CN201489538U

CN201489538U - 终端安全保护设备

Info

Publication number: CN201489538U
Application number: CN2009202224020U
Authority: CN
Inventors: 于晴; 王海洋
Original assignee: BEIJING TIP TECHNOLOGY CO Ltd
Current assignee: BEIJING TIP TECHNOLOGY CO Ltd
Priority date: 2009-09-07
Filing date: 2009-09-07
Publication date: 2010-05-26
Anticipated expiration: 2019-09-07

Abstract

本实用新型是一种用于计算机信息安全的终端安全保护设备，包括：经由计算机USB口连接计算机CPU的USB密钥装置，其内存有用来登录的USB密钥；连接计算机CPU以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块；连接计算机CPU以检查计算机拨号连接的外联检查模块；以及连接计算机CPU以根据外联检查模块的计算机已外联的检查结果禁用计算机网卡的网卡禁用模块。本实用新型只有通过识别USB密钥和用户密码之后，才能登录，从而确保了计算机终端的登录安全。

Description

终端安全保护设备

技术领域

本实用新型涉及一种信息安全防护装置，特别涉及一种终端安全保护设备。

背景技术

计算机技术日新月异、计算机网络不断发展、电子化办公的日益普及使全球信息化已成为人类发展的大趋势，政府及企事业单位80％以上的数据以电子格式存放在计算机中。

在享受信息化带来的方便和快捷的同时，信息的安全性也受到威胁。为了防止涉密信息、重要的业务数据等敏感信息、信息载体、信息处理过程等外泄，涉密计算机或者保存重要信息、数据的计算机要采取必要的安全防护措施。计算机安全防护包括物理安全策略、访问控制策略、数据保护技术等，目前市面上有很多种类的防护软件都可以提供如访问控制、移动存储设备使用控制、外部连接设备使用控制、网络连接控制等服务，但一方面这类软件提供的服务不包含物理安全防护措施，另一方面软件在诸多情况下存在被绕过的可能性。虽然很多软件也因此加强了自身的安全保护，但重新安装操作系统就可以使软件功能失效。因此包括物理安全策略在内的全方面彻底的计算机安全防护才能从根本上解决计算机安全隐患。另外，就目前的市场看来，几乎所有的信息安全防护类产品都是安装、运行于操作系统之上的，使用时需要根据计算机安装的操作系统的类型选择合适版本的软件或者驱动进行安装，不仅使用方便性不高，而且存在软件或驱动可能与操作系统或者计算机硬件不兼容等问题。

此外，内网计算机也可能通过拨号连接外网，从而导致内网计算机的文件经由所连接的外网外传。

发明内容

本实用新型的目的是提供一种能够提高计算机安全性能的终端安全保护设备。

本实用新型的实现上述目的的终端安全保护设备包括：

经由计算机USB口连接计算机CPU的USB密钥装置，其内存有用来登录的USB密钥；

连接计算机CPU以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块；

连接计算机CPU以检查计算机拨号连接的外联检查模块；以及

连接计算机CPU以根据外联检查模块的计算机已外联的检查结果禁用计算机网卡的网卡禁用模块。

其中，所述双因子登录检查模块包括：经由计算机CPU检查所述USB密钥装置的USB密钥的USB密钥识别单元；以及经由计算机CPU检查用户输入的用户密码的用户密码识别单元。

其中，本实用新型的终端安全保护设备还包括连接计算机CPU以根据所述双因子登录检查模块的USB密钥无效的检查结果锁定操作系统的操作系统锁定模块。

其中，所述外联检查模块包括：向外网域名解析服务器发送数据包的数据包发送单元；以及接收并解析外网域名解析服务器回送的数据包的域名解析单元。

其中，本实用新型的终端安全保护设备还包括连接计算机CPU的文件保护模块。

本实用新型具有如下技术效果：

1、登录操作系统时需要同时认证USB密钥和用户密码(PIN码)，因而登录安全；

2、拔下用户USB密钥装置，系统进入锁定状态，只有再插入该用户USB密钥装置并输入正确用户密码(PIN码)，系统锁定才能被解除，从而可以在开机状态下确保计算机安全使用。

