本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種基本輸入輸出系統(tǒng)環(huán)境下可信度量的方法、主機(jī)及系統(tǒng)。

背景技術(shù)：

基于密碼學(xué)的信息安全技術(shù)已得到廣泛的應(yīng)用，如公鑰基礎(chǔ)設(shè)施(Public Key Infrastructure，PKI)，公鑰基礎(chǔ)設(shè)施是一種遵循標(biāo)準(zhǔn)的利用公鑰加密技術(shù)為電子商務(wù)的開展提供一套安全基礎(chǔ)平臺的技術(shù)和規(guī)范。以PKI技術(shù)為基礎(chǔ)的PCI密碼卡，其可以用在需要密碼卡運算和密鑰管理等安全功能的、具有標(biāo)準(zhǔn)PCI/PCI Express接口的通信設(shè)備、計算機(jī)設(shè)備或安全保密設(shè)備上，安全性要求較高。在PCI密碼卡插入主機(jī)后，只能在主機(jī)操作系統(tǒng)運行起來并加載驅(qū)動后才能實現(xiàn)信息安全的檢測，而主機(jī)啟動過程中加載的數(shù)據(jù)有可能是被篡改的，是不可信的，這給PCI密碼卡的后續(xù)應(yīng)用造成安全隱患。

技術(shù)實現(xiàn)要素：

本發(fā)明所要解決的技術(shù)問題是提供一種基本輸入輸出系統(tǒng)環(huán)境下可信度量的方法、主機(jī)及系統(tǒng)。

本發(fā)明解決上述技術(shù)問題的技術(shù)方案如下：一種基本輸入輸出系統(tǒng)環(huán)境下可信度量的方法，應(yīng)用于主機(jī)中，包括：

當(dāng)掃描到與主機(jī)連接的PCI密碼卡中預(yù)存有可信度量程序時，加載并執(zhí)行所述可信度量程序，在管理員模式下，獲取所述主機(jī)的第一硬件信息，將所述第一硬件信息寫入所述PCI密碼卡的存儲區(qū)；

在進(jìn)入文件指定界面后，獲取待度量文件的第一哈希值，將所述第一哈希值寫入所述存儲區(qū)；

在重開機(jī)或跳轉(zhuǎn)進(jìn)入用戶模式時，掃描所述主機(jī)中的第二硬件信息并獲取所述主機(jī)中的待度量文件的第二哈希值；

讀取所述存儲區(qū)的所述第一硬件信息及所述第一哈希值，加載所述可信度量程序，利用所述可信度量程序?qū)λ龅谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量。

本發(fā)明的有益效果是：在啟動過程中的BIOS環(huán)境下，在管理員模式時將主機(jī)的第一硬件信息及待度量文件的第一哈希值存入PCI密碼卡，在用戶模式下時調(diào)用PCI密碼卡中預(yù)存有可信度量程序，通過可信度量程序?qū)Φ谝挥布畔ⅰ⒌诙布畔?、第一哈希值及第二哈希值進(jìn)行可信度量，從而實現(xiàn)對主機(jī)啟動過程的靜態(tài)可信度量，使得主機(jī)啟動過程加載的數(shù)據(jù)是可信的，未被篡改的，為后續(xù)PCI密碼卡的使用提供安全保障，提高了系統(tǒng)信息的安全性。

在上述技術(shù)方案的基礎(chǔ)上，本發(fā)明還可以做如下改進(jìn)。

進(jìn)一步，還包括：

在可信度量通過時，獲取控制權(quán)并完成操作系統(tǒng)的裝載，以進(jìn)入所述操作系統(tǒng)；

在可信度量未通過時，返回所述管理員模式以再次執(zhí)行可信度量。

采用上述進(jìn)一步方案的有益效果是：在可信度量通過時方進(jìn)入操作系統(tǒng)，使得主機(jī)啟動過程加載的數(shù)據(jù)是可信的，而在可信度量未通過時不可進(jìn)入操作系統(tǒng)，提高了系統(tǒng)信息的安全性。

