一種基於可信平臺模塊和指紋識別的身份控制方法
2023-11-30 02:57:56
專利名稱：一種基於可信平臺模塊和指紋識別的身份控制方法
技術領域：
本發明涉及計算機信息安全領域，尤其涉及的是，一種利用指紋生物識別技術和可信平臺模塊晶片技術進行計算機用戶身份鑑別及權限控制的方法。
背景技術：
隨著網絡時代的來臨，信息安全已成為計算機用戶普遍關注的問題，人們對於計算機安全性的要求越來越高，指紋識別技術在計算機用戶身份識別及操作訪問權限確認方面的應用也越來越廣泛。
在可信平臺模塊(TPM，Trusted Platform Module)晶片出現以前，指紋識別技術在計算機用戶身份鑑別的應用中主要採用兩種實現模式模式一完全通過計算機軟體實現指紋識別及比對算法。這種模式無法實現計算機開機時的用戶指紋識別，只能等待作業系統引導後才可以工作；此外完全使用軟體來實現，指紋識別及比對算法較易被破解，指紋模板的保存也沒有妥當的安全解決方案。
模式二指紋識讀設備內嵌相關硬體計算單元實現指紋模式識別及特徵比對算法。雖然這種模式有利於實現開機用戶指紋識別(Pre-BootAuthentication，PBA)，而且指紋識讀設備中一般包含Flash存儲器可以保存指紋驗證模板，但是必須集成用於執行指紋識別算法的CPU/DSP及用於存儲指紋模板的Flash存儲器，因此這種指紋識讀器通常較昂貴，不利於市場普及和推廣。另外Flash存儲器的容量有限制，使得系統只能支持有限的用戶指紋數量。
在可信平臺模塊TPM晶片出現以後，目前也出現將指紋識別技術與TPM晶片相結合的指紋識別身份認證系統，主要有以下幾種實現模式模式一由於指紋身份識別系統中，用戶預留的指紋特徵模板屬於敏感數據，因此需要特別加以保護。使用TPM晶片內部的非易失性存儲器可以保存少量的指紋特徵模板，或者使用TPM對模板進行加密再將加密後的數據保存其他外部存儲器上，如保存在計算機硬碟上。但是這種模式僅將TPM作為一個加密設備來使用，被加密的指紋模板需要在脫密後才能被其他指紋識別系統模塊使用，易受到攻擊的指紋識別算法也沒有得到保護。
模式二將指紋識別算法全部或者部分集成到TPM晶片內實現，指紋模板也保存在TPM內部或被TPM加密後保存在外部，使用時再導入。這種模式通過TPM安全晶片對指紋識別算法和模板同時提供保護，設計合理性上明顯優於上一模式，但是可實現性很差。因為TPM晶片的主要設計目的在於為將來個人電腦設備構建安全可信的計算環境時，提供信任根和平臺各部件間信任關係的建立。為了TPM晶片的普及，國際上普遍採用低成本、高安全性的設計；由於TPM不需要執行大量的數據計算功能，所以目前國內外生產的TPM晶片廣泛採用的是8位或16位的CPU作為中央處理器，而這種CPU絕對無法勝任執行類似圖像模式識別算法這樣的大規模複雜計算任務。
模式三僅將指紋識別算法中運算量較小的指紋特徵比對算法嵌入TPM晶片，這種模式雖然解決了TPM計算能力的缺陷，但是存在一個致命的弱點，那就是TPM對用戶指紋特徵信息與指紋模板比對後，得出的匹配與否的結果，只能傳給上層做進一步處理，這樣如果上層系統受到攻擊，被繞過對TPM返回結果的處理環節，將使整個TPM指紋識別系統形同虛設。
因此，現有技術存在缺陷，需要改進。
發明內容
本發明的目的在於提供一種基於可信平臺模塊和指紋識別的身份控制方法，TPM晶片不但具備指紋特徵比對功能，而且直接根據比對結果確定TPM晶片是否工作，可以避免非授權用戶繞過TPM而攻擊上層系統。
