專利名稱：一種安全芯片及基于該芯片的信息安全處理設備和方法
技術領域：
本發(fā)明涉及信息安全技術領域，特別是指一種安全芯片及基于該芯片的信息安全處理設備和方法。
背景技術：
目前，信息處理設備已被廣泛應用在人們的日常生活中。信息處理設備主要是指個人電腦(PC)，筆記本電腦，掌上電腦，手機等設備，如何保證信息處理設備中信息的安全已經(jīng)成為人們十分關注的問題，通常的解決方案有以下兩種1)基于安全軟件對信息處理設備進行保護。
應用該方法通常是利用防病毒軟件以防止病毒攻擊，如設置殺毒軟件和防火墻軟件并啟動其實時監(jiān)控程序以防止病毒對信息處理設備的入侵，并應用殺毒軟件和防火墻軟件對系統(tǒng)進行殺毒操作以保證信息處理設備中信息的安全；或利用文件加密軟件實現(xiàn)對文件的保護，如應用散列算法、哈希(HASH)算法、橢圓曲線密碼算法，RSA算法，離散對數(shù)算法等對待保護文件進行加密計算或完整性驗證等運算以保證信息處理設備中信息的安全；或利用安全瀏覽器軟件和數(shù)字證書等進行電子商務。
該方法的缺陷在于由于安全軟件和操作系統(tǒng)本身也可能受到攻擊，從而導致終端上的所有信息受到威脅。所以，安全軟件不能保證計算機終端本身信息的安全。
2)基于硬件對信息處理設備進行保護。一般采用以下兩種方法a、在信息處理設備上附加一個由多個模塊單元構造成的電路板，以保證信息處理設備中信息的安全。該附加的電路板包括身份信息輸入設備接口，信息安全管理單元或安全模塊(ESM)，安全控制執(zhí)行單元，開機電路單元，外設開關電路單元以及主板單元。該方法主要用于開機身份鑒別，同時提供高速的密碼運算功能。
上述方法的缺陷是無法驗證信息處理設備中的底層固件、操作系統(tǒng)和應用軟件是否受到攻擊，從而不能保證信息處理設備中信息的絕對安全。
b、在信息處理設備上設置專門用于外網(wǎng)的硬盤和網(wǎng)絡接口部件，從而使該信息處理設備工作于內網(wǎng)和外網(wǎng)時，在同一主板的控制下，分別采用不同的硬盤和網(wǎng)絡接口部件以實現(xiàn)內外網(wǎng)的隔離。該信息處理設備從硬件上對于應用于內網(wǎng)的狀態(tài)和應用于外網(wǎng)的狀態(tài)進行分隔，從而防止信息處理設備受到攻擊。
上述方法的缺陷是同樣無法驗證信息處理設備的底層固件、操作系統(tǒng)和應用軟件是否受到攻擊，因而，無論信息處理設備工作在外網(wǎng)還是內網(wǎng)的模式，都不能保證信息處理設備本身信息的安全。同時，由于配備兩套硬盤和網(wǎng)絡接口部件，還增加了信息處理設備的成本。

發(fā)明內容
有鑒于此，本發(fā)明的目的在于提供一種安全芯片及基于該芯片的信息安全處理設備和方法，使信息安全處理設備在啟動的過程中，驗證系統(tǒng)的完整性，以保證信息安全處理設備中信息的安全。
為達到上述目的本發(fā)明的技術方案是這樣實現(xiàn)的一種安全芯片，該芯片包括I/O接口模塊、主處理器模塊、存儲器模塊和密碼處理器模塊，上述模塊通過內部總線相互連接，其中，I/O接口模塊與外部設備相連，I/O接口模塊由主處理器模塊控制接收外部設備的指令，并將外部要求的運算結果返回給外部設備；主處理器模塊，至少包括CPU及外圍電路，其根據(jù)從I/O接口模塊收到的指令對密碼處理器模塊進行控制，將處理后的結果保存在存儲器模塊中，或根據(jù)指令將處理后的結果與存儲器模塊中已保存的秘密信息進行比較，并將指令的執(zhí)行結果傳送給I/O接口模塊；或者，直接從存儲器模塊中取出秘密信息，傳送給I/O接口模塊；密碼處理器模塊，在主處理器模塊控制下生成密鑰，并對I/O接口模塊接收到的信息進行加解密處理，并將處理后的結果返回給主處理器模塊；存儲器模塊，存儲安全芯片自身的秘密信息、外部設備應用模塊的秘密信息和密碼處理器模塊生成的秘密信息。
較佳地，所述秘密信息為由密碼處理器模塊生成的密鑰、身份驗證的信息和完整性驗證信息。
較佳地，所述密碼處理器模塊至少包括公鑰密碼處理器模塊，哈希處理器模塊和隨機數(shù)發(fā)生器模塊，其中，隨機數(shù)發(fā)生器模塊，由主處理器模塊控制生成隨機數(shù)，該隨機數(shù)作送給主處理器模塊；哈希處理器模塊，在主處理器模塊控制下對待加密信息進行哈希運算，并將運算結果傳送給公鑰密碼處理器模塊或對稱密碼處理器模塊或主處理器模塊；公鑰密碼處理器模塊，在主處理器模塊控制下，利用隨機數(shù)生成公私密鑰對，并將結果返回給主處理器模塊；應用所生成的公私鑰，對哈希處理器模塊傳送來的結果進行加密計算，，生成數(shù)據(jù)簽名，或應用公鑰對收到的需要解密的信息進行解密，并將所得的結果返回給主處理器模塊；對稱密碼處理器模塊，在主處理器模塊的控制下，將隨機數(shù)作為對稱密鑰應用對稱密鑰對需要加密的信息進行加密或解密，將結果送給主處理器模塊。
