DE102018126136A1 - Technologien zur biometrischen Authentifizierung vor dem Booten - Google Patents

Technologien zur biometrischen Authentifizierung vor dem Booten Download PDF

Info

Publication number
DE102018126136A1
DE102018126136A1 DE102018126136.5A DE102018126136A DE102018126136A1 DE 102018126136 A1 DE102018126136 A1 DE 102018126136A1 DE 102018126136 A DE102018126136 A DE 102018126136A DE 102018126136 A1 DE102018126136 A1 DE 102018126136A1
Authority
DE
Germany
Prior art keywords
execution environment
data processing
secure execution
biometric
processing device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE102018126136.5A
Other languages
English (en)
Inventor
Reshma Lal
Richard Edgecombe
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of DE102018126136A1 publication Critical patent/DE102018126136A1/de
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Mathematical Physics (AREA)
  • Storage Device Security (AREA)

Abstract

Es wird ein Verfahren zum Bereitstellen von Authentifizierungsdiensten für eine Hardwarekomponente in einer sicheren Ausführungsumgebung während eines Vor-Boot-Prozesses bereitgestellt. Das Verfahren wird unter Verwendung einer Datenverarbeitungsvorrichtung implementiert. Das Verfahren umfasst Laden einer biometrischen Authentifizierungsenklave in der sicheren Ausführungsumgebung, wobei die sichere Ausführungsumgebung von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung isoliert ist, und Empfangen einer biometrischen Vorlage von einer Netzwerkquelle durch eine Verwaltbarkeitssteuerung. Das Verfahren umfasst außerdem gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der biometrischen Authentifizierungsenklave und Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die biometrische Authentifizierungsenklave als Reaktion auf gegenseitige Authentifizierung. Das Verfahren umfasst ferner Authentifizieren einer biometrischen Eingabe durch die biometrische Authentifizierungsenklave unter Verwendung der biometrischen Vorlage. Das Verfahren kann ferner Bereitstellen von Zugang zu einer Hardwarekomponente als Reaktion auf Authentifizieren der biometrischen Eingabe umfassen.

