CN102650944A - 一种操作系统安全引导装置及引导方法 - Google Patents

Abstract

本发明的操作系统安全引导装置包括基本输入输出系统、中央处理器、硬盘，中央处理器分别与基本输入输出系统和硬盘相连，硬盘内存储有引导程序，实现对操作系统的引导。特别地，引导装置还包括可信计算密码模块，可信计算密码模块与中央处理器相连。中央处理器控制可信计算密码模块验证操作者的合法性、检测引导程序的完整性，并备份引导程序，实现引导程序的可恢复性。本发明还提供一种利用上述装置的安全引导方法。在操作系统启动前，对操作人员的身份进行合法性认证，保证操作者为合法授权的；对硬盘引导程序进行完整性检测，保证引导程序不被恶意篡改；引导程序的备份及恢复机制，可在引导程序被篡改过的情况下，继续完成操作系统的正确引导。

Description

一种操作系统安全引导装置及引导方法

技术领域

本发明涉及一种操作系统安全引导装置及引导方法。

背景技术

计算机操作系统的引导由BIOS(Basi c Input Output System)和存储于硬盘MBR(Master Boot Record)中的引导程序(Boot Loader)共同完成。BIOS 在完成硬件检测和资源分配后，将硬盘MBR中的OS Boot Loader读到系统的RAM中，然后将控制权交给Boot Loader。Boot Loader的主要运行任务就是将内核映象从硬盘上读到RAM中，然后跳转到内核的入口点去运行，即开始启动操作系统。基于此种架构，计算机操作系统的正确、安全启动完全依赖于与OS Boot Loader的正确性，如果OS Boot Loader被恶意破坏或者修改，则恶意程序就可能会在操作系统启动前启动，对操作系统形成不可预知的安全威胁。

发明内容

本发明所要解决的技术问题是提供一种能验证用户合法性、检测引导程序完整性，并实现引导程序的备份及可恢复性的操作系统安全引导装置及引导方法。

作为本发明技术方案的一方面，提供一种操作系统安全引导装置，包括基本输入输出系统、中央处理器、硬盘，所述中央处理器分别与所述基本输入输出系统和所述硬盘相连，所述硬盘内存储有引导程序，实现对所述硬盘的分区引导；特别地，所述操作系统安全引导装置还包括可信计算密码模块，所述可信计算密码模块与所述中央处理器相连；

所述中央处理器控制所述可信计算密码模块验证操作者的合法性、检测所述引导程序的完整性，并备份所述引导程序，实现所述引导程序的可恢复性。

作为本发明技术方案的另一方面，提供一种操作系统安全引导方法，上述操作系统安全引导装置按照以下步骤进行操作系统的安全引导，

第一步，基本输入输出系统接收外部输入的用户口令，中央处理器控制可信计算密码模块进行用户合法性检测：若所述用户口令经检测合格，则执行第二步；若所述用户口令经检测不合格，则继续接收并检测外部输入用户口令；

第二步，所述中央处理器读取所述硬盘内存储的引导程序，并发送至所述可信计算密码模块，由所述可信计算密码模块进行程序完整性检测：若程序完整性经检测合格，则执行第四步；若程序完整性经检测不合格，则执行第三步；

第三步，所述中央处理器读取所述可信计算密码模块内备份的引导程序，并发送至所述硬盘进行数据恢复；然后执行所述第二步；

第四步，正常引导操作系统。

进一步地，所述第一步中，按照以下步骤进行用户合法性检测，

步骤A1，所述基本输入输出系统接收所述用户口令，并发送至所述中央处理器；

步骤A2，所述中央处理器调用所述可信计算密码模块，对所述用户口令进行哈希运算；

步骤A3，所述可信计算密码模块读取其内部存储的合法的用户口令，与进行哈希运算后的用户口令进行比对：若二者相同，则所述用户口令经检测合格；若二者不相同，则所述用户口令经检测不合格。

进一步地，所述第二步中，按照以下步骤进行程序完整性检测，

步骤B1，所述中央处理器读取所述硬盘内存储的引导程序，并发送至所述可信计算密码模块；

步骤B2，所述可信计算密码模块读取其内部存储的引导程序，与所述中央处理器发送来的引导程序进行比对：若二者相同，则程序完整性经检测合格；若二者不相同，则程序完整性经检测不合格。

