TWI334522B - Protected clock management based upon a non-trusted persistent time source - Google Patents

Description

九、發明說明： I：發明所屑之技術領域3 發明領域 本發明係屬於平台管理領域。更特別本發明係有 於不信賴的但持久的時間來源來為保護的時鐘持續维持^ 賴的時間之方法及配置 【；先前技術3 發明背景 電腦的利用以及相對低成本電腦解決辦法的發展結果 導致仰賴電腦和網路資源用於個人相關活動和企業相^舌 動的多個面相。舉例言之，企業已經重度仰賴電腦用於例 如遠距辦公、得知新聞和股市資訊、交易、銀行業務、購 物、出貨、以語音網際網路協定(voiceIP)形式之通訊[參考 國際電信聯盟(ITU)推薦H.323標題「封包式多媒體通訊系 統」，2_年U月公告可得自^娜版^⑼功規格」)] 以及以電子郵件形式通訊，及其它服務。對許多個人而言， 甚至個人電腦代表其生計上的主要工具。 利用個人電腦來進行跨網路的業務異動的關鍵問題係 維持準碟的時間。維持準確的時間不僅直接影響例如透過 安全異動例如安全核准同時也影響維持電腦系統適當操作 的能力。舉例言之，克伯騎(Kerb_)是—種網路授權協 定，其使用強力密碼術，讓客戶可透料安全的網路連接 來證實其身分予-伺服器，反之亦然。特別，克伯羅斯授 權系統係使用-系列加密訊息來對—魏器證實客端係以 特定使用者運作。驗證器係檢查訊息上的時間戮記來確定 認證器為新鮮。若該時間戮記取中於驗證器上的目前時間 的一個指定時間窗以内（典型為5分鐘），則驗證器接收該訊 息為真實訊息。但若例如於驗證器上的時間或訊息上的時 間不準瑞’結果時間戳記顯然超過，例如超過5分鐘，則驗 證器將該訊息視為非新鮮訊息而拒絕該訊息。 進一步舉例說明’系統行政管理器可综覽系統記錄槽 或錯誤s己錄檀來追縱電腦系統的問題來源。但若系統事件 的時間指標不精確，更遑論為準確，則系統行政管理器嘗 試找出問題來源的工作將變成遠更困難。當系統記錄檔例 如來自於網路伺服器，錯誤記錄檔係來自於工作站而記錄 檔中之一者或二者的時間戳記不準確時則問題更惡化。如 此，系統行政管理器無法找出工作站事件與網路伺服器事 件間的交互關聯。 隨著電腦和網路增加所產生的問題為不信賴的使用者 諸如駭客直接與電腦系統互動，或透過軟體、病毒和蟲等 而於遠端與電腦系統互動。一種常見的技巧係修改電腦網 路中的一個或多個系統的時間。將工作站的時間修改前推 幾年’讓駭客可透過已經失效的安全核可來於網路上存取 機密資料。此種攻擊歸類為穿透攻擊。 另一方面，將系統時間修改成未來數年，可能造成系 統拒、邑來自於其匕k賴的使用者的有效核可。此種攻擊俗 稱為拒絕服務攻擊，可能珠結與特定電腦系統的通訊，可 能遍及整個網路。例如克伯羅斯授職定要求時鐘彼此同 步於數分鐘以内，因此若攻擊者只要 個時鐘數分鐘’則攻擊者可成功,σ 4其中個或兩 目前解決之道涉及安全㉝執仃㈣服務攻擊J。 過直接通訊、或透過病毒或蟲而從:::信賴的使用者透 措施的改良’攻擊實施更複雜的技巧：安=安: 決之道可建立單-信賴的時間來源。單㈣= 係對-網路建立，原因在於個㈣旰間來源 ^ u别工作站的系統時間可由盆 賴的來祕改，包括t作站的使用者修改，其可能 畜意或意外地接取系統時間。 來存取有效核可以及形成記锌二建:早一信賴的時間來源 系統每次存取時間來源，指標’要求各電腦 至^經吊性存取時間來源，來 利用不信賴的時間來源所造成的問題1網路上的每 一部電腦係經由存取信賴的時間來源來驗證安全核可斑形 ^記錄檔，可能顯著影響異動處理牵涉的頻寬及/或時間延 【發明内容】 依據本發明之_實_，㈣地提出—射法，其包 3=驟:比較一信賴的時間與-持久時間，來判定 一仏賴的時間差，該持久時 存取；儲存 蚵由4信賴的時間來源所 情體传a 依電性記憶體，該非依電性記 護免於受到該不信賴的時間來源所修改;以及 斷電’造成喪失該簡的時間，而 該受保護時3間和糾賴的時間差來以該信賴的時間設定 1334522 圖式簡單說明 當研讀後文詳細說明且參照附圖，本發明之實施例之 優點將顯然易明，附圖中類似的元件符號係標示類似的元 件： 5 第1圖顯示一系統實施例，該系統包括一電腦具有嵌置 式管理能力裝置來透過不信賴的即時時鐘(RTC)來於保護 的時鐘維持信賴的時間； 第2圖顯示具有接受管理的韌體和專用硬體之一種運 算平台之實施例； 10 第3圖顯示以信賴的時間來啟動保護的時鐘之一個實 施例之流程圖；以及 第4圖顯示響應於不信賴的時鐘之時間設定值的修 改，更新保護的時鐘之一實施例之流程圖；以及 第5圖顯示於電腦系統關閉電源之同時，於保護的時鐘 15 斷電後，以信賴的時間的復置保護的時鐘之一實施例之流 程圖。 