本发明属于usb接口通信技术领域，具体涉及一种基于安全芯片的安全环境构建方法及系统。
背景技术：
usb，是英文universalserialbus（通用串行总线）的缩写，是一个外部总线标准，用于规范电脑与外部设备的连接和通讯。是应用在pc领域的接口技术。
随着usb技术的快速发展，越来越多的设备采用usb接口进行数据通讯，尤其是基于usb接口的无线设备，例如鼠标、键盘、usbkey、usb打印机等多种设备。大量的usb设备接入，造成主机的usb资源应用比较紧张，通常通过采用usb扩展hub来支持更多的usb设备。但usbhub在使用过程中存在诸多问题，突出的问题为携带不方便，部分usbhub需要外置电源。同时大量的usb设备的使用也带来的大量的安全风险，很容易造成基于usb协议接口的攻击行为。
技术实现要素：
为了解决现有技术中存在的问题，本发明提出了一种基于安全芯片的安全环境构建方法及系统，以降低usb外设终端在安全环境使用中带来的风险。
为解决上述技术问题，本发明采用以下的技术方案：
本发明提供了一种基于安全芯片的安全环境构建方法，该方法包含以下步骤：
在pc终端上安装安全加固组件，由安全加固组件实现对pc终端的应用系统监控；
根据对应的应用系统安全需求构建安全环境，并启动对pc终端usb接口的安全认证管理；
将一外设终端插接于所述pc终端的usb接口，所述外设终端包括多个功能模块和安全芯片，所述多个功能模块与安全芯片进行设备关联，并通过有线或者无线方式进行通信连接；
所述pc终端的安全加固组件对安全芯片进行身份认证；
待身份认证通过后，所述安全芯片枚举出所述外设终端的所有功能模块，并建立每个功能模块的配置信息；
所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道。
进一步地，所述多个功能模块与安全芯片进行设备关联，包括：
多个功能模块与安全芯片集成于同一物理设备上，该物理设备插接于pc终端的usb接口；或者
多个功能模块集成于第一物理设备，第一物理设备还包括第一无线通信模块，安全芯片集成于第二物理设备，第二物理设备还包括第二无线通信模块，所述第一无线通信模块与第二无线通信模块基于相应的识别码进行配对连接，所述第二物理设备插接于pc终端的usb接口。
进一步地，所述第一无线通信模块与第二无线通信模块通过蓝牙、wifi、nfc、红外或者lifi的无线通信方式进行连接。
进一步地，所述多个功能模块包括鼠标功能模块、键盘功能模块、生物特征识别模块和语音通信模块；所述生物特征识别模块包括人脸识别模块、指纹识别模块和虹膜识别模块。
进一步地，所述pc终端的安全加固组件对安全芯片进行身份认证，包括：
pc终端的安全加固组件预存有安全芯片的数字证书公钥，pc终端向安全芯片发送身份认证请求；
安全芯片基于身份认证请求生成认证响应信息，并采用自己的数字证书私钥进行加密后回复给pc终端；
pc终端的安全加固组件采用预存的安全芯片的数字证书公钥对认证响应信息的密文进行解密，并根据解密成功与否，则实现对安全芯片的身份认证。
进一步地，所述pc终端的安全加固组件对安全芯片进行身份认证，包括：
安全芯片与安全加固组件共享预存一个密钥值；
安全芯片向pc终端的安全加固组件发送一个身份认证请求；
安全加固组件端在收到身份认证请求后，产生一个随机数并发送给安全芯片，该随机数作为挑战值；
安全芯片收到挑战值之后，使用该挑战值和安全芯片预存的密钥值生成hmac值，并将该hmac值返回给pc终端的安全加固组件，该hmac值作为应答值；
安全加固组件在收到应答值后，使用挑战值和本地端预存的密钥值计算hmac值，若本地计算的hmac值与传回的应答值一致，则对安全芯片身份认证通过。
进一步地，所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道，包括：
安全芯片将各项配置信息发送给pc终端；
