专利名称：双向硬件认证方法及系统的制作方法
技术领域：
本发明涉及认证方法，尤指一种基于基本输入输出系统的双向硬件认证方法及系统。
背景技术：
现有计算机在生产阶段，会被写入特定的信息，作为该计算机的唯一的标识。被写 入特定的信息具有不易被篡改、复制和攻击的特点。 —般计算机生产厂家设置有一个服务器，当用户的计算机开机上线后，由于计算 机具有所述唯一的标识，服务器可以立即识别该计算机。所述计算接可以通过服务器下载 具体服务内容。 实际上，计算机与生产该计算机的服务器之间的关系，类似于"神州行"式的PC上 线识别需求。即在不需要用户干预的情况下，计算机可以上线自动识别，以便实现手动充 值、自动计费、自动扣费、自动服务推送等功能。 在计算机的生产阶段，现有生产服务器通过向计算机注入明文一号通，计算机在 BIOS(基本输入输出系统)中注入所述明文一号通，即在BIOS中写入一串明文数据串。同 时，生产服务器将所述明文一号通和所述计算机以及之间的对应关系存储到数据库中。
当所述计算机登陆内容服务器时，内容服务器可以读取所述计算机的明文一号 通，与所述数据库中的所述明文一号通和所述计算机以及之间的对应关系进行匹配比较， 确定所述计算机是否为合法的计算机。 但现有计算机的BIOS中注入的是明文一号通，或者是明文SN(SerialNumber，标 示号)，容易被对比破解，易被篡改、易被复制、易被伪造。就会造成黑客盗用合法用户资源 的后果。 而且内容服务器对用户的平台判断只是依据明文一号通或SN，安全性较低。同样， 计算机没有基于硬件的防钓鱼手段，无法识别假冒的内容服务器，只是实现了简单的单向 认证。
发明内容
本发明的目的是提供一种双向硬件认证方法及系统，用于内容服务器和计算机之 间的双向认证。 根据本发明的一个方面，提供了一种双向硬件认证方法，所述方法包括以下步 骤 将生产阶段生产服务器生成的用户标示号加密后的结果发送计算机，将所述加密 后的结果作为计算机标示号，存储在基本输入输出系统数据块中； 将生产阶段采集的计算机平台硬件信息作为平台指纹，将所述平台指纹和所述平 台指纹的生产证书签名，存储在所述基本输入输出系统数据块中；
将内容服务器的地址存储在所述基本输入输出系统数据块中；
提取所述基本输入输出系统数据块中的所述内容服务器的地址发送所述计算 机； 按照所述内容服务器的地址建立所述计算机与所述内容服务器之间的连接；
校验提取所述计算机的平台指纹与存储在所述基本输入输出系统数据块中的平 台指纹一致后，向所述内容服务器提交所述平台指纹生产证书签名，进行生产证书验证，验 证通过确定所述基本输入输出系统数据块合法； 将内容服务器的验证结果经服务证书签名后发送所述计算机，所述计算机通过所
述基本输入输出系统数据块内的服务证书验证，确定所述内容服务器的合法性。 优选地，所述计算机标示号经所述内容服务器加密后，存储在基本输入输出系统
数据块中。 优选地，所述生产证书内置在所述生产服务器中，所述服务证书内置在所述内容 服务器中。 优选地，在所述基本输入输出系统数据块中存储生产阶段生产服务器内置的管道 密钥，所述管道密钥用于保证所述内容服务器和所述计算机之间数据传递的安全。
优选地，所述将内容服务器的地址存储在所述基本输入输出系统数据块中的步骤 之前，还包括 将生产阶段内容服务器的根密钥加密后的结果，存储在基本输入输出系统数据块 中。 优选地，在所述将生产阶段内容服务器的根密钥加密后的结果，存储在基本输入 输出系统数据块中步骤之后，还包括 将所述平台信息、平台指纹生产证书签名及根密钥加密后的结果一并发送所述内 容服务器，由所述内容服务器验证计算机身份后，解密所述根密钥后返还给所述计算机。
根据本发明的又一个方面，还提供了一种双向硬件认证系统，所述系统包括生产 服务器、计算机、内容服务器以及基本输入输出系统数据块、平台指纹采集单元和提取单 元； 平台指纹采集单元，在生产阶段采集计算机平台硬件信息作为平台指纹，将所述 平台指纹和所述平台指纹的生产证书签名，存储在所述基本输入输出系统数据块中；
生产服务器，在生产阶段生成用户标示号加密后的结果发送所述计算机，将所述 加密后的结果作为计算机标示号，存储在所述基本输入输出系统数据块中；