Description

  • STAND DER TECHNIK
  • Aktuelle Prozessoren können Unterstützung für eine vertrauenswürdige Ausführungsumgebung, wie etwa eine sichere Enklave, bereitstellen. Sichere Enklaven umfassen Segmente von Speicher (die Code und/oder Daten umfassen), die durch den Prozessor vor unbefugtem Zugriff, darunter unbefugte Lesevorgänge und Schreibvorgänge, geschützt werden. Insbesondere können bestimmte Prozessoren Software Guard Extensions (SGX) von Intel® umfassen, um Unterstützung sicherer Enklaven bereitzustellen. Insbesondere stellt SGX Vertraulichkeit, Integrität und Replay-Schutz für die Daten der sicheren Enklave bereit, während die Daten im Plattformspeicher residieren, und stellt somit Schutz sowohl vor Software- als auch vor Hardwareattacken bereit. Die On-Chip-Grenze bildet eine natürliche Sicherheitsgrenze, wobei Daten und Code im Klartext gespeichert und als sicher angenommen werden können. SGX von Intel® schützt nicht E/A-Daten, die sich über die On-Chip-Grenze bewegen.
  • Technologie der vertrauenswürdigen E/A (TIO - Trusted E/O) ermöglicht einer Anwendung, E/A-Daten sicher zu/von einer Vorrichtung zu senden und/oder zu empfangen. Diese E/A-Daten können Authentifizierungsdaten umfassen. Zum Beispiel kann eine E/A-Vorrichtung Authentifizierungsdaten bereitstellen (z. B. Benutzernamen, Passwörter, biometrische Daten oder dergleichen). Im Fall von biometrischen Daten kann eine biometrische E/A-Vorrichtung zum Beispiel ein Fingerabdruckbild für einen Benutzer bereitstellen, das mit einer biometrischen Vorlage verglichen wird, die ein gespeichertes Fingerabdruckbild oder andere biometrische Daten für diesen Benutzer umfasst, um den Benutzer zu authentifizieren. Solche biometrischen Daten und biometrischen Vorlagen sind sensible und persönlich identifizierbare Daten, die für Eindringungen oder Attacken durch unbefugte Individuen anfällig sein können, die versuchen, sich als der autorisierte Benutzer zu authentifizieren. Unbefugte Individuen können zum Beispiel wünschen, unter Verwendung von Authentifizierungs-Berechtigungsnachweisen oder Daten, die durch unbefugte Mittel empfangen werden, Zugriff auf eine verschlüsselte Komponente (z. B. eine verschlüsselte Festplatte) zu erhalten.
  • Figurenliste
  • Die hier beschriebenen Konzepte werden in den beigefügten Figuren anhand von Beispielen veranschaulicht und nicht als Beschränkung. Der Einfachheit und Klarheit der Darstellung halber sind Elemente, die in den Figuren dargestellt sind, nicht unbedingt maßstabsgetreu gezeichnet. Wenn es als angemessen betrachtet wird, wurden Bezugszeichen in den Figuren wiederholt, um entsprechende oder analoge Elemente anzugeben.
    • 1 ist eine vereinfachte Blockdarstellung mindestens einer Ausführungsform einer Datenverarbeitungsvorrichtung zur biometrischen Authentifizierung vor dem Booten;
    • 2 ist eine vereinfachte Blockdarstellung mindestens einer Ausführungsform einer Umgebung der Datenverarbeitungsvorrichtung von 1;
    • 3 ist ein vereinfachtes Flussdiagramm mindestens einer Ausführungsform eines Verfahrens zur sicheren biometrischen Authentifizierung vor dem Booten, das durch die Datenverarbeitungsvorrichtung von 1-2 ausgeführt werden kann;
    • 4 ist ein vereinfachtes Flussdiagramm mindestens einer Ausführungsform eines Verfahrens zur gegenseitigen Komponentenauthentifizierung und sicheren Bereitstellung biometrischer Vorlagen, das durch die Datenverarbeitungsvorrichtung von 1-2 ausgeführt werden kann;
    • 5 ist ein vereinfachtes Flussdiagramm mindestens einer Ausführungsform eines Verfahrens zur gegenseitigen Komponentenauthentifizierung, das durch die Datenverarbeitungsvorrichtung von 1-2 ausgeführt werden kann; und
    • 6 ist ein vereinfachtes Flussdiagramm mindestens einer Ausführungsform eines Verfahrens zur sicheren biometrischen Authentifizierung vor dem Booten, das durch die Datenverarbeitungsvorrichtung von 1-2 ausgeführt werden kann.
  • AUSFÜHRLICHE BESCHREIBUNG DER ZEICHNUNGEN
  • Obgleich verschiedene Abwandlungen und alternative Formen der Konzepte der vorliegenden Offenbarung möglich sind, wurden in den Zeichnungen spezifische Ausführungsformen derselben beispielhaft gezeigt und werden hier ausführlich beschrieben. Es ist jedoch offensichtlich, dass keine Absicht besteht, die Konzepte der vorliegenden Offenbarung auf die einzelnen offenbarten Formen zu beschränken, sondern dass vielmehr beabsichtigt ist, alle Änderungen, Äquivalente und Alternativen abzudecken, die mit der vorliegenden Offenbarung und den beigefügten Ansprüchen im Einklang sind.
  • In dieser Beschreibung bedeutet die Bezugnahme auf „eine einzige Ausführungsform“, „eine Ausführungsform“, „eine veranschaulichende Ausführungsform“ etc., dass die beschriebene Ausführungsform ein bestimmtes Merkmal, eine bestimmte Struktur oder eine bestimmte kennzeichnende Eigenschaft aufweisen kann, jede Ausführungsform dieses bestimmte Merkmal, diese bestimmte Struktur oder diese kennzeichnende Eigenschaft aufweisen kann, aber nicht notwendigerweise muss. Darüber hinaus beziehen sich solche Ausdrücke nicht erforderlicherweise auf dieselbe Ausführungsform. Wenn ein bestimmtes Merkmal, eine bestimmte Struktur oder eine bestimmte kennzeichnende Eigenschaft in Verbindung mit einer Ausführungsform beschrieben wird, wird außerdem geltend gemacht, dass dem Fachmann bekannt ist, ein solches Merkmal, eine solche Struktur oder eine solche kennzeichnende Eigenschaft in Verbindung mit anderen Ausführungsformen auszuführen, unabhängig davon, ob sie explizit beschrieben wurden, oder nicht. Darüber hinaus ist zu beachten, dass Punkte, die in einer Liste in Form von „mindestens ein(e/s) A, B und C“ enthalten sind, Folgendes bedeuten können: (A); (B); (C); (A und B); (A und C); (B und C); oder (A, B und C). Analog können Punkte, die in einer Liste in Form von „mindestens ein(e/s) von A, B und C“ enthalten sind, Folgendes bedeuten: (A); (B); (C); (A und B); (A und C); (B und C); oder (A, B und C).
  • Die offenbarten Ausführungsformen können in einigen Fällen in Hardware, Firmware, Software oder einer beliebigen Kombination davon implementiert sein. Die offenbarten Ausführungsformen können auch als Anweisungen implementiert sein, die von/auf einem flüchtigen oder nichtflüchtigen maschinenlesbaren (z. B. computerlesbaren) Speichermedium getragen oder gespeichert werden und die von einem oder mehreren Prozessoren ausgelesen und ausgeführt werden können. Ein maschinenlesbares Speichermedium kann als eine beliebige Speichervorrichtung, als ein beliebiger Mechanismus oder als eine andere physische Struktur zum Speichern oder Übertragen von Informationen in einer von einer Maschine lesbaren Form (z. B. ein flüchtiger oder nichtflüchtiger Arbeitsspeicher, eine Datenträgerscheibe oder eine andere Datenträgervorrichtung) ausgeführt sein.
  • In den Zeichnungen können einige Struktur- oder Verfahrensmerkmale in spezifischen Anordnungen und/oder Reihenfolgen dargestellt sein. Es sollte jedoch erkennbar sein, dass solche spezifischen Anordnungen und/oder Reihenfolgen möglicherweise nicht erforderlich sind. Vielmehr können solche Merkmale in einigen Ausführungsformen in anderer Art und Weise und/oder anderer Reihenfolge, als in den veranschaulichenden Figuren dargestellt, angeordnet sein. Darüber hinaus soll die Einbeziehung eines Struktur- oder Verfahrensmerkmals in einer bestimmten Figur nicht bedeuten, dass ein solches Merkmal in allen Ausführungsformen erforderlich ist und das Merkmal kann in einigen Ausführungsformen nicht enthalten oder mit anderen Merkmalen kombiniert sein.
  • Nunmehr mit Bezug auf 1 ist eine beispielhafte Datenverarbeitungsvorrichtung 100 für biometrische Authentifizierung vor dem Booten gezeigt. Im Gebrauch erzeugt, wie nachfolgend weiter beschrieben wird, die Datenverarbeitungsvorrichtung 100 eine sichere Ausführungsumgebung, die biometrische Authentifizierung vor dem Booten unter Verwendung einer biometrischen Vorlage ermöglicht, die von einer Netzwerkquelle empfangen wird. Die sichere Ausführungsumgebung ist von nicht vertrauenswürdiger Software isoliert. Im vorliegenden Gebrauch umfasst nicht vertrauenswürdige Software jede Software oder Anwendung außerhalb der vertrauenswürdigen Codebasis der Datenverarbeitungsvorrichtung 100, wie etwa des Betriebssystems der Datenverarbeitungsvorrichtung 100 oder einer Vor-Boot-Firmware-Umgebung der Datenverarbeitungsvorrichtung 100. Zur Zeit vor dem Booten kann nicht vertrauenswürdige Software ein Eintrittspunkt oder eine Attackenoberfläche sein, die zum Zugreifen auf biometrische Authentifizierungsdaten verwendet werden könnte.
  • Innerhalb eines Vor-Boot-Prozesses lädt die Datenverarbeitungsvorrichtung 100 die sichere Ausführungsumgebung. Spezieller lädt die Datenverarbeitungsvorrichtung 100 eine minimale oder anderweitig leichte Firmware-Anwendung. Die Firmware-Anwendung leitet die sichere Ausführungsumgebung ein, mit der dann eine biometrische Authentifizierungsenklave gehostet werden kann. Die Datenverarbeitungsvorrichtung 100 empfängt eine biometrische Vorlage von einer Netzwerkquelle, die kommunikativ mit einer Verwaltbarkeitssteuerung oder einem anderen Coprozessor der Datenverarbeitungsvorrichtung 100 gekoppelt sein kann. Die Verwaltbarkeitssteuerung empfängt die biometrische Vorlage von der Netzwerkquelle und stellt, sobald die Authentifizierungsenklave erstellt wurde, sicher die biometrische Vorlage für einen Prozessor der Datenverarbeitungsvorrichtung 100 bereit. Die biometrische Firmware-Authentifizierungsenklave authentifiziert eine (z. B. von einer biometrischen E/A-Vorrichtung empfangene) biometrische Eingabe durch Vergleichen dieser mit der biometrischen Vorlage. Wenn die biometrische Eingabe validiert wird, genehmigt die biometrische Authentifizierungsenklave den Zugang abhängig von der biometrischen Authentifizierung. Die biometrische Authentifizierung kann zum Beispiel durch einen Benutzer eingeleitet werden, um Zugang zu einer Hardwarekomponente, wie etwa einer verschlüsselten Datenspeichervorrichtung, (z. B. eine im ganzen Laufwerk verschlüsselte Festplatte) zu erhalten. Nachdem Zugang gewährt wird, kann der Vor-Boot-Prozess abgeschlossen werden und die Datenverarbeitungsvorrichtung 100 oder eine andere Datenverarbeitungsvorrichtung weiter booten.
  • Einige bekannte Systeme sind bezüglich ihrer Fähigkeit, biometrische Daten zu schützen oder biometrische Daten zur Hardwareverschlüsselung zu verwenden, beschränkt. Die offenbarten Ausführungsformen stellen gegenüber diesen bekannten Systemen mehrere Vorteile bereit. Zum Beispiel gewährleistet die beispielhafte Ausführungsform sichere Speicherung biometrischer Daten im Ruhezustand. Spezieller können zur Vor-Boot-Zeit biometrische Daten sicher einer biometrischen Authentifizierungsenklave bereitgestellt werden (z. B. mittels eines sicheren Kanals, der nicht vertrauenswürdiger Software nicht zugänglich ist). Nachdem die biometrischen Daten bereitgestellt sind, kann die biometrische Authentifizierungsenklave die biometrischen Daten zum Authentifizieren eines Benutzers verwenden. Während die biometrischen Daten nicht zur Authentifizierung verwendet werden, können sie durch die Verwaltbarkeitssteuerung der Datenverarbeitungsvorrichtung 100 sicher gespeichert werden. Folglich können die biometrischen Daten sicher gespeichert werden, ohne dass die biometrischen Daten jemals nicht vertrauenswürdiger Software zugänglich sind. Zum Beispiel kann ein Betriebssystem der Datenverarbeitungsvorrichtung 100 als nicht vertrauenswürdige Software betrachtet werden. Folglich kann ein Attackierer das Betriebssystem nicht (z. B. unter Verwendung eines Virus, Bootkit, Rootkit oder eines beliebigen anderen Programms, das mit dem Betriebssystem beim oder nach dem Booten geladen würde) als Eintrittspunkt zum Zugriff auf die biometrischen Daten benutzen.
  • Außerdem erlauben die beispielhaften Ausführungsformen auch Verschlüsselung der ganzen Platte. Da die biometrische Authentifizierungsenklave biometrische Authentifikation durchführt, bevor die Datenverarbeitungsvorrichtung 100 gebootet hat, kann die gesamte Platte (zum Beispiel einschließlich des Masterboot Record) verschlüsselt und später zur Vor-Boot-Zeit entschlüsselt werden. Die beispielhaften Ausführungsformen machen ein unverschlüsseltes Volumen oder ein getrenntes sicheres Betriebssystem, von dem aus eine Datenverarbeitungsvorrichtung sicher gebootet wird, um Vor-Boot-Attacken zu verhindern, überflüssig. Außerdem dienen die beispielhaften Ausführungsformen auch zur Entfernung von BIOS-Code aus der TCB (Trusted Computing Base) der Datenverarbeitungsvorrichtung 100. Wie der oben erwähnte Betriebssystemcode kann BIOS-Code auch für Attacken anfällig sein oder durch einen gewissenlosen Benutzer kompromittiert werden. Bei der beispielhaften Ausführungsform kann, weil BIOS-Code nicht Teil der TCB ist, der BIOS-Code nicht zur Verwendung zum Eindringen in die Datenverarbeitungsvorrichtung 100 verfügbar sein (z. B. um biometrische Daten zu stehlen).
  • Die Datenverarbeitungsvorrichtung 100 kann als eine beliebige Art von Vorrichtung realisiert werden, die in der Lage ist, die hier beschriebenen Funktionen auszuführen. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100, ohne Beschränkung, als ein Computer, ein Laptop-Computer, ein Tablet-Computer, ein Notebook-Computer, eine mobile Datenverarbeitungsvorrichtung, ein Smartphone, eine Wearable-Datenverarbeitungsvorrichtung, ein Mehrprozessorsystem, ein Server, eine Workstation und/oder eine Verbraucherelektronikvorrichtung realisiert werden. Wie in 1 gezeigt, umfasst die beispielhafte Datenverarbeitungsvorrichtung 100 einen Prozessor 120, ein E/A-Subsystem 128, ein Filter 130 für die Kanalkennung (CID), einen Speicher 134, eine Datenspeicherungsvorrichtung 136 und eine oder mehrere E/A-Steuerungen 142. Außerdem können bei einigen Ausführungsformen eine oder mehrere der beispielhaften Komponenten in eine andere Komponente integriert sein oder anderweitig einen Teil dieser bilden. Zum Beispiel kann der Speicher 134 oder Teile davon bei einigen Ausführungsformen in dem Prozessor 120 integriert sein.
  • Der Prozessor 120 kann als eine beliebige Art von Prozessor realisiert werden, der in der Lage ist, die hier beschriebenen Funktionen auszuführen. Zum Beispiel kann der Prozessor 120 als ein Einzel- oder Mehrkernprozessor(en), digitaler Signalprozessor, Mikrocontroller oder anderer Prozessor oder eine andere Verarbeitungs-/Steuerungsschaltung realisiert werden. Wie gezeigt, umfasst der Prozessor 120 beispielhaft Unterstützung 122 sicherer Enklaven, eine Kryptografie-Engine 124 und eine Anweisungssatzarchitektur (ISA) der Kryptografie-Engine 126. Die Unterstützung 122 sicherer Enklaven erlaubt es dem Prozessor 120, eine als sichere Enklave bekannte vertrauenswürdige Ausführungsumgebung herzustellen, in der Ausführung von Code als authentisch gemessen, verifiziert und/oder anderweitig bestimmt werden kann. Außerdem können Code und Daten, die in der sicheren Enklave enthalten sind, verschlüsselt oder anderweitig davor geschützt werden, dass außerhalb der sicheren Enklave ausgeführter Code auf sie zugreifen. Zum Beispiel können Code und Daten, die in der sicheren Enklave enthalten sind, durch Hardware-Schutzmechanismen des Prozessors 120 geschützt werden, während sie ausgeführt werden oder während sie in einem bestimmten geschützten Cache-Speicher des Prozessors 120 gespeichert sind. Der Code und die Daten, die in der sicheren Enklave enthalten sind, können beim Speichern in einem geteilten Cache oder dem Hauptspeicher 134 verschlüsselt werden. Die Unterstützung 122 sicherer Enklaven kann als eine Menge von Prozessoranweisungserweiterungen realisiert werden, die es dem Prozessor 120 erlaubt, eine oder mehrere sichere Enklaven in dem Speicher 134 herzustellen. Zum Beispiel kann die Unterstützung 122 sicherer Enklaven als eine SGX-Technologie (Software Guard Extensions) von Intel® realisiert werden.
  • Die Kryptografie-Engine 124 kann als ein oder mehrere Hardware-Funktionsblöcke (IP-Blöcke), Mikrocode oder andere Ressourcen des Prozesses 120, wodurch dem Prozessor 120 erlaubt wird, Funktionen der vertrauenswürdigen E/A (TIO) auszuführen, realisiert werden. Zum Beispiel kann, wie nachfolgend weiter beschrieben wird, die Kryptografie-Engine 124 TIO-Funktionen wie Verschlüsselung und/oder Entschlüsselung von biometrischen Vorlagen, die von der Verwaltbarkeitssteuerung 140 empfangen werden, ausführen. Insbesondere können, wie nachfolgend weiter beschrieben wird, bei einigen Ausführungsformen biometrische Vorlagen in einer TIO-PRM-Region (reservierter Speicher des TIO-Prozessors) gespeichert werden, die Software der Datenverarbeitungsvorrichtung 100 nicht zugänglich ist, und die Kryptografie-Engine 124 kann zum Verschlüsseln der biometrischen Vorlagen und späteren Bereitstellung dieser für eine biometrische Authentifizierungsanwendung verwendet werden. Der Prozessor 120 kann auch ein oder mehrere Bereichsregister oder andere Merkmale umfassen, um den TIO-PRM vor unbefugtem Zugriff zu schützen.
  • Die Kryptografie-Engine-ISA 126 kann als eine oder mehrere Prozessoranweisungen, modellspezifische Register oder andere Prozessormerkmale realisiert werden, wodurch es durch den Prozessor 120 ausgeführter Software erlaubt wird, die Kryptografie-Engine 124 und ein später zu beschreibendes entsprechendes CID-Filter 130 sicher zu programmieren und anderweitig zu benutzen. Zum Beispiel kann die Kryptografie-Engine-ISA 126 eine Prozessoranweisung zum Binden von Programmieranweisungen oder anderen Daten an die Kryptografie-Engine 124, das CID-Filter 130, eine E/A-Steuerung 142 und/oder andere Komponenten der Datenverarbeitungsvorrichtung 100, eine Prozessoranweisung zum Entwickeln der gebundenen Programmieranweisungen und Bereitstellen dieser für die Zielkomponente über ein Seitenbandnetzwerk oder ein anderes sicheres Koppelfeld der Datenverarbeitungsvorrichtung 100, eine Prozessoranweisung zum sicheren Kopieren und Verschlüsseln von Daten aus der TIO-PRN-Region in einen ungeschützten Speicherpuffer und/oder andere Prozessormerkmale umfassen.
