DE10244728A1

DE10244728A1 - System und Verfahren zum Schutz von Daten, die auf einer Speicherungsmedienvorrichtung gespeichert sind

Info

Publication number: DE10244728A1
Application number: DE10244728A
Authority: DE
Inventors: Jeffrey D Schwartz; Troy Roberts
Original assignee: Hewlett Packard Co
Current assignee: Hewlett Packard Development Co LP
Priority date: 2001-10-05
Filing date: 2002-09-25
Publication date: 2003-04-30
Also published as: GB2384885B; JP2003162452A; GB2384885A; GB0223043D0; US20030070099A1

Abstract

Bei einem Ausführungsbeispiel bezieht sich die vorliegende Erfindung auf ein System zum Schützen eines Inhalts, der auf einer Speicherungsmedienvorrichtung gespeichert ist. Das System kann folgende Merkmale aufweisen: einen Prozessor zum Ausführen eines Codes zum Zugreifen auf ein Benutzerpaßwort und eine aufgezeichnete Seriennummer, eine Speicherungsmedienvorrichtung, wobei die Speicherungsmedienvorrichtung betreibbar ist, um die ihr zugeordnete Seriennummer zurückzusenden, und die Speicherungsmedienvorrichtung eine Vorrichtungsschnittstelle liefert, die das Paßwort benötigt, um auf die Daten zuzugreifen, die auf der Speicherungsmedienvorrichtung gespeichert sind, und einen Code zum Booten des Systems, wobei der Code zum Booten folgende Merkmale aufweist: einen Code zum Anfordern, daß die Speicherungsmedienvorrichtung die ihr zugeordnete Seriennummer zurücksendet, einen Code zum Vergleichen der Seriennummer, die durch die Speicherungsmedienvorrichtung zurückgesendet wurde, mit der aufgezeichneten Seriennummer und einen Code zum Liefern des Benutzerpaßworts an die Speicherungsmedienvorrichtung, wenn der Code zum Vergleichen bestimmt, daß die Seriennummer, die durch die Speicherungsmedienvorrichtung zurückgesendet wurde, mit der aufgezeichneten Seriennummer übereinstimmt.

