TWI502401B

TWI502401B - 適用於可信任安全平台模組之密碼管理與驗證方法

Info

Publication number: TWI502401B
Application number: TW098137158A
Authority: TW
Inventors: Yi Ming Teng; Shih Pin Chang; Hsiang Chien Tu
Original assignee: Giga Byte Tech Co Ltd
Priority date: 2009-11-02
Filing date: 2009-11-02
Publication date: 2015-10-01
Also published as: TW201117040A

Description

適用於可信任安全平台模組之密碼管理與驗證方法

本發明是有關於一種密碼管理與驗證方法，且特別是有關於一種適用具有可信任安全平台模組(Trusted Platform Module,簡稱TPM)之電子裝置的密碼管理與驗證方法。

隨著電腦與網路的普及，各種電腦系統已漸漸成為日常生活中不可或缺的工具，同時也是工作時主要的資料處理工具。在資料儲存上，硬碟(Hard Disk,HD)為目前儲存裝置中具有最大容量的儲存裝置，同時也是最主要的資料儲存裝置。因此，資料安全對於電腦的使用者而言日趨重要，隨著越來越多的駭客入侵、木馬程式，電腦資料外洩風險也越來越高，且筆記型電腦攜帶容易、單價高、容易變現，也常是竊賊最好的下手目標。一旦資料外流，造成的損失往往無法估計且無法挽回。

目前最主要的資訊防護技術規格為信賴運算集團(Trusted Computing Group,簡稱TCG)所推廣的TPM，包括Intel、Acer、IBM、HP、AMD、Sony、Sun Micro及微軟等資訊大廠全球一線資訊大廠都支持這個協定。TPM可直接對硬碟或資料夾加密，被加密過的檔案除了需要密碼以外還需要TPM晶片才能進行解密，因此就算使用者的密碼被駭客竊取，由於駭客的電腦並沒有對應的TPM晶片，因此也無法竊取被加密的資料。

使用TPM晶片加密的檔案會要求使用者手動輸入密碼後才會對其資料解密以供使用者使用，以及達到操作權限及使用功能、時間等功能。然而，密碼容易遺失也不易牢記，一旦遺失密碼，資料變無法挽回，會對使用者造成相當大的困擾。

本發明提供一種密碼管理與驗證方法，適用於具有TPM之電子裝置，此方法可自動根據TPM密碼產生一組驗證碼，並將其儲存於使用者所指定的驗證裝置，如USB隨身碟或藍芽裝置中，讓隨身碟成為TPM的電子鑰匙。使用者不需記憶密碼，只要將隨身碟或藍芽裝置連接至電子裝置即可開啟TPM所加密之資料夾或硬碟，相當方便。

本發明提供一種電腦程式產品，可將隨身碟等儲存裝置或藍芽裝置視為驗證裝置，將其設定為TPM的電子鑰匙，讓使用者可直接以隨身碟或藍芽裝置來開啟TPM所加密之資料夾或硬碟，相當方便。

承上述，本發明所提出之密碼管理與驗證方法，適用於具有可信任安全平台模組(Trusted Platform Module,簡稱TPM)之一電子裝置，上述密碼管理與驗證方法包括下列步驟：首先，偵測上述電子裝置所連接的一驗證裝置；然後讀取上述驗證裝置的一硬體識別碼；根據上述硬體識別碼與一使用者密碼產生為一驗證碼；將上述驗證碼儲存於上述驗證裝置或電子裝置中，使上述驗證裝置成為一電子鑰匙；當上述驗證裝置連接至上述電子裝置時，自動驗證上述驗證碼是否正確，若上述驗證碼正確則自動解密上述電子裝置所加密之一資料夾或一硬碟供使用者使用。

在本發明一實施例中，上述驗證裝置包括通用序列匯流排(Universal Serial Bus，簡稱USB)隨身碟或藍芽(blue tooth)裝置或行動硬碟。上述硬體識別碼包括產品序號或媒體存取控制位址(Media Access Control address，簡稱MAC address)。上述電子裝置包括筆記型電腦或桌上型電腦或行動電話。

