专利名称：对计算机硬件设备进行安全控制的系统及其方法
技术领域：
本发明属于计算机数据安全技术领域，具体涉及--种对计
货:机硬件设备进行安全控制的系统和方法。
背景技术：
在计算机数据安全技术领域中，通常采用加密等方式来保障i卜算机存储数据以及网络传输数据的安全。般情况下对计
算机加密采用两种方式，即硬件加密和软件加密，这两种加
密;7式虽然芥j定程度h能够保证计算机数据的安全，但是在技术上都存在着— 定的问题需要解决。
采用硬件加密的方式，虽然具有保密性好的优点，但是由于箭要特定的硬件加密设备，使得用户成本增加，且硬件加密设备的功能由数字逻辑电路实现，升级能力差，同时硬件加密设备的安装需要用户具有一定的专业知识，这样也给非专业用户安装带来一定的不便。
釆用软件加'密的方式，具有配置灵活、方便升级、成本低等优点。《骚由于加密软件运行在用户操作系统的环境中，在要加密的硬件设备驱动链中加入上层或下层的过滤驱动程序，以达到监控用户对该硬件设备的操作，同时把用户对硬件设备的访问数据进行加密解密处理，达到数据安全存储或传递的目的，这样加密安全技术等级低，卩l的不良的人可以使用--些系统工具跟踪调试加密软件的驱动程序达到破解加密软件的目的，可见这种加密方式与系统软件密切相关,容易被破译，保密性差。
发明内容
本发明所要解决的技术问题是针对上述现有技术安全领域屮加密技术的不足，提出一种可以对计算机的硬件设备进行安个^制的方法，可以广泛的应用到各种计算机应用领域中。本发明的安全控制软件设置一个用户软件运行的虚拟计算机，使用户软件运行于虚拟计算机环境中，这样使得安全控制软件对于系统软件来说不可视，从而使该安全控制软件无法被跟踪调试，提高广女个拧制软件的安全性。
解决本发明技术问题所采用的技术方案之对计算机硬件设备进行安全控制的系统包括有
安个控制模块，其将用户软件对需进行安全控制硬件设备的访问进行安全处理;.以及
虛拟计算机监控模块，其用于设置用户软件运行的虚拟计算机，在将用户软件放置于所述虚拟计算机上后，监控虚拟计算机上的用广'软件对硬件设备的访问，并根据监控到的信息，将用户软件的访l',lj诺求传递到上述安全控制模块。
所述川户软件包括川/'操作系统以及在该系统上运行的应用软
件。所述用户操作系统可以是D0S、 Windows XP、 Linux、 Unix、Windows Vista等。所述硬件设备为计贯机所具有的输入/输出设备，比如键盘、 隨、M示h硬盘，网络适配器等，用户可以根据诺要单独或伃 意组合方式选择需要进行安全控制处理的硬件设备。
不同的计算机硬件设备对应不同的安全控制模块，B卩，若有多 个硬件设备，则安全控制模块可以有多个，不同的硬件设备对应各 l'l的女全控制模块。用户可以根据对硬件设备进行安全控制的需要， 选择单独 个或多个安全控制模块。
所述安全控制模块和虚拟计算机监控模块可存储在硬盘、R()M 及K它存储设备中。
所述安全控制模块将用户软件对需进行安全控制硬件设备的访 W进行安伞处理后再传递给虚拟计算机监控模块，再由其传递给需 进行安全控制硬件设备。
所述硬件设备还包括有不需进行安全控制硬件设备，虚拟计算 机l:的川"软件对不滞进行安全控制硬件设备的访问，被虚拟计算 机监控模块直接转发到所述不需进行安全控制硬件设备上。
