CN102289622B

CN102289622B - 基于认证策略文件和硬件信息收集的可信开机启动方法

Info

Publication number: CN102289622B
Application number: CN201110257572.4A
Authority: CN
Inventors: 李兴华; 马建峰; 张亮; 芦笛; 郭朝辉; 杨力; 王一川; 邓晶晶; 岳盼; 孟宪佳
Original assignee: Xidian University
Current assignee: Xidian University
Priority date: 2011-09-01
Filing date: 2011-09-01
Publication date: 2015-01-28
Anticipated expiration: 2031-09-01
Also published as: CN102289622A

Abstract

本发明公开了一种基于认证策略文件和硬件信息收集的可信开机启动方法。在计算机终端设备加电启动后，根据预先配置的认证策略文件对终端进行认证，首先读取认证策略文件；再收集硬件设备信息；根据认证策略文件对各硬件设备项进行校验，校验成功可信开机启动。若校验失败，查找有无未应用认证策略文件，有则应用新认证策略文件重新认证，程序同上，直至没有认证策略文件。本发明不需与认证服务器等设备交互，于本地完成对终端设备的认证，确保终端设备在可信的物理环境下运行，保证信息***的安全性。认证策略文件能够根据认证需求的多样化灵活配置实现信息***多变状况下的安全性需求。

Description

基于认证策略文件和硬件信息收集的可信开机启动方法

技术领域

本发明属于计算机终端设备认证技术，尤其涉及终端设备本地认证技术，具体是一种基于认证策略文件和硬件信息收集的可信开机启动方法。用于保证计算机终端信息***在可信的环境下启动。

背景技术

目前对于计算机信息***的安全保护大多从应用层面着手，如身份认证、访问控制、数据加密、安全审计、网络防火墙、杀毒软件等技术，这些技术都需要建立在软硬件底层设施之上，如果底层设施都被破坏、入侵，上述技术都会失去应有作用。因此，只有在信息***的软硬件底层采取措施，才能比较有效地保证信息***的安全。因此需要对终端设备进行认证，保证其在可信的物理环境下运行。

现有技术通常需要一个类似认证服务器的附加设备来完成对终端设备的认证，缺少对终端设备的本地认证能力，在与认证服务器连接失效的情况下不能保证终端在可信的物理环境下运行；同时现有技术的认证流程相对固定，当终端设备认证需求改变时不能灵活高效地做出相应的改变，难以满足灵活多变的认证需求。

发明内容

针对上述问题，本发明提供一种基于认证策略文件和硬件信息收集的可信开机启动方法，以提高本地认证能力，满足灵活多变的认证需求。

本发明的实现方案是在可信环境下为终端设备配置认证策略文件，保存于终端安全区域中，该策略文件指明终端需要认证的各硬件设备项、各项的校验类型及其之间的逻辑关系，并包含各硬件设备项的校验值，一次可信开机启动过程如图1所示，具体步骤如下：

(1)终端设备加电启动；

(2)收集硬件设备信息，根据已配置的认证策略文件对终端设备进行认证，认证步骤包括有：

2.1)读取认证策略文件，如果没有认证策略文件进行步骤2.7)，如果有认证策略文件进行步骤2.2)；

2.2)收集硬件设备信息；

2.3)根据认证策略文件对各硬件设备项进行校验，校验成功进行步骤2.6)，否则记录校验失败相关信息，进行步骤2.4)；

2.4)如果有未应用认证策略文件，则应用新认证策略文件重复步骤2.2)，否则进行步骤2.5)；

2.5)如果未达到已设定的重复认证次数，显示认证失败信息提示用户进行相应操作，等待一定时间重复步骤2.2)，等待时间长度根据需要和经验具体设定，否则进行步骤2.8)；

2.6)终端设备认证成功，通过认证，信息***可信启动；

2.7)没有认证策略文件，不进行终端设备认证，信息***启动，该情况属于普通启动，不能保证终端设备在可信环境下运行，不能保证信息***可信启动；

2.8)终端设备认证失败，默认处理，例如：关机、向管理员报错；

(3)如果终端设备通过认证，保证信息***在可信环境下启动；如果认证失败，进行相应处理。

本发明在终端设备加电启动之后、信息***启动之前，收集硬件设备信息，根据已配置的认证策略文件对其进行校验，即进行终端设备的本地认证，保证终端在可信的物理环境下运行，确保信息***在可信的环境下启动，有效地保证信息***的安全。

