CN1632709A - 一种保证信息安全的计算机系统 - Google Patents

Abstract

本发明涉及一种保证信息安全的计算机系统，其包括组成个人计算机的通用部件，该计算机的硬盘集成了一个嵌入式智能处理系统，包括处理器、微内核操作系统和存储器，且硬盘驱动电路中还集成了硬件逻辑加密电路模块，对数据加解密过程是由处理器和微内核操作系统的指令下调用硬件逻辑加密电路完成。本发明的保证信息安全的计算机系统在使用过程中用户只需要按照开机过程的操作提示进行初始功能设置即可实现硬盘保护、硬盘隔离、网络隔离、数据加密、密钥安全存储、用户身份强制认证、运行过程中身份保护、用户权限管理、电磁防护等功能，简单易用。适用于对计算机数据安全比较迫切的用户，如科研院所、金融和政府以及国防等需求。

Description

一种保证信息安全的计算机系统

技术领域

本发明涉及一种计算机系统，尤其涉及一种保证信息安全的计算机系统。

背景技术

现有的计算机体系结构不完善从而造成了信息安全的漏洞。目前，PC机的文件加密技术通常是经过软件和操作系统的参与来完成，即PC机内的加密软件对文件进行软件或加密卡加密后，通过操作系统(软件)，存入到永久存储介质(如硬盘)中，这种加密方法不安全，例如，藏于系统中的黑客程序能将加密前后的文件比较处理后，得到密钥，将全部文档解密。因此出现了一种通过介质加密的方法，例如专利号为ZL99113164.9，发明名称为一种计算机硬盘加密装置的中国专利文献，其公开了一种计算机硬盘加密方法及装置，在常规的计算机基础上，通过加密芯片而组成加密电路，加密芯片是由控制单元电路、加解密单元电路、RAM存储器及控制开关K组成，对进出硬盘的数据流选择性的硬件加密，从而实现了所谓的介质加密。即使非法得到硬盘，没有合法的密钥，也只能读到加密后的文件，无法破译；有合法密钥，但不同组，虽然能看到D：盘，亦由于解码方式不同，仍不能得到有用信息。实现了计算机硬盘加密，增加了计算机的保密性。但此类型的加密算法是不能更改的，因此其安全性也不高。

发明内容

本发明所要解决的技术问题在于提供一种加强对硬盘的数据进行加解密的保证信息安全的计算机系统。

本发明进一步要解决的技术问题在于提供一种具有硬盘保护的保证信息安全的计算机系统。

本发明进一步要解决的技术问题在于提供一种具有硬盘隔离的保证信息安全的计算机系统。

本发明进一步要解决的技术问题在于提供一种具有网络隔离的保证信息安全的计算机系统。

为解决上述技术问题，本发明所采用的技术方案是：提供一种保证信息安全的计算机系统，其包括组成个人计算机的通用部件，该计算机的硬盘集成了一个嵌入式智能处理系统，包括处理器、微内核操作系统和存储器，且硬盘驱动电路中还集成了硬件逻辑加密电路模块，对数据加解密过程是由处理器和微内核操作系统的指令下调用硬件逻辑加密电路完成。

该计算机系统通过硬件电路强制硬盘的磁头偏置，将硬盘划分为保护区和对应的镜像区两个部分，保护区在负磁道，用户无法访问。

该计算机系统通过虚拟硬盘管理技术，将一个硬盘按指定的空间分成几个区域，当用户开机时，弹出开机引导区选择菜单，当选中其中一个为开机主引导区并激活时，则将其它两个置成负磁道，不让用户访问。

该计算机系统还配置有外部的网络隔离卡，硬盘驱动电路引出一排物理连接信号线连接到该网络隔离卡。

本发明的有益效果是：由于本发明的计算机的硬盘集成了一个嵌入式智能处理系统，包括处理器、微内核操作系统和存储器，因此其加密算法可以更改，因此本发明既有介质加密，又可以更改加密算法，因此其安全系数高；本发明的保证信息安全的计算机系统在使用过程中用户只需要按照开机过程的操作提示进行初始功能设置即可实现数据加密、硬盘保护、硬盘隔离、网络隔离等功能，简单易用。满足对计算机数据安全比较迫切的用户，如科研院所、金融和政府以及国防等需求。