所述基本输入输出系统数据块，存储内容服务器的地址； 提取单元，用于提取所述基本输入输出系统数据块中的所述内容服务器的地址发 送所述计算机； 所述计算机按照所述内容服务器的地址建立与所述内容服务器之间的连接；
所述计算机提取的自身平台指纹与存储在所述基本输入输出系统数据块中的平 台指纹校验一致后，向所述内容服务器提交所述平台指纹生产证书签名，进行生产证书验 证，验证通过确定所述基本输入输出系统数据块合法； 所述计算机接收经服务证书签名的所述内容服务器验证结果，通过所述基本输入 输出系统数据块内的服务证书验证，确定所述内容服务器的合法性。 优选地，所述生产服务器包括加密单元，用于将所述计算机标示号经所述内容服
5务器加密后，存储在所述基本输入输出系统数据块中。 优选地，所述生产证书内置在所述生产服务器中，所述服务证书内置在所述内容 服务器中。 优选地，所述计算机，将所述平台信息、平台指纹生产证书签名及根密钥加密后的 结果一并发送所述内容服务器，由所述内容服务器验证计算机身份后，解密所述根密钥后 返还给所述计算机。 本发明实施例所述双向硬件认证方法，由于基本输入输出系统数据块中存储了计 算机标示号、生产服务器内置的平台指纹和所述平台指纹的生产证书签名，以及内容服务 器的地址，计算机的平台信息不再依据明文的SN，而是计算机的硬件信息即平台指纹，另外 平台指纹还可以被加密保护和生产证书签名，进一步增强了计算机认证的安全性。内容服 务器的验证结果经服务证书签名后发送到所述计算机，所述计算机可以通过BIOS Token内 的服务证书验证，确定所述内容服务器的合法性，实现了基于硬件的双向认证。
本发明实施例所述双向硬件认证方法还可以通过生产证书和服务证书表征生产 服务器和内容服务器，生产证书为BIOS Token的信息安全签名，服务证书为发送的内容签 名，保证了内容服务器发送内容的安全性。
图1是本发明所述双
图2是本发明所述双
图3是本发明所述双
图4是本发明所述双
向硬件认证方法第一实施例流程图; 向硬件认证方法第二实施例流程图; 向硬件认证系统第一实施例结构图; 向硬件认证系统第二实施例结构图。
具体实施例方式
本发明提供一种双向硬件认证方法及系统，用于实现内容服务器和计算机之间的 双向认证。 参见图l，该图为本发明所述双向硬件认证方法第一实施例流程图。
本发明第一实施例所述双向硬件认证方法，包括以下步骤 S100、将生产阶段生产服务器生成的用户标示号加密后的结果发送计算机，将所
述加密后的结果作为计算机标示号，存储在基本输入输出系统数据块中。 所述计算机标示号可以经所述内容服务器加密后，存储在基本输入输出系统数据块中。 在生产阶段，生产服务器首先会产生一个USER(用户)SN(例如NA0608XXXXXX)， 该SN会打印贴在计算机的机箱外部，类似于神州行号码。USER SN的HASH结果(可以设置 HASH次数、或者HASH组成如SN+UUIDHASH三次的结果)为实际的PC SN，PC SN可被内容 服务器加密的保存在BIOS Token内部。 当用户预付费阶段，通过另一台PC登陆内容服务器，输入USER SN，内容服务器可 以通过USER SN演算出PC SN，并对相应账户进行操作管理。 S200、将生产阶段采集的计算机平台硬件信息作为平台指纹，将所述平台指纹和 所述平台指纹的生产证书签名，存储在所述基本输入输出系统数据块中。
6
在生产阶段，生产服务器会或基于PC的应用程序会采集平台硬件信息(UUID、 MAC、CPUID)，作为平台指纹，用于防止复制。所述平台指纹会被明文的或者由生产服务器加 密后存储，还可以一并存储平台指纹的HASH及其生产证书签名，可以防止平台指纹被伪造 或者被篡改。 S300、将内容服务器的地址存储在所述基本输入输出系统数据块中。 在生产阶段，生产服务器会可以内置内容服务器的WEB地址或IP地址，也可以将
内容服务器的WEB地址的HASH或IP地址的HASH存储在BIOSToken内部，用于防钓鱼。 在生产阶段，生产服务器可以内置内容服务器的服务证书公钥，也可以内置服务
器的服务证书公钥及其HASH存储在BIOS Token内部，保证双向验证。 在生产阶段，生产服务器会内置由内容服务器加密后的RootKey及其HASH存储于
