TW201510767A - 安全認證電子裝置、安全開機方法與電腦可存取儲存裝置 - Google Patents

Abstract

一種安全認證電子裝置、安全開機方法與電腦可存取儲存裝置，透過開機程序中的安全檢測機制，確保電腦系統經啟動後執行此類可延伸韌體介面輸出入系統，不會因為其中程式碼可被改變的特性而無法滿足特定用途的電腦系統無法通過安全驗證的情況，比如用於博奕的電腦系統。本發明實施例揭露的安全開機方法包括在啟動一安全認證電子裝置後，進入一開機流程，於載入基本輸出入系統後，檢測其中基本輸出入系統與開機系統的程式碼是否有被竄改，若檢測判斷並未被竄改，則可繼續開機程序；反之，當檢測出程式碼被竄改，即終止開機程序。

Description

安全認證電子裝置、安全開機方法與電腦可存取儲存裝置

一種安全認證電子裝置、安全開機方法與電腦可存取儲存裝置，特別是指採用一個可防止韌體程式被竄改的具符合安全認證的基本輸出入系統的裝置、開機方法與儲存程式碼的電腦可存取儲存裝置。

將電腦開啟後，系統準備初始化，首先由基本輸出入系統(BIOS)開始，利用BIOS所記載的系統硬體資訊分別驅動各種週邊硬體，包括決定開機磁區、記憶體配置、輸出入埠的狀態，並開始進入開機自我檢測程序(POST)，包括檢查各連接週邊與設定，如中央處理器、記憶體、鍵盤、滑鼠等裝置的狀態。當根據BIOS所載資訊由開機磁區載入作業系統(OS)之後，開始進入作業系統啟動程序。

為了突破傳統BIOS的限制，於是產生了一種稱為可延伸韌體介面(Extensible Firmware Interface,EFI)基本輸出入系統，EFI後來發展為統一可延伸韌體介面(Unified EFI,UEFI)，此類BIOS除了進行硬體辨識、控制與系統資源掌控外，更有系統地分配儲存空間，其中定義的可延伸韌體介面用以溝通硬體、韌體與作業系統。

可參閱圖1示意顯示可延伸韌體介面基本輸出入系統的架構示意圖。圖中顯示有一基本輸出入系統12，為UEFI/EFI基本輸出入系統，其中可延伸韌體介面(EFI)121用以與作業系統10的作業系統載入器101與硬體14溝通。

此類可延伸韌體介面基本輸出入系統內不可區分為硬體控制與作業系統管理，其中可設有可延伸韌體介面的驅動程式，作為硬體辨識、控制與系統資源控制，包括可以載有作業系統，甚至可獨立執行作業系統。

更者，可延伸韌體介面基本輸出入系統的特性之一是一種具有彈性的驅動程式模組架構，可以擴充其中驅動程式，因此相較於傳統寫入不易改寫的記憶體型態的BIOS，此可擴充性使得此類基本輸出入系統可被改寫。

逐漸成為電腦系統普遍採用的基本輸出入系統的一種可延伸韌體介面基本輸出入系統(UEFI/EFI BIOS)具有彈性可擴充的程式特性，但用於需要嚴格安全驗證的電腦系統而言，此類可延伸韌體介面基本輸出入系統的特性可能會導致被不當竄改而有安全上的疑慮。特別如博奕用途的電腦系統，系統啟動時需要通過基本輸出入系統與開機系統的程式碼未被更動的檢測，本發明揭露書於是提出一種安全認證電子裝置，相關安全開機方法，以及儲存其中程式指令的電腦可存取儲存裝置。

根據實施例之一，安全認證電子裝置其中主要元件有一非揮發性記憶體，記憶體中載有可延伸韌體介面基本輸出入系統(UEFI/EFI BIOS)之韌體程式；另有一儲存單元，如一開機系統硬碟區塊，載有執行於安全認證電子裝置之作業系統的作業程式；再包括設於可延伸韌體介面基本輸出入系統內的安全檢測模組，此如一種程式指令，可於安全認證電子裝置的開機程序中判 斷其中可延伸韌體介面基本輸出入系統的韌體程式是否被竄改；裝置更包括有一開機系統，經載入經前述安全檢測後的可延伸韌體介面基本輸出入系統與作業程式後，可順利執行開機程序。

