CN101140605A - 数据安全读取方法及其安全存储装置 - Google Patents

Abstract

本发明涉及信息安全领域，要求保护一种数据安全读取方法，安全存储设备接收主机端发出的数据读取命令，和智能密钥模块中任一方或双方认证对方的有效性，在认证所述安全存储设备或/和智能密钥模块有效后，允许所述安全存储设备利用固定密钥对存储在安全存储设备中的密文数据进行解密，并发往主机端。本发明还要求保护一种数据安全存储设备，包括安全存储设备和智能密钥模块，在安全存储设备和智能密钥模块中任一方或双方认证通过有效性认证后允许加解密操作，并且可以使用固定密钥和会话密钥先后完成对密文数据的解密、加密过程，能够确保数据在主机和安全存储设备之间以密文的形式进行传递，提高了数据传输过程中的可靠性。

Description

数据安全读取方法及其安全存储装置

技术领域

本发明涉及信息安全领域，特别是一种数据安全读取方法及其安全存储装置。

背景技术

安全存储设备是一种带有处理器和存储器的小型硬件装置，它可通过计算机的数据通讯接口与计算机连接。现有技术中的安全存储模块采用PIN码验证用户身份的合法性，在进行身份认证时将安全存储模块与计算机相连，用户在计算机上输入PIN码，安全存储模块会自动校验该PIN码的正确性，只有当用户输入的PIN码正确时，才允许用户操作安全存储模块。安全存储模块具有密钥生成功能，并可安全存储密钥和预置加密算法。安全存储模块与密钥相关的运算完全在装置内部运行。由于安全存储模块具有高安全的特性，所以很多要求安全性较高的领域都采用安全存储模块进行身份认证，以保证操作的安全性。例如计算机开机保护系统常利用安全存储模块来确认使用者的身份。

然而，现有的安全存储模块在安全性和易用性方面仍存在许多不足。从安全存储模块与用户之间的认证方面来说，首先，由于许多用户为了防止忘记PIN码，经常采用诸如自己或家人的生日、电话号码等作为密码，这些有意义的字符串容易被他人猜测到，或者采用把密码抄在一个自己认为安全的地方，这也存在着安全隐患，极易造成密码泄露。现有的安全存储模块既存有密钥同时也存有用户信息，若非法分子盗取了该装置，就很有可能通过口令猜测得到用户设定的PIN码，一旦这种情况发生，非法分子便极易通过身份认证，最终达到窃取安全存储模块内部私密信息的目的。

其次，现有技术中，除了静态密码认证方式以外，还有使用用户生物特征信息代替密码进行认证的方式，即在初始化的时候把合法用户的生物特征信息存入装置内部，用户在使用时，需要一次或多次输入正确的生物特征信息方能通过认证，这种认证方式安全性强，但通常成本较高，使用时较为烦琐。

从外部设备与计算机之间的通信方面来说，现有技术中外部安全存储模块与主机进行数据通信的过程常采用存储加密或用户身份认证装置来保证安全存储模块中数据的安全性，控制非法用户监听或截获敏感信息。例如利用各种密钥机制实现对设备中数据的加密存储，或者利用双因子认证模式来认证用户的身份。然而，非法用户可以通过第三方软件截获安全存储模块与计算机进行通信的数据，并对特征信息进行破解分析，达到窃取设备内部数据的目的，从而给外部安全存储模块与计算机通信带来安全隐患。

发明内容

本发明克服了上述缺点，提供了一种应用成本低、安全性高的数据安全读取方法及其安全存储装置。

本发明解决其技术问题所采取的技术方案是：一种数据安全读取方法，所述安全存储设备中存储有密文数据和用于解密所述密文数据的固定密钥，读取过程包括如下步骤：

安全存储设备接收主机端发出的数据读取命令；

安全存储设备和智能密钥模块中任一方或双方认证对方的有效性；

在认证所述安全存储设备或/和智能密钥模块有效后，允许所述安全存储设备利用所述固定密钥对所述密文数据进行解密，并发往主机端。

在认证所述安全存储设备或/和智能密钥模块有效后，所述智能密钥模块与主机可进行密钥协商生成会话密钥并发送给所述安全存储设备，所述安全存储设备利用所述会话密钥将解密后的数据进行加密，发往主机端。

