终端可信计算及数据静态安全系统及方法技术方案

一种终端可信及数据静态安全系统，包括服务器、客户端计算机及认证微系统模块；服务器与客户端计算机经由网络连接，服务器内存储有可信根系统的模板文件及来自客户端计算机的数据指针文件；认证微系统模块存储有用以比对所述服务器及客户端计算机数据信息的可信认证微系统，在客户端计算机通过硬件可信认证后，将服务器上存储的客户端计算机的数据指针文件映射至客户端计算机的硬盘上；认证微系统模块比对数据指针文件所标记的可信根系统的数据与对应的硬盘的存储扇区的可信根系统的数据；若不一致，则判定客户端计算机不可信。还公开了一种终端可信及数据静态安全方法，实现对远程终端进行系统层之前的实时可信监控，保护数据安全。

【技术实现步骤摘要】

本专利技术涉及一种远程桌面系统，尤其是涉及一种基于终端计算资源和服务器严格监控下的终端可信计算及数据静态安全系统及方法。
技术介绍
近年来，随着计算机网络、分布式技术、云计算等高速发展，各种云服务越来越被政企所接受。与此同时，承载这些服务的终端面临未知边界、虚假认证、缺少可控等诸多安全风险，危害信息安全的事件也不断发生，信息安全形势日益严峻。当前，我国越来越重视保密工作。相关国家机关和国家保密局相继颁布了《中华人民共和国保守国家秘密法实施办法》、《涉及国家秘密的信息系统分级保护技术要求》、《涉及国家秘密的信息系统管理规范》等系列保密法规和国家保密标准，要求各涉密单位重视保密管理和监督，重视涉密信息系统分级保护和信息安全建设，保护国家安全和利益不受危害。国内企业特别是武器装备科研生产等涉密单位迫切需要在满足国家强制要求和确保企业智慧资产不外泄的情况下，综合使用信息技术手段，切实保护秘密数据信息安全。使用底层的方式直接对数据进行剥离、统一集中存储和管控，最佳状态是能够实现数据(重要的系统运行数据和用户数据)在任何时候都不存储在分散的用户计算机终端的存储介质上(主要是物理硬盘)，实现知识集中，信息加密存储、传输、处理，并提供授权的安全可控的内部操作应用环境。在国家信息部门将信息安全提高到国家安全层面的同时，类似“去IOE”(IBM、Oracle、EMC)的政策不断出台，急需一种新的解决思路和安全措施，利用先进的计算机信息技术来降低安全风险。目前，网络环境下的计算模式主要分为三种：(1)传统的分布式计算，终端的异构计算环境完全独立，彼此间仅通过网络进行通信和协作。(2)基于服务器虚拟化的云计算技术，终端只是服务器计算资源的远程桌面。对于模式(1)，信息安全主要依赖网络协议和操作系统内核的安全机制，终端操作系统处于不可控和不可信的操作环境，而且终端的主流操作系统均来自国外，接口、后门事件一再被提及，故很难通过修改网络协议和操作系统内核来提升信息安全能力。对于模式(2)，由于核心技术(如虚拟化)掌握在国外厂家手里，使得应用层的安全机制很难达到高可信度。而且，共享相同物理设备的多个虚拟机存在更多的安全隐患，安全问题更容易被扩散。此外，模式(2)在成本、计算能力、图形化桌面体验等方面均表现不尽人意。
技术实现思路
本专利技术解决的技术问题是提供一种终端可信及数据静态安全系统，对远程终端进行系统层之前的实时可信监控，保护数据安全。本专利技术的技术解决方案是：一种终端可信及数据静态安全系统，其中，该系统包括服务器、客户端计算机及认证微系统模块；所述服务器与所述客户端计算机经由网络连接，所述服务器内安装有可信根系统模块及数据指针存储模块，所述可信根系统模块存储有可信根系统的模板文件，所述数据指针存储模块用以存储来自所述客户端计算机的数据指针文件；所述客户端计算机安装有能够从所述服务器载入可信根系统的硬盘，所述认证微系统模块存储有用以比对所述服务器及客户端计算机数据信息的可信认证微系统，其配置于所述服务器及客户端计算机之间；所述认证微系统为在所述客户端计算机的系统层之前启动的认证系统，于所述客户端计算机启动时同时启动，在所述客户端计算机通过硬件可信认证后，将所述服务器上存储的所述客户端计算机的数据指针文件映射至所述客户端计算机的硬盘上；所述认证微系统模块比对所述数据指针文件所标记的可信根系统的数据与对应的所述硬盘的存储扇区的可信根系统的数据，对所述客户端计算机进行实时可信认证；若所述数据指针标记的可信根系统的数据与所述存储扇区的可信根系统的数据不一致，则判定所述客户端计算机不可信。