0 引言

    嵌入式系統(tǒng)目前已在國防、國民經(jīng)濟及社會生活各領(lǐng)域普及，應(yīng)用于企業(yè)、軍隊、辦公室、實驗室以及個人家庭等各種場所。然而，2014年海康威視的大量數(shù)碼錄像機設(shè)備被曝存在遠程代碼執(zhí)行漏洞，黑客可以由此直接獲取設(shè)備最高權(quán)限。2015年末，烏克蘭國家電網(wǎng)遭到網(wǎng)絡(luò)攻擊，伊萬諾一弗蘭科夫斯克地區(qū)部分變電站的控制系統(tǒng)遭到破壞，造成大面積停電，約140萬人受到影響。嵌入式平臺安全至關(guān)重要，將可信計算技術(shù)引入到嵌入式設(shè)備上來，是一種可行且高效的安全防護方法^[1]。文獻[2]對于嵌入式系統(tǒng)的安全進行了研究，并且設(shè)計了專門用于嵌入式系統(tǒng)的可信芯片ETPM。文獻[3]以可信計算理論為基礎(chǔ)，提出了一種適用于嵌入式環(huán)境的可信框架模型，設(shè)計完成嵌入式可信計算硬件模塊以及其邏輯結(jié)構(gòu)。本文旨在設(shè)計出具有普遍意義的嵌入式可信平臺，提升系統(tǒng)的可信性，并具有自恢復(fù)功能，提高系統(tǒng)的可靠性與健壯性。

1 可信計算技術(shù)

    可信計算組織(Trusted Computing Group，TCG)于2003年3月成立，目的是在計算和通信系統(tǒng)中廣泛使用基于硬件安全模塊支持下的可信計算平臺，以提高通信系統(tǒng)的安全性。

    可信平臺模塊(Trusted Platform Module，TPM)是TCG發(fā)行的一款可信芯片，是符合TCG規(guī)范的一個小型片上系統(tǒng)，內(nèi)部有隨機數(shù)產(chǎn)生器、SHA-1引擎等。目前基于可信計算的安全啟動方式主要通過以TPM為可信根的可信度量來實現(xiàn)^[4]。

1.1 可信鏈技術(shù)

    完整性度量是可信啟動的關(guān)鍵，為了實現(xiàn)完整性度量，可信計算組織TCG提出了可信鏈技術(shù)?？尚沛湹慕⒅苯雨P(guān)系到可信平臺的正常運行。

    根據(jù)可信計算的思想，可信鏈的實現(xiàn)是從可信度量根RTM開始，到硬件平臺，再到操作系統(tǒng)以及上層應(yīng)用，一級度量一級，一級信任一級。

    TCG定義了兩種確?？尚艈拥姆椒ǎ红o態(tài)可信根(Static Root of Trusted Measure，SRTM)和動態(tài)可信根(Dynamic Root of Trusted Measure，DRTM)。在使用靜態(tài)可信度量根時，所有的信任都從BIOS的一段固定的可信代碼開始，在把控制權(quán)交給下一段代碼之前，這段可信代碼會去度量下一段將要執(zhí)行的代碼，并將度量結(jié)果擴展到平臺配置寄存器(Platform Configuration Register，PCR)中。如果每一段新的代碼在移交控制權(quán)之前都去度量下一段代碼，就可以建立起可信鏈，如果度量貫穿整個啟動過程，最終的PCR值就反應(yīng)了所有度量對象的度量值。PCR擴展操作基于SHA-1的散列算法，從密碼學(xué)角度來說，該算法足夠強大，對于惡意代碼來說，通過計算破解出一個可信啟動下的預(yù)期PCR值是不可行的^[5]。本設(shè)計采用靜態(tài)度量根的可信啟動方法。

    既然TPM的PCR值能夠表明軟件是否可信，那么TPM就應(yīng)該用某種方法表現(xiàn)出它的認知。如果系統(tǒng)啟動過程中的軟件被篡改，那么最后得到PCR值就會不同，這時TPM就會拒絕通過這些不可信的PCR值。如果能夠讓系統(tǒng)在啟動時和封裝密鑰或者密封數(shù)據(jù)建立聯(lián)系，TPM就能保證系統(tǒng)啟動是可信的。