BIOS Token内部；(用作安全应用RootKey) 在生产阶段，生产服务器可以将上述存储在BIOS Token内部的数据用生产证书签 名后存储在BIOS Token内部。 S400、提取所述基本输入输出系统数据块中的所述内容服务器的地址发送所述计 算机。 S500、按照所述内容服务器的地址建立所述计算机与所述内容服务器之间的连接。 在认证阶段，PC可以提取BIOS Token里面的内容服务器的WEB地址或IP地址并 校验；PC会按照地址于内容服务器进行连接。 S600、校验提取所述计算机的平台指纹与存储在所述基本输入输出系统数据块中 的平台指纹一致后，向所述内容服务器提交所述平台指纹生产证书签名，进行生产证书验 证，验证通过确定所述基本输入输出系统数据块合法。 生产证书可以内置在生产服务器中。生产服务器可以具有一张内置生产证书，生 产服务器负责对计算机的BIOS写入数据块(Token)，并对Token的合法性用生产证书签章 负责。 S700、将内容服务器的验证结果经服务证书签名后发送所述计算机，所述计算机 通过所述基本输入输出系统数据块内的服务证书验证，确定所述内容服务器的合法性。
服务证书可以内置在内容服务器中。内容服务器可以具有一张内置服务证书，内 容服务器负责验证PC计算机Token的合法性，并对向计算机发送的内容进行服务证书签章 负责。 计算机的BIOS需要具有足够的空间进行Token的存储，亦有足够的算法能力进行 密码学的运算。 在认证阶段，连接建立后，PC会提取自己的平台信息，若BIOS Token存储的平台 指纹为明文信息，PC可以根据当前状态进行初步校验。PC会向内容服务器提交产生的平台 信息和当前读取的现有信息；内容服务器通过生产证书的验证，可以得知BIOS Token的指 纹信息合法性，防伪造、防篡改。得知当前状态的一致性，防复制。 如内容服务器认为有必要，可以扩大认证范围，及验证全部数据的总签名作为二 次验证手段。 在认证阶段，内容服务器会根据验证的结果给PC—个回馈且该回馈经过服务证书签名，PC通过BIOS Token内置的服务证书公钥进行验证，可知内容服务器的合法性，保 证双向认证实现。 在应用阶段，如果PC需要解密RootKey，在加密管道内，把上述平台信息、签名及 加密后的RootKet —并交给内容服务器，由内容服务器验证PC身份后，解密后返还给PC。
本发明第一实施例所述双向硬件认证方法，由于基本输入输出系统数据块中存
储了计算机标示号、生产服务器内置的平台指纹和所述平台指纹的生产证书签名，以及内 容服务器的地址，计算机的平台信息不再依据明文的SN，而是计算机的硬件信息即平台指
纹，另外平台指纹还可以被加密保护和生产证书签名，进一步增强了计算机认证的安全性。 内容服务器的验证结果经服务证书签名后发送到所述计算机，所述计算机可以通过BIOS Token内的服务证书验证，确定所述内容服务器的合法性，实现了基于硬件的双向认证。
本发明实施例所述双向硬件认证方法还可以通过生产证书和服务证书表征生产 服务器和内容服务器，生产证书为BIOS Token的信息安全签名，服务证书为发送的内容签 名，保证了内容服务器发送内容的安全性。 本发明实施例所述双向硬件认证方法，在所述基本输入输出系统数据块中可以存 储生产阶段生产服务器内置的管道密钥，所述管道密钥用于保证所述内容服务器和所述计 算机之间数据传递的安全。在认证阶段，PC首先会提取BIOS Token里面的管道密钥，并对 其进行校验；在认证阶段，PC可以提取BIOS Token里面的内容服务器的WEB地址或IP地 址并校验；PC会按照地址于内容服务器进行连接并建立加密管道，以防钓鱼。
在生产阶段，生产服务器可以内置一个管道密钥及管道密钥的HASH结果存储于 BIOS Token内部。 参见图2，该图为本发明所述双向硬件认证方法第二实施例流程图。 本发明所述双向硬件认证方法第二实施例相对第一实施例的区别在于，所述步骤
S300之前，还可以包括 S210、将生产阶段内容服务器的根密钥加密后的结果，存储在基本输入输出系统 数据块中。 S220、将所述平台信息、平台指纹生产证书签名及根密钥加密后的结果一并发送 所述内容服务器，由所述内容服务器验证计算机身份后，解密所述根密钥后返还给所述计 算机。 本发明还提供一种双向硬件认证系统，用于实现内容服务器和计算机之间的双向 认证。 参见图3，该图位本发明所述双向硬件认证系统第一实施例结构图。 本发明第一实施例所述双向硬件认证系统，包括生产服务器1、计算机2、内容服
