專利名稱：一種計算機的加解密方法及裝置的制作方法
技術領域：
本發(fā)明屬于計算機信息安全領域，尤其涉及一種計算機的加解密方法及裝置。
背景技術：
隨著計算機技術的不斷發(fā)展，計算機的信息安全成為用戶關注的重點之一。 為了避免重要信息被非授權用戶查看、使用，通常，計算機廠商在計算機的硬
件啟動之后操作系統(tǒng)啟動之前的系統(tǒng)中，例如基本輸入輸出系統(tǒng)(Basic Input Output System, BIOS )、統(tǒng)一可擴展固件沖妄口 (Unified Extensible Firmware Interface, UEFI)，設置了一些關卡。常見的關卡為一套用戶的身份識別系統(tǒng)。 授權用戶利用專門的驗證信息，例如用戶名、密碼等，則可通過該身份識別系 統(tǒng)的識別。而非授權用戶由于不了解驗證信息則通不過該身份識別系統(tǒng)的識別。 由于該系統(tǒng)不僅容易開發(fā)而且可操作性較好，因此被廣泛使用。
使用這種方式時，用戶的用戶名、密碼等信息的管理就成為整套系統(tǒng)安全 的關鍵，許多計算機廠商都默認BIOS或UEFI是比較安全，因此通常將驗證 信息存儲在BIOS或UEFI中。也有部分廠商將驗證信息存儲在其他存儲設備中， 例如硬盤、USB存儲設備、Flash設備、易失性存儲設備等等。為了使計算 機更加安全，多數(shù)計算機廠商致力于使這些存儲設備更加安全。但是，這些存 儲有驗證信息的存儲設備一旦被黑客攻破，驗證信息就會被黑客輕易得到。并 且，黑客也可以利用攔截軟件截獲驗證信息。因此，使用這種方式時，存在著 較大的安全隱患。除此之外，在BIOS層或UEFI層下還有其他的重要數(shù)據(jù)需要 得到保護。
可信平臺模塊(Trusted Platform Module， TPM)為 一可防止非法用戶入侵的安全芯片，具有防字典攻擊和防物理探測功能。防字典攻擊功能當TPM偵 測到用戶輸入^l昔誤用戶信息達到一定的次數(shù)后，會對TPM鎖定一段時間，只有 用正確的用戶信息解密或到鎖定時間后，TPM才可以繼續(xù)使用。防物理探測功 能當TPM偵測到物理探測時，則會燒毀電路，從而達到損壞數(shù)據(jù)的目的。隨 著TPM技術的發(fā)展，越來越多的軟件開發(fā)商逐漸開發(fā)出越來越豐富的應用程 序，使TPM的功能得到充分發(fā)揮，如數(shù)字簽名、身份認證、內(nèi)部資源的授權訪 問、直接匿名訪問等等。

發(fā)明內(nèi)容
本發(fā)明實施例的目的在于提供一種計算機的加密方法，旨在解決由于現(xiàn)有 的計算機的存儲介質(zhì)不夠安全，導致存儲在這些存儲介質(zhì)中的重要數(shù)據(jù)容易被 非授權用戶獲取，從而使計算機不夠安全的問題。
本發(fā)明實施例是這樣實現(xiàn)的， 一種計算機的加密方法，所述方法包括以下 步驟
獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的解密密鑰； 將所述解密密鑰加載到可信平臺模塊內(nèi)部；
接收可信平臺;f莫塊輸出的在其內(nèi)部利用非對稱加密算法的公鑰對所述解密
密鑰進行加密后的解密密鑰；
將經(jīng)過非對稱加密算法加密的解密密鑰存儲到受保護的存儲空間中。 本發(fā)明實施例的另 一 目的在于提供一種計算機的加密裝置，所述裝置包括 解密密鑰獲取模塊，用于獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的
解密密鑰；
解密密鑰加載模塊，用于將所述解密密鑰加載到可信平臺^^莫塊內(nèi)部； 加密后的解密密鑰接收模塊，用于接收可信平臺模塊輸出的在其內(nèi)部利用 非對稱加密算法的公鑰對所述解密密鑰進行加密后的解密密鑰；以及
保存^t塊，用于將經(jīng)過非對稱加密算法加密的解密密鑰存儲到受保護的存儲空間中。
