TWI384356B - 用於驗證電腦系統之方法與系統 - Google Patents

Description

用於驗證電腦系統之方法與系統 發明領域

本發明係有關於電腦系統之領域。特別是，本發明之實施例係有關於驗證電腦系統的方法與系統。

發明背景

電腦系統有被病毒與其他有敵意之代理程式破壞的風險。被破壞之作業系統可能失去對機器資源的控制且無法執行其設計參數。例如，一旦作業系統被破壞，其可用另一作業系統被替換，或該作業系統之基本特點可被繞開，否則被提供成不作用或敗壞的。所以，用於檢測及驗證電腦系統之需求為存在的。

發明概要

廣泛而言，此作品係屬於驗證一電腦系統。一整合檢查程式在電腦系統開機之際被宣告。其被判定該整合檢查程式是否在一時段內等週期性地驗證一作業系統之動態資料結構。

本發明之實施例提供驗證電腦系統的方法與系統。本發明之一實施例為操作一電腦系統的方法。該方法包含在該電腦系統開機之際宣告一整合檢查程式。該方法進一步包含判定該整合檢查程式是否在一時段內等週期性地驗證一作業系統之動態資料結構。

另依照本發明的一實施例為操作一電腦系統的方法。該方法包含在響應一整合檢查程式於一預設登入點進入下取消一檢測位元。該整合檢查程式為可操作的以驗證一作業系統之動態資料結構。該檢測位元在響應於檢查該整合檢查程式之際發生的一預設事件下被設定。若該檢測位元在該整合檢查程式於一預設登出點登出之際被清除，然後計時器被重置。

又另依照本發明的一實施例為一電腦系統。該電腦系統包含一安全計時器。該電腦系統亦具有一安全邏輯被耦合至該計時器且為可操作的以判定一整合檢查程式之成功的執行用於驗證一作業系統之整合檢查程式。該安全邏輯在該整合檢查程式若成功地完成時亦能重置該計時器。

本發明還有之另一實施例為操作一電腦系統的方法。在此實施例中，該方法包含在一作業系統被信任時宣告一整合檢查程式。該方法進一步包含判定該整合檢查程式是否在一時段內等週期性地驗證一作業系統之動態資料結構。

圖式簡單說明

第1圖為依照本發明的一實施例用於驗證一電腦系統之硬體與軟體圖。

第2圖為一流程圖，說明依照本發明的一實施例操作一電腦之過程。

第3圖為一流程圖，說明依照本發明的一實施例在執行一整合檢查程式之際發生之過程。

第4圖為說明依照本發明的一實施例之釋例性整合檢查程式的圖。

第5圖為一釋例性電腦系統，其用作為本發明之實施例可在其上被執行之平台。

較佳實施例之詳細說明

在下列本發明之驗證一電腦系統的方法與系統實施例之詳細描述中，很多特定細節被設立以提供對本發明的透澈之了解。然而其將被熟習本技藝者了解，本發明可不須這些特定細節或以其等值事項地被實作。在其他實例中，相當習知之方法、程序、元件或電路未曾詳細地被描述以免不必要地模糊本發明的層面。

下列該等詳細的描述就對可在電腦記憶體上被執行之資料位元的作業之程序、步驟、邏輯方塊、處理與其他符號式呈現被提出。這些描述與呈現為被熟習資料處理技藝者所使用之方法以最有效地傳達其實質工作給其他熟習本技藝者。程序、電腦所執行之步驟、邏輯方塊與處理等在此一般咸信為導致所欲之結果的步驟或指令之自我一致的序列。該等步驟為需要實體數值之實際操作者。通常(雖非必要的)，這些數值採用能在電腦系統被儲存、轉換、組合、比較、或操作之電氣或磁性信號的形式。在原理上為普遍使用之理由，參用這些信號成為位元、數值、元素、符號、字元、詞項、或數字之類已被證明為便利的。

然而須謹記於心的是，所有這些與類似之事項將與適 當的實體數值有關聯，且只為被施用至這些數值之方便的標籤。除非有特別被陳述或是在下列討論為明白的，其被了解到在整個本發明中，運用到如「存取」、「宣告」、「設定」、「清除」、「提供」、「開機」、「處理」、「計算」、「響應」、「判定」、「檢測」、「儲存」、「輸出」、或「回復」之類的用詞係指電腦系統或類似之電子計算裝置的動作與處理，其將在電腦系統之暫存器與記憶體內被呈現為物理(電子)數值的資料加以操作或變換為其他資料而在該等電腦系統記憶體或暫存器或如資訊儲存器、傳輸或顯示裝置內被呈現為物理數值。

所以，提供用於驗證作業系統之方法與系統為有利的。若驗證判定對作業系統破壞為可能的，則採取修正行動為進一步有利的。本發明之實施例提供用於驗證作業系統之方法與系統。本發明之實施例提供用於檢測作業系統已被破壞的方法與系統。本發明之實施例提供方法與系統在檢測到被破壞的作業系統之際採取修正行動。本發明之實施例提供這些利益與未在上面明確也被提及但在下面段落被描述的其他者。

