FI93280C

FI93280C - An arrangement for storing data on computer hardware

Info

Publication number: FI93280C
Application number: FI931530A
Authority: FI
Inventors: Pauli Hovinen
Original assignee: Icl Personal Systems Oy
Priority date: 1993-04-05
Filing date: 1993-04-05
Publication date: 1995-03-10
Also published as: FI931530A0; FI93280B; GB9406576D0; GB2276965A; GB2276965B; FI931530A

Description

93280 Järjestely datan tallentamiseksi tietokonelaitteistossa Tämän keksinnön kohteena on järjestely datan tallentamiseksi tietokonelaitteistossa, joka käsittää ensim-5 mäisen muistialueen, esimerkiksi haihtuvan muistin, datan lyhytaikaiseen, kuten käsittelyn aikaiseen, tallennukseen ja toisen muistialueen, esimerkiksi haihtumattoman muistin, datan haluttaessa pitkäaikaisempaan tallennukseen ja salakirjoitusvälineet datan muuttamiseksi vaihdettavissa 10 olevaa salausavainta käyttäen salattuun muotoon ja vastaavaa purkausavainta käyttäen selväkieliseen muotoon.The present invention relates to an arrangement for storing data in computer hardware, comprising a first memory area, e.g. volatile memory, for short-term storage of data, such as during processing, and a second memory area, e.g. non-volatile memory, for modifying data for longer storage. exchangeable into an encrypted form using a 10 encryption key and into a plain language form using a corresponding decryption key.

Tietokoneet käyttävät haihtumattomia muisteja, kuten levymuisteja, vain väliaikaisesti tallennettavaksi tarkoitettujen tiedostojen, kuten heittovaihtotiedostojen 15 (swap files), tallennukseen, koska haihtuvien järjestelmä-muistien, kuten RAM-muistien, käyttö on usein kallista. Vaikka tilapäisiä tiedostoja tallennetaan haihtumattomaan muistiin, niitä tarvitaan kuitenkin ainoastaan yhden toimintajakson aikana, toisin sanoen käyttäjän työjakson ai-20 kana tai silloin kun tällaisia tiedostoja käyttävät tietokoneohjelmat ovat toiminnassa. Toimintajaksolla tarkoitetaan tässä yhteydessä esimerkiksi keskustelevan tietojenkäsittelyn yhtäjaksoista suoritusta. Toimintajakson voidaan ajatella alkavan esimerkiksi sisäänkirjauksesta ja ‘ ' 25 päättyvän uloskirjaukseen. Monet tietokonelaitteistot jät tävät tilapäisten tiedostojen datan haihtumattomaan muistiin. Tämä luo turvausongelman, koska vanhojen tilapäisten tiedostojen sisältö on saatavissa selville haihtumattomas-ta muistista ja siten asiaankuulumattomat henkilöt voivat 30 päästä käsiksi tällaisiin tiedostoihin mahdollisesti tai- » * lennettuihin luottamuksellisiin tietoihin. Jotkin tietokonelaitteistot puhdistavat tilapäiset tiedostot haihtu-mattomasta muistista tämän ongelman ratkaisemiseksi. Tämä ei kuitenkaan auta, jos haihtumatonta muistia yritetään 35 lukea ennen puhdistusta, esimerkiksi silloin, kun tietoko- • · 2 93280 ne on pysähtynyt epänormaalisti keskellä toimintajaksoa.Computers use non-volatile memories, such as disk memories, only to store files for temporary storage, such as swap files, because the use of volatile system memories, such as RAM, is often expensive. However, although temporary files are stored in non-volatile memory, they are only needed during one operating cycle, i.e., during the user's work cycle ai-20, or when computer programs using such files are running. In this context, an operating period means, for example, the continuous performance of conversational data processing. The operating period can be thought of as starting, for example, with check-in and ending with '' 25. Many computer hardware leaves the data in temporary files in non-volatile memory. This creates a security problem because the contents of old temporary files can be retrieved from non-volatile memory and thus unauthorized persons can access confidential information that may have been flown in such files. Some computer hardware cleans temporary files from non-volatile memory to resolve this issue. However, this does not help if an attempt is made to read nonvolatile memory before cleaning, for example when the computer has stopped abnormally in the middle of an operating cycle.

