CN110851837B - 一种基于可信计算的自助设备、其安全管理系统及方法 - Google Patents

Abstract

本发明公开了一种基于可信计算的自助设备、其安全管理系统及方法；其中自助设备包括：可信自助应用集合、可信安全管理代理、安全操作系统、TCM可信密码模块；TCM可信密码模块，用于实现可信机制；安全操作系统采用三权分立的安全权限机制，可信安全管理代理包括功能相互独立的安全执行代理、安全策略代理和安全审计代理；且安全执行代理、安全策略代理和安全审计代理，分别在权限为系统管理权、安全管理权和审计管理权时的安全操作系统下运行，并分别与服务端安全管理平台的系统管理服务、安全管理服务和审计管理服务进行一一对应通信；可信自助应用集合，用于在安全操作系统下为用户提供可信服务。本发明可以提升自助设备的安全性能。

Description

一种基于可信计算的自助设备、其安全管理系统及方法

技术领域

本发明涉及计算机安全技术领域，具体是指一种基于可信计算的自助设备、其安全管理系统及方法。

背景技术

自助服务在公共领域如金融、政务等电子渠道服务领域应用日趋重要，它们通常以离行、在行形式广泛部署在银行网点、企业社区等场所，其提供的服务已渗透到传统银行、证券之外的医疗、交通等行业，近年来针对自助银行设备的犯罪事例屡见不鲜、针对自助设备上盗取储户信息密码的案例也逐渐增加，安全问题成为多方关注的焦点。自助设备及系统在信息安全领域方面主要存在以下问题：

一是自助设备安全防护较弱，风险易忽视，缺少安全保障；其次是金融自助设备运行外在环境、维护的特点决定设备需要更完善的安全管控措施；再次是现有自助设备上缺少整体的安全管理方案。

面对这一系列的安全隐患，传统的防病毒和打补丁的安全方式，随着设备量的增多，病毒库的增大，要求的网络带宽增加，这样降低了设备的运行速度；再如操作系统厂商停止了安全更新，则相应增加了设备的安全风险。对于自助设备的安全，各银行及设备供应商施于自助设备的硬件攻击，对于更加隐形的软件攻击，银行采取的防范措施，大致分为3类：一是没有采用任何安全软件；二是采用了防病毒软件、防火墙之类的通用安全软件，这种情况居多，如：McAfee、Trend等；三是采用专用自助设备安全软件。防病毒软件对于自助设备而言，不是最佳选择，根本原因在于，防病毒软件需要不断更新病毒库(黑名单)，这为自助设备应用带来诸多的影响。

传统的三权分立系统的安全管理，存在执行权限在统一的客户端存在难以分离的问题，致使管理上要不就超出权限，要不就权限小无法执行，难以严格按分权原则解决。

综上所述，自助设备及应用信息安全领域在现阶段主要面临以下问题：自助设备面临的网络等外在环境更复杂，需要加强安全措施；设备及应用本身安全防护能力较弱，风险易忽视，并缺少整体安全管理方案；传统的防病毒和打补丁的安全方式，在自助设备上运用情况并不理想。

发明内容

针对上述问题及设备自助应用系统的特点，本发明提供一种基于可信计算的自助设备、其安全管理系统及方法，采用三权分立的安全管理机制，提升自助设备的安全性能。

为实现上述技术目的，本发明采用如下技术方案：

一种基于可信计算的自助设备，包括：可信自助应用集合、可信安全管理代理、安全操作系统、TCM可信密码模块；

所述TCM可信密码模块，用于为自助设备的安全管理提供可信度量根、可信存储根、可信报告根以实现可信机制；

所述安全操作系统采用三权分立的安全权限机制，其中三权分别为：系统管理权、安全管理权和审计管理权；

所述可信安全管理代理包括相互独立的安全执行代理、安全策略代理和安全审计代理；且安全执行代理、安全策略代理和安全审计代理，分别在权限为系统管理权、安全管理权和审计管理权时的安全操作系统下运行；

其中，所述安全执行代理通过与服务端安全管理平台的系统管理服务通信，以向服务端发送请求和通知；

所述安全策略代理通过与服务端安全管理平台的安全管理服务通信，以与服务端互相发送请求和通知；

所述安全审计代理通过与服务端安全管理平台的审计管理服务通信，以与服务端互相发送请求和通知；

所述可信自助应用集合，用于在所述安全操作系统下为用户提供可信服务。

进一步地，所述安全策略代理，用于从服务端安全管理平台的安全管理服务接收白名单提取指令，并从操作系统调用白名单以通过服务端安全管理平台的安全管理服务上送给服务端；所述安全策略代理，还用于从服务端安全管理平台的安全管理服务接收白名单下发指令，然后下载服务端的白名单签名文件以进行验签，并在验签通过时更新白名单；

所述安全审计代理，用于通过事件或定时获取机制向审计管理服务上传告警信息和日志数据。

本发明还提供一种基于可信计算的自助设备安全管理系统，包括服务端和上述自助设备，所述服务端采用三权分立的安全权限机制，其中三权分别为系统管理服务、安全管理服务和审计管理服务；且系统管理服务、安全管理服务和审计管理服务，相互之间采用HTTP RESTFUL和高速二进制协议相互调用；

