T∕CIITA 114-2021 PKS体系UEFI固件内置可信启动技术要求.pdf

ICS 35.020 CCS L70 团体标准团体标准 T/CIITA 1142021 PKS体系UEFI固件内置可信启动技术要求 PKS systemTechnical requirements of UEFI firmware built in trusted boot 2021-12-20 发布 2022-02-01 实施 发 布发 布 中 国 信 息 产 业 商 会中 国 信 息 产 业 商 会 T/CIITA 114-2021 I 目 次 前 言.III 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 缩略语.3 5 内置可信的环境要求.3 5.1 UEFI 固件关联部件.3 5.2 硬件的环境要求.4 5.3 UEFI 固件执行的环境要求.4 6 UEFI 固件内置可信启动的要求.4 6.1 UEFI 固件度量内容的要求.4 6.2 UEFI 固件度量对象的命名要求.4 6.3 UEFI 固件度量接口的要求.4 7 UEFI 数据的存储访问.4 7.1 存储要求.4 7.2 存储访问接口.5 附录 A（规范性）硬件的环境要求.6 附录 B（规范性）内置可信运行的环境要求.7 附录 C（规范性）内置可信环境信任链的建立要求.8 附录 D（规范性）UEFI 固件度量内容的要求.9 附录 E（规范性）UEFI 可信启动度量接口.10 参 考 文 献.17 T/CIITA 114-2021 III 前 言 本文件按照 GB/T 1.1-2020标准化工作导则 第 1 部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国信息产业商会团体标准委员会提出并归口。本文件起草单位：中国长城科技集团股份有限公司、飞腾信息技术有限公司、北京可信华泰信息技术有限公司、澜起科技股份有限公司、中电（海南）联合创新研究院有限公司、迈普通信技术股份有限公司、中国电子信息产业集团有限公司。本文件主要起草人：成联国、席文帅、刘全仲、林俊、吴翥、张思栋、贾云鹤、杜晓飞、郭小军、黎建根、岑月宁、刘晓润、黎林、葛广肆、李信德、屈利婵、王涛、洪宇、李毅、郑世普、王昊、唐仁圣、林茂。T/CIITA 114-2021 1 PKS 体系 UEFI 固件内置可信启动技术要求 1 范围 本文件规定了UEFI固件内置可信的环境、内置可信启动、UEFI数据的存储访问的技术要求。本文件适用于PKS体系整机主板固件的设计、生产和使用。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。T/CIITA 100-2021 PKS体系 术语 T/CIITA 102-2021 PKS体系 中央处理器参考板 3 术语和定义 T/CIITA 100-2021 界定的以及下列术语和定义适用于本文件。3.1 PK 体系 Phytium/Kylin system PK system 以飞腾（Phytium）中央处理器（CPU）和麒麟（Kylin）操作系统（OS）为基础的产品、技术、管理、服务、生态、方案和应用的集成系统。来源：T/CIITA 100-2021，3.1.1 3.2 PKS 架构 Phytium/Kylin/security architecture PKS architecture 基于飞腾（Phytium）中央处理器（CPU）和麒麟（Kylin）操作系统（OS），具有双体系防护结构，具备内生内置安全能力的自主安全体系架构。来源：T/CIITA 100-2021，3.1.2 3.3 PKS 体系 Phytium/Kylin/security system PKS system 基于PKS架构（3.2）的PK体系（错误！未找到引用源。错误！未找到引用源。）。来源：T/CIITA 100-2021，3.1.3 3.4 内置可信 built in trust 一种将可信平台控制模块内置于处理器的技术。3.5 板卡固件 option ROM 存储平台启动部件的启动和配置代码的只读存储器。T/CIITA 114-2021 2 3.6 信任链 trust chain 在计算系统启动和运行过程中，使用完整性度量方法在部件之间所建立的信任传递关系。