本发明设置虚拟计算机可以用各种方法来实现，但是对于中央 处理器(CPU)不支持虚拟功能的计算机来说，虚拟计算机监控模 块在特权级上运行，占用了用户软件中的操作系统内核的运行特权 级，需要降低用户软件中的操作系统内核的运行特权级，用户软件中 的操作系统内核的运行的特权指令通过模拟的方式来运行，这会带 来很明显的程序运行性能降低的问题。而对于CPU支持虚拟功能的 计算机来说，由于其增加了新虚拟计算机扩展指令和虚拟计算机控制结构，在CPU级上提供了虚拟计算机的支持，把CPU操作分为根 操作环境(root operation)和Jf]户操作环境(non-root operation )，根 操作环境为虚拟计算机监控模块使用，通过设置虚拟计算机控制结 构设置用户操作环境，该用户操作环境即为上述需要设立的虛拟计 订机，MJ时用户操作环境兼容原CPIJ工作方式，供用户软件使用， 不^更改用户软件中的操作系统内核的运行特权级，这样就可以简 化虛拟计算机监控模块的实现，提升了性能，所以本发明优选适用 J.CPU具有虚拟功能的计算机。
本发明对计算机硬件设备进行安全控制的方法，包括以下步骤: a、设覽安全策略的步骤，根据需进行安全控制硬件的特性和用 户对硬件安全的要求，用户对硬件设备设置安全策略；
b、 用户软件与硬件设备隔离的步骤，设置一虚拟计算机，将用 厂'软件放置于虚拟计算机中运行；
c、 用户软件对硬件设备的访问进行控制的步骤，监控虚拟计算 机上的用户软件对硬件设备的访问，并根据监控到的信息，将用户软 件的访问请求传递到硬件设备或根据设置的安全策略进行安全处理 "山:转发给硬件设备。
歩骤b中设置的虚拟计算机，可以用各种方法来实现，由于现有 技术领域中已经有支持虚拟功能的CPU，为了简化设置虚拟计算机 的歩骤，本发明优选适用于CPU具有虚拟功能的计算机。
利用CPU的虚拟功能设置虚拟计算机，具体是通过设置CPU中 的虚拟计算机控制结构，得到一个新的操作环境，即用户操作环境(non-root operation),该用户操作环境在本发明中兼容原CPU工作方 式，供用户软件使用，即为上述设立的虚拟计算机。
利用CPU的虚拟功能设置虚拟计算机，把CPU操作分为根操作 环境(root operation)和用户操作环境(non-rootoperation )，根操作环 境」:作在保护用页模式下。同时，为了对用户软件访问硬件的操作进 行安全控制，上述方法进--步包括以下步骤通过设置CPU中的虛 拟杉L控制结构，建立在用户操作环境下用户软件对硬件设备访问吋回 到根操作环境的条件。
所述计算机硬件设备包括有需进行安全控制硬件设备和不需进 行安全控制硬件设备，在步骤c中，若监控到的信息是用户软件对不
;/， 进行安全控制硬件设备的访问请求，则将该访问请求直接传递给不
'^进行安全控制硬件设备，若监控到的信息是用户软件对不需进行安 个控制硬件设备的访问请求，则将该访问请求进行安全处理后再传递 给w进行安全控制硬件设备。
所述安全策略可以根据用户对数据安全的需要进行设置，比如对
T"网络的加密传输，可以给硬件设备网卡设置可访问的IP地址，不 "J访问IP地址，加密IP地址，加牵网络数据的加密密钥等；对丁-硬盘加密及安全控制，设置用户可访问分区，分区是否可写， 要加密的分区及加密密钥等。
所述安全策略的川户设置信息可以保存在硬盘等存储设备中，川 户只需在初始化和策略改变时进行设置。
所述安全控制模块的数据加密可以采用公开通用的加密算法实现。
本发明采用虚拟的技术，利用软件的方式实现了传统保密技术巾 硬件才可以达到的数据安全程度，具有如下优点1、不需要特定的 硬件加密设备，升级能力好、配置灵活、方便升级、成本低；2、本 发明的安全控制软件对于系统软件来说不可视，从而使得对该 安个控制软件无法跟踪调试，提高了安全性，解决了传统硬件加 密禾l I软件加密所存在的技术问题。 附图
