CN100464276C - 配置和保护用户软硬件配置信息的方法和系统 - Google Patents

Abstract

根据本发明，提出了一种配置和保护用户软硬件配置信息的方法，所述方法包括以下步骤：由VMM为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在TPM中，在当前用户输入其用户信息时，VMM从TPM中读取与当前用户的用户信息匹配的用户可用硬件信息和用户可用软件信息而形成当前用户可用硬件信息和当前用户可用软件信息，并将所述当前用户可用硬件信息和当前用户可用软件信息存储在VTPM中；VMM利用存储在VTPM中的当前用户可用硬件信息和当前用户可用软件信息构造与当前用户相对应的可用虚拟硬件和可用软件。

Description

配置和保护用户软硬件配置信息的方法和系统

技术领域

本发明涉及一种配置和保护用户软硬件配置信息的方法和系统，能够防止未授权用户非法纂改与其相对应的软硬件配置信息。

背景技术

现在的计算机通常由多人使用，而共用相关的硬件设备，同时硬盘上的文件也是为计算机的所有用户共享的，这在某些情况下是不方便使用的，如非授权用户通过USB接口的U盘可能非法复制数据、查看到他人的数据或文件。目前的做法微软的Windows通过管理员账户和其他账户来解决对计算机设备的配置问题，但无法解决用户非法复制、查看文件等问题。系统厂商通过配置USB禁用开关来解决通过USB口非法复制的问题，但是使用不方便而且无法解决不同的人的不同使用权限问题。

由此，需要提出一种配置和保护用户软硬件配置信息的方法和系统，能够防止未授权用户非法纂改与该用户相对应的软硬件配置信息。

发明内容

因此，本发明的目的是提出一种配置和保护用户软硬件配置信息的方法和系统，能够防止未授权用户非法纂改与该用户相对应的软硬件配置信息。

为了实现上述目的，根据本发明，提出了一种配置和保护用户软硬件配置信息的方法，所述方法包括以下步骤：由虚拟机监视器为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在TPM中，在当前用户输入其用户信息时，虚拟机监视器从TPM中读取与当前用户的用户信息匹配的用户可用硬件信息和用户可用软件信息而形成当前用户可用硬件信息和当前用户可用软件信息，并将所述当前用户可用硬件信息和当前用户可用软件信息存储在VTPM中；虚拟机监视器利用存储在VTPM中的当前用户可用硬件信息和当前用户可用软件信息构造与当前用户相对应的可用虚拟硬件和可用软件，其中，VTPM中所存储的当前用户可用硬件信息和当前用户可用软件信息与VTPM中所存储的当前用户完整性信息相关联，用于VTPM中与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护。

优选地，所述方法还包括步骤：当用户试图修改VTPM而使用未被允许的硬件时，虚拟机监视器比较TPM中所保存的与当前用户相对应的用户可用硬件信息和用户可用软件信息、和VTPM中所存储的所述当前用户可用硬件信息和当前用户可用软件信息的一致性，当两者不一致时，利用TPM中所保存的与当前用户相对应的用户可用硬件信息和用户可用软件信息来更新VTPM中所存储的所述当前用户可用硬件信息和当前用户可用软件信息。

优选地，所述方法还包括步骤：在两者不一致时，由虚拟机监视器拒绝用户使用未被允许的硬件。

优选地，所述用户信息用于识别用户，且包括与用户的指纹、IC卡、用户帐号或密码相对应的信息。

优选地，由虚拟机监视器为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在TPM中的步骤还包括步骤：由虚拟机监视器配置用于对用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护所需的所有用户完整性信息并存储在TPM中。

优选地，所述方法还包括步骤：当用户请求使用硬件时，虚拟机监视器利用VTPM所存储的所述当前用户可用硬件信息和当前用户可用软件信息，来校验所述硬件是否为当前用户可用的硬件，如果可用，则允许用户通过与所述硬件相对应的虚拟硬件来操作所述硬件。

根据本发明，还提出了一种配置和保护用户软硬件配置信息的系统，所述系统包括：虚拟机监视器，为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在TPM中，在接收到来自用户配置接口的用户配置信息时，虚拟机监视器从TPM中读取与当前用户的用户信息匹配的用户可用硬件信息和用户可用软件信息而形成当前用户可用硬件信息和当前用户可用软件信息，并将所述当前用户可用硬件信息和当前用户可用软件信息存储在VTPM中；以及虚拟机监视器利用存储在VTPM中的当前用户可用硬件信息和当前用户可用软件信息构造与当前用户相对应的可用虚拟硬件和可用软件；TPM，用于存储所述用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息；VTPM，用于存储所述当前用户可用硬件信息和当前用户可用软件信息，与VTPMVTPM中所存储的所述当前用户可用硬件信息和当前用户可用软件信息相对应的各硬件和虚拟硬件，其中，所述VTPM还存储了当前用户完整性信息，用于使VTPM所存储的当前用户可用硬件信息和当前用户可用软件信息受到完整性保护。

