发明授权-200480014453.4-计算机操作系统的安全系统与方法.pdf

(19)中华人民共和国国家知识产权局*CN1795439B*(12)发明专利(10)授权公告号CN1795439B(45)授权公告日2012.07.04(21)申请号200480014453.4(74)专利代理机构北京市柳沈律师事务所(22)申请日2004.03.2911105代理人邸万奎黄小临(30)优先权数据20039014542003.03.28AU(51)Int.Cl.G06F12/14(2006.01)(85)PCT申请进入国家阶段日G06F1/00(2006.01)2005.11.25(56)对比文件(86)PCT申请的申请数据EP1097274A2,2001.05.09,PCT/AU2004/0003872004.03.29US5651139A,1997.07.22,(87)PCT申请的公布数据WO0016200A1,2000.03.23,WO2004/086228EN2004.10.07WO02073392A1,2002.09.19,(73)专利权人安全系统有限公司审查员吴紫璇地址澳大利亚西澳大利亚(72)发明人理查德·卡布津斯基迈克尔·A·赫恩拉塞尔·E·鲍尔斯权利要求书权利要求书2页2页说明书说明书1818页页附图附图1515页(54)发明名称计算机操作系统的安全系统与方法(57)摘要一种用于计算机操作系统的安全系统包含处理器(37)，其独立于主机CPU(13)，用来控制主机CPU(13)与在存储设备(21)中所形成的用来存储操作系统的安全分区之间的访问。独立于计算机存储器与存储设备(21)的程序存储器(41)不可修改地存储并提供用来以如下方式操作处理器(37)的计算机程序，该方式控制对存储设备(21)中安全分区的访问。在安全系统初始化之前，阻塞主机CPU(13)对数据存储设备(21)的所有数据访问，并且紧接初始化之后，在处理器(37)的控制下截获这些访问。处理器(37)进行独立控制主机CPU(13)与配置计算机(11)，以在截获阶段期间防止对存储设备(21)上安全分区的未授权访问。用对于存储设备(21)上安全分区的操作系统文件的指定访问权限简档认证计算机(11)的所有用户，并且保持阻塞对于存储设备的数据访问，直CN179543B至正确认证了计算机(11)的用户。CN1795439B权利要求书1/2页1.一种保证对计算机的操作系统的访问安全的安全系统，该计算机具有主机中央处理单元(CPU)、由该主机CPU用来加载程序以操作该计算机的计算机存储器部件、以及用来存储该计算机要使用的数据的存储设备，该安全系统包含：在该存储设备中形成的安全分区，其中该操作系统存储在所述安全分区中；建立简档部件，被安排用来定义至少两个数据访问权限简档，第一访问权限简档对所述安全分区授予读和写访问权限，且第二访问权限简档对所述安全分区不授予写访问权限；以及阻塞部件，用来根据所述访问权限简档来选择性地阻塞主机CPU与安全分区之间的数据访问，其中所述阻塞部件独立于所述主机CPU、并且可与所述主机CPU分离地配置，以在不管主机CPU随后操作的情况下，根据进行所述数据访问的用户的数据访问权限简档，为进行所述数据访问的用户施加并且连续地维持对所述安全分区的数据访问权限的级别，其中安排该安全系统，以在操作系统操作期间，将操作系统文件转至并写入不同于安全分区的位置，从而即使未更新安全分区中的操作系统文件，操作系统的正常操作仍然继续。2.如权利要求1所述的安全系统，其中所述计算机的每个用户都有相关联的访问权限简档，每个访问权限简档都包含指示对于部分存储设备的、用户允许进行的访问权限级别的信息，并且阻塞部件根据与该用户相关联的访问权限简档，控制用户对存储设备的访问。3.如权利要求1或2所述的安全系统，其中安排该安全系统，以将操作系统文件转至并写入闪烁ROM。4.如权利要求1或2所述的安全系统，其中安排该安全系统，以将操作系统文件转至并写入在存储设备中所形成的不可见分区。5.如权利要求2所述的安全系统，进一步包含认证部件，用来认证计算机用户并且将该用户与指定的访问权限简档相关联，所述阻塞部件根据与该用户相关联的访问权限简档控制对安全分区的随后的访问。6.如上述权利要求1或2所述的安全系统，其中所述阻塞部件包含处理部件，用来控制所述阻塞部件的操作。7.如权利要求2所述的安全系统，其中所述阻塞部件被配置来：在安全系统的初始化之前阻塞主机CPU对存储设备的所有访问，并且紧接所述初始化之后根据相应的访问权限简档选择性地允许访问。8.如权利要求7所述的安全系统，其中只有在正确认证用户之后，所述认证部件才使得能够进行计算机的软件启动，并且所述安全系统允许在所述软件启动之后的计算机启动序列期间正常加载操作系统。9.如上述权利要求1或2所述的安全系统，其中所述阻塞部件在