从用户信任的设备安全地引导计算机制造技术

本发明专利技术尤其涉及一种用于允许计算机(10)从用户信任设备(20)引导的方法，其中：计算机(10)包括存储操作系统服务(25)或OS服务的长期数据存储设备(11)；以及用户信任设备(20)可连接到计算机(10)和存储：引导加载器(16a)，在当用户信任设备(20)到计算机(10)的连接时，引导加载器(16a)由计算机的固件(122)可检测并且可执行；OS加载器(24a)，OS加载器(24a)用于计算机的操作系统(112)或OS；以及用于OS的一个或多个加密驱动(26a)，一个或多个加密驱动(26a)被设计用于允许访问存储在数据存储设备(11)上的OS和数据；其中用户信任设备被设计为防止以下中的每一个的未认证访问：其上存储的引导加载器；一个或多个加密驱动；以及OS加载器，方法包括：当用户信任设备到计算机的连接(S21)时，使得(S22)通过固件(122)检测引导加载器(16a)，以用于至少部分地在计算机处的引导加载器(16b)的后续执行(S23)，从而使得在不在计算机的长期数据存储设备(11)上存储加载的OS加载器的任何部分的情况下，通过将OS加载器加载(S25)到计算机的主存储器(110)中，来从用户信任设备向计算机传送(S25)OS加载器(24a)；以及至少部分地在计算机(10)处执行(S27)传送的OS加载器(24b)，以使得执行(S29)用于OS的一个或多个加密驱动(26b)和OS的内核(27)，来启动OS服务(25)并完成计算机的引导。本发明专利技术进一步涉及相关的设备和系统。

【技术实现步骤摘要】
【国外来华专利技术】从用户信任的设备安全地引导计算机
本专利技术一般涉及用于安全地引导(boot)计算机的方法的领域，特别地，涉及用于从诸如轻型受保护的用户信任的设备存储器设备引导计算机的方法。
技术介绍
今天，越来越多的计算机用户加密他们的硬盘(或更一般地说，他们的长期数据存储设备)，以确保在丢失硬盘的情况下，“发现者(finder)”不能访问用户的数据。全磁盘加密工作良好，以防止这种发现者访问数据。但是，通常的磁盘加密方案不能阻止有权访问计算机的人窥探合法用户的密码。使用加密磁盘的系统需要能够从硬盘引导计算机，这是通过使用未加密的OS加载器来实现的，其中OS加载器通常包括引导加载器。否则BIOS(或初始化固件)将无法解密，因此启动(start)它。引导加载器或OS加载器然后提示用户使用用于解锁加密密钥的密码。使用该密钥，可以对硬盘的加密内容进行解密，随后可以启动操作系统。出现的一个问题是攻击者可以操纵OS加载器(以明文形式存储)，以便下次用户启动她/他的计算机时它存储密码的副本(例如，以明文形式存在于计算机上的某处，或通过计算机的网络接口将其发送到服务器，如果可用的话)。一旦计算机启动了妥协的(compromised)OS加载器，攻击者可以从他的位置读出密码，并访问计算机。
技术实现思路
根据第一方面，本专利技术实现为一种用于允许计算机从用户信任设备引导的方法，其中：-计算机包括存储操作系统服务或OS服务的长期数据存储设备；以及-用户信任设备可连接到计算机和存储：-引导加载器，在当用户信任设备到计算机的连接时，引导加载器由计算机的固件可检测并且可执行；-OS加载器，该OS加载器用于计算机的操作系统或OS；以及-用于OS的一个或多个加密驱动，该一个或多个加密驱动被设计用于允许访问存储在数据存储设备上的OS和数据；-其中用户信任设备被设计为防止以下中的