CN111176737A - 可信Option ROM的访问控制方法及装置 - Google Patents
可信Option ROM的访问控制方法及装置 Download PDFInfo
- Publication number
- CN111176737A CN111176737A CN201911370907.6A CN201911370907A CN111176737A CN 111176737 A CN111176737 A CN 111176737A CN 201911370907 A CN201911370907 A CN 201911370907A CN 111176737 A CN111176737 A CN 111176737A
- Authority
- CN
- China
- Prior art keywords
- option rom
- user
- white list
- new
- access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 50
- 238000012550 audit Methods 0.000 claims description 26
- 238000013507 mapping Methods 0.000 claims description 12
- 238000004590 computer program Methods 0.000 claims description 7
- 238000001514 detection method Methods 0.000 claims description 6
- 238000005259 measurement Methods 0.000 description 12
- 238000004891 communication Methods 0.000 description 6
- 238000010586 diagram Methods 0.000 description 4
- 230000005284 excitation Effects 0.000 description 4
- 238000007726 management method Methods 0.000 description 4
- 238000012795 verification Methods 0.000 description 3
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 238000012360 testing method Methods 0.000 description 2
- 230000006399 behavior Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/4401—Bootstrapping
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/445—Program loading or initiating
- G06F9/44505—Configuring for program initiating, e.g. using registry, configuration files
- G06F9/4451—User profiles; Roaming
Landscapes
- Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Security & Cryptography (AREA)
- Storage Device Security (AREA)
Abstract
本发明实施例提供一种可信Option ROM的访问控制方法及装置，所述方法包括：检测到用户的访问请求时，对所述用户的身份信息进行认证；当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。采用本方法能够有效地避免了低安全等级和恶意用户可能对系统造成的危害。
Description
技术领域
本发明涉及计算机软件系统技术领域，尤其涉及一种可信Option ROM的访问控制方法及装置。
背景技术
服务器中存在各种外设，特别是PCI设备，用于为服务器提供所需的功能扩展。PCIOption ROM是PCI设备上用于初始化PCI设备和系统启动的程序，对PCI Option ROM加以保护对于具有PCI设备自主知识产权的服务器厂商具有重要意义。
目前在配置BIOS Option ROM的系统中，设置基准口令并保存于可信模块的存储区域中，进入BIOS Option ROM之前，进行身份认证，若身份认证一致则通过，可以进入BIOSOption ROM，对系统启动项进行访问与配置，若认证不通过，则无法对系统启动项进行访问与配置。
上述方法只是在加载Option ROM前对用户身份进行验证，若通过则可加载全部的Option ROM，不通过则系统启动过程中断。这种粗粒度的Option ROM管理方式不能对系统的PCI设备进行灵活有效的控制，存在低安全等级或恶意的用户登录系统后可能会通过PCI设备进行不安全的操作从而对系统造成无法预计的损失。
发明内容
针对现有技术中存在的问题，本发明实施例提供一种可信Option ROM的访问控制方法及装置。
本发明实施例提供一种可信Option ROM的访问控制方法，包括：
检测到用户的访问请求时，对所述用户的身份信息进行认证；
当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；
根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；
将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
在其中一个实施例中，所述方法还包括：
将所述Option ROM加入映射表，并将所述映射表中的Option ROM读入内存，加载并启动对应的PCI设备。
在其中一个实施例中，所述方法还包括：
