DE112005002985B4

DE112005002985B4 - Verfahren zum Einrichten einer vertrauenswürdigen Ablaufumgebung in einem Computer

Info

Publication number: DE112005002985B4
Application number: DE112005002985T
Authority: DE
Inventors: Wei Wei; Chaoran Peng; Ping Yin; Yonghua Liu
Original assignee: Lenovo Beijing Ltd
Current assignee: Lenovo Beijing Ltd
Priority date: 2004-12-02
Filing date: 2005-07-11
Publication date: 2011-01-20
Anticipated expiration: 2025-07-12
Also published as: GB2436046B; CN1702590A; CN100489728C; DE112005002985T5; WO2006058472A1; JP2008522298A; JP4729046B2; GB2436046A; GB0712636D0; US20090288161A1

Abstract

Verfahren zum Einrichten einer vertrauenswürdigen Ablaufumgebung in einem Computer, wobei vorab in dem Betriebssystem (OS) des Computers ein Authentifizierungsmodul für vertrauenswürdige Dateien und ein Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes eingerichtet werden und ein geschütztes OS geladen und betrieben wird, umfassend folgende Verfahrensschritte:
a) Verfahrensschritte des Authentifizierungsmoduls für vertrauenswürdige Daten:
Unterbrechen jedes Dateioperationsverhaltens;
Prüfen, ob die gegenwärtige abzuwickelnde Datei eine vertrauenswürdige Datei ist oder nicht;
Verarbeiten der Datei entsprechend ihrem Operationstyp, wenn sie vertrauenswürdig ist, und sonst Verarbeiten der Datei nach Verifizierung ihrer Berechtigung;
b) Verfahrensschritte des Authentifizierungsmoduls für vertrauenswürdige Prozessspeichercodes:
Beim Einstellen Authentifizieren, ob der Ablaufzustand und die Integrität für alle Prozesscodes normal sind oder nicht;
Alarm auslösen, falls ein Prozess unnormal ist;
Sichern von Felddaten, die durch den Prozess ausgeführt werden; und
Abschalten des Prozesses, andernfalls Fortsetzen des normalen Ablaufs; und
c) Verfahrensschritte beim Laden und Betreiben des geschützten OS:...

Description

HINTERGRUND DER ERFINDUNG
GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft das technische Gebiet der Computersicherheit, insbesondere ein Verfahren zum Einrichten einer vertrauenswürdigen Ablaufumgebung in einem Computer.
BESCHREIBUNG DES STANDS DER TECHNIK
Auf Grund ihm eigener Mängel neigt das Computerbetriebssystem (OS) zu einem Totalausfall, wenn es angegriffen wird, speziell in dem Fall eines unbekannten Angriffs oder eines neuen Virus. Infolgedessen kann das Gesamtsystem seinen Betrieb nicht fortsetzen oder selbst dann, wenn es ihn fortsetzen kann, können zahlreiche Probleme auftreten. Dadurch bedingt stellen sich bei einem Benutzer Zweifel ein, ob die Ablaufumgebung in dem Computer vertrauenswürdig ist, und infolgedessen könnte der Benutzer zu besorgt sein, um auf dem Computer die Verarbeitung und den Austausch von vertraulichen Informationen auszuführen, wie dies beispielsweise bei elektronische Zahlungen, bei elektronische Dokumenten usw. der Fall ist. Dies ist in jeder Hinsicht unvorteilhaft.
Derzeit wird üblicherweise versucht, die obigen Probleme mit mehreren Lösungen zu überwinden, die die folgenden sind:
Das erste Verfahren ist, eine Antivirussoftware anzuwenden. Spezieller erkennt die Antivirussoftware den Angriff aus einem Netzwerk durch eine Methode der Merkmalabgleichung. Sie isoliert oder desinfiziert alle infizierten Dateien, wenn der Virus gefunden wird, so dass die Sicherheit des Computers garantiert werden kann.
Dieses Verfahren weist jedoch den Nachteil auf, dass es den Angriff eines unbekannten Virus nicht erkennen kann. Infolgedessen kann das Computersystem keinerlei Gegenmaßnahmen einleiten, bevor eine neue Virusbibliothek, eine Regelbibliothek und ein neues Patch-Programm veröffentlicht sind.
Das zweite Verfahren ist, eine Host-Invasions-Erkennungssoftware anzuwenden. Speziell erkennt die Host-Invasions-Erkennungssoftware einen Angriff unter Verwendung einer gegebenen Merkmalsregelbibliothek und löst einen Alarm aus.
Dieses Verfahren weist einen Nachteil auf, der dem des ersten Verfahrens gleichartig ist, d. h., dass es den Angriff durch einen neuen Virus nicht erkennen kann. Infolgedessen kann das Computersystem vor der Veröffentlichung einer neuen Virusbibliothek, einer Regelbibliothek und eines Patch-Programms keinerlei Gegenmaßnahmen einleiten. Mittlerweile ist die Host-Invasions-Erkennungssoftware selbst für derartige Angriffe anfällig.
Das dritte Verfahren ist die Verwendung einer physikalischen Trennung durch Dualnet, eines Computers mit physikalisch getrenntem Dualnet oder eines Verfahrens des OS-Umschaltens im Dualmodus. Speziell garantiert das Verfahren die Sicherheit der Computer-Ablaufumgebung durch Dualnet oder Umschalten im Dualmodus.
Bedauerlicherweise führt dieses Verfahren zu höheren Kosten für den Computer selbst und der Benutzer muss außerdem den Modus des Computers umschalten und die Nutzung ist infolgedessen unbequem.
Das vierte Verfahren ist die Verwendung einer Prozessisolationstechnik. Im Einzelnen wird für einen Prozess ein Identifikations-Flag eingerichtet und ein Besucher des Prozesses wird diskriminiert, während verschiedene Prozesse in dem Prozesspool in Bezug auf ihre Nutzung für sowohl den physikalischen Speicher und die CPU als auch in Hinsicht auf die Systemleistung isoliert und überwacht werden, um Speicherüberlauf zu verhindern, wenn mehrere Prozesse ablaufen.