為達到程式碼不被竄改的目的，前述非揮發性記憶體可於特定實施例中設為唯讀(read only)屬性

在透過安全檢測模組檢測程式碼的程序中，安全檢測模組引入一特徵值(digest)，作為判斷非揮發性記憶體或開機系統硬碟區中的程式是否遭到竄改。

在前述安全認證電子裝置之安全開機方法的實施例之一中，方法包括先啟動此安全認證電子裝置，進入一開機流程，接著載入基本輸出入系統，也就是此方法適用的一可延伸韌體介面基本輸出入系統，此時檢測相關儲存媒體，如非揮發性記憶體，內程式碼是否有被竄改。經判斷，若非揮發性記憶體內程式碼並未被竄改，則繼續開機程序，以完成開機；若可延伸韌體介面基本輸出入系統被竄改，程式將終止開機程序。

本揭露書更涉及一種電腦可存取儲存裝置，用以儲存符合安全認證的輸出入系統的韌體程式集，其中程式集主要包括載入一可延伸韌體介面基本輸出入系統之韌體程式的指令；一檢測載有可延伸韌體介面基本輸出入系統中的非揮發性記憶體是否有被竄改的指令；以及引入一特徵值的指令。

程式集更可包括當韌體程式判斷被竄改時，終止開機程序之指令。程式集更可包括一檢測載於開機系統硬碟區塊的作業系統程式是否被竄改的指令；或當當作業系統程式判斷被竄改時，終止開機程序之指令。

為了能更進一步瞭解本發明為達成既定目的所採取之技術、方法及功效，請參閱以下有關本發明之詳細說明、圖式，相信本發明之目的、特徵與特點，當可由此得以深入且具體之瞭解，然而所附圖式與附件僅提供參考與說明用，並非用來對本發明加以 限制者。

12‧‧‧基本輸出入系統

121‧‧‧可延伸韌體介面

10‧‧‧作業系統

101‧‧‧作業系統載入器

14‧‧‧硬體

20‧‧‧非揮發性記憶體

201‧‧‧可延伸韌體介面基本輸出入系統

203‧‧‧安全檢測模組

205‧‧‧特徵值

22‧‧‧硬碟裝置

221‧‧‧開機系統硬碟區塊

24‧‧‧開機系統

30‧‧‧安全開機加密演算模組

301‧‧‧可延伸韌體介面基本輸出入系統

303‧‧‧開機系統硬碟區塊

305‧‧‧基本輸出入系統特徵值

307‧‧‧開機系統特徵值

50‧‧‧特徵值

步驟S401~S411‧‧‧裝置之開機流程

步驟S501~S511‧‧‧具安全檢測程序之開機流程

圖1顯示習知技術之可延伸韌體介面基本輸出入系統的架構示意圖；圖2顯示本發明引入安全檢測機制的可延伸韌體介面基本輸出入系統的實施例架構示意圖；圖3顯示本發明安全檢測模組產生特徵值的示意圖；圖4所示流程描述採用可延伸韌體介面基本輸出入系統的裝置之開機流程；圖5所示流程描述本發明安全認證電子裝置之安全開機方法之實施例流程。

面對博奕用的電腦系統在安全驗證的需求，本發明揭露書揭示一種安全認證電子裝置，其開機程序中載有一種安全檢測的機制，揭露書更揭示一種安全開機方法，以及儲存其中程式指令的電腦可存取儲存裝置。

基本輸出入系統(BIOS)為規範電腦系統開機時初始化硬體設備的韌體程式，接著進入電腦系統的開機程序，在博奕認證的電腦系統對於相關的韌體程式與作業系統程式有嚴格的驗證，避免程式碼不當被竄改(或更動)，以免偷埋藏有非法程式碼，藉此確保博奕相關電腦系統可以在安全無虞的情況下正確執行。

