CN2852230Y - 计算机开机身份认证系统 - Google Patents
计算机开机身份认证系统 Download PDFInfo
- Publication number
- CN2852230Y CN2852230Y CN 200520061459 CN200520061459U CN2852230Y CN 2852230 Y CN2852230 Y CN 2852230Y CN 200520061459 CN200520061459 CN 200520061459 CN 200520061459 U CN200520061459 U CN 200520061459U CN 2852230 Y CN2852230 Y CN 2852230Y
- Authority
- CN
- China
- Prior art keywords
- identity authorization
- authorization system
- embedded module
- controller
- computer booting
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
一种计算机开机身份认证系统，其包括依次连接的CPU、图形与存储集中控制器及周边设备集成集中控制器，显示器与动态随机存储器分别与图形与存储集中控制器连接，键盘、BIOS ROM及可信嵌入式模块分别与周边设备集成集中控制器连接，所述系统还包括一密码读卡设备，其直接与所述可信嵌入式模块连接，可信嵌入式模块包括一微型中央处理器和一对外设进行安全通讯与中断控制集中处理单元。本实用新型通过对可信嵌入式模块的物理硬件的中断控制与外部设备通讯方式进行改进，实现在满足BIOS开机自检与初始化流程未完成之际，就可以通过自己独立的系统实现开机用户身份的加密信息采集、传输与强制认证，提高系统安全性，不易被非法侵入。
Description
技术领域
本实用新型涉及一种计算机开机身份认证系统，尤其涉及一种可增强计算机信息安全的计算机开机身份认证系统。
背景技术
当今社会，电脑的应用广泛而且普及，随着科技的发展以及金融系统、个人隐私等方面的需要，尤其随着网路身份识别与支付系统的发展，电脑的安全性也越来越为人们担心，一旦电脑主机遭到非法入侵，将使所有存储在电脑主机内的资料被窃取或篡改。
现有保护电脑主机安全性的身份认证流程，通常为开机后利用作业系统(OS)做认证。然而，此种认证方法因主机均已开机，所以无法完全杜绝黑客的入侵。
请参阅图1，揭示一种现有具身份认证系统的电脑主机系统，其包括一可信嵌入式系统、一图形与存储集中控制器(GMCH，Graphics Memory ControllerHub)、一周边设备集成集中控制器(ICH，Integrate Controller Hub)及一密码读卡设备。该可信嵌入式系统与密码读卡设备分别与周边设备集成集中控制器连接，其通常由可信计算模块-TPM(Trust Platform Module)硬件集成电路与可对硬件作底层设置操作的微型操作系统(μOS)软件一起构成(其功能结构方块图和中断控制系统结构简图请分别参阅图2和图3)，此种现有具身份认证系统的电脑主机系统的连接关系需要在主机系统在固件(Firmware)BIOS对硬件平台进行初始化完成后，借助主机平台的中断管理和I/O端口以及通讯协议的初始化才能与外部设备通讯，执行密码采集传输与比较认证等。然而，此种认证设计和TPM可信计算系统的存在没有太多的关联，只是增加了一个认证环节。在TPM可信计算系统被开启并完成初始化后，才需要用户身份强制认证，这样的话有可能会被欺骗。例如非法探测设备利用主机平台完成初始化后，周边通信端口处于激活状态，这些端口很容易被接入其它外部设备而用来进行密码探测、或者利用端口的可通信特性从其它端口送来密码的“替身”数据进行欺骗等。因此不够安全，而用户全然醉心于TPM系统的安全性而“高枕无忧”，存在很大危险性。
实用新型内容
为了克服上述现有技术的不足，而提供一种计算机开机身份认证系统，从而解决目前现有具开机身份认证系统安全性不高，容易被侵入的问题。
本实用新型所采用的技术方案为：提供一种计算机开机身份认证系统，其包括依次连接的CPU、图形与存储集中控制器及周边设备集成集中控制器，显示器与动态随机存储器分别与图形与存储集中控制器连接，键盘、BIOS ROM及可信嵌入式模块分别与周边设备集成集中控制器连接，所述系统还包括一密码读卡设备，其直接与所述可信嵌入式模块连接，所述可信嵌入式模块包括一微型中央处理器CPU和一对外设进行安全通讯与中断控制集中处理单元。
所述可信嵌入式模块包括固化有可对硬件作底层设置操作的微型操作系统软件的可信嵌入式硬件集成电路。
所述密码读卡设备为IC卡读卡器驱动设备或指纹光电采集器。
所述微型中央处理器CPU和对外设进行安全通讯与中断控制集中处理单元分别与一系统接口单元相连。
所述微型中央处理器CPU包括高速缓冲存储器和内存管理单元，所述对外设进行安全通讯与中断控制集中处理单元包括解密电路模块、串行通信控制器、串行外围接口电路、LPC接口与控制器及I2C接口。