在本發明一實施例中，其中在偵測上述電子裝置所連接的上述驗證裝置之步驟後，更包括詢問使用者是否將上述驗證裝置設定為上述電子鑰匙。

在本發明一實施例中，其中在將上述硬體識別碼與上述使用者密碼編碼為上述驗證碼之步驟更包括要求使用者輸入上述使用者密碼。

在本發明一實施例中，其中在自動驗證上述驗證碼是否正確之步驟更包括驗證上述驗證裝置之硬體識別碼是否與驗證碼相符。

在本發明一實施例中，上述密碼管理與驗證方法更包括：當上述驗證裝置自上述電子裝置移除時，關閉上述電子裝置所加密之資料夾或硬碟。

在本發明一實施例中，其中在自動驗證上述驗證碼之步驟更包括當上述電子裝置自一休眠裝態恢復至一正常狀態時，重新驗證上述驗證碼。

在本發明一實施例中，其中在自動驗證上述驗證碼是否正確之步驟中更包括偵測TPM是否開啟，若TPM未開啟則忽略上述驗證碼。

在本發明一實施例中，其中在根據上述硬體識別碼與上述使用者密碼產生為上述驗證碼之步驟更包括對上述驗證碼加密。

在本發明一實施例中，其中上述電子裝置係利用TPM對上述資料夾或上述硬碟進行加密或解密。上述使用者密碼為一TPM密碼。

本發明另提出一種密碼驗證方法，適用於具有可信任安全平台模組(Trusted Platform Module,簡稱TPM)之一電子裝置，上述密碼驗證方法包括下列步驟：首先，檢查TPM是否開啟；若TPM開啟則偵測是否有一驗證裝置連接至上述電子裝置；自動檢查所連接之上述驗證裝置或上述電子裝置中之一驗證碼是否正確；若上述驗證碼正確，則自動解密TPM所加密之一資料夾或一硬碟供使用者使用。

本發明又提出一種電腦程式產品，包括至少一程式指令，上述程式指令用以載入一電子裝置以執行下列步驟：偵測上述電子裝置所連接的一驗證裝置；讀取上述驗證裝置的一硬體識別碼；根據上述硬體識別碼與一使用者密碼產生為一驗證碼；將上述驗證碼儲存於上述驗證裝置或上述電子裝置中，使上述驗證裝置成為一電子鑰匙；當上述驗證裝置連接至上述電子裝置時，自動驗證上述驗證碼是否正確，若上述驗證碼正確則自動解密上述電子裝置所加密之一資料夾或一硬碟供使用者使用。

本發明又提出一種電腦程式產品，包括至少一程式指令，上述程式指令用以載入一電子裝置以執行下列步驟：檢查TPM是否開啟；若TPM開啟則偵測是否有一驗證裝置連接至上述電子裝置；自動檢查所連接之上述驗證裝置或電子裝置中之一驗證碼是否正確；若上述驗證碼正確，則自動解密TPM所加密之一資料夾或一硬碟供使用者使用。

基於上述，本發明利用隨身碟或藍芽裝置來作為TPM的電子鑰匙，使用者可自行決所喜歡的驗證裝置來作為電子鑰匙，在設定完成後，使用者可直接利用設定好的隨身碟或藍芽裝置來開啟TPM加密的資料檔案，不需記憶密碼，相當方便。此外，本發明會根據隨身碟或藍芽裝置的硬體辨識碼來判斷使用者所使用的電子鑰匙是否正確，以防止隨身碟或藍芽裝置中的驗證碼失竊，進一步增加資料的安全性。

為讓本發明之上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

第一實施例

本實施例提供一種密碼管理與驗證方法，其可依照使用者的喜好將驗證裝置設定為TPM的電子鑰匙，讓使用者可直接以驗證裝置來開啟TPM加密的資料夾或硬碟。使用者不需記憶所設定的TPM密碼，僅需將驗證裝置連接至電子裝置，如筆記型電腦或桌上型電腦或行動電話，電子裝置即會自動辨識所連接的驗證裝置是否正確，然後自動開啟TPM加密的資料夾或硬碟給使用者使用，相當便利。換句話說，本發明可取代人工輸入密碼的方式，讓系統自動驗證並自動輸入TPM密碼以對加密的資料進行解密。其中，可以設定為電子鑰匙的驗證裝置則例如USB隨身碟、藍芽裝置或行動硬碟或具有儲存功能之手機等，但本實施例並不受限於此。

