專利名稱：：一種實現(xiàn)計算機的開機保護方法及裝置的制作方法
技術領域：
：本發(fā)明涉及信息安全領域，特別涉及一種利用USBKey來實現(xiàn)計算機開機保護的方法及裝置。
背景技術：
：目前，在普通的開機模式下，當用戶啟動計算機時，常用的開機保護方法是通過要求用戶輸入密碼來確認使用者的身份是否合法。每個用戶的密碼是由這個用戶自己設定的，只有自己本人才知道，因此只要能夠正確輸入密碼，計算機就認為他就是本機的用戶。然而，由于許多用戶為了防止忘記密碼，經(jīng)常采用諸如自己或家人的生日、電話號碼等作為密碼，這些有意義的字符串容易被他人猜測到；或者采用把密碼抄在一個自己認為安全的地方，這也存在著安全隱患，極易造成密碼泄露并且若硬盤被移植到?jīng)]有密碼保護的計算機中，便可實現(xiàn)系統(tǒng)的正常啟動。因此用戶名/密碼方式是一種具有安全隱患的身份認證方式。一般來說，計算機只能識別用戶的數(shù)字身份，所有對用戶的授權(quán)也是針對用戶數(shù)字身份的授權(quán)。而我們生活的現(xiàn)實世界是一個真實的物理世界，每個人都擁有獨一無二的物理身份。如何保證以數(shù)字身份進行操作的操作者就是這個數(shù)字身份的合法擁有者，也就是說保證操作者的物理身份與數(shù)字身份相對應，就成為一個很重要的問題。另外，不同計算機使用不同的芯片組訪問USB的方式會出現(xiàn)差異，即兼容性存在缺陷。這就需要用利用一種技術來屏蔽該差異。綜上所述，現(xiàn)有技術的缺點是1.存在安全隱患，造成密碼泄露；2.操作者的物理身份與數(shù)字身份的綁定沒有保證；3.兼容性存在缺陷。
發(fā)明內(nèi)容為了克服現(xiàn)有技術中計算機開機保護方法存在安全隱患，本發(fā)明的目的是提供一種實現(xiàn)計算機的開機保護方法及裝置，該技術方案如下本發(fā)明提供了一種實現(xiàn)計算機的開機保護方法，所述方法包括以下步驟在硬盤上裝入新MBR程序和精簡操作系統(tǒng)，并執(zhí)行以下步驟步驟A用戶啟動計算機時，主板BIOS進行自舉后，將系統(tǒng)控制權(quán)轉(zhuǎn)移給所述新MBR程序；步驟B所述新MBR程序運行后，將系統(tǒng)控制權(quán)移交給所述精簡操作系統(tǒng)；步驟C所述精簡操作系統(tǒng)與信息安全設備相關連，所述信息安全設備驗證用戶身份，如果驗證通過，完成開機保護；否則驗證失敗，計算機進入異常處理狀態(tài)。所述在硬盤上裝入新MBR程序和精簡操作系統(tǒng)具體包括以下步驟步驟A′將計算機硬盤上原有的MBR程序剪切，并放到硬盤的指定區(qū)域；步驟B′將開發(fā)的新MBR程序裝入所述硬盤的MBR區(qū)域；步驟C′將精簡操作系統(tǒng)裝入硬盤的另一指定區(qū)域。所述驗證用戶身份具體包括以下步驟步驟C1檢查用戶是否插入信息安全設備，如果已經(jīng)插入所述信息安全設備，執(zhí)行步驟C2，否則執(zhí)行步驟C3；步驟C2利用所述信息安全設備驗證用戶身份是否合法，如果是，進行步驟C4；否則進行步驟C5；步驟C3提示用戶插入所述信息安全設備，并轉(zhuǎn)到步驟C1；步驟C4用戶通過身份驗證，計算機繼續(xù)正常啟動；步驟C5判斷本次開機后用戶失敗的驗證次數(shù)是否達到設定值，若達到該設定值，計算機進入異常處理狀態(tài)；否則返回步驟C2。所述信息安全設備為USBKey。所述步驟C2中的驗證用戶身份是否合法的具體方法包括以下方法驗證用戶輸入的PIN碼是否合法；驗證用戶的生物特征是否合法；驗證用戶提供的信息安全設備中是否包含合法數(shù)據(jù)；驗證用戶提供的信息安全設備是否具有合法的硬件序列號；將一些數(shù)據(jù)發(fā)送給信息安全設備進行運算，檢查運算結(jié)果是否合法。