每一个的未认证访问：引导加载器；一个或多个加密驱动；以及其上存储的OS加载器，-该方法包括：-当用户信任设备到计算机的连接时，使得通过固件检测引导加载器，以用于至少部分地在计算机处的引导加载器的后续执行，从而使得在不在计算机的长期数据存储设备上存储加载的OS加载器的任何部分的情况下，通过将OS加载器加载到计算机的主存储器中，来从用户信任设备向计算机传送OS加载器；以及-至少部分地在计算机处执行传送的OS加载器，以使得执行用于OS的一个或多个加密驱动和OS的内核，来启动OS服务并完成计算机的引导。在实施例中，该方法可以包括以下特征中的一个或者多个特征：引导加载器和/或OS加载器被设计成在后续执行时，至少部分地在计算机处，重新配置传送的OS加载器的引导配置参数诸如引导配置数据存储，以允许OS服务从长期数据存储设备被启动。该方法还包括：从用户信任设备取回加密和/或解密密钥，以及在它们的执行期间向一个或多个加密驱动提供取回的密钥。该方法还包括：在用户信任设备到计算机的连接之前：分析长期数据存储设备以检测以下实体中的一个或多个实体：引导加载器；OS加载器；以及一个或多个加密驱动，其中每个在计算机的长期数据存储设备上以未加密方式驻留；以及在对用户信任设备的认证之后，将检测到的实体的版本存储在用户信任设备上来分别作为引导加载器和/或OS加载器和/或一个或多个加密驱动，其中引导加载器和/或OS加载器的存储的版本被重新配置，以在引导加载器和/或OS加载器的后续执行时，重新配置OS加载器的引导配置参数，以允许OS服务从计算机的长期数据存储设备被启动，以及其中优选地，方法还包括去除或禁用在数据存储设备上检测的引导加载器和/或OS加载器。被分析的长期数据存储设备是未加密的，该方法还包括：在用户信任设备到计算机的连接之前，除了存储检测的OS加载器的重新配置的版本或者作为其一部分，在用户信任设备上存储用于OS的一个或者多个加密驱动，并且优选地通过将一个或多个加密驱动添加到检测的OS加载器，使得存储在用户信任设备上的OS加载器的版本包括一个或多个加密驱动。该方法还包括：在用户信任设备到计算机的连接之前：生成用于加密和解密长期数据存储设备的至少一个密钥，并且将生成的至少一个密钥存储到用户信任设备上，配置一个或多个加密驱动和OS加载器以用于它们，以使得在由传送的OS加载器的后续执行引起的一个或者多个加密驱动的执行之前或期间，从用户信任设备取回至少一个生成的密钥；以及利用生成的至少一个密钥中的一个密钥来加密数据存储设备。分析的长期数据存储设备是加密的，其中方法还包括：在用户信任设备到计算机的连接之前：从计算机取回用于加密和解密数据存储设备的至少一个密钥；以及将取回至少一个密钥存储在用户信任设备或由用户信任设备可访问的实体诸如智能卡上，并从计算机移除取回的至少一个密钥，以及其中存储检测到的实体的版本包括：在由传送的OS加载器的后续后执行引起的一个或者多个加密驱动的执行之前或者期间，存储一个或多个加密驱动和OS加载器的版本，其中版本已经被配置以引起从用户信任设备取回密钥。方法还包括：在用户信任设备到计算机的连接之前、以及在计算机上安装OS的同时，配置一个或多个加密驱动和/或OS加载器，使得配置的一个或多个加密驱动和OS加载器可以被存储在用户信任的设备上，并且优选地能够引起在被传送到计算机的OS加载器的后续执行时从用户信任设备取回密钥。该方法还包括：在完成计算机的引导之后：对用户信任设备进行认证以允许引导加载器和/或OS加载器的重新配置的版本将被存储在用户信任设备上。