Tunnettu menettely tietoturvan varmistamiseksi on käyttää salakirjoitusta. Tiedostot voidaan muuttaa salakirjoitettuun muotoon salakirjoitusohjelman avulla anta-5 maila ohjelmalle salakirjoitusavain, kun data kirjoitetaan ja se voidaan muuttaa selväkieliseen muotoon käyttäen samaa tai jotakin muuta käytetystä salausavaimesta riippuvaa purkausavainta, kun data luetaan. Salakirjoitusjärjestelmät vaativat tyypillisesti jonkin menettelyn salakirjoi-10 tusavaimien hallintaa varten, toisin sanoen, jotta avaimet voidaan kehittää, siirtää ja tallentaa turvallisesti.A known procedure to ensure data security is to use cryptography. Files can be converted to an encrypted format using an encryption program to give the 5-stick program an encryption key when data is written, and it can be converted to plain language using the same or another decryption key depending on the encryption key used when the data is read. Cryptographic systems typically require some procedure for managing cryptographic keys, i.e., in order for the keys to be securely generated, transmitted, and stored.

Esillä olevan keksinnön tavoitteena on tuoda esiin uuden tyyppinen järjestely datan tallentamiseksi tietokonelaitteistossa, kun tallennetaan ei-pysyvästi säilytet-15 täväksi tarkoitettua dataa, jonka järjestelyn avulla erityisesti salakirjoitusavainten hallintaan liittyvät ongelmat kyetään täysin eliminoimaan. Tähän päästään keksinnön mukaisen järjestelyn avulla, joka käsittää sa-lausavaingeneraattorin ainakin yhden satunnaisen salaus-20 avaimen ja sitä vastaavan purkausavaimen kehittämiseksi kutakin erillistä toimintajaksoa kohden käytettäviksi salakir joitusvälineissä ei pysyvästi säilytettäväksi tarkoitetun datan salaamiseksi ennen sen toiseen muistialueeseen tapahtuvaa tallennusta ja vastaavasti muuttamiseksi selvä-' 25 kieliseen muotoon toisesta muistialueesta tapahtuneen luvun jälkeen ja välineet generoitujen salaus- ja purkaus-avaimien säilyttämiseksi istunnon aikana ja hävittämiseksi viimeistään istunnon päätyttyä. Keksinnön mukaisen järjestelyn perusideana on, että tietokonelaitteisto itse gene-30 roi salaus- ja purkausavaimet, joita se käyttää tilapäisesti tallennettavan datan tallennukseen haihtumattomaan muistialueeseen. Tällä tavoin nämä salaus- ja purkausavaimet eivät ole muuta kuin tietokoneen itsensä tiedossa. Koska datan salakirjoittaminen ja sen purkaminen suorite-35 taan täysin automaattisesti ja itsenäisesti tietokoneen • • ·It is an object of the present invention to provide a new type of arrangement for storing data in computer hardware when storing data for non-permanent storage, by means of which arrangement problems, in particular those related to cryptographic key management, can be completely eliminated. This is achieved by an arrangement according to the invention comprising an encryption key generator for generating at least one random encryption key and a corresponding decryption key for each separate operating cycle for encrypting data not permanently stored in cryptographic means before storing it in another memory area and changing it accordingly. in a linguistic format after the chapter from the second memory area and means for storing the generated encryption and decryption keys during the session and for destroying them at the latest after the session. The basic idea of the arrangement according to the invention is that the computer hardware itself generates the encryption and decryption keys, which it uses to store the temporarily stored data in a non-volatile memory area. In this way, these encryption and decryption keys are known only to the computer itself. Because data encryption and decryption is performed completely automatically and independently on a computer • • ·