所述步驟C4中的計算機繼續(xù)正常啟動是指精簡操作系統(tǒng)把系統(tǒng)控制權(quán)轉(zhuǎn)移給原MBR程序，或者跳過原MBR程序指令，直接將控制權(quán)轉(zhuǎn)交給下一程序指令。本發(fā)明同時提供了一種實現(xiàn)計算機的開機保護裝置，所述裝置包括初始化系統(tǒng)模塊、驗證程序模塊和信息安全設備；所述初始化系統(tǒng)模塊用于將計算機硬盤上原有的MBR程序剪切，并放到硬盤的指定區(qū)域，將開發(fā)的新MBR程序裝入所述硬盤的MBR區(qū)域和將精簡操作系統(tǒng)裝入硬盤的另一指定區(qū)域，同時還用于配置USBKey的相關信息，并與驗證程序模塊相關聯(lián)；所述驗證程序模塊與配置的USBKey相關聯(lián)，用于控制權(quán)的轉(zhuǎn)移、結(jié)合信息安全設備對用戶身份進行驗證以及數(shù)據(jù)的還原；所述信息安全設備用于完成用戶身份的驗證。所述驗證程序模塊中對用戶身份的具體驗證方法包括以下方法驗證用戶輸入的PIN碼是否合法；驗證用戶的生物特征是否合法；驗證用戶提供的信息安全設備中是否包含合法數(shù)據(jù)；驗證用戶提供的信息安全設備是否具有合法的硬件序列號；將一些數(shù)據(jù)發(fā)送給信息安全設備進行運算，檢查運算結(jié)果是否合法。該開機保護裝置中所述信息安全設備為USBKey。本發(fā)明技術方案帶來的有益效果是利用USBKey驗證用戶身份信息，將用戶的物理身份與數(shù)字身份進行綁定，實現(xiàn)了對計算機開機的保護，同時利用精簡操作系統(tǒng)的兼容性好的特點克服了不同計算機使用不同的芯片組在訪問USB時存在差異的困難。圖1是本發(fā)明提供的一種實現(xiàn)計算機的開機保護方法流程圖；圖2是本發(fā)明提供的利用USBKey驗證用戶身份的方法流程圖；圖3是本發(fā)明提供的一種實現(xiàn)計算機的開機保護裝置示意圖。具體實施例方式下面結(jié)合附圖和具體實施例對本發(fā)明作進一步說明，但不作為對本發(fā)明的限定。本發(fā)明提供了一種實現(xiàn)計算機的開機保護方法及裝置，該方法和裝置是通過在硬盤中寫入特定的MBR程序及精簡操作系統(tǒng)，結(jié)合USBKey對用戶身份進行驗證，實現(xiàn)對計算機的開機保護，同時利用精簡操作系統(tǒng)的兼容性好的特點克服了不同計算機使用不同的芯片組在訪問USB時存在差異的困難。為了更好的理解本方案，將本發(fā)明涉及到的名詞具體解釋如下BIOS(BasicInput/OutputSystem，基本輸入輸出系統(tǒng))全稱是ROM-BIOS，是只讀存儲器基本輸入/輸出系統(tǒng)的簡寫。它實際是一組被固化到電腦中，為電腦提供最低級最直接的硬件控制的程序，是硬件與軟件程序之間的一個“轉(zhuǎn)換器”或者說是接口(雖然它本身也只是一個程序)，負責解決硬件的即時要求，并按軟件的具體要求對硬件進行操作。BIOS芯片是主板上一塊長方型或正方型芯片，BIOS中設有系統(tǒng)自舉裝載程序，在自檢成功后將磁盤相對0道0扇區(qū)上的引導程序裝入內(nèi)存，讓其運行以裝入DOS系統(tǒng)；由于BIOS直接和系統(tǒng)硬件資源打交道，因此總是針對某一類型的硬件系統(tǒng)，而各種硬件系統(tǒng)又各有不同，所以存在各種不同種類的BIOS。