所述密钥协商可以智能密钥模块的操作时间、操作次数、身份认证信息或/和有效性认证信息为种子。

所述有效性认证之前还可包括，认证所述智能密钥模块中身份认证信息的合法性。

所述身份认证信息可为自定义密码或生物特征信息。

所述安全存储设备或智能密钥模块的有效性认证信息可为序列号或硬件标识。

还可包括在有效性认证失败后记录操作日志。

所述安全存储设备可与智能密钥模块之间采用非接触式通信实现读写操作。

一种数据安全存储装置，包括安全存储设备和智能密钥模块，所述安全存储设备包括：

接口单元，用于实现微处理器单元与主机间的数据通信；

密文存储单元，用于存储密文数据和解密所述密文数据的固定密钥；

通信单元，用于实现微处理器单元与所述智能密钥模块建立通信；

认证单元，用于经所述微处理器单元和所述通信单元，接收从智能密钥模块发来的有效性认证信息，进行有效性认证；

微处理单元，用于对认证单元进行有效性认证控制、用于对所述密文存储单元实现数据的读写控制、用于解析所述通信单元的通信接口协议、用于控制密文存储单元对密文数据的加解密；

所述智能密钥模块包括：

通信单元，用于实现微控制器单元与所述安全存储设备建立通信；

认证单元，用于经所述微控制器单元和通信单元，接收安全存储设备发来的有效性认证信息或/和身份认证信息，进行认证。

微控制器单元，用于解析所述通信单元的通信接口协议、用于控制所述认证单元仅有有效性认证或/和身份认证。

所述智能密钥模块还可包括密钥生成单元，用于在所述微控制器单元的控制下执行密钥协商，生成会话密钥。

本发明通过在安全存储设备和智能密钥模块中任一方或双方认证对方的有效性，在通过认证后允许加解密操作，并且可以使用固定密钥和会话密钥先后完成对密文数据的解密、加密过程，能够确保数据在主机和设备之间以密文的形式进行传递，在此情况下，即使木马程序截获了传输过程中的数据，由于没有密钥，因此无法对其进行解密，最终不能获得明文信息，这在一定程度上提高了数据传输过程中的可靠性。

附图说明

图1为本发明实施例一的控制流程图；

图2为本发明实施例二的原理框图。

具体实施方式

实施例一：本实施例是一种数据安全读取方法，首先要将密文数据和用于解密所述密文数据的固定密钥存放在安全存储设备的同一或不同存储区内，安全存储设备和智能密钥模块中还分别存储有用作有效性认证的信息。数据的读取过程如图1中所示，

步骤101、安全存储设备上电工作，与主机建立连接；

步骤102、智能密钥模块通过安全存储设备及主机提示用户输入身份认证信息，如用户自定义密码或生物特征信息；

步骤103、通过主机及安全存储设备将所述身份认证信息发送到所述智能密钥模块中；

步骤104、智能密钥模块内部验证用户输入的身份认证信息是否合法，即将智能密钥模块内存储的合法用户的身份认证信息与用户输入的信息相比较，判断二者是否一致，若一致，则表明输入身份认证信息的用户为所述智能密钥模块的合法持有者，则执行步骤106，否则认为用户为智能密钥模块的非法持有者，则执行步骤105；