IIII

3 93280 itsensä toimesta, eivät nämä toimenpiteet näy lainkaan tietokoneen käyttäjälle. Viimeistään toimintajakson päätyttyä salaus- ja purkausavaimet kuitenkin hävitetään, ne esimerkiksi haihtuvat haihtuvasta muistista, joten haihtu-5 mattomassa muistialueessa mahdollisesti tallennettuna olevaa, siihen vain tilapäisesti tallenettavaksi tarkoitettua dataa ei enää kyetä tulkitsemaan. Tämä menettelytapa takaa täydellisen tietoturvan myös tällaisen tilapäisesti tallennetun datan ollessa kyseessä.3 93280 by itself, these actions are not visible to the computer user at all. However, at the latest at the end of the operating period, the encryption and decryption keys are destroyed, for example they evaporate from the volatile memory, so that data which may have been stored in the non-volatile memory area and is only temporarily stored in it can no longer be interpreted. This procedure ensures complete data security even in the case of such temporarily stored data.

10 Salaus- ja purkausavaimet voidaan generoida toimin ta jaksokohtaisesti, jolloin koko toimintajakson ajan käytetään samaa salaus- ja purkausavainta, jotka voivat luonnollisesti selausohjelmasta riippuen olla myös samoja avaimia. Vaihtoehtoisesti voidaan salaus- ja purkausavai-15 met generoida kutakin tiedostoa kohden erikseen. Tapauksissa, joissa istunnon aikana käytetään useita tietokoneohjelmia, voidaan avaimien hävittäminen suorittaa ohjelmakohtaisesti, jolloin ohjelmasta poistuminen johtaa avaimien hävittämiseen.10 The encryption and decryption keys can be generated per operation cycle, in which case the same encryption and decryption key is used throughout the operation cycle, which can of course also have the same keys, depending on the browsing program. Alternatively, the encryption and decryption keys can be generated separately for each file. In cases where multiple computer programs are used during a session, key removal can be performed on a program-by-program basis, in which case exiting the program will result in key loss.

20 Seuraavassa keksinnön mukaista järjestelyä kuva taan yksityiskohtaisemmin viitaten oheiseen piirustukseen, jonka kuviossa on esitetty keksinnön mukaisen järjestelmän esimerkinomaisen suoritusmuodon kaaviokuva.In the following, the arrangement according to the invention will be described in more detail with reference to the accompanying drawing, which shows a schematic diagram of an exemplary embodiment of the system according to the invention.

Kuviossa on viitenumerolla 4 kuvattu tietokonelait-; *· 25 teistoa, joka käsittää haihtuvan muistialueen 1, joka on tietojenkäsittelyalueen muisti, kuten haihtuva muisti tai prosessorin rekisteri. Tietokonelaitteisto 4 käsittää edelleen toisen muistialueen 2, joka on tyypiltään haihtu-maton muisti ja muodostaa tallennusalueen mahdollisesti . 30 pitempiaikaista tallennusta varten. Tyypillisesti tällai- # · * nen haihtumaton muistialue on kovalevy. Juuri tähän muis tialueeseen 2 tapahtuvan ei-pysyvästi tallennettavaksi tarkoitetun datan tai tiedoston turvallinen tallentaminen on keksinnön kohteena ja kuvio käsitteleekin vain juuri 35 tällaisen ei-pysyvästi tallennettavaksi tarkoitetun datan « > · « 4 93280 tai tiedoston tallennusta tähän haihtumattomaan muistialueeseen 2. Muut tietokonelaitteessa 4 tapahtuvat tallennukset on selvyyden vuoksi jätetty kuviossa esittämättä.In the figure, reference numeral 4 denotes a computer device; * · 25 repositories comprising a volatile memory area 1, which is a memory of a data processing area, such as a volatile memory or a processor register. The computer hardware 4 further comprises a second memory area 2, which is of the non-volatile type of memory, and possibly forms a storage area. 30 for longer recording. Typically, such a non-volatile memory area is a hard disk. It is the object of the invention to securely store non-permanently stored data or a file in this memory area 2, and the figure only deals with the storage of just 35 such non-permanently stored data or files in this non-volatile memory area 2. Other in the computer device 4 the recordings are not shown in the figure for the sake of clarity.

