专利名称：一种具有用户安全子系统的安全计算机的制作方法
技术领域：
本实用新型涉及一种具有用户安全子系统的计算机，属于计算机终端信息安全技 术领域。
背景技术：
通用计算机的开放性、易用性和标准化等特点使其存在着先天性的安全设计缺 陷。目前通用计算机的安全性主要依赖于操作系统的用户口令，由于口令很容易被猜测、窃 取、截获、破译，而且不能抵御字典式猜测攻击，因此非法用户很容易冒充合法用户进入计 算机系统肆意进行破坏。另外，通用计算机对合法用户也无法进行严格的身份认证，导致内 部用户可以越权访问，引发信息泄露安全事故。由于内部人员往往具有合法的身份，在窃取 或破坏信息时不易被发觉，事后也难以被发现，因此会造成比黑客攻击和病毒感染更大的 破坏。为了从计算机体系结构上提高安全防护能力，htel、微软、IBM和HP等公司发起 成立了可信计算组织，并提出一种基于可信平台模块(以下简称TPM)的安全计算机如图1 所示的解决方案，通过TPM安全芯片提供的身份认证、安全存储、数据加密和数字签名等安 全功能来增强计算机的安全防护能力。已有的TPM安全芯片由于采用LPC (Low Pin Count)少针脚型总线与计算机主板 南桥芯片通讯，因此数据传输速率较低，无法实时进行文件加密/解密运算。基于TPM的安 全计算机进行文件加密/解密运算时，数据加密/解密运算仍然由主机CPU完成，因此密钥 不得不离开安全芯片而进入计算机操作系统环境，容易受到黑客程序的跟踪和攻击。
发明内容本实用新型的目的是提出一种具有用户安全子系统的计算机，以解决目前安全计 算机的TPM不能实时进行文件加密、主机进行文件加密时密钥进入计算机环境、输入输出 安全防护和底层身份认证等问题。本实用新型提出的具有用户安全子系统的计算机，包括显示器、键盘、鼠标和计算 机主板，所述的计算机主板由第一中央处理器、北桥芯片、南桥芯片、第一随机存储器和安 全芯片，所述的北桥芯片分别与第一随机存储器、南桥芯片、第一随机存储器和显示器相连 接，所述的安全芯片与南桥芯片相连接，所述的键盘和鼠标分别与南桥芯片相连接；还包括用户安全子系统，用户安全子系统通过通用串行总线接口与计算机主板进 行数据通信；所述的用户安全子系统包括第二中央处理器、只读存储器、第二随机存储器、 可擦写存储器、硬盘和通用串行总线接口 ；其中的第二中央处理器用于对第一中央处理器存储的数据进行加密运算，得到 加密后的数据；对计算机主板中的安全芯片进行身份认证；检查计算机主板的基本输入输 出系统BIOS的完整性；其中的只读存储器用于存储第二中央处理器中的用户安全子系统的身份信息和密钥，只读存储器与第二中央处理器相连接；其中的第二随机存储器用于存储第二中央处理器进行加密运算的程序及数据，第 二随机存储器与第二中央处理器相连接；其中的硬盘用于存储第二中央处理器的加密后数据，所述的硬盘与第二中央处理 器相连接；其中的可擦写存储器用于存储用户安全子系统的加密算法，可擦写存储器与第二 中央处理器相连接。本实用新型提出的具有用户安全子系统的计算机，其中的用户安全子系统使用 USB(Universal Serial BUS)通用串行总线与计算机主机通讯，为计算机提供了独立于主 机操作系统的安全运算和存储环境，数据的加密/解密运算、密钥的生成、使用和保存全部 在用户安全子系统内部进行，不进入计算机系统环境，可完全杜绝黑客程序的跟踪和攻击。 此外，用户安全子系统也是安全计算机的重要组成部分，只有将用户安全子系统接入计算 机，在BIOS底层与安全芯片相互进行高强度的身份认证后，安全计算机才能启动和运行。 由于用户安全子系统完全掌握在用户手中，因此可确保持有安全子系统的授权用户才能使 用计算机。本实用新型计算机中的用户安全子系统，具有全球唯一的64位硬件ID号，采用 密码算法与计算机主板上的安全芯片在BIOS底层进行高强度的身份认证。在操作系统载 入之前就能确定用户身份，可确保授权用户安全使用计算机。