Dieses Verfahren hat einen dahingehenden Nachteil, dass nicht erkannt wird, ob ein Prozess selbst angegriffen wurde. Daher ist die Sicherheit des Computers noch immer gefährdet.
Die obigen Verfahren dienen jeweils als eine Sicherheitsmaßnahme gegen verschiedene Angriffe. Jedoch können sie nicht gewährleisten, dass die Ablaufumgebung in dem Computer geschützt und vertrauenswürdig ist.
Die WO 02/21 243 A2 lehrt eine Peer-to-Peer-Authentifizierung eines Softwaremoduls, bei der ein geschützter Adressenbereich, der durch das Softwaremodul belegt wird, ermittelt und sichergestellt wird, dass alle durch dieses Softwaremodul ausgeführten Funktionsaufrufe aus dem besagten geschützten Adressenbereich stammten und auch wieder dorthin zurückverweisen.
Die US 2003/0084346 A1 betrifft das unilaterale Laden eines sicheren Betriebssystems innerhalb einer Multiprozessor-Umgebung. Es ist zwingend vorgeschrieben, einen kryptograhischen Hash-Wert eines oder mehrer geschützter Bereiche zu speichern.
Die WO 02/01351 A2 betrifft die Gewährleistung von Sicherheit bei Komponenten oder Anordnungen, die bei Anwendungsprogrammen eingesetzt werden. In vergleichbarer Weise ist auch die WO 02/01351 A2 auf das Versehen eines Manifests mit einem kryptograhischen Hash-Wert fokussiert.
Die US 6,185,678 B1 lehrt eine sichere und zuverlässige Bootstrap-Architektur. Hierzu wird ein mit einem Bus verbundener vertrauenswürdiger Speicher (trusted repository) eingesetzt. Die Integrität der Bootkomponenten und des System-BIOS wird verifiziert, und bei Integritätsfehlern wird über den vertrauenswürdigen Speicher eine Wiederherstellung durchgeführt.
ZUSAMMENFASSUNG DER ERFINDUNG
Der Erfindung liegt die Aufgabe zugrunde, ein benutzerfreundliches, aber dennoch sicheres Arbeiten mit einem Computer auch bei Angriffen mit noch unbekannten Viren zu passablen Kosten zu ermöglichen.
Gelöst wird diese Aufgabe mit einem Verfahren gemäß Anspruch 1. Dadurch kann eine vertrauenswürdige Ablaufumgebung geschaffen werden, indem die Sicherheit von zwei Aspekten des Zugriffs auf Dateien und Prozesse gewährleistet wird.
Vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der abhängigen Ansprüche.
Erfindungsgemäß wird somit ab dem Startup des OS jeglicher Angriff – sei es auf den OS-Kern, Anwendungsdateien und/oder Prozesse selbst – erfasst und die entsprechende Wiederherstellung auf der Grundlage einer vertrauenswürdigen Computer-Hardwareplattform durchgeführt, anstatt die Existenz eines Virus durch Informationen aus beispielsweise einer Virusbibliothek oder einer Regelbibliothek zu erfassen. Auf diese Weise können unabhängig davon, ob der Angriff von einem bekannten oder unbekannten Virus ausgeht, die Sicherheit und Vertrauenswürdigkeit für die Ablaufumgebung in dem Computer gewährleistet werden und somit eine vertrauenswürdige Ablaufumgebung für den Benutzer geschaffen werden, der lediglich anzugeben bzw. zu bestimmen braucht, welche Dateien und Daten bzw. Codes eine Sicherheitsgarantie erfordern. Dies erleichtert die Anwendung und reduziert die Implementierungskosten.
Bevorzugt befindet sich das Basis-Dateiverwaltungssystem in der Sicherheitsspeicherkomponente, in der Basisfirmware oder in dem OS und die Liste vertrauenswürdiger Dateien befindet sich in der Sicherheitsspeicherkomponente oder in dem OS.
Bevorzugt werden alle Daten, die Sicherheitsgarantie in der Sicherheitsspeicherkomponente erfordern, entsprechend der Anforderung des Systemablaufs und der Benutzeranforderung festgelegt und alle Daten, die Sicherheitsgarantie erfordern, umfassen, jedoch nicht darauf begrenzt, Daten für die Basisfirmware, das OS, verschiedene Anwendungssoftware und Dateien sowie auch den Plattenparameter.
Bevorzugt enthält der Plattenparameter, jedoch nicht darauf beschränkt, Haupt-Bootsektorparameter, Partitions-Bootsektorparameter und Dateiallokationstabellenparameter.
Bevorzugt umfasst die Methode für das Authentifizierungsmodul für vertrauenswürdige Dateien zum Prüfen, ob die gegenwärtige Datei, die abzuwickeln ist, eine vertrauenswürdige Datei ist oder nicht, das Prüfen, ob die gegenwärtige Datei, die abzuwickeln ist, eine Datei in der Liste der vertrauenswürdigen Dateien ist oder nicht, und wenn sie es ist, das Festlegen der gegenwärtigen Datei, die abzuwickeln ist, als eine vertrauenswürdige Datei, andernfalls das Bestimmen, dass die gegenwärtige Datei, die abzuwickeln ist, eine nicht vertrauenswürdige Datei ist.
Bevorzugt ist die Verarbeitung für eine vertrauenswürdige Datei entsprechend dem Operationstyp der gegenwärtigen Datei folgende: Prüfen, ob die Art des Operationsverhaltens der gegenwärtigen Datei Auslesen oder Modifizieren ist, und
wenn sie Auslesen ist, Prüfen, ob der Integritätswert der gegenwärtigen Datei, die abzuwickeln ist, konsistent mit einem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert ist, ist oder nicht, und wenn konsistent, Laden der gegenwärtigen Datei, die abzuwickeln ist, in den Speicher und Zulassen des Auslesens von einem Besucher, und falls nicht konsistent, Extrahieren einer vorab gespeicherten vertrauenswürdigen Datei aus der Sicherheitsspeicherkomponente, um die gegenwärtige Datei zu ersetzen, und Laden der Datei, die abzuwickeln ist, in den Speicher und Zulassen des Auslesens von dem Besucher und
wenn sie Modifizieren ist, Prüfen, ob der Computer gegenwärtig in einem geschützten Zustand ist, und anschließend Zulassen, dass der Benutzer die Liste vertrauenswürdiger Dateien modifiziert, erneutes Berechnen der Integritätswerte für die Liste vertrauenswürdiger Dateien und der modifizierten Datei und Speichern der neuen Integritätswerte in der Sicherheitsspeicherkomponente.