获取与所述身份信息对应的角色信息，不同的所述角色信息对应不同的访问权限；
根据所述角色信息获取对应的Option ROM白名单。
在其中一个实施例中，所述方法还包括：
生成与系统中每个所述角色信息对应的Option ROM白名单。
在其中一个实施例中，所述方法还包括：
当检测到新PCI设备插入时，通过所述新PCI设备的寄存器判断所述新PCI设备是否支持Option ROM；
当判断结果为所述新PCI设备支持Option ROM时，通过所述新PCI设备的代码检测所述新PCI设备是否符合当前环境版本；
当所述新PCI设备符合当前环境版本时，生成所述新PCI设备对应的Option ROM白名单，并将生成的Option ROM白名单加入所述与所述角色信息对应的Option ROM白名单中。
在其中一个实施例中，所述方法还包括：
当检测到新用户身份信息创建请求时，根据所述创建请求中新用户申请的PCI设备审核新用户的安全性；
当所述新用户的安全性审核通过时，查询已有的所述角色信息是否满足所述新用户的请求；
当已有的所述角色信息满足所述新用户的请求时，将所述新用户加入满足的对应角色信息中；
当已有的所述角色信息不满足所述新用户的请求时，创建新的角色信息，并根据新用户申请的PCI设备创建所述角色信息对应的Option ROM白名单。
在其中一个实施例中，所述白名单，包括：
所述接收点的道间距、所述激发点的激发频率、所述激发点的激发类型以及偏移距。
在其中一个实施例中，所述观测参数，包括：
地址信息：ID，Name，Version，ROMAddress；
基准值：Hashvalue。
本发明实施例提供一种可信Option ROM的访问控制装置，包括：
检测模块，用于检测到用户的访问请求时，对所述用户的身份信息进行认证；
获取模块，用于当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；
确定模块，用于根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；
对比模块，用于将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述可信Option ROM的访问控制方法的步骤。
本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述可信Option ROM的访问控制方法的步骤。
本发明实施例提供的可信Option ROM的访问控制方法及装置，通过用户不同的身份信息获取对应的Option ROM白名单，并针对性的为用户提供对应的Option ROM的权限，有效地避免了低安全等级和恶意用户可能对系统造成的危害。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例中可信Option ROM的访问控制方法的流程图；
图2为本发明实施例中三种管理员的权利分配的示意图；
图3为本发明另一实施例中可信Option ROM的访问控制方法的流程图；
图4为本发明实施例中系统插入新的PCI设备的流程图；
图5为本发明实施例中新用户注册及角色分配过程的流程图；
图6为本发明实施例中可信Option ROM的访问控制装置的结构图；
图7为本发明实施例中电子设备结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
图1为本发明实施例提供的可信Option ROM的访问控制方法的流程示意图，如图1所示，本发明实施例提供了一种可信Option ROM的访问控制方法，包括：
步骤S101，检测到用户的访问请求时，对所述用户的身份信息进行认证。
具体地，当BIOS Option ROM系统启动后，检测到用户对于Option ROM的访问请求时，对用户的访问请求对应的身份信息进行认证，认证请求用户是否为已经注册的用户。
步骤S102，当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单。
具体地，当用户的身份信息认证通过时，即用户为已注册的用户，则根据注册用户的身份信息获取与身份信息对应的Option ROM白名单，其中，白名单为一个5元组WHITELIST{ID，Name，Version，ROMAddress，Hashvalue}，ID为PCI设备的Device ID，Name为设备名，Version为UEFI Option ROM的版本，ROMAddress为Option ROM所在的位置，一个PCI设备可能包含多个不同版本来支持不同的CPU架构，同一种架构也因为时间远近存在不同的Option ROM版本，前四个属性的目的在于确定唯一的可用于启动PCI设备的OptionROM，属性Hashvalue用来记录Option ROM的基准值，Hashvalue在启动系统加载Option ROM时用以与完整性度量值做比较，判断Option ROM是否被篡改，完整性是否被破坏。
另外，通过可信根的完整性度量模块对系统中的Option ROM进行完整性度量，计算基准值，作为Hashvalue与其它四条属性创建Option ROM条目保存在WHITELIST中。
白名单是通过调用可信根的加密模块进行加密后存储在本地，在使用白名单前通过调用可信根的加密模块对白名单进行解密，加解密密钥由可信根提供并进行统一管理。另外，白名单的访问权限也是由可信根控制，确保白名单不会被外部攻击者窃取和篡改。
步骤S103，根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值。
具体地，根据获取的白名单的地址信息确定对应的Option ROM的所在位置，其中，地址信息包括：Option ROM的ID，Name，Version，ROMAddress，在确定Option ROM的位置后，根据可信根的完整性度量模块度量Option ROM，得到度量值。
步骤S104，将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
