[發(fā)明專(zhuān)利]一種多用戶(hù)物理隔離方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201710785778.1
• 申請(qǐng)日: 2017-09-04
• 公開(kāi)（公告）號(hào): CN107563224B
• 公開(kāi)（公告）日: 2020-07-28
• 發(fā)明（設(shè)計(jì)）人: 陳康;戴鴻君;于治樓
• 申請(qǐng)（專(zhuān)利權(quán)）人: 浪潮集團(tuán)有限公司
• 主分類(lèi)號(hào): G06F21/74
• 分類(lèi)號(hào): G06F21/74;G06F21/31
• 代理公司: 濟(jì)南信達(dá)專(zhuān)利事務(wù)所有限公司 37100
• 代理人: 李世喆

1.一種多用戶(hù)物理隔離方法，其特征在于，劃分普通世界以及安全世界，還包括：

獲取所述普通世界發(fā)送的當(dāng)前用戶(hù)指令對(duì)應(yīng)的用戶(hù)信息；

判斷所述用戶(hù)信息是否在所述安全世界中存在對(duì)應(yīng)的安全內(nèi)核；

當(dāng)判斷出所述用戶(hù)信息在所述安全世界中存在對(duì)應(yīng)的安全內(nèi)核時(shí)，根據(jù)所述當(dāng)前用戶(hù)指令訪問(wèn)對(duì)應(yīng)的安全內(nèi)核；

當(dāng)判斷出所述用戶(hù)信息在所述安全世界中不存在對(duì)應(yīng)的安全內(nèi)核時(shí)，根據(jù)所述當(dāng)前用戶(hù)指令在所述安全世界中劃分出對(duì)應(yīng)的物理隔離區(qū)域；

利用所述當(dāng)前用戶(hù)指令在所述物理隔離區(qū)域中創(chuàng)建對(duì)應(yīng)的安全內(nèi)核，并利用所述當(dāng)前用戶(hù)指令訪問(wèn)創(chuàng)建的安全內(nèi)核；

獲取所述普通世界發(fā)送的下一個(gè)用戶(hù)指令；

進(jìn)一步包括：

設(shè)置基準(zhǔn)位；

在所述普通世界發(fā)送的當(dāng)前用戶(hù)指令時(shí)，判斷所述基準(zhǔn)位上的數(shù)值是否為預(yù)先設(shè)定的可調(diào)用狀態(tài)值，

如果是，將所述基準(zhǔn)位上的數(shù)值更改為預(yù)先設(shè)定的非可調(diào)用狀態(tài)值，并執(zhí)行所述獲取所述普通世界發(fā)送的當(dāng)前用戶(hù)指令對(duì)應(yīng)的用戶(hù)信息；

否則，繼續(xù)執(zhí)行所述判斷所述基準(zhǔn)位上的數(shù)值是否為預(yù)先設(shè)定的可調(diào)用狀態(tài)值。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，

在所述利用所述當(dāng)前用戶(hù)指令訪問(wèn)創(chuàng)建的安全內(nèi)核之后，進(jìn)一步包括：

將所述基準(zhǔn)位上的數(shù)值復(fù)位為所述可調(diào)用狀態(tài)值。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，

所述根據(jù)所述當(dāng)前用戶(hù)指令在所述安全世界中劃分出對(duì)應(yīng)的物理隔離區(qū)域，包括：

在預(yù)先設(shè)定至少一個(gè)可信應(yīng)用中，確定當(dāng)前所述用戶(hù)指令對(duì)應(yīng)的可信應(yīng)用；

根據(jù)當(dāng)前所述用戶(hù)指令對(duì)應(yīng)的可信應(yīng)用，在預(yù)先設(shè)定的至少一條數(shù)據(jù)傳輸總線中確定目標(biāo)數(shù)據(jù)傳輸總線，并將所述目標(biāo)數(shù)據(jù)傳輸總線的狀態(tài)切換為安全狀態(tài)；

