CN102855428B - 一种计算机的安全控制方法及该计算机 - Google Patents

Abstract

本发明提供一种计算机的安全控制方法及该计算机，属于计算机安全技术领域。该计算机具有包括管理引擎单元的平台控制单元，其中，所述管理引擎单元包括：第一通信接口；身份信息验证模块，用于通过所述第一通信接口接收身份信息获取模块发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；安全控制模块，用于当所述验证结果表示用户身份合法时，执行一第一操作，所述第一操作为发送对所述计算机的系统电路上电的第一指令。本发明能够提高计算机的安全性。

Description

一种计算机的安全控制方法及该计算机

技术领域

本发明属于计算机安全技术领域，特别涉及一种计算机的安全控制方法及该计算机。

背景技术

随着计算机应用的普及，计算机系统的安全问题越来越受到用户的关注。现有技术中计算机安全控制的解决方案，主要是通过在基本输入输出系统(BIOS)下设置开机密码或者指纹信息等方式来实现。计算机系统开机后，进行BIOS上电自检，之后进入DOS画面，此时需要输入预先设置的密码或者指纹信息并通过验证之后才能开机，进入计算机的操作系统。这种方式在一定程度上保证了计算机的安全性和用户数据的私密性，然而，这种方式存在如下安全隐患：非法用户通过对BIOS进行修改或者将互补金属氧化物半导体(CMOS)放电，则可取消所设置的密码或者指纹信息。

因此，如何提供一种安全性更高的安全控制方法就成为亟待解决的技术问题。

发明内容

本发明实施例所要解决的技术问题是提供一种计算机的安全控制方法及该计算机，以提高计算机的安全性。

为解决上述技术问题，本发明实施例提供技术方案如下：

一种计算机，具有包括管理引擎单元的平台控制单元，其中，所述管理引擎单元包括：

第一通信接口；

身份信息验证模块，用于通过所述第一通信接口接收身份信息获取模块发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

安全控制模块，用于当所述验证结果表示用户身份合法时，执行一第一操作，所述第一操作为发送对所述计算机的系统电路上电的第一指令。

上述的计算机，其中，所述安全控制模块还用于：

当所述验证结果表示用户身份非法时，执行一第二操作，所述第二操作为发送禁止对所述计算机的系统电路上电的第二指令，和/或，发送对所述计算机进行锁定的第三指令。

上述的计算机，其中，所述管理引擎单元还包括，第二通信接口；

所述第二操作还包括通过所述第二通信接口发送用户身份非法的信息到服务器端。

上述的计算机，其中，所述安全控制模块还用于：

通过所述第二通信接口接收所述服务器端发送的解锁指令，根据所述解锁指令执行所述第一操作。

上述的计算机，其中，所述身份信息获取模块为：

指纹采集模块、声音采集模块或者图像采集模块。

上述的计算机，其中：

所述身份信息获取模块为指纹采集模块；

所述指纹采集模块与所述计算机的开机按钮一体设置。

上述的计算机，其中：

所述管理引擎单元和所述身份信息获取模块由所述计算机的待机电压供电。

一种计算机的安全控制方法，应用于具有包括管理引擎单元的平台控制单元的计算机中，其中，所述管理引擎单元包括第一通信接口、身份信息验证模块和安全控制模块，所述方法包括：

所述身份信息验证模块通过所述第一通信接口接收身份信息获取模块发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

当所述验证结果表示用户身份合法时，所述安全控制模块执行一第一操作，所述第一操作为发送对所述计算机的系统电路上电的第一指令。

上述的安全控制方法，其中，还包括：

当所述验证结果表示用户身份非法时，所述安全控制模块执行一第二操作，所述第二操作为发送禁止对所述计算机的系统电路上电的第二指令，和/或，发送对所述计算机进行锁定的第三指令。

上述的安全控制方法，其中：

所述管理引擎单元和所述身份信息获取模块由所述计算机的待机电压供电。

本发明实施例的上述技术方案，是在管理引擎单元中对用户进行身份验证，用户通过身份验证后，才对计算机的系统电路上电，执行BIOS的上电自检过程。而在计算机中，管理引擎单元属于底层硬件，一般用户不能对该管理引擎单元进行修改，因此，相比于现有技术中通过BIOS进行身份验证的方案，本发明实施例能够显著提高计算机的安全性。