Bevorzugt umfasst das Modifizieren, jedoch nicht darauf beschränkt, Lese- und/oder Attributmodifikation und/oder Löschen und/oder Erzeugung neuer Dateien, wobei der geschützte Zustand bedeutet, dass der Computer keine physikalische Verbindung mit einem Netzwerk hat und dass die Liste vertrauenswürdiger Dateien in einem Modifizierungsfreigabezustand ist.
Bevorzugt umfasst das Verfahren des Weiteren die Bereitstellung eines physikalischen Schalters zur Modifizierungsfreigabe und das Bestimmen auf Basis des EIN- oder AUS-Zustands des physikalischen Schalters, ob die vertrauenswürdige Datei gegenwärtig in dem Modifizierungsfreigabezustand ist oder nicht.
Bevorzugt ist die Verarbeitung für eine nicht vertrauenswürdige Datei, nachdem ihre Berechtigung authentifiziert ist, folgende: nach der Beendigung der Virenerkennung auf der nicht vertrauenswürdigen Datei Laden eines Prozesses, der der Datei entspricht, in eine virtuelle Maschine, die das Verhalten des Prozesses überwacht und einen Alarm gibt und den Prozess einstellt, wenn ein unzulässiges Verhalten in dem Prozess festgestellt ist, und falls kein unzulässiges Verhalten festgestellt ist, die Verarbeitung der Datei zulässt.
Bevorzugt umfasst das unzulässige Verhalten wenigstens unberechtigtes Modifizieren auf OS-Dateien, unberechtigtes Modifizieren auf der Platte und/oder unzulässige Grenzverletzung beim Speicherzugriff und/oder unberechtigtes Springen.
Bevorzugt ist der Prozess für das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes zum zeitangepassten Authentifizieren, ob der Ablaufzustand des gesamten Prozesscodes normal ist oder nicht: Prüfen, ob der Programmzeiger für einen Prozess über die durch den Prozess zugeordnete physikalische Speicheradresse hinausgeht oder nicht und/oder ob der Prozesscode die zugeordnete physikalische Speicheradresse überschreitet oder nicht.
Der Prozess für das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes zum zeitangepassten Authentifizieren, ob die Integrität des gesamten Prozesscodes normal ist oder nicht, ist folgender: Berechnen des Integritätswertes des Prozesscodes in dem Speicher für einen Prozess entsprechend einer Datei, wenn eine Datei zum ersten Mal in den Speicher geladen wird, Speichern des Integritätswertes in der Sicherheitsspeicherkomponente und zeitangepasstes Authentifizieren, ob der Integritätswert aller gegenwärtigen Prozesscodes mit dem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert wird, konsistent ist oder nicht, und wenn er es ist, Bestimmen des Prozesscodes als normal, andernfalls Bestimmen des Prozesscodes als unnormal.
Bevorzugt umfasst das Verfahren des Weiteren, wenn das Authentifizierungsmodul für vertrauenswürdigen Prozessspeichercode authentifizier hat, dass der Ablaufzustand und/oder die Integrität des Prozesscodes unnormal ist, das erneute Authentifizieren der Datei, die dem unnormalen Prozess entspricht, durch das Authentifizierungsmodul für vertrauenswürdige Dateien und das anschließende erneute Laden dieser in den Speicher, das Berechnen des Integritätswertes der Prozesses, der der Datei in dem Speicher entspricht, dass Speichern des berechneten Wertes in dem Sicherheitsspeicherkomponente und das Wiederherstellen des Prozesses auf seinen vorherigen Ablaufzustand auf Basis der Felddaten, die zuvor zum Betreiben des Prozesses gesichert wurden.
Bevorzugt umfasst das Dateioperationsverhalten, jedoch nicht darauf beschränkt, Dateilesen/-schreiben, Dateiattributmodifizierung, Dateilöschung und Dateierzeugung.
Bevorzugt kann die Sicherheitsspeicherkomponente eine Festplattenspeicherkomponente mit obligatorischer Zugriffsautorisierungskontrolle, ein Chipspeicherkomponente mit obligatorischer Zugriffsautorisierungskontrolle oder eine Speicherkomponente mit Zugriffskontrollmechanismus sein.
Bevorzugt ist die Speicherkomponente eine Sicherheitschip, eine Festplatte mit Sicherheitsschutzfunktion oder ein Flash-Speicher mit Zugriffskontrollfunktion.