較佳地，所述公鑰密碼處理器模塊至少包括橢圓曲線公鑰密碼算法處理模塊，RSA公鑰密碼算法處理模塊，離散對數(shù)密碼算法處理模塊。
較佳地，該芯片的主處理器模塊進一步包括總線接口模塊和總線控制器模塊，其中，總線接口模塊與主處理器內部高速總線和總線控制器模塊相連，該總線控制器將主處理器高速總線處理為主處理器外圍總線，且I/O接口模塊、主處理器模塊和存儲器模塊與內部高速總線相連；
公鑰密碼處理器模塊、對稱密碼處理器模塊、隨機數(shù)發(fā)生器模塊和哈希處理器模塊與主處理器外圍總線相連。
較佳地，所述存儲器模塊為隨機存儲器(RAM)、可擦除只讀存儲器(EEPROM)或閃存(FLASH)。
較佳地，所述I/O接口模塊置少包括與LPC(Low Pin Count Bus)總線或USB(Universal Serial Bus)總線相連的接口，或同步串口，或異步串口，或ISO7816接口。
一種信息安全處理設備，至少包含主板，底層固件和操作系統(tǒng)，該設備至少還包括所述的安全芯片，該安全芯片與所述的主板相連，接收主板中嵌入的底層固件或該設備操作系統(tǒng)所發(fā)送的信息，且根據(jù)底層固件發(fā)送信息對底層固件進行完整性驗證；或該安全芯片根據(jù)操作系統(tǒng)發(fā)送的信息產(chǎn)生相應的運算結果返回給操作系統(tǒng)。
較佳地，所述安全芯片通過LPC(Low Pin Count Bus)總線接口，或USB(Universal Serial Bus)總線接，或同步串口，或異步串口，或ISO7816接口與主板相連。
一種信息安全處理設備的驗證方法，該方法包括以下步驟a、在主板上設置安全芯片；b、啟動信息安全處理設備時，由安全芯片驗證當前底層固件的完整性，如正確則完成正常的系統(tǒng)初始化后執(zhí)行步驟c，否則停止啟動該信息安全處理設備；c、由底層固件驗證當前操作系統(tǒng)的完整性，如正確則正常運行操作系統(tǒng)，否則停止裝入操作系統(tǒng)。
較佳地，該方法進一步包括在操作系統(tǒng)中設置操作系統(tǒng)安全模塊，該模塊由操作系統(tǒng)啟動，在啟動該設備已有的應用模塊前，由操作系統(tǒng)安全模塊驗證當前應用模塊的完整性，如正確則正常運行該應用模塊，否則停止運行該應用模塊。
較佳地，所述步驟a進一步包括在安全環(huán)境下，將底層固件的完整性驗證碼的值保存在安全芯片中；將操作系統(tǒng)完整性驗證碼的值保存在安全芯片或底層固件安全模塊中；將應用模塊的完整性驗證碼的值保存在安全芯片或操作系統(tǒng)安全模塊中。
較佳地，步驟b所述驗證當前底層固件的完整性進一步包括以下步驟安全芯片計算當前系統(tǒng)底層固件的完整性驗證碼的值，并判斷當前系統(tǒng)底層固件的完整性驗證碼的值與已保存的底層固件的完整性驗證碼的值是否相等，如果是，則繼續(xù)執(zhí)行后續(xù)步驟，否則停止啟動該信息處理設備。
較佳地，該方法進一步包含在底層固件中設置底層固件安全模塊；步驟c所述驗證當前操作系統(tǒng)的完整性進一步包括以下步驟底層固件安全模塊計算當前操作系統(tǒng)的完整性驗證碼的值，并判斷當前操作系統(tǒng)的完整性驗證碼的值與已保存的操作系統(tǒng)的完整性驗證碼的值是否相等，如果是，則繼續(xù)執(zhí)行后續(xù)步驟，否則停止裝入操作系統(tǒng)。
較佳地，所述操作系統(tǒng)安全模塊由安全芯片驅動模塊、安全服務模塊和安全接口模塊組成。
較佳地，所述安全芯片驅動模塊將安全芯片設置為操作系統(tǒng)的一個設備，并設置每個應用模塊和底層安全芯片共享一對認證密鑰，該安全芯片驅動模塊至少包括以下驅動步驟a、安全芯片利用共享認證密鑰對應用模塊進行身份驗證；如認證成功，則執(zhí)行步驟b，否則拒絕應用模塊所請求的服務；b、建立應用模塊與安全芯片之間的數(shù)據(jù)通信的通道和控制命令通信的通道；c、安全芯片驅動模塊將上層應用模塊的所發(fā)的指令轉換為安全芯片可以識別的芯片指令，并將步驟a的認證結果、共享的認證密鑰和芯片指令進行哈希運算以生成本次芯片指令的授權信息，之后，將芯片指令和該授權信息一起發(fā)送給安全芯片；
d、安全芯片每次收到芯片指令時，將步驟a的認證結果、共享的認證密鑰和當前收到的芯片指令進行哈希運算以生成當前芯片指令的授權驗證信息，對當前的授權驗證信息和所收到的芯片指令所帶的授權信息進行一致性比較，如果一致，則執(zhí)行當前芯片指令的操作；否則，拒絕執(zhí)行當前收到的芯片指令。
