部设备通信的一个或多个通信端口、以及各种输入/输出(“I/O”)设备，例如键盘、鼠标和视频显示。信息处理系统还可以包括可操作的以在各种硬件组件之间传送通信的一个或多个总线。
出于本发明的目的，计算机可读介质可以包括可以在一段时间内保留数据和/或指令的任何工具或工具集合。计算机可读介质可以包括但不限于以下的存储介质，诸如直接访问存储设备(例如，硬盘驱动器或软盘)、顺序访问存储设备(例如，磁盘驱动器)、光盘、CD-ROM、DVD、随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)和/或闪存；以及通信介质，诸如电线、光纤、微波、无线电波和其他电磁和/或光学载体；和/或前述的任何组合。
出于本发明的目的，信息处理资源可以广泛地指代信息处理系统的任何组件系统、设备或装置，包括但不限于处理器、服务处理器、基本输入/输出系统、总线、存储器、I/O设备和/或接口、存储资源、网络接口、母板和/或信息处理系统的任何其他组件和/或元件。
图1示出了根据本发明的实施方式的示例性信息处理系统102的框图。在一些实施方式中，信息处理系统102可以包括个人计算机。在一些实施方式中，信息处理系统102可以包括服务器或者是服务器的组成部分。在其他实施方式中，信息处理系统102可以包括便携式信息处理系统(例如，膝上型电脑、笔记本电脑、平板电脑、手持设备、智能电话、个人数字助理等)。如图1所示，信息处理系统102可包括处理器103，通信地联结到处理器103的存储器104，通信地联结到处理器103的BIOS 105，通信地联结到处理器103的网络接口108，通信地联结到处理器103的管理控制器112，以及通信地联结到处理器113的加密处理器116。
处理器103可以包括被配置为解释和/或执行程序指令和/或处理数据的任何系统、设备或装置，并且可以包括但不限于微处理器、微控制器、数字信号处理器(DSP)、专用集成电路(ASIC)、或配置为解释和/或执行程序指令和/或过程数据的任何其他数字或模拟电路。在一些实施方式中，处理器103可以解释和/或执行存储在存储器104和/或信息处理系统102的另一组件中的程序指令和/或处理数据。
存储器104可以通信地联结到处理器103，并且可以包括被配置为在一段时间内保留程序指令和/或数据的任何系统、设备或装置(例如，计算机可读介质)。存储器104可包括RAM、EEPROM、PCMCIA卡、闪存、磁存储器、光磁存储器、或任何合适的易失性或非易失性存储器的选择和/或阵列，其在到信息处理系统102的电源切断之后保持数据。
如图1所示，存储器104可以在其上存储操作系统106。操作系统106可包括任何可执行指令程序或可执行指令程序的集合，其被配置为管理和/或控制硬件资源的分配和使用，例如存储器、处理器时间、磁盘空间以及输入和输出设备，并提供由操作系统106托管的这些硬件资源和应用程序之间的接口。此外，操作系统106可以包括用于经由网络接口进行网络通信的网络堆栈的全部或一部分(例如，用于通过数据网络进行通信的网络接口108)。操作系统106的活动部分可以被传送到存储器104，以供处理器103执行。尽管操作系统106在图1中示出为存储在存储器104中，但是在一些实施方式中，操作系统106可以存储在可由处理器103访问的存储介质中，以及处理器103的活动部分可以从该存储介质传送到存储器104，以供处理器103执行。
