CN100565418C - 用于信息处理系统的安全性系统和数据安全性验证方法 - Google Patents

Abstract

一种用于确保信息处理系统的硬件和软件的特定配置的安全性的方法和装置，所述信息处理系统使用“定购”系统来装配。本发明确保从制造商这一点至客户设施的最终目的地的信息处理系统上的数据的安全性和完整性。然后给信息处理系统装配上操作系统并将预先确定的软件集合安装其上。所构造的清单文件包含数据文件的预先确定集合和配置信息。清单由至少一个电子密钥来电子地标记。当信息处理系统执行其初始引导程序时，使用第二电子密钥来从清单文件提取信息，并将现有数据文件和配置信息与清单文件中包含的信息相比较。如果与清单相比较的任何信息有所改变，那么初始引导程序被指定为“无效”，并且通知用户安全性可能被破坏。

Description

用于信息处理系统的安全性系统和数据安全性验证方法

技术领域

本发明主要涉及信息处理系统的领域，并且更确切地说，涉及用于确保在信息处理系统上的软件和数据的安全性和完整性的方法和装置。

背景技术

随着信息的价值及其应用的持续增长，个体和公司都在寻找其他的方法来处理和存储信息。一种用户可使用的选择就是信息处理系统。信息处理系统通常处理、编辑、存储、和/或传达用于公司、个人、或其它目的的信息或数据，从而允许用户利用该信息的值。由于技术和信息处理需要和需求在不同的用户或应用之间变化，所以信息处理系统也可以根据处理的是什么信息，如何处理信息，处理、存储、和传达了多少信息，以及需要以多么迅速和有效地来处理、存储、或传达该信息，来进行变化。信息处理系统中的变化允许信息处理系统成为通用的，或者为诸如财务交易事务处理、航线预定、企业数据存储、或者全球通信的特定用户或特定使用而配置。此外，信息处理系统可以包括能够被配置以处理、存储和传达信息的各种硬件和软件组件，并且可以包括一个或多个计算机系统、数据存储系统和联网系统。

近年来，在基于“定制(build to order)”处理而制造的信息处理系统的数量上已经有所增长，所述“定制”处理允许客户指定硬件和软件选项。目前，“定制”制造商常常将信息处理系统从工厂运送到客户。在较小的客户情况下，客户可以直接接收系统。然而，对于较大的客户，信息处理系统可能经过许多中间实体诸如增值经销商(value added reseller，VAR)。

总地来说，不能为客户确保，信息处理系统的内容在离开制造设备的安全设置区域以后没有经过修改。然而，由于系统内容可以包括机密的客户设置信息，包括规定数据、配置数据和其它必须信息，所以确保系统内容的安全性和完整性是必要的。

工业上正在努力提高安全计算系统。然而，当前没有系统和程序用于确保信息处理系统从制造设备到客户的安全性。鉴于上文，需要一种方法和装置来确保包含在“定制”信息处理系统上的软件和数据的安全性和完整性。

发明内容

本发明通过提供用于确保信息处理系统的特定配置的硬件和软件的安全性的方法和装置来克服现有技术的缺陷，所述信息处理系统使用“定制”系统来装配。特别地，本发明确保在信息处理系统上的数据从制造点至客户设施的最终目的地的安全性和完整性。

通过使用多个电子密钥来生成电子封条并验证数据的预先确定的集合内容以及在存储在信息处理系统中的清单文件中所包含的系统参数，来实现本发明的方法和装置。在本发明的一个实施例中，使用公钥基础结构(PKI)加密密钥来生成电子封条。在本发明的替换实施例中，使用对称密钥来生成电子封条。

在使用PKI密钥实现的本发明实施例中，在定制信息处理系统的订单时客户提供公钥。然后信息处理系统与操作系统一起被制造，并且将软件文件的预先确定集合安装其上。当制作信息处理系统的处理完成时，构造清单文件，其包含多个指定的文件、寄存设置、规定信息以及特定安全级所需的任何其它信息。然后制造商利用私钥和客户公钥来“标记(sign)”该清单。当信息处理系统执行其初始引导程序时，由制造商提供的公钥被从信息处理系统的存储设备中提取出来，并将BIOS和CMOS与包含在加密的清单中的信息作比较。如果与清单相比较的任何信息有所改变，那么初始引导程序被指定为“无效”，并且用户被通知安全性可能被破坏。

