CN100378689C - 一种计算机数据的加密保护及读写控制方法 - Google Patents

Abstract

一种计算机数据加密保护及读写控制方法，采用通用串行总线加密狗或软件身份认证和扇区级读写拦截的方法相结合，来实现对硬盘数据的加密，其过程是用扇区级读写拦截的方法拦截所有的读写操作，在加密核心中进行加密解密转换，并在相应的身份认证存在的条件下进行，实现对硬盘数据的加密及读写控制。保护数据有两个要点，不仅要防止加密资料外泄，还要防止加密资料被破坏，本发明的加密是比较完全的加密方案；另一显著特点就是使用方便，只要把USB-KEY藏好，就可数据无忧。同时，还以对指定区域中的数据进行读写控制。

Description

一种计算机数据的加密保护及读写控制方法

技术领域

本发明涉及一种计算机数据的加密保护及相关的读写控制方法，尤其是由通用串行总线加密狗(简称USB-KEY)、扇区级读写拦截、和加密核心(加密核心负责将数据加密解密)以及对读写操作进行控制相结合的方法。

背景技术：

Authenex公司的数据加密产品HDLOCK，它采用USB-KEY和软件加密核心相结合的方法，来实现对硬盘文件数据的加密。其实现技术是基于操作系统的文件过滤技术之上的，即拦截所有对文件的读写操作，在加密核心中进行加密解密转换，这个转换只有在相应的USB-KEY存在时，才会进行，如不存在，则不能正确地读取加密过的文件数据，从而即实现了对数据的加密。其缺点：①其加密对象为文件内容数据，而不是硬盘上的所有数据。(注：文件是磁盘数据的一种主要存在形式，但不是仅有的存在形式。比如文件分配表，再比如某些软件的私有数据等等，都不是以文件形式存在的数据。)所以HDLOCK虽然将文件中的数据加密了，但使用者仍可在未插入KEY的情况下看到文件名，还可用直接读写扇区的工具看到不以文件形式存在的数据。②加密的文件仍可被看到，在无相应USB-KEY时仍可被删除，造成数据丢失。③由于文件过滤技术只能拦截以文件为对象的读写操作，所以，对于诸如格式化这种直接针对扇区的读写根本无法拦截，攻击者只需使用格式化功能，就可将重要数据完全破坏。总的来说，HDLOCK加密得不彻底。

藏龙令，是国内一公司的类似产品，其亦是通过USB-KEY和软件加密核心共同作用来实现加密数据的功能的。它需预先创建一个一定大小的文件，然后将此文件虚拟成一个逻辑分区。使用者将需要加密的文件放至此虚拟分区中，在此虚拟分区中的读写操作都将被加密，如无相应的USB-KEY，无法访问。缺点：①不能保护现有数据，如要保护，必须先拷贝至虚拟分区中。②和HDLOCK一样，只能保护以文件形式存在的数据③只能在预定的空间大小里进行操作。④由于藏龙令的虚拟分区本身亦是个文件，攻击者在无KEY时，仍可将之删除或将其所在分区格式化，造成数据丢失。⑤如某些加密文件不再需要加密了，必须要将之拷贝至普通分区。

硬盘加密卡：一种可插在计算机上的卡，它与硬盘之间有数据线相连，CPU和硬盘之间所有的数据交换都会经过此卡，此卡将数据做加密解密工作后发向接收方。如无卡，硬盘上的数据将不能被解密，所以，无卡时，读写调用者将无法正确理解硬盘上的数据，从而实现了数据加密功能。优点：所有的硬盘数据都会被加密。缺点：①卡的成本较高。②为了数据安全，在离开计算机时应拔掉卡，而由于此卡是插在计算机主板上时，所以必须打开计算机机箱才能插拔，操作极为不便，尤其是对于不少笔记本电脑来说，机箱内根本就无可供插卡的地方。③要加密就必须整个硬盘都加密，无法只选择一个或一组分区加密，而剩余分区不加密。

中国专利02823349.2提供了一种在大容量存储介质上执行数据加密/解密的方法和装置。可将使用相关密钥的多种不同的加密/解密算法应用于介质的不同存储区，如硬盘驱动器上的块/扇区，由此大大提高了数据的安全性。提供了一种将所述密钥与随机数相结合，以进一步提高数据安全性的方法和装置。在其实施例中，块/扇区编号用于选择使用相关密钥的算法与随机数。还可用于加密/解密电子邮件、网络业务等及其它类型的电子数据。但其强调从硬盘驱动器引导计算机，所述装置提供认证会话，甚至可通过更改磁盘系统的主引导记录，用于选择与某一密钥载体相关联的操作系统和/或环境。

