CN100464313C

CN100464313C - 一种移动存储装置及存取移动存储装置中加密数据的方法

Info

Publication number: CN100464313C
Application number: CNB2005100711930A
Authority: CN
Inventors: 王元成; 李高强; 刘静; 杨宇光
Original assignee: Lenovo Beijing Ltd
Current assignee: Lenovo Beijing Ltd
Priority date: 2005-05-20
Filing date: 2005-05-20
Publication date: 2009-02-25
Anticipated expiration: 2025-05-20
Also published as: CN1866224A

Abstract

本发明公开了一种移动存储装置，该设备包括移动存储设备及硬件密钥设备，其中，移动存储设备，用于存储加密的数据文件和非加密数据文件，所述设备中设有用于存储加密的数据文件的加密分区，以及用于存储非加密数据文件的公共分区，且具有与计算机连接的接口；所述移动存储设备还包括控制芯片，用于根据计算机的控制对所述加密分区或公共分区的数据文件进行存取；硬件密钥设备，用于存储密钥，所述设备与计算机连接。本发明还公开了一种存取移动存储装置中加密数据的方法。本发明方案解决了现有技术中通过软件方式加密的安全性不高，以及通过硬件方式加密的成本较高的问题。

Description

一种移动存储装置及存取移动存储装置中加密数据的方法

技术领域

本发明涉及移动存储技术领域，更确切地说是涉及一种移动存储装置，以及对移动存储装置中的加密数据进行存取的方法。

背景技术

目前，移动存储设备由于能够为用户提供较大的存储空间、且携带方便，已经成为用户交换数据的常用设备。常见的移动存储设备有移动硬盘、移动闪存等产品。移动存储设备一般通过USB接口、1394接口等类似接口与计算机连接。

用户保存到移动存储设备中的数据文件有可能是机密文件，出于安全考虑，需要对该文件进行加密处理，并且保存在移动存储设备的加密分区中，加密分区与公共分区的不同在于，保存在加密分区中的数据不能被随意删除。其中，数据加密就是采用一定的加密算法，使得保存在移动存储设备上的文件是密文的形式，用户在读取文件之前首先需要输入密码，密码正确后，再通过特定的密钥对数据文件进行解密。在没有通过与之匹配的密钥进行解密之前，用户所能看到的数据是乱码，无法读取数据；当密钥与之匹配后，则可以正常地读出数据。

目前，针对加解密处理有两种方案：一种是软件加解密方案，另一种是硬件加解密方案。对于软件加解密方案来说，由于移动存储设备的公共分区中的数据是可以随意更改的，而密码和密钥必须要安全保存，因此密码和密钥均需要存放在加密分区中。显然，这种存放方式使得密码一旦被破译，加密分区中的密钥也就会被得到，而且其他人在盗取加密分区中的数据时，可以把密钥一起盗走，只要能够破译密码，就可以通过密钥得到解密后的数据文件，因此这种存放方式导致数据的安全性不高。

对于硬件加解密方案来说，移动存储设备中需要设置用于进行加解密处理的硬件加解密芯片，还需要设置硬件密钥。使用硬件加解密方案的移动存储设备如图1所示。在用户输入了正确的密码后，移动存储设备中的硬件加解密芯片就可以从硬件密钥中获取密钥，并根据该密钥对数据文件进行解密处理。如果用户需要保存处理后的数据，则在用户输入正确的密码后，硬件加解密芯片就可以从硬件密钥中获取密钥，并根据该密钥对待保存的数据文件进行加密处理。这种加解密方案需要在移动存储设备中设置硬件加解密芯片，而加解密芯片的价格往往较高。另外，硬件加解密芯片中的算法是固定的，因此密钥的位数必须是固定的，但密钥的位数越长，数据的保密系数才会越高，如果将密钥设置较长的位数，则与之匹配的硬件加解密芯片的价格也会随之增大。因此，要想有较高的保密系数，移动存储设备的成本也就会相应地增加。另外，这种硬件加解密方案中的硬盘需要通过硬件加解密芯片与控制芯片连接，因此移动存储设备中的硬盘就被完全加密了，也就是说，移动存储设备中的所有存储空间都是加密分区，无法向用户提供公共分区，用户访问移动存储设备之前必须输入密码，显然这使得移动存储设备的使用受到了限制。