步骤105、通过安全存储设备将错误信息发送到主机中，主机向用户提示出错信息；

步骤106、通过主机向安全存储设备发送数据读取命令，读取需要进行改写或运算处理的数据；

步骤107、安全存储设备向智能密钥模块发送有效性认证命令；

步骤108、安全存储设备从智能密钥模块中读取作为有效性认证信息的序列号，同时向智能密钥模块发送安全存储设备的作为有效性认证信息的硬件标识信息；

步骤109、安全存储设备验证从智能密钥模块中读取的智能密钥模块的的序列号，与内部存储的合法智能密钥模块的信息进行比较，判断是否智能密钥模块是否有效，同时智能密钥模块与内部存储的合法安全存储设备的硬件标识信息进行比较，通过判断二者是否一致来验证智能密钥模块是否有效，所述硬件标识信息也可以为安全存储设备的硬件序列号；

步骤110、安全存储设备内部验证从智能密钥模块中读取的智能密钥模块的序列号为无效信息，或智能密钥模块内部验证安全存储设备发送的硬件标识信息为无效信息，或安全存储设备内部验证从智能密钥模块中读取的智能密钥模块的序列号以及智能密钥模块内部验证安全存储设备发送的硬件标识信息均为无效信息，则安全存储设备内部记录操作日志，安全存储设备发出声音，向用户提示出错信息；

步骤111、在通过有效性认证后，安全存储设备内部的密文数据存储区被激活，允许用户使用安全存储设备内部固定密钥对密文数据进行加/解密操作。例如在安全存储设备微处理器的随机存储单元中设置一个变量，安全存储设备的内部程序根据该变量的值来决定是否允许对密文数据进行操作，只有当智能密钥模块与安全存储设备均通过有效性认证时，安全存储设备内部才修改该变量值，开通密文数据存储单元及固定密钥的操作使用许可，将内部密文数据存储单元的锁定状态修改为工作状态，允许用户使用安全存储设备内部的固定密钥对密文数据存储区中的密文数据进行加/解密操作；否则，则禁止对所述密文数据存储单元进行操作。

步骤112、安全存储设备向智能密钥模块发送密钥生成命令，智能密钥模块与主机进行密钥协商生成会话密钥；

所述密钥协商通常是指通信的双方链接建立后，发出握手请求消息，这个消息里面包含了自己可实现的算法列表和其它一些需要的消息，通信的一方会回应一个确定本次通信所需要的算法，然后发过去自己的证书(里面包含了身份和自己的公钥)。通信的另一方在收到这个消息后会生成一个秘密消息，用对方的公钥加密后传过去，对方用自己的私钥解密后，会话密钥协商成功，双方可以用同一份会话密钥来通信了。

步骤113、安全存储设备从智能密钥模块中读取生成的会话密钥；

步骤114、安全存储设备利用其内部存储的固定密钥对其内部以密文形式存储的被读取数据进行解密；

步骤115、安全存储设备利用所述会话密钥对解密后的数据进行加密，并将加密后数据发送到主机；

步骤116、主机内部利用与智能密钥模块生成的会话密钥对接收到的密文数据进行解密，实现主机对数据的安全读取；

步骤117、主机内部响应用户的操作指令，对解密后的数据执行改写或运算操作；

步骤118、主机利用会话密钥对改写后的数据进行加密，并发送到安全存储设备中；

步骤119、安全存储设备内部利用会话密钥对接收到的密文数据进行解密；

步骤120、安全存储设备利用其内部存储的固定密钥对步骤119中经会话密钥解密后的数据进行加密并存储，等待下一次数据读取。

实施例二：

本实施例是一种确保数据安全传递及存储的装置，包括安全存储设备和智能密钥模块，安全存储模块可以为USB Key或USB Token或IC卡等，是一种USB接口的便携式安全存储设备，内带处理器和大容量存储器，既能够过计算机的数据通讯接口与计算机连接，又具有非接触式读卡器的功能，可以与非接触式IC卡之间进行数据交互，所述智能密钥模块可以为非接触式IC卡，本实施例如图2中所示：

