一种保证信息安全的计算机系统

暂无

技术领域\n本发明涉及一种计算机系统，尤其涉及一种保证信息安全 的计算机系统。\n背景技术\n现有的计算机体系结构不完善从而造成了信息安全的漏 洞。目前，PC机的文件加密技术通常是经过软件和操作系统 的参与来完成，即PC机内的加密软件对文件进行软件或加密 卡加密后，通过操作系统(软件)，存入到永久存储介质(如 硬盘)中，这种加密方法不安全，例如，藏于系统中的黑客程 序能将加密前后的文件比较处理后，得到密钥，将全部文档解 密。因此出现了一种通过介质加密的方法，例如专利号为 ZL99113164.9，发明名称为一种计算机硬盘加密装置的中国专 利文献，其公开了一种计算机硬盘加密方法及装置，在常规的 计算机基础上，通过加密芯片而组成加密电路，加密芯片是由 控制单元电路、加解密单元电路、RAM存储器及控制开关K组 成，对进出硬盘的数据流选择性的硬件加密，从而实现了所谓 的介质加密。即使非法得到硬盘，没有合法的密钥，也只能读 到加密后的文件，无法破译；有合法密钥，但不同组，虽然能 看到D：盘，亦由于解码方式不同，仍不能得到有用信息。实 现了计算机硬盘加密，增加了计算机的保密性。但此类型的加 密算法是不能更改的，因此其安全性也不高。\n发明内容\n本发明所要解决的技术问题在于提供一种加强对硬盘的 数据进行加解密，且具有硬盘保护的保证信息安全的计算机系 统。\n本发明进一步要解决的技术问题在于提供一种具有硬盘 隔离的保证信息安全的计算机系统。\n本发明进一步要解决的技术问题在于提供一种具有网络 隔离的保证信息安全的计算机系统。\n为解决上述技术问题，本发明所采用的技术方案是：提供 一种保证信息安全的计算机系统，其包括组成个人计算机的通 用部件，该计算机的硬盘集成了一个嵌入式智能处理系统，包 括处理器、微内核操作系统和存储器，且硬盘驱动电路中还集 成了硬件逻辑加密电路模块，对数据加解密过程是由处理器和 微内核操作系统的指令下调用硬件逻辑加密电路完成，该计算 机系统通过硬件电路强制硬盘的磁头偏置，将硬盘划分为保护 区和对应的镜像区两个部分，保护区在负磁道，用户无法访问， 该计算机还包括一个智能USB钥匙系统，其是一个带有数据 处理器、存储器和微操作内核与加密算法程序的系统，其在和 硬盘CPU通讯过程有自己的判断与应答交互机制。\n该计算机系统通过虚拟硬盘管理技术，将一个硬盘按指定 的空间分成几个区域，当用户开机时，弹出开机引导区选择菜 单，当选中其中一个为开机主引导区并激活时，则将其它两个 置成负磁道，不让用户访问。\n该计算机系统还配置有外部的网络隔离卡，硬盘驱动电路 引出一排物理连接信号线连接到该网络隔离卡。\n本发明的有益效果是：由于本发明的计算机的硬盘集成了 一个嵌入式智能处理系统，包括处理器、微内核操作系统和存 储器，因此其加密算法可以更改，因此本发明既有介质加密， 又可以更改加密算法，因此其安全系数高；另外，由于本发明 的计算机还包括一个智能USB钥匙系统，智能USB钥匙系统本 身具有安全加密功能，在和硬盘CPU通讯过程有自己的判断与 应答交互机制，因此能增强本发明计算机系统的安全可靠性； 本发明的保证信息安全的计算机系统在使用过程中用户只需 要按照开机过程的操作提示进行初始功能设置即可实现数据 加密、硬盘保护、硬盘隔离、网络隔离等功能，简单易用。满 足对计算机数据安全比较迫切的用户，如科研院所、金融和政 府以及国防等需求。\n附图说明\n图1是本发明的保证信息安全的计算机系统工作流程图。\n图2是本发明的保证信息安全的计算机系统的标准保护模 式和灵活保护模式的实现方法流程图。\n图3是本发明的保证信息安全的计算机系统的保护区分区 与镜像区实现原理示意图。\n图4是本发明的保证信息安全的计算机系统的加密示意 图。\n图5是本发明的保证信息安全的计算机系统的硬盘物理隔 离分区示意图。\n图6是本发明的保证信息安全的计算机系统的网络隔离卡 与不同用户连接的连接关系拓扑结构图。