    當(dāng)可信操作系統(tǒng)、客體操作系統(tǒng)和應(yīng)用程序都使用TPM時，為了區(qū)分當(dāng)前的度量值是屬于哪個部分的，TCG引入了Locality的概念。Locality認證當(dāng)前TPM請求的發(fā)起者，規(guī)范定義了5種不同的Locality，如表1所示。其中第一個PCR值記錄了BIOS的度量信息，該信息是由SRTM度量后得到的不可變信息，此時BIOS獲得控制權(quán)。

    可信啟動的核心是完整性度量，從建立可信根開始，度量每個模塊的完整性值同期望的完整性值比較，進而維護這個模塊完整性。完整性值通常是一個hash值，如果任何模塊發(fā)生改變，其hash值也會發(fā)生改變，從而知道出現(xiàn)問題。通過這種方法保護已經(jīng)建立PCR保護的模塊。

1.2 可信啟動技術(shù)

    啟動是指系統(tǒng)從上電開始到各部件復(fù)位待命的全過程，系統(tǒng)的初始狀態(tài)是否可信對于其安全性至關(guān)重要，因此可信啟動對可信平臺意義非凡。安全啟動的概念普遍定義為平臺的安全性和完整性，而可信計算平臺環(huán)境的建立是在可信根和可信鏈的基礎(chǔ)上。TCG給出的PC可信鏈定義如下：

CRTM(Core Root of Trusted for Measurement)→BIOS→OS Loader→OS→Applications

    根據(jù)TCG規(guī)范，嵌入式平臺的可信啟動過程設(shè)計步驟如下：

    (1)平臺上電；

    (2)CRTM啟動，然后度量其本身并將度量值擴展到相應(yīng)的PCR中；

    (3)CRTM請求TPM_unseal命令；

    (4)TPM將相應(yīng)PCR中現(xiàn)在狀態(tài)的值與已密封的值進行比較，如果一致，執(zhí)行下一步；如果不一致，暫停啟動；

    (5)被證明可信的元件進行度量，隨后啟動元件，并擴展度量值到啟動元件對應(yīng)的PCR中；

    (6)被證明可信的元件把控制權(quán)轉(zhuǎn)交給啟動元件；

    (7)平臺判斷被證明可信的元件是否為啟動的最后一步，是則執(zhí)行下一步，否則執(zhí)行第(3)步；

    (8)最后啟動的元件調(diào)用TPM_unseal命令；

    (9)TPM把相應(yīng)PCR中的當(dāng)前狀態(tài)值與已密封的值比較，如果一致則安全啟動，否則暫停啟動。

2 實驗平臺建立

2.1 硬件環(huán)境

    可信嵌入式平臺硬件上由嵌入式微處理器CPU、外圍設(shè)備以及可信芯片TPM組成。

    本設(shè)計實驗硬件平臺選用嵌入式開發(fā)板Beaglebone Black（BBB）。BBB使用主流的ARM CPU，處理器為TI AM335X ARM Cortex A8，1 GHz；存儲器是2 GB eMMC，出于安全考慮，擴展了512 MB的Flash芯片存儲備份系統(tǒng)。

    本設(shè)計TPM芯片采用Atmel公司的AT97SC3204T。該芯片遵循TPM1.2規(guī)范，內(nèi)置非對稱密鑰引擎RSA、隨機數(shù)發(fā)生器、散列算法引擎SHA-1、計算引擎HMAC等，通過TWI總線進行通信。TWI總線是I²C總線的繼承和發(fā)展，完全兼容I2C總線。TPM接線電路設(shè)計如圖1所示。