所述系统管理服务包括用户的白名单功能权限分配；

所述安全管理服务支持白名单的集中管理，包括可信软件包签名服务、可信软件库和证书管理、白名单文件提取和下发管理、白名单模板管理、白名单远程启动与停止服务；

所述审计管理服务包括白名单告警信息查询、操作审计；

所述白名单模板管理，包括按组策略模式管理和指定策略模式管理；

所述指定策略模式管理，是指安全管理服务指定具体的自助设备，对该具体的自助设备进行白名单模板管理；

所述按组策略模式管理，是指安全管理服务按照筛选条件得到的自助设备集合，对该自助设备集合中的自助设备进行白名单模板集中管理；其中集中管理包括：当该自助设备集合增加新的自助设备时，将该自助设备集合的白名单模板下发至新增加的自助设备；若自助设备从该自助设备集合中移除时，将自助设备集合的白名单模板从待移除的自助设备中删除。

进一步地，所述安全管理平台还包括服务调度中心，所述服务调度中心用于所述安全管理平台建立分布式微服务架构，实现系统管理服务、安全管理服务和审计管理服务之间的相互调用。

本发明还提供一种基于可信计算的自助设备安全管理方法，包括：

步骤1，对自助设备的硬件环境进行验证，所述硬件环境包括BIOS、网卡、硬盘、操作系统加载器和操作系统内核；

步骤2，启动操作系统内核，启动安全白名单检测模块；

步骤3，安全白名单检测模块对自助设备自启动的可信自助应用程序进行白名单进程拦截验签；

步骤4，在自助设备运行过程中，安全执行代理需要对可信自助应用集合中的自助应用进行升级、增加或者删除时，安全执行代理向服务端安全管理平台提交白名单更新请求，以通过服务端安全管理平台的安全管理服务下发白名单更新指令；

步骤5，自助设备的安全策略代理在接收到白名单更新指令后，下载白名单验签文件以进行验签，并在验签通过时更新白名单。

进一步地，安全策略代理在白名单验签通过并更新白名单时，先判断白名单更新是全量更新还是增量更新：如果是全量更新，则调用操作系统提供的白名单导入接口，以清除自助设备当前的白名单并增加当前下发的白名单；如果是增量更新，则调用操作系统提供的白名单更新接口，以增加或删除当前下发的白名单项，保持当前的其余白名单项不变。

进一步地，步骤3中，采用HMAC-SM3算法对白名单进程拦截验签，且用于验签的可信白名单摘要值存储于TCM可信密码模块中；或者，

步骤5中对白名单进行验签的方法为：服务端对更新的白名单使用私钥对可信白名单摘要值进行数字签名，然后在自助设备的安全策略代理使用公钥进行验签；或者，服务端和自助设备端均使用HMAC-SM3算法生成白名单的摘要值，自助设备的安全策略端进行比较验证是否一致。

进一步地，在步骤3之前还包括，对自助设备的使用者进行验证，具体是指，采用本机密码与生物识别相结合的双因素认证方法，对使用者登录操作系统进行身份验证。

进一步地，在自助设备运行过程中，安全执行代理进行自助本地管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证；和/或，

在自助设备运行过程中，安全策略代理进行本地白名单管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证。

进一步地，互联网二维码身份验证的具体实施步骤包括：

步骤a1、自助设备基于TCM可信密码模块生成随机数R，用TCM可信密码模块的密钥Key1采用对称算法对随机数R加密生成密文C；

步骤a2、本地二维码认证客户端模块将软件标识号V、设备序列号SN及随机数R连接得到数据V|SN|R，并采用HMAC-SM3算法、使用密钥Key1对数据V|SN|R进行计算，生成散列值M；

步骤a3、自助设备基于QrCode二维码编码将软件标识号V、设备序列号SN及随机数密文C以及散列值M连接，生成二维码数据V|SN|C|M；

步骤a4、自助设备将生成的二维码数据V|SN|C|M弹出认证界面，提醒操作人员扫描二维码；

步骤a5、操作人员扫描二维码，在手机移动APP端输入用户名及密码，并基于SM2公钥对用户名和密码、二维码信息进行加密；

步骤a6、如服务端支持短信认证，则要求输入手机号，提交申请短信确认码，输入服务端回送的短信认证码，手机移动APP端将信息基于SM2公钥打包加密，通过公共网络发送至验证后台；

步骤a7、服务端通过SM私钥解密打包信息，并验证用户和密码的合法性；

步骤a8、验证通过后，根据用户名、软件标识号V和设备序列号SN版本号找到对应的密钥Key1，使用密钥Key1对随机数密文C解密获得随机数R，使用密钥Key1对字符串V|C|R计算HMAC生成散列值M1，比较M是否等于M1，相等则验证通过，然后根据随机数R和设备序列号SN，按预制的算法和密钥生成验证码；

