CN101667232B - 基于可信计算的终端可信保障系统与方法 - Google Patents

Abstract

一种终端可信保障系统，其包括：用户身份可信保障模块，其用于设置存放用户重要文件的目录，并使用内核保护方式保证该重要文件目录不可被非授权用户改写；终端设备可信保障模块，其用于控制U盘等移动设备的写功能；平台可信保障模块，其用于防止恶意程序的运行。一种终端可信保障方法，其包括：用户身份可信保障步骤，其用于设置存放重要文件的目录，并使得该重要文件目录不可被写；终端设备可信保障步骤，其用于控制U盘等移动设备的写功能；平台可信保障步骤，其用于防止恶意程序的运行。

Description

基于可信计算的终端可信保障系统与方法

技术领域

本申请涉及一种保障终端环境安全的可信计算方法与系统，其能够实现病毒的主动防御，属计算机信息安全领域。

背景技术

2003年，Intel、惠普、微软、IBM等公司组成的可信计算组织(TrustedComputing Group)提出了“可信计算”技术。“可信的”(Trusted)意味着用户可以充分相信计算机的行为会全面地遵循设计，可信计算组织对技术信任的描述为：“如果一个实体的行为总是按照预期的方式和目标进行，那它就是可信的”。用户对终端的预期必然是“不会受到病毒、木马等恶意程序的破坏”，若终端是采用可信计算技术进行保护的，则终端对于用户就是可信的，即安全的。

随着社会信息化的发展，计算机安全问题日益严重，“如何确保自己的计算机是可信的”已成为目前人们在使用计算机时不可回避的一件事情。近年来病毒功能越来越强大，随着犯罪分子将木马、病毒和相关技术作为从事网络犯罪活动的主要工具和手段，其影响小则浏览器配置被修改、系统使用受限、网络无法使用，大到数据受损或丢失、帐号密码被盗等，甚至能控制计算机并盗窃重要信息的。

因此，终端使用时的一切行为都值得怀疑：“使用的U盘有没有毒”、“使用的软件有没有中木马”，“打开的网页是不是钓鱼页面”等等，如何保障终端使用的环境安全可信就成了最迫切需要解决的问题。

目前终端用户多采用安装杀毒软件、防火墙等方法保障使用环境的安全。US2009100522号美国专利申请公开了一种网络防火墙，其对网络服务器上的行为加以检查，判断潜在的安全威胁。JP200907703号日本专利申请公开了一种网络行为操作管理的防火墙装置，其用于根据规则对网络行为加以检测。

对上述现有技术的分析可以得知，杀毒软件是在病毒出现后才能提取其特征并建立病毒库进行防御，因此对于新出现的病毒无法实现即时防御，具有滞后性，且只能通过不断做大病毒库来记录所有出现过病毒特征来实现对病毒的防御，由此造成的后果就是防火墙越砌越高、病毒库越做越大，系统可用性越来越差。同时杀毒软件通常在系统的应用层进行作用，对染病毒文件进行搜索，通过扫描代码特征发现并清除恶意染毒文件，这样并不能从根本上杜绝其破坏，如果恶意程序在驱动层提前关闭了杀毒软件，则杀毒软件就完全无法发挥作用。因此，对于用户来说杀毒软件是无法达到让终端环境安全可信的预期的。

为了实现终端环境安全可信，国际商用机器公司提出的WO2006/045644号国际专利申请公开了一种可信设备绑定验证的方法和系统。英特尔公司提出的WO2006/011943号国际专利申请采用可信平台安全的虚拟化的方法，实现终端环境安全可信。上海交通大学在20051003076.1号中国专利申请中，采用可信计算的信任管理体系结构。但是，上述WO2006/045644号国际专利申请和WO2006/011943号国际专利申请仅给出了可信设备以及可信平台的构建方法，并未能形成可信系统，而20051003076.1号中国专利申请则无法保证系统中任何进程均为用户预期中的进程，更无法保证用户行为按照预期的方式执行。

