CN107590402A - 一种存储数据加解密装置及方法 - Google Patents

Abstract

本发明提供一种存储数据加解密方法，其中包括：步骤一、提供存储器读写模块，用于密钥读写以及对经过存储器读写模块的数据进行加解密，存储器读写模块包括用于运行加解密算法的数据加解密模块；步骤二、提供片外数据存储器，用于存放加密后的数据；步骤三、提供安全配套模块，包括用于生成密钥的真随机数发生器以于存储密钥的密钥存储器；步骤四、从存储器读取模块写入数据加解密模块的数据，由数据加解密模块使用安全配套模块提供的密钥进行加密后写入到片外数据存储器；从片外数据存储器读出的加密数据，由数据加解密模块使用密钥进行解密后读出到存储器读取模块。本发明还提供一种存储数据加解密装置。本发明能够有效提高数据的安全性。

Description

一种存储数据加解密装置及方法

技术领域

本发明涉及计算机设备科学技术领域，尤其涉及一种存储数据加解密装置及方法。

背景技术

伴随全球信息化步伐的加快，网络和移动互联网设备已经与人们的生活紧密相连，成为现代社会中信息交换不可或缺的载体。随着移动智能设备性能的大幅提升以及高速移动互联网的覆盖范围不断扩大，移动办公和移动金融交易随之大规模展开。但是，办公数据和金融交易数据也越来越面临更多的威胁。

为了解决数据安全的问题，必须提高计算机技术、密码学理论和网络应用水平。目前，信息安全防护已经从传统的单点信息加密，发展到构建以芯片级硬件防护为基础，覆盖全网络系统的信息保障体系。并且，低成本、小体积、高性能、抗破解并且具备信息安全保护机制的芯片化设计已经成为必然趋势，由此，片上系统(SoC,System on Chip)芯片设计逐渐成为嵌入式系统发展的新方向，芯片设计者通常在一个SoC芯片中集成加解密算法与信息安全协议，并且保证足够的安全等级。但是，现有技术中的SoC芯片集成加解密算法对不同芯片或者同一芯片的不同存储区域采用相同密钥进行加解密，不能够有效地进行数据保护。

