专利名称：持久安全系统及方法
持久安全系统及方法
背景技术：
计算机系统有时会对硬盘驱动器(HDD)使用整巻/全盘加密，其中数 椐以加密格式存入HDD,并且在数据被提供给用户或另一个应用之前必 须被解密。但是，由于HDD的加密状态，与从HDD获取数据或向HDD写 入数据相关的操作一般必须被延迟，直到密钥或其它类型的解密组件被 获取或生成(例如，响应于认证操作)，由此造成HDD可存取性的限制， 特别是在计算机系统的引导期间。
为了对本发明及其优势的更完整理解，现在将结合附图参考下列描 述，在附图中
图1是示出持久安全系统的实施例的图2是示出持久安全方法的实施例的流程图。
具体实施例方式
通过参考附图中的图1和图2，本发明的优选实施例及其优势被最 好地理解，相同的附图标记被用于不同图中类似及相应的部分。
图1是示出持久安全系统10的实施例的框图。简要地，系统10的 实施例提供了计算机系统中的持久安全组件，该组件被基本输入/输出 系统(BI0S)自动载入到加密的硬盘驱动器(HDD)(及/或验证其在加密的 HDD上的存在性)，从而HDD所在的计算机系统每次被引导时，安全组 件可以从HDD被用于操作系统以用于其执行。于是，即使安全组件已经 从HDD上无意或有意地移除/删除，系统10的实施例使BIOS在计算机 系统的引导期间自动将安全组件重新栽入到HDD,由此对于计算机系统 的每个用户会话，都保持安全组件在计算机系统中的存在。
在图l示出的实施例中，系统10包括计算机系统12,该计算机系 统具有位于主板20上的嵌入固件16和可信平台模块(TPM)18。计算机 系统12可以包括任意类型的计算设备例如，但不限于，台式机、笔记本电脑、个人数字助理及平板电脑。在图l示出的实施例中，嵌入固件
16包括BIOS 24 (例如，在闪存组件中存储)，在其中存储了引导程序 30和资产保护安全程序32。引导程序30和安全程序32包括可以被中 央处理器(CPU)40执行的一组指令。在一些实施例中，引导程序32包括 在计算机系统12的引导操作期间(例如，响应于电源接通事件，或响 应于从休眠、休止或其它类型的降低功耗操作模式中唤醒的事件)执行 的一组指令，例如，但不限于，加电自检(POST)程序。
在图1示出的实施例中，资产保护安全程序32包括一组指令，作 为资产跟踪和/或报告系统的一部分使用。例如，在一些实施例中，资 产保护安全程序32使计算机系统12的操作系统(OS ) 34能通过通信网 络38 (例如，因特网或其它类型的有线或无线通信网络)与远程安全服 务36联系，以确定对于计算机系统12是否存在安全事件，和/或向安 全服务36提供信息以便于对计算机系统12的跟踪和/或恢复。例如， 如杲向安全服务36报告了计算机系统12丢失或被偷，则对于计算机系 统12会存在安全事件。于是，在操作中，响应于计算机系统12连接到 通信网络38，资产保护安全程序32被OS 34执行，并被配置为使OS34 与安全服务36通信和/或联系，由此，如果计算机系统12存在安全事 件，使得安全服务36能针对计算机系统12采取特殊的一个或多个动作 (例如，记录因特网协议(IP)地址和/或其它动作)，以便于对计算机 系统12的跟踪和/或恢复。在图l示出的实施例中，持久安全组件包括 用于资产跟踪安全的组件(例如，实体的计算机系统12)。但是，应该 理解系统10的实施例可以被用于其它类型的安全组件(例如，数据保 护、安全证书认证等)。
通常，TPM18被用来存储并报告系统12的平台42上的特定软件和 硬件的测量(完整性度量)值。例如，在一些实施例中，TPM18被用来 测量、存储并报告HDD 44和嵌入固件16的完整性。但是，应该理解TPM 18可以被用来存储并报告其它设备和/或硬件的完整性，并被用来安全 地存储平台信息和机密，例如口令、密钥和证书。在图l示出的实施例 中，系统12还包括一个或更多可执行的应用程序52,可以被OS 34调 用和/或以其它方式执行。
在图1示出的实施例中，HDD 44包括处理器54和磁盘存储器56。 HDD 44包括加密的HDD 44从而存入磁盘存储器56的数据以加密格式存储。于是，在图1示出的实施例中，HDD 44包括在磁盘存储器56的主 引导记录扇区中存储的加密/解密安全程序60，用于加密要写入磁盘存 储器56的数据以及解密从磁盘存储器56取回的、要提供给用户或特定 应用程序52的数椐。例如，加密/解密安全程序60包括可以被处理器 54执行的一组指令，用于加密要存入磁盘存储器56的数据和解密从磁 盘存储器56取回的数据。在一些实施例中，加密/解密安全程序60还 被用来提供HDD 44解密认证，HDD "解密认证是获取和/或以其它方式 生成用于加密和解密与磁盘存储器56关联的数据的密钥所需的。例如， 在一些实施例中，加密/解密安全程序60被用来认证和/或以其它方式 验证用户或代理提供的安全信息和/或安全证书，以访问和/或生成加密 /解密密钥。因此，在一些实施例中，响应于安全证书认证/验证，加密 /解密安全程序60使HDD 44与TPM 18联系，以从TPM 18取回和/或以 其它方式具有由TPM 18生成的、用于加密要存入HDD 44的数据和解密 从HDD 44取回的数椐的加密/解密密钥62。但是，应该理解加密/解密 密钥62可以由另一组件(例如，由OS 34、特定应用程序52等)生成 和/或从其取回。应该理解在一些实施例中，计算冲几系统12可以:故配置 为没有TPM 18。