附图说明

图1是本发明的保证信息安全的计算机系统工作流程图。

图2是本发明的保证信息安全的计算机系统的标准保护模式和灵活保护模式的实现方法流程图。

图3是本发明的保证信息安全的计算机系统的保护区分区与镜像区实现原理示意图。

图4是本发明的保证信息安全的计算机系统的加密示意图。

图5是本发明的保证信息安全的计算机系统的硬盘物理隔离分区示意图。

图6是本发明的保证信息安全的计算机系统的网络隔离卡与不同用户连接的连接关系拓扑结构图。

图7是本发明的保证信息安全的计算机系统的硬盘隔离区和物理隔离卡的对应关系示意图。

图8是本发明的保证信息安全的计算机系统的USB驱动电路与对用户接口拓扑联结图。

图9是本发明的保证信息安全的计算机系统的KEY与系统建立通讯的流程图。

具体实施方式

本发明的保证信息安全的计算机系统包括(1)防止电磁泄露的可屏蔽机壳和外部连接数据线缆；(2)具有数据镜像、数据加密专用电路的硬盘；(3)硬盘驱动电路提供的USB设备的连线与接口；(4)用户身份强制认证的智能USB KEY；(5)网络隔离卡以及组成个人计算机的其它通用部件。

本发明的改进集中在硬盘和USB KEY两个关键部件上，两个部件中分别集成了一个嵌入式智能处理系统，包括处理器(CPU)、微内核操作系统(COS)和存储器。目的是确保两个息息相关的子系统能安全通讯，并在各自功能架构基础上为用户提供更容易操作交互平台。主要包括以下几个方面的改进：

(1).硬盘驱动电路中集成了硬件逻辑加密电路模块，所有写入硬盘的数据都经过加密，反之，读出的数据也进行解密操作；

(2).在固件(Firmware)中增加了密码认证程序，未通过认证不可以访问硬盘数据；

(3).通过硬件电路使硬盘区域隔离和虚拟管理系统，构造虚拟镜像操作区域；

(4).硬盘内部存储区域隔离，构造多用户主引导区；

(5).硬盘驱动电路板设计出一根短程USB连线与接口；

(6).一个智能USB Key系统；

(7).外部网络联结隔离卡；

(8).防止电磁泄露的可屏蔽机壳和外部连接线缆；机壳与外部连接线缆增加了防止EMI无线电磁波信息泄露的屏蔽处理；电源增强了防止传导的EMI电路。

请参阅图1，本发明的保证信息安全的计算机系统工作流程包括以下步骤：

101.计算机主机开机并自检；

102.HDD初始化；

103.判断是否插入USB KEY，若是，则执行步骤104，若不是，则执行步骤111；

104.USB KEY密钥识别；

105.HDD工作模式配置；

106.读取MBR；

107.OS启动；

108.OS正常运行；

109.判断USB KEY是否正常，若正常，则返回步骤108，若不正常，则执行步骤110；

110.等待USB KEY正常，停止系统运行，然后返回步骤109；

111.用户身份密码识别，然后执行步骤105至108；

本发明的计算机信息安全系统主要有以下技术。

1.硬盘保护技术

本发明实现硬盘保护的方法是利用硬盘加电磁头归零的特性，通过硬件电路强制磁头偏置，将硬盘划分为保护区和对应的镜像区两个部分，保护区在负磁道，用户无法访问；用虚拟硬盘存储管理系统，让用户按正常条件下的读写操作的数据区实际上是镜像区，并没有触及到真实保护区；当有权限执行“备份”操作时才可以写入保护区；执行“恢复”操作就可以将当前的系统整个“刷新”。保护区的存在可以防止任何删除、病毒破坏、格式化甚至低级格式化操作破坏，达到保护硬盘数据目的。