  • Der Speicher 134 kann als eine beliebige Art von flüchtigem oder nichtflüchtigem Speicher oder Datenspeicherung mit der Fähigkeit zum Ausführen der hier beschriebenen Funktionen realisiert werden. Im Betrieb kann der Speicher 134 verschiedene Daten und Software speichern, die während des Betriebs der Datenverarbeitungsvorrichtung 100 verwendet werden, wie etwa Betriebssysteme, Anwendungen, Programme, Bibliotheken und Treiber. Wie nachfolgend weiter beschrieben wird, kann der Speicher 134 auch die TIO-PRM-Region umfassen. Der Speicher 134 ist beispielhaft mit einem Datenport 132 verbunden, um Daten von dem Prozessor 120 und dem E/A-Subsystem 128 zu senden und zu empfangen. Zusätzlich oder als Alternative kann der Speicher 134 über das E/A-Subsystem 128, das als Schaltkreise und/oder Komponenten zur Ermöglichung von Eingabe-/Ausgabeoperationen mit dem Prozessor 120, dem Speicher 134 und anderen Komponenten der Datenverarbeitungsvorrichtung 100 realisiert sein kann, kommunikativ mit dem Prozessor 120 gekoppelt sein. Zum Beispiel kann das E/A-Subsystem 128 als Speichercontroller-Hubs, Eingabe-/Ausgabe-Steuerhubs, Sensorhubs, Hoststeuerungen, Firmwarevorrichtungen, Kommunikationsverbindungen (d. h. Punkt-zu-Punkt-Verbindungen, Busverbindungen, Leitungen, Kabel, Lichtleiter, Leiterplattenbahnen usw.) und/oder andere Komponenten und Subsysteme zur Ermöglichung der Eingabe-/Ausgabeoperationen realisiert oder anderweitig darin enthalten sein. Bei einigen Ausführungsformen kann der Speicher 134 direkt mit dem Prozessor 120 gekoppelt sein, zum Beispiel über einen integrierten Speichercontrollerhub. Das E/A-Subsystem 128 kann ferner ein Seitenband-Netzwerk, ein sicheres Koppelfeld oder eine andere sichere Routingunterstützung umfassen. Die sichere Routingunterstützung kann Hardwareunterstützung umfassen, um sicherzustellen, dass E/A-Daten nicht unter dem Einfluss von Schurkensoftware falsch in dem E/A-Subsystem 128 geroutet werden können. Die sichere Routingunterstützung kann mit dem CID-Filter 130 verwendet werden, um kryptografischen Schutz von E/A-Daten bereitzustellen. Außerdem kann bei einigen Ausführungsformen das E/A-Subsystem 128 einen Teil eines SoC (System auf einem Chip) bilden und kann zusammen mit dem Prozessor 120, dem Speicher 134 und anderen Komponenten der Datenverarbeitungsvorrichtung 100 auf einem einzigen integrierten Schaltungschip integriert sein. Zusätzlich oder als Alternative kann bei einigen Ausführungsformen der Prozessor 120 einen integrierten Speichercontroller und einen Systemagenten umfassen, die als Logikblock realisiert werden können, in dem Datenverkehr von Prozessorkernen und E/A-Vorrichtungen konvergiert, bevor er zum Speicher 134 gesendet wird.
  • Die Datenspeicherungsvorrichtung 136 kann als eine beliebige Art von Vorrichtung oder Vorrichtungen, ausgelegt zur kurzfristigen oder langfristigen Speicherung von Daten, realisiert werden, wie zum Beispiel als Speichervorrichtungen und -schaltungen, Speicherkarten, Festplattenlaufwerke, Halbleiterlaufwerke, nichtflüchtiger Flash-Speicher oder andere Datenspeicherungsvorrichtungen. Wie nachfolgend weiter beschrieben wird, können mit der Datenspeicherungsvorrichtung 136 versiegelte Bindungsidentitäten oder andere Daten gespeichert werden, auf die sichere Enklaven der Datenverarbeitungsvorrichtung 100 zugreifen können. Die Datenverarbeitungsvorrichtung 100 kann auch ein Kommunikations-Subsystem 138 umfassen, das als eine beliebige Kommunikationsschaltung, Vorrichtung oder Ansammlung davon mit der Fähigkeit zur Ermöglichung von Kommunikation zwischen der Datenverarbeitungsvorrichtung 100 und anderen entfernten Vorrichtungen über ein (nicht gezeigtes) Computernetzwerk realisiert sein kann. Das Kommunikations-Subsystem 138 kann dafür ausgelegt sein, eine beliebige oder mehrere Kommunikationstechnologien (z. B. verdrahtete oder drahtlose Kommunikation) und zugeordnete Protokolle (z. B. Ethernet, Bluetooth®, Wi-Fi®, WiMAX, 3G, 4G LTE, usw.) zur Bewirkung solcher Kommunikation zu verwenden.
  • Das CID-Filter 130 kann als eine beliebige Hardwarekomponente, ein beliebiger Funktionsblock, beliebige Logik oder eine beliebige andere Schaltung realisiert werden, die Filterungsfunktion(en) der Kanalkennung (CID) ausführt, darunter Filterung von E/A-Transaktionen auf der Basis von durch die E/A-Steuerungen 142 eingefügten CID. Zum Beispiel kann das CID-Filter 130 DMA-Transaktionen inline beobachten, auf der Basis der CID und Speicheradresse, die in der Transaktion enthalten ist, Test(s) durchführen und Transaktionen abwerfen, die den Test bzw. die Tests nicht bestehen. Bei der beispielhaften Ausführungsform ist das CID-Filter 130 in das E/A-Subsystem 128 integriert. Bei anderen Ausführungsformen kann das CID-Filter 130 in einer oder mehreren anderen Komponenten und/oder in einem SoC in dem Prozessor 120 und dem E/A-Subsystem 128 als getrennte Komponente enthalten sein.
  • Wie gezeigt, umfasst die Datenverarbeitungsvorrichtung 100 ferner eine Verwaltbarkeitssteuerung 140. Die Verwaltbarkeitssteuerung 140 kann als eine beliebige Hardwarekomponente bzw. beliebige Hardwarekomponenten oder Schaltkreise realisiert werden, die in der Lage sind, Verwaltbarkeit und sicherheitsbezogene Dienste für die Datenverarbeitungsvorrichtung 100 bereitzustellen. Insbesondere kann die Verwaltbarkeitssteuerung 140 einen Mikroprozessor, einen Mikrocontroller oder eine andere eingebettete Steuerung mit der Fähigkeit zum Ausführen von Firmware und/oder anderem Code unabhängig und sicher von dem Prozessor 120 umfassen. Somit kann mit der Verwaltbarkeitssteuerung 140 eine vertrauenswürdige Ausführungsumgebung für die Datenverarbeitungsvorrichtung 100 hergestellt werden. Die Verwaltbarkeitssteuerung 140 kann über einen eigenen Bus, wie etwa HECI (Host Embedded Controller Interface) mit dem Prozessor 120 und/oder anderen Komponenten der Datenverarbeitungsvorrichtung 100 kommunizieren. Die Verwaltbarkeitssteuerung 140 kann auch Fernkonfiguration, Fernsteuerung oder Fernverwaltung der Datenverarbeitungsvorrichtung 100 bereitstellen. Beispielsweise ist die Verwaltbarkeitssteuerung 140 in ein SoC (System auf einem Chip) der Datenverarbeitungsvorrichtung 100 integriert; bei einigen Ausführungsformen kann die Datenverarbeitungsvorrichtung 100 jedoch eine oder mehrere zusätzliche Komponenten umfassen, die in der Lage sind, eine vertrauenswürdige Ausführungsumgebung herzustellen, wie etwa eine Sicherheitsengine, einen Außerband-Prozessor, ein TPM (Trusted Platform Module) und/oder eine andere Sicherheitsenginevorrichtung oder Ansammlung von Vorrichtungen.
  • Bei der beispielhaften Ausführungsform kann die Verwaltbarkeitssteuerung 140 als ein Coprozessor für die Datenverarbeitungsvorrichtung 100 realisiert werden. Anders ausgedrückt führt die Verwaltbarkeitssteuerung 140 zusätzliche oder Hilfsverarbeitung für die Datenverarbeitungsvorrichtung zusätzlich zu grundsätzlicher Verarbeitung aus, die zum Beispiel durch den (in 1 gezeigten) Prozessor 120 ausgeführt wird. Die Verwaltbarkeitssteuerung 140 kann selbst dann arbeiten, wenn sich der Prozessor 120 oder die Datenverarbeitungsvorrichtung 100 als Ganzes in dem Zustand befinden, der manchmal als „S0ix“-Zustand (oder „Schlafmodus“) oder anderer Energiesparzustand bezeichnet wird. Bei der dargestellten Ausführungsform ist die Verwaltbarkeitssteuerung 140 dafür ausgelegt, unabhängig vom Prozessor 120 zu arbeiten.
  • Die E/A-Steuerungen 142 können jeweils als eine beliebige biometrische E/A-Vorrichtungssteuerung, eingebettete Steuerung, Mikrocontroller, Mikroprozessor, Funktionsblock, Logik oder andere Schaltungen oder Ansammlung von Schaltungen mit der Fähigkeit zum Ausführen der hier beschriebenen Funktionen realisiert werden. Bei einigen Ausführungsformen können eine oder mehrere der E/A-Steuerungen 142 in einer anderen Komponente der Datenverarbeitungsvorrichtung 100, wie etwa dem E/A-Subsystem 128 und/oder dem Prozessor 120, eingebettet sein. Zusätzlich oder als Alternative können eine oder mehrere der E/A-Steuerungen 142 über einen Erweiterungsbus, wie etwa PCIe (PCI Express) oder eine andere E/A-Verbindung mit dem E/A-Subsystem 128 und/oder dem Prozessor 120 verbunden sein. Wie oben beschrieben, können die E/A-Steuerungen 142 zum Beispiel über einen Peripheriekommunikationsbus (z. B. USB, Bluetooth usw.) mit einer oder mehreren E/A-Vorrichtungen 144 kommunizieren. Die E/A-Vorrichtungen 144 können als eine beliebige E/A-Vorrichtung realisiert werden, wie etwa USB-Vorrichtungen, Mensch-Schnittstellenvorrichtungen, Fingerabdruckleser, Gesichtsmerkmal-Abbildungsvorrichtungen, Retina-Scanner oder andere biometrische Vorrichtungen, Tastaturen, Mäuse, Touchscreens, Mikrofone, Kameras oder andere Eingabevorrichtungen sowie Anzeigen und andere Ausgabevorrichtungen. Die E/A-Steuerungen 142 und zugeordneten DMA-Kanäle können unter Verwendung von Kennungen, die als CID (Kanalkennungen) bezeichnet werden, eindeutig identifiziert werden. Jede E/A-Steuerung 142 kann bei jeder vertrauenswürdigen E/A-DMA-Transaktion eine geeignete CID setzen, zum Beispiel als Teil eines TLP-Präfix (Transaction Layer Packet), um die Quelle der DMA-Transaktion eindeutig zu identifizieren und Liveness-Schutzmaßnahmen bereitzustellen. Die CID ermöglicht auch die Isolation der E/A von verschiedenen Vorrichtungen 144.
  • Nunmehr mit Bezug auf 2 stellt bei einer beispielhaften Ausführungsform die Datenverarbeitungsvorrichtung 100 während des Betriebs eine Umgebung 200 her. Die beispielhafte Umgebung 200 umfasst eine leichte Firmware-Umgebung 202, eine Laufzeitumgebung 206, einen Boot-Manager 210, eine Verwaltbarkeitssteuerung 212 und eine sichere Ausführungsumgebung 220. Die leichte Firmware-Umgebung 202 umfasst einen biometrischen Authentifizierungsmanager 204, die Laufzeitumgebung 206 umfasst einen Komponenten-Authentifizierungsmanager 208, die Verwaltbarkeitssteuerung 212 umfasst einen Vorlagenmanager 214 und die sichere Ausführungsumgebung 220 umfasst eine Komponenten-Authentifizierungsenklave 222 und eine biometrische Authentifizierungsenklave 224. Die verschiedenen Komponenten der Umgebung 200 können als Hardware, Firmware, Software oder eine Kombination davon realisiert werden. Dementsprechend können bei einigen Ausführungsformen eine oder mehrere der Komponenten der Umgebung 200 als Schaltkreise oder Ansammlung von elektrischen Vorrichtungen realisiert sein (z. B. Schaltkreise 204 des biometrischen Authentifizierungsmanagers, Schaltkreise 208 des Komponenten-Authentifizierungsmanagers, Boot-Manager-Schaltkreise 210, Vorlagen-Managerschaltkreise 214, Schaltkreise 222 der Komponenten-Authentifizierungsenklave und/oder Schaltkreise 224 der biometrischen Authentifizierungsenklave). Es versteht sich, dass bei solchen Ausführungsformen von den Schaltkreisen 204 des biometrischen Authentifizierungsmanagers, Schaltkreisen 208 des Komponenten-Authentifizierungsmanagers, Boot-Manager-Schaltkreisen 210, Vorlagen-Managerschaltkreisen 214, Schaltkreisen 222 der Komponenten-Authentifizierungsenklave und/oder Schaltkreisen 224 der biometrischen Authentifizierungsenklave einer oder mehrere einen Teil des Prozessors 120, des E/A-Subsystems 128, der Verwaltbarkeitssteuerung 140 und/oder anderer Komponenten der Datenverarbeitungsvorrichtung 100 bilden können. Außerdem können bei einigen Ausführungsformen eine oder mehrere der beispielhaften Komponenten einen Teil einer anderen Komponente bilden und/oder eine oder mehrere der beispielhaften Komponenten können voneinander unabhängig sein.
  • Die Verwaltbarkeitssteuerung 212 kann als die Verwaltbarkeitssteuerung 140 oder ein anderer Coprozessor mit der Fähigkeit zum Betrieb unabhängig von dem Prozessor 120, einschließlich Betrieb, bevor ein Betriebssystem oder andere Laufzeit-Umgebung geladen wird, realisiert werden. Der Vorlagenmanager 214 ist ausgelegt zum Empfangen von biometrischen Vorlagendaten 216 von einer Netzwerkquelle. Die biometrischen Vorlagendaten 216 können zum Beispiel ein Fingerabdruckbild, einen Retina-Scan, Gesichts-Scan, genetische Materialprobe, Iris-Scan, Sprachabtastwert oder dergleichen oder eine gewisse Kombination von Obigem umfassen. Die biometrischen Vorlagendaten 216 können von einer Netzwerkquelle, wie etwa einem Unternehmensadministrator, empfangen werden. Zum Beispiel können die biometrischen Vorlagendaten 216 für einen neuen Benutzer bereitgestellt werden, um Zugang zu einer elektronischen Ressource, wie etwa der Datenverarbeitungsvorrichtung 100, zu erlauben. Die biometrischen Vorlagendaten 216 können durch die Verwaltbarkeitssteuerung 212 unter Verwendung einer Außerband-Netzwerkschnittstelle empfangen werden.
  • Der Komponenten-Authentifizierungsmanager 208 ist ausgelegt zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung 212 und der sicheren Ausführungsumgebung 220. Die sichere Ausführungsumgebung 220 ist eine Ausführungsumgebung, die von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung, wie etwa der Vor-Boot-Firmware-Umgebung, dem Betriebssystem oder Hypervisor, isoliert ist. Gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung 212 und der sicheren Ausführungsumgebung 220 kann sicheres Austauschen eines geteilten Geheimschlüssels 218 zwischen der Verwaltbarkeitssteuerung 212 und der sicheren Ausführungsumgebung 220 (oder einer Komponente der sicheren Ausführungsumgebung, wie etwa der Komponenten-Authentifizierungsenklave 222) umfassen. Gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung 212 und der sicheren Ausführungsumgebung 220 kann ferner sicheres Speichern des geteilten Geheimschlüssels 218 durch die Verwaltbarkeitssteuerung 212 und die sichere Ausführungsumgebung 220 umfassen. Sicheres Speichern des geteilten Geheimschlüssels 218 kann Speichern des Geheimschlüssels 218 in einer internen Speicherung der Verwaltbarkeitssteuerung 212 und/oder Versiegeln des Geheimschlüssels 218 mit einer Identität der sicheren Ausführungsumgebung 220, um einen versiegelten Schlüssel 226 zu erzeugen, umfassen. Gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung 212 und der sicheren Ausführungsumgebung 220 kann Verifizieren einer Identität der sicheren Ausführungsumgebung 220, wie etwa einer Signierungsidentität einer Autorität der sicheren Ausführungsumgebung 220, und/oder Verifizieren der Lokalität der Verwaltbarkeitssteuerung 212 umfassen. Gegenseitige Authentifizierung kann auch Verifizieren eines Zertifikats des sicheren Ausführungsumgebung 220 und/oder der Verwaltbarkeitssteuerung 212 unter Verwendung eines Fern-Verifikationsdienstes umfassen.
  • Der biometrische Authentifizierungsmanager 204 ist ausgelegt zum sicheren Bereitstellen der biometrischen Vorlagendaten 216 von der Verwaltbarkeitssteuerung 212 für die sichere Ausführungsumgebung 220 als Reaktion auf gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung 212 und der sicheren Ausführungsumgebung 220. Sicheres Bereitstellen der biometrischen Vorlagendaten 216 kann Integritäts-, Privatsphären- oder anderweitiges Schützen der biometrischen Vorlagendaten 216 mit dem geteilten Geheimschlüssel 218 umfassen. Sicheres Bereitstellen der biometrischen Vorlagendaten 216 kann Entsiegeln des versiegelten Schlüssels 226 durch die sichere Ausführungsumgebung 220 unter Verwendung der Identität der sicheren Ausführungsumgebung 220 zum Wiederherstellen des geteilten Geheimschlüssels 218 umfassen. Der biometrische Authentifizierungsmanager 204 ist ferner ausgelegt zum Ausführen einer biometrischen Authentifizierungsoperation an einer biometrischen Eingabe mit der sicheren Ausführungsumgebung 220 unter Verwendung der biometrischen Vorlagendaten 216 während eines Vor-Boot-Prozesses. Der biometrische Authentifizierungsmanager 204 kann ferner ausgelegt sein zum Bereitstellen von Zugang zu einer Hardwarekomponente der Datenverarbeitungsvorrichtung 100, wie etwa einer verschlüsselten Datenspeicherungsvorrichtung, als Reaktion auf Ausführen der biometrischen Authentifizierungsoperation.
  • Der Boot-Manager 210 ist ausgelegt zum Laden der Laufzeitumgebung 206 und zum Laden der Komponenten-Authentifizierungsenklave 222 in der Laufzeitumgebung 206 unter Verwendung der Unterstützung 122 sicherer Enklaven des Prozessors 120. Gegenseitige Authentifizierung kann zwischen der Verwaltbarkeitssteuerung 212 und der Komponenten-Authentifizierungsenklave 222 durchgeführt werden. Der Boot-Manager 210 ist ferner ausgelegt zum Laden der leichten Firmware-Umgebung 202 während des Vor-Boot-Prozesses und zum Laden der biometrischen Authentifizierungsenklave 224 in der leichten Firmware-Umgebung 202 unter Verwendung der Unterstützung 122 sicherer Enklaven des Prozessors 120. Die biometrischen Vorlagendaten 216 können von der Verwaltbarkeitssteuerung 212 der biometrischen Authentifizierungsenklave 224 bereitgestellt werden. Die biometrische Authentifizierungsenklave 224 kann die biometrische Authentifizierungsoperation ausführen.
  • Die leichte Firmware-Umgebung 202 kann als eine Vor-Boot-Plattform-Firmware-Umgebung der Datenverarbeitungsvorrichtung 100 realisiert werden, wie etwa als eine UEFI-Firmwareumgebung (Unified Extensible Firmware Interface), als eine BIOS-Firmwareumgebung (Basic Input/Output System) oder eine andere Firmware-Umgebung. Die Laufzeitumgebung 206 kann ein als ein Betriebssystem, ein Hypervisor oder eine andere Laufzeit-Steuerstruktur der Datenverarbeitungsvorrichtung 100 realisiert werden. Die Laufzeitumgebung 206 kann eine volle Betriebsumgebung für die Datenverarbeitungsvorrichtung 100 bereitstellen, einschließlich Inband-Netzwerkzugang zu entfernten Hosts.