2.2 軟件環(huán)境

    軟件設(shè)計總共分為四部分：引導(dǎo)加載程序（Bootloader）、linux內(nèi)核、文件系統(tǒng)以及應(yīng)用程序，本文主要說明Bootloader方面的設(shè)計。Bootloader是系統(tǒng)上電后執(zhí)行的第一段程序，其作用相當(dāng)于PC平臺上的BIOS。一般的嵌入式系統(tǒng)啟動流程如圖2所示^[6]。

    第一級Bootloader：引導(dǎo)加載程序（ROM）。系統(tǒng)上電或復(fù)位后，CPU通常從某個固定地址讀取它的第一條指令，ROM被映射安裝到這個地址上，ROM中存著一段代碼，在這里稱為ROM-Code，這段代碼執(zhí)行第一階段的啟動任務(wù)。ROM-Code將在eMMC上讀取第一啟動分區(qū)，接著掃描該分區(qū)根目錄，在根目錄下尋找MLO文件，并將這個文件下載到片內(nèi)SRAM，再把控制權(quán)移交MLO。

    第二級Bootloader：自舉程序MLO(X-loader)。MLO、u-boot.img被燒寫在eMMC的第一啟動分區(qū)中，上電后ROM-Code將體積較小的MLO搬至片內(nèi)SRAM中運行，而運行在SRAM中的MLO又初始化片外SDRAM，并將eMMC中的u-boot.img下載至SDRAM，控制權(quán)移交u-boot.img。

    第三級Bootloader：u-boot（uboot.img）。它的任務(wù)是通過各種方式將內(nèi)核下載至SDRAM，并傳遞一些內(nèi)核啟動參數(shù)。u-boot的啟動任務(wù)主要是為引導(dǎo)內(nèi)核準備環(huán)境^[7]。

3 可信鏈的建立

3.1 可信鏈建立

    由于嵌入式的特殊性，PC的可信鏈模型不適用于本平臺。嵌入式平臺的特殊性在于它是基于Linux的嵌入式平臺，是u-boot啟動，而不是BIOS和Bootloader。

    根據(jù)嵌入式平臺的啟動流程及PC可信鏈建立的方法，可以構(gòu)造出嵌入式的可信鏈：MLO(CRTM)→u-boot→(Linux)OS+tools→(Linux)Kernel→根文件系統(tǒng)加載。

3.2 自恢復(fù)的可信啟動設(shè)計

    自恢復(fù)功能是嵌入式系統(tǒng)健壯性的體現(xiàn)，在系統(tǒng)受到攻擊時，尤其是在操作系統(tǒng)或內(nèi)核受到破壞時，自恢復(fù)功能可以直接縮短嵌入式系統(tǒng)修復(fù)的周期。而傳統(tǒng)的系統(tǒng)恢復(fù)需要系統(tǒng)的正常加載，依賴用戶級別的應(yīng)用來完成系統(tǒng)的還原。本設(shè)計中的備份系統(tǒng)存儲于獨立的Flash芯片中，且受到TPM芯片的保護，防止被篡改，保障了系統(tǒng)的純潔性。

    根據(jù)系統(tǒng)啟動過程，對其進行相應(yīng)的優(yōu)化：先用SHA1對u-boot加密，得到hash值，然后將產(chǎn)生的hash值擴展到相應(yīng)的PCR中，將MLO和u-boot.img密封。在可信啟動過程中，首先從0x40000000讀取第一條指令并執(zhí)行ROM-Code，然后將從地址0x402f0400獲取的MLO用SHA-1進行hash計算，得到的hash值與原來的hash值比對，如果一致，則對已經(jīng)密封的MLO解封。MLO從地址0x80000000獲取u-boot.img，再將u-boot.img進行hash計算，得到的hash值與保存的一致，解封u-boot.img，并由MLO執(zhí)行u-boot.img，u-boot.img被認為是可信的。同理， u-boot從地址0x80008000獲取的內(nèi)核，再次對內(nèi)核進行度量，與預(yù)期值一致時，系統(tǒng)正常啟動，完成可信啟動過程。如果度量失敗， u-boot直接從備用Flash的0x00000080開始讀取鏡像文件，然后直接調(diào)用TCM對鏡像文件解封，完成系統(tǒng)的恢復(fù)^[8]。啟動流程如圖3所示。