I：實施方式3 較佳實施例之詳細說明 後文為附圖所示本發明之具體實施例之細節說明。該 20 等具體實施例之細節係足夠明白溝通的發明。但提供的細 節量絕非意圖囿限於預期之實施例之變化，相反地，本發 明係涵蓋落入於隨附之申請專利範圍定義之本發明之精髓 及範圍内的全部修改、相當例和變化。後文詳細說明之設 計讓此等實施例對熟諳技藝人士顯然自明。 8 1334522 一般而言，揭示基於一不信賴的但持久的時間來源來 為一保護時鐘維持一信賴的時間之方法及配置。實施例可 包含一嵌置式裝置來於一保護的時鐘維持信賴的時間，該 嵌置式裝置可為硬體、軟體、韌體及/或其它邏輯。嵌置式 5 裝置經由從信賴的時間來源諸如網路伺服器獲得信賴的時 間來啟動該保護的時鐘。於保護的時鐘斷電之情況下，該 嵌置式裝置經由監視保護的時鐘與不信賴的系統時鐘間之 時間差異可維持信賴的時間。例如於若干實施例中，當不 信賴的系統時鐘被修改時，嵌置式裝置可能接收到中斷， 10 響應於此，嵌置式裝置更新信賴的時間與系統時間間的時 間差。然後於斷電的情況下，嵌置式裝置將時間差儲存於 非依電性記憶體。 多個實施例較佳係採用保護的時鐘而無電池備援來節 省成本和空間，但經由仰賴不信賴的系統時鐘的電池備 15 援，於斷電的情況下仍然可維持信賴的時間。特別，於此 種斷電的情況下，不信賴的系統時鐘實質上無法存取，因 此當復電時，嵌置式裝置可仰賴系統時鐘所指示的持久時 間的準確度。 雖然後文詳細說明部分係參照嵌置式管理能力裝置和 20 被管理的韌體來說明本發明之實施例，但熟諳技藝人士瞭 解實施例例如可透過安全區隔或其它安全環境，限制保護 的時鐘存取信賴密碼及/或裝置來實作實施例。 現在參考附圖，第1圖顯示系統1〇〇之實施例，系統1〇〇 包括電腦120，具有嵌置式管理能力裝置126來透過不信賴 9 的即時時鐘(RTC) 124來於經保護的時鐘13〇維持信賴的時 間。系統100包含電腦120、電腦140、網路15〇、信賴的時 間來源160及資訊技術(IT)主機170 » 電腦120可為個人電腦，諸如桌上型電腦或膝上型電 腦，其提供使用者例如透過顯示器、鍵盤及滑鼠來直接存 取。電腦120也可耦接網路來提供使用者接取電子郵件、網 路資源，於若干實施例中，可藉連接至網路15〇的其它電腦 諸如電腦140而進行遠端存取。使用者可能經由直接存取時 减設疋值或經由執行密碼而蓄意地或意外地設定電腦12〇 的系統時間。時間設定值可能偏離其它連結網路15〇的電腦 所利用的時間來源，由於電腦時區的差異所造成的偏離， 或偏離成過去日期或未來日期。總而言之，rTC 124的時間 指示用於交互關聯系統記錄標、驗證安全核可等目的時不 準碟。

電腦120可能包含使用者介面122、RTC 124、敌置式管 理能力裝置126、快閃記憶體128及經保護的RTC 130。使用 者介面122為耦接RTC 124的不信賴的介面，來輔助藉不信 賴的時間來源修改系統時間》舉例言之，使用者介面122可 &偏好透過視窗存取的系統，允許使用者110設定RTC 124 的時間和日期。特別，使用者介面122可能包含儲存於諸如 動態隨機存取記憶體(DRAM) 123或其它記憶體等記憶體 的密碼。當密碼執行時，密碼可能與使用者110、電腦140、 或其它不信賴的時間來源交互作用來判定RTC 124的新時 間。然後使用者介面122的使用者以該新時間來設定RTC 124。 124。1334522 RTC 124為即使電腦12〇關閉時仍然可記錄時間的時 鐘《RTC 124係基於特殊電池或其它非連接於正常電源供應 器的電力儲存裝置來運轉。相反地，當電腦為關時，諸如 5 經保護的RTC 130等時鐘無法工作。於其它實施例中，RTC 124可由電池備援，而於可利用正常電力時則利用正常電力 來運轉。 嵌置式管理能力裝置126可為嵌置式裝置，其具有韌體 來允許透過管理主機諸如IT管理主機170而進行加密的和 10 持久的資產管理以及遠端診斷/復原能力。