步骤a9、后台验证该请求合法性，若验证通过，则返回验证码至手机移动APP端；

步骤a10、操作人员在给定的时限内在自助设备上输入验证码；

步骤a11、自助设备基于随机数R和设备序列号SN比对输入的验证码，完成身份验证。

有益效果

本发明的技术效果为：

1、本发明的自助设备操作系统与系统服务端均采用三权分立的安全权限机制，实现自助设备的安全执行代理与服务端安全管理平台的系统管理服务、自助设备的安全策略与服务端安全管理平台的安全管理服务、自助设备的安全审计与服务端安全管理平台的审计管理服务，一一对应通信，实现集中管理和本地身份鉴别管理机制的一致性，并通过三权分立以最小特权和权值分离为原则，实现更高级别的安全角色隔离。

2、本发明在三权分立的安全操作系统进行白名单管理，由安全执行代理、安全策略代理和安全审计代理，分别根据各自的权限完成相应的角色功能，最终解决自助设备在自助应用程序更新维护时的白名单更新管理问题，这种白名单更新管理机制的安全性高。

3、本发明系统中的安全管理平台采用了分布式微服务架构，实现三权分立的子系统服务的协作调用机制，方便子系统服务独立部署，并支持负载和水平扩容，容易实现协作调用的数据监控和治理

4、本发明方法，从TCM可信密码模块经操作系统至应用层的安全链路，实现应用白名单管理，从根本上解决安全进程问题，实现高强度的主动防御机制。

5、本发明在操作系统登录采用本机密码与生物识别相结合进行双因素认证，安全执行代理进行自助本地管理和安全策略代理进行本地白名单管理，分别采用互联网二维码身份验证与生物识别相结合进行双因素认证，可以实现操作系统和可信本地应用程序两级鉴权机制，在保留原有系统鉴权机制的基础上再支持加固扩展，考虑了安全和易运维性的平衡。

附图说明

图1为本发明的自助设备安全管理系统的组成图；

图2为本发明自助设备安全管理方法示意图；

图3为本发明自助设备安全管理系统的协作关系图；

图4为本发明对自助设备的使用者和代理权限进行身份验证的示意图；

图5为本发明对代理权限进行互联网二维码身份验证的示意图。

具体实施方式

下面对本发明的实施例作详细说明，本实施例以本发明的技术方案为依据开展，给出了详细的实施方式和具体的操作过程，对本发明的技术方案作进一步解释说明。

实施例一：

本实施例提供一种基于可信计算的自助设备，如图1所示的自助设备端，与图1中所示中的系统服务端一起构成安全管理系统。其中，本发明实施中的自设备包括可信自助应用集合、可信安全管理代理、安全操作系统、可信BIOS固件、TCM可信密码模块，其中可信安全管理代理包括功能相互独立的安全执行代理、安全策略代理和安全审计代理。安全管理系统的系统服务端，其安全管理平台包括Web管理控制台、服务调度中心、系统管理服务、安全管理服务和审计管理服务。

其中，安全操作系统采用三权分立的安全权限机制，其中三权分别为：系统管理权、安全管理权和审计管理权；且安全执行代理、安全策略代理和安全审计代理，分别在权限为系统管理权、安全管理权和审计管理权时的安全操作系统下运行；可信BIOS固件负责安全操作系统引导；

TCM可信密码模块，用于为自助设备的安全管理提供可信度量根、可信存储根、可信报告根以实现可信机制，实现的主要功能包括TCM基础管理功能、安全存储、安全计算、安全通信、用户数据安全、系统完整性度量与验证、可信身份识别与鉴别等；

可信自助应用集合，即安装自助设备上、用于在安全操作系统下运行并为用户提供可信服务的可信自助应用的集合。

本实施例中的自助设备操作系统与系统服务端均采用三权分立的安全权限机制，实现自助设备的安全执行代理与服务端安全管理平台的系统管理服务、自助设备的安全策略与服务端安全管理平台的安全管理服务、自助设备的安全审计与服务端安全管理平台的审计管理服务，一一对应通信，实现集中管理和本地身份鉴别管理机制的一致性，并通过三权分立以最小特权和权值分离为原则，实现更高级别的安全角色隔离。

作为本实施例的更优选择，其中的安全执行代理，用于在更新维护自助应用集合时，根据待更新维护的可信自助应用的安装包白名单，向服务端的安全管理服务提交白名单更新请求。安全策略代理，则用于从服务端安全管理平台的安全管理服务接收白名单提取指令，并从操作系统调用白名单以通过服务端安全管理平台的安全管理服务上送给服务端；而且安全策略代理，还用于从服务端安全管理平台的安全管理服务接收并执行白名单下发指令，然后下载服务端的白名单签名文件以进行验签，并在验签通过时更新白名单。另外，安全审计代理，则用于通过事件或定时获取机制，向服务端安全管理平台的审计管理服务提交日常审计信息。另外安全审计代理，则用于通过事件或定时获取机制向审计管理服务上传告警信息和日志数据。

本实施例中的安全执行代理、安全策略代理和安全审计代理，在三权分立的安全操作系统上，分别根据各自的权限完成相应的角色功能，最终解决自助设备在自助应用程序更新维护时的白名单更新管理问题，这种白名单更新管理机制的安全性高。