舉例來說，請參照圖1，圖1為根據本發明第一實施例之密碼管理與驗證方法流程圖，首先，偵測電子裝置所連接的驗證裝置(步驟S110)，其連接方式包括有線或無線，本實施例並不受限。此外，在步驟S110中也可詢問使用者是否將驗證裝置設定為電子鑰匙。然後，讀取驗證裝置的一硬體識別碼(步驟S120)。在步驟S120中，更可提供所有可設定為電子鑰匙的驗證裝置列表讓使用者挑選以及要求使用者設定一使用者密碼，例如TPM密碼。然後，接下來，根據硬體識別碼與使用者密碼產生一驗證碼(步驟S130)，然後自動將驗證碼儲存於所連接之驗證裝置或電子裝置中，使驗證裝置成為一電子鑰匙(步驟S140)。其中，驗證碼也可以經由加密後再儲存至驗證裝置中，其加解密的演算法並不受限。然後，當驗證裝置連接至電子裝置時，自動驗證驗證裝置或電子裝置中之驗證碼是否正確，若驗證碼正確則自動解密電子裝置所加密之資料夾或硬碟以供使用者使用(步驟S150)。電子裝置可利用TPM對資料或硬碟進行加解密的動作，但本實施例並不受限其加解密的演算法或裝置。

此外，在驗證其驗證碼的過程中包括檢查驗證碼中的硬體識別碼是否與驗證裝置一致，若不一致就不會解密資料夾或硬碟供使用者使用。這樣的驗證方式可以預防驗證碼失竊時，駭客將驗證碼儲存在別的驗證裝置試圖來開啟加密檔案的情況發生。即使驗證碼失竊，只要所使用的驗證裝置不一致，同樣無法開啟加密的檔案，為加密的檔案提供雙重的保障。值得注意的是，硬體辨識碼例如為產品序號身分編碼或是媒體存取控制位址(Media Access Control address，簡稱MAC address)等電子產品中獨有的號碼即可，本實施例並不受限。

由上述說明可知，本發明可依據使用者所選擇的驗證裝置與其使用者密碼來產生電子鑰匙，這樣的方式可以讓使用者更簡便的使用TPM的加密機制，也不用擔心遺忘密碼。此外，本實施例也可適用於一般的加密系統，使用者可以簡單的以隨身碟或藍芽裝置來製作個人化的電子鑰匙，相當方便。此外，值得注意的是，驗證碼可依照使用者設定將其儲存於所連接之驗證裝置或電子裝置即可達到自動驗證的功能，當然也可同時存放於驗證裝置或電子裝置中，本實施例並不受限。

本發明另提供一種電腦程式產品，其係包含程式指令用以執行上述圖1之密碼管理與驗證方法的步驟，此電腦程式產品基本上是由多數個程式碼片段所組成的(例如建立組織圖程式碼片段、簽核表單程式碼片段、設定程式碼片段、以及部署程式碼片段)，並且這些程式碼片段在載入電子裝置中並執行之後，即可完成上述電子鑰匙的建立與密碼驗證功能。

第二實施例

上述圖1之步驟S150主要說明驗證驗證裝置是否為正確的電子鑰匙的過程，若將其應用於TPM之電子裝置中，其實施方法可進一步說明如下。請參照圖2，圖2為根據本發明第二實施例之密碼驗證方法流程圖。首先，檢查TPM是否開啟，若否則結束流程，不需進行密碼的驗證。若TPM有開啟則進一步偵測是否有驗證裝置連接至電子裝置(步驟S220)。若有，則自動檢查驗證裝置或電子裝置中的驗證碼是否正確，包括檢查其TPM密碼(即使用者密碼)與硬體辨識碼是否正確(步驟S230)。然後，檢查系統是否正從休眠狀態(Suspend state,即S3)中恢復正常狀態，若是則重新掃描，即重新執行步驟S210~S230以避免系統誤判(步驟S240)。若系統處於正常狀態則自動解密TPM所加密的資料夾或硬碟供使用者使用(步驟S250)。

