CN1527208A

CN1527208A - 基于身份认证的计算机安全及加密的实现方法和装置

Info

Publication number: CN1527208A
Application number: CNA031348262A
Authority: CN
Inventors: 徐顺利
Original assignee: Lenovo Beijing Ltd
Current assignee: Lenovo Beijing Ltd
Priority date: 2003-09-25
Filing date: 2003-09-25
Publication date: 2004-09-08
Anticipated expiration: 2023-09-25
Also published as: CN1234081C

Abstract

本发明提供了一种基于身份认证的计算机安全及加密的实现方法和装置。该方法包括：认证用户身份；验证硬件安全；产生一个随机数作为动态密钥输出；从硬盘隐藏分区读出加密内容；解密加密内容并将其放于分区表和根目录位置；BIOS程序跳至硬盘引导分区并把控制权交给操作系统。装置包括：密钥存储装置，硬件安全检测装置；身份认证装置，加密引擎装置。本发明应用灵活，提高了系统安全性。

Description

基于身份认证的计算机安全及加密的实现方法和装置

技术领域

本发明涉及计算机及信息技术领域，具体涉及基于身份认证的计算机安全及加密的实现方法和装置。

背景技术

随着计算机在各个领域的广泛应用和网络的发展，信息安全问题显得越来越重要了。从通信安保密、计算机安全保密，直到信息系统的安全保密，社会的发展对安全保密的研究提出了越来越高的要求。对于个人、商用等计算机，尤其便携式计算机，仅仅依靠操作系统的安全保护是远远不够的，可靠的用户身份识别才是系统安全的最好屏障。

中国专利申请00132142“计算机安全系统及其启动方法”公开的安全系统包括：一储存识别数据的存储器；一储存密码的智能卡；一储存备份密码的备份媒体；一用于处理识别数据、密码及备份密码的处理装置；智能卡及备份媒体分别经读卡机及软盘驱动器连接计算机。该发明根据智能卡判断用户合法性。中国专利申请00121544“计算机安全认证智能密钥”公开了对服务器端用户的秘密值采用对称加密算法进行加密存贮，其加密密钥和原始秘密值保存在该用户的存储介质上；被加密的用户秘密值和加密密钥分开存贮；又在认证协议验证过程中，引入非对称加密技术，产生临时密钥对，来保证加密该用户秘密值的密钥传递安全性。

这些发明均未公开利用主板BIOS实现系统安全和身份认证，而需要增加其它硬件成本。因此，希望有开机身份认证、系统安全检查以及硬盘数据加密等模块都是完全集成在BIOS中，它的具体操作独立于主板的其它部件，应用灵活；和基于主板硬件级别的密钥产生和管理，唯一性好，安全度高。密钥的产生是有主板硬件的一些唯一标识运算产生，并保存在BIOS中，不易被破解的方法和装置。

发明内容

本发明的目的是克服现有技术中的缺点，提供一种基于身份认证的计算机安全及加密的实现方法，可以非常可靠地根据用户提供的密码、指纹或磁卡实现开机的身份认证和硬盘数据加密。

