CN102509047A - 校验机顶盒中程序代码的方法和系统 - Google Patents

Abstract

本发明提供一种校验机顶盒中程序代码的方法和系统。所述方法，包括：在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

Description

校验机顶盒中程序代码的方法和系统

技术领域

本发明涉及信息处理领域，尤其涉及一种校验机顶盒中程序代码的方法和系统。

背景技术

数字电视机顶盒作为一个嵌入式计算机系统，已经进入了千家万户。用户即可以通过机顶盒收看画面更为清晰，播放更加流畅的电视节目，也可以通过机顶盒浏览网页，接收邮件，点播节目，视频通话等。这些强大的功能都是通过嵌入机顶盒的软件来实现。功能强大，运行稳定的软件无疑是厂商及运营商生存的关键。一旦这些软件被更改，替换，无疑损害了运营商及机顶盒厂商的利益。本设计为了解决这个问题，采用了芯片校验，软件校验，硬件保护的方法，有效的制止了机顶盒软件被任意修改和替换的现象。

现在机顶盒中的软件分为三个部分，按照从上到下的顺序依次为应用程序(Application，APP)、用来升级APP的小应用程序(Loader)和Boot开机上电运行的第一段代码(Boot)

为了保证APP及Loader的代码的正确性，采用在Boot里校验Loader和APP的方式。Boot里判断是否升级，如果升级，则进入Loader进行升级；如果不升级，则运行APP。既然Boot决定了执行APP还是Loader程序，那么在Boot里加入校验机制，就可以保证一旦APP和Loader被替换，Boot无法校验通过，那么非法程序就无法启动。但是实际应用中一旦Boot被修改，则上述的校验机制将毫无意义，因此如何校验Boot是否被修改是亟待解决的问题。

发明内容

本发明提供一种校验机顶盒中程序代码的方法和系统，要解决的技术问题是如何校验Boot是否被修改。

为解决上述技术问题，本发明提供了如下技术方案：

一种校验机顶盒中程序代码的方法，包括：

在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；

在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；

在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

优选的，所述方法还具有如下特点：

所述第一文件为对Boot的代码加密后得到的加密文件；

所述触发启动Boot的代码的流程，包括：

采用预先存储的密钥解密该加密文件，得到Boot的代码。

优选的，所述方法还具有如下特点：在机顶盒中存储有一包括Boot的代码的第一文件后，还包括：

获取机顶盒中存储该第一文件的区域；

对所述区域进行写保护。

优选的，所述方法还具有如下特点：所述触发启动Boot的代码的流程之后，还包括：

在机顶盒中存储有一包括Loader的代码的第二文件后，获取该第二文件的第二签名，其中该第二签名是一签名生成系统采用私钥加密由哈希算法处理该第二文件得到的哈希值后得到的；

在启动Loader的代码之前，采用预先存储的公钥对第二签名进行处理，将处理结果作为第二基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第二文件进行处理，将得到的哈希值作为第二待验证的哈希值；

在第二待验证的哈希值与第二基准哈希值相等时，触发启动Loader的代码的流程。

优选的，所述方法还具有如下特点：所述触发启动Boot的代码的流程之后，还包括：

在机顶盒中存储有一包括APP的代码的第三文件后，获取该第三文件的第三签名，其中该第三签名是一签名生成系统采用私钥加密由哈希算法处理该第三文件得到的哈希值后得到的；

在启动APP的代码之前，采用预先存储的公钥对第三签名进行处理，将处理结果作为第三基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第三文件进行处理，将得到的哈希值作为第三待验证的哈希值；

在第三待验证的哈希值与第三基准哈希值相等时，触发启动APP的代码的流程。

一种校验机顶盒中程序代码的系统，包括：

第一获取装置，用于在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；

第一处理装置，用于在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；

第一触发装置，用于在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

优选的，所述系统还具有如下特点：所述第一触发装置还包括：

解密模块，用于在所述第一文件为对Boot的代码加密后得到的加密文件时，采用预先存储的密钥解密该加密文件，得到Boot的代码。

优选的，所述系统还具有如下特点：所述系统还包括：

第二获取装置，用于获取机顶盒中存储该第一文件的区域；

保护装置，用于对所述区域进行写保护。

优选的，所述系统还具有如下特点：所述系统还包括：

第三获取装置，用于在机顶盒中存储有一包括Loader的代码的第二文件后，获取该第二文件的第二签名，其中该第二签名是一签名生成系统采用私钥加密由哈希算法处理该第二文件得到的哈希值后得到的；