較佳地，所述安全服務模塊驗證應用模塊的完整性包括以下步驟a、安全服務模塊首先計算出該待保護的應用模塊當前的完整性驗證碼的值，并將當前的完整性驗證碼的值與已保存的完整性驗證碼的值是否相等，如相等，則啟動該待保護應用模塊后，執(zhí)行步驟b，否則禁止啟用該應用模塊。
b、安全服務模塊定時驗證待保護應用模塊的完整性。
較佳地，所述安全服務模塊保存任何一個對安全芯片進行操作的記錄，并將該記錄作為日志記錄保存在本地的日志數(shù)據(jù)庫中。
較佳地，該方法進一步包括，在每一個安全芯片上，設置唯一身份標識密碼證書。
較佳地，所述的設置方法為由第三方為每臺計算機終端設置一個公鑰證書和私鑰證書，并在公私鑰證書上進行數(shù)字簽名后，將私鑰證書信息設置為每臺計算機終端的唯一身份標識的密碼證書。
較佳地，所述私鑰證書存儲在安全芯片中，公鑰證書提供給用于計算機終端身份驗證的驗證方。
較佳地，對信息處理設備進行身份認證的方法進一步包括以下步驟a、應用模塊將需要驗證的信息傳送給安全芯片，安全芯片根據(jù)唯一身份標識密碼證書的私鑰證書調用其相應的公鑰算法機制，對需要驗證的信息進行數(shù)字簽名后，將簽名后的結果返回給應用模塊，該應用模塊再將上述數(shù)字簽名信息發(fā)送給驗證方；b、驗證方首先驗證該唯一身份標識密碼證書的公鑰證書上的第三方的簽名是否正確，如正確則執(zhí)行步驟c，否則認證失敗；c、應用該公鑰證書驗證應用模塊發(fā)送來的經(jīng)數(shù)字簽名的信息是否正確，如正確則確定該信息處理設備的安全身份，否則認證失敗。
較佳地，所述的設置方法為由第三方為每臺計算機終端生成一個由隨機數(shù)組成的序列號，將經(jīng)第三方確認并進行數(shù)字簽名的后序列號設置為每臺計算機終端的唯一身份標識的密碼證書。
較佳地，對信息安全處理設備進行身份認證的方法進一步包括以下步驟a、應用模塊將信息安全處理設備本身的唯一身份標識密碼證書信息發(fā)送給驗證方；b、驗證方驗證唯一身份標識密碼證書上第三方的簽名信息是否正確，如正確則確定該信息安全處理設備的安全身份，否則認證失敗。
較佳地，所述驗證底層固件至少包括驗證用于完成主板硬件系統(tǒng)初始化的模塊、主板上CPU的微碼程序、主板上存儲配置信息的存儲器、配置信息擴展系統(tǒng)(ESCDExtended System Configuration Data)、CMOS(Complementary Metal-Oxide-Semiconductor Transistor)、斷電保留數(shù)據(jù)的隨機存儲器(NVRAMnon-volatile RAM)和主引導扇區(qū)(MBRMaster BootRecord)。
應用本發(fā)明，通過安全芯片在信息安全處理設備啟動的過程中驗證系統(tǒng)底層固件的完整性，底層固件安全模塊驗證操作系統(tǒng)的完整性，保證了信息安全處理設備啟動時系統(tǒng)信息的安全；操作系統(tǒng)安全模塊驗證啟動時的應用模塊的完整性以及定時驗證運行中的應用模塊的完整性，保證了應用模塊信息的安全，因而使得該信息安全處理設備具有抗攻擊、防病毒等功能。同時，由于安全芯片中還設置有唯一身份標識密碼證書信息，因此，該信息處理設備可利用唯一身份標識密碼證書信息，進行訪問控制和身份認證等功能。


圖1所示應用本發(fā)明的為安全芯片內部的原理圖；圖2所示為應用本發(fā)明安全芯片的計算機終端進行驗證的總體框圖；圖3所示為應用本發(fā)明的計算機終端啟動時的流程圖；
圖4所示為應用本發(fā)明的操作系統(tǒng)安全模塊的示意圖；圖5所示為應用本發(fā)明的底層安全芯片驅動模塊的流程圖；圖6所示為應用本發(fā)明的保證應用模塊完整性的流程圖。
具體實施例方式
為使本發(fā)明的目的、技術方案和效果更加清楚，以下結合附圖及實施例對本發(fā)明再做進一步詳細的說明。
本發(fā)明的思路是在信息安全處理設備的主板上預先設置一塊安全芯片，該安全芯片具有芯片操作系統(tǒng)(COS)，每次啟動應用該信息安全處理設備時，安全芯片驗證信息安全處理設備底層固件的完整性，進而驗證操作系統(tǒng)的完整性，最后驗證待應用的應用模塊的完整性，從而達到保證信息安全處理設備本身信息安全的目的。同時，由于該安全芯片為每個信息安全處理設備終端提供了唯一的身份標識信息，信息安全處理設備還可利用安全芯片進行身份認證、信息加密以及數(shù)字簽名等安全服務。