本发明提供一种基于身份认证的计算机安全及加密的实现方法，包括步骤：

认证用户身份；

验证硬件安全；

产生一个随机数作为动态密钥输出；

从硬盘隐藏分区读出加密内容；

解密加密内容并将其放于分区表和根目录位置；

BIOS程序跳至硬盘引导分区并把控制权交给操作系统。

可选地，还包括步骤：产生密钥：包括用户密钥和系统自身的密钥，用户密钥由用户管理；系统根密钥由主板上的硬件参数：网卡MAC地址号、主板序列号和主板信号产生。

优选地，还包括步骤：产生硬盘加密密钥，包括静态密钥和动态密钥，存放在硬盘上由系统BIOS记录且不公开的位置。

可选地，还包括步骤：在准备退出操作系统时，BIOS取得控制权，将当前引导分区和根目录内容密后放置隐藏分区，并删除当前的内容。

优选地，所述验证硬件安全的步骤包括：出厂时记录系统硬件配置初始值，以获得初始验证值；用户根据需要修改验证值。

可选地，配置的初始值包括规格、型号和序列号。

优选地，所述认证用户身份的步骤包括：比较由系统BIOS中身份认证模块产生的随机字符串和用户字符串计算获得的应答字符串与认证模块产生的字符串。

可选地，所述由系统BIOS中身份认证模块产生的随机字符串和用户字符串计算获得的应答字符串的步骤包括：存在用户外部介质中的应答程序获得所述随机字符串后用预定的算法获得应答字符串。

优选地，所述由系统BIOS中身份认证模块产生的随机字符串和用户字符串计算获得的应答字符串的步骤包括：系统要求用户输入所述用户字符串。

本发明还提供一种基于身份认证的计算机安全及加密的装置，包括：

密钥存储装置，所述密钥存储由用户和系统BIOS共同实现，所述密钥包括系统的配置参数；

硬件安全检测装置，用于验证硬件的参数是否与存储的密钥一致；

身份认证装置，用于根据用户输入的信息，确定用户是否为合法用户；

加密引擎装置，用于利用所述密钥对硬盘数据进行加密。

可选地，其中所述身份认证装置包括：码认证装置，用于根据用户输入的信号码，确定用户的合法性；或指纹识别装置，用于根据用户输入的指纹，确定用户的合法性；或存储认证装置，用于根据用户的便携存储器中存储的信息，确定用户的合法性。

利用本发明，实现了开机身份认证、系统安全检查以及硬盘数据加密等模块都是完全集成在BIOS中，具体操作独立于主板的其它部件，应用灵活。本发明的基于主板硬件级别的密钥产生和管理，唯一性好，提高了安全度，不易被破解。

附图说明

图1描绘了本发明的实施例中身份认证的密钥和硬盘数据的加密根密钥产生的流程图；

图2示出了本发明的实施例的动态口令进行二次认证的流程图；

图3示出本发明实施例的硬盘加密密钥的产生流程图；

图4示出本发明实施例的身份认证模块的利用其它存储介质工作流程图；

图5描绘了本发明实施例的每次启动时系统要求输入所设的口令并进一步验证系统上次输出的动态密钥的流程图。

具体实施方式

本发明的实施例的装置中包含密钥存储、硬件安全检测、身份认证、加密引擎和硬盘加密五个功能模块，其中加密引擎采用DES(Data Encryption Standard，数据加密标准)和IDEA(IDEA：International Data Encryption Algorithm，国际数据加密算法)两种算法，都是已有技术，本文不详细描述。密钥存储是由用户和系统BIOS共同完成的，如果密钥是指纹识别则不需要用其它介质保存用户密钥；身份认证模块根据用户提供的密钥(包括指纹、密码、磁卡)，通过加密算法判断是否为合法用户；加密引擎的功能是实现对硬盘数据的加密解密

本发明的实施例的实施方法与步骤：

(1)用户拥有一个自己的密钥，每次启动时使用这个密钥，BIOS中的安全模块会用这个密码用RSA(公共秘钥算法，由Rivest/Shamir/Adleman所提出)算法对用户进行认证，如果是非法用户，立即停止启动；

(2)密钥管理和身份认证：

为提高安全性和反跟踪性，采用密钥动态存储方法。每次合法开机后，由当时的实时时钟产生一个随机数，用户保存此随机数，根据此随机数计算得出一个可以的放置密钥的位置并把密钥放在BIOS FLASH ROM的该位置，删除原来位置的密钥。下次开机认证时用户提供自己的认证密钥和已存的随机数才可以开机。

