CN115934194A - 一种控制器启动方法、装置、电子设备及储存介质 - Google Patents
一种控制器启动方法、装置、电子设备及储存介质 Download PDFInfo
- Publication number
- CN115934194A CN115934194A CN202211592121.0A CN202211592121A CN115934194A CN 115934194 A CN115934194 A CN 115934194A CN 202211592121 A CN202211592121 A CN 202211592121A CN 115934194 A CN115934194 A CN 115934194A
- Authority
- CN
- China
- Prior art keywords
- starting
- firmware
- image file
- controller
- check
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 62
- 238000003860 storage Methods 0.000 title claims abstract description 25
- 238000012795 verification Methods 0.000 claims abstract description 84
- 238000004590 computer program Methods 0.000 claims description 18
- 230000007246 mechanism Effects 0.000 claims description 11
- 238000004891 communication Methods 0.000 claims description 10
- 230000004913 activation Effects 0.000 claims description 6
- 230000008569 process Effects 0.000 abstract description 21
- 238000010586 diagram Methods 0.000 description 14
- 230000006870 function Effects 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 3
- 238000007664 blowing Methods 0.000 description 2
- 230000003213 activating effect Effects 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 238000005336 cracking Methods 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
Images
Classifications
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
- Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
- Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]
Landscapes
- Storage Device Security (AREA)
Abstract
本申请公开了一种控制器启动方法、装置、电子设备及储存介质，涉及控制器技术领域。方法包括：首先，按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验，然后，在逐级安全校验通过的情况下，逐级加载运行各级固件的启动镜像文件，以引导控制器完成启动，或者在逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动控制器。在本申请中，通过构建信任链，每个固件在加载运行前都经过验证，只有当前阶段对后续待启动的固件进行验证通过后，才会加载和执行后续的模块，从而确保固件是可信的，并且保证了再控制器启动过程中的安全性。
Description
技术领域
本申请涉及控制器技术领域，具体涉及一种控制器启动方法、装置、电子设备及储存介质。
背景技术
目前，主流的嵌入式设备都采用SOC(System on a Chip，可编程片上系统)作为其嵌入式系统。在SOC启动过程中存在一定的安全风险，恶意软件有可能会修改引导加载程序等固件。比如，使SOC受到木马攻击。木马等恶意软件通过修改系统的启动过程，安装到系统内以达到持久驻留系统的目的，SOC一旦受到木马等恶意代码感染，即使重新安装系统也无法清除。因此有必要对SOC进行安全保护，防止在启动过程中固件被恶意篡改。
相关技术中，通过采用TPM(Trusted Platform Module，外接可信平台模块)实现可信启动，但是采用TPM增加了硬件成本且系统集成度低，并且对控制器启动过程无法进行校验，因此安全性较低。
