一種基于硬件的全盤加密系統(tǒng)及加密方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全領(lǐng)域?；谟布娜P加密系統(tǒng)采用硬件方式實(shí)現(xiàn)對(duì)整個(gè)硬盤數(shù)據(jù)的加密，可以防止未經(jīng)授權(quán)訪問(wèn)硬盤上的數(shù)據(jù)。
【背景技術(shù)】
[0002]當(dāng)今社會(huì)，隨著信息化程度的日益提升，單位或機(jī)構(gòu)的敏感數(shù)據(jù)在信息設(shè)備中存儲(chǔ)的比重越來(lái)越大，而這些數(shù)據(jù)的安全性成了大家所關(guān)心的問(wèn)題。根據(jù)現(xiàn)實(shí)應(yīng)用環(huán)境，我們將存儲(chǔ)敏感數(shù)據(jù)的信息設(shè)備按照可移動(dòng)性劃分，分為兩類:一種是存儲(chǔ)在組織機(jī)構(gòu)內(nèi)部固定信息設(shè)備上敏感數(shù)據(jù)，另一種是存儲(chǔ)在可移動(dòng)便攜存儲(chǔ)介質(zhì)的敏感數(shù)據(jù)。兩種類型敏感數(shù)據(jù)存儲(chǔ)方式均存在不同程度的泄露風(fēng)險(xiǎn)。
[0003]存儲(chǔ)在組織機(jī)構(gòu)內(nèi)部固定信息設(shè)備上的敏感數(shù)據(jù)，對(duì)于此類數(shù)據(jù)的保護(hù)主要通過(guò)嚴(yán)格的信息安全管理規(guī)范，使用防火墻、防病毒軟件、入侵檢測(cè)等工具。通常情況下，這些敏感信息均以明文形式存儲(chǔ)，組織機(jī)構(gòu)內(nèi)部的非授權(quán)用戶可以很輕易的繞過(guò)現(xiàn)有的安全防護(hù)機(jī)制，利用現(xiàn)有的各類系統(tǒng)漏洞獲取到這些敏感信息。
[0004]存儲(chǔ)在可移動(dòng)便攜存儲(chǔ)介質(zhì)中的敏感數(shù)據(jù)，包括筆記本、PAD、可移動(dòng)媒介“移動(dòng)設(shè)備”等，這類工具由于其使用環(huán)境復(fù)雜，具有高移動(dòng)性特點(diǎn)，易于完全游離于傳統(tǒng)的信息安全管理之外，一旦設(shè)備丟失，其中存儲(chǔ)的敏感信息存在著極大的泄露風(fēng)險(xiǎn)。
[0005]為了應(yīng)對(duì)以上兩種敏感信息泄露風(fēng)險(xiǎn)，有人提出了加密存儲(chǔ)方法，意在將明文存儲(chǔ)在兩種存儲(chǔ)介質(zhì)中的數(shù)據(jù)用軟件方式加密成密文進(jìn)行存儲(chǔ)。加密方式一般包括應(yīng)用層加密，操作系統(tǒng)內(nèi)核層加密和全磁盤加密。應(yīng)用層加密是指在應(yīng)用層對(duì)指定的包含敏感數(shù)據(jù)的文件進(jìn)行加密，存為密文文檔。在用戶需要讀取文件時(shí)，需要先生成明文文檔。雖然此種方式實(shí)現(xiàn)方便，但用戶干預(yù)較多，并不利于大量文件加密處理，且如果出現(xiàn)病毒或者系統(tǒng)經(jīng)過(guò)入侵者篡改，極易使得數(shù)據(jù)被竊取。操作系統(tǒng)加密則是在操作系統(tǒng)內(nèi)核中對(duì)數(shù)據(jù)實(shí)現(xiàn)加解密操作。但是，此種方式仍然有局限性，除了上文提到的操作系統(tǒng)遭入侵者篡改風(fēng)險(xiǎn)以夕卜，此種方式不能對(duì)系統(tǒng)文件、頁(yè)文件和臨時(shí)文件加密，在斷電或者出現(xiàn)故障情況下，這些文件可能被漏掉，導(dǎo)致敏感數(shù)據(jù)以明文方式存儲(chǔ)在硬盤上。