3.7 操作系统加载器 OS boot loader 一种加载操作系统内核的程序。3.8 安全内存 security memory 具有数据保护功能的内存。3.9 通用内存 general memory 不具有数据保护功能，且符合行业规范的内存。3.10 度量 measurement 使用加解密算法，对被度量对象做验证的一系列计算操作。3.11 度量内容 measurement content 被度量的一系列数据。3.12 度量对象 measurement object 被度量的部件的统称。3.13 度量代理点 measurement agent point 负责度量系统的部分装载和执行代码，实现信任传递的代码度量部件子模块。3.14 度量接口 measurement protocol 度量代理点之间传递度量信息的接口。3.15 可信启动 trusted boot 通过信任链机制实现计算机初态安全可信的开机过程。3.16 UEFI 固件 UEFI firmware 符合统一可扩展固件接口（UEFI）规范的固件。3.17 UEFI 数据 UEFI data 统一可扩展固件接口（UEFI）固件的一系列配置数据。3.18 硬件可信根 hardware root of trust T/CIITA 114-2021 3 作为计算机系统里可信启动的可信根的硬件模块。4 缩略语 下列缩略语适用于本文件。CPU 中央处理器(central processing unit)GPT 全局唯一标识磁盘分区表(GUID partition table)IC 内部整合电路(inter-integrated circuit)MBR 主引导记录(master boot record)PKS 飞腾麒麟体系安全(Phytium Kylin system security)PBF 飞腾基础固件(Phytium base firmware)RAM 随机存取存储器(random access memory)REE 通用执行环境(rich execution environment)ROM 只读存储器(read only memory)SPI 串行外设接口(serial peripheral interface)TPCM 可信平台控制模块(trusted platform control module)TSB 可信软件基(trusted software base)TEE 可信执行环境(trusted execution environment)UEFI 统一可扩展固件接口(unified extensible firmware interface)UEFI APP 统一可扩展固件接口应用程序(UEFI application)UEFI DRIVER 统一可扩展固件接口驱动程序(UEFI driver)5 内置可信的环境要求 5.1 UEFI 固件关联部件 与UEFI固件关联的部件主要包括硬件、TPCM固件、PBF固件、板卡固件和操作系统加载器。硬件主要由主板、外置辅存和输入输出部件组成，其中主板部分主要由CPU、RAM和ROM组成。见图1。T/CIITA 114-2021 4 图1 UEFI固件关联部件 5.2 硬件的环境要求 ROM保护要求、ROM容量要求、内存I2C总线要求应符合附录A。5.3 UEFI 固件执行的环境要求 UEFI固件应运行在 T/CIITA 102-2021 规定的REE环境中。固件执行的环境要求应符合附录B。6 UEFI 固件内置可信启动的要求 内置可信信任链的建立要求应符合附录C。6.1 UEFI 固件度量内容的要求 度量内容要求应符合附录D。6.2 UEFI 固件度量对象的命名要求 UEFI固件应把度量对象的命名传递给TPCM。度量对象的命名应为类型名加路径名。路径名应符合UEFI V2.8的要求。示例 1：GPT PcieRoot(0 x0)/Pci(0 x2,0 x0)/Pci(0 x0,0 x0)/Sata(0 x2,0 xFFFF,0 x0)6.3 UEFI 固件度量接口的要求 UEFI固件应提供度量接口，实现可信启动。度量接口应符合附录E。7 UEFI 数据的存储访问 7.1 存储要求 UEFI数据应存储在ROM中。T/CIITA 114-2021 5 7.2 存储访问接口 UEFI固件应提供UEFI数据的存储访问接口，应符合附录F。