[發明專利]基于清單比較執行安全動作

在審

• 申請號: 201910073472.2
• 申請日: 2019-01-25
• 公開（公告）號: CN110096886A
• 公開（公告）日: 2019-08-06
• 發明（設計）人: 凱文·G·迪皮尤;達雷爾·R·哈斯克爾;約翰·S·豪爾沙尼
• 申請（專利權）人: 慧與發展有限責任合伙企業
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京市漢坤律師事務所 11602
• 代理人: 王其文;吳麗麗

1.一種計算設備，包括：

至少一個處理元件；

至少一個存儲器設備；

包括至少一個總線設備的總線；

系統板；

固件引擎，包括在引導過程期間在計算設備的引導時執行的固件，所述固件引擎用于：

獲取包括多個啟動組件的所述計算設備的啟動清單，其中所述啟動清單包括與所述至少一個處理元件、所述至少一個存儲器設備、所述系統板和所述總線上的所述至少一個總線設備有關的信息；

將所述啟動清單與在所述計算設備進入第一模式時獲取的存儲的清單進行比較，以確定所述啟動清單和所述存儲的清單是否匹配；以及

響應于所述啟動清單和存儲的清單不匹配，執行安全動作。

2.根據權利要求1所述的計算設備，進一步包括：

與所述至少一個處理元件分離的基板管理控制器，所述基板管理控制器包括硬件信任根，以防止固件被替換或修改。

3.根據權利要求2所述的計算設備，其中所述基板管理控制器包括用于所述存儲的清單的密碼信息。

4.根據權利要求1所述的計算設備，進一步包括：在所述固件引擎的外部不能被修改的非易失性存儲器，其中所述非易失性存儲器包括用于所述存儲的清單的密碼信息。

5.根據權利要求1所述的計算設備，其中所述存儲的清單是包括當所述計算設備進入所述第一模式時在所述計算設備上找到的多個組件的多個唯一標識符的散列的形式。

6.根據權利要求5所述的計算設備，其中所述啟動清單是包括所述啟動組件的多個唯一標識符的啟動散列的形式。

7.根據權利要求5所述的計算設備，其中所述散列包括多個配置設置和至少一個固件版本標識符。

8.根據權利要求5所述的計算設備，其中所述散列包括與當所述計算設備進入所述第一模式時在所述計算設備上找到的所述多個組件中的至少一個有關的硬件訓練信息。

9.根據權利要求1所述的計算設備，其中所述固件引擎進一步用于：提供修改已經被檢測到的通知作為所述安全動作的一部分，并且請求密碼以將所述計算設備引導到操作系統。

10.根據權利要求9所述的計算設備，其中所述密碼被保存為實現所述第一模式的一部分。

11.一種存儲指令的非暫時性機器可讀存儲介質，如果所述指令由設備的物理處理元件執行，則所述指令使得所述設備：

接收與所述設備的安全的第一模式相關聯的密碼；

獲取所述設備的清單，基于多個唯一標識符的所述清單分別與安裝在所述設備上的每個主存儲器模塊、安裝在所述設備上的每個處理器、所述設備的系統板以及所述設備的總線的配置空間中的多個總線設備中的每個和多個配置設置的每個相關聯；

將所述清單存儲在非易失性儲存器中作為存儲的清單；

繼所述設備進入所述第一模式之后，在啟動所述設備時開始執行引導過程，其中所述物理處理元件在隨后啟動時由所述指令開始執行；

獲取包括多個啟動組件的所述設備的啟動清單，其中基于多個啟動唯一標識符的所述啟動清單分別與安裝在所述設備上的每個啟動主存儲器模塊、安裝在所述設備上的每個啟動處理器、啟動系統板以及所述設備的所述總線的配置空間中的多個啟動總線組件中的每個和在所述隨后啟動時的所述多個配置設置的每個相關聯；

將所述啟動清單與所述存儲的清單進行比較，以確定所述啟動清單和所述存儲的清單是否匹配；以及

響應于所述比較，執行安全動作。

12.根據權利要求11所述的非暫時性機器可讀存儲介質，其中，所述設備包括與所述物理處理元件分離的基板管理控制器，以確保所述指令不被修改或替換。

13.根據權利要求11所述的非暫時性機器可讀存儲介質，其中所述存儲的清單和啟動清單每個是散列的形式。