進(jìn)一步，還包括：

在所述管理員模式下，修改管理員口令。

采用上述進(jìn)一步方案的有益效果是：進(jìn)一步提高了系統(tǒng)信息的安全性。

進(jìn)一步，所述在可信度量未通過時，返回所述管理員模式以再次執(zhí)行可信度量的步驟包括：

在可信度量未通過，返回所述管理員模式之前，輸入修改后的所述管理員口令，根據(jù)所述管理員口令返回所述管理員模式以再次執(zhí)行可信度量。

采用上述進(jìn)一步方案的有益效果是：通過輸入修改后的管理員口令返回管理員模式，使得他人不能隨意進(jìn)入管理員模式來修改相關(guān)信息，進(jìn)一步提高了系統(tǒng)信息的安全性。

進(jìn)一步，所述在進(jìn)入文件指定界面后，獲取待度量文件的第一哈希值，將所述第一哈希值寫入所述存儲區(qū)的步驟包括：

在進(jìn)入文件指定界面后，設(shè)置文件路徑，根據(jù)所述文件路徑獲取待度量文件；

獲取所述待度量文件的二進(jìn)制數(shù)據(jù)，對所述二進(jìn)制數(shù)據(jù)進(jìn)行哈希運算，得到所述第一哈希值，將所述第一哈希值寫入所述存儲區(qū)。

采用上述進(jìn)一步方案的有益效果是：通過將待度量文件的二進(jìn)制數(shù)據(jù)計算得到哈希值，便于后續(xù)的可信度量。

本發(fā)明解決上述技術(shù)問題的技術(shù)方案還如下：一種主機(jī)，所述主機(jī)包括：

第一寫入模塊，用于當(dāng)掃描到與主機(jī)連接的PCI密碼卡中預(yù)存有可信度量程序時，加載并執(zhí)行所述可信度量程序，在管理員模式下，獲取所述主機(jī)的第一硬件信息，將所述第一硬件信息寫入所述PCI密碼卡的存儲區(qū)；

第二寫入模塊，用于在進(jìn)入文件指定界面后，獲取待度量文件的第一哈希值，將所述第一哈希值寫入所述存儲區(qū)；

掃描模塊，用于在重開機(jī)或跳轉(zhuǎn)進(jìn)入用戶模式時，掃描所述主機(jī)中的第二硬件信息并獲取所述主機(jī)中的待度量文件的第二哈希值；

可信度量模塊，用于讀取所述存儲區(qū)的所述第一硬件信息及所述第一哈希值，加載所述可信度量程序，利用所述可信度量程序?qū)λ龅谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量。

進(jìn)一步，所述主機(jī)還包括：

裝載模塊，用于在可信度量通過時，獲取控制權(quán)并完成操作系統(tǒng)的裝載，以進(jìn)入所述操作系統(tǒng)；

返回模塊，用于在可信度量未通過時，返回所述管理員模式以再次執(zhí)行可信度量。

進(jìn)一步，所述主機(jī)還包括：

修改模塊，用于在所述管理員模式下，修改管理員口令。

進(jìn)一步，所述返回模塊具體用于在可信度量未通過，返回所述管理員模式之前，輸入修改后的所述管理員口令，根據(jù)所述管理員口令返回所述管理員模式以再次執(zhí)行可信度量。

進(jìn)一步，所述第二寫入模塊具體用于在進(jìn)入文件指定界面后，設(shè)置文件路徑，根據(jù)所述文件路徑獲取待度量文件；獲取所述待度量文件的二進(jìn)制數(shù)據(jù)，對所述二進(jìn)制數(shù)據(jù)進(jìn)行哈希運算，得到所述第一哈希值，將所述第一哈希值寫入所述存儲區(qū)。

本發(fā)明解決上述技術(shù)問題的技術(shù)方案還如下：一種系統(tǒng)，包括PCI密碼卡及上述的主機(jī)，所述PCI密碼卡用于預(yù)存可信度量程序；在與所述主機(jī)連接后并在所述主機(jī)處于管理員模式下，接收所述主機(jī)發(fā)送的第一硬件信息及待度量文件的第一哈希值并存儲；在所述主機(jī)進(jìn)入用戶模式時，發(fā)送所述第一硬件信息及所述第一哈希值至所述主機(jī)，供所述主機(jī)在加載所述預(yù)存可信度量程序后進(jìn)行可信度量。

