CN100432890C - 计算机开机身份认证系统及其认证方法 - Google Patents

Abstract

一种计算机开机身份认证系统及其认证方法，该认证系统包括依次连接的CPU、图形与存储集中控制器及周边设备集成集中控制器，显示器与动态随机存储器分别与图形与存储集中控制器连接，键盘、BIOS ROM及可信嵌入式模块TPM分别与周边设备集成集中控制器连接，所述系统还包括一密码读卡设备，其直接与所述可信嵌入式模块连接，以增强可信嵌入式模块直接负责开机强制认证的关键环节的操作。本发明通过对可信嵌入式模块的物理硬件，即TPM模块集成电路的中断控制与外部设备通讯方式进行改进，实现在满足BIOS开机自检与初始化流程未完成之际，就可以通过自己独立的系统实现开机用户身份的加密信息采集、传输与强制认证，提高系统安全性，不易被非法侵入。

Description

计算机开机身份认证系统及其认证方法

技术领域

本发明涉及一种计算机开机身份认证系统及其认证方法，尤其涉及一种可增强计算机信息安全的计算机开机身份认证系统及其认证方法。

背景技术

当今社会，电脑的应用广泛而且普及，随着科技的发展以及金融系统、个人隐私等方面的需要，尤其随着网路身份识别与支付系统的发展，电脑的安全性也越来越为人们担心，一旦电脑主机遭到非法入侵，将使所有存储在电脑主机内的资料被窃取或篡改。

现有保护电脑主机安全性的身份认证流程，通常为开机后利用作业系统(OS)做认证。然而，此种认证方法因主机均已开机，所以无法完全杜绝黑客的入侵。

请参阅图1，揭示一种现有具身份认证系统的电脑主机系统，其包括一可信嵌入式系统、一图形与存储集中控制器(GMCH，Graphics Memory ControllerHub)、一周边设备集成集中控制器(ICH，Integrate Controller Hub)及一密码读卡设备。该可信嵌入式系统与密码读卡设备分别与周边设备集成集中控制器连接，其通常由可信计算模块-TPM(Trust Platform Module)硬件集成电路与可对硬件作底层设置操作的微型操作系统(μOS)软件一起构成(其功能结构方块图和中断控制系统结构简图请分别参阅图2和图3)，此种现有具身份认证系统的电脑主机系统的连接关系需要在主机系统在固件(Firmware)BIOS对硬件平台进行初始化完成后，借助主机平台的中断管理和I/O端口以及通讯协议的初始化才能与外部设备通讯，执行密码采集传输与比较认证等。然而，此种认证设计和TPM可信计算系统的存在没有太多的关联，只是增加了一个认证环节。在TPM可信计算系统被开启并完成初始化后，才需要用户身份强制认证，这样的话有可能会被欺骗。例如非法探测设备利用主机平台完成初始化后，周边通信端口处于激活状态，这些端口很容易被接入其它外部设备而用来进行密码探测、或者利用端口的可通信特性从其它端口送来密码的“替身”数据进行欺骗等。因此不够安全，而用户全然醉心于TPM系统的安全性而“高枕无忧”，存在很大危险性。

发明内容

为了克服上述现有技术的不足，而提供一种计算机开机身份认证系统及其认证方法，从而解决目前现有具开机身份认证系统安全性不高，容易被侵入的问题。

本发明所采用的技术方案为：提供一种计算机开机身份认证系统，其包括依次连接的CPU、图形与存储集中控制器及周边设备集成集中控制器，显示器与动态随机存储器分别与图形与存储集中控制器连接，键盘、BIOS ROM及可信嵌入式模块TPM分别与周边设备集成集中控制器连接，所述系统还包括一密码读卡设备，其直接与所述可信嵌入式模块连接，以增强可信嵌入式模块直接负责开机强制认证的关键环节的操作。

所述可信嵌入式模块包括可信嵌入式硬件集成电路和可对硬件作底层设置操作的微型操作系统软件。

所述密码读卡设备为IC卡读卡器驱动设备或指纹光电采集器。

所述可信嵌入式模块包括一微型中央处理器CPU和一对外设进行安全通讯与中断控制集中处理单元ECPM，其分别与一系统接口单元SIU相连，其中所述微型中央处理器CPU包括高速缓冲存储器和内存管理单元，用于执行编译后的程序指令，所述ECPM包括解密电路模块、串行通信控制器、串行外围接口电路、LPC接口与控制器及I2C接口。

