CN101441601B - 一种硬盘ata指令的加密传输的方法及系统 - Google Patents

Abstract

本发明适用于计算机领域，提供了一种硬盘ATA指令的加密传输的方法及系统，包括下述步骤：对特殊ATA指令进行加密，并产生加密密钥，并由TPM对所述加密密钥再次加密，将产生的密文存储在硬盘保护分区中，所述特殊ATA指令为主机系统与硬盘保护分区通讯的ATA指令；当有通讯请求时BIOS发送特殊ATA指令给硬盘内硬盘管理系统；BIOS调用TPM并通过所述TPM对调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令进行完整性校验；如果完整则由BIOS从硬盘保护分区中取出密钥的加密密文，并调用TPM对加密密文进行解密得到密钥；TPM发送数字签名证书及密钥给硬盘加密系统，由硬盘加密系统对特殊ATA指令解密，然后打开硬盘保护分区执行通讯请求。

Description

一种硬盘ATA指令的加密传输的方法及系统

技术领域

本发明属于计算机安全领域，尤其涉及一种硬盘ATA指令的加密传输的方法及系统。

背景技术

近年来随着“可信计算”概念的迅速发展以及在国内的蔓延，传统的计算机体系结构受到了严重的安全挑战，新一代能提供可信计算服务的计算机软硬件平台即可信计算平台业已开始研制，并逐步走向成熟和规范化，它是基于可信平台模块(Trusted Platform Module，TPM)，以密码技术为支持，以安全操作系统为核心，从TPM、计算机主板等硬件结构以及基本输入输出系统(BasicInput Output System，BIOS)和操作系统等底层软件做起，为整个计算机系统增加了一台独立的监控计算机，保证计算机的运行行为可控，从而保证了计算机系统的完整性、可用性和数据安全性。

可信存储是可信计算的一个重要方面，即如何实现计算机主机系统和硬盘之间的安全通讯。现有技术中，信息在计算机系统中的存储过程中，仍然存在安全漏洞，计算机主机系统和硬盘通讯时，其调用ATA指令是以明文的方式传输的，所述ATA指令在传输过程中有可能被恶意破坏和篡改，从而无法保证计算机主机系统和硬盘之间的安全通讯。

发明内容

本发明实施例的目的在于提供一种硬盘ATA指令的加密传输的方法，旨在解决现有技术中计算机主机系统和硬盘之间的ATA指令在传输过程中有可能被拦截解析后恶意破坏和篡改，从而无法保证计算机主机系统和硬盘之间的安全通讯的问题。

本发明实施例是这样实现的，一种硬盘ATA指令的加密传输的方法，所述方法包括如下步骤：

对特殊ATA指令进行加密，并产生加密密钥，并由TPM对所述加密密钥再次加密，将产生的密文存储在硬盘保护分区中，所述特殊ATA指令为主机系统与硬盘保护分区通讯的ATA指令；

当有通讯请求时BIOS发送特殊ATA指令给硬盘内硬盘管理系统；

BIOS调用TPM并通过所述TPM对调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令进行完整性校验；

如果完整则由BIOS从硬盘保护分区中取出密钥的加密密文，并调用TPM对加密密文进行解密得到密钥；

TPM发送数字签名证书及密钥给硬盘加密系统，由硬盘加密系统对特殊ATA指令解密，然后打开硬盘保护分区执行通讯请求。

本发明实施例的另一目的在于提供一种硬盘ATA指令的加密传输的系统，所述装置包括：

加密装置，用于对特殊ATA指令进行加密，并产生加密密钥，所述特殊ATA指令为主机系统与硬盘保护分区通讯的ATA指令；

TPM，用于对所述特殊ATA指令加密的密钥进行加密或解密，并对传输过程中的ATA指令进行完整性校验以及发送数字签名证书给硬盘内硬盘管理系统；

BIOS，用于管理加密的特殊ATA指令库，发送调用所述特殊ATA指令的指令，并发送调用TPM进行完整性校验相关指令；

硬盘，包括：

硬盘管理系统，用于接收特殊ATA指令请求，并管理控制硬盘保护分区的打开与关闭；及

加密系统模块，用于对特殊ATA指令进行解密。

在本发明实施例中，通过对通讯时计算机主机系统和硬盘之间ATA指令进行加密传输，利用TPM对传输过程中的通讯指令进行完整性校验，加解密过程全部在TPM内部进行，并且结合数字签名的方式，从而保证了计算机主机系统和硬盘之间的安全通讯。