本發明的技術方案如下一種基於可信平臺模塊和指紋識別的身份控制方法，其包括以下步驟A1、授權用戶通過指紋識別系統的指紋註冊模塊預先設置指紋特徵信息模板，所述指紋特徵信息模板被可信平臺模塊晶片保護；A2、所述指紋識別系統的指紋採集模塊通過指紋傳感器採集當前用戶指紋的圖像信息，並將所述圖像信息傳送給指紋特徵提取模塊；A3、所述指紋特徵提取模塊進行指紋特徵提取計算，將提取得到的指紋特徵數據發送給可信平臺模塊晶片；A4、所述可信平臺模塊晶片中的指紋比對模塊，根據授權用戶預留的指紋特徵信息模板，執行指紋特徵比對算法操作，與本次提取得到的指紋特徵數據進行比對，用於鑑別用戶身份；A5、所述可信平臺模塊晶片根據比對結果判斷當前用戶具有操作計算機的權限，則執行步驟A6，否則執行步驟A7；A6、所述可信平臺模塊晶片正常工作或執行當前用戶請求的操作，不執行A7；A7、所述可信平臺模塊晶片處於非工作狀態，拒絕執行當前用戶請求的操作，並向上層返回錯誤信息。
所述的方法，其中，指紋身份識別過程中的指紋特徵比對操作由可信平臺模塊完成，所述指紋比對結果保存在所述可信平臺模塊晶片，依據指紋特徵比對的結果，決定可信平臺模塊是否執行下一步的工作。。
所述的方法，其中，步驟A1所述預先設置指紋特徵信息模板，是在獲得授權的計算機用戶初始化時，通過採集指紋的圖像信息，提取其指紋特徵數據作為所述指紋特徵信息模板。
所述的方法，其中，所述初始化還包括在正式使用可信平臺模塊晶片功能之前，操作可信平臺模塊晶片管理軟體完成可信平臺模塊晶片所有者的初始化。
所述的方法，其中，步驟A1所述指紋特徵信息被可信平臺模塊晶片保護，是所述指紋特徵信息存儲於所述可信平臺模塊晶片中的採用物理防護技術的非易失性存儲器；或是被所述可信平臺模塊加密後保存於所述可信平臺模塊晶片外部的非易失性存儲器。
所述的方法，其中，所述非易失性存儲器是快閃記憶體存儲器、電可擦寫可編程只讀存儲器、可擦寫可編程只讀存儲器、可編程只讀存儲器或計算機硬碟。
所述的方法，其中，步驟A3所述指紋特徵提取模塊進行指紋特徵提取計算，是所述指紋特徵提取模塊通過計算機的CPU對所述圖像信息進行指紋特徵提取計算。
所述的方法，其中，分別在計算機基本輸入輸出系統和作業系統實現所述指紋採集模塊，通過驅動指紋傳感器實現指紋圖像採集功能。
所述的方法，其中，分別在計算機基本輸入輸出系統和作業系統實現所述指紋特徵提取模塊的提取算法。
所述的方法，其中，步驟A7所述返回錯誤信息，包括返回所述可信平臺模塊晶片處於非工作狀態的信息。
採用上述方案，TPM晶片內嵌指紋特徵比對算法，對於指紋特徵模板來說，被TPM晶片加密保存並在TPM晶片內部使用，敏感信息不會外洩；計算複雜度最高的指紋圖像特徵提取算法由計算機平臺CPU實現，不佔用TPM晶片資源，可彌補TPM晶片計算能力不足的缺陷；指紋特徵比對算法仍由TPM晶片實現，但比對結果保存在TPM晶片內部，TPM晶片直接通過判斷比對結果決定晶片是否工作，從而控制用戶對計算機的訪問權限，上層無法繞過用戶指紋識別過程而啟動TPM晶片。因此解決了計算機用戶身份鑑別及權限控制的問題，在計算機系統中建立了一種安全、可靠、方便、易用的用戶身份鑑別及計算機操作訪問權限確認機制。由於用戶指紋身份鑑別的主要過程以及對鑑別的結果的處理都在TPM晶片內完成，不可能被上層系統繞過，因此具有更高的可靠性和安全性。
圖1為本發明方法的流程圖；圖2為本發明方法的工作原理示意圖。
具體實施例方式
以下對本發明的較佳實施例加以詳細說明。
