CN102195940A

CN102195940A - 一种基于虚拟机技术安全输入和提交数据的方法和系统

Info

Publication number: CN102195940A
Application number: CN2010101226026A
Authority: CN
Inventors: 何安洪; 张勇
Original assignee: BEIJING SOFTLUMOS TECHNOLOGY Co Ltd
Current assignee: BEIJING SOFTLUMOS TECHNOLOGY Co Ltd
Priority date: 2010-03-12
Filing date: 2010-03-12
Publication date: 2011-09-21

Abstract

本发明涉及一种基于虚拟机技术安全输入和提交数据的方法和系统。本系统通过虚拟机监视器VMM将用户输入管理程序和用户操作系统隔离在不同的硬件资源空间，使得用户可以在一个木马无法访问的环境中安全的输入和提交数据至服务器端，而无需担心数据被木马截获，即时被截获，也只是被加密的数据。也就是说，本发明为防范盗号木马提出了通用的软件解决方案。

Description

一种基于虚拟机技术安全输入和提交数据的方法和系统

技术领域

本发明一般的涉及在网络交易中安全输入和提交数据的方法。更具体的说，本发明涉及增强在计算机上输入帐号密码进行网络身份认证安全性的方法和系统。

背景技术

随着互联网应用的普及，现实生活虚拟化是目前主要特征和趋势，信息安全、个人隐私、虚拟财产的保护显得尤其重要，最为常见的保护方法就是密码，但是密码在给我们必要的安全保障的同时，也带来很多的麻烦，如果密码被盗，我们的重要信息、个人隐私可能会泄露，虚拟财产、商业机密、存款资金可能被盗。

目前网络密码被盗情况日益严重，根据统计多数原因受到了盗号木马、盗号软件，病毒、黑客等有害程序的攻击，网络上出现很多黑客和盗号木马、盗号程序可以绕过杀毒软件，还有一些盗号木马、盗号软件甚至可以主动关闭杀毒软件，多数盗号木马、盗号软件制作者传播者采用键盘记录、屏幕快照、内存扫描、拦截、钓鱼等方式，盗取他人帐号密码，非法获取他人资金、虚拟财产和个人隐私，给被盗用户造成经济损失和极大精神伤害。

据保守估计，现在我国已经有一亿多电脑网络用户，即时通信、电子邮箱、网络游戏、电子商务、网上银行、论坛密码、个人博客等应用都需要帐号密码登录，因此，防止盗号，具有极大的经济价值和社会意义。

目前而言，盗号通常的手段有以下几种：

1、键盘记录：很多盗号木马病毒实质上是利用键盘“钩子”程序监听和记录用户的击健动作，然后通过盗号软件的邮件发送模块把记录下的密码发送到盗号木马的指定邮箱。

对付击键记录盗号木马，目前有一种比较普遍的方法就是通过软键盘输入，软键盘也叫虚拟键盘，用户在输入密码时，先打开软键盘，然后用鼠标选择相应的字母输入，这样就可以避免盗号木马记录击键。

2、屏幕快照：软键盘输入使得使用击键记录技术的盗号木马失去了作用，但是新的木马病毒会通过屏幕快照将用户的登录界面连续保存为多张图片，然后通过自带的发信模块发向指定的邮件接受者，盗号木马通过对照图片中鼠标的点击位置，就很有可能破译出用户的登录账号和密码，从而突破软键盘密码保护技术。

3、内存扫描拦截：盗号木马病毒运行后，它通过Hook技术对系统中所有程序的进程检测，对相关API的调用进行了监控，盗号木马盗号软件通过查找特定句柄、窗口或关键字，可以拦截对Windows中的健盘、鼠标、复制、粘贴等事件，或者直接读取进程未加密的帐号密码，或者对其他API函数的调用事件拦截，这种木马具有很强隐蔽性，目前在Windows中没有非常有效的预防手段。