附图说明

图1是本发明实施例提供的硬盘ATA指令的加密传输的系统构架图；

图2是本发明实施例提供的硬盘ATA指令的加密传输的流程图；

图3是本发明实施例提供的访问硬盘保护分区的实现流程图；

图4是本发明实施例提供的硬盘特殊ATA指令的加密及密钥存储流程图；

图5是本发明实施例提供的硬盘ATA指令加密传输的完整性校验及数字签名认证流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明实施例中，计算机系统对访问硬盘保护分区的特殊ATA指令进行加密，并通过TPM对加密密钥再次加密，当计算机主机系统和硬盘保护分区之间有通讯请求时，BIOS将所述的特殊ATA指令发送给硬盘，利用TPM对传输过程中调用访问硬盘保护分区的指令及BIOS与TPM间的通讯指令进行完整性校验，如果完整则取出密钥并发送数字签名及解密密钥给硬盘，由硬盘加密系统模块解密访问硬盘保护分区的特殊ATA指令，然后才执行通讯请求。

高级技术附加装置(Advanced Technology Attachment，ATA)，通常所说的集成驱动器电子(Integrated Drive Electronics，IDE)接口也叫ATA接口。ATA是一种硬盘驱动器与计算机的连接规范，用以实现存储装置的缓存和主机内存之间的数据传输。具体来说就是通过ATA接口用电缆线(数据线)将存储器或者磁盘控制器与计算机主板相连接，再通过调用存储装置外部控制系统，例如统一可扩展固件接口(Unified Extensible Firmware Interface，UEFI)BIOS或者传统BIOS中的ATA指令集的指令完成存储器同主机系统间的通讯。

UEFI是一种开放的(即不依赖于特定的BIOS和平台)用于定义平台固件与操作系统之间的接口规范，为操作系统以及启动前的运行状态提供一个标准环境，系统地规定了计算机系统的控制权如何从启动前的环境传递给操作系统。遵守该规范而进行开发的BIOS即称为UEFI BIOS，它是一种高安全的BIOS，支持安全启动、驱动签名和散列(Hash)技术。

图1示出了本发明实施例提供的计算机主机系统与硬盘通讯的系统结构，包括TPM、BIOS(UEFI BIOS或传统BIOS)以及硬盘。

作为本发明的一个实施例，硬盘初始化(出厂)的时候，在硬盘中辟出一块空间，创建一个硬盘保护分区，用于存储上述用户重要数据信息。由于工艺的成熟，现在的硬盘容量已经足够大，相应地，保护分区的容量也可以做到充分大，而且，硬盘保护分区与硬盘其余空间绝对隔离，现有的硬盘分区工具、磁盘管理工具都不能访问这部分的空间，只能由底层BIOS通过特殊ATA指令才可以对它进行操作。因此，硬盘保护分区设置一定的访问权限后成为安全存储空间，能够安全地存储更多的用户重要数据信息。

硬盘的保护分区初始状态是关闭的，它不受一般的指令控制，需要一些特殊的指令和TPM的授权证书才能完成权限的开放动作。这个特殊ATA指令由BIOS发出，指令同时发给硬盘管理工具和TPM，由于指令是加密的，而加密的密钥又由TPM加密，所以，硬盘管理工具在接收到指令后只能先等待，需要等待TPM发送解密后的密钥和比对授权证书后，才能判断是否打开硬盘保护分区，使计算机主机系统可以访问硬盘保护分区。

作为本发明的一个实施例，所述的特殊ATA指令不用于计算机主机同硬盘间通讯时普通的ATA指令，所述特殊ATA指令用于访问硬盘安全分区，并且所述指令在初始化(出厂)时通过加密系统进行加密，形成一个加密的ATA指令库，由BIOS进行管理，存储在存储设备中。所以所述的特殊ATA指令相对于普通的ATA指令，安全性更高。

