DE102005038866A1

DE102005038866A1 - Sicheres elektronisches Auslieferungssiegel für ein informationsverarbeitendes System

Info

Publication number: DE102005038866A1
Application number: DE102005038866A
Authority: DE
Inventors: Clint H. Austin O'Connor; Douglas M. Dripping Springs Anson
Original assignee: Dell Products LP
Current assignee: Dell Products LP
Priority date: 2004-08-27
Filing date: 2005-08-17
Publication date: 2006-03-30
Anticipated expiration: 2025-08-18
Also published as: BRPI0504665A; MY139166A; CN100565418C; GB2417583A; CN1740944A; US20060048222A1; JP2006139754A; SG140612A1; TWI330784B; GB2417583B; IE20050520A1; KR20060050590A; SG120273A1; BRPI0504665B1; GB0516871D0; TW200617677A; HK1092555A1; DE102005038866B4

Abstract

Ein Verfahren und eine Vorrichtung zur Sicherstellung der Sicherheit einer bestimmten Konfiguration von Hardware und Software für ein informationsverarbeitendes System, das unter Verwendung eines "Fertigung auf Bestellung"-Systems zusammengesetzt ist. Die vorliegende Erfindung stellt die Sicherheit und Integrität von Daten auf einem informationsverarbeitenden System von dem Punkt der Herstellung zu dem letzten Ziel an der Einrichtung des Kunden sicher. Das informationsverarbeitende System wird dann mit dem Betriebssystem hergestellt und ein vorbestimmter Satz von Software wird darauf installiert. Eine Auflistungsdatei wird erzeugt, umfassend einen vorbestimmten Satz von Dateien und Konfigurationsinformationen. Die Auflistungsdatei wird mit wenigstens einem elektronischen Schlüssel elektronisch signiert. Wenn das informationsverarbeitende System seinen ersten Start durchführt, wird ein zweiter elektronischer Schlüssel verwendet, um Informationen von der Auflistungsdatei zu extrahieren, und die existierenden Dateien und Konfigurationsinformationen werden mit den Informationen verglichen, die in der Auflistungsdatei enthalten sind. Wenn irgendeine der Informationen im Vergleich zu der Auflistung geändert wurde, wird der erste Start als "ungültig" gekennzeichnet, und der Anwender wird über die Möglichkeit einer Sicherheitsverletzung benachrichtigt.

Description

Hintergrund der Erfindung
Bereich der Erfindung
Die vorliegende Erfindung betrifft im Allgemeinen das Gebiet der informationsverarbeitenden Systeme und insbesondere ein Verfahren und eine Vorrichtung, um die Sicherheit und Integrität von Software und Daten auf einem informationsverarbeitenden System sicherzustellen.

In dem Maße wie der Wert und die Verwendung von Informationen weiter zunimmt, suchen Einzelpersonen und Unternehmen nach zusätzlichen Wegen, Information zu verarbeiten und zu speichern. Eine Möglichkeit, die Anwendern zur Verfügung steht, sind informationsverarbeitende Systeme. Ein informationsverarbeitendes System verarbeitet, kompiliert, speichert und/oder kommuniziert im Allgemeinen Information oder Daten für Unternehmenszwecke, persönliche Zwecke oder andere Zwecke und ermöglicht damit Anwendern, aus dem Wert der Information einen Vorteil zu ziehen. Da die Technologie und die Anforderungen an die Informationsverarbeitung bei unterschiedlichen Anwendern oder Anwendungen variieren, können auch informationsverarbeitende Systeme variieren im Hinblick darauf, welche Information verarbeitet wird, wie die Information verarbeitet wird, wie viel Information verarbeitet, gespeichert oder kommuniziert wird und wie schnell und effizient die Information verarbeitet, gespeichert oder kommuniziert werden kann. Die Variationen von informationsverarbeitenden Systemen ermöglichen, dass informationsverarbeitende Systeme allgemein konfiguriert sind oder für einen speziellen Anwender oder eine spezielle Verwendung konfiguriert werden, z.B. die Verarbeitung von Finanztransaktionen, die Reservierungen einer Fluggesellschaft, die Speicherung von Unternehmensdaten oder die globale Kommunikation. Darüber hinaus können informationsverarbeitende Systeme eine Vielzahl von Hardware- und Softwarekomponenten umfassen, die konfiguriert werden können, um Information zu verarbeiten, zu speichern und zu kommunizieren und die eines oder mehrere Computersysteme, Datenspeichersysteme und Netzwerksysteme umfassen können.

In den letzten Jahren hat die Anzahl von informationsverarbeitenden Systemen zugenommen, die basierend auf einem „Fertigung auf Bestellung" Vorgang („buil to order") gefertigt werden, der es einem Kunden ermöglicht, Hardware- und Softwareoptionen zu spezifizieren. Gegenwärtig versendet ein Hersteller einer „Fertigung auf Bestellung" informationsverarbeitende Systeme häufig von der Fabrik an den Kunden. Im Fall von kleineren Kunden kann der Kunde das System direkt empfangen. Für größere Kunden kann es jedoch sein, dass das informationsverarbeitende System eine Anzahl von Zwischeneinheiten passiert, wie beispielsweise Weiterverkäufer (value added resellers, VARs). Im Allgemeinen gibt es keine Sicherheit für den Kunden, dass die Inhalte des informationsverarbeitenden Systems nach dem Verlassen des sicheren Fertigstellungsbereichs in der Herstellungseinrichtung nicht modifiziert worden sind. Das Sicherstellen der Sicherheit und der Integrität der Systeminhalte ist jedoch essentiell, da die Systeminhalte vertrauliche Einstellungsinformationen des Kunden umfassen können, einschließlich Beschaffungsdaten, Konfigurationsdaten und anderer sensitiver Information.