所述可信嵌入式模块的中断体系结构包括依次连接的嵌入系统CPU、SIU中断控制器和ECPM中断控制器，其中嵌入系统CPU是指令执行单元，SIU中断控制器负责管理8个外部中断源(IRQ0～7)和8个内部中断源(Level0～7)，ECPM中断控制器是对SIU中断控制器的下一级扩展，其管理ECPM的各个中断源，并向SIU申请中断处理。

所述可信嵌入式模块还包括依次连接一个加解密运算电路和一个隔离控制开关，用于实现从加电开始到用户态下身份密码采集与认证电路与主机进入OS正常运行环境时的系统状态对可信嵌入式模块的调用与加解密运算电路是隔离的。

上述计算机开机身份认证系统的认证方法，其包括以下步骤：

1)当CPU加电复位后经过多个步骤完成和周边最基本设备通过总线通讯初始化后，CPU欲借重可信嵌入式模块进行根信任检测时，可信嵌入式模块立即向计算机主机系统发出中断就请求，需要增加开机动作的合法性强制认证环节；

2)计算机主机CPU响应中断并分配启动所用中断服务接口程序；

3)可信嵌入式模块获得中断控制权后，独立掌控嵌入系统的中断与端口资源，实现对通信外设的管制；

4)认证信息由密码读卡设备加工后送达认证“机关”完成。

上述步骤1至4完成后，可信嵌入式模块给主机系统以返回值，实现中断返回。

上述步骤1所述当CPU加电复位后经过多个步骤完成和周边最基本设备通过总线通讯初始化后，即BIOS ROM已经完成与主机的握手，主机平台其它I/O与设备没有完成自检与初始化之前。

上述计算机开机身份认证系统的认证方法的具体认证流程如下：

(a)修改TPM规范中BIOS开机流程，在BIOS启动完成基本I/O探测，主机平台LPC BUS已经初始化，TPM模块受主机平台加电触发完成初始化，密码采集设备受主机开关电源送来的外接5V电源启动与通过28PIN与主板平台电气连通后，也完成初始化，整装待发；

(b)当BIOS调用CRTM(the Core Root of Trust for Measurement)的一段程序时，需要TPM配合工作时，TPM向主机CPU发出中断请求，获得中断控制权；

(c)TPM获得中断，TPM内主CPU向管理外部设备的ECPM(ExternalCommunications Processor Module内部通讯处理模块)发出读取密码指令；

(d)主CPU开始等待密码验证值，ECPM开始按流程与外设密码采集器握手后，开始密码采集；

(e)ECPM将采集到的加密信息解密，判断是否符合，并将值返回给上级主CPU；

(f)如果没有获得输入的验证密码或密码不符合，则TPM主CPU向主机CPU发出错误信息，并在主机显示器弹出提示信息界面并将在设定验证次数外挂起系统；如果检测符合，则TPM主CPU允许其配合CRTM执行检测并完成中断返回；

(g)ECPM清理密码传输电路状态，挂起外设通道(这一个工序就是请求指纹密码确认，即确认是谁让“我”做事)；

(h)清理电路三方电路连接的在线状态，确保加密指纹信息安全，同时让出高级别的中断资源。

本发明的有益效果在于：本发明计算机开机身份认证系统及其认证方法通过对可信嵌入式模块的物理硬件，即TPM模块集成电路的中断控制与外部设备通讯方式进行改进，实现在满足BIOS开机自检与初始化流程未完成之际，就可以通过自己独立的系统实现开机用户身份的加密信息采集、传输与强制认证，提高系统安全性，不易被非法侵入。

附图说明

图1是现有具开机身份认证功能的计算机主机的结构示意图；

图2是现有具开机身份认证功能的计算机的TPM可信计算模块的物理芯片功能结构方块图；

图3是现有具开机身份认证功能的计算机的TPM可信计算模块的中断控制系统结构简图；

图4是本发明计算机开机身份认证系统的结构示意图；

图5是本发明计算机开机身份认证系统的TPM模块的中断方框图；

图6是本发明计算机开机身份认证系统的TPM模块双CPU中断体系结构图；

图7是本发明计算机开机身份认证系统的TPM模块的SIU中断控制器管理的Level0-7的中断结构示意图；

图8是本发明计算机开机身份认证系统的TPM模块两个状态下加解密隔离处理电路示意图；

图9是本发明计算机开机身份认证系统的认证流程图；

图10是本发明计算机开机身份认证系统的TPM模块与密码读卡设备的针脚连接示意图。

具体实施方式

请参阅图4，本发明计算机开机身份认证系统包括依次连接的CPU、图形与存储集中控制器(以下简称北桥)及周边设备集成集中控制器(以下简称南桥)，显示器与动态随机存储器(以下简称内存)分别与北桥连接，键盘、BIOS ROM及可信嵌入式系统(以下简称TPM模块)分别与南桥连接，一密码读卡设备与TPM模块连接。其中，TPM模块包括TPM硬件集成电路和可对硬件作底层设置操作的微型操作系统(μOS)软件，本实施例的密码读卡设备可为IC卡读卡器驱动设备或者指纹光电采集器。