具体地，将度量得到的度量值与白名单中的基准值(Hashvalue)进行对比，当两者匹配时，则验证通过，授予用户访问Option ROM的权限，具体的权限授予步骤可以包括：将Option ROM加入映射表，然后接着度量白名单中的下一个Option ROM，直至白名单中的Option ROM全部匹配，并将匹配通过的所有Option ROM加入映射表，然后将映射表中的所有Option ROM依次读入内存，加载并启动与Option ROM对应的PCI设备。
另外，上述的对用户访问Option ROM的权限的授予由系统管理员负责，系统管理员为拥有对应系统管理员权限的用户，由系统管理员进行上述Option ROM的访问权限的授予操作。
本发明实施例提供的一种可信Option ROM的访问控制方法，通过用户不同的身份信息获取对应的Option ROM白名单，并针对性的为用户提供对应的Option ROM的权限，有效地避免了低安全等级和恶意用户可能对系统造成的危害。
在另一个实施例中，在Option ROM的访问过程中，用户权限分为管理用户以及访问用户，其中，管理用户分为系统管理员、安全管理员、审计管理员，系统管理员负责授予用户对Option ROM的访问的权限，对白名单具有可读权限；安全管理员负责安全级别的调整，包括用户所属角色的调整和角色的白名单条目的修改，对白名单具有读写权限；审计管理员负责监督系统管理员和安全管理员的操作，包括系统管理员将权限授予不合适的用户或者安全管理员临时取消某些安全规则以便于某些用户执行非法操作等。具体的三者权利如图2所示。
系统管理员，安全管理员，审计管理员，通过将管理员权利分开来相互制约的方法来解决系统超级管理员的权力高度集中带来的高风险问题，操作系统管理员对UEFIOption ROM拥有管理权，可以根据角色的白名单来判断是否可以授予UEFI Option ROM的访问权给用户，对白名单具有可读权限；安全管理员负责用户和PCI设备安全级别的调整，可以创建和撤销角色，修改为用户授予的角色，修改角色白名单包含的PCI设备列表；审计管理员负责监督系统管理员和安全管理员来保证二者的行为的合规性和安全性，三个操作系统管理员之外是根据安全级别划分的用户角色，每个角色包含用户表和白名单。这样设置三个管理员分摊权利避免了系统存在超级管理员的问题。
在上述实施例的基础上，所述可信Option ROM的访问控制方法，还包括：
获取与所述身份信息对应的角色信息，不同的所述角色信息对应不同的访问权限；
根据所述角色信息获取对应的Option ROM白名单。
在本发明实施例中，根据获取到的身份信息获取对应的角色信息，不同的角色信息对应不同的访问权限，比如将访问用户的访问权限分为3个等级，则角色信息包括3个，根据角色信息获取对应的Option ROM白名单，其中，与角色信息对应的Option ROM白名单的是上述安全管理员根据角色信息生成的，每个等级的角色信息对应不同的Option ROM白名单数据。
具体的可信Option ROM的访问控制方法的流程如图3所示，包括：
用户身份认证；
身份认证通过后，确定用户所属的角色(角色信息)；
根据角色加载Option ROM白名单；
根据白名单调用可信根的完整性度量模块依次度量Option ROM；
将度量值与白名单中的基准值Hashvalue对比；若相同则可信验证通过，将该Option ROM加入Option ROM映射表并继续度量白名单中下一个Option ROM，若不同则表明该Option ROM完整性被破坏，拒绝加载，系统启动失败；
白名单中所有Option ROM可信验证通过并加入映射表后，审计管理员审计系统管理员进行的操作，若审计管理员认为操作不安全，则中断系统启动过程；
审计通过后，内存根据映射表依次将Option ROM读入内存，加载并启动对应的PCI设备。
在本发明实施例中，对用户赋予不同的角色，每个角色对应不同的安全级别，有效地避免了低安全等级和恶意用户可能对系统造成的危害。
在上述实施例的基础上，所述可信Option ROM的访问控制方法，还包括：
当检测到新PCI设备插入时，通过所述新PCI设备的寄存器判断所述新PCI设备是否支持Option ROM；
当判断结果为所述新PCI设备支持Option ROM时，通过所述新PCI设备的代码检测所述新PCI设备是否符合当前环境版本；
当所述新PCI设备符合当前环境版本时，生成所述新PCI设备对应的Option ROM白名单，并将生成的Option ROM白名单加入所述与所述角色信息对应的Option ROM白名单中。
在本发明实施例中，系统检测到新PCI设备加入系统时，安全管理员对新设备的注册过程，包括：通过PCI设备的基址寄存器(Expansion rom base address)判断PCI设备是否支持Option ROM；当PCI设备支持Option ROM时，在PCI设备中查找适合本机环境的的版本；在新PCI设备符合当前环境版本时，可信根的完整性度量模块度量设备的Option ROM基准值；安全管理员根据安全级别，将该PCI设备的Option ROM条目加入对应角色信息对应的白名单中。
其中，具体的步骤如图4所示：
系统加电启动检测到新的PCI设备；
安全管理员判断该设备是否有可用的Option ROM，首先判断PCI设备是否实现“Expansion rom base address”寄存器，有则进行下一步判断；
如果有实现了expansion的基址寄存器，则配置和使能expansion rom，然后查找expansion rom是否有”AA55”的标示字符，如果有则说明设备有真实的expansion rom芯片存在；
如果expansion rom已经存在，则扫描是否有适合本设备和本CPU架构的image代码存在；
如果有适合本环境的image代码存在，对调用可信根的完整性度量模块该设备的Option ROM进行完整性度量并保存基准值；
生成该设备的WHITELIST，安全管理员将PCI设备的WHITELIST加入相应角色白名单；
审计管理员审计安全管理员的操作，若审计管理员认为安全管理员操作不符合安全性和合规性，则新设备注册失败，白名单版本恢复至新设备加入之前；
审计通过后，执行正常Option ROM加载过程。
在本发明实施例中，规范了系统中插入新PCI设备的标准，保证了Option ROM的安全性。