Description

Die vorliegende Erfindung bezieht sich auf eine Datenspeicherung und speziell auf ein System und Verfahren zum Schutz von Daten, die auf einer Speicherungsmedienvorrichtung gespeichert sind.
Verschiedene Schnittstellenstandards sind entwickelt worden, um eine Kommunikationsschnittstelle zwischen einem Speicherungsperipheriegerät (z. B. einem Festplattenlaufwerk) und einem Host-System zu schaffen. Ein bekannter Standard zum schnittstellenmäßigen Verbinden von Festplattenlaufwerken ist allgemein als ATA (ATA = AT Attachment = AT-Anbringung) bekannt. Eine beträchtliche Anzahl von anderen Namen wird ebenfalls verwendet, um Variationen des ATA- Standards einschließlich ATA/ATPI (ATAPI = AT-Attachment Packet Interface = AT-Anbringungspaketschnittstelle), IDE (IDE = Integrated Drive Electronics = integrierte Antriebselektronik), EIDE (EIDE = Enhanced IDE = verbesserte IDE) ATA-2, schnelle ATA, ATA-3, Ultra-ATA, Ultra-DMA und dergleichen zu identifizieren. Ein jüngster Auszug von vorgeschlagenen Modifizierungen am ATA-Standard ist im Standarddokument T13 1321D mit dem Titel "Information Technology - AT Attachment with Packet Interface - 5 (ATA/ATAPI-5)" beschrieben, der von der Arbeitsgruppe T13 (ein technischer Verband des Komitees für akkreditierte Standards NCITS) erhältlich ist. Das Dokument ist ebenfalls über die Website (http:/ / www.t13.org/project/d1321r3.pdf) der Arbeitsgruppe T13 erhältlich.
Die ATA-Schnittstelle erhöht Verhalten, Zuverlässigkeit und Kompatibilität der Festplattenlaufwerks-Peripheriegeräte merklich. Die ATA-Schnittstelle erreicht diese Verbesserungen durch Integrieren des Plattenlaufwerks und der Antriebssteuerung. Aufgrund der Vorteile der ATA- Schnittstelle implementiert eine Mehrheit von Festplattenlaufwerken, die durch moderne Personalcomputer verwendet werden, eine ATA-Schnittstelle.
Der ATA-Standard (sowie andere Plattenlaufwerksschnittstellen) definiert ein optionales Sicherheitsmodusmerkmal, das konzipiert ist, um benutzerbasierte Systeme zu schützen. Der Sicherheitsmodus schränkt den Zugriff auf Benutzerdaten ein, die auf den Plattenmedium gespeichert sind. Das Sicherheitsmerkmal wird durch Senden eines Benutzerpaßworts an die Plattenlaufwerkssteuerung mit dem SECURITY SET PASSWORD-Befehl (bzw. Sicherheit-Paßwort-Setzen-Befehl) ermöglicht. Wenn das Sicherheitssystem freigegeben ist, wird der Zugriff auf die Benutzerdaten auf der Vorrichtung nach einem Leistungszyklus verweigert, bis das Benutzerpaßwort an die Plattenlaufwerkssteuerung mit dem SECURITY UNLOCK-Befehl (bzw. Sicherheit-Entriegeln-Befehl) gesendet wird.
Zusätzlich kann das Benutzerpaßwort nach dem SECURITY- UNLOCK-Befehl verändert werden. Um einen Paßwortänderungsangriff durch einen Hacker zu verhindern, wird ein SECURITY FREEZE LOCK-Befehl (Sicherheit-Einfrier-Verriegelung-Befehl) definiert. Der SECURITY FREEZE LOCK-Befehl verhindert Veränderungen an Paßworten bis zum nächsten Leistungszyklus. Auf die Benutzerdaten auf dem Plattenmedium kann jedoch immer noch zugegriffen werden.
Der ATA-Standard definiert gemäß seinem Sicherheitsschema auch ein Master-Paßwort. Das Master-Paßwort kann genutzt werden, um das Plattenlaufwerk zu entriegeln, wenn das Benutzerpaßwort durch den Benutzer vergessen worden ist. Der Effekt des Master-Paßworts hängt vom Sicherheitsmodus des Plattenlaufwerks ab. Wenn der Sicherheitsmodus zuvor auf HOCH gesetzt worden ist, bewirkt das Vorlegen des Master- Paßworts mit dem SECURITY UNLOCK-Befehl, daß das Plattenlaufwerk entriegelt wird. Das Benutzerpaßwort kann auch verändert werden, wenn das Plattenlaufwerk entriegelt ist.
Wenn der Sicherheitsmodus zuvor auf Maximum gesetzt wurde, entriegelt das Vorlegen des Master-Paßworts mit dem SECURITY ERASE UNIT-Befehl (Sicherheit-Löschen-Einheit-Befehl) das Plattenlaufwerk. Der SECURITY ERASE UNIT-Befehl löscht jedoch auch alle Benutzerdaten auf dem Plattenmedium.
Die verschiedenen Befehle, die dem Benutzerpaßwort und dem Master-Paßwort zugeordnet sind, werden durch Präsentieren einer Benutzerschnittstelle auf dem Host-System beendet. Speziell erlaubt das Betriebssystem einem Administrator typischerweise, das Benutzerpaßwort über eine Benutzerschnittstelle zu setzen. Anschließend präsentiert das Betriebssystem einem Benutzer während des Boot-Prozesses eine andere Benutzerschnittstelle. Die Benutzerschnittstelle fordert das Paßwort vom Benutzer an. Das Paßwort wird dann mit dem SECURITY UNLOCK-Befehl an die Plattenlaufwerkssteuerung geleitet. Durch Implementieren des Vorstehenden können ATA-kompatible Laufwerke verhindern, daß ein unautorisierter Hacker die Dateien eines anderen Benutzers untersucht.
Die ATA-Schnittstelle ist dahingehend problematisch, weil ein manueller Eingriff typischerweise dazu benutzt wird, um ihren Sicherheitsmodus aufzurufen. Speziell setzt ein Systemadministrator das Benutzerpaßwort und das Master- Paßwort und ruft den gewünschten Sicherheitsmodus auf. Der Systemadministrator muß auch die Aufzeichnung der Paßworte beibehalten, um zu verhindern, daß ein Plattenlaufwerk unbenutzbar wird. Außerdem muß ein Benutzer zugegen sein, und der Benutzer muß sich an das Paßwort erinnern, um einem System, dass das Plattenlaufwerk beinhaltet, zu ermöglichen, Boot-Operationen durchzuführen.
Es ist die Aufgabe der vorliegenden Erfindung, ein System und Verfahren zum Schutz von Daten zu schaffen, die auf einer Speicherungsmedienvorrichtung gespeichert sind.
Diese Aufgabe wird durch ein System gemäß Anspruch 1 oder ein Verfahren gemäß Anspruch 9 und 19 gelöst.
