[發(fā)明專利]一種通過BIOS和內(nèi)核實現(xiàn)安全可信認證的方法

有效

• 申請?zhí)枺?/td>: 201410247708.7
• 申請日: 2014-06-06
• 公開（公告）號: CN104008342B
• 公開（公告）日: 2017-12-15
• 發(fā)明（設計）人: 趙瑞東;李萌;劉毅楓;耿士華;鄢建龍
• 申請（專利權）人: 山東超越數(shù)控電子股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/62
• 代理公司: 濟南信達專利事務所有限公司37100
• 代理人: 姜明

1.一種通過BIOS和內(nèi)核實現(xiàn)安全可信認證的方法, 其特征在于步驟如下：

在BIOS的NVSTORAGE區(qū)域中添加對Linux內(nèi)核簽名進行解密的私鑰，通過在UEFI BIOS中添加虛擬設備驅(qū)動程序，在DXE階段的初期將虛擬設備驅(qū)動程序加載到UEFI運行環(huán)境中，在隨后過程中，DXE驅(qū)動程序通過對BIOS的簽名進行非對稱加密，將加密后的結果保存于一塊預先定義的保留內(nèi)存區(qū)域，在BIOS自檢結束后將Linux內(nèi)核文件加載到內(nèi)存中，通過搜索標志性字符，獲得內(nèi)核代碼的加密簽名，UEFI BIOS通過對NVSTORAGE的訪問讀取存儲在其中的私鑰，利用私鑰對Linux內(nèi)核簽名進行解密，如果解密后的簽名是可信任的，那么BIOS將跳轉(zhuǎn)到內(nèi)核代碼進而將控制權移交給Linux操作系統(tǒng)，否則將提示用戶Linux操作系統(tǒng)未通過認證，并提示用戶是否繼續(xù)運行,在Linux內(nèi)核中添加代碼，對BIOS的簽名進行解密和認證，內(nèi)核代碼必須預先存儲對BIOS簽名進行解密用的私鑰，Linux內(nèi)核在獲得可信認證并運行后，內(nèi)核代碼通過對內(nèi)存的訪問，獲得BIOS啟動過程中存儲在保留內(nèi)存區(qū)域中的BIOS加密簽名，利用內(nèi)核預先保留的私鑰對BIOS簽名進行解密，如果解密后的簽名是可信任的，那么內(nèi)核將繼續(xù)運行并加載Linux操作系統(tǒng)至登陸界面，如果解密后的簽名是不可信任的或者沒有找到簽名，那么內(nèi)核代碼將提示用戶該Linux操作系統(tǒng)所運行的平臺是未獲得認證的，并提示用戶是否繼續(xù)運行。

2.根據(jù)權利要求1所述的安全可信認證的方法, 其特征在于移除對Linux內(nèi)核的簽名認證部分，只對BIOS簽名進行認證，同時將BIOS中存儲的私鑰改變?yōu)閷IOS簽名進行解密的私鑰，Linux內(nèi)核只對BIOS進行簽名認證，BIOS不對Linux操作系統(tǒng)進行認證，那么使用未獲得認證的Linux操作系統(tǒng)也可以啟動，但是只有獲得認證的內(nèi)核是可信任的，雖然移除對Linux內(nèi)核的簽名認證部分，只對BIOS簽名進行認證，相比對Linux操作系統(tǒng)的簽名認證，安全性較低，但是能夠判斷出用戶是否使用了認證的Linux操作系統(tǒng)，內(nèi)核中無需存放私鑰，公鑰和私鑰都由BIOS產(chǎn)生，BIOS可以對公鑰和私鑰進行動態(tài)更新，Linux內(nèi)核通過對BIOS的訪問獲得私鑰，并對內(nèi)存中的BIOS簽名進行解密。