\n图7是本发明的保证信息安全的计算机系统的硬盘隔离区 和物理隔离卡的对应关系示意图。\n图8是本发明的保证信息安全的计算机系统的USB驱动电 路与对用户接口拓扑联结图。\n图9是本发明的保证信息安全的计算机系统的USB钥匙与 系统建立通讯的流程图。\n具体实施方式\n本发明的保证信息安全的计算机系统包括(1)防止电磁 泄露的可屏蔽机壳和外部连接数据线缆；(2)具有数据镜像、 数据加密专用电路的硬盘；(3)硬盘驱动电路提供的USB设备 的连线与接口；(4)用户身份强制认证的智能USB KEY(钥匙)； (5)网络隔离卡以及组成个人计算机的其它通用部件。\n本发明的改进集中在硬盘和USB钥匙两个关键部件上，两 个部件中分别集成了一个嵌入式智能处理系统，包括处理器 (CPU)、微内核操作系统(COS)和存储器。目的是确保两 个息息相关的子系统能安全通讯，并在各自功能架构基础上为 用户提供更容易操作交互平台。主要包括以下几个方面的改 进：\n(1).硬盘驱动电路中集成了硬件逻辑加密电路模块，所 有写入硬盘的数据都经过加密，反之，读出的数据也进行解密 操作；\n(2).在固件(Firmware)中增加了密码认证程序，未通 过认证不可以访问硬盘数据；\n(3).通过硬件电路使硬盘区域隔离和虚拟管理系统，构 造虚拟镜像操作区域；\n(4).硬盘内部存储区域隔离，构造多用户主引导区；\n(5).硬盘驱动电路板设计出一根短程USB连线与接口；\n(6).一个智能USB钥匙系统；\n(7).外部网络联结隔离卡；\n(8).防止电磁泄露的可屏蔽机壳和外部连接线缆；机壳 与外部连接线缆增加了防止EMI无线电磁波信息泄露的屏蔽 处理；电源增强了防止传导的EMI电路。\n请参阅图1，本发明的保证信息安全的计算机系统工作流 程包括以下步骤：\n101.计算机主机开机并自检；\n102.HDD初始化；\n103.判断是否插入USB钥匙，若是，则执行步骤104，若 不是，则执行步骤111；\n104.USB钥匙密钥识别；\n105.HDD工作模式配置；\n106.读取MBR；\n107.OS启动；\n108.OS正常运行；\n109.判断USB钥匙是否正常，若正常，则返回步骤108， 若不正常，则执行步骤110；\n110.等待USB钥匙正常，停止系统运行，然后返回步骤 109；\n111.用户身份密码识别，然后执行步骤105至108；\n本发明的计算机信息安全系统主要有以下技术。\n1.硬盘保护技术\n本发明实现硬盘保护的方法是利用硬盘加电磁头归零的 特性，通过硬件电路强制磁头偏置，将硬盘划分为保护区和对 应的镜像区两个部分，保护区在负磁道，用户无法访问；用虚 拟硬盘存储管理系统，让用户按正常条件下的读写操作的数据 区实际上是镜像区，并没有触及到真实保护区；当有权限执行 “备份”操作时才可以写入保护区；执行“恢复”操作就可以 将当前的系统整个“刷新”。保护区的存在可以防止任何删除、 病毒破坏、格式化甚至低级格式化操作破坏，达到保护硬盘数 据目的。\n硬盘保护有标准保护模式和灵活保护模式两种。\n这两种模式实现方法是由授权用户在系统初始设置确定 的，详细步骤和设置操作流程图如图2所示。\n标准保护模式和灵活保护模式的实现方法包括以下步骤：\n201.计算机主机开机并自检；\n202.和硬盘建立握手信号；\n203.硬盘微内核程序获得控制权；\n204.弹出用户功能设置操作组合热键；\n205.判断是否执行初始设置，若是，则执行步骤206，若 不是，则检测用户身份，然后判断身份是否正确，若正确，则 读取硬盘MBR信息，然后加载操作系统OS，若不正确，则返 回检测用户身份；\n206.弹出设置菜单；\n207.输入口令；\n208.判断口令是否正确，若不正确，则重新执行步骤208， 若正确，则执行步骤209；\n209.输入参数；\n210.判断是否保存设置更改，若是，则执行步骤211，若 不是，则重新执行步骤210；\n211.计算机主机重新启动。