硬盘保护有标准保护模式和灵活保护模式两种。

这两种模式实现方法是由授权用户在系统初始设置确定的，详细步骤和设置操作流程图如图2所示。

标准保护模式和灵活保护模式的实现方法包括以下步骤：

201.计算机主机开机并自检；

202.和硬盘建立握手信号；

203.硬盘微内核程序获得控制权；

204.弹出用户功能设置操作组合热键；

205.判断是否执行初始设置，若是，则执行步骤206，若不是，则检测用户身份，然后判断身份是否正确，若正确，则读取硬盘MBR信息，然后加载操作系统OS，若不正确，则返回检测用户身份；

206.弹出设置菜单；

207.输入口令；

208.判断口令是否正确，若不正确，则重新执行步骤208，若正确，则执行步骤209；

209.输入参数；

210.判断是否保存设置更改，若是，则执行步骤211，若不是，则重新执行步骤210；

211.计算机主机重新启动。

操作过程是系统开机自检后，主机BIOS发送命令给HDD，检测硬盘反馈是否准备就绪的信号，准备就绪则进入下一步，检测到硬盘的初始化信息并在加载硬盘的Firmware信息，将控制权交给硬盘控制，CPU与内存等架构在主板上的核心部件在与硬盘有数据交换都受硬盘的和微系统(COS)介入控制；COS面向用户弹出“Ctr+Alt+M”交互操作热键，执行后弹出详细功能设置菜单；用户按菜单并输入身份验证口令；按帮助提示执行初始配置操作，将硬盘划分成受保护的主分区(PrimaryMaster)C，同时自动生成镜像虚拟区C′，并确认是否将更改的配置保存。请参阅图3，是保护区分区与镜像区实现原理示意图。

有剩余空间的话，系统自动将剩余部分置为从分区(Primary Slave)。

两个模式的区别是权限不同，标准保护模式的用户只有读取硬盘数据的权限，不能保存数据更改；灵活保护模式的用户除了以上权限外增加了享有临时写存储权限。

这种设计和硬盘保护卡以及主板内嵌程序操作的备份恢复软件功能很类似，但是基于硬盘低层设计方案优势明显，表现在兼容性、可靠性、稳定性、是否占用主机的资源、执行效率以及成本等方面。

2.数据加解密技术

数据加解密的实现方法是所有写入硬盘的数据都是经过8组8位寄存器硬件逻辑加密电路自动加密，所有读出的数据自动解密，加解密电路作为控制数据的进出关卡。加密示意图，如图4所示。

对数据加解密过程是由处理器和微内核操作系统(COS)指令下调用硬件逻辑加密电路完成，对用户完全透明。文件在磁盘上永远是加密存放的，从这个角度来看整个硬盘就是一个完整的加密文件。目的是即使计算机出现机器被盗，也不会使数据内容呈解密状态，达到硬盘数据保密目的。

和专用硬盘数据加密卡比较，集成设计技术增加了系统可靠性、稳定性和兼容性；加解密操作绕过主板和BIOS直接对硬盘的出入口控制，大大降低密码被截获破解和绕道开通的几率，增强了保密性。

解密过程是其逆过程，原理相同。

3.身份认证技术

本发明的身份认证包括两种，一种是口令验证识别；另一种是USB KEY识别。

3.1口令验证识别法

口令验证识别法的实现方法是启用三级身份与权限设置安全管理，实现方式是凭口令登录。三个身份级别是普通用户、系统管理员、安全行政管理员。

主要权限界定，以普通用户口令登录的用户有读硬盘数据权限可以引导系统进入OS操作平台，或者可以拥有备份恢复读写操作权限(由最高行政级别确定)；系统管理员可以享有普通用户的全部权限，此外还拥有更改自身和普通用户的口令权限。安全行政管理员是应用户需要增加的，为最高级别用户，主要作用是防止口令丢失等不测情形下的口令注销与注册管理活动。