BIOS 105可以包括被配置为识别、测试和/或初始化信息处理系统102的信息处理资源，和/或初始化信息处理系统102与其他信息处理系统的互操作的任何系统、设备或装置。“BIOS”可以广泛地指代被配置为执行该功能的任何系统、设备或装置，其包括但不限于统一可扩展固件接口(UEFI)。在一些实施方式中，BIOS 105可以被实现为可以由处理器103读取并在处理器103上执行，以执行BIOS 105的功能的指令程序。在这些和其他实施方式中，BIOS 105可以包括被配置为当信息处理系统102被启动和/或通电时，由处理器103执行的第一代码的启动固件。作为其初始化功能的一部分，用于BIOS 105的代码可以被配置为将信息处理系统102的组件设置为已知状态，使得存储在兼容媒体(例如，磁盘驱动器)上的一个或多个应用程序(例如，操作系统或其他应用程序)可以由处理器103执行并对信息处理系统102进行控制。
网络接口108可以包括任何合适的系统、装置或设备，其可操作以经由带内管理网络用作信息处理系统102与一个或多个其他信息处理系统之间的接口。网络接口108可以使信息处理系统102能够使用任何合适的传送协议和/或标准进行通信。在这些和其他实施方式中，网络接口108可以包括网络接口卡或“NIC”。在一些实施方式中，网络接口108可以包括10千兆以太网网络接口。在这些和其他实施方式中，网络接口108可以被启用为母板(LOM)卡上的局域网(LAN)。
在操作中，处理器103、存储器104、BIOS 105和网络接口108可以包括信息处理系统102的主机系统98的至少一部分。
管理控制器112可以被配置为提供用于管理信息处理系统102的管理设施。即使信息处理系统102断电或供电到待机状态，这种管理也可以由管理控制器112进行。管理控制器112可以包括处理器113、存储器和与数据网络接口108分离并且与数据网络接口108物理隔离的管理网络接口118。在某些实施方式中，管理控制器112可以包括或可以是基板管理控制器(BMC)或远程访问控制器(例如，Dell远程访问控制器或集成Dell远程访问控制器)整体组成部分。如图1所示，管理控制器112可以包括处理器113、通信地联结到处理器113的凭证保险库114、以及通信地联结到处理器113的网络接口118。
处理器113可以包括被配置为解释和/或执行程序指令和/或处理数据的任何系统、设备或装置，并且可以包括但不限于微处理器、微控制器、数字信号处理器(DSP)、专用集成电路(ASIC)、或配置为解释和/或执行程序指令和/或过程数据的任何其他数字或模拟电路。在一些实施方式中，处理器113可以解释和/或执行存储在存储器和/或信息处理系统102或管理控制器112的其他组件中的程序指令和/或处理数据。如图1所示，处理器113可以是通信地联结到处理器103。这种联结可以通过通用串行总线(USB)、系统管理总线(SMBus)和/或一个或多个其他通信信道。
凭证保险库114可以包括存储在与处理器113集成在一起或以其他方式可由处理器113访问的计算机可读介质中的数据库或任何其他合适的数据结构，并且可以用于存储密码和类似的加密密钥材料。例如，存储在凭证保险库114中的数据可以包括特权账户的当前和历史密码。在一些实施方式中，可以对所有密码和密钥进行加密，以防止向已经破坏了存储或备份凭证的物理存储介质的攻击者的泄露。对凭证保险库114的内容的访问通常受访问控制的约束，使得不同(经过身份验证的)用户能够获取不同的密码集或密钥集。因此，凭证保险库114仅可以与硬件验证的引导相关联地访问。
加密处理器116可以通信地联结到处理器113(例如，经由I2C总线)，并且可以包括被配置为对从处理器113和/或管理控制器的另一组件传送给其的数据执行加密操作的任何系统、设备或装置。因此，加密处理器116可以专用于管理控制器112。在一些实施方式中，加密处理器116可以符合可信平台模块(TPM)规范、后续规范、和/或任何其他类似规范。在一些实施方式中，加密处理器116可以被配置为生成随机数、生成加密密钥(例如，RSA密钥)、生成和维护与管理控制器112相关联的硬件和软件组件的散列密钥表、生成和维护与管理控制器112的硬件和软件组件相关联的配置参数、包装(例如，加密)密钥、解包(例如，解密)密钥和/或存储密钥(例如，认可密钥、存储根密钥、证明身份密钥、存储密钥)。