[0006]全磁盤加密方式是最安全可靠方法，對(duì)幾乎所有寫入磁盤的數(shù)據(jù)都進(jìn)行加密處理，包括操作系統(tǒng)和頁(yè)文件，提供了最全面的加密保護(hù)措施。由于操作系統(tǒng)本身也是以密文形式存儲(chǔ)在硬盤中，所以如果入侵者沒(méi)有密鑰則無(wú)法啟動(dòng)系統(tǒng)，保證了安全性。因此全盤加密方式普遍應(yīng)用于信息安全存儲(chǔ)產(chǎn)品。
[0007]當(dāng)今市面上采用全盤加密技術(shù)的產(chǎn)品，以軟件方式進(jìn)行數(shù)據(jù)加解密，密鑰明文存儲(chǔ)在硬盤非加密數(shù)據(jù)區(qū)，系統(tǒng)性能和安全策略存在問(wèn)題，主要是以下幾個(gè)方面:
[0008]籲系統(tǒng)性能方面，通用全盤加密產(chǎn)品通過(guò)軟件進(jìn)行加解密，速度相對(duì)較慢，且會(huì)影響CPU和硬盤驅(qū)動(dòng)器的性能；
[0009]籲安全策略方面，由于采用軟件處理數(shù)據(jù)加解密，入侵者可以通過(guò)篡改加解密軟件模塊從而獲取密鑰，進(jìn)而獲取敏感數(shù)據(jù)；
[0010]籲安全策略方面，密鑰管理還存在安全漏洞。現(xiàn)有一部分產(chǎn)品將密鑰存儲(chǔ)在硬盤內(nèi)部，入侵者獲取加密硬盤后可以使用例如探針攻擊等方式從硬盤中竊取加密密鑰，從而造成敏感數(shù)據(jù)泄漏；另一部分產(chǎn)品將密鑰存儲(chǔ)在可插拔設(shè)備中，但沒(méi)有安全性足夠高的合法性檢測(cè)。系統(tǒng)僅僅通過(guò)用戶口令認(rèn)證后，可插拔設(shè)備便將經(jīng)過(guò)簡(jiǎn)單加密處理后的加密密鑰發(fā)送給加密硬盤。入侵者竊聽(tīng)到加密硬盤和可插拔設(shè)備的通信過(guò)程后，一是可以破解從可插拔設(shè)備獲取的密文，得到加密密鑰，以竊取整個(gè)加密硬盤數(shù)據(jù)；二是可以采用重放攻擊的方式，在下次使用時(shí)將之前竊取的可插拔設(shè)備與加密硬盤通信的數(shù)據(jù)包按原樣發(fā)送給硬盤，即可仿冒合法可插拔設(shè)備，獲得系統(tǒng)使用權(quán)。無(wú)論是哪一種攻擊手段，最終導(dǎo)致敏感數(shù)據(jù)泄漏。

【發(fā)明內(nèi)容】

[0011]針對(duì)現(xiàn)有技術(shù)中全盤加密方法存在的技術(shù)問(wèn)題，本發(fā)明的目的在于提供一種基于硬件的全盤加密系統(tǒng)及加密方法，采用硬件方式實(shí)現(xiàn)對(duì)整個(gè)硬盤數(shù)據(jù)的加密，并將密鑰存儲(chǔ)在可插拔設(shè)備中?？刹灏卧O(shè)備與加密硬盤之間擁有安全可靠的認(rèn)證機(jī)制，可以防止未經(jīng)授權(quán)訪問(wèn)硬盤上的數(shù)據(jù)。
[0012]本發(fā)明的技術(shù)方案為:
[0013]一種基于硬件的全盤加密方法，其步驟為:
[0014]I)注冊(cè)中心對(duì)空白加密硬盤和認(rèn)證UKey進(jìn)行注冊(cè)和綁定；將注冊(cè)時(shí)分配的身份密鑰保存到該加密硬盤的保留區(qū)，該保留區(qū)內(nèi)設(shè)有系統(tǒng)啟動(dòng)時(shí)的認(rèn)證程序；認(rèn)證UKey保存該加密硬盤注冊(cè)時(shí)分配的身份密鑰和加密密鑰Key，以及認(rèn)證程序；
[0015]2)在該主機(jī)上電前，將認(rèn)證UKey插到該主機(jī)上；
[0016]3)該主機(jī)上電后，加載該保留區(qū)內(nèi)認(rèn)證程序，執(zhí)行該加密硬盤與該認(rèn)證UKey的雙向認(rèn)證；
[0017]4)認(rèn)證通過(guò)，該加密硬盤將從認(rèn)證UKey獲得的加密密鑰Key存入硬盤控制器緩沖區(qū)存儲(chǔ)器里；該加密硬盤的加解密模塊使用該加密密鑰Key解密加密數(shù)據(jù)存儲(chǔ)區(qū)內(nèi)操作系統(tǒng)區(qū)數(shù)據(jù)，啟動(dòng)該主機(jī)的操作系統(tǒng)；
