CN1256678C

CN1256678C - 计算机信息的保护方法和装置

Info

Publication number: CN1256678C
Application number: CN 200310100374
Authority: CN
Inventors: 章丹峰
Original assignee: Lenovo Beijing Ltd
Current assignee: Lenovo Beijing Ltd
Priority date: 2003-10-14
Filing date: 2003-10-14
Publication date: 2006-05-17
Anticipated expiration: 2023-10-14
Also published as: CN1529247A

Abstract

本发明提供了一种计算机信息的保护方法和装置。方法包括：设置计算机保护密码；建立所述密码对应的计算机BIOS的系统控制程序；在计算机正常工作时，如果需要进入保护，触发所述系统控制程序，设置I/O陷阱状态，进入保护状态；在保护状态时，如果输入数据，所述系统控制程序判断输入的数据是否与所述密码相同，如果相同，恢复计算机的正常工作状态；如果不同，禁止操作。利用本发明，通过BIOS控制硬件核心，外部程序无法入侵，安全性高。

Description

计算机信息的保护方法和装置

技术领域

本发明涉及计算机及信息技术，具体涉及计算机信息的保护方法和装置；特别涉及一种利用BIOS(基本输入输出系统)对计算机信息的保护方法和装置。

背景技术

当前的PC系统，使用的操作系统各种各样，在工作状态下，当用户需要临时离开，又不想关闭系统(因为关闭系统，再重新开启系统是一件很烦琐的事情，或者系统正在处理重要工作，无法中断)，可是却担心非本计算机授权用户破坏当前的工作状态或窃取本系统中的数据，这时候用户需要进入一种密码保护的模式，用以保护当前工作状态，免受干扰，待用户输入正确的密码时，才允许用户正常使用该系统。可是当前大部分的操作系统都没有提供该功能，有的系统提供了这个功能，但没有用BIOS，使用不方便，也不安全，并且会影响当前工作状态。没有一个统一快捷安全的方式。例如：WINDOWS XP有一个组合键[WINDOWS]+L，可以进入锁定状态(使用常规的键盘中断处理程序来处理)，可是会导致一些正在运行的程序退出，另外其密码和加密方法以文件方式存放在硬盘里均可以被破译的，本发明是基于I/O陷阱功能，具有最高优先级，权限远高于操作系统，是任何软件(除了BIOS)都无法跨越或掌控的。而PC系统的BIOS在硬件控制上级别是最高的，目前在BIOS中实现的密码锁均是一些开机密码锁，没有充分利用BIOS在控制硬件方面的特点。

因此，需要一种保护计算机信息的方法和装置，利用一种超级密码锁，由BIOS统一控制，可以在任何系统或工作状态下，实时监控PC系统的核心硬件，并且有效的防范外来程序的入侵，确保用户数据的安全，避免由于泄密而导致的损失，减少用户的顾虑，起到增强PC系统的保密及安全的作用。

