[發明專利]一種建立基于EFI的可信引導系統的方法

無效

• 申請號: 200910086668.1
• 申請日: 2009-06-17
• 公開（公告）號: CN101645127A
• 公開（公告）日: 2010-02-10
• 發明（設計）人: 彭雙和;韓臻;劉吉強
• 申請（專利權）人: 北京交通大學
• 主分類號: G06F21/22
• 分類號: G06F21/22;G06F9/445
• 代理公司: 北京眾合誠成知識產權代理有限公司
• 代理人: 史雙元

技術領域

本發明屬于信息安全認證系統范圍，具體涉及利用安全U盤的認證功能和安全可信存儲功能，在Linux系統啟動前對啟動用戶進行認證并對關鍵的配置文件以及操作系統內核文件進行校驗，確保啟動的Linux操作系統是一個干凈、可信的操作系統。

背景技術

可信是安全的基礎.近年來被高度關注的可信計算平臺技術從可信的角度來幫助提高系統的安全性.可信計算的核心思想是“可信傳遞”，TCG(Trusted?ComputingGroup：可信計算組織)提出了兩種實現可信傳遞的關鍵技術，一是在計算平臺上引入“可信根”，二是利用可信根來建立可信鏈.對于PC平臺而言，TCG定義了從計算平臺加電BIOS(Basic?Input/Output?System：基本輸入輸出系統)執行開始，到引導代碼的執行，再到操作系統啟動和上層應用程序的執行的一系列過程，信任將通過這個過程一直傳遞下去，直到整個計算環境的建立.由此可見，引導過程的安全是計算機系統安全的基點，引導階段的可信驗證是建立可信鏈的關鍵一環.根據TCG相關規范，建立平臺信任鏈的關鍵硬件是TPM(Trusted?Platform?Module).TPM是一塊類似于智能卡的芯片，是整個終端的信任根.我們也可以制作安全U盤(具有智能卡和U盤的雙重功能)作為系統可信根。

怎樣基于TPM建立系統的可信引導環境，國內外的學者對此進行了研究。Enforcer是Danmouth大學開發的一個Linux安全模塊，它修改了LILO(Linux?Loader)以支持TPM，使用TPM封裝了一個加密文件系統的加密密碼，引導過程中若發現指定文件的完整性與預期的不符則拒絕釋放該密鑰.AEGIS系統是基于嵌入式的安全模塊，將系統引導分為多個層次，在引導過程的每一層之間轉移的時候都進行完整性驗證，轉移間完整性驗證失敗時涉及到了一個恢復過程.德國波鴻大學的Trusted?Grub和IBM的TCG?Grub都是利用系統的TPM芯片，遵循了TCG規范，但只提供了簡單的引導過程的度量.德國的Drseden大學的Bemhard?Kauer開展了基于TPM和L4操作系統的認證啟動研究工作.然而，上述的研究都是基于傳統BIOS進行的。

從IBM于上世紀八十年代初推出了全世界第一臺PC機開始，BIOS就成了個人計算機必備的系統軟件。傳統上的BIOS經過了長達20多年的時間，基本上沒有大的特別的改進。EFI是Extensible?Firmware?Interface的縮寫，中文意思是可擴展固件接口。EFI是Intel為了解決BIOS難于擴充的缺陷而推出的一項新技術，作為傳統BIOS的接班人之一，是理論上能夠很好地接替并且擴展現有BIOS功能的方案。EFI既保留了傳統BIOS的所有基本功能，同時又針對傳統BIOS的不足進行了必要的補充。

在基于新的EFI情況下，結合安全U盤的認證和安全功能建立平臺信任鏈是一個需要研究的課題，國內外目前在這方面的研究很少。

發明內容

本發明的目的是提供一種建立基于EFI的可信引導系統的方法，其特征在于，具體包括：

第一步，通過Linux操作系統下的初始化模塊對安全U盤進行初始化，設置需要驗證的啟動用戶認證信息和操作系統內核模塊的完整性校驗信息；

第二步，對支持EFI的機器進行啟動，當通過EFI引導管理器提示選擇啟動模塊時，選擇從文件ELilo.efi啟動；若機器不支持EFI啟動，則需要使用EFI?EDK中的DUET制作EFI啟動U盤，并將ELilo.efi以及操作系統內核模塊和相關的initrd模塊存放在EFI啟動U盤上；使用EFI啟動U盤啟動系統到EFI?Shell環境；

第三步，使用EFI?Shell環境下的命令load裝載EFI下的安全U盤驅動程序；

第四步，使用ELilo啟動操作系統內核。ELilo利用安全U盤對啟動用戶進行認證并對操作系統內核進行可信驗證，如果通過，則啟動系統，否則終止系統的啟動過程。

所述Linux操作系統，在新的EFI環境下使用安全U盤作為系統的一個可信硬件，根據可信計算理論，設計并實現對引導階段文件的可信校驗，建立引導階段的可信鏈。

所述ELilo啟動內核是使用Elilo引導模塊，利用安全U盤提供的安全功能對Elilo模塊進行安全增強，對啟動階段的文件進行檢驗，完成引導階段的可信啟動。

所述支持EFI的機器為長城安全電腦二代、惠普RX2600等。