所述可信嵌入式模块的中断体系结构包括依次连接的嵌入系统CPU、SIU中断控制器和中断控制集中处理单元中断控制器。
所述可信嵌入式模块还包括依次连接一个加解密运算电路和一个隔离控制开关，用于实现从加电开始到用户态下身份密码采集与认证电路与主机进入OS正常运行环境时的系统状态对可信嵌入式模块的调用与加解密运算电路是隔离的。
所述可信嵌入式模块与计算机主板集成，并设置与密码读卡设备连接的连接器。
本实用新型的有益效果在于：本实用新型计算机开机身份认证系统通过对可信嵌入式模块的物理硬件，即TPM模块集成电路的中断控制与外部设备通讯方式进行改进，实现在满足BIOS开机自检与初始化流程未完成之际，就可以通过自己独立的系统实现开机用户身份的加密信息采集、传输与强制认证，提高系统安全性，不易被非法侵入。
附图说明
图1是现有具开机身份认证功能的计算机主机的结构示意图；
图2是现有具开机身份认证功能的计算机的TPM可信计算模块的物理芯片功能结构方块图；
图3是现有具开机身份认证功能的计算机的TPM可信计算模块的中断控制系统结构简图；
图4是本实用新型计算机开机身份认证系统的结构示意图；
图5是本实用新型计算机开机身份认证系统的TPM模块的中断方框图；
图6是本实用新型计算机开机身份认证系统的TPM模块双CPU中断体系结构图；
图7是本实用新型计算机开机身份认证系统的TPM模块的SIU中断控制器管理的Level 0-7的中断结构示意图；
图8是本实用新型计算机开机身份认证系统的TPM模块两个状态下加解密隔离处理电路示意图；
图9是本实用新型计算机开机身份认证系统的认证流程图；
图10是本实用新型计算机开机身份认证系统的TPM模块与密码读卡设备的针脚连接示意图。
具体实施方式
请参阅图4，本实用新型计算机开机身份认证系统包括依次连接的CPU、图形与存储集中控制器(以下简称北桥)及周边设备集成集中控制器(以下简称南桥)，显示器与动态随机存储器(以下简称内存)分别与北桥连接，键盘、BIOS ROM及可信嵌入式系统(以下简称TPM模块)分别与南桥连接，一密码读卡设备与TPM模块连接。其中，TPM模块包括TPM硬件集成电路和可对硬件作底层设置操作的微型操作系统(μOS)软件，本实施例的密码读卡设备可为IC卡读卡器驱动设备或者指纹光电采集器。
本实用新型计算机开机身份认证系统的密码读卡设备直接与TPM模块连接，可增强TPM模块直接负责开机强制认证的关键环节的操作，确保从计算机一开始动作源头就是安全的、合法的。
可以理解，为了实现本实用新型计算机开机身份认证系统的TPM模块可直接负责与密码读卡设备的通讯与中断、资源管理等行为能力，其与现有TPM可信模块相比有相应的功能拓展，包括：增强对外部设备中断处理能力，增加中断源；增强TPM模块的微型中央处理器对外部设备通讯标准总线，如串行通信ISO7816卡规范或GPIO、LPC(与主机系统通讯专用总线)等的中断控制与管理，必要时，可以将主机系统作为自己的附属外部设备而置于中断等待状态，腾出时间进行身份认证工作；强化以TPM模块为中心的嵌入式系统与外部设备标准总线的通讯协议等固件设计；对TPM模块内部存储的安全开机身份认证密码的初始设置与修改、安全性管理等微型操作软件平台。
可以理解，为确保密码发送验证过程的安全，因为TPM模块可与外设的通讯总线类型与通讯端口越少越好，因此本实施例修改删除了USB端口，仅保留ISO7816和GPIO。
此外，因为现有TPM内集成的处理器CPU多是嵌入式，性能和挂外部设备的负载能力有限，没有实现对主机系统的外部中断请求电路，同时标准串行通信总线和GPIO等不能与外部设备通信。因此，本实用新型计算机开机身份认证系统的TPM模块增加一个对外设进行安全通讯与中断控制集中处理单元，功能相当于一个CPU，称为ECPM(External Communications ProcessorModule)。可以理解，本实用新型计算机开机身份认证系统的TPM模块就是双CPU结构，在保证主CPU与计算机主机的实时通信与快速处理性能同时，能独立处理与外设安全通信的中断机制，得到扩展外挂负载的能力。和现有TPM集成电路的结构方块图相比较，第一个更改部分就是中断控制器电路设计部分，IRQ(Interrupt Request中断请求)，其中断方框图请一并参阅图5。
由此，当加电开机指令执行到TPM模块被计算机主机系统调用时，TPM模块能主动向开机用户提出需要进行内部密码验证动作的中断请求，这是对主机中断的扩展与嵌套。
TPM内部集成了两个处理单元：一个处理单元是当前体系结构下的嵌入主处理单元CPU，是一个RISC(Reduced Instruction set Computer精简指令精计算机)芯片，包括Cache(高速缓冲存储器)和内存管理单元，通常编译后的程序指令都是由它执行；另一个是新增的扩展外设通信处理模块ECPM，内部也集成了一个RISC微处理器，对各种通信模块进行管理。通信处理模块内部集成有解密电路模块、1个串行通信控制器SCC(Serial CommunicationController)、1个串行外围接口电路SPI(Serial Peripheral Interface)、LPC(LowPin Count)接口与控制器、1个I2C(Inter-Integrated Circuit)接口。另外，在TPM模块中还增加一个系统接口单元SIU(System Interface Unit)，主要功能是提供内外总线的接口等功能(如SIU向嵌入系统主CPU的中断)的管理等。TPM模块双CPU中断体系结构请参阅图6。