4、钓鱼：网络钓鱼攻击，恶意网站伪装成知名公司主页，利用域名相似性和IE浏览器的地址欺骗漏洞，诱骗网民输入账号和密码，并且通过恶意脚本程序种植盗号木马病毒，诱使更多用户访问该网站造成感染，网络骗子利用这些假网站，盗取登录者账号、密码，给相关部门和行业带来巨大损失，使人们对于网上交易行为的安全性产生更大的质疑，严重阻碍了电子商务行业的发展。

目前而言，防止盗号通常的手段有以下几种：

1、杀毒软件：对于已经知道的盗号木马病毒等有害盗号程序，杀毒软件采用病毒特征码过滤等技术，包括专门的木马查杀软件，在设计原理、技术思路上类似，对于新的盗号木马盗号软件恶意程序，杀毒软件成功率在20％左右，目前杀毒软件公司也在探索新的技术和方法，目前也并没有取得实质性突破；实际上，盗号木马的发布者，事先通常会用主流的杀毒软件和木马查杀软件来扫描，确认这些木马杀毒软件无法识别才会发布。

2、防火墙：采用应用程序+端口检测控制等技术，有些防火墙具有特征码过虑技术，比如对于帐号密码等设置的敏感字符，禁止发送和传递，但是一旦盗号木马盗号软件帐号密码被加密传送，或者利用80等正常端口发送，再或者直接利用IE来发送，防火墙也无能为力；

3、动态密码卡：每次交易采用不同的密码，盗号木马盗取密码成功也无法继续使用，但是动态密码卡发行费用和成本高，目前仅应用在部分银行网站；

4、电话、短信认证，这种方式成本较高，没有普遍采用；

5、USB-Key证书，硬件密宝，这种方式比较安全，针对性很强，局限于服务商自己的网站或游戏。

总而言之，目前防止盗号的现状是，采用硬件的手段成本高，并且投入并非一次性的，可能产生持续的服务费用，另外局限于针对具体的服务商使用，不具有通用性。而采用软件的手段，无论是杀毒软件、木马查杀软件、防火墙软件等均只能对已知的木马有效防范，风险很大。

因此，希望能针对盗号木马提出一种通用解决方案，解决硬件手段成本高，不具通用性的问题，同时也解决软件不能对未知木马有效方法的问题。

这种可能性需要一种新的计算机系统架构。而这个新的架构，不能是硬件+Windows+Windows软件的方式，众所周知，在Windows体系结构中，Windows是硬件的直接控制者，并且Windows开放了内核级驱动的开发接口，使得第三方可以在Windows中植入自己的驱动程序，如果这个驱动程序的任务是窃取密钥和证书，理论上我们是无法在Windows内用另外一个软件来彻底进行防范的。

新的计算机系统架构，是让安全软件有机会在Windows之外运行，但是又保持Windows的运行以及安全软件与Windows之间的通信。对于这种新架构一种典型实现是使用虚拟机技术。虚拟机技术是在一台计算机上模拟出来若干台计算机的技术，每个虚拟的计算机可以运行单独的操作系统而互不干扰，可以实现一台电脑“同时”运行几个操作系统。

虚拟机技术又分为纯软件虚拟化和硬件辅助虚拟化(VT)两大类。纯软件虚拟化依赖于用户操作系统，硬件辅助虚拟化(VT)依赖于CPU对虚拟机扩展指令集的支持。这两类虚拟化技术中，硬件辅助虚拟化(VT)的安全性较高。

硬件辅助虚拟化技术对于用户电脑的硬件环境有一定的要求，需要用户配备支持VT的CPU。此类CPU提供了一种称为root模式的执行模式，运行在此模式下的程序(Virtual Machine Monitor——虚拟机监视器，通常被称为VMM，)能监控不在此模式(非root模式)运行的代码指令和硬件设备中断。这意味着，在x86新架构下，Windows直接运行在裸机上，拥有和控制所有的硬件的状况发生了以下改变：

