專利名稱：防篡改控制的系統(tǒng)和方法
防篡改控制的系統(tǒng)和方法
背景技術(shù)：
當計算機的擁有者允許其他人使用該計算機(例如雇主提供計算機 以供雇員使用)時，該計算機的擁有者可能希望限制某些端口和/或設(shè)備 的使用。例如，雇主可能希望限制雇員從計算機設(shè)備拷貝數(shù)據(jù)的能力。
某些操作系統(tǒng)提供禁用端口和/或設(shè)備的方法；然而，有經(jīng)驗的用戶會使 軟件操作系統(tǒng)安全協(xié)議失效并且啟用所述端口和外圍設(shè)備。


圖1是包括電子設(shè)備的防篡改(tamper-resistant)控制的電子設(shè)備 的框圖；以及
圖2是圖示防篡改控制方法的實施例的流程圖。
具體實施例方式
圖1是包括防篡改控制系統(tǒng)12的電子設(shè)備10的框圖。電子設(shè)備10 可以包括任何類型的電子設(shè)備，例如但不限于桌上型計算機、便攜式筆 記本計算機、可變換的(convertible)便攜式計算機、平板計算機、工 作站或服務(wù)器。
在圖1所圖示的實施例中，電子設(shè)備10包括中央處理單元(CPU) 14、固件16、存儲器18和部件設(shè)備20。在圖1中，固件16耦合到CPU 14、存儲器18和( 一個或多個)部件設(shè)備20。固件16被配置成為電子 設(shè)備IO提供引導(dǎo)(boot-up)功能性。例如，在一些實施例中，固件16 執(zhí)行初始通電指令，例如配置CPU 14以及使得CPU 14在預(yù)定的時間開 始執(zhí)行指令。固件16可以包括基本輸入/輸出系統(tǒng)(BIOS) 22;然而， 應(yīng)該理解，固件16可以包括用于提供引導(dǎo)功能性的其它系統(tǒng)或設(shè)備。 在圖1所圖示的實施例中，BIOS 16包括安全沖莫塊24,以將對BIOS 22 的訪問限制到僅具有密碼的用戶。安全才莫塊24可以包括硬件、軟件或 硬件和軟件的組合，并且被用來驗證或認證嘗試訪問BIOS 22的用戶的 身份。存儲器18可以包括易失性存儲器、非易失性存儲器和永久存儲 裝置。在圖1中，存儲器18包括可以被CPU 14加載和/或以其它方式
3執(zhí)行的操作系統(tǒng)(OS)26。系統(tǒng)12的實施例使得能夠經(jīng)由固件16為(一 個或多個)部件設(shè)備20應(yīng)用或設(shè)定設(shè)置，以將(一個或多個)部件設(shè) 備20指示為被啟用(例如能夠由OS 26使用和/或為了其的使用而以其 它方式訪問)或被禁用(例如對OS 26禁用和/或以其它方式對OS 26 不可用，以使得OS 26不能容易地訪問(一個或多個)部件設(shè)備20和/ 或與(一個或多個)部件設(shè)備20交互)。在操作中，防篡改配置控制 系統(tǒng)12被配置成在加載OS 26之前經(jīng)由從BIOS 22發(fā)布的命令來禁用 和鎖定(一個或多個)部件設(shè)備20上的一個或多個端口 28。
在圖1所圖示的實施例中，(一個或多個)部件設(shè)備20包括任何 類型的設(shè)備，例如但不限于多外圍部件互連(PCI)設(shè)備、通用串行總 線(USB)設(shè)備、調(diào)制解調(diào)器、麥克風(fēng)、數(shù)字視頻盤(DVD)驅(qū)動器或 任何其它類型的設(shè)備。在圖l所圖示的實施例中，(一個或多個)部件 設(shè)備20包括微處理器32、 一個或多個存儲器寄存器(memory register) 34、以及用于促進與特定部件設(shè)備20外部的設(shè)備的通信接合的(一個 或多個)設(shè)備端口 28。存儲器寄存器34包括由微處理器32存儲的信息， 該信息與( 一個或多個)部件設(shè)備20的各種預(yù)置和/或操作參數(shù)相關(guān)聯(lián)。 在圖l所圖示的實施例中，存儲器寄存器34至少包括啟用/禁用寄存器 36和鎖定狀態(tài)寄存器38。在圖1中，啟用/禁用寄存器36包括存儲在其 非易失性存儲器中的啟用/禁用標志40。啟用/禁用標志40被用來指示 (一個或多個)部件設(shè)備20的設(shè)置或者是被啟用以供使用或者是被禁 用而不能使用。例如，啟用/禁用標志40被用來指示在特定部件設(shè)備20 上的端口 28是被啟用以供使用還是被禁用而不能使用。因此，在一些 實施例中，如果啟用/禁用標志40被設(shè)置為"是"，則設(shè)備20的設(shè)置包 括啟用設(shè)置，以啟用對設(shè)備20的使用。相應(yīng)地，如果啟用/禁用標志40 被設(shè)置為"否，，，則設(shè)備20的設(shè)置包括禁用設(shè)置以另外禁用設(shè)備20, 從而防止對其的使用。應(yīng)該理解，標志40可以以其它方式設(shè)置，以指 示設(shè)備20的啟用或禁用狀態(tài)。
