專利名稱：用于防盜平臺(tái)的復(fù)原的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本公開總體上涉及電子設(shè)備的防盜保護(hù)領(lǐng)域，并且更具體地涉及用于訪問配置有 防盜(AT)系統(tǒng)或機(jī)制的平臺(tái)以進(jìn)行防盜固件的重配置、修復(fù)和重置的方法和相關(guān)裝置。
背景技術(shù)：
電子設(shè)備正變得越來越來普遍和移動(dòng)化，并且隨著用戶數(shù)據(jù)越來越多地分布在膝 上型計(jì)算機(jī)、臺(tái)式計(jì)算機(jī)、服務(wù)器和手持設(shè)備中，從臺(tái)式計(jì)算機(jī)到移動(dòng)設(shè)備的電子設(shè)備盜竊 也在增加。防盜保護(hù)是可以用于防止對(duì)用戶數(shù)據(jù)的訪問的工具并且可以通過軟件、硬件和 固件的一些組合用在電子設(shè)備中。當(dāng)被觸發(fā)時(shí)，防盜系統(tǒng)的應(yīng)用可以啟動(dòng)一個(gè)或多個(gè)處理， 例如電子設(shè)備的禁用以及從電子設(shè)備中刪除數(shù)據(jù)?？梢允褂谜J(rèn)證處理來允許電子設(shè)備或平 臺(tái)的修復(fù)和對(duì)用戶數(shù)據(jù)的訪問。


在說明書的結(jié)論部分具體指出并且清楚地要求保護(hù)視為本發(fā)明的主題。然而，通 過在閱讀附圖時(shí)參考下文的詳細(xì)描述，可以最佳地理解關(guān)于本發(fā)明的操作的組織和方法及 其目的、特征和優(yōu)點(diǎn)，在附圖中圖1是本公開的各個(gè)實(shí)施例的框圖概述。圖2是根據(jù)本發(fā)明的實(shí)施例的被配置為使得能夠進(jìn)行平臺(tái)復(fù)原的系統(tǒng)的框圖。圖3示出了根據(jù)本發(fā)明的實(shí)施例的、圖2的使得能夠進(jìn)行平臺(tái)復(fù)原的系統(tǒng)的進(jìn)一 步的細(xì)節(jié)。圖4是根據(jù)本發(fā)明的實(shí)施例的狀態(tài)圖。圖5是根據(jù)本發(fā)明的實(shí)施例的過程圖。圖6是根據(jù)本發(fā)明的實(shí)施例的用于訪問平臺(tái)的流程圖；以及圖7是說明根據(jù)本發(fā)明的實(shí)施例的用于訪問平臺(tái)的替代方法的流程圖。將理解，為了說明的簡(jiǎn)潔和清楚，附圖中說明的元件未必按照比例繪制。例如，為 了清楚，可以相對(duì)于其他元件放大一些元件的尺寸。此外，當(dāng)認(rèn)為合適時(shí)，會(huì)在附圖中重復(fù) 標(biāo)號(hào)以指示相應(yīng)的或類似的元件。
具體實(shí)施例方式在下面的詳細(xì)地描述中，闡述了針對(duì)平臺(tái)的安全和可靠的恢復(fù)的許多具體細(xì)節(jié)以 提供對(duì)本發(fā)明的透徹理解。然而，本領(lǐng)域的技術(shù)人員將理解，可以在沒有這些具體細(xì)節(jié)的情 況下實(shí)現(xiàn)本發(fā)明。在其他的實(shí)例中，沒有詳細(xì)地描述公知的方法、過程、部件和電路，以免模 糊本發(fā)明。提供用于訪問具有防盜(AT)系統(tǒng)的平臺(tái)以例如對(duì)其中AT系統(tǒng)已在平臺(tái)上被激活 的平臺(tái)進(jìn)行修復(fù)或恢復(fù)的方式將是本領(lǐng)域中的進(jìn)步。在一些場(chǎng)景中，授權(quán)用戶可能難以在 修復(fù)場(chǎng)景中分析和檢測(cè)平臺(tái)故障的原因。AT系統(tǒng)已在平臺(tái)上被激活的平臺(tái)的恢復(fù)通常需要授權(quán)用 戶對(duì)平臺(tái)重新載入或刷新(reflash)映像。在基于Intel 芯片組的嵌入式處理器上使用管理引擎(ME)的實(shí)施例中，可以通 過刷新ME固件映像來禁用AT系統(tǒng)。ME固件映像是包含數(shù)據(jù)存儲(chǔ)機(jī)構(gòu)或設(shè)備上的防盜固件 部件的完整內(nèi)容和結(jié)構(gòu)的ME的鏡像(reflection)。ME固件映像的刷新可能導(dǎo)致獨(dú)立軟件 提供商(ISV)丟失包括平臺(tái)上防盜客戶端激活狀態(tài)的防盜配置數(shù)據(jù)。類似地，在ISV不再可 用的情況下，被禁用或鎖定的Intel防盜平臺(tái)的恢復(fù)可能需要刷新完整的ME固件映像，這 可能是昂貴的、耗時(shí)的并且在不替換平臺(tái)上閃速存儲(chǔ)部分的情況下還可能是無法完成的。 提供用于以允許授權(quán)用戶或修復(fù)人員在減少的努力、時(shí)間和成本的情況下安全地訪問和修 復(fù)平臺(tái)的方式訪問具有防盜系統(tǒng)的裝置和方法是有用的。