  • Die Authentifizierungsenklaven 222, 224 sind jeweils vertrauenswürdige Ausführungsumgebungen der Datenverarbeitungsvorrichtung 100, die unter Verwendung von Hardware-Unterstützung der Datenverarbeitungsvorrichtung 100, wie etwa der Unterstützung 122 sicherer Enklaven des Prozessors 120, authentifiziert und vor unbefugtem Zugang geschützt werden. Beispielsweise werden die Authentifizierungsenklaven 222, 224 jeweils als eine sichere Enklave realisiert, die unter Verwendung der SGX-Technologie von Intel hergestellt wird. Jede der Authentifizierungsenklaven 222, 224 kann durch eine Autorität, wie etwa einen Vorrichtungshersteller, einen Betriebssystemvertreiber, einen Administrator oder eine andere der Authentifizierungsenklaven 222, 224 zugeordnete Autorität kryptografisch signiert werden. Beispielsweise werden beide Authentifizierungsenklaven 222, 224 durch dieselbe Autorität bereitgestellt und können somit, wie nachfolgend weiter beschrieben wird, derselben Signierungsidentität zugeordnet sein. Zusätzlich oder als Alternative versteht sich, dass, obwohl sie als getrennte Authentifizierungsenklaven 222, 224 dargestellt sind, bei einigen Ausführungsformen die Funktionen der Authentifizierungsenklaven 222, 224 durch eine einzige Authentifizierungsenklave ausgeführt werden können.
  • Nunmehr mit Bezug auf 3 kann die Datenverarbeitungsvorrichtung 100 im Gebrauch ein Verfahren 300 zur sicheren biometrischen Authentifizierung vor dem Booten ausführen. Es versteht sich, dass die Operationen des Verfahrens 300 bei einigen Ausführungsformen durch eine oder mehrere Komponenten der Umgebung 200 der in der Figur gezeigten Datenverarbeitungsvorrichtung 100 ausgeführt werden können. Das Verfahren 300 beginnt in Block 302, in dem die Datenverarbeitungsvorrichtung 100 die Verwaltbarkeitssteuerung 212 und die Komponenten-Authentifizierungsenklave 222 der sicheren Ausführungsumgebung 220 gegenseitig authentifiziert. Wie nachfolgend weiter beschrieben wird, kann die gegenseitige Authentifizierung in der Laufzeitumgebung 206 der Datenverarbeitungsvorrichtung 100 durchgeführt werden und kann somit auf einen entfernten Authentifizierungsdienst zugreifen oder anderweitig Laufzeitressourcen der Datenverarbeitungsvorrichtung 100 nutzen. Bei der beispielhaften Ausführungsform authentifiziert die Datenverarbeitungsvorrichtung 100 die Komponenten-Authentifizierungsenklave 222, und weil die Authentifizierungsenklaven 222, 224 durch dieselbe Autorität (z. B. Plattformeigentümer, Softwarevertreiber, Hersteller usw.) bereitgestellt werden, gilt die Authentifizierung auch für die biometrische Authentifizierungsenklave 224. Zusätzlich oder als Alternative kann die Datenverarbeitungsvorrichtung 100 bei einigen Ausführungsformen die biometrische Authentifizierungsenklave 224 direkt authentifizieren. Potentielle Ausführungsformen von Verfahren zur gegenseitigen Authentifizierung, die durch die Verwaltbarkeitssteuerung 212 und die Komponenten-Authentifizierungsenklave 222 ausgeführt werden können, werden nachfolgend in Verbindung mit 4 und 5 beschrieben.
  • In Block 304 bestimmt die Datenverarbeitungsvorrichtung 100, ob die Verwaltbarkeitssteuerung 212 und die Komponenten-Authentifizierungsenklave 222 erfolgreich authentifiziert wurden. Wenn nicht, verzweigt sich das Verfahren 300 zu Block 306, in dem die Datenverarbeitungsvorrichtung 100 einen Fehler angibt. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100 einem Benutzer eine Fehlernachricht anzeigen oder anderweitig angeben, dass sichere biometrische Authentifizierung nicht verfügbar ist. Bei einigen Ausführungsformen kann die Datenverarbeitungsvorrichtung 100 den Betrieb anhalten oder Zugang zu der Datenverarbeitungsvorrichtung 100 anderweitig verbieten. Wieder mit Bezug auf Block 304 schreitet das Verfahren 300 zu Block 308, wenn die Verwaltbarkeitssteuerung 212 und die Komponenten-Authentifizierungsenklave 222 erfolgreich authentifiziert wurden.
  • In Block 308 empfängt die Verwaltbarkeitssteuerung 212 biometrische Vorlagendaten 216 von einer entfernten Quelle, wie etwa einem Unternehmensadministrator oder einer anderen entfernten Netzwerkquelle. Eine potentielle Ausführungsform eines Verfahrens zum Empfangen biometrischer Daten wird nachfolgend in Verbindung mit 4 beschrieben.
  • In Block 310 stellt die Datenverarbeitungsvorrichtung 100 die biometrischen Vorlagendaten 216 von der Verwaltbarkeitssteuerung 212 sicher der biometrischen Authentifizierungsenklave 224 bereit. Wie nachfolgend beschrieben wird, können die biometrischen Vorlagendaten 216 integritäts- und privatsphärengeschützt werden, so dass nur die authentische biometrische Authentifizierungsenklave 224 auf die biometrischen Vorlagendaten 216 zugreifen kann. Potentielle Ausführungsformen von Verfahren zum sicheren Bereitstellen der biometrischen Vorlagendaten 216, die durch die Verwaltbarkeitssteuerung 212 und die biometrische Authentifizierungsenklave 224 ausgeführt werden können, werden nachfolgend in Verbindung mit 4 und 6 beschrieben.
  • In Block 312 führt die biometrische Authentifizierungsenklave 224 unter Verwendung der biometrischen Vorlagendaten 216 eine biometrische Authentifizierungsoperation aus. Die biometrische Authentifizierungsenklave 224 führt die biometrische Authentifizierungsoperation während des Boot-Prozesses der Datenverarbeitungsvorrichtung 100, zum Beispiel in der leichten Firmware-Umgebung 202, aus. Eine potentielle Ausführungsform eines Verfahrens zum Ausführen der biometrischen Authentifizierungsoperation wird nachfolgend in Verbindung mit 6 beschrieben. Wie gezeigt, kehrt das Verfahren 300 nach dem Ausführen der biometrischen Authentifizierungsoperation in einer Schleife zu Block 308 zurück, um weiter biometrische Vorlagendaten 216 bereitzustellen und biometrische Authentifizierung durchzuführen. Somit kann die Datenverarbeitungsvorrichtung 100 eine anfängliche Authentifizierung der Verwaltbarkeitssteuerung 212 und der Komponenten-Authentifizierungsenklave 222 durchführen und dann weiter für jedes Booten der Datenverarbeitungsvorrichtung 100 sichere biometrische Authentifizierung durchführen.
  • Nunmehr mit Bezug auf 4 kann die Datenverarbeitungsvorrichtung 100 im Gebrauch ein Verfahren 400 zur gegenseitigen Komponentenauthentifizierung und sicheren Bereitstellung biometrischer Vorlagen ausführen. Es versteht sich, dass bei einigen Ausführungsformen die Operationen des Verfahrens 400 durch eine oder mehrere Komponenten der Umgebung 200 der Datenverarbeitungsvorrichtung 100 wie in 2 gezeigt, wie etwa die Verwaltbarkeitssteuerung 212, ausgeführt werden können. Das Verfahren 400 beginnt in Block 402, in dem die Verwaltbarkeitssteuerung 212 die Komponenten-Authentifizierungsenklave 222 authentifiziert. Bei einigen Ausführungsformen kann in Block 404 die Verwaltbarkeitssteuerung 212 eine Identität der Komponenten-Authentifizierungsenklave 222 verifizieren. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100 eine oder mehrere Identitäten der Komponenten-Authentifizierungsenklave 222 verifizieren, wie etwa eine Signierungsidentität einer der Enklave zugeordneten Autorität und/oder eine Enklavenidentität. Die Authentifizierungsenklaven 222, 224 können durch dieselbe Autorität bereitgestellt werden und können sich somit dieselbe Identität (z. B. dieselbe Signieridentität) teilen. Authentifizierung der Komponenten-Authentifizierungsenklave 222 kann dementsprechend auch als Authentifizierung der biometrischen Authentifizierungsenklave 224 dienen. Bei einigen Ausführungsformen kann in Block 406 die Verwaltbarkeitssteuerung 212 ein der Komponenten-Authentifizierungsenklave 222 zugeordnetes Zertifikat verifizieren. Zum Beispiel kann die Verwaltbarkeitssteuerung 212 auf einen Fern-Zertifikat-Verifikationsdienst zugreifen, um den Widerrufstatus des Zertifikats zu verifizieren.
  • In Block 408 bestimmt die Verwaltbarkeitssteuerung 212, ob die Komponenten-Authentifizierungsenklave 222 erfolgreich authentifiziert wurde. Wenn nicht, verzweigt sich das Verfahren 400 zu Block 410, in dem die Datenverarbeitungsvorrichtung 100 einen Fehler angibt. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100 den Betrieb anhalten oder anderweitig Zugang zu der Datenverarbeitungsvorrichtung 100 verbieten. Wieder mit Bezug auf Block 408 schreitet das Verfahren 400 zu Block 412, wenn die Komponenten-Authentifizierungsenklave 222 erfolgreich authentifiziert wurde.
  • In Block 412 tauscht die Verwaltbarkeitssteuerung 212 sicher einen geteilten Geheimschlüssel 218 mit der Komponenten-Authentifizierungsenklave 222 aus. Zum Beispiel kann die Verwaltbarkeitssteuerung 212 das SIGMA-Schlüsselaustauschprotokoll oder ein beliebiges anderes geeignetes kryptografisches Schlüsselaustauschprotokoll zum Austauschen des Geheimschlüssels 218 ausführen. Der Geheimschlüssel 218 kann nur der Verwaltbarkeitssteuerung 212 und den Authentifizierungsenklaven 222, 224 bekannt sein und kann somit erfolgreiche gegenseitige Authentifizierung angeben.
  • In Block 414 speichert die Verwaltbarkeitssteuerung 212 sicher den geteilten Geheimschlüssel 218. Der geteilte Geheimschlüssel 218 kann in einer internen, manipulationssicheren Speicherung der Verwaltbarkeitssteuerung 212 (z. B. Flash-Speicher oder andere persistente Speicherung) gespeichert werden. Der geteilte Geheimschlüssel 218 wird somit im Ruhezustand vor Zugriff durch nicht vertrauenswürdige Software geschützt.
  • In Block 416 empfängt die Verwaltbarkeitssteuerung 212 die biometrischen Vorlagendaten 216 von einer Netzwerkquelle. Zum Beispiel können die biometrischen Vorlagendaten 216 von einem Unternehmensadministrator oder einer anderen entfernten Datenverarbeitungsvorrichtung empfangen werden. Die biometrischen Vorlagendaten 216 können unter Verwendung eines beliebigen sicheren Netzwerkprotokolls, einer beliebigen Verwaltungsschnittstelle oder einer anderen sicheren Schnittstelle empfangen werden. Bei einigen Ausführungsformen kann in Block 418 die Verwaltbarkeitssteuerung 212 biometrische Eintragungsdaten und/oder andere private Daten empfangen. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100 biometrische Daten empfangen, die einem neuen Angestellten zugeordnet sind, der einen Prozess der neuen Anstellung oder Orientierung durchläuft. Der neue Angestellte kann zum Beispiel einen Fingerabdruck bereitstellen. Außerdem kann der neue Angestellte auch eine Regierungs-Identifikationsnummer oder andere private Daten bereitstellen, die in Verbindung mit den biometrischen Daten (z. B. Fingerabdruck) empfangen werden. Bei einigen Ausführungsformen kann in Block 420 die Verwaltbarkeitssteuerung 212 die biometrischen Vorlagendaten 216 mit einer Außerband-Netzwerkschnittstelle empfangen. Bei der beispielhaften Ausführungsform werden die biometrischen Vorlagendaten 216 durch die Verwaltbarkeitssteuerung 212 wie oben mit Bezug auf 2 beschrieben empfangen. Die biometrischen Vorlagendaten 216 können durch einen Unternehmensadministrator oder eine andere entfernte Netzwerkquelle zu der Verwaltbarkeitssteuerung 212 gesendet werden. Spezieller kann die Verwaltbarkeitssteuerung 212 die biometrischen Vorlagendaten 216 während eines Vor-Boot-Prozesses empfangen. Anders ausgedrückt kann die Verwaltbarkeitssteuerung 212 die biometrischen Vorlagendaten 216 empfangen, wenn der Prozessor 120 für die Datenverarbeitungsvorrichtung 100 inaktiv ist und/oder wenn das Betriebssystem für die Datenverarbeitungsvorrichtung 100 nicht eingeleitet ist.
  • In Block 422 empfängt die Verwaltbarkeitssteuerung 212 eine Anforderung der biometrischen Vorlagendaten 216 von der biometrischen Authentifizierungsenklave 224. Wie nachfolgend in Verbindung mit 6 erläutert wird, kann die biometrische Authentifizierungsenklave 224 die biometrischen Vorlagendaten 216 während eines Boot-Prozesses der Datenverarbeitungsvorrichtung 100 anfordern.
  • Im Block 424 stellt die Verwaltbarkeitssteuerung 212 die biometrischen Vorlagendaten 216 sicher der biometrischen Authentifizierungsenklave 224 bereit. Die Verwaltbarkeitssteuerung 212 kann eine beliebige Technik, die vor nicht vertrauenswürdiger Software geschützt ist, Hardware oder andere Komponenten der Datenverarbeitungsvorrichtung 100 verwenden, um die biometrischen Vorlagendaten 216 sicher zu der biometrischen Authentifizierungsenklave 224 zu senden. Bei einigen Ausführungsformen kann in Block 426 die Verwaltbarkeitssteuerung 212 die biometrischen Vorlagendaten 216 mit dem Geheimschlüssel 218 integritäts- und privatsphärenschützen. Schützen der biometrischen Vorlagendaten 216 mit dem Geheimschlüssel 218 stellt sicher, dass nur authentifizierte Entitäten, die den Geheimschlüssel 218 besitzen (z. B. die Authentifizierungsenklaven 222, 224 und/oder andere derselben Autorität zugeordnete Enklaven) auf die biometrischen Vorlagendaten 216 zugreifen können. Als Teil der sicheren Bereitstellung der biometrischen Vorlagendaten 216 kann die Verwaltbarkeitssteuerung 212 somit auch die Authentizität der biometrischen Authentifizierungsenklave 224 verifizieren. Nach dem sicheren Bereitstellen der biometrischen Vorlagendaten 216 kehrt das Verfahren 400 in einer Schleife zu Block 416 zurück, um weiter biometrische Vorlagendaten 216 zu empfangen und bereitzustellen.
  • Nunmehr mit Bezug auf 5 kann die Datenverarbeitungsvorrichtung 100 im Gebrauch ein Verfahren 500 zur gegenseitigen Komponentenauthentifizierung ausführen. Es versteht sich, dass bei einigen Ausführungsformen die Operationen des Verfahrens 500 durch eine oder mehrere Komponenten der Umgebung 200 der Datenverarbeitungsvorrichtung 100 wie in 2, wie etwa die Laufzeitumgebung 206, ausgeführt werden können. Das Verfahren 500 beginnt in Block 502, in dem die Datenverarbeitungsvorrichtung 100 die Laufzeitumgebung 206 lädt. Die Laufzeitumgebung 206 kann zum Beispiel nach Abschluss eines Boot-Prozesses der Datenverarbeitungsvorrichtung 100 geladen werden. Laden der Laufzeitumgebung 206 kann Ausführen eines Betriebssystems oder anderweitiges Ausführen der Datenverarbeitungsvorrichtung 100 in einem voll funktionsfähigen Zustand umfassen.
  • In Block 504 lädt die Datenverarbeitungsvorrichtung 100 die Komponenten-Authentifizierungsenklave 222. Die Datenverarbeitungsvorrichtung 100 kann die Komponenten-Authentifizierungsenklave 222 unter Verwendung der Unterstützung 122 sicherer Enklaven des Prozessors 120 laden. Laden der Komponenten-Authentifizierungsenklave 222 kann Verifizieren, Authentifizieren oder anderweitig Sicherstellen, dass die Komponenten-Authentifizierungsenklave 222 durch eine identifizierte Autorität bereitgestellt wurde, die nicht manipuliert wurde. Zum Beispiel kann der Prozessor 120 den Code und/oder die Daten der Komponenten-Authentifizierungsenklave 222, so wie sie in den Speicher 134 geladen werden, messen und diese Messung verifizieren. Außerdem kann die Komponenten-Authentifizierungsenklave 222 kryptografisch durch eine Autorität signiert werden, die die Komponenten-Authentifizierungsenklave 222 bereitgestellt hat, wie etwa einen Vorrichtungshersteller, einen Betriebssystemvertreiber, einen Systemadministrator oder eine andere Autorität. Nachdem sie erfolgreich geladen und verifiziert ist, kann die Datenverarbeitungsvorrichtung 100 der biometrischen Authentifizierungsenklave 224 vertrauen. Wie in 5 gezeigt, schreitet die Ausführung des Verfahrens 500 mit dem Eintritt in die Komponenten-Authentifizierungsenklave 222 voran.
  • In Block 506 authentifiziert die Komponenten-Authentifizierungsenklave 222 die Verwaltbarkeitssteuerung 212. Bei einigen Ausführungsformen kann in Block 508 die Komponenten-Authentifizierungsenklave 222 Lokalität der Verwaltbarkeitssteuerung 212 verifizieren; das heißt, die Komponenten-Authentifizierungsenklave 222 kann verifizieren, dass die Verwaltbarkeitssteuerung 212 ein Coprozessor der lokalen Plattform (z. B. der Verwaltbarkeitssteuerung 140) ist. Bei einigen Ausführungsformen kann in Block 510 die Komponenten-Authentifizierungsenklave 222 ein Zertifikat der Verwaltbarkeitssteuerung 212 verifizieren. Zum Beispiel kann die Komponenten-Authentifizierungsenklave 222 auf einen Fern-Zertifikat-Verifikationsdienst zugreifen, um den Wiederrufstatus des Zertifikats zu verifizieren.
  • In Block 512 bestimmt die Komponenten-Authentifizierungsenklave 222, ob die Verwaltbarkeitssteuerung 212 erfolgreich authentifiziert wurde. Wenn nicht, verzweigt sich das Verfahren 500 zu Block 514, in dem die Datenverarbeitungsvorrichtung 100 einen Fehler angibt. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100 den Betrieb anhalten oder anderweitig Zugriff auf die Datenverarbeitungsvorrichtung 100 verbieten. Wieder mit Bezug auf Block 512 schreitet das Verfahren 500 zu Block 516, wenn die Verwaltbarkeitssteuerung 212 erfolgreich authentifiziert wurde.
  • In Block 516 tauscht die Komponenten-Authentifizierungsenklave 222 sicher einen geteilten Geheimschlüssel 218 mit der Verwaltbarkeitssteuerung 212 aus. Zum Beispiel kann, wie oben beschrieben, die Komponenten-Authentifizierungsenklave 222 das SIGMA-Schlüsselaustauschprotokoll oder ein beliebiges anderes geeignetes kryptografisches Schlüsselaustauschprotokoll zum Austauschen des Geheimschlüssels 218 ausführen. Wie oben beschrieben, kann der Geheimschlüssel 218 nur der Verwaltbarkeitssteuerung 212 und den Authentifizierungsenklaven 222, 224 bekannt sein und somit erfolgreiche gegenseitige Authentifizierung angeben.