本发明计算机开机身份认证系统的密码读卡设备直接与IPM模块连接，可增强TPM模块直接负责开机强制认证的关键环节的操作，确保从计算机一开始动作源头就是安全的、合法的。

可以理解，为了实现本发明计算机开机身份认证系统的TPM模块可直接负责与密码读卡设备的通讯与中断、资源管理等行为能力，其与现有TPM可信模块相比有相应的功能拓展，包括：增强对外部设备中断处理能力，增加中断源；增强TPM模块的微型中央处理器对外部设备通讯标准总线，如串行通信ISO7816卡规范或GPIO、LPC(与主机系统通讯专用总线)等的中断控制与管理，必要时，可以将主机系统作为自己的附属外部设备而置于中断等待状态，腾出时间进行身份认证工作；强化以TPM模块为中心的嵌入式系统与外部设备标准总线的通讯协议等固件设计；对TPM模块内部存储的安全开机身份认证密码的初始设置与修改、安全性管理等微型操作软件平台。

可以理解，为确保密码发送验证过程的安全，因为TPM模块可与外设的通讯总线类型与通讯端口越少越好，因此本实施例修改删除了USB端口，仅保留ISO7816和GPIO。

此外，因为现有TPM内集成的处理器CPU多是嵌入式，性能和挂外部设备的负载能力有限，没有实现对主机系统的外部中断请求电路，同时标准串行通信总线和GPIO等不能与外部设备通信。因此，本发明计算机开机身份认证系统的TPM模块增加一个对外设进行安全通讯与中断控制集中处理单元，功能相当于一个CPU，称为ECPM(External Communications ProcessorModule)。可以理解，本发明计算机开机身份认证系统的TPM模块就是双CPU结构，在保证主CPU与计算机主机的实时通信与快速处理性能同时，能独立处理与外设安全通信的中断机制，得到扩展外挂负载的能力。和现有TPM集成电路的结构方块图相比较，第一个更改部分就是中断控制器电路设计部分，IRQ(Interrupt Request中断请求)，其中断方框图请一并参阅图5。

由此，当加电开机指令执行到TPM模块被计算机主机系统调用时，TPM模块能主动向开机用户提出需要进行内部密码验证动作的中断请求，这是对主机中断的扩展与嵌套。

TPM内部集成了两个处理单元：一个处理单元是当前体系结构下的嵌入主处理单元CPU，是一个RISC(Reduced Instruction set Computer精简指令精计算机)芯片，包括Cache(高速缓冲存储器)和内存管理单元，通常编译后的程序指令都是由它执行；另一个是新增的扩展外设通信处理模块ECPM，内部也集成了一个RISC微处理器，对各种通信模块进行管理。通信处理模块内部集成有解密电路模块、1个串行通信控制器SCC(Serial CommunicationController)、1个串行外围接口电路SPI(Serial Peripheral Interface)、LPC(LowPin Count)接口与控制器、1个I²C(Inter-Integrated Circuit)接口。另外，在TPM模块中还增加一个系统接口单元SIU(System Interface Unit)，主要功能是提供内外总线的接口等功能(如SIU向嵌入系统主CPU的中断)的管理等。TPM模块双CPU中断体系结构请参阅图6。

与TPM模块的两个处理单元相对应，对于ECPM产生的中断，也有两级处理过程。整个TPM SOC的中断体系结构详细连接关系如图6所示。TPM Soc整体中断体系结构包括3个模块：嵌入系统CPU、SIU中断控制器SIU IC(SIUInterrupt Controller)和ECPM中断控制器ECPM IC(ECPM InterruptController)。

嵌入式系统的CPU是指令执行单元，增加外部中断请求电路可打断正常开机流程中主机CPU系统对TPM资源调用的正常执行，使其转入处理用户身份强制认证的事件的异常处理程序中执行。

SIU中断控制器负责管理8个外部中断源(IRQ0～7)和8个内部中断源(Level0～7)，结构如图6所示。其中IRQ0一般用作不可屏蔽中断，通过NMI向CPU内核请求中断，其余15个通过IREQ请求中断。对于8个内部中断源，包括周期性的中断时钟(PIT)、实时时钟(RTC)、LPC总线控制器以及ECPM等，用户可以通过对寄存器的操作，把它们设定为Level0～7中的任何一级。这16个中断源之间的优先级SIU IC已经设定了。其中IRQ0的优先级最高，Level0其次，依此类推，Level7的优先级最低。

