版權聲明

本文中包含受到版權保護的材料。版權所有者對于任何人對其專利公開內容（如專利和商標局專利文件或記錄所呈現）的傳真復制沒有任何異議，但保留其他一切權利。

技術領域

本公開一般涉及計算機系統中BIOS及其它固件代碼的部署。

背景技術

最初為IBM?PC可兼容計算機開發的基本輸入/輸出系統（BIOS）（也稱為系統BIOS）是限定固件接口的事實標準。BIOS是引導固件，被設計成通電時由PC運行的第一代碼。BIOS的最初功能是標識、測試和初始化諸如視頻顯卡、硬盤和軟盤及其它固件之類的系統設備。該初始化將機器預備到已知狀態，使得諸如存儲在兼容介質上的操作系統之類的軟件可被加載、執行并給予PC控制。該進程被稱為引導或自舉，它是引導過程的簡稱。

BIOS程序提供小的基本輸入/輸出功能、文本顯示功能等的庫，這些基本輸入/輸出功能可被調用以操作并控制諸如鍵盤之類的外圍設備。當系統通電時，BIOS檢查系統配置設置并將充當硬件組件和操作系統之間的翻譯器的程序加載到存儲器。例如，當用戶按下鍵盤上的鍵時，該信號被發送到鍵盤中斷處理程序，該鍵盤中斷處理程序告知處理器它是什么并將其傳遞到操作系統。

BIOS是當處理器運行在16位處理器模式且可尋址的存儲器被限制在一兆字節且BIOS代碼反映IBM?PC?AT硬件依賴性時為IBM?PC開發的。為32位處理器開發的操作系統開始包括用于處理I/O的設備驅動器，而不是依賴調用由BIOS提供的16位運行時間接口。這些設備驅動器通常由平臺固件提供，且在加載操作系統之前的BIOS初始化期間被加載到存儲器。由于大量的可與操作系統接口的外圍設備，這種平臺固件通常由系統制造者之外的實體提供。當涉及很多方時，固件映像的分發變得復雜。

隨著當今計算環境中惡意軟件的激增，驗證固件的重要性也在增加。數字簽名或數字簽名方案是用于證明數字消息或文檔的真實性的數學方案。有效的數字簽名給予接收者相信該消息是由已知發送者創建且在傳輸中未被改變的原因。數字簽名通常用于軟件分發，且期望將數字簽名用于固件映像分發。

附圖簡述

圖1是現有技術的經簽名的固件映像的框圖。

圖2A是根據本發明的一個實施例由根固件代碼所有者簽名的固件映像的框圖。

圖2B是圖2A的固件映像的框圖，示出根據本發明的一個實施例的用于根固件代碼所有者的訪問控制列表。

圖2C是根據本發明的一個實施例由根固件代碼所有者和OEM固件代碼所有者兩者簽名的固件映像的框圖。

圖2D是圖2C的固件映像的框圖，示出根據本發明的一個實施例的用于OEM固件代碼所有者的訪問控制列表。

圖2E是根據本發明的一個實施例由根固件代碼所有者、OEM固件代碼所有者以及渠道分發器固件代碼所有者簽名的固件映像的框圖。

圖2F是圖2E的固件映像的框圖，示出根據本發明的一個實施例的用于渠道分發器固件代碼所有者的訪問控制列表。

圖3是示出用于簽名并授予更新圖2A至2F的經簽名的固件映像的權力的過程的流程圖。

圖4是根據本發明的一個實施例更新圖2A至2F及圖3的經簽名的固件映像的訪問控制列表的方法的流程圖。

圖5是根據本發明的一個實施例更新圖2A至2F及圖3的經簽名的固件映像的方法的流程圖。

圖6是根據本發明的一個實施例的配置成使固件映像能夠被多個占用者（tenant）簽名的系統的框圖。

詳細描述

本發明的實施例可提供用于部署經簽名的根固件映像的方法、設備、系統和計算機程序產品，該經簽名的根固件映像包括由系統分發渠道中的不同實體簽名的代碼模塊。

在一個實施例中，方法包括獲取經簽名的固件映像，該經簽名的固件映像包括由第一代碼所有者簽名的第一代碼模塊和由第二代碼所有者簽名的第二代碼模塊。該方法還包括獲取經更新的第一代碼模塊，其包括用于該第一代碼模塊的經更新的代碼；驗證經更新的第一代碼模塊是由第一代碼所有者簽名；以及響應于驗證經更新的第一代碼模塊是由第一代碼所有者簽名而利用經更新的第一代碼模塊更新經簽名的固件映像。經簽名的固件映像還可包括訪問控制列表，該訪問控制列表授權由第一代碼所有者對第一代碼模塊的更新以及由第二代碼所有者對第二代碼模塊的更新。