本發明提供了一種基於可信平臺模塊和指紋識別的身份控制方法，應用於可信計算機系統，該系統包括標準計算機主板及晶片組、CPU中央處理器晶片、RAM內存及硬碟等外部存儲器，以及TPM晶片和指紋傳感器。系統還需具備軟體運行環境，包括可信的基本輸入輸出系統BIOS、可信的作業系統OS、TPM晶片內固件(Firmware)程序和TPM初始化應用軟體，以及與指紋傳感器相關的BIOS及OS驅動程序、用戶指紋註冊管理等應用軟體。
本發明所述基於可信平臺模塊和指紋識別的身份控制方法如圖1所示，其包括以下步驟。
A1、授權用戶通過指紋識別系統的指紋註冊模塊預先設置指紋特徵信息模板，所述指紋特徵信息模板被可信平臺模塊晶片保護。所述預先設置指紋特徵信息模板，是在獲得授權的計算機用戶初始化時，通過採集指紋的圖像信息，提取其指紋特徵數據作為所述指紋特徵信息模板。所述初始化還包括在正式使用可信平臺模塊晶片功能之前，操作可信平臺模塊晶片管理軟體完成可信平臺模塊晶片所有者的初始化。
所述方法的初始化操作，包括用戶在正式使用TPM晶片功能之前，首先需要操作TPM晶片管理軟體完成TPM晶片所有者初始化，即設置TPM晶片所有者口令，並產生TPM晶片的存儲根密鑰(Storage Root Key，SRK)；在計算機開機上電後，由計算機基本輸入輸出系統BIOS向TPM晶片發送啟動和自檢指令，使TPM晶片處於就緒狀態。
所述指紋特徵信息被可信平臺模塊晶片保護，是所述指紋特徵信息存儲於所述可信平臺模塊晶片中的採用物理防護技術的非易失性存儲器；或是被所述可信平臺模塊加密後保存於所述可信平臺模塊晶片外部的非易失性存儲器。其中，所述非易失性存儲器可以是快閃記憶體存儲器、電可擦寫可編程只讀存儲器、可擦寫可編程只讀存儲器、可編程只讀存儲器或計算機硬碟。
A2、所述指紋識別系統的指紋採集模塊通過指紋傳感器採集當前用戶指紋的圖像信息，並將所述圖像信息傳送給指紋特徵提取模塊。
指紋採集模塊的指紋圖像採集功能將在計算機基本輸入輸出系統BIOS和作業系統OS中分別實現，在計算機開機上電後進行開機用戶指紋身份識別時，由BIOS系統控制指紋傳感器採集指紋圖像；或是作業系統引導後進行用戶指紋身份識別時，由上層應用軟體通過指紋傳感器OS驅動程序控制指紋傳感器採集指紋圖像信息，並將指紋圖像信息傳送給指紋特徵提取模塊處理。通過計算機CPU運算執行對採集的指紋圖像信的特徵提取操作，並將提取的用戶指紋特徵信息傳送給TPM晶片處理。當計算機用戶試圖開機或進入受保護的作業系統時，必須先進行身份識別。
A3、所述指紋特徵提取模塊進行指紋特徵提取計算，將提取得到的指紋特徵數據發送給可信平臺模塊晶片。所述指紋特徵提取模塊進行指紋特徵提取計算，是所述指紋特徵提取模塊通過計算機的CPU對所述圖像信息進行指紋特徵提取計算。可以分別在計算機基本輸入輸出系統和作業系統實現所述指紋特徵提取模塊的提取算法。
A4、所述可信平臺模塊晶片中的指紋比對模塊，根據授權用戶預留的指紋特徵信息模板，執行指紋特徵比對算法操作，與本次提取得到的指紋特徵數據進行比對，用於鑑別當前用戶身份。
即TPM晶片中指紋比對模塊實現指紋特徵比對算法，當接收到本次身份識別提取到的用戶指紋特徵信息後，讀取已獲授權的用戶預留的指紋特徵模板並與接收到的特徵信息進行特徵比對，根據指紋特徵比對算法判定當前用戶指紋是否與系統已註冊登記的授權用戶相符，從而確定當前用戶身份是否有效。
所述指紋比對結果保存在所述可信平臺模塊晶片，並根據所述指紋比對結果決定所述可信平臺模塊晶片繼續正常工作，或拒絕執行用戶請求的指定操作。所述指紋比對結果保存在所述可信平臺模塊晶片是本發明方法的關鍵點，TPM晶片不但執行指紋特徵比對，而且直接根據比對結果確定TPM晶片是否工作，可以有效防止非授權用戶繞過TPM晶片操作計算機。
