一種面向服務(wù)器的安全固件設(shè)計(jì)方法【專(zhuān)利摘要】本發(fā)明提出了一種面向服務(wù)器的安全固件設(shè)計(jì)方法，通過(guò)多種措施保障服務(wù)器用的固件安全性，主要通過(guò)Https訪問(wèn)方式，保障服務(wù)器遠(yuǎn)程WEB訪問(wèn)安全；通過(guò)管理功能模塊的用戶(hù)權(quán)限來(lái)控制不同權(quán)限級(jí)別用戶(hù)的訪問(wèn)安全，并且封堵訪問(wèn)界面中惡意代碼注入點(diǎn)；通過(guò)對(duì)固件編譯及鏡像生成過(guò)程中用戶(hù)名及密碼進(jìn)行MD5加密算法來(lái)提高用戶(hù)信息安全性；通過(guò)對(duì)特定功能模塊追加授權(quán)、發(fā)放License的方式進(jìn)行安全保護(hù)；通過(guò)關(guān)閉IPMI協(xié)議中關(guān)于添加、修改及默認(rèn)用戶(hù)授權(quán)的功能來(lái)增強(qiáng)第三方IPMI訪問(wèn)安全；通過(guò)關(guān)閉系統(tǒng)中接入性服務(wù)程序來(lái)加強(qiáng)服務(wù)器固件的外部接入安全?！緦?zhuān)利說(shuō)明】一種面向服務(wù)器的安全固件設(shè)計(jì)方法【
技術(shù)領(lǐng)域：
】[0001]本發(fā)明設(shè)計(jì)一種服務(wù)器技術(shù)，具體地說(shuō)是一種面向服務(wù)器的安全固件設(shè)計(jì)方法?！?br>背景技術(shù)：
】[0002]當(dāng)今社會(huì)的各個(gè)方面服務(wù)器都發(fā)揮著重要的作用，無(wú)論是國(guó)防、科技、教育、金融保險(xiǎn)，還是銀行、醫(yī)療、煙草、政府企業(yè)，幾乎所有和我們生活休戚相關(guān)的方面都有服務(wù)器的存在。服務(wù)器的類(lèi)型有很多種，從塔式的到機(jī)架式的、從刀片式的到RACK級(jí)的、從單獨(dú)工作的到集群合作等等，雖熱它們的形態(tài)和作用有所不同，但是它們都有這非常相似且十分重要的組成部分:固件系統(tǒng)。服務(wù)器固件系統(tǒng)通常是指包括系統(tǒng)BIOS及帶基板管理控制器BMC內(nèi)固化的程序，其中BIOS主要包括系統(tǒng)基本輸入輸出的程序、系統(tǒng)設(shè)置信息、開(kāi)機(jī)后自檢程序和系統(tǒng)自啟動(dòng)程序；BMC主要負(fù)責(zé)系統(tǒng)遠(yuǎn)程操作、系統(tǒng)警告和系統(tǒng)健康監(jiān)視、系統(tǒng)故障診斷及修復(fù)等。[0003]由于BIOS固化在系統(tǒng)ROM芯片上，在正常引導(dǎo)系統(tǒng)啟動(dòng)后基本完成使命，因此系統(tǒng)BIOS的安全性相對(duì)很高，而由于BMC本身提供標(biāo)準(zhǔn)IPMI協(xié)議支持，及WEB、SSH、RS232、TFTP等多種訪問(wèn)方式，這些訪問(wèn)方式就給惡意侵入者留下了很多訪問(wèn)安全的隱患，例如，入侵者可以通過(guò)注入惡意代碼直接獲取用戶(hù)的登陸信息和系統(tǒng)配置信息，也可以通過(guò)SSH登錄獲取服務(wù)器帶外管理控制權(quán)，因此如果這些安全隱患沒(méi)有得到安全性的修補(bǔ)的話(huà)，勢(shì)必會(huì)給服務(wù)器的訪問(wèn)帶來(lái)很大的危機(jī)和風(fēng)險(xiǎn)。因此，如何既能準(zhǔn)確的識(shí)別服務(wù)器系統(tǒng)所面臨的固件系統(tǒng)安全，又能針對(duì)這些安全性隱患提供有效、可行的固件安全性提高方法就成了亟需解決的問(wèn)題。[0004]【
