[发明专利]在系统预引导期间具有改进的只读存储器锁定的安全数据保护

说明书

技术领域

本公开涉及安全数据保护，并且更具体地，涉及在系统预引导期间具有改进的只读存储器锁定的安全数据保护，包括对高级配置和电源接口（ACPI）表的保护。

背景技术

随着计算机平台变得更加复杂，包括基本输入/输出系统（BIOS）和BIOS到操作系统（OS）通信例程的软件正在越来越多地成为攻击的目标。这些攻击可能以高级配置和电源接口（ACPI）表、统一可扩展固件接口（UEFI）运行时服务以及其他敏感数据为目标。当前的计算系统典型地在系统引导和/或OS加载完成之前不提供对该敏感代码和数据可驻留于其中的系统存储器的保护。因为ACPI代码可以在OS开始执行后在内核模式中运行，所以对ACPI的恶意修改可能产生显著的安全易损坏性，且可能实现对原始设备制造商（OEM）OS图像的盗版。

附图说明

随着以下具体实施方式继续并且在参照附图后，要求保护的主题的实施例的特征和优点将变得显而易见，在附图中，相似的数字描绘相似的部分，并且在附图中：

图1图示了根据本公开的一个示例性实施例的顶级系统图；

图2图示了根据本公开的一个示例性实施例的框图；

图3图示了根据本公开的示例性实施例的操作的流程图；

图4图示了根据本公开的另一示例性实施例的操作的流程图；

图5图示了根据本公开的另一示例性实施例的操作的流程图。

尽管以下具体实施方式将在对说明性实施例做出参照的情况下继续，但是对其的许多替代、修改和变型对于本领域技术人员来说将显而易见。

具体实施方式

总体而言，本公开提供了用于在系统预引导期间具有改进的只读存储器锁定的安全数据保护的方法和系统，所述安全数据保护包括对高级配置和电源接口（ACPI）表的保护。在上电或系统重置时，可信软件和/或硬件可以选择系统存储器的区域以进行保护。可信硬件可以是可信控制块（TCB），并且可信软件可以是可信BIOS。可以对地址解码器电路进行编程以将所选区域配置为读写，使得要保卫的敏感数据可以被移动到系统存储器的所选区域中。在移动数据之后，可以对地址解码器电路进行重新编程以将所选区域配置为只读。然后，可以锁定地址解码器电路，以防止所选存储器区域的状态的后续改变，除非系统被重置。因此，锁定可以防止非可信代码意外地或恶意地更改系统存储器的受保护区域，所述非可信代码包括进一步预引导和引导操作以及OS。

图1图示了根据本公开的一个示例性实施例的顶级系统图100。该系统可以包括系统存储器102、地址解码电路112、以及被配置为执行预引导操作114、引导操作116和OS操作118的处理器120。可以通过地址解码电路112的配置将系统存储器分段成不受保护区域104和受保护区域106，如将在下文中更详细描述的那样。存储器的受保护区域106可以加载有ACPI表108和要在预引导操作114期间通过可信BIOS代码保卫的其他敏感数据110。在一些实施例中，该其他敏感数据110可以包括统一可扩展固件接口（UEFI）运行时服务。然后，可以在例如在引导116和OS 118中将控制转移到非可信代码之前将存储器的受保护区域106锁定到只读模式中。在一些实施例中，OS操作可以包括测量虚拟机监视器（MVMM）和要在OS支持的情况下执行的应用。

图2图示了示出根据本公开的示例性实施例的附加细节的框图200。图1的处理器120可以是任何数目的处理器核心208中的一个，每个处理器核心208可以包括处理器高速缓冲存储器控制器214和/或集成的存储器控制器212。处理器208可以与一个或多个系统存储器模块102通信，每个系统存储器模块102可以包括本地存储器设备控制器206。存储器控制器214、212和206中的每一个还可以分别包括关联的地址解码电路112a、112b和112c。