  • In Block 518 versiegelt die Komponenten-Authentifizierungsenklave 222 den geteilten Geheimschlüssel 218 und speichert den versiegelten Schlüssel 226. Versiegeln des geteilten Geheimschlüssels 218 verschlüsselt den geteilten Geheimschlüssel 218, um den versiegelten Schlüssel 226 zu erzeugen, und speichert den versiegelten Schlüssel 226 an einem Ort, der den Authentifizierungsenklaven 222, 224 zugänglich ist (z. B. in der Datenspeicherungsvorrichtung 136). Somit wird der versiegelte Schlüssel 226 im Ruhezustand verschlüsselt. Der versiegelte Schlüssel 226 wird mit einem Verschlüsselungsschlüssel verschlüsselt, der sowohl der Komponenten-Authentifizierungsenklave 222 als auch der biometrischen Authentifizierungsenklave 224 zugänglich ist. Bei einigen Ausführungsformen kann in Block 520 die Komponenten-Authentifizierungsenklave 222 den Geheimschlüssel 218 unter Verwendung einer Identität versiegeln, die sowohl mit der Komponenten-Authentifizierungsenklave 222 als auch der biometrischen Authentifizierungsenklave 224 geteilt wird. Zum Beispiel kann der Geheimschlüssel 218 unter Verwendung der Signieridentität einer Autorität der Komponenten-Authentifizierungsenklave 222 versiegelt werden. Die Autorität kann zum Beispiel ein Vorrichtungshersteller, ein Betriebssystemvertreiber, ein Administrator oder eine andere der Komponenten-Authentifizierungsenklave 222 zugeordnete Autorität sein. Zum Beispiel kann ein Hash des öffentlichen Schlüssels der Autorität der Komponenten-Authentifizierungsenklave 222 in dem MRSIGNER-Register gespeichert werden, und der Prozessor 120 kann den Verschlüsselungsschlüssel als Funktion des MRSIGNER-Registers erzeugen. Die biometrische Authentifizierungsenklave 224 kann durch dieselbe Autorität signiert und/oder anderweitig bereitgestellt werden und kann somit dieselbe Signieridentität aufweisen. Nach dem Speichern des versiegelten Schlüssels 226 ist das Verfahren 500 abgeschlossen. Bei nachfolgenden Boot-Ereignissen kann die Datenverarbeitungsvorrichtung 100 sichere biometrische Authentifikation vor dem Booten wie nachfolgend in Verbindung mit 6 beschrieben durchführen.
  • Nunmehr mit Bezug auf 6 kann die Datenverarbeitungsvorrichtung 100 im Gebrauch ein Verfahren 600 zur sicheren biometrischen Authentifikation vor dem Booten ausführen. Es versteht sich, dass bei einigen Ausführungsformen die Operationen des Verfahrens 600 durch eine oder mehrere Komponenten der Umgebung 200 der Datenverarbeitungsvorrichtung 100 wie in 2 gezeigt, wie etwa die leichte Firmware-Umgebung 202, ausgeführt werden können. Das Verfahren 600 beginnt in Block 602, in dem die Datenverarbeitungsvorrichtung 100 bootet. Die Datenverarbeitungsvorrichtung 100 kann den Boot-Prozess zum Beispiel als Reaktion auf ein Neubooten, ein Aus- und Wiedereinschalten oder ein anderes Rücksetzen der Datenverarbeitungsvorrichtung 100 starten. Als Reaktion auf das Booten lädt die Datenverarbeitungsvorrichtung 100 in Block 604 die leichte Firmware-Umgebung 202. Wie oben in Verbindung mit 2 beschrieben wurde, kann die leichte Firmware-Umgebung 202 als eine Firmware-Anwendung realisiert sein, die eine minimale oder anderweitig leichte Umgebung umfasst, die Ausführung einer sicheren Ausführungsumgebung unterstützt. Zum Beispiel kann die leichte Firmware-Umgebung 202 eine minimale oder anderweitig leichte Menge von Kernel-Diensten (z. B. Dienste der Ringebene 0) bereitstellen, um eine sichere Ausführungsumgebung der Benutzerebene (z. B. Ringebene 3) zu unterstützen. Die Firmware-Anwendung leitet die sichere Ausführungsumgebung ein, mit der dann eine biometrische Authentifizierungsenklave gehostet werden kann. Außerdem kann die leichte Firmware-Umgebung 202 Hardware konfigurieren, Firmware-Ausführungsumgebungen (z. B. Vor-UEFI-Umgebungen, UEFI-Treiberausführungsumgebungen oder andere Firmware-Umgebungen) initialisieren und andere Initialisierungsaufgaben ausführen.
  • In Block 606 lädt die Datenverarbeitungsvorrichtung 100 die biometrische Authentifizierungsenklave 224 in der leichten Firmware-Umgebung 202 unter Verwendung der Unterstützung 122 sicherer Enklaven des Prozessors 120. Bei einigen Ausführungsformen kann die biometrische Authentifizierungsenklave 224 als eine leichte Enklave realisiert werden, die kleiner als die Komponenten-Authentifizierungsenklave 222 ist und somit in der Lage ist, innerhalb der relativ eingeschränkten leichten Firmware-Umgebung 202 ausgeführt zu werden. Laden der biometrischen Authentifizierungsenklave 224 kann Verifizieren, Authentifizieren oder anderweitig sicherstellen, dass die biometrische Authentifizierungsenklave 224 durch eine identifizierte Autorität bereitgestellt wurde und nicht manipuliert wurde. Zum Beispiel kann der Prozessor 120 den Code und/oder die Daten der biometrischen Authentifizierungsenklave 224 messen, während sie in den Speicher 134 geladen wird, und diese Messung verifizieren. Außerdem kann die biometrische Authentifizierungsenklave 224 kryptografisch durch eine Autorität signiert werden, die die biometrische Authentifizierungsenklave 224 bereitgestellt hat, wie etwa einen Vorrichtungshersteller, einen Betriebssystemvertreiber, einen Systemadministrator oder eine andere Autorität. Nachdem sie erfolgreich geladen und verifiziert wurde, kann der biometrischen Authentifizierungsenklave 224 durch die Datenverarbeitungsvorrichtung 100 vertraut werden. Wie in 6 gezeigt, schreitet die Ausführung des Verfahrens 600 mit dem Eintritt in die biometrische Authentifizierungsenklave 224 fort.
  • In Block 608 entsiegelt die biometrische Authentifizierungsenklave 224 den versiegelten Schlüssel 226, um den geteilten Geheimschlüssel 218 wiederherzustellen. Wie oben in Verbindung mit 5 beschrieben, wird der versiegelte Schlüssel 226 durch die Komponenten-Authentifizierungsenklave 222 an einem Ort gespeichert, der der biometrischen Authentifizierungsenklave 224 zugänglich ist (z. B. in der Datenspeicherungsvorrichtung 136). Entsiegeln des versiegelten Schlüssels 226 entschlüsselt den versiegelten Schlüssel 226, um den ursprünglichen geteilten Geheimschlüssel 218 wiederherzustellen. Der versiegelte Schlüssel 226 wird unter Verwendung eines Verschlüsselungsschlüssels entschlüsselt, der der biometrischen Authentifizierungsenklave 224 zugänglich ist. Bei einigen Ausführungsformen kann in Block 610 die biometrische Authentifizierungsenklave 224 den versiegelten Schlüssel 226 unter Verwendung einer Identität entsiegeln, die sowohl mit der Komponenten-Authentifizierungsenklave 222 als auch der biometrischen Authentifizierungsenklave 224 geteilt wird. Wie oben beschrieben, kann der versiegelte Schlüssel 226 unter Verwendung der Signieridentität einer Autorität der biometrischen Authentifizierungsenklave 224 versiegelt werden. Die Autorität kann zum Beispiel ein Vorrichtungshersteller, ein Betriebssystemvertreiber, ein Administrator oder eine andere Autorität sein, die der biometrischen Authentifizierungsenklave 224 zugeordnet ist. Zum Beispiel kann ein Hash des öffentlichen Schlüssels der Autorität für die biometrische Authentifizierungsenklave 224 in dem MRSIGNER-Register gespeichert werden und der Prozessor 120 kann den Verschlüsselungsschlüssel als Funktion des MRSIGNER-Registers erzeugen. Wie oben in Verbindung mit 5 beschrieben, kann die Komponenten-Authentifizierungsenklave 222 durch dieselbe Autorität wie die biometrische Authentifizierungsenklave 224 signiert und/oder anderweitig bereitgestellt werden, und kann somit dieselbe Signieridentität zum Versiegeln des versiegelten Schlüssels 226 benutzt haben.
  • In Block 612 fordert die biometrische Authentifizierungsenklave 224 biometrische Vorlagendaten 216 von der Verwaltbarkeitssteuerung 212 an. Als Reaktion auf die Anforderung empfängt in Block 614 die biometrische Authentifizierungsenklave 224 die biometrischen Vorlagendaten 216 sicher von der Verwaltbarkeitssteuerung 212. Die biometrische Authentifizierungsenklave 224 kann eine beliebige Technik, die vor nicht-vertrauenswürdiger Software geschützt ist, Hardware oder andere Komponenten der Datenverarbeitungsvorrichtung 100 verwenden, um die biometrischen Vorlagendaten 216 sicher von der Verwaltbarkeitssteuerung 212 zu empfangen. Bei einigen Ausführungsformen können in Block 616 die biometrischen Vorlagendaten 216 mit dem Geheimschlüssel 218 integritäts- und privatsphärengeschützt werden. Wie oben beschrieben, stellt das Schützen der biometrischen Vorlagendaten 216 mit dem Geheimschlüssel 218 sicher, dass nur authentifizierte Entitäten, die den Geheimschlüssel 218 besitzen (z. B. die Verwaltbarkeitssteuerung 212) auf die biometrischen Vorlagendaten 216 zugreifen können. Als Teil des sicheren Empfangens der biometrischen Vorlagendaten 216 kann somit die biometrische Authentifizierungsenklave 224 auch die Authentizität der Verwaltbarkeitssteuerung 212 verifizieren.
  • In Block 618 führt die biometrische Authentifizierungsenklave 224 unter Verwendung der biometrischen Vorlagendaten 216 eine oder mehrere biometrische Authentifizierungsoperationen aus. Bei einigen Ausführungsformen kann in Block 620 die biometrische Authentifizierungsenklave 224 biometrische Eingangsdaten mit einer oder mehreren biometrischen Vorlagen vergleichen. Zum Beispiel kann die biometrische Authentifizierungsenklave 224 biometrische Eingangsdaten, die von einer biometrischen E/A-Vorrichtung 144 empfangen werden, gegenüber den biometrischen Vorlagendaten 216 authentifizieren. Die biometrische E/A-Vorrichtung 144 kann zum Beispiel einen Fingerabdruckleser, einen Retina-Scanner, eine fotografische oder Videokamera, ein Mikrofon, einen Gewebeprobenempfänger oder ähnliche biometrische Vorrichtungen umfassen. Die biometrischen Eingangsdaten können zum Beispiel den Fingerabdruck eines Benutzers umfassen. Dieser Fingerabdruck dient dann als infrage kommende biometrische Probe zum Vergleich mit den biometrischen Vorlagendaten 216. Als Fortsetzung dieses Beispiels kann die biometrische Authentifizierungsenklave 224 Bildverarbeitungssoftware umfassen, die ein Bild oder einen Datensatz, der ein Bild eines durch einen Benutzer als biometrische Eingangsdaten bereitgestellten Fingerabdrucks repräsentiert, mit einem Fingerabdruckbild vergleicht, das zuvor als biometrische Vorlagendaten 216 dem Benutzer zugeordnet wurde. Die biometrischen Eingangsdaten können zum Beispiel unter Verwendung von vertrauenswürdiger E/A vor unbefugtem Zugang geschützt werden. Zum Beispiel kann die biometrische Authentifizierungsenklave 224 die biometrischen Eingangsdaten über einen sicheren Kanal empfangen, der durch vertrauenswürdige E/A geschützt wird. Die CE 124, das CID-Filter 130 und/oder die sichere Routingunterstützung des E/A-Subsystems 128 können sicherstellen, dass die Inhalte der biometrischen Eingangsdaten nicht durch nicht vertrauenswürdige Software oder Hardware der Datenverarbeitungsvorrichtung 100 zugänglich sind. Außerdem kann, obwohl es als Empfangen biometrischer Eingangsdaten von einer einzigen E/A-Vorrichtung 144 dargestellt ist, bei einigen Ausführungsformen die biometrische Authentifizierungsenklave 224 multimodale Biometrik ausführen, die mehrere Sensoren verwendet, um Begrenzungen bei der Verwendung nur eines biometrischen Schemas (z. B. Vergleichen von Fingerabdruckbildern und Iris-Scans zur Authentifizierung eines infrage kommenden Benutzers) zu berücksichtigen. Somit kann die biometrische Authentifizierungsenklave 224 sichere biometrische Authentifizierung vor dem Booten durchführen.
  • Bei einigen Ausführungsformen kann in Block 622 die biometrische Authentifizierungsenklave 224 eine als ganzes Laufwerk verschlüsselte Festplatte, eine verschlüsselte Datenspeicherungsvorrichtung oder eine andere Hardwarekomponente der Datenverarbeitungsvorrichtung 100 als Reaktion auf erfolgreiche biometrische Authentifizierung entriegeln. Zum Beispiel kann als Reaktion auf erfolgreiche biometrische Authentifizierung die biometrische Authentifizierungsenklave 224 der Hardwarekomponente eine Authentifizierungsbestätigung (z. B. eine Kennung, eine alphanumerische Zeichenkette, einen Verschlüsselungsschlüssel, ein Flag oder ein anderes Datenobjekt) bereitstellen. Die Hardwarekomponente kann sich als Reaktion auf das Empfangen der Authentifizierungsbestätigung entriegeln (z. B. entschlüsselten Zugriff auf Daten erlauben). Als ein anderes Beispiel kann die biometrische Authentifizierungsenklave 224 angeben, dass biometrische Authentifizierung erfolgreich war, und dadurch der Vor-Boot-Firmware-Umgebung erlauben, die Entriegelung der Hardwarekomponente fortzusetzen. Durch sicheres Durchführen der biometrischen Authentifizierung in der leichten Vor-Boot-Firmware-Umgebung 202 kann somit die Datenverarbeitungsvorrichtung 100 Verschlüsselung des gesamten Laufwerks ermöglichen. Wie gezeigt, kann die Datenverarbeitungsvorrichtung 100 die biometrische Authentifizierungsenklave 224 nach dem Ausführen biometrischer Authentifizierungsoperationen verlassen.
  • Beim Verlassen der biometrischen Authentifizierungsenklave 224 kann die Datenverarbeitungsvorrichtung 100 einen oder mehrere andere Vor-Boot-Prozesse ausführen. Bei der beispielhaften Ausführungsform verlässt die Datenverarbeitungsvorrichtung 100 in Block 624 Boot-Dienste und bootet weiter. In Block 626 lädt die Datenverarbeitungsvorrichtung 100 die Laufzeitumgebung 206. Zum Beispiel kann die Datenverarbeitungsvorrichtung 100 ein Betriebssystem, einen Hypervisor oder eine andere Steuerkomponente der Datenverarbeitungsvorrichtung 100 einleiten. Nach dem Laden der Laufzeitumgebung 206 ist das Verfahren 600 abgeschlossen. Zur Laufzeit kann die Datenverarbeitungsvorrichtung 100 die Verwaltbarkeitssteuerung 212 und die Authentifizierungsenklaven 222, 224 wie oben in Verbindung mit 4 und 5 beschrieben authentifizieren. Als Reaktion auf nachfolgende Boot-Ereignisse kann die Datenverarbeitungsvorrichtung 100 das Verfahren 600 weiter ausführen, um biometrische Authentifizierung vor dem Booten durchzuführen.
  • Es versteht sich, dass bei einigen Ausführungsformen die Verfahren 300, 400, 500 und/oder 600 als verschiedene Anweisungen realisiert sein können, die auf einem computerlesbaren Medium gespeichert werden, die durch den Prozessor 120, das E/A-Subsystem 128, die Verwaltbarkeitssteuerung 140 und/oder andere Komponenten der Datenverarbeitungsvorrichtung 100 ausgeführt werden können, um zu bewirken, dass die Datenverarbeitungsvorrichtung 100 das jeweilige Verfahren 300, 400, 500 und/oder 600 ausführt. Das computerlesbare Medium kann als eine beliebige Art von Medium realisiert sein, das durch die Datenverarbeitungsvorrichtung 100 gelesen werden kann, darunter, aber ohne Beschränkung darauf, der Speicher 134, die Datenspeicherungsvorrichtung 136, FirmwareVorrichtungen, andere Speicher- oder Datenspeicherungsvorrichtungen der Datenverarbeitungsvorrichtung 100, durch eine Peripherievorrichtung 144 der Datenverarbeitungsvorrichtung 100 lesbare tragbare Medien und/oder andere Medien.
  • BEISPIELE
  • Im Folgenden werden Anschauungsbeispiele für die hier offenbarten Technologien bereitgestellt. Eine Ausführungsform der Technologien kann ein beliebiges oder mehrere und eine beliebige Kombination der nachfolgend beschriebenen Beispiele umfassen.
  • Beispiel 1 umfasst eine Datenverarbeitungsvorrichtung zum Bereitstellen von Authentifizierungsdiensten während eines Vor-Boot-Prozesses, wobei die Datenverarbeitungsvorrichtung Folgendes umfasst: eine Verwaltbarkeitssteuerung, wobei die Verwaltbarkeitssteuerung einen Vorlagenmanager zum Empfangen einer biometrischen Vorlage von einer Netzwerkquelle umfasst; einen Komponenten-Authentifizierungsmanager zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und einer sicheren Ausführungsumgebung der Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung isoliert ist; und einen biometrischen Authentifizierungsmanager zum (i) sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung als Reaktion auf gegenseitige Authentifizierung der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung und (ii) Ausführen einer biometrischen Authentifizierungsoperation mit der sicheren Ausführungsumgebung an einer biometrischen Eingabe mit der biometrischen Vorlage während des Vor-Boot-Prozesses.
  • Beispiel 2 umfasst den Gegenstand von Beispiel 1, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Folgendes umfasst: sicheres Austauschen eines geteilten Geheimschlüssels zwischen der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung; sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung als Reaktion auf sicheren Austausch des geteilten Geheimschlüssels; und sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung als Reaktion auf den sicheren Austausch des geteilten Geheimschlüssels.
  • Beispiel 3 umfasst den Gegenstand eines der Beispiele 1 und 2, wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfasst.
  • Beispiel 4 umfasst den Gegenstand eines der Beispiele 1-3, wobei Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel Integritätsschützen und Privatsphärenschützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfasst.
  • Beispiel 5 umfasst den Gegenstand eines der Beispiele 1-4, wobei sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung Speichern des geteilten Geheimschlüssels in einer internen Speicherung der Verwaltbarkeitssteuerung umfasst.
  • Beispiel 6 umfasst den Gegenstand eines der Beispiele 1-5, wobei sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung Folgendes umfasst: Versiegeln des geteilten Geheimschlüssels mit einer Identität der sicheren Ausführungsumgebung, um einen versiegelten Schlüssel zu erzeugen; und Speichern des versiegelten Schlüssels in einer Datenspeicherungsvorrichtung der Datenverarbeitungsvorrichtung.
  • Beispiel 7 umfasst den Gegenstand eines der Beispiele 1-6, wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung ferner Folgendes umfasst: Entsiegeln des versiegelten Schlüssels durch die sichere Ausführungsumgebung mit der Identität der sicheren Ausführungsumgebung, um den geteilten Geheimschlüssel wiederherzustellen; und Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel als Reaktion auf Entsiegeln des versiegelten Schlüssels.
  • Beispiel 8 umfasst den Gegenstand eines der Beispiele 1-7, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren einer Identität der sicheren Ausführungsumgebung durch die Verwaltbarkeitssteuerung umfasst.