由pc终端基于各项配置信息建立驱动架构，所述驱动架构包括一个通用usb设备驱动，以及基于各个功能模块的各个hid类设备驱动，且各个hid类设备驱动均承载在底层的同一个通用usb设备驱动上；
通过安全芯片构建各个功能模块与各个hid类设备驱动之间的安全通道。
进一步地，在所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道之后，还包括：
安全芯片与pc终端的安全加固组件进行密钥协商，并形成共享密钥；
由对应的功能模块产生一数据信号，并传送给安全芯片，安全芯片采用上述共享密钥对其进行加密处理，得到对应的数据密文；
安全芯片采用自己的数字证书私钥对数据密文进行签名处理，生成签名信息，然后将数据密文和签名信息一并通过usb方式传送给pc终端的安全加固组件；
安全加固组件采用安全芯片的数字证书公钥对签名信息进行解密、验签，待验签通过后，采用共享密钥对数据密文进行解密得到数据明文，并由pc终端基于数据明文进行相应的业务处理。
本发明还提供了一种基于安全芯片的安全环境系统，该系统包括pc终端和外设终端，所述外设终端插接于pc终端的usb接口，并与pc终端进行usb数据通信；
所述pc终端上安装有安全加固组件，由安全加固组件实现对pc终端的应用系统监控；
所述外设终端包括多个功能模块和安全芯片，所述多个功能模块与安全芯片进行设备关联，并通过有线或者无线方式进行通信连接；
在启动安全环境运行模式时，pc终端的安全加固组件对安全芯片进行身份认证，待身份认证通过后，所述安全芯片枚举出所述外设终端的所有功能模块，并建立每个功能模块的配置信息；所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道。
进一步地，所述pc终端接收由安全芯片传送来的各项配置信息，并基于各项配置信息建立驱动架构，所述驱动架构包括一个通用usb设备驱动，以及基于各个功能模块的各个hid类设备驱动，且各个hid类设备驱动均承载在底层的同一个通用usb设备驱动上；各个功能模块与对应的hid类设备驱动之间通过安全芯片构建相应的安全通道；
多个功能模块与安全芯片集成于同一物理设备上，该物理设备插接于pc终端的usb接口；或者
多个功能模块集成于第一物理设备，第一物理设备还包括第一无线通信模块，安全芯片集成于第二物理设备，第二物理设备还包括第二无线通信模块，所述第一无线通信模块与第二无线通信模块基于相应的识别码进行配对连接，所述第二物理设备插接于pc终端的usb接口。
与现有技术相比，本发明具有以下优点：
本发明提出的一种基于安全芯片的安全环境构建方法，通过安全芯片配置外设终端各项功能模块的配置信息并传送给pc终端，使得pc终端将外设终端的各项功能模块的hid类设备驱动承载在同一通用usb设备驱动上，并认定承载在同一通用usb设备驱动上的各个hid类设备驱动对应的功能模块属于同一usb外设终端，且该usb外设终端满足pc终端安全加固组件对安全环境构建的需求，且能够为pc终端正常读取识别，并为用户所正常使用。进一步避免其它usb外设终端的非法接入，降低usb外设终端在安全环境使用中带来的风险，杜绝外界基于usb协议接口的攻击行为。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例的基于安全芯片的安全环境构建方法的流程图；
图2是本发明实施例的基于安全芯片构建多个安全通道的架构图；
图3是本发明实施例的安全环境系统框图之一；
图4是本发明实施例的安全环境系统框图之二。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，本实施例提出的基于安全芯片的安全环境构建方法，该方法包含以下步骤：
步骤s11，在pc终端上安装安全加固组件，由安全加固组件实现对pc终端的应用系统监控。
步骤s12，根据对应的应用系统安全需求构建安全环境，并启动对pc终端usb接口的安全认证管理。