其中所述USB Key2中的微处理单元201分别与认证单元202、射频单元203、固定密钥存储单元205、密文数据存储单元206、认证数据存储单元207、程序存储单元208、USB接口单元209、发声单元210连接，其中：

微处理器单元201用于协调USB Key2中各单元之间的数据通信控制以及USB Key2与主机1之间的数据通信；

认证单元202用于完成用户身份识别以及对非接触式IC卡3的认证；

射频单元203用于实现调制/解调功能，可将从天线单元204接收到的电磁波信号转换为微处理器单元201能够识别的数字信息，以及将处理后的数字信息转换为电磁波信号通过天线单元5发送给非接触式IC卡3；

天线单元204为耦合线圈，用于感应并接收非接触式IC卡3发送的信息，以及向非接触式IC卡3发送信息；所述射频单元203和天线单元204构成通信单元，实现与非接触式IC卡3之间的通信，并在认证失败时记录操作日志。

固定密钥存储单元205用于存储密文数据存储单元206中密文数据的加/解密密钥；

密文数据存储单元206用于存储固定密钥以及从非接触式IC卡中读取的会话密钥，数字证书等密文信息；所述固定密钥存储单元和密文数据存储单元可共同存储在一个密文存储单元中；

认证数据存储单元207用于存储用户自定义密码，USB Key2的硬件信息、合法用户的身份认证信息、IC卡标识信息以及从非接触式IC卡中读取的认证信息；

程序存储单元208用于存放固件程序、加/解密程序，上述程序主要用于实现USB Key2与主机1和非接触式IC卡3间的通信，对主机1发送的信息进行解析、处理，对用户进行身份识别，对非接触式IC卡3进行认证，实现用户权限管理，修改状态标识单元2011的状态表示位，完成对密文数据存储单元206的数据输入/输出管理、对密文数据加/解密处理以及生成命令信息；

USB接口单元209与主机接口单元101连接，用于实现USB Key2与主机1之间的数据通信，作为接口单元也可以采用eSATA接口模块、SDIO接口模块或PCMCIA接口模块；

发声单元210用于当USB Key内部验证从非接触式IC卡中读取的卡认证信息为无效信息，或非接触式IC卡内部验证USB Key发送的硬件标识信息是为无效信息，或USB Key内部验证从非接触式IC卡中读取的卡认证信息以及非接触式IC卡内部验证USB Key发送的硬件标识信息均为无效信息时向用户提示出错信息。

所述微处理器单元201还可进一步包括状态标识单元2011，用于通过更改状态标识，允许或禁止固定密钥对密文数据的解密。

在非接触式IC卡3中，微控制器单元301用于协调非接触式IC卡3中各单元之间的数据通信以及与USB Key2之间的数据通信；

认证单元302用于完成对USB Key2的认证，以激活USB Key2中的固定密钥存储单元205和密文数据存储单元206；

射频单元303用于调制/解调功能，可将从USB Key2接收到的电磁波信号转换为非接触式IC卡3能够识别的数字信息，以及将处理后的数字信息转换为电磁波信号通过天线单元304发送给USBKey2；

天线单元304为耦合线圈，用于感应并接收便携式安全存储设备2发送的信息，以及向USB Key2发送信息；所述射频单元303和天线单元304构成通信单元，实现与USB Key2之间的通信。

存储单元305用于存储非接触式IC卡的认证信息、USB Key2的识别信息、USB Key2发送的认证信息、会话密钥以及识别认证程序、密钥生成算法；

密钥生成单元306用于与主机1进行协商生成会话密钥。

在主机1中，主机接口单元11与USB接口单元209连接，用于实现主机1与USB Key2之间的数据通信；数据处理单元12用于响应用户操作指令对数据进行处理；密钥生成单元13用于同非接触式IC卡3进行密钥协商生成会话密钥。