在上述实施例的基础上，所述可信Option ROM的访问控制方法，还包括：
当检测到新用户身份信息创建请求时，根据所述创建请求中新用户申请的PCI设备审核新用户的安全性；
当所述新用户的安全性审核通过时，查询已有的所述角色信息是否满足所述新用户的请求；
当已有的所述角色信息满足所述新用户的请求时，将所述新用户加入满足的对应角色信息中；
当已有的所述角色信息不满足所述新用户的请求时，创建新的角色信息，并根据新用户申请的PCI设备创建所述角色信息对应的Option ROM白名单。
在本发明实施例中，在检测到新用户的身份信息创建请求，即对PCI设备存在请求时，通过新用户申请的PCI设备对用户进行审核，审核通过后查询已有角色能否满足新用户需求，若能满足，将该用户加入角色的用户表中；不满足则为新用户创建角色，并根据需求生成白名单和用户表加密存储在本地；审计安全管理员操作，审计通过则新用户创建成功，不通过则创建失败。
具体的步骤如图5所示：
新用户注册用户名密码；
申请PCI设备使用权；
安全管理员根据新用户申请的PCI设备来判断审核新用户安全性，若安全性审核不通过，则新用户注册失败；
若安全性审核通过，安全管理员查找系统已存在角色是否满足新用户需求，若有，则将角色赋予新用户；
若已有角色无法满足新用户需求，安全管理员创建新角色，并根据新用户请求的PCI设备创建角色对应的白名单；
审计管理员审计安全管理员的操作，若审计管理员认为安全管理员操作不符合安全性和合规性，则新用户注册失败；
审计管理员审计通过，则新用户注册成功。
在本发明实施例中，规范了用户注册账户并申请PCI的标准，保证了Option ROM的隐私性。
图6为本发明实施例提供的一种时间推移地震观测装置，包括：检测模块201、获取模块202、确定模块203、对比模块204，其中：
检测模块201，用于检测到用户的访问请求时，对用户的身份信息进行认证。
获取模块202，用于当用户的身份信息认证通过时，获取与身份信息对应的OptionROM白名单。
确定模块203，用于根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值。
对比模块204，用于将度量值与所述白名单中的基准值进行对比，当度量值与所述基准值匹配时，则授予用户访问所述Option ROM的权限。
在一个实施例中，装置还可以包括：
加载模块，用于将Option ROM加入映射表，并将映射表中的Option ROM读入内存，加载并启动对应的PCI设备。
在一个实施例中，装置还可以包括：
第二获取模块，用于获取与身份信息对应的角色信息，不同的角色信息对应不同的访问权限；
第三获取模块，用于根据角色信息获取对应的Option ROM白名单。
在一个实施例中，装置还可以包括：
生成模块，用于生成与系统中每个角色信息对应的Option ROM白名单。
在一个实施例中，装置还可以包括：
第二检测模块，用于当检测到新PCI设备插入时，通过新PCI设备的寄存器判断新PCI设备是否支持Option ROM。
第三检测模块，用于当判断结果为新PCI设备支持Option ROM时，通过新PCI设备的代码检测新PCI设备是否符合当前环境版本。
第二生成模块，用于当新PCI设备符合当前环境版本时，生成新PCI设备对应的Option ROM白名单，并将生成的Option ROM白名单加入与角色信息对应的Option ROM白名单中。
在一个实施例中，装置还可以包括：
第四检测模块，用于当检测到新用户身份信息创建请求时，根据创建请求中新用户申请的PCI设备审核新用户的安全性。
查询模块，用于当新用户的安全性审核通过时，查询已有的角色信息是否满足新用户的请求。
加入模块，用于当已有的角色信息满足所述新用户的请求时，将新用户加入满足的对应角色信息中。
创建模块，用于当已有的角色信息不满足新用户的请求时，创建新的角色信息，并根据新用户申请的PCI设备创建角色信息对应的Option ROM白名单。
关于可信Option ROM的访问控制装置的具体限定可以参见上文中对于可信Option ROM的访问控制方法的限定，在此不再赘述。上述可信Option ROM的访问控制装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
图7示例了一种电子设备的实体结构示意图，如图7所示，该电子设备可以包括：处理器(processor)301、存储器(memory)302、通信接口(Communications Interface)303和通信总线304，其中，处理器301，存储器302，通信接口303通过通信总线304完成相互间的通信。处理器301可以调用存储器302中的逻辑指令，以执行如下方法：检测到用户的访问请求时，对所述用户的身份信息进行认证；当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
此外，上述的存储器302中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
另一方面，本发明实施例还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各实施例提供的传输方法，例如包括：检测到用户的访问请求时，对所述用户的身份信息进行认证；当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。
Claims (10)
1.一种可信Option ROM的访问控制方法，其特征在于，所述方法包括：
检测到用户的访问请求时，对所述用户的身份信息进行认证；
当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；
根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；
将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
2.根据权利要求1所述的可信Option ROM访问控制方法，其特征在于，所述授予所述用户访问所述Option ROM的权限之后，还包括：