如果系统通过在初始引导程序序列期间所执行的测试，那么该系统请求客户提供私钥信息。客户提供的私钥用于验证(根据需要或者再验证和/或解密)所有的“经标记的”信息和客户配置/定购信息。

在本发明可替换实施例中，使用对称的密钥来生成电子封条。在该实施例中，信息处理系统与操作系统一起被制造，并在其上安装一套预定软件。当制作信息处理系统的处理完成时，构造清单文件，其包含多个指定文件、寄存设置、规定信息以及特定安全级所需的任何其它信息。然后制造商利用制造商的私钥和在购买时已经提供给客户的对称密钥来“标记”该清单。当信息处理系统执行其初始引导程序时，由制造商提供的公钥被从信息处理系统中的存储设备提取出来，并将BIOS和CMOS与包含在加密的清单中的信息作比较。如果与清单相比较的任何信息有所改变，那么初始引导程序被指定为“无效”，并且用户被通知安全性可能被破坏。

如果系统通过在初始引导程序序列期间所执行的测试，那么该系统请求客户提供对称密钥。客户提供的对称密钥用于验证(根据需要或者再验证和/或解密)所有的“经标记的”信息和客户配置/定购信息。

包含对称密钥的可替换实施例具有减小易损性和增大灵活性的优点。例如，对称密钥实施例可以用于能够为客户印出密钥的经销商或卖方。正如在此所讨论的，由于终端用户必须具有是计算机的实质占有权以便使用对称密钥来初始化初始引导程序序列，因此对称密钥结合存储在计算机中的信息来提供综合性的安全性系统。

附图说明

通过参照附图，可以更好地理解本发明，并且其诸多目的、特点和优点对于本领域技术人员也显而易见。在整个几幅附图中，相同的参考数字表示相同或相似的元素。

图1是自动定制系统总体示例图，所述自动定制系统用于将软件安装到信息处理系统上。

图2是信息处理系统的系统框图。

图3是用于信息处理系统的安全数据递送系统的密钥组件的示例图。

图4是用于实现本发明的数据安全性系统的信息处理系统的可替换递送路径的示例图。

图5是本发明的方法和装置中实现的步骤的流程图。

具体实施方式

图1是在信息处理系统制造站点的软件安装系统100的示意图。操作中，发出订单110以购买目标信息处理系统120。目标信息处理系统120能够被制造以包含多个硬件和软件组件。举个例子，目标信息处理系统120可以包括某个品牌的硬盘驱动，特定类型监视器，某个品牌的处理器和软件。软件可以包括特定版本的操作系统以及所有适合的驱动软件和其它应用软件以及适合的软件错误修理。在目标信息处理系统120运算到客户之前，多个组件被安装和测试。这种软件安装和测试有利地确保了当被客户接收时准备运行的可信赖的、运转的信息处理系统。

由于不同种类信息处理系统和不同个体的计算机组件需要不同的软件安装，因而需要确定在目标信息处理系统120上安装哪一个软件。通过经由转换模块132将订单110转换成为计算机可读格式来提供描述符文件130，其对应于具有想要的组件的想要的信息处理系统。

组件描述符是目标信息处理系统120的组件的计算机可读描述，所述目标信息处理系统120的组件是由订单110定义的。在本发明的实施例中，组件描述符包括在叫做系统描述符记录的描述符文件中，所述系统描述符记录是包含将被安装到目标信息处理系统120上的硬件和软件的组件列表的计算机可读文件。在读取了多个组件描述符时，数据库服务器140通过网络连接144提供多个对应于组件描述符的软件组件至文件服务器142。网络连接144可以是本领域公知的任何网络连接，诸如局域网、内部网或因特网。在数据库服务器140中包含的信息常常被更新以便数据库包含新的工厂建造环境。然后将软件安装在目标信息处理系统120上。软件安装由软件安装管理服务器来控制，所述服务器可操作以控制操作系统和顾客指定的其它软件包的安装。

图2是信息处理系统的总体示例图，所述信息处理系统诸如图1中示例的目标信息处理系统120。信息处理系统包括处理器202、诸如显示器、键盘、鼠标的输入/输出(I/O)设备204、及其相关的控制器、硬盘驱动206、和诸如软盘的其它存储设备208、以及驱动和其它存储器设备、和各种其它子系统210，所有这些都经由一个或多个总线212互连。根据版本控制方法所安装的软件被安装到硬盘驱动206上。可替换的是，软件可以被安装到任何适合的非易失性存储器上。非易失性存储器也可以存储涉及哪一个工厂建造环境是用于安装该软件的信息。访问该信息使得用户具有对应于要建造的特定工厂建造环境的附加系统。