作为本发明的一个实施例，所述的存储设备可以为硬盘保护分区、BIOS只读存储器(Read Only Memory，ROM)、BIOS Flash(闪存)、外接非易失性存储设备等安全存储设备中。所述的外接非易失性存储设备可以为外部USB存储设备等。

TPM是集成于计算机主机系统最底层的一个安全可信的硬件平台，可以独立进行密钥生成、加解密的装置，内部拥有独立的处理器和存储单元，可存储密钥和特征数据，为计算机提供加密和安全认证服务，用TPM进行加密，密钥被存储在硬件(即TPM或是硬盘的安全保护分区)中，被窃的数据无法解密，从而使计算机平台可信并保护了数据安全。

在本发明实施例中，TPM主要用来对访问硬盘保护分区的ATA指令的加密密钥进行加密，并将产生的加密密文转存到硬盘的安全分区。同时TPM对调用访问硬盘保护分区的特殊ATA指令的指令及BIOS与TPM进行通讯指令进行完整性校验。在解密时从硬盘安全分区取出加密密文，对加密密文进行解密并发送数字签名证书给硬盘管理系统及加密系统。硬盘管理系统和加密系统在得到数字签名证书后解密访问硬盘安全分区的ATA指令，然后执行通讯请求。

在本发明实施例中，计算机的硬盘上内嵌一个硬盘管理系统，该硬盘管理系统可以视为一个微机系统，其CPU、内存可以在UEFI架构下不依赖于安全计算机主板上的CPU、内存而进行独立运算。硬盘微嵌入管理系统负责建立硬盘用户分区，隔离各个硬盘用户分区中的数据，并对各个硬盘用户分区中的数据或硬盘保护分区的用户重要数据加密。通过上述一系列方法，硬盘微嵌入管理系统实现了对硬盘保护分区访问权限的控制，防止非法用户访问该部分存储空间。

作为本发明的一个实施例，硬盘中的加密系统模块是一个软件模块，主要用来进行指令密码的运算与解析。

图2示出了本发明实施例提供的硬盘ATA指令的加密传输流程，详述如下：

在步骤S201中，对特殊ATA指令进行加密，并由TPM对所述产生的加密密钥再次加密，将产生的密文存储在硬盘保护分区中。

在该步骤中，所述特殊的ATA指令在计算机系统初始化(出厂)时通过加密装置进行加密，形成一个加密的特殊ATA指令库，由BIOS进行管理，存储在存储设备中，所述的特殊的ATA指令相对于普通的ATA指令，安全性更高。

作为本发明的一个实施例，所述的加密装置为BIOS中的软加密系统，通过所述BIOS中的软加密系统对特殊的ATA指令进行加密，利用BIOS中的软加密系统来实现特殊的ATA指令加密速度快。

作为本发明的一个实施例，所述的加密系统还可以是硬盘自身的加密系统模块，还可以是外接的加密卡等。

作为本发明的一个实施例，所述的存储设备可以为硬盘保护分区、BIOSROM、BIOS Flash、外接非易失性存储设备等安全存储设备中。所述的外接非易失性存储设备可以为外部USB存储设备等。

在步骤S202中，当有通讯请求时BIOS发送特殊ATA指令给硬盘内硬盘管理系统。

在该步骤中，当计算机主机系统同硬盘保护分区有通讯请求时，BIOS将特殊ATA指令直接发送到硬盘内硬盘管理系统。由于所述特殊ATA指令是加密的，硬盘需要的到数字签名证书并通过密钥才可以对所述特殊ATA指令进行解密，这时硬盘管理系统处于等待状态，等待TPM发送数字签名证书及解密密钥。

作为本发明的一个实施例，所述的BIOS为UEFI BIOS或传统BIOS。

在步骤S203中，BIOS调用TPM并通过TPM对所述调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令进行完整性校验。

在该步骤中，通过所述普通ATA指令调用特殊ATA指令库中的特殊ATA指令。

作为本发明的一个实施例，所述的完整性校验通过TPM对所述的指令Hash比对来校验指令的完整性。先通过SHA-1算法对指令进行一次哈希运算，生成一个哈希值。由于初始化机器的时候，在TPM中已经存放了一批指令集的指令的哈希值，所以，只要将生成的哈希值与存放在TPM中对应指令的哈希值进行对比即可辨别指令的完整性。

