【技術(shù)實(shí)現(xiàn)步驟摘要】
本專利技術(shù)屬于網(wǎng)絡(luò)空間安全，特別涉及一種基于多維訪問控制策略的安全管控芯片及其工作方法。
技術(shù)介紹
1、應(yīng)對網(wǎng)絡(luò)安全隱患，主要有兩類保護(hù)方法：(1)軟件保護(hù)，通過研發(fā)安全性更好的加密算法和網(wǎng)絡(luò)通信協(xié)議實(shí)現(xiàn)；(2)硬件保護(hù)，通過安全系統(tǒng)架構(gòu)設(shè)計(jì)或安控芯片實(shí)現(xiàn)。
2、傳統(tǒng)的安全芯片內(nèi)嵌在系統(tǒng)中，主要實(shí)現(xiàn)加解密運(yùn)算，通過總線與系統(tǒng)連接，利用cpu或控制模塊對數(shù)據(jù)進(jìn)行加解密操作，數(shù)據(jù)通過pcie數(shù)據(jù)線進(jìn)行傳輸。這種方式容易收到網(wǎng)絡(luò)攻擊，例如利用旁路電路繞過安全芯片，釣魚攻擊獲得加密模塊信息，修改驅(qū)動控制流程等。
3、近些年安全芯片以嵌入式系統(tǒng)為主，通過獨(dú)立的芯片系統(tǒng)實(shí)現(xiàn)將關(guān)鍵數(shù)據(jù)與外部環(huán)境進(jìn)行物理隔離，同時(shí)增加一定的訪問控制約束限制對安全芯片的訪問和操作權(quán)限。但是現(xiàn)有的安全芯片所設(shè)計(jì)的訪問控制策略往往過于單一，例如指紋識別約束、ip地址或mac地址白名單約束、證書認(rèn)證約束等。
4、因此，如何設(shè)計(jì)基于多維度訪問控制策略的安全管控芯片架構(gòu)是亟需解決的問題，目前尚未出現(xiàn)比較成熟的解決方案。
技術(shù)實(shí)現(xiàn)思路
1、為了克服上述現(xiàn)有技術(shù)的缺點(diǎn)，本專利技術(shù)的目的在于提供一種基于多維訪問控制策略的安全管控芯片及其工作方法，引入多個(gè)訪問控制策略，并進(jìn)一步針對不同安全需求對處理器運(yùn)行域進(jìn)行物理隔離，提升安全管控芯片的安全防護(hù)能力和安全審計(jì)能力。
2、為了實(shí)現(xiàn)上述目的，本專利技術(shù)采用的技術(shù)方案是：
3、一種基于多維訪問控制策略的安全管控芯片，包括：通過片
4、所述多維訪問控制策略基于如下五個(gè)訪問控制單元實(shí)現(xiàn)：人員訪問控制單元、時(shí)間訪問控制單元、地點(diǎn)訪問控制單元、對象訪問控制單元和行為訪問控制單元；
5、所述人員訪問控制單元，基于所述生理信息采集模組進(jìn)行操作人員識別和/或認(rèn)證；所述時(shí)間訪問控制單元，基于所述rtc管理模塊進(jìn)行芯片時(shí)間鎖定，并設(shè)置授權(quán)訪問時(shí)間段；所述地點(diǎn)訪問控制單元，基于所述全球衛(wèi)星定位模組獲取定位信息，并設(shè)置授權(quán)訪問范圍；所述對象訪問控制單元，管控外設(shè)/網(wǎng)絡(luò)/人員的訪問權(quán)限；所述行為訪問控制單元，基于其它單元產(chǎn)生的日志數(shù)據(jù)，進(jìn)行監(jiān)測，并將日志數(shù)據(jù)保存用于審計(jì)。
6、在一個(gè)實(shí)施例中，所述人員訪問控制單元包括生理識別模塊和身份認(rèn)證模塊；
7、所述生理識別模塊，連接所述外置生理信息采集模組，具備指紋識別功能和人臉識別功能；
8、所述身份認(rèn)證模塊，通過操作人員輸入用戶名和密碼完成身份認(rèn)證和設(shè)備登陸；
9、所述時(shí)間訪問控制單元包括所述rtc管理模塊和時(shí)間管控模塊；
10、所述rtc管理模塊，由所述供電模組獨(dú)立供電，具備獨(dú)立電源域、防復(fù)位的特性，上電后bootloader配置rtc并鎖定，芯片時(shí)間無法篡改，用于保障安全管控芯片的時(shí)間獨(dú)立性；
11、所述時(shí)間管控模塊，通過設(shè)置允許訪問時(shí)間段屏蔽非授權(quán)時(shí)間段內(nèi)的非法訪問；
12、所述地點(diǎn)訪問控制單元包括地點(diǎn)管控模塊；
13、所述地點(diǎn)管控模塊，通過連接所述全球衛(wèi)星定位模組獲取定位信息，并設(shè)置授權(quán)使用范圍，當(dāng)設(shè)備離開授權(quán)使用范圍后，設(shè)備停止使用；
14、所述對象訪問控制單元包括旁路管控模塊、網(wǎng)絡(luò)管控模塊和權(quán)限管控模塊；
15、所述旁路管控模塊，對外設(shè)模組進(jìn)行旁路監(jiān)測并保存所有外設(shè)操作日志，當(dāng)發(fā)生使用異常時(shí)，旁路管控模塊鎖定所有外設(shè)；