发明内容

有鉴于此，本发明所要解决的主要问题在于提供一种移动存储装置，该移动存储装置能够保证数据的高安全性存储，且不需要设置加解密芯片。

本发明所要解决的另一个问题在于提供一种存取移动存储装置中加密数据的方法。

为解决以上问题，本发明提供了以下技术方案：

本发明的一种移动存储装置，该设备包括移动存储设备及硬件密钥设备，其中，

移动存储设备，用于存储加密的数据文件和非加密数据文件，所述设备中设有用于存储加密的数据文件的加密分区，以及用于存储非加密数据文件的公共分区，且具有与计算机连接的接口；所述移动存储设备还包括控制芯片，用于根据计算机的控制对所述加密分区或公共分区的数据文件进行存取；

硬件密钥设备，用于存储密钥，所述设备与计算机连接。

所述移动存储设备包括：存储模块，并进一步设有接口扩展模块，其中，

存储模块，用于存储加密的数据文件和非加密数据文件，且所述模块中设有用于存储加密数据文件的加密分区和用于存储非加密数据文件的公共分区；

接口扩展模块，用于在移动存储设备中提供至少两个能与计算机交互的接口；

所述控制芯片与存储模块以及接口扩展模块提供的接口中的一个连接；

所述移动存储设备进一步用于为其他设备提供接口，且所述提供的接口为：所述接口扩展模块提供的接口，或者基于所述接口扩展模块提供的接口生成的其他接口；

所述硬件密钥设备通过移动存储设备提供的接口与计算机连接；或者直接与计算机连接。

所述接口扩展模块为集线器。

所述接口扩展模块提供的接口为USB接口和/或1394接口。

所述硬件密钥设备为USB FLASH盘、SD/MMC卡、或CF卡。

本发明的一种存取移动存储装置中加密数据的方法，所述移动存储设备具有与计算机连接的接口，且在该移动存储设备中设置加密分区和公共分区，在公共分区存取非加密数据文件；并配置硬件密钥设备，所述硬件密钥设备与计算机连接，该方法进一步包括以下步骤：

a.与移动存储设备相连的计算机将移动存储设备的加密分区映射为相应的加密分区；

b.所述计算机在用户输入了加密分区的正确密码后，根据硬件密钥设备的标识信息查找与本计算机连接的硬件密钥设备，并利用硬件密钥设备中保存的密钥对加密分区中保存的加密数据文件进行解密处理，和/或对待存入加密分区的数据文件进行加密处理。

所述移动存储设备基于自身与计算机交互的接口为其他设备提供接入计算机的接口；

所述硬件密钥设备与计算机连接为：通过移动存储设备提供的接口与计算机连接，或者直接与计算机连接。

所述移动存储设备为其他设备提供的接口为USB接口和/或1394接口。

所述硬件密钥设备为USB FLASH盘、SD/MMC卡或CF卡。

本发明方案通过分别设置移动存储设备及硬件密钥设备，移动存储设备用于保存加密的数据文件，硬件密钥设备用于保存密钥，从而将密钥与密码分开保存，提高了移动存储设备中加密数据文件的安全性。

本发明方案提供的硬件密钥设备是独立于移动存储设备的，可以即插即用，并且不需要像现有技术那样设置专门的硬件加密芯片，从而在方便了用户使用的同时，还大大降低了移动存储设备的成本。

本发明方案还在移动存储设备上提供用于将硬件密钥设备接入计算机的接口，使得在计算机上没有与硬件密钥设备匹配的接口或者接口不够使用时，硬件密钥设备可以通过移动存储设备接入计算机，进一步方便了用户的使用。

本发明方案所提供的移动存储设备上还可以设置用于存储普通数据的公共分区，进一步方便了用户的使用。

另外，由于移动存储设备的加解密是由计算机通过软件方式完成的，因此硬件密钥设备中的密钥可以任意设置，只要与计算机中的软件匹配即可。众所周知，通过软件方式匹配密钥是非常容易实现的，因此，可以根据需要设置任意长度的密钥，还可以根据需要修改硬件密钥设备中的密钥，从而进一步提高了移动存储设备中加密数据文件的安全性，并且便于厂商对产品的升级。