Muistialueen 1 ja muistialueen 2 väliselle datan 5 tallennus- ja lukureitille on sovitettu salakirjoitusväli-neet 3, joiden kautta data toisaalta tallennetaan muistialueesta 1 muistialueeseen 2 ja toisaalta luetaan muistialueesta 2 muistialueeseen 1. Keksinnön mukaisesti näitä salakirjoitusvälineitä 3 varten tarvittavat salaus- ja 10 purkausavaimet 5 ja 6 generoidaan salausavaingeneraatto-rilla 7. Tämä salausavaingeneraattori 7 on itsenäisesti toimiva ja generoi salaus- ja purkausavaimet mahdollisimman satunnaisesti. Nämä salaus- ja purkausavaimet säilytetään muistivälineissä 8. Keksinnön mukaisesti salaus- ja 15 purkausavaimet kehitetään joko toimintajaksokohtaisesti, tiedostokohtaisesti tai sovellusohjelmakohtaisesti. Oleellista kuitenkin on, että salaus- ja purkausavaimia 5 ja 6 säilytetään välineissä 8 ainoastaan niin kauan kuin niiden avulla salattujen tilapäisten tiedostojen tai tilapäisesti 20 tallennetun datan tulee olla käytettävissä eli korkeintaan toimintajakson loppuun asti. Tämän jälkeen näitä satunnaisia salausavaimia käyttäen haihtumattomaan muistialueeseen 2 tallennettua dataa ei kyetä enää tulkitsemaan, koska niiden salakirjoituksessa käytetty avain on hävitetty vä-‘ * 25 lineestä 8. Käytännössä tämä voi merkitä esimerkiksi sitä, että salausavain ja sitä vastaava purkausavain tallennetaan haihtuvaan muistiin, josta ne haihtuvat, kun virta katkaistaan kyseiseltä muistipiiriltä esimerkiksi toimintajakson päättyessä.Encryption means 3 are arranged for the data storage and reading path 5 between the memory area 1 and the memory area 2, through which data is stored from the memory area 1 to the memory area 2 and read from the memory area 2 to the memory area 1 according to the invention. 6 is generated by the encryption key generator 7. This encryption key generator 7 is independently operating and generates encryption and decryption keys as randomly as possible. These encryption and decryption keys are stored in the memory means 8. According to the invention, the encryption and decryption keys are generated either per operating cycle, per file or per application program. However, it is essential that the encryption and decryption keys 5 and 6 are stored in the means 8 only as long as the temporary files or data temporarily stored with them are to be available, i.e. at the end of the operating period at the latest. Thereafter, the data stored in the non-volatile memory area 2 using these random encryption keys can no longer be interpreted because the key used for their encryption has been erased from the medium 8. In practice, this may mean, for example, that the encryption key and the corresponding decryption key are stored in volatile memory. evaporate when the memory circuit in question is switched off, for example at the end of an operating cycle.

30 Keksinnön perusidea, jonka mukaan salaus- ja pur kausavaimet eivät toimintajakson jälkeen saa olla enää käytettävissä, voidaan toteuttaa myös toisin kuin edellä on ehdotettu. Salaus- ja purkausavaimet voidaan valita satunnaisesti esimerkiksi suuresta joukosta mikroprosesso-35 riin kiinteästi tallennettuja vaihtoehtoja. Tällöin voi-The basic idea of the invention, according to which the encryption and decryption keys may no longer be available after the operating period, can also be implemented differently from what has been suggested above. Encryption and decryption keys can be randomly selected, for example, from a large number of options permanently stored in the microprocessor. In this case,

IIII

5 93280 daan toimia siten, että avaimet eivät enää toimintajakson jälkeen ole löydettävissä, vaikka ne fyysisesti olisivatkin olemassa. Myös muut vastaavan tyyppisesti turvatut avaimien säilytystavat voivat tulla kysymykseen esillä 5 olevan keksinnön yhteydessä.5 93280 can be operated in such a way that the keys can no longer be found after the operating period, even if they physically exist. Other similarly secured key storage methods may also be considered in connection with the present invention.

