用于预引导生物特征认证的技术制造技术

提供了一种用于在预引导过程期间提供针对安全执行环境中的硬件部件的认证服务的方法。所述方法是使用计算装置实施的。所述方法包括将生物特征认证飞地加载到安全执行环境内以及由可管理性控制器接收来自网络来源的生物特征模板，所述安全执行环境与所述计算装置的不受信任软件隔离。所述方法还包括对所述可管理性控制器和所述生物特征认证飞地进行相互认证，并响应于所述相互认证将生物特征模板从所述可管理性控制器提供至所述生物特征认证飞地。所述方法还包括由所述生物特征认证飞地使用所述生物特征模板对生物特征输入进行认证。所述方法可以还包括响应于对所述生物特征输入的认证而提供对硬件部件的访问。

Technology for Pre-guided Biometric Authentication

【技术实现步骤摘要】
用于预引导生物特征认证的技术
技术介绍
当前处理器可以为诸如安全飞地(enclave)的受信任执行环境提供支持。安全飞地包括存储器的区段(包括代码和/或数据)，处理器保护该区段以防止受到未经授权的访问，包括未经授权的读取和写入。具体而言，某些处理器可以包括软件保护扩展(SoftwareGuardExtensions,SGX)，以提供安全飞地支持。具体而言，当安全飞地数据存在于平台存储器中时向所述数据提供保密性、完整性和重放保护，并因而提供对抗软件和硬件攻击的保护。片上边界形成了自然的安全边界，其中，数据和代码可以被明文存储，并且被认为是安全的。SGX不保护跨越片上边界移动的I/O数据。受信任I/O(TIO)技术使应用能够安全地向装置发送和/或从装置接收I/O数据。该I/O数据可以包括认证数据。例如，I/O装置可以提供认证数据(例如，用户名、口令或者生物特征数据等)。就生物特征数据而言，生物特征I/O装置可以提供(例如)用户的指纹图像，将所述指纹图像与包括所存储的该用户的指纹图像或其它生物特征数据的生物特征模板进行比较，从而对用户进行认证。这种生物特征数据和生物特征模板是敏感的且个人可识别的数据，其可能易于遭受期望认证为授权用户的未授权个人的侵入或攻击。例如，未授权个人可能希望使用通过未授权手段接收到的认证凭证或数据来访问加密部件(例如，加密硬盘驱动器)。附图说明在附图中通过举例方式而非通过限制方式对本文描述的概念进行了图示。为了图示的简单和清晰起见，图中所示出的元件未必是按比例绘制的。在认为适当的地方，可以在各附图之间重复附图标记以指示对应或类似的元件。图1是用于预引导生物特征认证的计算装置的至少一个实施例的简化方框图；图2是图1的计算装置的环境的至少一个实施例的简化方框图；图3是可以由图1-图2的计算装置执行的用于安全预引导生物特征认证的方法的至少一个实施例的简化流程图；图4是可以由图1-图2的计算装置执行的用于相互部件认证以及生物特征模板的安全提供的方法的至少一个实施例的简化流程图；图5是可以由图1-图2的计算装置执行的用于相互部件认证的方法的至少一个实施例的简化流程图；以及图6是可以由图1-图2的计算装置执行的用于安全预引导生物特征认证的方法的至少一个实施例的简化流程图。具体实施方式尽管本公开的概念易于产生各种修改和替代形式，已经在附图中通过举例的方式示出了本专利技术的具体实施例，并且将在本文中详细描述本专利技术的这些具体实施例。但是，应当理解，并非旨在使本公开的概念局限于所公开的具体形式，相反，本专利技术将涵盖与本公开及所附权利要求一致的所有修改、等价方案和替代方案。在说明书中提到“一个实施例”、“实施例”、“例示性实施例”等指示所描述的实施例可以包括特定的特征、结构或特性，但未必每个实施例都包括该特定特征、结构或特性。此外，这种短语未必是指相同的实施例。此外，在结合实施例描述特定特征、结构或特性时，认为结合明确或未明确描述的其它实施例实现这种特征、结构或特性在本领域技术人员的知识范围内。此外，应当认识到，具有“A、B和C中的至少一个”的形式的列表中包括的项可以表示(A)；(B)；(C)；(A和B)；(A和C)；(B和C)；或者(A、B和C)。类似地，以“A、B或C中的至少一个”的形式列举的项可以表示(A)；(B)；(C)；(A和B)；(A和C)；(B和C)；或者(A、B和C)。在一些情况下，所公开的实施例可以是通过硬件、固件、软件或其任何组合而实施的。