用于訪問具有防盜(AT)機(jī)制的客戶端設(shè)備或平臺(tái)的一種這樣的方法包括通過 將平臺(tái)公鑰發(fā)送到服務(wù)器來啟動(dòng)進(jìn)入待機(jī)狀態(tài)，并接收服務(wù)器公鑰；接收加密的和簽名的 AT許可；將會(huì)合(rendezvous)消息發(fā)送到服務(wù)器；從服務(wù)器接收加密的和簽名的AT待機(jī) 轉(zhuǎn)變消息；驗(yàn)證待機(jī)轉(zhuǎn)變消息；將RSA簽名的確認(rèn)發(fā)送到服務(wù)器；以及啟動(dòng)待機(jī)狀態(tài)。圖1說明了本公開的各個(gè)實(shí)施例的概述。如所說明的，可以為每一個(gè)客戶端設(shè)備 102 (也可交換地稱為平臺(tái)或站)提供有阻止盜竊能力的芯片組固件和/或硬件。在實(shí)施例 中，芯片組固件和硬件包括阻止盜竊管理引擎(TDME)112。還可以為客戶端設(shè)備102提供 阻止盜竊主機(jī)代理(TD HA) 114。特別地，TD ME 112和TD HA 114可以被配置為與阻止盜 竊服務(wù)(TD SVC) 122共同地實(shí)現(xiàn)阻止盜竊協(xié)議，所述阻止盜竊服務(wù)122可以與客戶端設(shè)備 102遠(yuǎn)程地放置，用于阻止或阻礙對(duì)客戶端設(shè)備102的盜竊。可以在一個(gè)或多個(gè)遠(yuǎn)程放置的 服務(wù)器106上實(shí)現(xiàn)TD SVC 122。可以使用中間服務(wù)器108來便利客戶端設(shè)備102和服務(wù) 器106之間的消息交換。并且，中間服務(wù)器108可以是經(jīng)由網(wǎng)絡(luò)104從客戶端設(shè)備102和 服務(wù)器106可訪問的?？梢詫ㄓ糜谧柚够蜃璧K對(duì)客戶端設(shè)備102的盜竊的動(dòng)作指令的消息經(jīng)由中 間服務(wù)器108從服務(wù)器106發(fā)送到客戶端設(shè)備102。TD HA 114可以被配置為在阻止盜竊 協(xié)議中幫助客戶端設(shè)備102中的TD ME 112，例如包括確定網(wǎng)絡(luò)104是否是可訪問的、向 中間服務(wù)器108查詢來自TD SVC122的消息，和/或?qū)⑾⒅欣^到TD ME 112。TD ME 112 可以被配置為檢驗(yàn)從TD HA 114中繼的消息并且命令客戶端設(shè)備102執(zhí)行相應(yīng)地阻止盜竊 動(dòng)作。對(duì)于所說明的實(shí)施例，TD HA 114可以被配置為在客戶端設(shè)備102的處理器操作 的應(yīng)用執(zhí)行環(huán)境中工作，而TD ME 112可以被配置為在該應(yīng)用執(zhí)行環(huán)境外工作?？蛻舳嗽O(shè) 備102可以具有一個(gè)或多個(gè)處理器操作的應(yīng)用執(zhí)行環(huán)境，其為虛擬的環(huán)境或其他環(huán)境。此外，客戶端設(shè)備102可以是多個(gè)基于處理器的設(shè)備中的任意一個(gè)，包括但不限 于臺(tái)式計(jì)算設(shè)備、便攜式計(jì)算設(shè)備(膝上型計(jì)算機(jī)、上網(wǎng)本和其它手持設(shè)備)、機(jī)項(xiàng)盒，和 游戲控制臺(tái)。手持設(shè)備可以包括但不限于個(gè)人數(shù)字助理、數(shù)碼相機(jī)、媒體播放器，和移動(dòng)電 話。服務(wù)器106可以是任意多個(gè)服務(wù)器，包括但不限于刀片服務(wù)器。網(wǎng)絡(luò)104可以包括一 個(gè)或多個(gè)私人網(wǎng)絡(luò)和/或公共網(wǎng)絡(luò)、有線網(wǎng)絡(luò)和/或無線網(wǎng)絡(luò)、局域網(wǎng)和/或廣域網(wǎng)。此外，對(duì)于所說明的實(shí)施例，每一個(gè)客戶端設(shè)備102可以包括基本輸入/輸出系統(tǒng) (BIOS) 113，其被配置為與TD ME 112協(xié)作以在客戶端設(shè)備102上實(shí)現(xiàn)防盜處理。BIOS可以 包括修復(fù)認(rèn)證AT模塊，其可以用于從AT禁用中恢復(fù)客戶端設(shè)備102和將AT平臺(tái)轉(zhuǎn)變成待機(jī)狀態(tài)。 ME/防盜服務(wù)(例如，Intel 服務(wù))的隔離和安全的執(zhí)行環(huán)境可以包括各種不同 類型的分區(qū)，包括整個(gè)分離的硬件分區(qū)(例如，使用Intel 公司的管理引擎(“ME”)、動(dòng) 態(tài)管理技術(shù)(“AMT”)、平臺(tái)資源層(“PRL”)和/或其他類似的或相似的技術(shù))和/或虛 擬分區(qū)(例如，Intel 公司虛擬化技術(shù)(“VT”)方案中的虛擬機(jī))。對(duì)本領(lǐng)域的普通技術(shù) 人員將顯而易見的是，還可以使用虛擬化主機(jī)實(shí)現(xiàn)ME、AMT和PRL技術(shù)。圖2是描述在其中可以實(shí)現(xiàn)本發(fā)明的實(shí)施例的平臺(tái)的框圖。