附图说明

图1为根据本发明实施例一的计算机中管理引擎单元的结构示意图；

图2为根据本发明实施例二的计算机中管理引擎单元的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明进行详细描述。

本发明实施例的计算机中设置有平台控制单元(PlatformControllerHub，PCH)，本领域技术人员知道，PCH芯片中除了包括原来南桥的输入输出(IO)功能外，以前北桥中的显示单元(Display)、管理引擎单元(ManagementEngine，ME)也集成到了PCH中。

针对现有技术通过BIOS进行身份验证存在安全隐患的问题，本发明实施例的计算机将身份验证过程转移到管理引擎单元中进行，管理引擎单元属于底层硬件，一般用户不能对该管理引擎单元进行修改，因此在管理引擎单元中进行身份验证能够显著提高计算机的安全性。

图1为根据本发明实施例一的计算机中管理引擎单元1的结构示意图，参照图1，所述管理引擎单元1包括：

第一通信接口11；

身份信息验证模块12，用于通过所述第一通信接口11接收身份信息获取模块2发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

安全控制模块13，用于当所述验证结果表示用户身份合法时，执行一第一操作，当所述验证结果表示用户身份非法时，执行一第二操作。

其中，所述身份信息获取模块2可以为指纹采集模块、声音采集模块或者图像采集模块，还可以为其他能够采集或获取用户身份信息的模块。

在以下描述中，所述身份信息获取模块2均以指纹采集模块为例。优选地，当所述身份信息获取模块2为指纹采集模块时，所述指纹采集模块与所述计算机的开机按钮一体设置。

其中，身份信息验证模块12对所述用户身份信息进行验证为：将所述用户身份信息与所述管理引擎单元1中存储的用户身份信息进行比较，二者一致时，确定用户身份合法，二者不一致时，确定用户身份非法。所述管理引擎单元1中存储的用户身份信息可以是在初次安装操作系统时由用户输入，并在下次开机时生效。另外，用户还可以对管理引擎单元1中存储的用户身份信息进行修改，修改方法为：计算机开机时，输入原始用户身份信息后进入操作系统；在操作系统中，输入新的用户身份信息；管理引擎单元1用新的用户身份信息替代原始用户身份信息。

其中，所述第一操作为发送对所述计算机的系统电路上电的第一指令；所述第二操作为发送禁止对所述计算机的系统电路上电的第二指令，和/或，发送对所述计算机进行锁定的第三指令。

另外，本发明实施例的计算机在进行硬件设计时，可将所述管理引擎单元1和所述身份信息获取模块2设置为由所述计算机的待机电压供电。一般而言，计算机的电源插头插入电源插座，其电源装置会输出一个5VStandby电压，上述的待机电压指的就是该5VStandby电压。

本发明实施例的上述计算机，由管理引擎单元1进行用户身份验证，仅在身份验证通过后，计算机的系统电路才会得到电源供应，然后，用户才能进入操作系统对计算机进行使用，相比于现有技术由BIOS进行用户身份验证，其安全性能得到了显著提高。

以下举例说明上述计算机在启动时的安全控制过程，包括如下步骤：

用户按压开机按钮，产生一开机信号；

管理引擎单元1接收到开机信号后，通知计算机PCH芯片在计算机显示屏中提示用户输入指纹信息；

指纹采集模块采集用户的指纹信息，并将采集到的指纹信息通过第一通信接口11输出到身份信息验证模块12；

身份信息验证模块12通过第一通信接口11接收所述指纹信息，将所述指纹信息与存储的指纹信息进行比较，二者一致时，确定用户身份合法，二者不一致时，确定用户身份非法，并将身份验证结果输出到安全控制模块13；

安全控制模块13接收所述身份验证结果，当所述身份验证结果表示用户身份合法时，发送对所述计算机的系统电路上电的第一指令，计算机PCH芯片中的上电控制模块根据所述第一指令对计算机的系统电路上电，计算机中的BIOS得到电源供应后，进行上电自检(POST)，并在POST完成之后启动操作系统；