附圖說明

圖1為本發(fā)明基本輸入輸出系統(tǒng)環(huán)境下可信度量的方法一實施例的流程示意圖；

圖2為圖1所示的詳細(xì)流程示意圖；

圖3為本發(fā)明主機(jī)的結(jié)構(gòu)示意圖。

具體實施方式

以下結(jié)合附圖對本發(fā)明的原理和特征進(jìn)行描述，所舉實例只用于解釋本發(fā)明，并非用于限定本發(fā)明的范圍。

如圖1所示，圖1為本發(fā)明基本輸入輸出系統(tǒng)環(huán)境下可信度量的方法一實施例的流程示意圖，應(yīng)用于主機(jī)中，該方法包括：

S1，當(dāng)掃描到與主機(jī)連接的PCI密碼卡中預(yù)存有可信度量程序時，加載并執(zhí)行所述可信度量程序，在管理員模式下，獲取所述主機(jī)的第一硬件信息，將所述第一硬件信息寫入所述PCI密碼卡的存儲區(qū)；

本實施例中，主機(jī)在開機(jī)啟動時處于基本輸入輸出系統(tǒng)(Basic Input Output System，BIOS)環(huán)境下，BIOS是一組固化到主機(jī)內(nèi)主板上一個ROM芯片上的程序，它保存著主機(jī)最重要的基本輸入輸出的程序、開機(jī)后自檢程序和系統(tǒng)自啟動程序，其主要功能是為主機(jī)提供最底層的、最直接的硬件設(shè)置和控制。

PCI密碼卡第一次插在主機(jī)上時，在管理員模式下，需要將主機(jī)上的與可信度量相關(guān)的信息存儲到PCI密碼卡中，以便后續(xù)進(jìn)行可信度量。本實施例為靜態(tài)可信度量。

本實施例主機(jī)在BIOS環(huán)境下調(diào)用PCI密碼卡，相比于主機(jī)進(jìn)入操作系統(tǒng)后存在一定難度，因為進(jìn)入操作系統(tǒng)后有很多封裝好的函數(shù)可以調(diào)用，因此在可信度量程序中含有小型的文件系統(tǒng)代碼。本實施例通過相關(guān)的設(shè)置，可在利用BIOS的相關(guān)功能枚舉設(shè)備并分配硬件資源后，查詢作為擴(kuò)展設(shè)備的PCI密碼卡是否存在擴(kuò)展ROM，如果PCI密碼卡存在擴(kuò)展ROM，查詢相應(yīng)的寄存器的標(biāo)志位，例如如果標(biāo)志位為“1”，則PCI密碼上存在擴(kuò)展ROM，擴(kuò)展ROM中可以存儲有可信度量程序或代碼，然后掃描獲取主機(jī)的第一硬件信息，利用BIOS的相關(guān)功能將第一硬件信息通過PCI/PCI Express接口寫入PCI密碼卡的存儲區(qū)，以作為后續(xù)進(jìn)行可信度量之用。BIOS將主動將擴(kuò)展ROM中的程序及代碼加載到內(nèi)存執(zhí)行。

其中，該PCI密碼卡的擴(kuò)展ROM及存儲區(qū)為預(yù)先建立的，存儲區(qū)中可以存儲可信度量的相關(guān)信息。第一硬件信息例如可以是主機(jī)的硬盤、光驅(qū)、擴(kuò)展設(shè)備等的硬件配置信息。

S2，在進(jìn)入文件指定界面后，獲取待度量文件的第一哈希值，將所述第一哈希值寫入所述存儲區(qū)；

在BIOS環(huán)境下無文件系統(tǒng)解析代碼，因此，需要在可信度量程序加入簡單的文件系統(tǒng)程序，便于文件的指定與查找，本實施例通過將待度量文件計算得到哈希值，便于后續(xù)的可信度量。