图1是已有的基于可信平台模块的安全计算机结构示意图。图2是本实用新型提出的计算机的结构框图。图3是本实用新型计算机中用户安全子系统的结构框图。
具体实施方式
本实用新型提出的具有用户安全子系统的计算机，其结构框图如图2所示，包括 显示器、键盘、鼠标和计算机主板，所述的计算机主板由第一中央处理器、北桥芯片、南桥芯 片、第一随机存储器和安全芯片，所述的北桥芯片分别与第一随机存储器、南桥芯片、第一 随机存储器和显示器相连接，所述的安全芯片与南桥芯片相连接，所述的键盘和鼠标分别 与南桥芯片相连接；还包括用户安全子系统，其结构框图如图3所示，用户安全子系统通过通用串行 总线接口与计算机主板进行数据通信；所述的用户安全子系统包括第二中央处理器、只读 存储器、第二随机存储器、可擦写存储器、硬盘和通用串行总线接口 ；所述的第二中央处理器用于对第一中央处理器存储的数据进行加密运算，得到 加密后数据；对计算机主板中的安全芯片进行身份认证；检查计算机主板的基本输入、输 出系统的完整性；所述的只读存储器用于存储第二中央处理器中的用户安全子系统的身份信息和 密钥，只读存储器与第二中央处理器相连接； 所述的第二随机存储器用于存储第二中央处理器进行加密运算的程序及数据，第 二随机存储器与第二中央处理器相连接；[0022]所述的硬盘用于存储第二中央处理器的加密后数据，所述的硬盘与第二中央处理 器相连接；所述的可擦写存储器用于存储用户安全子系统的加密算法，可擦写存储器与第二 中央处理器相连接。本实用新型计算机中的用户安全子系统，是一个封闭的嵌入式计算机系统，可完 成对称或非对称密码算法的身份认证、加密/解密运算。数据加密运算和存储全部在安全 子系统内部进行，不进入计算机环境，完全杜绝黑客程序的跟踪和攻击。密钥以密文形式存 放在安全子系统内的只读存储器ROM中，安全子系统的嵌入式软件系统安全管理模块可有 效防止攻击者利用软件方式窃取或篡改安全子系统中的机密信息，使非法用户无法复制或 伪造安全子系统。计算机加电启动后，安全BIOS程序首先对用户进行初步的身份认证，用户输入正 确的口令密码后，安全BIOS程序检测用户安全子系统，并利用安全芯片和用户安全子系统 提供的高强度密码算法相互进行身份认证。BIOS层的硬件身份认证完成后，用户安全子系统根据存储在子系统内部的BIOS 镜像文件，对计算机BIOS程序文件进行检测，判断BIOS文件是否被恶意更改。BIOS文件检测完成后，BIOS根据安全子系统的用户权限信息对1/0接口进行初始 化，对相应的网络接口、USB接口进行开启或禁止操作，然后启动计算机系统，引导操作系统 加载。从计算机系统开机起，只有接入授权的用户安全子系统，系统才能正常工作。当用 户在使用过程中将安全子系统拔出时，系统自动挂起，同时关闭所有1/0端口。本实用新型的计算机中，安全子系统中的第二中央处理器采用ARM公司的ARMll 嵌入式处理器，第二随机存储器采用Kingsont公司的DDRl IG内存，只读存储器采用 WINB0ND公司的^C0404M芯片，可擦写只读存储器采用Intel公司的27512芯片，通用串行 接口采用CYPRESS公司的CY7C68001通用USB2. 0接口控制器，硬盘与第二中央处理器的接 口采用Silicon Image公司的3112A控制器芯片，硬盘采用Seagate公司的500GB笔记本 硬盘。本实用新型安全计算机的工作原理是计算机加电启动后，计算机主板安全BIOS程序模块首先对用户进行身份认证，提 示用户输入用户名和PIN码。用户输入正确的口令密码后，安全BIOS程序检测计算机系统 中是否接入用户安全子系统，并使用安全芯片提供的2048位RSA数字签名密码算法对用户 安全子系统进行高强度身份认证。用户安全子系统同时也使用2048位的RSA数字签名密 码算法对安全芯片进行高强度身份认证，在BIOS进行操作系统引导之前就进行授权用户 和硬件的身份识别，可确保用户、用户安全子系统和计算机三者的合法性。用户、用户安全子系统和计算机三者之间的身份认证通过后，用户安全子系统根 据存储在子系统内部的BIOS镜像文件，对计算机BIOS程序文件进行检测对比，判断BIOS 文件是否被恶意更改，防止因BIOS受到恶意破坏而直接导致的硬件系统瘫痪。BIOS文件检测通过后，BIOS根据安全子系统的用户权限信息对1/0接口进行初始 化，在操作系统启动之前实现对计算机1/0输入输出接口的接管，对相应的网络接口、USB 接口进行开启或禁止操作，然后启动计算机系统，引导操作系统加载。[0034]用户将重要文件存入安全子系统时，安全子系统对数据进行加密处理后再存储到 硬盘上。密钥以密文形式存放在安全子系统内的只读存储器ROM中，数据的加密运算和存 储全部在安全子系统内部进行，不进入计算机环境，可完全杜绝黑客程序的跟踪和攻击。安 全子系统的嵌入式软件系统安全管理模块可防止攻击者利用软件方式窃取或篡改安全子 系统中的机密信息，使非法用户无法复制或伪造安全子系统。从计算机系统开机起，只有接入授权的用户安全子系统，系统才能正常工作。当用 户在使用过程中将安全子系统拔出时，系统自动挂起，同时关闭所有I/O端口。综上所述，本实用新型在设计上对安全计算机进行了创新，不仅给安全计算机增 加了完全封闭的用户安全子系统，使文件的加密和存储全部在安全子系统内部进行，不进 入计算机环境，完全杜绝黑客程序的跟踪和攻击。另外，用户安全子系统也是标识用户身份 的身份认证工具，在BIOS层与计算机安全芯片相互进行身份识别，可确保用户、用户安全 子系统和计算机三者的合法性，确保授权用户安全访问计算机机密信息，提高安全计算机 的安全防护级别。
权利要求1. 一种具有用户安全子系统的计算机，包括显示器、键盘、鼠标和计算机主板，所述的 计算机主板由第一中央处理器、北桥芯片、南桥芯片、第一随机存储器和安全芯片，所述的 北桥芯片分别与第一随机存储器、南桥芯片、第一随机存储器和显示器相连接，所述的安全 芯片与南桥芯片相连接，所述的键盘和鼠标分别与南桥芯片相连接；其特征在于还包括用户安全子系统，用户安全子系统通过通用串行总线接口与计算机 主板进行数据通信；所述的用户安全子系统包括第二中央处理器、只读存储器、第二随机存 储器、可擦写存储器、硬盘和通用串行总线接口 ；所述的第二中央处理器用于对第一中央处理器存储到安全子系统硬盘的数据进行加 密运算，得到加密后数据；对计算机主板中的安全芯片进行身份认证；检查计算机主板的 基本输入输出系统的完整性；所述的只读存储器用于存储第二中央处理器中的用户安全子系统的身份信息和密钥， 只读存储器与第二中央处理器相连接；所述的第二随机存储器用于存储第二中央处理器进行加密运算的程序及数据，第二随 机存储器与第二中央处理器相连接；所述的硬盘用于存储第二中央处理器的加密后数据，所述的硬盘与第二中央处理器相 连接；所述的可擦写存储器用于存储用户安全子系统的加密算法，可擦写存储器与第二中央 处理器相连接。
专利摘要本实用新型涉及一种具有用户安全子系统的计算机，属于计算机终端信息安全技术领域。包括计算机主板和用户安全子系统，用户安全子系统通过通用串行总线接口与计算机主板进行数据通信。用户安全子系统中的第二中央处理器对计算机主板的数据进行加密运算，对安全芯片进行身份认证；检查计算机主板的基本输入输出系统的完整性；只存储器存储身份信息和密钥，第二随机存储器存储加密运算的程序及数据，硬盘存储加密后的数据，可擦写存储器存储加密算法。本实用新型计算机可确保用户、用户安全子系统和计算机三者的合法性，提高安全计算机的安全防护级别。
文档编号G06F21/00GK201845340SQ20102062017
公开日2011年5月25日 申请日期2010年11月19日 优先权日2010年11月19日
发明者王庆, 高宏 申请人:紫光股份有限公司