通过配置认证策略文件，可以实现终端设备本地认证，无需连接网络与服务器交互，较高程度地保证终端设备在可信环境下运行，保证信息***安全性；通过灵活地配置认证策略文件，在不需要较高安全性能的情况下，不配置认证策略文件，信息***以普通方式启动，在需要高安全性能的情况下，根据具体需求配置认证策略文件，保证信息***可信启动。

本发明的实现还在于：认证策略文件根据灵活使用要求配置，其个数不定，只要满足一个认证策略文件，就可以保证终端在可信的物理环境下启动运行，以保障信息***可信启动。

对于一个终端来说，同时可能有多个认证策略文件，代表各种认证的需求，只要满足其中一个认证策略文件，终端设备就认证成功。

本发明根据不同运行环境或不同安全需求，认证细节有所不同，固定的认证流程显然不能满足多样的认证需求，灵活地配置多个认证策略文件可以很好的解决这个问题。通常终端根据固定的需求配置一个常用的认证策略文件，而随着运行环境或安全需求变化可以灵活的修改认证策略文件，在有特殊需要的时候，可以配置多个新的认证策略文件以满足特殊认证需求。

本发明的实现还在于：步骤2.3)中记录的校验失败相关信息分为两种：一种为相等校验失败信息，***的硬件设备不符合要求，请更换一个正确的硬件设备；一种为不等校验失败信息，不应***此硬件设备，请更换此硬件设备。本发明将校验失败相关信息分为两种，分别对应认证策略文件中的两种校验类型，以满足处理要求。

本发明的实现还在于：步骤2.3)中，进行一次认证的过程包括：

2.3.1)针对某一硬件设备，根据认证策略文件判断是否需要校验，如需要校验进行步骤2.3.2)，否则进行步骤2.3.3)；

2.3.2)提取收集到的硬件设备信息，按照认证策略文件中相应硬件信息项的校验类型与认证策略文件中的相应校验值进行比较，如果符合认证策略文件要求，这一硬件校验成功，进行步骤2.3.3)，否则进行步骤2.3.5)；

2.3.3)如还有硬件设备没有处理，则针对下一个未处理硬件设备重复步骤2.3.1)，否则进行步骤2.3.4)；

2.3.4)校验成功；

2.3.5)校验失败，记录校验失败相关信息。

对应一个认证策略文件进行一次认证。

本发明的实现还在于：上述步骤2.3.2)中的认证策略文件要求为：如果认证策略文件要求对这一硬件设备进行相等校验，则收集到的硬件设备信息的哈希值要与认证策略文件中相应硬件设备项的校验值相同；如果认证策略文件要求对这一硬件设备进行不等校验，则收集到的硬件设备信息的哈希值要与认证策略文件中相应硬件设备项的校验值不同。

本发明能够满足多样的认证需求。相等校验相当于口令认证，比如某一终端可信启动时需要***特定的移动存储设备，例如优盘，像一把钥匙可以开一扇门一样保证终端设备安全启动；不等校验可以完成更大范围的认证需要，比如某一终端可信启动时不允许***任何移动存储设备。

本发明与现有的技术相比具有以下优点：

1.本发明由于认证策略文件保存于终端设备中，不需要与认证服务器等设备交互，可以于本地完成对终端设备的认证，确保终端设备在可信的物理环境下运行，保证计算机信息***的安全性。

2.本发明采用基于认证策略文件的认证方式，不局限于某种固定的认证流程，针对认证需求的多样化或终端设备认证需求有变动的情况，可以灵活的配置认证策略文件以满足认证需求。

附图说明

图1是本发明基于认证策略文件和硬件信息收集的可信开机启动流程图；

图2为本发明终端设备认证的总流程图；

图3为本发明根据某一个认证策略文件进行硬件设备信息校验的流程图。

具体实施方式

实施例1

本发明是一种基于认证策略文件和硬件信息收集的可信开机启动方法。在可信环境下为终端设备配置认证策略文件，保存于终端安全区域中，该策略文件指明终端需要认证的各硬件设备项、各项的校验类型及其之间的逻辑关系，并包含各硬件设备项的校验值，一次可信开机启动的具体过程如下：