值得注意的是，上述步驟S240主要是用來防止當系統自休眠狀態回復時，系統尚未穩定可能產生誤判而設置。此一步驟S240可依照使用者設計需求增添或移除，本實施例並不受限，同時也不會影響本實施例的功效。

依照上述圖2的說明，本發明另提供一種電腦程式產品，其係包含程式指令用以執行上述圖2之密碼驗證方法的步驟，此電腦程式產品基本上是由多數個程式碼片段所組成的(例如建立組織圖程式碼片段、簽核表單程式碼片段、設定程式碼片段、以及部署程式碼片段)，並且這些程式碼片段在載入電子裝置中並執行之後，即可完成上述電子鑰匙的建立與密碼驗證功能。

第三實施例

在設定電子鑰匙的過程中，可藉由視覺化的使用者介面協助使用者設定，其介面設定本實施例並不受限。接下來，以流程圖為例說明本發明中設定電子鑰匙的方法，請參照圖3，圖3為根據本發明第三實施例之電子鑰匙的設定流程圖。首先，偵測所有連接的驗證裝置(步驟S310)，然後列出可作為電子鑰匙之驗證裝置供使用者選擇(步驟S320)。接下來，依據使用者所選擇的驗證裝置的硬體識別碼與TPM密碼產生一驗證碼(步驟S330)，然後加密驗證碼並將驗證碼儲存於使用者所選定的驗證裝置或電子裝置(步驟S340)。此一儲存有驗證碼之驗證裝置即可作為TPM之電子鑰匙，只要連接至電子裝置即可讓TPM解密，藉此取代人工輸出TPM密碼的方式來進行密碼管理與驗證，增加使用者的方便性。關於本實施例中之驗證碼與其餘細節請參照上述實施例的說明，在此不加贅述。

第四實施例

請參照圖4，圖4為根據本發明第四實施例之硬體裝置圖。如圖4所示，筆記型電腦410中具有TPM，當USB隨身碟420插入筆記型電腦410的USB槽時，筆記型電腦410會自動驗證隨身碟420中是否有正確的驗證碼，若驗證碼正確則自動開啟TPM加密的檔案供使用者使用。若USB隨身碟420中不具有驗證碼，則使用者可透過使用者介面來設定電子鑰匙，其設定方式如上述第三實施例所述，在此不加贅述。

此外，值得注意的是，雖然上述實施例以TPM為例說明，但本發明並不限定於TPM之系統，也可以將其應用於其他資料加密方式的技術。同樣可藉由隨身碟或藍芽裝置來取代人工輸入密碼的方式以增加使用者的便利性。經由上述實施例之說明，本技術領域具有通常知識者應可輕易推知其他應用方式，在此不加贅述。

綜上所述，本發明利用隨身碟或藍芽裝置來作為電子鑰匙以取代人工輸入密碼的方式，讓使用者可以更方便的開啟TPM加密的檔案。同時，本發明提供使用者自行設定電子鑰匙的技術手段，讓使用者可以設定個人化的電子鑰匙，並且結合硬體辨識碼與使用者密碼來作為電子鑰匙的驗證碼，讓使用者的資料可以獲得雙重保障。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明之精神和範圍內，當可作些許之更動與潤飾，故本發明之保護範圍當視後附之申請專利範圍所界定者為準。