在一些实施方式中，加密处理器116可以包括仅可由加密处理器116访问的非易失性存储器。如图1所示，这种非易失性存储器可以独立于存储在凭证保险库114中的秘密而存储管理员秘密120，如在本发明中其他地方更详细地描述的。
网络接口118可以包括任何合适的系统、装置或设备，其可操作以经由带外管理网络用作管理控制器112与一个或多个其他信息处理系统之间的接口。网络接口118可以使管理控制器112能够使用任何合适的传送协议和/或标准来通信。在这些和其他实施方式中，网络接口118可以包括网络接口卡或“NIC”。在一些实施方式中，网络接口118可以包括1千兆以太网网络接口。
除了处理器103、存储器104、网络接口108、管理控制器112和加密处理器116，信息处理系统102可以包括一个或多个其他信息处理资源。
在操作中，凭证保险库114可以存储可能需要用于管理控制器112的操作和信息处理系统102的管理性的用户登录凭证、证书和其他关键项目。此外，加密处理器116可以使得能够使用来自加密处理器116的一定存储层级的存储秘钥，以独立于存储在凭证保险库114中的秘密而存储信息处理系统102的管理员的秘密。因此，将管理员秘密存储在加密处理器116中可以实现对信息处理系统102的系统管理功能的粒度访问控制，并且可以允许安全存储用于身份、访问、附加管理员凭证、其他密钥和/或其他秘密的附加证书，以应付管理员可能希望以比凭证保险库114提供的安全性更高级别的安全性来保护所述其他秘密。在一些实施方式中，代替将这些秘密存储在加密处理器116中，所述的秘密可以用存储密钥加密或以其他方式包装该存储密钥，并以该加密形式存储在加密处理器116可访问的存储器(例如，扩展存储器)中。
在供应过程期间，管理员可以(例如，使用管理控制台、使用本地附接到信息处理系统102的KVM设备等、经由网络接口118访问管理控制器112)在加密处理器116中存储特定管理员秘密。在供应之后，管理员可以从加密处理器116移除授权。例如，在加密处理器116包括TPM的实施方式中，这种授权移除可以包括从加密处理器116移除TPM所有者Auth。一旦移除此类授权后，管理员和所有其他授权用户的正常带内和带外管理访问将继续由凭证保险库114启用，但是，加密处理器116中存储的管理员秘密120启用的扩展访问和其他系统管理功能不可用。因此，存储在加密处理器116中的管理员秘密120都不再可访问，无论是在操作系统运行受破坏时、还是在信息处理系统102的物理访问上、或在调试模式都不再可访问。
为了重新启用对加密处理器116中的管理员秘密120的访问，并因此重新启用对扩展系统管理功能的访问，管理员必须向管理控制器112提供授权，使得能够访问加密处理器116存储。
图2示出了根据本公开的实施方式的用于在管理控制器拥有的加密处理器116中存储管理员秘密的示例性方法200的流程图。根据某些实施方式，方法200可以在步骤202开始。如上所述，本公开的教导可以在信息处理系统102的各种配置中实现。因此，方法200的优选初始化点和包括方法200的步骤的顺序可取决于所选择的实现方式。
在步骤202，管理员可以与加密处理器116建立会話(session)，其中，管理控制器112充当管理员和加密处理器116之间的代理。例如，在加密处理器116包括TPM的实施方式中，管理员可以与TPM建立会話，并且管理控制器112可以充当管理员和TPM之间的中间件层。值得注意的是，TPM可以被设计为使得中间件层不一定必须是可信的，以便在管理员和TPM之间提供端到端的安全性。