第二处理装置，用于在启动Loader的代码之前，采用预先存储的公钥对第二签名进行处理，将处理结果作为第二基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第二文件进行处理，将得到的哈希值作为第二待验证的哈希值；

第二触发装置，用于在第二待验证的哈希值与第二基准哈希值相等时，触发启动Loader的代码的流程。

优选的，所述系统还具有如下特点：所述系统还包括：

第四获取装置，用于在机顶盒中存储有一包括APP的代码的第三文件后，获取该第三文件的第三签名，其中该第三签名是一签名生成系统采用私钥加密由哈希算法处理该第三文件得到的哈希值后得到的；

第三处理装置，用于在启动APP的代码之前，采用预先存储的公钥对第三签名进行处理，将处理结果作为第三基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第三文件进行处理，将得到的哈希值作为第三待验证的哈希值；

第三触发模块，用于在第三待验证的哈希值与第三基准哈希值相等时，触发启动APP的代码的流程。

与现有技术相比，通过对Boot进行数字签名的验证，来实现对Boot是否被修改的校验。

附图说明

图1为本发明提供的校验机顶盒中程序代码的方法实施例的流程示意图；

图2为实施例一提供的校验机顶盒中程序代码的方法流程示意图；

图3为实施例二提供的校验机顶盒中程序代码的方法流程示意图；

图4为实施例三提供的校验机顶盒中程序代码的方法流程示意图；

图5为本发明提供的校验机顶盒中程序代码的系统实施例的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步的详细描述。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

图1为本发明提供的校验机顶盒中程序代码的方法实施例的流程示意图。图1所示方法包括：

步骤11、在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；

其中该可执行文件可以是Boot的bin文件，也可以是加密后的Boot的bin文件。

步骤12、在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；

步骤13、在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

当然，如果该可执行文件为加密文件，则在启动Boot的代码之前，还包括采用预先存储的密钥解密该加密文件的流程。

与现有技术相比，通过对Boot进行数字签名的验证，来实现对Boot是否被修改的校验。

实施例一

图2为实施例一提供的校验机顶盒中程序代码的方法流程示意图。本实施例采用如下校验方法实现对Boot的校验，具体包括：

步骤A11、在得到机顶盒中Boot的bin文件后，机顶盒中的传输模块保存该文件到机顶盒中的Flash中，并向签名生成系统发送该Boot的bin文件；其中该签名的生成系统可以为机顶盒的运营商。

步骤A12、签名生成系统采用哈希算法对Boot的bin文件进行计算，将得到的哈希值作为基准哈希值；其中该哈希算法可以是SHA-1算法。

步骤A13、签名生成系统采用私钥对基准哈希值进行加密，将得到的加密结果作为签名发送出去。

步骤A14、传输模块从外部接收该签名，向机顶盒中的Flash写入该签名，以及向机顶盒中CPU的寄存器写入在启动时进入高级安全模式的第一控制信息以及进入高级安全模式后进行签名校验的第二控制信息，其中该CPU预先存储有用于解密该签名的公钥以及签名生成系统所使用的哈希算法；

其中，芯片在设计时有普通模式和高级安全模式，其中的高级安全模式是指CPU在上电后不直接读取Flash中Boot的bin文件的模式，而该控制信息是使机顶盒不直接从Flash读取Boot的bin文件的代码，即使得机顶盒在每次启动时CPU均处于高级安全模式。

步骤A15、当机顶盒上电后，CPU执行寄存器中的第一控制信息进行高级安全模式后，CPU根据所述第二控制信息，采用CPU中的公钥对Flash中的签名进行解密，得到基准哈希值，并采用CPU存储的哈希算法对该Flash中的Boot的bin文件进行运算，将得到的哈希值作为待验证的哈希值。