In der Industrie werden Anstrengungen unternommen, um die Sicherheit von Computersystemen zu verbessern. Es gibt jedoch kein gegenwärtiges System oder einen Vorgang, um die Sicherheit von informationsverarbeitenden Systemen beim Übergang von einer Herstellungseinheit zum Kunden sicherzustellen. In Anbetracht des Vorangegangen besteht eine Notwendigkeit für ein Verfahren und eine Vorrichtung, um die Sicherheit und Integrität von Software und Daten sicherzustellen, die in einem „auf Bestellung hin gefertigten" informationsverarbeitenden System enthalten sind.

Zusammenfassung der Erfindung

Die vorliegende Erfindung überwindet die Nachteile des Standes der Technik, indem ein Verfahren und eine Vorrichtung bereitgestellt wird, die die Sicherheit einer speziellen Konfiguration von Hardware und Software für ein informationsverarbeitendes System sicherstellt, das unter der Verwendung eines Systems zur „Fertigung auf Bestellung" zusammengebaut worden ist. Genauer ausgedrückt, stellt die vorliegende Erfindung die Sicherheit und Integrität von Daten auf einem informationsverarbeitenden System sicher, vom Herstellungspunkt bis zum letztendlichen Ziel in einer Einrichtung eines Kunden.

Das Verfahren und die Vorrichtung der vorliegenden Erfindung wird implementiert unter Verwendung einer Mehrzahl elektronischer Schlüssel, um elektronische Siegel zu erzeugen, und um die Inhalte eines vorbestimmten Satzes von Daten und Systemparametern zu verifizieren, die in einer Auflistungsdatei (manifest file) enthalten sind, die in dem informationsverarbeitenden System gespeichert ist. In einem Ausführungsbeispiel der Erfindung wird das elektronische Siegel erzeugt unter der Verwendung von Verschlüsselungsschlüsseln einer Infrastruktur mit öffentlichen Schlüsseln (public key infrastructure, PKI). In einem anderen Ausführungsbeispiel der Erfindung wird das elektronische Siegel erzeugt unter der Verwendung von symmetrischen Schlüsseln.

In dem Ausführungsbeispiel der Erfindung, das unter der Verwendung eines PKI-Schlüssels implementiert wird, stellt ein Kunde einen öffentlichen Schlüssel zu dem Zeitpunkt bereit, an dem eine Bestellung für ein informationsverarbeitendes System aufgegeben wird. Das informationsverarbeitende System wird daraufhin hergestellt, wobei das Betriebssystem und ein vorbestimmter Satz von Softwaredateien darauf installiert wird. Wenn der Vorgang der Herstellung des informationsverarbeitenden Systems abgeschlossen ist, wird die Auflistungsdatei konstruiert, die eine Mehrzahl von spezifizierten Dateien, Registry-Einstellungen, Beschaffungsinformation und jeglicher weiterer Information aufweist, die für ein spezifisches Niveau an Sicherheit erforderlich ist. Der Hersteller „signiert" daraufhin diese Auflistung mit einem privaten Schlüssel und dem öffentlichen Schlüssel des Kunden. Wenn das informationsverarbeitende System zum ersten Mal startet bzw. bootet, wird der öffentliche Schlüssel, der vom Hersteller bereitgestellt wird, aus dem Speicher in dem informationsverarbeitenden System extrahiert und ein Vergleich des BIOS und des CMOS mit der Information, die in der verschlüsselten Auflistung enthalten ist, wird daraufhin durchgeführt. Wenn irgendeine der Information verglichen mit der Auflistung geändert worden ist, wird der erste Startvorgang als „ungültig" bezeichnet, und dem Anwender wird die Möglichkeit eines Sicherheitsbruchs mitgeteilt.

Wenn das System den Test, der während der ersten Startsequenz durchgeführt wird, bestanden hat, fordert das System daraufhin den Kunden auf, private Schlüsselinformation bereitstellt. Der vom Kunden bereitgestellte private Schlüssel wird dazu verwendet, sämtliche der „signierten" Information und der Kundeninformation über die Konfiguration/Bestellung zu verifizieren (oder um erneut zu verifizieren und/oder zu entschlüsseln, falls erforderlich).