优选地，所述TPM还存储了所有用户完整性信息，用于对TPM中所存储的用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护。

优选地，所述用户信息用于识别用户，且包括与用户的指纹、IC卡、用户帐号或密码相对应的信息。

附图说明

通过参考以下结合附图对所采用的优选实施例的详细描述，本发明的上述目的、优点和特征将变得显而易见，其中：

图1是示出了根据本发明的配置和保护用户软硬件配置信息的系统的基本框架的示意图；

图2是示出了根据本发明的配置和保护用户软硬件配置信息的系统的各平台关系的具体结构方框图；

图3是示出了根据本发明的TPM与VTPM内部所存储的信息的结构示意图；

图4是示出了根据本发明来配置用户软硬件配置信息的流程图；

图5是示出了根据本发明，如何构建当前用户所使用的虚拟环境流程图；

图6是示出了根据本发明，用户如何使用上述配置过程之后所产生的用户软硬件配置信息的流程图；以及

图7是示出了根据本发明，用户如何保护VTPM中的信息不被篡改的流程图。

具体实施方式

下面将参考附图来描述本发明的优选实施例。

图1是示出了根据本发明的配置和保护用户软硬件配置信息的系统的基本框架的示意图。

如图1所示，假定存在三个用户(即，用户1、用户2和用户3)，所述系统将通过VMM(虚拟机监视器)来为这三个不同的用户构造VTPM1、VTPM2和VTPM3(VTPM为虚拟可信平台模块)。然后，通过VTPM1、VTPM2和VTPM3来管理与各用户相对应的软硬件配置信息。同时，针对三个不同的用户，虚拟机监视器可以为各用户创建不同的操作系统，即，OS1、OS2和OS3。由此，虚拟机监视器为这三个用户提供了不同的运行平台。在此平台上，配置了与各用户相对应的软硬件配置信息，用户只能使用软硬件配置信息中所使能的软硬件而被禁止使用软硬件配置信息所使能的软硬件之外的其他软硬件。此时，不同的用户仅能访问与其相对应的VTPM中所存储的软硬件配置信息且无法纂改其中的内容。

图2是示出了根据本发明的配置和保护用户软硬件配置信息的系统的各平台关系的具体结构方框图。

为了示出该系统为不同用户配置不同的软硬件配置信息的情况，在图2分别示出了针对用户1和用户2的不同的系统状况。由于该系统状况类似，下面将主要针对用户1的系统状况进行描述。需要注意的是，图2左右两个子图中相同的符号表示相同或类似的组件。

下面将描述针对用户1的系统状况。根据本发明实施例的配置和保护用户软硬件配置信息的系统主要包括：虚拟机监视器203、用户配置接口205、TPM(可信平台模块)207、VTPM 209。该系统还包括虚拟机监视器针对用户1配置的操作系统201、网卡211、USB(通用串行总线)213、软驱215、虚拟网卡217。

虚拟机监视器203为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在TPM 207中，在接收到来自用户配置接口的用户配置信息时，虚拟机监视器203从TPM207中读取与当前用户的用户信息匹配的用户可用硬件信息和用户可用软件信息而形成当前用户可用硬件信息和当前用户可用软件信息，并将所述当前用户可用硬件信息和当前用户可用软件信息存储在VTPM209中；以及虚拟机监视器203利用存储在VTPM 209中的当前用户可用硬件信息和当前用户可用软件信息构造与当前用户相对应的可用虚拟硬件和可用软件。TPM 207用于存储所述用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息。所述TPM还存储了所有用户完整性信息，用于对TPM中所存储的用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护。VTPM209用于存储所述当前用户可用硬件信息和当前用户可用软件信息。所述VTPM还存储了当前用户完整性信息，用于使VTPM所存储的当前用户可用硬件信息和当前用户可用软件信息受到完整性保护。用户配置接口205用于输入用户配置信息。另外，例如，针对用户1配置的操作系统201、网卡211、USB(通用串行总线)213、软驱215、虚拟网卡217是与VTPM中所存储的所述当前用户(用户1)可用硬件信息和当前用户可用软件信息相对应的各硬件和虚拟硬件。

需要注意的是，针对用户2的系统状况的不同之处在于虚拟机监视器为用户2配置了不同的操作系统251，且作为示例，并未如针对用户1那样为用户配置虚拟网卡217，而是配置了虚拟USB 219和虚拟软驱221。这充分反映了针对不同的用户，虚拟机监视器会配置与该用户相对应的软硬件。

