CN104537295A

CN104537295A - 一种计算机系统及管理计算机用户权限的方法

Info

Publication number: CN104537295A
Application number: CN201410855350.6A
Authority: CN
Inventors: 李海京; 王志海; 喻波; 张磊; 白佳亮; 曾雄
Original assignee: Beijing Wondersoft Technology Co Ltd
Current assignee: Beijing Wondersoft Technology Co Ltd
Priority date: 2014-12-31
Filing date: 2014-12-31
Publication date: 2015-04-22
Anticipated expiration: 2034-12-31
Also published as: CN104537295B

Abstract

本发明公开了一种计算机系统及管理计算机用户权限的方法，该计算机系统包括一个计算机及一个USB外设。该方法包括如下步骤：将一USB外设插入计算机；读取所述USB外设和所述计算机的硬件识别信息；根据所述USB外设和所述计算机的硬件识别信息生成用户身份识别文件；在所述用户身份识别文件中存储所述计算机用户的权限管理信息；当检测到所述USB外设插入所述计算机时，根据所述用户身份识别文件中的所述权限管理信息对所述计算机用户进行权限管理。

Description

一种计算机系统及管理计算机用户权限的方法

技术领域

本发明涉及计算机安全领域，尤其涉及一种计算机系统及管理计算机用户权限的方法。

背景技术

公司或个人的电脑上都会有一些非常重要的数据，未经允许的人不能访问该电脑；或临时离开工位，需要手工锁屏，返回后输入密码才能使用系统。通常的手段是设置密码，但密码可以传播，并且一旦想要取消授权，就要更改密码，还要通知相关人。如果能够将一个小巧的可移动设备与计算机绑定，则可以有效保护数据。

此外，还有一些情况下，多人都可以访问同一台电脑，此时，不同的用户可能有不同的需求。譬如，需要对儿童访问的网络内容进行一些过滤限制；某个用户希望保护特定的文件或文件夹等。目前的技术手段，一旦实施，则应用到整个系统。因此，通过绑定不同的设备，将相关权限和设置与设备关联，从而实现上述特定需求。

目前USB接口是应用最广泛的可移动设备接口，其中U盘，手机，蓝牙设备都非常普遍。我们提出一种可移动设备与计算机绑定并将相关权限和设置与可移动设备相关联的解决方案。

目前，市场上已有将U盘与系统启动绑定的软件，如Predator，Disklogon等，它们能实现：当计算机启动后，如果发现绑定的U盘设备不存在，则立即锁屏或黑屏。有的系统使用UKey绑定，但需要特定的硬件设备。

