CN101685425A - 移动存储设备及实现移动存储设备加密的方法 - Google Patents

Abstract

本发明公开一种移动存储设备，包括：密钥输入单元，用于输入移动存储设备登录密钥；密钥存储单元，用于存储移动存储设备注册密钥；密钥获取单元，用于接收登录密钥并获取待比较密钥；身份验证单元，用于将待比较密钥与注册密钥比较并获取比较结果；密钥生成单元，在比较结果表征待比较密钥与注册密钥一致时，根据预定算法生成加/解密密钥；加密芯片，用于利用加/解密密钥将计算机与移动存储设备间数据流加/解密；连接单元，用于连接计算机与移动存储设备。该移动存储设备自成系统，可独立于外部系统加/解密，可以降低生产成本。本发明还公开一种实现移动存储设备加密的方法。

Description

移动存储设备及实现移动存储设备加密的方法

技术领域

本发明涉及阻止存贮器越权使用的保护领域，具体来说是一种移动存储设备及实现移动存储设备加密的方法。

背景技术

现代信息社会中，移动存储设备(如移动硬盘、U盘、MP3/MP4/MP5、数码相机、手机等)在日常工作中得到广泛的应用。在这种移动存储设备中，往往存储有大量个人信息、商业秘密等信息，为了保护这些信息，有必要采取一定的加密措施。

目前，有多种加密方案可供选择，如分区加密、访问控制、数据加密等方式，其中，数据加密是一种最高级别的加密方式。这种数据加密方式的基本原理是，通过加密芯片对进入移动存储设备接口的数据进行加密，使数据以密文形式存储在移动存储设备的存储本体上；如果加密芯片没有收到正确的密钥，移动存储设备中的数据无法被读取；即使将移动存储设备拆开处理，也无法取得正确的数据。显然，在采取数据加密措施后，为了读取移动存储设备中的数据，必须输入相应的密钥。

现有技术中，加密移动存储设备中密钥的输入有多种方式，以下为几种主要的密钥输入方式：

其一是通过指纹输入的方式，安全级别较高，但生产成本较高；

其二是通过运行于操作系统中的登录软件输入的方式，成本较低、操作方便，但对操作系统依赖性过高，无法在系统启动的时候访问硬盘中信息；

其三是通过产品中所提供一定数目的登录密钥实体输入的方式，例如USBkey、RFID key等，安全级别较高，操作方便，但会增加成本，并存在用户丢失密钥实体的问题。

由此可见，上述密钥输入方式或对操作系统的依赖性强，或生产成本过高，其均不能完全满足移动存储设备加密的需要，因此有必要设计一种新的加密移动存储设备，以解决现有密钥输入方式存在的缺陷。