對(duì)應(yīng)于主計(jì)算機(jī)系統(tǒng) 的平臺(tái)200包括經(jīng)由桌面管理接口(DMI) 211連接到芯片組220的處理器210。處理器210 將處理功率提供給平臺(tái)200并且可以是單核心或多核心處理器，并且平臺(tái)200中可以包括 多于一個(gè)處理器?？梢越?jīng)由一個(gè)或多個(gè)系統(tǒng)總線、通信路徑或介質(zhì)(未示出)將處理器210 連接到平臺(tái)200的其他部件。芯片組220包括用于管理平臺(tái)200的配置和操作的管理引擎(ME) 230，其可以實(shí)現(xiàn) 為獨(dú)立于主機(jī)處理器210操作的嵌入式微處理器。在一個(gè)實(shí)施例中，處理器210在主機(jī)操 作系統(tǒng)(未示出)的指引下操作，而管理引擎(ME) 230提供不能被主機(jī)操作系統(tǒng)訪問的安 全和隔離的環(huán)境。在一個(gè)實(shí)施例中，管理引擎(ME) 230對(duì)用戶進(jìn)行認(rèn)證，控制對(duì)外圍設(shè)備的 訪問，管理用于保護(hù)存儲(chǔ)在平臺(tái)200的存儲(chǔ)設(shè)備中的數(shù)據(jù)的加密密鑰，以及經(jīng)由網(wǎng)絡(luò)控制 器260向企業(yè)服務(wù)270提供接口。使用企業(yè)服務(wù)270，管理引擎(ME) 230與針對(duì)例如平臺(tái) 200的平臺(tái)的配置和管理的企業(yè)范圍的策略保持一致?？梢詫⒎辣I固件模塊實(shí)現(xiàn)為由管理 引擎(ME 230)執(zhí)行的固件。ME 230與企業(yè)服務(wù)270之間的通信通過用于在ME和AT服務(wù)器之間中繼消息的 AT主機(jī)OS代理經(jīng)由帶外或帶內(nèi)(oob/ib)通信信道271來進(jìn)行。在一個(gè)實(shí)施例中，oob/ib 通信信道271是主機(jī)系統(tǒng)上的管理引擎(ME) 230與管理主機(jī)系統(tǒng)的企業(yè)服務(wù)270之間的安 全通信信道?？梢栽谛酒M200和管理引擎(ME) 230的制造期間將用于實(shí)現(xiàn)平臺(tái)200和企 業(yè)服務(wù)270之間的安全通信的加密/解密密鑰存儲(chǔ)在閃速存儲(chǔ)器290中。在圖2示出的實(shí)施例中，管理引擎(ME)230經(jīng)由管理引擎控制器接口(MECI)231 耦合到微控制器240。在一個(gè)實(shí)施例中，微控制器240是執(zhí)行存儲(chǔ)命令解碼和其它加速操作 的通用控制器。在示出的實(shí)施例中，管理引擎(ME) 230控制微控制器240的行為，微控制器 240又控制存儲(chǔ)控制器250的行為。微控制器240包括用于存儲(chǔ)控制器250的驅(qū)動(dòng)器以及 涉及任何盤加密功能的邏輯。存儲(chǔ)控制器250是用于例如存儲(chǔ)設(shè)備252的存儲(chǔ)設(shè)備的控制 器，并且使得微控制器240和ME 230能夠訪問存儲(chǔ)在存儲(chǔ)設(shè)備252中的數(shù)據(jù)。平臺(tái)200還包括存儲(chǔ)器設(shè)備，例如動(dòng)態(tài)隨機(jī)存取存儲(chǔ)器(DRAM) 212、芯片組220中 的靜態(tài)隨機(jī)存取存儲(chǔ)器(SRAM) 222，和閃速存儲(chǔ)器290，以及經(jīng)由存儲(chǔ)控制器250可訪問 的存儲(chǔ)設(shè)備252。這些存儲(chǔ)器設(shè)備可以包括隨機(jī)存取存儲(chǔ)器(RAM)和只讀存儲(chǔ)器(ROM)。 為了本公開的目的，術(shù)語“ROM”可以用來總地指非易失性存儲(chǔ)器設(shè)備，例如可擦可編程 ROM (EPROM)、電可擦可編程ROM (EEPROM)、閃速ROM、閃速存儲(chǔ)器等。存儲(chǔ)設(shè)備252可以包括 大容量存儲(chǔ)設(shè)備，例如電子集成驅(qū)動(dòng)器(IDE)硬盤驅(qū)動(dòng)器，和/或其他設(shè)備或介質(zhì)，例如軟 盤、光學(xué)儲(chǔ)存器、磁帶、閃速存儲(chǔ)器、記憶棒、數(shù)字視頻盤、生物學(xué)儲(chǔ)存器等。閃速存儲(chǔ)器290是經(jīng)由閃速接口 291可由芯片組220訪問的?？梢詫?duì)存儲(chǔ)在存儲(chǔ) 設(shè)備252和/或存儲(chǔ)器設(shè)備DRAM 212、SRAM 222和閃速存儲(chǔ)器290中的數(shù)據(jù)進(jìn)行加密。