圖1所示應用本發(fā)明的為安全芯片內部的原理圖。該芯片包括I/O接口模塊101、主處理器模塊102、存儲器模塊103和密碼處理器模塊110，上述模塊通過內部總線相互連接，其中，I/O接口模塊101與外部設備相連，I/O接口模塊101由主處理器模塊102控制接收外部設備的指令，并將外部要求的運算結果返回給外部設備；主處理器模塊102中至少包括CPU及外圍電路，運行在主處理器模塊102上的COS完成對片內所有模塊的控制，其根據(jù)從I/O接口模塊101收到的指令對密碼處理器模塊110進行控制，將處理后的結果保存在存儲器模塊103中，或根據(jù)指令將處理后的結果與存儲器模塊103中已保存的秘密信息進行比較，并將指令的執(zhí)行結果傳送給I/O接口模塊101；或者，直接從存儲器模塊103中取出秘密信息，傳送給I/O接口模塊101；密碼處理器模塊110在主處理器模塊102的控制下生成密鑰，并對I/O接口模塊101接收到的信息進行加解密處理，并將處理后的結果返回給主處理器模塊102；存儲器模塊103用于存儲COS、安全芯片自身的秘密信息、外部設備應用模塊的秘密信息和密碼處理器模塊生成的秘密信息，所述秘密信息是指安全芯片自身生成的密鑰、用于身份驗證的信息和用于完整性驗證的完整性驗證碼。
其中，密碼處理器模塊110中包括公鑰密碼處理器模塊106，對稱密碼處理器模塊107，哈希處理器模塊108和隨機數(shù)發(fā)生器模塊109。
隨機數(shù)發(fā)生器模塊109，由主處理器模塊102控制生成隨機數(shù)，該隨機數(shù)送給主處理器模塊102。
哈希處理器模塊108，在主處理器模塊102控制下對待處理信息進行哈希運算，并將運算結果傳送給公鑰密碼處理器模塊106或對稱密碼處理器模塊107或主處理器模塊102。
公鑰密碼處理器模塊106，在主處理器模塊102控制下，利用隨機數(shù)生成公私密鑰對，并將結果返回給主處理器模塊102；應用所生成的私鑰，對哈希處理器模塊108傳送來的結果進行加密計算，生成數(shù)據(jù)簽名，或應用公鑰對收到的需要解密的信息進行解密，并將所得的結果返回給主處理器模塊102。
對稱密碼處理器模塊107，在主處理器模塊102的控制下，將隨機數(shù)作為對稱密鑰對需要加密的信息進行加密或解密，將結果送給主處理器模塊102。
以上所有模塊可直接與安全芯片內的總線相連，或者由與總線接口模塊104直接相連的總線控制器模塊105將主處理器高速總線處理為主處理器外圍總線，使I/O接口模塊101、主處理器模塊102和存儲器模塊103與內部高速總線相連；使公鑰密碼處理器模塊106、對稱密碼處理器模塊107、隨機數(shù)發(fā)生器模塊109和哈希處理器模塊108與主處理器外圍總線相連。
秘密信息的存儲器模塊103包括隨機存儲器(RAM)、可擦除只讀存儲器(EEPROM)或閃存(FLASH)。I/O接口模塊101中至少包含了與LPC(Low Pin Count Bus)總線或USB(Universal Serial Bus)總線相連的接口，或同步串口，或異步串口，或ISO7816接口。
公鑰密碼處理器模塊中可以包括橢圓曲線公鑰密碼算法處理模塊，RSA公鑰算法處理模塊，離散對數(shù)算法處理模塊等。
安全芯片有以下兩種方法生成完整性驗證碼1)主處理器模塊102控制哈希處理器模塊108對待加密信息進行哈希運算，并將得到的文摘傳送給公鑰密碼處理器模塊106；同時，主處理器模塊102控制隨機數(shù)發(fā)生器模塊109生成隨機數(shù)，公鑰密碼處理器模塊106利用隨機數(shù)生成公私鑰，并應用所生成的私鑰，對哈希處理器模塊108傳送來的結果進行加密計算，生成數(shù)據(jù)簽名，或應用公鑰對收到的需要解密的信息進行解密，并將所得的結果返回給主處理器模塊102。
2)主處理器模塊102控制哈希處理器模塊108下對待加密信息進行哈希運算，并將得到的文摘傳送給對稱密碼處理器模塊107；同時，主處理器模塊102控制隨機數(shù)發(fā)生器模塊109生成隨機數(shù)，主處理器模塊102將隨機數(shù)作為對稱密鑰傳送給對稱密碼處理器模塊107；對稱密碼處理器模塊107在主處理器模塊102控制下，應用所生成的對稱密鑰對需要加密的信息進行加密或解密，并將所得的結果返回給主處理器模塊102。
下面以計算機終端為例，具體說明安全芯片的應用。
安全芯片通過LPC總線與芯片組的ICH(I/O Controller Hub)模塊相連，或者，安全芯片通過USB總線與計算機終端內的主板相連，或安全芯片采用同步串口連接方式，或異步串口連接方式，或ISO7816接口方式與計算機終端內的主板相連。
圖2所示為應用本發(fā)明安全芯片的計算機終端進行驗證的總體框圖。安全芯片211與底層固件212位于計算機的主板210上，安全芯片211與底層固件安全模塊213和操作系統(tǒng)安全模塊221之間進行信息交互，應用模塊230通過操作系統(tǒng)安全模塊221與安全芯片211進行信息交互。其中，底層固件中還包括用于完成主板硬件系統(tǒng)初始化的模塊、主板上CPU的微碼程序、主板上存儲配置信息的存儲器、配置信息擴展系統(tǒng)(ESCDExtendedSystem Configuration Data)、CMOS(ComplementaryMetal-Oxide-Semiconductor Transistor)、斷電保留數(shù)據(jù)的隨機存儲器(NVRAMnon-volatile RAM)和主引導扇區(qū)(MBRMaster Boot Record)。