利用安全狀態(tài)的所述目標(biāo)數(shù)據(jù)傳輸總線獲取所述當(dāng)前用戶(hù)指令對(duì)應(yīng)的應(yīng)用配置信息；

利用所述應(yīng)用配置信息劃分所述當(dāng)前用戶(hù)指令對(duì)應(yīng)的物理隔離區(qū)域；

則，所述利用所述當(dāng)前用戶(hù)指令在所述物理隔離區(qū)域中創(chuàng)建對(duì)應(yīng)的安全內(nèi)核，包括：

利用所述應(yīng)用配置信息在所述安全世界中劃分的物理隔離區(qū)域中創(chuàng)建對(duì)應(yīng)的安全內(nèi)核；

和/或，

當(dāng)判斷出所述用戶(hù)信息在所述安全世界中不存在對(duì)應(yīng)的安全內(nèi)核時(shí)，進(jìn)一步包括：

判斷所述安全世界中已存在的各個(gè)安全內(nèi)核的總量是否達(dá)到設(shè)定的數(shù)量閾值，

如果是，向所述普通世界發(fā)送不可創(chuàng)建安全內(nèi)核的指令；

否則，執(zhí)行所述根據(jù)所述當(dāng)前用戶(hù)指令在所述安全世界中劃分出對(duì)應(yīng)的物理隔離區(qū)域。

4.根據(jù)權(quán)利要求1至2任一所述的方法，其特征在于，

進(jìn)一步包括：

監(jiān)測(cè)所述安全世界中各個(gè)已存在安全內(nèi)核之間是否進(jìn)行互相訪問(wèn)，如果是，阻止訪問(wèn)。

5.一種多用戶(hù)物理隔離裝置，其特征在于，包括：

世界劃分單元，用于劃分普通世界以及安全世界；

第一獲取單元，用于獲取所述普通世界發(fā)送的當(dāng)前用戶(hù)指令對(duì)應(yīng)的用戶(hù)信息；

安全內(nèi)核判斷單元，用于判斷所述第一獲取單元獲取的所述用戶(hù)信息是否在所述安全世界中存在對(duì)應(yīng)的安全內(nèi)核；

訪問(wèn)單元，用于當(dāng)判斷出所述第一獲取單元獲取的所述用戶(hù)信息在所述安全世界中存在對(duì)應(yīng)的安全內(nèi)核時(shí)，根據(jù)所述當(dāng)前用戶(hù)指令訪問(wèn)對(duì)應(yīng)的安全內(nèi)核；

區(qū)域劃分單元，用于當(dāng)判斷出所述第一獲取單元獲取的所述用戶(hù)信息在所述安全世界中不存在對(duì)應(yīng)的安全內(nèi)核時(shí)，根據(jù)所述當(dāng)前用戶(hù)指令在所述安全世界中劃分出對(duì)應(yīng)的物理隔離區(qū)域；

創(chuàng)建單元，用于利用所述當(dāng)前用戶(hù)指令在所述物理隔離區(qū)域中創(chuàng)建對(duì)應(yīng)的安全內(nèi)核，并利用所述當(dāng)前用戶(hù)指令訪問(wèn)創(chuàng)建的安全內(nèi)核；

第二獲取單元，用于獲取所述普通世界發(fā)送的下一個(gè)用戶(hù)指令；

進(jìn)一步包括：設(shè)置單元、處理單元；

所述設(shè)置單元，用于設(shè)置基準(zhǔn)位；

所述處理單元，用于在所述普通世界發(fā)送的當(dāng)前用戶(hù)指令時(shí)，判斷所述基準(zhǔn)位上的數(shù)值是否為預(yù)先設(shè)定的可調(diào)用狀態(tài)值，如果是，將所述基準(zhǔn)位上的數(shù)值更改為預(yù)先設(shè)定的非可調(diào)用狀態(tài)值，并觸發(fā)所述第一獲取單元；否則，繼續(xù)執(zhí)行所述判斷所述基準(zhǔn)位上的數(shù)值是否為預(yù)先設(shè)定的可調(diào)用狀態(tài)值。