发明内容
本申请针对现有的问题，提出了一种控制器启动方法、装置、电子设备及储存介质，具体技术方案如下：
在本申请实施例的第一方面，提供一种控制器启动方法，所述方法包括：
按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验；
在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动；
在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。
可选地，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验的步骤包括：
对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验；
在所述第一等级固件的启动镜像文件通过所述合法性校验和完整性校验的情况下，再对所述安全启动信任链上的多个第二等级固件的启动镜像文件进行合法性校验和完整性校验；其中，所述第一等级固件的执行权限高于所述第二等级固件的执行权限。
可选地，对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验的步骤包括：
读取所述第一等级固件的启动镜像文件、所述启动镜像文件对应的目标签名文件和启动校验公钥；
根据所述启动校验公钥对所述目标签名文件进行解密，获得第一哈希值，并对所述启动镜像文件进行哈希运算，获得第二哈希值：
比较所述第一哈希值和所述第二哈希值；
在所述第一哈希值和所述第二哈希值相同的情况下，确定所述第一等级固件的启动镜像文件通过合法性校验；
在所述第一哈希值和所述第二哈希值不同的情况下，确定所述第一等级固件的启动镜像文件未通过合法性校验；
读取公钥摘要，并根据所述公钥摘要对所述第一等级固件的启动镜像文件进行完整性校验。
可选地，所述第一等级固件的启动镜像文件对应的目标签名文件和启动校验公钥是通过以下步骤获得的；
对所述第一等级固件的启动镜像文件，采用非对称加密算法和启动校验私钥进行加密，生成所述第一等级固件的启动镜像文件对应的目标签名文件；
在所述非对称加密算法中输入的所述启动校验私钥，生成所述启动校验公钥。
可选地，所述启动校验私钥是通过以下步骤获得的：
生成工厂安全密钥配置私钥；
输入所述工厂安全密钥配置私钥的二进制数据和纯文本熔断机制数据，并进行整理和排列，获得目标密钥数据；
对所述目标密钥数据进行加密，生成所述启动校验私钥。
可选地，在对所述目标密钥数据进行加密，生成所述启动校验私钥的步骤之后，所述方法还包括：
将所述启动校验私钥、所述第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入熔断保护区域中进行储存，并同时向所述熔断保护区域写入熔断指令，其中，所述熔断保护区域位于所述第一等级固件的一次性可编程区域中。
可选地，所述方法还包括：
所述熔断保护区域在接收到所述熔断指令之后，变更其标志位的状态，并且只响应数据读取请求，不响应数据写入请求。
在本申请实施例的第二方面，提供一种操作系统启动装置，所述装置包括：
校验模块，用于按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验；
第一执行模块，用于在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动；
第二执行模块，用于在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。
可选地，校验模块包括：
第一校验子模块，用于对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验；
第二校验子模块，用于在所述第一等级固件的启动镜像文件通过所述合法性校验和完整性校验的情况下，再对所述安全启动信任链上的多个第二等级固件的启动镜像文件进行合法性校验和完整性校验；其中，所述第一等级固件的执行权限高于所述第二等级固件的执行权限。
可选地，第一校验子模块包括：
读取单元，用于读取所述第一等级固件的启动镜像文件、所述启动镜像文件对应的目标签名文件和启动校验公钥；
计算单元，用于根据所述启动校验公钥对所述目标签名文件进行解密，获得第一哈希值，并对所述启动镜像文件进行哈希运算，获得第二哈希值：
比较单元，用于比较所述第一哈希值和所述第二哈希值；
第一判断单元，用于在所述第一哈希值和所述第二哈希值相同的情况下，确定所述第一等级固件的启动镜像文件通过合法性校验；
第二判断单元，用于在所述第一哈希值和所述第二哈希值不同的情况下，确定所述第一等级固件的启动镜像文件未通过合法性校验；
第三判断单元，用于读取公钥摘要，并根据所述公钥摘要对所述第一等级固件的启动镜像文件进行完整性校验。
可选地，第一校验子模块还包括第一加密单元，第一加密单元包括：
第一加密子单元，用于对所述第一等级固件的启动镜像文件，采用非对称加密算法和启动校验私钥进行加密，生成所述第一等级固件的启动镜像文件对应的目标签名文件；