閃速存儲(chǔ)器290包括用于初始化平臺(tái)200的固件。這個(gè)初始化固件包括用于識(shí)別 和初始化系統(tǒng)部件硬件(例如視頻顯示卡和硬盤)和一些其他硬件設(shè)備的基本輸入/輸 出系統(tǒng)(BIOS)固件292，所述一些其他硬件設(shè)備包括管理引擎(ME) 230。BIOS固件292使 平臺(tái)200的系統(tǒng)部件硬件進(jìn)行準(zhǔn)備以在已知的低性能狀態(tài)中操作，從而存儲(chǔ)在各種介質(zhì)中 的其他軟件程序(包括操作系統(tǒng))可以被加載、執(zhí)行并給予平臺(tái)200的控制。ME固件296 使得能夠在引導(dǎo)處理期間進(jìn)行管理引擎(ME)230的初始配置。在一個(gè)實(shí)施例中，管理引擎 (ME) 230正好在為平臺(tái)200加載操作系統(tǒng)之前注冊(cè)ME固件296以接收通知。該通知使得管 理引擎(ME) 230執(zhí)行某些指令以為加載操作系統(tǒng)做準(zhǔn)備。
閃速存儲(chǔ)器290還包括用于配置網(wǎng)絡(luò)控制器260的網(wǎng)絡(luò)控制器固件295，以及用于 配置芯片組220的芯片組固件296。閃速存儲(chǔ)器290還包括數(shù)據(jù)區(qū)域298。在一個(gè)實(shí)施例 中，數(shù)據(jù)區(qū)域298被加密并且僅能由管理引擎(ME)230讀取?？梢詫E 230用于提供防盜 服務(wù)的信息存儲(chǔ)在閃速存儲(chǔ)器290的數(shù)據(jù)區(qū)域298或存儲(chǔ)設(shè)備252中。處理器210還可以通信地耦合到額外的部件，例如視頻控制器、小型計(jì)算機(jī)系統(tǒng) 接口(SCSI)控制器、網(wǎng)絡(luò)控制器、通用串行總線(USB)控制器、諸如鍵盤和鼠標(biāo)的輸入設(shè)備 等。平臺(tái)200還可以包括用于通信地耦合各種系統(tǒng)部件的一個(gè)或多個(gè)橋或集線器，例如存 儲(chǔ)器控制器集線器、輸入/輸出(I/O)控制器集線器、PCI根橋等。如本文所使用的，術(shù)語 “總線”可以用來指共享通信路徑以及點(diǎn)到點(diǎn)路徑。諸如網(wǎng)絡(luò)控制器260的一些部件可以實(shí)現(xiàn)為具有用于與總線通信的接口(例如， PCI連接器)的適配卡。在一個(gè)實(shí)施例中，使用諸如可編程或不可編程的邏輯設(shè)備或陣列、 專用集成電路(ASIC)、嵌入式計(jì)算機(jī)、智能卡等的部件，可以將一個(gè)或多個(gè)設(shè)備實(shí)現(xiàn)為嵌入 式控制器。如本文所使用的，術(shù)語“處理系統(tǒng)”和“數(shù)據(jù)處理系統(tǒng)”意圖寬泛的包括單個(gè)機(jī)器， 或?qū)C(jī)器或設(shè)備通信地耦合在一起的系統(tǒng)。示例性處理系統(tǒng)包括而不限于分布式計(jì)算系 統(tǒng)、超級(jí)計(jì)算機(jī)、高性能計(jì)算系統(tǒng)、計(jì)算集群、大型計(jì)算機(jī)、迷你計(jì)算機(jī)、客戶端-服務(wù)器系 統(tǒng)、個(gè)人計(jì)算機(jī)、工作站、服務(wù)器、便攜式計(jì)算機(jī)、膝上型計(jì)算機(jī)、平板計(jì)算機(jī)、電話、個(gè)人數(shù) 字助理(PDA)、手持設(shè)備、諸如音頻和/或視頻設(shè)備的娛樂設(shè)備，以及用于處理或傳輸信息 的其他設(shè)備?？梢灾辽俨糠值赝ㄟ^來自傳統(tǒng)輸入設(shè)備(例如鍵盤、鼠標(biāo)等)的輸入和/或從另 一個(gè)機(jī)器、生物計(jì)量反饋或其他輸入源或信號(hào)接收的命令來控制平臺(tái)200。平臺(tái)200可以例 如通過網(wǎng)絡(luò)接口控制器(NIC) 160、調(diào)制解調(diào)器或其他通信端口或耦合，來使用到一個(gè)或多 個(gè)遠(yuǎn)程數(shù)據(jù)處理系統(tǒng)(未示出)的一個(gè)或多個(gè)連接。平臺(tái)200可以通過物理和/或邏輯網(wǎng)絡(luò)(例如局域網(wǎng)(LAN)、廣域網(wǎng)(WAN)、內(nèi)部 網(wǎng)、互聯(lián)網(wǎng)等)的方式互連到其他處理系統(tǒng)(未示出)。涉及網(wǎng)絡(luò)的通信可以使用各種有線 和/或無線的短距離或長距離的載波和協(xié)議，包括射頻(RF)、衛(wèi)星、微波、電氣與電子工程 師協(xié)會(huì)(IEEE)802. 11、藍(lán)牙、光、紅外、電纜、激光等。圖3示出了圖2的在其中可以實(shí)現(xiàn)本發(fā)明的實(shí)施例的管理引擎(ME) 230和企業(yè)AT 服務(wù)270的進(jìn)一步的細(xì)節(jié)。ME 230包括邏輯并且經(jīng)由帶外/帶內(nèi)通信信道271與Intel防 盜固件模塊和企業(yè)服務(wù)270的AT狀態(tài)管理模塊服務(wù)370 (可以是Intel 服務(wù))進(jìn)行通信。在芯片組220中，示出的是在加載了圖2的ME固件296之后的管理引擎230。