本實施例中，在管理員模式下進(jìn)入文件指定界面，該文件指定界面用于供用戶指定相關(guān)的待度量文件，這些待度量文件為與信息安全相關(guān)的重要文件，例如為內(nèi)核的相關(guān)文件。在用戶指定待度量文件后，采用哈希算法對待度量文件進(jìn)行計算，得到待度量文件的第一哈希值。然后，同樣利用BIOS的相關(guān)功能將第一哈希值通過PCI/PCI Express接口寫入PCI密碼卡的存儲區(qū)，以作為后續(xù)進(jìn)行可信度量之用。

至此，在管理員模式下的相關(guān)操作或配置完成，退出管理員模式。

S3，在重開機(jī)或跳轉(zhuǎn)進(jìn)入用戶模式時，掃描所述主機(jī)中的第二硬件信息并獲取所述主機(jī)中的待度量文件的第二哈希值；

本實施例中，在主機(jī)重開機(jī)或跳轉(zhuǎn)時進(jìn)入用戶模式，用戶模式也處于BIOS環(huán)境下，在進(jìn)入用戶模式后主機(jī)執(zhí)行可信度量。

在進(jìn)入用戶模式后，主機(jī)重新掃描第二硬件信息，第二硬件信息與上述第一硬件信息的主體對應(yīng)，即對應(yīng)地為主機(jī)的硬盤、光驅(qū)、擴(kuò)展設(shè)備等的硬件配置信息，但第二硬件信息相對于第一硬件信息可能已經(jīng)由于被篡改或其他操作發(fā)生了變化。

另外，主機(jī)重新獲取待度量文件，并計算待度量文件的第二哈希值。第二哈希值與第一哈希值對應(yīng)的待度量文件是對應(yīng)相同的，但第二哈希值相對于第一哈希值可能已經(jīng)由于被篡改或其他操作發(fā)生了變化。

S4，讀取所述存儲區(qū)的所述第一硬件信息及所述第一哈希值，加載所述可信度量程序，利用所述可信度量程序?qū)λ龅谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量。

本實施例中，調(diào)用BIOS的相關(guān)功能讀取PCI密碼卡中的存儲區(qū)中存儲的第一硬件信息及第一哈希值，然后主機(jī)加載PCI密碼卡的擴(kuò)展ROM中預(yù)存有可信度量程序，通過可信度量程序?qū)Φ谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量。

本實施例中，將第一硬件信息與第二硬件信息進(jìn)行匹配，且將第一哈希值及第二哈希值進(jìn)行匹配，如果得到的匹配結(jié)果是兩者都相同，則可信度量通過，否則，可信度量未通過，值得說明的是，所有的匹配操作是在PCI密碼卡上完成，以確保安全性。

與現(xiàn)有技術(shù)相比，本實施例主機(jī)在啟動過程中的BIOS環(huán)境下，在管理員模式時將主機(jī)的第一硬件信息及待度量文件的第一哈希值存入PCI密碼卡，在用戶模式下時調(diào)用PCI密碼卡中預(yù)存有可信度量程序，通過可信度量程序?qū)Φ谝挥布畔ⅰ⒌诙布畔?、第一哈希值及第二哈希值進(jìn)行可信度量，從而實現(xiàn)對主機(jī)啟動過程的靜態(tài)可信度量，使得主機(jī)啟動過程加載的數(shù)據(jù)是可信的，未被篡改的，為后續(xù)PCI密碼卡的使用提供安全保障，提高了系統(tǒng)信息的安全性；另外，本實施例主機(jī)在進(jìn)入操作系統(tǒng)后，PCI密碼卡仍可按照傳統(tǒng)的PCI密碼卡的操作方式進(jìn)行操作，兼容性較好。

在一優(yōu)選的實施例中，在上述圖1的實施例的基礎(chǔ)上，該方法還包括：

在可信度量通過時，獲取控制權(quán)并完成操作系統(tǒng)的裝載，以進(jìn)入所述操作系統(tǒng)；在可信度量未通過時，返回所述管理員模式以再次執(zhí)行可信度量。