第二加密子单元，用于在所述非对称加密算法中输入的所述启动校验私钥，生成所述启动校验公钥。
可选地，第一校验子模块还包括第二加密单元，第二加密单元包括：
私钥生成子单元，用于生成工厂安全密钥配置私钥；
私钥整理子单元，用于输入所述工厂安全密钥配置私钥的二进制数据和纯文本熔断机制数据，并进行整理和排列，获得目标密钥数据；
私钥加密子单元，用于对所述目标密钥数据进行加密，生成所述启动校验私钥。
可选地，第一校验子模块还包括写入单元，写入单元包括：
信息发送子单元，用于将所述启动校验私钥、所述第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入熔断保护区域中进行储存，并同时向所述熔断保护区域写入熔断指令，其中，所述熔断保护区域位于所述第一等级固件的一次性可编程区域中。
在本申请实施例的第三方面，提供一种电子设备，该设备包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器执行所述计算机程序，实现上述第一方面所述的方法。
在本申请实施例的第四方面，提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，处理器执行所述计算机程序，实现上述第一方面所述的方法。
本发明实施例包括以下优点：首先，按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验，然后，在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动，或者在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。在本申请中，通过构建信任链，每个固件在加载运行前都经过验证，只有当前阶段对后续待启动的固件进行验证通过后，才会加载和执行后续的模块，从而确保固件是可信的，并且保证了再控制器启动过程中的安全性。
在本申请的其他实施例中，通过将所述启动校验私钥、所述第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入熔断保护区域中进行储存，保证了数据的唯一性，并且不可被破解。
在本申请的其他实施例中，通过使用安全可信的硬件加密模块生成公私钥对，保证私钥不出HSM模块，而是在模块内存储，仅开放了调用加密和解密的接口，从而保证了密钥的安全性。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。
图1为本申请实施例方案涉及的硬件运行环境的电子设备结构示意图；
图2为根据一示例性实施例示出的一种控制器启动方法流程图；
图3为本发明实施例示出的固件启动镜像文件安全校验流程图；
图4为本发明实施例启动镜像文件对应的目标签名文件和启动校验公钥生成示意图；
图5为根据一示例性实施例示出的一种控制器启动装置的框图。
具体实施方式
为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
相关技术中，TPM实际上是一个含有密码运算部件和存储部件的小型片上的系统，由CPU、存储器、I/O、密码运算器、随机数产生器和嵌入式操作系统等部件组成。它实现可信启动的方法主要是依赖其中的安全芯片，安全芯片所起的作用相当于一个“保险柜”，最重要的密码数据都存储在安全芯片中，安全芯片通过系统管理总线与笔记本的主处理器和BIOS芯片进行通信，然后配合管理软件完成各种安全保护工作，而且根据安全芯片的原理，由于密码数据只能输出，而不能输入，这样加密和解密的运算在安全芯片内部完成，而只是将结果输出到上层，避免了密码被破解的机会。
TPM在构建信任链的过程中仅采用杂凑算法进行度量，缺少验证的过程，因此安全性较低，并且TPM是外接的设备平台，因此导致系统的整体性较差。
基于上述目标，本申请实施例提出的具体构思为，构建信任链，从而保证控制器引导加载程序等固件是可信的，每个固件在加载运行前都经过数字签名的验证，只有当前阶段对后续待启动的固件进行验证通过后，才会加载和执行后续的模块。
参照图1，图1为本申请实施例方案涉及的硬件运行环境的电子设备结构示意图。
如图1所示，该电子设备可以包括：处理器1001，例如中央处理器(CentralProcessing Unit，CPU)，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如无线保真(WIreless-FIdelity，WI-FI)接口)。存储器1005可以是高速的随机存取存储器(RandomAccess Memory，RAM)存储器，也可以是稳定的非易失性存储器(Non-Volatile Memory，NVM)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。
本领域技术人员可以理解，图1中示出的结构并不构成对电子设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