本發(fā)明實施例的另一目的在于提供一種計算機的解密方法，所述方法包括
以下步驟
獲取經(jīng)非對稱加密算法加密的解密密鑰；
將所述經(jīng)非對稱加密算法加密的解密密鑰加載到可信平臺模塊中； 接收可信平臺^^莫塊輸出的在其內(nèi)部利用非對稱加密算法的私鑰對所述解密 密鑰進行解密后的解密密鑰；
利用所述解密后的解密密鑰控制加密系統(tǒng)對加密的重要數(shù)據(jù)進行解密。 本發(fā)明實施例的另 一 目的在于提供一種計算機的解密裝置，所述裝置包括 加密后的解密密鑰獲取4莫塊，用于獲取經(jīng)非對稱加密算法加密的解密密鑰； 加密的解密密鑰加載模塊，用于將所述經(jīng)非對稱加密算法加密的解密密鑰 加載到可信平臺模塊中；
解密后的解密密鑰接收模塊，用于接收可信平臺模塊輸出的在其內(nèi)部利用 非對稱加密算法的私鑰對所述解密密鑰進行解密后的解密密鑰；以及
重要數(shù)據(jù)解密控制模塊，用于利用所述解密后的解密密鑰控制加密系統(tǒng)對 加密的重要數(shù)據(jù)進行解密。
本發(fā)明實施例的另一目的在于提供一種基本輸入輸出系統(tǒng)，所述基本輸入 輸出系統(tǒng)集成了上述加密裝置及解密裝置。
本發(fā)明實施例的另一目的在于提供一種統(tǒng)一可擴展固件接口 ，所述統(tǒng)一可 擴展固件接口集成了上述的加密裝置及解密裝置。
在本發(fā)明的實施例中，在加密系統(tǒng)對重要數(shù)據(jù)進行加密保護后，將對應的 解密密鑰加載到TPM中。由TPM在其內(nèi)部，利用非對稱加密算法的公鑰對該 解密密鑰進行加密，并將加密后的解密密鑰保存到受保護的存儲空間中。需要 解密時，從受保護的存儲空間中獲取該加密后的解密密鑰，并將該加密后的解 密密鑰加載到TPM中。由TPM在其內(nèi)部，利用非對稱加密算法的私鑰對該加 密后的解密密鑰進行解密，得到解密后的解密密鑰，從而可利用該解密密鑰對加密的重要數(shù)據(jù)進行解密，得到重要數(shù)據(jù)。由于用于解密密鑰的加、解密的非
對稱加密算法的公鑰、私鑰均保存在TPM內(nèi)部，且加、解密過程均在TPM中 執(zhí)行，從而就保證了私鑰的安全性。而加密系統(tǒng)的解密密鑰需要用該私鑰進行 解密，私鑰的安全性就使解密密鑰的安全性得到了保證，從而確保了重要數(shù)據(jù) 的安全。


圖1是本發(fā)明實施例提供的計算機數(shù)據(jù)的加密方法的實施流程圖； 圖2是本發(fā)明實施例提供的計算機數(shù)據(jù)的解密方法的實施流程圖； 圖3是本發(fā)明實施例提供的UEFI/BIOS驗證用戶信息時，與TPM、硬盤 之間的交互圖4是本發(fā)明實施例提供的加密裝置的結構圖； 圖5是本發(fā)明實施例提供的解密裝置的結構圖。
具體實施例方式
為了使本發(fā)明的目的、技術方案及優(yōu)點更加清楚明白，以下結合附圖及實 施例，對本發(fā)明進行進一步詳細說明。應當理解，此處所描述的具體實施例僅 僅用以解釋本發(fā)明，并不用于限定本發(fā)明。
在本發(fā)明的實施例中，采用TPM在底層UEFI/BIOS對重要數(shù)據(jù)進行加密， 對其解密密鑰進行二次加密并將二次加密后的解密密鑰保存在TPM中，確保了 二次解密密鑰不被非授權用戶盜用，從而確保了重要數(shù)據(jù)的安全。
圖1示出了本發(fā)明的實施例提供的加密方法的實施流程，詳述如下
在步驟S101中，獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的解密密 鑰Kl。事先需要利用加密系統(tǒng)對需要保護的重要數(shù)據(jù)進行加密。
作為本發(fā)明的實施例，該加密系統(tǒng)可以為硬盤的加密軟件或獨立加密卡或 者UEFI/BIOS的加密軟件。采用的加密算法可以為對稱加密算法，例如DES或者AES，也可以為非對稱加密算法，例如RSA或者DSA。重要數(shù)據(jù)可以為 UEFI/BIOS的關卡的用戶名、密碼，或者操作系統(tǒng)的管理員/其他授權用戶的密 碼，或者文件的密碼，或者日志資料或者指故信息。