MBR(MainBootRecord，主引導扇區(qū))是硬盤的第一個扇區(qū)(就是0柱面0磁頭1扇區(qū))，存放著主引導程序和主分區(qū)表(MainPartitionTable)以及結(jié)束標志″55AA″，用于計算機從硬盤啟動時將系統(tǒng)控制權(quán)轉(zhuǎn)移給計算機上安裝的某個操作系統(tǒng)。啟動計算機時，BIOS首先對硬件設備進行測試，即BIOS自檢，測試成功后進入自舉程序，然后讀取磁盤0柱面、0磁頭、1扇區(qū)的主引導記錄內(nèi)容到內(nèi)存指定單元，然后將控制權(quán)轉(zhuǎn)移給MBR中的程序指令。所述自舉是指當BIOS完成自檢后讀取硬盤中的MBR，并把它放到內(nèi)存中去。MBR中的程序指令先于所有的操作系統(tǒng)而被調(diào)入內(nèi)存，并發(fā)揮作用。一般來說，MBR程序指令的主要功能如下檢查硬盤分區(qū)表是否完好；在分區(qū)表中尋找標記為可引導的分區(qū)；將可引導的分區(qū)的第一邏輯扇區(qū)內(nèi)容裝入內(nèi)存；將系統(tǒng)控制權(quán)轉(zhuǎn)移給上一步驟裝入的內(nèi)存地址。Linux是一套免費使用和自由傳播的類Unix操作系統(tǒng)，是一個基于POSIX(PortableOperatingSystemInterfaceforUNIX，UNIX可移植操作)和UNIX的多用戶、多任務、支持多線程和多CPU的實時性較好的操作系統(tǒng)。它能運行主要的UNIX工具軟件、應用程序和網(wǎng)絡協(xié)議。它支持32位和64位硬件。Linux繼承了Unix以網(wǎng)絡為核心的設計思想，是一個性能穩(wěn)定的多用戶網(wǎng)絡操作系統(tǒng)。它主要用于基于Intelx86系列CPU的計算機上。Linux開放源代碼，可以根據(jù)需要進行裁減，經(jīng)過裁減的Linux系統(tǒng)大小甚至可以小于1Mb。FreeBSD是一種運行在Intel平臺上、可以自由使用的Unix系統(tǒng)，它可以從Internet上免費獲得。它可靠性高，網(wǎng)絡性能強，安全性高，兼容性強。在UNIX操作系統(tǒng)上編寫的其它應用程序，源代碼經(jīng)過少量的修改或不修改就可在Freebsd平臺上編譯執(zhí)行。FreeBSD與Linux一樣都屬于開源軟件，但FreeBSD實行了一種比Linux協(xié)議更開放的版權(quán)協(xié)議。FreeBSD允許第三方商業(yè)公司在FreeBSD平臺上開發(fā)屬于自己版權(quán)的應用軟件，或?qū)reeBSD系統(tǒng)本身修改，而不需公開源碼?；赨SBKey的身份認證USBKey是一種USB接口的硬件設備，它內(nèi)置單片機或智能卡芯片，可以存儲用戶的密鑰或數(shù)字證書，利用USBKey內(nèi)置的密碼學算法實現(xiàn)對用戶身份的認證。USBKey目前主要用途是兩種一是保護軟件版權(quán)；二是作為網(wǎng)上安全的電子證書容器及身份識別標志使用?；赨SBKey的身份認證是近幾年發(fā)展起來的一種方便、安全、經(jīng)濟的身份認證技術，它采用軟硬件相結(jié)合的強雙因子認證模式，很好地解決了安全性與易用性之間的矛盾。每個USBKey硬件都具有用戶PIN(PersonalIndentityNumber，個人識別碼)保護，以實現(xiàn)雙因子認證功能。參見圖1，本發(fā)明提供了一種實現(xiàn)計算機的開機保護方法，所述方法包括以下步驟用戶啟動計算機，主板BIOS進行自舉后，將控制權(quán)轉(zhuǎn)交給新MBR，并由新MBR再將控制權(quán)轉(zhuǎn)交給精簡操作系統(tǒng)，精簡操作系統(tǒng)啟用一段程序，與信息安全設備相關連，并利用該信息安全設備驗證用戶身份，如果驗證通過，完成開機保護；否則驗證失敗，計算機進入異常處理狀態(tài)。