实施例二：

本实施例提供一种基于可信计算的自助设备安全管理系统，包括实施例一所述的基于可信计算的自助设备和服务端，其中服务端的安全管理平台包括系统管理服务、安全管理服务和审计管理服务，分别与自助设备的安全执行代理、安全策略代理和安全审计代理一一对应通信，完成相应的请求和通知下发等。本实施例中，服务端安全管理平台的系统管理服务、安全管理服务和审计管理服务，与自助设备的安全执行代理、安全策略代理和安全审计代理，之间采用高速二进制协议如prototbuf编码的TCP协议或HTTP2进行通信。

其中，安全管理平台还包括服务调度中心，用于安全管理平台建立分布式微服务架构，作为安全管理平台的协作注册中心，实现安全管理平台的系统管理服务、安全管理服务和审计管理服务之间的相互调用。而且在本实施例中，三权分立的子系统，即系统管理服务、安全管理服务和审计管理服务，相互之间采用HTTP RESTFUL和高速二进制协议进行远程调用，通过服务调度中心实现服务注册和通知。

其中，所述系统管理服务包括用户的白名单功能权限分配；所述安全管理服务支持白名单的集中管理，包括可信软件包签名服务、可信软件库和证书管理、白名单文件提取和下发管理、白名单模板管理、白名单远程启动与停止服务；所述审计管理服务包括白名单告警信息查询、操作审计。以下分别进行进一步解释说明：

1、安全管理服务的可信软件库和证书管理

证书管理包括证书生成导入、证书分发、证书更新管理。证书生成导入支持离线导入和在线申请方式，离线方式由安全管理服务生成SM2密钥对，导入证书；在线申请，是与CA中心对接，提交证书申请、下载证书至安全管理服务存储。证书分发是安全管理服务通过安全策略代理下发证书至自助设备的TCM模块中。证书更新是在证书超过有效期或私钥丢失等原因时提供申请证书更新功能。

可信软件库管理是安全管理服务将可信软件包在可信仓库进行提供存储，并提供可信软件库的可视化查询分页列表，可支持按条件和模糊关键字进行过滤。

2、安全管理服务的可信软件包签名服务

可信软件包签名服务，先通过软件预安装自动记录产生的新文件和修改后的文件，再通过分析过滤获得可执行文件和其依赖关系表，或手工维护一个软件包的可执行文件列表和关系依赖表。然后采用SM3-HMAC算法和加密密钥或安全管理服务的私钥对可行性文件列表的文件的SM3摘要进行签名，生成可信软件包(含签名后的白名单列表)并存入可信软件库；

3、安全管理服务的白名单文件提取和下发管理

白名单文件提取：Web管理控制台(安全管理服务界面)展示设备列表，安全管理员选择自助设备执行该功能，安全管理服务下发提取自助设备进程白名单的指令给到安全策略代理。安全策略代理访问安全操作系统白名单导出接口，以获取白名单列表数据，并上送数据至安全管理服务，提取结果以白名单模板形式保存在服务端。在提取过程中，通过Web管理控制台实时查看提取状态，提取状态有提取完成、提取中、提取失败。

白名单文件下发管理：Web管理控制台(安全管理服务界面)展示设备选择范围如设备机构、设备类型、设备生产商等。可按组策略或设备策略模式下发任务，其中按设备策略模式是指具体特定的自助设备，组策略模式是应用在选择的范围筛选的一组自助设备上。当该组中加入新设备时，该白名单会自动下发并应用至自助设备端。白名单任务下发过程中，通过Web管理控制台实时查看下发状态，状态有下发进行、完成、暂停、失败等。安全管理服务将白名单下发的指令推送至安全策略代理；安全策略代理收到下发指令后，下载服务端的白名单签名文件，访问安全操作系统的验签接口进行验证比较，如果验签不通过则拒绝，如果验签通过，则判别该下发类型是全量(全局)更新还是增量更新，若是全量更新则访问白名单导入接口，清除已有白名单列表，同时添加本次下发的白名单列表)；若是增量更新，则只增加或删除本次下发白名单列表项。

4、安全管理服务的白名单模板管理

白名单模板管理，包含对白名单模板进行新增、修改、删除、复制、详细白名单查看、下发、对比等操作。其中：白名单模板可分为全局模板和自定义模板。

全局模板提供全量模板基础白名单清单，全局白名单模板会应用到所有接入设备上。

在新增模板时，提供全局白名单导入方式、从现有设备白名单提取文件中创建、从已有模板中生成、从可信软件库软件中生成。从可信软件库生成时，安全策略服务分析选中的软件包中的白名单列表和依赖关系表，自身及并将被选软件的所依赖的软件包的白名单列表加入模板。