A5、所述可信平臺模塊晶片根據比對結果判斷當前用戶具有操作計算機的權限，則執行步驟A6，否則執行步驟A7；指紋身份識別過程中的指紋特徵比對操作由可信平臺模塊完成，所述指紋比對結果保存在所述可信平臺模塊晶片，依據指紋特徵比對的結果，決定可信平臺模塊是否執行下一步的工作，整個比對、存儲、識別的過程都在TPM晶片內部完成。
A6、所述可信平臺模塊晶片正常工作或執行當前用戶請求的操作，不執行A7；A7、所述可信平臺模塊晶片處於非工作狀態，拒絕執行當前用戶請求的操作，並向上層返回錯誤信息。所述返回錯誤信息，包括返回所述可信平臺模塊晶片處於非工作狀態的信息。
本發明方法的工作原理示意圖如附圖2所示，在系統開機時通過BIOS系統控制指紋傳感器採集指紋圖像；或是由作業系統的上層應用軟體通過指紋傳感器驅動程序控制指紋傳感器採集指紋圖像，並將指紋原始圖像的信息傳送給指紋特徵提取模塊；指紋特徵提取模塊進行指紋特徵提取計算，將提取得到的指紋特徵數據發送給TPM晶片，其中的提取計算是由CPU完成的；TPM晶片中的指紋比對模塊讀取預留在TPM晶片中指紋特徵信息模板授權用戶的指紋特徵信息模板，該模板是經過TPM晶片加密的；然後執行指紋特徵比對算法操作，與本次提取得到的指紋特徵數據進行比對，用於鑑別用戶身份。
本發明方法的一個實施例具體說明如下。
預先在計算機上安裝可信平臺模塊TPM晶片和指紋傳感器，並完成初始化；獲得授權的計算機用戶通過指紋識別系統系統的原始指紋登記註冊模塊預留指紋特徵信息，此信息被TPM晶片保護。
系統的指紋採集模塊通過指紋傳感器採集進行本次操作的計算機用戶指紋的原始圖像信息，並將指紋圖像傳送給指紋特徵提取模塊處理。
指紋特徵提取模塊對指紋原始圖像進行處理，通過計算機平臺CPU執行指紋特徵提取算法的計算操作，再將提取到的指紋特徵發送給TPM晶片。
TPM晶片中的指紋比對模塊，讀取用戶預留的指紋特徵模板，然後執行指紋特徵比對算法操作，與本次提取到的指紋特徵碼進行比對，以鑑別用戶的真實身份。
TPM晶片根據比對結果判定TPM晶片的下一步操作，即如果用戶身份通過指紋識別驗證，則TPM可以正常工作或執行用戶指定的功能；否則TPM處於非工作狀態，拒絕執行用戶請求的TPM操作，並向上層返回錯誤信息。
實現本發明所述方法，須在計算機系統上安裝可信平臺模塊TPM晶片，具體的實現可以是將TPM晶片通過LPC(Low Pin Count)接口總線與計算機主板晶片組南橋晶片連接，TPM晶片與計算機主板的物理連接方式有兩種即直接貼片焊接在主板預留位置上，或者使用TPM子卡插接在主板20 Pin插座上。當然，隨著計算機技術的發展，TPM晶片可能與計算機主板及其晶片組存在其它的連接方式，這些連接方式亦應被認為屬於本發明方法的適用範圍。
所述指紋傳感器可以是光學指紋傳感器、半導體指紋傳感器、超聲波指紋傳感器或者其他能夠通過感應獲取用戶指紋圖像信息的傳感器，本發明對此不進行限制，只要能夠實現所述指紋傳感器的功能，即應被認為屬於本發明方法的適用範圍。
所述用戶指紋特徵信息被TPM晶片保護，即是指紋特徵信息作為指紋識別系統中的關鍵數據，可以保存在TPM晶片內部存儲器中；也可以被TPM加密後保存在TPM晶片外部存儲器中；所述存儲器是非易失性存儲器，例如採用物理防護技術的快閃記憶體(Flash)存儲器、電可擦寫可編程只讀存儲器EEPROM、可擦寫可編程只讀存儲器EPROM、可編程只讀存儲器PROM、或其他在斷電情況下能繼續保留數據的採用了物理防護技術的磁、電存儲介質；此外，外部的存儲器還包括了計算機硬碟的隱蔽分區。由於被TPM加密的數據只能在TPM晶片內部解密，從而具備高安全性。與此相同，所述用戶預留的指紋特徵模板可以保存在TPM晶片內部；也可以被TPM晶片加密後保存在計算機外部存儲器，如硬碟上的隱蔽分區中，需要進行指紋特徵比對時，再將加密的指紋模板導入TPM晶片後解密使用。