如果該加密過程采用的是對稱加密算法，則解密密鑰即為加密密鑰；如果 該加密過程采用的是非對稱加密算法，則其私鑰即為解密密鑰。
在步驟S102中，將該加密算法的解密密鑰K1加載到TPM內(nèi)部。
在步驟S103中，接收可信平臺模塊輸出的在其內(nèi)部利用非對稱加密算法的 公鑰對該解密密鑰進行加密后的解密密鑰。
在將K1加載到TPM后，TPM在其內(nèi)部，利用非對稱加密算法的公鑰Sl 對該加密系統(tǒng)的解密密鑰K1進行加密，并輸出加密后的解密密鑰R(K1)。作為 本發(fā)明的實施例，可隨機生成一對公鑰和私鑰，并且，將這對公鑰和私鑰保存 在TPM內(nèi)部。
在步驟S104中，將該經(jīng)過非對稱加密的解密密鑰R(K1)存儲到受保護的存 儲空間。該受保護的存儲空間為硬盤保護分區(qū)或USB KEY存儲設備或FLASH 存儲設備或非易失性存儲設備。作為本發(fā)明的實施例，在利用非對稱加密算法 對解密密鑰Kl加密后，可以將加密后的解密密鑰R(K1)直接存儲到TPM中， 從而不僅避免了訪問硬盤的保護存儲區(qū)及從保護存儲區(qū)調(diào)取數(shù)據(jù)的步驟，而且 還具有更高的安全性。
圖2示出了本發(fā)明實施例提供的解密方法的實施流程，詳述如下
在步驟S201中，獲取加密后的解密密鑰R(K1)。通過訪問受保護的存儲空 間中即可獲取R(K1)。
在步驟S202中，將R(K1)加載到TPM中。
在步驟S203中，接收TPM輸出的在其內(nèi)部利用非對稱加密算法的私鑰對 該解密密鑰進行解密后的解密密鑰Kl。在將R(K1)加載到TPM后，TPM在其 內(nèi)部，利用非對稱算法的私鑰Rl對R(K1)進行解密，輸出解密后的解密密鑰 Kl。在步驟S204中，利用該解密后的解密密鑰Kl控制加密系統(tǒng)對加密的重要 數(shù)據(jù)進行解密。
圖3示出了本發(fā)明實施例提供的UEFI/BIOS驗證用戶信息時，與TPM、 硬盤之間的交互過程，詳述如下
1、 UEFI/BIOS接收用戶輸入的用戶信息。該用戶信息可以為用戶名及其對 應的密碼或單獨的密碼信息或者指紋信息。
2、 UEFI/BIOS發(fā)送硬盤的保護存儲區(qū)的訪問指令給TPM。
3、 TPM檢測該訪問指令的完整性。當檢測到訪問指令完整時，執(zhí)行步驟4。 否則，該訪問指令^皮i^定為無效指令，因此，無法訪問^^盤保護分區(qū)。
4 、 TPM發(fā)送打開硬盤的保護存儲區(qū)的簽名證書及轉發(fā)該訪問指令給硬盤。
5、 硬盤上的嵌入式控制系統(tǒng)打開該保護存儲區(qū)。由于該訪問指令是通過 TPM做數(shù)字簽名后加密傳輸?shù)?，從而確保了指令的完整性，并且有效地防止了 攔截軟件的攔截。
6、 UEFI/BIOS從該硬盤保護區(qū)中獲取經(jīng)非對稱加密算法加密的解密密鑰 R(K1)。在加密系統(tǒng)利用加密算法對用戶信息進行加密后，由于在TPM內(nèi)部進 一步使用了非對稱加密算法對加密系統(tǒng)的解密密鑰Kl進行了加密及存儲，因 此，這里獲取的是經(jīng)非對稱加密算法加密的解密密鑰R(K1)。
7、 UEFI/BIOS發(fā)送R(K1)至TPM中。
8、 TPM利用非對稱加密算法的私鑰R1對R(K1)進行解密。由于該非對稱 加密算法的加密過程是在TPM內(nèi)部進行的，并且將非對稱加密算法的私鑰Rl 保存到了TPM內(nèi)部，因此，可以從TPM內(nèi)部取出私鑰Rl對R(K1)進行解密， 得到加密系統(tǒng)的解密密鑰Kl。
9 、 UEFI/BIOS從TPM中獲取力口密系統(tǒng)的解密密鑰Kl 。
10、 UEFI/BIOS將該解密密鑰Kl傳給加密系統(tǒng)。