T/CIITA 114-2021 6 附录 A（规范性）硬件的环境要求 A.1 ROM保护要求 TPCM固件独占连接ROM的SPI控制器。ROM芯片的写保护引脚应由SPI控制器控制。A.2 ROM容量要求 服务器的ROM容量，不宜小于16MiB；便携式微型计算机、台式微型计算机、工业应用微型计算机的ROM容量，不宜小于16MiB。A.3 内存I2C总线要求 主板的设计应兼容安全内存和通用内存。其中，I2C总线的设计，应避免同一总线上的其他设备的I2C地址与安全内存的IC地址冲突。T/CIITA 114-2021 7 附录 B（规范性）内置可信运行的环境要求 B.1 内置可信的执行环境 内置可信的执行环境分为REE和TEE。UEFI固件被PBF固件加载至REE，并被TPCM固件度量。UEFI固件作为度量代理点，度量并加载操作系统。见图B.1。图B.1 内置可信的执行环境 B.2 TEE设计要求 TEE设计应符合以下要求：a）PBF固件、TPCM固件和UEFI固件共同存储在ROM中，连接ROM的SPI控制器应划分在TEE；b）TEE应提供安全的度量命令接口；c）TEE应提供安全访问ROM的接口；d）TEE应存储度量的杂凑值和度量的日志；e）度量代理点应提供所度量对象的详细信息给TEE。REE TEE 操作系统 PBF 固件 TPCM 固件 UEFI 固件 T/CIITA 114-2021 8 附录 C（规范性）内置可信环境信任链的建立要求 内置可信环境是以飞腾处理器作为硬件可信根，建立TEE和REE，并将处理器核、内存空间、外设空间等资源划分至TEE和REE中。信任链的建立流程，见图C.1。具体如下：a）飞腾处理器验证并加载PBF固件，信任从飞腾处理器传递至PBF固件；b）PBF固件初始化处理器核、内存及片内输入输出控制器；c）PBF固件验证并加载TPCM固件至TEE，信任从PBF固件传递至TPCM固件；d）TPCM固件初始化TEE，建立TPCM运行实体；e）TPCM度量并加载UEFI固件至REE；f）TPCM通知PBF使能REE，信任从TPCM固件传递至UEFI固件；g）UEFI固件初始化其他外部设备，度量并加载执行板卡固件；h）UEFI固件度量并加载执行操作系统加载器，信任从UEFI传递至操作系统加载器；i）操作系统加载器度量并加载执行操作系统内核，信任从操作系统加载器传递至操作系统内核。图C.1 内置可信信任链建立流程 内置可信信任链建立流程 信任链 PBF 固件 硬件可信根 操作系统加载器 UEFI 固件 操作系统内核 加载顺序 PBF 固件 操作系统加载器 UEFI 固件 操作系统内核 加载流程 度量流程 信任传递流程 硬件可信根 TPCM 固件 TPCM 固件 T/CIITA 114-2021 9 附录 D（规范性）UEFI 固件度量内容的要求 UEFI固件度量内容的要求，见表D.1。表D.1 UEFI固件度量内容的要求 度量对象 类型 要求 Option ROM UEFI Option ROM 应度量 Option ROM中的驱动 UEFI DRIVER 应度量 Option ROM中的应用程序 UEFI APP 应度量 GPT分区表 GPT 应度量 MBR分区表 MBR 应度量 操作系统加载器 UEFI APP 应度量 用户操作加载的UEFI驱动程序 UEFI DRIVER 应度量 用户操作加载的UEFI驱动应用程序 UEFI APP 应度量 使用UEFI接口启动的内核 UEFI APP 应度量 UEFI配置数据 UEFI CONF 宜度量 注 1：UEFI DRIVER包含UEFI RUNTIME DRIVER和UEFI BOOT SERVICE DRIVER。T/CIITA 114-2021 10 附录 E（规范性）UEFI 可信启动度量接口 E.1 用途和范围 EFI_TPCM3_PROTOCOL用于UEFI启动过程中，完成对度量对象进行完整性检查的所需操作。此接口为BootService类接口，在操作系统调用ExitBootService()时终止，此后操作系统应使用TSB提供的接口进行度量操作。E.2 接口GUID 接口GUID为：0 xC14FE388,0 x2C8F,0 x4FC1,0 xBE,0 x8F,0 x7A,0 x87,0 xE6,0 x40,0 xBA,0 x35。