平码五不中公式规律
  • / 19

授权BIOS策略改变用于存储.pdf

关 键 ?#21097;?/dt>
授权 BIOS 策略 改变 用于 存储
  专利查询网所有资源均是用户自行上传分享,仅供网友学习交流,未经上传用户书面授权,请勿作他用。
摘要
申请专利号:

CN201480080621.3

申请日:

2014.07.22

公开号:

CN106663154A

公开日:

2017.05.10

当前法律状态:

实审

有效性:

审中

法?#19978;?#24773;: 实质审查的生效IPC(主分类):G06F 21/30申请日:20140722|||公开
IPC分类号: G06F21/30; G06F13/14 主分类号: G06F21/30
申请人: 惠普发展公司,有限责任合伙企业
发明人: J·K·让索内; V·阿利; 王篮; B·安巴扎根; P·L·吉邦斯
地址: 美国德克萨斯州
优先权:
专利代理机构: 中国专利代理(香港)有限公司 72001 代理人: 吕传奇;陈岚
PDF完整版?#30053;兀?/td> PDF?#30053;?/a>
法律状态
申请(专利)号:

CN201480080621.3

授权公告号:

|||

法律状态公告日:

2017.06.06|||2017.05.10

法律状态类型:

实质审查的生效|||公开

摘要

本文的示例公开了接收基本输入输出系统(BIOS)策略改变和授权BIOS策略改变。在授权BIOS策略改变时,将BIOS策略的第一副本存储在可由中央处理单元访问的第一存储器中。此外,传输BIOS策略改变的第二副本用于存储在与中央处理单元电隔离的第二存储器中。

权利要求书

1.一种可由计算设备执行的方法,所述方法包括:
接收基本输入输出系统(BIOS)策略改变;
授权所述BIOS策略改变;和
在授权BIOS策略改变时,将BIOS策略改变的第一副本存储在可由中央处理单元访问的
第一存储器中,并且传输BIOS策略改变的第二副本用于存储在与中央处理单元电隔离的第
二存储器中。
2.根据权利要求1所述的方法,其中传输所述BIOS策略改变的第二副本用于存储在与
所述中央处理单元电隔离的所述第二存储器中包括:
在将所述BIOS策略改变的第二副本存储在所述第二存储器中之前?#29992;?#25152;述BIOS策略
改变的第二副本;和
将经?#29992;?#30340;所述BIOS策略改变的第二副本存储在所述第二存储器中。
3.根据权利要求1所述的方法,包括:
启动所述BIOS的引导序列;
通过将对应于第一存储器中的BIOS策略的第一值和对应于第二存储器中的BIOS策略
的第二?#21040;?#34892;比较来验证BIOS策略。
4.根据权利要求3所述的方法,其中如果所述第一值和所述第二值不相似,则不相似性
指示所述第一存储器中的所述BIOS策略的验证失败,所述方法包括:
从所述第二存储器获得所述BIOS策略的备份;和
用来?#36816;?#36848;第二存储器的BIOS策略的备份替换所述第一存储器中的BIOS策略。
5.根据权利要求1所述的方法,其中如果所述BIOS策略改变未通过授权,则所述BIOS策
略改变不被存储在所述第一存储器或所述第二存储器中。
6.根据权利要求1所述的方法,其中所述第二存储器用作所述第一存储器的所述BIOS
的备份。
7.根据权利要求1所述的方法,其中如果所述第一值和所述第二值相似,则相似性指示
所述第一存储器中的所述BIOS策略的验证成功,所述方法包括:
继续BIOS的引导序列。
8.一种包括指令的非暂时性计算机可读存储介?#21097;?#25152;述指令在由处理器执行时使计算
设备:
启动执行基本输入输出系统(BIOS);
验证在可由处理器访问的第一存储器中的BIOS策略;和
如果所述BIOS策略的验证失败,则从与所述处理器电隔离的第二存储器获得所述BIOS
策略的备份,以用于用来?#36816;?#36848;第二存储器的所述BIOS策略的备份?#25351;此?#36848;第一存储器中
的BIOS策略。
9.根据权利要求8所述的包括指令的非暂时性计算机可读存储介?#21097;?#20854;中,在验证所述
第一存储器中的所述BIOS策略时包括当由所述处理器执行时使计算设备进行下述操作的
指令:
继续执行BIOS。
10.根据权利要求8所述的包括指令的非暂时性计算机可读存储介?#21097;?#20854;中验证所述第
一存储器中的BIOS策略包括当由所述处理器执行时使计算设备进行下述操作的指令:
获得对应于在可由所述处理器访问的所述第一存储器中的BIOS策略的第一值;
获得对应于在与所述处理器电隔离的所述第二存储器中的备份BIOS策略的第二值;
比较所述第一值和所述第二值以用于验证所述第一存储器中的所述BIOS策略,其中如
果所述第一值和所述第二值不相似,则指示所述第一存储器中的所述BIOS策略的验证失
败。
11.根据权利要求8所述的包括指令的非暂时性计算机可读存储介?#21097;?#24182;且包括当由所
述处理器执行时使计算设备进行下述操作的指令:
接收对应于BIOS策略的BIOS策略改变;
授权BIOS策略改变;和
在授权所述BIOS策略改变时,将所述BIOS策略改变的第一副本存储在可由所述处理器
访问的所述第一存储器中;和
传输所述BIOS策略改变的第二副本用于存储在与所述处理器电隔离的所述第二存储
器中。
12.一种系统,包括:
中央处理单元,用于执行存储在第一存储器中的基本输入输出系统(BIOS),以用于授
权BIOS策略改变;
可由所述中央处理单元访问的第一存储器,所述第一存储器用于在授权所述BIOS策略
改变时存储所述BIOS策略改变的第一副本;和
与所述中央处理单元电隔离的第二存储器,所述第二存储器用于在授权所述BIOS策略
改变时存储所述BIOS策略改变的第二副本。
13.根据权利要求12所述的系统,包括:
控制器,用于:
接收所述BIOS策略改变的第二副本;和
将所述BIOS策略改变的所述第二副本存储到所述第二存储器,其中所述第二存储器可
由嵌入式控制器访问。
14.根据权利要求12所述的系统,其中:
所述中央处理单元还用于:
在执行所述BIOS时,验证对应于在所述第一存储器处的BIOS策略改变的BIOS策略;
在验证所述BIOS策略时,继续执行所述BIOS,其中所述第二存储器用作无效的BIOS策
略的备份BIOS策略。
15.根据权利要求14所述的系统,其中,为了验证对应于所述第一存储器中的所述BIOS
策略改变的BIOS策略,所述中央处理单元还用于:
获得对应于所述第一存储器中的BIOS策略的第一值;和
获得对应于所述第二存储器中的BIOS策略的第二值;
比较所述第一值和所述第二值以用于验证所述BIOS策略,其中如果所述第一值和所述
第二值不相似,则指示所述BIOS策略的失败。