ECPM中断控制器是对SIU中断控制器的下一级扩展。其管理通信处理模块的各个中断源，并向SIU IC申请中断处理，其结构如图5所示。ECPM IC接收12个外部中断源和17个内部中断源的中断请求，经过屏蔽和判优处理后，把中断请求送往SIU中断控制器。通过设置ECPM IC的配置寄存器，ECPM在SIU IC中的优先级可以是Level0～7中的任何一级，并且所有的ECPM中断源都将以这个优先级向SIU申请中断。在ECPM IC内部，其也为每个中断源分配了一个中断向量号，并且分配了不同的优先级，还可以编程设定哪个中断源为最高优先级。其中Level0-7的中断结构如图7所示。

现有电脑主机的电路设计没有将身份认证的解密电路和进入OS后系统对TPM加解密电路分开设计，本发明计算机开机身份认证系统增加一个加解密运算电路和一个隔离控制开关以及提供各自运行环境下的设备驱动库。

在本发明的实施案例中，主机加电开机的用户身份认证动作与主机进入到用户态OS正常运行环境下用户登录系统的身份认证动作由不同的处理电路提供身份认证功能，前者由嵌入系统调用身份密码采集与认证电路实现，后者由可信模块(TPM模块)嵌入系统调用数据库与主机现场采集的指纹等模板进行特征值提取后经过主机系统的加解密运算电路实现。由于两个认证过程共享同一身份信息采集设备、数据库系统而对现场采集信息处理，对不同系统的数据在同一个嵌入式模块内调用不同的资源实现认证服务。因此，从安全角度将是两个隔离的系统(分别是嵌入式可信模块和主机系统)的数据通道隔离，保证了嵌入系统可信模块的安全，而且功耗也要低于传统体系结构的处理器。

因此，本发明计算机开机身份认证系统在开机时增加一个“强制开机身份认证”环节，可以用常规的读卡器实现，也可以用一套指纹采集系统完成；也可以用双因子认证，即读卡器的IC卡烧录指纹加密信息作为基准；用户现场指纹采集进行比较，符合就是通过；否则，不符合，锁定机器进程。请一并参阅图9，本发明计算机开机身份认证系统的认证流程如下：

(a)修改TPM规范中BIOS开机流程，在BIOS启动完成基本I/O探测，主机平台LPC BUS已经初始化，TPM模块受主机平台加电触发完成初始化，密码采集设备受主机开关电源送来的外接5V电源启动与通过28PIN与主板平台电气连通后，也完成初始化，整装待发；

(b)当BIOS调用CRTM(the Core Root of Trust for Measurement)的一段程序时，需要TPM配合工作时，TPM向主机CPU发出中断请求，获得中断控制权；

(c)TPM获得中断，TPM内主CPU向管理外部设备的ECPM(ExternalCommunications Processor Module内部通讯处理模块)发出读取密码指令；

(d)主CPU开始等待密码验证值，ECPM开始按流程与外设密码采集器握手后，开始密码采集；

(e)ECPM将采集到的加密信息解密，判断是否符合，并将值返回给上级主CPU；

(f)如果没有获得输入的验证密码或密码不符合，则TPM主CPU向主机CPU发出错误信息，并在主机显示器弹出提示信息界面并将在设定验证次数外挂起系统；如果检测符合，则TPM主CPU允许其配合CRTM执行检测并完成中断返回；

(g)ECPM清理密码传输电路状态，挂起外设通道(这一个工序就是请求指纹密码确认，即确认是谁让“我”做事)；

(h)清理电路三方电路连接的在线状态，确保加密指纹信息安全，同时让出高级别的中断资源。

可以理解，本发明计算机开机身份认证系统的主板集成TPM模块后，主板设计中还需要为用户保留28pin或新规范的针脚连接器(请参阅图10)；指纹密码采集系统驱动电路或IC卡读卡嵌入系统可直接与主板相连接；更改TPM集成电路内部中断管理与外部设备通讯端口资源系统设计；在电路设计上，这个开机系统状态下的密码验证功能执行通信与运算电路与以后验证通过后的用户OS环境下对TPM加解密等运算电路等实行隔离方式，完全采用独立的存储器和加解密运算电路；TPM完成开机系统用户认证后，将结果值返回给主CPU，再由SIU返回给主机系统以决定是“下一步”还是跳转等待或结束认证挂起；在主机加电完成基本I/O探测过程，至少在LPC激活时，TPM完成初始化可以通过LPC、GPIO、标准串行通信三种总线实现与外部设备通讯的修改电路设计。

