[發明專利]用于訪問計算設備的可信平臺模塊的方法和系統

有效

• 申請號: 201610204923.8
• 申請日: 2016-04-05
• 公開（公告）號: CN107292176B
• 公開（公告）日: 2021-01-15
• 發明（設計）人: 李天河;唐文蔚
• 申請（專利權）人: 聯想企業解決方案(新加坡)有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華

1.一種計算機實現的方法，包括：

在計算設備的啟動階段期間，在所述計算設備的存儲器中存儲許可對可信平臺模塊的平臺固件控制域的訪問的平臺授權值，所述計算設備包括所述可信平臺模塊、在所述可信平臺模塊外部的所述存儲器、以及系統固件接口，其中所述可信平臺模塊包括平臺層級、存儲層級以及支持層級；

鎖定所述平臺授權值的使用，使得所述可信平臺模塊通過所述計算設備的所述系統固件接口可訪問；

繼續所述計算設備的啟動并且加載操作系統；

響應于在所述操作系統被加載之后所述計算設備請求對所述可信平臺模塊的所述平臺固件控制域的訪問，獲得數字簽名，所述數字簽名至少使用用于配置所述可信平臺模塊的命令而被生成；

驗證所述數字簽名；以及

響應于所述數字簽名被驗證，允許從所述計算設備的所述存儲器對所述平臺授權值的檢索以便訪問所述可信平臺模塊；以及，否則拒絕對所述平臺授權值的檢索。

2.根據權利要求1所述的方法，其中在所述計算設備的存儲器中存儲平臺授權值包括將所述平臺授權值存儲在所述計算設備的安全存儲器中。

3.根據權利要求2所述的方法，其中所述安全存儲器包括運行在系統管理模式下的、由所述計算設備的處理器可訪問的系統管理存儲器部件。

4.根據權利要求3所述的方法，其中響應于所述計算設備請求對所述可信平臺模塊的所述平臺固件控制域的訪問而獲得數字簽名包括：

生成對所述可信平臺模塊的模塊標識符和所述命令進行編碼的命令數據包；以及

向簽名服務器傳輸所述命令數據包以獲得所述數字簽名。

5.根據權利要求4所述的方法，其中在所述計算設備的存儲器中存儲平臺授權值還包括將所述模塊標識符存儲在所述存儲器中，并且生成對所述可信平臺模塊的模塊標識符和所述命令進行編碼的命令數據包包括從所述存儲器檢索所述模塊標識符。

6.根據權利要求5所述的方法，還包括：驗證所述模塊標識符，并且進一步響應于對所述模塊標識符的成功驗證，允許對所述平臺授權值的檢索。

7.根據權利要求4所述的方法，還包括：進一步響應于對所述模塊標識符的成功驗證，驗證所述模塊標識符并且允許對所述平臺授權值的檢索。

8.根據權利要求2所述的方法，響應于所述計算設備請求對所述可信平臺模塊的所述平臺固件控制域的訪問而獲得數字簽名包括：

生成對所述可信平臺模塊的模塊標識符和所述命令進行編碼的命令數據包；以及

向簽名服務器傳輸所述命令數據包以獲得所述數字簽名。

9.根據權利要求1所述的方法，其中響應于所述計算設備請求對所述可信平臺模塊的所述平臺固件控制域的訪問而獲得數字簽名包括：

生成對所述可信平臺模塊的模塊標識符和所述命令進行編碼的命令數據包；以及

向簽名服務器傳輸所述命令數據包以獲得所述數字簽名。

10.根據權利要求1所述的方法，其中所述存儲器存儲密碼密鑰，并且驗證所述數字簽名包括通過使用所述密碼密鑰對所述命令數據包進行簽名來驗證所述數字簽名。

11.根據權利要求1所述的方法，其中所述命令數據包在傳輸之前被加密。

12.根據權利要求1所述的方法，其中響應于所述計算設備請求對所述可信平臺模塊的所述平臺固件控制域的訪問而獲得數字簽名由運行在所述計算設備的所述操作系統上的軟件應用來執行。

13.根據權利要求1所述的方法，還包括使用所述平臺授權值來訪問所述可信平臺模塊的平臺固件控制域。