在步骤204，管理员可以添加、编辑、修改、删除或执行关于由加密处理器116(例如，TPM)保护的秘密的其他动作。管理员还可以执行其授权密钥受加密处理器116(例如，TPM)保护的其他管理功能。
在步骤206，管理员可以关闭加密处理器116(例如，TPM)的会話。例如，为了关闭会話，管理员可以从加密处理器116中移除授权，从而保护其内容。在完成步骤206之后，方法200可以结束。
尽管图2公开了关于方法200要采取的特定数量的步骤，但是它可以以比图2中描绘的那些步骤更多或更少的步骤来执行。此外，尽管图2公开了关于方法200要采用的特定步骤顺序，包括方法200的步骤可以以任何合适的顺序完成。
方法200可以使用信息处理系统102、其组件或可操作以实现方法200的任何其他系统来实现。在某些实施方式中，方法200可以部分或完全实现在计算机可读介质中体现的软件和/或固件。
使用上述方法和系统，虽然凭证保险库114可以存储需要用于管理控制器112的操作和系统管理性用户登录凭证、证书和其他关键存储项，管理处理器112拥有的加密处理器116能够使用来自加密处理器116的存储层级的存储密钥，以便存储与凭证保险库114中存储的秘密无关的附加管理员秘密120，并且管理员可以利用这种功能来存储管理员秘密120。这种额外的秘密存储可以启用对系统管理功能的粒度访问控制，并且可以包括用于身份、访问、附加管理员凭证、其他密钥、和/或其他秘密的附加证书。在替选实施方式中，管理员秘密可以用存储密钥包装并存储在加密处理器116可访问的扩展存储器中。
另外，在加密处理器116中提供和存储加密处理器116的特定管理员秘密之后，管理员可以从加密处理器116移除授权。例如，在加密处理器116包括TPM的实施方式中，这种授权移除可以包括从加密处理器116移除TPM所有者Auth。在移除这种授权之后，管理员和所有其他授权用户的正常带外和带内管理访问继续由凭证保险库114启用。但是，由管理员秘密所启用的扩展访问和附加系统管理功能在移除授权后不可用。因此，无论是在运行时受破坏还是在信息处理系统102的物理访问上或在调试模式中，都不可再访问存储在管理员秘密120中的内容。
此外，在稍后时间，为了重新启用对加密处理器116中的管理员秘密120的访问，并因此重新启用对由管理员秘密120启用的扩展系统管理功能的访问，管理员可以提供(例如，注入)授权(例如，然后，TPM Auth)给管理控制器112，管理控制器112然后可以重新启用对加密处理器116的存储的访问。
如本文所使用的，当两个或多个元件被称为彼此“联结”时，该术语表示这样的两个或多个元件在合适时电子通信或机械通信，无论是间接连接还是直接连接，有或没有干预因素。
本发明包含本领域普通技术人员将理解的对本文的示例性实施方式的所有改变、替换、变化、改变和修改。类似地，在适当的情况下，所附权利要求包含对本领域普通技术人员可以理解的、本文示例性实施方式的所有改变、替换、变化、变型和修改。此外，在所附权利要求中提及适于、布置成、能够、配置成、启用、可操作或有效的以执行特定功能的装置或系统、或装置或系统的组件包括该装置、系统或组件，无论其是否被激活、打开或解锁，只要该装置、系统或组件如此适于、布置、能够、配置成、启用、可操作或有效的。
本文引用的所有示例和条件语言旨在用于教育对象，以帮助读者理解本发明和由发明人提供的用于进一步发展该领域的概念，并且被解释为不限于这些具体叙述的示例和条件。尽管已经详细描述了本发明的实施方式，但是应当理解，在不脱离本发明的精神和范围的情况下，可以对其进行各种改变、替换和变型。

