CN101881997B - 一种可信安全移动存储装置 - Google Patents
一种可信安全移动存储装置 Download PDFInfo
- Publication number
- CN101881997B CN101881997B CN2009100833508A CN200910083350A CN101881997B CN 101881997 B CN101881997 B CN 101881997B CN 2009100833508 A CN2009100833508 A CN 2009100833508A CN 200910083350 A CN200910083350 A CN 200910083350A CN 101881997 B CN101881997 B CN 101881997B
- Authority
- CN
- China
- Prior art keywords
- trusted
- algorithm
- credible
- storage device
- computing equipment
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000012795 verification Methods 0.000 claims abstract description 13
- 238000013500 data storage Methods 0.000 claims abstract description 12
- 238000004422 calculation algorithm Methods 0.000 claims description 67
- 210000000352 storage cell Anatomy 0.000 claims description 10
- 230000005540 biological transmission Effects 0.000 claims description 6
- 238000004891 communication Methods 0.000 claims description 5
- MIVWVMMAZAALNA-IJLUTSLNSA-N SCB2 Chemical compound CCCCCCC[C@@H](O)[C@H]1[C@H](CO)COC1=O MIVWVMMAZAALNA-IJLUTSLNSA-N 0.000 claims description 3
- MIVWVMMAZAALNA-UHFFFAOYSA-N SCB2 Natural products CCCCCCCC(O)C1C(CO)COC1=O MIVWVMMAZAALNA-UHFFFAOYSA-N 0.000 claims description 3
- 238000009795 derivation Methods 0.000 claims description 3
- 238000005516 engineering process Methods 0.000 description 4
- 238000013461 design Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 238000004364 calculation method Methods 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 238000000034 method Methods 0.000 description 1
- 210000000056 organ Anatomy 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 238000012827 research and development Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Abstract
一种可信安全移动存储装置，涉及信息安全技术领域。本发明包括移动存储设备和与移动存储设备相互连接的可信计算设备。移动存储设备包括：访问控制单元、密码学服务单元、数据存储单元和USB接口，移动存储设备与可信计算设备以数字签名和签名认证的方式进行身份绑定，可信计算设备包括相互连接的可信应用程序、可信OS Kernel、可信Boot Loader、可信BIOS/EFI和可信密码模块TCM，可信密码模块TCM作为可信计算设备的可信根，基于该可信根构建可信计算环境。同现有技术相比，本发明将移动存储设备和可信计算设备进行身份绑定，确保移动存储设备中的数据只能在局部范围内流转，有效防止数据泄密。
Description
技术领域
本发明涉及信息安全技术领域，特别是可信安全移动存储装置。
背景技术