为了本公开的目的，信息处理系统可以包括可操作以计算、分类、处理、发送、接收、检索、发源、切换、存储、显示、证明、探测、记录、重现、处理、或利用任何形式的信息、情报、或用于商业、学术、控制、或其它目的的数据的手段或者手段的集合。例如，信息处理系统可以是个人计算机、网络存储设备或者任何其它任何适用的设备，并且可以在尺寸、形状、性能、功能和价格上变化。信息处理系统可以包括随机访问存储器(RAM)、诸如中央处理单元(CPU)或硬件或软件控制逻辑的一个或多个处理资源、ROM、和/或其它类型的非易失性存储器。信息处理系统的附加组件可以包括一个或多个硬盘驱动，用于与外部设备通信的一个或多个网络端口，以及各种输入和输出(I/O)设备，诸如键盘、鼠标和视频显示器。信息处理系统也可以包括一个或多个总线，可操作以在各种硬件组件之间发送通信。

图3是用于信息处理系统的安全数据递送系统的密钥组件的示例。硬件驱动206包含分区，其中涉及信息处理系统配置的信息被存储。清单文件216包含多个涉及信息处理系统的文件。例如，清单文件216可以包括涉及处理器序列号217的信息，涉及系统BIOS 218的信息和存储在CMOS 220中的其它配置信息。此外，预先确定选择的文件222，包括配置寄存器和其它客户定义的数据存储在清单216上。“经标记的”文件，有时在此称作电子“封条”224也存储在硬盘驱动206上。电子封条提供清单的内容的认证，并且对清单的内容的任何篡改都将导致电子封条被“损坏”。此外，在第一引导程序226中使用的操作系统的内核程序存储在硬盘驱动206上，并且涉及电子密钥228的信息可以存储在硬盘驱动上。在本发明一些实施例中，电子密钥228根据PKI协议将包含制造商的公钥。

在本发明的一个实施例中，安全性是基于PKI系统的。然而在可替换实施例中，客户可以经由安全SSL保护链路而定购来自制造商的系统。如果客户不具有PKI密钥，那么客户能够替代地请求对称密钥，其显示在网页上并且能够由客户来保存或者打印。使用加密套接字协议层(SSL)安全性系统，涉及对称密钥的信息保持在安全环境中。

当信息处理系统120到达客户站点时，客户使用对称密钥来“开封”。对称密钥实施例对于不具有公钥或者不知道如何使用公钥的客户特别有用。例如，如果计算机是礼物，那么客户能够打印出该密钥并将其交给礼物的接收方。即使该密钥通过未加密的电子邮件被暴露了，计算机的实际拥有者也能够使用它。该实施例也避免直接从因特网获得制造商公钥副本的积极的验证需求，而非信赖存储在硬盘驱动上的密钥。包含对称密钥的可替换实施例也具有减小易损性和增大灵活性的优点。例如，对称密钥实施例可以用于能够为客户打印出密钥的经销商或卖方。正如以上所讨论的，由于终端用户必须是计算机的实质拥有者以便使用对称密钥来开始初始引导程序，对称密钥结合存储在计算机中的信息提供综合性的安全性系统。

清单文件216的内容和安全验证级能够根据制造商或者客户为想要的安全级所选择的预先确定的安全参数而进行变化。例如，在一个安全级，安全信息能够包含经标记的配置文件和包含操作系统和引导程序文件的预先确定集合的清单文件。在该安全级，初始引导程序安全性能够包括BIOS和CMOS的校验和验证，并且能够带有或不带有终端用户的公钥来执行该验证。在另一个安全级，安全信息能够包括在初始引导程序期间，整个硬盘驱动206的经标记的校验和以及整个硬盘驱动和BIOS和CMOS的校验和验证。也能够利用终端用户的公钥或者不利用该密钥来实现该安全级。第三安全级能够包括加密的客户配置文件、经标记的操作系统和引导程序文件、和根据PKI协议使用电子密钥执行的各种校验和验证。第四安全级能够包括加密的客户配置文件、整个硬盘驱动206的经标记的校验和、以及根据PKI协议使用电子密钥的BIOS和CMOS的校验和验证。