本實施例信息安全設備以USBKey為例(也可以為軟盤或光盤等)。該方法具體步驟如下步驟101利用安裝工具程序?qū)⒂嬎銠C硬盤上原有的MBR程序剪切到硬盤的指定區(qū)域，這里的指定區(qū)域可以是硬盤上除MBR區(qū)域的任一區(qū)域。步驟102將新開發(fā)的MBR程序裝入所述硬盤的MBR區(qū)域，當這個新MBR程序運行時，能夠自動讀取精簡操作系統(tǒng)。步驟103利用安裝工具程序?qū)⒕啿僮飨到y(tǒng)裝入硬盤的另一指定區(qū)域，這里的指定區(qū)域可以為硬盤中的與原有MBR剪切到的區(qū)域不同的任一區(qū)域。其中精簡操作系統(tǒng)是一個開放源代碼的系統(tǒng)，利用源代碼配置工具把原操作系統(tǒng)中不必要的模塊去掉后重新編譯，就可以得到所需的精簡操作系統(tǒng)，這種精簡操作系統(tǒng)可以彌補原有操作系統(tǒng)對USB不能很好兼容的問題，其具體功能可根據(jù)需要自行編譯，本實施例的精簡操作系統(tǒng)的主要功能是能識別任意USB，達到兼容所有USB的目的，且與USBkey進行交互操作，達到驗證用戶身份。具體的精簡操作系統(tǒng)可以是經(jīng)過裁減的Linux系統(tǒng)或經(jīng)過裁減的FreeBSD系統(tǒng)等，在這個精簡操作系統(tǒng)中預先放入一段特定程序，系統(tǒng)運行時可以通過該特定程序訪問USB設備。步驟101至步驟103為系統(tǒng)初始化過程，系統(tǒng)初始化完成后，所述計算機的開機保護方法具體實現(xiàn)過程如下步驟104用戶啟動計算機時，主板BIOS進行自舉后，將控制權(quán)轉(zhuǎn)移給新MBR程序。步驟105新MBR程序運行后，將系統(tǒng)控制權(quán)移交給精簡操作系統(tǒng)。步驟106精簡操作系統(tǒng)啟用一段程序，與USBKey相關連，并利用該USBKey驗證用戶身份，如果驗證通過，完成開機保護；否則驗證失敗，計算機進入異常處理狀態(tài)。參見圖2，精簡操作系統(tǒng)與USBKey交互操作，對用戶身份的具體驗證過程如下步驟201精簡操作系統(tǒng)運行，檢查用戶是否插入USBKey，如果已經(jīng)插入了USBKey，執(zhí)行步驟202，否則執(zhí)行步驟203。步驟202利用USBKey驗證用戶是否合法，如果是，進行步驟204；否則進行步驟205；這里具體驗證方法包括但以下方法1)驗證用戶輸入的PIN碼是否能夠通過USBKey驗證；2)驗證用戶的生物特征是否能夠通過USBKey驗證，例如指紋、聲音、視網(wǎng)膜等；3)驗證用戶提供的USBKey中是否包含合法的數(shù)據(jù)，這個合法數(shù)據(jù)包括用戶身份相關信息、數(shù)字證書等；4)驗證用戶提供的USBKey是否具有指定的硬件序列號；5)將一些數(shù)據(jù)發(fā)送給USBKey進行運算，檢查運算結(jié)果是否是期望的。步驟203提示用戶插入USBKey，并轉(zhuǎn)到步驟201。步驟204用戶通過身份驗證，計算機繼續(xù)正常啟動，即由精簡操作系統(tǒng)把系統(tǒng)控制權(quán)轉(zhuǎn)移給原MBR程序，或者跳過原MBR程序指令，直接將控制權(quán)轉(zhuǎn)交給下一程序指令，即原MBR即將轉(zhuǎn)交控制權(quán)的對象(如開機畫面)，在這一過程中也有可能需要對數(shù)據(jù)進行解密還原。