台湾超未来的LOCKUP，采用机电物理方式，直接控制硬盘马达，在无KEY时，锁住马达，从而达到加密目的。

台湾德铭的“秘密特使”及江民硬盘锁等产品，采取修改分区信息表的方法，使操作系统无法认别分区，从而无法读写分区中的数据，达到实现数据加密的目的。这样的加密很不安全，很容易被破解，方法有二：1，分析硬盘，根据数据组织特征尝试各分区的起始扇区，然后恢复分区表，这样就可以访问分区中的数据了，这种方法需要一定的专业知识；2，利用数据急救软件，可以在不恢复分区信息的情况下得出硬盘上的绝大多数文件，FinalData就是一款很好的数据急救软件，这种方法简便易行，无需专业知识。

现有技术中尚未有遇到由USB-KEY与扇区级读写拦截相结合的加密方法，并与读写操作控制相结合的方法。

发明内容

本发明目的是提供一种加密保护及相关的读写控制方法，尤其是由USB-KEY与扇区级读写拦截相结合的加密方法，可对设定区域的数据进行加解密处理，也可以与读写操作控制相结合。可对所有的扇区读写进行控制，将某块数据设定为只读、只写、不可读写、正常读写四种状态。

本发明目的还在于：对文件和数据甚至计算机的操作均可以加密，加密得更彻底。且可以进行块/扇区加密。对各种存在于计算机上的重要数据，如公司财务数据、公司客户资料、重要技术图纸等等数据进行妥善保护。同时，还可对所有的扇区读写进行控制，将某块数据设定为只读、只写、不可读写、正常读写四种状态。

本发明目的是这样实现的：一种计算机数据加密保护及读写控制方法，采用扇区级读写拦截的方法结合通用串行总线加密狗USB-KEY或软件身份认证，来实现对硬盘数据的加密，其过程是用扇区级读写拦截的方法拦截所有的读写操作，在加密核心CORE中进行加密解密转换，并在通用串行总线加密狗USB-KEY或软件身份认证存在的条件下进行，实现对硬盘数据的加解密及读写控制；

采用扇区级读写拦截的方法是：对硬盘读指令R，它指示了需要读的一组扇区SEC，“读写调用者”向硬盘发出读指令R，中途被加密核心CORE拦截，加密核心CORE在有USB-KEY关联的情况下，直接将读指令R传至硬盘，硬盘将扇区SEC所指向的数据读出，此数据为加密数据，此数据在发送给“读写调用者”时被加密核心CORE拦截，加密核心CORE如有USB-KEY关联，将会对数据进行解密，解密后的数据发送至“读写调用者”；当加密核心CORE发现无USB-KEY关联，则不继续传递读指令，而是直接通知“读写调用者”读操作失败；当“读写调用者”发出写指令W，要求向SEC所代表的一组扇区写未经加密的数据DATE，在发向硬盘的过程中，写指令W被加密核心CORE拦截，加密核心CORE发现有USB-KEY关联时，将数据DATA加密后再发给硬盘，这样，硬盘上写入的就是加密后的数据，加密的方法和USB-KEY有关；当加密核心CORE发现无USB-KEY关联，则不继续传递写指令W，而是直接通知“读写调用者”写操作失败；

在计算机启动时，通过编制的驻留程序接管int13H来拦截所有的磁盘操作；在进入DOS环境后，继续通过所述驻留程序拦截所有的磁盘操作；在进入WINDOWS环境后，采用WINDOWS DDK中提供的拦截磁盘读写的方法编写驱动程序来拦截IRP_MJ_READ、IRP_MJ_WRITE信号，对磁盘的读写进行拦截；再根据保存下来的加密分区起止信息，判断是否正在读写硬盘的加密分区，若是，采用所述扇区级读写拦截方法对读写数据做加解密转换后，再调用原先的磁盘读写驱动程序，使之正常运行，若不是，则不作处理，直接调用原先的磁盘读写驱动程序。还包括将分区设定加密分区和/或不加密分区的步骤：在将不加密分区设定成加密分区时，加密核心CORE将硬盘上的未加密数据DATA读出，依据通用串行总线加密狗USB-KEY中的身份识别码加密后生成加密数据DATE_ENCTRYPT，然后再写入硬盘；在将加密分区设定成不加密分区时，加密核心CORE将硬盘上的加密数据DATE_ENCTRYPT读出，依据相应的USB-KEY中的身份识别码，解密后生成未加密数据DATE，然后再写入硬盘。

