Только Word
СПИСОК СОКРАЩЕНИЙ 8
ВВЕДЕНИЕ 9
1 АНАЛИЗ ПРЕДМЕТНОЙ ОБЛАСТИ 11
1.1 Понятие и состав доверенного загрузчика операционной системы 11
1.2 Понятие аппаратной платформы и критерии выбора целевой аппаратной платформы 16
1.3 Бинарные файлы в составе современных BIOS 18
1.4 Выбор программной платформы для разработки BIOS 21
1.5 Выводы по результатам анализа предметной области 24
2 РАЗРАБОТКА МОДУЛЕЙ BIOS 25
2.1 Модуль материнской платы 25
2.2 Шина LPC 27
2.3 PC Speaker 28
3 РАЗРАБОТКА МОДУЛЯ ДОВЕРЕННОЙ ЗАГРУЗКИ 29
3.1 Аутентификация пользователя 30
3.2 Контроль целостности прошивки доверенного загрузчика 33
3.3 Защита от перезаписи 36
3.4 Доверенная загрузка ОС 38
4 Тестирование доверенного загрузчика 40
4.1 Отладка доверенного загрузчика 40
4.2 Тестирование BIOS 43
4.3 Тестирование модуля безопасности 46
5 РУКОВОДСТВО ПОЛЬЗОВАТЕЛЯ 47
5.1 Инсталляция 47
5.2 Эксплуатация 50
ЗАКЛЮЧЕНИЕ 54
СПИСОК ИСПОЛЬЗУЕМЫХ ИСТОЧНИКОВ 55
ПРИЛОЖЕНИЕ А ЛИСТИНГИ ПРОГРАММЫ 56
Приложение А.1 Файл secure.c 56
Приложение А.2 Файл secure.h 69
Приложение А.3 Файл mainboard.c 70
Приложение А.4 Файл devicetree.cb 71
Приложение А.5 Файл lpc.c 73
Одной из важнейших задач информационной безопасности является пресечение несанкционированного доступа к конфиденциальной информации. На персональных компьютерах для обеспечения невозможности совершения НСД применяются различные способы защиты, такие как обязательная аутентификация при загрузке в ОС, шифрование данных, разграничение доступа к данным системой прав пользователей и др. Данные способы защиты обеспечивают защиту информации после загрузки ОС.
Загрузка ОС с неучтенного носителя позволяет злоумышленнику обойти многие из перечисленных выше способов защиты и получить доступ к защищённой информации. В качестве защиты от подобной атаки часто применяется опломбирование системного блока и запрет на работу с неавторизованными носителями информации в рабочем месте, что не является достаточным для гарантированного обеспечения защиты от НСД.
Другим решением данной проблемы является использование доверенного загрузчика операционной системы. В этом случае до загрузки ОС выполняется аутентификация пользователя ЭВМ, контроль носителей в составе системы и разрешение загрузки ОС только с подтверждённых носителей.
Реализация доверенного загрузчика ОС может быть выполнена на аппаратно-программном и программном уровне.
Аппаратно-программная реализация представляет из себя внешнее устройство, подключаемое к контролируемой ЭВМ на шину PCI/PCI-e. Устройству передаёт управление базовая система ввода-вывода в процессе инициализации аппаратной части ЭВМ. Доверенный загрузчик выполняет определённый разработчиком набор функций и, в зависимости от результата их выполнения, разрешает или запрещает загрузку операционной системы или нет.
Недостатком аппаратно-программной реализации является незащищённость устройства при нарушении организационных мер. АПМДЗ может быть удалено с шины PCI ЭВМ, после чего функции доверенной загрузки не будут выполняться.
Программная реализация доверенного загрузчика ОС не требует аппаратных устройств для своего функционирования. Инсталляция ПМДЗ заключается во внедрении программного кода в BIOS целевой ЭВМ. Это позволяет исполнять его до передачи управления из ПЗУ с прошивкой базовой системы ввода-вывода во внешние носители.
В данной работе рассматривается вопрос реализации программного доверенного загрузчика операционной системы.
Результатом выпускной квалификационной работы является программа, реализующая доверенную загрузку операционной системы. Полученный загрузчик выполнен на программном уровне и не требует для своей работы дополнительных аппаратных устройств.
Программа исполняется до передачи управления внешним носителям и, в случае использования аппаратной блокировки, точно не может быть модифицирована. В процессе выполнения работы была реализована возможность встраивания образа операционной системы в состав доверенного загрузчика и записывать её в SPI Flash-носитель, что позволяет гарантированно загрузить ОС из доверенного источника и не передавать управление во внешние носители. В таком случае ПМДЗ можно представить в виде замкнутой системы, готовой к работе без внешних носителей.
Доверенный загрузчик операционной системы может быть улучшен путём проведения реверс-инжиниринга бинарных файлов в составе BIOS для достижения максимального объёма программного кода в исходном виде. Улучшить доверенный загрузчик может ввод авторизации пользователей с разными правами, меню с рядом настроек BIOS. Результаты работы могут быть использованы для разработки аналогичного программного продукта для других аппаратных платформ.