近年来，移动存储技术发展迅速，不论是存储容量，还是读写的速度，都达到了一个非常高的水平。目前，市场上有两种移动存储设备深受消费者喜爱，一种俗称U盘，另一种俗称移动硬盘。这两类移动存储设备为用户提供便携的数据存储方案。U盘存储容量通常在32MB和64GB之间变化。U盘与外界的数据传输通常遵循USB 1.1和2.0标准，传输速率最高可达480Mbps。由于成本和价格的影响，市售普通U盘的容量一般不会太大，通常为几个GB左右。为了满足低成本高容量的要求，移动硬盘逐步进入市场主流。移动硬盘采用PC机或笔记本中常用的硬盘作为主要部件，外加数据转换电路和USB接口。由于PC或笔记本中的硬盘技术上非常成熟，以较低的价格就能获得较高的存储容量，通常能达到几百个GB。移动硬盘通常采用USB接口，满足了用户即插即用、便携性的要求。
现有技术中的U盘和移动硬盘由于采用USB接口，用户可以非常方便地在不同的具有USB接口的设备，如PC机、笔记本电脑和PDA等上使用，这为用户提供了极大的便利性和通用性。但是，对于对数据的安全性和保密性有特殊需求的用户，如军队、保密部门、政府机构、企业的研发设计部门等，U盘和移动硬盘的便携性和通用性却带来了很大的安全隐患。有的企业员工通过U盘或移动硬盘可以非常容易地将企业的某些机密数据拷出，导致机密数据泄密。为了防止泄密，有的企业将员工的电脑中的USB接口采用某些物理手段封锁，从而禁止用户使用U盘和移动硬盘，这会给用户的正常数据传递带来困难。因此，U盘和移动硬盘的便携、通用性和安全、保密性互相矛盾，使得用户要么牺牲便携和通用性，要么牺牲安全和保密性。
近年来，随着可信计算技术的发展，可信计算设备(可信PC机、可信服务器、可信手机等)逐步走向市场。可信计算设备通过在传统计算设备中嵌入可信安全模块(如国际上通用的TPM(TrustedPlatform Module)模块和国内自主研发的TCM(Trusted CryptographyModule)模块)作为系统的安全根来构建可信计算平台。该可信计算平台能够对外报告自身的身份，以用于身份鉴别。但是可信计算平台与移动存储装置的安全使用，未见技术报导。
发明内容
为了解决上述现有技术中存在的问题，本发明的目的是提供一种可信安全移动存储装置。它将移动存储设备和可信计算设备进行身份绑定，确保移动存储设备中的数据只能在局部范围内流转，有效防止数据泄密。
为了达到上述发明目的，本发明的技术方案以如下方式实现：
一种可信安全移动存储装置，它包括移动存储设备和与移动存储设备相互连接的可信计算设备。其结构特点是，所述移动存储设备包括：
访问控制单元，具有相互连接的对数据传输进行控制的USB数据传输协议、访问控制协议以及数字签名和认证协议，提供访问控制和数据传输控制服务，USB数据传输协议对数据传输进行控制，访问控制协议判断外部可信计算设备的访问权限，数字签名和认证协议提供签发数字证书、导入和导出数字证书、数字签名以及验证数字签名服务；
密码学服务单元，与访问控制单元相互连接提供密码学服务，包括生成真随机数的随机数生成器、摘要算法、对称加密算法、非对称加密算法以及数字签名算法和数字签名验证算法；
数据存储单元，与访问控制单元相互连接，存储数据或信息；
USB接口，与访问控制单元相互连接，为移动存储设备与外部设备通讯的接口；
所述移动存储设备与可信计算设备以数字签名和签名认证的方式进行身份绑定，可信计算设备包括相互连接的可信应用程序、可信OS Kernel、可信Boot Loader、可信BIOS/EFI和可信密码模块TCM，可信密码模块TCM作为可信计算设备的可信根，基于该可信根构建可信计算环境。
在上述可信安全移动存储装置中，所述移动存储设备和可信计算设备之间的身份绑定是指双方分别获取对方的数字证书，并进行数字签名和签名认证，只有相互认证通过后可信计算设备才可以从移动存储设备的数据存储单元中读出或写入数据。
在上述可信安全移动存储装置中，所述一个可信计算设备能同时绑定一个或多个移动存储设备，一个移动存储设备能同时绑定一个或多个可信计算设备。
在上述可信安全移动存储装置中，所述可信应用程序中包括外部设备访问代理程序，外部设备访问代理程序通过USB接口与移动存储设备访问控制单元的USB数据传输协议相互连接。
在上述可信安全移动存储装置中，所述可信根是指可信度量根、可信报告根和可信存储根。
在上述可信安全移动存储装置中，所述可信计算设备是指可信PC机、可信服务器或者可信手机。
在上述可信安全移动存储装置中，所述摘要算法采用MD5算法、SHA算法或者SM3算法；对称加密算法采用DES算法、3DES算法、IDEA算法或、SMS4算法、SSF33算法或者SCB2算法；非对称加密算法采用RSA算法或者ECC算法；数字签名算法和签名验证算法采用DSA算法、RSA算法、ECC签名或者签名验证算法。
本发明由于采用了上述结构，将移动存储设备通过数字签名和签名认证的方式与可信计算设备进行身份绑定。只有经过身份绑定，可信计算设备才可以对移动存储设备中的数据存储单元进行读写操作。本发明兼顾了移动存储设备的通用移动性和安全保密性，适用于对数据保密性要求较高的用户。
下面结合附图和具体实施方式对本发明作进一步说明。
附图说明
图1是本发明的结构原理示意图；
图2是本发明实施例一的移动存储设备结构示意图；
图3是本发明实施例二的移动存储设备结构示意图。
具体实施方式