发明内容

为了解决上述问题，提供一种符合用户预期、使得终端环境安全可信的方法，能够有效保护计算机免受未知程序中的病毒、木马等恶意程序破坏，使得系统中任何进程均为用户预期中的进程，并且行为均按照预期的方式执行，信息传递均为用户对可信安全环境的预期，本申请得以提出。

本申请公开一种终端可信保障系统，其包括：用户身份可信保障模块，其用于设置存放重要文件的目录，并使用内核保护方式保证该重要文件目录不可被写；终端设备可信保障模块，其用于控制U盘等移动设备的写功能；平台可信保障模块，其用于防止恶意程序的运行。

上述系统使得移动设备不可写，阻止了诸如摆渡木马等程序对系统重要文件信息的盗窃行为，同时也避免了病毒对移动设备的感染，并且防止了恶意程序的运行，保障了系统的安全。

上述恶意程序包括利用程序执行进行破坏的恶意可执行程序、利用程序执行进行破坏的恶意脚本以及利用浏览器下载进行破坏的恶意可执行程序。

用于防止利用程序执行进行破坏的恶意可执行程序运行的平台可信保障模块进一步包括：获取单元，用于截获可执行代码的执行请求；计算单元，用于计算文件名的HASH值；查找单元，用于根据文件名的HASH值查找白名单；监测单元，用于判断文件名是否在白名单中，并计算整个文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等；标记单元，当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行。

用于防止利用程序执行进行破坏的恶意脚本运行的平台可信保障模块进一步包括：获取单元，用于截获当前进程；监测单元，在进程为脚本解释器的情况下，判断脚本文件名是否在白名单中，计算整个脚本文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等；标记单元，当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行。

用于防止利用浏览器下载进行破坏的恶意可执行程序运行的平台可信保障模块进一步包括：获取单元，用于获取当前进程名；监测单元，用于监测进程是否为系统控制的网络浏览器进程，以及是否为网络基本目录或者用户附加目录；标记单元，在进程不是系统控制的网络浏览器进程、或者是网络基本目录、或者是浏览器低级控制的用户附加目录的情况下，允许访问，否则拒绝访问。

本申请还公开一种终端可信保障方法，其包括：用户身份可信保障步骤，其用于设置存放重要文件的目录，并使用内核保护方式保证该重要文件目录不可被写；终端设备可信保障步骤，其用于控制U盘等移动设备的写功能；平台可信保障步骤，其用于防止恶意程序的运行。

上述恶意程序同样包括利用程序执行进行破坏的恶意可执行程序、利用程序执行进行破坏的恶意脚本以及利用浏览器下载进行破坏的恶意可执行程序。

用于防止利用程序执行进行破坏的恶意可执行程序运行的平台可信保障步骤包括：获取子步骤，用于截获可执行代码的执行请求；计算子步骤，用于计算文件名的HASH值；查找子步骤，用于根据文件名的HASH值查找白名单；监测子步骤，用于判断文件名是否在白名单中，并计算整个文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等；标记子步骤，当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行。

用于防止利用程序执行进行破坏的恶意脚本运行的平台可信保障步骤进一步包括：获取子步骤，用于截获当前进程；监测子步骤，在进程为脚本解释器的情况下，判断脚本文件名是否在白名单中，计算整个脚本文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等；标记子步骤，当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行。

用于防止利用浏览器下载进行破坏的恶意可执行程序运行的平台可信保障步骤进一步包括：获取子步骤，用于获取当前进程名；监测子步骤，用于监测进程是否为系统控制的网络浏览器进程，以及是否为网络基本目录或者用户附加目录；标记子步骤，在进程不是系统控制的网络浏览器进程、或者是网络基本目录、或者是浏览器低级控制的用户附加目录的情况下，允许访问，否则拒绝访问。

本申请的技术效果在于，构建以终端为中心、构建一种包含终端身份、设备与平台三方可信的终端可信保障环境。发生在该环境内的一切行为均是可控的，并且只有用户预期的操作才能执行、只有用户预期的程序才可以运行、只有用户认可的移动设备才能使用，保证了系统数据的机密性与完整性，实现了系统终端的可信，进而确保系统安全。对于非可信的行为能即时上报给用户进行判断处理，做到终端的一切行为均在用户掌控中，从而彻底杜绝恶意程序的运行及传播。

