[发明专利]一种安全控制芯片及其实现方法

说明书

技术领域

本发明涉及集成电路系统设计和生物识别技术领域，具体涉及一种本地设备生物识别安全控制芯片及其实现方法。

背景技术

现有的安全控制技术包括：

一、传统的本地安全系统，由一个或多个芯片(功能部件)组成，在系统启动的过程中，提示用户输入预先设置的口令，以达到简单的身份认证的目的。

这种方式在应用过程中存在以下的不足：

1.安全方式依赖于设备的电源，如掉电状态口令将会丢失，如计算机主板的BIOS密码。

2.安全方式简单、单一，单一的密码无法表达不同的身份信息，整个系统无法根据其动态调整系统的配置，控制不同的用户的操作权限。

3.简单的口令密码，容易被攻击，而复杂的密码容易被遗忘。

二、随着社会对信息安全的关注，信息安全技术在最近几年也得以长足的发展。通过软件、硬件结合的方式实现信息安全来替代纯软件实现信息安全成为了技术发展的趋势。最具代表性的即为TCG(Trusted Computing Group，可信计算机组)推行的TPM安全芯片体系结构，其主要功能包括对启动过程中对引导程序、硬件、操作系统完整性检测，生成并管理系统中各种密钥，提供数字签名及数据安全保护。如图1所示为现有技术的TPM安全控制芯片体系结构。

如图1所示，TPM安全芯片主要是通过加解密模块来建立其安全机制的核心，由随机数发生器生成并管理系统中所需密钥，由SHA/HMAC建立数据、程序完整性检测，由RSA模块实现数字签名。在TPM安全芯片结构的基础上，后续开发者也提出了一些改进，如解决对输入输出接口的可信问题等。

这种技术专门针对本地安全性而建立，在数字签名、远端身份认证、网络数据传输中需要使用随机数发生器、散列算法、非对称式加密算法，设计复杂、实现成本高。对于解决本地安全功能过于复杂。

三、近几年来，社会对信息安全、安全设备使用便捷性等方面提出了的更高要求，随之，已逐渐成熟的生物识别技术被引入到安全应用系统中来。生物识别技术因拥有稳定、唯一、可分类、便捷、安全等特点，在蜂窝电话、门禁、安检等设施，机场、军事设施、政府等敏感等部门得以应用。其不仅可阻止非授权访问，还能防止盗用ATM、蜂窝电话、智能卡、桌面PC、工作站以及计算机网络，也可在电话、网络进行金融交易时进行身份认证，或在办公场所取代现有的钥匙、证件、图章等。

由此，现今的安全芯片构架由于结合生物识别与TPM安全芯片体系构架，已将安全性提高到一个新的高度。但实际应用环境中，安全设备多处于独立工作、自成体系(本地)的情况下，并不需要进行复杂的数字认证及运算(网络应用)。因而TPM功能模块实现安全芯片在某些应用中显的过于复杂，成本过高。

此外，最近还提出了使用高速处理器为核心进行生物识别，使用大容量存储器存储生物识别算法，芯片内部用加解密功能单元实现数据加密传输的方案。

但是使用高速处理器为核心进行生物识别、使用大容量存储器存储生物识别算法的技术，系统构成复杂，系统成本高。没有用户敏感信息、密钥、权限分配、设备的权限控制的实现方法，安全度不足。

发明内容

本发明所要解决的技术问题在于提供了一种本地设备生物识别安全控制芯片，通过由芯片对用户进行生物识别以判定用户的权限，旨在解决现有技术中存在的设计复杂、实现成本高、安全性不足的问题。

为了实现上述目的，本发明提供了一种安全控制芯片，包括数据总线、控制总线，还包括：

生物特征采集模块，用于采集用户的生物特征；

生物识别模块，用于识别采集的所述生物特征进行唯一性辨识；

通用处理模块，用于编程控制各功能模块；

加解密功能模块，用于实现片内、片外加密数据的交换与存取；

敏感数据及程序存储单元，用于存储用户控制权限和密钥；

功耗控制单元，用于控制芯片在不同工作模式下的功耗；

安全权限控制总线，用于防止在非授权情况下对权限受限片上模块的控制。

所述的安全控制芯片，还包括：

扩展高速直接内存存取接口，用于提供高速数据安全接口以及通过其与其它芯片互连；

设备权限访问控制单元，用于实现用户对芯片内部模块、接口权限分配和外围设备的安全控制与数据存取；

可编程总线仲裁器，用于控制优先级，以使片上系统总线能满足片上、片外数据交换的要求；

片上直接内存存取数据通道控制单元，用于高速控制片上设备、数据交换；