3、可以防止用户私自连接外网，从而可以避免计算机文件通过外网泄密。

下面结合附图对本实用新型的细节进行详细说明。

附图说明

图1是本实用新型的终端安全保护设备的电原理图；

图2是图1中的双因子登录检查模块的原理图；

图3是图1中的外联检查模块的原理图；

图4是本实用新型的由计算机CPU执行的程序流程图；

图5是图4所示外联检查子程序的流程图。

具体实施方式

本实用新型是一种利用用户USB密钥和用户输入的用户密码进行登录以及防止用户私自外联的装置，图1示出了该装置的电原理图。

如图1所示，本实用新型的终端安全保护设备包括：

经由计算机USB口连接计算机CPU 14的USB密钥装置17，其内存有用来登录的USB密钥；

连接计算机CPU 14以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块10；

连接计算机CPU 14以检查计算机拨号连接的外联检查模块11；以及

连接计算机CPU 14以根据外联检查模块11输出的计算机已外联的检查结果禁用计算机网卡18的网卡禁用模块12。

本实用新型还包括连接计算机CPU 14的文件保护模块16。

在图1中，CPU 14、输入及输出装置15、网卡是计算机固有部件，实际上本实用新型是安装在计算机内的并且与计算机固有部件结合的设备。

本实用新型的双因子登录检查模块10检查USB密钥和用户密码这两个因子，只有当这两个因子都有效时，才能启动计算机的操作系统，即登录才能成功。

图2显示了本实用新型的双因子登录检查模块10的结构，本实用新型的双因子登录检查模块10包括：经由计算机CPU 14检查所述USB密钥装置17的USB密钥的USB密钥识别单元101，USB密码识别单元101比对预存的USB密钥，如果预存USB密钥与USB密钥装置的USB密钥一致，则输出USB密钥有效的识别结果，如果预存USB密钥与USB密钥装置的USB密钥不一致，则输出USB密钥无效的识别结果；以及依据所述USB密钥识别单元101输出USB密钥有效的检查结果，经由计算机CPU 14检查用户输入的用户密码的用户密码识别单元102。

本实用新型的双因子登录检查是一种二级登录检查机制，其中USB密钥是最关键的登录因子，由于USB密钥的复杂性，因此用户只有插入USB密钥才能登录，从而能够确保计算机安全使用。

本实用新型的终端安全保护设备还包括连接计算机CPU 14以根据所述双因子登录检查模块10的USB密钥无效的检查结果锁定操作系统的操作系统锁定模块13。

图3显示了本实用新型的外联检查模块11，它包括：向外网域名解析服务器发送数据包的数据包发送单元111；以及接收并解析外网域名解析服务器回送的数据包的域名解析单元112。

数据包发送单元111定期发送具有外网域名的上网数据包，一旦外网域名解析服务器收到该数据包，就会返回相应的数据包，这样域名解析单元112就可以通过该数据包的接收，确定计算机是否已经连接外网，如果确定计算机连接外网，则通过CPU 14禁用网卡18。同时可以通过电子邮件或手段短信方式向监控中心发出警报。

图4显示了实用新型进行终端安全登录与外联监控的流程。

该流程开始于计算机主机开机并自检的步骤30。在步骤31，硬盘驱动初始化。在步骤32，由用户USB密钥识别单元101判断是否插入用户USB密钥装置；当判断结果为“否”时，继续执行步骤32；当判断结果为“是”时，流程前进到步骤33。在步骤33中，由用户USB密钥识别单元101判断用户USB密钥是否正确；当判断结果为“否”时，由OS锁定模块13锁定操作系统(OS)；当判断结果为“是”时，流程前进到步骤34。在步骤34，由用户密码识别单元102判断用户输入的用户密码是否正确；当判断结果为“否”时，由OS锁定模块13锁定操作系统；当判断结果为“是”时，流程前进到步骤36。在步骤36中，启动操作系统。然后在步骤37中，由计算机运行操作系统。在计算机运行操作系统期间，用户USB密钥识别单元101在步骤38中，通过与用户USB密钥装置17的通信，判断用户USB密钥装置是否被拔出(步骤38)；如果发现用户USB密钥装置被拔出，则在步骤39中，由OS锁定模块13锁定操作系统，然后返回到步骤32，检测是否再次插入用户USB密钥装置。