  • Beispiel 9 umfasst den Gegenstand eines der Beispiele 1-8, wobei die Identität eine Signieridentität einer Autorität der sicheren Ausführungsumgebung umfasst.
  • Beispiel 10 umfasst den Gegenstand eines der Beispiele 1-9, wobei Verifizieren der Identität der sicheren Ausführungsumgebung Verifizieren eines Zertifikats der sicheren Ausführungsumgebung mit einem entfernten Verifikationsdienst umfasst.
  • Beispiel 11 umfasst den Gegenstand eines der Beispiele 1-10, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren von Lokalität der Verwaltbarkeitssteuerung durch die sichere Ausführungsumgebung umfasst.
  • Beispiel 12 umfasst den Gegenstand eines der Beispiele 1-11, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren eines Zertifikats der Verwaltbarkeitssteuerung mit einem entfernten Verifikationsdienst durch die sichere Ausführungsumgebung umfasst.
  • Beispiel 13 umfasst den Gegenstand eines der Beispiele 1-12 und umfasst ferner einen Boot-Manager, der zu Folgendem dient: Laden einer Laufzeitumgebung der Datenverarbeitungsvorrichtung; und Laden einer Komponenten-Authentifizierungsenklave in der Laufzeitumgebung mit Unterstützung sicherer Enklaven eines Prozessors der Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die Komponenten-Authentifizierungsenklave umfasst; wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der Komponenten-Authentifizierungsenklave umfasst.
  • Beispiel 14 umfasst den Gegenstand eines der Beispiele 1-13 und umfasst ferner einen Boot-Manager, der zu Folgendem dient: Laden einer leichten Firmware-Umgebung während des Vor-Boot-Prozesses; und Laden einer biometrischen Authentifizierungsenklave in der leichten Firmware-Umgebung mit der Unterstützung sicherer Enklaven des Prozessors, wobei die sichere Ausführungsumgebung die biometrische Authentifizierungsenklave umfasst; wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die biometrische Authentifizierungsenklave umfasst; und wobei Ausführen der biometrischen Authentifizierungsoperation Ausführen der biometrischen Authentifizierungsoperation durch die biometrische Authentifizierungsenklave umfasst.
  • Beispiel 15 umfasst den Gegenstand eines der Beispiele 1-14, wobei: die Komponenten-Authentifizierungsenklave einer Signieridentität einer Autorität der Komponenten-Authentifizierungsenklave zugeordnet ist; und die biometrische Authentifizierungsenklave der Signieridentität zugeordnet ist.
  • Beispiel 16 umfasst den Gegenstand eines der Beispiele 1-15, wobei der biometrische Authentifizierungsmanager ferner zum Bereitstellen von Zugang zu einer Hardwarekomponente der Datenverarbeitungsvorrichtung als Reaktion auf Ausführung der biometrischen Authentifizierungsoperation dient.
  • Beispiel 17 umfasst den Gegenstand eines der Beispiele 1-16, wobei die Hardwarekomponente eine verschlüsselte Datenspeicherungsvorrichtung umfasst.
  • Beispiel 18 umfasst den Gegenstand eines der Beispiele 1-17, wobei Empfangen der biometrischen Vorlage von der Netzwerkquelle Empfangen der biometrischen Vorlage durch die Verwaltbarkeitssteuerung mit einer Außerband-Netzwerkschnittstelle umfasst.
  • Beispiel 19 umfasst den Gegenstand eines der Beispiele 1-18, wobei die Verwaltbarkeitssteuerung einen Coprozessor der Datenverarbeitungsvorrichtung umfasst.
  • Beispiel 20 umfasst den Gegenstand eines der Beispiele 1-19, wobei die nicht vertrauenswürdige Software eine Vor-Boot-Firmware-Umgebung und/oder ein Betriebssystem und/oder einen Hypervisor umfasst.
  • Beispiel 21 umfasst ein Verfahren zum Bereitstellen von Authentifizierungsdiensten während eines Vor-Boot-Prozesses, wobei das Verfahren Folgendes umfasst: Empfangen einer biometrischen Vorlage von einer Netzwerkquelle durch eine Verwaltbarkeitssteuerung einer Datenverarbeitungsvorrichtung; gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und einer sicheren Ausführungsumgebung der Datenverarbeitungsvorrichtung durch die Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung isoliert ist; sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung durch die Datenverarbeitungsvorrichtung als Reaktion auf gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung; und Ausführen einer biometrischen Authentifizierungsoperation an einer biometrischen Eingabe durch die Datenverarbeitungsvorrichtung mit der sicheren Ausführungsumgebung unter Verwendung der biometrischen Vorlage während des Vor-Boot-Prozesses.
  • Beispiel 22 umfasst den Gegenstand von Beispiel 21, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Folgendes umfasst: sicheres Austauschen eines geteilten Geheimschlüssels zwischen der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung, sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung als Reaktion auf sicheren Austausch des geteilten Geheimschlüssels; und sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung als Reaktion auf den sicheren Austausch des geteilten Geheimschlüssels.
  • Beispiel 23 umfasst den Gegenstand eines der Beispiele 21 und 22, wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfasst.
  • Beispiel 24 umfasst den Gegenstand eines der Beispiele 21-23, wobei Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel Integritätsschützen und Privatsphärenschützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfasst.
  • Beispiel 25 umfasst den Gegenstand eines der Beispiele 21-24, wobei sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung Speichern des geteilten Geheimschlüssels in einer internen Speicherung der Verwaltbarkeitssteuerung umfasst.
  • Beispiel 26 umfasst den Gegenstand eines der Beispiele 21-25, wobei sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung Folgendes umfasst: Versiegeln des geteilten Geheimschlüssels mit einer Identität der sicheren Ausführungsumgebung, um einen versiegelten Schlüssel zu erzeugen; und Speichern des versiegelten Schlüssels in einer Datenspeicherungsvorrichtung der Datenverarbeitungsvorrichtung.
  • Beispiel 27 umfasst den Gegenstand eines der Beispiele 21-26, wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung ferner Folgendes umfasst: Entsiegeln des versiegelten Schlüssels durch die sichere Ausführungsumgebung mit der Identität der sicheren Ausführungsumgebung, um den geteilten Geheimschlüssel wiederherzustellen; und Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel als Reaktion auf Entsiegeln des versiegelten Schlüssels.
  • Beispiel 28 umfasst den Gegenstand eines der Beispiele 21-27, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren einer Identität der sicheren Ausführungsumgebung durch die Verwaltbarkeitssteuerung umfasst.
  • Beispiel 29 umfasst den Gegenstand eines der Beispiele 21-28, wobei die Identität eine Signieridentität einer Autorität der sicheren Ausführungsumgebung umfasst.
  • Beispiel 30 umfasst den Gegenstand eines der Beispiele 21-29, wobei Verifizieren der Identität der sicheren Ausführungsumgebung Verifizieren eines Zertifikats der sicheren Ausführungsumgebung mit einem entfernten Verifikationsdienst umfasst.
  • Beispiel 31 umfasst den Gegenstand eines der Beispiele 21-30, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren von Lokalität der Verwaltbarkeitssteuerung durch die sichere Ausführungsumgebung umfasst.
  • Beispiel 32 umfasst den Gegenstand eines der Beispiele 21-31, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren eines Zertifikats der Verwaltbarkeitssteuerung mit einem entfernten Verifikationsdienst durch die sichere Ausführungsumgebung umfasst.
  • Beispiel 33 umfasst den Gegenstand eines der Beispiele 21-32, ferner umfassend: Laden einer Laufzeitumgebung der Datenverarbeitungsvorrichtung durch die Datenverarbeitungsvorrichtung; und Laden einer Komponenten-Authentifizierungsenklave in der Laufzeitumgebung mit Unterstützung sicherer Enklaven eines Prozessors der Datenverarbeitungsvorrichtung durch die Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die Komponenten-Authentifizierungsenklave umfasst; wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der Komponenten-Authentifizierungsenklave umfasst.
  • Beispiel 34 umfasst den Gegenstand eines der Beispiele 21-33, ferner umfassend: Laden einer leichten Firmware-Umgebung während des Vor-Boot-Prozesses durch die Datenverarbeitungsvorrichtung; und Laden einer biometrischen Authentifizierungsenklave in der leichten Firmware-Umgebung mit der Unterstützung sicherer Enklaven des Prozessors durch die Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die biometrische Authentifizierungsenklave umfasst; wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die biometrische Authentifizierungsenklave umfasst; und wobei Ausführen der biometrischen Authentifizierungsoperation Ausführen der biometrischen Authentifizierungsoperation durch die biometrische Authentifizierungsenklave umfasst.
  • Beispiel 35 umfasst den Gegenstand eines der Beispiele 21-34, wobei: die Komponenten-Authentifizierungsenklave einer Signieridentität einer Autorität der Komponenten-Authentifizierungsenklave zugeordnet ist; und die biometrische Authentifizierungsenklave der Signieridentität zugeordnet ist.
  • Beispiel 36 umfasst den Gegenstand eines der Beispiele 21-35, ferner umfassend Bereitstellen von Zugang zu einer Hardwarekomponente der Datenverarbeitungsvorrichtung als Reaktion auf Ausführen der biometrischen Authentifizierungsoperation.
  • Beispiel 37 umfasst den Gegenstand eines der Beispiele 21-36, wobei die Hardwarekomponente eine verschlüsselte Datenspeicherungsvorrichtung umfasst.
  • Beispiel 38 umfasst den Gegenstand eines der Beispiele 21-37, wobei Empfangen der biometrischen Vorlage von der Netzwerkquelle Empfangen der biometrischen Vorlage durch die Verwaltbarkeitssteuerung mit einer Außerband-Netzwerkschnittstelle umfasst.
  • Beispiel 39 umfasst den Gegenstand eines der Beispiele 21-38, wobei die Verwaltbarkeitssteuerung einen Coprozessor der Datenverarbeitungsvorrichtung umfasst.
  • Beispiel 40 umfasst den Gegenstand eines der Beispiele 21-39, wobei die nicht vertrauenswürdige Software eine Vor-Boot-Firmware-Umgebung und/oder ein Betriebssystem und/oder einen Hypervisor umfasst.
  • Beispiel 41 umfasst eine Datenverarbeitungsvorrichtung, umfassend: einen Prozessor und einen Speicher, in dem mehrere Anweisungen gespeichert sind, die, wenn sie durch den Prozessor ausgeführt werden, bewirken, dass die Datenverarbeitungsvorrichtung das Verfahren nach einem der Beispiele 21-40 ausführt.
  • Beispiel 42 umfasst ein oder mehrere nichtflüchtige computerlesbare Speichermedien umfassend mehrere darauf gespeicherte Anweisungen, die, wenn sie ausgeführt werden, dazu führen, dass eine Datenverarbeitungsvorrichtung das Verfahren nach einem der Beispiele 21-40 ausführt.
  • Beispiel 43 umfasst eine Datenverarbeitungsvorrichtung mit Mitteln zum Ausführen des Verfahrens nach einem der Beispiele 21-40.
  • Beispiel 44 umfasst eine Datenverarbeitungsvorrichtung zum Bereitstellen von Authentifizierungsdiensten während eines Vor-Boot-Prozesses, wobei die Datenverarbeitungsvorrichtung Folgendes umfasst: Mittel zum Empfangen einer biometrischen Vorlage von einer Netzwerkquelle durch eine Verwaltbarkeitssteuerung der Datenverarbeitungsvorrichtung; Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und einer sicheren Ausführungsumgebung der Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung isoliert ist; Mittel zum sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung als Reaktion auf gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung; und Mittel zum Ausführen einer biometrischen Authentifizierungsoperation an einer biometrischen Eingabe durch die Datenverarbeitungsvorrichtung mit der sicheren Ausführungsumgebung unter Verwendung der biometrischen Vorlage während des Vor-Boot-Prozesses.
  • Beispiel 45 umfasst den Gegenstand von Beispiel 44, wobei die Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Folgendes umfassen: Mittel zum sicheren Austauschen eines geteilten Geheimschlüssels zwischen der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung, Mittel zum sicheren Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung als Reaktion auf sicheres Austauschen des geteilten Geheimschlüssels und Mittel zum sicheren Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung als Reaktion auf das sichere Austauschen des geteilten Geheimschlüssels.
  • Beispiel 46 umfasst den Gegenstand eines der Beispiele 44 und 45, wobei die Mittel zum sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung Mittel zum Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfassen.
  • Beispiel 47 umfasst den Gegenstand eines der Beispiele 44-46, wobei die Mittel zum Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel Mittel zum Integritätsschützen und Privatsphärenschützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfassen.
  • Beispiel 48 umfasst den Gegenstand eines der Beispiele 44-47, wobei die Mittel zum sicheren Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung Mittel zum Speichern des geteilten Geheimschlüssels in einer internen Speicherung der Verwaltbarkeitssteuerung umfassen.
  • Beispiel 49 umfasst den Gegenstand eines der Beispiele 44-48, wobei die Mittel zum sicheren Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung Folgendes umfassen: Mittel zum Versiegeln des geteilten Geheimschlüssels mit einer Identität der sicheren Ausführungsumgebung, um einen versiegelten Schlüssel zu erzeugen; und Mittel zum Speichern des versiegelten Schlüssels in einer Datenspeicherungsvorrichtung der Datenverarbeitungsvorrichtung.
  • Beispiel 50 umfasst den Gegenstand eines der Beispiele 44-49, wobei die Mittel zum sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung ferner Folgendes umfassen: Mittel zum Entsiegeln des versiegelten Schlüssels durch die sichere Ausführungsumgebung mit der Identität der sicheren Ausführungsumgebung, um den geteilten Geheimschlüssel wiederherzustellen; und Mittel zum Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel als Reaktion auf Entsiegeln des versiegelten Schlüssels.
  • Beispiel 51 umfasst den Gegenstand eines der Beispiele 44-50, wobei die Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Mittel zum Verifizieren einer Identität der sicheren Ausführungsumgebung durch die Verwaltbarkeitssteuerung umfassen.
  • Beispiel 52 umfasst den Gegenstand eines der Beispiele 44-51, wobei die Identität eine Signieridentität einer Autorität der sicheren Ausführungsumgebung umfasst.
  • Beispiel 53 umfasst den Gegenstand eines der Beispiele 44-52, wobei die Mittel zum Verifizieren der Identität der sicheren Ausführungsumgebung Mittel zum Verifizieren eines Zertifikats der sicheren Ausführungsumgebung mit einem entfernten Verifikationsdienst umfassen.
  • Beispiel 54 umfasst den Gegenstand eines der Beispiele 44-53, wobei die Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Mittel zum Verifizieren von Lokalität der Verwaltbarkeitssteuerung durch die sichere Ausführungsumgebung umfassen.
  • Beispiel 55 umfasst den Gegenstand eines der Beispiele 44-54, wobei die Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Mittel zum Verifizieren eines Zertifikats der Verwaltbarkeitssteuerung mit einem entfernten Verifikationsdienst durch die sichere Ausführungsumgebung umfassen.
  • Beispiel 56 umfasst den Gegenstand eines der Beispiele 44-55, ferner umfassend: Mittel zum Laden einer Laufzeitumgebung der Datenverarbeitungsvorrichtung; und Mittel zum Laden einer Komponenten-Authentifizierungsenklave in der Laufzeitumgebung mit Unterstützung sicherer Enklaven eines Prozessors der Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die Komponenten-Authentifizierungsenklave umfasst; wobei die Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Mittel zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und der Komponenten-Authentifizierungsenklave umfassen.
  • Beispiel 57 umfasst den Gegenstand eines der Beispiele 44-56, ferner umfassend: Mittel zum Laden einer leichten Firmware-Umgebung während des Vor-Boot-Prozesses; und Mittel zum Laden einer biometrischen Authentifizierungsenklave in der leichten Firmware-Umgebung mit der Unterstützung sicherer Enklaven des Prozessors, wobei die sichere Ausführungsumgebung die biometrische Authentifizierungsenklave umfasst; wobei die Mittel zum sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung Mittel zum sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die biometrische Authentifizierungsenklave umfassen; und wobei die Mittel zum Ausführen der biometrischen Authentifizierungsoperation Mittel zum Ausführen der biometrischen Authentifizierungsoperation durch die biometrische Authentifizierungsenklave umfassen.
  • Beispiel 58 umfasst den Gegenstand eines der Beispiele 44-57, wobei: die Komponenten-Authentifizierungsenklave einer Signieridentität einer Autorität der Komponenten-Authentifizierungsenklave zugeordnet ist; und die biometrische Authentifizierungsenklave der Signieridentität zugeordnet ist.
  • Beispiel 59 umfasst den Gegenstand eines der Beispiele 44-58, ferner umfassend Mittel zum Bereitstellen von Zugang zu einer Hardwarekomponente der Datenverarbeitungsvorrichtung als Reaktion auf Ausführen der biometrischen Authentifizierungsoperation.
  • Beispiel 60 umfasst den Gegenstand eines der Beispiele 44-59, wobei die Hardwarekomponente eine verschlüsselte Datenspeicherungsvorrichtung umfasst.
  • Beispiel 61 umfasst den Gegenstand eines der Beispiele 44-60, wobei die Mittel zum Empfangen der biometrischen Vorlage von der Netzwerkquelle Mittel zum Empfangen der biometrischen Vorlage durch die Verwaltbarkeitssteuerung mit einer Außerband-Netzwerkschnittstelle umfassen.
  • Beispiel 62 umfasst den Gegenstand eines der Beispiele 44-61, wobei die Verwaltbarkeitssteuerung einen Coprozessor der Datenverarbeitungsvorrichtung umfasst.
  • Beispiel 63 umfasst den Gegenstand eines der Beispiele 44-62, wobei die nicht vertrauenswürdige Software eine Vor-Boot-Firmware-Umgebung und/oder ein Betriebssystem und/oder einen Hypervisor umfasst.