同样，对于需要刷新的BIOS或需要更换系统硬件设备，也提供类似的认证方法。具体地说，用户初次开机时必须提供出厂时提供的用户名和静态口令，同时被要求立即修改认证信息(包括用户名和密钥)，此时用户输入的密钥即为以后的开机身份认证密钥。

刷新系统BIOS前要求用户输入密钥，刷新后输出一个临时口令给用户，随即重新启动系统，在重起过程中只有输入这个临时口令才能继续启动，同时用户将被要求立即更改认证信息(包括用户名和密钥)。

对于已经更换硬件的系统，BIOS中的安全模块会提示用户硬件已更换，并列出更换的列表，询问用户是否认可设备更换，如果认可则需再次输入密钥，系统重新计算出针对新硬件设备的根密钥和用户认证密钥并输出给用户，之后重新启动要求用户更改开机认证信息。

(3)每次启动检测系统关键设备(包括硬盘、光驱、网卡)，判断是否最初所设定的安全系统是否有设备被非法更换等等，如有问题，进行记录、警告并拒绝继续启动；

(4)安全模块每次退出系统时把当时的分区表和目录信息加密后放在硬盘的隐藏分区内，在前两个步骤通过后，即解密隐藏分区的内容，并把它放在在可引导操作系统的位置，这样就可以安全正确地启动到操作系统了。

为了便于本领域一般技术人员实施和理解本发明，现结合附图通过实施例描绘本发明，应该知道，本发明并不限于这里描绘的实施例。

本发明实施例的密钥管理模块：包括用户密钥和系统自身的密钥，用户密钥由用户管理。系统根密钥由主板上的硬件参数：网卡MAC地址号、主板序列号和主板信号产生的随机参数通过算法得出，密钥位数为1024位，分成两个子密钥，一个作为身份认证的密钥，另一个作为硬盘数据的加密根密钥。

图1描绘了本发明的实施例中身份认证的密钥和硬盘数据的加密根密钥产生的流程图。通常在计算机整机出厂前，需要进行密钥计算。Mac地址一般都采用6字节48bit，硬盘序列号60字节480bit，主板序列号(不同厂家可能有不同，这里同一要求25字节)25字节，内存出厂信息及序列号64字节(这里只取其中206bit)，将这些字节依次排列后得一至少为1024位的系统标识数，用一个随机数(例如此时的CPU内部的时钟64bit)作为加密密钥对以上标识数进行DES加密所得的即可作为根密钥。由这个根密钥再产生用户的身份认证和硬盘加密的静态密钥。

在本发明的实施例中，用户身份认证密钥分为静态密钥(即口令)和动态口令。用户身份认证的静态密钥是由产生的系统根密钥进一步产生的(见图1)。本例中为系统根密钥利用密码盒(即给定的矩阵)进行线性变换产生的128位序列码，该密钥出厂时由用户保管，用于用户第一次开机。也可以存在软盘、USB闪存或IC卡中直接交给用户。用户在第一次上电后可以自行修改该口令，系统BIOS中密钥管理模块负责记忆此口令。为了确保系统安全开机，本发明采用了动态口令进行二次认证，图2示出了本发明的实施例的动态口令进行二次认证的流程图。在本发明的实施例中，分别由以下两种途径实现：第一种，利用其它存储介质(软盘、U盘或IC卡)，实现挑战/应答式的身份认证，用户只需妥善保管此介质，详细的实现步骤参见身份认证模块说明；第二种，每次认证通过准备进入操作系统前产生一个随机数(例如当时的系统时间)，利用该随机数对静态密钥进行DES加密产生一动态密钥输出给用户，下次认证时需提供该密钥。