TPM晶片保存指紋特徵比對結果，可以根據比對結果設定通行標誌位，作為判斷TPM功能操作執行與否的依據；即如果比對成功則TPM晶片進入正常工作狀態，可以執行用戶指定的TPM操作，如執行數據解密等操作，然後向上層返回成功信息；如果比對失敗則TPM晶片進入非工作狀態，同時拒絕用戶請求的TPM功能操作，並向上層返回錯誤信息。需要說明的是，在本發明方法中，TPM晶片不但執行指紋特徵比對，而且直接根據比對結果確定TPM晶片是否工作。由於TPM晶片是計算機的核心安全部件，如果TPM不工作將導致整個計算機平臺處於不可用狀態，使得用戶指紋身份鑑別結果直接作用於系統，而無須額外的權限控制操作。在應用系統層面，TPM通常用於保護系統關鍵的敏感數據，如加密密鑰等。如果指紋身份鑑別未通過，則用戶不能使用被TPM保護的數據，從而也就無法使用應用系統的功能，達到用戶權限控制的目的。用戶指紋身份鑑別的主要過程以及對鑑別的結果的處理都在TPM晶片內完成，不可能被上層系統繞過，因此具有高可靠性和高安全性。
本發明充分利用了TPM晶片處於可信計算平臺的核心位置這一特點，不但能夠利用TPM晶片通過指紋鑑別用戶身份，而且通過TPM晶片根據指紋鑑別結果對用戶訪問計算機的權限真正實現了控制，提高了指紋識別系統的可靠性和安全性。利用本發明方法避免了現有技術其它指紋識別方案中存在兩個最大的弱點即指紋識別算法及指紋特徵模板的保密問題，以及指紋鑑別結果的判斷和使用問題。指紋特徵模板的使用和解密還原全部在TPM安全晶片內部完成，指紋特徵模板的明文數據不會洩露到TPM以外的任何地方；由於安全BIOS和安全作業系統(Operation System，OS)與TPM晶片技術的關聯性，TPM晶片將決定BIOS操作是否可以繼續，以及OS是否可以正常引導啟動，因此根據本發明方法，TPM可以直接使用和保存指紋身份鑑別的結果，從而間接控制用戶對計算機的使用權限，可以有效解決通過繞過指紋識別判斷過程，使指紋鑑別系統失效的問題。
其次，本發明方法通過利用計算機的平臺CPU的計算資源執行指紋識別過程中最複雜、計算量最大的指紋圖像特徵提取算法，從而大大節省了用戶的投資成本。以往方案中一般都會單獨設置一個用於指紋圖像處理的DSP晶片，利用本發明方法使用平臺CPU的強大計算能力來完成此項複雜運算工作，既提高了執行速度，因為方案中無須外接數位訊號處理器(DSP，Digital Signal Processor)從而節省了用戶成本。TPM晶片中僅僅導入指紋特徵比對算法，與導入全部指紋識別算法相比，其增加的成本和實現難度都是可以接受的，也避免了TPM晶片計算能力不足的缺陷，從而具有更高的可實施性。
此外，本發明方法利用了TPM的平臺綁定功能，可以充分利用計算機平臺的硬碟資源來存儲用戶的指紋特徵模板，因此理論上不再有對指紋特徵模板預留數量的限制。
應當理解的是，對本領域普通技術人員來說，可以根據上述說明加以改進或變換，而所有這些改進和變換都應屬於本發明所附權利要求的保護範圍。
權利要求