在进行全局白名单维护时，当导入的白名单和已有的全局白名单模板中存在差异进程时，可在差异选择界面中选择优先级别：

全部保留：导入的名单和全局模板中的hash值都有效。

名单优先：导入的名单中的hash值有效，模板中的将导入的替换。

模板优先：模板中的hash值有效，导入文件中名单将不会导入。

当进行自定义模板维护时，导入的自定义白名单和已有的全局白名单模板中存在差异进程时，可在差异选择界面中选择优先级别：

全部保留：自定义名单和全局模板中的hash值都有效。

名单优先：自定义名单中的hash值有效，模板中的将被自定义的替换。

模板优先：模板中的hash值有效，自定义中的将不会导入。

所述的全局白名单模板提供历史查询功能，可选查看详情的全局白名单模板，可查看此模板与之前模板对比新增和删除的进程名单列表。

5、安全管理服务的白名单远程启动与停止服务

系统可在服务端推送指令至安全策略代理端，实现设备进程白名单管理远程启动\停止服务。

6、审计管理服务的白名单告警信息查询和操作审计

白名单告警信息查询：Web管理控制台(审计管理服务界面)提供对所有设备的白名单安全告警信息进行查看。安全审计代理通过事件或定时获取机制向审计管理服务上传告警信息、日志等审计数据。该白名单告警信息查询，可以标记该告警信息状态从未阅到已阅；提供删除告警信息功能；提供推荐进程添加到白名单的通知功能：通过告警信息的进程推荐至设备端的白名单模板，再转由安全策略服务进行确认，并执行应用下发。

操作审计：操作审计功能主要对设备运行中的可信策略相关操作、管理员的相关操作记录等进行记录储存。审计记录支持按日期、操作类型等模糊查询，同时定期对审计记录进行备份。

服务端安全管理平台功能是对自助设备及系统进行安全管控，其管控渠道，主要是通过自助设备的各代理进程实现，该代理进程如果工作在一个系统用户身份下，根据安全操作系统原则，如果权限过大则违背三权分立原则，如果权限过小，则执行不了远程控制功能。因此本实施例将代理端按三类用户分别划分功能在三个进程。

服务端安全管理服务平台采取三权分立分开管理，主要是实现了管理系统基于服务架构进行模块化，同时可以融入微服务架构进行系统治理。三个分权模块，既可以融合也可以独立部署，还可以水平扩容。便于系统平台化的灵活配置和组装。同时属于服务端用户来说，功能也更清晰。

实施例三：

本实施例提供一种基于可信计算的自助设备安全管理方法，应用于实施例二中的自设备安全管理系统，如图2所示，包括以下步骤：

步骤1，对自助设备的硬件环境进行验证，所述硬件环境包括BIOS、网卡、硬盘、操作系统加载器和操作系统内核；具体对硬件环境进行验证包括：

步骤1.1，系统加电、基础设备硬件初始化；

步骤1.2，TCM可信密码模块初始化；

步骤1.3：验证BIOS完整性；若验证通过，则执行步骤1.4，否则结束自助设备安全启动流程，认为自助设备存在硬件问题；

步骤1.4：检测网卡、硬盘完整性；

步骤1.5：验证OS Loader完整性；

步骤1.6：检测OS内核完整性。

步骤2，启动操作系统内核，启动安全白名单检测模块；

步骤3，对自助设备自启动的可信自助应用程序进行验证；具体验证过程为：

步骤3.1，安全白名单检测模块采用HMAC-SM3算法检测自启动自助应用程序，用于对进程进行拦截检测，看是否在白名单内；

其中，本实施例采用HMAC-SM3算法对白名单进程拦截验签，且用于验签的可信白名单摘要值存储于TCM可信密码模块中，安全白名单检测模块对白名单进程进行验签时，需要从TCM可信密码模块中提取该白名单摘要值，并与接收到的白名单签名值比较，若比较相同则认为验签通过，若不同则认为验签不通过。

步骤3.2，从TCM可信密码模块提取自启动自助应用程序的可信白名单摘要值(采用HMAC-SM3算法计算得到)，并与步骤2.2得到的检测值比较：若相同，则该自启动自助应用程序验证通过，启动该自启动自助应用程序，且OS内核安全检测模块监听当前运行自助应用程序；若不相同，则阻止该自启动自助应用程序，并启动安全审计代理发送安全告警信息至安全管理平台；

本发明中的可信白名单摘要值，存储于TCM可信密码模块中，具体是通过服务端的安全管理服务远程下发导入和更新，或者通过运行安全管理员用户运行白名单管理工具导入，为本领域现有技术，在此不再详细赘述。

步骤4，在自助设备运行过程中，安全执行代理需要对可信自助应用集合中的自助应用进行升级、增加或者删除时，安全执行代理向服务端安全管理平台提交白名单更新请求，以通过服务端安全管理平台的安全管理服务下发白名单更新指令；

其中，安全执行代理向服务端安全管理平台提交白名单更新请求时，可以直接发送给服务端安全管理平台的安全管理服务，也可以间接通过系统管理服务发送给安全管理服务。

另外，服务端安全管理平台还包括系统管理服务，以用于安全管理平台建立分布式微服务架构，从而实现系统管理服务、安全管理服务和审计管理服务之间的相互调用。

步骤5，自助设备的安全策略代理在接收到白名单更新指令后，根据通知报文中的白名单和签名值对其中的白名单进行验签，并在验签通过时更新白名单。

具体地，安全策略代理在白名单验签通过并更新白名单时，先判断白名单更新是全量更新还是增量更新：如果是全量更新，则调用操作系统提供的白名单导入接口，以清除终端当前的白名单并增加当前下发的白名单；如果是增量更新，则调用操作系统提供的白名单更新接口，以增加或删除当前下发的白名单项，保持当前的其余白名单项不变。

