专利名称：一种基于可信平台模块和指纹识别的身份控制方法
技术领域：
本发明涉及计算机信息安全领域，尤其涉及的是，一种利用指纹生物识别技术和可信平台模块芯片技术进行计算机用户身份鉴别及权限控制的方法。
背景技术：
随着网络时代的来临，信息安全已成为计算机用户普遍关注的问题，人们对于计算机安全性的要求越来越高，指纹识别技术在计算机用户身份识别及操作访问权限确认方面的应用也越来越广泛。
在可信平台模块(TPM，Trusted Platform Module)芯片出现以前，指纹识别技术在计算机用户身份鉴别的应用中主要采用两种实现模式模式一完全通过计算机软件实现指纹识别及比对算法。这种模式无法实现计算机开机时的用户指纹识别，只能等待操作系统引导后才可以工作；此外完全使用软件来实现，指纹识别及比对算法较易被破解，指纹模板的保存也没有妥当的安全解决方案。
模式二指纹识读设备内嵌相关硬件计算单元实现指纹模式识别及特征比对算法。虽然这种模式有利于实现开机用户指纹识别(Pre-BootAuthentication，PBA)，而且指纹识读设备中一般包含Flash存储器可以保存指纹验证模板，但是必须集成用于执行指纹识别算法的CPU/DSP及用于存储指纹模板的Flash存储器，因此这种指纹识读器通常较昂贵，不利于市场普及和推广。另外Flash存储器的容量有限制，使得系统只能支持有限的用户指纹数量。
在可信平台模块TPM芯片出现以后，目前也出现将指纹识别技术与TPM芯片相结合的指纹识别身份认证系统，主要有以下几种实现模式模式一由于指纹身份识别系统中，用户预留的指纹特征模板属于敏感数据，因此需要特别加以保护。使用TPM芯片内部的非易失性存储器可以保存少量的指纹特征模板，或者使用TPM对模板进行加密再将加密后的数据保存其他外部存储器上，如保存在计算机硬盘上。但是这种模式仅将TPM作为一个加密设备来使用，被加密的指纹模板需要在脱密后才能被其他指纹识别系统模块使用，易受到攻击的指纹识别算法也没有得到保护。
模式二将指纹识别算法全部或者部分集成到TPM芯片内实现，指纹模板也保存在TPM内部或被TPM加密后保存在外部，使用时再导入。这种模式通过TPM安全芯片对指纹识别算法和模板同时提供保护，设计合理性上明显优于上一模式，但是可实现性很差。因为TPM芯片的主要设计目的在于为将来个人电脑设备构建安全可信的计算环境时，提供信任根和平台各部件间信任关系的建立。为了TPM芯片的普及，国际上普遍采用低成本、高安全性的设计；由于TPM不需要执行大量的数据计算功能，所以目前国内外生产的TPM芯片广泛采用的是8位或16位的CPU作为中央处理器，而这种CPU绝对无法胜任执行类似图像模式识别算法这样的大规模复杂计算任务。
模式三仅将指纹识别算法中运算量较小的指纹特征比对算法嵌入TPM芯片，这种模式虽然解决了TPM计算能力的缺陷，但是存在一个致命的弱点，那就是TPM对用户指纹特征信息与指纹模板比对后，得出的匹配与否的结果，只能传给上层做进一步处理，这样如果上层系统受到攻击，被绕过对TPM返回结果的处理环节，将使整个TPM指纹识别系统形同虚设。
因此，现有技术存在缺陷，需要改进。
发明内容
本发明的目的在于提供一种基于可信平台模块和指纹识别的身份控制方法，TPM芯片不但具备指纹特征比对功能，而且直接根据比对结果确定TPM芯片是否工作，可以避免非授权用户绕过TPM而攻击上层系统。