Bei einem Ausführungsbeispiel bezieht sich die vorliegende Erfindung auf ein System zum Schützen eines Inhalts, der auf einer Speicherungsmedienvorrichtung gespeichert ist. Das System kann folgende Merkmale aufweisen: einem Prozessor zum Ausführen eines Codes zum Zugreifen auf ein Benutzerpaßwort und eine aufgezeichnete Seriennummer; eine Speicherungsmedienvorrichtung, wobei die Speicherungsmedienvorrichtung betreibbar ist, um die ihr zugeordnete Seriennummer zurückzusenden, und die Speicherungsmedienvorrichtung eine Vorrichtungsschnittstelle liefert, die erfordert, daß das Paßwort auf die Daten zugreift, die auf der Speicherungsmedienvorrichtung gespeichert sind, und einen Code zum Booten des Systems, wobei der Code zum Booten folgende Merkmale aufweist: einen Code zum Anfordern der Speicherungsmedienvorrichtung, die ihr zugeordnete Seriennummer zurückzusenden; einen Code zum Vergleichen der durch die Speicherungsmedienvorrichtung zurückgesendeten Seriennummer mit der aufgezeichneten Seriennummer; und einen Code zum Liefern des Benutzerpaßworts an die Speicherungsmedienvorrichtung, wenn der Code zum Vergleichen bestimmt, daß die Seriennummer, die durch die Speicherungsmedienvorrichtung zurückgesendet wurde, mit der aufgezeichneten Seriennummer übereinstimmt.
Bevorzugte Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend Bezug nehmend auf die beiliegenden Zeichnungen näher erläutert. Es zeigen:
Fig. 1 ein Blockdiagramm eines exemplarischen Systems, das Ausführungsbeispiele der vorliegenden Erfindung implementieren kann,
Fig. 2A und 2B ein exemplarisches Flußdiagramm von Schritten gemäß den Ausführungsbeispielen der vorliegenden Erfindung.
Fig. 1 stellt ein Blockdiagramm eines exemplarischen Systems 100 dar, das Ausführungsbeispiele der vorliegenden Erfindung implementieren kann. Gemäß den Ausführungsbeispielen der vorliegenden Erfindung kann das System 100 als ein nichtbenutzerbasiertes System betrieben werden. Speziell kann das System 100 verschiedene Funktionen ohne Rücksicht auf den spezifischen Benutzer ausführen. Zum Beispiel kann das System 100 Multimedia-Anwendungen implementieren, die keine Einschränkung des Zugriffs auf die Benutzerdaten erfordern. Alternativ kann das System 100 eine Internet- Browser-Anwendung implementieren, die eventuell keine Einschränkung des Zugriffs auf die Benutzerdaten erfordert. Obwohl die Ausführungsbeispiele der vorliegenden Erfindung auf nichtbenutzerbasierten Systemen implementiert sein können, ist die vorliegende Erfindung nicht auf ein nichtbenutzerbasiertes System beschränkt. Die Ausführungsbeispiele der vorliegenden Erfindung können auf einen beliebigen geeigneten prozessorbasierten System implementiert sein, das ein Benutzerpaßwort zum Zugriff auf die Daten verwendet.
Das System 100 kann einen Prozessor 101 aufweisen, der einen Code ausführt, der die Funktionalität des Systems 100 definiert. Der Prozessor 101 kann ein beliebiger Allzweckprozessor sein. Geeignete Prozessoren können Prozessoren von der ITANIUM-Familie von Prozessoren und RISC-Prozessoren umfassen, sind aber nicht auf dieselben beschränkt. Die vorliegende Erfindung ist jedoch nicht auf die Architektur des Prozessors 101 beschränkt, solange der Prozessor 101 die erfindungsgemäßen Operationen, die hierin beschrieben sind, unterstützt.
Das System 100 kann ein BIOS 102 (BIOS = basic input/output system = Grundeingabe-Ausgabe-System) umfassen. Das BIOS 102 ist eine eingebaute Software, die den niedrigsten Funktionalitätspegel des Systems 100 bestimmt. Zum Beispiel kann das BIOS 102 einen Code aufweisen, um die Tastatur, den Anzeigebildschirm, die Plattenlaufwerke, die Serienkommunikationen und eine Anzahl von verschiedenen Funktionen zu steuern.
Zusätzlich weist das BIOS 102 gemäß Ausführungsbeispielen der vorliegenden Erfindung vorzugsweise einen Laufwerksverriegelungsalgorithmus auf, der im Hinblick auf die Fig. 2A und 2B ausführlicher erörtert wird. Auch nutzt der Laufwerksverriegelungsalgorithmus vorzugsweise einen isolierten nichtflüchtigen Speicher 104 (z. B. einen Flash-Speicher), um die Zustandsinformationen beizubehalten. Der isolierte nichtflüchtige Speicher 104 kann ein physisch separater Flash-Speicherchip sein. Alternativ kann der isolierte nichtflüchtige Speicher 104 in einem Flash-Speicherchip enthalten sein, der auch andere Informationen speichert. In diesem Fall kann der Abschnitt des gemeinsamen Chips, der den isolierten nichtflüchtigen Speicher 104 bildet, vor Hackern verborgen bleiben, indem der isolierte nichtflüchtige Speicher 104 in dem gemeinsamen Flash-Speicherchip willkürlich plaziert ist.
Das BIOS 102 kann in einem ROM-Chip (ROM = read only memory = Pur-Lese-Speicher) oder auf einem Flash-Speicherchip implementiert sein. Das BIOS 102 ermöglicht es einem Computer auch, sich selbst zu booten. Weil der RAM 106 (RAM = random access memory = Direktzugriffsspeicher) schneller als ein ROM ist, können die Softwareanweisungen oder Codes des BIOS 102 in dem RAM 106 für ein verbessertes Ausführungsverhalten kopiert werden.
Das System 100 kann ferner ein Betriebssystem 103 aufweisen. Das Betriebssystem 103 kann auf einem Plattenlaufwerk 105 installiert werden. Das Betriebssystem 103 oder ein Teil desselben (wenn ein dynamisch ladbarer Betriebssystemkern genutzt wird) kann während der Boot-Verfahren in den RAM 106 geladen werden. Das Betriebssystem 103 verwaltet alle anderen Programme oder Anwendungen, die auf dem System 100 ausgeführt werden. Das Betriebssystem 103 kann eine Teilprozeßverwaltung ausführen, einen internen Speicher verwalten und I/O-Operationen (I/O = input/output = Eingabe/Ausgabe) und/oder dergleichen steuern.
Zusätzlich kann das Betriebssystem 103 eine Funktionalität eines geringeren Pegels liefern, auf die andere Programme oder Anwendungen zugreifen können. Zum Beispiel kann das Betriebssystem 103 einen Betriebssystemkern aufweisen. Andere Programme können auf den Betriebssystemkern zugreifen, in dem Systemaufrufe ausgeführt werden. Ein Programm kann einen Systemaufruf ausführen, um auf eine Datei zuzugreifen, die auf einem optischen Medium gespeichert ist, das in einer Optische-Medien-Abspielvorrichtung/Schreibvorrichtung 107 plaziert ist. Desgleichen kann ein Programm einen Systemaufruf ausführen, um eine TCP/IP-Verbindung (TCP/IP = transmission control protocol/Internet protocol = Übertragungssteuerungsprotokoll/Internetprotokoll) mit einem entfernten Web-Server über eine Netzwerkkarte 108 einzurichten.