In einem alternativen Ausführungsbeispiel der Erfindung wird das elektronische Siegel erzeugt unter Verwendung eines symmetrischen Schlüssels. In diesem Ausführungsbeispiel wird das informationsverarbeitende System hergestellt, wobei das Betriebssystem und ein vorbestimmter Satz von Software darauf installiert werden. Wenn der Prozess der Herstellung des informationsverarbeitenden Systems abgeschlossen ist, wird eine Auflistungsdatei mit einer Mehrzahl von spezifizierten Dateien, Registry-Einstellungen, Beschaffungsinformation und jeglichen anderen Informationen aufgebaut, die für ein spezifisches Maß an Sicherheit benötigt werden. Der Hersteller „signiert" dann diese Auflistung mit dem privaten Schlüssel des Herstellers und dem symmetrischen Schlüssel, der dem Kunden beim Zeitpunkt des Einkaufes bereitgestellt worden ist. Wenn das informationsverarbeitende System zum ersten Mal startet, wird der öffentliche Schlüssel, der vom Hersteller bereitgestellt worden ist, aus dem Speicher des informationsverarbeitenden Systems extrahiert und ein Vergleich des BIOS und des CMOS mit der in der verschlüsselten Auflistung enthaltenen Information wird durchgeführt. Wenn irgendeine der Informationen verglichen mit der Auflistung geändert worden ist, wird der ursprüngliche Startvorgang als „ungültig" bezeichnet und dem Anwender wird mitgeteilt, dass die Sicherheit möglicherweise durchbrochen worden ist.

Wenn das System den Test bestanden hat, der während der ersten Bootsequenz durchgeführt worden ist, verlangt es daraufhin vom Kunden einen symmetrischen Schlüssel bereitzustellen. Der vom Kunden bereitgestellte symmetrische Schlüssel wird dazu verwendet, sämtliche der „signierten" Information und der Kundenkonfiguration/Bestellinformation zu verifizieren (oder erneut zu verifizieren und/oder zu entschlüsseln, falls erforderlich).

Das alternative Ausführungsbeispiel mit einem symmetrischen Schlüssel hat den Vorteil des Minimierens der Verwundbarkeit und des Maximierens der Flexibilität. Beispielsweise kann das Ausführungsbeispiel mit einem symmetrischen Schlüssel für einen Händler oder einen Verkäufer verwendet werden, der den Schlüssel für einen Kunden ausdrucken kann. Wie hier erläutert, stellt der symmetrische Schlüssel in Verbindung mit der in dem Computer gespeicherten Information ein vollständig sicheres System bereit, da der Endanwender physischen Besitz über den Computer haben muss, um die anfängliche Startsequenz unter Verwendung des symmetrischen Schlüssels zu beginnen.

Kurze Beschreibung der Zeichnungen

Die vorliegende Erfindung lässt sich besser verstehen und ihre zahlreichen Ziele, Merkmale und Vorteile werden dem Fachmann deutlich durch Bezugnahme auf die begleitenden Figuren. Die Verwendung von gleichen Bezugszeichen über mehrere Figuren hinweg bezeichnet ein gleiches oder ein ähnliches Element.

1 ist eine allgemeine Darstellung eines automatisierten Systems für eine Fertigung auf Bestellung zur Installation von Software auf einem informationsverarbeitenden System.

2 ist ein Systemblockdiagramm eines informationsverarbeitenden Systems.

3 ist eine Darstellung der wichtigsten Komponenten eines sicheren Datenauslieferungssystems für ein informationsverarbeitendes System.

4 ist eine Darstellung von alternativen Auslieferungswegen für informationsverarbeitende Systeme, die das Datensicherheitssystem der vorliegenden Erfindung implementieren.

5 ist ein Flussdiagramm zur Erläuterung der Schritte, die in dem Verfahren und der Vorrichtung der vorliegenden Erfindung implementiert werden.

Detaillierte Beschreibung

1 ist ein schematisches Diagramm eines Softwareinstallationssystems 100 in einer Herstellungseinrichtung für informationsverarbeitende Systeme. Im Betrieb wird eine Bestellung 110 aufgegeben, um ein informationsverarbeitendes Zielsystem 120 zu erwerben. Das informationsverarbeitende Zielsystem 120, das hergestellt werden soll, enthält eine Vielzahl von Hardware- und Softwarekomponenten. Beispielsweise könnte das informationsverarbeitende Zielsystem 120 eine bestimmte Marke einer Festplatte umfassen, eine besondere Art eines Bildschirms, eine bestimmte Marke eines Prozessors und Software. Die Software kann eine spezielle Version eines Betriebssystems umfassen, zusammen mit der gesamten geeigneten Treibersoftware und anderer Anwendungssoftware zusammen mit geeigneten Fehlerkorrekturdateien für die Software. Bevor das informationsverarbeitende Zielsystem 120 an den Kunden versandt wird, wird die Vielzahl von Komponenten installiert und getestet. Solch eine Softwareinstallation und das Testen stellen in vorteilhafter Weise ein zuverlässiges, funktionierendes informmationsverarbeitendes System sicher, das betriebsbereit ist, wenn es von einem Kunden empfangen wird.

Da unterschiedliche Familien von informationsverarbeitenden Systemen und unterschiedliche individuelle Computerkomponenten unterschiedliche Softwareinstallationen verlangen, ist es erforderlich, festzustellen, welche Software auf einem informationsverarbeitenden Zielsystem 120 installiert werden soll. Eine Deskriptordatei 130 wird bereitgestellt, in dem eine Bestellung 110, die einem gewünschten informationsverarbeitenden System mit gewünschten Komponenten entspricht, in ein computerlesbares Format über ein Konversionsmodul 132 konvertiert wird.