Claims (12)

1.一种信息处理系统，其包括：
主机系统，其包括主机系统处理器；
管理控制器，其通信地联结到所述主机系统处理器，并且被配置为通过在管理控制器和信息处理系统外部的专用管理网络之间通信的管理流量来提供对所述信息处理系统的管理，所述管理控制器包括：
管理控制器处理器；以及
凭证保险库，其通信地联结到所述管理控制器处理器，并且被配置为存储与所述信息处理系统相关联的第一组秘密，其中，所述第一组秘密响应于管理控制器的硬件验证的引导能够被访问；以及
加密处理器，其通信地联结到所述管理控制器处理器并由所述管理控制器处理器拥有，所述加密处理器包括存储器，所述存储器被配置为存储第二组秘密，所述第二组秘密包括用于执行未由所述第一组秘密启用的特定管理功能的凭证，其中所述第二组秘密与所述信息处理系统相关联，使得能够响应于管理员将经过验证的授权提供给所述加密处理器而授予对所述第二组秘密的访问权，并且如果所述经过验证的授权不存在，则在所述主机系统的运行期间防止对所述第二组秘密的访问。
2.如权利要求1所述的信息处理系统，其中，所述加密处理器包括可信平台模块。
3.如权利要求1所述的信息处理系统，其中，所述管理控制器包括基板管理控制器。
4.一种信息处理的方法，其包括：
将凭证保险库通信地联结到管理控制器的管理控制器处理器，所述管理控制器处理器被配置为联结到信息处理系统的主机系统的主机系统处理器，以便经由所述管理控制器和所述信息处理系统外部的专用管理网络之间通信的管理流量提供对所述信息处理系统的管理，其中，所述凭证保险库被配置为存储与所述信息处理系统相关联的第一组秘密，其中，所述第一组秘密响应于管理控制器的硬件验证引导能够被访问；并且将加密处理器通信地联结到所述管理控制器处理器，使得它由所述管理控制器处理器拥有，所述加密处理器包括存储器，所述存储器被配置为存储第二组秘密，所述第二组秘密包括用于执行未由所述第一组秘密启用的特定管理功能的凭证，其中所述第二组秘密与所述信息处理系统相关联，使得能够响应于管理员将经过验证的授权提供给所述加密处理器而授予对所述第二组秘密的访问权，并且如果所述经过验证的授权不存在，则在所述主机系统的运行期间防止对所述第二组秘密的访问。
5.如权利要求4所述的方法，其中，所述加密处理器包括可信平台模块。
6.如权利要求4所述的方法，其中，所述管理控制器包括基板管理控制器。
7.一种信息处理的方法，其包括：
将与信息处理系统相关联的第一组秘密存储在与管理控制器的管理控制器处理器一体的凭证保险库中，所述管理控制器处理器被配置为联结到所述信息处理系统的主机系统的主机系统处理器，以便经由在所述管理控制器和所述信息处理系统外部的专用管理网络之间通信的管理流量提供对所述信息处理系统的管理，以便第一组秘密响应于所述管理控制器的硬件验证引导能够被访问；以及
将与所述信息处理系统相关的第二组秘密存储在通信地联结到所述管理控制器处理器并由所述管理控制器处理器拥有的加密处理器的存储器中，使得能够响应于管理员将经过验证的授权提供给所述加密处理器而授予对所述第二组秘密的访问权，并且如果所述经过验证的授权不存在，则在所述主机系统的运行期间防止对所述第二组秘密的访问，其中所述第二组秘密包括用于执行未由所述第一组秘密启用的特定管理功能的凭证。
8.如权利要求7所述的方法，其中，所述加密处理器包括可信平台模块。
9.如权利要求7所述的方法，其中，所述管理控制器包括基板管理控制器。
10.一种计算机可读介质，其包括：
计算机可读介质承载的计算机可执行指令，所述指令可被处理器读取，当读取和执行所述指令时，所述指令用于使所述处理器：
将与信息处理系统相关联的第一组秘密存储在与管理控制器的管理控制器处理器一体的凭证保险库中，所述管理控制器处理器被配置为联结到所述信息处理系统的主机系统的主机系统处理器，以便经由在所述管理控制器和所述信息处理系统外部的专用管理网络之间通信的管理流量提供对所述信息处理系统的管理，以便第一组秘密响应于所述管理控制器的硬件验证引导能够被访问；以及
将与所述信息处理系统相关的第二组秘密存储在通信地联结到所述管理控制器处理器并由所述管理控制器处理器拥有的加密处理器的存储器中，使得能够响应于管理员将经过验证的授权提供给所述加密处理器而授予对所述第二组秘密的访问权，并且如果所述经过验证的授权不存在，则在所述主机系统的运行期间防止对所述第二组秘密的访问，其中所述第二组秘密包括用于执行未由所述第一组秘密启用的特定管理功能的凭证。
11.如权利要求10所述的计算机可读介质，其中，所述加密处理器包括可信平台模块。
12.如权利要求10所述的计算机可读介质，其中，所述管理控制器包括基板管理控制器。
CN201780059579.0A 2016-08-04 2017-07-27 信息处理的方法、系统及计算机可读介质 Active CN109804598B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US15/228,602 US10148444B2 (en) 2016-08-04 2016-08-04 Systems and methods for storing administrator secrets in management controller-owned cryptoprocessor
US15/228,602 2016-08-04
PCT/US2017/044163 WO2018026628A1 (en) 2016-08-04 2017-07-27 Systems and methods for storing administrator secrets in management controller-owned cryptoprocessor