如图1所示，作为一种存储介质的存储器1005中可以包括操作系统、数据存储模块、网络通信模块、用户接口模块以及电子程序。
在图1所示的电子设备中，网络接口1004主要用于与网络服务器进行数据通信；用户接口1003主要用于与用户进行数据交互；本发明电子设备中的处理器1001、存储器1005可以设置在电子设备中，电子设备通过处理器1001调用存储器1005中存储的控制器启动装置，并执行本申请实施例提供的控制器启动方法。
参照图2，基于前述硬件运行环境，本申请的实施例提供了一种控制器启动方法、装置、电子设备及储存介质，包括以下步骤：
S201：按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验。
在本实施方式中，安全启动信任链可以理解为由控制器的各个固件按照启动和加载顺序排列组成的固件启动链，安全启动信任链的运行过程即反映的是控制器的启动过程。而其具体的步骤可以为：
S201-1：对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验。
在本实施方式中，安全启动信任链可以由一个第一等级固件和多个第二等级的固件构成，第一等级固件为安全启动信任链上位于最开始位置的模块，以商用车自动驾驶域控制器的启动过程为例，即自动驾驶域控制器上电后CPU第一个发送指令的模块，例如：启动芯片模块，CPU在通电之后执行的第一条指令就在启动芯片模块的入口。同时，启动芯片模块拥有最高的执行权限，而在启动芯片模块加载运行前，需要对其的启动镜像文件进行合法性校验和完整性校验，其具体的步骤可以为：
S201-1-1：读取所述第一等级固件的启动镜像文件、所述启动镜像文件对应的目标签名文件和启动校验公钥。
在本实施方式中，启动镜像文件是将特定的一系列文件按照一定的格式制作成单一的文件，即控制器启动所需的配置文件，其文件名后缀一般为iso，而启动镜像文件对应的目标签名文件通常是与启动镜像文件一起绑定的。以启动芯片模块的启动镜像文件进行验签的过程进行说明，在完成对启动芯片模块的初始化后，CPU会从存储器上加载引导加载程序，引导加载程序里面会有一个数字签名和公钥证书，而这里的引导加载程序即为启动芯片模块的启动镜像文件，启动芯片模块会验证引导加载程序中签名的合法性，因此对第一等级固件的启动镜像文件进行验签的过程，其实就是判断启动镜像文件对应的目标签名文件是否被篡改的过程。启动校验公钥是用于对启动镜像文件进行验签的工具和判断标准。
S201-1-2：根据所述启动校验公钥对所述目标签名文件进行解密，获得第一哈希值，并对所述启动镜像文件进行哈希运算，获得第二哈希值。
在本实施方式中，继续以启动芯片模块的启动镜像文件进行验签的过程进行说明，如图3所示，在读取到第一等级固件的启动镜像文件、所述启动镜像文件对应的目标签名文件和启动校验公钥之后，首先利用启动校验公钥和非对称加密算法对所述目标签名文件进行解密，得到第一哈希值，然后利用哈希算法对启动镜像文件进行哈希运算，获得第二哈希值，这里的哈希算法可以为SHA-256。
S201-1-3：比较所述第一哈希值和所述第二哈希值；
S201-1-4：在所述第一哈希值和所述第二哈希值相同的情况下，确定所述第一等级固件的启动镜像文件通过合法性校验；
S201-1-5：在所述第一哈希值和所述第二哈希值不同的情况下，确定所述第一等级固件的启动镜像文件未通过合法性校验。
在S201-1-3至S201-1-5的实施方式中，继续如图3所示，在第一哈希值和第二哈希值相同的情况下，则说明第一等级固件的启动镜像文件通过了合法性校验，没有被进行篡改，因此可以安全加载，在加载完成后，即第一等级固件满足安全加载的环境，而如果第一哈希值和第二哈希值不相同，则说明第一等级固件的启动镜像文件未通过合法性校验，可能被恶意篡改，因此无法安全加载。
S201-1-6：读取公钥摘要，并根据所述公钥摘要对所述第一等级固件的启动镜像文件进行完整性校验。
在本实施方式中，在完成对第一等级固件的启动镜像文件的合法性校验之后，还需要对一等级固件的启动镜像文件进行完整性校验，而验证启动镜像文件的完整性也是通过公钥摘要来计算启动镜像文件的哈希值是否匹配来实现的，对此不再进行赘述。
而在完成对第一等级固件的启动镜像文件进行合法性校验和完整性校验后，则对安全启动信任链上与第一等级固件相连接的第二等级固件进行校验。
S201-2：在所述第一等级固件的启动镜像文件通过所述合法性校验和完整性校验的情况下，再对所述安全启动信任链上的多个第二等级固件的启动镜像文件进行合法性校验和完整性校验。
在本实施方式中，继续以上述商用车自动驾驶域控制器的启动过程为例，在第一等级固件的启动镜像文件完成安全加载和运行之后，紧接着进行第二等级固件的启动镜像文件进行合法性校验和完整性校验，这里的第二等级固件可以为标准模块和安全模块，即对标准模块的启动镜像文件再采用如图3所示的流程对标准模块的启动镜像文件进行合法性校验和完整性校验，而在完成对标准模块的启动镜像文件进行合法性校验和完整性校验的条件下，再继续执行对安全模块的启动镜像文件进行合法性校验和完整性校验，从而实现对安全启动信任链上的多个第二等级固件的逐级校验。
