[發明專利]一種終端設備的安全管理方法

在審

• 申請號: 202110329731.0
• 申請日: 2021-03-29
• 公開（公告）號: CN113051533A
• 公開（公告）日: 2021-06-29
• 發明（設計）人: 孫藝銘;于哲
• 申請（專利權）人: 鄭州中科集成電路與信息系統產業創新研究院
• 主分類號: G06F21/31
• 分類號: G06F21/31;G06F21/60;G06F21/72;G06F21/80
• 代理公司: 鄭州天陽專利事務所(普通合伙) 41113
• 代理人: 李松蓮

1.一種終端設備的安全管理方法，其特征在于，包括以下步驟：

（1）、讀取信息：由安全模塊讀取外設存儲設備的身份認證信息；

（2）、信息比對：將讀取到的身份認證信息與固件中存儲的認證信息進行比對，根據比對結果選擇執行下一步或發送關閉計算機指令；

（3）、信息存儲與修改：將硬盤的第一主引導記錄所在扇區的信息內容存儲到未使用的扇區，并將所在扇區的內容修改為第二主引導記錄；

（4）、信息加載：加載第二主引導記錄中的索引信息，安全模塊開啟加解密引擎，BIOS系統跳轉到存儲第一引導記錄的地址扇區，并加載執行其中內容；

（5）、對數據加解密：將安全模塊對主板向硬盤所讀寫的數據進行加解密操作；

（6）、發送告警信息：操作系統加載成功后，安全模塊在對硬盤讀寫進行加解密的同時，記錄硬盤讀寫和主板外設的接入日志，并發送到安全網關服務器，在異常發生時發出告警信息。

2.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述步驟（1）讀取信息是：計算機開機前，將安全模塊安裝到主板的PCIE插槽中，同時在用戶登錄前，在主板的USB接口插入身份驗證的UKEY，安全模塊通過PCIE/SATA總線獲取接入主板；所述安全模塊為電路板卡，電路板卡包括MCU處理器、數據加解密芯片和數據接口轉換芯片。

3.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述步驟（2）信息比對是：將讀取到的身份認證信息與固件中存儲的認證信息進行比對，當匹配則執行下一步；當不匹配，安全模塊通過中斷函數向BIOS發送關閉計算機指令，同時，安全模塊中的無線模塊向安全網關服務器發送告警信息。

4.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述步驟（4）信息加載是：加載第二主引導記錄中的索引信息后，安全模塊開啟加解密引擎，加解密引擎開啟后，BIOS系統跳轉到存儲第一引導記錄的地址扇區，并加載執行其中內容，根據第一主引導記錄信息加載操作系統后續操作；所述索引信息為地址信息、扇區或柱面編號中的一種或幾種。

5.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述步驟（6）發送告警信息是：操作系統加載成功后，安全模塊在對硬盤讀寫進行加解密的同時，記錄硬盤讀寫和主板外設的接入日志，并將上述日志通過無線模塊發送到安全網關服務器，在異常發生時發出告警信息。

6.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述安全模塊可截斷計算機主板與硬盤并在二者之間建立加密通道，；同時識別和記錄硬盤讀寫和外設接入的日志，并經安全網關發送到管理服務器，在發現登錄、硬盤讀寫或拷貝數據的行為異常時發出告警信息。

7.根據權利要求1或3所述的終端設備的安全管理方法，其特征在于，所述讀取的身份認證信息為密鑰或是數字證書；安全模塊的固件中存儲與之對應的密鑰信息，以固件中所存儲的密鑰信息實現對所讀取的身份認證信息進行解密或二者相同為判斷是否匹配的條件；安全模塊中設置包括電池及適配器的有電源模塊，在安全模塊所接入的計算機開機之前，由電源模塊為安全模塊供電，保證安全模塊工作不間斷。

8.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述步驟（5）中在加解密引擎開啟后，將包含操作系統程序所在扇區的地址信息發送給安全模塊，加密引擎對操作系統所在扇區的內容不執行加解密操作；對于操作系統所在扇區之外的存儲空間進行數據加解密操作，加解密所用密鑰，由身份驗證所時所插入的外設存儲設備提供。

9.根據權利要求1所述的終端設備的安全管理方法，其特征在于，所述步驟（3）中第一主引導記錄是硬盤原來的主引導記錄；未使用的扇區是隱藏扇區；第二主引導記錄中包含調用開啟加密引擎的程序及所隱藏的第一主引導記錄所存儲的地址信息；可通過BIOS修改，或程序加入。

10.根據權利要求5所述的終端設備的安全管理方法，其特征在于，所述在安全模塊通過無線模塊向安全網關服務器發送數據指令之前，在安全網關服務器的無線收發模塊的白名單中加入所要管理的安全模塊信息。