发明内容

有鉴于此，本发明提供一种移动存储设备，可以独立于外部操作系统进行加密、解密动作，可以降低生产成本；与此同时，本发明还提供一种实现移动存储设备加密的方法。

为解决以上技术问题，本发明的移动存储设备，包括：

一密钥输入单元，用于输入所述移动存储设备的登录密钥；

一密钥存储单元，用于存储所述移动存储设备的注册密钥；

一密钥获取单元，用于接收所述登录密钥，并获取一待比较密钥；

一身份验证单元，用于将所述待比较密钥与所述注册密钥比较，并获取一比较结果；

一密钥生成单元，在所述比较结果表征所述待比较密钥与所述注册密钥一致时，根据预定的算法生成所述加/解密密钥；

一加密芯片，用于利用所述加/解密密钥时将计算机与所述移动存储设备之间的数据流进行加/解密；

一连接单元，用于连接所述计算机与所述移动存储设备。

本发明加密移动存储设备可进一步改进，其较优技术方案是：

所述加/解密密钥为对称密钥。

其中，所述密钥输入单元为一设置在移动存储设备盒体上的键盘。

或者，所述密钥输入单元为一设置在移动存储设备盒体上的触摸屏以及一与所述触摸屏配套使用的手写笔。

或者，所述密钥输入单元为一USB接口，所述USB接口外接一键盘或外接一条形码识别器。

所述注册密钥为多个；所述身份验证单元将所述待比较密钥与所述注册密钥逐一比较，在所述待比较密钥与一个所述注册密钥一致或者与全部所述注册密钥不一致时结束比较。

特别地，还包括一密钥管理单元，用于增加、删除或修改所述密钥存储单元中的所述注册密钥。

优选地，所述密钥存储单元、密钥获取单元、身份验证单元、密钥生成单元及密钥管理单元集成在一单片机之中。

所述连接单元、加密芯片、单片机及密钥输入单元集成在一桥接板上。

在此基础上，本发明实现移动存储设备加密的方法，包括：

输入登录密钥；

获取一待比较密钥；

将所述待比较密钥与注册密钥比较，获取一比较结果；

在所述比较结果表征所述待比较密钥与所述注册密钥一致时，根据预定的算法生成加/解密密钥；

利用所述加/解密密钥对在计算机与移动存储设备之间的数据流进行加/解密。

优选地，所述对在计算机与移动存储设备之间的数据流进行加/解密具体为：采用对称加密算法对所述计算机与所述移动存储设备之间的数据流进行加/解密。

与现有技术相比，本发明可以独立于外部操作系统进行加密、解密动作，并降低生产成本，具体而言：

密钥输入单元可输入登录密钥，密钥获取单元通过扫描密钥输入单元可获取待比较密钥，在经过身份验证后，密钥生成单元可提供加密芯片所需要的加密/解密密钥；在移动存储设备断电前，加密芯片直接完成加密和解密操作；对于用户而言，只要输入正确的用户密钥，就可以访问移动存储设备中的数据。由此，移动存储设备本身构成一个小型的系统，可以完成密钥输入、身份验证、密钥生成、与加密芯片通信等功能，其所有的加密/解密动作都可以独立完成。也就是说，设置密钥存储单元、密钥输入单元、密钥获取单元、身份验证单元、密钥生成单元等部件后，移动存储设备的加密、解密动作不需要外部主机的帮助，从而解决对外部操作系统的依赖性问题。本发明中，上述部件均可选用价格较低的产品，无需额外增加其它昂贵设备；这些部件也便于集成，有利于降低移动存储设备的生产成本。

特别地，本发明无需软件和操作系统支持，可实现跨平台、跨操作系统操作；同时，因摆脱了对外部操作系统的依赖性，可在计算机启动时直接访问移动存储设备；此外，由于设置了密钥管理单元，可以对注册密钥进行管理，实现多用户、多帐号支持功能。

附图说明

图1是本发明移动存储设备一较优实施例的系统框图；

图2是本发明移动存储设备另一较优实施例的系统框图；

图3是本发明实现移动存储设备加密的方法的流程图。

具体实施方式

为便于说明，先对本发明实施例中使用术语进行解释。

注册密钥，移动存储设备中存储的合法用户密钥；

登录密钥，操作用户试图访问移动存储设备时输入的密钥；

待比较密钥，基于登录密钥所实际获得的密钥，用于身份验证；

加/解密密钥，基于加密算法所需要的子密钥，加密芯片根据加/解密密钥对计算机与移动存储设备间的数据流进行加/解密；

对称加密算法，数据发信方将明文(原始数据)和加密密钥一起经过特殊加密算法处理后，使其变成复杂的加密密文发送出去；收信方收到密文后，若想解读原文，则需要使用加密用过的密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文。

本发明的基本构思是，将密钥输入及身份验证等部件集成在移动存储设备上，使得移动存储设备本身成为一个独立的系统。

下面结合实施例与附图进行说明。

请参考图1，该图为本发明移动存储设备一较优实施例的系统框图。该实施例中的加密移动存储设备，由移动存储设备100、连接单元101、加密芯片102、密钥存储单元103、密钥输入单元104、密钥获取单元105、身份验证单元106、密钥生成单元107、通信单元108等部分组成，具体说明如下：

所述连接单元101，用于连接计算机200与移动存储设备100；其中，连接单元101可具体视计算机200、移动存储设备100的接口确定型号，例如选用SATA/PATA to USB接口类型的桥接芯片。

所述加密芯片102，与连接单元101连接，用于利用加/解密钥将计算机200、移动存储设备100之间的数据流进行加/解密；其中，加密芯片102对移动存储设备100的全盘数据进行加密；优选地，采用对称加密算法加密，使得加密密钥与解密密钥相同，即对称密钥。

所述密钥存储单元103，用于存储至少一个移动存储设备100合法用户的注册密钥，该注册密钥一般包括用户名、口令、权限等信息，也可以仅设置口令信息。

所述密钥输入单元104，用于输入移动存储设备100操作用户的登录密钥；操作用户在试图对移动存储设备100中操作时，必须输入相应的登录密钥，否则无法正确读写移动存储设备100中的数据。

所述密钥获取单元105，用于捕捉密钥输入单元104输出的信号，在操作用户确认已完成登录密钥输入时，获取一待比较密钥；其中，该待比较密钥一般与登录密钥相同；但也可以不同，例如自动增加/删除登录密钥中的一些功能按键、字符等信息。