Komponentendeskriptoren sind computerlesbare Beschreibungen der Komponenten des Zielcomputersystems 120, die durch die Bestellung 110 definiert worden sind. In einem Ausführungsbeispiel der vorliegenden Erfindung sind die Komponentendeskriptoren in einer Deskriptordatei enthalten, die als Systemdeskriptoreintrag bezeichnet wird. Dabei handelt es sich um eine computerlesbare Datei, die eine Liste der Komponenten enthält, sowohl der Hardware als auch der Software, die auf dem informationsverarbeitenden Zielsystem 120 installiert werden sollen. Nach dem Lesen der Mehrzahl der Komponentendeskriptoren stellt ein Datenbankserver 140 für einen Fileserver 142 über die Netzwerkverbindung 144 eine Mehrzahl von Softwarekomponenten bereit, die den Komponentendeskriptoren entsprechen. Die Netzwerkverbindungen 144 können irgendeine Netzwerkverbindung sein, wie sie im Stand der Technik bekannt ist, wie z.B. ein lokales Netzwerk, ein Intranet oder das Internet. Die in dem Datenbankserver 140 enthaltene Information wird häufig aktualisiert, so dass die Datenbank eine neue, in der Fabrik erstellte Umgebung enthält. Die Software wird daraufhin auf dem informationsverarbeitenden Zielsystem 120 installiert. Die Softwareinstallation wird durch einen Softwareinstallationsmanagementserver gesteuert, der in der Lage ist, die Installation des Betriebssystems und anderer Softwarepakete, die vom Kunden spezifiziert worden sind, zu steuern.

2 ist eine verallgemeinerte Darstellung eines informationsverarbeitenden Systems, wie z.B. des informationsverarbeitenden Zielsystems 120, das in 1 dargestellt ist. Das informationsverarbeitende System umfasst einen Prozessor 202, Eingabe-/Ausgabe-(I/O-) Geräte 204, wie z.B. eine Anzeige, eine Tastatur, eine Maus, zugeordnete Kontroller, ein Festplattenlaufwerk 206 und andere Speichergeräte 208, wie z.B. eine Diskette und ein Laufwerk und andere Speichergeräte, sowie zahlreiche Subsysteme 210, die alle über einen oder mehrere Busse 212 verbunden sind. Die Software wird gemäß des Versionsverfahrens (bzw. der „versioning methodology") auf dem Festplattenlaufwerk 206 installiert. Alternativ kann die Software auf einem geeigneten nichtflüchtigen Speicher installiert werden. Der nichtflüchtige Speicher kann ferner Information speichern, die sich darauf bezieht, welche Herstellungsumgebung in der Fabrik verwendet worden ist, um die Software zu installieren. Der Zugriff auf diese Information ermöglicht es einem Anwender, dass zusätzliche Systeme hergestellt werden entsprechend einer speziellen Aufbauumgebung in der Fabrik.

Für die Zwecke dieser Offenbarung kann ein informationsverarbeitendes System jedes Instrument oder jede Ansammlung von Instrumenten umfassen, die in der Lage sind, jegliche Form von Information, Intelligenz oder Daten für Unternehmens-, wissenschaftliche, Steuer- oder andere Zwecke zu berechnen, zu klassifizieren, zu verarbeiten, zu übertragen, zu empfangen, abzurufen, zu erzeugen, zu schalten, zu speichern, anzuzeigen, aufzulisten, zu detektierten, aufzunehmen, erneut zu erzeugen, zu bearbeiten oder zu verwenden. Beispielsweise kann ein informationsverarbeitendes System ein Personalcomputer sein, ein Netzwerkspeichergerät oder jedes andere geeignete Gerät und kann in Größe, Form, Leistungsfähigkeit, Funktionalität und Preis variieren. Das informationsverarbeitende System kann einen Direktzugriffsspeicher (RAM), eine oder mehrere verarbeitende Ressourcen, wie z.B. eine zentrale Verarbeitungseinheit (CPU) oder Hardware- oder Softwaresteuerlogik (ROM) und/oder andere Arten von nichtflüchtigem Speicher umfassen. Zusätzliche Komponenten des informationsverarbeitenden Systems können eines oder mehrere Plattenlaufwerke umfassen, einen oder mehrere Netzwerkports zur Kommunikation mit externen Geräten sowie verschiedene Eingabe- und Ausgabe-(I/O-)Geräte wie z.B. eine Tastatur, eine Maus und eine Graphikanzeige. Das informationsverarbeitende System kann einen oder mehrere Busse umfassen, die in der Lage sind, eine Kommunikation zwischen den verschiedenen Hardwarekomponenten zu übertragen.

