CN105141416A - 基于硬件芯片的用户权限分发控制系统及方法 - Google Patents

基于硬件芯片的用户权限分发控制系统及方法 Download PDF

Info

Publication number
CN105141416A
CN105141416A CN201510662893.0A CN201510662893A CN105141416A CN 105141416 A CN105141416 A CN 105141416A CN 201510662893 A CN201510662893 A CN 201510662893A CN 105141416 A CN105141416 A CN 105141416A
Authority
CN
China
Prior art keywords
user
application platform
password
information
user right
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201510662893.0A
Other languages
English (en)
Inventor
李勋
吴松洋
张涛
张瑜
张春凤
曹伟
杨涛
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Third Research Institute of the Ministry of Public Security
Original Assignee
Third Research Institute of the Ministry of Public Security
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Third Research Institute of the Ministry of Public Security filed Critical Third Research Institute of the Ministry of Public Security
Priority to CN201510662893.0A priority Critical patent/CN105141416A/zh
Publication of CN105141416A publication Critical patent/CN105141416A/zh
Pending legal-status Critical Current

Links

Landscapes

  • Storage Device Security (AREA)

Abstract

本发明涉及一种基于硬件芯片的用户权限分发控制系统及方法，所述的系统包括：应用平台，用以获取与Ukey设备相对应的用户个人信息，并向可信计算密码支撑平台发送与用户个人信息相对应的用户权限信息，以及提供用户修改用户权限信息的平台；可信计算密码支撑平台，用以查询、更新并存储系统用户权限策略文件；Ukey设备，用以向所述的应用平台提供用户个人信息。采用该种结构的基于硬件芯片的用户权限分发控制系统及方法，增强应用平台的安全性，利用硬件芯片的加解密算法和硬件芯片的安全存储增强了系统用户操作的可信性，结构简单，操作方便，其应用范围广泛。