本发明的技术方案如下一种基于可信平台模块和指纹识别的身份控制方法，其包括以下步骤A1、授权用户通过指纹识别系统的指纹注册模块预先设置指纹特征信息模板，所述指纹特征信息模板被可信平台模块芯片保护；A2、所述指纹识别系统的指纹采集模块通过指纹传感器采集当前用户指纹的图像信息，并将所述图像信息传送给指纹特征提取模块；A3、所述指纹特征提取模块进行指纹特征提取计算，将提取得到的指纹特征数据发送给可信平台模块芯片；A4、所述可信平台模块芯片中的指纹比对模块，根据授权用户预留的指纹特征信息模板，执行指纹特征比对算法操作，与本次提取得到的指纹特征数据进行比对，用于鉴别用户身份；A5、所述可信平台模块芯片根据比对结果判断当前用户具有操作计算机的权限，则执行步骤A6，否则执行步骤A7；A6、所述可信平台模块芯片正常工作或执行当前用户请求的操作，不执行A7；A7、所述可信平台模块芯片处于非工作状态，拒绝执行当前用户请求的操作，并向上层返回错误信息。
所述的方法，其中，指纹身份识别过程中的指纹特征比对操作由可信平台模块完成，所述指纹比对结果保存在所述可信平台模块芯片，依据指纹特征比对的结果，决定可信平台模块是否执行下一步的工作。。
所述的方法，其中，步骤A1所述预先设置指纹特征信息模板，是在获得授权的计算机用户初始化时，通过采集指纹的图像信息，提取其指纹特征数据作为所述指纹特征信息模板。
所述的方法，其中，所述初始化还包括在正式使用可信平台模块芯片功能之前，操作可信平台模块芯片管理软件完成可信平台模块芯片所有者的初始化。
所述的方法，其中，步骤A1所述指纹特征信息被可信平台模块芯片保护，是所述指纹特征信息存储于所述可信平台模块芯片中的采用物理防护技术的非易失性存储器；或是被所述可信平台模块加密后保存于所述可信平台模块芯片外部的非易失性存储器。
所述的方法，其中，所述非易失性存储器是闪存存储器、电可擦写可编程只读存储器、可擦写可编程只读存储器、可编程只读存储器或计算机硬盘。
所述的方法，其中，步骤A3所述指纹特征提取模块进行指纹特征提取计算，是所述指纹特征提取模块通过计算机的CPU对所述图像信息进行指纹特征提取计算。
所述的方法，其中，分别在计算机基本输入输出系统和操作系统实现所述指纹采集模块，通过驱动指纹传感器实现指纹图像采集功能。
所述的方法，其中，分别在计算机基本输入输出系统和操作系统实现所述指纹特征提取模块的提取算法。
所述的方法，其中，步骤A7所述返回错误信息，包括返回所述可信平台模块芯片处于非工作状态的信息。
采用上述方案，TPM芯片内嵌指纹特征比对算法，对于指纹特征模板来说，被TPM芯片加密保存并在TPM芯片内部使用，敏感信息不会外泄；计算复杂度最高的指纹图像特征提取算法由计算机平台CPU实现，不占用TPM芯片资源，可弥补TPM芯片计算能力不足的缺陷；指纹特征比对算法仍由TPM芯片实现，但比对结果保存在TPM芯片内部，TPM芯片直接通过判断比对结果决定芯片是否工作，从而控制用户对计算机的访问权限，上层无法绕过用户指纹识别过程而启动TPM芯片。因此解决了计算机用户身份鉴别及权限控制的问题，在计算机系统中建立了一种安全、可靠、方便、易用的用户身份鉴别及计算机操作访问权限确认机制。由于用户指纹身份鉴别的主要过程以及对鉴别的结果的处理都在TPM芯片内完成，不可能被上层系统绕过，因此具有更高的可靠性和安全性。
图1为本发明方法的流程图；图2为本发明方法的工作原理示意图。
具体实施例方式
以下对本发明的较佳实施例加以详细说明。
本发明提供了一种基于可信平台模块和指纹识别的身份控制方法，应用于可信计算机系统，该系统包括标准计算机主板及芯片组、CPU中央处理器芯片、RAM内存及硬盘等外部存储器，以及TPM芯片和指纹传感器。系统还需具备软件运行环境，包括可信的基本输入输出系统BIOS、可信的操作系统OS、TPM芯片内固件(Firmware)程序和TPM初始化应用软件，以及与指纹传感器相关的BIOS及OS驱动程序、用户指纹注册管理等应用软件。
本发明所述基于可信平台模块和指纹识别的身份控制方法如图1所示，其包括以下步骤。
A1、授权用户通过指纹识别系统的指纹注册模块预先设置指纹特征信息模板，所述指纹特征信息模板被可信平台模块芯片保护。所述预先设置指纹特征信息模板，是在获得授权的计算机用户初始化时，通过采集指纹的图像信息，提取其指纹特征数据作为所述指纹特征信息模板。所述初始化还包括在正式使用可信平台模块芯片功能之前，操作可信平台模块芯片管理软件完成可信平台模块芯片所有者的初始化。
所述方法的初始化操作，包括用户在正式使用TPM芯片功能之前，首先需要操作TPM芯片管理软件完成TPM芯片所有者初始化，即设置TPM芯片所有者口令，并产生TPM芯片的存储根密钥(Storage Root Key，SRK)；在计算机开机上电后，由计算机基本输入输出系统BIOS向TPM芯片发送启动和自检指令，使TPM芯片处于就绪状态。
所述指纹特征信息被可信平台模块芯片保护，是所述指纹特征信息存储于所述可信平台模块芯片中的采用物理防护技术的非易失性存储器；或是被所述可信平台模块加密后保存于所述可信平台模块芯片外部的非易失性存储器。其中，所述非易失性存储器可以是闪存存储器、电可擦写可编程只读存储器、可擦写可编程只读存储器、可编程只读存储器或计算机硬盘。
A2、所述指纹识别系统的指纹采集模块通过指纹传感器采集当前用户指纹的图像信息，并将所述图像信息传送给指纹特征提取模块。
指纹采集模块的指纹图像采集功能将在计算机基本输入输出系统BIOS和操作系统OS中分别实现，在计算机开机上电后进行开机用户指纹身份识别时，由BIOS系统控制指纹传感器采集指纹图像；或是操作系统引导后进行用户指纹身份识别时，由上层应用软件通过指纹传感器OS驱动程序控制指纹传感器采集指纹图像信息，并将指纹图像信息传送给指纹特征提取模块处理。通过计算机CPU运算执行对采集的指纹图像信的特征提取操作，并将提取的用户指纹特征信息传送给TPM芯片处理。当计算机用户试图开机或进入受保护的操作系统时，必须先进行身份识别。
A3、所述指纹特征提取模块进行指纹特征提取计算，将提取得到的指纹特征数据发送给可信平台模块芯片。所述指纹特征提取模块进行指纹特征提取计算，是所述指纹特征提取模块通过计算机的CPU对所述图像信息进行指纹特征提取计算。可以分别在计算机基本输入输出系统和操作系统实现所述指纹特征提取模块的提取算法。
A4、所述可信平台模块芯片中的指纹比对模块，根据授权用户预留的指纹特征信息模板，执行指纹特征比对算法操作，与本次提取得到的指纹特征数据进行比对，用于鉴别当前用户身份。
即TPM芯片中指纹比对模块实现指纹特征比对算法，当接收到本次身份识别提取到的用户指纹特征信息后，读取已获授权的用户预留的指纹特征模板并与接收到的特征信息进行特征比对，根据指纹特征比对算法判定当前用户指纹是否与系统已注册登记的授权用户相符，从而确定当前用户身份是否有效。
所述指纹比对结果保存在所述可信平台模块芯片，并根据所述指纹比对结果决定所述可信平台模块芯片继续正常工作，或拒绝执行用户请求的指定操作。所述指纹比对结果保存在所述可信平台模块芯片是本发明方法的关键点，TPM芯片不但执行指纹特征比对，而且直接根据比对结果确定TPM芯片是否工作，可以有效防止非授权用户绕过TPM芯片操作计算机。
A5、所述可信平台模块芯片根据比对结果判断当前用户具有操作计算机的权限，则执行步骤A6，否则执行步骤A7；指纹身份识别过程中的指纹特征比对操作由可信平台模块完成，所述指纹比对结果保存在所述可信平台模块芯片，依据指纹特征比对的结果，决定可信平台模块是否执行下一步的工作，整个比对、存储、识别的过程都在TPM芯片内部完成。
A6、所述可信平台模块芯片正常工作或执行当前用户请求的操作，不执行A7；A7、所述可信平台模块芯片处于非工作状态，拒绝执行当前用户请求的操作，并向上层返回错误信息。所述返回错误信息，包括返回所述可信平台模块芯片处于非工作状态的信息。
本发明方法的工作原理示意图如附图2所示，在系统开机时通过BIOS系统控制指纹传感器采集指纹图像；或是由操作系统的上层应用软件通过指纹传感器驱动程序控制指纹传感器采集指纹图像，并将指纹原始图像的信息传送给指纹特征提取模块；指纹特征提取模块进行指纹特征提取计算，将提取得到的指纹特征数据发送给TPM芯片，其中的提取计算是由CPU完成的；TPM芯片中的指纹比对模块读取预留在TPM芯片中指纹特征信息模板授权用户的指纹特征信息模板，该模板是经过TPM芯片加密的；然后执行指纹特征比对算法操作，与本次提取得到的指纹特征数据进行比对，用于鉴别用户身份。
本发明方法的一个实施例具体说明如下。
预先在计算机上安装可信平台模块TPM芯片和指纹传感器，并完成初始化；获得授权的计算机用户通过指纹识别系统系统的原始指纹登记注册模块预留指纹特征信息，此信息被TPM芯片保护。
系统的指纹采集模块通过指纹传感器采集进行本次操作的计算机用户指纹的原始图像信息，并将指纹图像传送给指纹特征提取模块处理。
指纹特征提取模块对指纹原始图像进行处理，通过计算机平台CPU执行指纹特征提取算法的计算操作，再将提取到的指纹特征发送给TPM芯片。
TPM芯片中的指纹比对模块，读取用户预留的指纹特征模板，然后执行指纹特征比对算法操作，与本次提取到的指纹特征码进行比对，以鉴别用户的真实身份。
TPM芯片根据比对结果判定TPM芯片的下一步操作，即如果用户身份通过指纹识别验证，则TPM可以正常工作或执行用户指定的功能；否则TPM处于非工作状态，拒绝执行用户请求的TPM操作，并向上层返回错误信息。
实现本发明所述方法，须在计算机系统上安装可信平台模块TPM芯片，具体的实现可以是将TPM芯片通过LPC(Low Pin Count)接口总线与计算机主板芯片组南桥芯片连接，TPM芯片与计算机主板的物理连接方式有两种即直接贴片焊接在主板预留位置上，或者使用TPM子卡插接在主板20 Pin插座上。当然，随着计算机技术的发展，TPM芯片可能与计算机主板及其芯片组存在其它的连接方式，这些连接方式亦应被认为属于本发明方法的适用范围。
所述指纹传感器可以是光学指纹传感器、半导体指纹传感器、超声波指纹传感器或者其他能够通过感应获取用户指纹图像信息的传感器，本发明对此不进行限制，只要能够实现所述指纹传感器的功能，即应被认为属于本发明方法的适用范围。
所述用户指纹特征信息被TPM芯片保护，即是指纹特征信息作为指纹识别系统中的关键数据，可以保存在TPM芯片内部存储器中；也可以被TPM加密后保存在TPM芯片外部存储器中；所述存储器是非易失性存储器，例如采用物理防护技术的闪存(Flash)存储器、电可擦写可编程只读存储器EEPROM、可擦写可编程只读存储器EPROM、可编程只读存储器PROM、或其他在断电情况下能继续保留数据的采用了物理防护技术的磁、电存储介质；此外，外部的存储器还包括了计算机硬盘的隐蔽分区。由于被TPM加密的数据只能在TPM芯片内部解密，从而具备高安全性。与此相同，所述用户预留的指纹特征模板可以保存在TPM芯片内部；也可以被TPM芯片加密后保存在计算机外部存储器，如硬盘上的隐蔽分区中，需要进行指纹特征比对时，再将加密的指纹模板导入TPM芯片后解密使用。