E.3 接口成员函数 接口成员函数定义如下:typedef struct _EFI_TPCM3_PROTOCOL EFI_TPCM3_GET_EVENT_LOG GetEventLog;EFI_TPCM3_MEASURE_LOG_EVENT MeasureLogEvent;EFI_TPCM3_SUBMIT_COMMAND SubmitCommand;EFI_TPCM3_PROTOCOL;接口中各成员描述见表E.1。表E.1 UEFI可信启动度量接口成员描述 成员名称 描述 实现要求 GetEventLog 获取UEFI度量的事件日志 宜实现 MeasureLogEvent UEFI度量并记录日志 应实现 SubmitCommand 发送TPCM命令，用以给操作系统加载器提供访问TPCM的接口，以及发送其他管理命令 应实现 E.4 GetEventLog 函数 原型定义：typedef EFI_STATUS(EFIAPI*EFI_TPCM3_GET_EVENT_LOG)(IN EFI_TPCM3_PROTOCOL *This,OUT EFI_PHYSICAL_ADDRESS *EventLogLocation,OUT EFI_PHYSICAL_ADDRESS *EventLogLastEntry,OUT BOOLEAN *EventLogTruncated );T/CIITA 114-2021 11 GetEventLog函数提供获取度量事件日志的方法。输入参数：This 指向EFI_TPCM3_PROTOCOL实例的指针 EventLogLocation 指向存储事件日志物理地址的指针 EventLogLastEntry 指向最后一项事件日志物理地址的指针 EventLogTruncated 事件日志是否因存储空间不够而被截断 返回值：EFI_SUCCESS 成功 非EFI_SUCCESS 失败 E.5 MeasureLogEvent 函数 原型定义：typedef EFI_STATUS(EFIAPI*EFI_TPCM3_MEASURE_LOG_EVENT)(IN EFI_TPCM3_PROTOCOL *This,IN EFI_PHYSICAL_ADDRESS Data,IN UINT32 DataLen,IN EFI_TPCM3_EVENT *EfiTpcmEvent );MeasureLogEvent函数提供了UEFI内部的度量接口，供度量代理部件调用。输入参数：This 指向EFI_TPCM3_PROTOCOL实例的指针 Data 要度量对象所在物理地址 DataLen 要度量对象长度 EfiTpcmEvent 指向本次度量事件的指针 返回：EFI_SUCCESS 成功 非EFI_SUCCESS 失败 相关定义：typedef struct _EFI_TPCM3_EVENT TPCM_RESULT EventResult;TPCM_CONTROL_CODE EventControlCode;UINT32 EventNameSize;UINT8 EventName1;EFI_TPCM3_EVENT;typedef UINT16 TPCM_RESULT;typedef UINT16 TPCM_CONTROL_CODE;T/CIITA 114-2021 12 相关定义描述见表E.2。表E.2 EFI_TPCM3_EVENT结构描述 结构成员 描述 EventResult 度量事件结果 EventControlCode 度量事件控制码 EventSize 度量事件名大小 EventName 度量事件名，也即度量对象名（见6.2.1）E.6 SubmitCommand 函数 原型定义：typedef EFI_STATUS(EFIAPI*EFI_TPCM3_SUBMIT_COMMAND)(IN EFI_TPCM3_PROTOCOL *This,IN TPCM_CMD_TYPE CmdType,IN TPCM_CMD_HDR *TpcmCmd );SubmitCommand函数提供发送控制命令至TPCM的接口。