本實施例中，在可信度量通過時，主機(jī)獲取控制權(quán)并返回給BIOS，繼續(xù)完成操作系統(tǒng)的裝載，以進(jìn)入操作系統(tǒng)；在可信度量未通過時，返回管理員模式，重復(fù)執(zhí)行上述圖1中的步驟以再次執(zhí)行系統(tǒng)配置的重新寫入，也可理解為初始化。具體地，若當(dāng)前的主機(jī)系統(tǒng)的硬件配置以及指定文件的哈希值與PCI密碼卡上存儲區(qū)的分別對應(yīng)相同，主機(jī)系統(tǒng)可順利進(jìn)入操作系統(tǒng)，否則不允許主機(jī)進(jìn)入操作系統(tǒng)。

本實施例中，在可信度量通過時方進(jìn)入操作系統(tǒng)，使得主機(jī)啟動過程加載的數(shù)據(jù)是可信的，而在可信度量未通過時不可進(jìn)入操作系統(tǒng)，提高了系統(tǒng)信息的安全性。

在一優(yōu)選的實施例中，在上述實施例的基礎(chǔ)上，該方法還包括：在所述管理員模式下，修改管理員口令。

本實施例中，在初次進(jìn)入管理員模式時，使用的是默認(rèn)的管理員口令，在初次進(jìn)入管理員模式時或者在管理員模式的任意時機(jī)下，可以修改管理員口令，使得他人不能隨意進(jìn)入管理員模式來修改相關(guān)信息，進(jìn)一步提高了系統(tǒng)信息的安全性。

在一優(yōu)選的實施例中，在上述實施例的基礎(chǔ)上，在可信度量未通過，返回所述管理員模式之前，輸入修改后的所述管理員口令，根據(jù)所述管理員口令返回所述管理員模式以再次執(zhí)行可信度量。

本實施例中，在可信度量未通過，返回所述管理員模式之前，輸入經(jīng)修改后的管理員口令，主機(jī)判斷該管理員口令是正確的口令后，進(jìn)入管理員模式以再次執(zhí)行可信度量，本實施例通過輸入修改后的管理員口令返回管理員模式，使得他人不能隨意進(jìn)入管理員模式來修改相關(guān)信息，進(jìn)一步提高了系統(tǒng)信息的安全性。

在一優(yōu)選的實施例中，在上述圖1的實施例的基礎(chǔ)上，上述步驟S2包括：在進(jìn)入文件指定界面后，設(shè)置文件路徑，根據(jù)所述文件路徑獲取待度量文件；獲取所述待度量文件的二進(jìn)制數(shù)據(jù)，對所述二進(jìn)制數(shù)據(jù)進(jìn)行哈希運算，得到所述第一哈希值，將所述第一哈希值寫入所述存儲區(qū)。

本實施例中，在管理員模式下進(jìn)入文件指定界面后，用戶可以指定待度量文件，在文件指定界面中設(shè)置待度量文件的文件路徑，然后根據(jù)文件路徑獲取待度量文件，將待度量文件的二進(jìn)制數(shù)據(jù)進(jìn)行哈希運算，即將待度量文件的任意長度的二進(jìn)制值映射為較短的固定長度的二進(jìn)制值，即得到第一哈希值。

本實施例中，在BIOS環(huán)境下無文件系統(tǒng)解析代碼，因此，無法直接通過路徑識別文件，本實施例通過將待度量文件的二進(jìn)制數(shù)據(jù)計算得到哈希值，便于后續(xù)的可信度量。

為了便于理解，圖2中給出了本發(fā)明的詳細(xì)流程圖，在圖2中，包括：

步驟S10，在主機(jī)啟動時，判斷預(yù)定時間內(nèi)是否有輸入，若是，則進(jìn)入步驟S20，若否，則進(jìn)入步驟S60；

步驟S20，在管理員登錄界面中輸入管理員口令；

步驟S30，判斷管理員口令是否正確，且判斷輸入管理員口令的次數(shù)是否不大于3次，若判斷的結(jié)果均為是，則進(jìn)入步驟S40，若管理員口令錯誤且輸入的次數(shù)不大于3次時，返回步驟S20，若管理員口令錯誤且輸入的次數(shù)大于3次時，進(jìn)入步驟S70；