S202：在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动。
在本实施方式中，只有在逐级安全校验通过的情况下，才说明基于安全启动信任链引导加载程序等固件是可信的，即每个固件在加载运行前都经验证，只有当前阶段对后续待启动的固件进行验证通过后，才会加载和执行后续的模块，从而才能成功地建立信任链，因此可以按照安全启动信任链逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动。通过这种方式启动控制器，能够保证各个固件是可信的。
S203：在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。
在本实施方式中，对于安全启动信任链上每一个固件启动镜像文件的加载都是要经过数字签名认证的，若校验不通过，则无法形成验证闭环，则为了保证用户数据的安全，则应该禁止加载运行为通过安全校验的固件的启动镜像文件，并终止启动所述控制器的启动。
在一种可行的实施方式中，第一等级固件的启动镜像文件对应的目标签名文件和启动校验公钥是通过以下步骤获得的；
对所述第一等级固件的启动镜像文件，采用非对称加密算法和启动校验私钥进行加密，生成所述第一等级固件的启动镜像文件对应的目标签名文件；
在所述非对称加密算法中输入的所述启动校验私钥，生成所述启动校验公钥。
在本实施方式中，如图4所示的目标签名文件和启动校验公钥生成示意图，图4中的密钥即为启动校验私钥，首先将第一等级固件的启动镜像文件导入签名算法，这里的签名算法为非对称加密算法，然后基于非对称加密算法和启动校验私钥进行加密，从而获得第一等级固件的启动镜像文件对应的目标签名文件。然后再启动校验私钥制作公钥摘要，并在所述非对称加密算法中输入的所述启动校验私钥，生成所述启动校验公钥，例如通过椭圆曲线算法由启动校验私钥推算得到启动校验公钥。启动镜像文件、启动镜像对应的目标签名文件、公钥摘要、启动校验公钥通常在线下可信环境中制作。
在一种可行的实施方式中，所述启动校验私钥是通过以下步骤获得的：
生成工厂安全密钥配置私钥；
输入所述工厂安全密钥配置私钥的二进制数据和纯文本熔断机制数据，并进行整理和排列，获得目标密钥数据；
对所述目标密钥数据进行加密，生成所述启动校验私钥。
在本实施方式中，启动校验私钥是在HSM模块(Hardware Security Model，硬件安全模块)中生成的，其具体包括：首先从主机厂的安全可信的硬件加密模块中，生成工厂安全密钥配置安全密钥，并且将纯文本的熔断机制数据和工厂安全密钥配置安全密钥的二进制数据传入HSM模块，然后在HSM模块内部对输入数据进行整理和排列，得到排列后的字符串数据，即目标密钥数据，最后再使用HSM模块内部的加密接口，对字符串数据进行加密，从而生成所述启动校验私钥。使用安全可信的硬件加密模块生成公私钥对，保证私钥不出HSM模块，而是在模块内存储，仅开放了调用加密和解密的接口，从而保证了密钥的安全性。
在一种可行的实施方式中，在对所述目标密钥数据进行加密，生成所述启动校验私钥的步骤之后，所述方法还包括：
将所述启动校验私钥、所述第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入熔断保护区域中进行储存，并同时向所述熔断保护区域写入熔断指令，其中，所述熔断保护区域位于所述第一等级固件的一次性可编程区域中。
在本实施方式中，由于镜像文件的合法性校验操作依赖于启动校验公钥，若控制器中的密钥被攻击者替换，那么攻击者只需要用与其匹配的私钥制作镜像签名即可。因此必须确保控制器中的启动校验公钥不被替换。通常的做法是将启动校验公钥存储在OTP(One Time Programmable，一次性可编程)区域。而为了确保每次安全启动所用的启动校验公钥是有效的，需要在OTP区域存储公钥摘要。因此，将上述实施方式中生成的第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入第一等级固件的熔断保护区域中进行储存，对应第二等级固件同理，即将第二等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入第二等级固件的熔断保护区域中进行储存。然后同时向所述熔断保护区域写入熔断指令，以保证熔断保护区域中数据的唯一性，不可被破解，从而保证了控制器启动过程的安全性。
在一种可行的实施方式中，所述方法还包括：
所述熔断保护区域在接收到所述熔断指令之后，变更其标志位的状态，并且只响应数据读取请求，不响应数据写入请求。
在本实施方式中，在FUSE在接收到所述熔断指令之后，将其标志位的状态由0变为1，FUSE区域特性保证了器件被编程一次后其内容不能被再次更改，但可被多次读取，出厂状态下FUSE值的bit均为0，刷写后一旦其bit变成1后，表示对应的数字签名和密钥已经刷入设备，之后将再也无法修改，也称该操作为硬件熔断。因此在FUSE区域变更标志位的状态之后，只能响应外界的数据读取请求，即对目标签名文件以及所述启动校验公钥等数据的读取，而无法响应外界的数据写入请求，从而使得标签名文件以及所述启动校验公钥等数据无法被恶意篡改。