说明书

授权BIOS策略改变用于存储

背景技术

计算系统可以包括用于执行计算设备的各?#21046;?#21160;功能的代码。该代码可以包括基
本输入/输出系统(BIOS)代码。BIOS代码可以初始化和测试计算设备的硬件。此外,BIOS代
码可?#28304;?#35745;算设备的存储设备加载引导程序代码和/或操作系统。

附图说明

在附图中,同样的标号指代同样的组件或块。下面的详?#35813;?#36848;参照附图,其中:

图1是示例性系统的框图,该系统包括基本输入输出系统(BIOS)策略改变的授权
和基于该授权,BIOS策略改变的第一副本被存储在可由中央处理单元访问的第一存储器中
并且第二副本被传输到用于存储的与中央处理单元隔离的第二存储器;

图2是示例性系统的框图,该系统包括中央处理单元以启动执行BIOS,通过将对应
于第一存储器中的BIOS策略的第一值和对应于第二存储器中的BIOS策略的第二?#21040;?#34892;比
较来验证BIOS;

图3是用于接收针对授权的BIOS策略改变的示例方法的流程图,并且取决于BIOS
策略改变的授权,该方法将BIOS策略改变的第一副本存储在第一存储器中以及传输BIOS策
略改变的第二副本用于存储在第二存储器中;

图4是用于启动BIOS的引导序列并通过将第一存储器中的BIOS策略的第一值和第
二存储器中的BIOS策略的第二?#21040;?#34892;比较来验证BIOS策略的示例方法的流程图,在验证失
败时,该方法用来自第二存储器的备份副本替换在第一存储器中的BIOS策略;

图5是用于授权BIOS策略改变并将第一副本存储在第一存储器中以及在将BIOS策
略改变的第二副本存储在第二存储器中之前?#29992;?#35813;BIOS策略改变的第二副本的示例方法
的流程图;以及

图6是具有处理器的示例计算设备的框图,该处理器用于执行机器可读存储介质
中的指令以用于授权BIOS策略改变用于存储在第一存储器和第二存储器中,以及也通过比
较在第一存储器和第二存储器中的值验证BIOS策略。

具体实施方式

BIOS代码可以被执行以配置和测试计算设?#25913;?#30340;硬件。照此,BIOS代码可以包括
BIOS策略,该策略提供用于控制BIOS设置的配置的准则。作为示例,BIOS策略可以包括BIOS
代码的引导顺序、硬件配置、BIOS安全机制或其他类型的BIOS控制设置。BIOS策略改变是对
这些BIOS策略中的至少一个的修改。这些BIOS策略和/或BIOS代码可能?#36164;?#25915;击。照此,当
BIOS策略和/或代码变得损坏时,有可能是没有BIOS策略和/或代码中的配置改变的备份。
此外,可能不可行的是,检测在BIOS策略和/或代码中的改变是否被授权。因此,这可能导致
计算设备执行损坏的BIOS策略和/或损坏的代码。此外,BIOS策略和/或代码可能在被放置
在可由中央处理单元访问的存储器中的情况下更?#36164;?#25915;击。这可能是因为许多攻击者可以
使用中央处理单元来访问BIOS策略和/或代码。

为了解决这些问题,本文公开的示例标识对BIOS策略的改变,并检测是否该改变
可以在提交该改变到存储器中之前被授权。示例提供在接收到BIOS策略改变时确定BIOS策
略改变是否已被授权。如果BIOS策略改变已被授权,则BIOS策略改变的副本可以被存储在
可由中央处理单元(CPU)访问的第一存储器中。如果已经确定了BIOS策略改变未授权,则
BIOS策略改变不被提交到储存器。在提交到储存器之前授权BIOS策略改变防止将由CPU执
行(一个或多个)损坏和/或未授权的BIOS策略改变。

此外,在授权时,BIOS策略改变的附加副本被传输用于存储在与CPU电隔离的第二
存储器中。第一存储器被视为更?#36164;?#28508;在攻击,因为第一存储器可由其中攻击者可能尝试
以其为目标的CPU访问。以CPU为目标,攻击者可能获得对第一存储器的访问;然而,电隔离
第二存储器与CPU保护各种BIOS策略和/或代码免受潜在攻击。此外,保护在第二存储器中
的BIOS策略和/或代码提供用于备份各种BIOS策略和/或代码用于保存的机制。