务器3以及基本输入输出系统数据块4、平台指纹采集单元5和提取单元6。 平台指纹采集单元5，在生产阶段采集计算机2平台硬件信息作为平台指纹，将所
述平台指纹和所述平台指纹的生产证书签名，存储在所述基本输入输出系统数据块4中。 生产服务器l，在生产阶段生成用户标示号加密后的结果发送所述计算机2，将所
述加密后的结果作为计算机标示号，存储在所述基本输入输出系统数据块4中。 所述基本输入输出系统数据块4，存储内容服务器3的地址。 提取单元6，用于提取所述基本输入输出系统数据块4中的所述内容服务器3的地址发送所述计算机2。 所述计算机2按照所述内容服务器3的地址建立与所述内容服务器3之间的连 接。 所述计算机2提取的自身平台指纹与存储在所述基本输入输出系统数据块4中的 平台指纹校验一致后，向所述内容服务器3提交所述平台指纹生产证书签名，进行生产证 书验证，验证通过确定所述基本输入输出系统数据块4合法。 所述计算机2接收经服务证书签名的所述内容服务器3验证结果，通过所述基本 输入输出系统数据块4内的服务证书验证，确定所述内容服务器3的合法性。
本发明第一实施例所述双向硬件认证系统，由于基本输入输出系统数据块4中存 储了计算机标示号、生产服务器1内置的平台指纹和所述平台指纹的生产证书签名，以及 内容服务器3的地址，计算机2的平台信息不再依据明文的SN，而是计算机2的硬件信息即 平台指纹，另外平台指纹还可以被加密保护和生产证书签名，进一步增强了计算机2认证 的安全性。内容服务器3的验证结果经服务证书签名后发送到所述计算机2，所述计算机2 可以通过BI0S Token内的服务证书验证，确定所述内容服务器3的合法性，实现了基于硬 件的双向认证。 本发明实施例所述双向硬件认证系统还可以通过生产证书和服务证书表征生产 服务器1和内容服务器3，生产证书为BIOS Token4的信息安全签名，服务证书为发送的内 容签名，保证了内容服务器3发送内容的安全性。 所述生产服务器1还可以包括加密单元ll，用于将所述计算机标示号经所述内容 服务器3加密后，存储在所述基本输入输出系统数据块4中。 所述生产证书可以内置在所述生产服务器1中，所述服务证书内置在所述内容服 务器3中。 所述计算机2，将所述平台信息、平台指纹生产证书签名及根密钥加密后的结果一 并发送所述内容服务器3，由所述内容服务器3验证计算机2身份后，解密所述根密钥后返 还给所述计算机2。 本发明实施例所述双向硬件认证系统的平台信息不再依据明文的SN，而是整个
PC的硬件信息，且该信息可以被加密保护，可以防复制、防篡改、防伪造。 本发明实施例所述双向硬件认证系统增加了生产证书和服务证书，来表征生产服
务器、内容服务器两个服务器身份，两个证书可以合并为一。 生产证书为BIOS Token内的信息安全性签章，服务证书为推送的内容签章，生产 证书和服务证书可以保证所签章内容的安全性，使得BIOS Token信息防复制、防篡改、防伪造。 BIOS Token可以内置管道密钥，实现安全管道，保证计算机和内容服务器之间数 据传递的安全。BIOS Token可以内置RootKey，可实现安全应用。
BIOS Token可以内置绑定生产服务器，防钓鱼。 以上所述仅为本发明的优选实施方式，并不构成对本发明保护范围的限定。任何 在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的权 利要求保护范围之内。
权利要求
一种双向硬件认证方法，其特征在于，所述方法包括以下步骤将生产阶段生产服务器生成的用户标示号加密后的结果发送计算机，将所述加密后的结果作为计算机标示号，存储在基本输入输出系统数据块中；将生产阶段采集的计算机平台硬件信息作为平台指纹，将所述平台指纹和所述平台指纹的生产证书签名，存储在所述基本输入输出系统数据块中；将内容服务器的地址存储在所述基本输入输出系统数据块中；提取所述基本输入输出系统数据块中的所述内容服务器的地址发送所述计算机；按照所述内容服务器的地址建立所述计算机与所述内容服务器之间的连接；校验提取所述计算机的平台指纹与存储在所述基本输入输出系统数据块中的平台指纹一致后，向所述内容服务器提交所述平台指纹生产证书签名，进行生产证书验证，验证通过确定所述基本输入输出系统数据块合法；将内容服务器的验证结果经服务证书签名后发送所述计算机，所述计算机通过所述基本输入输出系统数据块内的服务证书验证，确定所述内容服务器的合法性。
