Trusted boot - ladda olika operativsystem endast från förutbestämda permanenta media (till exempel endast från en inbyggd enhet) efter framgångsrikt slutförande av speciella procedurer: kontrollera integriteten hos hårdvaran och programvaran för datornoden (med hjälp av steg-för- -stegsintegritetskontrollmekanism) och hårdvaruidentifiering och användarautentisering.
Trusted boot involverar vanligtvis autentisering ; kontroll av enheten från vilken BIOS börjar starta systemet; kontroll av integriteten och tillförlitligheten för startsektorn för enheten och systemfilerna för operativsystemet som startas; dekryptering av startsektorn, systemfiler eller kryptering av all enhetsdata (valfritt). Det kan också inkludera autentisering, kryptering och lagring av hemligheter som nycklar , kontrollsummor och hash , utförda i hårdvara.
Användarautentisering kan utföras på olika sätt och i olika skeden av datorns start.
Olika faktorer kan krävas för att verifiera identiteten för datorstartaren:
Autentisering kan vara flera faktorer. Dessutom kan autentisering vara flera användare med separation av åtkomsträttigheter till datorn. Så en användare kommer bara att kunna starta operativsystemet från hårddisken, medan den andra kommer att kunna ändra CMOS-konfigurationen och välja en startenhet.
Autentisering kan ske:
Att utföra autentisering i olika skeden av stöveln har sina fördelar.
I olika stadier av uppstart av en dator kan betrodd uppstart utföras på olika sätt och kommer därför att ha olika funktionalitet.
Kör BIOS-firmware. I detta skede kan följande implementeras: kontrollera integriteten för BIOS-firmware, kontrollera integriteten och äktheten för CMOS-inställningarna, autentisering (skydd från att starta datorn som helhet eller endast från att ändra CMOS-konfigurationen eller välja en start enhet), styr valet av en startenhet. Detta startsteg måste göras helt och hållet i BIOS-firmware av moderkortstillverkaren;
Överför kontrollen till startenheten. Vid det här laget kan BIOS, istället för att fortsätta med uppstarten, överföra kontrollen till den betrodda hårdvarustartmodulen. Hårdvarumodulen kan utföra autentisering, val av startenhet, dekryptering och verifiering av integriteten och giltigheten för startsektorer och operativsystemfiler. I det här fallet kan dekryptering av operativsystemets startsektor endast utföras i detta skede. BIOS-firmwaren måste stödja överföringen av kontroll till hårdvarumodulen, eller så måste hårdvarumodulen emulera en separat startenhet gjord i form av en hårddisk, flyttbar media eller en nätverksstartenhet;
Utförande av operativsystemets startsektor. I detta skede kan integriteten, tillförlitligheten hos starthanteraren, operativsystemfiler och autentisering också utföras. Den körbara koden för startsektorn är dock begränsad i funktionalitet på grund av att den har en gräns för storleken och platsen för koden, och körs även innan operativsystemets drivrutiner startar.
Pålitliga starthårdvarumoduler har betydande fördelar jämfört med rena mjukvaruverktyg. Men att tillhandahålla pålitlig start kan inte göras enbart i hårdvara.
Den största fördelen med hårdvara är en hög grad av säkerhet för hemlig information om lösenord, nycklar och kontrollsummor för systemfiler. Under förhållandena för stabil drift av en sådan modul finns det inget sätt att extrahera sådan information. (Det är dock känt att vissa attacker på befintliga moduler bryter deras funktionalitet). Det är möjligt att klassificera krypteringsalgoritmer som utförs av hårdvara. I det här fallet är det omöjligt att starta datorn utan att öppna dess innehåll. I fallet med startsektorkryptering är det omöjligt att starta användarens operativsystem, även efter att ha tagit bort hårdvarumodulen. I fallet med fullständig datakryptering, oförmågan att hämta data efter att ha tagit bort hårdvarumodulen.