Description

基于硬件芯片的用户权限分发控制系统及方法
技术领域
本发明涉及通信技术领域，尤其涉及信息安全，具体是指一种基于硬件芯片的用户权限分发控制系统及方法。
背景技术
随着电子信息技术的不断发展，各种应用平台的普及，对系统的安全有了更高的要求，特别是一些影响较大的关键应用。目前，很多系统采取的安全措施有：基于SSL的安全链接、采用复杂的密码加密算法、基于证书的PKI身份认证等；这些安全措施都是在软件层面对系统采取的防范行为，若攻击者通过系统漏洞篡改了与身份验证相关的程序或数据，则会给系统带来信息泄漏，恶意操作等风险。本发明给出了一种基于硬件芯片的用户权限分发控制技术，利用硬件芯片对访问者的身份进行验证，并加密存储系统策略文件，可有效保证系统的安全。
发明内容
本发明的目的是克服了上述现有技术的缺点，提供了一种能够实现的基于硬件芯片的用户权限分发控制系统及方法。
为了实现上述目的，本发明的基于硬件芯片的用户权限分发控制系统及方法具有如下构成：
该基于硬件芯片的用户权限分发控制系统，其主要特点是，所述的系统包括：
应用平台，用以获取与Ukey设备相对应的用户个人信息，并向可信计算密码支撑平台发送与用户个人信息相对应的用户权限信息，以及提供用户修改用户权限信息的平台；
可信计算密码支撑平台，用以查询、更新并存储系统用户权限策略文件；
Ukey设备，用以向所述的应用平台提供用户个人信息。
进一步地，所述的可信计算密码支撑平台包括：
可信服务模块，用以加密、解密以及验证与所述的用户个人信息相对应的密码是否正确；
可信密码模块，用以提供密码算法引擎；
加密存储芯片，用以存储用户权限策略文件以及可信服务模块的加密、解密以及验证与所述的用户个人信息相对应的密码的结果。
进一步地，所述的Ukey设备还存储有用户的认证信息以及使用期限信息。
本发明还涉及一种用户权限分发控制的方法，其主要特点是，所述的方法包括：
(1)用户将所述的Ukey设备插入所述的应用平台；
(2)所述的应用平台获取与所述的Ukey设备相对应的用户个人信息，并向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息；
(3)所述的可信计算密码支撑平台读取系统用户权限策略文件后，获取所述的应用平台请求的用户权限信息；
(4)所述的应用平台展现该用户权限信息；
(5)所述的用户主动修改该用户权限信息；
(6)所述的可信计算密码支撑平台根据用户修改后的用户权限信息生成新的系统用户权限策略文件并保存。
进一步地，所述的步骤(1)包括以下步骤：
(1.1)所述的应用平台判断是否有Ukey设备插入至所述的应用平台；
(1.2)如果有Ukey设备插入至所述的应用平台，则继续步骤(2)；
(1.3)如果无Ukey设备插入至所述的应用平台，则继续步骤(1.1)。
进一步地，所述的可信计算密码支撑平台包括可信服务模块，所述的向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息，包括以下步骤：
(2.1)所述的应用平台显示密码输入界面；
(2.2)所述的用户向所述的应用平台输入密码；
(2.3)所述的可信服务模块解密并判断所述的密码是正确；
(2.4)如果所述的密码正确，则所述的应用平台显示登录成功后，向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息；
(2.5)如果所述的密码错误，则所述的应用平台显示登录失败。
进一步地，所述的步骤(6)之后还包括以下步骤：
(7)所述的应用平台显示修改成功的信息。
采用了该发明中的基于硬件芯片的用户权限分发控制系统及方法，与现有技术相比，具有以下有益效果：
本发明的基于硬件芯片的用户权限分发控制系统及方法增强应用平台的安全性，利用硬件芯片的加解密算法和硬件芯片的安全存储增强了系统用户操作的可信性：用户对应用平台的访问通过硬件芯片进行权限验证，系统用户访问权限策略也是以文件的方式存储的硬件芯片中，且硬件芯片使用自带的加密算法对存储文件进行了加密，确保了策略文件的安全性。相比传统的软件加密，硬件加密具有更高的不可篡改性，在此基础上构造的应用平台也具有更高的安全性。
附图说明
图1为本发明的基于硬件芯片的用户权限分发控制系统的结构示意图。
图2为本发明的系统用户权限策略文件的结构示意图。
图3为本发明的用户权限分发控制的方法的步骤流程图。
具体实施方式
为了能够更清楚地描述本发明的技术内容，下面结合具体实施例来进行进一步的描述。
本发明涉及可信密码服务技术，通过利用硬件芯片的计算和存储实现终端用户的身份识别与认证，确保系统的安全性与可靠性。本发明基于TCM(可信密码模块)技术，给出了一种基于硬件芯片的用户权限分发控制系统，整个系统包括三部分：实现各种业务需求的应用平台、提供用户权限控制的可信计算密码支撑平台，代表终端用户身份的UKey设备。应用平台部署于单位或使用者的服务器，为终端用户提供各种业务流程操作，系统管理操作等，包含多种服务，如Web服务、各种中间件服务、数据库服务等，目前很多系统都是在应用平台的范围内通过各种软件手段增强系统的可靠性；本发明旨在硬件层添加可信计算密码模块(TCM)，TCM位于硬件层，为应用平台提供服务，用以识别终端用户，确保了应用平台被正常访问。
请参阅图1至图3所示，本发明的基于硬件芯片的用户权限分发控制系统包括：
应用平台，用以获取与Ukey设备相对应的用户个人信息，并向可信计算密码支撑平台发送与用户个人信息相对应的用户权限信息，以及提供用户修改用户权限信息的平台；