Das Betriebssystem 103 kann auch verhindern, daß andere Programme oder Anwendungen unerwünschte Aufgaben ausführen. Zum. Beispiel kann das Betriebssystem 103 einen Code aufweisen, um zu verhindern, daß ein Benutzer einen Audioinhalt auf ein optisches Medium über die Optische-Medien- Abspielvorrichtung/Schreibvorrichtung 107 in unautorisierter Weise kopiert. Zum Beispiel kann das Betriebssystem 103 ein digitales "Wasserzeichen" im Audioinhalt untersuchen, um zu bestimmen, ob der Audioinhalt in der autorisierten Weise erhalten worden ist. Ein digitales Wasserzeichen umfaßt codierte Informationen in einem Audioinhalt, der für einen Hörer nicht wahrnehmbar ist, jedoch durch eine digitale Signalverarbeitung gemäß einem vordefinierten Schema wiedergewonnen werden kann. Die codierten Informationen können ein spezielles System oder einen Benutzer spezifizieren, der autorisiert ist, auf den Audioinhalt gemäß den Lizenzierungsvereinbarungen zuzugreifen. Wenn das digitale Wasserzeichen anzeigt, daß auf den Inhalt nicht gemäß den Lizenzierungsvereinbarungen zugegriffen worden ist, die dem digitalen Wasserzeichen zugeordnet sind, kann das Betriebssystem 103 verhindern, daß der Audioinhalt an das optische Medium geschrieben wird.
Als weiteres Beispiel kann das Betriebssystem 103 andere Schatzvorkehrungen aufweisen, um die Operationen des Systems 100 einzuschränken. Das Betriebssystem 103 kann einen Code aufweisen, um einen Mißbrauch auf dem Internet zu verhindern. Das Betriebssystem 103 kann Netzwerkroutinen aufweisen, die verhindern, daß Anwendungen Dienstverweigerungsangriffe ausführen. Die Dienstverweigerungsangriffe umfassen das Senden von großen Anzahlen von HTTP-Anforderungen (HTTP = hypertext transfer protocol = Hypertextübertragungsprotokoll) an einen Web-Server. Der Web- Server wird durch die empfangenen HTTP-Anforderungen vom Dienstverweigerungsangriff überwältigt und kann nicht auf die legitimen Anforderungen antworten. Das Betriebssystem 103 kann verhindern, daß die Dienstverweigerungsangriffe vom System 100 gestartet werden, indem die Anzahl von HTTP-Anforderungen, die über einen speziellen Zeitraum hinweg an eine spezielle IP-Adresse gesendet werden, eingeschränkt ist.
Weil das Betriebssystem 103 eine anwendungseinschränkende Funktionalität implementiert, weist das Betriebssystem 103 vorzugsweise einen Code auf, um die Modifizierung des Betriebssystems 103 zu verhindern. Zum Beispiel kann das Betriebssystem 103 verhindern, daß ein Benutzer versucht, die Dateien, die die Betriebssystemkernroutinen des Betriebssystems 103 aufweisen, das auf dem Plattenlaufwerk 105 gespeichert ist, zu überschreiben. Dies kann geschehen, indem es abgelehnt wird, die Befehle oder Systemaufrufe zum Schreiben an bestimmte Teilverzeichnisse zu akzeptieren. Dabei handelt es sich jedoch nur um eine Teillösung, um einen Mißbrauch des Systems 100 zu verhindern. Spezieller kann ein Hacker einfach ein anderes Plattenlaufwerk 105 in das System 100 plazieren, das ein anderes Betriebssystem enthält. Alternativ kann ein Hacker das Plattenlaufwerk 105entfernen und dasselbe in ein anderes System plazieren, das nicht die Schreibeinschränkungen des Teilverzeichnisses implementiert. Das andere System kann genutzt werden, um die verschiedenen Dateien auf dem Plattenlaufwerk 105 neu zu beschreiben. Das geänderte Medium des Plattenlaufwerks 105 kann ohne die anwendungseinschränkende Funktionalität erneut in das System 100 plaziert werden.
Gemäß den Ausführungsbeispielen der vorliegenden Erfindung verhindert ein Laufwerksverriegelungsalgorithmus, daß ein Hacker das Betriebssystem 103 ändert. Der Laufwerksverriegelungsalgorithmus ist vorzugsweise im BIOS 102 implementiert und wird während der Boot-Operationen des Systems 100 ausgeführt. Der Laufwerksverriegelungsalgorithmus kann auch verwendet werden, wenn das Plattenlaufwerk 105 die Sicherheitsmodusmerkmale des ATA-Standards implementiert. Obwohl die Ausführungsbeispiele der vorliegenden Erfindung in Verbindung mit einer ATA-Schnittstelle beschrieben sind, wird darauf hingewiesen, daß die vorliegende Erfindung nicht auf die ATA-Plattenlaufwerksschnittstellen beschränkt ist. Es kann ein beliebiges geeignetes Protokoll zum Einschränken des Zugriffs auf das Plattenlaufwerk 105 über die Schnittstelle mit dem Plattenlaufwerk 105 verwendet werden.
Um die Zusammenhänge für den Leser zu erleichtern, ist es angemessen, mehrere Systemzustände und Variablen zum Beschreiben der Operationen des Laufwerksverriegelungsalgorithmus zu definieren. HDDSN ist die fortlaufende Nummer, die durch das aktuelle Plattenlaufwerk 105 ansprechend auf den ATA-3 IDENTIFY DECIVE-Befehl gemeldet wird. RHDDSN ist ein Wert, der in einem isolierten nichtflüchtigen Speicher 104 gespeichert ist, um die Seriennummer eines Plattenlaufwerks 105 zu identifizieren, das dem System 100 ordnungsgemäß zugeordnet ist. BIOSPASSWORD ist das Benutzerpaßwort, das in dem isolierten nichtflüchtigen Speicher 104 gespeichert ist. Das aktuelle Plattenlaufwerk 105 meldet das Flag SECURITY ENABLED (SICHERHEIT FREIGEGEBEN), um anzuzeigen, ob der Sicherheitsmodus des Plattenlaufwerks 105freigegeben worden ist. ENABLE DRIVE LOCK (GIB- LAUFWERKVERRIEGELUNG-FREI)ist ein Flag, das in einem isolierten nichtflüchtigen Speicher 104 gespeichert ist, das spezifiziert, ob die Sicherheitsoperationen des Laufwerksverriegelungsalgorithmus ausgeführt werden sollen. Es wird darauf hingewiesen, daß die Namen der Systemzustände und Variablen nur exemplarisch sind. Die vorliegende Erfindung ist nicht auf die vorhergehenden Identifizierer beschränkt.
Exemplarische Schritte zum Implementieren des Laufwerksverriegelungsalgorithmus gemäß den Ausführungsbeispiele der vorliegenden Erfindung sind in dem Flußdiagramm 200 von Fig. 2A und 2B gezeigt. Bei Schritt 201 wird ein logischer Vergleich vorgenommen, um zu bestimmen, ob der aktuelle Boot-Vorgang der erste Boot-Vorgang des Systems 100 ist. Wenn der aktuelle Boot-Vorgang nicht der erste Boot-Vorgang ist, wird der Prozeßfluß bei Schritt 203 fortgesetzt. Wenn der aktuelle Boot-Vorgang der erste Boot-Vorgang ist, wird der Prozeßfluß bei Schritt 202 fortgesetzt. Bei Schritt 202 formatiert der Laufwerksverriegelungsalgorithmus den isolierten nichtflüchtigen Speicher 104, indem zum Beispiel jedes Byte eines isolierten nichtflüchtigen Speichers 104 mit einem vorbestimmten hexadezimalen Wert (z. B. 0 × FF) gefüllt wird. Das Formatieren des isolierten nichtflüchtigen Speichers 104 verhindert, daß "Müllwerte", die anfänglich in dem isolierten nichtflüchtigen Speicher 104 vorhanden sind, mit aktuellen Werten verwechselt werden, die gemäß dem. Laufwerksverriegelungsalgorithmus der vorliegenden Erfindung erzeugt werden.