2. 根据权利要求1所述的双向硬件认证方法，其特征在于，所述计算机标示号经所述 内容服务器加密后，存储在基本输入输出系统数据块中。
3. 根据权利要求1所述的双向硬件认证方法，其特征在于，所述生产证书内置在所述 生产服务器中，所述服务证书内置在所述内容服务器中。
4. 根据权利要求1所述的双向硬件认证方法，其特征在于，在所述基本输入输出系统 数据块中存储生产阶段生产服务器内置的管道密钥，所述管道密钥用于保证所述内容服务 器和所述计算机之间数据传递的安全。
5. 根据权利要求1所述的双向硬件认证方法，其特征在于，所述将内容服务器的地址 存储在所述基本输入输出系统数据块中的步骤之前，还包括将生产阶段内容服务器的根密钥加密后的结果，存储在基本输入输出系统数据块中。
6. 根据权利要求5所述的双向硬件认证方法，其特征在于，在所述将生产阶段内容服 务器的根密钥加密后的结果，存储在基本输入输出系统数据块中步骤之后，还包括将所述平台信息、平台指纹生产证书签名及根密钥加密后的结果一并发送所述内容服 务器，由所述内容服务器验证计算机身份后，解密所述根密钥后返还给所述计算机。
7. —种双向硬件认证系统，其特征在于，所述系统包括生产服务器、计算机、内容服务 器以及基本输入输出系统数据块、平台指纹采集单元和提取单元；平台指纹采集单元，在生产阶段采集计算机平台硬件信息作为平台指纹，将所述平台 指纹和所述平台指纹的生产证书签名，存储在所述基本输入输出系统数据块中；生产服务器，在生产阶段生成用户标示号加密后的结果发送所述计算机，将所述加密 后的结果作为计算机标示号，存储在所述基本输入输出系统数据块中；所述基本输入输出系统数据块，存储内容服务器的地址；提取单元，用于提取所述基本输入输出系统数据块中的所述内容服务器的地址发送所 述计算机；所述计算机按照所述内容服务器的地址建立与所述内容服务器之间的连接； 所述计算机提取的自身平台指纹与存储在所述基本输入输出系统数据块中的平台指 纹校验一致后，向所述内容服务器提交所述平台指纹生产证书签名，进行生产证书验证，验证通过确定所述基本输入输出系统数据块合法；所述计算机接收经服务证书签名的所述内容服务器验证结果，通过所述基本输入输出 系统数据块内的服务证书验证，确定所述内容服务器的合法性。
8. 根据权利要求7所述的双向硬件认证系统，其特征在于，所述生产服务器包括加密单元，用于将所述计算机标示号经所述内容服务器加密后， 存储在所述基本输入输出系统数据块中。
9. 根据权利要求7所述的双向硬件认证系统，其特征在于，所述生产证书内置在所述生产服务器中，所述服务证书内置在所述内容服务器中。
10. 根据权利要求7所述的双向硬件认证系统，其特征在于，所述计算机，将所述平台信息、平台指纹生产证书签名及根密钥加密后的结果一并发 送所述内容服务器，由所述内容服务器验证计算机身份后，解密所述根密钥后返还给所述 计算机。
全文摘要
双向硬件认证方法包括将计算机标示号、平台指纹、平台指纹生产证书签名，以及内容服务器的地址存储在基本输入输出系统数据块中；提取基本输入输出系统数据块中内容服务器的地址发送计算机；按照内容服务器的地址建立计算机与内容服务器之间的连接；提取计算机平台指纹与存储在基本输入输出系统数据块中平台指纹校验一致，向内容服务器提交平台指纹生产证书签名，进行生产证书验证，通过后确定基本输入输出系统数据块合法；将内容服务器的验证结果经服务证书签名后发送计算机，计算机通过基本输入输出系统数据块内服务证书验证，确定内容服务器合法。本发明双向硬件认证方法及系统，实现内容服务器和计算机之间双向认证。
文档编号H04L29/06GK101741561SQ200810226609
公开日2010年6月16日 申请日期2008年11月17日 优先权日2008年11月17日
发明者刘娜, 李希喆 申请人:联想(北京)有限公司