步骤5中对白名单进行验签的方法可以有两种，一种是服务端对更新的白名单使用私钥对SM3进行数字签名，然后在自助设备的安全策略代理使用公钥进行验签；另一种是，服务端和自助设备端均使用HMAC-SM3算法生成白名单的摘要值，自助设备的安全策略端进行比较验签。

如果对白名单验签不通过，则拒绝本次由服务端下发要更新的白名单，并形成日志写入审计存储区。客户端审计信息，通过事件或定时获取机制上传服务端审计服务端，通过RPC调用分布式调用写入审计管理服务，实现白名单的安全告警、日志数据查询等功能。

在更优的实施例中，步骤3之前还包括对自助设备的使用者进行验证，具体可采用本机密码与生物识别相结合的双因素认证方法，对使用者登录操作系统进行身份验证，双因素认证通过后即可分别登录进入系统管理、安全管理或审计管理的角色权限的操作系统中。

在更优的实施例中，在自助设备运行过程中，安全策略代理进行本地白名单管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证。另外，在自助设备运行过程中，安全执行代理进行自助本地管理之前，也可相同采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证。

因此，本发明可以实现操作系统和可信本地应用程序(包括本地白名单管理登录、自助本地管理登录)两级鉴权机制，支持两级软件层级的均采用双因素身份认证机制，并结合操作系统和应用差异化实现，即操作系统采用本地密码与生物识别相结合、可信本地应用程序采用互联网二维码身份与生物识别相结合，在保留原有系统鉴权机制的同时又支持加固扩展，考虑了安全和易运维性的平衡。

其中,如图5所示，采用互联网二维码身份验证，具体可在自助设备部署二维码认证登录程序，以对操作人员进行安全验证。安全验证通过在登录界面增加验证码实现，根据后台是否支持短信，安全验证过程可以分为支持短信认证过程和不支持短信认证过程两种情况。

二维码认证系统由本地二维码认证客户端模块(内嵌在白名单管理和自助本地管理程序中)、移动APP、认证服务器(属于系统管理服务模块)三个部分组成。

本地二维码认证客户端生成认证界面，提供二维码扫描，并提示用户输入并验证用户提交的验证码。移动APP扫描客户端二维码，提示用户输入用户名及密码，若服务器支持短信验证码，输入服务器发送的短信认证码。移动APP将这些信息组合成认证请求信息提交至服务器。服务器接收请求，验证提交信息是否合法，若合法则生成的验证码传回给移动APP。验证服务器及本地二维码认证客户端使用预制的算法和密钥计算认证码，传输过程采用了SM2公钥加密，对用户名、密码等敏感信息进行保护，保证传输信息的保密性。用户必须在生成二维码后的指定时间内输入验证码，验证码连续输入错误超过一定次数后，客户端会重新生成二维码，防止暴力破解。同时它可提供短信认证，确保是移动端的合法性。

互联网二维码身份验证的具体实施步骤如下：

步骤a1、自助设备基于TCM模块生成随机数R，用TCM的Key1密钥采用对称算法(如SM4)加密生成密文C；

步骤a2、本地二维码认证客户端模块将软件标识号V、设备序列号SN及R连接，并对V|SN|R使用Key1和HMAC-SM3算法生成散列值M；

步骤a3、基于QrCode二维码编码将软件标识号V、设备序列号SN及随机数密文C，以及散列值M连接，生成二维码数据V|SN|C|M；

步骤a4、自助设备生成二维码并弹出认证界面，提醒操作人员扫描二维码；

步骤a5、操作人员扫描二维码，在手机移动APP端输入用户名及密码，基于SM2公钥对用户名和密码和二维码信息进行加密。

步骤a6、如服务端支持短信认证，则要求输入手机号，提交申请短信确认码，输入服务端回送的短信认证码，APP将信息基于SM2公钥打包加密，通过公网发送至验证后台；

步骤a7、服务端通过SM私钥解密打包信息，并验证用户和密码合法性；

步骤a8、验证通过后，根据用户名、软件标识号V和设备序列号SN版本号找到对应的密钥Key1密钥，使用Key1对C解密获得R,使用Key1对V|C|R计算HMAC生成散列值M1，比较M是否等于M1，相等则验证通过，根据随机数R和设备序列号SN，按预制的算法和密钥生成验证码；

步骤a9、后台验证该请求合法性，验证通过，则返回验证码至手机移动APP；

步骤a10、操作人员在给定的时限内在自助设备上输入验证码；

步骤a11、自助设备基于随机数R和设备序列号SN比对输入的验证码，完成身份验证。

以下对用户在三权分立的安全管理平台对三权分立的操作系统自助设备分发软件升级包、自助设备的本地运维人员在自助设备上进行系统登录以及本地管理程序进行登录为例，说明本发明技术方案基于可信计算的安全管理工作机制：