本专利技术还提供一种终端可信及数据静态安全方法，实现远程终端在系统层之前的可信监控。其技术解决方案为：一种终端可信及数据静态安全方法，其特征在于，该方法采用权利要求1至5任意一项所述的终端可信静态安全系统，该方法包括终端可信使用流程：所述客户端计算机开机，通过所述认证微系统向所述服务器进行身份鉴别的可信认证，若授信失败则所述客户端计算机无法加载所述服务器上的数据指针文件，所述客户端计算机的硬盘上的数据无法被识别；若授信成功，所述服务器通过所述认证微系统映射所述数据指针文件至该客户端计算机的硬盘，并根据所述数据指针文件的数据指针启动所述客户端计算机的硬盘上已存在的数据，启动可信根系统；所述认证微系统模块实时比对所述数据指针文件所标记的数据与对应的所述硬盘的存储扇区的数据，对所述客户端计算机进行实时可信认证；若所述数据指针标记的可信根系统的数据与所述存储扇区的可信根系统的数据不一致，则判定所述客户端计算机不可信，所述认证微系统终止映射所述数据指针文件至所述客户端计算机的硬盘上；所述客户端计算机的硬盘的存储扇区发生新增数据时，回传发生新增数据的所述存储扇区的数据指针给所述服务器的数据指针存储模块，对新增的所述存储扇区数据进行数据指针的增量备份。由以上说明得知，本专利技术确实具有如下的优点：本专利技术的终端可信及数据静态安全系统及其方法，从底层操作系统层入手，基于可信计算的原理，在操作系统和计算机硬件之间构建一个安全层，通过认证微系统的监控，实现客户端计算机的操作系统及应用的运行的安全可控，建立可信任的远程桌面计算环境。通过认证微系统的硬件可信认证，确保接入服务器的客户端计算机为合法计算机，进一步地，对应的数据以扇区架构存储，其数据指针文件从硬盘上剥离，上传至服务器主控平台上进行访问控制。客户端计算机只有联通服务器，通过用户身份鉴别后才能开启数据指针下载通道。透过数据指针索引，硬盘上的操作系统和应用系统数据才能进行重组，并被有效的翻译，显示。通过认证微系统在客户端计算机启动和运行过程中，对客户端计算机的硬盘的存储扇区的数据指针管理技术实现对客户端计算机所存储的数据进行实时的可信认证，确保客户端计算机的操作系统及应用为可信状态，保证硬盘数据在接通服务器时以及在离线状态下不会被非法截取。可以有效的防治PE等工具的攻击，确保数据存储的安全性，建立数据静态安全体系。附图说明图1为本专利技术的终端可信及数据静态安全系统的配置结构示意图；图2A为本专利技术的终端可信及数据静态安全系统的认证微系统实时可信认证策略示意图图一；图2B为本专利技术的终端可信及数据静态安全系统的认证微系统实时可信认证策略示意图图二；图3为本专利技术的终端可信及数据静态安全方法的终端可信使用流程示意图；图4为本专利技术的终端可信及数据静态安全方法的终端可信初始化流程示意图。具体实施方式为了对本专利技术的技术特征、目的和效果有更加清楚的理解，现对照附图说明本专利技术的具体实施方式。本专利技术的终端可信及数据静态安全系统是一种能够提供远程安全监控的可信远程桌面系统，通过在客户端计算机的硬件和操作系统软件之间建立一套安全的控制措施，将用户的操作应用系统进行统一的后端管理，为每个用户分配一个可信任的桌面运行计算环境。利用本专利技术的终端可信及数据静态安全系统的安全架构，将操作系统及数据以扇区的架构存储在本地硬盘上，扇区的数据指针技术可以有效的防治PE等工具的攻击，确保数据存储的安全性，建立数据静态安全体系。请参阅图1所示，为本专利技术较佳实施例中的配置结构示意图。如图所示，本专利技术的终端可信及数据静态安全系统，在其较佳的实施例中，该系统包括服务器1、客户端本文档来自技高网...