發(fā)明內(nèi)容】針對(duì)如何準(zhǔn)確的識(shí)別服務(wù)器固件系統(tǒng)安全，又能針對(duì)安全隱患提供增強(qiáng)固件安全性，本發(fā)明提出了一種面向服務(wù)器的安全固件設(shè)計(jì)方法。[0005]本發(fā)明所述面向服務(wù)器的安全固件設(shè)計(jì)方法，解決所述技術(shù)問(wèn)題采用的技術(shù)方案如下:所述面向服務(wù)器的安全固件設(shè)計(jì)方法的主要內(nèi)容包括:基于WEB固件安全性增強(qiáng)機(jī)制、面向IPMI及其它接入型服務(wù)的安全性修改方法、以及其他安全固件設(shè)計(jì)方法；其中，所述基于WEB固件安全性增強(qiáng)機(jī)制包括:基于Https的訪問(wèn)方式、屏蔽WEB交互界面惡意代碼注入位置、基于功能模塊的用戶(hù)權(quán)限控制機(jī)制；所述面向IPMI的安全性修改方法是基于標(biāo)準(zhǔn)IPMI協(xié)議的修改，是指關(guān)閉IPMI命令關(guān)于用戶(hù)管理的命令、刪除IPMI支持的匿名用戶(hù)訪問(wèn)機(jī)制，并簡(jiǎn)化用戶(hù)權(quán)限級(jí)；所述面向IPMI的安全性修改方法，通過(guò)關(guān)閉標(biāo)準(zhǔn)IPMI協(xié)議中關(guān)于添加、修改及默認(rèn)用戶(hù)授權(quán)的功能來(lái)增強(qiáng)第三方IPMI訪問(wèn)安全；所述其它接入性服務(wù)的安全性修改方法，基于對(duì)系統(tǒng)中SSH、Telnet及TFTP接入性服務(wù)程序的關(guān)閉和開(kāi)啟機(jī)制，是指在固件系統(tǒng)中關(guān)閉SSH、Telnet及TFTP等可接入性服務(wù)；本發(fā)明通過(guò)關(guān)閉系統(tǒng)中不用的接入性服務(wù)程序如SSH、Telnet、TFTP等來(lái)加強(qiáng)服務(wù)器固件的外部接入安全；所述其他安全固件設(shè)計(jì)方法包括:對(duì)定制化Linux系統(tǒng)下固件編譯及鏡像生成過(guò)程中用戶(hù)名、密碼和系統(tǒng)配置進(jìn)行基于MD5的加密算法；通過(guò)iptables訪問(wèn)地址對(duì)照表限制訪問(wèn)端的IP地址；對(duì)特定功能模塊KVMOVERIP、虛擬媒體接入型服務(wù)采用追加授權(quán)及發(fā)放License方式。[0006]進(jìn)一步,所述基于Https的訪問(wèn)方式,將通常的Http訪問(wèn)方式設(shè)計(jì)為安全的Https訪問(wèn)方式，所述Https安全協(xié)議是基于Http協(xié)議+SSL協(xié)議,采用Embedthis的WEBServerGoAheadv3.1.0,該版本良好支持SSLv3;本發(fā)明通過(guò)將WEB服務(wù)器Http升級(jí)為Https超文本傳輸安全協(xié)議方式，保障服務(wù)器遠(yuǎn)程WEB訪問(wèn)安全。[0007]進(jìn)一步，所述屏蔽WEB交互界面惡意代碼注入位置，是指封堵用戶(hù)訪問(wèn)界面中惡意代碼注入點(diǎn)消除界面惡意代碼注入風(fēng)險(xiǎn)，關(guān)閉接入性服務(wù)。