在本文?#33268;?#30340;另一示例中,CPU启动执行来自第一存储器的BIOS,并验证在第一存
储器中的BIOS策略中的至少一个。同时和/或在确定BIOS策略改变是否已被授权时,可能会
发生BIOS的执行。验证可以通过将表示在第一存储器中的BIOS策略的第一值和表示在第二
存储器中的对应BIOS策略的第二?#21040;?#34892;比较而发生。如果值是相似的,则CPU可以?#25351;?#25191;行
BIOS,因为这指示在第一存储器中的BIOS策略没有被篡改并且没有被损坏。如果值是不相
似的,则在第二存储器中的对应BIOS策略用作替换第一存储器中的BIOS策略的备份。该示
例可以使得CPU能够检测是否在第一存储器中的特定BIOS策略已被篡改,并?#19968;?#26497;主动地
响应于损坏的BIOS策略。这确保了在第一存储器可能遭受任何BIOS策略损坏的情况下第二
存储器保持用于获得BIOS的可靠来源。

因此,本文公开的示例提供了用于在提交改变到储存器中之前授权BIOS策略改变
的安全机制。此外,示例提供了对在存储器中的BIOS策略进行验证,以检测BIOS策略是否可
能被损坏。

现在参照附图,图1是包括可以访问第一存储器104的中央处理单元(CPU)102的示
例计算系统的框图。第一存储器104包括BIOS 106,该BIOS 106由各种BIOS策略(BIOS策略
1,BIOS策略2,BIOS策略N)108构成。CPU接收BIOS策略改变,并且可以授权在模块112处的该
BIOS策略改变。如果BIOS策略改变被授权,则BIOS策略改变的第一副本110被放置在第一存
储器104中和BIOS策略改变的第二副本118被传输到控制器114以用于存储在第二存储器
116中。第一存储器104可由CPU 102访问用于在存储器104中放置BIOS策略改变的第一副
本。此外,CPU 102可以检索用于执行的BIOS 106。在第二存储器116与CPU 102电隔离的意
义上,第二存储器116提供专用储存器。将第二存储器116与CPU 102电隔离保护第二存储器
116内的BIOS 106和各种BIOS策略108。

在放置在第一存储器104和第二存储器116中之前,在模块112处授权BIOS策略改
变使得CPU能够防止将BIOS策略改变的未授权副本存储在存储器104和116中。这提供了
BIOS 106和各种BIOS策略108的安全验证机制。作为示例,CPU 102的实施方式可以包括能
够执行来自第一存储器104的BIOS 106的处理器、处理单元、主机处理器、微处理器、半导
体、集成电路或其他类型的电?#30001;?#22791;。

第一存储器104是计算设?#25913;?#30340;存储区域,该存储区域保持BIOS106,并且照此可
由CPU 102访问。作为示例,第一存储器104的实施方式包括用于保持BIOS 106的只读存储
器、闪存、铁电存储器、铁电RAM、磁存储存储器、纳米驱动器、存储驱动器、存储器组件或这
样的存储器组件的任何组合。

作为示例,BIOS 106包括BIOS代码、BIOS数据和各种BIOS策略108。BIOS 106用于
初始化和测试计算系统内的硬件组件。将BIOS 106保持在第一存储器104和第二存储器116
中。在一个实施方式中,保持在第二存储器116中的BIOS用作在检测到第一存储器104中的
各种BIOS策略108和/或代码的损坏和/或未授权的改变时第一存储器104中的BIOS的备份。

各种BIOS策略108表示不同的BIOS策略配置。这些BIOS策略108提供BIOS设置的配
置。BIOS策略改变是对各种BIOS策略108中的至少一个的修改。在一个实施方式中,BIOS策
略改变可以是用户定义的改变。在该实施方式中,BIOS策略改变可以由CPU 102本地或通过
网络接收。例如,BIOS策略改变可以由用户本地生成,其中在计算设备的显示器上的提示使
得用户能够选择对特定BIOS策略的修改。在另一个示例中,可以通过网络接收BIOS策略改
变,BIOS策略改变可以包括来自管理员来自远程?#24674;?#30340;请求。

BIOS策略改变的第一副本110在模块112处授权BIOS策略改变时被放置在第一存
储器104中。BIOS策略改变的第一副本110包括BIOS代码和/或数据,该BIOS代码和/或数据
可以由CPU 102使用来执行。

在模块112处,CPU可以确定BIOS策略改变是否已被授权。授权机制可以作为示例
包括:输入密码;使用与CPU 102和/或计算设备相关联的凭证;?#29992;?#31639;法,以该?#29992;?#31639;法
BIOS策略改变可以被表示为哈希值并且计算设备和/或CPU 102可以具有用于解密哈希值
的设备特定解密密钥;和密钥哈希认证码(HMAC)。尽管图1图示第一存储器104为在模块112
处授权BIOS策略改变,但是这是为了说明的目的而不是为了限制实施方式而做出的。例如,
BIOS策略改变可以由计算系统内的不同组件来授权。在示例中,CPU 102可以在接收到BIOS
策略改变时授权BIOS策略改变。在另一示例中,控制器114可以授权BIOS策略改变。在另一
示例中,诸如I/O控制器的另一组件可以授权BIOS策略改变。模块112的实施方式包括可由
计算设备执行并且能够确定BIOS策略改变是否被授权的指令、指令集、过程、操作、逻辑、技
术、功能、固件和/或软件。

控制器114是可以在模块112处授权BIOS策略改变时接收BIOS策略改变的第二副
本118的硬件组件。控制器114被视为是可以访问第二存储器116的硬件组件。照此,在接收
到BIOS策略改变的第二副本118时,控制器114将第二副本118存储在第二存储器116中。在
一个实施方式中,控制器114授权在模块112处而不是CPU 102处的BIOS策略改变。在该实施
方式中,控制器114操作为确定是否将BIOS策略改变存储在第二存储器116中的网守。作为
示例,控制器114的实施方式可以包括能够访问第二存储器116中的BIOS 106的嵌入式控制
器、微控制器、半导体、电?#30001;?#22791;、微芯片、芯片组或其他类型的硬件组件。