[0018]5)操作系統(tǒng)啟動(dòng)后，該加解密模塊利用該加密密鑰Key對(duì)讀出數(shù)據(jù)進(jìn)行解密、對(duì)寫入數(shù)據(jù)進(jìn)行加密后保存到該加密硬盤的該加密數(shù)據(jù)存儲(chǔ)區(qū)。
[0019]進(jìn)一步的，所述注冊(cè)中心對(duì)主機(jī)空白的加密硬盤和認(rèn)證UKey進(jìn)行注冊(cè)和綁定的方法為:
[0020]21)注冊(cè)中心記錄該加密硬盤的硬盤編號(hào)，然后為該加密硬盤分配身份密鑰和加密密鑰Key，身份密鑰存儲(chǔ)于該加密硬盤的保留區(qū)；
[0021]22)將空白的、需要與該加密硬盤進(jìn)行綁定的認(rèn)證UKey在該注冊(cè)中心進(jìn)行注冊(cè)；該注冊(cè)中心向該認(rèn)證UKey發(fā)送該加密硬盤的身份密鑰和加密密鑰Key，完成綁定工作。
[0022]進(jìn)一步的，該加密硬盤與一個(gè)或多個(gè)認(rèn)證UKey進(jìn)行綁定。
[0023]進(jìn)一步的，所述雙向認(rèn)證的方法為:
[0024]41)主機(jī)上電后，首先加載所述認(rèn)證程序，開(kāi)始該加密硬盤與認(rèn)證UKey雙向認(rèn)證；
[0025]42)該認(rèn)證UKey收到該加密硬盤的認(rèn)證程序開(kāi)始命令后，產(chǎn)生隨機(jī)數(shù)R1，發(fā)送給該加密硬盤；
[0026]43)該加密硬盤產(chǎn)生隨機(jī)數(shù)R2，然后用所述身份密鑰對(duì)R2與該隨機(jī)數(shù)Rl進(jìn)行加密，將加密結(jié)果發(fā)送給該認(rèn)證UKey ；
[0027]44)該認(rèn)證UKey用所述身份密鑰對(duì)該加密結(jié)果進(jìn)行解密，若解密成功且解密后得到的隨機(jī)數(shù)Rl與42)生成的隨機(jī)數(shù)Rl相同，則該對(duì)加密硬盤身份認(rèn)證通過(guò)；該認(rèn)證UKey將解密后得到的隨機(jī)數(shù)R2與加密密鑰Key使用身份密鑰進(jìn)行加密，發(fā)送給該加密硬盤；
[0028]45)該加密硬盤用所述身份密鑰對(duì)收到的該加密結(jié)果進(jìn)行解密，若解密成功且解密后得到的隨機(jī)數(shù)R2與43)生成的隨機(jī)數(shù)R2相同，則對(duì)該認(rèn)證UKey身份認(rèn)證通過(guò)。
[0029]進(jìn)一步的，所述加解密模塊分別與該加密硬盤的硬盤接口和數(shù)據(jù)傳輸芯片連接；所述加解密模塊包括加密單元和解密單元，加密單元對(duì)硬盤接口輸入數(shù)據(jù)進(jìn)行加密并將結(jié)果輸出到數(shù)據(jù)傳輸芯片供加密數(shù)據(jù)存儲(chǔ)區(qū)存儲(chǔ)；解密單元對(duì)通過(guò)數(shù)據(jù)傳輸芯片從加密數(shù)據(jù)存儲(chǔ)區(qū)讀取的加密數(shù)據(jù)進(jìn)行解密，并將解密結(jié)果通過(guò)硬盤接口輸出。
[0030]一種基于硬件的全盤加密系統(tǒng)，其特征在于，包括加密硬盤、認(rèn)證UKey，加密硬盤與UKey分別向注冊(cè)中心注冊(cè)并綁定；其中:
[0031]加密硬盤包括硬盤接口、加解密模塊、微控制器、緩沖區(qū)存儲(chǔ)器、加密數(shù)據(jù)存儲(chǔ)區(qū)和保留區(qū)；硬盤接口用于提供外部系統(tǒng)對(duì)所述加密硬盤的讀或?qū)懡涌?；微控制器用于控制數(shù)據(jù)的讀或?qū)?，以及調(diào)用加解密模塊完成數(shù)據(jù)流的加解密操作；加解密模塊，用于對(duì)從硬盤接口輸入數(shù)據(jù)進(jìn)行加密、對(duì)將從硬盤接口輸出的數(shù)據(jù)進(jìn)行解密；加密數(shù)據(jù)存儲(chǔ)區(qū)，用于存儲(chǔ)保密的數(shù)據(jù)；保留區(qū)，存儲(chǔ)系統(tǒng)啟動(dòng)時(shí)的認(rèn)證程序以及注冊(cè)時(shí)分配的身份密鑰；