附图说明

从对说明本申请的主旨及其使用的优选实施例和附图的以下描述来看，本申请的以上和其它目的、特点和优点将是显而易见的，在附图中：

图1是本申请背景技术的结构图；

图2是本申请的原理图；

图3是根据本申请一个实施例的模块结构图；

图4是根据本申请一个实施例的平台可信保障模块的模块结构图；

图5是根据本申请一个实施例的平台可信保障模块的模块结构图；

图6是根据本申请一个实施例的平台可信保障模块的模块结构图；

图7是根据本申请一个实施例的流程图；

图8是根据本申请一个实施例的平台可信保障步骤的流程图；

图9是根据本申请一个实施例的平台可信保障步骤的流程图；

图10是根据本申请一个实施例的平台可信保障步骤的流程图。

具体实施方式

图1是本申请背景技术的结构图，其包括可信身份认证、可信权限控制、数据可信传输共同构成的多级可信活动层。可以得知，该中国专利申请仅是将身份认证、权限控制和数据传输增加安全管理，但是无法保证系统中任何进程均为用户预期中的进程，更无法保证用户行为按照预期的方式执行。

图2是本申请的原理图，本申请致力于获得与网络运营服务、移动设备和其他用户交互的终端可信环境。在该终端可信环境中，通过可信程序获得文件的白名单。

图3是本申请的模块结构图。本申请所公开的终端可信保障系统包括：用户身份可信保障模块301、终端设备可信保障模块302和平台可信保障模块303。其中，用户身份可信保障模块301用于设置存放重要文件的目录，并使用内核保护方式保证该重要文件目录不可被写；终端设备可信保障模块302用于控制U盘等移动设备的写功能；平台可信保障模块303用于防止恶意程序的运行。用户身份可信保障模块301的内核保护方式采用下述方式，个人用户可以自行选择需要保护的目录设定为受控对象，对于一个受保护的目录，目录中的文件受到严格的控制。这种保护方式是一种不基于系统用户身份的访问控制技术，对于所有受保护的对象，防护系统在操作系统内核对其加以保护，在恶意代码获得系统权限的情况下，系统也禁止其对于受保护对象(比如文件)的任何特定操作，比如修改内容、删除、重命名等。上述恶意程序包括利用程序执行进行破坏的恶意可执行程序、利用程序执行进行破坏的恶意脚本以及利用浏览器下载进行破坏的恶意可执行程序。

针对利用程序执行进行破坏的恶意可执行程序，图4是根据本申请一个实施例的平台可信保障模块的模块结构图。图4所公开的平台可信保障模块用于防止利用程序执行进行破坏的恶意可执行程序的运行。该平台可信保障模块包括获取单元401、计算单元402、查找单元403、监测单元404、标记单元405。获取单元401用于截获可执行代码的执行请求。计算单元402用于计算文件名的HASH值。查找单元403用于根据文件名的HASH值查找白名单。监测单元404用于判断文件名是否在白名单中，并计算整个文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。标记单元405采用如下操作模式：当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行。

针对利用程序执行进行破坏的恶意脚本，图5是根据本申请一个实施例的平台可信保障模块的模块结构图。图5所公开的平台可信保障模块用于防止利用程序执行进行破坏的恶意脚本的运行。该平台可信保障模块包括获取单元501、监测单元502和标记单元503。获取单元501用于截获当前进程。监测单元502采用如下操作模式：在进程为脚本解释器的情况下，判断脚本文件名是否在白名单中，计算整个脚本文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。标记单元503采用如下操作模式：当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行。