(1)服务端的安全管理用户通过系统管理服务登录系统，在安全管理服务(Web管理控制台)选择已上传的可信软件升级包，创建软件分发任务，自助设备中的安全执行代理Agent接受下发指令并进行软件下载。

(2)下载完成后自助设备重启，安全执行代理Agent对下载的软件包进行解析，由于安全执行代理Agent系统的白名单接口访问权限，该代理将可信软件包中的白名单摘要数据处理请求发送至系统管理服务，通过高速二进制协议在服务端RPC远程服务调用独立的安全管理服务，再由安全管理服务推送至安全策略代理Agent，调用安全操作系统的白名单接口进行比对，如果已在系统白名单中，则返回系统已存在，如果未在系统中，则更新系统白名单并增加可信软件包的白名单数据。

(3)在可信软件包的白名单数据更新完成后，安全执行代理Agent执行可信软件包的更新升级操作，待更新成功后，启动更新的可信自助应用。

(4)当本地运维人员，进入自助设备的操作系统进行设备维护时，安全执行代理Agent提供鉴权功能，一方面输入本机密码，在输入密码后，进行人脸识别，系统将人脸识别数据发送至系统管理服务，再调用后台的双因素身份认证微服务，联机识别，确认身份。

(5)当本地运维人员，进入自助设备的本地管理(如进行现金清机、加钞处理)或进入系统本地白名单维护管理工具时，需要进行双因素认证。如本地管理系统登录页面嵌入双因素认证模块，先生成Qrcode编码的互联网二维码图和验证码输入界面，本地运维人员使用移动APP进行用户登录，然后进行二维码扫码操作，认证服务器推送短信验证码给到运维人员，运维人员在APP中输入短信二维码，确认手机和本人身份。然后认证服务器认证短信验证码后，推送，设备验证码给APP，运维人员在自助设备输入验证码验签通过后，再进行人脸识别，通过后接入系统界面使用功能，该方式具有很高的安全性。

以上实施例为本申请的优选实施例，本领域的普通技术人员还可以在此基础上进行各种变换或改进，在不脱离本申请总的构思的前提下，这些变换或改进都应当属于本申请要求保护的范围之内。

Claims (9)

1.一种基于可信计算的自助设备，其特征在于，包括：可信自助应用集合、可信安全管理代理、安全操作系统、TCM可信密码模块；

所述TCM可信密码模块，用于为自助设备的安全管理提供可信度量根、可信存储根、可信报告根以实现可信机制；

所述安全操作系统采用三权分立的安全权限机制，其中三权分别为：系统管理权、安全管理权和审计管理权；

所述可信安全管理代理包括相互独立的安全执行代理、安全策略代理和安全审计代理；且安全执行代理、安全策略代理和安全审计代理，分别在权限为系统管理权、安全管理权和审计管理权时的安全操作系统下运行；

其中，所述安全执行代理通过与服务端安全管理平台的系统管理服务通信，以向服务端发送请求和通知；

所述安全策略代理通过与服务端安全管理平台的安全管理服务通信，以与服务端互相发送请求和通知；

所述安全审计代理通过与服务端安全管理平台的审计管理服务通信，以与服务端互相发送请求和通知；

所述可信自助应用集合，用于在所述安全操作系统下为用户提供可信服务；

在自助设备运行过程中，安全执行代理进行自助本地管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证；和/或，

在自助设备运行过程中，安全策略代理进行本地白名单管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证。

2.根据权利要求1所述的自助设备，其特征在于，所述安全策略代理，用于从服务端安全管理平台的安全管理服务接收白名单提取指令，并从操作系统调用白名单以通过服务端安全管理平台的安全管理服务上送给服务端；所述安全策略代理，还用于从服务端安全管理平台的安全管理服务接收白名单下发指令，然后下载服务端的白名单签名文件以进行验签，并在验签通过时更新白名单；

所述安全审计代理，用于通过事件或定时获取机制向审计管理服务上传告警信息和日志数据。

3.一种基于可信计算的自助设备安全管理系统，其特征在于，包括服务端和权利要求1或2所述的自助设备，所述服务端采用三权分立的安全权限机制，其中三权分别为系统管理服务、安全管理服务和审计管理服务；且系统管理服务、安全管理服务和审计管理服务，相互之间采用HTTP RESTFUL和高速二进制协议相互调用；

所述系统管理服务包括用户的白名单功能权限分配；

所述安全管理服务支持白名单的集中管理，包括可信软件包签名服务、可信软件库和证书管理、白名单文件提取和下发管理、白名单模板管理、白名单远程启动与停止服务；

所述审计管理服务包括白名单告警信息查询、操作审计；

所述白名单模板管理，包括按组策略模式管理和指定策略模式管理；

所述指定策略模式管理，是指安全管理服务指定具体的自助设备，对该具体的自助设备进行白名单模板管理；

所述按组策略模式管理，是指安全管理服务按照筛选条件得到的自助设备集合，对该自助设备集合中的自助设备进行白名单模板集中管理；其中集中管理包括：当该自助设备集合增加新的自助设备时，将该自助设备集合的白名单模板下发至新增加的自助设备；若自助设备从该自助设备集合中移除时，将自助设备集合的白名单模板从待移除的自助设备中删除。