步驟S40，當(dāng)掃描到與主機(jī)連接的PCI密碼卡中預(yù)存有可信度量程序時，加載并執(zhí)行所述可信度量程序，在管理員模式下，獲取所述主機(jī)的第一硬件信息，將所述第一硬件信息寫入所述PCI密碼卡的存儲區(qū)；在進(jìn)入文件指定界面后，獲取待度量文件的第一哈希值，將所述第一哈希值寫入所述存儲區(qū)；并可修改管理員口令；

步驟S50，配置管理完成，主機(jī)重啟系統(tǒng)或者跳轉(zhuǎn)至用戶模式；

步驟S60，進(jìn)入用戶模式時，掃描主機(jī)中的第二硬件信息Info2并獲取主機(jī)中的待度量文件的第二哈希值Val2；

步驟S70，主機(jī)重啟系統(tǒng)；

步驟S80，讀取所述存儲區(qū)的所述第一硬件信息Info1及所述第一哈希值Val1，加載所述可信度量程序；

步驟S90，利用所述可信度量程序?qū)λ龅谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量：判斷Info1與Info2是否相同，且判斷Val1與Val2是否相同，若判斷的結(jié)果均為是，則進(jìn)入步驟S100，否則進(jìn)入步驟S20；

步驟S100，獲取控制權(quán)并完成操作系統(tǒng)的裝載，以進(jìn)入所述操作系統(tǒng)。

如圖3所示，圖3為本發(fā)明主機(jī)一實施例的結(jié)構(gòu)示意圖，主機(jī)包括：

第一寫入模塊，用于當(dāng)掃描到與主機(jī)連接的PCI密碼卡中預(yù)存有可信度量程序時，加載并執(zhí)行所述可信度量程序，在管理員模式下，獲取所述主機(jī)的第一硬件信息，將所述第一硬件信息寫入所述PCI密碼卡的存儲區(qū)；

本實施例中，主機(jī)在開機(jī)啟動時處于基本輸入輸出系統(tǒng)(Basic Input Output System，BIOS)環(huán)境下，BIOS是一組固化到主機(jī)內(nèi)主板上一個ROM芯片上的程序，它保存著主機(jī)最重要的基本輸入輸出的程序、開機(jī)后自檢程序和系統(tǒng)自啟動程序，其主要功能是為主機(jī)提供最底層的、最直接的硬件設(shè)置和控制。

PCI密碼卡第一次插在主機(jī)上時，在管理員模式下，需要將主機(jī)上的與可信度量相關(guān)的信息存儲到PCI密碼卡中，以便后續(xù)進(jìn)行可信度量。本實施例為靜態(tài)可信度量。

本實施例主機(jī)在BIOS環(huán)境下調(diào)用PCI密碼卡，相比于主機(jī)進(jìn)入操作系統(tǒng)后存在一定難度，因為進(jìn)入操作系統(tǒng)后有很多封裝好的函數(shù)可以調(diào)用，因此在可信度量程序中含有小型的文件系統(tǒng)代碼。本實施例通過相關(guān)的設(shè)置，可在利用BIOS的相關(guān)功能枚舉設(shè)備并分配硬件資源后，查詢作為擴(kuò)展設(shè)備的PCI密碼卡是否存在擴(kuò)展ROM，如果PCI密碼卡存在擴(kuò)展ROM，查詢相應(yīng)的寄存器的標(biāo)志位，例如如果標(biāo)志位為“1”，則PCI密碼上存在擴(kuò)展ROM，擴(kuò)展ROM中可以存儲有可信度量程序或代碼，然后掃描獲取主機(jī)的第一硬件信息，利用BIOS的相關(guān)功能將第一硬件信息通過PCI/PCI Express接口寫入PCI密碼卡的存儲區(qū)，以作為后續(xù)進(jìn)行可信度量之用。BIOS將主動將擴(kuò)展ROM中的程序及代碼加載到內(nèi)存執(zhí)行。