Publications (2)

Publication Number Publication Date
CN109804598A CN109804598A (zh) 2019-05-24
CN109804598B true CN109804598B (zh) 2022-02-25

Family

ID=61070077

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201780059579.0A Active CN109804598B (zh) 2016-08-04 2017-07-27 信息处理的方法、系统及计算机可读介质

Country Status (4)

Country Link
US (1) US10148444B2 (zh)
EP (1) EP3494482B1 (zh)
CN (1) CN109804598B (zh)
WO (1) WO2018026628A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10366025B2 (en) * 2016-08-17 2019-07-30 Dell Products L.P. Systems and methods for dual-ported cryptoprocessor for host system and management controller shared cryptoprocessor resources
US11418333B2 (en) 2020-01-10 2022-08-16 Dell Products L.P. System and method for trusted control flow enforcement using derived encryption keys
CN113810209B (zh) * 2020-06-12 2024-03-22 戴尔产品有限公司 通过带外信道进行的服务器初始配置
US20220350765A1 (en) * 2021-04-29 2022-11-03 Dell Products L.P. Systems and methods for smart network interface card-initiated server management

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103946824A (zh) * 2011-11-22 2014-07-23 英特尔公司 用于跨平台代理的非易失性随机访问存储器的访问控制
CN104982005A (zh) * 2013-01-22 2015-10-14 亚马逊技术有限公司 虚拟化环境中的特权加密服务
CN105740710A (zh) * 2016-02-01 2016-07-06 浪潮电子信息产业股份有限公司 一种基于bmc实现bios动态度量的方法