步骤A16、在待验证的哈希值与基准哈希值相等时，CPU运行Boot的bin文件。

如果待验证的哈希值与基准哈希值不等，则CPU就不会启动Boot的bin文件，这样有效地解决了Boot的代码被篡改现象的发现。

实施例二

图3为实施例二提供的校验机顶盒中程序代码的方法流程示意图。与实施例一不同的是，为了进一步加强Boot的bin文件的安全，传输模块向签名系统所发送的文件为一加密文件，如通过AES key加密的文件，相应的，签名生成系统所生成的签名所对应的文件也是加密后的Boot的bin文件，而机顶盒中Flash中存储的也是加密后的Boot的bin文件。其中具体的校验流程如下：

步骤B11、在得到机顶盒中Boot的bin文件后，传输模块获取一加密文件，该加密文件是对所述Boot的bin文件进行加密后得到的，传输模块将其保存到Flash中；

其中所述加密方式可以是AES，如采用AES key进行加密。

步骤B12、传输模块向签名生成系统发送加密文件。

步骤B13、签名生成系统采用哈希算法对加密文件进行计算，将得到的哈希值作为基准哈希值；

步骤B14、签名生成系统采用私钥对基准哈希值进行加密，将得到的加密结果作为签名发送出去。

步骤B15、传输模块从外部收到该签名，并向Flash写入该签名，以及向机顶盒中CPU的寄存器写入在启动时进入高级安全模式的第一控制信息、进入高级安全模式后进行签名校验的第二控制信息以及在签名校验完成后解密该加密文件的第三控制信息，其中该CPU预先存储有用于解密该签名的公钥、签名生成系统所使用的哈希算法以及解密该加密文件的密钥(如AESkey)。

步骤B16、当机顶盒上电后，在CPU运行寄存器中的第一控制信息进行高级安全模式后，CPU根据第二控制信息，采用CPU中的公钥对Flash中的签名进行解密，得到基准哈希值，并采用CPU中存储的算法对该Flash中的加密文件进行运算，将得到的哈希值作为待验证的哈希值。

步骤B17、在待验证的哈希值与基准哈希值相等时，校验系统根据第三控制信息，采用CPU中的密钥解密该加密文件，得到Boot的bin文件。

步骤B18、在解密成功后，CPU运行Boot的bin文件的流程。

实施例三

实施例一和二所示的方法只能保证Boot修改后不能启动，为了保证FLASH中的Boot不能被修改，通过FLASH的特性，对FLASH中的Boot区域进行写保护，即对FLASH中的Boot区域无法进行擦写操作。具体来说，获取Flash中实施例一所述Boot的bin文件或者实施例二所述的加密文件的存储区域，对该存储区域进行写保护。

实施例四

图4为实施例三提供的校验机顶盒中程序代码的方法流程示意图。为了进一步提高机顶盒的安全性，同理还可以对APP和Loader中至少一个也进行数字签名的验证，换句话说，Boot校验Loader和Loader校验主程序都采用数字签名校验，且Loader和APP在Flash中都以压缩形式存储。

具体来说，在校验系统对Boot进行校验通过后，再使用数字签名校验方式校验Loader，在Loader校验成功后，进而判断Loader是否需要发起升级APP的操作，在确定Loader无需发起升级后，再使用数字签名校验方式校验APP，在APP校验成功后，发起启动APP的流程。由上可以看出，本实施例能够实现三级校验，实现对机顶盒中运行代码安全性的检测。

其中对Loader的数字签名校验流程如下：

在机顶盒中存储有一包括Loader的代码的第二文件后，获取该第二文件的第二签名，其中该第二签名是一签名生成系统采用私钥加密由哈希算法处理该第二文件得到的哈希值后得到的；

在启动Loader的代码之前，采用预先存储的公钥对第二签名进行处理，将处理结果作为第二基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第二文件进行处理，将得到的哈希值作为第二待验证的哈希值；

在第二待验证的哈希值与第二基准哈希值相等时，触发启动Loader的代码的流程。

其中对APP的数字签名校验流程如下：

在机顶盒中存储有一包括APP的代码的第三文件后，获取该第三文件的第三签名，其中该第三签名是一签名生成系统采用私钥加密由哈希算法处理该第三文件得到的哈希值后得到的；