其中，該PCI密碼卡的擴(kuò)展ROM及存儲區(qū)為預(yù)先建立的，存儲區(qū)中可以存儲可信度量的相關(guān)信息。第一硬件信息例如可以是主機(jī)的硬盤、光驅(qū)、擴(kuò)展設(shè)備等的硬件配置信息。

第二寫入模塊，用于在進(jìn)入文件指定界面后，獲取待度量文件的第一哈希值，將所述第一哈希值寫入所述存儲區(qū)；

在BIOS環(huán)境下無文件系統(tǒng)解析代碼，因此，需要在可信度量程序加入簡單的文件系統(tǒng)程序，便于文件的指定與查找，本實施例通過將待度量文件計算得到哈希值，便于后續(xù)的可信度量。

本實施例中，在管理員模式下進(jìn)入文件指定界面，該文件指定界面用于供用戶指定相關(guān)的待度量文件，這些待度量文件為與信息安全相關(guān)的重要文件，例如為內(nèi)核的相關(guān)文件。在用戶指定待度量文件后，采用哈希算法對待度量文件進(jìn)行計算，得到待度量文件的第一哈希值。然后，同樣利用BIOS的相關(guān)功能將第一哈希值通過PCI/PCI Express接口寫入PCI密碼卡的存儲區(qū)，以作為后續(xù)進(jìn)行可信度量之用。

至此，在管理員模式下的相關(guān)操作或配置完成，退出管理員模式。

掃描模塊，用于在重開機(jī)或跳轉(zhuǎn)進(jìn)入用戶模式時，掃描所述主機(jī)中的第二硬件信息并獲取所述主機(jī)中的待度量文件的第二哈希值；

本實施例中，在主機(jī)重開機(jī)或跳轉(zhuǎn)時進(jìn)入用戶模式，用戶模式也處于BIOS環(huán)境下，在進(jìn)入用戶模式后主機(jī)執(zhí)行可信度量。

在進(jìn)入用戶模式后，主機(jī)重新掃描第二硬件信息，第二硬件信息與上述第一硬件信息的主體對應(yīng)，即對應(yīng)地為主機(jī)的硬盤、光驅(qū)、擴(kuò)展設(shè)備等的硬件配置信息，但第二硬件信息相對于第一硬件信息可能已經(jīng)由于被篡改或其他操作發(fā)生了變化。

另外，主機(jī)重新獲取待度量文件，并計算待度量文件的第二哈希值。第二哈希值與第一哈希值對應(yīng)的待度量文件是對應(yīng)相同的，但第二哈希值相對于第一哈希值可能已經(jīng)由于被篡改或其他操作發(fā)生了變化。

可信度量模塊，用于讀取所述存儲區(qū)的所述第一硬件信息及所述第一哈希值，加載所述可信度量程序，利用所述可信度量程序?qū)λ龅谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量。

本實施例中，調(diào)用BIOS的相關(guān)功能讀取PCI密碼卡中的存儲區(qū)中存儲的第一硬件信息及第一哈希值，然后主機(jī)加載PCI密碼卡的擴(kuò)展ROM中預(yù)存有可信度量程序，通過可信度量程序?qū)Φ谝挥布畔?、第二硬件信息、第一哈希值及第二哈希值進(jìn)行可信度量。

本實施例中，將第一硬件信息與第二硬件信息進(jìn)行匹配，且將第一哈希值及第二哈希值進(jìn)行匹配，如果得到的匹配結(jié)果是兩者都相同，則可信度量通過，否則，可信度量未通過，值得說明的是，所有的匹配操作是在PCI密碼卡上完成，以確保安全性。

在一優(yōu)選的實施例中，在上述圖3的實施例的基礎(chǔ)上，主機(jī)還包括：

裝載模塊，用于在可信度量通過時，獲取控制權(quán)并完成操作系統(tǒng)的裝載，以進(jìn)入所述操作系統(tǒng)；返回模塊，用于在可信度量未通過時，返回所述管理員模式以再次執(zhí)行可信度量。