进一步地，所述第三步中，对所述引导程序进行程序完整性检测不合格的，按照以下步骤对所述硬盘进行数据恢复，

步骤C1，所述基本输入输出系统接收外部输入的数据恢复口令，并发送至所述中央处理器；

步骤C2，所述中央处理器控制所述可信计算密码模块判断所述数据恢复口令的合法性：若所述数据恢复口令合法，则执行步骤C3；否则直接结束本数据恢复流程；

步骤C3，所述中央处理器读取所述可信计算密码模块中备份的引导程序发送至所述硬盘，替换所述硬盘内完整性检测不合格的引导程序。

进一步地，在安全应用环境下，通过执行以下数据备份流程，使所述可信计算密码模块内备份有引导程序，

步骤D1，所述基本输入输出系统接收外部输入的数据备份口令，并发送至所述中央处理器；

步骤D2，所述中央处理器控制所述可信计算密码模块判断所述数据备份口令的合法性：若所述数据备份口令合法，则执行步骤C3；否则直接结束本数据备份流程；

步骤D3，所述中央处理器读取所述硬盘内存储的引导程序，发送至所述可信计算密码模块保存。

进一步地，所述数据恢复口令与所述数据备份口令相同。

本发明的有益效果是：本发明提供一种具有合法身份检测、程序完整性检测、以及引导程序备份和可恢复性的引导装置及引导方法。在操作系统启动之前，对操作人员的身份进行合法性认证，保证操作者为合法授权的，对硬盘引导程序进行完整性检测，保证引导程序不被恶意篡改。同时，本发明还实现了引导程序的备份及恢复机制，在引导程序完整性检测不合格的情况下，利用备份到可信计算密码模块内的引导程序来修改硬盘上被篡改过的引导程序，继续完成操作系统的正确引导。

附图说明

图1为本发明操作系统安全引导装置的构成示意图；

图2为本发明操作系统安全引导方法的流程示意图；

图3为本发明中的用户合法性检测的流程示意图；

图4为本发明中的程序完整性检测的流程示意图；

图5为本发明中的硬盘数据恢复的流程示意图；

图6为本发明中的可信计算密码模块数据备份的流程示意图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

作为本发明的一方面，其提供一种操作系统安全引导装置，如图1所示，包括基本输入输出系统200（BIOS，Basic Input Output System）、中央处理器CPU100、硬盘300，中央处理器100通过总线分别与基本输入输出系统200和硬盘300相连；特别地，安全引导装置还包括可信计算密码模块400（TCM，Trusted Cryptography Module），可信计算密码模块400通过LPC接口（Low Pin Count）与中央处理器100相连。其中，硬盘300内存储有引导程序（OS Boot Loader）。由BIOS和存储于硬盘MBR(Master Boot Record)中的Boot Loader共同完成对计算机操作系统的引导。BIOS 在完成硬件检测和资源分配后，将硬盘MBR中的OS Boot Loader读到系统的RAM中，然后将控制权交给Boot Loader。Boot Loader的主要运行任务就是将内核映象从硬盘上读到RAM中，然后跳转到内核的入口点去运行，即开始启动操作系统。本发明中的TCM即可在CPU的控制下验证操作者的合法性、检测引导程序的完整性，并备份引导程序，实现引导程序的可恢复性。

作为本发明的另一方面，提供一种操作系统安全引导方法，上述操作系统安全引导装置按照以下步骤进行操作系统的安全引导，如图2所示：

第一步，基本输入输出系统200接收外部输入的用户口令，中央处理器100控制可信计算密码模块400进行用户合法性检测：若用户口令经检测合格，则执行第二步；若用户口令经检测不合格，则继续接收并检测外部输入用户口令。

第二步，中央处理器100读取硬盘300内存储的引导程序，并发送至可信计算密码模块400，由可信计算密码模块400进行程序完整性检测：若程序完整性经检测合格，则执行第四步；若程序完整性经检测不合格，则执行第三步。