第二存储器116是计算系统内的存储区域,该存储区域保持BIOS106并且与CPU
102电隔离。以这种方式,CPU 102不访问第二存储器102。照此,为了访问和/或存储第二存
储器116内的BIOS代码和/或策略,请求被传递通过控制器114。在一个实施方式中,如果执
行时CPU 102检测到在第一存储器104内的各种BIOS策略108和/或BIOS代码中的一个被损
坏,则第二存储器116内的对应的各种BIOS策略108和/或BIOS代码被用于替换第一存储器
104中的损坏的BIOS策略和/或BIOS代码。第一存储器104中的各种BIOS策略108和/或BIOS
代码在该策略和/或代码可以在功能、目的和/或量方面相似或类似于BIOS 106的部分的意
义上对应于第二存储器116中的各种BIOS策略和/或BIOS代码。以这种方式,保持在第二存
储器116中的BIOS 106用作第一存储器104中的BIOS 106的备份BIOS。在另一实施方式中,
CPU 102可以通过将表示第一存储器104中的特定BIOS的第一值和表示第二存储器116中的
对应BIOS策略的第二?#21040;?#34892;比较来验证第一存储器104中的特定BIOS策略。在该实施方式
中,如果CPU 102使第一存储器中的特定BIOS策略无效,则来自第二存储器116的对应BIOS
策略被用于替换第一存储器104中的特定BIOS策略。该实施方式在后面的图中进行详细讨
论。作为示例,第二存储器116的实施方式包括用于保持BIOS 106的只读存储器、闪存、铁电
存储器、铁电RAM、磁存储存储器、纳米驱动器、存储驱动器、存储器组件或这样的存储器组
件的任何组合。

BIOS策略改变的第二副本118在模块112处授权BIOS策略改变时被传输到控制器
114。BIOS策略改变的第二副本118包括对应于由CPU 102接收的BIOS策略改变的BIOS代码
和/或数据。尽管图1图示了BIOS策略改变的两个副本110和118,但是这是为了说明的目的
而做出的,因为可能有三个副本,四个副本?#21462;?br />

图2是包括中央处理单元(CPU)202的示例计算系统的框图,该中央处理单元(CPU)
202用于启动在模块218处执行第一存储器204中的BIOS 206。当在模块218处执行BIOS 206
时,CPU 202在模块220处验证BIOS策略208。CPU 202通过将对应于第一存储器204中的BIOS
策略208的第一值210和对应于第二存储器216中的BIOS策略208的第二值224进行比较在模
块220处验证BIOS策略208。如果在模块222处验证失败或无效,则由控制器214检索第二存
储器216中的对应BIOS策略208,以替换第一存储器204中的无效的BIOS策略208。第一值210
和第二值224是分别表示第一存储器204内的BIOS策略208和第二存储器216内的BIOS策略
208的值。照此,作为示例,第一值210和第二值224可以包括表示相应BIOS策略208的哈希
值、校验和、哈希码或其他类型的值。使用表示在第一和第二存储器204、216中的BIOS策略
208的?#23548;?#23569;了在控制器214和CPU 202之间发送的数据量,因为为了表示目的要针对每个
BIOS策略208计算(一个或多个)值。CPU 202和第一存储器204在结构和功能上可以类似于
如图1中的CPU 102和第一存储器104。BIOS 206和BIOS策略208在功能上可以类似于如图1
中的BIOS 106和各种BIOS策略108。此外,尽管图2图示了第一存储器204和第二存储器216
中的单个BIOS策略208,但是这是为了说明的目的而做出的,因为可能有如图1中的多个
BIOS策略。此外,控制器214和第二存储器216在结构和功能上可以类似于如图1中的控制器
114和第二存储器116。

在模块218处,CPU 202检索BIOS 206用于启动执行BIOS。在模块218处,CPU 202加
载BIOS 206的引导程序数据以启动执行。在一个实施方式中,BIOS 206可以包括如图1中的
BIOS策略改变作为第一存储器204和第二存储器216两者中的BIOS 206的一部分。作为示
例,模块218的实施方式包括可由CPU 202执行用于执行来自第一存储器204的BIOS 206的
指令、指令集、过程、操作、逻辑、技术、功能、固件和/或软件。

在模块220处执行BIOS 206时,CPU 202验证BIOS策略208。CPU 202从第一存储器
204检索BIOS 206包括从第一存储器204检索BIOS策略208。在模块220的一个实施方式中,
CPU 202可以进?#26800;?#27169;块222来比?#31995;?#19968;值210和第二值224,以验证第一存储器204中的
BIOS策略208或使第一存储器204中的BIOS策略208无效。作为示例,模块220的实施方式包
括可由CPU 202执行用于验证来自第一存储器204的BIOS策略208的指令、指令集、过程、操
作、逻辑、技术、功能,固件和/或软件。

在模块222处,CPU 202通过将表示第一存储器204中的BIOS策略208的第一值210
和表示第二存储器中的对应BIOS策略208的第二值224进行比较来验证BIOS策略208。在模
块222的一个实施方式中,CPU 202计算表示诸如第一哈希值的第一值210的值。在模块222
的另一实施方式中,第一值210可以包括用于检查第一存储器204中的BIOS策略208的完整
性的校验和值。

为了在模块222处获得第二值224,CPU 202可以向控制器214传输请求?#28304;?#31532;二存
储器216检索第二值224和/或对应的BIOS策略208。在另一实施方式中,CPU 202从第二存储
器216获得对应的BIOS策略208,并且计算表示第二值224的值。如果值在模块222处不匹配,
则这指示篡改了第一存储器204中的BIOS策略208的副本。因此,对应的BIOS策略208从第二
存储器216?#25351;?#24182;用于替换第一存储器204中的损坏的BIOS策略208。如果在模块222处值匹
配或相似,则CPU 202可以?#25351;?#25191;行来自第一存储器204的BIOS 206。如果在模块222处值相
似,则这指示第一存储器204中的BIOS策略208还没有被篡改,并且因此没有被损坏。作为示
例,模块222的实施方式包括可由CPU 202执行用于比较值210和224的指令、指令集、过程、
操作、逻辑、技术、功能、固件和/或软件。