圖3所示為應用本發(fā)明的計算機終端啟動時的流程圖。
步驟301，在確保計算機系統(tǒng)安全的環(huán)境下，如生產(chǎn)線上，或用戶第一次使用時，預先生成的底層固件的完整性驗證碼和操作系統(tǒng)的完整性驗證碼，并將底層固件的完整性驗證碼的值存儲在安全芯片的存儲器中，將操作系統(tǒng)的完整性驗證碼的值存儲在底層固件安全模塊內或安全芯片的存儲器中；步驟302，每次應用計算機時，計算機終端上的主板首先啟動安全芯片，并應用安全芯片所提供的完整性驗證碼算法，計算出當前系統(tǒng)底層固件的完整性值；步驟303，判斷當前底層固件的完整性值與已保存的底層固件的完整性值是否相等，如果是，則執(zhí)行步驟305，否則執(zhí)行步驟304；步驟304，停止啟動計算機終端；步驟305，底層固件完成正常的系統(tǒng)初始化后，執(zhí)行步驟306；步驟306，啟動底層固件安全模塊，并應用啟動底層固件安全模塊所提供的完整性驗證碼算法，計算出當前操作系統(tǒng)的完整性值；步驟307，判斷當前操作系統(tǒng)的完整性值與已保存的操作系統(tǒng)的完整性值是否相等，如果是，則執(zhí)行步驟309，否則執(zhí)行步驟308；步驟308，停止裝入操作系統(tǒng)；步驟309，正常運行操作系統(tǒng)后，執(zhí)行步驟310；步驟310，啟動操作系統(tǒng)中的安全模塊，監(jiān)視受保護的應用模塊。
每個計算機終端在正常啟動并運行計算機終端后，需通過其自身的身份驗證后，才能正常運行應用模塊，并要求安全芯片為應用模塊提供信息加密和數(shù)字簽名等安全服務。
安全芯片為每個計算機終端提供一個唯一身份標識的密碼證書，該唯一身份標識的密碼證書由以下兩種方法生成方法一由可信的第三方(生廠商或用戶)為每臺計算機終端設置一個公鑰證書和私鑰證書，并在公私鑰證書上進行數(shù)字簽名，簽名后的私鑰證書形成每臺計算機終端的唯一身份標識的密碼證書，其中，私鑰證書存儲在安全芯片的存儲器中，公鑰證書提供給用于計算機終端身份驗證的驗證方。
對于方法一的驗證方法如下應用模塊首先將需要驗證的信息傳送給安全芯片，安全芯片根據(jù)唯一身份標識密碼證書的私鑰證書調用其相應的公鑰算法機制，公鑰密碼處理器模塊應用該公鑰算法機制對需要驗證的信息進行數(shù)字簽名后，將簽名后的結果返回給應用模塊，該應用模塊再將上述數(shù)字簽名信息發(fā)送給驗證方；驗證方首先驗證該唯一身份標識密碼證書的公鑰證書上的第三方的簽名是否正確，如正確再用該公鑰證書驗證身份驗證應用模塊發(fā)送來的信息是否正確，從而確定該終端的安全身份。
方法二由可信的第三方(生廠商或用戶)為每臺計算機終端生成一個由隨機數(shù)組成的序列號，并保證不同計算機終端的隨機序列號不同，該序列號經(jīng)可信的第三方(生廠商或用戶)確認并進行數(shù)字簽名后，形成每臺計算機終端的唯一身份標識的密碼證書。
對于方法二的驗證方法如下應用模塊將該終端本身的唯一身份標識密碼證書信息通過身份認證協(xié)議發(fā)送給驗證方；驗證方通過驗證唯一身份標識密碼證書上第三方的簽名信息是否正確，從而確定該終端的安全身份。
計算機終端經(jīng)過唯一身份認證后，該終端上的應用模塊即可通過操作系統(tǒng)安全模塊要求底層安全芯片提供信息加密和數(shù)字簽名等安全服務。
圖4所示為應用本發(fā)明的操作系統(tǒng)安全模塊的示意圖。操作系統(tǒng)安全模塊包括安全芯片的驅動模塊，安全服務模塊和安全接口模塊三部分。
安全芯片驅動模塊負責將應用模塊的指令傳送給底層的安全芯片，此時，安全芯片驅動模塊將安全芯片作為操作系統(tǒng)的一個設備，并使應用模塊和底層安全芯片共享一對認證密鑰。每個應用模塊與安全芯片進行信息交互之前，其也必須通過身份認證授權協(xié)議，即通過了安全芯片的認證后，才能使用安全芯片所提供的信息加密以及數(shù)字簽名等安全服務，具體的傳送過程如圖5所示步驟501，安全芯片利用共享認證密鑰對要求其提供安全服務的上層應用模塊進行身份驗證；如認證成功，則執(zhí)行步驟502，否則執(zhí)行步驟505，拒絕應用模塊所請求的應用服務；步驟502，建立應用模塊與安全芯片之間的數(shù)據(jù)通信的通道和控制命令通信的通道；步驟503，將應用模塊的所發(fā)的指令轉換為安全芯片可以識別的芯片指令，并將步驟501的認證結果、共享的認證密鑰和芯片指令進行HASH運算以生成本次芯片指令的授權信息，之后，將芯片指令和該授權信息一起發(fā)送給安全芯片；步驟504，安全芯片每次收到芯片指令時，首先驗證芯片指令的授權信息，即將步驟501的認證結果、共享的認證密鑰和當前收到的芯片指令進行HASH運算以生成當前芯片指令的授權驗證信息，對當前的授權驗證信息和所收到的芯片指令所帶的授權信息進行一致性比較，如果一致，則執(zhí)行當前芯片指令的操作；否則，拒絕執(zhí)行當前收到的芯片指令。