[0008]進(jìn)一步，所述基于功能模塊的用戶(hù)權(quán)限控制機(jī)制，即功能模塊按級(jí)別權(quán)限管理，通過(guò)管理功能模塊的用戶(hù)權(quán)限來(lái)控制不同權(quán)限級(jí)別用戶(hù)的訪問(wèn)安全。[0009]進(jìn)一步，所述服務(wù)器安全固件制作流程為:步驟1:WEBHTTPS安全加固，即配置WEBServer為Https訪問(wèn)方式；步驟2:用戶(hù)界面惡意代碼注入風(fēng)險(xiǎn)消除；步驟3:功能模塊按級(jí)別權(quán)限管理；步驟4:特定功能增加授權(quán)認(rèn)證，即在WEBServer增加授權(quán)認(rèn)證入口，對(duì)用戶(hù)上傳的認(rèn)證文件的有效性進(jìn)行驗(yàn)證；步驟5:加固IPMI協(xié)議，刪除匿名用戶(hù)登錄權(quán)限、修改基于IPMIStack對(duì)用戶(hù)管理的代碼，即屏蔽用戶(hù)通過(guò)IPMItool、openlPM1、freeIPMI對(duì)用戶(hù)管理操作的權(quán)限；步驟6:SSH、TFTP,Telnet服務(wù)接入加固，關(guān)閉系統(tǒng)中接入性服務(wù)程序SSH、Telnet、TFTP來(lái)加強(qiáng)服務(wù)器固件的外部接入安全；步驟7:指定區(qū)域生成鏡像MD5加密，在Linux系統(tǒng)編譯鏡像中對(duì)固件系統(tǒng)提供的用戶(hù)管理、告警配置關(guān)鍵功能模塊指定起始及終止地址，執(zhí)行編譯通過(guò)MD5加密。[0010]本發(fā)明所述面向服務(wù)器的安全固件設(shè)計(jì)方法，針對(duì)當(dāng)今服務(wù)器領(lǐng)域固件實(shí)現(xiàn)中存在的諸多安全隱患，通過(guò)多種措施保障服務(wù)器用的固件安全性。本發(fā)明所述面向服務(wù)器的安全固件設(shè)計(jì)方法，主要通過(guò)將WEB服務(wù)器Http升級(jí)為Https超文本傳輸安全協(xié)議方式，保障服務(wù)器遠(yuǎn)程WEB訪問(wèn)安全；通過(guò)管理功能模塊的用戶(hù)權(quán)限來(lái)控制不同權(quán)限級(jí)別用戶(hù)的訪問(wèn)安全，并且封堵用戶(hù)訪問(wèn)界面中存在惡意代碼注入點(diǎn)；通過(guò)定制化Linux系統(tǒng)下固件編譯及鏡像生成過(guò)程中用戶(hù)名及密碼進(jìn)行基于MD5的加密算法來(lái)提高用戶(hù)信息安全性；通過(guò)對(duì)特定功能模塊如KVMOVERIP、虛擬媒體、SOL等功能采用追加授權(quán)、發(fā)放License的方式進(jìn)行安全保護(hù)；通過(guò)關(guān)閉標(biāo)準(zhǔn)IPMI協(xié)議中關(guān)于添加、修改及默認(rèn)用戶(hù)授權(quán)的功能來(lái)增強(qiáng)第三方IPMI訪問(wèn)安全；通過(guò)關(guān)閉系統(tǒng)中不用的接入性服務(wù)程序如SSH、Telnet、TFTP等來(lái)加強(qiáng)服務(wù)器固件的外部接入安全。