Claims (9)

1.一种计算机开机身份认证系统，其包括依次连接的CPU、图形与存储集中控制器及周边设备集成集中控制器，显示器与动态随机存储器分别与图形与存储集中控制器连接，键盘、BIOS ROM及可信嵌入式模块TPM分别与周边设备集成集中控制器连接，其特征在于：所述系统还包括一密码读卡设备，其直接与所述可信嵌入式模块连接，以增强可信嵌入式模块直接负责开机强制认证的关键环节的操作，所述可信嵌入式模块包括一微型中央处理器CPU和一对外设进行安全通讯与中断控制集中处理单元ECPM，其分别与一系统接口单元SIU相连，其中所述微型中央处理器CPU包括高速缓冲存储器和内存管理单元，用于执行编译后的程序指令，所述ECPM包括解密电路模块、串行通信控制器、串行外围接口电路、LPC接口与控制器及I²C接口。

2.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块包括可信嵌入式硬件集成电路和可对硬件作底层设置操作的微型操作系统软件。

3.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述密码读卡设备为IC卡读卡器驱动设备或指纹光电采集器。

4.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块的中断体系结构包括依次连接的嵌入系统CPU、SIU中断控制器和ECPM中断控制器，其中嵌入系统CPU是指令执行单元，SIU中断控制器负责管理8个外部中断源和8个内部中断源，ECPM中断控制器是对SIU中断控制器的下一级扩展，其管理ECPM的各个中断源，并向SIU申请中断处理。

5.如权利要求4所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块还包括依次连接一个加解密运算电路和一个隔离控制开关，所述隔离控制开关用于隔离身份密码采集与认证电路和可信模块调用与加解密运算电路，所述身份密码采集与认证电路用于主机加电开机时用户输入的身份密码信息和嵌入系统所连接的身份信息采集设备与密码处理电路的认证工作，所述可信模块调用与加解密运算电路用于主机进入用户态OS正常运行环境时，可信模块调用数据库与经过主机系统的加解密运算电路运算后的结果在嵌入式系统内部进行鉴别。

6.如权利要求1所述的计算机开机身份认证系统的认证方法，其特征在于包括以下步骤：

1)当CPU加电复位后经过多个步骤完成和周边最基本设备通过总线通讯初始化后，CPU欲借重可信嵌入式模块进行根信任检测时，可信嵌入式模块立即向计算机主机系统发出中断请求，需要增加开机动作的合法性强制认证环节；

2)计算机主机CPU响应中断并分配启动所用中断服务接口程序；

3)可信嵌入式模块获得中断控制权后，独立掌控嵌入系统的中断与端口资源，实现对通信外设的管制；

4)认证信息由密码读卡设备加工后送达认证“机关”完成。

7.如权利要求6所述的计算机开机身份认证系统的认证方法，其特征在于：

上述步骤1至4完成后，可信嵌入式模块给主机系统以返回值，实现中断返回。

8.如权利要求6所述的计算机开机身份认证系统的认证方法，其特征在于：

上述步骤1所述当CPU加电复位后经过多个步骤完成和周边最基本设备通过总线通讯初始化后，即BIOS ROM已经完成与主机的握手，主机平台其它I/O与设备没有完成自检与初始化之前。

9.如权利要求6所述的计算机开机身份认证系统的认证方法，其特征在于具体认证流程如下：

(a)修改TPM规范中BIOS开机流程，在BIOS启动完成基本I/O探测，主机平台LPC BUS已经初始化，TPM模块受主机平台加电触发完成初始化，密码采集设备受主机开关电源送来的外接5V电源启动与通过28PIN与主板平台电气连通后，也完成初始化，整装待发；

(b)当BIOS调用CRTM的一段程序时，需要TPM配合工作时，TPM向主机CPU发出中断请求，获得中断控制权；

(c)TPM获得中断，TPM内主CPU向管理外部设备的ECPM发出读取密码指令；

(d)主CPU开始等待密码验证值，ECPM开始按流程与外设密码采集器握手后，开始密码采集；

(e)ECPM将采集到的加密信息解密，判断是否符合，并将值返回给上级主CPU；

(f)如果没有获得输入的验证密码或密码不符合，则TPM主CPU向主机CPU发出错误信息，并在主机显示器弹出提示信息界面并将在设定验证次数外挂起系统；如果检测符合，则TPM主CPU允许其配合CRTM执行检测并完成中断返回；

(g)ECPM清理密码传输电路状态，挂起外设通道；

(h)清理电路三方电路连接的在线状态，确保加密指纹信息安全，同时让出高级别的中断资源。

Images