图4是用于信息处理系统可替换递送路径的示意图，所述信息处理系统实现本发明数据安全性系统。在本发明一个实施例中，能够将该信息处理系统从制造设施400直接递送到客户402。信息处理系统120包括清单文件216和制造商电子封条224。在本发明可替换实施例中，将信息处理系统120递送至中间目的地404，所述中间目的地可能是通过安装软件和/或硬件增强组件的专门集合来修改信息处理系统120的顾问或增值经销商(VAR)。在将增强组件增加到该信息处理系统之后，VAR将如上所述在信息处理系统120a上安装经修改的清单文件216和经修改的电子封条224。然后能够将信息处理系统120a递送到客户402或者能够将其递送到另一个中间目的地403n以便另外的硬件和软件修改。在将增强组件已经增加到信息处理系统之后，每个中间VAR都将根据本发明在信息处理系统120a上安装经修改的清单文件216和经修改的电子封条224。一旦信息处理系统120a到达客户402，如上所述初始引导程序序列被初始化并且在信息上的数据的完整性得到验证。经修改的电子封条224的最终版本包含能够被用于建立“标题链”的信息，以证明每个中间VAR对信息处理系统120a作出的修改。而且，本发明可用于“返回(roll back)”签名以便为每个实体标识个别数字签名，所述实体在信息处理系统120a从制造商400至最终用户402的路途上对系统进行了修改。

图5是本发明的方法和装置中实现的步骤的流程示例图。在步骤502，该系统被邮递而在步骤506中最简单的操作系统被载入。在步骤508，执行数据安全验证程序。在步骤510，制造商提供的公钥从硬盘驱动获得，并且在步骤512运行算法以认证清单文件的内容。在步骤514，运行测试以确定各种系统组件是否匹配包含在认证清单中的数据。如果在步骤514中执行的测试表明系统内容不匹配清单，那么将通知提供给用户。然而，如果在步骤514中运行的测试表明系统组件匹配于清单文件，那么处理继续至步骤516其中运行校验和算法以验证BIOS的内容。在步骤518，执行测试以确定BIOS校验和操作的结果是否匹配于清单文件的内容。如果在步骤518执行的测试表明BIOS不匹配于清单文件的内容，那么将通知提供给用户。然而，如果在步骤518中执行的测试表明BIOS匹配于清单文件的内容，那么处理继续到步骤520，其中执行校验和算法以确定CMOS存储器的内容是否匹配于清单文件的内容。在步骤522，执行测试以确定在步骤520中执行的校验和算法是否表明CMOS存储器的内容匹配清单文件。如果在步骤522中执行的测试表明CMOS存储器的内容不匹配于清单文件，那么通知用户。然而，如果在步骤522中执行的测试结果表明CMOS存储器的内容匹配清单文件，那么处理继续到步骤524其中执行校验和算法以使用PKI-EBTS数据来确认电子密钥是否匹配于清单文件。在步骤526中，执行测试以确认在步骤524中执行的校验和算法是否表明PKI-EBTS数据匹配于清单。如果在步骤526中执行的测试表明PKI-EBTS数据的内容不匹配于清单，那么通知用户。然而，如果在步骤526中执行的测试结果表明PKI-EBTS数据匹配于清单，那么处理继续至步骤528，其中执行制造商“Electronic Break The Seal”算法并且请求用户提供合适的输入以初始化数据处理系统的操作。在步骤530，执行了操作系统的初始引导程序，并且将系统的软件安装到信息处理系统上。尽管是通过实现上文所讨论的所有的步骤来获得最大安全性，然而本领域技术人员将理解，在本发明范围内，可以实现这些安全性和验证步骤的子集来为信息处理系统的特定配置的硬件和软件提供有效的安全性。

其它实施例

其它实施例在以下权利要求范围内。

尽管已经详细描述了本发明，然而应当理解，在不脱离所附权利要求所定义的本发明精神和范围情况下能够对此作出各种改变、替代和变更。

Claims (18)