可信计算密码支撑平台，用以查询、更新并存储系统用户权限策略文件；
Ukey设备，用以向所述的应用平台提供用户个人信息。
在一种优选的实施方式中，所述的可信计算密码支撑平台包括：
可信服务模块，用以加密、解密以及验证与所述的用户个人信息相对应的密码是否正确；
可信密码模块，用以提供密码算法引擎；
加密存储芯片，用以存储用户权限策略文件以及可信服务模块的加密、解密以及验证与所述的用户个人信息相对应的密码的结果。
此外，在一种优选的实施方式中，TCM(可信密码模块)包含三个信任根，并提供多种密码算法引擎；TSM(TCM服务模块)为整个平台提供身份证明服务、数据安全保护服务、加解密服务等；TCM和TSM由硬件芯片提供，通过独立的硬件芯片对用户信息进行加解密，并将计算结果和用户系统策略文件存储于加密存储芯片上，这种方式能有效保证软件的安全性和存储的安全性。
在一种优选的实施方式中，所述的Ukey设备还存储有用户的认证信息以及使用期限信息。授权UKey存储应用系统的终端用户个人信息、认证信息以及使用期限信息，作为终端用户的身份标识在登录系统时，将这些信息传给可信计算密码支撑平台进行身份验证。
另外，需要说明的是，应用程序和TCM的交互通过TCM软件协议栈进行，TCM软件协议栈包括CryptoAPI、CNG-API、PKCS-API等，这些都是通用性的接口标准，应用平台将TCM视为构建安全应用的信任根，通过TCM软件协议直接实现TCM功能调用，与TCM功能调用密切相关的业务操作有：系统用户信息的变更，系统用户权限的变更。应用平台与TCM交互的过程如图3所示。
请参阅图3所示，本发明还涉及一种用户权限分发控制的方法，所述的方法包括：
(1)用户将所述的Ukey设备插入所述的应用平台；
(2)所述的应用平台获取与所述的Ukey设备相对应的用户个人信息，并向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息；
(3)所述的可信计算密码支撑平台读取系统用户权限策略文件后，获取所述的应用平台请求的用户权限信息；
(4)所述的应用平台展现该用户权限信息；
(5)所述的用户主动修改该用户权限信息；
(6)所述的可信计算密码支撑平台根据用户修改后的用户权限信息生成新的系统用户权限策略文件并保存。
在一种优选的实施方式中，所述的步骤(1)包括以下步骤：
(1.1)所述的应用平台判断是否有Ukey设备插入至所述的应用平台；
(1.2)如果有Ukey设备插入至所述的应用平台，则继续步骤(2)；
(1.3)如果无Ukey设备插入至所述的应用平台，则继续步骤(1.1)。
系统用户登录应用平台之前要先插入代表其个人的授权UKey设备，然后输入个人密码，系统在获取个人密码和终端用户个人信息后，将这些信息发送至TCM端，由TCM对用户身份进行识别，并将识别结果返回给应用平台。
在一种优选的实施方式中，所述的可信计算密码支撑平台包括可信服务模块，所述的向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息，包括以下步骤：
(2.1)所述的应用平台显示密码输入界面；
(2.2)所述的用户向所述的应用平台输入密码；
(2.3)所述的可信服务模块解密并判断所述的密码是正确；
(2.4)如果所述的密码正确，则所述的应用平台显示登录成功后，向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息；
(2.5)如果所述的密码错误，则所述的应用平台显示登录失败。
终端用户登录应用系统成功后，其授权模块由系统权限策略决定，系统权限策略以文件的方式存储的TCM端，需要应用平台访问TCM获得。系统权限策略的内容结构如图2所示，由三部分组成：用户信息、系统模块信息和用户模块授权信息；用户信息包括系统所有用户的用户名、密码、电子邮箱、手机号码等个人信息，系统模块包括系统所有可参与权限配置的功能模块，用户模块授权信息包含各用户能访问的功能模块。
应用系统有很多管理功能会涉及到系统权限策略的改变，如创建系统用户、修改系统用户、删除系统用户、修改单个系统用户的权限，当发生这些系统行为时，应用平台需要将变更后的系统权限策略递交给TCM，策略数据改动情况如表1所示，TCM根据策略文件内容生成文件，并进行加密存储。
表1.策略数据改动情况
变更行为 用户信息改动 功能模块改动 授权信息改动
用户添加删除 √ × √
系统模块增删改 × √ √
用户授权变更 × × √
用户信息变更 √ × ×
此外，在一种优选的实施方式中，所述的步骤(6)之后还包括以下步骤：
(7)所述的应用平台显示修改成功的信息。
采用了该发明中的基于硬件芯片的用户权限分发控制系统及方法，与现有技术相比，具有以下有益效果：
本发明的基于硬件芯片的用户权限分发控制系统及方法增强应用平台的安全性，利用硬件芯片的加解密算法和硬件芯片的安全存储增强了系统用户操作的可信性：用户对应用平台的访问通过硬件芯片进行权限验证，系统用户访问权限策略也是以文件的方式存储的硬件芯片中，且硬件芯片使用自带的加密算法对存储文件进行了加密，确保了策略文件的安全性。相比传统的软件加密，硬件加密具有更高的不可篡改性，在此基础上构造的应用平台也具有更高的安全性。
在此说明书中，本发明已参照其特定的实施例作了描述。但是，很显然仍可以作出各种修改和变换而不背离本发明的精神和范围。因此，说明书和附图应被认为是说明性的而非限制性的。