(1)终端设备加电启动，终端设备通常指计算机。

2.1)读取认证策略文件，如果没有认证策略文件进行步骤2.7)，如果有认证策略文件进行步骤2.2)。

认证策略文件预先配置，该策略文件指明终端需要认证的硬件设备项，各项的校验类型以及各项之间的逻辑关系，并保存各硬件设备项的校验值。

根据需要认证策略文件可灵活配置。认证策略文件根据灵活使用要求配置有多个，通常情况下，比如专用或固定使用只需要配置一个认证策略文件，在有特殊需求或环境变化的情况下可能配置多个认证策略文件以满足灵活使用。在配置多个认证策略文件时，本发明只要满足一个认证策略文件，终端就可以认证成功，保证信息***就可信启动。

本例中认证策略文件有一个，策略文件指明终端需要认证的各硬件设备项为硬盘、内存和通过USB接口接入的移动存储设备，策略文件并指明各项都进行相等校验，各项之间逻辑关系为逻辑与。各硬件设备项校验值为指定的硬盘、内存和USB接口移动存储设备的校验信息。

2.2)收集硬件设备信息。

2.3)根据认证策略文件对各硬件设备项进行校验，校验成功进行步骤2.6)，否则记录校验失败相关信息，进行步骤2.4)。校验失败相关信息分为两种：一种为相等校验失败信息，***的硬件设备不符合要求，请更换一个正确的硬件设备；一种为不等校验失败信息，不应***此硬件设备，请更换此硬件设备。

进行一次认证的过程包括：

2.3.1)针对某一硬件设备，根据认证策略文件判断是否需要校验，如需要校验进行步骤2.3.2，否则进行步骤2.3.3)。

2.3.2)提取收集到的硬件设备信息，按照认证策略文件中相应硬件信息项的校验类型与认证策略文件中的相应校验值进行比较，如果符合认证策略文件要求，这一硬件校验成功，进行步骤2.3.3)，否则进行步骤2.3.5)。其中的认证策略文件要求为：如果认证策略文件要求对这一硬件设备进行相等校验，则收集到的硬件设备信息的哈希值要与认证策略文件中相应硬件设备项的校验值相同；如果认证策略文件要求对这一硬件设备进行不等校验，则收集到的硬件设备信息的哈希值要与认证策略文件中相应硬件设备项的校验值不同。

2.3.3)如还有硬件设备没有处理，则针对下一个未处理硬件设备重复步骤2.3.1)，否则进行步骤2.3.4)。

2.3.4)校验成功。

2.3.5)校验失败，记录校验失败相关信息。

2.4)如果有未应用认证策略文件，则应用新认证策略文件重复步骤2.2)，否则进行步骤2.5)。

2.5)如果未达到已设定的重复认证次数，显示认证失败信息提示用户进行相应操作，等待一定时间重复步骤2.2)，等待时间长度根据需要和经验具体设定，否则进行步骤2.8)。

2.6)终端设备认证成功，通过认证，信息***可信启动。

2.7)没有认证策略文件，不进行终端设备认证，信息***启动。该情况属于普通启动，不能保证终端设备在可信环境下运行，不能保证信息***可信启动。

2.8)终端设备认证失败，默认处理。默认处理可根据需求设置，如关机、向管理员报错。

本发明利用了认证策略文件的认证方式，认证策略文件可灵活配置，多个配置，根据具体使用需要配置相应的认证策略文件，通过计算机终端设备本地认证实现多变安全需求下信息***的安全保障。

实施例2

基于认证策略文件和硬件信息收集的可信开机启动方法同实施例1。

结合在linux操作***CentOS 5.3(内核版本：2.6.18)下的具体开发实例对本发明的具体实现进行描述。

具体的一次终端设备认证过程如图2所示，具体实现如下：

2.1)认证策略文件保存在/root/hw中，读取这个文件以获得认证策略文件，将其目录地址存入策略文件列表policy_dir_list中，如果没有认证策略文件进行步骤2.7)，如果有认证策略文件进行步骤2.2)。

2.2)收集硬件设备信息，分别收集处理器(CPU)、PC、BIOS、主板(Motherboard)、内存(MEM)、USB、硬盘(HDD)、网卡(NIC)的硬件设备信息，保存在相应的硬件设备信息对象中，并将指向对象的指针存入硬件设备信息列表HWLIST_[10]_的相关项中，具体各个硬件设备信息收集方式如下：

获取CPU信息：cpu信息是通过执行cpuid这条指令来获取的。cpuid指令是intelIA32架构下获得CPU信息的汇编指令，可以得到CPU类型，型号，制造商信息，商标信息，序列号，缓存等一系列CPU相关的东西。cpuid使用eax作为输入参数，eax，ebx，ecx，edx作为输出参数。比如，把eax＝0作为输入参数可以得到CPU的制造商信息。通过执行cpuid得到cpu的各个信息之后，然后将这些信息连接起来进行哈希，并将这些信息存入CPU_INFO对象中。

获取PC、BIOS、Mother board、MEM信息：DMI是英文单词Desktop Managementinterface的缩写，也就是桌面管理界面，它含有关于***硬件的配置信息，计算机每次启动都对DMI数据进行校验，如果该数据出错或硬件有所变动，这种情况下计算机如果想正常启动就必须满足以下两个条件中的一个，第一个条件是将计算机更改过的硬件重新更换成原来的硬件，第二个条件是在本台计算机上具有超级权限的用户对配置信息进行更改以允许对接入的硬件进行变更。DMI的主要组成部分是Management Information Format(MIF)数据库，这个数据库包括了所有有关电脑***和配件的信息，通过DMI，我们可以获得序列号，电脑厂商，串口信息以及其他***配件信息。在本专利里，我们使用dump memory方法，它可以使用户转储内存数据，这样我们可以获取PC、BIOS、Mother board以及MEM的各项信息，分别将各个硬件的各项信息连接起来进行哈希，并将其与各硬件的基本信息一起存入各自对应硬件设备信息对象PC_INFO、BIOS_INFO、MOTHER_BOARD_INFO、MEM_DEVICE_INFO中。

获取USB信息：USB信息存放在/proc/bus/usb/devices中，通过读取这个文件将USB设备的制造商信息，产品信息以及序列号读取出来，然后将这些信息连接起来进行哈希，并将这些信息存入USB_INFO对象中。

获取HDD信息：HDD信息一般放在/dev/had、/dev/sda中，读取这两个文件可以获取HDD的型号跟序列号，然后将这些信息连接起来进行哈希，并将这些信息存入HDD_INFO对象中。

获取NIC信息：NIC信息一般放在/sys/class/net中，读取这个文件可以获取NIC的各种信息，然后将获取的信息连接起来进行哈希，并将这些信息存入NIC_INFO对象中。

2.3)根据策略列表policy_dir_list中存储的目录地址获取认证策略文件，根据认证策略文件进行硬件设备项校验，校验成功进行步骤2.6)，否则进行步骤2.4)。

2.4)如果策略列表policy_dir_list中还有未应用的认证策略文件，则应用新的认证策略文件重复步骤2.2)，否则进行步骤2.5)。

2.5)如果已经进行过的终端设备认证次数未达到已设定的重复认证次数(OSSTART_CHK_RETRY_TIMES)，显示本次校验的失败信息并提示用户进行相应操作，等待一定时间重复步骤2.2)，等待时间长度根据需要和经验具体设定，本例设定为30秒，否则进行步骤2.8)。

2.6)终端设备认证成功，通过认证，操作***可信启动。

2.7)没有认证策略文件，不进行终端设备认证，操作***启动。该情况属于普通启动，不能保证终端设备在可信环境下运行，不能保证操作***可信启动。

2.8)终端设备认证失败，默认处理。即关机、向管理员报错。

所述步骤2.1)中，每一个认证策略文件保存为一个文件夹，保存策略中要求校验的硬件设备项信息文件，其文件名包含硬件设备标识，如cpuid/NOTcpuid、usbid/NOTusbid等，表示所需认证的硬件设备项及其校验类型，每个文件中保存相应硬件设备所有信息连接起来的哈希值，即其校验值。本例中策略文件包含三个硬件设备项文件，文件名分别为hddid、memid和usbid。

所述步骤2.5)中，显示的校验失败信息分两种：

相等校验失败信息，Lack ofproper硬件标识.Consider change a correct one.

不等校验失败信息，Invalid硬件标识.Consider change it.

所述步骤2.3)中，硬件设备项校验按照CPU、PC、BIOS、Mother board、Memory、HDD、NIC、USB的顺序进行，具体过程如图3所示，具体实现如下：

2.3.1)校验从CPU开始，在所应用的认证策略文件中查找是否有文件名中包含cpuid的硬件设备项文件，如过有进行步骤2.3.2)，否则显示[CPU Check Not Set]，进行步骤2.3.3)。

2.3.2)通过硬件信息列表的相关项_HWLIST_[HWPRT_CPU]获取CPU设备信息的哈希值，按照认证策略文件中相应硬件信息项的校验类型与认证策略文件中的相应校验值进行比较，如果符合策略文件要求，CPU校验成功，显示[CPU Check OK]，进行步骤2.3.3)，否则显示[CPU Check Failed]，进行步骤2.3.5)。

2.3.4)校验成功。

2.3.5)校验失败，记录校验失败相关信息。

所述步骤2.3.2)中，认证策略文件要求为：如果硬件设备项文件名中包含NOT(即不等校验)，文件中的哈希值要与从_HWLIST_[10]中获取的硬件设备信息的哈希值不同，如果硬件设备项文件名中不包含NOT(即相等校验)，文件中的哈希值要与从_HWLIST_[10]中获取的硬件设备信息的哈希值相同。

实施例3

基于认证策略文件和硬件信息收集的可信开机启动方法同实施例1、2。

计算机使用正确的硬盘、内存和USB接口移动存储设备开机启动，经过步骤2.1)、2.2)、2.3)、2.6)计算机认证成功，操作***可信启动。

计算机使用正确的硬盘和内存以及错误的USB接口移动存储设备开机启动，经过步骤2.1)、2.2)、2.3)、2.4)、2.5)，计算机认证失败，显示校验失败信息：Lack ofproper USB device.Consider change a correct one.

根据校验失败信息进行操作：如果更换正确的USB接口移动存储设备，经过步骤2.1)、2.2)、2.3)、2.6)计算机认证成功，操作***可信启动；如果不更换正确的USB接口移动存储设备，经过步骤2.1)、2.2)、2.3)、2.4)、2.5)，认证失败，重复认证过程，达到重复认证次数后，计算机认证失败，关机并通知管理员。

本发明可对计算机终端进行本地认证，在不需要连接认证服务器的情况下，通过认证策略文件和硬件信息收集保证终端在安全的物理环境下运行，保证运行于终端上的信息***可信启动。

实施例4

基于认证策略文件和硬件信息收集的可信开机启动方法同实施例1、2、3。

由于工作需求，需要一个更大容量的USB接口移动存储设备，配置一个新的认证策略文件。策略文件指明终端需要认证的各硬件设备项为硬盘、内存和通过USB接口接入的移动存储设备，策略文件并指明各项都进行相等校验，各项之间逻辑关系为逻辑与。各硬件设备项校验值为指定的硬盘、内存和一个大容量的USB接口移动存储设备的校验信息。

此时计算机拥有两个认证策略文件，只要开机时满足其中一个认证策略文件就可以保证操作***可信启动。

计算机使用正确的硬盘、内存和小容量的USB接口移动存储设备开机启动，经过步骤2.1)、2.2)、2.3)、2.6)计算机认证成功，操作***可信启动。

计算机使用正确的硬盘、内存和大容量的USB接口移动存储设备开机启动，经过步骤2.1)、2.2)、2.3)、2.4)、2.2)、2.3)、2.6)计算机认证成功，操作***可信启动。