本發明揭露書所提出的安全認證電子裝置即透過一種安全檢測機制確保基本輸出入系統(特別是目前普遍採用的可延伸韌體介面基本輸出入系統(UEFI/EFI BIOS))以及開機系統在開機前後不被更動。其中之一方式就是將特定記憶區塊的映像檔(image)經運算產生一個特徵值(digest)，利用此初始產生的特徵值與之 後開機過程的記憶區塊所運算的值比對，以判斷程式碼是否被竄改。

圖2顯示本發明引入安全檢測機制的可延伸韌體介面基本輸出入系統的實施例架構示意圖。

圖示為設於安全認證電子裝置內的一非揮發性記憶體20，比如一種採用序列周邊介面(SPI)的快閃記憶體(flash)，其中載有一可延伸韌體介面基本輸出入系統(UEFI/EFI BIOS)201之韌體程式，根據發明實施例之一，可延伸韌體介面基本輸出入系統201內設有一以韌體程式實施的安全檢測模組203，安全檢測模組203為設於可延伸韌體介面基本輸出入系統201內的檢測程式，同時儲存於非揮發性記憶體20中。安全檢測模組203可於本發明安全認證電子裝置的一開機程序中執行，並判斷可延伸韌體介面基本輸出入系統的韌體程式是否被竄改。

安全認證電子裝置設有儲存程式碼的儲存單元，如圖顯示的硬碟裝置22，裝置之作業系統作業程式即載於儲存單元中的一開機系統硬碟區塊221中。

在本發明所提出的安全認證電子裝置開機程序中，安全檢測模組203載入一特徵值(digest)205，產生方法與形式可參閱圖3的描述，透過在系統最初設置時產生的特徵值205，可以判斷電子裝置的非揮發性記憶體20或開機系統硬碟區221中的程式在之後的運行過程中是否遭到竄改。

根據實施例之一，為求上述可延伸韌體介面基本輸出入系統201的韌體程式並未被不當改寫，可將非揮發性記憶體20設為唯讀(read only)屬性的記憶體。特徵值205應儲存於一具防寫特性的記憶區塊中，不排除如EEPROM、SPI ROM、硬碟裝置的防寫記憶區塊(partition)中、或是一種外部記憶裝置，如可設為防寫可讀取的USB儲存裝置或記憶卡。

安全認證電子裝置更設有開機系統24，當裝置開機時載入經 安全檢測後的可延伸韌體介面基本輸出入系統201與作業程式後，將執行開機系統24之開機程序。

圖3即顯示本發明安全檢測模組產生特徵值的示意圖。

此例中，在電腦系統部份具有可延伸韌體介面基本輸出入系統301與開機系統硬碟區塊303，在初始設定時，可經安全開機加密演算模組30分別產生日後供比對判斷是否程式被竄改的特徵值(digest)，可分別產生對應可延伸韌體介面基本輸出入系統301初始狀態的基本輸出入系統特徵值305，以及對應開機系統硬碟區塊303內容的開機系統特徵值307。需要一提的是，特徵值(305,307)可在特定需要在安全無虞的情況下改寫可延伸韌體介面基本輸出入系統301與開機系統硬碟區塊303內程式碼的情況下被更新。

經加密演算產生的基本輸出入系統特徵值305與開機系統特徵值307可儲存如圖2描述的EEPROM、SPI ROM、防寫記憶區塊或外接記憶裝置內。

在實施例中，安全開機加密演算模組30對於儲存在前述非揮發性記憶體內的可延伸韌體介面基本輸出入系統301的韌體程式整體執行一加密演算，比如以SHA(Secure Hash Algorithm)執行一種安全雜湊演算法(cryptographic hash algorithm)，可以將可延伸韌體介面基本輸出入系統301的韌體程式或開機系統硬碟區塊303的內容逐位元(bit)地演算成為一個特徵值，一旦程式碼變動，特徵值將不符，藉此判斷是否被竄改。另如一種RSA執行的非對稱加密演算法，這是一種金鑰對(key pair)加解密方式判斷原始程式是否被竄改的方式，同樣對原始程式執行演算，產生的對應特徵值，作為之後比對判斷的基礎。但實際運作時並不限於特定的加密演算法。