Schritt 203 beginnt mit einer Serie von Operationen, um verschiedene Informationen wiederzugewinnen, die verwendet werden, um die logischen Vergleiche des Laufwerksverriegelungsalgorithmus auszuführen. Bei Schritt 203 wird der BIOSPASSWORD-Wert wiedergewonnen. Das BIOSPASSWORD ist das Paßwort, das in dem isolierten nichtflüchtigen Speicher 104 gespeichert ist, das schließlich an das Plattenlaufwerk 105 geleitet werden kann. Bei Schritt 204 wird der Wert RHDDSN aus dem isolierten nichtflüchtigen Speicher 104 wiedergewonnen. Bei Schritt 205 wird das SECURITY ENABLED-Flag bestimmt, indem ein entsprechender Befehl an das Plattenlaufwerk 105 gesendet wird. Gemäß dem ATA-Protokoll ist dieses Flag das erste Bit eines Worts 128 des Rücksendepakets, das dem IDENTIFY DEVICE-Befehl zugeordnet ist. Bei Schritt 206 wird HDDSN aus den Worten 10-19 des Rücksendepakets wiedergewonnen, das dem IDENTIFY DEVICE-Befehl zugeordnet ist. Bei Schritt 207 wird das ENABLE DRIVE LOCK-Flag aus dem Wert bestimmt, der in dem isolierten nichtflüchtigen Speicher 104 gespeichert ist.
Bei Schritt 208 wird ein logischer Vergleich vorgenommen, um die ungültigen Zustände zu eliminieren. Der logische Vergleich bestimmt, ob RHDDSN leer ist (wobei leer in diesem. Beispiel bedeutet, das jedes Byte von RHDDSN mit dem hexadezimalen Wert 0 × FF gefüllt ist) und ob RHDDSN nicht gleich HDDSN ist. Dieser logische Vergleich bewirkt, daß der Prozeßfluß den Verriegelungs-/Entriegelungsprozeß für ungültige Zustände überspringt. Speziell wird das Booten des Systems 100 nicht ermöglicht, wenn ein aktuelles Plattenlaufwerk 105 in dem System 100 plaziert ist, das ein HDDSN besitzt, der nicht mit dem RHDDSN übereinstimmt. Wenn der logische Vergleich einen wahren Wert erzeugt, wird der Prozeßfluß bei Schritt 209 fortgesetzt. Bei Schritt 209 kann ein Sicherheitsprotokoll initialisiert werden, um die Ersetzung des Plattenlaufwerks 105 durch beispielsweise ein Empfangen eines geeigneten Administratorpaßworts zu ermöglichen. Ansonsten kann der Bootprozeß als nicht erfolgreich beendet werden, indem er bei Schritt 224 fortgesetzt wird.
Wenn der logische Vergleich von Schritt 208 einen falschen Wert erzeugt, wird ein weiterer logischer Vergleich bei Schritt 210 vorgenommen. Bei Schritt 210 bestimmt der logische Vergleich, ob der RHDDSN leer ist und ob der RHDDSN gleich HDDSN ist. Dies eliminiert Zustände, die durch einen Hacker genutzt werden können, um zu versuchen, den Laufwerksverriegelungsalgorithmus zu umgehen. Speziell sollte das Plattenlaufwerk 105 bei dem vorliegenden Beispiel niemals eine Seriennummer von 0 × FF-Werten melden. Folglich kann dieser Zustand anzeigen, daß ein Hacker versucht hat, den Flash-Speicher, der dem Plattenlaufwerk 105 zugeordnet ist, neu zu beschreiben. Wenn der logische Vergleich einen wahren Zustand erzeugt, endet der Prozeßfluß als nicht erfolgreich, indem er bei Schritt 224 fortgesetzt wird.
Wenn der logische Vergleich des Schritts 210 einen falschen Wert erzeugt, wird der Prozeßfluß bei Schritt 211 fortgesetzt, wo ein weiterer logischer Vergleich vorgenommen wird. Bei Schritt 21 bestimmt der logische Vergleich, ob der Wert des ENABLE DRIVE LOCK-Flags wahr ist. Wenn der logische Vergleich einen falschen Wert erzeugt (d. h. ENABLE DRVIE LOCK ist falsch), endet der Prozeßfluß unerfolgreich, indem er bei Schritt 224 fortgesetzt wird (d. h. das Plattenlaufwerk 105 wird nicht verriegelt oder entriegelt, ohne das dieses Flag gesetzt wird).
ENABLE DRIVE LOCK kann vorzugsweise initialisiert werden, um einen falschen Wert zu enthalten. ENABLE DRIVE LOCK kann modifiziert werden, um einen wahren Wert zu enthalten, wenn zum Beispiel das Betriebssystem 103 auf dem Plattenlaufwerk 105 über einen CD-ROM installiert ist. Nach der Installation des Betriebssystems 103 kann der Laufwerksverriegelungsalgorithmus die ausführbaren Dateien sichern, indem der Prozeßfluß bei Schritt 212 fortgesetzt wird.
Wenn der logische Vergleich von Schritt 211 einen wahren Wert erzeugt (d. h ENABLE DRIVE LOCK ist wahr), wird ein weiterer logischer Vergleich bei Schritt 212 vorgenommen. Bei Schritt 212 bestimmt der logische Vergleich, ob das SECURITY ENABLED-Flag wahr ist. Wenn der logische Vergleich von Schritt 212 einen falschen Wert erzeugt (SECURITY ENABLED ist falsch), wird der Prozeßfluß bei Schritt 213 fortgesetzt, um den Sicherheitsmodus des Plattenlaufwerks 105 zu initialisieren. Bei Schritt 213 wird ein logischer Vergleich vorgenommen, um zu bestimmen, ob der RHDDSN leer ist. Wenn der logische Vergleich des Schritts 212 einen wahren Wert erzeugt (d. h. SECURITY ENABLED ist wahr), endet der Prozeßfluß unerfolgreich, indem er bei Schritt 224 fortgesetzt wird, weil es sich um einen ungültigen Zustand handelt.
Wenn der logische Vergleich von Schritt 213 einen wahren Wert erzeugt, wird der Prozeßfluß bei Schritt 214 fortgesetzt. Bei Schritt 214 wird ein Puffer aufgebaut, der das Master-Paßwort in das Plattenlaufwerk 105 gemäß dem Sicherheitsmodusschema lädt. Das Master-Paßwort ist für jedes System 100 eines Satzes von Systemen 100, die während eines gemeinsamen Intervalls hergestellt werden, vorzugsweise gleich. Bei Schritt 215 wird das Master-Paßwort auf dem Plattenlaufwerk 105 gemäß dem Sicherheitsmodusschema gesetzt, indem das Paßwort mit dem entsprechenden Befehl geliefert wird. Bei Schritt 216 wird ein Puffer aufgebaut, um das Benutzerpaßwort gemäß dem Sicherheitsmodusschema zu halten. Vorzugsweise ist das Benutzerpaßwort für jedes System 100 eindeutig. Der aktuelle Wert des Benutzerpaßworts ist nicht wichtig.