[0011]本發(fā)明公開(kāi)的一種面向服務(wù)器的安全固件設(shè)計(jì)方法的有益效果是:所述面向服務(wù)器的安全固件設(shè)計(jì)方法，可以對(duì)大規(guī)模服務(wù)器部署的多種應(yīng)用場(chǎng)景有效增強(qiáng)系統(tǒng)固件的安全，通過(guò)對(duì)WEB、IPM1、及其他接入型服務(wù)等方面實(shí)施安全性加固方法，從系統(tǒng)訪問(wèn)入口、Web惡意代碼注入入口、第三方標(biāo)準(zhǔn)協(xié)議入口、及系統(tǒng)鏡像生成入口等多個(gè)方面多固件系統(tǒng)進(jìn)行安全性增強(qiáng)，不僅能準(zhǔn)確的識(shí)別服務(wù)器固件系統(tǒng)安全，又能針對(duì)安全隱患提供增強(qiáng)固件安全性。除此之外，本發(fā)明也涉及固件安全加密的算法，其中通過(guò)提高本文選用的MD5算法或改用其他更安全算法模型可更進(jìn)一步提高固件安全的有效性。[0012]本方法適合于所有支持用BMC進(jìn)行監(jiān)控管理的服務(wù)器類(lèi)型，特別適用于大數(shù)據(jù)處理中心、高性能集群計(jì)算等對(duì)服務(wù)器實(shí)際數(shù)量需求大的場(chǎng)合，通過(guò)消除各節(jié)點(diǎn)BMC固件的安全性隱患，增強(qiáng)服務(wù)器訪問(wèn)和管理的安全性，更好地到達(dá)的服務(wù)器安全自主可控的要求?！緦?zhuān)利附圖】【附圖說(shuō)明】[0013]附圖1為本發(fā)明的基于WEB固件安全性增強(qiáng)實(shí)施流程圖；附圖2為本發(fā)明的服務(wù)器安全固件制作流程圖。【具體實(shí)施方式】[0014]下面通過(guò)附圖和實(shí)施例，對(duì)本發(fā)明所述面向服務(wù)器的安全固件設(shè)計(jì)方法進(jìn)一步詳細(xì)說(shuō)明，并不構(gòu)成對(duì)本發(fā)明的限制。[0015]本發(fā)明提出一種面向服務(wù)器的安全固件設(shè)計(jì)方法，針對(duì)當(dāng)今服務(wù)器領(lǐng)域固件實(shí)現(xiàn)中存在的諸多安全隱患，通過(guò)多種措施保障服務(wù)器用的固件安全性。所述面向服務(wù)器的安全固件設(shè)計(jì)方法，在開(kāi)發(fā)設(shè)計(jì)時(shí)涉及到如下幾個(gè)方面:服務(wù)器的固件系統(tǒng)的工作內(nèi)容和及其特征、安全固件設(shè)計(jì)的幾個(gè)重要方面及其特征、固件安全性增強(qiáng)實(shí)現(xiàn)的方法和步驟。[0016]下面分別對(duì)上述幾個(gè)方面進(jìn)行詳細(xì)說(shuō)明:本發(fā)明中所述服務(wù)器固件系統(tǒng)，是指固化在服務(wù)器基板控制器BMC內(nèi)部的系統(tǒng)，該系統(tǒng)是，具備基于WEB的Http協(xié)議、標(biāo)準(zhǔn)IPMI協(xié)議、標(biāo)準(zhǔn)SNMP協(xié)議可訪問(wèn)的定制化嵌入式Linux系統(tǒng)；所述固件系統(tǒng)的工作內(nèi)容，主要包括:檢測(cè)服務(wù)器系統(tǒng)硬件資產(chǎn)、監(jiān)控服務(wù)器系統(tǒng)及各關(guān)鍵部件工作狀態(tài)、配置及服務(wù)器系統(tǒng)監(jiān)控管理信息、輔助定位系統(tǒng)故障及問(wèn)題修復(fù)。[0017]所述安全固件設(shè)計(jì)的幾個(gè)重要方面及其特征:1.WEB訪問(wèn)安全性:基于Https(超文本傳輸安全協(xié)議)的訪問(wèn)方式,所述Https超文本傳輸安全協(xié)議是基于Http協(xié)議+SSL協(xié)議,本設(shè)計(jì)采用Embedthis的WEBServerGoAheadv3.1.0，該版本良好支持SSLv3；2.