4.根据权利要求3所述的安全管理系统，其特征在于，所述安全管理平台还包括服务调度中心，所述服务调度中心用于所述安全管理平台建立分布式微服务架构，实现系统管理服务、安全管理服务和审计管理服务之间的相互调用。

5.一种基于可信计算的自助设备安全管理方法，其特征在于，包括：

步骤1，对自助设备的硬件环境进行验证，所述硬件环境包括BIOS、网卡、硬盘、操作系统加载器和操作系统内核；

步骤2，启动操作系统内核，启动安全白名单检测模块；其中，安全操作系统采用三权分立的安全权限机制，其中三权分别为：系统管理权、安全管理权和审计管理权；

可信安全管理代理包括相互独立的安全执行代理、安全策略代理和安全审计代理；且安全执行代理、安全策略代理和安全审计代理，分别在权限为系统管理权、安全管理权和审计管理权时的安全操作系统下运行；

步骤3，安全白名单检测模块对自助设备自启动的可信自助应用程序进行白名单进程拦截验签；

步骤4，在自助设备运行过程中，安全执行代理需要对可信自助应用集合中的自助应用进行升级、增加或者删除时，安全执行代理向服务端安全管理平台提交白名单更新请求，以通过服务端安全管理平台的安全管理服务下发白名单更新指令；

在自助设备运行过程中，安全执行代理进行自助本地管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证；和/或，

在自助设备运行过程中，安全策略代理进行本地白名单管理之前，采用互联网二维码身份验证与生物识别相结合的双因素认证方法，对安全执行代理的权限进行身份验证；

步骤5，自助设备的安全策略代理在接收到白名单更新指令后，下载白名单验签文件以进行验签，并在验签通过时更新白名单。

6.根据权利要求5所述的方法，其特征在于，安全策略代理在白名单验签通过并更新白名单时，先判断白名单更新是全量更新还是增量更新：如果是全量更新，则调用操作系统提供的白名单导入接口，以清除自助设备当前的白名单并增加当前下发的白名单；如果是增量更新，则调用操作系统提供的白名单更新接口，以增加或删除当前下发的白名单项，保持当前的其余白名单项不变。

7.根据权利要求5所述的方法，其特征在于，步骤3中，采用HMAC-SM3算法对白名单进程拦截验签，且用于验签的可信白名单摘要值存储于TCM可信密码模块中；或者，

步骤5中对白名单进行验签的方法为：服务端对更新的白名单使用私钥对可信白名单摘要值进行数字签名，然后在自助设备的安全策略代理使用公钥进行验签；或者，服务端和自助设备端均使用HMAC-SM3算法生成白名单的摘要值，自助设备的安全策略端进行比较验证是否一致。

8.根据权利要求5所述的方法，其特征在于，在步骤3之前还包括，对自助设备的使用者进行验证，具体是指，采用本机密码与生物识别相结合的双因素认证方法，对使用者登录操作系统进行身份验证。

9.根据权利要求5所述的方法，其特征在于，互联网二维码身份验证的具体实施步骤包括：

步骤a1、自助设备基于TCM可信密码模块生成随机数R，用TCM可信密码模块的密钥Key1采用对称算法对随机数R加密生成密文C；

步骤a2、本地二维码认证客户端模块将软件标识号V、设备序列号SN及随机数R连接得到数据V|SN|R，并采用HMAC-SM3算法、使用密钥Key1对数据V|SN|R进行计算，生成散列值M；

步骤a3、自助设备基于QrCode二维码编码将软件标识号V、设备序列号SN及随机数密文C以及散列值M连接，生成二维码数据V|SN|C|M；

步骤a4、自助设备将生成的二维码数据V|SN|C|M弹出认证界面，提醒操作人员扫描二维码；

步骤a5、操作人员扫描二维码，在手机移动APP端输入用户名及密码，并基于SM2公钥对用户名和密码、二维码信息进行加密；

步骤a6、如服务端支持短信认证，则要求输入手机号，提交申请短信确认码，输入服务端回送的短信认证码，手机移动APP端将信息基于SM2公钥打包加密，通过公共网络发送至验证后台；

步骤a7、服务端通过SM私钥解密打包信息，并验证用户和密码的合法性；

步骤a8、验证通过后，根据用户名、软件标识号V和设备序列号SN版本号找到对应的密钥Key1，使用密钥Key1对随机数密文C解密获得随机数R，使用密钥Key1对字符串V|C|R计算HMAC生成散列值M1，比较M是否等于M1，相等则验证通过，然后根据随机数R和设备序列号SN，按预制的算法和密钥生成验证码；

步骤a9、后台验证合法性，若验证通过，则返回验证码至手机移动APP端；

步骤a10、操作人员在给定的时限内在自助设备上输入验证码；

步骤a11、自助设备基于随机数R和设备序列号SN比对输入的验证码，完成身份验证。

Images