TW201310344A - 存取基本輸入輸出系統設定的認證方法 - Google Patents

Abstract

一種存取基本輸入輸出系統設定的認證方法，當應用程式欲將一客製化設定資料存入基本輸入輸出系統，則由應用程式使用安全密鑰對客製化設定資料進行加密以獲得加密資料，以及透過管理介面傳送加密資料至基本輸入輸出系統。由基本輸入輸出系統使用安全密鑰對該加密資料進行解密以獲得該客製化設定資料。若基本輸入輸出系統成功解密該加密資料，則基本輸入輸出系統儲存客製化設定資料。

Description

存取基本輸入輸出系統設定的認證方法

本發明是有關於一種電腦系統，且特別是有關於電腦系統中一種存取基本輸入輸出系統的設定的認證方法。

基本輸入輸出系統(Basic Input/Output System，以下稱BIOS)是電腦在開機時最早載入的一段程式碼，具有初始化和檢測硬體及周邊設備，以及在完成上述工作後引導電腦載入作業系統(Operating System,OS)之功能。而BIOS中的設定檔(PROFILE)內容中包括了許多參數，例如各個硬體及周邊設備所對應之裝置編號以及該裝置啟用與否，或是中央處理器(Central Processing Unit,CPU)的操作頻率，甚至開機畫面及電腦製造商或品牌商的商標等，在BIOS開始執行時這些參數就會被載入作為初始化的依據。

由於目前的BIOS以及其設定檔目前都存放在快閃記憶體(Flash Memory)或電子抹除式可複寫唯讀記憶體(Electrically-Erasable Programmable Read-Only Memory,EEPROM)之中，使用者可以輕易的更新BIOS的內容。例如，在作業系統中透過應用軟體將新的設定檔或是韌體程式碼寫入BIOS，以支援新的硬體及修正舊有的錯誤。

然而，BIOS的設定檔往往不希望被一般使用者任意存取。例如，電腦銷售商可能不希望設定檔中的商標圖案被更動。又或者，電腦銷售商可能不希望使用者透過修改BIOS的設定檔，而在低價位的電腦機種中致能(enable)了高價位電腦的功能。若是在設定檔中的參數有誤，例如超出硬體本身的極限，或啟用了其實並不存在的硬體，就會增加系統在執行時的不穩定因素，甚至造成電腦或裝置無法正常使用。

本發明提供一種存取基本輸入輸出系統之設定的認證方法，以防止非法應用程式存取基本輸入輸出系統之設定檔。

一種存取基本輸入輸出系統之設定的認證方法，包括以下步驟。首先分別配置相同的第一固定密鑰與第二固定密鑰於基本輸入輸出系統與應用程式。接著由嵌入式控制器產生第一亂數密鑰。然後利用第一亂數密鑰與該第一固定密鑰計算得到第一安全密鑰。再者，透過管理介面提供第一亂數密鑰給應用程式作為一第二亂數密鑰。並且，由應用程式利用第二亂數密鑰與第二固定密鑰計算得到一第二安全密鑰。此外，若應用程式欲將一客製化設定資料存入該基本輸入輸出系統，則由應用程式使用第二安全密鑰對客製化設定資料進行加密以獲得第一加密資料，以及透過管理介面傳送第一加密資料至基本輸入輸出系統。由基本輸入輸出系統使用第一安全密鑰對第一加密資料進行解密以獲得客製化設定資料。若基本輸入輸出系統成功解密該第一加密資料，則基本輸入輸出系統儲存客製化設定資料。

基於上述，本發明提供了一種存取基本輸入輸出系統之設定的認證方法，使得當應用程式欲將設定資料存入基本輸入輸出系統時，需將設定資料以加密的方式透過一管理介面傳送至基本輸入輸出系統。基本輸入輸出系統會對驗證應用程式的存取要求是否合法。當驗證成功時，基本輸入輸出系統才會儲存這個設定資料。

為讓本發明之上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

圖1所繪示一種電腦的裝置方塊圖。請參照圖1，中央處理器101、唯讀記憶體單元103、嵌入式控制器104、儲存單元105及記憶體單元106皆與晶片組單元102連接，並透過晶片組單元102聯繫並交換信息。儲存單元105可以是磁碟機、光碟機、隨身碟等可開機儲存裝置。記憶體單元106可以是隨機存取記憶體(random access memory,RAM)。一般而言在電腦的電源開啟後，儲存於唯讀記憶體單元103的基本輸入輸出系統(Basic Input/Output System，以下稱BIOS)韌體碼1031會開始被讀取執行之。自此以後，BIOS開始運作。