Claims (25)

  1. Datenverarbeitungsvorrichtung zum Bereitstellen von Authentifizierungsdiensten während eines Vor-Boot-Prozesses, wobei die Datenverarbeitungsvorrichtung Folgendes umfasst: eine Verwaltbarkeitssteuerung, wobei die Verwaltbarkeitssteuerung einen Vorlagenmanager zum Empfangen einer biometrischen Vorlage von einer Netzwerkquelle umfasst; einen Komponenten-Authentifizierungsmanager zum gegenseitigen Authentifizieren der Verwaltbarkeitssteuerung und einer sicheren Ausführungsumgebung der Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung isoliert ist; und einen biometrischen Authentifizierungsmanager zum (i) sicheren Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung als Reaktion auf gegenseitige Authentifizierung der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung und (ii) Ausführen einer biometrischen Authentifizierungsoperation mit der sicheren Ausführungsumgebung an einer biometrischen Eingabe mit der biometrischen Vorlage während des Vor-Boot-Prozesses.
  2. Datenverarbeitungsvorrichtung nach Anspruch 1, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Folgendes umfasst: (i) sicheres Austauschen eines geteilten Geheimschlüssels zwischen der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung, (ii) sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung als Reaktion auf sicheren Austausch des geteilten Geheimschlüssels und (iii) sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung als Reaktion auf den sicheren Austausch des geteilten Geheimschlüssels; und sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfasst, wobei Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel Integritätsschützen und Privatsphärenschützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel umfasst.
  3. Datenverarbeitungsvorrichtung nach Anspruch 2, wobei sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung Speichern des geteilten Geheimschlüssels in einer internen Speicherung der Verwaltbarkeitssteuerung umfasst.
  4. Datenverarbeitungsvorrichtung nach Anspruch 2, wobei sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung Folgendes umfasst: (i) Versiegeln des geteilten Geheimschlüssels mit einer Identität der sicheren Ausführungsumgebung, um einen versiegelten Schlüssel zu erzeugen und (ii) Speichern des versiegelten Schlüssels in einer Datenspeicherungsvorrichtung der Datenverarbeitungsvorrichtung; und sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung ferner Folgendes umfasst: (i) Entsiegeln des versiegelten Schlüssels durch die sichere Ausführungsumgebung mit der Identität der sicheren Ausführungsumgebung, um den geteilten Geheimschlüssel wiederherzustellen, und (ii) Schützen der biometrischen Vorlage mit dem geteilten Geheimschlüssel als Reaktion auf Entsiegeln des versiegelten Schlüssels.
  5. Datenverarbeitungsvorrichtung nach Anspruch 1, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren einer Identität der sicheren Ausführungsumgebung durch die Verwaltbarkeitssteuerung umfasst.
  6. Datenverarbeitungsvorrichtung nach Anspruch 5, wobei die Identität eine Signieridentität einer Autorität der sicheren Ausführungsumgebung umfasst.
  7. Datenverarbeitungsvorrichtung nach Anspruch 5, wobei Verifizieren der Identität der sicheren Ausführungsumgebung Verifizieren eines Zertifikats der sicheren Ausführungsumgebung mit einem entfernten Verifikationsdienst umfasst.
  8. Datenverarbeitungsvorrichtung nach Anspruch 1, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren von Lokalität der Verwaltbarkeitssteuerung durch die sichere Ausführungsumgebung umfasst.
  9. Datenverarbeitungsvorrichtung nach Anspruch 1, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren eines Zertifikats der Verwaltbarkeitssteuerung mit einem entfernten Verifikationsdienst durch die sichere Ausführungsumgebung umfasst.
  10. Datenverarbeitungsvorrichtung nach einem der Ansprüche 1-9, die ferner einen Boot-Manager umfasst, der zu Folgendem dient: Laden einer Laufzeitumgebung der Datenverarbeitungsvorrichtung; und Laden einer Komponenten-Authentifizierungsenklave in der Laufzeitumgebung mit Unterstützung sicherer Enklaven eines Prozessors der Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die Komponenten-Authentifizierungsenklave umfasst; wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der Komponenten-Authentifizierungsenklave umfasst.
  11. Datenverarbeitungsvorrichtung nach Anspruch 10, die ferner einen Boot-Manager umfasst, der zu Folgendem dient: Laden einer leichten Firmware-Umgebung während des Vor-Boot-Prozesses; und Laden einer biometrischen Authentifizierungsenklave in der leichten Firmware-Umgebung mit der Unterstützung sicherer Enklaven des Prozessors, wobei die sichere Ausführungsumgebung die biometrische Authentifizierungsenklave umfasst; wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die biometrische Authentifizierungsenklave umfasst; und wobei Ausführen der biometrischen Authentifizierungsoperation Ausführen der biometrischen Authentifizierungsoperation durch die biometrische Authentifizierungsenklave umfasst.
  12. Datenverarbeitungsvorrichtung nach Anspruch 11, wobei: die Komponenten-Authentifizierungsenklave einer Signieridentität einer Autorität der Komponenten-Authentifizierungsenklave zugeordnet ist; und die biometrische Authentifizierungsenklave der Signieridentität zugeordnet ist.
  13. Datenverarbeitungsvorrichtung nach einem der Ansprüche 1-9, wobei der biometrische Authentifizierungsmanager ferner zum Bereitstellen von Zugang zu einer Hardwarekomponente der Datenverarbeitungsvorrichtung als Reaktion auf Ausführung der biometrischen Authentifizierungsoperation dient, wobei die Hardwarekomponente eine verschlüsselte Datenspeicherungsvorrichtung umfasst.
  14. Datenverarbeitungsvorrichtung nach einem der Ansprüche 1-9, wobei die Verwaltbarkeitssteuerung einen Coprozessor der Datenverarbeitungsvorrichtung umfasst.
  15. Verfahren zum Bereitstellen von Authentifizierungsdiensten während eines Vor-Boot-Prozesses, wobei das Verfahren Folgendes umfasst: Empfangen einer biometrischen Vorlage von einer Netzwerkquelle durch eine Verwaltbarkeitssteuerung einer Datenverarbeitungsvorrichtung; gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und einer sicheren Ausführungsumgebung der Datenverarbeitungsvorrichtung durch die Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung von nicht vertrauenswürdiger Software der Datenverarbeitungsvorrichtung isoliert ist; sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung durch die Datenverarbeitungsvorrichtung als Reaktion auf gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung; und Ausführen einer biometrischen Authentifizierungsoperation an einer biometrischen Eingabe durch die Datenverarbeitungsvorrichtung unter Verwendung der biometrischen Vorlage während des Vor-Boot-Prozesses.
  16. Verfahren nach Anspruch 15, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Folgendes umfasst: sicheres Austauschen eines geteilten Geheimschlüssels zwischen der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung, sicheres Speichern des geteilten Geheimschlüssels durch die Verwaltbarkeitssteuerung als Reaktion auf sicheres Austauschen des geteilten Geheimschlüssels und sicheres Speichern des geteilten Geheimschlüssels durch die sichere Ausführungsumgebung als Reaktion auf sicheres Austauschen des geteilten Geheimschlüssels.
  17. Verfahren nach Anspruch 15, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren einer Identität der sicheren Ausführungsumgebung durch die Verwaltbarkeitssteuerung umfasst.
  18. Verfahren nach Anspruch 15, wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung Verifizieren von Lokalität der Verwaltbarkeitssteuerung durch die sichere Ausführungsumgebung umfasst.
  19. Verfahren nach Anspruch 15, ferner umfassend: Laden einer Laufzeitumgebung der Datenverarbeitungsvorrichtung durch die Datenverarbeitungsvorrichtung; und Laden einer Komponenten-Authentifizierungsenklave in der Laufzeitumgebung mit Unterstützung sicherer Enklaven eines Prozessors der Datenverarbeitungsvorrichtung durch die Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die Komponenten-Authentifizierungsenklave umfasst; wobei gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der sicheren Ausführungsumgebung gegenseitiges Authentifizieren der Verwaltbarkeitssteuerung und der Komponenten-Authentifizierungsenklave umfasst.
  20. Verfahren nach Anspruch 19, ferner umfassend: Laden einer leichten Firmware-Umgebung durch die Datenverarbeitungsvorrichtung während des Vor-Boot-Prozesses; und Laden einer biometrischen Authentifizierungsenklave in der leichten Firmware-Umgebung mit der Unterstützung sicherer Enklaven des Prozessors durch die Datenverarbeitungsvorrichtung, wobei die sichere Ausführungsumgebung die biometrische Authentifizierungsenklave umfasst; wobei sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die sichere Ausführungsumgebung sicheres Bereitstellen der biometrischen Vorlage von der Verwaltbarkeitssteuerung für die biometrische Authentifizierungsenklave umfasst; und wobei Ausführen der biometrischen Authentifizierungsoperation Ausführen der biometrischen Authentifizierungsoperation durch die biometrische Authentifizierungsenklave umfasst.
  21. Verfahren nach Anspruch 20, wobei: die Komponenten-Authentifizierungsenklave einer Signieridentität einer Autorität der Komponenten-Authentifizierungsenklave zugeordnet ist; und die biometrische Authentifizierungsenklave der Signieridentität zugeordnet ist.
  22. Verfahren nach Anspruch 15, das ferner Bereitstellen von Zugang zu einer Hardwarekomponente der Datenverarbeitungsvorrichtung als Reaktion auf Ausführen der biometrischen Authentifizierungsoperation umfasst.
  23. Datenverarbeitungsvorrichtung, umfassend: einen Prozessor; und einen Speicher, in dem mehrere Anweisungen gespeichert sind, die, wenn sie durch den Prozessor ausgeführt werden, bewirken, dass die Datenverarbeitungsvorrichtung das Verfahren nach einem der Ansprüche 15-22 ausführt.
  24. Nichtflüchtiges, computerlesbares Speichermedium bzw. nichtflüchtige, computerlesbare Speichermedien, die darauf gespeichert mehrere Anweisungen umfassen, die, wenn sie ausgeführt werden, dazu führen, dass eine Datenverarbeitungsvorrichtung das Verfahren nach einem der Ansprüche 15-22 ausführt.
  25. Datenverarbeitungsvorrichtung mit Mitteln zum Ausführen des Verfahrens nach einem der Ansprüche 15-22.
DE102018126136.5A 2018-01-12 2018-10-22 Technologien zur biometrischen Authentifizierung vor dem Booten Pending DE102018126136A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US15/870,366 2018-01-12
US15/870,366 US10747885B2 (en) 2018-01-12 2018-01-12 Technologies for pre-boot biometric authentication

