基于BIOS的数字版权保护方案

—256—基于BIOS的数字版权保护方案王景中，李小科(北方工业大学信息工程学院，北京100144)摘要：传统的数字版权保护系统不能完全保证数字内容防复制，系统易遭破解。针对该问题，提出基于基本输入输出系统(BIOS)的数字版权保护方案，利用计算机硬件和软件协同工作来实现对数字内容的保护，并介绍其安全处理过程。对系统进行整体流程测试，结果证明该方案有效。关键词：基本输入输出系统；信任根；数字证书；数字版权管理DigitalRightsProtectionSchemeBasedonBIOSWANGJing-zhong,LIXiao-ke(InstituteofInformationEngineering,NorthChinaUniversityofTechnology,Beijing100144,China)【Abstract】ThepaperproposesadigitalprotectionschemebasedonBasicInputOutputSystem(BIOS)toresolvethecopyrightsofthedigitalcontentwiththerightpermissionsandtheeasycracktothetraditiondigitalrightsprotectionsystem.TheproposedschemebasedonBIOSwhichcreatestheconnectionbetweenthecomputerhardwareandtheOS(OperatingSystem)softwareisanalyzed,andthemanagementinsecurityisilluminated.Testforthesystemisdone,andtheresultshowsthattheschemeiseffective.【Keywords】BasicInputOutputSystem(BIOS);trustroot;digitalcertificate;DigitalRightsManagement(DRM)计算机工程ComputerEngineering第36卷第24期Vol.36No.242010年12月December2010·开发研究与设计技术·文章编号：1000—3428(2010)24—0256—02文献标识码：A中图分类号：TP309.21概述媒体的数字化为信息的处理提供了极大的方便，并且提高了信息的传达速度和准确率。数字内容的发布与传播，涉及到版权保护以及合法用户的正常使用，数字版权管理应运而生。数字版权管理[1](DigitalRightsManagement,DRM)是一项涉及到技术、法律以及商业中各个层面的系统工程，它为数字媒体的商业运作提供了一套完整的实现手段。目前的数字版权保护系统的实现机制主要是在操作系统级进行数字内容的保护，现有的DRM系统基本上部署在通用的系统运行平台上，如个人计算机或移动终端，数字内容的解密使用和加密验证过程都是由操作系统层次上的DRM客户端来负责。对于DRM所运行的通用操作系统本身在存在漏洞的可能性，因此，DRM客户端的运行过程也存在不安全性。本文提出操纵系统层以下、硬件层以上的基于基本输入输出系统(BasicInputOutputSystem,BIOS)的数字版权保护方案，以BIOS为信任根[2]，利用硬件和软件协同保护的方式对数字内容加以保护。2传统DRM系统的安全性分析DRM系统是随着网络广泛应用和流媒体技术的出现，数字音乐、电子书、视频、游戏等在网络上广泛分发而产生的。随着网络的兴起，对于信息的来源越来越广泛，从而出现了对这些内容进行相应的保护，数字信息内容极易被复制、篡改、分发，使信息提供者蒙受巨大损失。DRM系统的出现为需要受保护数字内容提供了可能。它灵活管理不同平台的不同形式的数字内容(如视频文件、数字文本、图片、音乐)，可以严格控制数字内容的分发和使用，从而很好地保护数字内容提供者的合法权益。目前常见的DRM系统有IBMEMMS、InterTrustRights|System、MicrosoftWMRM等。这些DRM系统基本是在操作系统层次实现对数字内容的权益保护[3]。目前数字内容的保护策略多限于绑定客户的计算机MAC、IP、网卡ID，对于可信用户换另外一台机子使用时带来极大不便。同时，大部分数字版权保护系统限于从所用软件层次出发来实现保护，当所使用的操作系统存在漏洞或系统软件在面临攻击时，整个系统在使用过程中面临可信用户的权益受到威胁的隐患。当系统出现漏洞时，常用的方法是采取补丁的方式来弥补系统隐患，使用对数字内容的保护有待从贴近硬件的层次来考虑实现对数字内容的保护。3基于BIOS的系统设计3.1系统总体框架系统的总体框架如图1所示。主要分为3个部分：用户操作模块，中间件通信模块，BIOS处理模块。图1系统框架基金项目：北京市教委科技面上基金资助项目(KM200910009012)作者简介：王景中(1962－)，男，教授、硕士，主研方向：数字图像处理及其应用，网络与信息安全；李小科，硕士研究生收稿日期：2010-05-20E-mail：[e-mail]—257—用户操作模块是实现用户在使用DRM系统时，处理用户的各种操作；中间件通信模块是实现用户操作模块和BIOS处理模块以及读取USBKEY中的密钥的过程处理操作过程的可信中间件；BIOS处理模块是在中间件通信模块读取USKEY中的密钥后，在BIOS层进行数字内容的运算过程，在此过程中完全避免其他进程的干扰或破坏，使解密和加密过程处理处于芯片级的运算操作。3.2方案中的KEY存储DRM设计实现的主要是数字证书的管理和使用。用户在使用有保护的数字内容时，一种情况是只购买数字证书，用数字证书来获取访问的数字内容的相关权限。在数字证书中限定了对数字内容读写、拷贝、读写次数、分发的权限。