针对利用浏览器下载进行破坏的恶意可执行程序，图6是根据本申请一个实施例的平台可信保障模块的模块结构图。图6所公开的平台可信保障模块用于防止利用浏览器下载进行破坏的恶意可执行程序的运行。该可信保障模块包括获取单元601、监测单元602和标记单元603。获取单元601用于获取当前进程名。监测单元602用于监测进程是否为系统控制的网络浏览器进程，以及是否为网络基本目录或者用户附加目录。标记单元603采用如下操作模式：在进程不是系统控制的网络浏览器进程、或者是网络基本目录、或者是浏览器低级控制的用户附加目录的情况下，允许访问，否则拒绝访问。

图7是根据本申请一个实施例的流程图。图7所公开的终端可信保障方法包括用户身份可信保障步骤701、终端设备可信保障步骤702和平台可信保障步骤703。其中，用户身份可信保障步骤701用于设置存放重要文件的目录，并使用内核保护方式保证该重要文件目录不可被写；终端设备可信保障步骤702用于控制U盘等移动设备的写功能；平台可信保障步骤703用于防止恶意程序的运行。上述用户身份可信保障步骤701的内核保护方式采用下述方式实现，即个人用户可以自行选择需要保护的目录设定为受控对象，对于一个受保护的目录，目录中的文件受到严格的控制。这种保护方式是一种不基于系统用户身份的访问控制技术，对于所有受保护的对象，防护系统在操作系统内核对其加以保护，在恶意代码获得系统权限的情况下，系统也禁止其对于受保护对象(比如文件)的任何特定操作，比如修改内容、删除、重命名等。上述恶意程序同样包括利用程序执行进行破坏的恶意可执行程序、利用程序执行进行破坏的恶意脚本以及利用浏览器下载进行破坏的恶意可执行程序。

针对利用程序执行进行破坏的恶意可执行程序，图8是根据本申请一个实施例的平台可信保障步骤的流程图。图8是用于防止利用程序执行进行破坏的恶意可执行程序运行的平台可信保障步骤，其包括获取子步骤801、计算子步骤802、查找子步骤803、监测子步骤804和标记子步骤805。获取子步骤801截获可执行代码的执行请求。计算子步骤802计算文件名的HASH值。查找子步骤803根据文件名的HASH值查找白名单；监测子步骤804判断文件名是否在白名单中，并计算整个文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。在标记子步骤805中，如果监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等，那么上报为可疑进程807并拒绝运行，否则标记为验证成功并允许运行806。

针对利用程序执行进行破坏的恶意脚本，图9是根据本申请一个实施例的平台可信保障步骤的流程图。图9是用于防止利用程序执行进行破坏的恶意脚本运行的平台可信保障步骤，其包括获取子步骤901、监测子步骤902、监测子步骤903。获取子步骤901截获当前进程。监测子步骤902在进程为脚本解释器的情况下，判断脚本文件名是否在白名单中，计算整个脚本文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。在标记子步骤903中，在监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的情况下，上报为可疑进程906并拒绝运行，否则标记为验证成功并允许运行905。

针对用浏览器下载进行破坏的恶意可执行程序，图10是根据本申请一个实施例的平台可信保障步骤的流程图。图10是用于防止利用浏览器下载进行破坏的恶意可执行程序运行的平台可信保障步骤，其包括获取子步骤1001，监测子步骤1002、1003、1004和标记子步骤。获取子步骤1001获取当前进程名；监测子步骤1002、1003、1004分别监测进程是否为系统控制的网络浏览器进程(1002)，以及是否为网络基本目录(1003)或者用户附加目录(1004)；标记子步骤，在进程不是系统控制的网络浏览器进程、或者是网络基本目录、或者是浏览器低级控制的用户附加目录的情况下，允许访问(1007)，否则拒绝访问(1006)。

尽管图2-10以及上面的描述公开了本申请的优选实施例，可以设想，本领域的技术人员可在所附权利要求的精神和范围内设计对本申请的各种修改。

Claims (8)