管理引擎230包括為管理引擎230提供基本操作性能的ME內(nèi)核310，以及提供諸如網(wǎng)絡(luò)通信、安全性、密碼和計(jì)時(shí)器服務(wù)的基本服務(wù)的ME通用服務(wù)320。管理引擎230還包括帶外(OOB)/ 帶內(nèi)通信模塊330。OOB通信模塊330便利平臺(tái)200的部件與企業(yè)服務(wù)270相應(yīng)的部件之 間經(jīng)由網(wǎng)絡(luò)控制器260進(jìn)行通信。管理引擎230還包括管理平臺(tái)上的防盜服務(wù)的防盜服務(wù) 模塊360。根據(jù)本發(fā)明的實(shí)施例，管理引擎(ME) 230還包括管理模塊350、安全模塊355以及 防盜服務(wù)模塊360。結(jié)合AT企業(yè)服務(wù)270使用這些模塊來與針對(duì)例如平臺(tái)200的平臺(tái)的 管理和配置的企業(yè)范圍的策略保持一致。OOB/帶內(nèi)服務(wù)器通信模塊330便利AT服務(wù)模塊 360和安全模塊355與AT企業(yè)服務(wù)270的相應(yīng)部件(未示出)之間經(jīng)由網(wǎng)絡(luò)控制器260進(jìn) 行通信。如前面所討論的，可以在平臺(tái)200上激活防盜(AT)系統(tǒng)，以使用包括防盜服務(wù)模 塊360的模塊提供平臺(tái)200的資產(chǎn)(asset)保護(hù)、數(shù)據(jù)保護(hù)和盜竊阻止。圖4是表示平臺(tái) 200的AT的各個(gè)狀態(tài)的狀態(tài)機(jī)圖；包括非活動(dòng)狀態(tài)402、活動(dòng)狀態(tài)404、被盜狀態(tài)(stolen state) 406以及待機(jī)狀態(tài)408。在一個(gè)實(shí)施例中，非活動(dòng)狀態(tài)402表示平臺(tái)200處于登記前 (pre-enrollment)配置，其中平臺(tái)200還沒有向服務(wù)器(例如在下面的圖5中描述的企業(yè) /AT服務(wù)器502)尋求激活A(yù)T的許可，或者其中在平臺(tái)200上停用了 AT技術(shù)。繼續(xù)該實(shí)施例，登記410處理用于將平臺(tái)200從非活動(dòng)狀態(tài)402轉(zhuǎn)變成活動(dòng)狀態(tài) 404。如果平臺(tái)200適合與AT系統(tǒng)進(jìn)行操作，那么平臺(tái)200滿足登記410處理的條件。針 對(duì)AT的登記代理可以向ISV服務(wù)器或企業(yè)AT服務(wù)器402請(qǐng)求激活A(yù)T的許可。作為響應(yīng)， ISV服務(wù)器可以驗(yàn)證請(qǐng)求，并且可以將AT許可(在實(shí)施例中，是用于激活平臺(tái)上的防盜的 Intel授權(quán)的、密碼簽名并加密的數(shù)據(jù)結(jié)構(gòu))發(fā)送到平臺(tái)200，以允許平臺(tái)200驗(yàn)證來自ISV 服務(wù)器或企業(yè)AT服務(wù)器402的簽名的消息。當(dāng)在活動(dòng)狀態(tài)404中時(shí)，可以使用會(huì)合計(jì)時(shí)器 來確定平臺(tái)200是否應(yīng)當(dāng)保持在活動(dòng)狀態(tài)404，或是否應(yīng)當(dāng)實(shí)現(xiàn)觸發(fā)和策略執(zhí)行414處理 以例如通過圖3的防盜狀態(tài)管理模塊340將平臺(tái)200的狀態(tài)從活動(dòng)狀態(tài)404改到被盜狀態(tài) 406?？梢允褂糜|發(fā)將平臺(tái)200的狀態(tài)從活動(dòng)狀態(tài)404轉(zhuǎn)變到被盜狀態(tài)406。一個(gè)這樣 的觸發(fā)是從ISV服務(wù)器發(fā)送到平臺(tái)200的被盜(或AT平臺(tái)鎖定)消息。在其他的實(shí)施例 中，觸發(fā)可以是由ME固件296進(jìn)行的防盜平臺(tái)篡改檢測(cè)或策略驅(qū)動(dòng)的登陸到操作系統(tǒng)(OS) 的本地登陸失敗。轉(zhuǎn)變平臺(tái)200到被盜狀態(tài)406指示平臺(tái)200要實(shí)現(xiàn)策略動(dòng)作。例如，當(dāng) 轉(zhuǎn)變到被盜狀態(tài)406時(shí)，平臺(tái)200可以采取動(dòng)作以立刻禁用或在給定的時(shí)間段內(nèi)禁用平臺(tái) 200。此外，或可替代地，AT機(jī)制或系統(tǒng)可以通過刪除所有數(shù)據(jù)中的一部分或禁止對(duì)數(shù)據(jù)的 訪問來保護(hù)平臺(tái)200上的數(shù)據(jù)。本發(fā)明的實(shí)施例通過認(rèn)證418處理將平臺(tái)200從被盜狀態(tài)406轉(zhuǎn)變成待機(jī)狀態(tài) 408，來提供進(jìn)入修復(fù)場(chǎng)景或暫時(shí)禁用或中止AT平臺(tái)狀態(tài)的能力。