还包括通过设定加密分区对此分区进行实时拦截，通过所述驻留程序或所述驱动程序对所有的磁盘操作进行拦截，对每次磁盘读写都将拦截到如下信息：是读还是写、读写开始扇区、读写的扇区数、读写的内容，再根据保存下来的加密分区起止信息，判断是否正在读写加密分区。

和HDLOCK、藏龙令所不同的是，本发明采用了扇区级读写拦截的方法，此方法可对所有种类的磁盘数据读写操作都进行了拦截，而不是仅拦截文件内容数据的读写。

本发明的特点是：

A对加密后的数据，必须在生成此加密数据的KEY配合下才能解密。

B由于本发明采用扇区级的读写拦截，所以，可对各种形式的数据进行加密，而不只是针对文件内容数据。

C可以以分区为单位(也可以不以分区为单位)，选择是否加密，原有数据会相应做加密解密转换，无需额外复制。

D在加密核心的监视下，加密数据不会被删除或格式化，防止被数据破坏。

E绝大多数计算机支持USB，通过USB-KEY控制加密数据的读写，插拔方便，无需关机，无需打开机箱。

F可以将指定分区(或指定区域)设定为只读、只写、不可读写、正常读写四种状态。当计算机连接到因特网时，为防止重要资料外泄，此分区设为不可读写状态；为防止不被病毒感染，可将此分区设为只读状态。

G可以通过设定分区的读写属性或插拔USB-KEY，在无需关闭计算机的情况控制硬盘上的数据访问

概括来说：保护数据有两个要点，不仅要防止加密资料外泄，还要防止加密资料被破坏，本发明实现了此两点，所以说，本发明的加密是比较完全的加密方案；本发明的另一显著特点就是使用方便，只要把USB-KEY藏好，就可数据无忧。同时，本发明的另一个重要特征，就是可以对指定区域中的数据进行读写控制，从而使用户可以根据自己的需要对不同的数据进行多样化的保护方案。本发明还具有动态读写控制的特征，无需重启计算机，方便快捷。

附图说明

图1为本发明总原理图，即有KEY时读加密区域的流程图

图2为本发明无KEY时读加密区域的流程图，

图3为本发明有KEY时写加密区域的流程图

图4为本发明无KEY时写加密区域的流程图

图5为本发明设定新加密区域时，将未加密数据转化成加密数据的流程图

图6为本发明取消加密区域时，加密数据转化成禾加密数据流程图

图7为本发明有KEY时读只读区域的流程图

图8为本发明写只读区域的流程图

具体实施方式

图1为发明总原理图如下：

注：“读写调用者”为所有需要读写磁盘数据的软件或硬件。

图中的KEY即上文提及的USB-KEY

图中R为硬盘读指令，它指示了需要读的一组扇区SEC，“读写调用者”向硬盘发出读指令R，中途被加密核心CORE拦截，CORE在有KEY关联的情况下，直接将指令R传至硬盘，硬盘将SEC所指向的数据读出，此数据为加密数据，此数据在发送给“读写调用者”时被CORE拦截，CORE如有KEY关联，将会根据KEY中的密钥及算法(即身份识别码)对数据进行解码，解码后的数据发送至“读写调用者”。

图2为无KEY时读加密区域的流程图，图2中“读写调用者”发出读指令R，在传递至硬盘的途中被CORE拦截，CORE发现无KEY关联，则不继续传递读指令，而是直接通知“读写调用者”读操作失败。

图3为有KEY时写加密区域的流程图，“读写调用者”发出写指令W，要求向SEC所代表的一组扇区写未经加密的数据DATA，在发向硬盘的过程中，被CORE拦截，CORE发现有KEY关联，则使用KEY中的密钥及算法(即身份识别码)，将数据DATA加密后再发给硬盘，这样，硬盘上写入的就是加密后的数据DATA_ENCRYPT，加密的方法及结果和KEY有关，之后，除非有KEY和CORE的配合，硬盘上的加密区数据DATA_ENCRYPT才能被正确解码，从而实现了加密数据的防外泄功能。