Die vorliegende Erfindung richtet das Authentifizierungsmodul für vertrauenswürdige Dateien und das Authentifizierungsmodul für vertrauenswürdigen Prozessspeichercode in dem Betriebssystem (OS) des Computers im Voraus ein und lädt und betreibt ein geschütztes OS. Das Authentifizierungsmodul für vertrauenswürdige Dateien unterbricht jedes Dateioperationsverhalten und verarbeitet die Datei dementsprechend, ob ihr Operationstyp für eine vertrauenswürdige Datei oder für eine nicht vertrauenswürdige Datei ist. Das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes authentifiziert zeitangepasst, ob der Ablaufzustand und die Integrität für alle Prozesscodes normal sind, und gibt, wenn ein Prozess unnormal ist, einen Alarm, sichert Felddaten, die durch den Prozess abgewickelt werden, stellt im Anschluss daran den Prozess ein und setzt andernfalls den normalen Betrieb fort. Mit der Erfindung wird vom Startup des OS jeder Angriff auf den OS-Kern, auf Anwendungsdateien und auf Prozesse selbst erkannt und die entsprechende Wiederherstellung wird auf Basis einer vertrauenswürdigen Computerhardware-Plattform vorgenommen, anstelle des Erkennens eines Virus durch Informationen, wie beispielsweise eine Virus- oder Regelbibliothek. Auf diese Weise können unabhängig davon, ob der Angriff von bekannten oder unbekannten Viren vorhanden ist oder nicht, die Sicherheit und Vertrauenswürdigkeit für die Ablaufumgebung des Computers sichergestellt werden und infolgedessen kann für einen Benutzer, der lediglich bestimmen muss, welche Dateien und Daten Sicherheitsgarantie erfordern, eine vertrauenswürdige Ablaufumgebung bereitgestellt werden. Dies erleichtert die Anwendung und verringert Implementierungskosten.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
1 zeigt ein schematisches Ablaufdiagramm zum Laden und Betreiben des OS, in dem eine Ausführungsform der Erfindung angewendet wird.
2 zeigt ein schematisches Ablaufdiagramm zum Authentifizieren einer gegenwärtigen Datei, die abzuwickeln ist, durch ein Authentifizierungsmodul für vertrauenswürdige Dateien.
3 zeigt ein schematisches Ablaufdiagramm für das Authentifizieren des Prozesscodes durch ein Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes.
4 zeigt ein schematisches Ablaufdiagramm zur Modifizierungsfreigabe unter Steuerung eines physikalischen Schalters.
AUSFÜHRLICHE BESCHREIBUNG VON BEVORZUGTEN AUSFÜHRUNGSFORMEN
Im Folgenden wird die vorliegende Erfindung in Verbindung mit den Begleitzeichnungen ausführlich beschrieben.
Gemäß der Erfindung wird durch umfassende Authentifizierung von dem OS, von Anwendungssoftware und von Prozessen auf Basis einer vertrauenswürdigen Computerhardware-Plattform eine Vertrauenskette eingerichtet und infolgedessen stellt die Erfindung eine verifizierte vertrauenswürdige Ablaufumgebung für einen Benutzer bereit.
Die 1 zeigt ein schematisches Ablaufdiagramm zum Laden und Betreiben des OS, in dem eine Ausführungsform der Erfindung zur Anwendung kommt. In dieser Ausführungsform werden innerhalb eines Computers in der Basisfirmware sowohl ein Basis-Dateiverwaltungssystem, das Funktionen der Plattenverwaltung und Dateiverwaltung hat, als auch ein Grundsoftware-Integritätsauthentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS bereitgestellt, das für die Authentifizierung von Kerndateien, die sich auf das Startup in dem OS beziehen, verwendet wird. Alle Daten, die Sicherheitsgarantie erfordern, die durch die Anforderungen des Systemablaufs und die Benutzeranforderungen bestimmt werden, werden zusammen mit den Integritätswerten davon in einer Sicherheitsspeicherkomponente eingerichtet, wobei die Daten, die Sicherheitsgarantie erfordern, Daten für den Basisbetrieb, wie BIOS, OS, verschiedene Anwendungssoftware und sowohl Dateien als auch Plattenparameter sind. Zusätzlich sind eine Liste vertrauenswürdiger Dateien, die die Dateinamen für die OS-Kerndatei enthält, die durch den Benutzer vordefiniert wurden, und dateibezogene Startup- und Anwendungssoftware, die der Benutzer schützen will, bereitgestellt. Der Prozess des Ladens und Betreibens des OS umfasst die folgenden Schritte:
In dem Schritt 101, nach erfolgreicher Authentifizierung und dem Startup der Basisfirmware, prüft die Basisfirmware, ob der Integritätswert des Basis-Dateiverwaltungssystems mit einem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert ist, konsistent ist oder nicht, falls er es ist, wird der Schritt 102 ausgeführt, andernfalls wird System-Startup unterbrochen.
In den Schritten 102 und 103 startet die Basisfirmware das Basis-Dateiverwaltungssystem, das seinerseits das Grundsoftware-Integritätsauthentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS startet.
In Schritt 104 liest das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS einen Plattenparameter aus einem Plattensektor und prüft, ob der Integritätswert des Plattenparameters mit einem vorab in der Sicherheitsspeicherkomponente gespeicherten Integritätswert konsistent ist oder nicht, falls er es ist, wird Schritt 106 ausgeführt, andernfalls wird Schritt 105 ausgeführt.
Der obige Plattenparameter enthält, jedoch nicht darauf beschränkt, Haupt-Bootsektorparameter, Partitions-Bootsektorparameter und Dateiallokations-Tabellenparameter (FAT-Parameter).
In Schritt 105 extrahiert das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS Daten, die vorab in der Sicherheitsspeicherkomponente gespeichert sind, um die gegenwärtigen Plattensektorparameter zu ersetzen und geht dann weiter zu Schritt 106.
In Schritt 106 prüft das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS, ob der Integritätswert der Liste vertrauenswürdiger Dateien mit einem vorab in der Sicherheitsspeicherkomponente gespeicherten Integritätswert konsistent ist oder nicht, wenn er es ist, wird Schritt 108 ausgeführt, andernfalls wird Schritt 107 ausgeführt.
In Schritt 107 extrahiert das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS eine Liste der vertrauenswürdigen Dateien, die vorab in der Sicherheitsspeicherkomponente gespeichert ist, um die gegenwärtige Liste vertrauenswürdiger Dateien zu ersetzen, und geht dann weiter zu Schritt 108.
In Schritt 108 liest das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS die OS-Kerndateien in der Liste vertrauenswürdiger Dateien aus und prüft, ob der Integritätswert der OS-Kerndatei mit einem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert ist, konsistent ist oder nicht, falls er es ist, wird Schritt 110 ausgeführt, andernfalls wird Schritt 109 ausgeführt.