在圖1中，鎖定狀態(tài)寄存器38包括存儲在其非易失性存儲器中的 鎖定/未鎖定標志42。該鎖定/未鎖定標志42被用來指示啟用/禁用寄存 器36是鎖定的還是未鎖定的。因此，在一些實施例中，如果鎖定/未鎖 定標志42被設(shè)置為"是，，，則啟用/禁用寄存器36的設(shè)置被鎖定(以對 寄存器36和38進行寫保護和/或以其它方式防止對其的改變)。在電子設(shè)備10的引導(dǎo)(boot)期間(例如響應(yīng)于通電事件，或從休 眠、睡眠(sleep)或其他類型省電才莫式的喚醒事件)，BIOS22確定啟 用/禁用標志40是否被設(shè)置為"是"，由此指示一個或多個部件設(shè)備20 的啟用或禁用狀況設(shè)置。在電子設(shè)備10的制造或建造期間，啟用/禁用 寄存器36^皮設(shè)置為"啟用"狀態(tài)，直到例如IT管理員或另一個人經(jīng)由 BIOS 22將設(shè)置36變成禁用狀態(tài)。因此，響應(yīng)于BIOS 22確定寄存器 36已被改變成"禁用的"，BIOS 22對該特定部件設(shè)備20發(fā)布禁用命 令(例如設(shè)置易失性存儲器中的禁用寄存器)，并且發(fā)布鎖定命令以在 BIOS 22將對電子設(shè)備10的控制轉(zhuǎn)移給OS 26之前鎖定寄存器36和38 的狀態(tài)。因此，系統(tǒng)12的實施例在將對電子設(shè)備10的控制轉(zhuǎn)移給OS 26 之前鎖定寄存器36和38的狀態(tài)(例如對寄存器36和38進行寫保護) 以防止對電子設(shè)備10的未授權(quán)篡改。因此，在用戶(例如通過啟動硬 重置)重置電子設(shè)備10的情況下，BIOS 22將重新配置該特定部件設(shè)備 20 (例如重置易失性存儲器中的禁用寄存器)并且發(fā)布鎖定命令以在 BIOS 22將對電子設(shè)備10的控制轉(zhuǎn)移給OS 26之前鎖定寄存器36和38 的狀態(tài)。
BIOS 22優(yōu)選地配置成與OS 26對接(interface )以向OS 26報告(一 個或多個)部件i殳備20的狀態(tài)/狀況。BIOS 22祐L優(yōu)選地配置成響應(yīng)于 檢測到(一個或多個)部件設(shè)備20的禁用設(shè)置，向OS 26指示電子設(shè) 備10上的禁用狀態(tài)。因此，基于從BIOS22接收的指示(一個或多個) 部件設(shè)備20的禁用的狀況報告，OS26不加載與(一個或多個)部件設(shè) 備相關(guān)聯(lián)的任何驅(qū)動器，從而防止OS26訪問(一個或多個)部件設(shè)備 20和/或以其它方式與( 一個或多個)部件設(shè)備20對接。因此，在一些 實施例中，禁用的部件設(shè)備20被報告成不存在于電子設(shè)備10上。
圖2是圖示防篡改配置控制方法的實施例的流程圖。在圖2中，該 方法在框200處開始，其中BIOS 22 (例如響應(yīng)于通電或喚醒事件)執(zhí) 行引導(dǎo)例程。在框202處，BIOS 22讀取啟用/禁用寄存器36以確定部 件設(shè)備20的配置設(shè)置(例如部件設(shè)備20被設(shè)置為啟用的還是禁用的)。 在判定框204中，BIOS 22確定啟用/禁用標志40是否指示寄存器36的 狀態(tài)是否是啟用的。如果啟用/禁用標志40指示寄存器36的狀態(tài)是啟用 的，則BIOS 22向微處理器32發(fā)送命令以啟用設(shè)備20的端口 28或者 以其它方式向OS 26報告設(shè)備20的可用性，如框206所指示的那樣。該方法進行到框218，其中BIOS 22發(fā)布命令以鎖定寄存器36和38。 該方法繼續(xù)進行到框208,其中BIOS 22完成與引導(dǎo)例程相關(guān)聯(lián)的任何 剩余功能。在框210處，BIOS加載操作系統(tǒng)26。
如果在判定框204處，BIOS 22確定啟用/禁用標志40指示寄存器 36的狀態(tài)是禁用的，則BIOS 22發(fā)送命令到微處理器32以禁用設(shè)備20 而使其不能使用，如框212所指示的那樣。該方法進行到框218,在框 218 BIOS 22發(fā)布命令以鎖定存儲器寄存器36和38(例如發(fā)布命令以鎖 定/寫保護寄存器36和38)。該方法進行到框208,其中BIOS22完成 與引導(dǎo)例程相關(guān)聯(lián)的任何剩余功能。在框210處，BIOS加載操作系統(tǒng) 26。