输入参数：This 指向EFI_TPCM3_PROTOCOL实例的指针 CmdType 要发送的命令类型 TpcmCmd 指向要发送命令结构的指针 返回值：EFI_SUCCESS 成功 非EFI_SUCCESS 失败 相关定义：命令类型：#define TPCM_CMD_TYPE_SYNC (TPCM_CMD_TYPE)0)#define TPCM_CMD_TYPE_ASYNC (TPCM_CMD_TYPE)8)命令结构：typedef struct VOID *InputAddr;VOID *OutputAddr;UINT32 InputLength;UINT32 OutputMaxLength;UINT32 OutLength;UINT32 OutReturn;TPCM_CMD_HDR;T/CIITA 114-2021 13 命令结构描述见表E.3。表E.3 命令结构描述 命令头成员 描述 InputAddr TPCM命令输入参数地址 OutputAddr TPCM命令输出参数地址 InputLength 输入长度 OutputMaxLength 最大输出长度 OutLength 命令执行完后实际输出长度 OutReturn 输出返回 T/CIITA 114-2021 14 附录 F（规范性）UEFI 数据的存储访问接口 F.1 用途和范围 EFI_TPCM3_SPI_PROTOCOL用于在启动过程中，UEFI固件透过TPCM接口，访问UEFI数据区域。此接口为RuntimeService类接口，在系统调用ExitBootService()之后仍提供服务，直至系统关机时结束。F.2 接口GUID 考虑到私有性和安全性，本文件不固定此接口GUID，厂商应使用随机数生成此接口GUID。F.3 接口成员函数 接口成员函数定义：typedef struct _EFI_TPCM3_SPI_PROTOCOL EFI_TPCM3_SPI_ERASE Tpcm3SpiErase;EFI_TPCM3_SPI_WRITE Tpcm3SpiWrite;EFI_TPCM3_SPI_READ Tpcm3SpiRead;EFI_TPCM3_SPI_PROTOCOL;接口中各成员描述见表F.1。表F.1 EFI_TPCM3_SPI_PROTOCOL成员描述 成员名称 描述 实现要求 Tpcm3SpiErase SPI擦除操作 应实现 Tpcm3SpiWrite SPI写入操作 应实现 Tpcm3SpiRead SPI读取操作 应实现 F.4 Tpcm3SpiErase函数 原型定义：typedef EFI_STATUS(EFIAPI*EFI_TPCM3_SPI_ERASE)(IN UINT32 Offset,IN UINT32 Length );Tpcm3SpiErase函数提供擦擦ROM的功能。输入参数：Offset 需擦除的相对于数据区起始位置的偏移量 T/CIITA 114-2021 15 Length 需擦除的长度 返回：EFI_SUCCESS 成功 非EFI_SUCCESS 失败 F.5 Tpcm3SpiWrite函数 原型定义：typedef EFI_STATUS(EFIAPI*EFI_TPCM3_SPI_WRITE)(IN UINT32 Offset,IN UINT8 *Buffer,IN UINT32 Length );Tpcm3SpiWrite函数提供写入ROM的功能。输入参数：Offset 需写入的相对于数据区起始位置的偏移量 Buffer 存储需写入数据的缓冲区 Length 需写入的长度 返回：EFI_SUCCESS 成功 非EFI_SUCCESS 失败 F.6 Tpcm3SpiRead函数 原型：typedef EFI_STATUS(EFIAPI*EFI_TPCM3_SPI_READ)(IN UINT32 Offset,IN OUT UINT8 *Buffer,IN UINT32 Length );Tpcm3SpiRead函数提供读取ROM的功能。输入参数：Offset 需读取的相对于数据区起始位置的偏移量 Buffer 存储读取数据的缓冲区 Length 需读取的长度 T/CIITA 114-2021 16 返回：EFI_SUCCESS 成功 非EFI_SUCCESS 失败 T/CIITA 114-2021 17 参 考 文 献 1 GB/T 29827-2013 信息安全技术 可信计算规范 可信平台主板功能接口 2 ISO/IEC 11889:2015(all parts)Information technology-Trusted platform module library 3 Unified Extensible Firmware Interface(https:/uefi.org/)_