認(rèn)證418處理的應(yīng)用允 許在沒有丟失AT許可(在實(shí)施例中，用于激活平臺(tái)上的防盜的Intel授權(quán)的、密碼簽名并 且加密的數(shù)據(jù)結(jié)構(gòu))的情況下通過修復(fù)場(chǎng)景訪問平臺(tái)200。可替換地，客戶端設(shè)備102或平 臺(tái)200可以使用旁路處理422從活動(dòng)狀態(tài)404直接轉(zhuǎn)變到待機(jī)狀態(tài)408。旁路處理422可 以被應(yīng)用來從活動(dòng)狀態(tài)404訪問待機(jī)狀態(tài)408，而不用將平臺(tái)200轉(zhuǎn)變成被盜狀態(tài)406。在 下面的圖6和圖7中描述了認(rèn)證418處理的實(shí)施例。在實(shí)施例中，AT待機(jī)狀態(tài)408是時(shí)間受限且基于策略的，但是實(shí)施例不受此限制。
待機(jī)狀態(tài)408可以允許用戶基于平臺(tái)200中基于AT策略的計(jì)時(shí)器持續(xù)時(shí)間訪問 硬件和軟件，并且允許服務(wù)/支持工程師在不刷新/重編程平臺(tái)200中的ME固件296的情 況下修復(fù)有AT能力的平臺(tái)。如果沒有根據(jù)策略要求修復(fù)或糾正平臺(tái)200，那么可以使用休 眠420處理將平臺(tái)200從待機(jī)狀態(tài)408轉(zhuǎn)變回被盜狀態(tài)406。例如，如果處于待機(jī)狀態(tài)408 時(shí)計(jì)時(shí)器期滿，那么平臺(tái)200可以進(jìn)入休眠420處理以將平臺(tái)200轉(zhuǎn)變回被盜狀態(tài)406?？梢允褂酶鶕?jù)本發(fā)明的實(shí)施例的、如在下面的圖6和圖7中所描述的復(fù)原424處 理將平臺(tái)200從待機(jī)狀態(tài)408轉(zhuǎn)變?yōu)榛顒?dòng)狀態(tài)404。在另一實(shí)施例中，可以使用恢復(fù)416處 理將平臺(tái)200從被盜狀態(tài)406轉(zhuǎn)變?yōu)榛顒?dòng)狀態(tài)404?；謴?fù)416處理可以包括在AT系統(tǒng)中 輸入口令(在AT激活期間提供的用戶激活的密碼)以檢驗(yàn)用戶憑證?？商鎿Q地，恢復(fù)416 處理可以包括在AT系統(tǒng)中輸入恢復(fù)令牌(ISV服務(wù)器生成的平臺(tái)恢復(fù)密碼)以將平臺(tái)200 從被盜狀態(tài)406轉(zhuǎn)變?yōu)榛顒?dòng)狀態(tài)404。通過其中AT系統(tǒng)在平臺(tái)200上被停用的停用412處 理，可以將平臺(tái)200從活動(dòng)狀態(tài)404轉(zhuǎn)變回非活動(dòng)狀態(tài)402。圖5是描述根據(jù)本發(fā)明的實(shí)施例的認(rèn)證處理418的過程圖。在后面的圖6和圖7 中另外描述了認(rèn)證處理的一些實(shí)施例。使用企業(yè)/AT服務(wù)器或ISV服務(wù)器502、平臺(tái)200上 的主機(jī)軟件504、ME-AT固件(FW) 506、平臺(tái)200上的BIOS 508以及用戶510，可以通過認(rèn)證 418處理將具有激活的AT系統(tǒng)的平臺(tái)200轉(zhuǎn)變成待機(jī)狀態(tài)408。由ME-AT固件506生成RSA (Rivest, Shamir和Adelman)密鑰對(duì)，并且在AT激活 或登記410期間在ME-AT固件506、主機(jī)軟件504和服務(wù)器502之間安全地交換RSA公鑰。 RSA密鑰對(duì)被生成并且可以被存儲(chǔ)為加密的數(shù)據(jù)二進(jìn)制大對(duì)象(blob)?？梢杂善脚_(tái)200的 原始設(shè)備制造商(OEM)將公鑰或“共享密鑰”放置、編程或燒錄到SPI閃速存儲(chǔ)器中由管理 引擎(ME)可讀取的位置。在該實(shí)施例中，可以以僅ME可讀的方式來限制公鑰的位置。將 加密和簽名的AT許可522發(fā)送到主機(jī)軟件504和ME-AT固件506以將平臺(tái)200置于活動(dòng) 狀態(tài)404。在第一實(shí)施例512中，平臺(tái)200處于活動(dòng)狀態(tài)404。當(dāng)處于活動(dòng)狀態(tài)404時(shí)，會(huì)合 處理使用的會(huì)合初始化524消息被周期地發(fā)送到企業(yè)/AT服務(wù)器502，以根據(jù)使用策略來更 新盜竊狀態(tài)。可以通過平臺(tái)200中的會(huì)合計(jì)時(shí)器的期滿，例如由主機(jī)軟件504中的客戶端 代理來觸發(fā)會(huì)合初始化512消息。將加密和簽名的待機(jī)消息526從企業(yè)/AT服務(wù)器502發(fā) 送到主機(jī)軟件504和ME-AT固件506，以啟動(dòng)待機(jī)狀態(tài)408。