步驟205判斷本次開機后用戶失敗的驗證次數(shù)是否達到設定值，若達到該設定值，進行步驟206，否則返回步驟202，重新進行身份驗證。步驟206用戶的驗證次數(shù)已經(jīng)超過該設定值，程序進入異常處理狀態(tài)。該過程的實現(xiàn)是由精簡操作系統(tǒng)運行的一段程序指令，結(jié)合USBKey共同實現(xiàn)的。參見圖3，本發(fā)明同時提供了一種實現(xiàn)計算機的開機保護裝置，所述裝置包括初始化系統(tǒng)模塊、驗證程序模塊和信息安全設備；所述初始化系統(tǒng)模塊用于將計算機硬盤上原有的MBR程序剪切，并放到硬盤的指定區(qū)域，將開發(fā)的新MBR程序裝入所述硬盤的MBR區(qū)域和將精簡操作系統(tǒng)裝入所述硬盤的另一指定區(qū)域，同時還用于配置USBKey的相關信息，并與驗證程序模塊相關聯(lián)；所述驗證程序模塊與配置的USBKey相關聯(lián)，用于控制權(quán)的轉(zhuǎn)移、結(jié)合信息安全設備對用戶身份進行驗證以及數(shù)據(jù)的還原；所述信息安全設備用于完成用戶身份的驗證。所述驗證程序模塊中對用戶身份的具體驗證方法包括以下方法驗證用戶輸入的PIN碼是否合法；驗證用戶的生物特征是否合法；驗證用戶提供的信息安全設備中是否包含合法數(shù)據(jù)，這個合法數(shù)據(jù)包括用戶身份相關信息、數(shù)字證書等；驗證用戶提供的信息安全設備是否具有合法的硬件序列號；將一些數(shù)據(jù)發(fā)送給信息安全設備進行運算，檢查運算結(jié)果是否合法。該裝置中所述信息安全設備為USBKey。利用本發(fā)明所述的技術方案，用戶的身份信息存儲在USBKey中，通過USBKey驗證用戶身份的合法性，將用戶的物理身份與數(shù)字身份進行綁定，其他人不可能通過猜測得到合法用戶的密碼，實現(xiàn)了對計算機開機的保護。同時利用精簡操作系統(tǒng)的兼容性好的特點解決了不同計算機使用不同的芯片組在訪問USB時存在差異的困難。以上所述的實施例，只是本發(fā)明較優(yōu)選的具體實施方式的一種，本領域的技術人員在本發(fā)明技術方案范圍內(nèi)進行的通常變化和替換，都應包含在本發(fā)明的保護范圍內(nèi)。權(quán)利要求1.一種實現(xiàn)計算機的開機保護方法，其特征在于，所述方法具體包括在硬盤上裝入新MBR程序和精簡操作系統(tǒng)，并執(zhí)行以下步驟步驟A用戶啟動計算機時，主板BIOS進行自舉后，將控制權(quán)轉(zhuǎn)移給新MBR程序；步驟B所述新MBR程序運行后，將系統(tǒng)控制權(quán)移交給精簡操作系統(tǒng)；步驟C所述精簡操作系統(tǒng)與信息安全設備相關連，所述信息安全設備驗證用戶身份，如果驗證通過，完成開機保護；否則驗證失敗，計算機進入異常處理狀態(tài)。2.如權(quán)利要求1所述的一種實現(xiàn)計算機的開機保護方法，其特征在于，所述在硬盤上裝入新MBR程序和精簡操作系統(tǒng)具體包括以下步驟步驟A′將計算機硬盤上原有的MBR程序剪切，并放到硬盤的指定區(qū)域；步驟B′將開發(fā)的新MBR程序裝入所述硬盤的MBR區(qū)域；步驟C′將精簡操作系統(tǒng)裝入硬盤的另一指定區(qū)域。3.如權(quán)利要求1或2所述的一種實現(xiàn)計算機的開機保護方法，其特征在于，所述驗證用戶身份具體包括以下步驟步驟C1檢查用戶是否插入信息安全設備，如果已經(jīng)插入所述信息安全設備，執(zhí)行步驟C2，否則執(zhí)行步驟C3；步驟C2利用所述信息安全設備驗證用戶身份是否合法，如果是，進行步驟C4；否則進行步驟C5；步驟C3提示用戶插入所述信息安全設備，并轉(zhuǎn)到步驟C1；步驟C4用戶通過身份驗證，計算機繼續(xù)正常啟動；步驟C5判斷本次開機后用戶失敗的驗證次數(shù)是否達到設定值，若達到該設定值，計算機進入異常處理狀態(tài)；否則返回步驟C2。