參見圖4，圖4中的操作系統(tǒng)安全模塊包括應用模塊保護模塊402e，該模塊主要用于驗證被保護模塊405的完整性，其具體步驟如圖6所示步驟601，在確保計算機終端安全的環(huán)境下，預先生成待保護應用模塊的完整性驗證碼；步驟602，將預先生成的待保護應用模塊的完整性驗證碼保存在安全芯片的存儲器中或操作系統(tǒng)的安全模塊中；步驟603，當系統(tǒng)即將應用待保護應用模塊時，安全服務模塊首先計算出當前待保護應用模塊的完整性驗證碼的值；
步驟604，判斷當前計算出的完整性驗證碼的值與已保存的完整性驗證碼的值是否相等，如相等，則執(zhí)行步驟605，否則執(zhí)行步驟606；步驟605，啟動該待保護應用模塊，并定時驗證待保護應用模塊的完整性；步驟606，禁止啟用該應用模塊。
參見圖4，圖4中的操作系統(tǒng)安全模塊還包括事件審計模塊402a、日志/事件管理模塊402b、和安全策略管理模塊402d。
事件審計模塊402a和日志/事件管理模塊402b主要用于對任何一個使用安全芯片的操作做日志記錄，并該將日志寫入本地的日志數(shù)據(jù)庫中，從而完成日志事件管理；并對日志數(shù)據(jù)庫進行審計，為系統(tǒng)用戶或管理員提供安全報告，對異常事件進行報警。
密鑰管理模塊402c主要用于對計算機終端上的各種密鑰進行管理，并為應用模塊提供信息加密和數(shù)字簽名安全服務。當操作系統(tǒng)或應用模塊使用信息加密和數(shù)字簽名安全服務時，首先將需要加密或簽名的信息傳送給安全芯片；安全芯片在芯片內部完成信息加密和數(shù)字簽名的工作后，將加密或簽名后的結果傳送給調用安全芯片服務的應用模塊。
安全策略管理模塊402d主要用于完成對計算機終端的安全策略管理，如生成或改變用戶口令，或設置對系統(tǒng)文件資源和用戶文件資源的訪問控制策略等。
圖4中的安全接口模塊為操作系統(tǒng)和應用模塊提供應用安全服務的接口，如應用軟件開發(fā)接口API，動態(tài)連接庫等。
本發(fā)明同樣適用于掌上電腦或手機等其它信息處理設備。
以上所述僅為本發(fā)明的較佳實施例而已，并不用以限制本發(fā)明，凡在本發(fā)明的精神和原則之內，所作的任何修改、等同替換、改進等，均應包含在本發(fā)明的保護范圍之內。
權利要求
1.一種安全芯片，其特征在于，該芯片包括I/O接口模塊、主處理器模塊、存儲器模塊和密碼處理器模塊，上述模塊通過內部總線相互連接，其中，I/O接口模塊與外部設備相連，I/O接口模塊由主處理器模塊控制接收外部設備的指令，并將外部要求的運算結果返回給外部設備；主處理器模塊，至少包括CPU及外圍電路，其根據(jù)從I/O接口模塊收到的指令對密碼處理器模塊進行控制，將處理后的結果保存在存儲器模塊中，或根據(jù)指令將處理后的結果與存儲器模塊中已保存的秘密信息進行比較，并將指令的執(zhí)行結果傳送給I/O接口模塊；或者，直接從存儲器模塊中取出秘密信息，傳送給I/O接口模塊；密碼處理器模塊，在主處理器模塊控制下生成密鑰，并對I/O接口模塊接收到的信息進行加解密處理，并將處理后的結果返回給主處理器模塊；存儲器模塊，存儲安全芯片自身的秘密信息、外部設備應用模塊的秘密信息和密碼處理器模塊生成的秘密信息。
2.根據(jù)權利要求1所述的安全芯片，其特征在于所述秘密信息為由密碼處理器模塊生成的密鑰、身份驗證的信息和完整性驗證信息。
3.根據(jù)權利要求1所述的安全芯片，其特征在于所述密碼處理器模塊至少包括公鑰密碼處理器模塊，哈希處理器模塊，對稱密碼處理器模塊和隨機數(shù)發(fā)生器模塊，其中，隨機數(shù)發(fā)生器模塊，由主處理器模塊控制生成隨機數(shù)，該隨機數(shù)送給主處理器模塊；哈希處理器模塊，在主處理器模塊控制下對待處理信息進行哈希運算，并將運算結果傳送給公鑰密碼處理器模塊或對稱密碼處理器模塊或主處理器模塊；公鑰密碼處理器模塊，在主處理器模塊控制下，利用隨機數(shù)生成公私密鑰對，并將結果返回給主處理器模塊；應用所生成的私鑰，對哈希處理器模塊傳送來的結果進行加密計算，生成數(shù)據(jù)簽名，或應用公鑰對收到的需要解密的信息進行解密，并將所得的結果返回給主處理器模塊；對稱密碼處理器模塊，在主處理器模塊的控制下，將隨機數(shù)作為對稱密鑰對需要加密的信息進行加密或解密，將結果送給主處理器模塊。