本實施例中，在可信度量通過時，主機(jī)獲取控制權(quán)并返回給BIOS，繼續(xù)完成操作系統(tǒng)的裝載，以進(jìn)入操作系統(tǒng)；在可信度量未通過時，返回管理員模式，再次執(zhí)行可信度量。具體地，若當(dāng)前的主機(jī)系統(tǒng)的硬件配置以及指定文件的哈希值與PCI密碼卡上存儲區(qū)的分別對應(yīng)相同，主機(jī)系統(tǒng)可順利進(jìn)入操作系統(tǒng)，否則不允許主機(jī)進(jìn)入操作系統(tǒng)。

本實施例中，在可信度量通過時方進(jìn)入操作系統(tǒng)，使得主機(jī)啟動過程加載的數(shù)據(jù)是可信的，而在可信度量未通過時不可進(jìn)入操作系統(tǒng)，提高了系統(tǒng)信息的安全性。

在一優(yōu)選的實施例中，在上述實施例的基礎(chǔ)上，主機(jī)還包括：修改模塊，用于在所述管理員模式下，修改管理員口令。

本實施例中，在初次進(jìn)入管理員模式時，使用的是默認(rèn)的管理員口令，在初次進(jìn)入管理員模式或者在管理員模式的任意時機(jī)下時，可以修改管理員口令，使得他人不能隨意進(jìn)入管理員模式來修改相關(guān)信息，進(jìn)一步提高了系統(tǒng)信息的安全性。

在一優(yōu)選的實施例中，在上述實施例的基礎(chǔ)上，上述返回模塊具體用于在可信度量未通過，返回所述管理員模式之前，輸入修改后的所述管理員口令，根據(jù)所述管理員口令返回所述管理員模式以再次執(zhí)行可信度量。

本實施例中，在可信度量未通過，返回所述管理員模式之前，輸入經(jīng)修改后的管理員口令，主機(jī)判斷該管理員口令是正確的口令后，進(jìn)入管理員模式以再次執(zhí)行可信度量，本實施例通過輸入修改后的管理員口令返回管理員模式，使得他人不能隨意進(jìn)入管理員模式來修改相關(guān)信息，進(jìn)一步提高了系統(tǒng)信息的安全性。

在一優(yōu)選的實施例中，在上述圖3實施例的基礎(chǔ)上，第二寫入模塊具體用于在進(jìn)入文件指定界面后，設(shè)置文件路徑，根據(jù)所述文件路徑獲取待度量文件；獲取所述待度量文件的二進(jìn)制數(shù)據(jù)，對所述二進(jìn)制數(shù)據(jù)進(jìn)行哈希運算，得到所述第一哈希值，將所述第一哈希值寫入所述存儲區(qū)。

本實施例中，在管理員模式下進(jìn)入文件指定界面后，用戶可以指定待度量文件，在文件指定界面中設(shè)置待度量文件的文件路徑，然后根據(jù)文件路徑獲取待度量文件，將待度量文件的二進(jìn)制數(shù)據(jù)進(jìn)行哈希運算，即將待度量文件的任意長度的二進(jìn)制值映射為較短的固定長度的二進(jìn)制值，即得到第一哈希值。

本實施例中，在BIOS環(huán)境下無文件系統(tǒng)解析代碼，因此，無法直接通過路徑識別文件，本實施例通過將待度量文件的二進(jìn)制數(shù)據(jù)計算得到哈希值，便于后續(xù)的可信度量。

本發(fā)明還提供一種系統(tǒng)，包括PCI密碼卡及上述的主機(jī)，PCI密碼卡用于預(yù)存可信度量程序，在與主機(jī)連接后并在主機(jī)處于管理員模式下，接收主機(jī)發(fā)送的第一硬件信息及待度量文件的第一哈希值并存儲，在主機(jī)進(jìn)入用戶模式時，發(fā)送第一硬件信息及第一哈希值至主機(jī)，供主機(jī)在加載預(yù)存可信度量程序后進(jìn)行可信度量。

以上所述僅為本發(fā)明的較佳實施例，并不用以限制本發(fā)明，凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。