作为本发明的一个实施例，所述的BIOS与TPM通讯指令为BIOS需要调用TPM进行相关的操作的指令，包括BIOS调用TPM对指令进行完整性校验的指令等。

在步骤S204中，如果完整则由BIOS从硬盘保护分区中取出密钥的加密密文，并调用TPM对密钥的加密密文进行解密得到密钥。

在该步骤中，硬盘管理系统需要先打开硬盘保护分区，才能取出密钥的加密密文。取出密钥的加密密文后BIOS发送关闭硬盘保护分区的指令，关闭硬盘保护分区，确保硬盘保护分区的安全。

作为本发明的一个实施例，当取出所述的加密密文后，BIOS调用TPM对所述的密钥的加密密文进行解密。TPM首先对所述的BIOS发出的调用解密指令进行完整性校验。如果完整则由TPM利用其私钥对所述的加密密文进行解密，得到密钥。并且这个解密的过程在全部在TPM内部进行，保证解密过程中不会被篡改或破坏。否则当校验结果为不完整时，计算机系统挂起，给出提示信息，等待用户的操作或重新启动系统。

在步骤S205中，TPM发送数字签名证书及密钥给硬盘加密系统，由硬盘加密系统对特殊ATA指令解密，然后打开硬盘保护分区执行通讯请求。

作为本发明的一个实施例，所述的数字签名证书为解密特殊ATA指令的授权证书。

作为本发明的一个实施例，当需要打开(访问)硬盘保护分区或对硬盘保护分区进行操作时，需要硬盘管理系统先打开硬盘保护分区，才能执行相关的操作。

图3是本发明实施例提供的访问硬盘保护分区的实现流程图，详述如下：

在步骤S301中，BIOS发送加密的指令以及调用硬盘加密系统对所述加密的指令进行解密的指令给硬盘加密系统。

作为本发明的一个实施例，所述加密的指令是用于打开硬盘保护分区的指令，所以将所述指令存储在BIOS或TPM中，并且将所述加密的指令的加密密钥保存在TPM中。

在步骤S302中，TPM对BIOS调用加密系统进行解密的指令进行完整性校验，检测其完整性。

在步骤S303中，判断所述的指令是否完整，是则执行步骤S305，否则执行步骤S304。

在步骤S304中，当校验结果为不完整时，表明所述的ATA指令被篡改或破坏，计算机系统挂起，给出提示信息，等待用户的操作或重新启动系统。

在步骤S305中，TPM发送解密所述加密的指令的授权证书及密钥给硬盘加密系统。

作为本发明的一个实施例，所述解密加密的指令的密钥是保存在TPM中的。

在步骤S306中，加密系统还原加密的指令，并发送完成解密应答给BIOS。

在该步骤中，硬盘加密系统在解密还原加密的指令后，需要给BIOS一个应答，告知BIOS已经完成解密。

在步骤S307中，BIOS将解密后的指令发送给硬盘管理系统，并调用TPM对完成解密的应答进行完整性校验。

在步骤S308中，判断所述的应答指令是否完整，是则执行步骤S309，否则执行步骤S304。

在步骤S309中，TPM发送硬盘管理系统打开保护分区的授权证书给硬盘管理系统。

在步骤S310中，硬盘管理系统拿到打开硬盘保护分区的授权证书及指令后打开保护分区，BIOS取出数据，并关闭保护分区。

在该步骤中，当BIOS从硬盘保护分区中取出数据后，为了保证硬盘保护分区数据的安全，BIOS发出指令关闭硬盘保护分区。

图4示出了本发明实施例提供的硬盘ATA指令的加密及密钥存储流程，详述如下：

在步骤S401中，加密装置对特殊ATA指令加密产生第一密钥K1。

在该步骤中，所述特殊ATA指令在计算机系统初始化(出厂)时通过加密装置进行加密，形成一个加密的特殊ATA指令库，由BIOS进行管理，存储在存储设备中，所述的特殊ATA指令相对于普通的ATA指令，安全性更高。