所述身份验证单元106，用于将所述待比较密钥与所述注册密钥比较，以获取一比较结果；如果比较结果一致，表明所述待比较密钥为一合法的注册密钥，身份验证单元通过，该操作用户可对移动存储设备100进行读写；否则，身份验证单元未通过，该操作用户无法正常对移动存储设备100进行读写，即使读取出数据，也为不可识别的密文。其中，在注册密钥为多个时；身份验证单元106将待比较密钥与注册密钥逐一比较，在待比较密钥与其中一个注册密钥一致或者与全部注册密钥不一致时结束比较。

所述密钥生成单元107，在所述比较结果表征所述待比较密钥为一所述注册密钥时，根据预定的算法生成所述加/解密密钥；其中，所述加/解密密钥为64位、128位、192位、256位等长度的密钥，而所述登录密钥、注册密钥的长度为6～12位即可；登录密钥、注册密钥较短，可减小用户输错概率；所谓预定的算法也可采用多种方式，例如将密钥中特定位进行与/或/非/同或/异或等操作。

所述通信单元108，用于向所述加密芯片102下发所述加/解密密钥。通信单元108下发所述加/解密密钥后，加密芯片102就可以依据预定加密算法对计算机200、移动存储设备100之间的数据流进行加/解密，在此不再赘述。

在该实施例中，密钥输入单元104可输入登录密钥，密钥获取单元105通过扫描密钥输入单元104可获取待比较密钥，在经过身份验证后，密钥生成单元107可提供加密芯片102所需要的加密/解密密钥；在移动存储设备断电前，加密芯片102直接完成计算机200、移动存储设备100之间数据的加密和解密操作；对于用户而言，只要输入正确的用户密钥，就可以访问移动存储设备100中的数据。由此，移动存储设备本身构成一个小型的系统，可以完成密钥输入、身份验证、密钥生成、与加密芯片通信等功能，其所有的加密/解密动作都可以独立完成。也就是说，设置密钥存储单元103、密钥输入单元104、密钥获取单元105、身份验证单元106、密钥生成单元107、通信单元108等部件后，移动存储设备的加密、解密动作不需要外部主机的帮助，从而解决对外部操作系统的依赖性问题。由于上述部件均可选用价格较低的产品，无需额外增加其它昂贵设备；而且，这些部件也便于集成，有利于降低移动存储设备的生产成本。特别地，其无需软件和操作系统支持，可实现跨平台、跨操作系统操作；同时，因摆脱了对外部操作系统的依赖性，可在计算机200启动时直接访问移动存储设备。

针对多用户、多帐号的情况，本发明可作进一步的改进，简述如下：

请参考图2，该图为本发明移动存储设备又一优选实施例的系统框图。该实施例中的加密移动存储设备还包括一密钥管理单元109，与密钥存储单元103连接，用于增加、删除或修改密钥存储单元103中的注册密钥。

由此，设置密钥管理单元109后，就可以对注册密钥进行动态管理，实现多用户、多帐号支持功能。

显然，可以将所述密钥存储单元103、密钥获取单元105、身份验证单106元、密钥生成单元107、通信单元108及密钥管理单元109进行集成。优选地，将前述部件功能集成在一单片机110之中，其可降低成本、节省空间，也便于控制与管理。

同样地，可以将所述连接单元101、加密芯片102、单片机110及密钥输入单元104集成在一桥接板(Bridge board)120上，在此不再赘述。

需说明的是，上述实施例中，密钥输入单元104可采用多种形式，简述如下：

例如，在移动存储设备盒体(图未示)上设置一键盘，通过该键盘输入登录密钥；其中，可仅设置基本的数字/字母、确认/取消按键即可，以便缩小移动存储设备的尺寸。

又如，在移动存储设备盒体上设置一触摸屏，通过与所述触摸屏配套使用的手写笔输入登录密钥；当然，在设置触摸屏的同时，也可以同时设置键盘，在此不再赘述。

再如，所述密钥输入单元104仅包括一USB接口，其中：所述USB接口外接一键盘，通过该键盘输入登录密钥；或者，所述USB接口外接一条形码识别器，通过扫描条形码获取登录密钥，从而简化操作；这两种结构，可以有效节省成本。