第一值210是对应于第一存储器204中的BIOS策略208的值的表示。第一值210被用
于?#25104;銪IOS策略208中的数据,其中各种BIOS策略中的差异产生不同的值。因此,第一值210
和第二值224分别被用于区分第一存储器204和第二存储器216中的BIOS策略208。如先前解
释的,在从第一存储器204检索BIOS策略208的数据时,CPU 202计算来自第一存储器204的
第一值210以验证第一存储器204中的BIOS策略208。作为示例,第一值210的实施方式包括
表示第一存储器204中的BIOS策略208的哈希值、哈希码、哈希和、校验和、哈希或其他类型
的值。

第二值224是对应于第二存储器216内的BIOS策略208中的数据的值的表示。CPU
202可以如通过控制器214那样和/或通过获得对应的BIOS策略208来获得第二值224,并且
然后计算第二值224。作为示例,第二值2224的实施方式包括表示第二存储器216中的BIOS
策略208的哈希值、哈希码、哈希和、哈希、校验和或其他类型的值。

图3是可由计算设备执行用于接收BIOS策略改变并授权BIOS策略改变的流程图。
取决于授权BIOS策略改变是否成功,计算设备可以进行将BIOS策略改变的第一副本存储在
可由中央处理单元(CPU)访问的第一存储器中。此外,如果授权BIOS策略改变成功,则计算
设备可以传输BIOS策略的第二副本以存储在与CPU电隔离的第二存储器处。如果授权BIOS
策略改变失败,则计算设备不将BIOS策略改变存储在第一存储器或第二存储器中。在?#33268;?br />图3时,可以参照图1-2中的组件来提供上下文示例。例如,如图1中的CPU 102执行操作302-
312以授权bios策略改变,存储BIOS策略改变的第一副本,以及传输BIOS策略改变的第二副
本用于存储。在另一示例中,计算设备执行操作302-312。此外,尽管图3被描述为由中央处
理单元实施,但是它可以被执行在其他合适的组件上。例如,可以以如图6中的机器可读存
储介质604上的可执行指令的?#38382;嚼词?#26045;图3。

在操作302,CPU可以接收BIOS策略改变。作为示例,BIOS策略改变可以由CPU本地
接收或者可以通过网络接收。例如,BIOS策略改变可以由用户本地生成,其中在计算设备的
显示器上的提示使得用户能够选择对特定BIOS策略的修改。在另一示例中,可以通过网络
接收BIOS策略改变,BIOS策略改变可以包括来自管理员来自远程?#24674;?#30340;请求。在一个实施
方式中,在接收到BIOS策略改变时,CPU可以根据改变是否关键和敏感来分类改变,或者可
以涉及非敏感操作策略。在该实施方式中,CPU可以分析BIOS代码作为BIOS策略改变的一部
分。关键和敏感类型的BIOS策略改变可以包括涉及BIOS中的安全性和其他这样的操作改变
的那些改变,其对于BIOS的功能和操作是关键的。例如,关键类型的BIOS策略改变可以涉及
BIOS策略安全引导。非敏感类型的操作BIOS策略改变可以涉及其中BIOS保持操作的操作类
型。例如,这可以包括在执行BIOS时可能出现的数据的所有权和/或显示?#22336;?#20018;。如果CPU确
定BIOS策略改变涉及关键和敏感操作,则CPU可以进?#26800;?#25805;作304以确定BIOS策略改变是否
被授权。如果CPU确定BIOS策略改变涉及非关键和非敏感类型的BIOS策略,则CPU可以将改
变提交到第一存储器,但是不将该改变提交到第二存储器。这确保了在授权时将BIOS策略
改变提交到第二存储器。

在操作304,CPU可以确定在操作302接收到的BIOS策略改变是否可以被授权。作为
示例,用于授权BIOS策略改变的机制可以包括:用户的实际存在,其中屏幕上的提示可以引
出用户输入以确保请求改变;输入密码;使用与CPU和/或计算设备相关联的凭证;?#29992;?#31639;
法,以该?#29992;?#31639;法BIOS策略改变可以被表示为哈希值,并且计算设备和/或CPU可以具有用
于解密哈希值的设备特定解密密钥;和密钥哈希认证码(HMAC)。如果CPU确定BIOS策略改变
尚未被授权(即未授权),则CPU可以进?#26800;?#25805;作306-308。在确定BIOS策略改变被授权时,
CPU可以进?#26800;?#25805;作310-312,以将BIOS策略改变的副本存储在第一存储器中,并将BIOS策
略改变的附加副本传输到控制器,该控制器可以将附加副本放置在第二存储器中。

在操作306,在操作304确定BIOS策略改变未授权时,CPU不将BIOS策略改变存储在
第一存储器中。不允许未授权的BIOS策略改变用于存储控制了哪些BIOS策略改变可以被存
储。这提供了在CPU选择哪些BIOS策略和/或代码可以被存储在第一存储器中的意义上的安
全性。

在操作308,在操作304确定BIOS策略改变未授权时,CPU不传输BIOS策略改变用于
存储在第二存储器中。第二存储器与CPU隔离,这给存储在第二存储器中的BIOS策略和/或
代码提供附加的安全性。

在操作31O,在操作304确定BIOS策略改变被授权时,CPU可以产生BIOS策略改变的
第一副本用于存储在第一存储器处。CPU可以生成用于分别存储在第一存储器和第二存储
器中的BIOS策略改变的两个或更多个副本。与第二存储器不同,CPU可以访问第一存储器,
因此CPU可以直接访问第一存储器以用于存储授权的BIOS策略改变。在另一实施方式中,
CPU可以计算表示第一存储器中的授权的BIOS策略改变的值。这允许CPU在执行来自第一存
储器的BIOS时检查BIOS策略和/或代码的完整性。该实施方式可以在稍后的图中进行?#33268;邸?br />