Claims (7)

1.一种基于硬件芯片的用户权限分发控制系统，其特征在于，所述的系统包括：
应用平台，用以获取与Ukey设备相对应的用户个人信息，并向可信计算密码支撑平台发送与用户个人信息相对应的用户权限信息，以及提供用户修改用户权限信息的平台；
可信计算密码支撑平台，用以查询、更新并存储系统用户权限策略文件；
Ukey设备，用以向所述的应用平台提供用户个人信息。
2.根据权利要求1所述的基于硬件芯片的用户权限分发控制系统，其特征在于，所述的可信计算密码支撑平台包括：
可信服务模块，用以加密、解密以及验证与所述的用户个人信息相对应的密码是否正确；
可信密码模块，用以提供密码算法引擎；
加密存储芯片，用以存储用户权限策略文件以及可信服务模块的加密、解密以及验证与所述的用户个人信息相对应的密码的结果。
3.根据权利要求1所述的基于硬件芯片的用户权限分发控制系统，其特征在于，所述的Ukey设备还存储有用户的认证信息以及使用期限信息。
4.一种基于权利要求1所述的系统实现用户权限分发控制的方法，其特征在于，所述的方法包括：
(1)用户将所述的Ukey设备插入所述的应用平台；
(2)所述的应用平台获取与所述的Ukey设备相对应的用户个人信息，并向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息；
(3)所述的可信计算密码支撑平台读取系统用户权限策略文件后，获取所述的应用平台请求的用户权限信息；
(4)所述的应用平台展现该用户权限信息；
(5)所述的用户主动修改该用户权限信息；
(6)所述的可信计算密码支撑平台根据用户修改后的用户权限信息生成新的系统用户权限策略文件并保存。
5.根据权利要求4所述的用户权限分发控制的方法，其特征在于，所述的步骤(1)包括以下步骤：
(1.1)所述的应用平台判断是否有Ukey设备插入至所述的应用平台；
(1.2)如果有Ukey设备插入至所述的应用平台，则继续步骤(2)；
(1.3)如果无Ukey设备插入至所述的应用平台，则继续步骤(1.1)。
6.根据权利要求4所述的用户权限分发控制的方法，其特征在于，所述的可信计算密码支撑平台包括可信服务模块，所述的向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息，包括以下步骤：
(2.1)所述的应用平台显示密码输入界面；
(2.2)所述的用户向所述的应用平台输入密码；
(2.3)所述的可信服务模块解密并判断所述的密码是正确；
(2.4)如果所述的密码正确，则所述的应用平台显示登录成功后，向所述的可信计算密码支撑平台发送与所述的用户个人信息相对应的用户权限信息；
(2.5)如果所述的密码错误，则所述的应用平台显示登录失败。
7.根据权利要求4所述的用户权限分发控制的方法，其特征在于，所述的步骤(6)之后还包括以下步骤：
(7)所述的应用平台显示修改成功的信息。
CN201510662893.0A 2015-10-14 2015-10-14 基于硬件芯片的用户权限分发控制系统及方法 Pending CN105141416A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510662893.0A CN105141416A (zh) 2015-10-14 2015-10-14 基于硬件芯片的用户权限分发控制系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510662893.0A CN105141416A (zh) 2015-10-14 2015-10-14 基于硬件芯片的用户权限分发控制系统及方法

Publications (1)

Publication Number Publication Date
CN105141416A true CN105141416A (zh) 2015-12-09

Family

ID=54726636

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510662893.0A Pending CN105141416A (zh) 2015-10-14 2015-10-14 基于硬件芯片的用户权限分发控制系统及方法

Country Status (1)

Country Link
CN (1) CN105141416A (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107168670A (zh) * 2017-05-04 2017-09-15 王志华 一种个人信息识别定制系统
CN107577953A (zh) * 2017-10-19 2018-01-12 郑州云海信息技术有限公司 一种基于cuse模拟可信密码模块的系统及方法
CN109508201A (zh) * 2019-01-17 2019-03-22 济南浪潮高新科技投资发展有限公司 一种基于硬件认证和安全审查的uefi更新方法及系统
CN110765449A (zh) * 2019-10-25 2020-02-07 山东超越数控电子股份有限公司 一种基于安全芯片的身份认证的方法、设备及介质
CN113810371A (zh) * 2021-08-04 2021-12-17 苏州椰云科技有限公司 一种软硬件解耦平台的安全管理方法
CN113868699A (zh) * 2021-08-30 2021-12-31 苏州浪潮智能科技有限公司 一种基于UKey的个人信息保护方法与系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101986325A (zh) * 2010-11-01 2011-03-16 山东超越数控电子有限公司 一种计算机安全访问控制系统及控制方法
WO2011130274A2 (en) * 2010-04-13 2011-10-20 Cornell University Private overlay for information networks
CN102236755A (zh) * 2011-05-04 2011-11-09 山东超越数控电子有限公司 一种单机多用户安全访问控制方法
CN102427447A (zh) * 2011-10-31 2012-04-25 浪潮齐鲁软件产业有限公司 一种税务云计算系统之间共享身份认证信息的方法
WO2013069776A1 (ja) * 2011-11-11 2013-05-16 日本電気株式会社 データベース暗号化システムと方法及びプログラム
CN103944868A (zh) * 2013-01-18 2014-07-23 深圳市华营数字商业有限公司 一种适用开放环境的应用分发与管理的方法和系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011130274A2 (en) * 2010-04-13 2011-10-20 Cornell University Private overlay for information networks
CN101986325A (zh) * 2010-11-01 2011-03-16 山东超越数控电子有限公司 一种计算机安全访问控制系统及控制方法
CN102236755A (zh) * 2011-05-04 2011-11-09 山东超越数控电子有限公司 一种单机多用户安全访问控制方法
CN102427447A (zh) * 2011-10-31 2012-04-25 浪潮齐鲁软件产业有限公司 一种税务云计算系统之间共享身份认证信息的方法
WO2013069776A1 (ja) * 2011-11-11 2013-05-16 日本電気株式会社 データベース暗号化システムと方法及びプログラム
CN103944868A (zh) * 2013-01-18 2014-07-23 深圳市华营数字商业有限公司 一种适用开放环境的应用分发与管理的方法和系统