目前，很多安全类软件也实现了诸如保护文件/文件夹，网络过滤等功能，但针对同一用户的设置是相同的。

现有技术存在以下缺点：

(1)要么没有与设备绑定，要么需要绑定特定的设备，如UKey。

(2)绑定普通U盘，但功能单一，没有区分用户权限，设备与用户权限没有关联。

本发明要解决的技术问题：

(1)计算机与任意可移动设备绑定，只有与该计算机绑定的可移动设备存在的情况下，才能访问计算机；

(2)不同的可移动设备，可以根据需求，与特定的权限关联，如：是否启用网络过滤，需要过滤的内容；保护特定文件/文件夹；

(3)同一移动设备可以与多台计算机绑定，且可以分别关联不同的权限设置；

(4)同一计算机可以与多个移动设备绑定，且可以分别关联不同的权限设置。

发明内容

我们提出的方案，不但可以实现上述功能，还将特定设备与特定的权限(网络过滤，保护特定文件/文件夹等)关联，从而实现：

(1)多个持有不同绑定设备的用户可以访问同一台电脑，没有绑定设备的用户不能访问该电脑；

(2)可以针对每个用户的需求，赋予不同的权限，满足其特定需求；

(3)不需要在操作系统或安全系统中为多用户创建多个帐号。

为解决上述技术问题，本发明提出了一种管理计算机用户权限的方法，该方法包括如下步骤：

1)将一USB外设插入计算机；

2)读取所述USB外设和所述计算机的硬件识别信息；

3)根据所述USB外设和所述计算机的硬件识别信息生成用户身份识别文件；

4)在所述用户身份识别文件中存储所述USB外设和所述计算机的硬件识别信息及所述计算机用户的权限管理信息；

5)当检测到所述USB外设插入所述计算机时，根据所述用户身份识别文件中的所述权限管理信息对所述计算机用户进行权限管理。

进一步，所述USB外设为U盘、USB接口鼠标、USB接口移动硬盘或USB接口智能终端。

进一步，所述USB外设和所述计算机的硬件识别信息具体为：所述USB外设的VID(VendorID)，PID(Product ID)，设备序列号和所述计算机中的CPU序列号、主板序列号、硬盘序列号和网卡的MAC地址。

进一步，所述用户身份识别文件存储在所述USB外设或者所述计算机的特定目录下。

进一步，所述用户身份识别文件内容包括：所述USB外设和所述计算机的硬件识别信息，持有所述USB外设的所述计算机用户要保护的文件/目录的权限管理信息，访问网络的权限管理信息。

进一步，完成所述步骤4)之后，重新启动计算机；在所述步骤5)中，当检测到所述USB外设插入所述计算机时，根据所述USB外设和所述计算机的硬件识别信息在所述USB外设或者所述计算机中查找所述用户身份识别文件，如果查找到所述用户身份识别文件，解密所述用户身份识别文件，从而获取所述权限管理信息，实现对所述计算机用户的权限管理。

进一步，当检测到所述USB外设从所述计算机拔出时，禁止所述计算机用户对所述计算机的操作，并撤销根据所述用户身份识别文件中的所述权限管理信息对所述计算机用户进行的权限管理。

为解决上述技术问题，本发明提出了一种计算机系统，该系统包括：一计算机和一USB外设；

根据所述USB外设和所述计算机的硬件识别信息生成用户身份识别文件，并存储在所述USB外设或者所述计算机的特定目录下；

在所述用户身份识别文件中存储述USB外设和所述计算机的硬件识别信息及计算机用户的权限管理信息；

当检测到所述USB外设插入计算机时，根据所述用户身份识别文件中的所述权限管理信息对所述计算机用户进行权限管理。

进一步，所述用户身份识别文件的内容包括：述USB外设和所述计算机的硬件识别信息，持有所述USB外设的计算机用户要保护的文件/目录的权限管理信息，访问网络的权限管理信息。

通过本发明提出的方案，取得了以下技术效果：

1、使用日常使用的可移动设备与计算机绑定，以保护个人隐私；

2、一台计算机可以与多个可移动设备绑定，且可以针对特定可移动设备设置特定权限，针对不同年龄段的人实现网络内容过滤，以及特定用户对特定文件/文件夹的访问，保护重要数据及个人隐私。

3、用户更换计算机设备，不需要再次绑定可移动设备，之前的绑定信息依旧可用。除非用户同时更换CPU，主板，硬盘及网卡。

4、一个可移动设备可以与多台计算机绑定，节约成本。

5、生成的信息以文件格式存放，用户可以很方便地将其保存到U盘或邮箱或云盘，一旦可移动设备丢失或损毁，可以很方便地进行恢复，不影响对计算机的使用。

附图说明

图1是U盘绑定计算机流程图。

图2是U盘绑定计算机及运行流程图。

图3是Win7系统绑定两个U盘及运行流程图。

图4是可移动USB外设绑定计算机流程图。

图5是可移动USB外设绑定计算机及运行流程图。

图6是Win7系统绑定1个U盘及1个iPhone手机及运行流程图。

具体实施方式

缩略语和关键术语定义

USB：Universal Serial Bus，通用串行总线，是一个外部总线标准，用于规范电脑与外部设备的连接和通讯。USB接口支持设备的即插即用和热插拔功能。