参照图5，图5是根据一示例性实施例示出的一种控制器启动装置500的框图，如图5所示，该装置500包括：
校验模块501，用于按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验；
第一执行模块502，用于在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动；
第二执行模块503，用于在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。
可选地，校验模块501包括：
第一校验子模块，用于对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验；
第二校验子模块，用于在所述第一等级固件的启动镜像文件通过所述合法性校验和完整性校验的情况下，再对所述安全启动信任链上的多个第二等级固件的启动镜像文件进行合法性校验和完整性校验；其中，所述第一等级固件的执行权限高于所述第二等级固件的执行权限。
在一种可行的实施方式中，第一校验子模块包括：
读取单元，用于读取所述第一等级固件的启动镜像文件、所述启动镜像文件对应的目标签名文件和启动校验公钥；
计算单元，用于根据所述启动校验公钥对所述目标签名文件进行解密，获得第一哈希值，并对所述启动镜像文件进行哈希运算，获得第二哈希值：
比较单元，用于比较所述第一哈希值和所述第二哈希值；
第一判断单元，用于在所述第一哈希值和所述第二哈希值相同的情况下，确定所述第一等级固件的启动镜像文件通过合法性校验；
第二判断单元，用于在所述第一哈希值和所述第二哈希值不同的情况下，确定所述第一等级固件的启动镜像文件未通过合法性校验；
第三判断单元，用于读取公钥摘要，并根据所述公钥摘要对所述第一等级固件的启动镜像文件进行完整性校验。
在一种可行的实施方式中，第一校验子模块还包括第一加密单元，第一加密单元包括：
第一加密子单元，用于对所述第一等级固件的启动镜像文件，采用非对称加密算法和启动校验私钥进行加密，生成所述第一等级固件的启动镜像文件对应的目标签名文件；
第二加密子单元，用于在所述非对称加密算法中输入的所述启动校验私钥，生成所述启动校验公钥。
在一种可行的实施方式中，第一校验子模块还包括第二加密单元，第二加密单元包括：
私钥生成子单元，用于生成工厂安全密钥配置私钥；
私钥整理子单元，用于输入所述工厂安全密钥配置私钥的二进制数据和纯文本熔断机制数据，并进行整理和排列，获得目标密钥数据；
私钥加密子单元，用于对所述目标密钥数据进行加密，生成所述启动校验私钥。
在一种可行的实施方式中，第一校验子模块还包括写入单元，写入单元包括：
信息发送子单元，用于将所述启动校验私钥、所述第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入熔断保护区域中进行储存，并同时向所述熔断保护区域写入熔断指令，其中，所述熔断保护区域位于所述第一等级固件的一次性可编程区域中。
需要说明的是，本实施例中的操作系统启动装置中各模块是与前述实施例中的控制器启动方法及装置中的各步骤一一对应，因此，本实施例的具体实施方式可参照前述控制器启动方法及装置的实施方式，这里不再赘述。
基于同一发明构思，本申请的实施例还提供一种电子设备，电子设备包括：
至少一个处理器；以及，
与至少一个处理器通信连接的存储器；其中，
存储器存储有可被至少一个处理器执行的计算机程序，计算机程序被至少一个处理器执行，以使至少一个处理器能够执行控制器启动方法。
基于同一发明构思，本申请的实施例还提供一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时实现电路板控制器启动方法。
基于同一发明构思，本申请的实施例还提供一种计算机程序产品，计算机程序产品在被处理器时，实现控制器启动方法。
本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用储存介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明实施例是参照根据本发明实施例的方法、终端设备(装置)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。“和/或”表示可以选择两者之中的任意一个，也可以两者都选择。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。
以上对本发明所提供的一种控制器启动方法、装置、电子设备及储存介质，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。
Claims (10)
1.一种控制器启动方法，其特征在于，所述方法包括：
按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验；
在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动；
在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。