BIOS會控制嵌入式控制器104以讀取儲存於嵌入式控制器104的設定檔(PROFILE)，接著BIOS根據設定檔中的內容初始化各個重要的硬體元件(例如嵌入式控制器104等)，以及執行電源開啟自我測試(Power On Self Test，簡稱POST)以診斷並確保這些裝置可以正確運作。在POST完成了工作之後，BIOS將接著使系統讀入儲存於儲存單元105上之作業系統程式碼1051。自此以後，作業系統開始運作。在進入作業系統環境後，製造商可以在作業系統中透過合法應用程式(工具程式)存取BIOS設定檔之內容。

圖2為根據本發明一實施例所繪示運作於圖1之電腦裝置上的一種存取BIOS之設定的認證方法的流程圖。請參照圖2，在步驟S201中，分別配置相同的第一固定密鑰與第二固定密鑰於BIOS與應用程式。此固定密鑰可以在製造過程中便已被製造商配置於BIOS中。唯有製造商的合法應用程式具有相同的固定密鑰。

在步驟S202中，在每次電子裝置(例如電腦)開機後，嵌入式控制器即產生第一亂數密鑰。或者，在嵌入式控制器上電(power on)後的初始化階段，嵌入式控制器便可以產生第一亂數密鑰。由於嵌入式控制器隨機決定第一亂數密鑰，因此在每次開機後嵌入式控制器產生的第一亂數密鑰是無法預期的。在步驟S203中，利用第一亂數密鑰與該第一固定密鑰計算得到第一安全密鑰。在步驟S204中，BIOS透過管理介面提供第一亂數密鑰給合法應用程式作為一第二亂數密鑰。在步驟S205中，由應用程式利用BIOS所提供的第二亂數密鑰與本身的第二固定密鑰計算得到一第二安全密鑰。應用程式會保存此第二安全密鑰，以便稍後存取BIOS設定時進行認證與加密。

在步驟S206中，若應用程式欲將一客製化設定資料(例如系統組態設定值)存入該BIOS，則由應用程式使用第二安全密鑰對客製化設定資料進行加密以獲得第一加密資料，以及透過管理介面傳送第一加密資料至BIOS。在步驟S207中，由BIOS使用第一安全密鑰對第一加密資料進行解密以獲得客製化設定資料。最後在步驟S208中，若BIOS成功解密該第一加密資料，則BIOS儲存客製化設定資料。

圖3為根據本發明一示範實施例所繪示存取BIOS之設定的認證方法的時序流程圖。請參照圖3，應用程式300是一個已經經過製造商或品牌商授權的合法程式，因此在應用程式300中會預先配置一個第二固定密鑰，而此第二固定密鑰與配置在BIOS 302中之第一固定密鑰相同。在本實施例中，第一及第二固定密鑰長度為16個位元組(Byte)固定密鑰內容則可以視製造需求而決定之，例如為”88740de3-3f73-4028-bfbe-1c3108a52968”。

首先，在每次電腦開機後，嵌入式控制器303即隨機地產生第一亂數密鑰(步驟S301)。其中，此第一亂數密鑰可由嵌入式控制器303擷取系統中的時間函數或一電容器之電壓值等數值經由計算產生一隨機數值。此隨機數值可以是理想亂數或非理想亂數。但本發明不限於上述。第一亂數密鑰只會在電腦系統的電源開啟後至關閉電源之前被計算/產生一次。若是電腦被重開機，為了提升安全性，則第一亂數密鑰會被再重新計算/產生一次。

應用程式300會向作業系統的管理介面301提出接收亂數密鑰的要求(步驟S302)。其中，所述管理介面301是應用程式300與BIOS 302之間的通訊界面，例如微軟公司(Microsoft Corp.)的視窗管理規範(Windows Management Instrumentation,WMI)的應用程式介面(Application Programming Interface,API)。應用程式301必須透過此管理介面301才能對BIOS 302進行存取。在管理介面301接收到應用程式300的要求後，便轉發此要求至BIOS 302(步驟S303)。在BIOS 302收到此要求後，BIOS 302便傳送第一固定密鑰至嵌入式控制器303(步驟S304)。然後，嵌入式控制器303利用接收到之第一固定密鑰以及本身於步驟S301所產生的第一亂數密鑰計算產生第一安全密鑰(步驟S305)。