所公开的实施例也可以被实施成由暂态或者非暂态机器可读(例如，计算机可读)存储介质携带或存储的指令，所述指令可以由一个或多个处理器读取并执行。机器可读存储介质可以体现为用于存储或传输具有机器可读形式的信息的任何储存装置、机构或其它物理结构(例如，易失性或非易失性存储器、媒体光盘或者其它媒体装置)。在附图中，一些结构或方法特征可以是按照具体的布置和/或顺序示出的。但是，应当认识到，可以不需要这种具体布置和/或顺序。相反，在一些实施例中，这种特征可以被按照不同于例示性图中所示的方式和/或顺序布置。此外，在特定图中包括结构或方法特征并非意在暗示这种特征是所有实施例所需要的，并且在一些实施例中可能不包括这种特征，或者可以将这种特征与其它特征相结合。现在参考图1，其示出了用于预引导生物特征认证的例示性计算装置100。在使用中，如下文所进一步描述的，计算装置100生成使用从网络来源接收到的生物特征模板来启用预引导生物特征认证的安全执行环境。安全执行环境与不受信任软件隔离。如文中所使用的，不受信任的软件包括除了计算装置100的受信任代码基之外的任何软件或应用，例如，计算装置100的操作系统或者计算装置100的预引导固件环境。在预引导时间，不受信任软件可以是能够用于访问生物特征认证数据的切入点或攻击表面。在预引导过程内，计算装置100加载安全执行环境。更具体而言，计算装置100加载最小固件应用或者在其它情况下加载轻量级固件应用。固件应用启动安全执行环境，所述安全执行环境然后可以用于托管生物特征认证飞地。计算装置100接收来自网络来源的生物特征模板，所述网络来源可以通信耦合至计算装置100的可管理性控制器或者其它协处理器。可管理性控制器接收来自网络来源的生物特征模板，并且一旦认证飞地准备好，可管理性控制器就将生物特征模板安全地提供给计算装置100的处理器。固件生物特征认证飞地通过将生物特征输入(例如，接收自生物特征I/O装置)与生物特征模板进行比较而对生物特征输入进行认证。如果生物特征输入受到了验证，那么生物特征认证飞地就依据生物特征认证来批准访问。例如，生物特征认证可以由想要取得对硬件部件的访问的用户启动，所述硬件部件例如是加密数据储存装置(例如，受到全驱动器加密的硬盘驱动器)。一旦访问被授权，预引导过程就可以完成，并且继续计算装置100或者其它计算装置的引导。一些已知系统在保护生物特征数据或者使用生物特征数据进行硬件加密的能力方面存在限制。所公开的实施例提供了相对于这些已知系统的几项优势。例如，例示性实施例提供了处于静止状态的生物特征数据的安全存储。更具体而言，在预引导时间，能够将生物特征数据安全地提供给生物特征认证飞地(例如，通过不可被不受信任软件访问的安全通道)。一旦生物特征数据被提供，生物特征认证飞地就可以使用生物特征数据对用户进行认证。在生物特征数据未被用于认证时，其可以被计算装置100的可管理性控制器安全地存储。结果，生物特征数据能够被安全地存储，而不会使生物特征数据可被不受信任的软件访问。例如，计算装置100的操作系统可以被看作是不受信任软件。结果，攻击者不能使用操作系统(例如，使用病毒、bootkit、rootkit或者能够在引导时或者引导之后与操作系统一起加载的任何其它程序)作为访问生物特征数据的切入点。此外，例示性实施例还允许实施整个磁盘加密。由于生物特征认证飞地在计算装置100已经引导之前执行生物特征认证，因而整个磁盘(例如，包括主引导记录)可以被加密，并且之后在预引导时间被解密。所例示的实施例消除了对用于安全地引导计算装置以防止预引导攻击的未加密容量或单独安全操作系统的需求。此外，例示性实施例还起着从计算装置100的受信任计算基(TCB)本文档来自技高网...

【技术保护点】
1.一种用于在预引导过程期间提供认证服务的计算装置，所述计算装置包括：可管理性控制器，其中，所述可管理性控制器包括用以接收来自网络来源的生物特征模板的模板管理器；部件认证管理器，其用以对所述可管理性控制器和所述计算装置的安全执行环境进行相互认证，其中，所述安全执行环境与所述计算装置的不受信任软件隔离；以及生物特征认证管理器，其用以(i)响应于所述可管理性控制器和所述安全执行环境的相互认证而将所述生物特征模板从所述可管理性控制器安全地提供至所述安全执行环境，以及(ii)在所述预引导过程期间利用所述安全执行环境利用所述生物特征模板对生物特征输入执行生物特征认证操作。