於本實施例中， 嵌置式管理能力裝置126可耦接RTC 124，來判定得自於 RTC 124的系統時間與得自於經保護的RTC 130的信賴時間 間的信賴時間差。然後，嵌置式管理能力裝置126可於經保 護的RTC 130斷電的情況下，基於該系統時間與信賴的時間 15 差來設定信賴的時間。 嵌置式管理能力裝置126可將該時間差儲存於非依電 性記憶體諸如快閃記憶體128，且設定經保護的尺1^ 130的 信賴的時間。於若干實施例中，快閃記憶體128和經保護的 RTC 130為由嵌置式管理能力裝置126所管理的專用硬體。 2〇於另一個實施例中，快閃記憶體128及/或經保護的RTC 130 屬於嵌置式管理能力裝置126之一部分。 於其它實施例中，部分快閃記憶體128可配置於嵌置式 管理能力裝置126 ’且經由安全環境保護電腦120避免訊 誤。舉例言之，電腦12〇的記憶體控制器中樞器可透過信賴 11 1334522 的密碼或認證的密碼、及/或透過信賴的元件諸如嵌置式管 理能力裝置126，來辅助存取分配予嵌置式管理能力裝置 126的快閃記憶體部分。 經保護的RTC13G可維持信賴的時鐘，嵌置式管理能力 5裝置i26可管理與經保護的RTC 13〇的通訊，來防止信賴的 時間被不信賴的時間來源諸如使用者11〇和遠端電腦諸如 電腦140所修改。於多個實施例中，經保護的灯c ^不具 有電池備援，較佳來節省空間以及提供與維持與RTC 124 的專用特殊電池分開的專用電池相關聯的成本。舉例言 1〇之，當首次啟動電腦120時，嵌置式管理能力裝置126可與 信賴的時間來源160通訊來獲得信賴的時間。然後，嵌置式 官理能力裝置126以信賴的時間設定經保護的RTC； 13()，且 透過RTC 124的持久時間來維持信賴的時間。 網路150為網路連接’諸如區域網路或廣域網路來耦接 15電腦120和電腦140、信賴的時間來源160和IT管理主機170 來辅助通訊。於若干實施例中，網路15〇可包括透過乙太網 路、光學媒體諸如OptiConnect、無線網路等耦接的辦公室 内部網路。於若干實施例中’網路15〇也可透過纜線數據 機、數位用戶線(DSL)、T1線、T3線等來耦接網際網路。於 20額外實施例中，網路150可包括暫時連接諸如透過電腦系統 連接的網路。 信賴的時間來源160可為安全來源，信賴的時間來源 160基於對該裝置所組配的認證資訊而可成功地以嵌置式 管理能力裝置126來認證。認證資訊可為例如用作為超文字 12 傳輸協定(HTTP)認證的一部分之使用者名稱/通行碼對、或 嵌置式管理能力裝置126所信賴的根核可單位（CA)所簽發 的傳輸層安全(TLS)客端/伺服器核可^ «^^為一種利用公鑰 /密鑰對和加密核可，其將信賴的時間來源身分與公鑰結合 5而保護網際網路通訊協定安全之系統。於若干實施例中， 信賴的時間來源16 0可為I τ管理主機17 〇的一部分。 資訊技術(IT)管理主機170可維持資產諸如電腦120和 H0的存貨和位置、且進行諸如電腦12〇和14〇等資產的遠端 诊斷與復原操作。舉例言之，嵌置式管理能力裝置126可耦 1〇接電腦120的持久記憶體諸如快閃記憶體128，俾即使於電 腦120的電源切斷時，仍然可存取事件記錄檔和錯誤記錄 稽。於若干實施例中，IT管理主機170可透過嵌置式管理能 力裝置126來供電啟動電腦12〇，例如安裝電腦12〇的軟體更 新、目錄軟體、及電腦12〇内部的存貨資產，諸如記憶卡、 15 硬碟機、光碟機等。 第2圖顯示運算平台2〇〇之實施例，具有管理的韌體25〇 和嵌置式裝置硬體260來基於不信賴的但持久的時間來源 RTC 244而持續維持保護的時鐘262之信賴的時間264。舉例 言之’平台200可為負責公司新計劃工作的多部電腦之一。 20平台200當接到計劃所在位置的企業網路或區域網路(LAN) 時’平台200可與中央伺服器通訊，來透過企業網路網址報 告平台200的實體位置，接收標準計劃軟體的軟體更新’以 及下載分配用於本計劃位置的特殊軟體。平台2〇〇也可透過 LAN而與信賴的時間通訊。於其它實施例中，平台2〇〇可單 13 1334522 純於啟動時基於信賴的時間差272來更新保護的時鐘262之 信賴的時間264，原因在於當移動平台2〇〇至此新的計劃位 置時，RTC 244的系統時間246係藉電池248維持。