在操作312,CPU传输对第二存储器的BIOS策略改变的附加副本(即,第二副本)到
控制器。作为示例,控制器可以包括可以访问第二存储器的嵌入式控制器。因此,如先前解
释的,由于第二存储器与CPU电隔离,所以CPU向嵌入式控制器传输应该被存储的内容。

图4是可由计算设备执行用于启动BIOS的引导序列并通过将第一值和第二?#21040;?#34892;
比较来验证BIOS策略的流程图。该第一值是对应于第一存储器中的BIOS策略的表示,并且
该第二值是对应于第二存储器中的BIOS策略的表示。该计算设?#21103;?#36739;这些值以确定第一存
储器中的BIOS策略是否可能被损坏。这使得计算设?#25913;?#22815;检测第一存储器内的未授权和/
或无效的BIOS策略。在该实施方式中,计算设?#21103;冉系?#19968;值和第二值用于确定第一存储器
中的BIOS策略是否有效。如果验证成功,则计算设备可以继续执行BIOS的引导序列。如果验
证失败,则计算设备从第二存储器获得备份BIOS策略的副本,并且用第二存储器中的BIOS
策略的备份副本替换第一存储器中的BIOS策略。第二存储器用作安全存储器以覆盖第一存
储器中的特定BIOS策略和/或代码。以这种方式,在第二存储器与系统的中央处理单元
(CPU)电隔离的意义上,第二存储器用作专用存储器。照此,这在第二存储器中提供针?#28304;?br />改BIOS策略的保护。在?#33268;?#22270;4时,可以参照图1-2中的组件以提供上下文示例。例如,中央
处理单元102执行操作402-416以通过将对应于第一存储器中的BIOS策略的第一值和对应
于第二存储器中的BIOS策略的第二?#21040;?#34892;比较来验证BIOS策略。在另一示例中,计算设备
执行操作402-416。此外,尽管图4被描述为由中央处理单元实施,但是其可以执行在其他合
适的组件上。例如,可以以如图6中的机器可读存储介质604上的可执行指令的?#38382;嚼词?#26045;
图4。

在操作402,CPU授权所接收到的BIOS策略改变。如果授权BIOS策略改变成功,则
CPU可以进?#26800;?#25805;作404。如果授权失败,则CPU不将BIOS策略改变的副本存储在第一存储器
或第二存储器中。在一个实施方式中,CPU可以在操作402-404接收和授权BIOS策略改变之
前启动执行BIOS代码。操作402在功能上可以类似于如图3中的操作304。

在操作404,CPU产生授权的BIOS策略改变的至少两个副本。第一副本被存储在可
由CPU访问的第一存储器中,并且第二副本被传输到控制器。控制器可以将BIOS策略改变的
第二副本放置在CPU不可访问的第二存储器中。在一个实施方式中,第二副本在存储在第二
存储器中之前被?#29992;堋?#35813;实施方式在后面的图中进行详细?#33268;邸?#25805;作404在功能上可以类似
于如图3中的操作310和312。

在操作406,CPU启动BIOS的引导序列。CPU可以访问第一存储器并且可?#28304;?#31532;一存
储器检索BIOS代码用于执行。在执行每个BIOS策略和/或BIOS代码之前,CPU可以执行用于
验证该特定BIOS策略和/或BIOS代码是否已经在第一存储器处被篡改的检查。以这种方式,
CPU验证该特定BIOS策略和/或代码的完整性。

在操作408,CPU将对应于第一存储器中的BIOS策略的第一值和对应于第二存储器
中的BIOS策略的第二?#21040;?#34892;比较。此外,在操作408,为了获得第一值,CPU可以计算表示第
一存储器中的BIOS策略的第一值。此外,该第二值可以与对应的BIOS策略一起被存储在第
二存储器中,或者第二值可以由CPU计算。照此,在操作408,CPU可?#28304;?#25511;制器请求该值,或
者CPU可以请求对应的BIOS策略用于计算第二值。如先前解释的,该第一值和第二值分别是
存储在第一存储器和第二存储器中的BIOS策略的表示。照此,作为示例,这些值可以包括哈
希值、哈希码、哈希和、校验和?#21462;?#35813;第二值是表示存储在第二存储器中的对应的BIOS策略
的值。该第二值提供了用于在其中对第一?#21040;?#34892;分析的控制机制。该第二值可以与对应的
BIOS策略一起被存储在第二存储器中。在该示例中,由于第二存储器与CPU电隔离,所以CPU
从可以访问第二存储器的控制器请求第二值。如果值相似,则验证被视为成功,并且第一存
储器中的BIOS策略被视为没有篡改或损坏。如果值不相似,则这指示第一存储器中的BIOS
策略已经历未授权的改变,并且照此可能被损坏。例如,如果值不匹配,则这指示篡改了第
一存储器中的BIOS策略。在操作410比较用于验证的值使得CPU能够测量或检查第一存储器
处的BIOS策略和/或代码的完整性。

在操作410,取决于两个值的比较结果,第一存储器中的BIOS策略可以被视为是有
效的。如果值相似,则这指示BIOS策略的验证成功,而如果值不匹配则可以指示验证失败。
以这种方式,CPU可以检测第一存储器中的BIOS策略的未授权的侵入或改变。如果BIOS策略
的验证失败(即,不成功),则CPU可?#28304;?#21487;以访问第二存储器的控制器请求BIOS策略的备
份。CPU可以使用该备份BIOS策略来如在操作412-414那样地替换第一存储器中的损坏的
BIOS策略。如果BIOS策略被验证,则这指示第一存储器中的BIOS策略尚未?#36824;?#20987;,并且可以
是用于由CPU执行的可信赖的BIOS策略。如果BIOS策略的验证成功,则CPU可以进?#26800;?#25805;作
416。