发明内容

本发明的目的是提供一种保护计算机信息的方法和装置，在任何系统或工作状态下，实时监控PC系统的核心硬件，并且有效的防范外来程序的入侵，确保用户数据的安全。

本发明提供一种计算机信息的保护方法，所述方法包括步骤：

设置计算机保护密码；

建立所述密码对应的计算机BIOS的系统管理中断程序；

在计算机正常工作时，如果需要进入保护，触发所述系统管理中断程序，设置I/O陷阱状态，进入保护状态；

在保护状态时，如果输入数据，所述系统管理中断程序判断输入的数据是否与所述密码相同，如果相同，恢复计算机的正常工作状态；如果不同，禁止操作。

可选地，所述设置计算机保护密码的步骤包括：根据所述密码，生产满足预定条件的密钥。

优选地，所述触发所述系统管理中断程序的步骤包括：触发所述系统管理中断程序对应的键；所述设置为I/O陷阱状态的步骤包括：监控键盘数据端口。

可选地，判断是否输入数据是根据所述监控的键盘数据端口的信号实现的；在键盘数据端口有输入信号时，激发所述系统管理中断，运行所述系统管理中断程序；

其中，所述恢复计算机的正常工作状态的步骤包括关闭I/O陷阱功能。

优选地，还包括步骤，存储所述密码或密钥；屏蔽所述存储所述密码或密钥的地址，以使所述密码或密钥仅能由所述系统管理中断程序访问。

可选地，所述进入保护状态的步骤包括：

监控人机接口的数据端口；

保存进入保护前系统所述数据端口的工作状态；

断开操作系统与所述数据端口之间的数据通道；

重新初始化所述所述数据端口的设备，

建立相应的设备处理程序，以处理所述数据端口的数据。

优选地，所述监控人机接口的数据端口的步骤包括：监控键盘数据端口60H；所述数据端口为USB口；所述数据端口的设备为USB设备或USB键盘；

其中，还包括步骤：关闭显示器。

可选地，所述恢复计算机的正常工作状态的步骤包括：关闭I/O陷阱功能，恢复所述保存的进入保护前系统所述数据端口的工作状态。

本发明的计算机信息的保护方法，所述方法包括步骤：建立计算机保护密码与其对应的计算机BIOS的系统管理中断程序，以进入BIOS系统管理中断程序，对计算机进行密码保护；BIOS设置并使能I/O控制芯片的I/O陷阱功能，以使I/O控制芯片监控键盘数据端口60H，当系统对60端口进行存取数据时，所述芯片再次激发所述BIOS管理中断，判断所述数据是否与所述密码符合，如果符合，关闭I/O陷阱功能，以恢复系统的正常运行；否则使在60H端口的I/O的操作无效。

本发明的一种计算机信息的保护装置，所述保护装置用于保护计算机在正常运行时需要临时保护而不破坏系统的当前任务，所述装置包括：

存储器，用于存储计算机保护密码，和所述密码对应的计算机BIOS的系统管理中断程序，并存储计算机与所述保护有关的状态数据；

控制装置，用于运行所述BIOS的系统控制程序；

保护触发键，在计算机处于正常状态时，如果计算机需要进入保护，触发所述系统管理中断程序，控制所述控制装置设置I/O陷阱状态，以进入保护状态；

输入装置，在计算机处于保护状态时，用于输入密码；

其中，所述控制装置还包括判断装置，用于判断所述控制装置判断输入的密码是否与存储的密码相同，如果相同，所述控制装置恢复计算机的正常工作状态；如果不同，所述控制装置禁止所述输入装置的操作。

可选地，还包括屏蔽装置，用于将所述存储的计算机保护密码、所述的系统管理中断程序、所述的状态数据至少之一屏蔽，以使之仅能由BIOS访问。

利用本发明，实现了各种操作系统下统一的密码保护功能；通过BIOS控制硬件核心，外部程序无法入侵，安全性高；使用方便快捷；不影响当前工作状态，保证系统正常运行；避免了非本计算机授权用户通过USB端口窃取用户数据。

附图说明

图1示出了本发明的实施例的在BIOS开机初始化过程的密码功能设置的流程图；

图2示出了本发明的实施例的密码保护模式的进入过程的流程图；

图3示出了本发明的实施例的密码模式的退出过程的流程图。

具体实施方式

现在的PC系统芯片都有I/O陷阱功能，该功能可以实现侦测当前PC系统总线上的I/O操作，当总线上的I/O操作满足其设定的要求时，该功能可以实现拦截该I/O操作，并触发系统管理中断，由系统管理中断程序来决定该I/O操作的结果。如：实现该I/O的实际操作结果。截除该I/O的操作，使该I/O的操作无效。

本发明的工作原理就是利用这些I/O陷阱功能，通过I/O陷阱功能的设置，在相应的寄存器填上所需要拦截的I/O端口值后，再使能其系统管理中断，这样，一旦系统总线上有符合所设置的I/O端口存取操作，芯片将截住该I/O操作，不让其继续往下传递(执行)，同时发出系统管理中断，去执行相应的系统管理中断程序。