4.根據(jù)權利要求3所述的安全芯片，其特征在于所述公鑰密碼處理器模塊至少包括橢圓曲線公鑰密碼算法處理模塊，RSA公鑰密碼算法處理模塊，離散對數(shù)密碼算法處理模塊。
5.根據(jù)權利要求1所述的安全芯片，其特征在于該芯片的主處理器模塊進一步包括總線接口模塊和總線控制器模塊，其中，總線接口模塊與主處理器內部高速總線和總線控制器模塊相連，該總線控制器將主處理器高速總線處理為主處理器外圍總線，且I/O接口模塊、主處理器模塊和存儲器模塊與內部高速總線相連；公鑰密碼處理器模塊、對稱密碼處理器模塊、隨機數(shù)發(fā)生器模塊和哈希處理器模塊與主處理器外圍總線相連。
6.根據(jù)權利要求1所述的裝置，其特征在于，所述存儲器模塊為隨機存儲器(RAM)、可擦除只讀存儲器(EEPROM)或閃存(FLASH)。
7.根據(jù)權利要求1所述的裝置，其特征在于，所述I/O接口模塊置少包括與LPC(Low Pin Count Bus)總線或USB(Universal Serial Bus)總線相連的接口，或同步串口，或異步串口，或ISO7816接口。
8.一種信息安全處理設備，至少包含主板，底層固件和操作系統(tǒng)，其特征在于，該設備至少還包括如權利要求1所述的安全芯片，該安全芯片與所述的主板相連，接收主板中嵌入的底層固件或該設備操作系統(tǒng)所發(fā)送的信息，且根據(jù)底層固件發(fā)送信息對底層固件進行完整性驗證；或該安全芯片根據(jù)操作系統(tǒng)發(fā)送的信息產(chǎn)生相應的運算結果返回給操作系統(tǒng)。
9.根據(jù)權利要求8所述的設備，其特征在于，所述安全芯片通過LPC(LowPin Count Bus)總線接口，或USB(Universal Serial Bus)總線接，或同步串口，或異步串口，或ISO7816接口與主板相連。
10.一種信息安全處理設備的驗證方法，其特征在于，該方法包括以下步驟a、在主板上設置安全芯片；b、啟動信息安全處理設備時，由安全芯片驗證當前底層固件的完整性，如正確則完成正常的系統(tǒng)初始化后執(zhí)行步驟c，否則停止啟動該信息安全處理設備；c、由底層固件驗證當前操作系統(tǒng)的完整性，如正確則正常運行操作系統(tǒng)，否則停止裝入操作系統(tǒng)。
11.根據(jù)權利要求10所述的方法，其特征在于該方法進一步包括在操作系統(tǒng)中設置操作系統(tǒng)安全模塊，該模塊由操作系統(tǒng)啟動，在啟動該設備已有的應用模塊前，由操作系統(tǒng)安全模塊驗證當前應用模塊的完整性，如正確則正常運行該應用模塊，否則停止運行該應用模塊。
12.根據(jù)權利要求10或11所述的方法，其特征在于，所述步驟a進一步包括在安全環(huán)境下，將底層固件的完整性驗證碼的值保存在安全芯片中；將操作系統(tǒng)完整性驗證碼的值保存在安全芯片或底層固件中；將應用模塊的完整性驗證碼的值保存在安全芯片或操作系統(tǒng)安全模塊中。
13.根據(jù)權利要求12所述的方法，其特征在于，步驟b所述驗證當前底層固件的完整性進一步包括以下步驟安全芯片計算當前系統(tǒng)底層固件的完整性驗證碼的值，并判斷當前系統(tǒng)底層固件的完整性驗證碼的值與已保存的底層固件的完整性驗證碼的值是否相等，如果是，則繼續(xù)執(zhí)行后續(xù)步驟，否則停止啟動該信息處理設備。
14.根據(jù)權利要求12所述的方法，其特征在于，該方法進一步包含在底層固件中設置底層固件安全模塊；步驟c所述驗證當前操作系統(tǒng)的完整性進一步包括以下步驟底層固件安全模塊計算當前操作系統(tǒng)的完整性驗證碼的值，并判斷當前操作系統(tǒng)的完整性驗證碼的值與已保存的操作系統(tǒng)的完整性驗證碼的值是否相等，如果是，則繼續(xù)執(zhí)行后續(xù)步驟，否則停止裝入操作系統(tǒng)。
15.根據(jù)權利要求11所述的方法，其特征在于，所述操作系統(tǒng)安全模塊由安全芯片驅動模塊、安全服務模塊和安全接口模塊組成。
