[发明专利]一种构建可信硬件信任链的方法以及装置

说明书

技术领域

本发明涉及可信计算技术领域，特别是涉及一种构建可信硬件信任链的方法以及装置。

背景技术

目前，计算机终端架构缺乏相应的安全机制，可能会使得整个计算平台很容易被攻击，进而使计算平台处于不可控状态。故可以从底层硬件、固件、及操作系统应用程序等方面采取综合措施，以提高计算平台的安全性。

可信计算技术可以在计算机中嵌入可信平台模块硬件设备，在计算机运行过程中各个执行阶段加入完整性度量机制，以建立完整信任链。可信平台模块硬件设备可以提供秘密信息硬件保护存储功能，其可以应用于各个领域，例如党政、能源等涉密领域。而可信平台模块硬件设备可以表现为可信芯片，例如为TPM芯片。

底层硬件的信任链建立作为完整信任链的源端，尤其对度量根的可信度量，是整个信任链建立的基础。现有的可信度量一般是以可信芯片作为核心度量根，但是，其一般不会对核心度量根进行可信度量，可能导致可信度量的可信度较低，进而使计算终端的安全性较低。如何提高计算终端的安全性是本领域亟待解决的问题。

发明内容

本发明的目的是提供一种构建可信硬件信任链的方法以及装置，目的在于解决现有技术中计算终端的安全性较低的问题。

为解决上述技术问题，本发明提供一种构建可信硬件信任链的方法，该方法包括：

在基板管理控制器上电启动之后，所述基板管理控制器通过上电时序控制程序，使CPU处于断电状态；

将可信芯片作为可信根，对所述基板管理控制器进行完整性度量，判断所述基板管理控制器是否可信；

当判断出所述基板管理控制器可信时，对BIOS的初始引导模块进行完整性度量，判断所述初始引导模块是否可信；

当判断出所述初始引导模块可信时，所述基板管理控制器通过所述上电时序控制程序控制电源给所述CPU上电；

将所述基板管理控制器作为核心度量根，完成BIOS层面的完整性度量，以实现硬件信任链的构建。

可选地，所述将可信芯片作为可信根，对所述基板管理控制器进行完整性度量，判断所述基板管理控制器是否可信包括：

以所述可信芯片作为可信根，对所述基板管理控制器进行完整性度量，得出相应的第一可信度量值；

将所述第一可信度量值与预存储的第一基准值进行比对，判断是否一致；

当一致时，判断所述基板管理控制器可信；

当不一致时，判断所述基板管理控制器不可信。

可选地，所述当判断出所述基板管理控制器可信时，对BIOS的初始引导模块进行完整性度量，判断所述初始引导模块是否可信包括：

当所述第一可信度量值和所述第一基准值比对一致时，对所述初始引导模块进行完整性度量，得出相应的第二可信度量值；

将所述第二可信度量值与所述第一可信度量值进行合并，得出相应的第三可信度量值；

将所述第三可信度量值与预存储的第二基准值进行比对，判断是否一致；

当一致时，判断所述初始引导模块可信；

当不一致时，判断所述初始引导模块不可信。

可选地，还包括：

通过创建网页界面，对可信状态进行呈现。

可选地，所述可信芯片为TCM可信芯片或TPM可信芯片。

此外，本发明还提供了一种构建可信硬件信任链的装置，该装置包括：

断电控制模块，用于在基板管理控制器上电启动之后，所述基板管理控制器通过上电时序控制程序，使CPU处于断电状态；

第一判断模块，用于将可信芯片作为可信根，对所述基板管理控制器进行完整性度量，判断所述基板管理控制器是否可信；

第二判断模块，用于当判断出所述基板管理控制器可信时，对BIOS的初始引导模块进行完整性度量，判断所述初始引导模块是否可信；

上电控制模块，用于当判断出所述初始引导模块可信时，所述基板管理控制器通过所述上电时序控制程序控制电源给所述CPU上电；

度量模块，用于将所述基板管理控制器作为核心度量根，完成BIOS层面的完整性度量，以实现硬件信任链的构建。

可选地，所述第一判断模块包括：

第一度量单元，用于以所述可信芯片作为可信根，对所述基板管理控制器进行完整性度量，得出相应的第一可信度量值；

第一比对单元，用于将所述第一可信度量值与预存储的第一基准值进行比对，判断是否一致；

第一可信判断单元，用于当一致时，判断所述基板管理控制器可信；