2.根据权利要求1所述的控制器启动方法，其特征在于，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验的步骤包括：
对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验；
在所述第一等级固件的启动镜像文件通过所述合法性校验和完整性校验的情况下，再对所述安全启动信任链上的多个第二等级固件的启动镜像文件进行合法性校验和完整性校验；其中，所述第一等级固件的执行权限高于所述第二等级固件的执行权限。
3.根据权利要求2所述的控制器启动方法，其特征在于，对所述安全启动信任链上第一等级固件的启动镜像文件进行合法性校验和完整性校验的步骤包括：
读取所述第一等级固件的启动镜像文件、所述启动镜像文件对应的目标签名文件和启动校验公钥；
根据所述启动校验公钥对所述目标签名文件进行解密，获得第一哈希值，并对所述启动镜像文件进行哈希运算，获得第二哈希值：
比较所述第一哈希值和所述第二哈希值；
在所述第一哈希值和所述第二哈希值相同的情况下，确定所述第一等级固件的启动镜像文件通过合法性校验；
在所述第一哈希值和所述第二哈希值不同的情况下，确定所述第一等级固件的启动镜像文件未通过合法性校验；
读取公钥摘要，并根据所述公钥摘要对所述第一等级固件的启动镜像文件进行完整性校验。
4.根据权利要求3所述的控制器启动方法，其特征在于，所述第一等级固件的启动镜像文件对应的目标签名文件和启动校验公钥是通过以下步骤获得的；
对所述第一等级固件的启动镜像文件，采用非对称加密算法和启动校验私钥进行加密，生成所述第一等级固件的启动镜像文件对应的目标签名文件；
在所述非对称加密算法中输入的所述启动校验私钥，生成所述启动校验公钥。
5.根据权利要求4所述的控制器启动方法，其特征在于，所述启动校验私钥是通过以下步骤获得的：
生成工厂安全密钥配置私钥；
输入所述工厂安全密钥配置私钥的二进制数据和纯文本熔断机制数据，并进行整理和排列，获得目标密钥数据；
对所述目标密钥数据进行加密，生成所述启动校验私钥。
6.根据权利要求5所述的控制器启动方法，其特征在于，在对所述目标密钥数据进行加密，生成所述启动校验私钥的步骤之后，所述方法还包括：
将所述启动校验私钥、所述第一等级固件的启动镜像文件对应的目标签名文件以及所述启动校验公钥写入熔断保护区域中进行储存，并同时向所述熔断保护区域写入熔断指令，其中，所述熔断保护区域位于所述第一等级固件的一次性可编程区域中。
7.根据权利要求6所述的控制器启动方法，其特征在于，所述方法还包括：
所述熔断保护区域在接收到所述熔断指令之后，变更其标志位的状态，并且只响应数据读取请求，不响应数据写入请求。
8.一种控制器启动装置，其特征在于，所述装置包括：
校验模块，用于按照加载运行顺序，对安全启动信任链上各级固件的启动镜像文件逐级进行安全校验；
第一执行模块，用于在所述逐级安全校验通过的情况下，逐级加载运行所述各级固件的启动镜像文件，以引导所述控制器完成启动；
第二执行模块，用于在所述逐级安全校验未通过的情况下，禁止加载运行不安全固件的启动镜像文件，并终止启动所述控制器。
9.一种电子设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；
存储器，用于存放计算机程序；
处理器，用于执行存储器上所存放的程序时，实现如权利要求1-7任一所述的控制器启动方法。
10.一种储存介质，其特征在于，所述储存介质存储有计算机指令，所述计算机指令被处理器执行时实现上述权利要求1-7任意一项所述的控制器启动方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211592121.0A CN115934194A (zh) | 2022-12-12 | 2022-12-12 | 一种控制器启动方法、装置、电子设备及储存介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202211592121.0A CN115934194A (zh) | 2022-12-12 | 2022-12-12 | 一种控制器启动方法、装置、电子设备及储存介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN115934194A true CN115934194A (zh) | 2023-04-07 |
Family
ID=86698843
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202211592121.0A Pending CN115934194A (zh) | 2022-12-12 | 2022-12-12 | 一种控制器启动方法、装置、电子设备及储存介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN115934194A (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116775145A (zh) * | 2023-05-04 | 2023-09-19 | 合芯科技(苏州)有限公司 | 一种服务器的启动恢复方法、装置、设备及存储介质 |