運异平台200可為個人電腦，諸如工作站或飼服器，且 5可包含主機糸統210、硬體240、管理的勃體25〇及嵌置式裝 置硬體260。主機系統210可包含作為主機來用於使用者的 一項或多項應用用途的軟體。特別，基本輸入/輸出系統 (BIOS) 230可於移轉控制予作業系統225之前，對系統記憶 體和初始程式載入(IPL)執行基本功能，諸如完好確認。於 10多個實施例中，使用者可於IPL之前或於IPL之中，透過BIOS 230介面存取RTC 244來設定系統時間246。 RTC 244可駐在於例如硬體240的輸入-輸出（I/O)控制 中棍器，I/O控制中樞器可包含一中斷產生器242，來響應 於改變系統時間246之一請求而產生一中斷請求(irq)。例 15如中斷產生器242可透過一中斷控制器，諸如INTEL 8259 中斷控制器或類似的與晶片組整合的邏輯，來產生汉卩，且 傳送IRQ至嵌置式裝置韌體252。於其它實施例中，中斷產 生器242可產生一訊息-信號中斷(MSI)，該MSI係以類似寫 入異動的方式來與嵌置式裝置韌體252通訊。於其它實施例 2〇中，中斷產生器242可駐在於其它硬體及/或軟體。 作業系統225可為大型相當複雜的低階軟體，其係用作 為應用程式220之硬體240之介面。舉例言之，作業系統225 可為視窗（Windows)之一種版本(95、98、NT、ME、2000、 XP)、麥金塔（Macintosh) OS X、Linux、Unix(Solaris、ΑΙΧ、 14 1334522 HP-UX等等）。類似於BIOS 230，作業系統225可提供使用 者介面來輔助由使用者修改系統時間246。作業系統225可 透過内建於作業系統255的偏好表或應用程式22〇來提供與 系統時間246的介面。 5 於若干實施例中，當例如電池248耗盡時，或當電池的 電力不足以維持RTC 244時’較佳係利用信賴的時間264來 替代系統時間246。於此種實施例中，嵌置式裝置勒體252 或作業系統225也可產生提示來指示電池246的失效。板置 式裝置勃體252及/或作業糸統225可將提示登錄於錯誤記 10錄檐，可透過網路介面280將提示傳送予遠端管理系統，及 /或透過於耦接平台200的顯示畫面上的提示訊息來通知使 用者電池的失效。 應用程式220為較高階軟體，其可為使用者執行較為複 雜的功能，諸如文字處理、圖形說明、視訊編輯及其它高 15階功能。應用程式22〇可包含核可驗證器222來與保護的時 鐘262通訊。特別，核可驗證器222可基於信賴的時間264確 涊女全核可，來提供由遠端使用者接取例如於平台上的 硬碟機或其它資料儲存裝置。舉例言之，平台2〇〇可維持計 劃的各個階段之預算估值相關的計劃資料，遠端使用者經 20由提供尚未逾期的信賴的且經認證的安全核可，遠端使用 者可接取該預算資料。響應於此種請求，核可驗證器222可 與嵌置式裝置韌體252通訊來讀取用來驗證安全核 賴的時間264。 口 管理細體250可為安全環境，其限制與不信賴的軟體和 15 其它密碼通訊’且限制與信賴的且經認證的密碼通訊，但 程度較低。於本實施例中，管理韌體250包含嵌置式裝置韌 體252來管理與嵌置式裝置硬體260之通訊。於若干實施例 中，嵌置式裝置韌體252可内建於嵌置式管理能力裝置，該 裝置也可包括若干嵌置式裝置硬體260元件》舉例言之，不 k賴的密碼例如作業系統225和核可驗證器222可允許讀取 保護的時鐘262之信賴的時間264，但無權變更信賴的時間 264。另一方面，嵌置式裝置韌體252為於指定條件下可修 改信賴的時間264之信賴的經過認證的密碼。 嵌置式裝置動體252可包含一初始時間設定器254、一 時鐘比較器256、及一信賴的時間判定器258。初始時間設 定器254透過網路介面280而與信賴的時間來源通訊來獲得 信賴的時間264 ’來於平台200初次被啟動時設定保護的時 鐘262 »初始時間設定器254然後與保護的時鐘262通訊來設 、 定信賴的時間264。於若干實施例中，除非平台2〇〇晚近被 啟動’否則管理韌體250可能不允許初始時間設定器254來 以新的設定值修改信賴的時間264。 時鐘比較器256係響應於來自中斷產生器242之一中 斷’其指示使用者以新的系統時間246來設定RTC 244。當 接收到中斷時，時鐘比較器256可基於信賴的時間264和新 的系統時間246來更新非依電性記憶體270的信賴的時間差 272。舉例言之’於新的計劃位置的使用者可能登錄且修改 系統時間246達2小時，此乃平台200的原先位置與新的計劃 位置間的時區之差。