计算机的核心安全问题是内核安全,如果内核安全得不到保障,任何应用层保护措施都无法保证自身的安全性与可信性。现有的内核完整性度量方法主要分为静态方法与动态方法,静态方法会在内核文件加载时进行度量,通过度量值判断文件是否被篡改,弊端为无法发现内存攻击;动态方法可以对内存中的数据进行度量,能够抵抗内存攻击,但是方法自身多以内核扩展模块形式存在,自身安全性无法保证。因此需要设计一个能够从根本上保证内核安全的内核完整性保护系统。为解决上述问题,本文提出基于固件的内核完整性动态保护系统KIPS。该系统位于固件当中,在UEFI模式以及兼容模式下,利用哈希算法,在内核加载进入内存后,对内存中的内核进行完整性度量,从根本上保证内核安全。安全性基于固件和动态保护是该系统两大核心点,其一,系统对于内核的度量在固件阶段完成,此时内核无控制权,系统的安全性基于固件的安全性,计算机加电后固件最先被执行,在固件阶段完成内核完整性度量可以最大限度确保度量结果的可信性,有效避免系统因自身安全性基于内核而导致的度量结果不可信问题;其二,完整性度量对象为内存当中的内核,不仅可以确保加载时的内核完整性,也可以有效抵抗针对内存发动的内核攻击,实现动态保护。本文主要研究内容与成果包括以下几点:(1)根据UEFI固件的客观条件以及传统完整性度量方法的优缺点,提出基于固件的内核完整性动态保护系统KIPS;(2)通过分析固件卷与PE文件结构,完成对EFI驱动程序的提取、扩容、修改以及替换校验和的工作;(3)分析UEFI模式及兼容模式的启动流程,研究如何在启动时获取操作系统内核基址并进行完整性度量;(4)通过对哈希函数的研究,实现一种变形的SHA-256算法,旨在完成度量的同时,降低代码体量。最后实现KIPS的基本功能并进行测试,测试结果表明,KIPS可以在开机阶段对内存当中的内核进行完整性度量,并根据度量结果的不同进行不同响应,符合预期目的。