Bei einem Ausführungsbeispiel kann das Benutzerpaßwort automatisch durch ein externes System erzeugt und in einer Datenbank für eine zukünftige Bezugnahme einbehalten werden. Während der Boot-Operationen kann das externe System das Paßwort gemäß der Herstellung des Systems 100 an das BIOS 102 kommunizieren. Andere Informationen können zur gleichen Zeit wie das Paßwort an das System 100 kommuniziert werden. Ein exemplarischer Satz solcher Informationen kann eine VSN (VSN = visible serial number = sichtbare Seriennummer), die auf der externen Oberfläche des Systems 100 sichtbar ist, eine HSN (HSN = hidden serial number = verdeckte Seriennummer), eine ESN (ESN = encryption serial number = verschlüsselt Seriennummer), die zum Verschlüsseln/Entschlüsseln sicherer Übertragungen verwendet wird (wenn die ESN vorzugsweise auf dem Internet nicht zu sehen ist), und ein BIOSPASSWORD enthalten. Die VSN, HSN, ESN und das BIOSPASSWORD können jeweils in einer Datenbank einbehalten werden. Der Laufwerksverriegelungsalgorithmus und/oder andere Sicherheitsprotokolle können nach dem Empfang solcher Informationen aktiviert werden.
Bei Schritt 217 wird das Benutzerpaßwort gesetzt, indem das Paßwort an das Plattenlaufwerk 105 mit dem entsprechenden Befehl gesendet wird und indem das Benutzerpaßwort in den isolierten nichtflüchtigen Speicher 104 in die BIOSPASSWORD-Position geschrieben wird. Bei Schritt 218 wird die HDDSN, die vom Plattenlaufwerk 105 wiedergewonnen wird, in den isolierten nichtflüchtigen Speicher 104 als die Position geschrieben, die den Wert von RHDDSN speichert.
Folglich sind die Schritte 214 bis 218 betreibbar, um ein spezielles Plattenlaufwerk einem speziellen System 100 zuzuordnen. Speziell kann durch ein anderes Computersystem nicht auf das Plattenlaufwerk 105 zugegriffen werden, und das Plattenlaufwerk 105 kann im System 100 nicht durch eine andere Einheit ersetzt werden, um die anwendungseinschränkende Funktionalität zu umgehen. Ab Schritt 218 endet der Prozeßfluß erfolgreich, indem er bei Schritt 223 fortgesetzt wird.
Wenn der logische Vergleich von Schritt 212 einen wahren Wert erzeugt, wird der Prozeßfluß bei Schritt 219 fortgesetzt, wo ein weiterer logischer Vergleich vorgenommen wird. Bei Schritt 219 bestimmt der logische Vergleich, ob der RHDDSN leer ist. Wenn der logische Vergleich einen wahren. Wert erzeugt (d. h. RHDDSN wird in dem vorliegenden Beispiel mit 0 × FF-Werten gefüllt), ist ein ungültiger Zustand erfaßt worden, und der Prozeßfluß endet als unerfolgreich, indem er bei Schritt 224 fortgesetzt wird. Wenn der logische Vergleich von Schritt 212 einen falschen Wert erzeugt (d. h. RHDDSN wird in dem vorliegenden Beispiel nicht mit. 0 × FF-Werten gefüllt), wird ein Paßwortpuffer aufgebaut, um ein BIOSPASSWORD zu enthalten, das in dem isolierten nichtflüchtigen Speicher 104 gespeichert ist (Schritt 220). Das Paßwort wird mit dem entsprechenden SECURITY UNLOCK-Befehl an das Plattenlaufwerk 105 geleitet (Schritt 221). Bei Schritt 222 wird der FREEZE LOCK-Befehl an das Plattenlaufwerk 105 gesendet, um zu verhindern, daß die Paßwörter bis zum nächsten Leistungszyklus verändert werden.
Bei Schritt 223 endet der Prozeßfluß des Laufwerksverriegelungsalgorithmus als erfolgreich. Das BIOS 102 kann den Boot-Prozeß fortsetzten, indem z. B. das Betriebssystem 103 oder ein Abschnitt desselben in den RAM 106 geladen wird. Alternativ endet der Prozeßfluß der Laufwerksverriegelung bei Schritt 224 als unerfolgreich. Das BIOS 102 kann andere Aufgaben oder Protokolle, abhängig von den Zuständen, die bewirkten, daß der Laufwerksverriegelungsalgorithmus unerfolgreich endete, ausführen. Zusätzlich oder alternativ kann das BIOS 102 die Boot-Operationen nach dem Schritt 224 beenden.
Es wird darauf hingewiesen, daß die Ausführungsbeispiele der vorliegenden Erfindung mehrere Vorteile aufweisen können. Erstens muß sich ein Benutzer, im Gegensatz zum typischen Sicherheitsmodusschema, das beispielsweise durch die ATA-Schnittstelle verwendet wird, nicht an das Paßwort erinnern. Die Ausführungsbeispiele der vorliegenden Erfindung sind vorzugsweise betreibbar, um das Paßwort aus dem isolierten nichtflüchtigen Speicher 104 wiederzugewinnen. Folglich sind die Ausführungsbeispiele der vorliegenden Erfindung betreibbar, um autonom, ohne die Interaktion eines Benutzers zu arbeiten.
Zusätzlich wird darauf hingewiesen, daß das Ergebnis dieser Operation merklich anders ist als die Operationen von typischen Paßwortschutzsystemen. Speziell sind die existierenden Paßwortschutzsysteme konzipiert, um nur autorisierten Benutzern zu erlauben, auf die Benutzerdateien zuzugreifen. Die Ausführungsbeispiele der vorliegenden Erfindung gehen jedoch davon aus, daß jeder das System 100 betreiben kann und/oder ein beliebiger Benutzer die Dateien auf dem Plattenlaufwerk 105 lesen kann. Statt dessen verhindern die Ausführungsbeispiele der vorliegenden Erfindung, daß die Benutzer die ausführbaren Dateien, die auf dem Plattenlaufwerk 105 gespeichert sind, über den Laufwerksverriegelungsalgorithmus modifizieren können. Die Ausführungsbeispiele sind betreibbar, um zu verhindern, daß die Benutzer das System 100 mit unautorisierten ausführbaren Dateien booten, indem ein geeigneter Laufwerksverriegelungsalgorithmus im BIOS 102 implementiert ist. Wenn das System 100 gebootet wird, gibt das BIOS 105 das System nicht zum Arbeiten frei, bis das Plattenlaufwerk 105 eine Seriennummer zurücksendet, die gleich einem Wert sein soll, der in dem isolierten nichtflüchtigen Speicher 104 gespeichert ist. Folglich kann ein Hacker nicht einfach das Plattenlaufwerk 105 austauschen, um die anwendungseinschränkende Funktionalität zu umgehen. Außerdem kann ein Hacker das Plattenlaufwerk 105 nicht entfernen, das über ein anderes System modifiziert werden soll. Spezieller kennt ein Hacker das Benutzerpaßwort nicht. Folglich ist der Hacker nicht in der Lage, auf das Plattenlaufwerk 105 auf einem anderen System zuzugreifen, um das Betriebssystem oder andere Dateien zu überschreiben.