将所述Option ROM加入映射表，并将所述映射表中的Option ROM读入内存，加载并启动对应的PCI设备。
3.根据权利要求1所述的可信Option ROM访问控制方法，其特征在于，所述获取与所述身份信息对应的Option ROM白名单，包括：
获取与所述身份信息对应的角色信息，不同的所述角色信息对应不同的访问权限；
根据所述角色信息获取对应的Option ROM白名单。
4.根据权利要求3所述的可信Option ROM的访问控制方法，其特征在于，所述检测到用户的访问请求之前，还包括：
生成与系统中每个所述角色信息对应的Option ROM白名单。
5.根据权利要求3所述的可信Option ROM的访问控制方法，其特征在于，所述方法还包括：
当检测到新PCI设备插入时，通过所述新PCI设备的寄存器判断所述新PCI设备是否支持Option ROM；
当判断结果为所述新PCI设备支持Option ROM时，通过所述新PCI设备的代码检测所述新PCI设备是否符合当前环境版本；
当所述新PCI设备符合当前环境版本时，生成所述新PCI设备对应的Option ROM白名单，并将生成的Option ROM白名单加入所述与所述角色信息对应的Option ROM白名单中。
6.根据权利要求3所述的可信Option ROM的访问控制方法，其特征在于，所述方法还包括：
当检测到新用户身份信息创建请求时，根据所述创建请求中新用户申请的PCI设备审核新用户的安全性；
当所述新用户的安全性审核通过时，查询已有的所述角色信息是否满足所述新用户的请求；
当已有的所述角色信息满足所述新用户的请求时，将所述新用户加入满足的对应角色信息中；
当已有的所述角色信息不满足所述新用户的请求时，创建新的角色信息，并根据新用户申请的PCI设备创建所述角色信息对应的Option ROM白名单。
7.根据权利要求1所述的可信Option ROM的访问控制方法，其特征在于，所述白名单，包括：
地址信息：ID，Name，Version，ROMAddress；
基准值：Hashvalue。
8.一种可信Option ROM的访问控制装置，其特征在于，所述装置包括：
检测模块，用于检测到用户的访问请求时，对所述用户的身份信息进行认证；
获取模块，用于当所述用户的身份信息认证通过时，获取与所述身份信息对应的Option ROM白名单；
确定模块，用于根据白名单中的地址信息确定对应Option ROM的所在位置，并通过预设的度量模块度量所述Option ROM，得到度量值；
对比模块，用于将所述度量值与所述白名单中的基准值进行对比，当所述度量值与所述基准值匹配时，则授予所述用户访问所述Option ROM的权限。
9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述的可信Option ROM的访问控制方法的步骤。
10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至7任一项所述的可信Option ROM的访问控制方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201911370907.6A CN111176737A (zh) | 2019-12-26 | 2019-12-26 | 可信Option ROM的访问控制方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201911370907.6A CN111176737A (zh) | 2019-12-26 | 2019-12-26 | 可信Option ROM的访问控制方法及装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN111176737A true CN111176737A (zh) | 2020-05-19 |
Family
ID=70650345
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201911370907.6A Pending CN111176737A (zh) | 2019-12-26 | 2019-12-26 | 可信Option ROM的访问控制方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111176737A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116795453A (zh) * | 2023-08-28 | 2023-09-22 | 成都中科合迅科技有限公司 | 应用程序的多cpu架构调用控制方法和系统 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20120060207A1 (en) * | 2010-09-03 | 2012-03-08 | Ebay Inc. | Role-based attribute based access control (rabac) |
| CN105637479A (zh) * | 2013-08-23 | 2016-06-01 | 英国电讯有限公司 | 用于以受信方式修改计算机程序的方法和装置 |
| US20180035160A1 (en) * | 2015-09-28 | 2018-02-01 | Tencent Technology (Shenzhen) Company Limited | Video decoding method, server, and mobile terminal |
| CN109240771A (zh) * | 2018-10-23 | 2019-01-18 | 大唐高鸿信安（浙江）信息科技有限公司 | 一种系统启动方法及装置 |
-
2019
- 2019-12-26 CN CN201911370907.6A patent/CN111176737A/zh active Pending