16、所述網(wǎng)絡(luò)管控模塊，連接不同類型的網(wǎng)絡(luò)外設(shè)，并對包括訪問地址、訪問端口和訪問請求類型在內(nèi)的網(wǎng)絡(luò)行為進(jìn)行管控、監(jiān)測，并保存所有網(wǎng)絡(luò)日志；
17、所述權(quán)限管控模塊，負(fù)責(zé)管控不同類型操作人員的訪問權(quán)限；
18、所述行為訪問控制單元包括行為監(jiān)測模塊和審計(jì)管控模塊；
19、所述行為監(jiān)測模塊，對安全管控芯片內(nèi)所產(chǎn)生的關(guān)鍵行為數(shù)據(jù)進(jìn)行監(jiān)測并傳輸給審計(jì)管控模塊；
20、所述關(guān)鍵行為數(shù)據(jù)，包括由人員訪問控制單元、時(shí)間訪問控制單元、地點(diǎn)訪問控制單元、對象訪問控制單元、數(shù)據(jù)安全管控單元產(chǎn)生的所有日志數(shù)據(jù)；
21、所述審計(jì)管控模塊，負(fù)責(zé)與高限制數(shù)據(jù)讀寫模塊協(xié)同工作，將所有審計(jì)數(shù)據(jù)保存至安全管控芯片內(nèi)的高限制存儲區(qū)。
22、在一個(gè)實(shí)施例中，所述人臉識別功能，在操作人員使用設(shè)備期間進(jìn)行間隔身份認(rèn)證，通過外置攝像頭采集操作人員的面部圖像，在設(shè)備使用期間每間隔一定時(shí)間采集一次并與設(shè)備內(nèi)置圖像庫進(jìn)行比對，當(dāng)出現(xiàn)人臉識別不匹配情況，設(shè)備停止使用。
23、在一個(gè)實(shí)施例中，所述安全管控芯片還包括：
24、數(shù)據(jù)安全管控單元，結(jié)合各訪問控制單元對訪問行為的綜合管控結(jié)果，對受管控系統(tǒng)或設(shè)備進(jìn)行安全管控，同時(shí)其日志數(shù)據(jù)受到訪問控制單元的審計(jì)；
25、數(shù)據(jù)加解密單元，基于所述真隨機(jī)數(shù)發(fā)生器和加解密模塊，對網(wǎng)絡(luò)傳輸數(shù)據(jù)進(jìn)行加解密；
26、片內(nèi)存儲單元，存放不同安全等級的信息。
27、在一個(gè)實(shí)施例中，所述數(shù)據(jù)安全管控單元包括運(yùn)行狀態(tài)熱切換模塊、系統(tǒng)運(yùn)行域熱切換模塊、網(wǎng)絡(luò)數(shù)據(jù)處理模塊、高限制數(shù)據(jù)讀寫模塊；
28、所述運(yùn)行狀態(tài)熱切換模塊，通過監(jiān)測訪問請求或網(wǎng)絡(luò)傳輸需求，負(fù)責(zé)切換安全管控芯片的待機(jī)狀態(tài)和工作狀態(tài)；
29、所述系統(tǒng)運(yùn)行域熱切換模塊，通過時(shí)間分片技術(shù)，負(fù)責(zé)切換嵌入式管控工作系統(tǒng)在高性能cpu中的運(yùn)行域，即安全世界或普通世界；
30、所述網(wǎng)絡(luò)數(shù)據(jù)處理模塊，結(jié)合安全通信協(xié)議對通過安全管控芯片的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行加解密處理，其中加解密的運(yùn)算由所述數(shù)據(jù)加解密單元完成；
31、所述安全通信協(xié)議為專用定制化安全通信協(xié)議，僅包含國密算法，能夠與其他搭載了安全管控芯片的設(shè)備進(jìn)行安全通信；
32、所述高限制數(shù)據(jù)讀寫模塊，負(fù)責(zé)根據(jù)使用權(quán)限和需求對片內(nèi)存儲單元的不同存儲區(qū)域進(jìn)行讀寫操作；
33、所述數(shù)據(jù)加解密單元包括所述真隨機(jī)數(shù)發(fā)生器和加解密模塊；
34、所述真隨機(jī)數(shù)發(fā)生器，用于產(chǎn)生生成密鑰的真隨機(jī)數(shù)；
35、所述加解密模塊，用于利用所述真隨機(jī)數(shù)，對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行加解密運(yùn)算；
36、所述存儲區(qū)包括rom存儲區(qū)、efuse存儲區(qū)、高限制存儲區(qū)和普通存儲區(qū)；
37、所述rom存儲區(qū)，用于儲存bootloader；
38、所述efuse存儲區(qū)，用于存儲安全管控芯片唯一身份碼和唯一密鑰；所述數(shù)據(jù)加解密單元從efuse存儲區(qū)讀取所述的唯一密鑰；
39、所述高限制存儲區(qū)，用于存儲安全管控芯片固件、指紋本文檔來自技高網(wǎng)...