Claims

1. System zum Schützen eines Inhalts, der auf einer Speicherungsmedienvorrichtung gespeichert ist, das folgende Merkmale aufweist:
einen Prozessor (101) zum Ausführen eines Codes, um auf ein Benutzerpaßwort und eine aufgezeichnete Seriennummer zuzugreifen;
eine Speicherungsmedienvorrichtung (105), wobei die Speicherungsmedienvorrichtung betreibbar ist, um die ihr zugeordnete Seriennummer zurückzusenden, und wobei die Speicherungsmedienvorrichtung eine Vorrichtungsschnittstelle liefert, die dieses Paßwort benötigt, um auf Daten zuzugreifen, die auf der Speicherungsmedienvorrichtung gespeichert sind; und
einen Code zum Booten des Systems, wobei der Code zum Booten folgende Merkmale aufweist:
einen Code zum Anfordern, daß die Speicherungsmedienvorrichtung die ihr zugeordnete Seriennummer (206) zurücksendet;
einen Code zum Vergleichen der Seriennummer, die durch die Speicherungsmedienvorrichtung (105) zurückgesendet wurde, mit der aufgezeichneten Seriennummer (208); und
einen Code zum Liefern des Benutzerpaßworts an die Speicherungsmedienvorrichtung, wenn der Code zum Vergleichen bestimmt, daß die Seriennummer, die durch die Speicherungsmedienvorrichtung zurückgesendet wird, mit der aufgezeichneten Seriennummer (221) übereinstimmt.

2. System gemäß Anspruch 1, bei dem die Speicherungsmedienvorrichtung ausführbare Dateien eines Betriebssystem (103) speichert.

3. System gemäß Anspruch 2, bei dem das Betriebssystem (103) Befehle, um ausführbare Dateien des Betriebssystems zu modifizieren, zurückweist.

4. System gemäß einem der Ansprüche 1 bis 3, bei dem das Benutzerpaßwort und die aufgezeichnete Seriennummer in einem nichtflüchtigen Speicher (104) gespeichert sind.