1.一种用于信息处理系统的安全性系统，包含：

数据存储设备，其可操作以存储多个数据文件；

存储在所述数据存储设备上的清单文件，其中所述清单文件包含从所述多个数据文件所选择的数据文件的预先确定集合，并且其中所述数据文件的预先确定集合具有公知状态；

存储在所述数据存储设备上的电子封条，其中使用至少一个电子密钥来生成所述电子封条；

对应于具有公知经修改状态的数据文件的预先确定集合的经修改的清单文件；

对应于所述经修改清单文件的经修改的电子封条，其中使用第二电子密钥来生成所述经修改的电子封条；

其中，在初始化所述信息处理系统时，电子地验证所述电子封条和所述经修改的电子封条并用其来进行比较操作，其中在所述清单文件和所述经修改的清单文件中的数据文件的预先确定集合与存储在所述数据存储设备上的数据文件的对应集合相比较，以确定所述数据文件的安全性状态。

2.如权利要求1所述的系统，其中在初始化所述信息处理系统时从所述存储设备中自动地提取所述电子密钥。

3.如权利要求1所述的系统，其中使用公钥基础结构实现的第一多个电子密钥来生成所述电子封条。

4.如权利要求3所述的系统，其中用于生成所述电子封条的所述第一多个安全性密钥包含用于第一方的至少一个公钥和用于第二方的至少一个私钥。

5.如权利要求4所述的系统，其中使用第二多个安全性密钥来验证所述电子封条包含用于所述第一方的至少一个私钥和用于所述第二方的至少一个公钥。

6.如权利要求1所述的系统，其中使用公钥基础结构实现的第一多个电子密钥来生成所述经修改的电子封条。

7.如权利要求6所述的系统，其中用于生成所述电子封条的所述第一多个安全性密钥包含用于第一方的至少一个公钥和用于第二方的至少一个私钥。

8.如权利要求7所述的系统，其中使用第二多个安全性密钥来验证所述经修改的电子封条包含用于所述第一方的至少一个私钥和用于所述第二方的至少一个公钥。

9.如权利要求1所述的系统，其中所述经修改的清单文件包含具有对应于其连续修改序列的公知经修改状态的数据文件，并且其中所述经修改的电子封条包含对应于关联所述清单文件的所述连续修改所生成的电子封条序列的数据。

10.一种用于验证在信息处理系统上递送的数据安全性的方法，包含：

将清单文件存储在所述信息处理系统中的数据存储设备上，其中所述清单文件包含从所述多个数据文件选择的数据文件的预先确定集合，并且其中数据文件的所述预先确定集合具有公知状态；

使用至少一个电子密钥来生成电子封条；

将所述电子封条存储到所述数据存储设备上；

生成对应于具有公知经修改状态的数据文件的预先确定集合的经修改的清单文件；

生成对应于所述经修改清单文件的经修改的电子封条，其中使用第二电子密钥来生成所述经修改的电子封条；

在初始化所述信息处理系统时，验证所述电子封条和所述经修改的电子封条；以及

使用所述电子封条来进行比较操作，其中在所述清单文件和所述经修改的清单文件中的数据文件的预先确定集合与存储在所述数据存储设备上的数据文件的对应集合相比较，以确定所述数据文件的安全性状态。

11.如权利要求10所述的方法，其中在初始化所述信息处理系统时从所述数据存储设备中自动地提取所述电子密钥。

12.如权利要求10所述的方法，其中使用公钥基础结构实现的第一多个电子密钥来生成所述电子封条。

13.如权利要求12所述的方法，其中用于生成所述电子封条的所述第一多个安全性密钥包含用于第一方的至少一个公钥和用于第二方的至少一个私钥。

14.如权利要求13所述的方法，其中使用第二多个安全性密钥来验证所述电子封条包含用于所述第一方的至少一个私钥和用于所述第二方的至少一个公钥。

15.如权利要求10所述的方法，其中使用公钥基础结构所实现的第一多个电子密钥来生成所述经修改的电子封条。

16.如权利要求15所述的方法，其中用于生成所述电子封条的所述第一多个安全性密钥包含用于第一方的至少一个公钥和用于第二方的至少一个私钥。

17.如权利要求16所述的方法，其中使用第二多个安全性密钥来验证所述经修改的电子封条包含用于所述第一方的至少一个私钥和用于所述第二方的至少一个公钥。

18.如权利要求10所述的方法，其中所述经修改的清单文件包含具有对应于其连续修改序列的公知经修改状态的数据文件，并且其中所述经修改的电子封条包含对应于关联所述清单文件的所述连续修改而生成的电子封条序列的数据。

Images