依照本發明的實施例，該作業系統(O/S)包含一整合檢查程式，其可檢查一些O/S動態資料結構為一致且未被修改的。該作業系統在如安全系統開機之際的O/S被信任之時對安全邏輯宣告該整合檢查程式。然而為了檢測O/S稍後可能之破壞，該作業系統等週期性地執行該整合檢查程式。如此間被使用者，等週期性地一詞意為事件在一系列期間之 每一個中的某點，但未必在每一期間中之同一點發生。因而，事件間之間隔是否為均一的均可。若整合檢查程式在等週期性地成功執行失敗時，其被假設該作業系統已被危害。所以，該電腦系統可被關機或其他適當之修正行動可被採取。

在一實施例中，該安全邏輯儲存一安全計時器用於記住整合檢查程式一般應成功地被執行之時段。在此實施例中，若整合檢查程式成功地完成，其硬體只重置該計時器。若某些預設之事件在整合檢查程式正執行時發生，完成可被視為不成功的。這些事件可包括除外處理、中斷與寫入DMA。成功之完成亦可包括整合檢查程式驗證O/S的動態資料結構。若計時器到期，修正行動被採行。在一實施例中，該安全邏輯包括核對和用於在整合檢查程式的發動之際將之認證。當O/S在系統開機宣告整合檢查程式時被儲存且此後不能被變更。

第1圖為依照本發明的一實施例用於驗證電腦系統之硬體與軟體120的圖。該硬體包括一安全可程式一次的計時器125。例如，該計時器之期間可在每次電腦系統被開機時只被建立一次。在一實施例中，作業系統130藉由寫入一寫入一次暫存器來規劃計時器期間。若整合檢查程式成功地完成，安全邏輯140重置其安全計時器，而防止因安全計時器到期所致之系統關機或其他修正行動。

該硬體亦具有一核對和暫存器150，其儲存整合檢查程式與資料之核對和。當電腦系統開機或在其他被信任之時 間時，安全邏輯140計算並儲存此核對和，且該核對和值在此後為不可改變的。當整合檢查程式145被發動，安全邏輯140驗證該核對和。在一實施例中，核對和暫存器150為一寫入一次之暫存器。為了計算核對和，安全邏輯在一實施例中具有密碼式之安全核對和/混雜法則。雖然任何處理可被使用，該核對和/混雜法則在一實施例中係符合安全混雜法則版本1(SHA-1)或更高者。

該硬體亦具有一記憶體單元(如暫存器與正反器等)，其被用以儲存一整合或安全位元155。此位元為只可用安全邏輯140寫入的且被用以考慮整合檢查程式145是否已成功地完成。此位元促成安全邏輯140辨識整合檢查程式145之成功的完成，其中安全計時器125被重置。安全位元155在一實施例中為非在軟體中可直接觀察的。

在一實施例中，整合檢查程式145一般必須不需中斷與除外處理地執行。進一步言之，用非整合檢查程式145之代理程式的寫入在一實施例中為不允許的。所以，該硬體亦具有事件檢測邏輯160，其判定是一個或多個預設事件(或事件型式)在整合檢查程式執行之際發生。該等事件可包括中斷、例外處理與對某些記憶體位置之寫入。然而，本發明不受限於這些事件。

第1圖之整合檢查程式145典型上為O/S 130之一部分，雖然其可為其他程式或自我獨立程式的一部分。整合檢查程式145作用成為信任之等週期性的根，而與在系統開機或作用成為信任之原始根的其他時間發生之原始根相 反。本發明在整合檢查程式145如何驗證作業系統130之整合性允許大的寬容。因而，整合檢查程式145之整合性可能與O/S為相依的。典型上，整合檢查程式145可被用以確認O/S動態資料結構165未曾被傷害。這些動態資料結構可包括中斷表、例外處理表、分頁暫存器與結構、及分段結構，但不限於此。檢查該等結構之整合性的一技術為密碼核對和，然而本發明不受限於此技術。

一旦記憶體管理與計時器中斷被習知為安全的，對其他O/S函數之進一步安全檢查可用非整合檢查程式之碼被執行。這些進一步檢查之施作為依O/S而定的。因而，本發明之實施例檢測O/S是否已被破壞，其允許進一步之安全檢查由此安全性被用肩被扛開。

第1圖亦顯示一通知位元172，其在記憶體之某些區域被寫入時被設定。該頑固之通知位元對整合檢查程式通知說一寫入已在記憶體之此區域發生且只在整合檢查模式時被整合檢查程式清除。通知位元172將在下面更詳細地被描述。

第2圖為一流程圖，說明依照本發明的一實施例之操作一電腦系統的電腦控制之處理200。在步驟210，作業系統於電腦系統開機或O/S被信任的其他時間之際宣告一整合檢查程式。在一實施例中，其被假設作業系統可在電腦系統開機之際被信任。換言之，在系統開機時執行之作業系統不會被破壞或被傷害。

提供電腦系統安全開機之一技術在Morgan等人＿＿＿申 請之共同審理中的美國專利申請案第＿＿＿號(律師備審案第TRAN-P381號)之＿＿＿(標題)中被描述，其整體被納於此處做為參考。提供在開機之際可被信任之作業系統的另一技術為由CD-ROM將電腦系統開機。雖然二者其中之一技術可被使用，本發明就確定作業系統在系統開機之際被信任而言，不受限於這些技術。

宣告該整合檢查程式可包含該作業系統提供一指標指向該整合檢查程式之開始以及其大小。作業系統宣告整合檢查程式之一技術為執行使此資訊對安全邏輯為可得可用的之一指令。該指令可為只在一旦發動系統開機後為可執行的之一特殊指令。作業系統宣告整合檢查程式之另一技術為寫入在每次電腦系統開機時只能被寫入一次的暫存器。

該作業系統注意到計時器期間，使得其可在該計時器期間內發動整合檢查程式之執行。步驟210可包含作業系統宣告一計時器值以建立此期間。宣告計時器期間可藉由寫入至一寫入一次之暫存器而被達成。替選的是，作業系統可由一暫存器或記憶體位置存取該計時器期間。該計時器期間很難被編碼使得其就算在越過系統開機為不可變更的。整合檢查邏輯具有在整合檢查程式之成功的完成之際重置該計時器之責任。

第2圖之步驟220為作業系統發動整合檢查程式。整合檢查程式可包含一進入指令、一離開指令、與在其間之數個指令可被用以檢查作業系統的整合性。發動整合檢查程 式可包含作業系統致使該進入指令被執行。該進入指令可將作業系統置於一整合性檢查模式。在此模式中，作業系統具有不產生例外處理及不允許中斷被處理之責任。

然而，進入指令與離開指令不被要求被用來劃定整合檢查程式之界限。替選的是，安全檢查邏輯被提供，或可在系統開機時由作業系統所提供之資訊導出整合性檢查碼的開始與結束位址。然而，該安全檢查邏輯仍須被通知說整合檢查程式正被執行。該作業系統可用任何適合之方式對安全檢查邏輯指出此點。

步驟230為在執行整合檢查程式以判定整合檢查程式是否成功地完成之際監控電腦系統。例如，安全檢查邏輯就如中斷、例外處理與寫入DMA之某些預設事件監控。若此一事件發生，整合檢查程式之執行在一實施例中被視為不成功的。步驟230不限於此監控。步驟230之一實施例的細節在第3圖中所顯示之處理300被提出。

若整合檢查程式成功地完成，安全檢查邏輯在步驟240中重置計時器。如先前被提及者，整合檢查程式可用一離開指令結束。該離開指令暗示安全檢查邏輯來檢查成功完成。替選的是，安全檢查邏輯由在系統開機時被提供之資訊知道或導出整合檢查程式的結束位址。此外，如先前所討論者，整合檢查程式可驗證O/S之某些動態資料結構。若此驗證假設為失敗的，整合檢查程式會通知安全檢查邏輯或可在其自己的意向響應該失敗的驗證。

在整合檢查程式完成後，作業系統回復至正常模式， 其中沒有限制被置於中斷與例外處理。若計時器在任一點到期，適當之修正行動被採行。適當之修正行動包括將電腦關機並通知使用者。該計時器在整合檢查程式執行之際不會停留。所以，就算計時器在執行之際到期，該修正行動仍被採行。

第3圖為一流程圖，顯示依照本發明的一實施例之判定整合檢查程式是否成功地執行的電腦控制之處理300。處理300之步驟依照一實施例用第2圖顯示的硬體被執行。處理300藉由整合檢查程式被作業系統發動而開始。在步驟310，該硬體在響應整合檢查碼之適當進入下設定一檢測位元以指出如「成功的完成」之一第一狀態。該安全硬體對某些事件之檢測將改變此位元為如「未成功的完成」之一第二狀態。是否要重置安全計時器之判定係根據此位元之狀態。整合檢查程式具有一預設之進入點。若該程式在任何其他點被進入，該硬體將不管整合檢查程式如何執行地重置計時器。

在步驟320，整合檢查程式本身被認證以驗證其未曾被干涉。該認證可藉由計算整合檢查程式在其現行狀態之核對和並與在系統開機被儲存之核對和比較而被執行。然而，其未被要求核對和在整合檢查程式每次被執行時被執行。替選的是，處理器可監控由核對和認證最後一次被執行起是否曾潛在地被修改。此監控可包括監控快取記憶體線路與包含整合檢查程式之記憶體的區域有關聯之分頁表映射。若此監控指出有潛在的干涉整合檢查程式，則核對 和認證被執行。在一實施例中，為促進該認證，整合檢查程式配適至可被釘住於由入口至出口之轉譯轉換旁視緩衝器(TLB)中的多記憶體頁內。

若核對和檢測失敗，則檢測位元被設定為如「未成功的完成」之狀態。一旦檢測位元被設定為此狀態，除非整合檢查程式如步驟310所描述地適當地被發動，其不可被設定為成功的完成。典型上，若認證失敗，執行會跳至整合檢查程式之結束，然而此並非在所有情形均被要求如此。

若核對和檢測通過，則無行動針對檢測位元被採行，且整合檢查程式之執行在步驟330繼續。在整合檢查程式執行之際，該硬體監控之事件包括未被封鎖之中斷、例外處理、並寫入記憶體之某些區域或用非整合檢查程式之代理程式寫入。如先前所討論者，作業系統有責任確保無中斷被採行(如封鎖中斷)且在執行整合檢查程式之際不會產生例外處理。假設整合檢查程式之執行被中斷且一例外處理若在執行整合檢查程式之際發生，則該硬體設定該檢測位元。由於該位元不應在整合檢查程式其餘的執行之際被清除，整合檢查程式將不成功地結束。

前述之被禁止的寫入在處理器處於整合檢查模式時會典型地發動與整合檢查程式有關聯之快取記憶體線路，但不受限於此。此寫入禁止適用於非整合檢查程式之任一代理程式的寫入，例如在同步多處理器(SMP)或直接記憶體存取(DMA)之另一處理器。整合檢查程式之讀取不須被禁止。

進一步言之，整合檢查程式之執行不允許分支至其碼 外。所以，假若此發生，該硬體設定其檢測位元為未成功之執行。然而，整合檢查程式被允許存取其外部之記憶體。

在步驟340，若檢測位元指出整合檢查程式在離開之際為成功之完成，該硬體重置安全計時器以開始新的時段。重置計時器因而作用成為「執行」之停留。然而，作業系統將須在計時器之下一次到期前再次為成功的完成重新發動整合檢查程式。注意，若整合檢查程式之執行分支到整合檢查程式外，安全計時器將不會被重置。

第4圖顯示依照本發明的一實施例之一釋例性的整合檢查程式400。該釋例性的程式以一「進入整合檢查模式」指令405開始，及以一「離開整合檢查模式」指令408結束。在其間之碼本體指令為適用於檢查作業系統之整合性的任何什麼指令。如先前討論者，只要安全邏輯知道整合檢查程式400之界限及知道其已被發動，該等進入與離開指令為不需要的。

在第4圖之實施例中，整合檢查程式具有一內部堆疊。該內部堆疊被設定為程式執行結束時之預置值，使得核對和認證在下一次執行之際將通過。一般而言，只要預置值在程式的成功執行之際被重新建立，整合檢查程式可修改其自己的資料結構與碼。

整合檢查程式在存取資料(讀取與寫入)本身外部之資料為自由的。在一實施例中，整合檢查程式具有一外部堆疊，其在整合檢查程式的執行之際為受到寫入保護的。非整合檢查程式之任何個體要寫入外部堆疊的意圖形成安全 位元被設定為指出整合檢查程式之不成功的執行之結果。

如先前被討論者，其被假設O/S可在例如電腦系統被開機之某點時間被信任。進一步言之，O/S之整合性藉由要求整合檢查程式在一確定的時段內成功地執行而等週期性地被重新判定。然而，其有可能有敵意的代理程式(如病毒)可能設立在整合檢查程式成功地執行後破壞O/S、為整合檢查程式即時地恢復適當的O/S以在計時器下一次到期前成功地執行、與在整合檢查程式再次成功地執行後再次破壞O/S之一循環週期。

例如，有敵意之代理程式可能破壞O/S及設立未來的DMA寫入在整合檢查程式已成功地被執行後發生。然後，該有敵意之代理程式會為整合檢查程式即時地恢復O/S的整合性以成功地執行。在整合檢查程式成功地執行後發生之寫入DMA會讓該有敵意之代理程式再次破壞O/S並再開始該循環週期。若O/S只在一CPU中或在CPU之線內執行整合檢查程式，類似之課題在SMP系統中發生。

下面描述處理此潛在的未來破壞之數個方法。在一實施例中，記憶體之預設區域為受到寫入保護的，使得寫入不能由CPU或DMA發生。這些記憶體之區域在如安全電腦系統開機之際的作業系統被信任之時間被建立。

另一實施例提供監控記憶體之某些區域以防止破壞。這些記憶體之區域在如安全電腦系統開機之際的作業系統被信任之時間被建立。本實施例允許對這些區域之寫入，但用以安全邏輯為可存取的頑固之通知位元來追蹤他們。 該頑固之通知位元以一寫入已對記憶體之此區域發生來通知整合檢查程式，且其只可整合性檢查模式被整合檢查程式清除。就算一寫入對被監控之區域發生，若該寫入被視為被信任之寫入，整合檢查程式可清除該通知位元。例如，O/S可用修改自己的碼來結合一密碼簽名。該整合檢查碼可驗證該密碼簽名以得知該修改為被信任的，其中該頑固之通知位元被重置。

處理潛在的未來破壞還有之另一實施例為使整合檢查程式之執行成一同步障礙事件。例如，可寫入記憶體之所有代理程式具有在執行整合檢查程式之際的角色且必須處於一已知的狀態以正確地執行整合檢查程式。

在SMP系統中，同步障礙可藉由使整合檢查程式在所有CPU/線或CPU/線之部分集合(如一個)上執行，而其餘的CPU/線以其未來之工作係被執行整合檢查程式的CPU/線加以決定之方式停止。換言之，未執行整合檢查程式之任一處理器被停止，其方式為其未來之工作係被執行整合檢查程式的CPU/線加以決定。因而，在一實施例中，一CPU/線執行整合檢查程式而其餘的以先前所述之方式被停止。另在一實施例中，所有的CPU/線同時進入整合檢查程式。

在一實施例中，未執行整合檢查程式之CPU/線於一「工作佇列」或類似的信號中等候而被停止，使得該工作佇列或信號將只被執行整合檢查程式之CPU/線寫入。另在一實施例中，未執行整合檢查程式之CPU/線被執行整合檢查程式之CPU/線關機至整合檢查程式執行完成且O/S重新喚醒/ 重置其他的CPU/線為止。

仍另在一實施例中，未執行整合檢查程式之CPU/線被停止，其方式為只有在已知位址的處理器間之中斷能將其喚醒。整合檢查程式會在讓其他CPU/線重新開機前驗證在此已知位址的碼之整合性。

停止不執行整合檢查程式之CPU/線且只讓其於已知狀態而非任意狀態重新啟動執行的其他施作為可能的。

另在一實施例中，執行能做DMA之裝置的O/S在O/S發動整合檢查程式時不允許具有任何懸而未決之寫入。因而，O/S只在其不具有任何DMA寫入為懸而未決時發動整合檢查程式。整合檢查程式在其召喚之際驗證能作DMA之裝置的狀態。例如，能作DMA之裝置能具有可由CPU被強迫的閒置或「停車」狀態，使得其解散所有先前為懸而未決之記憶體寫入。然後整合檢查程式可強迫所有這類裝置在「進入」之際被「停車」，然後進行整合檢查。所以，在整合檢查完成後企圖將DMA排程以蓋寫O/S之有敵意的代理程式因其對記憶體被排程的寫入會被解散而被阻礙。

第5圖顯示一釋例性電腦系統100之電路，其可形成用於本發明之實施例的平台。電腦系統100包括用於通訊資訊之一位址/資料匯流排99、與匯流排被耦合用於處理資訊與指令之一中央處理器101、與匯流排被耦合用於為中央處理器101儲存資訊與指令之一依電性記憶體102(如隨機存取記憶體RAM)、以及與匯流排被耦合用於為中央處理器101儲存靜態資訊與指令之一非依電性記憶體103(如唯讀記憶 體ROM)。

安全邏輯140被耦合至匯流排99用於由作業系統接收資訊及用於提供違反安全性之通知。事件檢測邏輯160被耦合至匯流排99用於檢測各種事件。電腦系統100亦可包括選配之資料儲存裝置104(如磁碟、光碟與硬碟)被耦合至匯流排99用於資訊與指令。例如在一實施例中，該作業系統由一CD-ROM裝置被開機。

本發明之較佳實施例的檢測電腦系統之破壞的方法與系統因而被描述。雖然本發明已在特定實施例中被描述，其應被了解本發明不應被構建成受限於此類實施例，而是依據申請專利範圍被構建。

下述概念將由本發明所支持：

概念1. 一種操作一電腦系統之方法，該方法包含：在該電腦系統開機之際宣告一整合檢查程式；以及判定該整合檢查程式是否在一時段內等週期性地驗證一作業系統的動態資料結構。

概念2. 如概念1.所述之方法，進一步包含在該開機之際儲存一值用於驗證該整合檢查程式。

概念3. 如概念2.所述之方法，進一步包含忽視要求更用於驗證該整合檢查程式的該值之任何意圖，其中用於驗證該整合檢查程式的該值只能在發動該電腦系統開機後被建立一次。

概念4. 如概念1.所述之方法，進一步包含在該電腦系統開機之際建立該時段。

概念5. 如概念4.所述之方法，進一步包含忽視要再次建立該時段的任何意圖，其中該時段只能在發動該電腦系統開機後被建立一次。

概念6. 如概念1所述之方法，其中該整合檢查程式為可操作的以檢測該作業系統的破壞。

概念7. 如概念1.所述之方法，進一步包含對該整合檢查程式在該內驗證該整合檢查程式時提供一響應。

概念8. 如概念1.所述之方法，進一步包含防止藉由在該整合檢查程式成功的完成後設立一破壞事件發生來破壞該電腦系統之攻擊。

概念9. 一種操作一電腦系統之方法，其包含：在響應於一整合檢查程式之預設進入點的該整合檢查程式開始執行下設定一檢測位元為一第一狀態，其中該整合檢查程式為可操作的以驗證該作業系統之動態資料結構；檢測在該整合檢查程式執行之際發生的一預設事件；在響應於檢測該預設事件下設定一檢測位元為一第二狀態；以及只有在該整合檢查程式於該整合檢查程式的一預設離開點之際，若該檢測位元為處於該第一狀態下重新設定一計時器。

概念10. 如概念9.所述之方法，進一步包含在該整合檢查程式之開始執行與離開間認證該整合檢查程式。

概念11. 如概念10.所述之方法，其中該預設事件包含該認證該整合檢查程式指出認證失敗。

概念12. 如概念9.所述之方法，其中該預設事件包含一例外處理。

概念13. 如概念9.所述之方法，其中該預設事件包含該整合檢查程式之執行被中斷。

概念14. 如概念9.所述之方法，其中該預設事件包含該整合檢查程式之執行分支到該整合檢查程式外。

概念15. 如概念9.所述之方法，其中該預設事件包含對記憶體之一預設區域的寫入。

概念16. 如概念15.所述之方法，其中該記憶體之該預設區域包含該整合檢查程式。

概念17. 如概念15所述之方法，其中該記憶體之該預設區域包含與一作業系統有關聯的資料結構。

概念18. 如概念9所述之方法，進一步包含：判定一寫入已對該記憶體之該預設區域發生；判定該寫入是否被信任；以及若該寫入未被信任，設定該檢測位元為該第二狀態。

概念19.如概念9.所述之方法，進一步包含在一整合檢查程式開始之際於暫停記憶體寫入前強迫能做DMA的裝置解散。

概念20. 一種電腦系統，其包含：一安全計時器；以及 安全邏輯被耦合至該計時器且為可操作的以判定用於驗證一作業系統之動態資料結構的一整合檢查程式之成功執行，其中該安全邏輯進一步為可操作的以在該整合檢查程式成功完成時重置該計時器。

概念21. 如概念20所述之電腦系統，其中該安全邏輯進一步為可操作的以在執行該整合檢查程式之際檢測一預設事件，其中該判定成功的執行係根據於此。

概念22. 如概念21.所述之電腦系統，其中該預設事件包含一中斷。

概念23. 如概念21.所述之電腦系統，其中該預設事件包含一例外處理。

概念24. 如概念21.所述之電腦系統，其中該預設事件包含對該整合檢查程式之寫入。

概念25. 如概念21.所述之電腦系統，其中該預設事件包含用非該整合檢查程式的一代理程式之寫入。

概念26. 如概念20.所述之電腦系統，進一步包含可程式一次的記憶體單元用於儲存一整合檢查值以認證該整合檢查程式。

概念27. 如概念26所述之電腦系統，其中該安全邏輯進一步為可操作的以用該整合檢查值本認證該整合檢查程式。

概念28. 如概念20.所述之電腦系統，進一步包含一記憶體單元用於儲存一安全位元。

概念29. 如概念28.所述之電腦系統，其中該安全邏輯 進一步為可操作的以藉由設定該安全位元為一第一狀態來響應該整合檢查程式的適當之召喚。

概念30. 如概念29.所述之電腦系統，其中該適當之召喚包含在一預先定義的進入點開始該整合檢查程式之執行。

概念31. 如概念30.所述之電腦系統，其中該安全邏輯進一步為可操作的以在響應該整合檢查程式之不成功的執行之判定下設定該安全位元為一第二狀態。

概念32. 如概念31.所述之電腦系統，其中該安全邏輯進一步為可操作的以在該安全位元若處於該第一狀態時重置該計時器。

概念33. 如概念20.所述之電腦系統，其中該安全計時器的一期間在每次該電腦系統開機時被建立一次。

概念34. 如概念20.所述之電腦系統，其中該作業系統包含該整合檢查程式碼。

概念35. 如概念20.所述之電腦系統，其中該作業系統具有在該安全計時器所定義之一時段內等週期性地啟動該整合檢查程式的責任。

概念36. 如概念20.所述之電腦系統，其中該作業系統執行防止該整合檢查程式中斷的規則。

概念37. 如概念20.所述之電腦系統，其中該作業系統執行在該整合檢查程式執行之際不會產生例外處理的規則。

概念38. 如概念20.所述之電腦系統，其中該作業系統 執行當該作業系統發動該整合檢查程式時能做DMA的裝置一不被允許具有任何暫停中之寫入的規則。

概念39. 如概念20.所述之電腦系統，進一步包含多個處理器，其中在執行該整合檢查程式之際，未執行該整合檢查程式的任一該等處理器被停止。

概念40. 一種操作一電腦系統之方法，該方法包含：在該電腦系統於一作業系統被信任的時間宣告一整合檢查程式；以及判定該整合檢查程式是否在一時段內等週期性地驗證一作業系統的動態資料結構。

概念41. 如概念40.所述之方法，進一步包含在該作業系統被信任的時間儲存一值用於驗證該整合檢查程式。

概念42. 如概念41.所述之方法，其中用於驗證該整合檢查程式的該值只可被建立一次。

概念43. 如概念40所述之方法，進一步包含在該作業系統被信任的時間建立該時段。

概念44. 如概念43.所述之方法，其中該時段只可被建立一次。

概念45. 如概念第40.所述之方法，進一步包含順從一同步障礙事件來執行該整合檢查程式。

99‧‧‧位址/資料匯流排

100‧‧‧電腦系統

101‧‧‧中央處理器

102‧‧‧依電性記憶體

103‧‧‧非依電性記憶體

104‧‧‧資料儲存裝置

120‧‧‧電腦系統驗證硬體與軟體

125‧‧‧可程式一次的計時器

130‧‧‧作業系統

140‧‧‧安全邏輯

145‧‧‧整合檢查程式

150‧‧‧核對和暫存器

155‧‧‧安全位元

160‧‧‧事件檢測邏輯

165‧‧‧O/S動態資料結構

172‧‧‧通知位元

200‧‧‧電腦控制的處理

300‧‧‧電腦控制的處理

400‧‧‧整合檢查程式

405‧‧‧進入指令

408‧‧‧離開指令

410‧‧‧內部堆疊

415‧‧‧碼本體指令

第1圖為依照本發明的一實施例用於驗證一電腦系統之硬體與軟體圖。

第2圖為一流程圖，說明依照本發明的一實施例操作一 電腦之過程。

第3圖為一流程圖，說明依照本發明的一實施例在執行一整合檢查程式之際發生之過程。

第4圖為說明依照本發明的一實施例之釋例性整合檢查程式的圖。

第5圖為一釋例性電腦系統，其用作為本發明之實施例可在其上被執行之平台。

120‧‧‧電腦系統驗證硬體與軟體

125‧‧‧可程式一次的計時器

130‧‧‧作業系統

140‧‧‧安全邏輯

145‧‧‧整合檢查程式

150‧‧‧核對和暫存器

155‧‧‧安全位元

160‧‧‧事件檢測邏輯

165‧‧‧O/S動態資料結構

172‧‧‧通知位元

Claims (53)

1. 一種操作一電腦系統之方法，其包含：在響應於一整合檢查程式之預設進入點的該整合檢查程式開始執行下設定一檢測位元為一第一狀態，其中該整合檢查程式為可操作的以驗證該作業系統之動態資料結構；檢測在該整合檢查程式執行之際發生的一預設事件；在響應於檢測該預設事件下設定一檢測位元為一第二狀態；以及只有在該整合檢查程式於該整合檢查程式的一預設離開點之際，若該檢測位元為處於該第一狀態下重新設定一計時器。
2. 如申請專利範圍第1項所述之方法，進一步包含在該整合檢查程式之開始執行與離開間認證該整合檢查程式。
3. 如申請專利範圍第2項所述之方法，其中該預設事件包含該認證該整合檢查程式指出認證失敗。
4. 如申請專利範圍第1項所述之方法，其中該預設事件包含一例外處理。
5. 如申請專利範圍第1項所述之方法，其中該預設事件包含該整合檢查程式之執行被中斷。
6. 如申請專利範圍第1項所述之方法，其中該預設事件包含該整合檢查程式之執行分支到該整合檢查程式外。
7. 如申請專利範圍第1項所述之方法，其中該預設事件包 含對記憶體之一預設區域的寫入。
8. 如申請專利範圍第7項所述之方法，其中該記憶體之該預設區域包含該整合檢查程式。
9. 如申請專利範圍第7項所述之方法，其中該記憶體之該預設區域包含與一作業系統有關聯的資料結構。
10. 如申請專利範圍第1項所述之方法，進一步包含：判定一寫入已對該記憶體之該預設區域發生；判定該寫入是否被信任；以及若該寫入未被信任，設定該檢測位元為該第二狀態。
11. 如申請專利範圍第1項所述之方法，進一步包含在一整合檢查程式開始之際於暫停記憶體寫入前強迫能做DMA的裝置解散。
12. 一種電腦系統，其包含：一安全計時器；以及安全邏輯被耦合至該計時器且為可操作的以判定用於驗證一作業系統之動態資料結構的一整合檢查程式之成功執行，其中該安全邏輯進一步為可操作的以在該整合檢查程式成功完成時重置該計時器。
13. 如申請專利範圍第12項所述之電腦系統，其中該安全邏輯進一步為可操作的以在執行該整合檢查程式之際檢測一預設事件，其中該判定成功的執行係根據於此。
14. 如申請專利範圍第13項所述之電腦系統，其中該預設事件包含一中斷。
15. 如申請專利範圍第13項所述之電腦系統，其中該預設事件包含一例外處理。
16. 如申請專利範圍第13項所述之電腦系統，其中該預設事件包含對該整合檢查程式之寫入。
17. 如申請專利範圍第13項所述之電腦系統，其中該預設事件包含用非該整合檢查程式的一代理程式之寫入。
18. 如申請專利範圍第12項所述之電腦系統，進一步包含可程式一次的記憶體單元用於儲存一整合檢查值以認證該整合檢查程式。
19. 如申請專利範圍第18項所述之電腦系統，其中該安全邏輯進一步為可操作的以用該整合檢查值本認證該整合檢查程式。
20. 如申請專利範圍第12項所述之電腦系統，進一步包含一記憶體單元用於儲存一安全位元。
21. 如申請專利範圍第20項所述之電腦系統，其中該安全邏輯進一步為可操作的以藉由設定該安全位元為一第一狀態來響應該整合檢查程式的適當之召喚。
22. 如申請專利範圍第21項所述之電腦系統，其中該適當之召喚包含在一預先定義的進入點開始該整合檢查程式之執行。
23. 如申請專利範圍第22項所述之電腦系統，其中該安全邏輯進一步為可操作的以在響應該整合檢查程式之不成功的執行之判定下設定該安全位元為一第二狀態。
24. 如申請專利範圍第23項所述之電腦系統，其中該安全邏 輯進一步為可操作的以在該安全位元若處於該第一狀態時重置該計時器。
25. 如申請專利範圍第12項所述之電腦系統，其中該安全計時器的一期間在每次該電腦系統開機時被建立一次。
26. 如申請專利範圍第12項所述之電腦系統，其中該作業系統包含該整合檢查程式碼。
27. 如申請專利範圍第12項所述之電腦系統，其中該作業系統具有在該安全計時器所定義之一時段內等週期性地啟動該整合檢查程式的責任。
28. 如申請專利範圍第12項所述之電腦系統，其中該作業系統執行防止該整合檢查程式中斷的規則。
29. 如申請專利範圍第12項所述之電腦系統，其中該作業系統執行在該整合檢查程式執行之際不會產生例外處理的規則。
30. 如申請專利範圍第12項所述之電腦系統，其中該作業系統執行當該作業系統發動該整合檢查程式時能做DMA的裝置一不被允許具有任何暫停中之寫入的規則。
31. 如申請專利範圍第12項所述之電腦系統，進一步包含多個處理器，其中在執行該整合檢查程式之際，未執行該整合檢查程式的任一該等處理器被停止。
32. 一種電腦系統，包含：一處理器及一記憶體，其中該記憶體包括被該處理器執行以實施一種安全操作該電腦系統之方法之指令，該方法包含： 在響應於一整合檢查程式之預設進入點的該整合檢查程式開始執行下，設定一檢測位元為一第一狀態，其中該整合檢查程式為可操作的以驗證一作業系統之動態資料結構；檢測在該整合檢查程式執行之際發生的一預設事件；在響應於檢測該預設事件下，設定該檢測位元為一第二狀態；以及只有在該整合檢查程式於該整合檢查程式的一預設離開點之際，若該檢測位元為處於該第一狀態下，重新設定一計時器。
33. 如申請專利範圍第32項所述之電腦系統，其中該方法進一步包含：在該整合檢查程式之開始執行與離開間，認證該整合檢查程式。
34. 如申請專利範圍第33項所述之電腦系統，其中該預設事件包含該認證該整合檢查程式指出認證失敗。
35. 如申請專利範圍第32項所述之電腦系統，其中該預設事件包含一例外處理。
36. 如申請專利範圍第32項所述之電腦系統，其中該預設事件包含該整合檢查程式之執行被中斷。
37. 如申請專利範圍第32項所述之電腦系統，其中該預設事件包含該整合檢查程式之執行分支到該整合檢查程式外。
38. 如申請專利範圍第32項所述之電腦系統，其中該預設事件包含對記憶體之一預設區域的寫入。
39. 如申請專利範圍第38項所述之電腦系統，其中該記憶體之該預設區域包含該整合檢查程式。
40. 如申請專利範圍第38項所述之電腦系統，其中該記憶體之該預設區域包含與該作業系統有關聯的資料結構。
41. 如申請專利範圍第32項所述之電腦系統，其中該方法進一步包含：判定一寫入已對該記憶體之一預設區域發生；判定該寫入是否被信任；以及若該寫入未被信任，設定該檢測位元為該第二狀態。
42. 如申請專利範圍第32項所述之電腦系統，其中該方法進一步包含：在該整合檢查程式開始執行之際於暫停記憶體寫入前，強迫能做DMA的裝置解散。
43. 一種電腦系統，包含：用以在響應於一整合檢查程式之預設進入點的該整合檢查程式開始執行下設定一檢測位元為一第一狀態之手段，其中該整合檢查程式為可操作的以驗證一作業系統之動態資料結構；用以檢測在該整合檢查程式執行之際發生的一預設事件之手段；用以在響應於檢測該預設事件下設定該檢測位元 為一第二狀態之手段；用以只有在該整合檢查程式於該整合檢查程式的一預設離開點之際若該檢測位元為處於該第一狀態下重新設定一計時器之手段；以及用以儲存該檢測位元之手段。
44. 如申請專利範圍第43項所述之電腦系統，進一步包含：用以在該整合檢查程式之開始執行與離開間認證該整合檢查程式之手段。
45. 如申請專利範圍第44項所述之電腦系統，其中該預設事件包含該認證該整合檢查程式指出認證失敗。
46. 如申請專利範圍第43項所述之電腦系統，其中該預設事件包含一例外處理。
47. 如申請專利範圍第43項所述之電腦系統，其中該預設事件包含該整合檢查程式之執行被中斷。
48. 如申請專利範圍第43項所述之電腦系統，其中該預設事件包含該整合檢查程式之執行分支到該整合檢查程式外。
49. 如申請專利範圍第43項所述之電腦系統，其中該預設事件包含對記憶體之一預設區域的寫入。
50. 如申請專利範圍第49項所述之電腦系統，其中該記憶體之該預設區域包含該整合檢查程式。
51. 如申請專利範圍第49項所述之電腦系統，其中該記憶體之該預設區域包含與該作業系統有關聯的資料結構。
52. 如申請專利範圍第43項所述之電腦系統，進一步包含： 用以判定一寫入已對該記憶體之一預設區域發生之手段；用以判定該寫入是否被信任之手段；以及用以若該寫入未被信任設定該檢測位元為該第二狀態之手段。
53. 如申請專利範圍第43項所述之電腦系統，進一步包含：用以在該整合檢查程式開始執行之際於暫停記憶體寫入前強迫能做DMA的裝置解散之手段。