3 ist eine Darstellung der Schlüsselkomponenten eines sicheren Datenauslieferungssystems für ein informationsverarbeitendes System. Das Festplattenlaufwerk 206 umfasst eine Partition, in der Information gespeichert ist, die sich auf die Konfiguration des informationsverarbeitenden Systems bezieht. Eine Auflistungsdatei 216 enthält eine Mehrzahl von Dateien, die sich auf das informationsverarbeitende System beziehen. Beispielsweise kann die Auflistungsdatei 216 Information umfassen, die sich auf eine Seriennummer 217 des Prozessors bezieht, Information die sich auf das BIOS 218 des Systems bezieht und andere Konfigurationsinformation, die in dem CMOS 220 gespeichert ist. Zusätzlich wird eine vorbestimmte Auswahl von Dateien 222 in der Auflistung 216 gespeichert, einschließlich Konfigurationsregistern und anderen vom Kunden definierten Daten. Eine „signierte" Datei, die im Folgenden auch manchmal als elektronisches „Siegel" 224 bezeichnet wird, ist ebenfalls auf der Festplatte 206 gespeichert. Das elektronische Siegel ermöglicht eine Authentifizierung der Inhalte der Auflistung. Jegliches Verändern der Inhalte der Auflistung führt dazu, dass das elektronische Siegel „gebrochen" wird. Zusätzlich ist ein Kernel für das Betriebssystem, das beim ersten Starten 226 verwendet wird, auf der Festplatte 206 gespeichert, ferner kann Information, die sich auf den elektronischen Schlüssel 228 bezieht auf der Festplatte gespeichert werden. In einigen Ausführungsbeispielen der Erfindung wird der elektronische Schlüssel 228 den öffentlichen Schlüssel eines Herstellers gemäß den PKI-Protokollen umfassen.
In einem Ausführungsbeispiel der vorliegenden Erfindung basiert die Sicherheit auf einem PKI-System. In einem alternativen Ausführungsbeispiel kann jedoch ein Kunde ein System von einem Hersteller über eine sichere SSL-geschützte Verbindung bestellen. Wenn ein Kunde keinen PKI-Schlüssel hat, kann der Kunde stattdessen einen symmetrischen Schlüssel verlangen, der auf einer Webseite angezeigt wird, und vom Kunden gespeichert oder ausgedruckt werden kann. Unter Verwendung eines Secure-Socket-Layer (SSL) Sicherheitssystems kann die Information, die sich auf den symmetrischen Schlüssel bezieht, in einer sicheren Umgebung gehalten werden.
Wenn das informationsverarbeitende System 120 beim Kunden ankommt, verwendet der Kunde den symmetrischen Schlüssel, um das „Siegel zu brechen". Das Ausführungsbeispiel mit dem symmetrischen Schlüssel ist besonders nützlich für Kunden, die keinen öffentlichen Schlüssel haben oder nicht wissen, wie man ihn verwendet. Wenn beispielsweise der Computer ein Geschenk ist, kann der Kunde den Schlüssel ausdrucken und ihn dem Empfänger des Geschenkes übergeben. Selbst wenn der Schlüssel durch die Verwendung von ungesicherter E-Mail exponiert wird, ist es erforderlich den Computer physisch zu besitzen, um ihn zu verwenden. Dieses Ausführungsbeispiel vermeidet ferner das Erfordernis einer positiven Verifizierung des Erhaltens einer Kopie des öffentlichen Schlüssels des Herstellers direkt über das Internet, anstelle des Sich-Verlassens auf den auf der Festplatte gespeicherten Schlüssel. Das alternative Ausführungsbeispiel mit einem symmetrischen Schlüssel hat ferner den Vorteil, dass die Verwundbarkeit minimiert wird und die Flexibilität maximiert wird. Beispielsweise kann das Ausführungsbeispiel mit dem symmetrischen Schlüssel für einen Händler oder einen Verkäufer verwendet werden, der den Schlüssel für einen Kunden ausdrucken kann. Wie oben erläutert stellt der symmetrische Schlüssel in Verbindung mit der auf dem Computer gespeicherten Information ein vollständiges Sicherheitssystem dar, da der Endanwender im physischen Besitz des Computers sein muss, um die erste Startsequenz unter Verwendung des symmetrischen Schlüssels zu beginnen.