因此，亟需设计一种存储数据加解密装置及方法，能够对不同芯片以及同一芯片不同存储区域中的数据采用不同密钥进行加解密，并且更有效地完成数据存储和读写操作。

发明内容

本发明提供的存储数据加解密装置和方法，能够针对现有技术的不足，对不同芯片以及同一芯片不同存储区域中的数据采用不同密钥进行加解密，高效完成数据存储和读写操作。

第一方面，本发明提供一种存储数据加解密方法，其中包括：

步骤一、提供存储器读写模块，用于密钥读写以及对经过所述存储器读写模块的数据进行加解密，所述存储器读写模块包括用于运行加解密算法的数据加解密模块；

步骤二、提供片外数据存储器，用于存放经所述存储读写模块加密后的数据；

步骤三、提供安全配套模块，所述安全配套模块包括用于生成密钥的真随机数发生器以及用于存储所述密钥的密钥存储器；

步骤四、从所述存储器读取模块写入所述数据加解密模块的数据，由所述数据加解密模块使用所述安全配套模块提供的密钥进行加密后，写入到所述片外数据存储器；

从所述片外数据存储器读出的加密数据，由所述数据加解密模块使用所述安全配套模块提供的密钥进行解密后，读出到所述存储器读取模块。

可选地，上述步骤三还包括对是否分隔所述片外数据存储器中的数据进行判断：

如果判断是，将所述片外数据存储器划分为逻辑多个数据存储区域，对所述多个数据存储区域的数据选择性进行加解密操作，每个数据存储区域的密钥均不相同；

如果判断否，对所述片外数据存储器不划分数据存储区域，对整块数据存储区域的数据进行加解密操作，对所述整块数据存储区域的数据进行加解密操作使用统一密钥。

可选地，对不同芯片或不同片外数据存储器的上述多个数据存储区域中的相同数据存储区域进行加解密操作所使用的密钥均不相同。

可选地，上述数据加解密模块运行的加解密算法包括异或、序列重排、数据替换。

可选地，上述数据加解密模块在系统芯片启动后自动通过硬件获取所述密钥存储器中的密钥并对数据进行加解密，所述获取和加解密过程对软件透明。

可选地，上述存储器读写模块需在所述数据加解密模块获取密钥之后被访问，提前访问的请求无法响应。

可选地，当上述片外数据存储器被替换时，替换后的存储器无法被所述密钥存储器中的密钥解密。

可选地，当系统受到攻击时，上述存储器读写模块清除密钥存储器中的密钥，使所述片外数据存储器中的数据无法解密。

可选地，上述片外数据存储器和所述密钥存储器部署在同一物理存储介质上。

再一方面，本发明还提供一种使用权利要求1所述方法的装置，其中包括：

存储器读写模块，用于密钥读写以及对经过所述存储器读写模块的数据进行加解密，所述存储器读写模块包括用于运行加解密算法的数据加解密模块；

片外数据存储器，用于存放经所述存储读写模块加密后的数据；

安全配套模块，所述安全配套模块包括用于生成密钥的真随机数发生器以及用于存储所述密钥的密钥存储器。

本发明实施例提供的存储数据加解密装置及方法，能够通过将数据存储器划分为多个采用特定密钥的存储区域，保证数据安全性，并且当片外数据存储器被替换或系统受到攻击时，可以擦除密钥存储器中的密钥使加密数据不能正确解密，具有较高的安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明一实施例的存储数据加解密装置结构示意图；

图2为本发明一实施例的存储数据加解密流程图；

图3为本发明一实施例的存储数据加解密方法的步骤示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供一种存储数据加解密装置，图1示出了本发明一实施例的存储数据加解密装置结构示意图。如图所示，存储数据加解密装置由片内安全存储模块和片外数据存储器两个部分组成，其中，片内安全存储模块用于数据读写和数据加解密，片外数据存储器用于存储数据。

片内安全存储模块又包括存储器读写模块和数据安全配套模块。

存储器读写模块用于密钥读写以及对经过该模块的数据进行加解密操作。存储器读写模块中包括数据加解密模块，用于对不同芯片或者不同片外数据存储器采用不同的加解密算法，这种算法不仅限于异或、序列重排、数据替换等，不影响数据访问效率。特别的，密钥获取和加解密由硬件实现，软件透明。

安全配套模块包括真随机数发生器和密钥存储器两部分。真随机数发生器用于生成具有随机性的密钥，提供给数据加解密模块对数据进行加解密操作。密钥存储器则用于存储多个密钥，用于存储对多个不同片外数据存储区域的数据进行加解密操作的密钥。

片外数据存储器用于存放且仅存放加密后的数据，其中的数据可以被分割为多个数据存储区域，不同存储区域可以采用不同的密钥进行加解密，各存储区域也可以分别选择是否进行加解密，但是相同的存储区域的数据只能使用同一个密钥进行加解密。这样，当片外数据存储器被替换时，替换后的存储器无法被内置密钥解密，芯片将无法正常工作。典型地，片外数据存储器和密钥存储器包括但不限于部署在同一物理存储介质上。

在工作过程中，数据加解密模块将真随机数发生器生成的真随机数作为密钥，输出到密钥存储器中，并采用密钥存储器中的密钥对写入到片外数据存储器的明文数据进行加密，按照片外存储器的读写时序写入到片外存储器中，对从片外数据存储器组读取的密文数据进行解密。存储器读写模块则向数据加解密模块输出未加密写数据到数据加解密模块，输入数据加解密模块的已解密读数据。

图2示出了本发明一实施例的存储数据加解密流程图。如图所示，系统启动，真随机数发生器产生多个密钥，随后，数据加解密模块将真随机数发生器生成的密钥写入到密钥存储器。对是否分隔数据存储器中的数据进行判断，如果判断是，则在逻辑上将数据存储器划分为多个数据存储区域，对各数据存储区域的数据选择性进行加解密，并采用不同的密钥；如果判断否，则对数据存储器不划分数据存储区域，而采用统一的密钥对整块数据存储区域进行数据加解密。随后，对经过存储区读写模块的数据进行加解密，在本发明的一个实施例中，存储器读写模块向数据加解密模块传送未加密的写数据，数据加解密模块对数据进行加密后存储于片外数据存储器，反之，片外数据存储器向数据加解密模块传送未解密读数据，经过数据加解密模块解密后，向存储器读写模块传送已解密读数据。特别的，数据加解密模块是从片内密钥存储器中读取密钥，对写入片外数据存储器的数据和从片外数据存储器读出的数据进行加解密。随后，判断系统是否受到攻击，如果系统受到攻击，则由数据加解密模块清除密钥存储器中的密钥，从而避免存储器中的数据被攻击获取；如果系统未受到攻击，继续判断系统是否关闭，如果判断是，则启动系统；如果判断否，则继续对经过存储器读写模块的数据进行加解密。