採用可延伸韌體介面基本輸出入系統的裝置之開機流程可見於圖4流程。

如步驟S401，開啟裝置電源並啟動開機流程，接著如步驟S403，開機程序先初始化可延伸韌體介面基本輸出入系統，根據BIOS設定驅動週邊硬體，如步驟S405。接著選擇開機裝置(步驟S407)、載入開機系統(步驟S409)，並完成開機(步驟S411)。

在前述揭露的安全認證電子裝置應用的可延伸韌體介面基本輸出入系統(UEFI/EFI BIOS)特性之一是可彈性擴充而可改寫的程式碼，其中有可變參數，並儲存在SPI非揮發性記憶體中，大部分電腦系統在每次開機程序中都會變動其中的參數設定，因此在應用博奕領域的電腦系統都應避免此變動。

為了防止被不當竄改程式，除了可將記憶體設定防寫屬性(write protection)外，其中可變參數(variable)的屬性也可設為唯讀(read only)，避免改寫。除此之外，本發明更提出前述利用產生特徵值的方式，用以於開機過程中檢測程式碼是否被改寫。

於是，本發明所提出的安全認證電子裝置僅引入一種在開機過程中執行的安全檢測機制，安全開機方法為具安全檢測程序之開機流程，實施例可參閱圖5所示之流程。

經啟動電子裝置後，如步驟S501，系統開機流程包括初始化系統，並如步驟S503，載入基本輸出入系統，即本發明所針對原具有可變參數的可延伸韌體介面基本輸出入系統。

接著，其中安全檢測模組引入特徵值(50)，藉此檢測程式碼，如步驟S505，判斷程式碼是被有變動(步驟S507)。其中特別是於載入可延伸韌體介面基本輸出入系統的同時，安全檢測模組即立即比對特徵值(50)，以對應的安全加密演算法重新針對目前基本輸出入韌體程式產生比對用的特徵值，以與儲存的特徵值比對而判斷是否有遭受非法竄改的情況。在其實施例之一，在檢測非揮發性記憶體內程式碼是否有被竄改的步驟中，可包括判斷可延伸韌體介面基本輸出入系統中的可變參數是否設為不可寫入的屬性(attribute)。

根據實施例，本發明安全檢測機制可同時應用於儲存在非揮發性記憶體所載的可延伸韌體介面基本輸出入系統韌體程式，與載於開機系統硬碟區中的作業程式。當開機程序進入安全檢測階段時，安全檢測模組引入儲存裝置內記憶體或是外接記憶體中的特徵值(50)，比如可以圖3顯示的特定加密演算法重新演算產生一個比對用的特徵值，與原本儲存在特定媒體的特徵值(50)比對。除了比對前述的基本輸出入系統特徵值(305)以判斷可延伸韌體介面基本輸出入系統韌體程式有否變更外，更可再利用開機系統特徵值(307)或是與基本輸出入系統特徵值(305)之組合，以分別判斷出可延伸韌體介面基本輸出入系統韌體程式，與開機系統之作業程式是否遭到竄改。

若判斷基本輸出入系統與開機系統之任一程式碼有變動，即如步驟S509，將終止開機；若判斷與儲存的特徵值(50)符合，則繼續載入可延伸韌體介面基本輸出入系統內所載之硬體資訊，如步驟S511，以完成開機。

揭露書更提出了一種電腦可存取儲存裝置，用以儲存揭露書所記載發明中執行安全認證的輸出入系統的韌體程式集，其中程式集主要包括有載入可延伸韌體介面基本輸出入系統之韌體程式的指令、檢測載有可延伸韌體介面基本輸出入系統中的非揮發性記憶體是否有被竄改的指令，以及引入特徵值的指令。

另可包括當韌體程式判斷被竄改時，終止開機程序之指令；或可包括檢測載於開機系統硬碟區塊的作業系統程式是否被竄改的指令，或是在當作業系統程式判斷被竄改時，終止開機程序之指令。

是以，前述揭露書描述之實施例涉及一種安全認證電子裝置，可為一適用於博奕用途的電腦裝置，透過安全開機檢測機制，確保電腦系統經啟動後執行可延伸韌體介面輸出入系統時不會因為其中程式碼可被改變的特性而無法滿足特定用途的電腦系統無 法通過安全驗證的情況。