Die Inhalte der Auflistungsdatei 216 und das Maß der Sicherheitsverifikation kann variieren abhängig von vorbestimmten Sicherheitsparametern, die vom Hersteller oder Kunden für ein gewünschtes Maß an Sicherheit ausgewählt worden sind. Beispielsweise kann die Sicherheitsinformation für ein bestimmtes Maß an Sicherheit signierte Konfigurationsdateien umfassen und eine Auflistungsdatei, die einen vorbestimmten Satz von Betriebssystemdateien und Startdateien bzw. Bootdateien umfasst. Bei diesem Maß an Sicherheit kann die Sicherheit beim ersten Starten die Verifikation einer Prüfsumme des BIOS und des CMOS umfassen und die Überprüfung kann mit oder ohne den öffentlichen Schlüssel des Endanwenders durchgeführt werden. Bei einem anderen Maß an Sicherheit kann die Sicherheitsinformation eine signierte Prüfsumme der gesamten Festplatte 206 umfassen und eine Prüfsummenverifizierung der gesamten Festplatte und des BIOS und des CMOS während des ersten Bootvorgangs. Dieses Maß an Sicherheit kann ferner implementiert werden mit oder ohne den öffentlichen Schlüssel des Endanwenders. Ein drittes Maß an Sicherheit kann verschlüsselte Kundenkonfigurationsdateien umfassen, signierte Betriebssystemdateien und Startdateien und verschiedene Prüfsummenverifikationen, die durchgeführt werden unter der Verwendung von elektronischen Schlüsseln gemäß den PKI-Protokollen. Ein viertes Maß an Sicherheit kann verschlüsselte Kundenkonfigurationsdateien, eine signierte Prüfsumme der gesamten Festplatte 206 und eine Prüfsummenverifikation des BIOS und des CMOS umfassen unter Verwendung von elektronischen Schlüsseln gemäß den PKI-Protokollen.
4 ist eine Darstellung von alternativen Auslieferungswegen für informationsverarbeitende Systeme, die das Datensicherheitssystem der vorliegenden Erfindung implementieren. In einer Ausführungsform der Erfindung kann ein informmationsverarbeitendes System direkt von einer Herstellungseinrichtung 400 zu einem Kunden 402 geliefert werden. Das informationsverarbeitende System 120 enthält eine Auflistungsdatei 216 und das elektronische Siegel 224 des Herstellers. In einer alternativen Ausführungsform der Erfindung wird das informationsverarbeitende System 120 zu einem Zwischenziel 404 geliefert, welches ein Berater oder ein Weiterverkäufer (VAR) sein kann, der das informationsverarbeitende System 120 durch Installieren eines spezialisierten Satzes von Software und/oder Hardwareverbesserungen modifiziert. Nachdem die Verbesserungen dem informationsverarbeitenden System hinzugefügt wurden, wird der Weiterverkäufer eine modifizierte Auflistungsdatei 216 und ein modifiziertes elektronisches Siegel 224 auf dem informationsverarbeitenden System 120a, wie oben beschrieben, installieren. Das informationsverarbeitende System 120a kann dann zum Kunden 402 geliefert werden oder zu einem weiteren Zwischenziel 403n für zusätzliche Hardware- und Softwaremodifikationen. Nachdem die Verbesserungen dem informationsverarbeitenden System hinzugefügt wurden, wird jeder der Zwischenweiterverkäufer in Übereinstimmung mit der vorliegenden Erfindung eine modifizierte Auflistungsdatei 216 und ein modifiziertes elektronisches Siegel 224 auf dem informationsverarbeitenden System 120a installieren. Sobald das informationsverarbeitende System 120a bei dem Kunden 402 ankommt, wird eine erste Startsequenz initiiert und die Integrität der Daten oder der Informationen wird, wie oben beschrieben, verifiziert. Die endgültige Version des modifizierten elektronischen Siegels 224 enthält Informationen, die verwendet werden können, um eine „Titelkette" einzurichten, um die Modifikationen zu dokumentieren, die an dem informationsverarbeitenden System 120a durch jeden der Zwischenweiterverkäufer vorgenommen wurden. Darüber hinaus kann die vorliegende Erfindung verwendet werden, um Signaturen „rückabzuwicklen", um individuelle digitale Signaturen für jede Instanz zu identifizieren, welche das Informationsverarbeitende System 120a auf seinem Weg von dem Hersteller 400 zu dem Endnutzer 402 modifiziert haben.