操作流程可参考系统流程图。

3.2 USB KEY识别法

USB KEY识别法的实现方法是开机后当检测USB总线接口时检测到有USB KEY设备并且准备就绪后，由硬盘调用KEY的驱动和二者通信协议，实现与KEY的通讯；接着KEY发送经过自己和算法加密的密钥暗文给硬盘，硬盘收到暗文密钥后，调用ROM中存储的算法(和KEY中加密算法相同)解开暗文密钥进行验证，合格后反馈给KEY一串新密钥字符，作为下次加密的密钥。为了保证发送的密钥都不同，采用的方法是每次发送的密钥串至少有一位和前次不同。KYE收到密钥后进行加密保存，等待再次读取使用。

在USB KEY识别方法里采用开机过程强制认证与使用操作过程中的跟踪监督相结合的方法。如果硬盘的加密控制身份验证失败，则再次发送读取密钥的命令，重复三次失败，则KEY锁死不再响应请求，停止供应密钥。

身份识别成功并进入操作系统后，由应用软件—发卡系统不间断扫描KEY端口和合法KEY的在线状态，若检测不到KEY则停止工作，并锁死硬盘数据出入端口。

4.硬盘存储区域隔离与多个主引导区并存技术

硬盘存储区域隔离与多个主引导区并存的实现方法是让虚拟硬盘管理技术，将一个硬盘按指定的空间分成几个区域(最多不超过3个)。当用户开机时，弹出开机引导区选择菜单，当选中其中一个为开机主引导区并激活时，则将其它两个置成负磁道，不让用户访问。

特点是每个区域都可以实现各自的激活状态的主引导区实现安装引导各自(可以是不同类型)操作系统和正常的OS作业环境。如图5所示为硬盘物理隔离分区示意图。

5.网络隔离技术

外部网络隔离功能的实现方法是在硬盘内部隔离功能的前提下，再配置一块外部的网络隔离卡，就可以将不同用户连接到不同的外部网络。连接关系的拓扑结构如图6示。

实现方法是用不同的隔离引导区与网络隔离卡每个RJ-45端口一对一捆绑的方法，实现内部隔离区与隔离卡RJ-45口(通道)一一对应关系。硬件设计是通过硬盘驱动电路引出一排物理连接信号线连接到隔离卡，开机后当用户每次选择不同的引导区时系统自动识别并发送一个信号给隔离卡的微继电器拨动开关去选通对应的网络接口通道。执行不同通道切换动作时，强迫主机系统重新复位以清空动态存储器(内存)和网络适配器中的数据。

其中硬盘和卡的连接拓扑关系如下，在硬盘内部分区隔离功能的基础上，在配合外部网络连接隔离卡，实行每个隔离区和每个隔离卡的端口一对一绑定的原则。如图7所示为硬盘隔离区和物理隔离卡的对应关系示意图。

6.USB驱动电路与连接线路技术

USB驱动电路与对用户接口整体拓扑结构构思比较巧妙，拓扑联结如图8所示，实现方法是将USB总线驱动控制器集成到硬盘驱动电路板并从硬盘的电路板引出USB端口线直接给用户接入USB KEY。同时机箱在硬盘支架位置布局设计时使之尽可能靠前面板的USB出口位置，达到硬盘USB引线到机箱面板USB接口之间连线最短。连接线缆进行电磁屏蔽处理。

目的是避开因为目前通用的USB KEY身份认证装置接在主板(BIOS)参与，增加被截获的几率。

7.USB KEY的技术

安全USB KEY实现方法是一个带有数据处理器(CPU)、存储器和微操作内核(COS)与加密算法程序的系统，本身具有安全加密功能，在和硬盘CPU通讯过程有自己的判断与应答交互机制，目的是增强安全可靠。

USB带有微操作系统(COS)和没有COS的自带加密算法的高级KEY相比较，不带自己COS的产品加密是把存储在Key里的软件算法程序调用出来，借助外界硬件平台(CPU和RAM)来实现加密操作；有COS的产品有自己的CPU和微操作系统(COS)的KEY对数据加密运算是自己独立完成，没有中间环节更安全。