在本发明可以使用固定密钥和会话密钥先后完成对密文数据的解密、加密过程，能够确保数据在主机和设备之间以密文的形式进行传递，在此情况下，即使木马程序截获了传输过程中的数据，由于没有密钥，因此无法对其进行解密，最终不能获得明文信息，这在一定程度上提高了数据传输过程中的可靠性；在本发明提供的方法及系统中固定密钥和会话密钥分别存放在两个物理设备中，且会话密钥是临时生成的，因此非法分子只有在同时盗取了安全存储模块、非接触式安全模块，且具备安全存储模块合法持有者身份的情况下才能获得对密文数据的操作权限，这在很大程度上提高了数据存储的安全性；本发明提供的方法及系统具有日志记录功能，方便用户查询以往的使用历史记录；本发明提供的方法及装置引入了非接触式技术，在安全存储模块故有功能的基础上，增加了其非接触式读/写功能，由于非接触式装置具有不易磨损，方便易用等特点，从而给本发明带来了显著的益处。

以上对本发明所提供的数据安全读取方法及其安全存储装置进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种数据安全读取方法，其特征在于：在安全存储设备中存储有密文数据和用于解密所述密文数据的固定密钥，读取过程包括如下步骤：

安全存储设备接收主机端发出的数据读取命令；

安全存储设备和智能密钥模块中任一方或双方认证对方的有效性；

在认证所述安全存储设备或/和智能密钥模块有效后，允许所述安全存储设备利用所述固定密钥对所述密文数据进行解密，并发往主机端。

2.根据权利要求1所述的数据安全读取方法，其特征在于：在认证所述安全存储设备或/和智能密钥模块有效后，所述智能密钥模块与主机进行密钥协商生成会话密钥并发送给所述安全存储设备，所述安全存储设备利用所述会话密钥将解密后的数据进行加密，发往主机端。

3.根据权利要求2所述的数据安全读取方法，其特征在于：所述密钥协商以智能密钥模块的操作时间、操作次数、身份认证信息或/和有效性认证信息为种子。

4.根据权利要求1或2或3所述的数据安全读取方法，其特征在于：所述有效性认证之前还包括，认证所述智能密钥模块中身份认证信息的合法性。

5.根据权利要求4所述的数据安全读取方法，其特征在于：所述身份认证信息为自定义密码或生物特征信息。

6.根据权利要求1或2或3所述的数据安全读取方法，其特征在于：所述安全存储设备或智能密钥模块的有效性认证信息为序列号或硬件标识。

7.根据权利要求1或2或3所述的数据安全读取方法，其特征在于：还包括在有效性认证失败后记录操作日志。

8.根据权利要求1或2或3所述的数据安全读取方法，其特征在于：所述安全存储设备与智能密钥模块之间采用非接触式通信实现读写操作。

9.一种数据安全存储装置，其特征在于：包括安全存储设备和智能密钥模块，

所述安全存储设备包括：

接口单元，用于实现微处理器单元与主机间的数据通信；

密文存储单元，用于存储密文数据和解密所述密文数据的固定密钥；

通信单元，用于实现微处理器单元与所述智能密钥模块建立通信；

认证单元，用于经所述微处理器单元和所述通信单元，接收从智能密钥模块发来的有效性认证信息，进行有效性认证；

微处理单元，用于对认证单元进行有效性认证控制、用于对所述密文存储单元实现数据的读写控制、用于解析所述通信单元的通信接口协议、用于控制密文存储单元对密文数据的加解密；

所述智能密钥模块包括：

通信单元，用于实现微控制器单元与所述安全存储设备建立通信；

认证单元，用于经所述微控制器单元和通信单元，接收安全存储设备发来的有效性认证信息或/和身份认证信息，进行认证。

微控制器单元，用于解析所述通信单元的通信接口协议、用于控制所述认证单元仅有有效性认证或/和身份认证。

10.根据权利要求9所述的数据安全存储装置，其特征在于：所述智能密钥模块还包括密钥生成单元，用于在所述微控制器单元的控制下执行密钥协商，生成会话密钥。

Images