[发明专利]一种服务器安全启动的方法、装置、设备及可读介质

说明书

本发明提供了一种基于LinuxBoot的服务器安全启动的方法、装置、设备及可读介质，该方法包括：响应于系统上电开机，加载LinuxBoot并启动LinuxBoot的内置kernel；加载IMA服务并经由IMA服务基于UEFI的预设变量的状态为预设参数设定值；加载LinuxBoot的设备驱动并初始化外接设备并调用Kexec系统加载目标kernel文件，并调用IMA服务判断预设参数是否为NULL；响应于预设参数为NULL，调用Kexec系统加载并执行目标kernel文件。通过使用本发明的方案，能够保证系统固件整体的可靠性，能够保证系统的信任链从UEFI BIOS到LinuxBoot再到目标操作系统的传递，能够充分利用Linux的开源优势，减少代码开发工作。

技术领域

本发明涉及计算机领域，并且更具体地涉及一种基于LinuxBoot的服务器安全启动的方法、装置、设备及可读介质。

背景技术

UEFI是统一可扩展固件接口规范，连接着操作系统和平台固件，为操作系统启动前的运行状态提供了标准环境。UEFI的启动流程按顺序依次为SEC，PEI，DXE，BDS，TLS和RT阶段，其中SEC，PEI和DXE阶段完成系统的基本硬件的初始化和Driver(驱动)的加载操作，BDS阶段的主要作用就是初始化外设，加载外设的UEFI驱动并从所有可启动介质上找到可启动的启动项，TLS从选择的启动项加载操作系统启动引导程序，并将系统控制权交到操作系统。

在UEFI BIOS(基本输入输出系统)启动流程中，UEFI BIOS固件从启动介质上加载操作系统启动引导程序并将控制权交给Linux操作系统后，操作系统会重新扫描系统外设，并依次加载操作系统下的设备驱动。从UEFI BIOS启动到操作系统加载完成，对外设扫描和初始化操作通过不同类型的代码(UEFI和Linux)至少做了两次。

LinuxBoot是通过Linux kernel来初始化外设并从可启动介质上找到可启动的启动项，然后从选择的可启动项上启动操作系统，是下一代系统固件的重要发展方向之一。UEFI结合LinuxBoot技术，UEFI代码主要完成基本的硬件初始化(主要是CPU，内存和芯片组)，使用LinuxBoot替换UEFI BIOS的BDS阶段和TSL阶段的初始化外设和加载操作系统功能，采用Linux kernel下的设备驱动来代替UEFI的设备驱动和协议驱动，减少了UEFI BIOS固件的代码量，减少了系统固件的安全风险。这种集成了LinuxBoot的UEFI固件将是下一代系统固件的重要的一个发展方向。

在传统的UEFI BIOS启动中，采用UEFI Secure Boot技术来确保计算机的UEFI固件启动的代码是可信的，保证了系统免于在启动过程中加载和执行恶意代码。UEFI SecureBoot依赖加密校验和数字签名技术，对UEFI固件加载的可执行程序在执行之前对其数字签名进行校验来判断程序是否可信，从而判断是否执行该程序。通过Secure Boot的对可执行程序的校验，同时创建系统的可信启动链，并将可信启动链传递给操作系统。

在传统的UEFI BIOS的安全启动中，当UEFI固件启动过程，会对外设的OptionRom进行验签，如果验签通过则执行外设的OptionRom。然后扫描外设，并从启动介质(硬盘或者网络)上找到启动项(一般是grubx64.efi)，对grubx64.efi文件进行验签，如果验签通过就执行grubx64.efi文件，然后grubx64.efi会使用内置公钥对操作系统内核进行验签，从而将信任链传递给操作系统。