该方法还包括：利用蜜罐引导加载器和/或蜜罐OS加载器替换在长期数据存储设备上的检测的引导加载器和/或检测的OS加载器；以及将蜜罐引导加载器和蜜罐OS加载器中的每一个的拷贝存储到用户信任设备上。引导加载器进一步被设计成使得在用户信任设备到计算机的连接时，引导加载器由固件检测，并且至少部分地在计算机上后续执行以进一步使得：分别将在计算机上存储的、替换检测到的引导加载器和/或检测到的OS加载器的蜜罐引导加载器和/或蜜罐OS加载器，来分别与在用户信任设备上存储的蜜罐引导加载器和/或蜜罐OS加载器进行比较；以及如果比较的版本没有差异，则至少部分地从计算机执行传送的OS加载器。该方法还包括：如果比较的版本不同，则通知比较的版本不同。根据另一方面，本专利技术体现为一种用户信任设备，用户信任设备被设计用于允许计算机从设备引导，其中用户信任设备可连接到计算机，并且包括：引导加载器，在当用户信任设备连接到计算机时，引导加载器由计算机的固件可检测并且可执行；OS加载器或者OS加载器，OS加载器或者OS加载器用于计算机的操作系统或OS；以及其中：用户信任设备还被设计以防止任何未认证用户来修改其上存储的引导加载器和OS加载器中的任一项；以及引导加载器和OS加载器另外被配置为诸如允许实现根据实施例的方法中的所有步骤。根据另一方面，本专利技术体现为一种计算机化系统，包括根据权利要求10的用户信任设备和计算机，用户信任设备可连接到计算机。根据最后的另一方面，本专利技术体现为一种用于允许计算机从用户信任设备引导的计算机程序产品，计算机程序产品包括具有其中体现的计算机可读程序代码的计算机可读存储介质，优选地包括多个模块，计算机可读程序代码被配置为实现根据当前多个实施例的方法的所有步骤。现在将借助于本文档来自技高网...

【技术保护点】
一种用于允许计算机(10)从用户信任设备(20)引导的方法，其中所述计算机(10)包括存储操作系统服务(25)或OS服务的长期数据存储设备(11)；以及所述用户信任设备(20)可连接到所述计算机(10)并且存储：引导加载器(16a)，在当所述用户信任设备(20)到所述计算机(10)的连接时，所述引导加载器(16a)由所述计算机的固件(122)可检测并且可执行；OS加载器(24a)，所述OS加载器(24a)用于所述计算机的操作系统(112)或OS；以及用于所述OS的一个或多个加密驱动(26a)，所述一个或多个加密驱动(26a)被设计用于允许访问存储在所述数据存储设备(11)上的所述OS和数据；其中所述用户信任设备被设计为防止以下中的每一个的未认证访问：其上存储的所述引导加载器；所述一个或多个加密驱动；以及所述OS加载器，所述方法包括：当所述用户信任设备到所述计算机的连接(S21)时，使得(S22)通过所述固件(122)检测所述引导加载器(16a)，以用于至少部分地在所述计算机处的所述引导加载器(16b)的后续执行(S23)，从而使得在不在所述计算机的所述长期数据存储设备(11)上存储加载的所述OS加载器的任何部分的情况下，通过将所述OS加载器加载(S25)到所述计算机的主存储器(110)中，来从所述用户信任设备向所述计算机传送(S25)所述OS加载器(24a)；以及至少部分地在所述计算机(10)处执行(S27)传送的所述OS加载器(24b)，以使得执行(S29)用于所述OS的所述一个或多个加密驱动(26b)和所述OS的内核(27)，来启动所述OS服务(25)并完成所述计算机的引导。...