系統(tǒng)12的實施例可以以軟件實施，并且可以;陂適配成在不同的平 臺和操作系統(tǒng)上運行。特別地，由系統(tǒng)12實施的功能例如可以由可執(zhí) 行指令的有序列表提供，該可執(zhí)行指令可以被包括在任何計算機可讀介 質(zhì)中以供指令執(zhí)行系統(tǒng)、裝置或設(shè)備(例如基于計算機的系統(tǒng)、包含處 理器的系統(tǒng)或其它可以從該指令執(zhí)行系統(tǒng)、裝置或設(shè)備取出指令并執(zhí)行 這些指令的系統(tǒng))使用或結(jié)合所述指令執(zhí)行系統(tǒng)、裝置或設(shè)備進行使用。 在本文獻的上下文中，"計算機可讀介質(zhì)，，可以是可以包含、存儲、傳 送、傳播或傳輸程序以供指令執(zhí)行系統(tǒng)、裝置或設(shè)備使用或結(jié)合所述指 令執(zhí)行系統(tǒng)、裝置或設(shè)備使用的任何裝置。所述計算機可讀介質(zhì)可以是 例如^f旦不限于電子的、》茲的、光的、電^f茲的、紅外的或半導(dǎo)體的系統(tǒng)、 裝置、設(shè)備或傳播介質(zhì)。
因此，防篡改配置控制系統(tǒng)12的實施例通過經(jīng)由BIOS 22來實現(xiàn) 一個或多個部件設(shè)備20的配置(例如啟用或禁用配置)變化，并且鎖 定這種部件設(shè)備的狀態(tài)，從而防止(一個或多個)這種部件設(shè)備的未授 權(quán)的啟用/篡改。
權(quán)利要求
1、一種用于系統(tǒng)(12)的防篡改配置控制的方法，該方法包括從電子設(shè)備(10)的存儲器(18)讀取標志(40)，所述標志(40)指示所述電子設(shè)備(10)的至少一個部件設(shè)備(20)的啟用/禁用狀態(tài)；響應(yīng)于所述標志(40)指示所述至少一個部件設(shè)備(20)的禁用狀態(tài)，將存儲器中的寄存器(34)設(shè)置為所述至少一個部件設(shè)備(20)的禁用狀態(tài)；以及鎖定所述寄存器(34)。
2、 根據(jù)權(quán)利要求1所述的方法，其中讀取所述標志(40)包括從非易失性存儲器讀取標志(40)。
3、 根據(jù)權(quán)利要求1所述的方法，其中設(shè)置所述寄存器(34)包括設(shè)置易失性存儲器中的寄存器(34)。
4、 根據(jù)權(quán)利要求1所述的方法，其中讀取所述標志(40)包括由固件(16)讀取標志(40)。
5、 根據(jù)權(quán)利要求1所述的方法，還包括在鎖定所述寄存器(34)之后加載操作系統(tǒng)(26)。
6、 一種防篡改配置系統(tǒng)(12),包括電子設(shè)備(10),其具有存儲器寄存器(34),所述存儲器寄存器(34)包括至少一個標志(4),所述標志(40)指示所述電子設(shè)備(10)的所述至少一個部件設(shè)備(20)的啟用/禁用狀態(tài)；以及固件(16)，其被配置成讀取所述標志(40)并且響應(yīng)于所述標志(40)指示所述至少一個部件設(shè)備(20)的禁用狀態(tài)，對所述存儲器寄存器(40)進行寫保護。
7、 根據(jù)權(quán)利要求6所述的系統(tǒng)(12)，其中所述固件(16)包括基本輸入/輸出系統(tǒng)(BIOS ) ( 22 )。
8、 根據(jù)權(quán)利要求6所述的系統(tǒng)(12),其中所述固件(16)被配置成在引導(dǎo)操作系統(tǒng)(26)之前讀取所述標志(40)以及對所述存儲器寄存器(34)進行寫保護。
9、 根據(jù)權(quán)利要求6所述的系統(tǒng)(12),其中所述被寫保護的存儲器寄存器(34)被配置成使其免受OS (26)的寫操作。
10、 根據(jù)權(quán)利要求6所述的系統(tǒng)(12)，其中所述存儲器包括非易失性存儲器。
全文摘要
一種用于系統(tǒng)(12)的防篡改配置控制的方法，該方法包括從電子設(shè)備(10)的存儲器(18)讀取標志(40)，所述標志(40)指示所述電子設(shè)備(10)的至少一個部件設(shè)備(20)的啟用/禁用狀態(tài)；響應(yīng)于所述標志(40)指示所述至少一個部件設(shè)備(20)的禁用狀態(tài)，將存儲器中的寄存器(34)設(shè)置為所述至少一個部件設(shè)備(20)的禁用狀態(tài)；以及鎖定所述寄存器(34)。
文檔編號G06F12/00GK101675417SQ200880014344
公開日2010年3月17日 申請日期2008年4月24日 優(yōu)先權(quán)日2007年4月30日
發(fā)明者J·K·珍索恩 申請人:惠普開發(fā)有限公司