U盘：USB flash disk，USB闪存驱动器，是一种使用USB接口的无序物理驱动器的微型高容量移动存储产品，通过USB接口与电脑连接，实现即插即用。

CPUID：是计算机处理器(CPU)的信息，本文中特指CPU的序列号。

本发明中的计算机包括台式机，一体机，笔记本电脑，或者其他可外接USB外设的智能终端。USB外设包括U盘，USB鼠标，USB接口移动硬盘或者其他任何具有唯一硬件设备标识的USB外接设备。

实施例1

实施例1中提供了一种根据不同U盘识别用户权限的计算机用户权限管理方法。

结合图1-2的U盘绑定计算机及运行流程图，描述总体技术方案的实现过程：

1)安装软件系统

安装软件包，包括设置程序，网络过滤驱动，文件系统过滤驱动，服务程序。设置程序用来设置U盘绑定及权限关联；网络过滤驱动用于过滤网络访问；文件系统过滤驱动用于保护文件和文件夹；服务程序用来检测U盘及与驱动程序通信。

安装完成后，使用设置程序向文件系统过滤驱动传递要保护的所有文件/文件夹。

2)绑定U盘

(1)打开设置程序，插入U盘，读取U盘的设备信息及计算机的硬件信息。应选择不易改变的信息，为保险起见，会依次将如下信息与U盘绑定：CPUID，主板串号，硬盘序列号及网卡MAC地址；如果某项值为空，则不用，不为空则使用，确保用户更换了硬件后，绑定的U盘依旧可用。

(2)选择要关联的权限，并设置具体内容

对网络过滤权限，可以设置要过滤的URL地址及内容关键字。

对文件/文件夹权限，设置要保护的文件/文件夹。

(3)将以上信息加密并分别写入U盘或硬盘的特定目录的特定文件中。

3)接下来是运行流程。计算机正常启动，进入操作系统。

4)检测是否有U盘。如果没有，则转到(11)。

5)读取U盘或硬盘特定目录下的特定文件，判断U盘是否与该计算机绑定。

6)若文件存在且内容匹配，则继续；否则转到(11)。

7)读取U盘或硬盘特定目录下的权限管理信息文件。

8)将权限管理信息下发给驱动程序。

将要过滤的URL和内容关键字信息传递给网络过滤驱动；

将要保护的文件和文件夹路径传递给文件系统过滤驱动。

9)此时，U盘在系统中存在，用户正常使用计算机。网络过滤驱动程序和文件系统过滤驱动根据设置的条件，过滤网络访问及保护相应的文件/文件夹。

10)拔掉U盘

用户因为某种原因，要离开计算机时，拔掉U盘。

11)服务程序立即锁屏，并通知驱动删除过滤设置。

12)用户插入U盘，转到(5)，继续执行流程。

结合图3的两个U盘绑定计算机及运行流程图，描述具体实现过程：

1)安装软件系统

安装软件包，包括设置程序，网络过滤驱动，文件系统过滤驱动，服务程序。启动网络过滤驱动和文件系统过滤驱动，启动服务程序。

打开设置程序，设置要保护的文件/文件夹。本例中，设置保护D:\财务数据,D:\个人照片。

2)绑定U盘

USB(Universal Serial BUS，通用串行总线)协议规定，所有的USB设备都有VID(VendorID，供应商识别码)和PID(Product ID，产品识别码)。VID由供应商向USB-IF(ImplementersForum，应用者论坛)申请。每个供应商的VID是唯一的，PID由供应商自行决定。主机通过VID和PID来识别不同设备，根据它们(以及设备的版本号)，可以给设备加载或安装相应的驱动程序。VID和PID的长度都是两个字节的。而每个计算机一般均包括CPU，主板，硬盘，网卡等主要部件，并且具有唯一的设备序列号。