1.一种终端可信保障系统，其包括：

用户身份可信保障模块，其用于设置存放用户重要文件的目录，并使用内核保护方式保证该重要文件目录不可被非授权用户改写；

终端设备可信保障模块，其用于控制移动设备的写功能；

平台可信保障模块，其用于防止恶意程序的运行；

其中恶意程序包括利用程序执行进行破坏的恶意可执行程序、利用程序执行进行破坏的恶意脚本以及利用浏览器下载进行破坏的恶意可执行程序；

其中平台可信保障模块用于防止利用程序执行进行破坏的恶意可执行程序的运行，其进一步包括：

获取单元，用于截获可执行代码的执行请求；

计算单元，用于计算文件名的HASH值；

查找单元，用于根据文件名的HASH值查找白名单；

监测单元，用于根据文件名和文件的HASH值进行监测；

标记单元，当监测结果为否时，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行；

其中平台可信保障模块用于防止利用程序执行进行破坏的恶意脚本的运行，其进一步包括：

获取单元，用于截获当前进程；

监测单元，在进程为脚本解释器的情况下，根据脚本文件名和整个脚本文件的HASH值进行监测；

标记单元，当监测结果为否时，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行；

其中平台可信保障模块用于防止浏览器下载进行破坏的恶意可执行程序的运行，其进一步包括：

获取单元，用于获取当前进程名；

监测单元，用于监测进程和目录的情况；

标记单元，在进程不是系统控制的网络浏览器进程、或者是网络基本目录、或者是浏览器低级控制的用户附加目录的情况下，允许访问，否则拒绝访问。

2.如权利要求1所述的终端可信保障系统，其中监测单元判断文件名是否在白名单中，并计算整个文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。

3.如权利要求1所述的终端可信保障系统，其中监测单元判断脚本文件名是否在白名单中，计算整个脚本文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。

4.如权利要求1所述的终端可信保障系统，其中监测单元监测进程是否为系统控制的网络浏览器进程，以及是否为网络基本目录或者用户附加目录。

5.一种终端可信保障方法，其包括：

用户身份可信保障步骤，其用于设置存放重要文件的目录，并使用内核保护方式保证该重要文件目录不可被写；

终端设备可信保障步骤，其用于控制移动设备的写功能；

平台可信保障步骤，其用于防止恶意程序的运行；

其中恶意程序包括利用程序执行进行破坏的恶意可执行程序、利用程序执行进行破坏的恶意脚本以及利用浏览器下载进行破坏的恶意可执行程序；

其中平台可信保障步骤用于防止利用程序执行进行破坏的恶意可执行程序的运行，其进一步包括：

获取子步骤，用于截获可执行代码的执行请求；

计算子步骤，用于计算文件名的HASH值；查找子步骤，用于根据文件名的HASH值查找白名单；

监测子步骤，用于根据文件名和文件的HASH值进行监测；

标记子步骤，当监测结果为否时，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行；

其中平台可信保障步骤用于防止利用程序执行进行破坏的恶意脚本的运行，其进一步包括：

获取子步骤，用于截获当前进程；

监测子步骤，用于在进程为脚本解释器的情况下，监测进程和目录的情况；

标记子步骤，当监测子步骤判断文件名不在白名单中，或者整个文件的HASH值与白名单中存储的HASH值不相等的时候，上报为可疑进程并拒绝运行，否则标记为验证成功并允许运行；

其中平台可信保障步骤用于防止利用浏览器下载进行破坏的恶意可执行程序的运行，其进一步包括：

获取子步骤，用于获取当前进程名；

监测子步骤，用于监测进程和目录的情况；

标记子步骤，在进程不是系统控制的网络浏览器进程、或者是网络基本目录、或者是浏览器低级控制的用户附加目录的情况下，允许访问，否则拒绝访问。

6.如权利要求5所述的终端可信保障方法，其中监测子步骤用于判断文件名是否在白名单中，并计算整个文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。

7.如权利要求5所述的终端可信保障方法，其中监测子步骤用于判断脚本文件名是否在白名单中，计算整个脚本文件的HASH值从而判断HASH值是否与白名单中存储的HASH值相等。

8.如权利要求5所述的终端可信保障方法，其中监测子步骤监测进程是否为系统控制的网络浏览器进程，以及是否为网络基本目录或者用户附加目录。