功能訪問(wèn)安全性:基于功能模塊的用戶(hù)權(quán)限控制機(jī)制，通過(guò)管理功能模塊的用戶(hù)權(quán)限來(lái)控制不同權(quán)限級(jí)別用戶(hù)的訪問(wèn)安全；3.鏡像安全性:基于MD5加密算法，對(duì)固件編譯及鏡像生成過(guò)程中用戶(hù)名及密碼進(jìn)行加密；設(shè)計(jì)生成的固件系統(tǒng)鏡像是按功能進(jìn)行模塊劃分的，每個(gè)模塊都有固定的內(nèi)部地址；4.遠(yuǎn)程操作安全性:基于追加授權(quán)及發(fā)放License給KVMOVERIP、虛擬介質(zhì)、SOL等功能模塊的保護(hù)機(jī)制；所述追加授權(quán)及發(fā)放License方式，是指用戶(hù)需要啟用KVMOVERIP、虛擬介質(zhì)等功能模塊時(shí)，會(huì)首先向WEBServer發(fā)送請(qǐng)求,在得到校驗(yàn)License通過(guò)后獲得訪問(wèn)功能授權(quán)，授權(quán)License發(fā)放由固件提供者產(chǎn)生；5.1PMI訪問(wèn)安全性:基于標(biāo)準(zhǔn)IPMI協(xié)議的修改，即關(guān)閉協(xié)議中關(guān)于添加、修改用戶(hù)及默認(rèn)用戶(hù)授權(quán)的功能機(jī)制；6.網(wǎng)絡(luò)訪問(wèn)安全性:基于對(duì)系統(tǒng)中接入性服務(wù)程序的關(guān)閉和開(kāi)啟機(jī)制；所述接入性服務(wù)程序主要包括SSH、Telnet及TFTP等網(wǎng)絡(luò)服務(wù)。[0018]所述固件安全性增強(qiáng)實(shí)現(xiàn)步驟，主要涉及幾項(xiàng)固件安全性措施的實(shí)施前后關(guān)系:1.對(duì)固件系統(tǒng)功能模塊進(jìn)行權(quán)限劃分；2.配置WEB服務(wù)器為Https訪問(wèn)方式；3.制作iptables限定Https訪問(wèn)的IP地址；4.在WEB服務(wù)器端增加對(duì)特定功能模塊的License授權(quán)；5.在WEB界面端封堵惡意代碼注入風(fēng)險(xiǎn)處，關(guān)閉接入性服務(wù)；6.在WEB界面端實(shí)現(xiàn)功能模塊與用戶(hù)權(quán)限的關(guān)聯(lián)；7.設(shè)計(jì)固件鏡像生成算法對(duì)特定部分MD5算法加密；8.修補(bǔ)IPMI用戶(hù)管理漏洞。[0019]本發(fā)明改進(jìn)了傳統(tǒng)的服務(wù)器固件制作的流程，相對(duì)于傳統(tǒng)的流程增加了諸多步驟，如配置WebServer為Https訪問(wèn)方式；在WebServer端增加對(duì)特定功能模塊的License授權(quán)；在Web界面端封堵惡意代碼注入風(fēng)險(xiǎn)處，關(guān)閉接入性服務(wù)；在Web界面端實(shí)現(xiàn)功能模塊與用戶(hù)權(quán)限的關(guān)聯(lián)；設(shè)計(jì)固件鏡像生成算法對(duì)特定部分MD5算法加密；修補(bǔ)IPMI用戶(hù)管理漏洞等，從固件系統(tǒng)生成和使用等多方面增強(qiáng)了安全性。