TPM芯片保存指纹特征比对结果，可以根据比对结果设定通行标志位，作为判断TPM功能操作执行与否的依据；即如果比对成功则TPM芯片进入正常工作状态，可以执行用户指定的TPM操作，如执行数据解密等操作，然后向上层返回成功信息；如果比对失败则TPM芯片进入非工作状态，同时拒绝用户请求的TPM功能操作，并向上层返回错误信息。需要说明的是，在本发明方法中，TPM芯片不但执行指纹特征比对，而且直接根据比对结果确定TPM芯片是否工作。由于TPM芯片是计算机的核心安全部件，如果TPM不工作将导致整个计算机平台处于不可用状态，使得用户指纹身份鉴别结果直接作用于系统，而无须额外的权限控制操作。在应用系统层面，TPM通常用于保护系统关键的敏感数据，如加密密钥等。如果指纹身份鉴别未通过，则用户不能使用被TPM保护的数据，从而也就无法使用应用系统的功能，达到用户权限控制的目的。用户指纹身份鉴别的主要过程以及对鉴别的结果的处理都在TPM芯片内完成，不可能被上层系统绕过，因此具有高可靠性和高安全性。
本发明充分利用了TPM芯片处于可信计算平台的核心位置这一特点，不但能够利用TPM芯片通过指纹鉴别用户身份，而且通过TPM芯片根据指纹鉴别结果对用户访问计算机的权限真正实现了控制，提高了指纹识别系统的可靠性和安全性。利用本发明方法避免了现有技术其它指纹识别方案中存在两个最大的弱点即指纹识别算法及指纹特征模板的保密问题，以及指纹鉴别结果的判断和使用问题。指纹特征模板的使用和解密还原全部在TPM安全芯片内部完成，指纹特征模板的明文数据不会泄露到TPM以外的任何地方；由于安全BIOS和安全操作系统(Operation System，OS)与TPM芯片技术的关联性，TPM芯片将决定BIOS操作是否可以继续，以及OS是否可以正常引导启动，因此根据本发明方法，TPM可以直接使用和保存指纹身份鉴别的结果，从而间接控制用户对计算机的使用权限，可以有效解决通过绕过指纹识别判断过程，使指纹鉴别系统失效的问题。
其次，本发明方法通过利用计算机的平台CPU的计算资源执行指纹识别过程中最复杂、计算量最大的指纹图像特征提取算法，从而大大节省了用户的投资成本。以往方案中一般都会单独设置一个用于指纹图像处理的DSP芯片，利用本发明方法使用平台CPU的强大计算能力来完成此项复杂运算工作，既提高了执行速度，因为方案中无须外接数字信号处理器(DSP，Digital Signal Processor)从而节省了用户成本。TPM芯片中仅仅导入指纹特征比对算法，与导入全部指纹识别算法相比，其增加的成本和实现难度都是可以接受的，也避免了TPM芯片计算能力不足的缺陷，从而具有更高的可实施性。
此外，本发明方法利用了TPM的平台绑定功能，可以充分利用计算机平台的硬盘资源来存储用户的指纹特征模板，因此理论上不再有对指纹特征模板预留数量的限制。
应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。
权利要求
1.一种基于可信平台模块和指纹识别的身份控制方法，其特征在于，包括以下步骤A1、计算机合法用户通过指纹识别系统的指纹注册模块预先设置指纹特征信息模板，所述指纹特征信息模板被可信平台模块芯片保护；A2、所述指纹识别系统的指纹采集模块通过指纹传感器采集当前用户指纹的图像信息，并将所述图像信息传送给指纹特征提取模块；A3、所述指纹特征提取模块进行指纹特征提取计算，将提取得到的指纹特征数据发送给可信平台模块芯片；A4、所述可信平台模块芯片中的指纹比对模块，根据计算机合法用户预留的指纹特征信息模板，执行指纹特征比对算法操作，与本次提取得到的指纹特征数据进行比对，用于鉴别当前用户身份；A5、所述可信平台模块芯片根据比对结果判断当前用户具有操作计算机的权限，则执行步骤A6，否则执行步骤A7；A6、所述可信平台模块芯片正常工作或执行当前用户请求的操作，不执行A7；A7、所述可信平台模块芯片处于非工作状态，拒绝执行当前用户请求的操作，并向上层返回错误信息。
2.根据权利要求1所述的方法，其特征在于，指纹身份识别过程中的指纹特征比对操作由可信平台模块完成，所述指纹比对结果保存在所述可信平台模块芯片，依据指纹特征比对的结果，决定可信平台模块是否执行下一步的工作。
3.根据权利要求1所述的方法，其特征在于，步骤A1所述预先设置指纹特征信息模板，是在计算机用户初始化时，通过采集指纹的图像信息，提取其指纹特征数据作为所述指纹特征信息模板。
4.根据权利要求3所述的方法，其特征在于，所述初始化还包括在正式使用可信平台模块芯片功能之前，操作可信平台模块芯片管理软件完成可信平台模块芯片所有者的初始化。
5.根据权利要求1所述的方法，其特征在于，步骤A1所述指纹特征信息被可信平台模块芯片保护，是所述指纹特征信息存储于所述可信平台模块芯片中的采用物理防护技术的非易失性存储器；或是被所述可信平台模块加密后保存于所述可信平台模块芯片外部的非易失性存储器。
6.根据权利要求5所述的方法，其特征在于，所述非易失性存储器是闪存存储器、电可擦写可编程只读存储器、可擦写可编程只读存储器、可编程只读存储器或计算机硬盘。
7.根据权利要求1所述的方法，其特征在于，步骤A3所述指纹特征提取模块进行指纹特征提取计算，是所述指纹特征提取模块通过计算机的CPU对所述图像信息进行指纹特征提取计算。
8.根据权利要求1所述的方法，其特征在于，分别在计算机基本输入输出系统和操作系统实现所述指纹采集模块，通过驱动指纹传感器实现指纹图像采集功能。
9.根据权利要求1所述的方法，其特征在于，分别在计算机基本输入输出系统和操作系统实现所述指纹特征提取模块的提取算法。
10.根据权利要求1所述的方法，其特征在于，步骤A7所述返回错误信息，包括返回所述可信平台模块芯片处于非工作状态的信息。
全文摘要
本发明提供了一种基于TPM和指纹识别的身份控制方法，包括步骤A1、预先设置指纹特征信息模板，该模板被TPM芯片保护；A2、指纹采集模块采集当前用户指纹的图像信息，将该信息传送给指纹特征提取模块；A3、指纹特征提取模块进行指纹特征提取计算，将结果发送给TPM芯片；A4、TPM芯片的指纹比对模块，根据指纹特征信息模板，与本次提取得到的指纹特征数据进行比对，用于鉴别用户身份；A5、TPM芯片根据比对结果判断当前用户具有操作计算机的权限，则执行步骤A6，否则执行步骤A7；A6、TPM芯片正常工作或执行用户请求的操作；A7、TPM芯片处于非工作状态，拒绝执行用户请求的操作，并向上层返回错误信息。
文档编号G06K9/00GK1971575SQ20061015709
公开日2007年5月30日 申请日期2006年11月24日 优先权日2006年11月24日
发明者杨晶, 刘宏伟, 张璐 申请人:深圳兆日技术有限公司