(1)打开设置程序，插入U盘A，读取U盘的设备信息及计算机的硬件信息。

USB设备信息：USB\VID_0000&PID_0000,序列号19491312050840760045。

计算机硬件信息：

CPUID：BFEBFBFF000306A9

主板序号：MF70C5G07100562

硬盘序号：000000001220033B6EA3

网卡MAC地址：10BF48766C61

针对U盘A和硬件信息，生成的文件名格式为：Vvvv_Pppp_SN-ID.info。其中，Vvvv为VID，Pppp为PID，SN为U盘序列号，ID为某个硬件的ID。如对CPUID，生成的文件名为：0000_0000_19491312050840760045-BFEBFBFF000306A9.info。

此处会生成四个文件，最终存储到U盘A的udisk-binding..目录(此处目录名中带两个.，目的是防止用户误删除该文件夹，访问时用udisk-～1代替)。由此，对同一计算机，不同的U盘将生成不同的文件名；同一U盘在不同计算机上也将生成不同的文件名。

文件中存储加密后的USB设备信息及对应的硬件ID。

(2)选择要关联的权限，并设置具体内容

对网络过滤权限，设置要过滤的URL：*.163.com，设置要过滤的网络关键字：“桃色；喜羊羊；灰太狼”。

对文件/文件夹权限，设置保护：D:\财务数据,D:\个人照片。

(3)将以上信息加密并分别写入U盘的特定目录的文件中。

将(1)中设置的内容，使用密钥“123456”，用DES加密算法加密后写入(1)中生成的4个.info的文件。

将(2)中设置的内容，使用密钥“123456”，用DES加密算法加密后写入(1)中生成的4个.info的文件。

对U盘B，使用相同的步骤进行绑定：USB设备信息为：USB\VID_0930&PID_6545,序列号：7A50739B2CD43B0F271B116F；文件/文件夹权限，设置：D:\论文及E:\程序备份；网络不进行过滤。

3)插入U盘A，启动计算机。

4)检测到有U盘A。

5)读取U盘信息及计算机信息，组合生成4个文件名，扩展名为.info，然后从U盘A目录UDisk-～1下读取这四个文件。

6)若(5)中生成的4个文件，任意一个存在，就判断其内容文件存在且内容匹配，则继续。此处，若将U盘A格式化后再插入计算机，则转到(11)。

7)读取U盘A目录Udisk-～1下的.info文件，若任一存在，就读取其内容，并使用密钥“123456”,用DES算法解密。

8)将权限设置文件的内容下发给驱动程序。

将要过滤的URL和关键字信息传递给网络过滤驱动；

将要保护的文件/文件夹路径传递给文件系统过滤驱动。

9)此时，U盘A在系统中存在，用户正常使用计算机。

网络过滤驱动程序会过滤URL和网络内容，禁止用户访问*.163.com格式的URL及含有“桃色”或“喜羊羊”或“灰太狼”的页面；文件系统过滤驱动会显示要保护的文件夹“D:\财务数据”及文件“D:\个人照片”，但此时用户无法访问“D:\论文”及“E:\程序备份”。

10)拔掉U盘A

11)服务程序立即锁屏，并通知网络过滤驱动删除之前设置的URL及关键字信息；通知文件系统过滤驱动，隐藏文件夹“D:\财务数据”及“D:\个人照片”。

12)用户插入U盘B，转到(5)，继续执行流程，此时：

用户可以访问文件夹“D:\论文”及“E:\程序备份”，但无法访问文件夹“D:\财务数据”及“D:\个人照片”。

不过滤任何网络内容。

实施例2

结合附图4-5中的USB外设绑定计算机流程图，描述实施例2总体技术方案的实现过程：

1)安装软件系统

安装软件包，包括设置程序，网络过滤驱动，文件系统过滤驱动，服务程序。设置程序用来设置可移动设备绑定及权限关联；网络过滤驱动用于过滤网络访问；文件系统过滤驱动用于保护文件和文件夹；服务程序用来检测可移动设备及与驱动程序通信。

