一种基于国产平台uboot可信实现方法

摘要

本发明公开一种基于国产平台uboot可信实现方法，包括以下步骤：上电阶段由硬件CPLD度量可信加密芯片，CPLD收到加密芯片的正确反馈信号后，允许主板正常上电，否则可信度量失败，禁止主板上电开机；在上电开机自检后，进入操作系统之前，加密芯片和uboot双方进行身份认证，度量加密芯片和uboot固件，度量失败禁止开机；加密芯片和uboot握手成功之后，uboot收集板卡硬件设备信息，并于基准值比较，从而度量板卡硬件信息或操作系统核心文件是否更改或被篡改；度量成功，正常开机，引导操作系统。本发明可适应国产化需求，基于飞腾平台uboot实现从硬件，固件及操作系统整个可信链的安全度量。

说明书

技术领域

本发明涉及一种可信度量方法，具体涉及一种基于国产平台uboot可信实现方法。

背景技术

现有的可信度量方法一般采用PCIE安全卡的形式对BIOS中的某些数据进行度量，这方式度量方式一方面硬件成本高，另一方面度量不彻底，只做了BIOS与安全的绑定，来实现可信安全启动，没有实现从硬件、固件及操作系统整个可信链度量。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于国产平台uboot可信实现方法，以适应国产化需求，其基于飞腾平台uboot实现从硬件，固件及操作系统整个可信链的安全度量。

本发明的技术方案如下：

一种基于国产平台uboot可信实现方法，包括以下步骤：

（1）上电阶段由硬件CPLD度量可信加密芯片，CPLD收到加密芯片的正确反馈信号后，允许主板正常上电，否则可信度量失败，禁止主板上电开机；

（2）在上电开机自检后，进入操作系统之前，加密芯片和uboot双方进行身份认证，度量加密芯片和uboot固件，度量失败禁止开机；

（3）加密芯片和uboot握手成功之后，uboot收集板卡硬件设备信息，并于基准值比较，从而度量板卡硬件信息或操作系统核心文件是否更改或被篡改；

（4）度量成功，正常开机，引导操作系统。

在步骤（3）中，板卡硬件设备信息包括加密芯片唯一序列号、CPU型号、内存容量及插槽位置、硬盘容量及SN信息、PCIE设备信息、网卡MAC地址及操作系统核心文件的MD5SUM信息。

在步骤（3）中，如果度量失败uboot禁止启动计算机，采用声光报警通知用户，并将告警日志，经加密后存储到uboot或加密芯片的SPI Flash中。所述告警日志包含有失败原因、时间的信息。

相对于现有技术，本发明的有益效果在于：

（1）100%全国产化方案，从板卡硬件、加密芯片、固件及操作系统均采用全国产化；

（2）完整可信链度量，基于飞腾平台uboot实现从硬件，固件及操作系统整个可信链的安全度量；

（3）成本低，本发明采用国产MCU作为加密芯片，自主开发加密芯片固件，相比现有的PCIE安全卡，明显具有成本优势，固件采用国产飞腾uboot；

（4）可移植性高，本发明可产品模块化，适用于任何国产飞腾平台uboot固件。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的方法步骤图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

实施例

本发明涉及全国产化飞腾平台的uboot可信度量，包括可信硬件度量，可信固件度量及可信操作系核心文件度量。

为适应国产化需求，本发明提供了一种基于国产平台uboot可信实现方法，本发明基于飞腾平台uboot实现从硬件，固件及操作系统整个可信链的安全度量，实施中从板卡硬件，加密芯片，固件及操作系统均采用全国产化，如图1所示，具体包括以下步骤：

（1）上电阶段由硬件CPLD度量可信加密芯片，CPLD收到加密芯片的正确反馈信号后，允许主板正常上电，否则可信度量失败，禁止主板上电开机；

（2）在上电开机自检后，进入操作系统之前，加密芯片和uboot双方进行身份认证，度量加密芯片和uboot固件，度量失败禁止开机；

（3）加密芯片和uboot握手成功之后，uboot收集板卡硬件设备信息，如加密芯片唯一序列号、CPU型号、内存容量及插槽位置、硬盘容量及SN信息、PCIE设备信息、网卡MAC地址及操作系统核心文件的MD5SUM等信息，并于基准值比较，从而度量板卡硬件信息或操作系统核心文件是否更改或被篡改，如果度量失败uboot禁止启动计算机，采用声光报警通知用户，并将告警日志（失败原因、时间等信息），经加密后存储到uboot或加密芯片的SPI Flash中，考虑成本和效率问题，优先选择将基准值和日志存放到uboot的SPI Flash中；

（4）度量成功，正常开机，引导操作系统。

以上仅为本发明的较佳实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。