【技术特征摘要】
2018.01.12 US 15/870,3661.一种用于在预引导过程期间提供认证服务的计算装置，所述计算装置包括：可管理性控制器，其中，所述可管理性控制器包括用以接收来自网络来源的生物特征模板的模板管理器；部件认证管理器，其用以对所述可管理性控制器和所述计算装置的安全执行环境进行相互认证，其中，所述安全执行环境与所述计算装置的不受信任软件隔离；以及生物特征认证管理器，其用以(i)响应于所述可管理性控制器和所述安全执行环境的相互认证而将所述生物特征模板从所述可管理性控制器安全地提供至所述安全执行环境，以及(ii)在所述预引导过程期间利用所述安全执行环境利用所述生物特征模板对生物特征输入执行生物特征认证操作。2.根据权利要求1所述的计算装置，其中，对所述可管理性控制器和所述安全执行环境进行相互认证包括：在所述可管理性控制器和所述安全执行环境之间安全地交换共享秘密密钥；响应于所述共享秘密密钥的安全交换而由所述可管理性控制器安全地存储所述共享秘密密钥；以及响应于所述共享秘密密钥的安全交换而由所述安全执行环境安全地存储所述共享秘密密钥。3.根据权利要求2所述的计算装置，其中，将所述生物特征模板从所述可管理性控制器安全地提供至所述安全执行环境包括利用所述共享秘密密钥保护所述生物特征模板。4.根据权利要求2所述的计算装置，其中，由所述可管理性控制器安全地存储所述共享秘密密钥包括将所述共享秘密密钥存储到所述可管理性控制器的内部储存器中。5.根据权利要求2所述的计算装置，其中，由所述安全执行环境安全地存储所述共享秘密密钥包括：利用所述安全执行环境的身份密封所述共享秘密密钥，以生成密封密钥；以及将所述密封密钥存储到所述计算装置的数据储存装置中。6.根据权利要求5所述的计算装置，其中，将所述生物特征模板从所述可管理性控制器安全地提供至所述安全执行环境还包括：由所述安全执行环境利用所述安全执行环境的身份对所述密封密钥进行解密封，以恢复所述共享秘密密钥；以及响应于对所述密封密钥的解密封而利用所述共享秘密密钥保护所述生物特征模板。7.根据权利要求1所述的计算装置，其中，对所述可管理性控制器和所述安全执行环境进行相互认证包括由所述可管理性控制器验证所述安全执行环境的身份。8.根据权利要求1所述的计算装置，其中，对所述可管理性控制器和所述安全执行环境进行相互认证包括由所述安全执行环境验证所述可管理性控制器的地点。9.根据权利要求1所述的计算装置，还包括引导管理器，所述引导管理器用以：加载所述计算装置的运行时环境；以及利用所述计算装置的处理器的安全飞地支持将部件认证飞地加载到所述运行时环境内，其中，所述安全执行环境包括所述部件认证飞地；其中，对所述可管理性控制器和所述安全执行环境进行相互认证包括对所述可管理性控制器和所述部件认证飞地进行相互认证。10.根据权利要求9所述的计算装置，还包括引导管理器，所述引导管理器用以：在所述预引导过程期间加载轻量级固件环境；以及利用所述处理器的所述安全飞地支持将生物特征认证飞地加载到所述轻量级固件环境内，其中，所述安全执行环境包括所述生物特征认证飞地；其中，将所述生物特征模板从所述可管理性控制器安全地提供至所述安全执行环境包括将所述生物特征模板从所述可管理性控制器安全地提供至所述生物特征认证飞地；并且其中，执行所述生物特征认证操作包括由所述生物特征认证飞地执行所述生物特征认证操作。11.根据权利要求10所述的计算装置，其中：所述部件认证飞地与所述部件认证飞地的授权机构的签名身份相关联；并且所述生物特征认证飞地与所述签名身份相关联。12.根据权利要求1所述的计算装置，其中，所述生物特征认证管理器还响应于所述生物特征认证操作的执行而提供对所述计算装置的硬件部件的访问。13.根据权利要求12所述的计算装置，其中，所述硬件部件包括加密数据储存装置。14.一种用于在预引导过程期间提供认证服务的方法，所述方法包括：由计算装置的可管理性控制器接收来自网络来源的生物特征模板；由所述计算装置对所述可管理性控制器和所述计算装置的安全执行环境进行相互认证，其中，所述安全执行环境与所述计算装置的不受信任软件隔离；响应于对所述可管理性控制器和所述安全执行环境进行相互认证而由所述计算装置将所述生物特征模板从所述可管理性控制器安全地提供至所述安全执行环境；...

【专利技术属性】
技术研发人员：R·拉尔，R·埃奇库姆，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国,US