5. System gemäß Anspruch 4, bei dem der nichtflüchtige Speicher (104) ein Flash-Speicher ist.

6. System gemäß einem der Ansprüche 1 bis 5, bei dem der Code zum Booten ferner folgendes Merkmal aufweist:
einen Code zum Einstellen des Benutzerpaßworts durch Ausgeben eines Befehls an das Speicherungsvorrichtungsmedium (217).

7. System gemäß einem der Ansprüche 1 bis 6, bei dem der Code zum Booten ferner folgendes Merkmal aufweist:
einen Code zum Empfangen des Benutzerpaßworts (203) von einem externen System.

8. System gemäß einem der Ansprüche 1 bis 7, bei dem der Code zum Booten ferner folgendes Merkmal aufweist:
einen Code zum Ausgeben eines Befehls an die Speicherungsmedienvorrichtung (105), um zu verhindern, daß Paßwortänderungen bis zu einem nächsten Leistungszyklus auftreten.

9. Verfahren zum Schützen eines Inhalts, der auf einer Speicherungsmedienvorrichtung gespeichert ist, wobei das Verfahren durch prozessorausführbare Instruktionen implementiert ist, wobei das Verfahren folgende Schritte aufweist:
Wiedergewinnen eines Benutzerpaßworts (203);
Wiedergewinnen einer aufgezeichneten Seriennummer (204);
Abfragen einer Speicherungsmedienvorrichtung (105), um eine Seriennummer der Speicherungsmedienvorrichtung (206) zu erhalten;
Vergleichen der erhaltenen Seriennummer mit der wiedergewonnenen aufgezeichneten Seriennummer (208); und
wenn die erhaltene Seriennummer gleich der wiedergewonnenen aufgezeichneten Seriennummer ist, Liefern des Benutzerpaßworts an die Speicherungsmedienvorrichtung, um den Datenzugriff auf die Speicherungsmedienvorrichtung (221) zu entriegeln.

10. Verfahren gemäß Anspruch 9, bei dem die Schritte des Wiedergewinnens eines Benutzerpaßworts, des Wiedergewinnens einer aufgezeichneten Seriennummer, des Abfragens, des Vergleichens und des Lieferns durch BIOS- Instruktionen (102) ausgeführt werden.

11. . Verfahren gemäß Anspruch 9 oder 10, bei dem die Schritte des Wiedergewinnens eines Benutzerpaßworts, des Wiedergewinnens einer aufgezeichneten Seriennummer, des Abfragens, des Vergleichens und des Lieferns während der Boot-Operationen ausgeführt werden.

12. Verfahren gemäß Anspruch 11, bei dem die Speicherungsmedienvorrichtung (105) ausführbare Dateien eines Betriebssystems (103) speichert.

13. Verfahren gemäß Anspruch 12, das ferner folgenden Schritt aufweist:
Verhindern einer Modifizierung von ausführbaren Dateien des Betriebsystems (103).

14. Verfahren gemäß einem der Ansprüche 9 bis 13, bei dem das Benutzerpaßwort und die aufgezeichnete Seriennummer in einem nichtflüchtigen Speicher (104) gespeichert sind.

15. Verfahren gemäß Anspruch 14, bei dem der nichtflüchtige Speicher (104) ein Flash-Speicher ist.

16. Verfahren gemäß einem der Ansprüche 9 bis 15, das ferner folgenden Schritt aufweist:
Einstellen des Benutzerpaßworts durch Ausgeben eines Befehls an das Speicherungsvorrichtungsmedium.

17. Verfahren gemäß einem der Ansprüche 9 bis 16, bei dem das Benutzerpaßwort anfänglich durch ein externes System erzeugt wird, das eine Datenbank von Benutzerpaßworten unterhält.

18. Verfahren gemäß einem der Ansprüche 9 bis 17, das ferner folgenden Schritt aufweist:
Ausgeben eines Befehls an die Speicherungsmedienvorrichtung (105), um zu verhindern, daß Paßwortveränderungen bis zu einem nächsten Leistungszyklus auftreten.

19. Verfahren zum Schützen von Daten, die einem Computersystem zugeordnet sind, wobei das Verfahren zumindest teilweise in einem BIOS-System des Computersystems implementiert ist, wobei das Verfahren folgende Schritte aufweist:
automatisches Erzeugen eines Benutzerpaßworts, wobei das Benutzerpaßwort an eine Speicherungsmedienvorrichtung (105) geleitet wird, um auf Daten zuzugreifen, die auf der Speicherungsmedienvorrichtung gespeichert sind;
Speichern des Benutzerpaßworts in einem nichtflüchtigen Speicher (104); und
Ausführen einer Software, die in dem BIOS gespeichert ist, während der Boot-Operationen des Computersystems, wobei der Schritt des Ausführens der Software das Benutzerpaßwort an die Speicherungsmedienvorrichtung (105) leitet.

20. Verfahren gemäß Anspruch 19, bei dem der Schritt des Ausführens einer Software ferner folgenden Schritt aufweist:
Empfangen einer Seriennummer von der Speicherungsmedienvorrichtung (105).

21. Verfahren gemäß Anspruch 20, bei dem der Schritt des Ausführens einer Software ferner folgende Schritte aufweist:
Vergleichen der empfangenen Seriennummer mit einer aufgezeichneten Seriennummer, die in dem nichtflüchtigen Speicher (104) gespeichert ist.

22. Verfahren gemäß einem der Ansprüche 19 bis 21, bei dem Schritt des Ausführens einer Software nur das Benutzerpaßwort an die Speicherungsmedienvorrichtung (105) leitet, wenn eine empfangene Seriennummer gleich der aufgezeichneten Seriennummer (208, 221) ist.

23. Verfahren gemäß einem der Ansprüche 19 bis 23, das ferner folgenden Schritt aufweist:
Verhindern, daß ein Benutzer Betriebssystemdateien modifiziert.