图4为无KEY时写加密区域的流程图中，“读写调用者”发出写指令W，在传递至硬盘的途中被CORE拦截，CORE发现无KEY关联，则不继续传递写指令W，而是直接通知“读写调用者”写操作失败，这样，加密的数据就不会被破坏。

图5为设定新加密区域时，将未加密数据转化成加密数据的流程图，在将不加密区域设定成加密区域时，CORE将硬盘上的未加密数据DATE读出，依据USB-KEY中的密钥及算法(即身份识别码)加密后生成加密数据DATE_ENCTRYPT，然后再写入硬盘。

图6为取消加密区域时，加密数据转化成未加密数据的流程图，在将加密区域设定成不加密区域时，CORE将硬盘上的加密数据DATE_ENCTRYPT读出，依据相应的USB-KEY中的密钥及算法(即身份识别码)，解密后生成未加密数据DATE，然后再写入硬盘。

图7为有KEY时读只读区域的流程图，图中R为硬盘读指令，它指示了需要读的一组扇区SEC，“读写调用者”向硬盘发出读指令R，中途被加密核心CORE拦截，CORE在有KEY关联的情况下，直接将指令R传至硬盘，硬盘将SEC所指向的数据读出，此数据在发送给“读写调用者”时被CORE拦截；如果此数据为加密数据，CORE将会根据USB-KEY中的密钥及算法对其进行解码，然后发送至“读写调用者”，如此数据为未加密数据，CORE将不对其做任何处理，直接将其发送至“读写调用者”。

图8为写只读区域的流程图，图中“读写调用者”发出写指令W，在传递至硬盘的途中被CORE拦截，CORE发现是写只读区域的操作，则不继续传递写指令W，而是直接通知“读写调用者”写操作失败，这样，所有对只读区域的写操作都将失败。

USB-KEY的识别技术

USB-KEY除了可以用于本发明外，还广泛地运用于软件防盗版领域，对USB-KEY的读写都需要密码，产品在发行前，软件厂商都会在USB-KEY中烧入识别信息，以要求用户在使用软件时必须有正确识别信息的USB-KEY存在。本发明将这种识别信息从一般的软件防盗领域功能，转义为对硬盘数据的身份识别，只是USB-KEY的识别技术的另一种用法，不属于新技术，由于此技术已广为使用，所以此处不再做说明。

如采用AES先进加密标准算法如Rijndael算法。

扇区级读写拦截技术：此技术在不同的操作系统都不是新技术，在此只简单提一下。

在DOS下，通过拦截INT13H的方法可以实现对扇区读写的拦截。

在Windows下，可以书写驱动程序，WindowsDDK中说明了在驱动程序中对扇区读写进行拦截的方法。

在Linux下，由于其代码的公开性，所以可以很方便地写出程序对扇区读写进行拦截。

加密方法

加密方法在本发明中属灵活部分，本发明不限于具体的加密方法，如可采用LZW压缩及AES相结合的可逆加密算法，加密算法中的一些重要参数是和USB-KEY关联的，经过此算法转换后的数据，将不能被轻易解密。

实施例

1.扇区级读写拦截

a)先分析出需保护分区的起止扇区号。

我们得分析一下int13h的入口参数及硬盘分区表链。

int13h的入口参数有：

ah功能号

al要读/写的扇区数    ch柱面号    cl扇区号    dh磁头号dl驱动器号(其中0为a：，1为b：，80h为第一个硬盘)

从ah中判断是否为写操作而决定是否拦截之，从dl中可以判断是软盘还是硬盘，最后一个问题就是怎样判断是逻辑c区还是d区、e区……它们是不是应该写保护的分区。

我们用debug输入一小段汇编程序

mov dl，80h；驱动器号

mov dh，0；磁头号0

mov ch，0；柱面号0

mov cl，1；扇区1

mov al，1；扇区数

mov bx，2000

mov ah，2；读磁盘

int 13h

int3

读出c盘0头0柱1扇区的内容

偏移1bf～1c1是c区的起始磁头(简称h)、起始扇区(简称s)、起始柱面(简称c)偏移1c3～1c5是c区的终止h、终止s、终止c

我们可把1cf～1d1的数据分别代入上面汇编程序的dh，cl，ch，同样可读出d区的分区信息。

其中，偏移1bf～1c1是d区的起始h、起始s、起始c；偏移1c3～1c5是d区的终止h、终止s、终止c。同样的道理，我们可读出e区、f区……的分区信息。这便是硬盘分区表链。