在启动APP的代码之前，采用预先存储的公钥对第三签名进行处理，将处理结果作为第三基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第三文件进行处理，将得到的哈希值作为第三待验证的哈希值；

在第三待验证的哈希值与第三基准哈希值相等时，触发启动APP的代码的流程。

以APP的数字签名流程为例进行具体说明：

步骤C11、在得到机顶盒中APP的bin文件后，传输模块向签名生成系统发送该APP的bin文件。

步骤C12、签名生成系统采用哈希算法对APP的bin文件进行计算，将得到的哈希值作为基准哈希值。

步骤C13、签名生成系统采用私钥对基准哈希值进行加密，将得到的加密结果作为APP签名发送出去。

步骤C14、传输模块向Flash写入该APP签名、解密该APP签名的公钥以及签名生成系统所使用的哈希算法，其中该公钥可以具体存储在Boot的文件中。

步骤C15、在启动该APP的bin文件之前，校验模块采用Boot文件中的公钥对Flash中的APP签名进行解密，得到基准哈希值，并采用Flash中存储的算法对该Flash中的APP的bin文件进行运算，将得到的哈希值作为待验证的哈希值。

步骤C16、在待验证的哈希值与基准哈希值相等时，校验模块触发机顶盒中CPU运行APP的bin文件的流程。

如果待验证的哈希值与基准哈希值不等，则CPU就不会启动APP的bin文件，这样有效地解决了APP的代码被篡改现象的发现，当然，在发现被篡改现象发生时还可以发出告警，如输出信息以告知用户APP发生错误等。

同理，Loader的数字签名校验流程与上文类似，此处不再赘述。

图5为本发明提供的校验机顶盒中程序代码的系统实施例的结构示意图。结合图1至4所述的方法，图5所示系统实施例，包括：

第一获取装置51，用于在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；

第一处理装置52，与所述第一获取装置51相连，用于在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；

第一触发装置53，与所述第一处理装置51相连，用于在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

可选的，所述第一触发装置还包括：

解密模块，用于在所述第一文件为对Boot的代码加密后得到的加密文件时，采用预先存储的密钥解密该加密文件，得到Boot的代码。

优选的，为了进一步提高机顶盒中Boot的代码的安全性，所述系统还包括：

第二获取装置，用于获取机顶盒中存储该第一文件的区域；

保护装置，与所述第二获取装置相连，用于对所述区域进行写保护。

可选的，为了实现Loader的代码的安全性的校验，所述系统还包括：

第三获取装置，用于在机顶盒中存储有一包括Loader的代码的第二文件后，获取该第二文件的第二签名，其中该第二签名是一签名生成系统采用私钥加密由哈希算法处理该第二文件得到的哈希值后得到的；

第二处理装置，与所述第三获取装置相连，用于在启动Loader的代码之前，采用预先存储的公钥对第二签名进行处理，将处理结果作为第二基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第二文件进行处理，将得到的哈希值作为第二待验证的哈希值；

第二触发装置，与所述第二处理装置相连，用于在第二待验证的哈希值与第二基准哈希值相等时，触发启动Loader的代码的流程。

可选的，为了实现APP的代码的安全性的校验，所述系统还包括：

第四获取装置，用于在机顶盒中存储有一包括APP的代码的第三文件后，获取该第三文件的第三签名，其中该第三签名是一签名生成系统采用私钥加密由哈希算法处理该第三文件得到的哈希值后得到的；

第三处理装置，与所述第四获取装置相连，用于在启动APP的代码之前，采用预先存储的公钥对第三签名进行处理，将处理结果作为第三基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第三文件进行处理，将得到的哈希值作为第三待验证的哈希值；

第三触发模块，与所述第三处理装置相连，用于在第三待验证的哈希值与第三基准哈希值相等时，触发启动APP的代码的流程。

需要说明的是，该系统可以为机顶盒中的CPU。

与现有技术相比，通过对Boot的代码进行数字签名的验证，实现了对Boot是否被修改的校验；另外，通过对Boot的代码进行加密，并对加密文件进行数字签名的认证，实现了双层校验，提高了安全系数；如果Loader与APP均使用数字签名进行校验，则实现了三级校验，保证了机顶盒的运行安全。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (10)