为了便于本领域一般技术人员实施和理解本发明，现结合附图通过实施例描绘本发明，应该知道，本发明并不限于这里描绘的实施例。

首先参见图1，图1示出了本发明的实施例的在BIOS开机初始化过程的密码功能设置的流程图。首先，通过修改计算机BIOS启动程序在BIOS的CMOS设置界面里增加有关BIOS超级密码设置的菜单，这样，用户可以在这里设置自己的密码。BIOS对用户设置好的密码使用预定或计算机随机确定的加密方法加密生成密码钥匙，然后将其存放在CMOS中。在本发明的实施例中，为了防范恶意程序访问或破坏CMOS数据，使用屏蔽存取CMOS数据的方法。该方法可以屏蔽非法程序对CMOS中的数据进行直接存取，并对其破坏，起到保护CMOS数据的作用。因此，除了BIOS能够正确存取该密码钥匙外，没有其他系统或程序能够得到该密码钥匙。保证了密码钥匙的安全。

BIOS在开机自检程序时，将固化在BIOS ROM中的系统管理中断程序存放在内存的一块隐藏区域，如001FH到01FFH；此区域是由BIOS全权控制，操作系统无法访问该区域，该隐藏区域是除了BIOS能够正确存取外，没有其他系统或程序能够存取该区域，因此外界是无法反编译系统管理程序，无法解读系统管理程序的操作流程，也无法解读系统管理程序的加密和解密算法，从而确保外界无法破解用户所设置好的密码。

图1中，开机后，在步骤110，BIOS开机自检，进行计算机的例行检查。然后在步骤120，系统提问是否进入CMOS设置界面？

如果是，进入步骤130，判断是否设置了BIOS超级密码，如果否，返回步骤110，如果是，进入步骤150，将密码加密并保存在CMOS中，然后重新启动系统，返回步骤110。

如果否，进入步骤140，判断用户是否设置了BIOS超级密码？如果已设置，进入步骤160，将固化在BIOS ROM中的系统管理中断程序存放在内存的一块隐藏区域，设置并允许密码锁按钮触发系统管理中断；然后，进入步骤170，完成BIOS自检，进入操作系统。如果未设置，直接进入步骤170。

因此，通过这些步骤，实现了用户设置的BIOS控制的在计算机运行过程中，保护计算机信息的密码。

参见图2，图2示出了本发明的实施例的密码保护模式的进入过程的流程图。在本发明的实施例中，在计算机的输入输出设备，如键盘或鼠标上安装了一个按钮，或定义了原来未用的一个按钮，称之为密码锁按钮，这个按钮可以导致触发系统管理中断。当用户需要暂时离开而又不想关闭系统，为了确保系统安全，用户只需按下该按钮，系统马上触发系统管理中断，进入BIOS系统管理中断程序，系统管理程序判断出是密码锁按钮已被按下，系统管理程序就：

A、设置并使能芯片的I/O陷阱功能，使芯片监控键盘数据端口60H。

B、保存当前系统USB的工作状态，断开操作系统与USB硬件之间的数据通道，然后重新初始化所USB设备，检查是否存在USB键盘，如果存在，则建立相应的USB设备处理程序，处理USB键盘产生的数据。