与TPM模块的两个处理单元相对应，对于ECPM产生的中断，也有两级处理过程。整个TPM SOC的中断体系结构详细连接关系如图6所示。TPM Soc整体中断体系结构包括3个模块：嵌入系统CPU、SIU中断控制器SIU IC(SIUInterrupt Controller)和ECPM中断控制器ECPM IC(ECPM InterruptController)。
嵌入式系统的CPU是指令执行单元，增加外部中断请求电路可打断正常开机流程中主机CPU系统对TPM资源调用的正常执行，使其转入处理用户身份强制认证的事件的异常处理程序中执行。
SIU中断控制器负责管理8个外部中断源(IRQ0～7)和8个内部中断源(Level0～7)，结构如图6所示。其中IRQ0一般用作不可屏蔽中断，通过NMI向CPU内核请求中断，其余15个通过IREQ请求中断。对于8个内部中断源，包括周期性的中断时钟(PIT)、实时时钟(RTC)、LPC总线控制器以及ECPM等，用户可以通过对寄存器的操作，把它们设定为Level0～7中的任何一级。这16个中断源之间的优先级SIU IC已经设定了。其中IRQ0的优先级最高，Level0其次，依此类推，Level7的优先级最低。
ECPM中断控制器是对SIU中断控制器的下一级扩展。其管理通信处理模块的各个中断源，并向SIU IC申请中断处理，其结构如图5所示。ECPM IC接收12个外部中断源和17个内部中断源的中断请求，经过屏蔽和判优处理后，把中断请求送往SIU中断控制器。通过设置ECPM IC的配置寄存器，ECPM在SIU IC中的优先级可以是Level0～7中的任何一级，并且所有的ECPM中断源都将以这个优先级向SIU申请中断。在ECPM IC内部，其也为每个中断源分配了一个中断向量号，并且分配了不同的优先级，还可以编程设定哪个中断源为最高优先级。其中Level0-7的中断结构如图7所示。
现有电脑主机的电路设计没有将身份认证的解密电路和进入OS后系统对TPM加解密电路分开设计，本实用新型计算机开机身份认证系统增加一个加解密运算电路和一个隔离控制开关以及提供各自运行环境下的设备驱动库。
从加电开始到用户态下身份密码采集与认证电路与主机进入OS正常运行环境时的系统状态对TPM模块的调用与加解密运算电路是隔离的，保证安全，而且功耗也要低于传统体系结构的处理器。
因此，本实用新型计算机开机身份认证系统在开机时增加一个“强制开机身份认证”环节，可以用常规的读卡器实现，也可以用一套指纹采集系统完成；也可以用双因子认证，即读卡器的IC卡烧录指纹加密信息作为基准；用户现场指纹采集进行比较，符合就是通过；否则，不符合，锁定机器进程。请一并参阅图9，本实用新型计算机开机身份认证系统的认证流程如下：
(a)修改TPM规范中BIOS开机流程，在BIOS启动完成基本I/O探测，主机平台LPC BUS已经初始化，TPM模块受主机平台加电触发完成初始化，密码采集设备受主机开关电源送来的外接5V电源启动与通过28PIN与主板平台电气连通后，也完成初始化，整装待发；
(b)当BIOS调用CRTM(the Core Root of Trust for Measurement)的一段程序时，需要TPM配合工作时，TPM向主机CPU发出中断请求，获得中断控制权；
(c)TPM获得中断，TPM内主CPU向管理外部设备的ECPM(ExternalCommunications Processor Module内部通讯处理模块)发出读取密码指令；
(d)主CPU开始等待密码验证值，ECPM开始按流程与外设密码采集器握手后，开始密码采集；
(e)ECPM将采集到的加密信息解密，判断是否符合，并将值返回给上级主CPU；
(f)如果没有获得输入的验证密码或密码不符合，则TPM主CPU向主机CPU发出错误信息，并在主机显示器弹出提示信息界面并将在设定验证次数外挂起系统；如果检测符合，则TPM主CPU允许其配合CRTM执行检测并完成中断返回；
(g)ECPM清理密码传输电路状态，挂起外设通道(这一个工序就是请求指纹密码确认，即确认是谁让“我”做事)；
(h)清理电路三方电路连接的在线状态，确保加密指纹信息安全，同时让出高级别的中断资源。
可以理解，本实用新型计算机开机身份认证系统的主板集成TPM模块后，主板设计中还需要为用户保留28pin或新规范的针脚连接器(请参阅图10)；指纹密码采集系统驱动电路或IC卡读卡嵌入系统可直接与主板相连接；更改TPM集成电路内部中断管理与外部设备通讯端口资源系统设计；在电路设计上，这个开机系统状态下的密码验证功能执行通信与运算电路与以后验证通过后的用户OS环境下对TPM加解密等运算电路等实行隔离方式，完全采用独立的存储器和加解密运算电路；TPM完成开机系统用户认证后，将结果值返回给主CPU，再由SIU返回给主机系统以决定是“下一步”还是跳转等待或结束认证挂起；在主机加电完成基本I/O探测过程，至少在LPC激活时，TPM完成初始化可以通过LPC、GPIO、标准串行通信三种总线实现与外部设备通讯的修改电路设计。