在得到第一安全密鑰之後，嵌入式控制器303將第一安全密鑰傳送至BIOS 302(步驟S306)。BIOS 302保留第一安全密鑰並傳送通知至管理介面301，通知已可取得亂數密鑰(步驟S307)。管理介面301則接著轉發通知應用程式300已可取得亂數密鑰(步驟S308)。於是，應用程式300此時透過管理介面301發出取得第一亂數密鑰的要求(步驟S309、S310)。BIOS 302在接收到此要求之後，要求嵌入式控制器303提供第一亂數密鑰(步驟S311)。

嵌入式控制器303在接收到要求後回傳第一亂數密鑰至BIOS 302(步驟S312)，並在傳送第一亂數密鑰給BIOS 302後刪除第一亂數密鑰(步驟S313)。BIOS 302接著透過管理介面301傳送第一亂數密鑰至應用程式300(步驟S314、S315)，並在傳送第一亂數密鑰給應用程式300後刪除第一亂數密鑰(步驟S316)。應用程式300在收到第一亂數密鑰後，將其做為第二亂數密鑰，並利用此第二亂數密鑰與預先設置的第二固定密鑰計算得到第二安全密鑰(步驟S317)。至此，應用程式300與BIOS 302已完成安全密鑰的初始化階段。

在開機後至關機(或重新開機)前，以上所述之步驟(步驟S301～S317)僅需進行一次。步驟S301～S317可在應用程式300要第一次存取BIOS的設定檔之前才進行，亦可以在應用程式300被啟動的初期就預先被執行，但本發明不限定於上述。

請繼續參照圖3，當應用程式300欲將客製化設定資料存入BIOS 302時，應用程式300利用第二安全密鑰加密此客製化設定資料，獲得第一加密資料(步驟S320)。此客製化設定資料中可包括電腦之硬體設定參數(組態參數)以及/或是開機畫面圖檔等資料。接著，應用程式300將第一加密資料輸出至管理介面301(步驟S321)。管理介面301依照應用程式300的傳送需求，將第一加密資料輸出至BIOS 302(步驟S322)。因此，應用程式300可以透過管理介面301傳送第一加密資料至BIOS 302。

BIOS 302在收到第一加密資料後，進行驗證的動作(步驟S323)。在本實施例中，BIOS 302首先利用第一安全密鑰解密第一加密資料。在解密後，使用錯誤檢測方法，例如循環冗餘校驗(Cyclic Redundancy Check,CRC)或是資訊摘要演算法5(Message-Digest Algorithm,MD5)等，來檢測是否成功解密第一加密資料。若BIOS 302可成功利用第一安全密鑰成功解密第一加密資料，則表示驗證成功，也就是表示用來加密的第二安全密鑰與用來解密的第一安全密鑰是相吻合(或相同)的。反之，若解密第一加密資料失敗，則代表驗證失敗，因此BIOS 302將拒絕存取(步驟S323)。驗證成功後，BIOS 302接著傳送步驟S323解密後的客製化設定資料至嵌入式控制器303，並控制嵌入式控制器303儲存該客製化設定資料(步驟S324)。嵌入式控制器303在接收到客製化設定資料及BIOS 302的控制指令後，嵌入式控制器303便將客製化設定資料存放於設定資料所對應的記憶體位置中(步驟S325)。

上述實施例是由嵌入式控制器303計算第一安全密鑰。在其他實施例中，計算第一安全密鑰的操作可以由BIOS 302負責完成。例如，BIOS 302可以向嵌入式控制器303讀取第一亂數密鑰，然後利用第一固定密鑰與第一亂數密鑰計算得到第一安全密鑰。在計算得到第一亂數密鑰及第一安全密鑰之後，BIOS 302將第一亂數密鑰透過管理介面301傳送至應用程式300。

本領域具有通常知識者可以採用任何加密方法實現上述步驟S305、S317、S320。例如，圖4為根據本發明一示範實施例所繪示於應用程式300產生第二安全密鑰SKEY2與第一加密資料ECPDATA1之資料流的示意圖。請參照，首先，由應用程式300進行圖3中的步驟S317，也就是圖4所示以第二固定密鑰FKEY2及第二亂數密鑰RKEY2透過單向函數(例如雜湊函數501)產生第二安全密鑰SKEY2。雜湊函數501是一種單向轉換函數，其可將輸入參數轉換為輸出參數，但極難利用輸出參數反向計算輸入參數。在本實施例中，雜湊函數501可以是第一安全雜湊演算法(Secure Hash Algorithm 1,SHA-1)，但本發明不限定於上述。上述以雜湊函數501計算第二安全密鑰SKEY2的教示亦可以類推至圖3步驟S305。