5 ist eine Flussdiagrammdarstellung der Schritte, die in dem Verfahren und der Vorrichtung der vorliegenden Erfindung verwirklicht werden. In Schritt 502 wird das System verschickt und ein minimales Betriebssystem wird in Schritt 506 geladen. In Schritt 508 wird das Programm zur Datensicherheitsverifikation implementiert. In Schritt 510 wird der öffentliche Schlüssel, der vom Hersteller bereitgestellt wird, von der Festplatte erhalten und in Schritt 512 wird ein Algorithmus ausgeführt, um die Inhalte der Auflistungsdatei zu authentifizieren. In Schritt 514 wird ein Test durchgeführt, um zu bestimmen, ob die verschiedenen Systemkomponenten mit den Daten übereinstimmen, die in der Authentifizierungsauflistung enthalten sind. Wenn der in Schritt 514 durchgeführte Test anzeigt, dass die Systeminhalte nicht mit der Auflistung übereinstimmen, wird dem Anwender eine Mitteilung gegeben. Wenn der Testlauf in Schritt 514 allerdings anzeigt, dass die Systemkomponenten der Auflistungsdatei entsprechen, fährt die Verarbeitung mit Schritt 516 fort, worin ein Prüfsummenalgorithmus durchgeführt wird, um die Inhalte des BIOS zu verifizieren. In Schritt 518 wird ein Test durchgeführt, um zu bestimmen, ob die Ergebnisse des Prüfsummenvorgangs für das BIOS mit den Inhalten der Auflistungsdatei übereinstimmen. Wenn der in Schritt 518 durchgeführte Test anzeigt, dass das BIOS nicht mit den Inhalten der Auflistungsdatei übereinstimmt, wird dem Anwender eine Mitteilung bereit gestellt. Wenn der in Schritt 518 durchgeführte Test allerdings anzeigt, dass das BIOS mit den Inhalten der Auflistungsdatei übereinstimmt, geht die Verarbeitung weiter zu Schritt 520, wo ein Prüfsummenalgorithmus ausgeführt wird, um zu bestimmen, ob die Inhalte des CMOS-Speichers mit den Inhalten der Auflistungsdatei übereinstimmen. In Schritt 522 wird ein Test durchgeführt um zu bestimmen, ob der Prüfsummenalgorithmus, der in Schritt 520 durchgeführt wurde, anzeigt, dass die Inhalte des CMOS-Speichers mit der Auflistungsdatei übereinstimmen. Wenn der in Schritt 522 durchgeführte Test anzeigt, dass die Inhalte des CMOS-Speichers nicht mit der Auflistungsdatei übereinstimmen, wird der Anwender informiert. Wenn die Resultate des in Schritt 522 durchgeführten Tests allerdings anzeigen, dass die Inhalte des CMOS-Speichers mit der Auflistungsdatei übereinstimmen, fährt die Verarbeitung mit Schritt 524 fort, wo ein Prüfsummenalgorithmus ausgeführt wird, um die PKI-EBTS-Daten zu verwenden, um zu bestätigen, ob der elektronische Schlüssel mit der Auflistungsdatei übereinstimmt. In Schritt 526 wird ein Test durchgeführt, um zu bestimmen, ob der Prüfsummenalgorithmus, welcher in Schritt 524 ausgeführt wurde, anzeigt, dass die PKI-EBTS-Daten mit der Auflistung übereinstimmen. Wenn der in Schritt 526 durchgeführte Test anzeigt, dass die Inhalte der PKI-EBTS-Daten nicht mit der Auflistung übereinstimmen, wird der Anwender benachrichtigt. Wenn allerdings die Ergebnisse des in Schritt 526 durchgeführten Tests anzeigen, dass die PKI-EBTS-Daten mit der Auflistung übereinstimmen, fährt die Verarbeitung mit Schritt 528 fort, worin der „Elektronische-brich-das-Siegel"-Algorithmus des Herstellers ausgeführt wird, und der Anwender gebeten wird, eine passende Eingabe zu tätigen, um den Betrieb des Datenverarbeitungssystems zu initiieren. In Schritt 530 wird der erste Start des Betriebssystems durchgeführt und die Software für das System wird auf dem informationsverarbeitenden System installiert. Während durch Implementierung aller der oben diskutierten Schritte eine maximale Sicherheit erreicht wird, ist es für den Fachmann klar, dass eine Teilmenge dieser Sicherheits- und Verifikationsschritte implementiert werden können, um eine effektive Sicherheit für eine bestimmte Konfiguration von Hardware und Software für ein informationsverarbeitendes System innerhalb des Rahmens der vorliegenden Erfindung zu schaffen.
Andere Ausführungsfformen
Andere Ausführungsformen liegen innerhalb der folgenden Ansprüche.
Obwohl die vorliegende Erfindung detailliert beschrieben wurde, sollte es klar sein, dass verschiedene Änderungen, Ersetzungen und Neuerungen hieran vorgenommen werden können, ohne von der Idee und dem Rahmen der Erfindung, wie er durch die beigefügten Ansprüche definiert ist, abzuweichen.