2)绑定可移动设备

(1)打开设置程序，插入USB可移动设备，读取USB设备的信息及计算机的硬件信息。应选择不易改变的信息，为保险起见，会依次将如下信息与U盘绑定：CPUID，主板串号，硬盘序列号及网卡MAC地址；如果某项值为空，则不用，不为空则使用，确保用户更换了硬件后，绑定的可移动设备依旧可用。

(2)选择要关联的权限，并设置具体内容

对网络过滤权限，可以设置要过滤的URL地址及网络关键字。

对文件/文件夹权限，设置要保护的文件/文件夹。

(3)将以上信息加密并分别写入计算机硬盘特定目录下特定文件中。

3)接下来是运行流程。计算机正常启动，进入操作系统。

4)检测是否有USB设备。如果没有，则转到(11)。

5)读取硬盘那特定目录下的特定文件，判断USB设备是否与该计算机绑定。

6)若文件存在且内容匹配，则继续；否则转到(11)。

7)读取硬盘特定目录下的权限设置文件。

8)将权限设置文件的内容下发给驱动程序。

将要过滤的URL和关键字信息传递给网络过滤驱动；

将保护的文件和文件夹路径传递给文件系统过滤驱动。

9)此时，可移动设备在系统中存在，用户正常使用计算机。网络过滤驱动程序和文件系统过滤驱动根据设置的条件，过滤网络访问及文件/文件夹。

10)拔掉可移动设备

用户因为某种原因，要离开计算机时，拔掉可移动设备。

11)服务程序立即锁屏，并通知驱动删除过滤设置。

12)用户插入绑定的USB设备，转到(5)，继续执行流程。

结合附图6中的一个U盘和一个IPHONE手机绑定计算机及运行流程图，描述实施例2技术方案详细的实现过程：

1)安装软件系统

打开设置程序，设置要保护的文件/文件夹。本例中，设置保护D:\个人照片，D:\我的日记.txt。

2)绑定U盘

USB设备信息：USB\VID_0000&PID_0000,序列号19491312050840760045。

计算机硬件信息：

CPUID：BFEBFBFF000306A9

主板序号：MF70C5G07100562

硬盘序号：000000001220033B6EA3

网卡MAC地址：10BF48766C61

此处会生成四个文件，最终存储到c:\windows\usb-binding..目录(此处目录名中带两个.，目的是防止用户误删除该文件夹，访问时用usb-bi～1代替)。由此，对同一计算机，不同的U盘将生成不同的文件名；同一U盘在不同计算机上也将生成不同的文件名。

文件中存储加密后的USB设备信息及对应的硬件ID。

(2)选择要关联的权限，并设置具体内容

对文件/文件夹权限，设置：D:\个人照片及D:\我的日记.txt。

(3)将以上信息加密并分别写入硬盘的特定目录C:\windows\usb-bi～1\的.info文件中。

将(1)中设置的内容，使用密钥“123456”，用DES加密算法加密后写入(1)中生成的4个.info文件。

将(2)中设置的内容，使用密钥“123456”，用DES加密算法加密后写入(1)中生成的4个.info文件。

对iPhone5，，使用相同的步骤进行绑定，其设备信息为：USB\VID_05AC&PID_12A8，序列号为：fb463f4af04fbde43ded22e4edd363ceadc49ce4；文件/文件夹权限，设置：D:\财务数据及E:\程序备份。

3)插入U盘，启动计算机。

4)检测到有U盘。

5)读取U盘信息及计算机信息，组合生成4个文件名，然后从硬盘目录c:\windows\usb-bi～1下读取这四个文件。

6)若(5)中生成的4个文件，任意一个存在，就判断其内容文件存在且内容匹配，则继续。此处，若将U盘格式化后再插入计算机，则转到(11)。

7)读取硬盘目录c:\windows\usb-bi～1下的.info文件，若任一存在，就读取其内容，并使用密钥“123456”,用DES算法解密。

8)将权限设置文件的内容下发给驱动程序。

将要过滤的URL和关键字信息传递给网络过滤驱动；

将要保护的文件/文件夹路径传递给文件系统过滤驱动。

9)此时，U盘在系统中存在，用户正常使用计算机。

网络过滤驱动程序会过滤URL和网络内容，禁止用户访问*.163.com格式的URL及含有“桃色”或“喜羊羊”或“灰太狼”的页面；文件系统过滤驱动会显示文件夹“D:\个人照片”及文件“D:\我的日记.txt”，但此时用户无法访问“D:\财务数据”及“E:\程序备份”。