第三步，中央处理器100读取可信计算密码模块400内备份的引导程序，并发送至硬盘300进行数据恢复；然后执行第二步。

第四步，正常引导操作系统。

在计算机操作系统启动前，本发明的操作系统安全引导方法如下：首先，要对操作人员的身份合法性进行验证，只有输入正确用户口令的操作人员才被认为是合法的，才能继续进行下一步操作动作。其次，对OS Boot Loader的完整性进行检测，即判断硬盘300上的OS Boot Loader是否被恶意破坏或者修改，这就可防止恶意程序在OS启动前启动，对操作系统形成不可预知的安全威胁。如果OS Boot Loader被非法篡改，则可接着执行硬盘数据恢复步骤，将在安全环境下备份到TCM中的OS Boot Loader发送至硬盘300中，替换原来被破坏的OS Boot Loader。最后，在OS Boot Loader完整性检测合格后，即可按照正常的步骤引导操作系统。

如图3所示，本发明的操作系统安全引导装置按照以下步骤对操作人员输入的用户口令进行用户合法性检测。

步骤A1，操作人员通过键盘等外部设备输入其用户口令，基本输入输出系统200接收该用户口令，并发送至中央处理器100。

步骤A2，中央处理器100调用可信计算密码模块400，对用户口令进行哈希运算。

步骤A3，可信计算密码模块400读取其内部存储的合法的用户口令，与进行哈希运算后的用户口令进行比对：若二者相同，则用户口令经检测合格；若二者不相同，则用户口令经检测不合格。

中央处理器100调用可信计算密码模块400，对操作人员输入的用户口令进行合法性检测，只有合法的操作人员才有进行操作系统引导的资格，可信计算密码模块400将判断结果发送至中央处理器100，由中央处理器100控制是继续进行引导流程还是终止本次引导流程。

如图4所示，本发明的操作系统安全引导装置按照以下步骤进行程序完整性检测。

步骤B1，中央处理器100读取硬盘300内存储的引导程序，并发送至可信计算密码模块400。

步骤B2，中央处理器100调用可信计算密码模块400进行程序完整性检测，即可信计算密码模块400读取其内部存储的引导程序，与中央处理器100发送来的引导程序进行比对：若二者相同，则程序完整性经检测合格；若二者不相同，则程序完整性经检测不合格。

在进行出厂设置时，可信计算密码模块400内都保存有引导程序的验证码，在进行程序完整性检测时，可信计算密码模块400首先将硬盘300中存储的引导程序通过哈希运算成为验证码的形式，再与验证码进行比对。只有二者完成相符，才认为硬盘300内的引导程序未被篡改过，程序完整性检测合格。这就可以防止引导程序被恶意修改对操作系统安全造成的威胁。可信计算密码模块400将检测结果发送至中央处理器100，由中央处理器100根据检测结果判断是继续进行引导流程还是执行硬盘数据恢复流程。

如图5所示，对引导程序进行程序完整性检测不合格的，按照以下步骤对硬盘进行数据恢复。

步骤C1，操作人员通过键盘等外部设备输入数据恢复口令，基本输入输出系统200接收该口令，并发送至中央处理器100。

步骤C2，中央处理器100控制可信计算密码模块400判断数据恢复口令的合法性：若数据恢复口令合法，则执行步骤C3；否则直接结束本数据恢复流程。

步骤C3，中央处理器100读取可信计算密码模块400中备份的引导程序发送至硬盘300，替换硬盘300内完整性检测不合格的引导程序。

经程序完整性检测后，若硬盘300中的引导程序被篡改，则执行上述硬盘数据恢复流程，修改硬盘300中的引导程序。通过程序完整性检测流程可以终止被篡改了引导程序的引导装置进行操作系统的引导，保证了系统安全性；通过硬盘数据恢复流程，即可在程序完整性检测流程发现不安全隐患之后，消除隐患，并继续完成操作系统的引导工作。

若要实现上述硬盘数据恢复流程，前提是可信计算密码模块400内备份有引导程序，只有这样，才能在发现安全隐患时，调用可信计算密码模块400内的引导程序对硬盘数据进行修改。如图6所示，在被认为是安全应用环境时（例如出厂检测时），通过执行以下数据备份流程，使可信计算密码模块400内备份有引导程序。