附图说明

图1为目前的移动存储设备结构示意图；

图2为本发明方案所提供的移动存储装置的结构示意图；

图3为本发明在移动存储设备中扩展接口后的移动存储装置示意图；

图4为本发明实施例的实现流程图。

具体实施方式

本发明方案所提供的移动存储装置如图2所示，该移动存储装置包括移动存储设备及硬件密钥设备，其中，移动存储设备用于存储数据，所存储的数据至少包括加密的数据文件，因此该设备中需要设有加密分区；硬件密钥设备则用于存储密钥。这两个设备均需要与计算机连接。

该移动存储设备具体可以包括存储模块及控制芯片，存储模块用于存储数据，该数据包括加密的数据文件，移动存储设备的加密分区即设在该模块中。控制芯片则用于根据计算机的控制对存储模块中的数据进行存取，该控制芯片通过移动存储设备中的接口与计算机连接，并且与存储模块连接。当然，该移动存储设备还可以设置公共分区，即存储模块中除了设置加密分区之外，还设置公共分区，用以存储普通数据。

为便于用户使用，还可以对该移动存储设备中与计算机连接的接口进行扩展，得到能够将其他设备通过本设备接入计算机的接口，具体可以是设置接口扩展模块，该接口扩展模块具体可以是集线器，通过该接口扩展模块在移动存储设备中提供至少两个能与计算机交互的接口，其中一个用于控制芯片与计算机的连接。这样，硬件密钥设备就可以通过该移动存储设备所提供的其他接口接入计算机了。当然，如果计算机上存在与硬件密钥设备适配的接口，该硬件密钥设备也可以直接与计算机连接。移动存储设备中设置了集线器作为接口扩展模块、且硬件密钥设备通过移动存储设备接入计算机的示意如图3所示。

之后的加解密处理则由PC通过软件程序完成，因此，硬件密钥设备中的密钥长度可以根据需要任意设置，只要能与软件程序匹配即可。PC在确定接入了移动存储设备后，会将移动存储设备中的加密分区映射到本PC中。另外，如果该移动存储设备的存储模块中还设置了公共分区，则该PC中还会映射该公共分区的信息。PC在确定硬件密钥设备也接入了之后，同样可以将硬件密钥设备映射到本PC中，为防止用户因误操作而删除密钥，也即为保证密钥的安全，可以将硬件密钥所映射的分区设置为隐藏，当然，也可以直接对硬件密钥模块不设置映射。

在执行了上述处理之后，PC在用户需要存取加密分区中的数据时，首先需要用户输入正确的加密分区密码，之后才可以访问存储模块中的加密分区。为将加密分区中的数据文件显示为用户能够识别的形式，和/或为将其他数据文件以加密形式存入加密分区，还需要通过硬件密钥模块的标识信息查找硬件密钥模块，在从硬件密钥模块中获取相应的密钥后，再通过该密钥对数据文件进行加解密处理。

由于移动存储设备所采用的接口有很多种，比如，可以为USB接口、1394接口，以及其他的类似接口，而本发明方案针对这些接口的处理基本相同，因此下面仅以USB接口为例对本发明方案进行详细说明。

本发明方案在移动存储设备中设置的接口扩展模块可以为USB集线器(USB HUB)，USB HUB可以提供两个或两个以上的USB接口。移动存储设备中的控制芯片可以为USB to IDE控制芯片，该控制芯片的USB端连接在USB HUB上。硬件密钥设备可以为USB盘，可以通过USB HUB提供的USB接口与计算机连接，如果计算机上有多余的USB接口，则该硬件密钥设备还可以直接与计算机的USB接口连接。硬件密钥设备还可以为SD/MMC卡、CF卡等其他存储介质，这样，如通过移动存储设备接入计算机，则移动存储设备需要对USB接口进行处理，比如，可以在USB接口上增加一个转换芯片，以通过USB接口提供其他类型的接口供硬件密钥设备使用。

由于硬件密钥设备与移动存储设备分开设置了，因此PC中可以只映射移动存储设备的加密分区，PC也可以映射硬件密钥设备，只是为确保密钥的安全性，应将硬件密钥设备所映射的分区设置为隐藏。当然，如果移动存储设备中还设有公共分区，则PC还会映射该公共分区。

另外，与移动存储设备连接的PC需要具有加密管理功能，以通过该功能进行加解密处理等，如果PC没有该功能，则用户无法对该移动存储设备进行存取等操作。具体来说，需要在PC中设置加密管理软件，在移动存储设备与PC相连之后，PC执行如图4所示的处理。该处理对应以下步骤：