4.如權(quán)利要求3所述的一種實現(xiàn)計算機的開機保護方法，其特征在于，所述信息安全設備為USBKey。5.如權(quán)利要求3所述的一種實現(xiàn)計算機的開機保護方法，其特征在于，所述步驟C2中的驗證用戶身份是否合法的具體方法包括以下方法驗證用戶輸入的PIN碼是否合法；驗證用戶的生物特征是否合法；驗證用戶提供的信息安全設備中是否包含合法數(shù)據(jù)；驗證用戶提供的信息安全設備是否具有合法的硬件序列號；驗證將一些數(shù)據(jù)發(fā)送給信息安全設備進行運算，檢查運算結(jié)果是否合法。6.如權(quán)利要求3所述的一種實現(xiàn)計算機的開機保護方法，其特征在于，所述步驟C4中的計算機繼續(xù)正常啟動是指精簡操作系統(tǒng)把系統(tǒng)控制權(quán)轉(zhuǎn)移給原MBR程序，或者跳過原MBR程序指令，直接將控制權(quán)轉(zhuǎn)交給下一程序指令。7.一種實現(xiàn)計算機的開機保護裝置，其特征在于，所述裝置包括初始化系統(tǒng)模塊、驗證程序模塊和信息安全設備；所述初始化系統(tǒng)模塊用于將計算機硬盤上原有的MBR程序剪切，并放到硬盤的指定區(qū)域，將開發(fā)的新MBR程序裝入所述硬盤的MBR區(qū)域和將精簡操作系統(tǒng)裝入硬盤的另一指定區(qū)域，同時還用于配置USBKey的相關信息，并與驗證程序模塊相關聯(lián)；所述驗證程序模塊與配置的USBKey相關聯(lián)，用于控制權(quán)的轉(zhuǎn)移、結(jié)合信息安全設備對用戶身份進行驗證以及數(shù)據(jù)的還原；所述信息安全設備用于完成用戶身份的驗證。8.如權(quán)利要求7所述的一種實現(xiàn)計算機的開機保護裝置，其特征在于，所述驗證程序模塊中對用戶身份的具體驗證方法包括以下方法驗證用戶輸入的PIN碼是否合法；驗證用戶的生物特征是否合法；驗證用戶提供的信息安全設備中是否包含合法數(shù)據(jù)；驗證用戶提供的信息安全設備是否具有合法的硬件序列號；驗證將一些數(shù)據(jù)發(fā)送給信息安全設備進行運算，檢查運算結(jié)果是否合法。9.如權(quán)利要求7或8所述的一種實現(xiàn)計算機的開機保護裝置，其特征在于，所述信息安全設備為USBKey。全文摘要本發(fā)明提供了一種實現(xiàn)計算機的開機保護方法及裝置，涉及信息安全領域。為了解決現(xiàn)有技術計算機開機保護方法存在安全隱患的缺點，本發(fā)明提供一種實現(xiàn)計算機的開機保護方法，所述方法包括用戶啟動計算機后，由自行編寫的程序結(jié)合信息安全設備驗證用戶身份的步驟。本發(fā)明同時提供了一種實現(xiàn)計算機的開機保護裝置，所述裝置包括初始化系統(tǒng)模塊、驗證程序模塊和信息安全設備。本發(fā)明在開機時利用USBKey對用戶身份進行驗證，達到了用戶的物理身份與數(shù)字身份的綁定，并對計算機的開機進行了安全、可靠的保護，同時利用精簡操作系統(tǒng)的兼容性好的特點克服了不同計算機使用不同的芯片組在訪問USB時存在差異的困難。文檔編號G06F9/445GK1869999SQ20061009052公開日2006年11月29日申請日期2006年6月28日優(yōu)先權(quán)日2006年6月28日發(fā)明者陸舟,于華章申請人:北京飛天誠信科技有限公司