中斷產生器242當更新系統時間246 1334522 時，送出一中斷請求至嵌置式裝置韌體252。響應於中斷請 求，時鐘比較器256從系統時間246扣除信賴的時間264來判 定2小時的新的信賴的時間差272 〇然後，時鐘比較器256儲 存2小時的指示於非依電性記憶體27〇之信賴的時間差272。 5 信賴的時間判定器25 8可為信賴的且經過認證的密 碼，於保護的時鐘262斷電的情況下，時鐘比較器256允許 更新保護的時鐘262的信賴的時間264。特別例如於正常電 源266 (為平台200的主電源）於斷電後復電且平台2〇〇啟動 時’信賴的時間判定器258判定信賴的時間272。為了判定 10信賴的時間272，信賴的時間判定器258可於不信賴的來源 透過BIOS 230建立接取修改系統時間246之前讀取系統時 間246。不信賴的來源可為密碼或使用者。由於系統時間246 較佳係藉電池248來維持通過斷電時間，故信賴的時間判定 器258可讀取系統時間246來判定信賴的時間272。然後，信 15賴的時間判定器258可將非依電性記憶體270的信賴的時間 差272加至系統時間246來計算信賴的時間264。隨後，信賴 的時間判定器258將以信賴的時間264來設定保護的時鐘 262。 嵌置式裝置硬體260可為由管理韌體250所管理且由嵌 20置式裝置韌體252所使用的平台200之硬體。於若干實施例 中，若干或全部嵌置式裝置硬體260可内建於嵌置式管理能 力裝置。 嵌置式裝置硬體260可包含保護的時鐘262、非依電性 記憶體270及網路介面280。保護的時鐘262可為當透過正常 17 1334522 電源266來供電時維持信賴的時間264的電路。非依電性記 憶體270可為任一種無需供電而維持資料的可寫式記憶體 形式。舉例言之，非依電性記憶體270包括快閃記憶體、可 電抹除唯讀記憶體等。 5 網路介面280可包含一埠來存取網路。例如，網路介面 280可包含硬體連接裝置或裝置來實體連接平台200與乙太 網路纜線、光學媒體、無線網路等。 第3圖顯示一信賴的時間啟動一保護的時鐘之實施例 之流程圖300。特別，流程圖300說明第2圖之電腦，諸如平 10 台200。流程圖300初次開始啟動電腦（元素310)。例如電腦 剛到貨，使用者將電腦插入電源出口，且按下電源開關。 一旦電腦被啟動時，嵌置式管理能力裝置可發送保護 的時鐘更新請求予信賴的時間來源（元素315)。信賴的時間 來源可以以私鑰來加密的訊息回應，其中包括信賴的時間 15 和安全核可。安全核可包含信賴的時間來源之身分，且係 由信賴的核可機關所簽發。 當接收到加密訊息時，嵌置式管理能力裝置藉由使用 信賴的時間來源之公鑰來解碼該訊息而認證該訊息（元素 320)。解密該訊息可供存取信賴的時間。 20 然後嵌置式管理能力裝置從系統時鐘讀取系統時間 (元素325)，基於信賴的時間與系統時間判定信賴的時間差 (元素330)。於多個實施例中，嵌置式管理能力裝置從系統 時間扣除信賴的時間，來判定信賴的時間差。然後嵌置式 管理能力裝置將該信賴的時間差儲存於非依電性記憶體 18 1334522 (元素335)。 嵌置式管理能力裝置於與信賴的時間差判定的實質上 同時’也可以信賴的時間設定保護的時鐘（元素34〇)。於其 它實施例中’故置式管理能力裝置係於判定及/或儲存信賴 5的時間差之前或之後來設定保護的時鐘。 第4圖顯示響應於不信賴的系統時鐘之時間設定值的 修改，更新保護的時鐘之一實施例之流程圖4〇〇。特別，流 程圖400說明嵌置式管理能力裝置之功能，諸如第2圖之嵌 置式裝置動體252。流程圖400始於接收一中斷，指示儲存 10 更新的系統時間於系統時鐘（元素410)。於其它實施例中， 嵌置式管理能力裝置接收指示系統時間被修改之一中斷請 求以外之通訊。 響應於接收到中斷，嵌置式管理能力裝置讀取更新的 系統時間（元素415)。於若干實施例中，嵌置式管理能力裝 15 置產生一讀取請求來判定系統時鐘之更新的系統時間。於 其它實施例中，嵌置式管理能力裝置可能有更直接的判定 更新的系統時間之方法。 使用更新的系統時間，嵌置式管理能力裝置基於得自 於保護的時鐘之信賴的時間來判定新的信賴的時間差（元 20 素420)。特別，嵌置式管理能力裝置可從信賴的時間扣除 更新的系統時間’或反之亦然，來判定信賴的時間差。 於判定新的時間差後，嵌置式管理能力裝置可從非依 電性記憶體讀取目前信賴的時間差（元素425)。