作为本发明的一个实施例，所述的加密装置是BIOS中的软加密系统，通过所述BIOS中的软加密系统对特殊ATA指令进行加密，利用BIOS中的软加密系统来实现特殊ATA指令加密速度快。

作为本发明的一个实施例，所述的加密装置还可以是安全硬盘自身的加密系统，还可以是外接的加密卡等。

作为本发明的一个实施例，所述用于存储加密的ATA指令库的存储设备可以为硬盘保护分区、BIOS ROM、BIOS Flash、外接非易失性存储设备等安全存储设备中。所述的外接非易失性存储设备可以为外部USB存储设备等。

在步骤S402中，TPM利用公钥对加密过的特殊ATA指令的第一密钥K1再次进行加密得到加密密文K2。

作为本发明的一个实施例，TPM在对特殊ATA指令进行加密时采用非对称算法，利用公钥对加密过的特殊ATA指令的第一密钥K1再次进行加密得到加密密文K2。私钥用于解密时解密加密密文，保存在TPM中，不可以被访问，所以保证了加密密文的安全。

在步骤S403中，将加密密文K2存储到硬盘保护分区。

作为本发明的一个实施例，由于TPM自身的容量有限，将所述的加密密文K2转存到硬盘的保护分区，由硬盘的保护分区对加密密文K2进行存储。在需要对特殊ATA指令进行解密时，需要先得到所述特殊ATA指令的加密密钥K1，而要得到加密密钥K1需要得到密钥K1的加密密文K2。这时TPM需要从硬盘保护分区中取出密钥K1的加密密文K2。

在本发明实施例中，TPM的密钥存储机制是采用密钥树的形式存在、分级进行管理的，TPM内预先在非易失性存储单元中存储了密钥树的根密钥，永久保存。并把根密钥的私钥存放在TPM中，TPM利用其公钥对其保护的下一级密钥加密，并把加密后的密文存储在安全硬盘的保护分区里，解密时将加密密文加载到TPM内，利用TPM内的根密钥的私钥对其解密，密钥加解密操作在TPM内进行，任何企图对集成了TPM的计算机系统进行未经授权的拷贝操作都是无效的，所获取的数据只能是一堆乱码。

图5示出本发明实施例提供的硬盘ATA指令加密传输的完整性校验及数字签名认证流程，详述如下：

在步骤S501中，主机系统和硬盘保护分区通讯请求。

在该步骤中，在计算机的运行过程中，当需要对硬盘保护分区执行操作时，BIOS调用硬盘特殊ATA指令。

作为本发明一个实施例，硬盘初始化(出厂)的时候，在硬盘中辟出一块空间，创建一个硬盘保护分区和若干用户分区，硬盘保护分区用于存储各用户的重要数据信息(比如，用户的口令信息、用户指纹信息、用户ID、安全日志和管理员口令信息等等)。硬盘保护分区的访问权限受硬盘管理系统控制，形成安全存储空间。

作为本发明的一个实施例，特殊ATA指令包括对硬盘保护分区进行读写操作功能的开、关指令，对硬盘保护分区进行读写操作的指令。

作为本发明的一个实施例，所述特殊的ATA指令在计算机系统初始化(出厂)时通过加密装置进行加密，并且得到的加密密钥K1由TPM再次进行加密得到加密密文K2，所述的加密密文K2被保存在硬盘的保护分区中。

在步骤S502中，BIOS发送特殊ATA指令给硬盘管理系统。

在该步骤中，BIOS将特殊的ATA指令直接发送到硬盘管理系统。由于所述特殊的ATA指令是加密的，硬盘管理系统需要拿到数字签名证书并通过密钥才可以对所述特殊的ATA指令进行解密，这时硬盘管理系统处于等待状态，等待TPM发送数字签名证书及解密密钥K1。

作为本发明的一个实施例，所述的BIOS为UEFI BIOS或传统BIOS。

在步骤S503中，BIOS调用TPM并通过所述TPM对所述调用特殊ATA指令的普通ATA指令及BIOS与TPM通讯指令进行完整性校验。

在该步骤中，通过所述普通ATA指令调用特殊ATA指令库中的特殊ATA指令。

在该步骤中，所述需要TPM进行完整性校验的指令包括BIOS与TPM通讯指令，和BIOS调用TPM进行相关的操作的指令，包括BIOS调用TPM对指令进行完整性校验的指令等。