步骤s13，将一外设终端插接于所述pc终端的usb接口，所述外设终端包括多个功能模块和安全芯片，所述多个功能模块与安全芯片进行设备关联，并通过有线或者无线方式进行通信连接。
步骤s14，所述pc终端的安全加固组件对安全芯片进行身份认证。
步骤s15，待身份认证通过后，所述安全芯片枚举出所述外设终端的所有功能模块，并建立每个功能模块的配置信息。
步骤s16，所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道。
在本实例中，多个功能模块与安全芯片进行设备关联，包括：
多个功能模块与安全芯片集成于同一物理设备上，该物理设备插接于pc终端的usb接口；或者
多个功能模块集成于第一物理设备，第一物理设备还包括第一无线通信模块，安全芯片集成于第二物理设备，第二物理设备还包括第二无线通信模块，所述第一无线通信模块与第二无线通信模块基于相应的识别码进行配对连接，所述第二物理设备插接于pc终端的usb接口。
在实际应用中，所述第一无线通信模块与第二无线通信模块通过蓝牙、wifi、nfc、红外或者lifi的无线通信方式进行连接，但不限于此。
具体的，多个功能模块包括鼠标功能模块、键盘功能模块、生物特征识别模块和语音通信模块；所述生物特征识别模块包括人脸识别模块、指纹识别模块和虹膜识别模块，但不限于此。
可以理解是，上述生物特征识别模块用于对用户的生物特征进行采集、识别；例如：人脸识别模块用于对用户的人脸信息进行采集、识别；指纹识别模块用于对用户的指纹信息进行采集、识别；语音通信模块使得该外设终端支持麦克风功能，能够满足用户进行语音通话的需求。多个功能模块还包括电源模块，电源模块用于提供上述各个功能模块工作时所需的电能。
进一步的，所述pc终端的安全加固组件对安全芯片进行身份认证，包括：
pc终端的安全加固组件预存有安全芯片的数字证书公钥，pc终端向安全芯片发送身份认证请求；
安全芯片基于身份认证请求生成认证响应信息，并采用自己的数字证书私钥进行加密后回复给pc终端；
pc终端的安全加固组件采用预存的安全芯片的数字证书公钥对认证响应信息的密文进行解密，并根据解密成功与否，则实现对安全芯片的身份认证。
或者通过另一种方式，所述pc终端的安全加固组件对安全芯片进行身份认证，包括：
安全芯片与安全加固组件共享预存一个密钥值；
安全芯片向pc终端的安全加固组件发送一个身份认证请求；
安全加固组件端在收到身份认证请求后，产生一个随机数并发送给安全芯片，该随机数作为挑战值；
安全芯片收到挑战值之后，使用该挑战值和安全芯片预存的密钥值生成hmac值，并将该hmac值返回给pc终端的安全加固组件，该hmac值作为应答值；
安全加固组件在收到应答值后，使用挑战值和本地端预存的密钥值计算hmac值，若本地计算的hmac值与传回的应答值一致，则对安全芯片身份认证通过。
如图2所示，所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道，包括：
安全芯片将各项配置信息发送给pc终端；
由pc终端基于各项配置信息建立驱动架构，所述驱动架构包括一个通用usb设备驱动，以及基于各个功能模块的各个hid类设备驱动，且各个hid类设备驱动均承载在底层的同一个通用usb设备驱动上；
通过安全芯片构建各个功能模块与各个hid类设备驱动之间的安全通道。
需要说明的是，hid即是humaninterfacedevice的缩写，usbhid类是usb设备的一个标准设备类，包括的设备非常多。所谓的hid类设备属于人机交互操作的设备，用于控制计算机操作的一些方面，如usb鼠标、usb键盘、usb游戏操纵杆等。
在步骤s16之后，该方法还包括：
安全芯片与pc终端的安全加固组件进行密钥协商，并形成共享密钥；
由对应的功能模块产生一数据信号，并传送给安全芯片，安全芯片采用上述共享密钥对其进行加密处理，得到对应的数据密文；
安全芯片采用自己的数字证书私钥对数据密文进行签名处理，生成签名信息，然后将数据密文和签名信息一并通过usb方式传送给pc终端的安全加固组件；