在操作系统OS运行期间，还执行外联检查子程序40。

图5显示了本实用新型的外联检查子程序40的流程，如图5所示，在步骤401中，数据包发送单元111向外网DNS(域名解析服务器)发送数据包；在步骤402中，域名解析单元112判断是否收到DNS回送的数据包，如果收到数据包，则在步骤403中执行禁用网卡操作，然后在步骤404结束外联检查子程序。如果未收到数据包，流程返回到步骤402。

显然，本实用新型具有以下技术效果：

1、安全登录：登录操作系统时需要同时认证USB密钥和用户密码。

2、锁定系统：拔下用户USB密钥装置，系统进入锁定状态，只有再插入该用户USB密钥装置并输入正确用户密码(PIN码)，系统锁定才能被解除。

3、禁用网卡：当计算机连接外网时，自动禁用网卡，从而确保计算机文件不会通过外网泄密。

此外，本实用新型的文件保护模块16可以提供以下功能：

-文件锁定

用户可以选择一个指定文件，设定其属性为“禁止”访问。被设定的文件不能进行任何操作，可防止被随意查看、病毒感染或恶意删除。

-文件保护

对任意文件可执行保护，用户输入口令启动对该文件的加密，形成密文后源文件自动被删除。

-文件粉粹

提供用户一键彻底粉粹删除指定的文件，被删文件不可恢复。消除用户对敏感文件被泄露(即使删除)的顾虑。

-自定义生成文件保险箱

文件保险箱是由用户自己定义生成的，生成的个数和容量也由用户自行设定，最大程度实现了应用的灵活性。

-保险箱自动备份和恢复

任何的安全措施都需要提供容灾备份的机制，保险箱也不例外。可以确保发生系统灾难时，被损坏的保险箱能自动恢复，从而确保用户机要数据的保密性、完整性和可用性。

尽管上文对本实用新型进行了详细说明，但是本实用新型不限于此，本技术领域技术人员可以根据本实用新型的原理进行各种修改。因此，凡按照本实用新型原理所作的修改，都应当理解为落入本实用新型的保护范围。

Claims

1.一种终端安全保护设备，其特征在于包括：

经由计算机USB口连接计算机CPU(14)的USB密钥装置(17)，其内存有用来登录的USB密钥；

连接计算机CPU(14)以根据USB密钥和用户密码启动计算机操作系统的双因子登录检查模块(10)；

连接计算机CPU(14)以检查计算机拨号连接的外联检查模块(11)；以及

连接计算机CPU(14)以根据外联检查模块(11)的计算机已外联的检查结果禁用计算机网卡(18)的网卡禁用模块(12)。

2.根据权利要求1所述的终端安全保护设备，其特征在于所述双因子登录检查模块(10)包括：

经由计算机CPU(14)检查所述USB密钥装置(17)的USB密钥的USB密钥识别单元(101)；以及

经由计算机CPU(14)检查用户输入的用户密码的用户密码识别单元(102)。

3.根据权利要求2所述的终端安全保护设备，其特征在于还包括连接计算机CPU(14)以根据所述双因子登录检查模块(10)的USB密钥无效的检查结果锁定操作系统的操作系统锁定模块(13)。

4.根据权利要求2或3所述的终端安全保护设备，其特征在于所述外联检查模块(11)包括：

向外网域名解析服务器发送数据包的数据包发送单元(111)；以及

接收并解析外网域名解析服务器回送的数据包的域名解析单元(112)。

5.根据权利要求1所述的终端安全保护设备，其特征在于还包括连接计算机CPU(14)的文件保护模块(16)。