一种基于连续Hash值的BIOS更新信任链的方法与流程

本发明涉及计算机硬件领域，尤其是一种基于连续hash值的bios更新信任链的方法。

背景技术：

现有的bios更新，其加密签名验证等安全手段只能做到对bios文件或bioscapsule完整性进行验证，来确保此文件在传递过程中没有被受到攻击或者破坏。而对于此文件是否本身就是恶意软件，则无法进行检查。譬如已知加密算法，则对恶意软件进行加密签名，其所生成的文件在解密验证签名过程中则是一路顺利的。若用此恶意软件对系统升级bios则会导致非常严重的后果。

技术实现要素：

本发明所要解决的技术问题在于，提供一种基于连续hash值的bios更新信任链的方法，能够确保bios文件本身就是安全的文件。

为解决上述技术问题，本发明提供一种基于连续hash值的bios更新信任链的方法，包括如下步骤：

(1)对出厂bios进行加密签名，将加密的hash值保存于系统保护区域内；

(2)在通过网络发布的升级bios文件中，加入所绑定的bios的hash值，与整体bios文件进行加密签名；

(3)在bios更新过程中，由信任链bios对新bios进行解密，验证新bios中存放的hash值与系统保护区域内的hash值是否匹配，若匹配则进行刷写更新bios操作；若不匹配则判定其为伪装文件；

(4)bios更新完成后，新的hash值与保存于系统保护区域内的hash值进行加密，存储于bmcrom或者biosrom中，形成新的加密信任链，成为后续再次更新bios的信任基础。

优选的，步骤(1)中，系统保护区域为bmcrom或otp，且与biosrom区域隔离开。

优选的，步骤(3)中，在新的bios文件中建立一个出厂bios或主板匹配的所有之前的bios的加密hash值列表，包括此列表在内的bios文件再进行整体加密签名。

本发明的有益效果为：通过这一信任链表，所更新的bios安全属性将不再仅仅是确保网络下载到的bios文件有没有被攻击破坏，而更加能确保这个新的bios文件真实是安全的，不是被蓄意者使用恶意软件以及同样的加密算法所仿制出来的伪文件。

附图说明

图1是本发明的方法流程示意图。

图2是本发明的bios出厂后第一次升级操作步骤示意图。

图3是本发明的bios后续升级操作步骤示意图。

具体实施方式

如图1所示，一种基于连续hash值的bios更新信任链的方法，包括如下步骤：

(1)设置一套安全绑定bios系统，对出厂bios进行加密签名，并将加密的hash值保存于bmcrom、otp等系统保护区域内，尽可能于biosrom区域区隔开。简述之就是将出厂bios与出厂主板形成一套绑定关系的安全信任链。

(2)在通过网络等方式发布的升级bios文件中，加入所绑定bios的加密hash值，且与整体bios文件进行一定程度的加密签名，确保攻击者无法破取到原绑定bios的hash值。

(3)在bios更新过程中，由信任链bios对新bios进行解密，验证新bios中存放的hash值与绑定与主板bmcrom、otp等系统保护区的hash值匹配，则进行刷写更新bios操作，反之则可判断其更新文件，尽管解密验证可以通过，但并非信任链上的新bios，而是恶意软件使用同样加密算法所炮制出的伪装文件。由于在工厂生产中，出厂bios会有多个版本，所以优选的方案，可在网络更新的bios文件中建立一个出厂bios、或主板匹配的所有之前的bios的加密hash值列表，包括此列表在内的bios文件再进行整体加密签名，这样确保随工厂出货的各版bios更新，都能在网络bios文件解密中，发现其对应的hash值。

(4)在更新完成bios后，其新的hash值与保存于bmcrom、otp等系统保护区域的hash值进行加密后，可存储于bmcrom或biosrom中，形成新的加密信任链，以确保后续再次更新bios的信任基础。

如图2所示，主板出厂后，在客户处第一次刷bios；出厂时，主板biosv1.0hash值保存于主板bmcrom或otprom；网络下载biosv5.0文件，解压后查找主板上的hash值，发现主板上的hash值存在与网络bios文件中；将主板biosv1.0hash与v5.0hash的二次hash值与原主板bioshash值绑定加密后，再存于bmcrom；更新bios到v5.0。

如图3所示，客户处后续刷bios；网络下载biosv6.0文件，解压后查找主板上的hash值，发现主板上的hash值(主板biosv1.0hash与v5.0hash的二次hash值)存在与网络bios文件中；将新bioshash值与原主板bioshash值绑定加密后，再存于bmcrom；更新bios。

尽管本发明就优选实施方式进行了示意和描述，但本领域的技术人员应当理解，只要不超出本发明的权利要求所限定的范围，可以对本发明进行各种变化和修改。

技术特征：

技术总结
本发明公开了一种基于连续Hash值的BIOS更新信任链的方法，包括如下步骤：(1)对出厂BIOS进行加密签名，将加密的Hash值保存于系统保护区域内；(2)在通过网络发布的升级BIOS文件中，加入所绑定的BIOS的Hash值，与整体BIOS文件进行加密签名；(3)在BIOS更新过程中，由信任链BIOS对新BIOS进行解密，验证新BIOS中存放的Hash值与系统保护区域内的Hash值是否匹配；(4)BIOS更新完成后，新的Hash值与保存于系统保护区域内的Hash值进行加密，形成新的加密信任链。本发明通过这一信任链表，所更新的BIOS安全属性将不再仅仅是确保网络下载到的BIOS文件有没有被攻击破坏，而更加能确保这个新的BIOS文件真实是安全的，不是被蓄意者使用恶意软件以及同样的加密算法所仿制出来的伪文件。

技术研发人员：郁凌;唐剑
受保护的技术使用者：南京百敖软件有限公司;江苏卓易信息科技股份有限公司;昆山百敖电子科技有限公司
技术研发日：2017.07.19
技术公布日：2017.12.01