In Schritt 109 extrahiert das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS eine OS-Kerndatei, die vorab in der Sicherheitsspeicherkomponente gespeichert wurde, um die gegenwärtige OS-Kerndatei zu ersetzen, und geht anschließend weiter zu Schritt 110.
In Schritt 110 wird das OS geladen und betrieben.
Insofern ist es möglich, sicherzustellen, dass das ablaufende OS geschützt ist. In der obigen Ausführungsform wird das Basis-Dateiverwaltungssystem in der Basisfirmware so bereitgestellt, dass die Geschwindigkeit zum Starten und Booten des Computers erhöht werden kann. Es liegt auf der Hand, dass das Basis-Dateiverwaltungssystem ebenso in der Sicherheitsspeicherkomponente oder in dem OS bereitgestellt werden kann. Die Liste der vertrauenswürdigen Dateien kann in der Sicherheitsspeicherkomponente oder in dem OS bereitgestellt werden.
Nachdem das OS in den Normalablauf übergeht, wird das Authentifizierungsmodul für vertrauenswürdige Dateien gestartet, um die gegenwärtige Datei, die abzuwickeln ist, zu prüfen, und das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes wird ebenso gestartet, um den Ablaufzustand und die Integrität aller Prozesscodes zu authentifizieren, um dadurch den Schutz für die Ablaufumgebung in dem Computer zu gewährleisten. Als Nächstes werden jeweils die Authentifizierungsmethoden für das Authentifizierungsmodul für vertrauenswürdige Dateien und das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes erklärt.
Die 2 zeigt ein schematisches Ablaufdiagramm für das Authentifizieren einer gegenwärtigen Datei, die abzuwickeln ist, durch das Authentifizierungsmodul für vertrauenswürdige Dateien.
In Schritt 201 unterbricht das Authentifizierungsmodul für vertrauenswürdige Dateien jedes Dateioperationsverhalten, einschließlich Dateiauslesen/-schreiben, Dateiattributmodifizierung, Dateilöschen und Dateierzeugen.
In Schritt 202 prüft das Authentifizierungsmodul für vertrauenswürdige Dateien, ob die gegenwärtige Datei, die abzuwickeln ist, eine Datei in der Liste der vertrauenswürdigen Dateien ist oder nicht, wenn sie es ist, erfolgt Fortsetzung mit Schritt 203, andernfalls mit Schritt 208.
In Schritt 203 wird die Art des gegenwärtigen Dateioperationsverhaltens geprüft. Der Schritt 204 wird ausgeführt, wenn die Art Lesen ist, Schritt 207, wenn sie Modifizieren ist.
In Schritt 204 wird geprüft, ob der Integritätswert der gegenwärtigen Datei, die abzuwickeln ist, mit einem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert ist, konsistent ist oder nicht, wenn sie konsistent sind, wird Schritt 206 ausgeführt, andernfalls wird Schritt 205 ausgeführt.
In Schritt 205 wird eine vorab gespeicherte vertrauenswürdige Datei aus der Sicherheitsspeicherkomponente extrahiert, um die gegenwärtige Datei zu ersetzen.
In Schritt 206 wird die gegenwärtige Datei, die abzuwickeln ist, in den Speicher geladen und Auslesen von einem Besucher wird zugelassen, anschließend wird der Ablauf beendet.
In Schritt 207, nachdem geprüft ist, ob der Computer gegenwärtig in einem geschützten Zustand ist, wird dem Besucher erlaubt, die Liste vertrauenswürdiger Dateien zu modifizieren, die Integritätswerte für die Liste vertrauenswürdiger Dateien und die modifizierte Datei werden erneut berechnet und in der Sicherheitsspeicherkomponente gespeichert. Danach wird der Ablauf beendet.
Das Modifizieren umfasst, jedoch nicht darauf beschränkt, Lese- und/oder Attributmodifizierung und/oder Löschen und/oder Erzeugung neuer Dateien. Der Prozess zum Prüfen, ob der Computer gegenwärtig im geschützten Zustand ist oder nicht, ist folgender: Prüfen, ob der Computer eine physikalische Verbindung mit einem Netzwerk hat oder nicht und ob die Liste vertrauenswürdiger Dateien in einem Modifizierungsfreigabezustand ist. Der so genannte Modifizierungsfreigabezustand ist ein Zustand, in dem ein physikalischer Sicherheitsschalter freigegeben ist. Im Folgenden wird auf die 4 Bezug genommen, die ein schematisches Diagramm zum Freigeben von Modifizierung unter Steuerung durch den physikalischen Schalter zeigt. Ein physikalischer Schalter ist bereitgestellt, der an einem Ende mit dem Masseanschluss und an dem anderen Ende mit dem I/O-Steuermodul der Hauptplatine des Computers verbunden ist. Das I/O-Steuermodul kann durch einen Chipsatz oder durch eine CPU umgesetzt werden. Das Interface zwischen dem physikalischen Schalter und dem I/O-Steuermodul kann, jedoch nicht darauf beschränkt, ein GPIO, ein serieller Port, ein Parallel-Port oder ein USB-Port sein. Wenn geprüft wird, ob die Liste vertrauenswürdiger Dateien gegenwärtig in dem Modifizierungsfreigabezustand ist oder nicht, wird der „AUS”- oder „EIN”-Zustand des physikalischen Schalters an den I/O-Adressen für den physikalischen Schalter ausgelesen und es wird bestimmt, dass die Liste vertrauenswürdiger Dateien gegenwärtig in dem Modifizierungsfreigabezustand ist, wenn der physikalische Schalter in dem „AUS”-Zustand ist. Wenn der physikalische Schalter in dem „EIN”-Zustand ist, ist die vertrauenswürdige Datei gegenwärtig in dem Modifizierungsunterdrückungszustand.
In Schritt 208, nach der Beendigung der Viruserkennung auf der nicht vertrauenswürdigen Datei, wird ein der Datei entsprechender Prozess in eine virtuelle Maschine geladen, die das Verhalten des Prozesses überwacht und einen Alarm gibt und den Prozess einstellt, wenn ein unzulässiges Verhalten in dem Prozess festgestellt wird; wenn kein unzulässiges Verhalten erkannt wird, wird die Abwicklung der Datei zugelassen.