在操作中，资产保护安全程序32的实例被BIOS 24写入和/或以其 他方式载入到HDD 44的磁盘存储器56 (示为图1中的资产保护安全程 序64)。资产保护程序64优选地被0S 34自动执行(即，无需用户动 作或启用)，从而资产保护程序64在计算机系统12的后台运行和/或 操作(例如，对计算机系统12的用户来说基本是不可见的)。在一些 实施例中，载入磁盘存储器56的资产保护安全程序32的实例包括信息 的小的标志或核心，其被用来促进在计算机系统12连接到网络38时从 安全服务36将更完整的程序下栽到磁盘存储器56。但是，应该理解系 统10可以:帔以其他方式配置。例如，在一些实施例中，更完整的程序 可以留在其它地方(即，更完整的程序可以留在不同于HDD"的位置)。 此外，应该理解载入到HDD 44的资产保护程序64的实例可以包括标志 符、指示符或其它元素，其引起的动作的定向或重定向将由OS 34或计 算机系统12上存在的另 一应用程序跟踪或处理。
在操作中，BI0S24被配置为将资产保护安全程序32的实例自动载 入到HDD 44的磁盘存储器56，从而OS 34在计算机系统12的引导之后自动调用和/或以其他方式执行HDD 44中存储的资产保护安全程序64 的实例。优选地，在计算机系统12的每个引导操作期间，BIOS 24被配 置为自动确定资产保护安全程序32的实例是否已经在HDD 44上存储。 例如，当计算机系统12被首次引导或此前存储在HDD 44上的资产保护 安全程序的实例64可能已被无意或有意地从HDD 44移除或删除时，资 产保护安全程序32的实例可能在HDD 44上不存在。于是，BIOS 24被 配置为在计算机系统12的每次引导时在资产保护安全程序32的实例不 在HDD 44上的情况下，将资产保护安全程序32的实例自动栽入到HDD 44。因此，在操作中，在计算机系统12的引导期间，BIOS 24与HDD 44 联系以确定资产保护安全程序32的实例是否在磁盘存储器56中存在。 如杲资产保护安全程序32的实例在HDD 44中不存在，BIOS 24使资产 保护安全程序32的实例被自动载入和/或存入磁盘存储器56,以便于在 那里被0S 34执行。
优选地，BIOS 24在计算机系统12每次引导时，验证HDD 44中资 产保护安全程序32的实例的存在性，并在需要时载入资产保护安全程 序32的实例到HDD 44中。但是，由于HDD 44是被加密的，在执行引 导程序30期间，HDD 44还没有被解密(即，用于获取和/或生成加密/ 解密密钥62的安全认证操作还没有被OS 34执行，从而HDD 44将不能 被BI0S 24访问)。因此。系统IO的实施例在引导程序30已经完成并 且对计算机系统12的控制已被转移给0S 34之后，使资产保护安全程 序32的实例能被BI0S 24栽入和/或存入HDD44。在操作中，在BIOS 24 完成引导程序30并且对计算机系统12的控制转移给0S 34之后，并且 在0S 34对HDD 44解密之后，OS 34发起对BIOS 24的调用以使BIOS 24 能验证HDD 44上资产保护安全程序32的实例的存在性，并在需要时载 入资产保护安全程序32的实例到HDD 44中。OS 34被优选地配置为发 起和/或发布windows管理工具(WMI)接口信号或对BIOS 24的其它类 型的信号调用，以便于HDD 44上的资产保护安全程序32的实例的验证 /栽入。于是，响应于从0S 34收到调用，BIOS 24与HDD 44联系以确 定资产保护安全程序32的实例是否在磁盘存储器56中驻留和/或以其 它方式存在(例如，表示为图1中的资产保护安全程序64)。如果资产 保护安全程序32的实例在磁盘存储器56中存在，BIOS 24将计算机系 统12的控制交还给0S 34。如果资产保护安全程序32的实例在HDD 44中不存在，BIOS 24自动地使资产保护安全程序32的实例载入HDD 44。 然后BI0S 24将计算机系统12的控制交还给0S 34，且OS 34执行驻留 在HDD 44上的资产保护安全程序32的实例(例如，资产保护安全程序 64)。在上面描述的实施例中，0S34发起对BI0S24的调用，并且BIOS 24验证HDD44中资产保护安全程序32的实例的存在性。但是，应该理 解在一些实施例中，这样的验证可以由0S 34执行，由此，如果HDD44 中的资产保护安全程序32的实例当前在HDD44中驻留时，减轻对BIOS 24的调用的需求。