在操作412,CPU从第二存储器?#25351;?#22791;份BIOS策略用于替换第一存储器中的BIOS策
略。在操作412,CPU请求备份BIOS策略的副本。在接收到BIOS策略的备份副本时,CPU用BIOS
策略的备份副本替换验证失败的第一存储器中的BIOS策略。

在操作414,CPU用在操作412获得的BIOS策略的备份副本替换第一存储器中的
BIOS策略。在验证失败时检测到来自第一存储器的损坏的BIOS策略,备份BIOS策略可以覆
盖损坏的BIOS策略,因此CPU可以执行来自第一存储器的?#27492;?#22351;的BIOS策略和/或代码。

在操作416,在操作410成功验证BIOS策略时,CPU从第一存储器继续启动BIOS的引
导序列。在另一实施方式中,CPU可以暂缓执行BIOS直到接收到成功的验证。然后,CPU可以
从第一存储器?#25351;?#25191;行BIOS。

图5是可由计算设备执行用于授权BIOS策略改变并将BIOS策略改变的第一副本存
储在可由中央处理单元(CPU)访问的第一存储器中的流程图。BIOS策略改变的第二副本也
可以在存储在与CPU电隔离的第二存储器中之前被?#29992;堋?#22312;存储在第二存储器中之前?#29992;?br />BIOS策略改变的第二副本提供了用于防止损坏BIOS策略改变的第二副本的附加安全机制。
这确保了在第一存储器可能遭受任何BIOS策略损坏的情况下,第二存储器保持用于获得
BIOS的可靠来源。在?#33268;?#22270;5时,可以参照图1-2中的组件以提供上下文示例。例如,中央处
理单元102执行操作502-516以授权bios策略改变,并且在存储在第二存储器中之前?#29992;?br />BIOS策略改变的第二副本。在另一示例中,计算设备执行操作502-516。此外,尽管图5被描
述为由CPU实施,但是其可以被执行在其他合适的组件上。例如,可以以如图6中的机器可读
存储介质604上的可执行指令的?#38382;?#23454;施图5。

在操作502,CPU接收BIOS策略改变。在一个实施方式中,与CPU相关联的计算设备
可以包括用户界面,在该用户界面中用户可以输入BIOS策略改变。在另一实施方式中,BIOS
策略改变可以作为远程请求通过网络来接收。在该实施方式中,管理员可以请求来自远程
?#24674;?#30340;BIOS策略改变。操作502在功能上可以类似于如图3中的操作302。

在操作504,CPU授权BIOS策略改变。作为示例,用于授权BIOS策略改变的机制可以
包括:手动地通过实际存在,其中屏幕上的提示可以引出用户输入以确保请求改变;输入密
码;使用与CPU和/或计算设备相关联的凭证;?#29992;?#31639;法,以该?#29992;?#31639;法BIOS策略改变可以被
表示为哈希值,并且计算设备和/或CPU可以具有设备特定解密密钥以解密哈希值;和密钥
哈希认证码(HMAC)。如果授权BIOS策略改变不成功(即失败),则CPU进?#26800;?#25805;作506-508,并
?#20063;?#23558;BIOS策略改变存储在第一存储器或第二存储器中。如果授权不成功,则这可以指示
未授权的BIOS策略改变,并且照此可以被视为是损坏的。因此,实施BIOS策略改变的授权防
止未授权的策略改变被存储在存储器中。如果授权BIOS策略改变成功,则CPU可以进?#26800;?#25805;
作510,并且将BIOS策略改变的第一副本存储在第一存储器中。此外,在授权BIOS策略改变
时,CPU可以产生BIOS策略改变的第一副本和第二副本用于分别存储在第一和第二存储器
中。操作504可以在功能上类似于如图3-4中的操作304和402。

在操作506,在BIOS策略改变的授权失败时,CPU不将BIOS策略改变存储在第一存
储器中。这确保了当被授权时存储BIOS策略改变,并且因此提供了控制可以存储哪些BIOS
策略改变的方式。操作506可以在功能上类似于如图3中的操作306。

在操作508,在授权BIOS策略改变失败时,CPU不将BIOS策略改变存储在第二存储
器中。第二存储器被视为与CPU隔离,并且照此通过隔离该存储器和BIOS策略和/或代码来
提供保护级别。操作508可以在功能上类似于如图3中的操作308。

在操作510,在授权BIOS策略改变时,CPU可以传输BIOS策略改变的第一副本用于
存储在第一存储器中。在一个实施方式中,I/0控制器可以接收BIOS策略改变的第一副本并
将该第一副本放置到第一存储器中。CPU可以访问第一存储器?#28304;?#31532;一存储器检索BIOS的
副本以用于潜在执行。在将BIOS策略改变的第一副本放置在第一存储器中时,CPU可以进行
到操作512-514以传输BIOS策略改变的?#29992;?#21103;本用于存储在第二存储器处。操作510在功能
上可以类似于如图3-4中的操作310和404。

在操作512,CPU可以在向可以访问第二存储器的控制器传输BIOS策略改变的第二
副本之前?#29992;?#35813;第二副本。在另一实施方式中,CPU可以传输BIOS策略改变的第二副本,并
且控制器可以在将BIOS策略改变的第二副本放置到第二存储器中之前?#29992;?#35813;第二副本。加
密BIOS策略改变的副本给第二存储器提供附加的安全性级别,以防止篡改BIOS策略。