Kuviossa on tietokonelaitteeseen 4 liittyvinä ulkopuolisina yhteyksinä mainittu käyttäjä ja toisaalta turvattu järjestelmä. Nämä ovat luonnollisesti vain esimerkinomaisia käyttöliittymiä. Turvattu järjestelmä on mai-10 nittu käyttöliittymänä sen johdosta, että kuviossa kuvatun, keksinnön mukaisen järjestelyn sisältävän tietokonelaitteen 4 avulla kyetään turvatusta järjestelmästä tilapäisesti käsittelyä tai muokkausta varten tietokonelaitteeseen 4 siirretty ja siihen tässä yhteydessä 15 tilapäisesti mahdollisesti tallentunut data pitämään edel leen turvattuna. Tämä perustuu siihen, että tietokonelaitteeseen 4 sen jälkeen, kun tällaisen turvatun datan käsittely siinä on päättynyt, ei voi jäädä mitään tulkittavissa olevia jälkiä käsitellystä datasta.In the figure, the user and, on the other hand, the secured system are mentioned as external connections related to the computer device 4. These are, of course, just exemplary interfaces. The secure system is mentioned as a user interface due to the fact that the computer device 4 with the arrangement according to the invention described in the figure is able to keep the data temporarily transferred from the secure system to the computer device 4 for processing or modification and temporarily stored therein. This is based on the fact that after the processing of such secure data in the computer device 4, no interpretable traces of the processed data can be left.

20 Yllä keksinnön mukaista järjestelyä on kuvattu vain yhden esimerkinomaisen suoritusmuodon avulla ja on ymmärrettävää, että siihen voidaan tehdä laitteistokohtaisia ja tietokonekohtaisia muutoksia poikkeamatta kuitenkaan oheisten patenttivaatimusten määrittelemästä suojapiiris-25 tä. Oleellista keksinnön mukaisessa järjestelyssä on, että tilapäisesti tallennettavaksi tarkoitetun datan tallentamisen yhteydessä käytetään vain tietokoneen itsensä tiedossa olevaa salausavainta ja että tämä avain myös tietokoneen itsensä toimesta hävitetään tai ei ole muutoin enää 30 käytettävissä, kun tätä tilapäisesti tallennettua dataa ei enää tarvita.The arrangement according to the invention has been described above with the aid of only one exemplary embodiment, and it is to be understood that hardware-specific and computer-specific changes can be made to it without, however, departing from the scope defined by the appended claims. It is essential in the arrangement according to the invention that only the encryption key known to the computer itself is used for storing the data to be temporarily stored and that this key is also destroyed by the computer itself or is no longer available when this temporarily stored data is no longer needed.

**

Claims

6 93280 An arrangement for storing data in computer hardware (4) comprising a first memory area * (1), 5 for example volatile memory, short-term storage of data such as during processing and a second memory area (2), e.g. non-volatile memory, for longer storage of data and cryptographic means ( 3) to convert data using an exchangeable encryption key-10 into an encrypted form and using a corresponding decryption key into a plaintext format, characterized in that the arrangement comprises an encryption key generator (7) for generating at least one random encryption key (5) and a corresponding decryption key (6) for each separate operating cycle for use in the cryptographic means (3) for encrypting data to be permanently stored before storing it in the second memory area (2) and, accordingly, for converting it to plain language form from the second memory area (2) after 20 and means (8) for storing the generated encryption and decryption keys (5,6) during the operating cycle and preventing their use after the operating cycle. <<· Il 7 93280 Arrangements for data processing in computer order (4), which are included in the minimum number (1), t.ex. ett 5 obeständigt minne för kortvarig, sAsom under processingering, lagring av data, och ett ett andra minnesomrAde (2), t.ex. ett bestAende minne för önskad lAngvarigare lagring av data oct krypteringsmedel (3) for omvandling av data med an-vändning av en utbytbar krypteringsnyckel account encryption 10 form och arvandning av en motsvarande decekterings-nycad at klartext, kännet the cryptographic generator (7) for the cryptographic function of the memory and the cryptographic function (5) and the cryptographic function (6) in the case of a single crystal (2) and a separate cryptxt after the flow (2), and in the middle (8) 20 for up-to-date cryptography and decryption (5, 6) during the function period averas användning efter funktionsperiodens slut. 'i <· • ·