当所述身份验证结果表示用户身份非法时，安全控制模块13发送禁止对所述计算机的系统电路上电的第二指令，计算机PCH芯片中的上电控制模块接收到所述第二指令时，不启动对计算机的系统电路进行上电的过程，BIOS得不到电源供应不能启动，相应地，计算机的操作系统也不能启动，于是，用户不能对计算机进行操作。

另外，如果所述指纹采集模块与所述计算机的开机按钮一体设置，则在上述启动过程中，用户按压开机按钮时，指纹采集模块能够直接采集到用户的指纹信息，而不需要计算机PCH芯片在计算机显示屏中提示用户输入指纹信息，如此，简化了身份验证过程。

以下举例说明上述计算机在待机状态下唤醒时的安全控制过程，包括如下步骤：

计算机处于待机状态，用户需要唤醒计算机时，按压计算机键盘的任意按键，产生按键信号；

管理引擎单元1接收到按键信号后，通知计算机PCH芯片在计算机显示屏中提示用户输入指纹信息；

指纹采集模块采集用户的指纹信息，并将采集到的指纹信息通过第一通信接口11输出到身份信息验证模块12；

身份信息验证模块12通过第一通信接口11接收所述指纹信息，将所述指纹信息与存储的指纹信息进行比较，二者一致时，确定用户身份合法，二者不一致时，确定用户身份非法，并将身份验证结果输出到安全控制模块13；

安全控制模块13接收所述身份验证结果，当所述身份验证结果表示用户身份合法时，发送对所述计算机的系统电路上电的第一指令，计算机PCH芯片中的上电控制模块根据所述第一指令恢复对计算机的系统电路上电，从而唤醒操作系统；

当所述身份验证结果表示用户身份非法时，安全控制模块13可以发送禁止对所述计算机的系统电路上电的第二指令，计算机PCH芯片中的上电控制模块接收到所述第二指令时，不启动对计算机的系统电路进行上电的过程，操作系统得不到唤醒；另外，当所述身份验证结果表示用户身份非法时，安全控制模块13也可以发送对所述计算机进行锁定的第三指令，计算机PCH芯片根据所述的三指令对计算机进行锁定。

图2为根据本发明实施例二的计算机中管理引擎单元1的结构示意图，参照图2，所述管理引擎单元1包括：

第一通信接口11；

第二通信接口14；

身份信息验证模块12，用于通过所述第一通信接口11接收身份信息获取模块2发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

安全控制模块13，用于当所述验证结果表示用户身份合法时，发送对所述计算机的系统电路上电的第一指令，当所述验证结果表示用户身份非法时：发送禁止对所述计算机的系统电路上电的第二指令、发送对所述计算机进行锁定的第三指令，以及，通过所述第二通信接口14发送用户身份非法的信息到服务器端3。

另外，本发明实施例的计算机在进行硬件设计时，可将所述管理引擎单元1和所述身份信息获取模块2设置为由所述计算机的待机电压供电。一般而言，计算机的电源插头插入电源插座，其电源装置会输出一个5VStandby电压，上述的待机电压指的就是该5VStandby电压。

实施例二与实施例一的区别在于，实施例二的管理引擎单元1中还包括第二通信接口14，使得所述管理引擎单元1能够与服务器端3进行通信。这样，服务器端3就能够获得计算机的身份验证情况，并能够对计算机进行远程控制。

实施例二的一个应用场景为：

合法用户需要启动计算机，忘记了启动密码(或者输入了错误的密码)，计算机不能启动(或者计算机被锁定)。此时，该用户可以电话通知管理员(或者，管理员根据服务器端3接收到的户身份非法的信息得知该情况)，管理员验证该用户为合法用户后，对服务器进行操作，由服务器发送一个解锁指令到计算机，计算机管理引擎单元1中的安全控制模块13通过所述第二通信接口14接收所述服务器端3发送的解锁指令，并根据所述解锁指令发送对所述计算机的系统电路上电的第一指令，然后，计算机PCH芯片根据所述第一指令对计算机的系统电路进行上电，于是，计算机正常启动。

本发明实施例还提供一种计算机的安全控制方法，应用于具有包括管理引擎单元的平台控制单元的计算机中，其中，所述管理引擎单元包括第一通信接口、身份信息验证模块和安全控制模块，所述方法包括：