【技术保护点】
一种终端可信及数据静态安全系统，其特征在于，该系统包括服务器、客户端计算机及认证微系统模块；所述服务器与所述客户端计算机经由网络连接，所述服务器内安装有可信根系统模块及数据指针存储模块，所述可信根系统模块存储有可信根系统的模板文件，所述数据指针存储模块用以存储来自所述客户端计算机的数据指针文件；所述客户端计算机安装有能够从所述服务器载入可信根系统的硬盘，所述认证微系统模块存储有用以比对所述服务器及客户端计算机数据信息的可信认证微系统，其配置于所述服务器及客户端计算机之间；所述认证微系统为在所述客户端计算机的系统层之前启动的认证系统，于所述客户端计算机启动时同时启动，在所述客户端计算机通过硬件可信认证后，将所述服务器上存储的所述客户端计算机的数据指针文件映射至所述客户端计算机的硬盘上；所述认证微系统模块比对所述数据指针文件所标记的可信根系统的数据与对应的所述硬盘的存储扇区的可信根系统的数据，对所述客户端计算机进行实时可信认证；若所述数据指针标记的可信根系统的数据与所述存储扇区的可信根系统的数据不一致，则判定所述客户端计算机不可信。

【技术特征摘要】
1.一种终端可信及数据静态安全系统，其特征在于，该系统包括服务器、客户端计算机及认证微系统模块；所述服务器与所述客户端计算机经由网络连接，所述服务器内安装有可信根系统模块及数据指针存储模块，所述可信根系统模块存储有可信根系统的模板文件，所述数据指针存储模块用以存储来自所述客户端计算机的数据指针文件；所述客户端计算机安装有能够从所述服务器载入可信根系统的硬盘，所述认证微系统模块存储有用以比对所述服务器及客户端计算机数据信息的可信认证微系统，其配置于所述服务器及客户端计算机之间；所述认证微系统为在所述客户端计算机的系统层之前启动的认证系统，于所述客户端计算机启动时同时启动，在所述客户端计算机通过硬件可信认证后，将所述服务器上存储的所述客户端计算机的数据指针文件映射至所述客户端计算机的硬盘上；所述认证微系统模块比对所述数据指针文件所标记的可信根系统的数据与对应的所述硬盘的存储扇区的可信根系统的数据，对所述客户端计算机进行实时可信认证；若所述数据指针标记的可信根系统的数据与所述存储扇区的可信根系统的数据不一致，则判定所述客户端计算机不可信。2.如权利要求1所述的终端可信及数据静态安全系统，其特征在于，所述客户端计算机写入新数据至所述硬盘上时，所述硬盘的数据指针文件存储在所述服务器的数据指针存储模块中。3.如权利要求2所述的终端可信及数据静态安全系统，其特征在于，所述客户端计算机的硬盘设有本地可信根系统存储区及本地动态数据存储区，所述本地可信根系统存储区为用以加载来自所述服务器的可信根系统的模板文件的只读存储区，所述本地动态数据存储区为允许所述客户端计算机新增或修改操作的活动存储区，所述本地可信根系统存储区及本地动态数据存储区的数据指针文件存储在所述服务器的数据指针存储模块中。4.如权利要求3所述的终端可信及数据静态安全系统，其特征在于，所述认证微系统模块连接有I/O控制驱动器，所述I/O控制驱动器用以识别和调度输入输出信号，并根据所述认证微系统所映射的数据指针文件判断所述客户端计算机请求的可信根系统文件数据是否存在于其硬盘的本地可信根系统存储区的指定扇区上，若不存在，所述服务器从所述可信根系统的模板文件中加载被请求的所述可信根系统文件数据至所述指定扇区，并将加载完成后的所述数据指针文件存储在所述服务器的数据指针存储模块中；若存在，则根据所述认证微系统所映射的数据指针文件对下一个指定扇区进行判断。5.如权利要求4所述的终端可信及数据静态安全系统，其特征在于，所述I/O控制驱动器判断所述客户端计算机的硬盘的本地动态数据存储区的数据的新增或修改操作，并将发生新增或修改操作的存储扇区的数据指针发送并存储至所述服务器的数据指针存储模块中。6.一种终端可信及数据静态...

【专利技术属性】
技术研发人员：黄辉，
申请(专利权)人：北京德普信科技有限公司，
类型：发明
国别省市：北京;11