以上对本发明的加密移动存储设备详细进行了说明，在此基础上，本发明提出了一种实现移动存储设备加密的方法，具体说明如下。

请参考图3，该图为本发明实现移动存储设备加密的方法的流程图，包括以下步骤：

S301、输入登录密钥。

操作用户在试图对移动存储设备操作时，必须输入相应的登录密钥，否则无法正确读写移动存储设备中的数据，通常登录密钥可设置为8～12位。

S302、获取一待比较密钥。

一般地，该待比较密钥与登录密钥相同；但也可以不同有所区别，需视情确定。

S303、将所述待比较密钥与注册密钥比较，获取一比较结果。

S304、判断所述比较结果是否表征所述待比较密钥与所述注册密钥一致，

若是，进入步骤S305操作；

若否，返回步骤S301操作。

在此步骤中，也可以设置操作用户连续几次输入不正确时，移动存储设备进入自锁状态，以便确保数据安全，在此不再赘述。

S305、根据预定的算法生成加/解密密钥。

在此步骤中，加/解密密钥的长度将大于注册密钥长度，具体位可根据算法自动确定。

S306、利用所述加/解密钥对对计算机与移动存储设备之间的数据流进行加/解密。

这种加密方式中，加密芯片对移动存储设备中的全盘数据进行加密，全部数据以密文形式存储，可提高数据安全性。

优选地，采用对称加密算法对所述计算机与所述移动存储设备之间的数据流进行加/解密；其具体加密算法可参照现有技术中的文献，在此不再赘述。

依照上述方法，在移动存储设备插入电脑的上电过程中，移动存储设备提示用户输入登陆密钥；用户通过密钥输入单元输入正确的登陆密钥，在经过身份验证后，密钥生成单元就可以向加密芯片提供加/解密密钥；由此，在移动存储设备断电之前，加密芯片将直接完成加密和解密操作，用户因此可以访问加密移动存储设备中的数据。对于用户而言，该过程对其操作不会带来任何影响；这种操作类似于数字门禁系统的操作，使用十分便捷。

本发明主要适用于移动硬盘，在U盘、MP3/MP4/MP5、数码相机、手机等移动存储设备中也可适用，但对于U盘、MP3/MP4/MP5、数码相机、手机等移动存储设备而言，一般还需要进一步考虑小型化的问题，在此不再赘述。

以上所述仅是本发明的优选实施方式，应当指出的是，上述优选实施方式不应视为对本发明的限制，本发明的保护范围应当以权利要求所限定的范围为准。对于本技术领域的普通技术人员来说，在不脱离本发明的精神和范围内，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (11)

1、一种移动存储设备，其特征在于，包括：

一密钥输入单元，用于输入所述移动存储设备的登录密钥；

一密钥存储单元，用于存储所述移动存储设备的注册密钥；

一密钥获取单元，用于接收所述登录密钥，并获取一待比较密钥；

一身份验证单元，用于将所述待比较密钥与所述注册密钥比较，并获取一比较结果；

一密钥生成单元，在所述比较结果表征所述待比较密钥与所述注册密钥一致时，根据预定的算法生成所述加/解密密钥；

一加密芯片，用于利用所述加/解密密钥将计算机与所述移动存储设备之间的数据流进行加/解密；

一连接单元，用于连接所述计算机与所述移动存储设备。

2、如权利要求1所述的所述的加密移动存储设备，其特征在于，所述加/解密密钥为对称密钥。

3、如权利要求1所述的加密移动存储设备，其特征在于，所述密钥输入单元为一设置在移动存储设备盒体上的键盘。

4、如权利要求1所述的加密移动存储设备，其特征在于，所述密钥输入单元为一设置在移动存储设备盒体上的触摸屏以及一与所述触摸屏配套使用的手写笔。

5、如权利要求1所述的加密移动存储设备，其特征在于，所述密钥输入单元为一USB接口，所述USB接口外接一键盘或外接一条形码识别器。

6、如权利要求1-5任一项所述的加密移动存储设备，其特征在于，所述注册密钥为多个；所述身份验证单元将所述待比较密钥与所述注册密钥逐一比较，在所述待比较密钥与一个所述注册密钥一致或者与全部所述注册密钥不一致时结束比较。

7、如权利要求6所述的加密移动存储设备，其特征在于，还包括一密钥管理单元，用于增加、删除或修改所述密钥存储单元中的所述注册密钥。

8、如权利要求7所述的所述的加密移动存储设备，其特征在于，所述密钥存储单元、密钥获取单元、身份验证单元、密钥生成单元及密钥管理单元集成在一单片机之中。

9、如权利要求8所述的所述的加密移动存储设备，其特征在于，所述连接单元、加密芯片、单片机及密钥输入单元集成在一桥接板上。

10、一种实现移动存储设备加密的方法，其特征在于，包括：

输入登录密钥；

获取一待比较密钥；

将所述待比较密钥与注册密钥比较，获取一比较结果；

在所述比较结果表征所述待比较密钥与所述注册密钥一致时，根据预定的算法生成加/解密密钥；

利用所述加/解密密钥对在计算机与移动存储设备之间的数据流进行加/解密。

11、如权利要求10所述的实现移动存储设备加密的方法，其特征在于，所述对在计算机与移动存储设备之间的数据流进行加/解密具体为：采用对称加密算法对所述计算机与所述移动存储设备之间的数据流进行加/解密。

Images