若新的時間 差顯然與目前時間差不同’則嵌·置式管理能力裝置將該新 19 1334522 的時間差寫入非依電性記憶體。差異的顯著可能係基於例 如判定安全核可是否已經逾時'維持錯誤記錄槽等所維持 的時間解析度。舉例言之，於若干實施例中，若新的信賴 的時間差與目前信賴的時間差間之差異不超過臨界值，諸 5如一個小時(元素43G)，获置式管理能力裝置可能忽略該 項變化來有利地延長非依電性記憶體的壽命。 另-方面，若新的信賴的時間差與目前信賴的時間差 間之差值超過臨界值（元素430)，則嵌置式管理能力裝置可 以新的信賴的時間差來更新非依電性記憶體中的時間差 10 (元素 435)。 現在參考第5圖，顯示於電腦系統被關機之同時，保護 的時鐘斷電後，以信賴的時間來復置保護的時鐘之一實施 例之流程圖500。流程圖500係描述電腦系統諸如第丨圖之電 腦120之功能。流程圖500係始於斷電後啟動電腦系統（元素 15 510)。例如，使用者可透過關斷來關閉系統，切斷予保護 的時鐘之電源。用於其中電池或其它電力儲存裝置無法備 援保護的時鐘之實施例，由保護的時鐘所維持的信賴的時 間喪失。然後當使用者準備再度使用該系統來工作時，使 用者重新啟動系統。 20 當BJ〇S載入時，但於使用者可存取BIOS來改變系統時 間前’嵌置式管理能力裝置可從系統時鐘讀取系統時間（元 素515)。例如，嵌置式管理能力裝置等候m〇s建立讀取系 統時鐘的功能，然後於不信賴的使用者有時間將新時間寫 入系統時鐘之前，讀取系統時鐘。於其它實施例中，嵌置 20 1334522 式管理能力裝置可於BIOS載入前讀取系統時鐘。 於讀取系統時間後，嵌置式管理能力裝置基於系統時 間與信賴的時間差（儲存於非依電性記憶體）來建立新的信 賴的時間（元素520)。換言之，嵌置式管理能力裝置讀取斷 5 電前所建立的信賴的時間差，而於復電後不久，基於系統 時間來計算新的系統時間，確保斷電期間所經歷的時間可 由系統時間所準確反映出。如此，嵌置式管理能力裝置可 有利地維持系統時鐘於系統電源關時維持時間的能力。 當透過系統時間和信賴的時間差而判定新的信賴的時 10 間時，嵌置式管理能力裝置係以新的信賴的時間來設定保 護的時鐘（元素525)。例如，嵌置式管理能力裝置可將該信 賴的時間差加至系統時間來判定新的信賴的時間。 本發明之一個實施例係以用於電腦系統諸如第1圖所 示系統100之程式產品來實作。該程式產品之程式定義實施 15 例之功能（包括此處所述方法），且可含於多種信號承載媒體 上。信號承載媒體之實例包括但非限於⑴持久性儲存於非 可寫入式儲存媒體上之資訊（例如電腦内部之唯讀記憶體 裝置，諸如由CD-ROM驅動器可讀取的CD-ROM碟）；（ii) 儲存於可寫入式儲存媒體上之可變更資訊（例如硬碟機或 20 軟碟機内部的軟碟）；以及(iii)由通訊媒體諸如經由電腦或 電話網路包括無線通訊而傳輸予電腦之資訊。後述實施例 特別包括從網際網路及其它網路所下載的資訊。此種信號 承載媒體當載有指示本發明之功能之機器可存取指令時表 示本發明之實施例。 21 大致上，執行來實作 系統的一部分或為妓應用施例之常式可為作業 物件或串列指令4發明之^錢元件、㈣、模組、 ^ , _ 之電腦程式典型係包含多個指 ，可二腦轉譯成為機器可存取格式，因而轉成機 此外，程式包含變數和資料結構，其係局 或出現於記憶體或儲存裝置。此外，後述 固程式可基於其於本發明之特定實_中實作的應用用 識别i_錢解後文任何特殊程式的命名僅為方便 10 文本發明並未限於單獨用於由此命名所識別及/或所暗示 的任何特定用途。 熟°s技藝人士顯然易知本揭示的效果，本發明涵蓋可 基於不信賴的但持久的時間來源來持續為保護的時鐘維持 仏賴的時間之系統及配置。須瞭解於詳細說明部分和附圖 所顯不和說明之發明之形式僅供舉例說明之用。意圖後文 15申請專利範圍須廣義解譯為涵蓋所揭示之實施例之變化。 雖然已經對若干實施例詳細說明本發明及其若干優 點’但須瞭解可未悖離如隨附之申請專利範圍定義之本發 明之精髓及範圍而於此處做出多項變化、取代及變更。雖 然本發明之實施例可達成多瑣目的，但並非落入隨附之申 20請專利範圍的每個實施例皆<達成每個目的。此外，本發 明之範圍並非意圖限於說明書中所述處理程序、機器、製 造、物質組成、手段、方法及步驟之特殊實施例。