C、关闭显示屏，不让非本计算机授权用户看到当前的工作状态。

D、进入密码保护状态。退出系统管理中断程序。回到操作系统。继续运行用户原来运行的程序。

E、当非本计算机授权用户试图使用PS2键盘或鼠标操作该系统时，操作系统的键盘或鼠标中断处理程序将通过60H端口访问键盘数据或鼠标数据(也参见图3)。

在步骤210，计算机处于操作系统工作状态，这是计算机通常的工作状态。如果在步骤220，用户选择了密码键按钮，进入步骤230，否则，计算机状态不改变(维持步骤210)。在步骤230，进入BIOS系统管理中断程序，这个BIOS系统管理中断程序是用于密码键按钮的。然后，如果在步骤240，用户触发了密码键按钮，进入步骤250，否则，计算机状态不改变。在步骤250，设置并使能芯片的I/O陷阱功能，使芯片监控键盘数据端口60H；保存当前系统USB的工作状态，断开操作系统与USB硬件之间的数据通道，然后重新初始化所USB设备，检查是否存在USB键盘，如果存在，则建立相应的USB设备处理程序，处理USB键盘产生的数据；关闭显示器。在步骤260，进入密码保护模式下的操作系统工作状态，系统正常运行，但人机I/O口关闭。

图3示出了本发明的实施例的密码模式的退出过程的流程图。在实施例中，由于在密码保护状态下已使能了I/O陷阱功能，访问60H端口将触发系统管理中断，立即运行系统管理中断服务程序，该程序将判断读取的数据是否与之前已设置好的密码符合(通过从CMOS中读取密码钥匙，然后解密该密码钥匙，得到用户设置的密码)，如果符合则退出密码保护模式(关闭I/O陷阱功能，恢复原先保存好的当前系统USB工作状态，重新开启显示器，退出系统管理中断程序，回到操作系统)，否则截除对键盘60H端口的数据操作，使该I/O的操作无效。因此操作系统的键盘或鼠标中断处理程序将忽略该次输入操作，不做任何处理。

当非本计算机授权用户试图使用USB键盘或USB鼠标操作该系统时，USB设备处理程序，处理USB键盘产生的数据，当有USB键盘数据时，检查这些数据是否符合之前已设置好的密码(通过从CMOS中读取密码钥匙，然后解密该密码钥匙，得到用户设置的密码)，如果符合则退出密码保护模式，否则保持该状态。当接收到与之前已设置好的密码相符的数据时，则退出密码保护模式(关闭I/O陷阱功能，恢复原先保存好的当前系统USB工作状态，重新开启显示器，退出系统管理中断程序，回到操作系统)。

在图3中，开始，计算机处于密码保护模式下的操作系统工作状态。此时，选择了计算机人机I/O接口触发保护状态，它们包括USB与PS2键盘及鼠标；在步骤320，进入用于密码按钮锁的系统管理中断程序；进入步骤330和340，判断键盘是否被触发，如果触发且是USB键盘先进入步骤350，进入USB设备处理程序，处理USB键盘产生的数据；然后进入步骤360，如果是PS2键盘，进入步骤360。如果未触发，保持状态不变。

在步骤360，判断读取的数据是否与之前已设置好的密码符合，如果不符合，返回计算机处于密码保护模式下的操作系统工作状态，如果符合，在步骤370，退出密码保护模式，关闭I/O陷阱功能，恢复原先保存好的当前系统USB工作状态，重新开启显示器。然后在步骤380，回到原来操作系统的工作状态。

本发明的计算机信息的保护装置，用于保护计算机在正常运行时需要临时保护而不破坏系统的当前任务，装置包括：包括RAM和ROM的存储器，用于存储计算机保护密码，和所述密码对应的计算机BIOS的系统控制程序，并存储计算机与所述保护有关的状态数据；由CPU与一些有关软硬件构成的控制装置，用于运行所述BIOS的系统控制程序；在实施例中，特别在键盘或鼠标上安装了保护触发键，在计算机处于正常状态时，如果计算机需要进入保护，触发所述系统控制程序，控制所述控制装置设置I/O陷阱状态，以进入保护状态；实际上，这个键可以安装在任何地方。键盘输入装置，在计算机处于保护状态时，用于输入密码；

CPU运行软件中的判断子程序时，成为判断装置，用于判断所述控制装置判断输入的密码是否与存储的密码相同，如果相同，所述控制装置恢复计算机的正常工作状态；如果不同，控制装置禁止所述输入装置的操作。