Claims (8)
1.一种计算机开机身份认证系统，其包括依次连接的CPU、图形与存储集中控制器及周边设备集成集中控制器，显示器与动态随机存储器分别与图形与存储集中控制器连接，键盘、BIOS ROM及可信嵌入式模块分别与周边设备集成集中控制器连接，其特征在于：所述系统还包括一密码读卡设备，其直接与所述可信嵌入式模块连接，所述可信嵌入式模块包括一微型中央处理器CPU和一对外设进行安全通讯与中断控制集中处理单元。
2.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块包括固化有可对硬件作底层设置操作的微型操作系统软件的可信嵌入式硬件集成电路。
3.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述密码读卡设备为IC读卡器驱动设备或指纹光电采集器。
4.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述微型中央处理器CPU和对外设进行安全通讯与中断控制集中处理单元分别与一系统接口单元相连。
5.如权利要求4所述的计算机开机身份认证系统，其特征在于：所述微型中央处理器CPU包括高速缓冲存储器和内存管理单元，所述对外设进行安全通讯与中断控制集中处理单元包括解密电路模块、串行通信控制器、串行外围接口电路、LPC接口与控制器及I2C接口。
6.如权利要求5所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块的中断体系结构包括依次连接的嵌入系统CPU、系统接口单元中断控制器和中断控制集中处理单元中断控制器。
7.如权利要求6所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块还包括依次连接一个加解密运算电路和一个隔离控制开关。
8.如权利要求1所述的计算机开机身份认证系统，其特征在于：所述可信嵌入式模块与计算机主板集成，并设置与密码读卡设备连接的连接器。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 200520061459 CN2852230Y (zh) | 2005-07-12 | 2005-07-12 | 计算机开机身份认证系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN 200520061459 CN2852230Y (zh) | 2005-07-12 | 2005-07-12 | 计算机开机身份认证系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN2852230Y true CN2852230Y (zh) | 2006-12-27 |
Family
ID=37586186
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN 200520061459 Expired - Lifetime CN2852230Y (zh) | 2005-07-12 | 2005-07-12 | 计算机开机身份认证系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN2852230Y (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101038568B (zh) * | 2007-04-16 | 2010-05-19 | 丁万年 | 外置式计算机硬盘数据加密方法及其装置 |
| CN102521105A (zh) * | 2011-11-21 | 2012-06-27 | 华为技术有限公司 | 一种开机自检信息输出方法、虚拟机管理器和处理器 |
| US8909989B2 (en) | 2011-11-21 | 2014-12-09 | Huawei Technologies Co., Ltd. | Method for outputting power-on self test information, virtual machine manager, and processor |
-
2005
- 2005-07-12 CN CN 200520061459 patent/CN2852230Y/zh not_active Expired - Lifetime
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101038568B (zh) * | 2007-04-16 | 2010-05-19 | 丁万年 | 外置式计算机硬盘数据加密方法及其装置 |
| CN102521105A (zh) * | 2011-11-21 | 2012-06-27 | 华为技术有限公司 | 一种开机自检信息输出方法、虚拟机管理器和处理器 |