在操作514,CPU可以将BIOS策略改变的第二副本传输到可以访问第二存储器的控
制器。在将BIOS策略改变的第二副本放置在第二存储器中之前,对该BIOS策略改变的第二
副本进行?#29992;堋?#31532;二存储器与CPU电隔离,因此CPU将第二副本传输到可能可以访问第二存
储器的组件。在该实施方式中,控制器可?#28304;覥PU接收第二副本,并且在将第二副本放置在
第二存储器中之前?#29992;?#35813;第二副本。在第一存储器经历攻击和/或篡改的情况下,第二存储
器用作BIOS代码和/或策略的备份。操作514在功能上可以类似于如图3-4中的操作312和
404。

在操作516,CPU可以启动执行来自第一存储器的BIOS代码和/或策略。在实施方式
中,CPU可以在接收BIOS策略改变之前执行BIOS代码。在这些实施方式中,CPU可以同时执行
操作502-516,同时也执行BIOS代码。在其他实施方式中,CPU可以在如图4图示的那样在启
动执行来自第一存储器的BIOS之前接收BIOS策略改变并授权该改变。操作516在功能上可
以类似于如图4中的操作408。

图6是具有处理器602的计算设备600的框图,该处理器602用于用机器可读存储介
质604执行指令606-628。特别地,具有处理器602的计算设备600要执行指令606-628,用于
授权BIOS策略改变,并且在授权时,将BIOS策略改变的第一副本存储在可由处理器602访问
的第一存储器中,以及传输BIOS策略改变的第二副本用于存储在与处理器602隔离的第二
存储器中。处理器602还可以执行指令606-628用于启动执行BIOS和通过将对应于第一存储
器中的BIOS策略的第一值和对应于第二存储器中的BIOS策略的第二?#21040;?#34892;比较来验证
BIOS策略。如果验证成功,则指令包括?#25351;?#25191;行BIOS。如果验证失败,则这可以指示第一存
储器中的BIOS策略被损坏,因此指令可以使用第二存储器中的BIOS策略的备份副本来替换
第一存储器中的BIOS策略。

尽管计算设备600包括处理器602和机器可读存储介质604,但是计算设备600还可
以包括将对本领域技术人员适合的其他组件。例如,计算设备600可以包括如图1中的第一
存储器104和/或第二存储器116。计算设备600是具有能够执行指令606-628的处理器602的
电?#30001;?#22791;,并且照此计算设备600的实施例包括能够执行指令606-628的计算设备、移动设
备、客户端设备、个人计算机、台式计算机、膝上型计算机、平板电脑、视频游戏控制台或其
他类型的电?#30001;?#22791;。指令606-628可以被实施为方法、功能、操作和其他过程,其被实施为存
储在存储介质604上的机器可读指令,存储介质604可以是非暂时性的,诸如硬件存储设备
(例如,随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程ROM、电可擦除ROM、硬盘驱
动器和闪存)。

处理器602可以获取、解码和执行用于授权BIOS策略改变和验证第一存储器中的
BIOS策略的指令606-628。在一个实施方式中,处理器602执行用于授权BIOS策略改变的指
令606-614。在另一实施方式中,处理器602在执行用于启动执行BIOS和验证BIOS策略的指
令606-614之前,同时或在执行指令606-614时执行指令616-628。特别地,处理器602执行指
令606-614用于:从计算设备600本地接收BIOS策略改变,或者跨越网络根据远程请求接收
BIOS策略改变;通过诸如计算设备600上的屏幕上的提示、密码、凭证、密钥哈希消息认证码
(HMAC)等的安全机制来授权所接收到的BIOS策略改变;以及在授权BIOS策略改变时,将该
BIOS策略改变的第一副本存储在第一存储器中,并传输该BIOS策略改变的第二副本用于存
储在第二存储器中。处理器602可以执行指令616-628用于:启动执行BIOS;通过获得对应于
第一存储器中的BIOS策略的第一值并获得对应于第二存储器中的BIOS策略的第二值来验
证BIOS策略;比?#31995;?#19968;值和第二值,如果值相似,则指示成功验证并?#25351;?#25191;行BIOS,如果值
不相似则指示第一存储器中的损坏的BIOS策略并且未通过验证指令;如果BIOS策略未通过
验证,则从第二存储器获得备份BIOS策略,并且用来自第二存储器的备份BIOS策略替换第
一存储器中的BIOS策略。

机器可读存储介质604包括用于处理器602来获取、解码和执行的指令606-628。在
另一实施例中,机器可读存储介质604可以是包含或存储可执行指令的电子、磁、光、存储
器、储存器、闪存驱动器或其他物理设备。因此,机器可读存储介质604可以包括例如随机存
取存储器(RAM)、电可擦除可编程只读存储器(EEPROM)、存储驱动器、存储器高速缓存、网络
储存器、光盘只读存储器(CDROM)?#21462;?#29031;此,机器可读存储介质604可以包括可以独立地和/
或结合处理器602而被利用来获取、解码和/或执行机器可读存储介质604的指令的应用和/
或固件。应用和/或固件可以被存储在机器可读存储介质604上和/或被存储在计算设备600
的另一?#24674;?#19978;。

因此,本文公开的示例提供用于在将BIOS策略改变提交到储存器中之前授权该
BIOS策略改变的安全机制。此外,示例提供了对存储器中的BIOS策略的验证,以检测BIOS策
略是否可能被损坏。

关于本文
本文标题:授权BIOS策略改变用于存储.pdf
链接地址:http://www.pqiex.tw/p-6091902.html

[email protected] 2017-2018 zhuanlichaxun.net网站版权所有
经营许可证编号:粤ICP备17046363号-1 
 


平码五不中公式规律 辽宁福彩中奖到哪领奖 幸运飞艇历史开奖记录 山西泳坛夺金开奖 北京pk10赌博骗局 天津十一选五36期 手机版天津11选5走势图 晓游棋牌下载中心 pc蛋蛋本周走势图 澳洲幸运8开奖网记录 15选5专家推荐号码预测分析