图3是示出了根据本发明的TPM与VTPM内部所存储的信息的结构示意图。如图3的左侧所示，TPM内部所存储的内容包括：包括用户列表、用户对应的硬件信息和用户对应的软件信息的用户配置信息301、所有用户完整性信息303和基本硬件和软件信息305。这里，用户配置信息301反映了各用户与其能够使用的软件和硬件的配置信息之间的关联。所有用户完整性信息303用于限定可以使用本台计算机的用户。基本硬件和软件信息305为本台计算机的基本硬件和软件信息。

另外，如图3的右侧所示，VTPM 209内部所存储的内容包括：当前用户可用的软件信息311、当前用户可用的硬件信息313和当前用户完整性信息315。当前用户可用的软件信息311和当前用户可用的硬件信息313表示虚拟机监视器为当前用户配置的相应的软硬件配置信息。当前用户完整性信息315用于对当前用户可用的软件信息311和当前用户可用的硬件信息313提供关联。利用完整性信息对其他信息提供保护的具体方法是本领域内公知的，例如利用散列值来提供保护的方法。

图4是示出了根据本发明来配置用户软硬件配置信息的流程图。

如图4所示，开始，启动机器(步骤401)。然后，启动虚拟机监视器203(步骤403)。虚拟机监视器调用用户输入接口(步骤405)。然后，虚拟机监视器203为TPM 207配置用户信息(步骤407)。然后，虚拟机监视器203根据用户信息、以及基本硬件和软件信息305，为TPM207配置用户对应的硬件信息和用户对应的软件信息(步骤409和411)，并将其存储到TPM 207中(步骤413)。

图5是示出了根据本发明，如何构建当前用户所使用的虚拟环境流程图。

如图5所示，开始，启动机器(501)。然后，用户通过用户配置接口205输入当前用户信息(步骤503)。TPM 207校验软硬件信息(步骤505)。然后，TPM 207校验当前用户信息(步骤507)。在上述两次校验均合格之后，虚拟机监视器203读取TPM 207与当前用户相应的信息，包括当前用户可用的软件信息311和当前用户可用的硬件信息313(步骤509)。之后，虚拟机监视器203为当前用户构造VTPM 209(步骤511)，将当前用户可用的软件信息311和当前用户可用的硬件信息313存储到VTPM 209中，并创建当前用户完整性信息315以提供对当前用户可用的软件信息311和当前用户可用的硬件信息313的保护。之后，虚拟机监视器203为当前用户构造虚拟硬件(步骤513)。

当前用户信息对应于用户的指纹、IC卡、用户帐号/密码等。每一个用户对应于不同的用户信息。该VTPM 209是通过VT技术、在硬件层上虚拟出来的一个与TPM相对应的设备，其主要功能是对当前用户使用的虚拟软硬件设备进行完整性校验。通过上述过程，利用在VTPM 209中所存储的与用户相对应的软硬件信息，实现了对用户所使用的软硬件进行虚拟化管理的平台。由此，虚拟机监视器203可以利用VTPM 209中所存储的当前用户可用的软件信息和硬件信息来配置当前用户能够使用的软硬件，例如图2所示的针对用户1的网卡211、USB(通用串行总线)213、软驱215、虚拟网卡217；以及针对用户2的网卡211、USB213、软驱215、虚拟USB 219和虚拟软驱221。这里，TPM芯片可以在启动过程中计算平台的完整性，并保存完整性信息，例如所有用户完整性信息303，从而实现对用户配置信息301的保护，如上所述。

图6是示出了根据本发明，用户如何使用上述配置过程之后所产生的用户软硬件配置信息的流程图。

如图6所示，开始，用户要求使用硬件(步骤601)。然后，虚拟机监视器203将该硬件信息发送给VTPM 209(步骤603)。VTPM 209校验硬件当前用户是否可用(步骤605)。如果可用，VTPM 209将校验结果返回给虚拟机监视器203(步骤607)。然后，如果校验结果表明硬件为当前用户所可用的硬件，则虚拟机监视器203调用虚拟的硬件信息给用户(步骤609)。用户发送给虚拟硬件相应指令(步骤611)。虚拟机监视器203将指令转发给真实硬件(步骤613)。于是，真实硬件执行相应的操作(步骤615)。真实硬件将操作结果发送给虚拟机监视器203(步骤617)。虚拟机监视器203将操作结果发送给虚拟硬件(步骤619)。之后，虚拟硬件更新状态(步骤621)。然后，虚拟机监视器203将虚拟硬件状态发送给用户(步骤623)。