KEY与系统建立通讯的流程图如图9所示，KEY与系统建立通讯的方法包括以下步骤：

301.身份认证；

302.检测USB连线与端口设备物理连接；

303.判断是否准备好，若准备好，则执行步骤304，若没准备好，则提示检查设备与连接线路，然后再返回步骤302；

304.系统发送命令读USB端口设备；

305.提示输入KEY口令；

306.判断口令是否正确，若不正确，则返回步骤305，若正确，则执行步骤307；

307.USB设备响应返回值；

308.系统调用USB设备驱动建立通信协议；

309.读取KEY密钥暗文；

310.系统解密处理

311.判断是否合法，若不合法，则锁死系统，若合法，则系统生成一串新的随机字符串作为下次身份认证的密钥；

312.发送给USB KEY，加载OS，同时KEY检测新字符串是否有效，若有效，则加密处理，并保存结果成暗文。

8.电磁防护技术

本发明计算机信息安全系统的电磁防护处理方法是利用抑源法或包容法等现有技术从发射源头采取措施，把电磁辐射降到最低，同时结合滤波技术来抑制电网传导。主要是对主机和显示器外壳、显示器与主机之间数据线传导线、键盘、鼠标的数据线以及USB KEY与硬盘连接线等增加屏蔽外层处理，主机与显示器的大功率开关电源加强滤波电路(PFC)处理，键盘、鼠标和显示数据线以及主机敏感的I/O端口连接器选用内部带增加滤波网罩或导电处理的接插件。

Claims (10)

1、一种保证信息安全的计算机系统，其包括组成个人计算机的通用部件，其特征在于：该计算机的硬盘集成了一个嵌入式智能处理系统，包括处理器、微内核操作系统和存储器，且硬盘驱动电路中还集成了硬件逻辑加密电路模块，对数据加解密过程是由处理器和微内核操作系统的指令下调用硬件逻辑加密电路完成。

2.如权利要求1所述的保证信息安全的计算机系统，其特征在于：该计算机系统通过硬件电路强制硬盘的磁头偏置，将硬盘划分为保护区和对应的镜像区两个部分，保护区在负磁道，用户无法访问。

3.如权利要求1所述的保证信息安全的计算机系统，其特征在于：该计算机还包括一个智能USB Key系统，其是一个带有数据处理器、存储器和微操作内核与加密算法程序的系统，其在和硬盘CPU通讯过程有自己的判断与应答交互机制。

4.如权利要求1所述的保证信息安全的计算机系统，其特征在于：该计算机系统通过虚拟硬盘管理技术，将一个硬盘按指定的空间分成几个区域，当用户开机时，弹出开机引导区选择菜单，当选中其中一个为开机主引导区并激活时，则将其它两个置成负磁道，不让用户访问。

5.如权利要求1所述的保证信息安全的计算机系统，其特征在于：该计算机系统还配置有外部的网络隔离卡，硬盘驱动电路引出一排物理连接信号线连接到该网络隔离卡。

6.如权利要求3所述的保证信息安全的计算机系统，其特征在于：该计算机系统的USB总线驱动控制器集成到硬盘驱动电路板并从硬盘的电路板引出USB端口线直接给用户接入USB KEY。

7.如权利要求3所述的保证信息安全的计算机系统，其特征在于：该计算机系统包括口令验证识别和USB KEY识别这两种身份认证方法。

8.如权利要求7所述的保证信息安全的计算机系统，其特征在于：该USB KEY识别法的实现方法是开机后当检测USB总线接口时检测到有USB KEY设备并且准备就绪后，由硬盘调用KEY的驱动和二者通信协议，实现与KEY的通讯；接着KEY发送经过自己和算法加密的密钥暗文给硬盘，硬盘收到暗文密钥后，调用ROM中存储的算法解开暗文密钥进行验证，合格后反馈给KEY一串新密钥字符，作为下次加密的密钥，KYE收到密钥后进行加密保存，等待再次读取使用。

9.如权利要求1所述的保证信息安全的计算机系统，其特征在于：该计算机系统的主机和显示器外壳以及外部连接数据线缆均是通过屏蔽外层处理。

10.如权利要求9所述的保证信息安全的计算机系统，其特征在于：该主机与显示器的大功率开关电源均通过加强滤波电路处理，键盘、鼠标和显示数据线以及主机敏感的I/O端口连接器为内部带增加滤波网罩或导电处理的接插件。

Images