接著，若應用程式300欲將客製化設定資料PRODATA存入BIOS 302，則應用程式300會將客製化設定資料PRODATA與第二安全密鑰SKEY2進行互斥或運算(Exclusive OR,XOR)502，而得到第一暫態資料TMP1。然後，應用程式300再將第一暫態資料TMP1進行右旋(Rotate Right,ROR)運算503，得到第一加密資料ECPDATA1。例如，將第一暫態資料TMP1右旋7個位元。互斥或運算502與右旋計算503皆是用於增加加密資料的複雜度，然而本發明並不限定於使用此兩函數運算。

本領域具有通常知識者可以採用任何解密方法實現上述步驟S323。例如，圖5為根據本發明一示範實施例所繪示於BOIS 302解密第一加密資料ECPDATA1之資料流的示意圖。圖5所示解密的流程是對應於圖4所示加密的流程。請參照圖5，第一加密資料ECPDATA1首先經過左旋(Rotate Left,ROL)運算601(例如左旋7個位元)得到第二暫態資料TMP2。接著，將第二暫態資料TMP2與第一安全密鑰SKEY1進行互斥或運算602得到客製化設定資料PRODATA。本發明並不限定於使用此兩函數之運算，惟解密之運算必須對應於加密的運算步驟才能夠解出正確的資料內容。

圖6為根據本發明一實施例所繪示應用程式300透過管理介面301讀取BIOS 302設定之動作的時序流程圖。請參照圖6，首先，應用程式300透過管理介面301傳送關於當前BIOS 302設定資料的讀取需求至BIOS 302(步驟S701、S702)。接著，BIOS 302驗證此讀取需求(步驟S703)。在本實施例中，讀取需求同樣的在應用程式300利用第二安全密鑰加密，如同圖4中所述之加密方式。驗證的方法則如同圖3之實施例中所述，在此不多贅述。

例如，若應用程式300欲從BIOS 302讀取系統設定資料，則由該應用程式300使用第二安全密鑰SKEY2對「讀取資訊」進行加密以獲得第二加密資料，以及透過管理介面302傳送該第二加密資料至BIOS 302。上述「讀取資訊」的內容可以是讀取指令碼、系統設定資料的讀取位址及/或系統設定資料的識別碼等。

BIOS 302於步驟S703使用第一安全密鑰SKEY1對該第二加密資料進行解密，以獲得該「讀取資訊」。如果步驟S703驗證失敗，則BIOS 302拒絕存取。若BIOS 302檢查第二安全密鑰與第一安全密鑰為吻合，即BIOS 302成功解密該第二加密資料，則BIOS 302根據該讀取資訊向嵌入式控制器303要求讀取系統設定資料(步驟S704)。嵌入式控制器303在接收到讀取需求後，便根據讀取需求讀取系統設定資料(步驟S705)，並接著回傳系統設定資料給BIOS 302(步驟S706)。BIOS 302透過管理介面301將系統設定資料傳送給應用程式300(步驟S707、S708)。

綜上所述，本發明提供了一種存取BIOS之設定的認證方法，利用預先配置於BIOS與授權的程式端的密鑰及每次開機才隨機產生的另一密鑰產生一安全密鑰，加密透過作業系統的管理介面所傳送的設定資料，並利用此安全密鑰作為認證。此方法使得在作業系統中其他非授權的應用程式不能輕易的存取或編輯BIOS的設定，也無法透過管理介面讀取BIOS之設定內容，而進而確保了系統不因BIOS之設定而產生不穩定之情況。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明之精神和範圍內，當可作些許之更動與潤飾，故本發明之保護範圍當視後附之申請專利範圍所界定者為準。

101．．．中央處理器單元

102．．．晶片組單元

103．．．唯讀記憶體單元

1031．．．基本輸入輸出系統韌體碼

104．．．嵌入式控制器

105．．．儲存單元

1051．．．作業系統程式碼

106．．．記憶體單元

300．．．應用程式

301．．．管理介面

302．．．基本輸入輸出系統

303．．．嵌入式控制器

501．．．雜湊函數

502、602．．．互斥或運算

503．．．右旋運算

601．．．左旋運算

S201～S208、S301～S317、S320～S325、S701～S708．．．步驟

ECPDATA1．．．第一加密資料

FKEY2．．．固定密鑰

PRODATA．．．客製化設定資料

RKEY2．．．亂數密鑰

SKEY2、SKEY1．．．安全密鑰

TMP1、TMP2．．．暫態資料

圖1所繪示一種電腦的裝置方塊圖。

圖2為根據本發明一實施例所繪示一種存取基本輸入輸出系統之設定的認證方法的流程圖。

圖3為根據本發明一示範實施例所繪示存取基本輸入輸出系統之設定的認證方法的時序流程圖。

圖4為根據本發明一示範實施例所繪示於應用程式端產生第一加密資料之資料流的示意圖。

圖5為根據本發明一示範實施例所繪示於基本輸入輸出端解密第一加密資料之資料流的示意圖。

圖6為根據本發明一實施例所繪示應用程式透過管理介面傳送讀取需求與第二安全密鑰至基本輸入輸出系統之動作的時序流程圖。

S201~S208．．．步驟

Claims (10)