熟諳技 藝人士由本發明之揭示方便瞭解目前既有的或未來將開發 的處理程序、機器、製造、物質組成、手段、方法或步驟 22 1334522 其可執行與則述相對應之實施例可執行相同功能或達成實 質上相同結果皆可用於本發明。如此，隨附之申請專利範 圍意圖含括此等處理程序、機器、製造、物質組成、手段、 方法或步驟於其範圍内》 5 【圓式簡單説明】 第1圖顯示一系統實施例，該系統包括一電腦具有嵌置 式管理能力裝置來透過不信賴的即時時鐘（RTC)來於保護 的時鐘維持信賴的時間； 第2圖顯示具有接受管理的韌體和專用硬體之一種運 10 算平台之實施例； 第3圖顯示以信賴的時間來啟動保護的時鐘之一個實 施例之流程圖；以及 第4圖顯示響應於不信賴的時鐘之時間設定值的修 改，更新保護的時鐘之一實施例之流程圖；以及 15 第5圖顯示於電腦系統關閉電源之同時，於保護的時鐘 斷電後，以信賴的時間的復置保護的時鐘之一實施例之流 程圖。 【主要元件符號說明】 124.. .RTC、不信賴的即時時鐘 126…嵌置式管理能力裝置 128…快閃記憶體 130.. .保護的時鐘、保護的RTe 140…電腦 150…網路 100.. .系統 110…使用者 120.. .電腦 122.. .使用者介面 123.. .動態隨機存取記憶體、

DRAM 23 1334522 160...信賴的時間來源 252...嵌置式裝置韌體 170…資訊技術(IT)主機 254...初始時間設定器 200...電腦平台 256...時鐘比較器 210...主機系統 258...信賴的時間判定器 220...應用程式 260...嵌置式裝置硬體 222...核可驗證器 262...保護的時鐘 225...作業系統 264...信賴的時間 230...基輸出系統(BIOS) 266...正常電源 240...硬體 270...非依電性記憶體 242...中斷產生器 272...信賴的時間差 244.. .RTC、不信賴的即時時鐘 280...網路介面 246...系統時間 300、400、500…流程圖 248...電池 310-340、410-435、510-525. 250...管理的韌體 流程圖元素 24

Claims (1)

1. 15

   20 案申請專利範_ί 十、申請專利範圍： h —種於區域電腦平台之嵌置式裝置中以受保護時鐘來 維持信賴時間之方法，該方法包含有下列步驟： 由該嵌置式裝置來比較來自-信賴時間來源之該 信賴時間與來自該區域電腦平台中之一系統時鐘之一 持久時間，來判定—信賴的時間差，該系統時鐘之該持 久時間可由一不信賴的時間來源所存取； 由該嵌置式裝置來儲存該時間差於該嵌置式裝置 之一非依電性記憶财，該非依電性記憶體係經保護免 於觉到該不信賴時間來源所修改； 由該嵌置式裝置來響應於因該受保護時鐘斷電，造 成喪失該信賴時間，而基於該持久時間和該信賴的_ 差’以該信賴時間來設定該嵌置式裝置内之—受保護時 鐘；以及 糟由基於得自於該系統時鐘之一經修改的持久時 間和得自於該受保護時鐘之_目前信賴的時間判定一 新的時間差’且儲存該新時間差於該非依電性記憶體 中，而由該嵌置式裝置來響應於該持久時間之修改，以 更新該信賴的時間差。 如申明專利圍第1項之方法，其中儲存該新時間差於 該非依電性記憶體之步驟包含若該新時間差超過一臨 界值時間差，則儲存該新時間差。 25 1334522

   10 15

   20 過該區域電腦平台可存取該系統時鐘之前，判定該信賴 的時間差。 4. 如申請專利範圍第1項之方法，其進一步包含響應於判 定用於持續維持該持久時間之一電力儲存裝置實質上 耗盡，來產生一警訊。 5. 如申請專利範圍第1項之方法，其進一步包含與一信賴 的時間來源通訊俾判定該信賴的時間來初步設定該受 保護時鐘。 6. 如申請專利範圍第1項之方法，其進一步包含讀取該受 保護時鐘來驗證一安全核可憑證。 7. 如申請專利範圍第1項之方法，其進一步包含讀取該信 賴的時間來對一事件記錄播產生一登錄項目。 8. —種針對區域電腦平台以用於該區域電腦平台之受保 護時鐘來維持信賴時間之裝置，其包含： 該受保護時鐘用以維持該信賴的時間，該受保護時 鐘係受保護免於被一不信賴的時間來源所修改； 與一系統時鐘耦接之一時鐘比較器，用以基於來自 於該系統時鐘之一系統時間及該信賴的時間來判定一 信賴的時間差，以及藉由基於得自於該系統時鐘之一經 修改的系統時間和得自於該受保護時鐘之一目前信賴 的時間，判定一新的時間差，且儲存該新時間差於一非 依電性記憶體中，而響應於該系統時鐘之一系統時間之 修改，以更新該信賴的時間差； 該非依電性記憶體與該時鐘比較器耦接來儲存該 26 1334522 信賴的時間差；以及 用以響應於該受保護時鐘的斷電，基於該系統時間 和該信賴的時間差，來設定該受保護時鐘之該信賴的時 間之一信賴的時間判定器。 