安全加固组件采用安全芯片的数字证书公钥对签名信息进行解密、验签，待验签通过后，采用共享密钥对数据密文进行解密得到数据明文，并由pc终端基于数据明文进行相应的业务处理。
如图3和图4所示，本实施还提出一种基于安全芯片的安全环境系统，该系统包括pc终端和外设终端，所述外设终端插接于pc终端的usb接口，并与pc终端进行usb数据通信。
所述pc终端上安装有安全加固组件，由安全加固组件实现对pc终端的应用系统监控。
所述外设终端包括多个功能模块和安全芯片，所述多个功能模块与安全芯片进行设备关联，并通过有线或者无线方式进行通信连接。
在启动安全环境运行模式时，pc终端的安全加固组件对安全芯片进行身份认证，待身份认证通过后，所述安全芯片枚举出所述外设终端的所有功能模块，并建立每个功能模块的配置信息；所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道。
如图2所示，所述pc终端接收由安全芯片传送来的各项配置信息，并基于各项配置信息建立驱动架构，所述驱动架构包括一个通用usb设备驱动，以及基于各个功能模块的各个hid类设备驱动，且各个hid类设备驱动均承载在底层的同一个通用usb设备驱动上；各个功能模块与对应的hid类设备驱动之间通过安全芯片构建相应的安全通道。
如图3所示，多个功能模块与安全芯片集成于同一物理设备上，该物理设备插接于pc终端的usb接口。
如图4所示，多个功能模块集成于第一物理设备，第一物理设备还包括第一无线通信模块，安全芯片集成于第二物理设备，第二物理设备还包括第二无线通信模块，所述第一无线通信模块与第二无线通信模块基于相应的识别码进行配对连接，所述第二物理设备插接于pc终端的usb接口。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。
最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。
1.一种基于安全芯片的安全环境构建方法，其特征在于，该方法包含以下步骤：
在pc终端上安装安全加固组件，由安全加固组件实现对pc终端的应用系统监控；
根据对应的应用系统安全需求构建安全环境，并启动对pc终端usb接口的安全认证管理；
将一外设终端插接于所述pc终端的usb接口，所述外设终端包括多个功能模块和安全芯片，所述多个功能模块与安全芯片进行设备关联，并通过有线或者无线方式进行通信连接；
所述pc终端的安全加固组件对安全芯片进行身份认证；
待身份认证通过后，所述安全芯片枚举出所述外设终端的所有功能模块，并建立每个功能模块的配置信息；
所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道。
2.根据权利要求1所述的基于安全芯片的安全环境构建方法，其特征在于，所述多个功能模块与安全芯片进行设备关联，包括：
多个功能模块与安全芯片集成于同一物理设备上，该物理设备插接于pc终端的usb接口；或者
多个功能模块集成于第一物理设备，第一物理设备还包括第一无线通信模块，安全芯片集成于第二物理设备，第二物理设备还包括第二无线通信模块，所述第一无线通信模块与第二无线通信模块基于相应的识别码进行配对连接，所述第二物理设备插接于pc终端的usb接口。
3.根据权利要求2所述的基于安全芯片的安全环境构建方法，其特征在于，所述第一无线通信模块与第二无线通信模块通过蓝牙、wifi、nfc、红外或者lifi的无线通信方式进行连接。
4.根据权利要求1所述的基于安全芯片的安全环境构建方法，其特征在于，所述多个功能模块包括鼠标功能模块、键盘功能模块、生物特征识别模块和语音通信模块；所述生物特征识别模块包括人脸识别模块、指纹识别模块和虹膜识别模块。
5.根据权利要求1所述的基于安全芯片的安全环境构建方法，其特征在于，所述pc终端的安全加固组件对安全芯片进行身份认证，包括：