所述身份信息验证模块通过所述第一通信接口接收身份信息获取模块发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

当所述验证结果表示用户身份合法时，所述安全控制模块执行一第一操作，所述第一操作为发送对所述计算机的系统电路上电的第一指令；

当所述验证结果表示用户身份非法时，所述安全控制模块执行一第二操作，所述第二操作为发送禁止对所述计算机的系统电路上电的第二指令，和/或，发送对所述计算机进行锁定的第三指令。

其中，所述管理引擎单元和所述身份信息获取模块由所述计算机的待机电压供电。

优选地，所述管理引擎单元还包括，第二通信接口；

所述第二操作还包括通过所述第二通信接口发送用户身份非法的信息到服务器端。

优选地，所述方法还包括：所述安全控制模块通过所述第二通信接口接收所述服务器端发送的解锁指令，根据所述解锁指令执行所述第一操作。

其中，所述身份信息获取模块可以为指纹采集模块、声音采集模块或者图像采集模块，还可以为其他能够采集或获取用户身份信息的模块。优选地，当所述身份信息获取模块为指纹采集模块时，所述指纹采集模块与所述计算机的开机按钮一体设置。

综上所述，本发明实施例的上述技术方案，是在管理引擎单元中对用户进行身份验证，用户通过身份验证后，才对计算机的系统电路上电，执行BIOS的上电自检过程。而在计算机中，管理引擎单元属于底层硬件，一般用户不能对该管理引擎单元进行修改，因此，相比于现有技术中通过BIOS进行身份验证的方案，本发明实施例能够显著提高计算机的安全性。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案而非限制，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神范围，其均应涵盖在本发明的权利要求范围当中。

Claims (8)

1.一种计算机，具有包括管理引擎单元的平台控制单元，其特征在于，所述管理引擎单元包括：

第一通信接口；

身份信息验证模块，用于通过所述第一通信接口接收身份信息获取模块发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

安全控制模块，用于当所述验证结果表示用户身份合法时，执行一第一操作，所述第一操作为发送对所述计算机的系统电路上电的第一指令；

其中，所述管理引擎单元和所述身份信息获取模块由所述计算机的待机电压供电。

2.如权利要求1所述的计算机，其特征在于，所述安全控制模块还用于：

当所述验证结果表示用户身份非法时，执行一第二操作，所述第二操作为发送禁止对所述计算机的系统电路上电的第二指令，和/或，发送对所述计算机进行锁定的第三指令。

3.如权利要求2所述的计算机，其特征在于，所述管理引擎单元还包括，第二通信接口；

所述第二操作还包括通过所述第二通信接口发送用户身份非法的信息到服务器端。

4.如权利要求3所述的计算机，其特征在于，所述安全控制模块还用于：

通过所述第二通信接口接收所述服务器端发送的解锁指令，根据所述解锁指令执行所述第一操作。

5.如权利要求1所述的计算机，其特征在于，所述身份信息获取模块为：

指纹采集模块、声音采集模块或者图像采集模块。

6.如权利要求1所述的计算机，其特征在于：

所述身份信息获取模块为指纹采集模块；

所述指纹采集模块与所述计算机的开机按钮一体设置。

7.一种计算机的安全控制方法，应用于具有包括管理引擎单元的平台控制单元的计算机中，其特征在于，所述管理引擎单元包括第一通信接口、身份信息验证模块和安全控制模块，所述方法包括：

所述身份信息验证模块通过所述第一通信接口接收身份信息获取模块发送的用户身份信息，对所述用户身份信息进行验证，得到一验证结果；

当所述验证结果表示用户身份合法时，所述安全控制模块执行一第一操作，所述第一操作为发送对所述计算机的系统电路上电的第一指令；

其中，所述管理引擎单元和所述身份信息获取模块由所述计算机的待机电压供电。

8.如权利要求7所述的安全控制方法，其特征在于，还包括：

当所述验证结果表示用户身份非法时，所述安全控制模块执行一第二操作，所述第二操作为发送禁止对所述计算机的系统电路上电的第二指令，和/或，发送对所述计算机进行锁定的第三指令。