10)拔掉U盘

11)服务程序立即锁屏，并通知网络过滤驱动删除之前设置的URL及关键字信息；通知文件系统过滤驱动，隐藏文件夹“D:\个人照片”及文件“D:\我的日记.txt”。

12)用户插入绑定的iPhone5，转到(5)，继续执行流程，此时：

用户可以访问文件夹“D:\财务数据”及“E:\程序备份”，但无法访问文件夹“D:\个人照片”及文件“D:\我的日记.txt”。

不过滤任何网络内容。

通过本发明，可取得以下技术效果：

4、一个可移动设备可以与多台计算机绑定，节约成本。

5、生成的信息以文件格式存放，用户可以很方便地将其保存到U盘、USB接口移动硬盘、计算机、邮箱或云盘，一旦可移动设备丢失或损毁，可以很方便地进行恢复，不影响对计算机的使用。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应保护在本发明的保护范围之内。

Claims

1.一种管理计算机用户权限的方法，该方法包括如下步骤：

1)将一USB外设插入计算机；

2)读取所述USB外设和所述计算机的硬件识别信息；

2.根据权利要求1所述的方法，所述USB外设为U盘、USB接口鼠标、USB接口移动硬盘或USB接口智能终端。

3.根据权利要求1所述的方法，所述USB外设和所述计算机的硬件识别信息具体为：所述USB外设的VID(Vendor ID)，PID(Product ID)，设备序列号和所述计算机中的CPU序列号、主板序列号、硬盘序列号和网卡的MAC地址。

4.根据权利要求1所述的方法，所述用户身份识别文件存储在所述USB外设或者所述计算机的特定目录下。

5.根据权利要求3所述的方法，所述用户身份识别文件内容包括：所述USB外设和所述计算机的硬件识别信息，持有所述USB外设的所述计算机用户要保护的文件/目录的权限管理信息，访问网络的权限管理信息。

6.根据权利要求4或5所述的方法，完成所述步骤4)之后，重新启动计算机；在所述步骤5)中，当检测到所述USB外设插入所述计算机时，根据所述USB外设和所述计算机的硬件识别信息在所述USB外设或者所述计算机中查找所述用户身份识别文件，如果查找到所述用户身份识别文件，解密所述用户身份识别文件，从而获取所述权限管理信息，实现对所述计算机用户的权限管理。

7.根据权利要求6所述的方法，当检测到所述USB外设从所述计算机拔出时，禁止所述计算机用户对所述计算机的操作，并撤销根据所述用户身份识别文件中的所述权限管理信息对所述计算机用户进行的权限管理。

8.一种计算机系统，该系统包括：一计算机和一USB外设；

在所述用户身份识别文件中存储述USB外设和所述计算机的硬件识别信息及计算机用户的权限管理信息；当检测到所述USB外设插入计算机时，根据所述用户身份识别文件中的所述权限管理信息对所述计算机用户进行权限管理。

9.根据权利要求8所述的计算机系统，所述USB外设为U盘、USB接口鼠标、USB接口移动硬盘或USB接口智能终端，所述USB外设和所述计算机的硬件识别信息具体为：所述USB外设的VID(Vendor ID)，PID(Product ID)，设备序列号和所述计算机中的CPU序列号、主板序列号、硬盘序列号和网卡的MAC地址。

10.根据权利要求9所述的计算机系统，所述用户身份识别文件的内容包括：述USB外设和所述计算机的硬件识别信息，持有所述USB外设的计算机用户要保护的文件/目录的权限管理信息，访问网络的权限管理信息。