1.在root模式下运行的程序(VMM)可脱离Windows的控制

2.在root模式下运行的程序(VMM)可监控Windows对硬件的访问

也就是说，解决上述问题的一种可行选择，就是虚拟机架构，而且是基于硬件辅助虚拟化技术的虚拟机架构。

发明内容

本发明基于虚拟机技术提供了解决上述问题的解决方案。具体而言，本发明提出了一种基于虚拟机技术安全输入和提交数据的方法和系统，通过虚拟机监视器VMM将用户输入管理程序和用户操作系统隔离在不同的硬件资源空间，使得用户可以在一个木马无法访问的环境中安全的输入和提交数据至服务器端，而无需担心数据被木马截获，即时被截获，也只是被加密的数据。也就是说，本发明为防范盗号木马提出了通用的软件解决方案。

根据本发明的实施例，可以在网站登录用户输入密码时，由用户输入管理程序拦截键盘输入并进行加密计算(根据需要可附加信息如随机数来增强安全性)后返回给用户操作系统，此时用户操作系统中的木马只可能得到加密后的数据，加密后的密码由用户操作系统中的客户端软件通过自动填表方式完成密码框输入，用户点击登录按钮，服务器得到加密后的密码，解密出明文密码后与数据库中的密码散列值比较，如果匹配即可通过登录审核。从而解决网站帐号被盗的问题。

根据本发明的实施例，可以为网络游戏客户端、即时通讯客户端(如QQ)提供编程接口，使其可以操作用户操作系统中的客户端软件，让用户在输入管理程序中输入密码而不是在用户操作系统中输入密码，然后通过编程接口得到由输入管理程序加密的用户输入数据(根据需要可附加信息如随机数来增强安全性)，木马只能盗取到加密后的数据，此加密后的数据由网络游戏客户端解密后比对，或者不经解密直接比对，如果匹配即可通过登录审核，从而解决网络游戏帐号被盗的问题。

根据本发明的实施例，还可以修改服务商的服务器端的工作机制，在服务商的客户端发起登录请求时，告诉此客户端一个Session ID，再由客户端将此Session ID通知输入管理程序，输入管理程序获得用户输入数据后，不将结果返回给用户操作系统，而是直接提交至服务器端，同时提交的还有Session ID，此时服务器将登录动作与此Session ID关联，并通知输入管理程序登录成功。输入管理程序再将结果返回用户操作系统，此时客户端再查询一次登录状态，将得到已登录的结果。此机制的一个实施例是采用服务器端Session机制的网站登录，在输入管理程序的客户端软件中，集成获取IE浏览器Session ID的功能，并自动识别用户登录动作，自动在用户输入用户名密码时呼叫输入管理程序，让输入管理程序截获键盘输入，并且告知SessionID，由输入管理程序透明的模拟IE提交数据的动作，“欺骗”服务器端这是来自IE的登录动作，这样对于采用服务器端Session登录的网站来说无需进行修改，即可防范木马盗号。

随后参考下列附图所示的具体最佳实施例，对本发明的其他特征和优点予以更详细的说明，附图中相同的参考数字用于标识相同的部件。

附图说明

图1是本发明实施例所涉及基本单元的方框图。

图2是本发明实施例的简要工作流程图。

图3是本发明实施例中VMM所涉及基本单元的方框图。

图4是本发明实施例中用户输入管理程序所涉及基本单元的方框图。

图5是本发明实施例中网络游戏客户端程序的方框图。

具体实施方式

为了方便对本发明的原理和特征的理解，下文将参考一示范实施例的实施来予以说明。具体地来说，本发明是针对使用Windows 2000及以上操作系统作为用户操作系统，使用配置了支持Intel VT技术CPU的计算机作为设备场景来进行描述的，此外，本发明是针对网络游戏登录来说明的。