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107168670A (zh) * 2017-05-04 2017-09-15 王志华 一种个人信息识别定制系统
CN107168670B (zh) * 2017-05-04 2020-12-01 王志华 一种个人信息识别定制系统
CN107577953A (zh) * 2017-10-19 2018-01-12 郑州云海信息技术有限公司 一种基于cuse模拟可信密码模块的系统及方法
CN107577953B (zh) * 2017-10-19 2020-02-21 郑州云海信息技术有限公司 一种基于cuse模拟可信密码模块的系统及方法
CN109508201A (zh) * 2019-01-17 2019-03-22 济南浪潮高新科技投资发展有限公司 一种基于硬件认证和安全审查的uefi更新方法及系统
CN110765449A (zh) * 2019-10-25 2020-02-07 山东超越数控电子股份有限公司 一种基于安全芯片的身份认证的方法、设备及介质
CN113810371A (zh) * 2021-08-04 2021-12-17 苏州椰云科技有限公司 一种软硬件解耦平台的安全管理方法
CN113868699A (zh) * 2021-08-30 2021-12-31 苏州浪潮智能科技有限公司 一种基于UKey的个人信息保护方法与系统
CN113868699B (zh) * 2021-08-30 2023-08-22 苏州浪潮智能科技有限公司 一种基于UKey的个人信息保护方法与系统

Similar Documents

Publication Publication Date Title
US11223614B2 (en) Single sign on with multiple authentication factors
CN109951489B (zh) 一种数字身份认证方法、设备、装置、系统及存储介质
US10447486B2 (en) Remote attestation of a security module's assurance level
CN108064440B (zh) 基于区块链的fido认证方法、装置及系统
US8301877B2 (en) System and method for configuring a valid duration period for a digital certificate
CN105141416A (zh) 基于硬件芯片的用户权限分发控制系统及方法
US20090240936A1 (en) System and method for storing client-side certificate credentials
US9445269B2 (en) Terminal identity verification and service authentication method, system and terminal
US20150038118A1 (en) Method for verifying the identity of a user of a communicating terminal and associated system
US8397281B2 (en) Service assisted secret provisioning
CN101321064A (zh) 一种基于数字证书技术的信息系统的访问控制方法及装置
CN103856468A (zh) 身份验证系统及方法
CN105429991A (zh) 移动终端高效数据传输方法
CN106936588A (zh) 一种硬件控制锁的托管方法、装置及系统
CN111355591A (zh) 一种基于实名认证技术的区块链账号安全的管理方法
CN110795765A (zh) 一种基于u盾的个人移动区块链操作系统
KR102118556B1 (ko) 프라이빗 블록체인 기반 개인정보 관리 서비스 제공 방법
KR102053993B1 (ko) 인증서를 이용한 사용자 인증 방법
US20230016488A1 (en) Document signing system for mobile devices
KR20130100032A (ko) 코드 서명 기법을 이용한 스마트폰 어플리케이션 배포 방법
US20140245412A1 (en) Linking credentials in a trust mechanism
US20200410123A1 (en) Document signing system for mobile devices
KR20170092992A (ko) 사용자 인증 시스템 및 그 방법
CN105516111A (zh) 智能设备实时数据交互方法
CN114978771B (zh) 一种基于区块链技术的数据安全共享方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20151209