基于固件文件系统的uefi安全机制研究

《基于固件文件系统的uefi安全机制研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、ＩＩ是去种成＊葦Ｉ＇ＵＮＴＹＯＩＶＥＲＳＫＩＦＥＬＥＣＴＲＯＮＩＣＳＣＩＥＮＣＥＡＮＤＴＥＣＨＮＯＬＯＧＹＯＦＣＨＡＩＮｊｊ硕壬学化论文ＭＡＳＴＥＲＴＨＥＳＩＳ細，泌驰占脚、．—１；勢為＼／＼＂Ａ＜．ｒ．次斌立．．＇．．ｒ，！＇．．论文题目基于固件文件系统的ＵＥ巧安全机制妍究学科专业信息安全学号２０１３２１０６０６３８＿作者姓名房强Ｌ指导教师范明猛教授．．独剑性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究

2、工作及取得的研究成果。据我所知，除了文中特别加标注和致谢的地方夕ｈ论文中不包含其他人己经发表或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同王作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。＾冬■秦、Ｊ作者签名：良日期：年月日论文使用授权本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规定，有权保留并向国家有关部口或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权电子科技大学可Ｗ将学位论文的全、部或部分内容编入有

3、关数据库进行检索，可Ｗ采用影印缩印或扫描等复制手段保存、汇编学位论文。（保密的学位论文在解密后应遵守此规定签）作者签名：良辣导师名：么日期：＞八年玉月如日分类号密级注1UDC学位论文基于固件文件系统的UEFI安全机制研究（题名和副题名）房强（作者姓名）指导教师范明钰教授电子科技大学成都（姓名、职称、单位名称）申请学位级别硕士学科专业信息安全提交论文日期2016.3.15论文答辩日期2016.5.20学位授予单位和日期电子科技大学2016年6月答辩委员会主席评阅人注1：注明《国际十进分类法UDC》的类号。AResearchon

4、UEFISecurityMechanismBasedonFirmwareFileSystemAMasterThesisSubmittedtoUniversityofElectronicScienceandTechnologyofChinaMajor:InformationSecurityAuthor:FangQiangSupervisor:Prof.FanMingYuSchool:SchoolofComputerScienceandEngineering摘要摘要传统的BIOS由于存在程序开发及维护困难、不易扩展等缺陷，已严重制约了计算机系统的发展

5、。针对这些弊端，Intel等公司推出统一可扩展固件接口（UnifiedExtensibleFirmwareInterface,UEFI）以替代传统BIOS。UEFI固件是计算机启动的第一道程序，其安全性直接关系到整个计算机系统的安全，一旦遭到攻击，就会导致计算机在操作系统加载前就被攻击者控制。随着UEFI的普及，已经出现了针对UEFI的攻击，尤其是利用固件文件系统进行的攻击具有隐蔽性强、权限高的特点。鉴于UEFI潜在的安全威胁不断增多，对其安全机制研究刻不容缓。UEFI规范中加入了关于可信启动、数字签名等安全服务的定义，这些定义基于可信计算原理，

6、完成UEFI固件的完整性校验和身份认证等功能。但是这些安全机制主要是针对第三方程序的检测，并不能有效阻止攻击者利用固件文件系统对UEFI固件进行攻击。由于UEFI相关文档的公开，固件文件系统的细节信息很容易被攻击者得到。攻击者利用这些信息对固件中的文件进行添加或修改，从而绕过固件安全机制对第三方驱动和应用程序的检查，直接对UEFI固件中的代码进行破坏和利用。本文将UEFI的启动阶段与可信计算的思想相结合，通过建立UEFI启动过程中的信任链和基于固件文件的可信度量机制，提出基于固件文件系统的UEFI安全方案，解决了目前攻击者利用固件文件系统对UEF

7、I固件进行攻击的问题。本文依据UEFIFramework架构对UEFI启动过程阶段的划分，将前两个启动阶段作为可信度量根，其它阶段作为信任链的节点，从而在各阶段之间建立一条信任链。各阶段在进行控制权传递时，必须对下一阶段进行可信度量，若下一阶段可信则传递控制权，并依次将可信度量关系传递下去。UEFI安全方案采用完整性度量机制作为可信度量方法，通过对固件文件进行完整性度量，来确认启动各阶段的可信性，从而保证整个UEFI启动过程的可信性。根据UEFI安全方案，本文设计并实现基于UEFI驱动的固件安全模块。该模块使用UEFI驱动程序来虚拟TPM（Tru

8、stedPlatformModule）芯片，主要由主模块、Hash算法引擎、通信单元及存储模块组成。固件安全模块是对安全方案功能的实现，