Die obige virtuelle Maschine ist eine Art von Software, die in dem Computer abläuft wird und die die Überwachung des Prozessverhaltens durch einen realen Computer simuliert. Das obige unzulässige Verhalten umfasst wenigstens unberechtigtes Modifizieren von OS-Dateien, unberechtigtes Modifizieren der Platte und/oder unzulässige Grenzverletzung beim Speicherzugriff und/oder unberechtigtes Jumping.
Die 3 zeigt ein schematisches Ablaufdiagramm für den Authentifizierungsprozess durch das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes.
In Schritt 301, nachdem die Datei als eine vertrauenswürdige Datei bestätigt ist, wird der Integritätswert des Prozesscodes in dem Speicher für einen Prozess, der der Datei entspricht, berechnet, wenn die Datei zum ersten Mal in den Speicher geladen wird, und der Integritätswert wird in der Sicherheitsspeicherkomponente gespeichert.
In Schritt 302 authentifiziert das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes zeitangepasst, ob der Ablaufzustand aller der Prozesse und der Integritätswert aller gegenwärtigen Prozesscodes normal sind oder nicht, und geht, falls sie normal sind, weiter zu Schritt 302.
Der obige Prozess zum Authentifizieren, ob der Ablaufzustand aller Prozesscodes normal ist oder nicht, ist folgender: Prüfen, ob der Zeiger eines Prozessprogramms über die durch den Prozess zugeordnete physikalische Speicheradresse hinausgeht oder nicht, und/oder, ob der Prozesscode die zugeordnete physikalische Speicheradresse überschreitet oder nicht. Der Prozess zum Authentifizieren, ob die Integrität aller Prozesscodes normal ist oder nicht, ist folgender: Authentifizieren, ob der Integritätswert aller laufenden Prozesscodes mit dem in der Sicherheitsspeicherkomponente vorab gespeicherten Integritätswert konsistent ist oder nicht, falls er es ist, Bestimmen, dass der Prozesscode normal ist, andernfalls, dass der Prozesscode unnormal ist.
Wobei der Vorgang zum Prüfen, ob der Zeiger zu einem Prozessprogramm über die durch den Prozess zugeordnete physikalische Speicheradresse hinausgeht oder nicht, und/oder, ob der Prozesscode die zugeordnete physikalische Speicheradresse überschreitet oder nicht, durch Software, eine CPU oder einen Chipsatz umgesetzt werden kann.
In Schritt 303 wird ein Alarm gegeben. Die Felddaten zum Ablaufenlassen des Prozesses werden gesichert und der Prozess wird eingestellt. Die Datei, die dem unnormalen Prozess entspricht, kann durch das Authentifizierungsmodul für vertrauenswürdige Dateien erneut authentifiziert werden und dann erneut in den Speicher geladen werden. Der Integritätswert des Prozesses, der der Datei in dem Speicher entspricht, kann erneut berechnet werden und in der Sicherheitsspeicherkomponente gespeichert werden. Der Prozess kann auf Basis der Felddaten, die zuvor zum Ablaufenlassen des Prozesses gesichert wurden, in seinem vorherigen Ablaufzustand wiederhergestellt werden.
Die oben erwähnte Sicherheitsspeicherkomponente kann eine Festplattenkomponente mit obligatorischer Zugriffsautorisierungskontrolle, eine Chipspeicherkomponente mit obligatorischer Zugriffsautorisierungskontrolle oder eine Speicherkomponente mit Zugriffskontrollmechanismus sein. Der Schutz für die obige Festplattenspeicherkomponente wird durch eine Festplatten-Steuerlogikschaltung und unabhängig von der Festplattenlogik-Partition und der OS-Partition erfüllt. Die so genannte obligatorische Zugriffskontrollautorisierung bedeutet, dass die Sicherheitsspeicherkomponente einen Besucher auf Basis eines Passwortes identifizieren kann und den Zugriff des Besuchers nur dann akzeptiert, wenn die Identifizierung erfolgreich ist, oder, dass die Sicherheitsspeicherkomponente und der Besucher ein Paar geheimer Informationen, die sie zuvor gemeinsam genutzt haben, und ein Zertifizierungsprotokoll, basierend auf Berechnungen, die Hash-Funktionen und Zufallszahlen involvieren, nutzen, um die Identität des Besuchers zu zertifizieren, wobei die Sicherheitsspeicherkomponente den Zugriff nur dann akzeptiert, wenn die Zertifizierung erfolgreich ist.
Speziell kann die oben erwähnte Sicherheitsspeicherkomponente ein Sicherheitschip sein (zum Beispiel ein TPM – Trusted Platform Module), eine Festplatte mit Sicherheitsschutzfunktion, wie beispielsweise HPA (Host Protected Area), oder ein Flash-Speicher mit Zugriffskontrollfunktion. Eine ausführliche Beschreibung, die hier nicht wiederholt wird, wurde in der Anmeldung CN 03138380.7 A Security Chip and Information Security Processing Device and Method Based on the Chip durch den Anmelder offenbart. Darüber hinaus wurde das Verfahren zum Authentifizieren von Basisfirmware in dem Computer in der Anmeldung dargelegt, so dass dieses in Schritt 101 nicht wiederholt wird.
Obige sind lediglich bevorzugte Ausführungen der vorliegenden Erfindung, die nicht vorgesehen sind, um die Erfindung einzuschränken. Jede Änderung, Ersetzung oder Modifizierung, die innerhalb der Idee und des Prinzips der Erfindung vorgenommen wird, sollte durch den Schutzumfang der Erfindung erfasst werden.

