EFI下可信鏈建立關(guān)鍵技術(shù)研究與實(shí)現(xiàn).pdf

1、可擴(kuò)展固件接口(EFI)是英特爾公司為其新一代64位安騰處理器設(shè)計(jì)的計(jì)算機(jī)平臺(tái)固件和操作系統(tǒng)或其他應(yīng)用軟件之間的一種新型程序接口規(guī)范，它同時(shí)兼容英特爾32位平臺(tái)，是現(xiàn)有傳統(tǒng)BIOS的升級(jí)方案。同傳統(tǒng)BIOS相比，EFI提供了極大的可擴(kuò)展性和可定制性。EFI定義了許多重要的數(shù)據(jù)結(jié)構(gòu)以及系統(tǒng)服務(wù)，實(shí)現(xiàn)這些數(shù)據(jù)結(jié)構(gòu)與系統(tǒng)服務(wù)，就相當(dāng)于實(shí)現(xiàn)了一個(gè)可用的BIOS核心。EFI開發(fā)軟件包(EDK)是英特爾公司對(duì)EFI規(guī)范的實(shí)現(xiàn)，英特爾已公布其源碼和設(shè)

2、計(jì)結(jié)構(gòu)，其大部分代碼為C語言開發(fā)，有很大的開發(fā)靈活性。英特爾同時(shí)發(fā)布EFI開發(fā)軟件包相關(guān)的各種技術(shù)文檔，以方便相關(guān)開發(fā)工作。 隨著對(duì)BIOS攻擊的日益增多，實(shí)現(xiàn)安全可信BIOS的要求日益緊迫。EFI并沒有解決BIOS面臨的安全威脅。而且EFI大部分程序由C語言實(shí)現(xiàn)，因此EFI面臨更大的被惡意修改和攻擊的威脅，這對(duì)EFI的安全性提出了更高的要求。對(duì)EFI安全性的研究是目前的研究熱點(diǎn)。目前針對(duì)EFI安全的研究大多基于TPM安全芯片來

3、建立可信鏈，而TPM芯片現(xiàn)在應(yīng)用并不廣泛。因此本文采用應(yīng)用更為普遍的USB Key構(gòu)建可信根，以EFI DXE階段前的代碼為根原點(diǎn)建立可信鏈。 建立基于EFI的可信鏈?zhǔn)菍?shí)現(xiàn)可信EFI的基礎(chǔ)，本文主要研究EFI可信鏈中EFI驅(qū)動(dòng)和應(yīng)用程序的加載校驗(yàn)過程。EFI下驅(qū)動(dòng)和應(yīng)用程序均以EFI Image形式加載，本文針對(duì)EFI Image加載過程提出兩種校驗(yàn)方案--白名單文件方案和EFI Image文件頭嵌入簽名的方案。白名單方案需要在

4、系統(tǒng)中設(shè)置白名單文件記錄所需校驗(yàn)的EFI Image的文件路徑和散列值，在加載EFI Image時(shí)，需要首先查找白名單文件中相關(guān)記錄并計(jì)算比對(duì)散列值；而EFI Image文件頭嵌入簽名的方案則需要對(duì)EFI Image文件的散列值進(jìn)行簽名，并將簽名值存儲(chǔ)于EFI Image文件自身中，在加載EFI Image文件時(shí)直接從其自身文件中讀出簽名值，解密得到散列值，然后計(jì)算比對(duì)散列值。通過對(duì)兩種方案的優(yōu)缺點(diǎn)的對(duì)比分析，本文最后選用自名單文件方案