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20120060207A1 (en) * | 2010-09-03 | 2012-03-08 | Ebay Inc. | Role-based attribute based access control (rabac) |
| CN105637479A (zh) * | 2013-08-23 | 2016-06-01 | 英国电讯有限公司 | 用于以受信方式修改计算机程序的方法和装置 |
| US20180035160A1 (en) * | 2015-09-28 | 2018-02-01 | Tencent Technology (Shenzhen) Company Limited | Video decoding method, server, and mobile terminal |
| CN109240771A (zh) * | 2018-10-23 | 2019-01-18 | 大唐高鸿信安（浙江）信息科技有限公司 | 一种系统启动方法及装置 |
Non-Patent Citations (2)
| Title |
|---|
| 林基艳: "可信计算下的信任链传递模型研究" * |
| 顾韵华;李丹;陈玮;: "基于认证可信度的角色访问控制模型" * |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116795453A (zh) * | 2023-08-28 | 2023-09-22 | 成都中科合迅科技有限公司 | 应用程序的多cpu架构调用控制方法和系统 |
| CN116795453B (zh) * | 2023-08-28 | 2023-11-03 | 成都中科合迅科技有限公司 | 应用程序的多cpu架构调用控制方法和系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11477036B2 (en) | Devices and methods for application attestation | |
| US9509720B2 (en) | Techniques for improved run time trustworthiness | |
| US7774824B2 (en) | Multifactor device authentication | |
| US8863309B2 (en) | Selectively unlocking a core root of trust for measurement (CRTM) | |
| US8984291B2 (en) | Access to a computing environment by computing devices | |
| US8464047B2 (en) | Method and apparatus for authorizing host to access portable storage device | |
| US9164925B2 (en) | Method and apparatus for authorizing host to access portable storage device | |
| US20120297456A1 (en) | Granular assessment of device state | |
| US7594108B2 (en) | Operator root certificates | |
| US8984296B1 (en) | Device driver self authentication method and system | |
| Löhr et al. | Patterns for secure boot and secure storage in computer systems | |
| US20080278285A1 (en) | Recording device | |
| CN106295350B (zh) | 一种可信执行环境的身份验证方法、装置及终端 | |
| US11562052B2 (en) | Computing system and method for verification of access permissions | |
| US20170201528A1 (en) | Method for providing trusted service based on secure area and apparatus using the same | |
| US20230237193A1 (en) | Security processor configured to authenticate user and authorize user for user data and computing system including the same | |
| CN114297708A (zh) | 访问控制方法、装置、设备和存储介质 | |
| Almohri et al. | Process authentication for high system assurance | |
| JP2008226191A (ja) | 情報処理端末認証システム及び情報処理端末認証方法，情報処理端末認証用プログラム | |
| KR101939442B1 (ko) | 컴퓨터 시스템 및 그 동작 방법 | |
| CN111176737A (zh) | 可信Option ROM的访问控制方法及装置 | |
| KR101436404B1 (ko) | 사용자 인증 장치 및 방법 | |
| CN113678129A (zh) | 授权对计算机化系统中的对象的访问的方法、计算机程序产品和现场设备 | |
| KR20150089696A (ko) | 접근제어와 우선순위기반 무결성 검증 시스템 및 그 방법 | |
| JP6464544B1 (ja) | 情報処理装置、情報処理方法、情報処理プログラム、及び情報処理システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20200519 |