【技术特征摘要】
【国外来华专利技术】2015.03.12 US 14/645,6241.一种用于允许计算机(10)从用户信任设备(20)引导的方法，其中所述计算机(10)包括存储操作系统服务(25)或OS服务的长期数据存储设备(11)；以及所述用户信任设备(20)可连接到所述计算机(10)并且存储：引导加载器(16a)，在当所述用户信任设备(20)到所述计算机(10)的连接时，所述引导加载器(16a)由所述计算机的固件(122)可检测并且可执行；OS加载器(24a)，所述OS加载器(24a)用于所述计算机的操作系统(112)或OS；以及用于所述OS的一个或多个加密驱动(26a)，所述一个或多个加密驱动(26a)被设计用于允许访问存储在所述数据存储设备(11)上的所述OS和数据；其中所述用户信任设备被设计为防止以下中的每一个的未认证访问：其上存储的所述引导加载器；所述一个或多个加密驱动；以及所述OS加载器，所述方法包括：当所述用户信任设备到所述计算机的连接(S21)时，使得(S22)通过所述固件(122)检测所述引导加载器(16a)，以用于至少部分地在所述计算机处的所述引导加载器(16b)的后续执行(S23)，从而使得在不在所述计算机的所述长期数据存储设备(11)上存储加载的所述OS加载器的任何部分的情况下，通过将所述OS加载器加载(S25)到所述计算机的主存储器(110)中，来从所述用户信任设备向所述计算机传送(S25)所述OS加载器(24a)；以及至少部分地在所述计算机(10)处执行(S27)传送的所述OS加载器(24b)，以使得执行(S29)用于所述OS的所述一个或多个加密驱动(26b)和所述OS的内核(27)，来启动所述OS服务(25)并完成所述计算机的引导。2.根据权利要求1所述的方法，其中所述引导加载器和/或所述OS加载器被设计成在后续执行(S23，S27)时，至少部分地在所述计算机处，重新配置传送的所述OS加载器的引导配置参数诸如引导配置数据存储，以允许所述OS服务从所述长期数据存储设备(11)被启动。3.根据权利要求1或2所述的方法，还包括：从所述用户信任设备取回(S276)加密(EK)和/或解密密钥(DK)，以及在它们的执行(S29)期间向所述一个或多个加密驱动提供取回的所述密钥。4.根据权利要求1至3中的任一项所述的方法，还包括：在所述用户信任设备到所述计算机的所述连接(S21)之前：分析(S11)所述长期数据存储设备以检测以下实体中的一个或多个实体：引导加载器(16)；OS加载器(24)；以及一个或多个加密驱动(26)，其中每个在所述计算机的所述长期数据存储设备(11)上以未加密方式驻留；以及在对所述用户信任设备的认证(S11a)之后，将检测到的所述实体的版本存储(S12)在所述用户信任设备上来分别作为所述引导加载器(16a)和/或所述OS加载器(24a)和/或所述一个或多个加密驱动(26a)，其中所述引导加载器和/或所述OS加载器的存储的所述版本被重新配置，以在所述引导加载器和/或所述OS加载器的后续执行(S23，S27)时，重新配置所述OS加载器的引导配置参数，以允许所述OS服务从所述计算机的所述长期数据存储设备被启动，以及其中优选地，所述方法还包括去除或禁用在所述数据存储设备(11)上检测的所述引导加载器和/或OS加载器。5.根据权利要求4所述的方法，其中被分析(S11)的所述长期数据存储设备是未加密的，所述方法还包括：在所述用户信任设备到所述计算机的所述连接(S21)之前，除了存储检测的所述OS加载器的重新配置的版本或者作为其一部分，在所述用户信任设备上存储(S12)用于所述OS的一个或者多个加密驱动，并且优选地通过将所述一个或多个加密驱动添加到检测的所述OS加载器，使得存储在所述用户信任设备上的所述OS加载器的所述版本包括所述一个或多个加密驱动。6.根据权利要求5所述的方法，还包括：在所述用户信任设备到所述计算机的所述连接(S21)之前：生成(S11b)用于加密(EK)和解密(DK)所述长期数据存储设备的至少一个密钥，并且将生成的所述至少一个密钥存储(S11c)到所述用户信任设备上，配置(S11d)所述一个或多个加密驱动和所述OS加...

【专利技术属性】
技术研发人员：T·格施文德，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：美国,US