S110~S150．．．流程圖步驟

S210~S250．．．流程圖步驟

S310~S340．．．流程圖步驟

410．．．筆記型電腦

420．．．隨身碟

圖1為根據本發明第一實施例之密碼管理與驗證方法流程圖。

圖2為根據本發明第二實施例之密碼驗證方法流程圖。

圖3為根據本發明第三實施例之電子鑰匙的設定流程圖。

圖4為根據本發明第四實施例之硬體裝置圖。

S110~S150．．．流程圖步驟

Claims

一種密碼管理與驗證方法，適用於具有可信任安全平台模組(Trusted Platform Module,簡稱TPM)之一電子裝置，該自動驗證方法包括：偵測該電子裝置所連接的一驗證裝置；讀取該驗證裝置的一硬體識別碼；根據該硬體識別碼與一使用者密碼產生為一驗證碼；將該驗證碼儲存於該驗證裝置或該電子裝置之中，使該驗證裝置成為一電子鑰匙；以及當該驗證裝置連接至該電子裝置時，自動驗證該驗證碼是否正確，若該驗證碼正確則自動解密該電子裝置所加密之一資料夾或一硬碟供使用者使用。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中該驗證裝置為通用序列匯流排(Universal Serial Bus，簡稱USB)隨身碟或藍芽(blue tooth)裝置或行動硬碟。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中該硬體識別碼為產品序號或媒體存取控制位址(Media Access Control address，簡稱MAC address)。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中在偵測該電子裝置所連接的該驗證裝置之步驟後，更包括：詢問使用者是否將該驗證裝置設定為該電子鑰匙。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中在將該硬體識別碼與該使用者密碼編碼為該驗證碼之步驟更包括要求使用者輸入該使用者密碼。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中在自動驗證該驗證碼是否正確之步驟更包括驗證該驗證裝置之該硬體識別碼是否與該驗證碼相符。
如申請專利範圍第1項所述之密碼管理與驗證方法，更包括：當該驗證裝置自該電子裝置移除時，關閉該電子裝置所加密之資料夾或硬碟。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中該電子裝置包括筆記型電腦或桌上型電腦或行動電話。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中在自動驗證該驗證碼之步驟更包括：當該電子裝置自一休眠裝態恢復至一正常狀態時，重新驗證該驗證碼。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中在自動驗證該驗證碼是否正確之步驟中更包括偵測TPM是否開啟，若TPM未開啟則忽略該驗證碼。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中在根據該硬體識別碼與該使用者密碼產生為該驗證碼之步驟更包括對該驗證碼加密。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中該電子裝置係利用TPM對該資料夾或該硬碟進行加密或解密。
如申請專利範圍第1項所述之密碼管理與驗證方法，其中該使用者密碼為一TPM密碼。
一種密碼驗證方法，適用於具有可信任安全平台模組(Trusted Platform Module,簡稱TPM)之一電子裝置，該密碼驗證方法包括：檢查TPM是否開啟；若TPM開啟則偵測是否有一驗證裝置連接至該電子裝置；自動檢查所連接之該驗證裝置或該電子裝置中之一驗證碼是否正確；以及若該驗證碼正確，則自動解密TPM所加密之一資料夾或一硬碟供使用者使用。
如申請專利範圍第14項之密碼驗證方法，其中該驗證裝置為通用序列匯流排(Universal Serial Bus，簡稱USB)隨身碟或藍芽(blue tooth)裝置或行動硬碟。
如申請專利範圍第14項之密碼驗證方法，其中在自動檢查該驗證碼是否正確之步驟中更包括檢查該驗證碼是否與該驗證裝置之一硬體辨識碼以及一TPM密碼相符。