5 9.如申請專利範圍第8項之裝置，其進一步包含一初始時 間設定器，其與一網路介面耦接來與一信賴的時間來源 通訊俾以該信賴的時間設定該受保護時鐘至少一次。 10. 如申請專利範圍第8項之裝置，其進一步包含與該受保 護時鐘耦接之一核可憑證驗證器，其中該核可憑證驗證 10 器係基於該信賴的時間來驗證一安全核可憑證。 11. 如申請專利範圍第8項之裝置，其中該受保護時鐘係與 一正常電源耦接來維持該信賴的時間。 12. 如申請專利範圍第8項之裝置，其中該時鐘比較器係響 應於指示以該經修改的系統時間來設定該系統時鐘的 15 一個中斷，來基於該目前之信賴的時間和該經修改的系 統時間而更新該信賴的時間差。 13. 如申請專利範圍第8項之裝置，其中該時鐘比較器係響 應於該_斷，來於該經修改的系統時間與該系統時間間 之差值超過一臨界時間差值時，更新該信賴的時間差。 20 14.如申請專利範圍第8項之裝置，其中該信賴的時間判定 器係於該系統時鐘所駐在之一電腦系統啟動時，於該系 統時鐘可由該不信賴的時間來源透過該電腦系統而存 取之前，判定該信賴的時間差。 15. —種用以維持信賴時間之系統，其包含： 27 1334522 用來維持一持久時間之一系統時鐘； 與該系統時鐘耦接之一介面，用來輔助藉一不信賴 的時間來源修改該持久時間； 與該介面耦接之一動態隨機存取記憶體，該動態隨 5 機存取記憶體可儲存程式碼，其中該程式碼係用於與該 不信賴的時間來源互動來判定該修改； 一中斷產生器，用來響應於該修改而產生一中斷； 以及 一嵌置式裝置，用來維持一信賴的時間，且保護該 10 信賴的時間免於被一不信賴的時間來源所修改；響應於 該中斷來基於該持久時間和該信賴的時間來更新一信 賴的時間差，其係藉由基於得自於該系統時鐘之一經修 改的持久時間和得自於該嵌置式裝置之一受保護時鐘 之一目前信賴的時間，判定一新的時間差；儲存該信賴 15 的時間差，其中該信賴的時間差之儲存就該嵌置式裝置 的斷電而言仍然可持續維持；以及響應於斷電，基於該 持久時間及該信賴的時間差來設定於該受保護時鐘中 之該信賴的時間。 16. 如申請專利範圍第15項之系統，其中該嵌置式裝置包含 20 一初始時間設定器，用來與一信賴的時間來源通訊，以 在該系統初步啟動時設定該信賴的時間。 17. 如申請專利範圍第16項之系統，其中該嵌置式裝置包含 與該初始時間設定器耦接之一網路介面，用來與該信賴 的時間來源通訊。 28 18.如申請專利範圍第15項之系統，其中該嵌置式裝置係於 該系統啟動時而於該系統時鐘可由該不信賴的來源存 取前判定該信賴的時間差。 19·—種含有用以於區域電腦平台之嵌置式裝置中以受保 。蔓時鐘來維持信賴時間的指令之機器可存取記錄媒 體，該等指令在由一機器執行時會造成該機器執行包含 下列動作之操作： 由該嵌置式裝置來比較來自一信賴時間來源之該 信賴的時間與來自該區域電腦平台中的一系統時鐘之一 系統時間，來判定一信賴的時間差，該系統時鐘之該系統 時間可由一不信賴的時間來源所存取；以及 由該嵌置式裝置儲存該時間差於該嵌置式裝置之 一非依電性記憶體中，該非依電性記憶體係經保護免於 受到該不信賴的時間來源所修改； 由該嵌置式裝置響應於因該受保護時鐘斷電，造成 喪失該信賴的時間，來基於該系統時間和該信賴的時間 差而以該信賴的時間來設定該嵌置式裝置中之一受保 護時鐘；以及 藉由基於得自於該系統時鐘之一經修改的系統時 間和得自於該受保護時鐘之一目前信賴的時間，判定一 新的時間差，且儲存該新時間差於該非依電性記憶體 中，而由該嵌置式裝置來響應於該系統時間之修改，以 更新該信賴的時間差。 20.如申請專利範圍第19項之機器可存取記錄媒體，其中該 1334522 等操作進一步包食在利用該系統時鐘之一電腦系統啟 動時，於該不信賴的來源透過該電腦系統可存取該系統 :時鐘之前，判定該信賴的時間差。 . 21.如申請專利範圍第19項之機器可存取記錄媒體，其中儲 5 存該新時間差於該非依電性記憶體中之操作包含若該 新時間差超過一臨界時間差值，則儲存該新時間差。 30