通過電話或諸如網(wǎng)絡(luò)接口的其 他接口將發(fā)出以用于認(rèn)證的隨機(jī)數(shù)(nonce)或諸如隨機(jī)號(hào)或偽隨機(jī)號(hào)的安全號(hào)從用戶510 發(fā)送到企業(yè)/AT服務(wù)器502 (528)，并且從服務(wù)器502獲取用于從待機(jī)狀態(tài)408退出的令牌。 待機(jī)退出令牌從用戶510發(fā)送到BI0S508(530)，然后發(fā)送到ME-AT固件506?？梢越?jīng)由待機(jī)狀態(tài)408的使用例如通過以下方式來修復(fù)平臺(tái)200 允許將串行外 圍接口(SPI)閃速存儲(chǔ)器重置成期望的設(shè)置，和/或移除由惡意獨(dú)立軟件供應(yīng)商(ISV)或 不再可用的ISV進(jìn)行的錯(cuò)誤或未授權(quán)的AT系統(tǒng)的激活。在圖5中說明的第二實(shí)施例514中，處于活動(dòng)狀態(tài)404的平臺(tái)200將會(huì)合初始化 540消息從主機(jī)軟件發(fā)送到企業(yè)/AT服務(wù)器502。將被盜消息542從企業(yè)/AT服務(wù)器502 發(fā)送到主機(jī)軟件504，然后發(fā)送到ME-AT固件506以將平臺(tái)200置于被盜狀態(tài)406。啟動(dòng) AT待機(jī)認(rèn)證418處理，并且將待機(jī)進(jìn)入令牌544從用戶510發(fā)送到BIOS 508和ME-AT固件506。通過電話或諸如網(wǎng)絡(luò)接口的其他接口將隨機(jī)數(shù)從用戶510發(fā)送到企業(yè)/AT服務(wù)器 502 (546)，并且從服務(wù)器502獲取用于進(jìn)入待機(jī)狀態(tài)408的令牌。圖6是根據(jù)本發(fā)明的實(shí)施例的用于從活動(dòng)狀態(tài)404訪問平臺(tái)200的流程圖。在項(xiàng) 600中，啟動(dòng)從活動(dòng)狀態(tài)404進(jìn)入平臺(tái)200的防盜(AT)待機(jī)狀態(tài)408。在項(xiàng)610中，基于操 作系統(tǒng)(OS)的AT系統(tǒng)啟動(dòng)與企業(yè)/AT服務(wù)器502的會(huì)合。在項(xiàng)620，企業(yè)/AT服務(wù)器502 接收客戶端設(shè)備102或平臺(tái)200針對(duì)新的AT策略的請(qǐng)求，并且在項(xiàng)630中，企業(yè)/AT服務(wù) 器502基于用戶請(qǐng)求生 成待機(jī)消息。ME-AT固件(FW) 506通過主機(jī)軟件504從企業(yè)/AT服 務(wù)器502接收加密和簽名的AT待機(jī)轉(zhuǎn)變消息(項(xiàng)640)。在項(xiàng)640中，ME-AT固件(FW) 506 驗(yàn)證簽名的AT待機(jī)轉(zhuǎn)變消息并且將RSA簽名的確認(rèn)發(fā)送到企業(yè)/AT服務(wù)器502。在項(xiàng)660 中，啟動(dòng)待機(jī)狀態(tài)408以提供對(duì)平臺(tái)200的訪問。圖7是說明根據(jù)本發(fā)明的實(shí)施例的用于從活動(dòng)狀態(tài)404或被盜狀態(tài)406訪問平臺(tái) 200的替代方法的流程圖。如該方法所說明的，在項(xiàng)700中，通過BIOS從被盜狀態(tài)406或 活動(dòng)狀態(tài)404啟動(dòng)進(jìn)入AT待機(jī)狀態(tài)408。在項(xiàng)710中，通過BIOS從ME-AT固件506請(qǐng)求 隨機(jī)數(shù)，并且將隨機(jī)數(shù)顯示給用戶510。在項(xiàng)720，由企業(yè)/AT服務(wù)器502使用隨機(jī)數(shù)生成 待機(jī)進(jìn)入令牌，然而，在生成待機(jī)進(jìn)入令牌時(shí)還可以使用額外的信息。在該實(shí)施例中，在項(xiàng) 730中，用戶510輸入待機(jī)進(jìn)入令牌以由ME-AT固件506進(jìn)行認(rèn)證。在項(xiàng)740中，ME-AT固 件506使用公鑰或共享密鑰和隨機(jī)數(shù)生成待機(jī)令牌。在項(xiàng)750中，將來自用戶510的待機(jī) 令牌與由ME-AT固件506生成的待機(jī)令牌進(jìn)行比較以確定是否存在匹配。在項(xiàng)760中，啟 動(dòng)待機(jī)狀態(tài)408以提供對(duì)平臺(tái)200的訪問。在可應(yīng)用的情況下，經(jīng)由執(zhí)行實(shí)施為主機(jī)處理器和微控制器上的代碼指令的合適 固件或軟件通常可以便利進(jìn)行本文所討論的操作。因此，本發(fā)明的實(shí)施例可以包括在某種 形式的處理核心上執(zhí)行的或在機(jī)器可讀介質(zhì)上或機(jī)器可讀介質(zhì)中實(shí)現(xiàn)或?qū)嵤┑闹噶罴?。