图3示出本发明实施例的硬盘加密密钥的产生流程图。为了提高安全性和防跟踪性，也需要静态密钥和动态密钥，均放在硬盘的隐藏分区上，其在硬盘的位置由系统BIOS中(F000:0000^-F000:FFFF段的可用位置)记录，这个位置不对外公开。硬盘加密的静态密钥类似用户认证的静态密钥，由系统的根密钥通过另外一个密码盒(变换矩阵)变换得出，用于系统出厂前的硬盘加密和用户第一次使用时的解密。动态密钥则是以后每次硬盘加密的密钥。每一次硬盘解密成功后，系统BIOS根据当时的系统时间产生一个随机数对当前存在硬盘中的静态密钥进行DES加密变换产生新的密钥(同时也可以变换存储位置)替换当前密钥，成为新的硬盘加密密钥。如果使用外部介质则可以利用外部介质存储动态加密密钥。

在本发明中，对硬盘加密模块采取动态密钥加密有效防止通过跟踪或反汇编破解，同时加密密钥是根据本主板上的器件产生的，硬盘放到其它主板上都无法正确读取其内容。

本发明的身份认证模块：负责开机用户的身份认证，所需密钥为前面描述的用户口令和动态口令。在本发明的实施例中，有两种认证方法，图4示出本发明实施例的身份认证模块的利用其它存储介质工作流程图。在这个实施例中，利用其它存储介质(软盘、U盘或IC卡)可以实现挑战/应答机制的身份认证，由系统BIOS中的身份认证模块实时产生一个随机字符串，存在外部介质中的应答程序获得这个字符串后用特定的算法计算得出一个应答字符串，认证模块也利用自己的相同算法得出一个字符串，之后对比这两个字符串，相同则认证通过，否则不通过。在这种方法中，认证模块应把当前的动态密钥D3同时存放在BIOS和外部介质中，这种认证方法的安全程度很高。

图5描绘了本发明实施例的每次启动时系统要求输入所设的口令并进一步验证系统上次输出的动态密钥的流程图。每次启动时系统要求输入步骤所设的口令并进一步验证系统上次输出的动态密钥，嵌入在系统BIOS中的安全模块会用这个密码和自身的认证子密钥通过认证算法对用户进行认证，如果是非法用户，立即停止启动。

在本发明中，硬件安全检测模块：出厂时记录系统硬件配置初始值，包括规格、型号和序列号等，通过安全验证算法得出一验证值，每次上电对当前的硬件检测并计算起验证值，如果与上一次的正确的验证值不符，认为系统有硬件被非法更换，立即停止系统启动，以防系统信息丢失。如果是合法用户的系统变更，进一步认证，并在变更后重新计算并存储验证值和根密钥等。具体的做法如下：将第一次启动时系统设备及关键参数存入BIOS中，以后每次启动与之比较，即可知道系统是否被更换过。

硬盘加密模块：每次退出系统之前把当时的分区表和根目录信息加密(本例中用IDEA加密算法)后放在硬盘的隐藏分区内，在前面几个启动步骤通过后，即解密隐藏分区的内容，并把它放在原来的位置，这样就可以安全正确地启动到操作系统了。

为保障系统的安全性，要求BIOS写保护，在BIOS中加入写保护程序，对除合法刷写工具的其它程序禁止写入。

利用本发明，其安全性体现在三个方面：1、密钥的保存都是由系统BIOS实现的，密钥的产生依赖于主板上硬件的参数，许多参数是唯一的，这样就可以确保密钥的唯一性和安全性；第二、硬件安全检测模块对于非法的硬件变更起到了保护作用，这样不但阻止非法进入系统，更有利于系统硬件的保护；第三、硬盘上的加密数据只有在本机才能取得正确的密钥从而解密，放到其它系统均无法解密，这样即使希望暴力打开计算机取出硬盘读出数据也是不可能的。

2、对硬盘加密又不影响硬盘的正常使用，不占用系统资源：

目前较安全的做法是直接对写到IDE硬盘的数据实时加密，但这样会降低系统速度，而且对加密芯片的要求非常高，因为它直接影响到系统性能。本方案在启动进入OS和退出OS时会引起一定的延时，主要是因为安全模块会检测系统安全性恢复或加密硬盘分区和目录但时间很短，用户不易察觉，在系统运行当中不会增加任何运行负担。