但应理解，这不是唯一可以实施本发明的实施例。相反，本发明可以应用于各种不同的操作系统，例如Linux操作系统；可以应用于不同的硬件环境，如配置了AMD支持硬件辅助虚拟化CPU的计算机；可以不是针对网络游戏，可以是任意涉及利用帐号密码登录的场景，如网站论坛登录、即时通讯软件登录、股票软件登录、网上银行登录、在线支付服务等。

图1显示根据本发明实施例的方框图。在图1中，计算机的CPU通过硬件辅助虚拟化扩展指令集，提供了root运行模式和非root运行模式；虚拟机监视器(简称VMM)是一段大小为几十KB的小程序，可以被植入到BIOS中，从而优先于Windows被加载，此时VMM利用CPU提供的特殊指令集将自己配置到CPU的root模式中，并将Windows以非root模式加载，用户输入管理程序在Windows中的客户端软件请求用户输入服务时被加载。从层次结构上说VMM在Windows之外运行，且Windows受VMM控制。这使得我们有机会让Windows无法获知用户输入的密码键值，并将加密的代码移到Windows之外，这样才能有效的防范Windows中的盗号木马。

图2所示的流程图给出了本发明实施例的简要工作流程：

1.用户打开游戏客户端

默认情况下，VMM并不会加载用户输入管理程序。因此打开游戏客户端时用户输入管理程序是未被运行的。也就是说此时，用户输入的所有数据，均被VMM传递到Windows中。因此，不会影响用户输入游戏帐号ID的动作。

2.进入密码框事件触发底层API呼叫

为了不影响用户体验，呼叫底层API的动作是后台进行的。当用户用鼠标在密码框上点击一下时，或者密码框获得输入焦点时，游戏客户端就会通过底层API呼叫VMM。

3.VMM加载用户输入管理程序

由VMM加载的用户输入管理程序，运行在Windows之外，可确保木马程序无法访问。一旦用户输入管理程序被加载，用户通过键盘输入的所有键值均被VMM传递到输入管理程序，输入管理程序获得键值，同时会通知VMM向Windows模拟一个空白键被按下的动作，因此Windows得到的是空白符，而木马程序截获的同样是空白符。

4.用户输入密码

但是用户并不会察觉这些变化，用户感受的是密码框中的原点(掩码)随着用户敲击键盘而不断增加。用户认为密码输入正确，此时用户会点击登录按钮。

5.用户输入管理程序将密码加密

当用户按下登录按钮或键盘回车健时，游戏客户端会通过底层API呼叫VMM，以告知用户输入管理程序已完成密码输入。此时，用户输入管理程序立即对自运行以来获得的所有键值进行加密，并将结果返回给VMM。

6.关闭用户输入管理程序并返回结果

为了不引起异常，VMM必须立即将加密后的数据返回给游戏客户端，并且关闭用户输入管理程序，以释放该程序对于键盘输入的控制。游戏客户端得到加密后的密码后，与帐号ID一起发送到服务器端校验。

7.网络游戏服务器解密和校验密码

在服务器端，网络游戏登录服务程序会解密出明文的密码，并与帐号ID以及帐号数据库中保留的密码或密码哈希值比对，完成登录校验动作。

图3显示根据本发明实施例中VMM的方框图，VMM是一个独立的微内核结构操作系统，它包含以下内核模块：内存管理，进程管理，VT相关功能管理，安全管理，键盘管理，硬盘管理等。

A)内存管理：

1.建立CR3影射分页结构。

2.进入分页模式。

3.提供VMM内部的内存池管理。

B)进程管理：

1.管理VMM中进程的相关操作。如建立进程等。

C)VT相关功能管理：

1.使VMM进入保护模式，

2.支持VMM的功能框架，如VMM EXIT，VMM ENTRY.