我们的判断顺序可以是这样的：若int13的c恰好等于保存的终止c，则应进一步判断h；若int13的h值小于保存的终止h，则表明在写保护盘内；若int13的h大于保存的终止h，则表明超出了写保护盘的范围，若等于则应进一步确定s；若int13的s值大于保存的终止s值则是超出了写保护盘，反之，小于、等于则是在写保护盘内。我们可由分区表链取得要写保护分区的起始、终止h、s、c。

b.设定加密分区

根据从硬盘分区表链中分析出来的分区信息，将要加密分区的信息写在选定文件或扇区中。比如，我们要加密d分区，就要把步骤a中分析出来的d分区的起止c、h、s保存起来。

c.实时拦截

(c.1在计算机启动时及DOS环境下的实施例)

众所周知，在计算机启动时及在DOS环境下，几乎所有与磁盘操作有关的调用，最后都要转到bios中的INT13H。因此我们只需编制一小段内存驻留程序接管int13H，使所有的磁盘操作都必须先经过该驻留程序的检测，根据步骤b中保存下来的加密分区起止信息，判断是否正在读写加密分区，若是，则对读写数据及信号做加解密转换后，再调用原int13H使之正常运行，若不是，则不作处理，直接调用原int13h。

(c.2在WINDOWS环境下的实施例)

在WINDOWS操作系统下，硬盘读写操作将不全通过INT13H实现，在WIN9X下是依靠磁盘驱动程序或INT13H完成的，而在WINNT系列(包括WINNT、WIN2000、WINXP及以后版本)下，则完全是依靠磁盘驱动程序实现的。

微软公司的WINDOWS DDK提供了一套拦截磁盘读写的方法，我们通过拦截IRP_MJ_READ、IRP_MJ_WRITE信号，即可对磁盘的读写进行有效的拦截，使所有的磁盘操作都必须先经过拦截程序的检测，将会拦截到IRP命令包，IRP包中包含了如下四个参数：是读还是写、读写开始扇区、读写的扇区数、读写的内容，根据步骤b中保存下来的加密分区起止信息，判断是否正在读写加密分区，若是则对读写内容及信号做加解密转换后，再调用原先的磁盘读写驱动程序，使之正常运行，若不是，则不作处理，直接调用原先的磁盘读写驱动程序。

根据以上原理，可以将程序编制出来。

d读写控制

对硬盘数据的读写进行控制，方法是：通过设定分区属性对此分区进行实时拦截，对磁盘的读写通过开关命令控制是否进行有效的拦截及处理，通过编制扇区级读写拦截程序，对所有的磁盘操作进行拦截，对每次磁盘读写都将拦截到如下信息：是读还是写、读写开始扇区、读写的扇区数、读写的内容；如是读操作，再根据保存下来的分区起止信息及分区的读写属性，判断此分区是否允许读，若是，则直接调用系统原先的磁盘读写程序，若此分区不允许读，则不调用系统原先的磁盘读写程序，而是直接返回读失败信号；如是写操作，也根据保存下来的分区起止信息及分区的读写属性，判断此分区是否允许写，若是，则直接调用系统原先的磁盘读写程序，若此分区不允许写，则不调用系统原先的磁盘读写程序，而是直接返回写失败信号。

以WINDOWS下为例。根据WINDOWS DDK的相关说明，编写一个与驱动程序交流的程序，用于命令的下达及命令执行结果的接收。具体通过DeviceIOControl函数实现以上要求。当需要改变分区读写属性(只读、只写、不可读写、正常读写四种属性)时，将属性信息通过DeviceIOControl传递至本发明的驱动程序。

e读写控制设定成功后，本发明的驱动程序将依据新的读写属性对硬盘读写指令进行处理。比如，对于只读分区，驱动程序将对所有的写数据命令进行拦截，并返回失败。

2.USB-KEY双因子身份认证

使用本发明访问加密数据，需要进行双重认证。即密码认证及USB-KEY认证，只有密码而无USB-KEY、或者只有USB-KEY而无密码都无法访问加密数据。攻击者即使攻破了密码，如无相应的USB-KEY，仍无法访问加密数据，因为数据的加密算法是和USB-KEY相关联的，相同的数据，通过不同的USB-KEY加密，结果是不同的。

Claims (4)