11、 UEFI/BIOS接收加密系統(tǒng)利用Kl解密的用戶信息。
12、 將用戶輸入的用戶信息與該解密出的用戶信息進行比對。當比對成功時，說明用戶為授權用戶，硬盤的管理系統(tǒng)把該用戶對應的硬盤權限打開，讓
UEFI/BIOS使用。當比對失敗時，說明為非授權用戶，則不響應該用戶。
在上述過程中，UEFI/BIOS對硬盤的操作的指令都是采用了特殊的指令協(xié) 議，并通過TPM進行加密，通過TPM的完整性校驗后，由TPM發(fā)出簽名證 書給硬盤，從而實現(xiàn)對硬盤的操作。
圖4示出了本發(fā)明實施例提供的加密裝置的結構。該加密裝置可以為集成 于UEFI/BIOS內(nèi)的軟件單元、硬件單元或者軟硬結合的單元。
解密密鑰獲取模塊41獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的解 密密鑰Kl，解密密鑰加載模塊42將該解密密鑰Kl加載到可信平臺模塊內(nèi)部， 加密后的解密密鑰接收模塊43接收可信平臺模塊輸出的在其內(nèi)部利用非對稱 加密算法的公鑰對該解密密鑰進行加密后的解密密鑰R(K1),并由保存模塊44 將經(jīng)過非對稱加密算法加密的解密密鑰R(K1)存儲到受保護的存儲空間中。
作為本發(fā)明的實施例，在該加密裝置中還可以增加一加密系統(tǒng)調(diào)用模塊 40,調(diào)用加密系統(tǒng)對需要加密的重要數(shù)據(jù)進行加密。
圖5示出了本發(fā)明實施例提供的解密裝置的結構。該解密裝置可以為集成 于UEFI/BIOS內(nèi)的軟件單元、硬件單元或者軟硬結合的單元。
加密后的解密密鑰獲取模塊51獲取經(jīng)非對稱加密算法加密的解密密鑰 R(K1)，加密的解密密鑰加載模塊52將該經(jīng)非對稱加密算法加密的解密密鑰 R(K1)加載到可信平臺模塊中，解密后的解密密鑰接收模塊53接收可信平臺模 塊輸出的在其內(nèi)部利用非對稱加密算法的私鑰對該解密密鑰進行解密后的解密 密鑰Kl，重要數(shù)據(jù)解密控制模塊54利用該解密后的解密密鑰Kl控制加密系 統(tǒng)對加密的重要數(shù)據(jù)進行解密。
綜上所述，在本發(fā)明的實施例中，在加密系統(tǒng)對重要數(shù)據(jù)進行加密保護后， 將對應的解密密鑰加載到TPM中。由TPM在其內(nèi)部，利用非對稱加密算法的 公鑰對該解密密鑰進行加密，并將加密后的解密密鑰保存到受保護的存儲空間 中。需要解密時，從受保護的存儲空間中獲取該加密后的解密密鑰，并將該加密后的解密密鑰加載到TPM中。由TPM在其內(nèi)部，利用非對稱加密算法的私 鑰對該加密后的解密密鑰進行解密，得到解密后的解密密鑰，從而可利用該解 密密鑰對加密的重要數(shù)據(jù)進行解密，得到重要數(shù)據(jù)。由于用于解密密鑰的加、 解密的非對稱加密算法的公鑰、私鑰均保存在TPM內(nèi)部，且加、解密過程均在 TPM中執(zhí)行，從而就保證了私鑰的安全性。而加密系統(tǒng)的解密密鑰需要用該私 鑰進行解密，私鑰的安全性就使解密密鑰的安全性得到了保證，從而確保了重 要數(shù)據(jù)的安全。
以上所述僅為本發(fā)明的較佳實施例而已，并不用以限制本發(fā)明，凡在本發(fā) 明的精神和原則之內(nèi)所作的任何修改、等同替換和改進等，均應包含在本發(fā)明 的保護范圍之內(nèi)。
權利要求
1、一種計算機數(shù)據(jù)的加密方法，其特征在于，所述方法包括以下步驟獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的解密密鑰；將所述解密密鑰加載到可信平臺模塊內(nèi)部；接收可信平臺模塊輸出的在其內(nèi)部利用非對稱加密算法的公鑰對所述解密密鑰進行加密后的解密密鑰；將經(jīng)過非對稱加密算法加密的解密密鑰存儲到受保護的存儲空間中。