pc终端的安全加固组件预存有安全芯片的数字证书公钥，pc终端向安全芯片发送身份认证请求；
安全芯片基于身份认证请求生成认证响应信息，并采用自己的数字证书私钥进行加密后回复给pc终端；
pc终端的安全加固组件采用预存的安全芯片的数字证书公钥对认证响应信息的密文进行解密，并根据解密成功与否，则实现对安全芯片的身份认证。
6.根据权利要求1所述的基于安全芯片的安全环境构建方法，其特征在于，所述pc终端的安全加固组件对安全芯片进行身份认证，包括：
安全芯片与安全加固组件共享预存一个密钥值；
安全芯片向pc终端的安全加固组件发送一个身份认证请求；
安全加固组件端在收到身份认证请求后，产生一个随机数并发送给安全芯片，该随机数作为挑战值；
安全芯片收到挑战值之后，使用该挑战值和安全芯片预存的密钥值生成hmac值，并将该hmac值返回给pc终端的安全加固组件，该hmac值作为应答值；
安全加固组件在收到应答值后，使用挑战值和本地端预存的密钥值计算hmac值，若本地计算的hmac值与传回的应答值一致，则对安全芯片身份认证通过。
7.根据权利要求1所述的基于安全芯片的安全环境构建方法，其特征在于，所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道，包括：
安全芯片将各项配置信息发送给pc终端；
由pc终端基于各项配置信息建立驱动架构，所述驱动架构包括一个通用usb设备驱动，以及基于各个功能模块的各个hid类设备驱动，且各个hid类设备驱动均承载在底层的同一个通用usb设备驱动上；
通过安全芯片构建各个功能模块与各个hid类设备驱动之间的安全通道。
8.根据权利要求1所述的基于安全芯片的安全环境构建方法，其特征在于，在所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道之后，还包括：
安全芯片与pc终端的安全加固组件进行密钥协商，并形成共享密钥；
由对应的功能模块产生一数据信号，并传送给安全芯片，安全芯片采用上述共享密钥对其进行加密处理，得到对应的数据密文；
安全芯片采用自己的数字证书私钥对数据密文进行签名处理，生成签名信息，然后将数据密文和签名信息一并通过usb方式传送给pc终端的安全加固组件；
安全加固组件采用安全芯片的数字证书公钥对签名信息进行解密、验签，待验签通过后，采用共享密钥对数据密文进行解密得到数据明文，并由pc终端基于数据明文进行相应的业务处理。
9.一种基于安全芯片的安全环境系统，其特征在于，该系统包括pc终端和外设终端，所述外设终端插接于pc终端的usb接口，并与pc终端进行usb数据通信；
所述pc终端上安装有安全加固组件，由安全加固组件实现对pc终端的应用系统监控；
所述外设终端包括多个功能模块和安全芯片，所述多个功能模块与安全芯片进行设备关联，并通过有线或者无线方式进行通信连接；
在启动安全环境运行模式时，pc终端的安全加固组件对安全芯片进行身份认证，待身份认证通过后，所述安全芯片枚举出所述外设终端的所有功能模块，并建立每个功能模块的配置信息；所述安全芯片基于每项配置信息构建pc终端与外设终端的各个功能模块之间的安全通道。
10.根据权利要求9所述的基于安全芯片的安全环境系统，其特征在于，
所述pc终端接收由安全芯片传送来的各项配置信息，并基于各项配置信息建立驱动架构，所述驱动架构包括一个通用usb设备驱动，以及基于各个功能模块的各个hid类设备驱动，且各个hid类设备驱动均承载在底层的同一个通用usb设备驱动上；各个功能模块与对应的hid类设备驱动之间通过安全芯片构建相应的安全通道；
多个功能模块与安全芯片集成于同一物理设备上，该物理设备插接于pc终端的usb接口；或者
多个功能模块集成于第一物理设备，第一物理设备还包括第一无线通信模块，安全芯片集成于第二物理设备，第二物理设备还包括第二无线通信模块，所述第一无线通信模块与第二无线通信模块基于相应的识别码进行配对连接，所述第二物理设备插接于pc终端的usb接口。
技术总结