機(jī) 器可讀介質(zhì)包括用于以機(jī)器(例如，計(jì)算機(jī))可讀形式存儲(chǔ)或傳輸信息的任何機(jī)構(gòu)。例如， 機(jī)器可讀介質(zhì)可以包括制品，例如閃速存儲(chǔ)器290 ；動(dòng)態(tài)隨機(jī)存取存儲(chǔ)器(DRAM)212 ；磁盤 存儲(chǔ)介質(zhì)；光存儲(chǔ)介質(zhì)；以及靜態(tài)隨機(jī)存取存儲(chǔ)器222等。此外，機(jī)器可讀介質(zhì)可以包括 傳播信號(hào)，例如電的、光的、聲的或其他形式的傳播信號(hào)(例如，載波、紅外信號(hào)、數(shù)字信號(hào)
寸乂 O盡管本文已經(jīng)說明和描述了本發(fā)明的某些特征，但是本領(lǐng)域的技術(shù)人員現(xiàn)在將可 以想到許多修改、替代、改變以及等價(jià)物。因此，應(yīng)當(dāng)理解，所附權(quán)利要求意圖覆蓋落在本發(fā) 明的真實(shí)精神內(nèi)的所有此類修改和改變。
權(quán)利要求
1.一種用于訪問具有防盜(AT)機(jī)制的平臺(tái)的方法，包括 通過將平臺(tái)公鑰發(fā)送到服務(wù)器來啟動(dòng)進(jìn)入待機(jī)狀態(tài)；接收服務(wù)器公鑰；接收加密和簽名的AT許可；將會(huì)合消息發(fā)送到所述服務(wù)器；從所述服務(wù)器接收加密和簽名的AT待機(jī)轉(zhuǎn)變消息；驗(yàn)證所述待機(jī)轉(zhuǎn)變消息；將RSA簽名的確認(rèn)發(fā)送到所述服務(wù)器；以及進(jìn)入所述平臺(tái)上的所述待機(jī)狀態(tài)。
2.根據(jù)權(quán)利要求1所述的方法，其中，所述平臺(tái)是從活動(dòng)狀態(tài)轉(zhuǎn)變到所述待機(jī)狀態(tài)的。
3.根據(jù)權(quán)利要求2所述的方法，還包括將所述平臺(tái)從所述活動(dòng)狀態(tài)轉(zhuǎn)變到被盜狀態(tài)。
4.根據(jù)權(quán)利要求1所述的方法，還包括生成平臺(tái)RSA密鑰對(duì)并且將所述RSA密鑰對(duì)存 儲(chǔ)為加密的數(shù)據(jù)二進(jìn)制大對(duì)象。
5.根據(jù)權(quán)利要求3所述的方法，其中，所述待機(jī)轉(zhuǎn)變消息是由管理引擎(ME)驗(yàn)證的。
6.根據(jù)權(quán)利要求5所述的方法，其中，通過所述平臺(tái)上的主機(jī)軟件來交換所述平臺(tái)公 鑰和所述服務(wù)器公鑰。
7.根據(jù)權(quán)利要求4所述的方法，其中，所述平臺(tái)公鑰可以是僅由管理引擎(ME)可讀的。
8.一種具有防盜(AT)機(jī)制的平臺(tái)，包括；用于通過將平臺(tái)公鑰發(fā)送到服務(wù)器來啟動(dòng)進(jìn)入待機(jī)狀態(tài)的模塊； 用于接收服務(wù)器公鑰的模塊； 用于接收加密和簽名的AT許可的模塊； 用于生成隨機(jī)數(shù)的模塊；用于使用所述隨機(jī)數(shù)和所述平臺(tái)公鑰生成第一待機(jī)令牌的模塊； 用于接收第二待機(jī)令牌的模塊；用于使用所述第一待機(jī)令牌來認(rèn)證所述第二待機(jī)令牌的模塊；以及 用于進(jìn)入所述待機(jī)狀態(tài)以提供對(duì)所述平臺(tái)的訪問的模塊。
9.根據(jù)權(quán)利要求8所述的平臺(tái)，其中，所述平臺(tái)是從活動(dòng)狀態(tài)轉(zhuǎn)變到所述待機(jī)狀態(tài)的。
10.根據(jù)權(quán)利要求8所述的平臺(tái)，其中，所述第二待機(jī)令牌是使用管理引擎(ME)通過所 述第一待機(jī)令牌來認(rèn)證的。
全文摘要
本文總地描述了用于復(fù)原防盜平臺(tái)的方法的實(shí)施例。所述方法包括通過將平臺(tái)公鑰發(fā)送到服務(wù)器來啟動(dòng)進(jìn)入待機(jī)狀態(tài)；接收服務(wù)器公鑰；接收加密和簽名的AT許可；將會(huì)合消息發(fā)送到所述服務(wù)器；從所述服務(wù)器接收加密和簽名的AT待機(jī)轉(zhuǎn)變消息；驗(yàn)證所述待機(jī)轉(zhuǎn)變消息；將RSA簽名的確認(rèn)發(fā)送到所述服務(wù)器；以及進(jìn)入所述平臺(tái)上的所述待機(jī)狀態(tài)。從而得以進(jìn)行防盜固件的重配置、修復(fù)和重置?？梢悦枋霾⒁蟊Ｗo(hù)其他實(shí)施例。
文檔編號(hào)H04L29/06GK102104597SQ20101059971
公開日2011年6月22日 申請(qǐng)日期2010年12月17日 優(yōu)先權(quán)日2009年12月18日
發(fā)明者D·格倫迪寧, G·普拉卡什, M·哈斯拉, M·米拉什拉斐, S·達(dá)杜 申請(qǐng)人:英特爾公司