| CN102521105B (zh) * | 2011-11-21 | 2014-07-30 | 华为技术有限公司 | 一种开机自检信息输出方法、虚拟机管理器和处理器 |
| US8909989B2 (en) | 2011-11-21 | 2014-12-09 | Huawei Technologies Co., Ltd. | Method for outputting power-on self test information, virtual machine manager, and processor |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN100432890C (zh) | 计算机开机身份认证系统及其认证方法 | |
| US10762216B2 (en) | Anti-theft in firmware | |
| CN106605233B (zh) | 使用处理器提供可信执行环境 | |
| JP6053786B2 (ja) | Ａｒｍ（登録商標）トラストゾーン実施のためのファームウェア基盤トラステッドプラットフォームモジュール（ｔｐｍ） | |
| US6199167B1 (en) | Computer architecture with password-checking bus bridge | |
| CN107092495B (zh) | 平台固件铠装技术 | |
| US20090132816A1 (en) | PC on USB drive or cell phone | |
| CN110414235B (zh) | 一种基于ARM TrustZone的主动免疫的双体系结构系统 | |
| US7364087B2 (en) | Virtual firmware smart card | |
| US20170351878A1 (en) | Methods and Systems to Restrict Usage of a DMA Channel | |
| US20050228993A1 (en) | Method and apparatus for authenticating a user of an electronic system | |
| US20030041248A1 (en) | External locking mechanism for personal computer memory locations | |
| EP2965195B1 (en) | User authorization and presence detection in isolation from interference from and control by host central processing unit and operating system | |
| CN100481107C (zh) | 一种基于可信平台模块和指纹识别的身份控制方法 | |
| JP5752767B2 (ja) | 複数の認証済みコードモジュールを利用するプロセッサ、方法、及びシステム | |
| Dietrich et al. | Implementation aspects of mobile and embedded trusted computing | |
| CN108628791B (zh) | 基于pcie接口的高速安全芯片 | |
| Kursawe et al. | Analyzing trusted platform communication | |
| US10747885B2 (en) | Technologies for pre-boot biometric authentication | |
| CN201820230U (zh) | 计算机用可信计算信任根设备及计算机 | |
| US20060112423A1 (en) | Secure authentication using a low pin count based smart card reader | |
| CN2852230Y (zh) | 计算机开机身份认证系统 | |
| CN2914193Y (zh) | 一种tpm指纹生物识别装置 | |
| CN111736770A (zh) | 嵌入式安全存储器 | |
| Xiao et al. | TrustZone-based mobile terminal security system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| CX01 | Expiry of patent term |
Expiration termination date: 20150712 Granted publication date: 20061227 |
|
| EXPY | Termination of patent right or utility model |