[0020]實(shí)施例:下面通過(guò)一個(gè)實(shí)施例對(duì)本發(fā)明的其他特征及優(yōu)點(diǎn)進(jìn)行說(shuō)明，且本發(fā)明的目的和優(yōu)點(diǎn)可通過(guò)附圖中指出的結(jié)構(gòu)變得顯而易見(jiàn)，易于實(shí)現(xiàn)和獲得。[0021]附圖1為本發(fā)明的基于WEB固件安全性增強(qiáng)實(shí)施流程圖，如圖1所示，主要包括WEBHTTPS安全加固，以及在HTTPS訪問(wèn)基礎(chǔ)上對(duì)WEB端用戶(hù)界面惡意代碼注入風(fēng)險(xiǎn)消除、功能模塊按級(jí)別權(quán)限管理，具體過(guò)程描述如下:步驟1:WEBHTTPS安全加固，在原有的HTTP協(xié)議基礎(chǔ)上增加SSL/TLS，即增加用于處理加密信息的模塊。WEBClient和WEBServer的信息傳輸都會(huì)通過(guò)TLS進(jìn)行加密后再傳輸，本例中通過(guò)對(duì)原有的WEBServerGoAhead進(jìn)行升級(jí)后達(dá)到3.1.0版本，良好的支持SSLV3級(jí)加解密，加密后的WEB訪問(wèn)流程如下；1.Client:發(fā)送訪問(wèn)交互界面的HTTPS請(qǐng)求；2.Server:維護(hù)一個(gè)私鑰和一個(gè)CA證書(shū)(含有公鑰)，并將包含服務(wù)器公鑰的的CA證書(shū)發(fā)送到Client；3.Client:瀏覽器檢驗(yàn)證書(shū)是否有效？如果有效則產(chǎn)生公有密鑰，如果無(wú)效則發(fā)送錯(cuò)誤信息給界面顯示；4.Client:使用服務(wù)器公鑰加密I個(gè)隨機(jī)數(shù)，并將隨機(jī)數(shù)發(fā)送到Server；5.Server:使用服務(wù)器私鑰解密獲得的隨機(jī)數(shù)；6.Server:對(duì)返回的內(nèi)容使用隨機(jī)數(shù)進(jìn)行對(duì)稱(chēng)加密，并由Client的相應(yīng)HTTPS請(qǐng)求返回加密后的內(nèi)容；7.Cilent:解密服務(wù)器返回的內(nèi)容，并發(fā)送界面顯示；步驟2:限定訪問(wèn)的IP地址:制作iptables對(duì)照表,對(duì)接入的ClientIP進(jìn)行檢測(cè),如不在列表中則拒絕訪問(wèn)WEBServer；步驟3:消除用戶(hù)界面惡意代碼注入風(fēng)險(xiǎn)，由于本例的WEB界面開(kāi)發(fā)HTML+BootStrap(基于JavaScript語(yǔ)言開(kāi)發(fā))，針對(duì)可能的風(fēng)險(xiǎn)點(diǎn):用戶(hù)管理、系統(tǒng)配置信息、故障報(bào)警等進(jìn)行JavaScript代碼安全性加固，主要包括；1.修復(fù)注入代碼獲得用戶(hù)登錄信息；2.加固代碼避免故障報(bào)警轉(zhuǎn)移發(fā)送或截??；3.加密瀏覽器端用戶(hù)登錄信息明文顯示；步驟4:功能模塊按級(jí)別權(quán)限管理，本例中WEB端實(shí)現(xiàn)功能模塊按讀寫(xiě)操作進(jìn)行初步劃分，寫(xiě)操作的優(yōu)先級(jí)大于讀操作、寫(xiě)操作再按影響范圍進(jìn)行劃分，對(duì)于會(huì)影響大的分配更高的權(quán)限。對(duì)于面向監(jiān)控管理系統(tǒng)的功能模塊權(quán)限劃分如下表所示:本例給出的只有兩級(jí)用戶(hù)權(quán)限，即Root級(jí)和User級(jí)，當(dāng)然實(shí)際不僅限如此,可以存在Admin級(jí)、Operater級(jí)等多級(jí)用戶(hù)管理級(jí)別；功能說(shuō)明Root級(jí)User級(jí)系統(tǒng)資產(chǎn)檢測(cè)..