4 實驗結(jié)果與分析

    實驗使用Beaglebone Black開發(fā)板以及AT97SC3204T來驗證本設(shè)計的可行性。在內(nèi)核的編譯過程中，加入對TPM芯片的支持，對/include/configs/am335x_evm.h文件進行適配修改，引入所需的頭文件。

    由于uboot直接加載默認的鏡像文件，沒有與用戶交互的信息，因此還需要更改uboot的啟動腳本來實現(xiàn)用戶選擇默認啟動還是進行系統(tǒng)恢復(fù)。編寫uboot/common下的ubootmenu.c文件，設(shè)置uboot自啟動參數(shù)為ubootmenu命令，設(shè)置uboot啟動延時3 s，在ubootmenu命令中加入2個選項，默認選項為加載默認鏡像，第二個選項為還原系統(tǒng)。在此過程中，由于TPM驅(qū)動還沒有加載，需要直接調(diào)用TPM的指令碼來實現(xiàn)操作。

    在Flash燒寫完成后，重新啟動BBB，通過串口查看輸出，如圖4所示，BBB可以完成可信引導(dǎo)過程，從上電到系統(tǒng)引導(dǎo)完成總計用時19.49 s，而原系統(tǒng)引導(dǎo)用時約為14 s。除去由于之前設(shè)置的3 s的u-boot等待時間，引導(dǎo)時間延長了17.8%。

    當(dāng)內(nèi)核被篡改或者其他原因?qū)е虏僮飨到y(tǒng)受到損壞時，可以直接通過uboot的交互菜單完成系統(tǒng)恢復(fù)的操作，總計用時4分24秒，過程如圖5。

    本文通過研究可信計算技術(shù)，結(jié)合BBB和TPM可信模塊，驗證了可信鏈和可信啟動在嵌入式平臺上的應(yīng)用，可信引導(dǎo)過程相比普通引導(dǎo)過程多用時15%～20%，在系統(tǒng)啟動后基本沒有性能上的影響。在u-boot上實現(xiàn)了系統(tǒng)的可信恢復(fù)，操作簡單便捷。實驗表明，本研究的內(nèi)容很容易移植到其他嵌入式平臺。

參考文獻

[1] 馮登國，秦宇，汪丹，等.可信計算技術(shù)研究[J].計算機研究與發(fā)展，2011，48（8）：1332-1349.

[2] 張煥國，李晶，潘丹玲，等.嵌入式系統(tǒng)可信平臺模塊研究[J].計算機研究與發(fā)展，2011(7)：1269-1278.

[3] 王天舒，張功萱，楊曦晨，等.嵌入式系統(tǒng)可信啟動機制設(shè)計與實現(xiàn)[J].計算機測量與控制，2015，23(4)：1364-1366.

[4] Trusted Computing Group.TPM main part 1 design principles specification version1.2 revision116[EB/OL].[2013-11-13].http：//www.trustedcomputinggroup.org.

[5] David Challener，Kent Yoder，Ryan Catherman，et al.可信計算[M].北京：機械工業(yè)出版社，2008.

[6] OMAPpedia.Bootloader project.[EB/OL](2012-4-3)[2016-3-10].http://omappedt.

[7] Song Cheng，Peng Weiping，Xin Yang，et al.Seal-based secure boot scheme for trusted computing platform[J].Elsevier，2010，17(2)：16-21.

[8] Beaglebone.org.X-loader[S/OL].(2008-8-17)[2016-3-10].http：//beagleboard.org/project/X-Loader/.

作者信息:

孫  鉑1，2，溫旭霞1，2，宮樹紅3，劉新生4

(1.中北大學(xué) 儀器與電子學(xué)院，山西 太原030051；2.山西百信信息技術(shù)有限公司，山西 太原030006；

3.首鋼長治鋼鐵有限公司，山西 長治046031；4.江蘇曙光光電有限公司，江蘇 揚州225009)