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030037237A1 (en) 2001-04-09 2003-02-20 Jean-Paul Abgrall Systems and methods for computer device authentication
JP4064914B2 (ja) * 2003-12-02 2008-03-19 インターナショナル・ビジネス・マシーンズ・コーポレーション 情報処理装置、サーバ装置、情報処理装置のための方法、サーバ装置のための方法および装置実行可能なプログラム
US20080040613A1 (en) * 2006-08-14 2008-02-14 David Carroll Challener Apparatus, system, and method for secure password reset
US7733874B2 (en) * 2006-10-27 2010-06-08 International Business Machines Corporation Communicating packets between devices involving the use of different communication protocols
US9148431B2 (en) * 2006-12-12 2015-09-29 Qualcomm Incorporated Systems and methods for caller identification customization and remote management of communication devices
US20090077638A1 (en) 2007-09-17 2009-03-19 Novell, Inc. Setting and synching preferred credentials in a disparate credential store environment
WO2009070430A2 (en) * 2007-11-08 2009-06-04 Suridx, Inc. Apparatus and methods for providing scalable, dynamic, individualized credential services using mobile telephones
TWI357006B (en) * 2008-05-15 2012-01-21 Wistron Corp Electronic device
US20090327741A1 (en) * 2008-06-30 2009-12-31 Zimmer Vincent J System and method to secure boot uefi firmware and uefi-aware operating systems on a mobile internet device (mid)
US8738932B2 (en) * 2009-01-16 2014-05-27 Teleputers, Llc System and method for processor-based security
US8923520B2 (en) * 2009-02-06 2014-12-30 Dell Products L.P. System and method for recovery key management
US8219792B2 (en) 2009-10-06 2012-07-10 Dell Products L.P. System and method for safe information handling system boot
WO2013105354A1 (ja) * 2012-01-12 2013-07-18 ソニー株式会社 情報記憶装置、情報処理システム、および情報処理方法、並びにプログラム
US8572410B1 (en) * 2012-07-18 2013-10-29 Freescale Semiconductor, Inc. Virtualized protected storage
US9098687B2 (en) * 2013-05-03 2015-08-04 Citrix Systems, Inc. User and device authentication in enterprise systems
US10013563B2 (en) 2013-09-30 2018-07-03 Dell Products L.P. Systems and methods for binding a removable cryptoprocessor to an information handling system
US10489757B2 (en) * 2014-05-19 2019-11-26 OX Labs Inc. System and method for rendering virtual currency related services
US9785801B2 (en) * 2014-06-27 2017-10-10 Intel Corporation Management of authenticated variables
US10296730B2 (en) 2014-08-18 2019-05-21 Dell Products L.P. Systems and methods for automatic generation and retrieval of an information handling system password
US9915984B2 (en) 2014-09-11 2018-03-13 Dell Products L.P. Information handling system heat sink compatibility management
US9876792B2 (en) 2014-10-30 2018-01-23 Dell Products, Lp Apparatus and method for host abstracted networked authorization
US20160134621A1 (en) * 2014-11-12 2016-05-12 Qualcomm Incorporated Certificate provisioning for authentication to a network
US9692815B2 (en) * 2015-11-12 2017-06-27 Mx Technologies, Inc. Distributed, decentralized data aggregation
US20170289153A1 (en) * 2016-04-01 2017-10-05 Intel Corporation Secure archival and recovery of multifactor authentication templates

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103946824A (zh) * 2011-11-22 2014-07-23 英特尔公司 用于跨平台代理的非易失性随机访问存储器的访问控制
CN104982005A (zh) * 2013-01-22 2015-10-14 亚马逊技术有限公司 虚拟化环境中的特权加密服务
CN105740710A (zh) * 2016-02-01 2016-07-06 浪潮电子信息产业股份有限公司 一种基于bmc实现bios动态度量的方法

Also Published As

Publication number Publication date
US20180041344A1 (en) 2018-02-08
EP3494482A4 (en) 2020-04-01
WO2018026628A1 (en) 2018-02-08
EP3494482B1 (en) 2021-06-23
CN109804598A (zh) 2019-05-24
EP3494482A1 (en) 2019-06-12
US10148444B2 (en) 2018-12-04

Similar Documents

Publication Publication Date Title
US9147076B2 (en) System and method for establishing perpetual trust among platform domains
US9740867B2 (en) Securely passing user authentication data between a pre-boot authentication environment and an operating system
US10523427B2 (en) Systems and methods for management controller management of key encryption key
US20110093693A1 (en) Binding a cryptographic module to a platform
US9137244B2 (en) System and method for generating one-time password for information handling resource
CN109804598B (zh) 信息处理的方法、系统及计算机可读介质
US9563773B2 (en) Systems and methods for securing BIOS variables
US10366025B2 (en) Systems and methods for dual-ported cryptoprocessor for host system and management controller shared cryptoprocessor resources
US11909882B2 (en) Systems and methods to cryptographically verify an identity of an information handling system
US11652806B2 (en) Device locking key management system
US10146952B2 (en) Systems and methods for dynamic root of trust measurement in management controller domain
US10860707B2 (en) Systems and methods for obfuscation of password key and dynamic key pool management
US10778650B2 (en) Systems and methods for management domain attestation service
US11985243B2 (en) Secure communication channel for OS access to management controller
US20230208651A1 (en) Automatic security authentication for access to management controller
US11409883B1 (en) Binding customer-signed image to a specific platform
US20240129140A1 (en) Mutual authentication in edge computing
US20220350930A1 (en) Key management for self-encrypting drives
US20220043915A1 (en) Storage of network credentials
CN113806729A (zh) 持久性存储器密码短语管理

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant