專(zhuān)利名稱(chēng)：基于usb安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域，尤其涉及一種基于USB安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造方法及系統(tǒng)，該方法及系統(tǒng)利用USB安全存儲(chǔ)加密卡，實(shí)現(xiàn)用戶的身份驗(yàn)證、操作系統(tǒng)和辦公系統(tǒng)的完整性的驗(yàn)證，對(duì)終端用戶的使用的應(yīng)用程序、網(wǎng)絡(luò)接入、終端設(shè)備接入等用戶行為進(jìn)行控制，保證終端用戶的訪問(wèn)行為是可控的。從而保證終端用戶構(gòu)建的系統(tǒng)是可信的。
背景技術(shù)：
U盤(pán)(包括U盤(pán)、移動(dòng)硬盤(pán)等)是常用的移動(dòng)存儲(chǔ)設(shè)備。當(dāng)前的計(jì)算機(jī)，為了方便終端用戶拷貝數(shù)據(jù)，大都配有USB端口。但這種操作方法，容易降低整個(gè)系統(tǒng)及終端設(shè)備的安全性。隨著安全支付和安全辦公的發(fā)展，既要保護(hù)USB移動(dòng)存儲(chǔ)設(shè)備中的個(gè)人隱私和敏感信息的機(jī)密性，防止移動(dòng)存儲(chǔ)設(shè)備和系統(tǒng)遭受木馬病毒攻擊，又要對(duì)終端設(shè)備進(jìn)行加固， 對(duì)用戶的訪問(wèn)行為進(jìn)行控制。也就是要求整個(gè)終端系統(tǒng)是安全的，用戶的所有訪問(wèn)方式是可控的。本發(fā)明方法及系統(tǒng)，正是基于USB安全存儲(chǔ)加密卡，構(gòu)建可信系統(tǒng)的一種方法及系統(tǒng)，以保證終用戶的訪問(wèn)方式是可控的。所述USB安全存儲(chǔ)加密卡為本領(lǐng)域通用的USB安全存儲(chǔ)加密卡，尤其是以鄭州信大捷安信息技術(shù)有限公司于2010年7月1日申請(qǐng)的申請(qǐng)?zhí)?201020265723. 1，名稱(chēng)為“一種USB安全存儲(chǔ)加密卡”為基礎(chǔ)，該申請(qǐng)全部?jī)?nèi)容被結(jié)合于此作為參考。

發(fā)明內(nèi)容
根據(jù)本發(fā)明一方面，為了終端用戶在一個(gè)可信環(huán)境下進(jìn)行辦公、支付等不同的行為，而提供一種基于USB安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造方法，該方法包括在終端設(shè)備系統(tǒng)啟動(dòng)前，插入U(xiǎn)SB安全存儲(chǔ)加密卡，以使用USB安全存儲(chǔ)加密卡對(duì)用戶身份的合法性和 USB安全存儲(chǔ)卡自帶的操作系統(tǒng)的完整性進(jìn)行認(rèn)證，以用于保證終端設(shè)備的使用者是合法的，用戶所使用的操作系統(tǒng)是安全的；認(rèn)證通過(guò)后，啟用USB安全存儲(chǔ)加密卡自帶的操作系統(tǒng)和辦公系統(tǒng)進(jìn)行辦公；使用USB安全存儲(chǔ)加密卡，對(duì)用戶所要執(zhí)行的應(yīng)用程序的完整性進(jìn)行驗(yàn)證以保證用戶執(zhí)行應(yīng)用程序的操作方式是可控的；使用USB安全存儲(chǔ)加密卡，對(duì)終端設(shè)備的網(wǎng)絡(luò)接入進(jìn)行驗(yàn)證以保證用戶接入網(wǎng)絡(luò)的操作方式是可控的；使用USB安全存儲(chǔ)加密卡，對(duì)外部端口接入的終端設(shè)備，進(jìn)行驗(yàn)證以保證用戶通過(guò)外部端口訪問(wèn)系統(tǒng)的操作方式是可控的。根據(jù)本發(fā)明的另一方面，提供一種基于USB安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造系統(tǒng)，該系統(tǒng)包括認(rèn)證裝置，用于在終端設(shè)備系統(tǒng)啟動(dòng)前，插入U(xiǎn)SB安全存儲(chǔ)加密卡，以使用 USB安全存儲(chǔ)加密卡對(duì)用戶身份的合法性和USB安全存儲(chǔ)卡自帶的操作系統(tǒng)的完整性進(jìn)行認(rèn)證，以用于保證終端設(shè)備的使用者是合法的，用戶所使用的操作系統(tǒng)是安全的；辦公系統(tǒng)啟動(dòng)裝置，用于在認(rèn)證通過(guò)后，啟用USB安全存儲(chǔ)加密卡自帶的操作系統(tǒng)和辦公系統(tǒng)進(jìn)行辦公；應(yīng)用程序啟動(dòng)認(rèn)證裝置，用于使用USB安全存儲(chǔ)加密卡，對(duì)用戶所要執(zhí)行的應(yīng)用程序的完整性進(jìn)行驗(yàn)證以保證用戶執(zhí)行應(yīng)用程序的操作方式是可控的；網(wǎng)絡(luò)接入認(rèn)證裝置， 用于使用USB安全存儲(chǔ)加密卡，對(duì)終端設(shè)備的網(wǎng)絡(luò)接入進(jìn)行驗(yàn)證以保證用戶接入網(wǎng)絡(luò)的操作方式是可控的；端口接入控制裝置，使用USB安全存儲(chǔ)加密卡，對(duì)外部端口接入的終端設(shè)備，進(jìn)行驗(yàn)證以保證用戶通過(guò)外部端口訪問(wèn)系統(tǒng)的操作方式是可控的。其中所述外部端口至少包括以下類(lèi)型端口之一 USB、串口、紅外。綜上所述，該方法及系統(tǒng)是為用戶提供一種構(gòu)建可信系統(tǒng)的一種方法及系統(tǒng)，該方法及系統(tǒng)保證終端用戶的訪問(wèn)方式是可控的，從而使得終端系統(tǒng)免受木馬病毒的攻擊。本發(fā)明的積極效果
實(shí)現(xiàn)用戶運(yùn)行環(huán)境的定制，保證了合法用戶的操作方式是可控的。該方法及系統(tǒng)避免了終端運(yùn)行環(huán)境的變更帶來(lái)的安全問(wèn)題，防止終端感染木馬以及其他竊取終端用戶信息的網(wǎng)絡(luò)攻擊。


圖1是基于USB安全存儲(chǔ)加密卡構(gòu)建可信系統(tǒng)的流程。根據(jù)本發(fā)明，是基于USB安全存儲(chǔ)加密卡，設(shè)計(jì)了啟動(dòng)程序引導(dǎo)、用戶身份認(rèn)證、 操作系統(tǒng)完整性驗(yàn)證、應(yīng)用程序完整驗(yàn)證、網(wǎng)絡(luò)數(shù)據(jù)驗(yàn)證、終端設(shè)備驗(yàn)證和VPN接入驗(yàn)證的方法。從而為用戶提供了構(gòu)建可信系統(tǒng)的方法。具體實(shí)施步驟如下
1)基于USB安全存儲(chǔ)加密卡的認(rèn)證啟動(dòng)終端設(shè)備系統(tǒng)啟動(dòng)前，插入U(xiǎn)SB安全存儲(chǔ)加密卡，USB安全存儲(chǔ)加密卡對(duì)用戶身份進(jìn)行認(rèn)證。同時(shí)，USB安全存儲(chǔ)加密卡對(duì)自帶的操作系統(tǒng)進(jìn)行完整性驗(yàn)證。用戶身份的合法性和操作系統(tǒng)的完整性，都通過(guò)驗(yàn)證后，方可啟動(dòng)終端設(shè)備系統(tǒng)；否則不能啟動(dòng)終端設(shè)備系統(tǒng)。其中，所述USB安全存儲(chǔ)加密卡自帶操作系統(tǒng)包括兩部分被植入的自主研發(fā)的微型操作系統(tǒng)，另一部分為被嵌入被裁剪的Windows XP Embedded操作系統(tǒng)，其中USB安全存儲(chǔ)加密卡的微型操作系統(tǒng)對(duì)Windows XP Embedded操作系統(tǒng)啟動(dòng)順序中的關(guān)鍵文件進(jìn)行摘要計(jì)算，當(dāng)用戶插入U(xiǎn)SB安全存儲(chǔ)加密卡后，先啟動(dòng)USB安全存儲(chǔ)加密卡內(nèi)的微型操作系統(tǒng)，然后對(duì)Windows XP Embedded操作系統(tǒng)進(jìn)行可信認(rèn)證。如果認(rèn)證通過(guò)，那么USB安全存儲(chǔ)加密卡內(nèi)的微型操作系統(tǒng)啟動(dòng)結(jié)束之后，主動(dòng)切換到Windows XP Embedded操作系統(tǒng)，從而運(yùn)行用戶的運(yùn)行環(huán)境。如果未能通過(guò)認(rèn)證，操作系統(tǒng)會(huì)自動(dòng)關(guān)閉。其中裁剪的Windows XP Embedded操作系統(tǒng)是基于Windows 5. 0.1內(nèi)核，完全兼容Windows XP，兩者的區(qū)別僅在于前者是可裁剪的，將存在網(wǎng)絡(luò)風(fēng)險(xiǎn)和安全隱患的部分組件裁剪掉，系統(tǒng)不但小巧，而且安全可靠，并且裁剪后的Windows XP Embedded操作系統(tǒng)基于Win32技術(shù)，完全兼容目前流行的Windows XP的應(yīng)用程序。2)啟動(dòng)辦公系統(tǒng)用戶需要進(jìn)行日常辦公時(shí)，啟動(dòng)USB安全存儲(chǔ)加密卡自帶的操作系統(tǒng)和辦公系統(tǒng)，進(jìn)行日常辦公。用戶不使用其他的存儲(chǔ)介質(zhì)(硬盤(pán)、光盤(pán)、其他U盤(pán)等)。3)應(yīng)用程序啟動(dòng)認(rèn)證終端設(shè)備系統(tǒng)成功啟動(dòng)后，用戶需要執(zhí)行其他應(yīng)用程序時(shí)， 首先使用USB安全存儲(chǔ)加密卡，對(duì)所要執(zhí)行的應(yīng)用程序的完整性進(jìn)行驗(yàn)證。如果通過(guò)驗(yàn)證， 可運(yùn)行該應(yīng)用程序；否則，不能執(zhí)行該應(yīng)用程序。4)網(wǎng)絡(luò)接入認(rèn)證終端設(shè)備系統(tǒng)成功啟動(dòng)后，用戶需要網(wǎng)絡(luò)訪問(wèn)時(shí)，USB安全存儲(chǔ)卡加密卡對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行認(rèn)證。如果通過(guò)認(rèn)證，則可以訪問(wèn)網(wǎng)絡(luò)；否則，不能訪問(wèn)網(wǎng)絡(luò)。5)端口接入控制終端設(shè)備系統(tǒng)成功啟動(dòng)后，外部端口(如USB、串口、紅外等)需要接入終端設(shè)備時(shí)，USB安全存儲(chǔ)加密卡對(duì)外部端口進(jìn)行驗(yàn)證。如果通過(guò)驗(yàn)證，可正常接入； 否則，不能接入。通過(guò)本發(fā)明，可以實(shí)現(xiàn)用戶運(yùn)行環(huán)境的定制，保證了合法用戶的操作方式是可控的。本發(fā)明避免了終端運(yùn)行環(huán)境的變更帶來(lái)的安全問(wèn)題，防止終端感染木馬以及其他竊取終端用戶信息的網(wǎng)絡(luò)攻擊。盡管已經(jīng)參考優(yōu)選實(shí)施例對(duì)本發(fā)明進(jìn)行闡述，本領(lǐng)域技術(shù)人員應(yīng)該理解，可以針對(duì)本發(fā)明進(jìn)行不同的修改和變形而不脫離本發(fā)明的范圍。
權(quán)利要求
1.一種基于USB安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造方法，其特征在于-在終端設(shè)備系統(tǒng)啟動(dòng)前，插入U(xiǎn)SB安全存儲(chǔ)加密卡，以使用USB安全存儲(chǔ)加密卡對(duì)用戶身份的合法性和USB安全存儲(chǔ)卡自帶的操作系統(tǒng)的完整性進(jìn)行認(rèn)證，以用于保證終端設(shè)備的用戶是合法的，用戶所使用的操作系統(tǒng)是安全的；-認(rèn)證通過(guò)后，啟用USB安全存儲(chǔ)加密卡自帶的操作系統(tǒng)和辦公系統(tǒng)進(jìn)行辦公；-使用USB安全存儲(chǔ)加密卡，對(duì)用戶所要執(zhí)行的應(yīng)用程序的完整性進(jìn)行驗(yàn)證以保證用戶執(zhí)行應(yīng)用程序的操作方式是可控的；-使用USB安全存儲(chǔ)加密卡，對(duì)終端設(shè)備的網(wǎng)絡(luò)接入進(jìn)行驗(yàn)證以保證用戶接入網(wǎng)絡(luò)的操作方式是可控的；-使用USB安全存儲(chǔ)加密卡，對(duì)外部端口接入的終端設(shè)備，進(jìn)行驗(yàn)證以保證用戶通過(guò)外部端口訪問(wèn)系統(tǒng)的操作方式是可控的。
2.如權(quán)利要求1所述的方法，其特征在于其中所述外部端口至少包括以下類(lèi)型端口之一 USB、串口、紅外。
3.如權(quán)利要求1所述的方法，其特征在于其中所述USB安全存儲(chǔ)加密卡自帶操作系統(tǒng)包括兩部分一部分為被植入的微型操作系統(tǒng)，另一部分為被嵌入裁剪的Windows XP Embedded操作系統(tǒng)，其中所述USB安全存儲(chǔ)加密卡的微型操作系統(tǒng)對(duì)Windows XP Embedded操作系統(tǒng)啟動(dòng)順序中的關(guān)鍵文件進(jìn)行摘要計(jì)算，當(dāng)用戶插入U(xiǎn)SB安全存儲(chǔ)加密卡后，先啟動(dòng)所述USB安全存儲(chǔ)加密卡內(nèi)的微型操作系統(tǒng)，然后對(duì)Windows XP Embedded操作系統(tǒng)進(jìn)行可信認(rèn)證。
4.一種基于USB安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造系統(tǒng)，其特征在于-認(rèn)證裝置，用于在終端設(shè)備系統(tǒng)啟動(dòng)前，插入U(xiǎn)SB安全存儲(chǔ)加密卡，以使用USB安全存儲(chǔ)加密卡對(duì)用戶身份的合法性和USB安全存儲(chǔ)卡自帶的操作系統(tǒng)的完整性進(jìn)行認(rèn)證，以用于保證終端設(shè)備的用戶是合法的，用戶所使用的操作系統(tǒng)是安全的；-辦公系統(tǒng)啟動(dòng)裝置，用于在認(rèn)證通過(guò)后，啟用USB安全存儲(chǔ)加密卡自帶的操作系統(tǒng)和辦公系統(tǒng)進(jìn)行辦公；-應(yīng)用程序啟動(dòng)認(rèn)證裝置，用于使用USB安全存儲(chǔ)加密卡，對(duì)用戶所要執(zhí)行的應(yīng)用程序的完整性進(jìn)行驗(yàn)證以保證用戶執(zhí)行應(yīng)用程序的操作方式是可控的；-網(wǎng)絡(luò)接入認(rèn)證裝置，用于使用USB安全存儲(chǔ)加密卡，對(duì)終端設(shè)備的網(wǎng)絡(luò)接入進(jìn)行驗(yàn)證以保證用戶接入網(wǎng)絡(luò)的操作方式是可控的；-端口接入控制裝置，使用USB安全存儲(chǔ)加密卡，對(duì)外部端口接入的終端設(shè)備進(jìn)行驗(yàn)證以保證用戶通過(guò)外部端口訪問(wèn)系統(tǒng)的操作方式是可控的。
5.如權(quán)利要求4所述的系統(tǒng)，其特征在于其中所述外部端口至少包括以下類(lèi)型端口之一 USB、串口、紅外。
6.如權(quán)利要求4所述的系統(tǒng)，其特征在于其中所述USB安全存儲(chǔ)加密卡自帶操作系統(tǒng)包括兩部分一部分為植入的微型操作系統(tǒng)，另一部分為嵌入被裁剪的Windows XP Embedded操作系統(tǒng)，其中USB安全存儲(chǔ)加密卡的微型操作系統(tǒng)對(duì)Windows XP Embedded操作系統(tǒng)啟動(dòng)順序中的關(guān)鍵文件進(jìn)行摘要計(jì)算，當(dāng)用戶插入所述USB安全存儲(chǔ)加密卡后，先啟動(dòng)所述USB安全存儲(chǔ)加密卡內(nèi)的微型操作系統(tǒng)，然后對(duì)Windows XP Embedded操作系統(tǒng)進(jìn)行可信認(rèn)證。
全文摘要
本發(fā)明公開(kāi)一種基于USB安全存儲(chǔ)加密卡的可信系統(tǒng)構(gòu)造方法及系統(tǒng)，根據(jù)所述方法和系統(tǒng)，首先對(duì)用戶身份的合法性和需要自帶的操作系統(tǒng)進(jìn)行完整性驗(yàn)證，保證合法用戶所啟動(dòng)的操作系統(tǒng)和辦公系統(tǒng)是安全的，通過(guò)對(duì)用戶所使用的應(yīng)用程序進(jìn)行完整性驗(yàn)證，對(duì)終端設(shè)備訪問(wèn)的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行認(rèn)證，對(duì)外部端口接入的設(shè)備進(jìn)行認(rèn)證，保證用戶的訪問(wèn)行為是可控的。
文檔編號(hào)H04L9/32GK102223232SQ20111012219
公開(kāi)日2011年10月19日 申請(qǐng)日期2011年5月12日 優(yōu)先權(quán)日2011年5月12日
發(fā)明者何俊, 劉熙胖, 司志剛, 常朝穩(wěn), 李平, 梁松濤, 王一寧, 王曙光, 王瑞民, 趙國(guó)磊, 韓培勝 申請(qǐng)人:鄭州信大捷安信息技術(shù)股份有限公司