\n操作过程是系统开机自检后，主机BIOS发送命令给HDD， 检测硬盘反馈是否准备就绪的信号，准备就绪则进入下一步， 检测到硬盘的初始化信息并在加载硬盘的Firmware信息，将控 制权交给硬盘控制，CPU与内存等架构在主板上的核心部件在 与硬盘有数据交换都受硬盘的和微系统(COS)介入控制；COS 面向用户弹出“Ctr+Alt+M”交互操作热键，执行后弹出详细 功能设置菜单；用户按菜单并输入身份验证口令；按帮助提示 执行初始配置操作，将硬盘划分成受保护的主分区(Primary Master)C，同时自动生成镜像虚拟区C′，并确认是否将更改 的配置保存。请参阅图3，是保护区分区与镜像区实现原理示 意图。\n有剩余空间的话，系统自动将剩余部分置为从分区 (Primary Slave)。\n两个模式的区别是权限不同，标准保护模式的用户只有读 取硬盘数据的权限，不能保存数据更改；灵活保护模式的用户 除了以上权限外增加了享有临时写存储权限。\n这种设计和硬盘保护卡以及主板内嵌程序操作的备份恢 复软件功能很类似，但是基于硬盘低层设计方案优势明显，表 现在兼容性、可靠性、稳定性、是否占用主机的资源、执行效 率以及成本等方面。\n2.数据加解密技术\n数据加解密的实现方法是所有写入硬盘的数据都是经过8 组8位寄存器硬件逻辑加密电路自动加密，所有读出的数据自 动解密，加解密电路作为控制数据的进出关卡。加密示意图， 如图4所示。\n对数据加解密过程是由处理器和微内核操作系统(COS) 指令下调用硬件逻辑加密电路完成，对用户完全透明。文件在 磁盘上永远是加密存放的，从这个角度来看整个硬盘就是一个 完整的加密文件。目的是即使计算机出现机器被盗，也不会使 数据内容呈解密状态，达到硬盘数据保密目的。\n和专用硬盘数据加密卡比较，集成设计技术增加了系统可 靠性、稳定性和兼容性；加解密操作绕过主板和BIOS直接对 硬盘的出入口控制，大大降低密码被截获破解和绕道开通的几 率，增强了保密性。\n解密过程是其逆过程，原理相同。\n3.身份认证技术\n本发明的身份认证包括两种，一种是口令验证识别；另一 种是USB钥匙识别。\n3.1口令验证识别法\n口令验证识别法的实现方法是启用三级身份与权限设置 安全管理，实现方式是凭口令登录。三个身份级别是普通用户、 系统管理员、安全行政管理员。\n主要权限界定，以普通用户口令登录的用户有读硬盘数据 权限可以引导系统进入OS操作平台，或者可以拥有备份恢复 读写操作权限(由最高行政级别确定)；系统管理员可以享有 普通用户的全部权限，此外还拥有更改自身和普通用户的口令 权限。安全行政管理员是应用户需要增加的，为最高级别用户， 主要作用是防止口令丢失等不测情形下的口令注销与注册管 理活动。\n操作流程可参考系统流程图。\n3.2USB钥匙识别法\nUSB钥匙识别法的实现方法是开机后当检测USB总线接 口时检测到有USB钥匙设备并且准备就绪后，由硬盘调用USB 钥匙的驱动和二者通信协议，实现与USB钥匙的通讯；接着 USB钥匙发送经过加密的暗文密钥给硬盘，硬盘收到暗文密钥 后，调用ROM中存储的算法(和USB钥匙中加密算法相同)解 开暗文密钥进行验证，合格后反馈给USB钥匙一串新密钥字 符，作为下次加密的密钥。为了保证发送的密钥都不同，采用 的方法是每次发送的密钥串至少有一位和前次不同。USB钥匙 收到密钥后进行加密保存，等待再次读取使用。\n在USB钥匙识别方法里采用开机过程强制认证与使用操 作过程中的跟踪监督相结合的方法。如果硬盘的加密控制身份 验证失败，则再次发送读取密钥的命令，重复三次失败，则 USB钥匙锁死不再响应请求，停止供应密钥。\n身份识别成功并进入操作系统后，由应用软件—发卡系统 不间断扫描钥匙端口和合法钥匙的在线状态，若检测不到钥匙 则停止工作，并锁死硬盘数据出入端口。\n4.硬盘存储区域隔离与多个主引导区并存技术\n硬盘存储区域隔离与多个主引导区并存的实现方法是让 虚拟硬盘管理技术，将一个硬盘按指定的空间分成几个区域 (最多不超过3个)。