Claims

Ein Sicherheitssystem für ein informationsverarbeitendes System, umfassend: eine Datenspeichereinrichtung, welche fähig ist, eine Mehrzahl von Dateien zu speichern; eine Auflistungsdatei, welche auf der Datenspeichereinrichtung gespeichert ist, wobei die Auflistungsdatei einen vorbestimmten Satz von Dateien umfasst, welche von der Mehrzahl von Dateien ausgewählt sind, und wobei der vorbestimmte Satz von Dateien einen bekannten Status hat; ein elektronisches Siegel, welches auf der Datenspeichereinrichtung gespeichert ist, wobei das elektronische Siegel unter Verwendung von wenigstens einem elektronischen Schlüssel erzeugt wird; wobei bei der Initialisierung des informationsverarbeitenden Systems das elektronische Siegel elektronisch verifiziert wird und verwendet wird, um einen Vergleichsvorgang zu initiieren, wobei der vorbestimmte Satz von Dateien in der Auflistung mit dem entsprechenden Satz von Dateien verglichen wird, welcher auf der Datenspeichereinrichtung gespeichert ist, um den Sicherheitsstatus des informationsverarbeitenden Systems zu bestimmen.
Das System nach Anspruch 1, wobei der elektronische Schlüssel automatisch von der Speichereinrichtung bei der Initialisierung des informationsverarbeitenden Systems extrahiert wird.
Das System nach Anspruch 1, wobei das elektronische Siegel erzeugt wird unter Verwendung einer ersten Mehrzahl von elektronischen Schlüsseln, welche unter Verwendung einer Public Key Infrastruktur implementiert werden.
Das System nach Anspruch 3, wobei die erste Mehrzahl von Sicherheitsschlüsseln, welche verwendet werden, um das elektronische Siegel zu erzeugen, wenigstens einen öffentlichen Schlüssel für eine erste Partei umfasst und wenigstens einen privaten Schlüssel für eine zweite Partei.
Das System nach Anspruch 4, wobei das elektronische Siegel unter Verwendung einer zweiten Mehrzahl von Sicherheitsschlüsseln verifiziert wird, welche wenigstens einen privaten Schlüssel für die erste Partei, und wenigstens einen öffentlichen Schlüssel für die zweite Partei umfassen.
Das System nach Anspruch 1, weiterhin umfassend eine modifizierte Auflistungsdatei, welche einem vorbestimmten Satz von Dateien entspricht, die einen bekannten modifizierten Status haben, und weiter umfassend ein modifiziertes elektronisches Siegel, welches der modifizierten Auflistung entspricht, wobei das modifizierte elektronische Siegel unter Verwendung von wenigstens einem elektronischen Schlüssel erzeugt wird.
Das System nach Anspruch 6, wobei das modifizierte elektronische Siegel unter Verwendung einer ersten Mehrzahl von elektronischen Schlüsseln erzeugt wird, welche unter Verwendung einer öffentlichen Schlüsselinfrastruktur implementiert werden.
Das System nach Anspruch 7, wobei die erste Mehrzahl von Sicherheitsschlüsseln, welche verwendet werden, um das elektronische Siegel zu erzeugen, wenigstens einen öffentlichen Schlüssel umfasst für eine erste Partei und wenigstens einen privaten Schlüssel für eine zweite Partei.
Das System nach Anspruch 8, wobei das modifizierte elektronische Siegel unter Verwendung einer zweiten Mehrzahl von Sicherheitsschlüsseln verifiziert wird, welche wenigstens einen privaten Schlüssel für die erste Partei und wenigstens einen öffentlichen Schlüssel für die zweite Partei umfassen.
Das System nach Anspruch 6, wobei die modifizierte Auflistungsdatei Dateien enthält, die einen bekannten modifizierten Status haben, der einer Serie von aufeinander folgenden Modifikationen derselben entspricht und wobei das modifizierte elektronische Siegel Daten umfasst, welche einer Serie von elektronischen Siegeln entsprechen, die in Verbindung mit den aufeinander folgenden Modifikationen der Auflistungsdatei erzeugt wurden.
Ein Verfahren zur Verifizierung der Sicherheit von Daten geliefert auf einem informationsverarbeitenden System, umfassend: Speichern einer Auflistungsdatei, welche auf einer Datenspeichereinrichtung in dem informationsverarbeitenden System gespeichert ist, wobei die Auflistungsdatei einen vorbestimmten Satz an Dateien umfasst, welche von der Mehrzahl von Dateien ausgewählt werden, und wobei der vorbestimmte Satz von Dateien einen bekannten Status hat; Erzeugen eines elektronischen Siegels unter Verwendung von wenigstens einem elektronischen Schlüssel; Speichern des elektronischen Siegels auf der Datenspeichereinrichtung; Verifizieren des elektronischen Siegels bei der Initialisierung des informationsverarbeitenden Systems; und Verwenden des elektronischen Siegels, um einen Vergleichsvorgang zu initiieren, wobei der vorbestimmte Satz von Dateien in der Auflistung mit dem entsprechenden Satz von Dateien verglichen wird, die auf der Datenspeichereinrichtung gespeichert sind, um den Sicherheitsstatus des informationsverarbeitenden Systems zu bestimmen.
Das Verfahren nach Anspruch 11, wobei der elektronische Schlüssel automatisch von der Datenspeichereinrichtung bei der Initialisierung des informationsverarbeitenden Systems extrahiert wird.
Das Verfahren nach Anspruch 11, wobei das elektronische Siegel erzeugt wird unter Verwendung einer ersten Mehrzahl von elektronischen Schlüsseln, die unter Verwendung einer öffentlichen Schlüsselinfrastruktur implementiert werden.
Das Verfahren nach Anspruch 13, wobei die erste Mehrzahl von Sicherheitsschlüsseln, welche verwendet wird, um das elektronische Siegel zu erzeugen, wenigstens einen öffentlichen Schlüssel für eine erste Partei umfasst und wenigstens einen privaten Schlüssel für eine zweite Partei.
Das Verfahren nach Anspruch 14, wobei das elektronische Siegel verifiziert wird unter Verwendung einer zweiten Mehrzahl von Sicherheitsschlüsseln, umfassend wenigstens einen privaten Schlüssel für die erste Partei und wenigstens einen öffentlichen Schlüssel für die zweite Partei.
Das Verfahren nach Anspruch 11, weiter umfassend eine modifizierte Auflistungsdatei, welche einem vorbestimmten Satz von Dateien entspricht, die einen bekannten modifizierten Status haben und weiter umfassend ein modifiziertes elektronisches Siegel, welches der modifizierten Auflistung entspricht, wobei das modifizierte elektronische Siegel unter Verwendung von wenigstens einem elektronischen Schlüssel erzeugt wird.
Das Verfahren nach Anspruch 16, wobei das modifizierte elektronische Siegel unter Verwendung einer ersten Mehrzahl von elektronischen Schlüsseln erzeugt wird, die unter Verwendung einer öffentlichen Schlüsselinfrastruktur implementiert werden.
Das Verfahren nach Anspruch 17, wobei die erste Mehrzahl von Sicherheitsschlüsseln, welche verwendet wird, um das elektronische Siegel zu erzeugen, wenigstens einen öffentlichen Schlüssel für eine erste Partei umfasst und wenigstens einen privaten Schlüssel für eine zweite Partei.
Das Verfahren nach Anspruch 18, wobei das modifizierte elektronische Siegel unter Verwendung einer zweiten Mehrzahl von Sicherheitsschlüsseln verifiziert wird, die wenigstens einen privaten Schlüssel für die erste Partei umfasst und wenigstens einen öffentlichen Schlüssel für die zweite Partei.
Das Verfahren nach Anspruch 16, wobei die modifizierte Auflistungsdatei Daten enthält, die einen bekannten modifizierten Status haben, der einer Serie von aufeinander folgenden Modifikationen derselben entspricht, und wobei das modifizierte elektronische Siegel Daten umfasst, die einer Serie von elektronischen Siegeln entspricht, die in Verbindung mit den aufeinander folgenden Modifikationen der Auflistungsdatei erzeugt werden.