[0032]認(rèn)證UKey包括認(rèn)證UKey接口、認(rèn)證模塊和秘密信息存儲(chǔ)區(qū)；認(rèn)證UKey接口為外部對(duì)認(rèn)證UKey讀或?qū)懡涌?；認(rèn)證模塊，用于與加密硬盤完成雙向認(rèn)證；秘密信息存儲(chǔ)區(qū)，用于存儲(chǔ)該加密硬盤注冊(cè)時(shí)分配的身份密鑰和加密密鑰Key。
[0033]進(jìn)一步的，所述加解密模塊分別與該加密硬盤的硬盤接口和數(shù)據(jù)傳輸芯片連接；所述加解密模塊包括加密單元和解密單元，加密單元對(duì)硬盤接口輸入數(shù)據(jù)進(jìn)行加密并將結(jié)果輸出到數(shù)據(jù)傳輸芯片供加密數(shù)據(jù)存儲(chǔ)區(qū)存儲(chǔ)；解密單元對(duì)通過(guò)數(shù)據(jù)傳輸芯片從加密數(shù)據(jù)存儲(chǔ)區(qū)讀取的加密數(shù)據(jù)進(jìn)行解密，并將解密結(jié)果通過(guò)硬盤接口輸出。
[0034]進(jìn)一步的，該加密硬盤與一個(gè)或多個(gè)認(rèn)證UKey進(jìn)行綁定。
[0035]進(jìn)一步的，所述加密硬盤還包括緩沖區(qū)存儲(chǔ)器，分別與接口控制器、加解密模塊連接，用于緩存數(shù)據(jù)和加密密鑰Key。
[0036]進(jìn)一步的，所述保密的數(shù)據(jù)包括操作系統(tǒng)分區(qū)。
[0037]與現(xiàn)有技術(shù)相比，本發(fā)明的優(yōu)勢(shì)在于:
[0038]?基于硬件的全盤加密的速度優(yōu)于基于軟件的全盤加密，通常情況下，不會(huì)影響CPU和硬盤驅(qū)動(dòng)器的性能；
[0039]?采用硬件處理數(shù)據(jù)加解密，避免密鑰經(jīng)過(guò)操作系統(tǒng)層，被入侵者竊?。?br>[0040]?實(shí)現(xiàn)加密密鑰Key與加密硬盤物理隔離。將有效密鑰Key放置于可插拔設(shè)備中，只有在系統(tǒng)上電且認(rèn)證程序通過(guò)后才會(huì)將加密密鑰Key發(fā)送給加密硬盤。加密硬盤并不會(huì)存儲(chǔ)加密密鑰Key。即在系統(tǒng)斷電后，加密密鑰從電腦中抹去。防止入侵者竊取硬盤后將密鑰從硬盤中竊取出來(lái)破解硬盤；
[0041]?加密密鑰以密文方式從UKey發(fā)送給加密硬盤，其加密算法安全可靠，防止入侵者通過(guò)竊聽(tīng)認(rèn)證過(guò)程中加密硬盤和UKey通信而竊取加密密鑰Key ；
[0042]?初始化時(shí)通過(guò)注冊(cè)中心將加密硬盤與UKey進(jìn)行綁定，綁定之后的加密硬盤和UKey在使用時(shí)會(huì)先進(jìn)行雙向認(rèn)證，只有加密硬盤和UKey都通過(guò)認(rèn)證，才會(huì)進(jìn)入下面的流程。這樣可以確保不會(huì)有重放攻擊的可能。
【附圖說(shuō)明】
[0043]圖1為基于硬件的全盤加密系統(tǒng)結(jié)構(gòu)示意圖；
[0044]圖2為基于硬件的全盤加密系統(tǒng)注冊(cè)階段流程示意圖；
[0045]圖3為基于硬件的全盤加密系統(tǒng)認(rèn)證階段流程示意圖；
[0046]圖4為啟動(dòng)后加密硬盤工作示意圖。
【具體實(shí)施方式】
[0047]針對(duì)現(xiàn)有全盤加密系統(tǒng)解決方案存在的問(wèn)題和漏洞，本發(fā)明提出了一種基于硬件的、加密密鑰和加密硬盤物理隔離的全盤加密方案。下面結(jié)合附圖對(duì)本發(fā)明進(jìn)行進(jìn)一步描述。
[0048]如圖1所示，為基于硬件的全盤