1.一种校验机顶盒中程序代码的方法，其特征在于，包括：

在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；

在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；

在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

2.根据权利要求1所述的方法，其特征在于：

所述第一文件为对Boot的代码加密后得到的加密文件；

所述触发启动Boot的代码的流程，包括：

采用预先存储的密钥解密该加密文件，得到Boot的代码。

3.根据权利要求1或2所述的方法，其特征在于，在机顶盒中存储有一包括Boot的代码的第一文件后，还包括：

获取机顶盒中存储该第一文件的区域；

对所述区域进行写保护。

4.根据权利要求1所述的方法，其特征在于，所述触发启动Boot的代码的流程之后，还包括：

在机顶盒中存储有一包括Loader的代码的第二文件后，获取该第二文件的第二签名，其中该第二签名是一签名生成系统采用私钥加密由哈希算法处理该第二文件得到的哈希值后得到的；

在启动Loader的代码之前，采用预先存储的公钥对第二签名进行处理，将处理结果作为第二基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第二文件进行处理，将得到的哈希值作为第二待验证的哈希值；

在第二待验证的哈希值与第二基准哈希值相等时，触发启动Loader的代码的流程。

5.根据权利要求1或4所述的方法，其特征在于，所述触发启动Boot的代码的流程之后，还包括：

在机顶盒中存储有一包括APP的代码的第三文件后，获取该第三文件的第三签名，其中该第三签名是一签名生成系统采用私钥加密由哈希算法处理该第三文件得到的哈希值后得到的；

在启动APP的代码之前，采用预先存储的公钥对第三签名进行处理，将处理结果作为第三基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第三文件进行处理，将得到的哈希值作为第三待验证的哈希值；

在第三待验证的哈希值与第三基准哈希值相等时，触发启动APP的代码的流程。

6.一种校验机顶盒中程序代码的系统，其特征在于，包括：

第一获取装置，用于在机顶盒中存储有一包括Boot的代码的第一文件后，获取该第一文件的第一签名，其中该第一签名是一签名生成系统采用私钥加密由哈希算法处理该第一文件得到的哈希值后得到的；

第一处理装置，用于在启动Boot的代码之前，采用预先存储的公钥对第一签名进行处理，将处理结果作为第一基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第一文件进行处理，将得到的哈希值作为第一待验证的哈希值；

第一触发装置，用于在第一待验证的哈希值与第一基准哈希值相等时，触发启动Boot的代码的流程。

7.根据权利要求6所述的系统，其特征在于，所述第一触发装置还包括：

解密模块，用于在所述第一文件为对Boot的代码加密后得到的加密文件时，采用预先存储的密钥解密该加密文件，得到Boot的代码。

8.根据权利要求7或8所述的系统，其特征在于，所述系统还包括：

第二获取装置，用于获取机顶盒中存储该第一文件的区域；

保护装置，用于对所述区域进行写保护。

9.根据权利要求6所述的系统，其特征在于，所述系统还包括：

第三获取装置，用于在机顶盒中存储有一包括Loader的代码的第二文件后，获取该第二文件的第二签名，其中该第二签名是一签名生成系统采用私钥加密由哈希算法处理该第二文件得到的哈希值后得到的；

第二处理装置，用于在启动Loader的代码之前，采用预先存储的公钥对第二签名进行处理，将处理结果作为第二基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第二文件进行处理，将得到的哈希值作为第二待验证的哈希值；

第二触发装置，用于在第二待验证的哈希值与第二基准哈希值相等时，触发启动Loader的代码的流程。

10.根据权利要求6或9所述的系统，其特征在于，所述系统还包括：

第四获取装置，用于在机顶盒中存储有一包括APP的代码的第三文件后，获取该第三文件的第三签名，其中该第三签名是一签名生成系统采用私钥加密由哈希算法处理该第三文件得到的哈希值后得到的；

第三处理装置，用于在启动APP的代码之前，采用预先存储的公钥对第三签名进行处理，将处理结果作为第三基准哈希值；以及，采用预先存储的哈希算法对机顶盒中的第三文件进行处理，将得到的哈希值作为第三待验证的哈希值；

第三触发模块，用于在第三待验证的哈希值与第三基准哈希值相等时，触发启动APP的代码的流程。

Images