1. 一種存取基本輸入輸出系統之設定的認證方法，包括：分別配置相同的一第一固定密鑰與一第二固定密鑰於一基本輸入輸出系統與一應用程式；由一嵌入式控制器產生一第一亂數密鑰；利用該第一亂數密鑰與該第一固定密鑰計算得到一第一安全密鑰；透過一管理介面提供該第一亂數密鑰給該應用程式作為一第二亂數密鑰；由該應用程式利用該第二亂數密鑰與該第二固定密鑰計算得到一第二安全密鑰；若該應用程式欲將一客製化設定資料存入該基本輸入輸出系統，則由該應用程式使用該第二安全密鑰對該客製化設定資料進行加密以獲得一第一加密資料，以及透過該管理介面傳送該第一加密資料至該基本輸入輸出系統；由該基本輸入輸出系統使用該第一安全密鑰對該第一加密資料進行解密以獲得該客製化設定資料；以及若該基本輸入輸出系統成功解密該第一加密資料，則該基本輸入輸出系統儲存該客製化設定資料。
2. 如申請專利範圍第1項所述之認證方法，其中所述對該客製化設定資料進行加密之步驟包括：將該客製化設定資料與該第二安全密鑰進行一互斥或運算而獲得一第一暫態資料；以及將該第一暫態資料進行一右旋運算而獲得該第一加密資料。
3. 如申請專利範圍第1項所述之認證方法，其中所述對該第一加密資料進行解密之步驟包括：將該第一加密資料進行一左旋運算而獲得一第二暫態資料；以及將該第二暫態資料與該第一安全密鑰進行一互斥或運算而獲得該客製化設定資料。
4. 如申請專利範圍第1項所述之認證方法，更包括：若該應用程式欲從該基本輸入輸出系統讀取一系統設定資料，則由該應用程式使用該第二安全密鑰對一讀取資訊進行加密以獲得一第二加密資料，以及透過該管理介面傳送該第二加密資料至該基本輸入輸出系統；由該基本輸入輸出系統使用該第一安全密鑰對該第二加密資料進行解密以獲得該讀取資訊；以及若該基本輸入輸出系統成功解密該第二加密資料，則該基本輸入輸出系統根據該讀取資訊讀取該系統設定資料，並透過該管理介面傳送該系統設定資料給該應用程式。
5. 如申請專利範圍第1項所述之認證方法，其中所述管理介面為一視窗管理規範的應用程式介面。
6. 如申請專利範圍第1項所述之認證方法，更包括：在該應用程式獲得該第二亂數密鑰後，刪除該第一亂數密鑰。
7. 如申請專利範圍第1項所述之認證方法，其中所述利用該第一亂數密鑰與該第一固定密鑰計算得到該第一安全密鑰的步驟包括：由該基本輸入輸出系統傳送該第一固定密鑰至該嵌入式控制器；由該嵌入式控制器根據該第一亂數密鑰及該第一固定密鑰計算得到該第一安全密鑰；將該第一安全密鑰傳送至該基本輸入輸出系統；以及在該基本輸入輸出系統將該第一亂數密鑰傳輸給該應用程式後，該嵌入式控制器與該基本輸入輸出系統刪除該第一亂數密鑰。
8. 如申請專利範圍第1項所述之認證方法，其中所述利用該第一亂數密鑰與該第一固定密鑰計算得到該第一安全密鑰的步驟以及所述利用該第二亂數密鑰與該第二固定密鑰計算得到該第二安全密鑰的步驟，是使用單向函數計算該第一安全密鑰與該第二安全密鑰。
9. 如申請專利範圍第8項所述之認證方法，其中所述單向函數為雜湊函數。
10. 如申請專利範圍第1項所述之認證方法，其中所述該基本輸入輸出系統儲存該客製化設定資料之步驟包括：該基本輸入輸出系統將該客製化設定資料儲存至該嵌入式控制器。