当用户开机时，弹出开机引导区选择菜单， 当选中其中一个为开机主引导区并激活时，则将其它两个置成 负磁道，不让用户访问。\n特点是每个区域都可以实现各自的激活状态的主引导区 实现安装引导各自(可以是不同类型)操作系统和正常的OS 作业环境。如图5所示为硬盘物理隔离分区示意图。\n5.网络隔离技术\n外部网络隔离功能的实现方法是在硬盘内部隔离功能的 前提下，再配置一块外部的网络隔离卡，就可以将不同用户连 接到不同的外部网络。连接关系的拓扑结构如图6示。\n实现方法是用不同的隔离引导区与网络隔离卡每个RJ-45 端口一对一捆绑的方法，实现内部隔离区与隔离卡RJ-45口(通 道)一一对应关系。硬件设计是通过硬盘驱动电路引出一排物 理连接信号线连接到隔离卡，开机后当用户每次选择不同的引 导区时系统自动识别并发送一个信号给隔离卡的微继电器拨 动开关去选通对应的网络接口通道。执行不同通道切换动作 时，强迫主机系统重新复位以清空动态存储器(内存)和网络 适配器中的数据。\n其中硬盘和卡的连接拓扑关系如下，在硬盘内部分区隔离 功能的基础上，在配合外部网络连接隔离卡，实行每个隔离区 和每个隔离卡的端口一对一绑定的原则。如图7所示为硬盘隔 离区和物理隔离卡的对应关系示意图。\n6.USB驱动电路与连接线路技术\nUSB驱动电路与对用户接口整体拓扑结构构思比较巧妙， 拓扑联结如图8所示，实现方法是将USB总线驱动控制器集成 到硬盘驱动电路板并从硬盘的电路板引出USB端口线直接给 用户接入USB钥匙。同时机箱在硬盘支架位置布局设计时使之 尽可能靠前面板的USB出口位置，达到硬盘USB引线到机箱面 板USB接口之间连线最短。连接线缆进行电磁屏蔽处理。\n目的是避开因为目前通用的USB钥匙身份认证装置接在 主板(BIOS)参与，增加被截获的几率。\n7.USB钥匙的技术\n安全USB钥匙实现方法是一个带有数据处理器(CPU)、 存储器和微操作内核(COS)与加密算法程序的系统，本身具 有安全加密功能，在和硬盘CPU通讯过程有自己的判断与应答 交互机制，目的是增强安全可靠。\nUSB带有微操作系统(COS)和没有COS的自带加密算法 的高级钥匙相比较，不带自己COS的产品加密是把存储在钥匙 里的软件算法程序调用出来，借助外界硬件平台(CPU和RAM) 来实现加密操作；有COS的产品有自己的CPU和微操作系统 (COS)的钥匙对数据加密运算是自己独立完成，没有中间环 节更安全。\n钥匙与系统建立通讯的流程图如图9所示，钥匙与系统建 立通讯的方法包括以下步骤：\n301.身份认证；\n302.检测USB连线与端口设备物理连接；\n303.判断是否准备好，若准备好，则执行步骤304，若没 准备好，则提示检查设备与连接线路，然后再返回步骤302；\n304.系统发送命令读USB端口设备；\n305.提示输入钥匙口令；\n306.判断口令是否正确，若不正确，则返回步骤305，若 正确，则执行步骤307；\n307.USB设备响应返回值；\n308.系统调用USB设备驱动建立通信协议；\n309.读取钥匙暗文密钥；\n310.系统解密处理\n311.判断是否合法，若不合法，则锁死系统，若合法， 则系统生成一串新的随机字符串作为下次身份认证的密钥；\n312.发送给USB钥匙，加载OS，同时钥匙检测新字符串 是否有效，若有效，则加密处理，并保存结果成暗文。\n8.电磁防护技术\n本发明计算机信息安全系统的电磁防护处理方法是利用 抑源法或包容法等现有技术从发射源头采取措施，把电磁辐射 降到最低，同时结合滤波技术来抑制电网传导。主要是对主机 和显示器外壳、显示器与主机之间数据线传导线、键盘、鼠标 的数据线以及USB钥匙与硬盘连接线等增加屏蔽外层处理，主 机与显示器的大功率开关电源加强滤波电路(PFC)处理，键 盘、鼠标和显示数据线以及主机敏感的I/O端口连接器选用内 部带增加滤波网罩或导电处理的接插件。