另一方面，本发明的实施例提供了一种存储数据加解密方法。图3示出了本发明一个实施例的存储数据加解密方法步骤示意图。如图所示，S31提供存储器读写模块，用于密钥读写以及对经过所述存储器读写模块的数据进行加解密，所述存储器读写模块包括用于运行加解密算法的数据加解密模块；S32表示提供片外数据存储器，用于存放经所述存储读写模块加密后的数据；S33表示提供安全配套模块，所述安全配套模块包括用于生成密钥的真随机数发生器以及用于存储所述密钥的密钥存储器；S34表示从所述存储器读取模块写入所述数据加解密模块的数据，由所述数据加解密模块使用所述安全配套模块提供的密钥进行加密后，写入到所述片外数据存储器；从所述片外数据存储器读出的加密数据，由所述数据加解密模块使用所述安全配套模块提供的密钥进行解密后，读出到所述存储器读取模块。

本发明提供的存储数据加解密装置及方法，通过在同一个芯片中将数据存储器划分为多个存储区域，每个存储区域分别采用特定的密钥，并且在不同芯片中，相同地址的存储区域采用不同的密钥，能够保证数据安全性，并且基本不影响数据访问的效率。另外，当片外数据存储器被替换时，替换后的存储器无法被内置密钥解密，还可以通过擦除密钥存储器中的密钥使存储器中的加密数据不能正确解密，具有较强的抗攻击能力。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种存储数据加解密方法，其特征在于，包括：

步骤一、提供存储器读写模块，用于密钥读写以及对经过所述存储器读写模块的数据进行加解密，所述存储器读写模块包括用于运行加解密算法的数据加解密模块；

步骤二、提供片外数据存储器，用于存放经所述存储读写模块加密后的数据；

步骤三、提供安全配套模块，所述安全配套模块包括用于生成密钥的真随机数发生器以及用于存储所述密钥的密钥存储器；

步骤四、从所述存储器读取模块写入所述数据加解密模块的数据，由所述数据加解密模块使用所述安全配套模块提供的密钥进行加密后，写入到所述片外数据存储器；

从所述片外数据存储器读出的加密数据，由所述数据加解密模块使用所述安全配套模块提供的密钥进行解密后，读出到所述存储器读取模块。

2.根据权利要求1所述的方法，其特征在于，所述步骤三还包括对是否分隔所述片外数据存储器中的数据进行判断：

如果判断是，将所述片外数据存储器划分为逻辑多个数据存储区域，对所述多个数据存储区域的数据选择性进行加解密操作，每个数据存储区域的密钥均不相同；

如果判断否，对所述片外数据存储器不划分数据存储区域，对整块数据存储区域的数据进行加解密操作，对所述整块数据存储区域的数据进行加解密操作使用统一密钥。

3.根据权利要求2所述的方法，其特征在于，对不同芯片或不同片外数据存储器的所述多个数据存储区域中的相同数据存储区域进行加解密操作所使用的密钥均不相同。

4.根据权利要求1所述的方法，其特征在于，所述数据加解密模块运行的加解密算法包括异或、序列重排、数据替换。

5.根据权利要求1所述的方法，其特征在于，所述数据加解密模块在系统芯片启动后自动通过硬件获取所述密钥存储器中的密钥并对数据进行加解密，所述获取和加解密过程对软件透明。

6.根据权利要求5所述的方法，其特征在于，所述存储器读写模块需在所述数据加解密模块获取密钥之后被访问，提前访问的请求无法响应。

7.根据权利要求1所述的方法，其特征在于，当所述片外数据存储器被替换时，替换后的存储器无法被所述密钥存储器中的密钥解密。

8.根据权利要求1所述的方法，其特征在于，当系统受到攻击时，所述存储器读写模块清除密钥存储器中的密钥，使所述片外数据存储器中的数据无法解密。

9.根据权利要求1所述的方法，其特征在于，所述片外数据存储器和所述密钥存储器部署在同一物理存储介质上。

10.一种使用权利要求1所述方法的装置，其特征在于，包括：

存储器读写模块，用于密钥读写以及对经过所述存储器读写模块的数据进行加解密，所述存储器读写模块包括用于运行加解密算法的数据加解密模块；

片外数据存储器，用于存放经所述存储读写模块加密后的数据；

安全配套模块，所述安全配套模块包括用于生成密钥的真随机数发生器以及用于存储所述密钥的密钥存储器。