步骤401、PC在检测到移动存储设备后，调用此设备的驱动，建立与此设备的通信，并通知加密管理软件进行相应的处理。

具体来说，PC可以是向内存中的程序发送广播通知，加密管理软件中常驻内存的检测程序则可以根据该广播通知得知该移动存储设备是否为自己的握手设备，也即与加密管理软件相配合的设备。在确定该移动存储设备是与自身握手的设备之后，需要对该移动存储设备进行映射处理，如前所述，PC中的加密管理软件需要对移动存储设备中的加密分区及公共分区进行映射。

步骤402、用户要想查看加密分区中的数据，则可以双击映射在PC中的加密分区，PC中的加密管理软件则会弹出密码登陆界面。

步骤403～404、加密管理软件判断用户输入的密码是否正确，如果正确，则进入步骤405；否则，停留在登陆界面，或者弹出密码错误对话框，或者执行其他类似的处理。

步骤405、加密管理软件根据硬件密钥设备的标识信息寻找与PC连接的硬件密钥设备，并获取密钥。

加密管理软件如果查找到相应的硬件密钥设备，则从该硬件密钥设备中获取密钥；否则，可以提示用户插入硬件密钥设备。

加密管理软件从硬件密钥设备中获取密钥，具体是先向硬件密钥设备的驱动程序发送获取密钥的命令，驱动程序则将该命令转换为硬件密钥设备能够读懂的命令，并发送给该硬件密钥设备。硬件密钥设备则根据该命令将密钥发送给驱动程序，驱动程序再将密钥发送给加密管理软件。

在用户插入硬件密钥设备后，PC可以为该设备进行映射，并隐藏映射得到的分区，当然也可以不进行映射。

步骤406、加密管理软件利用得到的密钥，并根据一定的加密算法对数据进行加密或解密处理。

该加密管理软件所使用的加密算法以及硬件密钥设备中的密钥都是预先设置好的，密钥只要与加密算法对应即可。由于在软件程序中修改加密算法非常方便，因此，硬件密钥设备中保存的密钥就可以根据需要设置不同的长度，比如设置为40位、64位、128位、192位等，还可以根据需要对密钥进行修改，尤其是对于厂商来说，不同版本的产品只需要进行简单的数据更换即可实现。

如果用户需要读取加密分区中的加密数据，则加密管理软件可以获取加密分区中未解密的加密数据，并根据得到的密钥以及一定的算法对该数据文件进行解密处理，其中，加密管理软件是根据加密分区的标识获取其中的数据的，该标识可以是VID、PID，也可以是其他标识。如果用户需要将数据存入加密分区，则加密管理软件可以利用得到的密钥及加密算法对该数据文件进行加密处理，并将加密后的数据文件存入加密分区。

通过上述步骤即可实现对加密分区中加密数据文件的存取。

以上所述仅为本发明方案的较佳实施例，并不用以限定本发明的保护范围。

Claims

1.一种移动存储装置，其特征在于，该设备包括移动存储设备及硬件密钥设备，其中，

硬件密钥设备，用于存储密钥，所述设备与计算机连接。

2.根据权利要求1所述的装置，其特征在于，所述移动存储设备包括：存储模块，并进一步设有接口扩展模块，其中，

3.根据权利要求2所述的装置，其特征在于，所述接口扩展模块为集线器。

4.根据权利要求2所述的装置，其特征在于，所述接口扩展模块提供的接口为USB接口和/或1394接口。

5.根据权利要求1至4中任一所述的装置，其特征在于，所述硬件密钥设备为USB FLASH盘、SD/MMC卡、或CF卡。

6.一种存取移动存储装置中加密数据的方法，其特征在于，所述移动存储设备具有与计算机连接的接口，且在该移动存储设备中设置加密分区和公共分区，在公共分区存取非加密数据文件；并配置硬件密钥设备，所述硬件密钥设备与计算机连接，该方法进一步包括以下步骤：

7.根据权利要求6所述的方法，其特征在于，所述移动存储设备基于自身与计算机交互的接口为其他设备提供接入计算机的接口；

8.根据权利要求7所述的方法，其特征在于，所述移动存储设备为其他设备提供的接口为USB接口和/或1394接口。

9.根据权利要求6所述的方法，其特征在于，所述硬件密钥设备为USBFLASH盘、SD/MMC卡或CF卡。