根据校验失败信息进行操作：如果更换两个正确的USB接口移动存储设备之一，经过步骤2.1)、2.2)、2.3)、2.6)或2.1)、2.2)、2.3)、2.4)、2.2)、2.3)、2.6)计算机认证成功，操作***可信启动；如果不更换两个正确的USB接口移动存储设备之一，经过步骤2.1)、2.2)、2.3)、2.4)、2.5)，认证失败，重复认证过程，达到重复认证次数后，计算机认证失败，关机并通知管理员。

本发明拥有可灵活配置认证策略文件的优点，针对可信认证方法，如不能有效地灵活配置，就会影响到***的效率，失去实际的应用价值。根据具体使用情况灵活地配置一个或多个认证策略文件，可以满足多样的认证需求和灵活变化的认证需求，保证认证的效率，可用性强。

实施例5

基于认证策略文件和硬件信息收集的可信开机启动方法同实施例1-4。

本发明保证终端设备上的信息***可信启动，终端设备通常指计算机，信息***通常指操作***。

目前信息***受到很多安全威胁，例如各种计算机病毒针对用户密码和用户数据等，同时也有很多针对上述安全威胁的软件方法来保护信息***的安全，但是来自硬件设备的安全威胁没有得到很好的处理，在还没有进入信息***的时候计算机就已经处于不安全的状态，就算有很完善的软件防护措施也很难保证信息***的安全。

破坏者可以使用特制的USB移动存储设备、键盘、鼠标或硬盘接入计算机，在操作***运行的时候获取各种机密信息，造成用户不同程度的损失。本发明针对这种不安全硬件设备造成的安全威胁，在计算机启动后，操作***启动前，根据需求和经验对敏感的硬件设备进行本地认证，保证在安全的物理环境下启动操作***，杜绝各种危险的硬件设备对操作***产生安全威胁。

Claims

1.一种基于认证策略文件和硬件信息收集的可信开机启动方法，其特征在于：在可信环境下为终端设备配置认证策略文件，保存于终端安全区域中，该认证策略文件指明终端需要认证的各硬件设备项、各项的校验类型及其之间的逻辑关系，并包含各硬件设备项的校验值，一次可信开机启动的具体过程如下：

1)终端设备加电启动；

2)收集硬件设备信息，根据已配置的认证策略文件对终端设备进行认证，认证步骤包括有：

2.1读取认证策略文件，如果没有认证策略文件进行步骤2.7，如果有认证策略文件进行步骤2.2；

2.2收集硬件设备信息；

2.3根据认证策略文件对各硬件设备项进行校验，校验成功进行步骤2.6，否则记录校验失败相关信息，进行步骤2.4；所述校验失败相关信息分为两种：一种为相等校验失败信息，***的硬件设备不符合要求，请更换一个正确的硬件设备；一种为不等校验失败信息，不应***此硬件设备，请更换此硬件设备；

2.4如果有未应用认证策略文件，则应用新认证策略文件重复步骤2.2，否则进行步骤2.5；

2.5如果未达到已设定的重复认证次数，显示认证失败信息提示用户进行相应操作，等待一定时间重复步骤2.2，等待时间长度根据需要和经验具体设定，否则进行步骤2.8；

2.6终端设备认证成功，通过认证，信息***可信启动；

2.7没有认证策略文件，不进行终端设备认证，信息***启动，该情况属于普通启动，不能保证终端设备在可信环境下运行，不能保证信息***可信启动；

2.8终端设备认证失败，默认处理，例如：关机、向管理员报错；

3)如果终端设备通过认证，保证信息***在可信环境下启动；如果认证失败，进行相应处理。

2.如权利要求1所述基于认证策略文件和硬件信息收集的可信开机启动方法，其特征在于：认证策略文件根据灵活使用要求配置，其个数不定，只要满足一个认证策略文件，就可以保证终端在可信的物理环境下启动运行，以保障信息***可信启动。

3.如权利要求2所述基于认证策略文件和硬件信息收集的可信开机启动方法，其特征在于：步骤2.3中所述的认证策略文件要求为：如果认证策略文件要求对这一硬件设备进行相等校验，则收集到的硬件设备信息的哈希值要与认证策略文件中相应硬件设备项校验值相同；如果认证策略文件要求对这一硬件设备进行不等校验，则收集到的硬件设备信息的哈希值要与认证策略文件中相应硬件设备项校验值不同。