3、不需要附加复杂外设就可以完成安全功能：

目前基于硬件的安全措施都需要另外加技术要求较高的设备完成，增加了成本和使用难度。本方案所设计的安全模块都放在系统BIOS和硬盘的隐藏分区内，并且充分利用了BIOS对IDE的控制，对硬盘进行加密和恢复；所有工作都可以不增加其它外设或只增加简单的外设完成，既节约成本，又减少了对设备的兼容和管理。

可以完全利用主板BIOS实现系统安全和身份认证，不增加其它硬件成本。开机身份认证、系统安全检查以及硬盘数据加密等模块都是完全集成在BIOS中，它的具体操作独立于主板的其它部件，应用灵活。

基于主板硬件级别的密钥产生和管理，唯一性好，安全度高。密钥的产生是有主板硬件的一些唯一标识运算产生，并保存在BIOS中，不易被破解。而目前大多数的安全系统都采用智能卡或USB等存储设备存储密钥，易丢失和破损，同时增加了密钥管理的风险。

对硬盘的加密解密不占用系统资源，大部分软件或硬件产品实现对数据加密都要占用CPU和内存资源，本发明所采用的方法对硬盘数据的加密在操作系统下不占用任何资源，不影响系统性能，在用户在不知不觉中实现数据加密。

为加强系统硬件安全，加入硬件安全检查的功能，检查系统设备是否被非法更换，用户可以在每次上电时都知晓自己的电脑硬件是否安全正常，并对非法侵犯有迹可寻。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims

1.一种基于身份认证的计算机安全及加密的实现方法，包括步骤：

认证用户身份；

验证硬件安全；

产生一个随机数作为动态密钥输出；

从硬盘隐藏分区读出加密内容；

解密加密内容并将其放于分区表和根目录位置；

BIOS程序跳至硬盘引导分区并把控制权交给操作系统。

2.如权利要求1所述的方法，其中，还包括步骤：产生密钥：包括用户密钥和系统自身的密钥，用户密钥由用户管理；系统根密钥由主板上的硬件参数：网卡MAC地址号、主板序列号和主板信号产生。

3.如权利要求1所述的方法，还包括步骤：产生硬盘加密密钥，包括静态密钥和动态密钥，存放在硬盘上由系统BIOS记录且不公开的位置。

4.如权利要求1所述的方法，其中，还包括步骤：在准备退出操作系统时，BIOS取得控制权，将当前引导分区和根目录内容密后放置隐藏分区，并删除当前的内容。

5.如权利要求1所述的方法，其中，所述验证硬件安全的步骤包括：出厂时记录系统硬件配置初始值，以获得初始验证值；用户根据需要修改验证值。

6.如权利要求1所述的方法，其中所述认证用户身份的步骤包括：比较由系统BIOS中身份认证模块产生的随机字符串和用户字符串计算获得的应答字符串与认证模块产生的字符串。

7.如权利要求6所述的方法，其中，所述由系统BIOS中身份认证模块产生的随机字符串和用户字符串计算获得的应答字符串的步骤包括：存在用户外部介质中的应答程序获得所述随机字符串后用预定的算法获得应答字符串。

8.如权利要求6所述的方法，其中，所述由系统BIOS中身份认证模块产生的随机字符串和用户字符串计算获得的应答字符串的步骤包括：系统要求用户输入所述用户字符串。

9.一种基于身份认证的计算机安全及加密的装置，包括：

加密引擎装置，用于利用所述密钥对硬盘数据进行加密。

10.如权利要求9所述的装置，其中所述身份认证装置包括：码认证装置，用于根据用户输入的信号码，确定用户的合法性；或指纹识别装置，用于根据用户输入的指纹，确定用户的合法性；或存储认证装置，用于根据用户的便携存储器中存储的信息，确定用户的合法性。