Publications (1)

Publication Number Publication Date
DE102018126136A1 true DE102018126136A1 (de) 2019-07-18

Family

ID=65229578

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102018126136.5A Pending DE102018126136A1 (de) 2018-01-12 2018-10-22 Technologien zur biometrischen Authentifizierung vor dem Booten

Country Status (3)

Country Link
US (1) US10747885B2 (de)
CN (1) CN110032847A (de)
DE (1) DE102018126136A1 (de)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9286457B2 (en) * 2004-06-14 2016-03-15 Rodney Beatson Method and system for providing password-free, hardware-rooted, ASIC-based authentication of a human to a mobile device using biometrics with a protected, local template to release trusted credentials to relying parties
CN108171858A (zh) * 2018-02-13 2018-06-15 南京东屋电气有限公司 一种带有分离式红外图像采集装置的汽车门锁
US11068598B2 (en) * 2018-11-01 2021-07-20 Dell Products L.P. Chassis internal device security
US11934524B2 (en) * 2019-06-21 2024-03-19 Analog Devices, Inc. Secure fingerprint image system
US20230237162A1 (en) * 2022-01-21 2023-07-27 Dell Products L.P. Systems and methods for remote secure erasure of fingerprint data from information handling systems

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090204964A1 (en) * 2007-10-12 2009-08-13 Foley Peter F Distributed trusted virtualization platform
JP5476363B2 (ja) * 2011-12-19 2014-04-23 レノボ・シンガポール・プライベート・リミテッド 生体認証装置を利用したコンピュータの起動方法およびコンピュータ
US9686077B2 (en) * 2014-03-06 2017-06-20 Microsoft Technology Licensing, Llc Secure hardware for cross-device trusted applications
DK3764678T3 (da) * 2014-09-17 2024-02-05 Simless Inc Anordning til implementering af en godkendt abonnementstyringsplatform
KR101792862B1 (ko) * 2015-12-23 2017-11-20 주식회사 케이티 생체 정보 기반 인증 장치, 이와 연동하는 제어 서버, 그리고 이들의 생체 정보 기반 로그인 방법
US10705894B2 (en) * 2016-05-30 2020-07-07 Samsung Electronics Co., Ltd. Electronic device for authenticating application and operating method thereof
US10218696B2 (en) * 2016-06-30 2019-02-26 Microsoft Technology Licensing, Llc Targeted secure software deployment

Also Published As

Publication number Publication date
CN110032847A (zh) 2019-07-19
US20190042756A1 (en) 2019-02-07
US10747885B2 (en) 2020-08-18

Similar Documents

Publication Publication Date Title
US20230128711A1 (en) Technologies for trusted i/o with a channel identifier filter and processor-based cryptographic engine
US10614216B2 (en) Paravirtualized security threat protection of a computer-driven system with networked devices
DE102018126136A1 (de) Technologien zur biometrischen Authentifizierung vor dem Booten
JP4982825B2 (ja) コンピュータおよび共有パスワードの管理方法
US10318765B2 (en) Protecting critical data structures in an embedded hypervisor system
DE60002893T2 (de) Computerplattformen und deren betriebsverfahren
DE102020126182A1 (de) Privatsphären- und datenschutz auf smart-edge-vorrichtungen
DE102005040073B4 (de) Computersicherheitssystem
JP4940460B2 (ja) 処理システム、方法およびデバイス
US20190278925A1 (en) Secure computing system
US20070237366A1 (en) Secure biometric processing system and method of use
DE112016005833T5 (de) Datenverarbeitungsgeräte
DE102019110309A1 (de) Integritätsschutz mit geringem overhead und hoher verfügbarkeit für vertrauensdomänen
DE10393662T5 (de) Bereitstellen eines sicheren Ausführungsmodus in einer Preboot-Umgebung
CN109918919A (zh) 认证变量的管理
US20150381658A1 (en) Premises-aware security and policy orchestration
CN101771689A (zh) 通过管理性引擎进行企业网单点登录的方法和系统
US20160026799A1 (en) Security device having indirect access to external non-volatile memory
DE102015209108A1 (de) Verfahren und Entscheidungsgateway zum Autorisieren einer Funktion eines eingebetteten Steuergerätes
DE112009004762T5 (de) System und verfahren zum durchführen einer verwaltunosoperation
CN108595983B (zh) 一种基于硬件安全隔离执行环境的硬件架构、及应用上下文完整性度量方法
DE102018115683A1 (de) Domänenübergreifende sicherheit in kryptographisch partionierter cloud
US20190325140A1 (en) Binding of TPM and Root Device
US10482278B2 (en) Remote provisioning and authenticated writes to secure storage devices
DE112015007220T5 (de) Techniken zum Koordinieren von Vorrichtungshochfahrsicherheit