作为本发明的一个实施例，所述的完整性校验通过TPM对所述的指令Hash比对来校验指令的完整性。先通过SHA-1算法对指令进行一次哈希运算，生成一个哈希值。由于初始化机器的时候，在TPM中已经存放了一批指令集的指令的哈希值，所以，只要将生成的哈希值与存放在TPM中对应指令的哈希值进行对比即可辨别指令的完整性。

在步骤S504中，判断所述的校验结果是否完整，是则执行步骤S506，否则执行步骤S505。

在步骤S505中，当校验结果为不完整时，表明所述的ATA指令被篡改或破坏，计算机系统挂起，给出提示信息，等待用户的操作或重新启动系统。

在步骤S506中，打开硬盘保护分区，取出密钥的加密密文K2。

在该步骤中，如果完整则由BIOS从硬盘保护分区中取出密钥的加密密文K2，并调用TPM对加密密文进行解密。

作为本发明的一个实施例，当需要打开(访问)硬盘保护分区或对硬盘保护分区进行操作时，需要硬盘管理系统先打开硬盘保护分区，才能执行相关的操作，实现方法如图3所示，在此不再赘述。

在步骤S507中，TPM对加密密文K2进行解密得到密钥K1。

在该步骤中，TPM首先对所述BIOS发出的调用解密指令进行完整性校验。如果完整则由TPM利用其私钥对所述的加密密文K2进行解密，得到密钥K1。这个解密的过程在全部在TPM内部进行，保证解密过程中不会被篡改或破坏。否则当校验结果为不完整时，计算机系统挂起，给出提示信息，等待用户的操作或重新启动系统。

在步骤S508中，TPM将确保特殊ATA指令安全的数字签名证书及解密密钥K1发送给硬盘加密系统。

在步骤S509中，硬盘加密系统得到数字签名证书后，利用密钥K1，通过加密系统模块对特殊的加密ATA指令进行解密，得到特殊ATA指令原文。

在步骤S510中，硬盘管理系统打开硬盘保护分区，并执行通讯请求，允许计算机主机系统和硬盘保护分区的通讯。

作为本发明的一个实施例，当需要打开(访问)硬盘保护分区或对硬盘保护分区进行操作时，需要硬盘管理系统先打开硬盘保护分区，才能执行相关的操作，实现方法如图3所示，在此不再赘述。

作为本发明的一个实施例，主机系统与硬盘之间的安全传输实际上就是实现了外部实体设备与TPM主机的访问协议，它包含了二者之间的认证以及信息的完整性验证，通过在主机的TPM和硬盘之间建立的安全通道来实现。外部实体设备与主机的验证就是硬盘对包含了TPM的主机系统的验证和主机系统对硬盘的验证，这一双向验证保证了平台的可信性。数据完整性验证保证了进行通讯的实体间的消息(包括单个消息或多个消息以及消息的某一部分)，不被执行非法篡改、插入或重放等操作，这一过程主要是通过Hash函数的数字签名机制来实现。通过所述机制，保证了主机系统和硬盘ATA指令的安全传输。

在本发明实施例中，通过对通讯时计算机主机系统和硬盘保护分区之间特殊ATA指令进行加密传输，利用TPM对传输过程中的调用特殊ATA指令的普通ATA指令及BOIS与TPM之间的通讯指令进行完整性校验，加解密过程及密钥的调用和存储全部在TPM内部进行，并且结合数字签名的方式，保证了数据的安全和不被泄漏，从而确保了计算机主机系统和硬盘之间的安全通讯。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种硬盘ATA指令的加密传输的方法，其特征在于，所述方法包括如下步骤：

对特殊ATA指令进行加密，并产生加密密钥，并由TPM对所述加密密钥再次加密，将产生的密文存储在硬盘保护分区中，所述特殊ATA指令为主机系统与硬盘保护分区通讯的ATA指令；

当有通讯请求时BIOS发送特殊ATA指令给硬盘内硬盘管理系统；

BIOS调用TPM并通过所述TPM对调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令进行完整性校验；