D)安全管理：

1.从VMM CALL EXIT到VMM内部的功能接口。

2.根据参数分别实现用户输入管理程序的功能接口部分。

E)键盘管理：

1.实现对USB内存IO和PS2键盘端口的监控

2.实现监控用户交易时的键盘输入的安全性。

3.支持PS2/USB设备。

F)硬盘管理：

1.实现对PCI bus和硬盘端口的监控和物理内存的监控。

2.实现在VMM内部对硬盘的读写操作，支持ATA/SATA/AHCI模式硬盘。

因为采用了微内核结构，VMM具有以下特点：

(1)占用资源少：微内核固化在BIOS的ROM中，其本身占用较少的代码空间和数据空间；

(2)强实时性：微内核采用不完全关中断方式，支持中断嵌套，即只有在微内核中部分代码执行时，才进行关开中断操作，以提高系统对中断实时响应；

(3)高稳定性：微内核功能简单化，有必要自我保护、自我检错和容错功能；

(4)移植性强：微内核代码采用标准C和汇编混合变成方式，便于今后向其他平台移植；

图4显示根据本发明实施例中用户输入管理程序的方框图，用户输入管理程序是VMM的服务模块，这些模块的具体功能实现会使用到VMM的内核模块。

A)用户数据输入

通知VMM截获键码，并开始记录VMM截获的键码，并通过VMM对Windows模拟空白键的输入，以使得在此过程中Windows不能得到用户通过键盘输入的任何数据。

B)用户数据加密

实现对用户密码的加密算法处理，并自动在待加密数据前加上一个随机生成的14位强密码。可以采用国际通用的加密算法，从算法上保证安全性。如RSA、DES等。此过程独立于Windows之外，其他的恶意程序是无法感知的。

图5显示根据本发明实施例中网络游戏客户端程序的方框图，整个客户端软件的实现过程为：首先，根据VMM设备命令，完成底层API库函数CLIB。通过对库函数进行封装生成LUKEY类，即LUKEY.CPP，LUKEY.H，进而生成呼叫VMM所需的DLL文件，网络游戏客户端程序通过此dll提供的函数与VMM通讯。

本发明实施例的提供了与硬件解决方案相近的安全性，他采用了以下安全措施来保护密码的安全：

A)VMM的安全措施

为了确保VMM代码不被黑客篡改或绕过，VMM设计得足够精简，可被植入到BIOS中。这样做可以确保VMM被优先加载。

在VMM被优先加载的前提下，VMM可以保证用户输入管理程序与Windows是完全隔离的，相互之间只能通过VMM提供的接口通讯，再无其他途径可以通讯。

B)密码输入的安全措施

在输入密码的时候，给用户的感觉仍在Windows中输入密码，但是实际上，VMM此时将键盘事件全部导向至用户输入管理程序，经过用户输入管理程序的“偷梁换柱”，不管按下任何键，Windows只会接收到空白按键事件，因此木马程序无法盗取到用户输入的密码。

C)密码传送的安全措施

为了安全的将密码送至服务器，将密码和一个随机生成的14位强密码进行组合，再进行加密，这样能保证即使用户的密码十分简单，在传送过程中加密的数据即使被截获，也无法被破解，除非能得到服务器端的密钥。

从上述内容可以看出，本发明提出了一种基于虚拟机技术安全输入和提交数据的方法和系统，通过虚拟机监视器VMM将用户输入管理程序和用户操作系统隔离在不同的硬件资源空间，使得用户可以在一个木马无法访问的环境中安全的输入和提交数据至服务器端，而无需担心数据被木马截获，即时被截获，也只是被加密的数据。也就是说，本发明为防范盗号木马提出了通用的软件解决方案。

本专业人员会理解，可以在不背离其精神或核心特征的前提下以各种特定形式实施本发明。例如，本发明是以个人计算机的基本配置为设备场景进行描述的，用户身份验证是沿用的是传统的输入帐号ID和密码的方式。但是，实施本发明还可以是利用生物特征识别方式(如指纹、掌纹、掌形、人脸、虹膜、书写、语音、颈脉、DNA、步态等)或令牌方式(如IC卡、员工证、身份证等)来获取用户输入数据。此外，本发明是以用户操作系统为Windows操作系统，但是实施本发明还可以是以Linux为用户操作系统。此外，本发明是以客户端软件为网络游戏来进行描述的，但是实施本发明还可以是网站论坛登录、网络游戏登录、即时通讯软件登录、股票软件登录、网上银行登录、在线支付服务等。