步骤D1，操作人员通过键盘等外部设备输入数据备份口令（数据备份口令可与数据修改口令相同），基本输入输出系统200接收该口令，并发送至中央处理器100。

步骤D2，中央处理器100控制可信计算密码模块400判断数据备份口令的合法性：若数据备份口令合法，则执行步骤D3；否则直接结束本数据备份流程。

步骤D3，中央处理器100读取硬盘300内存储的引导程序，发送至可信计算密码模块400保存。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种操作系统安全引导装置，包括基本输入输出系统、中央处理器、硬盘，所述中央处理器分别与所述基本输入输出系统和所述硬盘相连，所述硬盘内存储有引导程序，实现对操作系统的引导；其特征在于，

所述操作系统安全引导装置还包括可信计算密码模块，所述可信计算密码模块与所述中央处理器相连；

所述中央处理器控制所述可信计算密码模块验证操作者的合法性、检测所述引导程序的完整性，并备份所述引导程序，实现所述引导程序的可恢复性。

2.一种操作系统安全引导方法，其特征在于，

第一步，基本输入输出系统接收外部输入的用户口令，中央处理器控制可信计算密码模块进行用户合法性检测：若所述用户口令经检测合格，则执行第二步；若所述用户口令经检测不合格，则继续接收并检测外部输入用户口令；

第二步，所述中央处理器读取所述硬盘内存储的引导程序，并发送至所述可信计算密码模块，由所述可信计算密码模块进行程序完整性检测：若程序完整性经检测合格，则执行第四步；若程序完整性经检测不合格，则执行第三步；

第三步，所述中央处理器读取所述可信计算密码模块内备份的引导程序，并发送至所述硬盘进行数据恢复；然后执行所述第二步；

第四步，正常引导操作系统。

3.按照权利要求2所述的操作系统安全引导方法，其特征在于，

所述第一步中，按照以下步骤进行用户合法性检测，

步骤A1，所述基本输入输出系统接收所述用户口令，并发送至所述中央处理器；

步骤A2，所述中央处理器调用所述可信计算密码模块，对所述用户口令进行哈希运算；

步骤A3，所述可信计算密码模块读取其内部存储的合法的用户口令，与进行哈希运算后的用户口令进行比对：若二者相同，则所述用户口令经检测合格；若二者不相同，则所述用户口令经检测不合格。

4.按照权利要求2所述的操作系统安全引导方法，其特征在于，

所述第二步中，按照以下步骤进行程序完整性检测，

步骤B1，所述中央处理器读取所述硬盘内存储的引导程序，并发送至所述可信计算密码模块；

步骤B2，所述可信计算密码模块读取其内部存储的引导程序，与所述中央处理器发送来的引导程序进行比对：若二者相同，则程序完整性经检测合格；若二者不相同，则程序完整性经检测不合格。

5.按照权利要求2所述的操作系统安全引导方法，其特征在于，

所述第三步中，对所述引导程序进行程序完整性检测不合格的，按照以下步骤对所述硬盘进行数据恢复，

步骤C1，所述基本输入输出系统接收外部输入的数据恢复口令，并发送至所述中央处理器；

步骤C2，所述中央处理器控制所述可信计算密码模块判断所述数据恢复口令的合法性：若所述数据恢复口令合法，则执行步骤C3；否则直接结束本数据恢复流程；

步骤C3，所述中央处理器读取所述可信计算密码模块中备份的引导程序发送至所述硬盘，替换所述硬盘内完整性检测不合格的引导程序。

6.按照权利要求2所述的操作系统安全引导方法，其特征在于，

在安全应用环境下，通过执行以下数据备份流程，使所述可信计算密码模块内备份有引导程序，

步骤D1，所述基本输入输出系统接收外部输入的数据备份口令，并发送至所述中央处理器；

步骤D2，所述中央处理器控制所述可信计算密码模块判断所述数据备份口令的合法性：若所述数据备份口令合法，则执行步骤C3；否则直接结束本数据备份流程；

步骤D3，所述中央处理器读取所述硬盘内存储的引导程序，发送至所述可信计算密码模块保存。

7.按照权利要求5或6所述的信息发布系统，其特征在于，所述数据恢复口令与所述数据备份口令相同。

Images