"i兌明
阁1为本发明实施例较佳实施例之对网卡设备进行安全处现
系统的的结构示意l冬l 2为本发明实施例较佳实施例之网络数据加密传输流程阁。 阁中l一加密控制模块 IO—网卡安全控制模块1N —第 N+l个安全控制模块2 —虚拟计算机监控模块3 —虚拟计算机 31-川户软件 32 —虛拟计算机操作系统 4一物理硬件设备 A 、 B —用户软件31对物理硬件设备4访问的数据传输途径
具体实施例方式
为了让本发明上述目的、特点、和优点能更明显易懂，下文特举 较佳实施例并配合附图作进一步详细说明
阁1本发明实施例较佳实施例之网络数据加密传输的结构示
总i冬i。如图i所i;，本发明对计算机硬件设备安全控制的系统包括
有安全控制模块1和虚拟计算机监控模块2。
安全控制模块1将用户软件对需进行安全控制硬件设备的访问进行安全处理。具体的安全处理分为两种情况，其一是在用户软件对
硬件设备访问前，对需进行安全控制的硬件设备设赏:安全策略，本实 例安全控制的硬件设各为网卡，用户设置可访问的ip地址、不可'必 问ip地址、加密ip地址，加密网络数据的加密密钥等策略其——-足
/i;川户软件对需进行安仝控制硬件设备访问时，根据设置的安全策略 进行安全检测，本实例在用户软件对网卡设备进行访问时，检测网卡 的发送和接收的数据包。首先判断发送和接收数据包的ip地址，ip 地址A为不"j.访问ip地址时，则记录ip地址及访问次数，丢弃发送
和接收的数据包；若ip地址为加密ip，对于发送包使用用户密钥进
行数据加密再由网卡发送，对于接收的数据包使用用户密钥进行数据 解密^w传送给川户若ip地址为可访问ip，则发送数据包.'i:接山 网卡发送，接收数据包直接传送給用户。
不同的计算机硬件设备对应各自的安全控制模块i，如图i所示
的女个控制模块1为多个(即N+l个)，网卡对应自己的安全控制 校块10，第N+1个硬件设备对应第N+1个安全控制模块1N。
在使/目本发明技术对硬件设备进行安全包含时，用户可以根据需 ^进行安企控制处理的计算机输入/输出设备单独或任意组合方式 选择安全控制模块，即，若有多个硬件设备，则安全控制模块可以冇 多个，不同的硬件设备对应不同的安全控制模块。
虚拟计算机监控模块2，用于设置至少一个用户软件运行的虚拟 计算机3，用户软件31放置于所述虚拟计算机操作系统32上，并用于监控虚拟计算机3上的用户软件31对物理硬件设备4的访问，根 据监控到的信息决定如何处理用户软件31对物理硬件设备4的访问。 若虚拟计算机监控模块2监控到的信息是用户软件31是对不需 进行安全控制物理硬件设备进行访问，则虚拟计算机监控模块2直接 转发该访问请求到不滞进行安个控制物理硬件设备上(即路径A 所^的数据传输途径)，若监控到用户软件31是对需进行安全控制物 理硬件设备(如本实例中的网卡设备)进行访问，则虚拟计算机监控 投块2将该访问转发给安全控制模块1，安全控制模块1将用户软件 对^进行安全控制物理硬件设备的访问进行安全处理后再传递给虚 拟计-党机监控模块2，然后再由其传递给需进行安全控制物理硬件设 沐(即路径B所示的数据传输途径)。本较佳实施例中，网卡为'諧 耍进行安全控制的硬件设备，所以其是使用路径B所示的数据传输 途径。
木较佧实施例|:1'设'没虚拟计算机可以用各种方法来实现，但是 对于CPU不支持虚拟功能的计算机来说，虚拟计算机监控模块在特 权级上运行，占用了用户软件中的操作系统内核的运行特权级，需 处降低川户软件屮的操作系统内核的运行特权级，用户软件中的操 作系统内核的运行的特权指令通过模拟的方式来运行，这会带来很 叨显的性能问题。而对于CPU支持虚拟功能的计算机来说，由于其 增加了新虛拟机扩展指令和虛拟机控制结构，在CPU级上提供了虛 拟计算机的支持，把CPU操作分为根操作环境和用户操作环境，根 操作环境为虚拟计算机监控模块使用，通过设置虚拟机控制结构控制设置用户操作环境，该用户操作环境即为上述需要设立的虚拟计
订机，问吋用户操作环境液矜原CPU工作方式，供用户软件使川，
不需更改用户软件中的操作系统内核的运行特权级，简化了虚拟计
算机监控模块的实现，提升了性能，所以本较佳实施例选择CPU具 "虛拟功能的计算机来建立上述虚拟计算机监控模块2，比如可以选 奸.J.Wnnte域AMD支持虚拟功能CPU的计算机。
如2所示，为本发明较佳实施例之网络数据加密传输的流程 l冬l，使川改方法的计党机具有上述安全控制模块1和虚拟计算机监控 税块2， .I:I.CPU支持虚拟功能。在本较佳实施例中对网络数据进行 加密传输需要进行安全控制的硬件设备为网卡。
本较佳实施例之对计算机硬件设备安全控制的方法，包括如下歩骤。
首先，于步骤S10,启动计算机，执行自检程序，如果自检出现异 常估况，则报赘等待用户处理，如果正常，则执行下-'步骤。
步骤Sll，计算机从MBR或ROM中启动虚拟计算机监控模块2。 虛拟计算机监控模块初始化CPU工作在保护用页模式，査询计算机 硬件设备资源。然后于步骤S12，虚拟计算机监控模块2加载安全控 制模块l,对于网卡来说，加载的是其对应的网卡安全控制模块10。
接着，于步骤S13，用户根据安全控制模块1提供的设置安全 策略的功能，比如用户界面，设置安全策略。对网卡来说，是 根据其对应的安全控制模块IO所提供的设置安全策略的功能， 在用户界面上设置可访问的IP地址、不可访问IP地址、加密IP址、加密网络数据的加密密钥。
f步骤S14,虚拟计算机监控模块2设置虚拟计算机3。具体设 W.的过程为由-f本较佳.实施例使用的算机CPU支持虚拟功能，所 以虛拟计算机监控模块2是通过设置CPU中的虚拟计算机控制结构， W到-个新的操作环境，即用户操作环境，这样虚拟计算机监控模块 2就把CPU操作分为根操作环境和用户操作环境，根操作环境工作 在保扩用页模式下。用户操作环境兼容原CPU.工作方式，供用户软 件使川，该〗目户操作环境即为上述设立的虚拟计算机。同时，在本歩 骤中，为了对用户软件访问硬件的操作进行安全控制，虚拟计算机监 柠税块2也通过设置CPU中的虚拟机控制结构，建立在用户操作环 垃K川户软件对硬件设备访问时回到根操作环境的条件，该条件为对 处监控硬件设备资源的访问程序。
于步骤S15，将硬盘中的用户软件加载到虚拟计算机中，实现用 户操作系统和物理硬件的隔离。
十步骤S16,虚拟计算机监控模块2在根操作环境下监控用户操 作环境中的用户软件对网卡设备的访问，并根据监控到的用户操作信 l1、，进行以下歩骤的处理。
于步骤S17，判断是否需要关闭计算机，若不需要则进入步骤 S8;若需要，则进入步骤S22，虚拟计算机监控模块2卸载虚拟计 党机3和安全控制模块1，然后于步骤S23,关闭计算机。
于步骤S18,判断用户软件31要访问的硬件是否是需进行安全控 制的硬件设备，若是，进入步骤S19;若不是，则进入步骤S21,虚拟il节机监控模块2将用户软件的访问请求传递到其要访问的硬件设 备，接着再返回到步骤S16，监控用户软件下一次的操作。
于步骤S19，安全控制模块1将用户软件31对需进行安全控制 物理硬件设备的访问进行安全处理，这里的安全处理是根据用户在 歩骤S13所设置的安全策略进行判断处理的，本较佳实施例中 对W盟进行安全控制的网卡设备进行访问时，检测网卡的发送和接 收的数据包判断发送和接收数据包的IP地址，IP地址为不可访问 IP时，记^IP地址及访问次数，丢弃发送和接收的数据包，接着P 少骤S20，安全控制模块1拒绝该访问请求；若IP地址为加密IP， 对P发送包使用用户密钥进行数据加密，对于接收的数据包使用用 户密钥进行数据解密；若IP地址为可访问IP，发送数据包和数据保 士.H、变。
接着于步骤S21 ,虚拟计算机监控模块2将用户软件的访问请求 传递到其要访问的硬件设备，接着再返回到步骤S16,监控用户软件 卜次的操作。
本较佳实施例中所述的用户软件包括用户操作系统以及在该系 统上运行的应用软件。用户操作系统可以是DOS、 Windows XP、 l,inux、 Unix、 Windows Vista等。
安伞控制模块的数据加密可以采用现有技术领域中通常所采用 的技术实现。安全策略可以根据用户对数据安全的需要进行设置， 在本较佳实施例中对于网络的加密传输，给硬件设备网卡设置的安 全测量是可访问的IP地址、不可访问IP地址、加密IP地址、加密网络数据的加密密钥等；对于其他硬件设备，比如硬盘，可以设 '茂用户可访问分区、分区是否可写，要加密的分K及加密密钔
等。安全策略的用户设:'配佶息可以保存在硬盘等存储设备屮，川户 只需在初始化和策略改变时进行设置。
通过以上描述，可以看出本发明采用虚拟的技术，在计算机中 设'W -虛拟计算机，将用户软件存放在该虚拟计算机的操作系统屮， 'i:现了川户操作系统和物理硬件的隔离，然后再对物理硬件设备需要 进行安伞保护的设备设置安全策略，然后再对用户程序对物理硬件设 备的访lV，J进行监控，若访问该采取了安全保护措施的物理硬件设备， 则必须符六--定的条件才可以顺利的访问，否则将不能成功访问。本 发明利用软件的方式实现了传统保密技术中硬件才可以达到的数据 安全程度，具有如下优点1、不需要特定的硬件加密设备，升级能 力好、配置灵活、方便升级、成本低；2、本发明的安全控制软件 对丁'系统软件来说不可视，从而使得对该安全控制软件无法跟 踪调试，提高了安全性，解决了传统硬件加密和软件加密所存在 的技术问题。
滞'要说明的是，以上所述仅为本发明具体较佳实施例而已， 并:ll:川以限定本发明的专利申请范围，对应本领域技术人员来 说，凡其它任何未脱离本发明所揭示的精神下所完成的等效改变 或修饰，均应包含在本专利的申请范围内。
权利要求
1. 一种对计算机硬件设备进行安全控制的系统，其特征在于所述系统包括有安全控制模块，其将用户软件对需进行安全控制硬件设备的访问进行安全处理；以及虚拟计算机监控模块，其用于设置用户软件运行的虚拟计算机，在将用户软件放置于所述虚拟计算机上后，监控虚拟计算机上的用户软件对硬件设备的访问，并根据监控到的信息，将用户软件的访问请求传递到上述安全控制模块。
2. 根据权利要求1所述的系统，其特征在于所述用户软件包括用户操作系统以及在该用户操作系统上运行的应用软件。
3. 根据权利要求1所述的系统，其特征在于所述硬件设备为计狩:机所具有的输入/输出设备。
4. 根据权利要求3所述的系统，其特征在于用户可以根据需要專独或以任意组合方式选择需要进行安全控制处理的计算机输入/输出设备。
5. 根据权利要求4所述的系统，其特征在于不同的计算机输入/输出设备对应不同的安全控制模块。
6. 根据权利要求1所述的系统，其特征在于所述安全控制模块将用户软件对需进行安全控制硬件设备的访问进行安全处理后再传递给虚拟计算机监控模块，再由其传递给需进行安全控制硬件设备。
7. 根据权利要求1所述的系统，其特征在于所述硬件设备还包括有不需进行安全控制硬件设备，虚拟计算机上的用户软件对不需进行安全控制硬件设备的访问，被虚拟计算机监控模块直接转发到所述不需进行安全控制硬件设备上。
8. 报据权利耍求1所述的系统，其特征在于所述安全控制模块和虚拟计算机监控模块可存储在硬盘、ROM及其它存储设备中。
9.根据权利要求1所述的系统，其特征在于所述用户软件运行的虚拟计算机是在CPU具有虛拟功能的计算机上设置的。
10. - 种对计算机硬件设备进行安全控制的方法，其特征在于.所述方法包括以下步骤a. 设咒安全策略的歩骤，根据需进行安全控制硬件的特性和川户对硬件安全的要求，用户对硬件设备设置安全策略；b. 用户软件与硬件设备隔离的步骤，设置一虚拟计算机，将用户软件放置于虚拟计算机中运行；c. 用户软件对硬件设备的访问进行控制的步骤，监控虚拟计算机上的用户软件对硬件设备的访问，并根据监控到的信息，将用广软件的访问请求传递到硬件设备或根据设置的安全策略进行安全处理后再转发给硬件设备。
11. 根据权利要求10所述的方法，其特征在于所述计算机硬件设备包括有需进行安全控制硬件设备和不需进行安全控制硬件设备，则在步骤c中若监控到的信息是用户软件对不需进行安全控制硬件设备的访问请求，则将该访问请求直接传递给不需寧行安全控制硬件设备；若监控到的信息是用户软件对不需进行安全控制硬件设备的访问请求，则将该访问请求进行安全处理后再传递给需进行安全控制硬件设备。
12. 根据权利要求10所述的方法，其特征在于所述安全策略可以根据用户对数据安全的需要进行设置。
13. 根据权利要求10所述的方法，其特征在于步骤b中设覽的虛拟计算机是利用CPU的虛拟功能进行设置的。
14.根据权利更求13所述的方法，其特征在于步骤b进一歩包括有把CPU操作分为根操作环境(root叩eration)和用户操作环境(non-root operation )的步骤，根操作环境工作在保护用页模式下，用户操作环境是通过设置虚拟计算机控制结构实现的。
15.报据权利要求14所述的方法，其特征在于步骤b还包括有以下步骤通过设置虚拟计算机控制结构，建立在用户操作环境T"用户软件对硬件设备的访问返回到根操作环境的条件的。
全文摘要
本发明涉及一种对计算机硬件设备进行安全控制的系统和方法。本发明对计算机硬件设备进行安全控制的系统包括有安全控制模块，其将用户软件对需进行安全控制硬件设备的访问进行安全处理；以及虚拟计算机监控模块，其用于设置用户软件运行的虚拟计算机，在将用户软件放置于所述虚拟计算机上后，监控虚拟计算机上的用户软件对硬件设备的访问，并根据监控到的信息，将用户软件的访问请求传递到上述安全控制模块。本发明具有采用虚拟的技术，利用软件的方式实现了传统保密技术中硬件才可以达到的数据安全程度，具有升级能力好、配置灵活、方便升级、成本低、无法跟踪调试等优点。
文档编号G06F21/02GK101533437SQ200810069450
公开日2009年9月16日 申请日期2008年3月11日 优先权日2008年3月11日
发明者勇 张, 张朝鹏 申请人:北京路模思科技有限公司