| CN117786666A (zh) * | 2024-02-26 | 2024-03-29 | 九音科技(南京)有限公司 | 功能代码的启动校验方法、装置、电子设备及存储介质 |
| CN117874773A (zh) * | 2024-03-12 | 2024-04-12 | 麒麟软件有限公司 | 基于安全等级管控策略的操作系统安全启动方法及装置 |
-
2022
- 2022-12-12 CN CN202211592121.0A patent/CN115934194A/zh active Pending
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116775145A (zh) * | 2023-05-04 | 2023-09-19 | 合芯科技(苏州)有限公司 | 一种服务器的启动恢复方法、装置、设备及存储介质 |
| CN117786666A (zh) * | 2024-02-26 | 2024-03-29 | 九音科技(南京)有限公司 | 功能代码的启动校验方法、装置、电子设备及存储介质 |
| CN117786666B (zh) * | 2024-02-26 | 2024-05-31 | 九音科技(南京)有限公司 | 功能代码的启动校验方法、装置、电子设备及存储介质 |
| CN117874773A (zh) * | 2024-03-12 | 2024-04-12 | 麒麟软件有限公司 | 基于安全等级管控策略的操作系统安全启动方法及装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN106656502B (zh) | 计算机系统及安全执行的方法 | |
| CN100454322C (zh) | 具有启动验证功能的信息处理装置 | |
| KR101476948B1 (ko) | 변형 억제 부팅 시스템 및 방법 | |
| JP5079803B2 (ja) | ゲーム装置を認証するシステムおよび方法 | |
| CN102208000B (zh) | 为虚拟机镜像提供安全机制的方法和系统 | |
| RU2413295C2 (ru) | Система и способ для защищенной начальной загрузки операционной системы с использованием проверки состояния | |
| US8171275B2 (en) | ROM BIOS based trusted encrypted operating system | |
| CN115934194A (zh) | 一种控制器启动方法、装置、电子设备及储存介质 | |
| AU2008200225B2 (en) | ROM bios based trusted encrypted operating system | |
| CN101983375A (zh) | 将密码模块绑定到平台 | |
| US10181956B2 (en) | Key revocation | |
| CN112685338B (zh) | 包括安全可修补rom的半导体装置及其修补方法 | |
| CN109814934B (zh) | 数据处理方法、装置、可读介质和系统 | |
| US20210367781A1 (en) | Method and system for accelerating verification procedure for image file | |
| CN111147259B (zh) | 鉴权方法和设备 | |
| CN117556430B (zh) | 一种安全启动方法、装置、设备及存储介质 | |
| CN107924440B (zh) | 用于管理容器的方法、系统和计算机可读介质 | |
| CN108694322B (zh) | 用于对计算机化系统进行初始化的方法及计算机化系统 | |
| CN104899524A (zh) | 中央处理器和验证主机板数据的方法 | |
| CN116561734A (zh) | 一种验证方法、装置、计算机及计算机配置系统 | |
| CN112861137A (zh) | 安全固件 | |
| Jyothi et al. | Tpm based secure boot in embedded systems | |
| JP2024507531A (ja) | デジタルデバイスのためのトラステッドコンピューティング | |
| US12019752B2 (en) | Security dominion of computing device | |
| CN113282930B (zh) | 具有固件验证机制的电脑系统及其固件验证方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |