TWI708159B

TWI708159B - 包含安全處理器之裝置平台、裝置中之安全處理器、以及相關儲存媒體

Info

Publication number: TWI708159B
Application number: TW107137573A
Authority: TW
Inventors: 愛德瑞恩巴爾德溫; 詹姆士 R. 瓦德隆; 麥可普羅文契爾
Original assignee: 美商惠普發展公司有限責任合夥企業
Priority date: 2018-03-12
Filing date: 2018-10-24
Publication date: 2020-10-21
Also published as: US20210365529A1; US11475107B2; TW201939338A; WO2019177563A1

Abstract

在一些實例中，一裝置平台包含一安全處理器，該安全處理器可建立一私用/公開密碼編譯金鑰對、及代表該金鑰對建立證據之資料、提供自該平台裝置之一作業系統組件存取該等金鑰對及資料，其中該金鑰對之該公開金鑰部分可用於驗證管理命令。該裝置平台可於一受信賴執行狀態中驗核該等金鑰對及資料。

Description

包含安全處理器之裝置平台、裝置中之安全處理器、以及相關儲存媒體

本揭示係有關於硬體安全技術。

裝置管理可包括使用可已經使用管理員金鑰簽署而允許使用者裝置存取特定軟體之授權憑證。管理員可使用密碼來變更安全設定或平台級特徵。

依據本發明之一實施例，係特地提出一種裝置平台，其包含一安全處理器，該安全處理器係用來：建立一私用/公開密碼編譯金鑰對、及代表該金鑰對建立證據之資料；提供自該裝置平台之一作業系統組件對該等金鑰對及資料之存取權，其中該金鑰對之該公開金鑰部分是用來驗證管理命令，該裝置平台係用來：驗核處於該裝置平台之一受信賴執行狀態中之該等金鑰對及資料。

100:裝置

101:私用/公開金鑰對

102:TPM

103、109:組件

104、221:使用者

105:建立票證資訊

113:自我簽署憑證

115:註冊

200:建立

201:受限簽署金鑰

203:解碼

205:載入

207:TPM認證建立命令

209:已簽署結構

211、315:驗核

215:註冊

301:管理命令

305:使用

307:簽署

309:個人識別碼為基之授權

311:已簽署命令

317:根據命令對組態設定施作請求之變更

某些實例之各種特徵在搭配附圖經由以下的詳細說明後將會顯而易見，此等附圖僅以舉例方式一起繪示若干特徵，其中：圖1根據一實例，係一註冊協定的一示意圖；圖2根據一實例，係一重新啟動驗核協定的一示意圖；圖3根據一實例，係一正常使用協定的一示意圖；以及圖4根據一實例，係一電腦可讀媒體，其包含用於實行一安全協定之指令。

在以下說明中，為了解釋，提出某些實例之許多特定細節。本說明書中參考到「一實例」或類似語言時，意味著搭配該實例所述的特定特徵、結構或特性係包括於至少該一項實例中，但不必然包括於其他實例中。

一系統內有可從一遠端管理系統或從一本機主控台進行管理之平台級特徵。舉例而言，此類特徵可包括韌體設定(其包括安全特徵，諸如統一可延伸韌體介面(UEFI)或基本輸入/輸出系統(BIOS))、連結至該系統之附加硬體裝置、以及在作業系統(OS)外面運行之功能，諸如在一附加處理器上或在一虛擬化層內運行。

舉例而言，用以管理一UEFI/BIOS或硬體功能之管理系統可使用一管理員密碼在啟動時調用。舉例而言，管理亦可使用一代理器來遠端進行，該代理器可透過該UEFI/BIOS來呼叫一儀器介面。

可提供一管理命令，以便影響一本機裝置之組態設定(諸如韌體設定)中之變更。在一受遠端管理之裝置中，可用由一管理應用程式所控制之一私用金鑰來簽署對該裝置之組態設定之變更。根據一實例，該管理應用程式可從一遠端(連至該裝置)位置安全地管理用於簽署程序之私用金鑰。

根據一實例，當藉由與一管理應用程式(本機或遠端)相關聯之一私用金鑰簽署管理命令時，受管理之裝置可信賴該已簽署命令。舉例而言，受管理之裝置可信賴其公開金鑰與用於簽署該命令之私用金鑰相關聯。可提供有一程序，用於在該裝置處註冊該公開金鑰，其接著當作管理權限。舉例而言，可向該裝置之一韌體組件、或對該裝置之組態設定或其他安全設定進行控制之其他組件註冊該公開金鑰。

根據一受遠端管理狀況之一實例，一憑證可由一受信賴機構(諸如一憑證機構)使用一使用者將辨識之名稱發行給企業之網域。在一受本機管理之實例中，可使用「自我簽署憑證」，其中依賴一使用者或管理員來驗核用於控制該裝置、或使對裝置安全設定之變更生效之管理步驟。

根據一實例，一本機裝置(舉例如一膝上型電腦)中之一安全處理器或安全密碼處理器可形成一安全執行環境。該執行環境可與該裝置之一作業系統或管理應用程式隔離。根據一實例，該安全處理器可建立可向該本機裝置之一組件(舉例如韌體)註冊之一私用/公開金鑰對。

根據一實例，接受一公開金鑰之一裝置可信賴位於該裝置本機處之一安全處理器內(即相同平台上)已建立及/或管理一相關聯私用金鑰。這提供對該裝置之本機管理之信賴。

根據一實例，一安全處理器可使用其已建立用以簽署一管理命令之一私用金鑰。舉例而言，一管理命令可以是用以更改一裝置組態設定之一命令。可將已簽署命令發送至已註冊有該私用/公開金鑰對之裝置之一組件。

若要註冊該金鑰作為一管理金鑰使用，第一階段是在一安全處理器內連同建立資訊產生一公開私用金鑰對。接著，該私用金鑰係用於建立亦含有該建立資訊之一自我簽署憑證。將此憑證傳遞至韌體(例如：UEFI或BIOS)以將其註冊為一管理金鑰。下次該裝置(例如：膝上型電腦)啟動或退出一休眠狀態時，驗證該憑證。這包括驗證該建立資訊以檢查該安全處理器內是否建立及管理該金鑰。一旦發生此驗證，便將該憑證內之公開金鑰註冊為已授權管理金鑰，即一使用條款。如果驗證失敗，則不註冊管理金鑰。

根據一實例，諸如韌體及硬體功能之裝置平台特徵可使用可由裝置上之一安全處理器建立及控制之一私用/公開金鑰對，根據使用條款來管理。一安全處理器之一實例可以是該裝置之一信賴平台模組(TPM)、或一安全密碼處理器。該TPM可以是該裝置之主機板上之一微晶片，其可經由一硬體匯流排與該裝置之組件通訊。該私用/公開金鑰對可稱為管理金鑰。該等金鑰由於是在該TPM中建立並受其管理，因此可針對平台特徵之安全管理及控制進行本機驗證。

根據一實例，管理金鑰係使用該裝置之一TPM來產生。該TPM可產生之管理金鑰可有關於密碼圖形私用/公開金鑰對。產生該私用/公開金鑰對而使得可在該TPM內解密該私用金鑰。可基於向該平台註冊之管理公開金鑰，在本機裝置級控制及管理平台特徵。

根據一實例，韌體選項及/或更低層級組件或設定之組態可透過韌體組件經由該裝置之一作業系統來遞送。該裝置可基於由使用者在本機裝置上從作業系統上運行之一管理應用程式內所產生之已簽署命令來進行本機或自我管理。可將該已簽署命令下推到一或多個組件，舉例如經由裝置韌體來下推。

根據一實例，一威脅係可能導致一裝置上出現一保護安全性降級之一動作或程序。舉例而言，當裝置感染能夠對一組件(諸如裝置韌體)簽署管理命令之惡意程式時，可能發生一威脅。在一實例中，密碼圖形金鑰係於一TPM內使用來自一使用者之個人識別碼為基之授權來管理，以減輕此類威脅。此安全政策可由僅接受一TPM管理公開金鑰(這可代表一使用條款)之所論組件或韌體(涉及已簽署命令)來施行。舉例而言，倘若有本機管理或如果進行遠端管理，則可提供一適當發行之X509憑證。

在一實例中，可在一裝置安全處理器或TPM內建立、以及向一組件、韌體或其他系統組件(舉例如一附加安全處理器)註冊管理金鑰。這提供一種在裝置之安全處理器或TPM內受保護及管理之金鑰所安全之一本機用戶端裝置上安全地管理平台級特徵之方法。

圖1及2係根據一實例用於認證一簽署者之程序流程或協定的示意性表示型態。請參照圖1，在諸如一膝上型電腦之一裝置100之一安全處理器或TPM 102內本機產生101一私用/公開金鑰對。當產生或建立私用/公開金鑰對101時，可將相關聯之建立票證資訊105儲存在OS上，以使得可藉由安全處理器或TPM 102將其辨識為正確。舉例而言，可在啟動程序期間及/或從OS使用TPM。在一實例中，將建立票證資訊回傳至金鑰之建立者。保護票證安全，以使得TPM可驗核其建立了票證並且其與金鑰有關。舉例而言，建立票證資訊係使用僅TPM知悉之一HMAC來簽署。

根據一本機管理認證程序之一實例，本機裝置100上之安全處理器102可以：-在一註冊協定(A)期間，於安全處理器(TPM)102內產生一私用/公開金鑰對101，並且儲存相關聯之TPM建立票證資訊105；-產生一自我簽署憑證113，其中憑證結構係由其正在認證之私用金鑰來簽署。舉例而言，TPM票證建立資訊可含在憑證內作為名稱欄位內之欄位、或可予以單獨供應；-在組件103、109處發送或註冊115自我簽署憑證及TPM建立票證資訊作為一註冊命令。

向本機用戶端裝置100之一或多個組件109(舉例如裝置韌體103)註冊215驗核之公開金鑰。這意味著將接受使用此金鑰簽署之命令。

根據一實例，當私用/公開金鑰對101係由TPM 102建立時，形成相關聯之結構並予以從一「Create」或「CreatePrimary」操作回傳：

-「CreationData」結構，其定義據以建立金鑰之條款。這可包括任何請求之PCR量測、以及金鑰之上代之名稱或使用條款。

-「CreationHash」係建立資料結構之雜湊。

-「CreationTicket」係連同「CreationHash」由「KeyName」(從公開金鑰及任何相關聯政策導出以控制金鑰使用)所形成之一HMAC值。HMAC係使用一內部TPM證明金鑰所形成，以使得只有TPM才能建立及驗核票證。

當管理系統建立一金鑰對時，該金鑰對(及相關聯之結構)係儲存或留存在該管理系統內。將「CreationData」結構編碼成「CreationHash」，因此，如果僅檢查TPM中是否存在金鑰，而不是檢查建立條件，則不必處理此結構。

根據一實例，自我簽署憑證113在建立時可包括可由諸如一公用名稱(CN)、組織(o)及/或多個組織單位名稱(OU)等若干欄位所構成之一主旨名稱。這些建立結構可置放在OU欄位中作為具有適當識別符之base64編碼字串。如此，應用程式規劃介面(API)在一受遠端與本機管理之認證程序之間可相同，因為憑證中提供全部註冊資訊。

圖2係根據一實例用於驗核一認證建立命令之一程序流程的一示意性表示型態。在向組件109註冊115自我簽署憑證及公開金鑰之後，當裝置100下一次啟動時，組件109產生一認證建立命令207。認證建立命令207係用於驗證本機安全處理器102中產生私用/公開金鑰對，亦即，用於確認該認證建立命令是否受信賴。因此，在該受信賴執行狀態中，可對該金鑰對之該公開金鑰部分用於授權管理命令之適合性進行一確認。

根據一實例，該認證建立命令係藉由在本機TPM 102內建立一受限簽署金鑰201來產生。在一實例中，組件103可從自我簽署憑證113解碼203公開金鑰。可將公開金鑰101b解碼成可載入到安全處理器或TPM 102內之一形式。接著，該安全處理器可建立或產生受限簽署金鑰201。可將公開金鑰101b及建立票證資訊105兩者都載入205到本機TPM 102內。受限簽署金鑰201可用於簽署209載入之公開金鑰101b及建立權證資訊105。如果從執行認證建立指令建立並正確地簽署一所產生結構，則信賴已在本機安全處理器或TPM 102中產生自我簽署憑證及公開金鑰，並且還可檢查CreationData以設法將任何政策施用至管理金鑰。如果驗證簽署之憑證建立結構，則信賴自我簽署憑證及公開金鑰。

根據一實例，假設自我簽署憑證及公開金鑰受韌體組件103信賴，則向一組態組件109註冊公開金鑰，然後其可允許一管理命令使裝置100之安全設定變更生效。

根據一本機管理認證程序之一實例，本機裝置100上之組件103、109可以：

-在下一次啟動時(B)，查看203註冊命令115及相關聯之憑證並將其辨識為自我簽署憑證113；

-在TPM之平台階層內建立一受限簽署金鑰201(或識別已建立200之一者)；

-連同TPM建立票證資訊105，使用205自我簽署憑證113中之公開金鑰101b來形成TPM認證建立命令207；

-指示TPM 102使用受限簽署金鑰201運行認證建立命令207以簽署所產生之結構209；

-如果TPM 102產生已簽署結構209，則公開金鑰101b係與一TPM建立之金鑰101相關聯之一者，正因如此，私用金鑰101a在安全政策範圍內受到管理；

-如果建立所產生之結構209，則組件103、109(例如：UEFI或BIOS)可向使用者221告知裝置系統正在進行註冊以受本機管理、及/或可顯示自我簽署憑證113中之任何附加名稱資訊。

-如果TPM 102未產生或建立一已簽署結構，則可向使用者給予或顯示一錯誤或一適當錯誤訊息。

-假設TPM產生已簽署結構，並且確認公開金鑰與TPM建立之金鑰相關聯，則向所論組件註冊公開金鑰。

根據一實例，驗核程序或協定(B)可包括以下步驟：

-辨識憑證113屬於自我簽署。

-解碼203主旨名稱欄位並尋找與「CreationTicket」及「CreationHash」有關之資訊以及查看是否存在「CreationData」結構。

-為TPM可載入命令重新建立「CreationTicket」及「CreationHash」(及「CreationData」)作為二進位之二進制大型物件。

-如果存在「CreationData」，則檢查「CreationData」是否符合指定之任何政策並將其散列至「CreationHash」。

-如果資訊存在，則：

a.以可載入到TPM 102內之一形式從憑證113解碼203公開金鑰101b。

b.使用「CreatePrimary」在平台階層內建立一受限簽署金鑰201。

c.使用「LoadExternal」TPM命令將公開金鑰載入到TPM內並取得金鑰之一控制代碼。

d.使用「CertifyCreation」TPM命令來驗核211所產生之票證或結構(以及「CreationHash」)。如果所產生之結構正確，這將導致一「TPM2B_ATTEST」結構之簽署，否則回傳一錯誤。

-檢查是否產生一簽署。

-如果任何階段檢查失敗，則可用適當訊息221拒絕向使用者104佈建，並且可寫入日誌。如果符合以下條件則檢查可能失敗：a.自我簽署憑證113不含有建立票證資訊105，b.建立票證資訊105未適當地剖析，或c.「CertifyCreation」簽署之產生失敗，並且回傳一錯誤。

-如果檢查成功，則可要求使用者104確認管理金鑰101b已安裝，並且可產生代表該確認之資料。

根據一實例，對於受遠端管理之認證程序，可在一管理伺服器、或一相關聯硬體安全模組(HSM)處產生私用/公開金鑰對。本機裝置或企業可為金鑰對取得與其網域相關聯之一憑證(由一憑證機構簽署)。可用一註冊命令向本機用戶端裝置進行註冊，並且可將憑證提交予本機裝置之一組件103、109(例如：UEFI或BIOS)。在下次啟動時，組件109或UEFI/BIOS 103可檢查自我簽署憑證，並且可向可接受註冊之使用者將網域名稱顯示為一識別符。

請參照圖3之實例，一管理命令301可用於使裝置平台之特徵或韌體設定中之一或多個變更生效。在一實例中，管理命令301可使用公開金鑰101b(出自裝置安全處理器102中產生之金鑰對101)及建立票證資訊105來建立。裝置TPM 102可使用305出自私用/公開金鑰對之私用金鑰101a來本機簽署307管理命令301。命令301可使用一個人識別碼為基之授權309並藉由存取儲存在TPM 102中之一主儲存根金鑰來簽署。舉例而言，可提示裝置之一使用者104以輸入一PIN號109。當簽署管理命令時，產生一已簽署命令311。將已簽署管理命令發送至組態組件109或韌體組件103(例如：UEFI/BIOS)。根據一實例，組件109可進行驗核315公開金鑰係步驟215中之註冊金鑰且因此受到安全處理器或TPM管理之一步驟。已簽署命令可使用向所論組態或韌體組件註冊之公開金鑰101b來驗核315。如果該命令受信賴，則根據該命令對組態設定施作請求之變更317。如果該命令不受信賴，則不對裝置之組態設定施作變更。如此，組件109能夠藉由認證簽署者來信賴已簽署金鑰101b。假設管理命令301可受信賴，則組件109根據管理命令301對韌體設定之組態施行變更。