如申請專利範圍第16項之密碼驗證方法，其中該硬體識別碼為產品序號或媒體存取控制位址(Media Access Control address，簡稱MAC address)。
如申請專利範圍第14項之密碼驗證方法，更包括：當該驗證裝置自該電子裝置移除時，關閉該電子裝置所加密之資料夾或硬碟。
如申請專利範圍第14項之密碼驗證方法，其中該電子裝置包括筆記型電腦或桌上型電腦或行動電話。
如申請專利範圍第14項之密碼驗證方法，更包括：當該電子裝置自一休眠裝態恢復至一正常狀態時，重新驗證該驗證碼。
一種電腦程式產品，包括至少一程式指令，該些程式指令用以載入一電子裝置以執行下列步驟：偵測該電子裝置所連接的一驗證裝置；讀取該驗證裝置的一硬體識別碼；根據該硬體識別碼與一使用者密碼產生為一驗證碼；將該驗證碼儲存於該驗證裝置或該電子裝置之中，使該驗證裝置成為一電子鑰匙；以及當該驗證裝置連接至該電子裝置時，自動驗證該驗證碼是否正確，若該驗證碼正確則自動解密該電子裝置所加密之一資料夾或一硬碟供使用者使用。
如申請專利範圍第21項所述之電腦程式產品，其中該驗證裝置為通用序列匯流排(Universal Serial Bus，簡稱USB)隨身碟或藍芽(blue tooth)裝置或行動硬碟。
如申請專利範圍第21項所述之電腦程式產品，其中該硬體識別碼為產品序號或媒體存取控制位址(Media Access Control address，簡稱MAC address)。
如申請專利範圍第21項所述之電腦程式產品，其中該些程式指令在執行偵測該電子裝置所連接的該驗證裝置之步驟後，更包括：詢問使用者是否將該驗證裝置設定為該電子鑰匙。
如申請專利範圍第21項所述之電腦程式產品，其中該些程式指令在執行將該硬體識別碼與該使用者密碼編碼為該驗證碼之步驟更包括要求使用者輸入該使用者密碼。
如申請專利範圍第21項所述之電腦程式產品，其中該些程式指令在執行自動驗證該驗證碼是否正確之步驟更包括驗證該驗證裝置之該硬體識別碼是否與該驗證碼相符。
如申請專利範圍第21項所述之電腦程式產品，該些程式指令更包括執行下列步驟：當該驗證裝置自該電子裝置移除時，關閉該電子裝置所加密之資料夾或硬碟。
如申請專利範圍第21項所述之電腦程式產品，其中該電子裝置包括筆記型電腦或桌上型電腦或行動電話。
如申請專利範圍第21項所述之電腦程式產品，其中該些程式指令在執行自動驗證該驗證碼之步驟更包括：當該電子裝置自一休眠裝態恢復至一正常狀態時，重新驗證該驗證碼。
如申請專利範圍第21項所述之電腦程式產品，其中該些程式指令在執行自動驗證該驗證碼是否正確之步驟中更包括偵測TPM是否開啟，若TPM未開啟則忽略該驗證碼。
如申請專利範圍第21項所述之電腦程式產品，其中該些程式指令在執行根據該硬體識別碼與該使用者密碼產生為該驗證碼之步驟更包括對該驗證碼加密。
如申請專利範圍第21項所述之電腦程式產品，其中該電子裝置係利用TPM對該資料夾或該硬碟進行加密或解密。
如申請專利範圍第21項所述之電腦程式產品，其中該使用者密碼為一TPM密碼。
一種電腦程式產品，包括至少一程式指令，該些程式指令用以載入一電子裝置以執行下列步驟：檢查TPM是否開啟；若TPM開啟則偵測是否有一驗證裝置連接至該電子裝置；自動檢查所連接之該驗證裝置或該電子裝置中之一驗證碼是否正確；以及若該驗證碼正確，則自動解密TPM所加密之一資料夾或一硬碟供使用者使用。
如申請專利範圍第34項之電腦程式產品，其中該驗證裝置為通用序列匯流排(Universal Serial Bus，簡稱USB)隨身碟或藍芽(blue tooth)裝置或行動硬碟。
如申請專利範圍第34項之電腦程式產品，其中該些程式指令在執行自動檢查所連接之該驗證裝置中之該驗證碼是否正確之步驟中更包括檢查該驗證碼是否與該驗證裝置之一硬體辨識碼以及一TPM密碼相符。
如申請專利範圍第36項之電腦程式產品，其中該硬體識別碼為產品序號或媒體存取控制位址(Media Access Control address，簡稱MAC address)。
如申請專利範圍第34項之電腦程式產品，其中該些程式指令在更包括執行下列步驟：當該驗證裝置自該電子裝置移除時，關閉該電子裝置所加密之資料夾或硬碟。
如申請專利範圍第34項之電腦程式產品，其中該電子裝置包括筆記型電腦或桌上型電腦或行動電話。
如申請專利範圍第34項之電腦程式產品，其中該些程式指令在更包括執行下列步驟：當該電子裝置自一休眠裝態恢復至一正常狀態時，重新驗證該驗證碼。