以上所述僅為本發明之較佳可行實施例，凡依本發明申請專利範圍所做之均等變化與修飾，皆應屬本發明之涵蓋範圍。

20‧‧‧非揮發性記憶體

201‧‧‧可延伸韌體介面基本輸出入系統

203‧‧‧安全檢測模組

205‧‧‧特徵值

22‧‧‧硬碟裝置

221‧‧‧開機系統硬碟區塊

24‧‧‧開機系統

Claims (17)

1. 一種安全認證電子裝置，包括：一非揮發性記憶體，其中載有一可延伸韌體介面基本輸出入系統之韌體程式；一儲存單元，載有一執行於該安全認證電子裝置之作業系統的作業程式；一安全檢測模組，設於該可延伸韌體介面基本輸出入系統內，於該安全認證電子裝置的一開機程序中用以判斷該可延伸韌體介面基本輸出入系統的韌體程式是否被竄改；以及一開機系統，經載入經安全檢測後的該可延伸韌體介面基本輸出入系統與該作業程式後執行開機程序。
2. 如請求項1所述的安全認證電子裝置，其中該非揮發性記憶體為設為唯讀屬性的記憶體。
3. 如請求項2所述的安全認證電子裝置，其中該安全檢測模組為設於該可延伸韌體介面基本輸出入系統內的檢測程式，儲存於該非揮發性記憶體中。
4. 如請求項3所述的安全認證電子裝置，其中該非揮發性記憶體為一採用序列周邊介面的快閃記憶體。
5. 如請求項1所述的安全認證電子裝置，其中該儲存單元包括一儲存該作業程式的開機系統硬碟區塊。
6. 如請求項2或5所述的安全認證電子裝置，其中於該開機程序中，該安全檢測模組引入一特徵值判斷該非揮發性記憶體或該開機系統硬碟區中的程式是否遭到竄改。
7. 如請求項6所述的安全認證電子裝置，其中該特徵值儲存於一防寫記憶區塊中。
8. 如請求項1至7中之任一項所述的安全認證電子裝置，係為一適用於博奕用途的電腦裝置。
9. 一種如請求項1所述的安全認證電子裝置之安全開機方法，該方法包括：啟動一安全認證電子裝置，進入一開機流程；載入一可延伸韌體介面基本輸出入系統，該可延伸韌體介面基本輸出入系統儲存於一非揮發性記憶體；檢測該非揮發性記憶體內程式碼是否有被竄改；若該非揮發性記憶體內程式碼並未被竄改，則繼續載入該可延伸韌體介面基本輸出入系統內所載之硬體資訊，以完成開機；若該可延伸韌體介面基本輸出入系統被竄改，終止該開機程序。
10. 如請求項9所述的安全開機方法，其中更包括檢測記載該安全認證電子裝置的作業系統程式的一儲存單元是否未被竄改的步驟。
11. 如請求項10所述的安全開機方法，其中該作業系統程式儲存於一開機系統硬碟區塊。
12. 如請求項9或11所述的安全開機方法，其中係引用一特徵值比對判斷該檢測該非揮發性記憶體或該開機系統硬碟區塊內程式碼是否被竄改。
13. 如請求項9所述的安全開機方法，其中該檢測該非揮發性記憶體內程式碼是否有被竄改的步驟中，包括判斷該可延伸韌體介面基本輸出入系統中的可變參數是否設為不可寫入的屬性。
14. 一種電腦可存取儲存裝置，用以儲存符合安全認證的輸出入系統的韌體程式集，其中程式集包括：一載入一可延伸韌體介面基本輸出入系統之韌體程式的指令；一檢測載有該可延伸韌體介面基本輸出入系統中的一非揮發性記憶體是否有被竄改的指令；以及 引入一特徵值的指令。
15. 如請求項14所述的電腦可存取儲存裝置，其中該程式集更包括當該韌體程式判斷被竄改時，終止開機程序之指令。
16. 如請求項15所述的電腦可存取儲存裝置，其中該程式集更包括一檢測載於一開機系統硬碟區塊的一作業系統程式是否被竄改的指令。
17. 如請求項16所述的電腦可存取儲存裝置，其中該程式集更包括當該作業系統程式判斷被竄改時，終止開機程序之指令。