2、 如權利要求1所述的加密方法，其特征在于，在所述獲取用于對加密系 統(tǒng)加密的重要數(shù)據(jù)進行解密的解密密鑰的步驟之前還包括調(diào)用加密系統(tǒng)對需要加密的重要數(shù)據(jù)進行加密。
3、 如權利要求1所述的加密方法，其特征在于，所述加密系統(tǒng)為硬盤的加 密軟件或獨立的加密卡或基本輸入輸出系統(tǒng)/統(tǒng)一可擴展固件接口的加密軟件。
4、 如權利要求1所述的加密方法，其特征在于，所述受保護的存儲空間為 硬盤保護分區(qū)或USB KEY存儲設備或FLASH存儲設備或非易失性存儲設備。
5、 一種計算機數(shù)據(jù)的加密裝置，其特征在于，所述裝置包括 解密密鑰獲取模塊，用于獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的解密密鑰；解密密鑰加載模塊，用于將所述解密密鑰加載到可信平臺模塊內(nèi)部； 加密后的解密密鑰接收模塊，用于接收可信平臺模塊輸出的在其內(nèi)部利用非對稱加密算法的公鑰對所述解密密鑰進行加密后的解密密鑰；以及保存模塊，用于將經(jīng)過非對稱加密算法加密的解密密鑰存儲到受保護的存儲空間中。
6、 如權利要求5所述的加密裝置，其特征在于，所述裝置還包括加密系統(tǒng)調(diào)用模塊，用于調(diào)用加密系統(tǒng)對需要加密的重要數(shù)據(jù)進行加密。
7、 一種計算機數(shù)據(jù)的解密方法，其特征在于，所述方法包括以下步驟 獲取經(jīng)非對稱加密算法加密的解密密鑰；將所述經(jīng)非對稱加密算法加密的解密密鑰加載到可信平臺^t塊中； 接收可信平臺模塊輸出的在其內(nèi)部利用非對稱加密算法的私鑰對所述解密 密鑰進行解密后的解密密鑰；利用所述解密后的解密密鑰控制加密系統(tǒng)對加密的重要數(shù)據(jù)進行解密。
8、 一種計算機數(shù)據(jù)的解密裝置，其特征在于，所述裝置包括 加密后的解密密鑰獲取模塊，用于獲取經(jīng)非對稱加密算法加密的解密密鑰； 加密的解密密鑰加載模塊，用于將所述經(jīng)非對稱加密算法加密的解密密鑰加載到可信平臺模塊中；解密后的解密密鑰接收模塊，用于接收可信平臺模塊輸出的在其內(nèi)部利用 非對稱加密算法的私鑰對所述解密密鑰進行解密后的解密密鑰；以及重要數(shù)據(jù)解密控制模塊，用于利用所述解密后的解密密鑰控制加密系統(tǒng)對 加密的重要數(shù)據(jù)進行解密。
9、 一種統(tǒng)一可擴展固件接口，其特征在于，所述統(tǒng)一可擴展固件接口集成 了權利要求5所述的加密裝置。
10、 一種統(tǒng)一可擴展固件接口，所述統(tǒng)一可擴展固件接口集成了權利要求8 所述的解密裝置。
全文摘要
本發(fā)明適用于計算機安全領域，提供了一種計算機的加解密方法、系統(tǒng)及裝置，所述方法包括以下步驟獲取用于對加密系統(tǒng)加密的重要數(shù)據(jù)進行解密的解密密鑰；將所述解密密鑰加載到可信平臺模塊內(nèi)部；接收可信平臺模塊輸出的在其內(nèi)部利用非對稱加密算法的公鑰對所述解密密鑰進行加密后的解密密鑰；將經(jīng)過非對稱加密算法加密的解密密鑰存儲到受保護的存儲空間中。在本發(fā)明的實施例中，由于用于解密密鑰的加、解密的非對稱加密算法的公鑰、私鑰均保存在TPM內(nèi)部，且加、解密過程均在TPM中執(zhí)行，從而就保證了私鑰的安全性。而加密系統(tǒng)的解密密鑰需要用該私鑰進行解密，私鑰的安全性就使解密密鑰的安全性得到了保證，從而確保了重要數(shù)據(jù)的安全。
文檔編號G06F21/24GK101470789SQ20071012570
公開日2009年7月1日 申請日期2007年12月28日 優(yōu)先權日2007年12月28日
發(fā)明者姚文澤, 靖 宋, 張擁軍, 林詩達, 明 石, 兵 賈 申請人:中國長城計算機深圳股份有限公司