数字内容可以通过网络、CD光盘、邮件发送等形式传达给用户，用户在得到数字内容后使用数字证书所限定的权限对数字内容操作。本系统实现过程是用USBKEY装载数字证书。USBKEY是一种USB接口的实现私密数据存储的硬件设备，内有集成电路IC芯片，由CPU及其操作系统(COSChipOperatingSystem)、FLASHROM、协处理器、I/O接口等组成，是集成了传统IC卡读卡器的一种集成体，其中的操作系统COS支持PKI体系的数字签名。在USBKEY中的芯片中存有密钥数据以及多种密码算法，在USBKEY使用时，加解密计算和数字签名都在USBKEY内部的芯片中进行，保证了密钥不会出现在计算机内存中，确保了数据的安全性。其中的密钥是通过专用工具来存储在USBKEY的芯片中，USBKEY不同于普通的U盘等文件系统，是不能像普通文件系统(如FAT、NTFS)打开查看证书的。当在USBKEY开始使用时，USBKEY的操作系统COS要求用户输入PIN码，只有用户输入正确的PIN码后，USBKEY才可以使用[4]。本系统实现的方式是对于需要保护的数字内容产生对应的数字证书，用户在使用数字内容时，在计算机上插入USBKEY来提供对应的数字密钥，在修改BIOS后加入的数字内容运算处理模块处理完成后，才能通知上层的DRM用户模块进行下一步操作过程，进而使用对应的DRM系统对特定的数字内容进行操作。USBKEY、DRM系统、数字内容之间的关系如图2所示。图2DRM系统中各部件的关系3.3修改BIOS的可行性分析在未使用X86系列CPU的计算机中的BIOS固件位于地址空间的最末端位置(FFFFF0000h~FFFFFFFFh)，而在使用32位X86系列的计算机，从开始加电以后的执行的第1条指令从物理地址FFFFFFF0h开始执行，在此执行过程中在地址FFFFFFF0h处的指令实际只是一条短跳转指令，跳转到距离低于此地址64KB处开始执行，跳转到跳转处开始执行的指令序列过程就是通常所说的bootblook，在此过程是完成CPU等硬件的初始化[5]，在此过程加载所有打包的模块。BIOS在设计之初，为了以后易于扩展，整个系统采用模块化的设计，BIOS一般分为9个模块，从0~8对每个模块进行编号。BIOS的模块化[2]组成使编写、插入定制模块成为可能，在BIOS中，每个模块都有自己特定的输入点。模块化的结构可以在BIOS中找得准确插入点插入数字内容保护的模块成为可能，从而实现数字内容保护的功能。4基于BIOS的DRM系统安全机制处理过程基于BIOS的DRM系统是从连接系统软件和硬件的BIOS开始入手设计，整个系统的构建涉及计算机操作系统级别以上的应用程序，又涉及到贴近计算机硬件层次BIOS[5]，其基本流程如图3所示。图3基于BIOS的DRM系统流程当开始使用数字内容时，开始运行数字版权保护系统的应用程序，对数字内容提取其中包含的数字内容编号，身份认证信息，使用中间件模块与硬件层次的BIOS开始通信，BIOS启动监听程序，开始扫描端口，在侦听等到有USB端口有外设时，开始读取USBKEY中的内容，把返回信息传输给用于应用程序和硬件层次通信的中间件模块，在与数字内容的KEY比对，比对成功，开始运行数字内容，否则根据不同的返回参数做出提示信息。5系统密钥管理本方案设计的重点是保证密钥的安全性，在基于BIOS的DRM系统方案中用于保护数字内容的证书是存储在USBKEY中。使用USBKEY有如下优点：(1)方便用户使用，摈弃传统以计算机中MAC绑定或IP绑定的限定，可以预防密钥泄露，使数字版权保护系统的安全性更好。(2)方便更换针对不同数字内容的密钥，使合法用户使用期限可以延长，并且保证数字内容的密钥处于与计算机分离的硬件中，更好地保护密钥。(3)使用USBKEY存储数字内容的认证信息在USBKEY芯片中存储，并且USBKEY所具有的操作系统COS能在USBKEY中进行一系列的加解密过程，使密钥处理过程不出现在计算机内存中，保证了密钥的私密性。(下转第260页)—260—但并非每个锚文本都是对目标页面的精确描述。如常见的“点击这里”、“下载”等类型的锚文本，仅依靠这些信息无法获得目标网页的内容，所以，需要分析锚文本的上下文，定义一个截取锚文本上下文的阈值。该值过大会引起噪声，影响搜索结果的准确性；过小又可能得不到所需的信息，从而影响查全率。定义一个截取锚文本的模块，以得到比较准确的锚文本信息。经过研究，取链接文本左右20个字作为锚文本，能较好地满足准确性和全面性的要求。同时，建立锚文本库，为每一个锚文本分配一个ID。锚文本库对所有净化网页库网页的锚文本以及对应的链接进行索引存储，从而方便用户对指定类型页面的搜索。4.3PageRank值计算计算净化后的网页库中各个网页的PageRank值，首先为每一个需要评分的网页提供一个初始的PageRank值，因为在真正进行计算之前，无法获知网页的重要性，所以一般的操作都是为每一个网页赋予相同的初始值；其次对锚文本和查询词建立向量空间模型，利用式(4)计算两者相似度。最后根据式(3)，阻尼因子d选择0.85(在进行PageRank的迭代计算时，d的数值越小，进行迭代的次数越少；d的数值越大，迭代次数越多)，n值为13825，阈值选取1.0e-5；然后选择迭代算法进行迭代。4.4实验结果分析选择6个查询词：(1)创业板上市；(2)中澳铁矿石谈判；(3)黄金期货；(4)美国反倾销；(5)华谊兄弟；(6)二次房改，对查询结果分别按照传统PageRank算法和改进后的PageRank算法排序，取每次查询结果的前100项为标准结果集。计算返回结果的查准率，结果见图1。从图中可以看出，改进后的PageRank算法提高了搜索结果的查准率，能够很好地减少主题漂移现象的发生。图1算法获得结果集的查准率5结束语传统PageRank算法仅对网页的链接结构进行了分析，忽略了链入的页面是否与查询主题相关，导致产生了主题漂移现象。本文介绍了PageRank算法及其优缺点，结合锚文本相