Claims

Verfahren zum Einrichten einer vertrauenswürdigen Ablaufumgebung in einem Computer, wobei vorab in dem Betriebssystem (OS) des Computers ein Authentifizierungsmodul für vertrauenswürdige Dateien und ein Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes eingerichtet werden und ein geschütztes OS geladen und betrieben wird, umfassend folgende Verfahrensschritte: a) Verfahrensschritte des Authentifizierungsmoduls für vertrauenswürdige Daten: Unterbrechen jedes Dateioperationsverhaltens; Prüfen, ob die gegenwärtige abzuwickelnde Datei eine vertrauenswürdige Datei ist oder nicht; Verarbeiten der Datei entsprechend ihrem Operationstyp, wenn sie vertrauenswürdig ist, und sonst Verarbeiten der Datei nach Verifizierung ihrer Berechtigung; b) Verfahrensschritte des Authentifizierungsmoduls für vertrauenswürdige Prozessspeichercodes: Beim Einstellen Authentifizieren, ob der Ablaufzustand und die Integrität für alle Prozesscodes normal sind oder nicht; Alarm auslösen, falls ein Prozess unnormal ist; Sichern von Felddaten, die durch den Prozess ausgeführt werden; und Abschalten des Prozesses, andernfalls Fortsetzen des normalen Ablaufs; und c) Verfahrensschritte beim Laden und Betreiben des geschützten OS: Voreinrichten (presetting) eines Basis-Dateiverwaltungssystems und einer Liste vorher festgelegter vertrauenswürdiger Dateien; Einrichten aller Daten, die Sicherheitsgarantie erfordern, und Integritätswerte davon in einer Sicherheitsspeicherkomponente; und Einrichten eines Grundsoftwareintegritäts-Authentifizierungs- und Wiederherstellungsmoduls des vertrauenswürdigen OS im Computer; wobei der Prozess des Ladens und Ablaufenlassens des OS folgende Verfahrensschritte umfasst: d) Prüfen der Basisfirmware nach einer erfolgreichen Authentifzierung und Startup der Basisfirmware im Computer darauf, ob der Integritätswert des Basis-Dateiverwaltungssystems mit einem in der Sicherheitsspeicherkomponente vorab gespeicherten Integritätswert konsistent ist oder nicht, und falls er es ist, Starten des Basis-Dateiverwaltungssystems durch die Basisfirmware und anschließend Weitergehen zu Schritt e), andernfalls Unterbrechen des System-Startups; e) Starten des Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmoduls des vertrauenswürdigen OS durch das Basis-Dateiverwaltungssystem sowie Auslesen eines Disketten- bzw. Plattenparameters aus einem Plattensektor und Prüfung, ob der Integritätswert des Plattenparameters mit einem vorab in der Sicherheitsspeicherkomponente gespeicherten Integritätswert konsistent ist oder nicht, und wenn er es ist, Ausführen des Schritts f), andernfalls Extrahieren von Plattendaten, die vorab in der Sicherheitsspeicherkomponente gespeichert sind, durch das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS, Einschreiben der Plattendaten in den gegenwärtigen Plattensektor und Weitergehen zu Schritt f); und f) Prüfen durch das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS darauf, ob der Integritätswert der vertrauenswürdigen Datei mit einem vorab in der Sicherheitsspeicherkomponente gespeicherten Integritätswert ist, konsistent ist oder nicht, und wenn er es ist, Ausführen des Schritts g), andernfalls Extrahieren von in einer vorab in der Sicherheitsspeicherkomponente gespeicherten Liste enthaltenen vertrauenswürdigen Dateien, um die gegenwärtige Liste vertrauenswürdiger Dateien zu ersetzen, und Ausführen des Schritts g); g) Auslesen der OS-Kerndateien aus der Liste vertrauenswürdiger Dateien durch das Grundsoftwareintegritäts-Authentifizierungs- und -Wiederherstellungsmodul des vertrauenswürdigen OS, Prüfung, ob der Integritätswert der OS-Kerndatei mit einem vorab in der Sicherheitsspeicherkomponente gespeicherten Integritätswert konsistent ist oder nicht, und wenn er es ist, Laden und Betreiben des OS, andernfalls Extrahieren einer in der Sicherheitsspeicherkomponente vorab gespeicherte OS-Kerndatei, um die gegenwärtige OS-Kerndatei zu ersetzen, und anschließend Laden und Betreiben des OS.
Verfahren nach Anspruch 1, wobei sich das Basis-Dateiverwaltungssystem in der Sicherheitsspeicherkomponente, in der Basisfirmware oder in dem OS befindet und sich die Liste vertrauenswürdiger Dateien in der Sicherheitsspeicherkomponente oder in dem OS befindet.
Verfahren nach Anspruch 1, wobei alle Daten, die Sicherheitsgarantien erfordern, in dem Speicherelement entsprechend der Anforderung des Systemablaufs und der Benutzeranforderung festgelegt werden und alle Daten, die Sicherheitsgarantien erfordern, Daten für die Basisfirmware, das OS, verschiedene Anwendungssoftware und sowohl Dateien als auch den Plattenparameter einschließen, jedoch nicht darauf beschränkt sind.
Verfahren nach Anspruch 1 oder 3, wobei der Plattenparameter Haupt-Bootsektorparameter, Partitions-Bootsektorparameter und Dateiallokationstabellenparameter enthält, jedoch nicht darauf beschränkt ist.
Verfahren nach Anspruch 1, wobei die Methode für das Authentifizierungsmodul für vertrauenswürdige Dateien zum Prüfen, ob die gegenwärtige Datei, die abzuwickeln ist, eine vertrauenswürdige Datei ist oder nicht, folgende ist: Prüfen, ob die gegenwärtige Datei, die abzuwickeln ist, eine Datei in der Liste vertrauenswürdiger Dateien ist oder nicht, und wenn sie es ist, Bestimmen, dass die gegenwärtige Datei, die abzuwickeln ist, eine vertrauenswürdige Datei ist, andernfalls Bestimmen, dass die gegenwärtige Datei, die abzuwickeln ist, eine nicht vertrauenswürdige Datei ist.