图2是示出持久安全方法的实施例的流程图。该方法在块200开始， 其中BIOS 24使用引导程序30启动计算机系统12的引导顺序。在块202 中，BIOS 24基于引导程序30完成其对计算机系统12的引导过程的部 分，并将对计算机系统12的控制转移给0S 34。
在块204中，OS 34启动和/或以其它方式执行加密/解密安全程序 60，以便于对与HDD 44关联的数据的加密/解密。在判定块206中，做 出安全证书是否已被认证和/或以其它方式验证以便获取和/或以其它 方式生成加密/解密密钥62的判定。如果安全证书还没有被认证或验证， 该方法结束，因为对HDD 44上的任何数据(例如OS 34 )的访问将被阻 止。如果在判定块206中安全证书被认证或验证了，该方法进入块208, 其中，OS 34取回和/或以其它方式获取与加密的HDD 44关联的加密/ 解密密钥62。在块210中，OS34发起对BIOS24的调用。在块211中， BIOS 24调用和/或以其它方式执行资产保护安全程序32的至少一部分， 以确定资产保护安全程序32的实例是否在HDD 44中存在。
在判定块212中，做出资产保护安全程序32的实例是否在HDD 44 中存在的判定。如果资产保护安全程序32的实例在HDD 44的磁盘存储 器56中不存在，该方法进入块214，其中BIOS 24取回资产保护安全程 序32的实例以栽入和/或以其他方式存入HDD 44。在块216中，BIOS 24 使资产保护安全程序32的实例在HDD 44中存储。例如，BIOS 24与OS 34联系，以便于资产保护安全程序32的实例通过加密/解密安全程序 60、使用加密/解密密钥62以加密格式在HDD 44中存储。在块218中， BIOS 24将计算机系统12的控制交还给OS 34。在块220中，0S 34执 行和/或调用在HDD 44中存储的资产保护安全程序64的实例(例如， 示为图1中的资产保护安全程序64)。在判定块212中，如果确定资产保护安全程序32的实例在HDD 44中存在，该方法进入块218，其中对 计算机系统12的控制被交还给OS 34。
因此，系统10的实施例使得持久安全组件能在HDD上安装，即使 HDD被配置为全部加密。系统10的实施例通过在HDD被解密之后(即， 在对安全证书验证并且为HDD生成/获取加密/解密密钥之后)，将安全 组件从嵌入固件栽入到HDD,保持了安全组件在加密的HDD中的存在性， 从而可以被操作系统自动执行。
权利要求
1.一种持久安全系统(10)，包括计算机系统(12)，其包括操作系统(OS)(34)、基本输入/输出系统(BIOS)(24)和硬盘驱动器(HDD)(44)，该OS(34)被配置为发起对BIOS(24)的调用，以使BIOS(24)将安全程序的实例(32)写入HDD(44)。
2. 如权利要求1所述的系统(IO),其中，所述HDD(44)包括加密的 ,(44)。
3. 如权利要求1所述的系统(IO),其中，所述OS(34)被配置为在 HDD(44)解密认证之后发起对BIOS(24)的调用。 ,
4. 如权利要求1所述的系统(IO)，其中，所述BI0S(24)被配置为 确定安全程序的实例(32)是否在HDD(44)中驻留。
5. 如权利要求1所述的系统(20),其中，安全程序的实例(32)在 BIOS (24)中驻留。
6. —种持久安全方法，包括从操作系统(OS) (34)发起对计算机系统(12)的基本输入/输出系统 (BIOS) (24)的调用，以使BI0S(24)将安全程序的实例(32)写入计算机系 统(12)的硬盘驱动器(44)。
7. 如权利要求6所述的方法，还包括在HDD(44)解密认证之后发起 对BIOS (24)的调用。
8. 如权利要求6所述的方法，还包括确定安全程序的实例(32)是 否在HDD(44)中驻留。
9. 如权利要求6所述的方法，还包括从BI0S(24)取回安全程序的 实例(32)用于写入HDD(44)。
10. 如权利要求6所述的方法，还包括获取密钥(62)用于解密 陽(44)中驻留的数据。
全文摘要
一种包括计算机系统(12)的持久安全系统(10)，该计算机系统包括操作系统(OS)(34)、基本输入/输出系统(BIOS)(24)和硬盘驱动器(HDD)(44)，该OS(34)被配置为发起对BIOS(24)的调用，以使BIOS(24)将安全程序(32)的实例写入HDD(44)。
文档编号G06F21/00GK101517587SQ200780035762
公开日2009年8月26日 申请日期2007年9月25日 优先权日2006年9月26日
发明者L·王, V·Y·阿利 申请人:惠普开发有限公司