1.一种计算机数据加密保护及读写控制方法，其特征是采用扇区级读写拦截的方法结合通用串行总线加密狗USB-KEY或软件身份认证，来实现对硬盘数据的加密，其过程是用扇区级读写拦截的方法拦截所有的读写操作，在加密核心CORE中进行加密解密转换，并在通用串行总线加密狗USB-KEY或软件身份认证存在的条件下进行，实现对硬盘数据的加解密及读写控制；

采用扇区级读写拦截的方法是：对硬盘读指令R，它指示了需要读的一组扇区SEC，“读写调用者”向硬盘发出读指令R，中途被加密核心CORE拦截，加密核心CORE在有USB-KEY关联的情况下，直接将读指令R传至硬盘，硬盘将扇区SEC所指向的数据读出，此数据为加密数据，此数据在发送给“读写调用者”时被加密核心CORE拦截，加密核心CORE如有USB-KEY关联，将会对数据进行解密，解密后的数据发送至“读写调用者”；当加密核心CORE发现无USB-KEY关联，则不继续传递读指令，而是直接通知“读写调用者”读操作失败；当“读写调用者”发出写指令W，要求向SEC所代表的一组扇区写未经加密的数据DATE，在发向硬盘的过程中，写指令W被加密核心CORE拦截，加密核心CORE发现有USB-KEY关联时，将数据DATA加密后再发给硬盘，这样，硬盘上写入的就是加密后的数据，加密的方法和USB-KEY有关；当加密核心CORE发现无USB-KEY关联，则不继续传递写指令W，而是直接通知“读写调用者”写操作失败；

在计算机启动时，通过编制的驻留程序接管int13H来拦截所有的磁盘操作；在进入DOS环境后，继续通过所述驻留程序拦截所有的磁盘操作；在进入WINDOWS环境后，采用WINDOWS DDK中提供的拦截磁盘读写的方法编写驱动程序来拦截IRP_MJ_READ、IRP_MJ_WRITE信号，对磁盘的读写进行拦截；再根据保存下来的加密分区起止信息，判断是否正在读写硬盘的加密分区，若是，采用所述扇区级读写拦截方法对读写数据做加解密转换后，再调用原先的磁盘读写驱动程序，使之正常运行，若不是，则不作处理，直接调用原先的磁盘读写驱动程序。

2.由权利要求1所述的计算机数据加密保护及读写控制方法，其特征是还包括将分区设定加密分区和/或不加密分区的步骤：在将不加密分区设定成加密分区时，加密核心CORE将硬盘上的未加密数据DATA读出，依据通用串行总线加密狗USB-KEY中的身份识别码加密后生成加密数据DATE_ENCTRYPT，然后再写入硬盘；在将加密分区设定成不加密分区时，加密核心CORE将硬盘上的加密数据DATE_ENCTRYPT读出，依据相应的USB-KEY中的身份识别码，解密后生成未加密数据DATE，然后再写入硬盘。

3.由权利要求1所述的计算机数据加密保护及读写控制方法，其特征是还包括通过设定加密分区对此分区进行实时拦截，通过所述驻留程序或所述驱动程序对所有的磁盘操作进行拦截，对每次磁盘读写都将拦截到如下信息：是读还是写、读写开始扇区、读写的扇区数、读写的内容，再根据保存下来的加密分区起止信息，判断是否正在读写加密分区。

4.由权利要求1所述的计算机数据加密保护及读写控制方法，其特征是对硬盘数据的读写进行控制的方法是：通过设定分区属性对此分区进行实时拦截，通过所述驻留程序或所述驱动程序对所有的磁盘操作进行拦截，对每次磁盘读写都将拦截到如下信息：是读还是写、读写开始扇区、读写的扇区数、读写的内容；如是读操作，再根据保存下来的分区起止信息及分区的读写属性，判断此分区是否允许读，若是，采用所述扇区级读写拦截方法对读写数据做加解密转换后再调用系统原先的磁盘读写程序；若此分区不允许读，则不调用系统原先的磁盘读写程序，而是直接返回读失败信号；如是写操作，也根据保存下来的分区起止信息及分区的读写属性，判断此分区是否允许写，若是，采用所述扇区级读写拦截方法对读写数据做加解密转换后再调用系统原先的磁盘读写程序；若此分区不允许写，则不调用系统原先的磁盘读写程序，而是直接返回写失败信号。

Images