如果完整则由BIOS从硬盘保护分区中取出密钥的加密密文，并调用TPM对加密密文进行解密得到密钥；

TPM发送数字签名证书及密钥给硬盘加密系统，由硬盘加密系统对特殊ATA指令解密，然后打开硬盘保护分区执行通讯请求。

2.如权利要求1所述的方法，其特征在于，所述特殊的ATA指令在计算机系统初始化时通过加密装置进行加密，形成一个加密的特殊ATA指令库，由BIOS进行管理，存储在存储设备中。

3.如权利要求2所述的方法，其特征在于，所述加密装置为BIOS中的软加密系统、硬盘内的加密系统模块或外接的加密卡。

4.如权利要求2所述的方法，其特征在于，所述存储设备为硬盘保护分区、BIOS ROM、BIOS Flash或外接非易失性存储设备。

5.如权利要求1所述的方法，其特征在于，所述BIOS为UEFI BIOS或传统BIOS。

6.如权利要求1所述的方法，其特征在于，所述完整性校验是通过TPM对所述调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令Hash比对来校验指令的完整性。

7.如权利要求1所述的方法，其特征在于，在所述BIOS调用TPM并通过所述TPM对调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令进行完整性校验步骤后进一步包括步骤：如果校验不完整则系统挂起，等待用户操作或重新启动系统。

8.如权利要求1所述的方法，其特征在于，所述打开硬盘保护分区进一步包括如下步骤：

BIOS发送加密的指令及调用硬盘加密系统对所述加密的指令进行解密的指令给硬盘加密系统；

TPM对BIOS调用加密系统进行解密的指令进行完整性校验；

如果完整TPM发送授权证书及密钥给硬盘加密系统；

加密系统还原加密的指令，并发送完成解密应答给BIOS；

BIOS将解密后的指令发送给硬盘管理系统，并调用TPM对完成解密的应答进行完整性校验；

如果完整TPM发送硬盘管理系统打开保护分区的授权证书给硬盘管理系统；

硬盘管理系统打开保护分区，BIOS取出数据，并关闭保护分区。

9.如权利要求8所述的方法，其特征在于，所述TPM对BIOS调用加密系统进行解密的指令进行完整性校验步骤和BIOS将解密的指令发送给硬盘管理系统，并调用TPM对完成解密的应答进行完整性校验步骤进一步包括步骤：如果校验不完整则系统挂起，等待用户操作或重新启动系统。

10.一种硬盘ATA指令的加密传输的系统，其特征在于，所述系统包括：

加密装置，用于对特殊ATA指令进行加密，并产生加密密钥，所述特殊ATA指令为主机系统与硬盘保护分区通讯的ATA指令；

TPM，用于对所述特殊ATA指令加密的密钥进行加密或解密，并对传输过程中的ATA指令进行完整性校验以及发送数字签名证书给硬盘内硬盘管理系统；

BIOS，用于管理加密的特殊ATA指令库，发送调用所述特殊ATA指令的指令，并发送调用TPM进行完整性校验相关指令；

硬盘，包括：

硬盘管理系统，用于接收特殊ATA指令请求，并管理控制硬盘保护分区的打开与关闭；及

加密系统模块，用于对特殊ATA指令进行解密。

11.如权利要求10所述的系统，其特征在于，所述加密装置可以为硬盘内加密系统模块。

12.如权利要求10所述的系统，其特征在于，所述加密装置还可以为BIOS中的软加密系统或外接的加密卡。

13.如权利要求10所述的系统，其特征在于，所述特殊的ATA指令在计算机系统初始化时通过加密装置进行加密，形成一个加密的特殊ATA指令库，由BIOS进行管理，存储在存储设备中。

14.如权利要求13所述的系统，其特征在于，所述存储设备为硬盘保护分区、BIOS ROM、BIOS Flash或外接非易失性存储设备。

15.如权利要求10所述的系统，其特征在于，所述BIOS为UEFI BIOS或传统BIOS。

16.如权利要求10所述的系统，其特征在于，所述完整性校验是通过TPM对所述调用特殊ATA指令的普通ATA指令及BIOS与TPM之间的通讯指令Hash比对来校验指令的完整性。

Images