Verfahren nach Anspruch 5, wobei die Verarbeitung für eine vertrauenswürdige Datei entsprechend dem Operationstyp der gegenwärtigen Datei folgende ist: Prüfen, ob die Art des Operationsverhaltens der gegenwärtigen Datei Auslesen oder Modifizieren ist, und wenn sie Auslesen ist, Prüfen, ob der Integritätswert der gegenwärtigen Datei, die abzuwickeln ist, mit einem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert ist, konsistent ist oder nicht, und wenn sie konsistent sind, Laden der gegenwärtigen Datei, die abzuwickeln ist, in den Speicher und Zulassen des Auslesens von einem Besucher, und andernfalls Extrahieren einer vorab gespeicherten vertrauenswürdigen Datei aus der Sicherheitsspeicherkomponente, um die gegenwärtige Datei zu ersetzen, und Laden der gegenwärtigen Datei, die abzuwickeln ist, in den Speicher und Zulassen des Auslesens von dem Besucher und wenn sie Modifizieren ist, Prüfen, ob der Computer gegenwärtig in einem geschützten Zustand ist, und Zulassen, dass der Benutzer die Liste vertrauenswürdiger Dateien modifiziert, Neuberechnen der Integritätswerte für die Liste vertrauenswürdiger Dateien und der modifizierten Datei und Speichern ihrer neuen Integritätswerte in der Sicherheitsspeicherkomponente.
Verfahren nach Anspruch 6, wobei das Modifizieren Lese- und/oder Attributmodifikation und/oder Löschen und/oder Erzeugen neuer Dateien einschließt, jedoch nicht darauf beschränkt ist, und wobei der geschützte Zustand bedeutet, dass der Computer gegenwärtig keine physikalische Verbindung mit einem Netzwerk hat und dass die Liste vertrauenswürdiger Dateien in einem Modifizierungsfreigabezustand ist.
Verfahren nach Anspruch 7, das des Weiteren das Bereitstellen eines physikalischen Schalters zur Modifizierungsfreigabe und das Bestimmen auf Basis des EIN- oder AUS-Zustandes des physikalischen Schalters, ob die vertrauenswürdige Datei gegenwärtig in dem Modifizierungsfreigabezustand ist oder nicht, umfasst.
Verfahren nach Anspruch 5, wobei die Verarbeitung für eine nicht vertrauenswürdige Datei, nachdem ihre Berechtigung authentifiziert ist, folgende ist: nach der Beendigung der Virenerkennung auf der nicht vertrauenswürdigen Datei, Laden eines Prozesses, der der Datei entspricht, in eine virtuelle Maschine, die das Verhalten des Prozesses überwacht und einen Alarm gibt und den Prozess einstellt, wenn ein unzulässiges Verhalten in dem Prozess festgestellt ist, und falls kein unzulässiges Verhalten festgestellt ist, die Verarbeitung der Datei zulässt.
Verfahren nach Anspruch 9, wobei das unzulässige Verhalten wenigstens unberechtigtes Modifizieren von OS-Dateien und/oder unberechtigtes Modifizieren auf der Platte und/oder unzulässige Grenzverletzung beim Speicherzugriff und/oder unberechtigtes Jumping einschließt.
Verfahren nach Anspruch 1, wobei der Prozess für das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes zum zeitangepassten Authentifizieren, ob der Ablaufzustand aller Prozesscodes normal ist oder nicht, folgender ist: Prüfen, ob ein Zeiger für ein Prozessprogramm über die durch den Prozess zugeordnete physikalische Speicheradresse hinausgeht oder nicht, und/oder ob der Prozesscode die zugeordnete physikalische Speicheradresse überschreitet oder nicht, und der Prozess für das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes zum zeitangepassten Authentifizieren, ob die Integrität des gesamten Prozesscodes normal ist oder nicht, folgender ist: Berechnen des Integritätswertes des Prozesscodes in dem Speicher für einen Prozess entsprechend einer Datei, wenn die Datei zum ersten Mal in den Speicher geladen wird, Speichern des Integritätswertes in der Sicherheitsspeicherkomponente und zeitangepasstes Authentifizieren, ob der Integritätswert aller gegenwärtigen Prozesscodes mit dem Integritätswert, der vorab in der Sicherheitsspeicherkomponente gespeichert ist, konsistent ist oder nicht, und wenn er es ist, Bestimmen, dass der Prozesscode normal ist, andernfalls Bestimmen, dass der Prozesscode unnormal ist.
Verfahren nach Anspruch 11, wobei, wenn das Authentifizierungsmodul für vertrauenswürdige Prozessspeichercodes authentifiziert hat, dass der Ablaufzustand und/oder die Integrität des Prozesscodes unnormal ist, das Verfahren des Weiteren umfasst: erneutes Authentifizieren der Datei, die dem unnormalen Prozess entspricht, durch das Authentifizierungsmodul für vertrauenswürdige Dateien, erneutes Laden dieser in den Speicher, Berechnen des Integritätswertes des Prozesses, der der Datei in dem Speicher entspricht, Speichern des berechneten Wertes in der Sicherheitsspeicherkomponente und Wiederherstellen des Prozesses in seinem vorherigen Ablaufzustand auf Basis der Felddaten, die zuvor zum Ablaufenlassen des Prozesses gesichert wurden.
Verfahren nach Anspruch 1, wobei das Dateioperationsverhalten Dateilesen/-schreiben, Dateiattributmodifizierung, Dateilöschung und Dateierzeugung einschließt, jedoch nicht darauf beschränkt ist.
Verfahren nach einem der Ansprüche 1, 2, 3, 6 und 11, wobei die Sicherheitsspeicherkomponente eine Festplattenspeicherkomponente mit obligatorischer Zugriffsautorisierungskontrolle, eine Chipspeicherkomponente mit obligatorischer Zugriffsautorisierungskontrolle oder eine Speicherkomponente mit Zugriffskontrollmechanismus sein kann.
Verfahren nach einem der Ansprüche 1, 2, 3, 6 und 11, wobei die Speicherkomponente ein Sicherheitschip, eine Festplatte mit Sicherheitsschutzfunktion oder ein Flash-Speicher mit Zugriffskontrollfunktion ist.