【技術(shù)保護(hù)點(diǎn)】
1.一種基于多維訪問控制策略的安全管控芯片，其特征在于，包括：通過片內(nèi)總線互聯(lián)的中央處理器、動態(tài)存儲器、DMA模塊、真隨機(jī)數(shù)發(fā)生器、加解密模塊、RTC管理模塊、電源管理模塊、存儲區(qū)以及用于連接外圍設(shè)備的各類型接口；所述外圍設(shè)備包括生理信息采集模組、供電模組、全球衛(wèi)星定位模組、外設(shè)模組、網(wǎng)絡(luò)模組、片外存儲以及專用讀寫設(shè)備；所述中央處理器包括高性能CPU和低功耗MCU，所述高性能CPU用于運(yùn)行嵌入式管控工作系統(tǒng)，所述低功耗MCU用于運(yùn)行嵌入式管控待機(jī)系統(tǒng)；
2.根據(jù)權(quán)利要求1所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述人員訪問控制單元包括生理識別模塊和身份認(rèn)證模塊；
3.根據(jù)權(quán)利要求2所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述人臉識別功能，在操作人員使用設(shè)備期間進(jìn)行間隔身份認(rèn)證，通過外置攝像頭采集操作人員的面部圖像，在設(shè)備使用期間每間隔一定時(shí)間采集一次并與設(shè)備內(nèi)置圖像庫進(jìn)行比對，當(dāng)出現(xiàn)人臉識別不匹配情況，設(shè)備停止使用。
4.根據(jù)權(quán)利要求2所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述安全管控芯片還包括：
<...【技術(shù)特征摘要】
1.一種基于多維訪問控制策略的安全管控芯片，其特征在于，包括：通過片內(nèi)總線互聯(lián)的中央處理器、動態(tài)存儲器、dma模塊、真隨機(jī)數(shù)發(fā)生器、加解密模塊、rtc管理模塊、電源管理模塊、存儲區(qū)以及用于連接外圍設(shè)備的各類型接口；所述外圍設(shè)備包括生理信息采集模組、供電模組、全球衛(wèi)星定位模組、外設(shè)模組、網(wǎng)絡(luò)模組、片外存儲以及專用讀寫設(shè)備；所述中央處理器包括高性能cpu和低功耗mcu，所述高性能cpu用于運(yùn)行嵌入式管控工作系統(tǒng)，所述低功耗mcu用于運(yùn)行嵌入式管控待機(jī)系統(tǒng)；
2.根據(jù)權(quán)利要求1所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述人員訪問控制單元包括生理識別模塊和身份認(rèn)證模塊；
3.根據(jù)權(quán)利要求2所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述人臉識別功能，在操作人員使用設(shè)備期間進(jìn)行間隔身份認(rèn)證，通過外置攝像頭采集操作人員的面部圖像，在設(shè)備使用期間每間隔一定時(shí)間采集一次并與設(shè)備內(nèi)置圖像庫進(jìn)行比對，當(dāng)出現(xiàn)人臉識別不匹配情況，設(shè)備停止使用。
4.根據(jù)權(quán)利要求2所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述安全管控芯片還包括：
5.根據(jù)權(quán)利要求4所述基于多維訪問控制策略的安全管控芯片，其特征在于，所述數(shù)據(jù)安全管控單元包括運(yùn)...
【專利技術(shù)屬性】
技術(shù)研發(fā)人員：梁夢雷，陳昱成，李衛(wèi)，管曉宏，
申請(專利權(quán))人：西交網(wǎng)絡(luò)空間安全研究院，
類型：發(fā)明
國別省市：
還沒有人留言評論。發(fā)表了對其他瀏覽者有用的留言會獲得科技券。