在实施例的装置中，还有屏蔽装置，用于将所述存储的计算机保护密码、所述的系统控制程序、所述的状态数据屏蔽，以使之仅能由BIOS访问。实际上，根据需要，可以屏蔽其中之一或任何部分。

本发明提供了各种操作系统下统一的密码保护功能。本发明通过控制硬件核心，外部程序无法入侵，这是由于系统管理中断程序存放在内存的一块隐藏区域，此区域是由BIOS全权控制，操作系统无法访问该区域，无法反编译系统管理程序，无法解读系统管理程序的操作流程，也无法解读系统管理程序的加密和解密算法，安全性高。本发明使用一个按钮，按一下，直接进入密码保护模式下，在密码保护模式下，只要输入正确的密码，即可退出密码保护模式，回到正常状态，方便快捷。本发明的方法和装置不影响当前工作状态，可以保证系统正常运行。在密码保护模式下，只有使用键盘设备输入时，才会触发并运行系统管理中断程序，其他时间不占用系统工作资源，不影响系统的工作效率，不会导致某些应用程序的自动退出。利用本发明，可以避免非本计算机授权用户通过USB端口获取本计算机授权用户的数据。这是因为在密码保护模式下，USB端口由BIOS全权监控。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，因此，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims

1.一种计算机信息的保护方法，所述方法包括步骤：

设置计算机保护密码；

建立所述密码对应的计算机BIOS的系统管理中断程序；

2.如权利要求1所述的方法，其中，所述设置计算机保护密码的步骤包括：根据所述密码，生产满足预定条件的密钥。

3.如权利要求1或2所述的方法，其中，所述触发所述系统控制程序的步骤包括：触发所述系统管理中断程序对应的键；所述设置为I/O陷阱状态的步骤包括：监控键盘数据端口。

4.如权利要求3所述的方法，其中，判断是否输入数据是根据所述监控的键盘数据端口的信号实现的；在键盘数据端口有输入信号时，激发所述系统管理中断，运行所述系统管理中断程序；

5.如权利要求1或2所述的方法，还包括步骤，存储所述密码或密钥；屏蔽所述存储所述密码或密钥的地址，以使所述密码或密钥仅能由所述系统管理中断程序访问。

6.如权利要求1所述的方法，其中，所述进入保护状态的步骤包括：

监控人机接口的数据端口；

保存进入保护前系统所述数据端口的工作状态；

断开操作系统与所述数据端口之间的数据通道；

重新初始化所述所述数据端口的设备，

建立相应的设备处理程序，以处理所述数据端口的数据。

7.如权利要求6所述的方法，所述监控人机接口的数据端口的步骤包括：监控键盘数据端口60H；所述数据端口为USB口；所述数据端口的设备为USB设备或USB键盘；

其中，还包括步骤：关闭显示器。

8.一种计算机信息的保护方法，所述方法包括步骤：建立计算机保护密码与其对应的计算机BIOS的系统管理中断程序，以进入BIOS系统管理中断程序，对计算机进行密码保护；BIOS设置并使能I/O控制芯片的I/O陷阱功能，以使I/O控制芯片监控键盘数据端口60H，当系统对60端口进行存取数据时，所述芯片再次激发所述BIOS管理中断，判断所述数据是否与所述密码符合，如果符合，关闭I/O陷阱功能，以恢复系统的正常运行；否则使在60H端口的I/O的操作无效。

9.一种计算机信息的保护装置，所述保护装置用于保护计算机在正常运行时需要临时保护而不破坏系统的当前任务，所述装置包括：

控制装置，用于运行所述BIOS的系统管理中断程序；

输入装置，在计算机处于保护状态时，用于输入密码；

10.如权利要求9所述的装置，还包括屏蔽装置，用于将所述存储的计算机保护密码、所述的系统管理中断程序、所述的状态数据至少之一屏蔽，以使之仅能由BIOS访问。