因此，本说明书中公开的实施例完全视为说明性的，而非限定性的，本发明范围由所附权利要求书限定，而非前述描述的内容，只包括属于此范围和及其等效物范围和含义之内的所有变更。

Claims

1.一种基于虚拟机技术安全输入和提交数据的方法和系统。该系统由虚拟机监视器(VMM)、用户输入管理程序、用户操作系统、用户操作系统中的客户端软件、服务端组成，实现了安全输入和提交数据；

虚拟机监视器(VMM)负责控制用户操作系统对物理硬件的访问，并使其无法访问特定硬件资源，只允许所述用户输入管理程序使用所述的特定硬件资源；

用户输入管理程序负责为用户操作系统中的客户端软件提供用户数据输入服务、用户数据加密服务等服务；

用户操作系统中的客户端软件负责与为用户输入管理程序提供上述功能的接口，并将经过加密的用户数据提交至服务端；

服务端负责直接使用上述加密的用户数据或对其进行解密后使用。

2.根据权利要求1所述的方法和系统，其特征在于，所述的用户输入管理程序可具备与服务端通信的能力，可不经过用户操作系统直接将未加密的用户数据或者经过加密的用户数据提交至服务端。

3.根据权利要求1所述的方法和系统，其特征在于，所述的虚拟机监视器(VMM)还可负责控制用户输入管理程序的运行、暂停和关闭，可以在用户操作系统中的客户端软件调用服务时才让用户输入管理程序由暂停或关闭状态切换至运行状态；在用户输入管理程序暂停或关闭时，所述特定硬件资源可部分或全部释放给用户操作系统。

4.根据权利要求1所述的方法和系统，其特征在于，所述特定硬件资源涉及CPU、物理内存、物理硬盘、和键盘、鼠标、手写板、摄像头、声音采集设备、指纹采集设备等输入设备，可以是多个硬件的一个(比如多核CPU的其中1核)，也可以是一个硬件设备的一部分空间(比如硬盘尾部的一部分空间)。

5.根据权利要求1所述的方法和系统，其特征在于，所述的用户数据输入服务，其形式是任何方式由用户输入的数据，如键盘输入、鼠标输入、指纹扫描输入、磁卡扫描输入、条形码扫描输入、掌纹扫描输入、掌形扫描输入、人脸扫描输入、虹膜扫描输入、书写扫描输入、语音输入、颈脉扫描输入、DNA扫描输入、步态扫描输入等。

6.根据权利要求1所述的方法和系统，其特征在于，所述的用户输入管理程序，可以是一段程序代码，也可以是一个独立的操作系统，所述独立的操作系统可以是只具备必要功能的微型操作系统，也可以是一个完整的或者经过裁剪的通用操作系统，如Windows，Linux，DOS等。

7.根据权利要求1所述的方法和系统，其特征在于，所述的用户数据加密服务可以是对所述的用户数据进行软件加密，也可以是调用专用加密硬件(如TCM芯片等)对所述的用户数据进行加密。

8.根据权利要求1所述的方法和系统，其特征在于，所述的用户数据在所述用户操作系统中，包括从所述用户操作系统传输到服务端的过程中，处于加密状态。

9.根据权利要求1所述的方法和系统，其特征在于，所述的用户操作系统，可以是任何通用操作系统，如Windows，Linux，DOS等，同时用户操作系统可以先于虚拟机监视器(VMM)和密钥/证书管理程序安装，也可以后于其安装。

10.根据权利要求1所述的方法和系统，其特征在于，所述的服务端可以是任意使用帐号/密码方式或单纯使用密码进行身份认证的服务，如网站论坛登录、网络游戏登录、即时通讯软件登录、股票软件登录、网上银行登录、在线支付服务等；。