系統(tǒng)網(wǎng)絡(luò)配置.固件更新籲用戶(hù)管理.系統(tǒng)日志查看..附圖2為本發(fā)明的服務(wù)器安全固件制作流程圖，如圖2所示，鏈接關(guān)系如下:步驟1:WEBHTTPS安全加固；步驟2:用戶(hù)界面惡意代碼注入風(fēng)險(xiǎn)消除；步驟3:功能模塊按級(jí)別權(quán)限管理；步驟4:特定功能增加授權(quán)認(rèn)證，即在WEBServer增加授權(quán)認(rèn)證入口，對(duì)用戶(hù)上傳的認(rèn)證文件的有效性進(jìn)行驗(yàn)證，有效驗(yàn)證包括有效日期驗(yàn)證、授權(quán)內(nèi)容驗(yàn)證、及文件完成性驗(yàn)證；步驟5:加固IPMI協(xié)議，刪除匿名用戶(hù)登錄權(quán)限、修改基于IPMIStack對(duì)用戶(hù)管理的代碼，即屏蔽用戶(hù)通過(guò)IPMItool、openlPM1、freeIPMI等工具對(duì)用戶(hù)管理操作的權(quán)限；步驟6:SSH、TFTP、Telnet服務(wù)接入加固，在WEB端增加對(duì)SSH、TFTP、Telnet等服務(wù)的開(kāi)啟和關(guān)閉入口，此類(lèi)加固功能需要高級(jí)權(quán)限用戶(hù)支持，需在WEB端和底層兩級(jí)關(guān)聯(lián)；步驟7:指定區(qū)域生成鏡像MD5加密，對(duì)固件系統(tǒng)提供的關(guān)鍵功能模塊，如用戶(hù)管理、告警配置等部分在Linux系統(tǒng)編譯鏡像中指定起始及終止地址，執(zhí)行編譯是通過(guò)MD5加密。[0022]利用本實(shí)施例的面向服務(wù)的安全固件設(shè)計(jì)方法，可以對(duì)大規(guī)模服務(wù)器部署的多種應(yīng)用場(chǎng)景有效增強(qiáng)系統(tǒng)固件的安全，通過(guò)對(duì)WEB、IPM1、及其他接入型服務(wù)等方面實(shí)施安全性加固方法，不僅能準(zhǔn)確的識(shí)別服務(wù)器固件系統(tǒng)安全，又能針對(duì)安全隱患提供增強(qiáng)固件安全性。除此之外，本發(fā)明也涉及固件安全加密的算法，其中通過(guò)提高本文選用的MD5算法或改用其他更安全算法模型可更進(jìn)一步提高固件安全的有效性。[0023]以上所述僅為本發(fā)明的實(shí)施例而已，凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)?！緳?quán)利要求】1.一種面向服務(wù)器的安全固件設(shè)計(jì)方法，其特征在于，其內(nèi)容主要內(nèi)容包括:基于WEB固件安全性增強(qiáng)機(jī)制、面向IPMI及其它接入型服務(wù)的安全性修改方法、以及其他安全固件設(shè)計(jì)方法；其中，所述基于WEB固件安全性增強(qiáng)機(jī)制包括:基于Https的訪問(wèn)方式、屏蔽WEB交互界面惡意代碼注入位置、基于功能模塊的用戶(hù)權(quán)限控制機(jī)制；所述面向IPMI的安全性修改方法是基于標(biāo)準(zhǔn)IPMI協(xié)議的修改，是指關(guān)閉IPMI命令關(guān)于用戶(hù)管理的命令、刪除IPMI支持的匿名用戶(hù)訪問(wèn)機(jī)制，即關(guān)閉標(biāo)準(zhǔn)IPMI協(