1.一種基於可信平臺模塊和指紋識別的身份控制方法，其特徵在於，包括以下步驟A1、計算機合法用戶通過指紋識別系統的指紋註冊模塊預先設置指紋特徵信息模板，所述指紋特徵信息模板被可信平臺模塊晶片保護；A2、所述指紋識別系統的指紋採集模塊通過指紋傳感器採集當前用戶指紋的圖像信息，並將所述圖像信息傳送給指紋特徵提取模塊；A3、所述指紋特徵提取模塊進行指紋特徵提取計算，將提取得到的指紋特徵數據發送給可信平臺模塊晶片；A4、所述可信平臺模塊晶片中的指紋比對模塊，根據計算機合法用戶預留的指紋特徵信息模板，執行指紋特徵比對算法操作，與本次提取得到的指紋特徵數據進行比對，用於鑑別當前用戶身份；A5、所述可信平臺模塊晶片根據比對結果判斷當前用戶具有操作計算機的權限，則執行步驟A6，否則執行步驟A7；A6、所述可信平臺模塊晶片正常工作或執行當前用戶請求的操作，不執行A7；A7、所述可信平臺模塊晶片處於非工作狀態，拒絕執行當前用戶請求的操作，並向上層返回錯誤信息。
2.根據權利要求1所述的方法，其特徵在於，指紋身份識別過程中的指紋特徵比對操作由可信平臺模塊完成，所述指紋比對結果保存在所述可信平臺模塊晶片，依據指紋特徵比對的結果，決定可信平臺模塊是否執行下一步的工作。
3.根據權利要求1所述的方法，其特徵在於，步驟A1所述預先設置指紋特徵信息模板，是在計算機用戶初始化時，通過採集指紋的圖像信息，提取其指紋特徵數據作為所述指紋特徵信息模板。
4.根據權利要求3所述的方法，其特徵在於，所述初始化還包括在正式使用可信平臺模塊晶片功能之前，操作可信平臺模塊晶片管理軟體完成可信平臺模塊晶片所有者的初始化。
5.根據權利要求1所述的方法，其特徵在於，步驟A1所述指紋特徵信息被可信平臺模塊晶片保護，是所述指紋特徵信息存儲於所述可信平臺模塊晶片中的採用物理防護技術的非易失性存儲器；或是被所述可信平臺模塊加密後保存於所述可信平臺模塊晶片外部的非易失性存儲器。
6.根據權利要求5所述的方法，其特徵在於，所述非易失性存儲器是快閃記憶體存儲器、電可擦寫可編程只讀存儲器、可擦寫可編程只讀存儲器、可編程只讀存儲器或計算機硬碟。
7.根據權利要求1所述的方法，其特徵在於，步驟A3所述指紋特徵提取模塊進行指紋特徵提取計算，是所述指紋特徵提取模塊通過計算機的CPU對所述圖像信息進行指紋特徵提取計算。
8.根據權利要求1所述的方法，其特徵在於，分別在計算機基本輸入輸出系統和作業系統實現所述指紋採集模塊，通過驅動指紋傳感器實現指紋圖像採集功能。
9.根據權利要求1所述的方法，其特徵在於，分別在計算機基本輸入輸出系統和作業系統實現所述指紋特徵提取模塊的提取算法。
10.根據權利要求1所述的方法，其特徵在於，步驟A7所述返回錯誤信息，包括返回所述可信平臺模塊晶片處於非工作狀態的信息。
全文摘要
本發明提供了一種基於TPM和指紋識別的身份控制方法，包括步驟A1、預先設置指紋特徵信息模板，該模板被TPM晶片保護；A2、指紋採集模塊採集當前用戶指紋的圖像信息，將該信息傳送給指紋特徵提取模塊；A3、指紋特徵提取模塊進行指紋特徵提取計算，將結果發送給TPM晶片；A4、TPM晶片的指紋比對模塊，根據指紋特徵信息模板，與本次提取得到的指紋特徵數據進行比對，用於鑑別用戶身份；A5、TPM晶片根據比對結果判斷當前用戶具有操作計算機的權限，則執行步驟A6，否則執行步驟A7；A6、TPM晶片正常工作或執行用戶請求的操作；A7、TPM晶片處於非工作狀態，拒絕執行用戶請求的操作，並向上層返回錯誤信息。
文檔編號G06K9/00GK1971575SQ20061015709
公開日2007年5月30日 申請日期2006年11月24日 優先權日2006年11月24日
發明者楊晶, 劉宏偉, 張璐 申請人:深圳兆日技術有限公司