根據一實例，對於一受本機管理之認證程序，各使用者不必經受取得一網域及相關聯憑證之花費及挑戰(如與受遠端管理之認證程序相比)。

根據一實例：

1)一管理應用程式建立一管理金鑰並嘗試註冊：

a.管理應用程式在TPM中建立金鑰(以一使用者個人識別碼來保護)-管理應用程式保持建立資訊(建立票證/建立雜湊)

b.管理應用程式使用TPM來建立一自我簽署憑證(x509憑證)

c.管理應用程式接著嘗試透過分配予適當程序之UEFI/BIOS將自我簽署憑證註冊為管理權限(這種對註冊金鑰之呼叫可包括一建立票證/建立雜湊)。

2)在一重新啟動時且在重新啟動OS之前，UEFI/BIOS先驗核管理金鑰：

a.UEFI/BIOS檢查憑證

i.如果其屬於自我簽署，則進行這些檢查

否則，如果檢查憑證係一有效EVCert並向使用者顯示名稱(但這裡未將此涵蓋)

ii.從憑證提取公開金鑰(managementPublicKey

b.UEFI/BIOS以註冊命令查看金鑰建立資訊(可予以寫碼在自我簽署憑證中)

c.UEFI/BIOS檢查建立資訊

i.其在平台階層中建立一受限簽署金鑰

ii.使用此金鑰，其讓TPM簽署一「CertifyCreation」命令，因此傳遞公開金鑰、建立資訊及其剛剛建立之受限簽署金鑰

iii.UEFI/BIOS從TPM檢查已簽署憑證建立結構，以確認managementPublicKey係一TPM管理金鑰(如果這失敗，則註冊失敗)

d.UEFI/BIOS(仍然在啟動OS之前)與使用者檢查其是否期望一本機應用程式對管理進行控制

e.如果使用者說「是」，則UEFI/BIOS將managementPublicKey發送至將受管理之組件

f.註冊現已完成

3)正常使用-當使用者想要變更組件上之一設定時：

a.在管理應用程式上使用一GUI來形成一適當命令結構

b.使用者為金鑰輸入個人識別碼

c.使用者將私用金鑰載入到TPM內並載入個人識別碼作為一授權值(TPM可不儲存私用金鑰，但可將其以加密形式儲存在OS上，使得TPM可解密私用金鑰)。

d.TPM係用於簽署命令。

e.將命令發送至受管理之組件

f.該組件使用已註冊managementPublicKey來檢查簽署，並且如果正確則進行變更，亦即該組件檢查公開金鑰是否符合可據以使用公開金鑰之使用條款。

圖4根據一實例，展示一電腦可讀媒體的一示意性表示型態，其包含用於實行一安全協定之指令。

如果損及本機裝置，則本文中所述之方法保護組態設定免於受惡意程式更新，因為金鑰係藉由與作業系統分離之安全處理器來產生及控制。管理平台級特徵之保護安全性係藉由管理命令之簽署來提升。這用到令簽署金鑰藉以受信賴或不受信賴之一驗核程序。密碼編譯金鑰受本機用戶端裝置上之TPM或安全處理器妥善管理。本機裝置之一個組件進行管理金鑰之一驗核，以檢查是否從TPM內建立及控制該等金鑰。這使得在惡意程式持有該等管理金鑰的情況下該等金鑰將受推翻、或平台安全特徵削弱的機會降低。這允許使用者確保平台級特徵在裝置受本機管理時受到安全地管理，亦即其確保該等金鑰透過TPM受到管理，並且因此在損及裝置的情況下抵禦軟體攻擊。

儘管本方法、設備及有關態樣已參照某些實例作說明，仍可進行各種修改、變更、省略及替代但不會脫離本揭露之精神。特別的是，出自一項實例之一特徵或程序塊可與另一實例之一特徵/程序塊組合、或用其替代。

「包含有」一詞未排除一請求項中所列除外元件的存在，「一」或其詞形變化未排除複數個，而且單一處理器或其他單元可實現申請專利範圍中所詳載數種單元之功能。

任何附屬項之特徵可與任何獨立項或其他附屬項之特徵組合。