xié)議中關(guān)于添力口、修改及默認(rèn)用戶(hù)授權(quán)的功能；所述其它接入性服務(wù)的安全性修改方法，基于對(duì)系統(tǒng)中SSH、Telnet及TFTP接入性服務(wù)程序的關(guān)閉和開(kāi)啟機(jī)制，是指在固件系統(tǒng)中關(guān)閉SSH、Telnet及TFTP等可接入性服務(wù)；所述其他安全固件設(shè)計(jì)方法包括:對(duì)定制化Linux系統(tǒng)下固件編譯及鏡像生成過(guò)程中用戶(hù)名、密碼和系統(tǒng)配置進(jìn)行基于MD5的加密算法；通過(guò)iptables訪問(wèn)地址對(duì)照表限制訪問(wèn)端的IP地址；對(duì)特定功能模塊采用追加授權(quán)及發(fā)放License方式。2.根據(jù)權(quán)利要求1所述的面向服務(wù)器的安全固件設(shè)計(jì)方法，其特征在于，所述基于功能模塊的用戶(hù)權(quán)限控制機(jī)制，是指功能模塊按級(jí)別權(quán)限管理，通過(guò)管理功能模塊的用戶(hù)權(quán)限來(lái)控制不同權(quán)限級(jí)別用戶(hù)的訪問(wèn)安全。3.根據(jù)權(quán)利要求1所述的面向服務(wù)器的安全固件設(shè)計(jì)方法，其特征在于，對(duì)特定功能模塊采用追加授權(quán)及發(fā)放License方式，是指用戶(hù)在啟用KVMOVERIP、虛擬介質(zhì)特定功能模塊時(shí)，需要首先向WEBServer發(fā)送請(qǐng)求,在得到校驗(yàn)License通過(guò)后獲得訪問(wèn)功能授權(quán)，授權(quán)License發(fā)放由固件提供者產(chǎn)生。4.根據(jù)權(quán)利要求2或3所述的面向服務(wù)器的安全固件設(shè)計(jì)方法，其特征在于，所述服務(wù)器安全固件制作流程為:步驟1:WEBHTTPS安全加固，即配置WEBServer為Https訪問(wèn)方式；步驟2:用戶(hù)界面惡意代碼注入風(fēng)險(xiǎn)消除；步驟3:功能模塊按級(jí)別權(quán)限管理；步驟4:特定功能增加授權(quán)認(rèn)證，即在WEBServer增加授權(quán)認(rèn)證入口，對(duì)用戶(hù)上傳的認(rèn)證文件的有效性進(jìn)行驗(yàn)證；步驟5:加固IPMI協(xié)議，刪除匿名用戶(hù)登錄權(quán)限、修改基于IPMIStack對(duì)用戶(hù)管理的代碼，即屏蔽用戶(hù)通過(guò)IPMItool、openlPM1、freeIPMI對(duì)用戶(hù)管理操作的權(quán)限；步驟6:SSH、TFTP,Telnet服務(wù)接入加固，關(guān)閉系統(tǒng)中接入性服務(wù)程序SSH、Telnet、TFTP來(lái)加強(qiáng)服務(wù)器固件的外部接入安全；步驟7:指定區(qū)域生成鏡像進(jìn)行MD5加密，在Linux系統(tǒng)編譯鏡像中對(duì)固件系統(tǒng)提供的用戶(hù)管理、告警配置關(guān)鍵功能模塊指定起始及終止地址，執(zhí)行編譯通過(guò)MD5加密?！疚臋n編號(hào)】H04L29/08GK103944913SQ201410173181【公開(kāi)日】2014年7月23日申請(qǐng)日期:2014年4月28日優(yōu)先權(quán)日:2014年4月28日【發(fā)明者】陳剛申請(qǐng)人:浪潮電子信息產(chǎn)業(yè)股份有限公司