16.根據(jù)權利要求15所述的方法，其特征在于，所述安全芯片驅動模塊將安全芯片設置為操作系統(tǒng)的一個設備，并設置每個應用模塊和底層安全芯片共享一對認證密鑰，該安全芯片驅動模塊至少包括以下驅動步驟a、安全芯片利用共享認證密鑰對應用模塊進行身份驗證；如認證成功，則執(zhí)行步驟b，否則拒絕應用模塊所請求的服務；b、建立應用模塊與安全芯片之間的數(shù)據(jù)通信的通道和控制命令通信的通道；c、安全芯片驅動模塊將上層應用模塊的所發(fā)的指令轉換為安全芯片可以識別的芯片指令，并將步驟a的認證結果、共享的認證密鑰和芯片指令進行哈希運算以生成本次芯片指令的授權信息，之后，將芯片指令和該授權信息一起發(fā)送給安全芯片；d、安全芯片每次收到芯片指令時，將步驟a的認證結果、共享的認證密鑰和當前收到的芯片指令進行哈希運算以生成當前芯片指令的授權驗證信息，對當前的授權驗證信息和所收到的芯片指令所帶的授權信息進行一致性比較，如果一致，則執(zhí)行當前芯片指令的操作；否則，拒絕執(zhí)行當前收到的芯片指令。
17.根據(jù)權利要求15所述的方法，其特征在于，所述安全服務模塊驗證應用模塊的完整性包括以下步驟a、安全服務模塊首先計算出該待保護的應用模塊當前的完整性驗證碼的值，并將當前的完整性驗證碼的值與已保存的完整性驗證碼的值是否相等，如相等，則啟動該待保護應用模塊后，執(zhí)行步驟b，否則禁止啟用該應用模塊。b、安全服務模塊定時驗證待保護應用模塊的完整性。
18.根據(jù)權利要求15或17所述的方法，其特征在于，所述安全服務模塊保存任何一個對安全芯片進行操作的記錄，并將該記錄作為日志記錄保存在本地的日志數(shù)據(jù)庫中。
19.根據(jù)權利要求10所述的方法，其特征在于該方法進一步包括，在每一個安全芯片上，設置唯一身份標識密碼證書。
20.根據(jù)權利要求19所述的方法，其特征在于，所述的設置方法為由第三方為每臺計算機終端設置一個公鑰證書和私鑰證書，并在公私鑰證書上進行數(shù)字簽名后，將私鑰證書信息設置為每臺計算機終端的唯一身份標識的密碼證書。
21.根據(jù)權利要求20所述的方法，其特征在于，所述私鑰證書存儲在安全芯片中，公鑰證書提供給用于計算機終端身份驗證的驗證方。
22.根據(jù)權利要求21所述的方法，其特征在于，對信息處理設備進行身份認證的方法進一步包括以下步驟a、應用模塊將需要驗證的信息傳送給安全芯片，安全芯片根據(jù)唯一身份標識密碼證書的私鑰證書調用其相應的公鑰算法機制，對需要驗證的信息進行數(shù)字簽名后，將簽名后的結果返回給應用模塊，該應用模塊再將上述數(shù)字簽名信息發(fā)送給驗證方；b、驗證方首先驗證該唯一身份標識密碼證書的公鑰證書上的第三方的簽名是否正確，如正確則執(zhí)行步驟c，否則認證失敗；c、應用該公鑰證書驗證應用模塊發(fā)送來的經(jīng)數(shù)字簽名的信息是否正確，如正確則確定該信息處理設備的安全身份，否則認證失敗。
23.根據(jù)權利要求19所述的方法，其特征在于，所述的設置方法為由第三方為每臺計算機終端生成一個由隨機數(shù)組成的序列號，將經(jīng)第三方確認并進行數(shù)字簽名的后序列號設置為每臺計算機終端的唯一身份標識的密碼證書。
24.根據(jù)權利要求23所述的方法，其特征在于，對信息安全處理設備進行身份認證的方法進一步包括以下步驟a、應用模塊將信息安全處理設備本身的唯一身份標識密碼證書信息發(fā)送給驗證方；b、驗證方驗證唯一身份標識密碼證書上第三方的簽名信息是否正確，如正確則確定該信息安全處理設備的安全身份，否則認證失敗。
25.根據(jù)權利要求10所述的方法，其特征在于，所述驗證底層固件至少包括驗證用于完成主板硬件系統(tǒng)初始化的模塊、主板上CPU的微碼程序、主板上存儲配置信息的存儲器、配置信息擴展系統(tǒng)(ESCDExtended SystemConfiguration Data)、CMOS(Complementary Metal-Oxide-SemiconductorTransistor)、斷電保留數(shù)據(jù)的隨機存儲器(NVRAMnon-volatile RAM)和主引導扇區(qū)(MBRMaster Boot Record)。
全文摘要
本發(fā)明提供了一種安全芯片，該芯片包括I/O接口模塊、主處理器模塊、存儲器模塊和密碼處理器模塊。同時，本發(fā)明還提供了一種應用上述安全芯片的信息安全處理設備和方法，由安全芯片驗證當前底層固件的完整性，由底層固件驗證當前操作系統(tǒng)的完整性，操作系統(tǒng)驗證應用模塊的完整性，保證了應用模塊信息的安全，因而使得該信息安全處理設備具有抗攻擊、防病毒等功能。同時，本發(fā)明利用安全芯片中設置的唯一身份標識密碼證書信息，實現(xiàn)訪問控制和身份認證等功能。應用本發(fā)明，能夠保證信息安全處理設備中信息的安全。
文檔編號G06F12/14GK1553349SQ03138380
公開日2004年12月8日 申請日期2003年5月29日 優(yōu)先權日2003年5月29日
發(fā)明者韋衛(wèi), 王一平, 吳秋新, 劉鴻京, 李明柱, 王晚丁, 李亞輝, 韋 衛(wèi) 申請人:聯(lián)想(北京)有限公司