图7是示出了根据本发明，用户如何保护VTPM中的信息不被篡改的流程图。

如图7所示，开始，用户试图修改VTPM 209而使用未被允许的硬件(步骤701)。虚拟机监视器203将读取到的VTPM 209的信息，即，当前用户可用硬件信息(经过完整性校验的)发送给TPM 207(步骤703)。TPM 207校验VTPM 209中的信息(步骤705)。当确定VTPM 209中的数值与保存在TPM中的数值不匹配，即，TPM中保存的当前用户可用硬件信息的完整性散列值与读取到的VTPM的可用硬件信息的完整性散列值不匹配时(步骤707)，TPM 207将结果发送给虚拟机监视器203(步骤709)。然后，虚拟机监视器203重新恢复VTPM 209(步骤711)。之后，虚拟机监视器拒绝用户使用未被允许的硬件(步骤713)。

尽管以上已经结合本发明的优选实施例示出了本发明，但是本领域的技术人员将会理解，在不脱离本发明的精神和范围的情况下，可以对本发明进行各种修改、替换和改变。因此，本发明不应由上述实施例来限定，而应由所附权利要求及其等价物来限定。

Claims (9)

1.一种配置和保护用户软硬件配置信息的方法，所述方法包括以下步骤：

由虚拟机监视器为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在可信平台模块中，

在当前用户输入其用户信息时，虚拟机监视器从可信平台模块中读取与当前用户的用户信息匹配的用户可用硬件信息和用户可用软件信息而形成当前用户可用硬件信息和当前用户可用软件信息，并将所述当前用户可用硬件信息和当前用户可用软件信息存储在虚拟可信平台模块中；

虚拟机监视器利用存储在虚拟可信平台模块中的当前用户可用硬件信息和当前用户可用软件信息构造与当前用户相对应的可用虚拟硬件和可用软件，

其中，虚拟可信平台模块中所存储的当前用户可用硬件信息和当前用户可用软件信息与虚拟可信平台模块中所存储的当前用户完整性信息相关联，用于虚拟可信平台模块中与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护。

2.根据权利要求1所述的方法，其特征在于还包括步骤：

当用户试图修改虚拟可信平台模块而使用未被允许的硬件时，虚拟机监视器比较可信平台模块中所保存的与当前用户相对应的用户可用硬件信息和用户可用软件信息、和虚拟可信平台模块中所存储的所述当前用户可用硬件信息和当前用户可用软件信息的一致性，当两者不一致时，利用可信平台模块中所保存的与当前用户相对应的用户可用硬件信息和用户可用软件信息来更新虚拟可信平台模块中所存储的所述当前用户可用硬件信息和当前用户可用软件信息。

3.根据权利要求2所述的方法，其特征在于还包括步骤：在两者不一致时，由虚拟机监视器拒绝用户使用未被允许的硬件。

4.根据权利要求1所述的方法，其特征在于所述用户信息用于识别用户，且包括与用户的指纹、IC卡、用户帐号或密码相对应的信息。

5.根据权利要求1所述的方法，其特征在于由虚拟机监视器为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在可信平台模块中的步骤还包括步骤：由虚拟机监视器配置用于对用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护所需的所有用户完整性信息并存储在可信平台模块中。

6.根据权利要求1所述的方法，其特征在于还包括步骤：当用户请求使用硬件时，虚拟机监视器利用虚拟可信平台模块所存储的所述当前用户可用硬件信息和当前用户可用软件信息，来校验所述硬件是否为当前用户可用的硬件，如果可用，则允许用户通过与所述硬件相对应的虚拟硬件来操作所述硬件。

7.一种配置和保护用户软硬件配置信息的系统，所述系统包括：

虚拟机监视器，为各用户配置用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息并存储在可信平台模块中，在接收到来自用户配置接口的用户配置信息时，虚拟机监视器从可信平台模块中读取与当前用户的用户信息匹配的用户可用硬件信息和用户可用软件信息而形成当前用户可用硬件信息和当前用户可用软件信息，并将所述当前用户可用硬件信息和当前用户可用软件信息存储在虚拟可信平台模块中；以及虚拟机监视器利用存储在虚拟可信平台模块中的当前用户可用硬件信息和当前用户可用软件信息构造与当前用户相对应的可用虚拟硬件和可用软件；

可信平台模块，用于存储所述用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息；

虚拟可信平台模块，用于存储所述当前用户可用硬件信息和当前用户可用软件信息；以及

与虚拟可信平台模块中所存储的所述当前用户可用硬件信息和当前用户可用软件信息相对应的各硬件和虚拟硬件，

其中，所述虚拟可信平台模块还存储了当前用户完整性信息，用于使虚拟可信平台模块所存储的当前用户可用硬件信息和当前用户可用软件信息受到完整性保护。

8.根据权利要求7所述的系统，其特征在于所述可信平台模块还存储了所有用户完整性信息，用于对可信平台模块中所存储的用户信息、以及与用户信息相关联的用户可用硬件信息和用户可用软件信息进行完整性保护。

9.根据权利要求7所述的系统，其特征在于所述用户信息用于识别用户，且包括与用户的指纹、IC卡、用户帐号或密码相对应的信息。

Images