参看图1，本发明包括移动存储设备和与移动存储设备相互连接的可信PC机、可信服务器或者可信手机等可信计算设备。移动存储设备与可信计算设备以数字签名和签名认证的方式进行身份绑定，这种身份绑定是指双方分别获取对方的数字证书，并进行数字签名和签名认证，只有相互认证通过后可信计算设备才可以从移动存储设备的数据存储单元中读出或写入数据。一个可信计算设备能同时绑定一个或多个移动存储设备，一个移动存储设备能同时绑定一个或多个可信计算设备。可信计算设备包括相互连接的可信应用程序、可信OSKernel、可信Boot Loader、可信BIOS/EFI和可信密码模块TCM。可信密码模块TCM作为可信计算设备的可信根，基于该可信根构建可信计算环境，可信根包括可信度量根、可信报告根和可信存储根。可信应用程序中包括外部设备访问代理程序，外部设备访问代理程序通过USB接口与移动存储设备访问控制单元的USB数据传输协议相互连接。移动存储设备包括：
访问控制单元，包括相互连接的对数据传输进行控制的USB数据传输协议、访问控制协议以及数字签名和认证协议，提供访问控制和数据传输控制服务，USB数据传输协议对数据传输进行控制，访问控制协议判断外部可信计算设备的访问权限，数字签名和认证协议提供签发数字证书、导入和导出数字证书、数字签名以及验证数字签名服务；
密码学服务单元，与访问控制单元相互连接提供密码学服务，包括生成真随机数的随机数生成器、摘要算法、对称加密算法、非对称加密算法以及数字签名算法和数字签名验证算法；摘要算法采用MD5算法、SHA算法或者SM3算法；对称加密算法采用DES算法、3DES算法、IDEA算法或、SMS4算法、SSF33算法或者SCB2算法；非对称加密算法采用RSA算法或者ECC算法；数字签名算法和签名验证算法采用DSA算法、RSA算法、ECC签名或者签名验证算法；
数据存储单元，与访问控制单元相互连接，存储数据或信息；
USB接口，与访问控制单元相互连接，为移动存储设备与外部设备通讯的接口；
参看图2，本发明实施例一中的访问控制单元采用TI OMAP3530芯片，TI OMAP3530芯片是Texas Instruments公司的一款集成多种功能的运算处理器，负责各种算术和逻辑运算。密码学服务单元采用MT29C2G24MAKLAJA存储芯片，MT29C2G24MAKLAJA存储芯片内部分为两个区域，第一个区域用于临时数据交换区，是处理器进行运算时的数据缓存区；第二个区域用于存储嵌入式操作系统和各种应用程序(包括各种协议和密码学算法)的软件代码。数据存储单元采用相互连接的MT29F32G08QAAWP存储芯片和JMF602芯片，MT29F32G08QAAWP存储芯片单片容量为8GB，是用户普通数据的存储区，通过阵列方式采用多个本芯片可以进一步扩大存储容量；JMF602芯片是一存储控制器，用于对MT29F32G08QAAWP存储芯片中数据的读出和写入进行存储控制。USB接口采用USB3316QFN芯片，USB3316QFN芯片为USB控制器，用于控制内外部数据以USB方式进行交互。上述本发明实施例一是一种安全U盘方案。
参看图3，通过对实施例一中数据存储单元的替换，本发明可以方便进行移植，获得一种安全移动硬盘方案。本发明实施例二中的访问控制单元、密码学服务单元和USB接口采用的芯片均与实施例一中的一样，仅数据存储单元改用相互连接的数据接口转换电路和普通2.5或3.5寸硬盘。通过这种实施方式实现的安全移动硬盘，不仅安全性，容量也大。
本发明的移动存储设备与可信计算机之间的身份认证和绑定过程如下：
(1)安全移动存储设备和可信计算机从可信第三方获取表征自身身份的数字证书。
(2)当安全移动存储设备通过USB接口接入可信计算机后，双方分别向对方提交数字证书。
(3)双方分别校验对方数字证书的有效性。只要有一方校验不通过，双方之间的数据访问终止。若校验全部通过，转步骤(4)。
(4)双方均从对方的数字证书中提取出对方的公钥，存入内部存储区。
(5)双方均将对方加入自身的允许访问控制列表或拒绝访问控制列表。只要有一方将对方加入自身的拒绝访问控制列表，双方之间的数据访问终止。若双方均将对方加入自身的允许访问控制列表，转步骤(6)。
(6)双方建立身份绑定关系，可信计算机可以从移动存储设备的存储单元中读出或写入数据。
(7)当下一次双方开始通讯时，双方通过数字签名和签名认证，以确认对方身份。确认身份后，若双方已建立身份绑定关系则可以进行数据传输，否则通讯终止。
Claims (7)
1.一种可信安全移动存储装置，它包括移动存储设备和与移动存储设备相互连接的可信计算设备，其特征在于，所述移动存储设备包括：
访问控制单元，具有相互连接的对数据传输进行控制的USB数据传输协议、访问控制协议以及数字签名和认证协议，提供访问控制和数据传输控制服务，USB数据传输协议对数据传输进行控制，访问控制协议判断外部可信计算设备的访问权限，数字签名和认证协议提供签发数字证书、导入和导出数字证书、数字签名以及验证数字签名服务；
密码学服务单元，与访问控制单元相互连接提供密码学服务，包括生成真随机数的随机数生成器、摘要算法、对称加密算法、非对称加密算法以及数字签名算法和数字签名验证算法；
数据存储单元，与访问控制单元相互连接，存储数据或信息；
USB接口，与访问控制单元相互连接，为移动存储设备与外部设备通讯的接口；
所述移动存储设备与可信计算设备以数字签名和签名认证的方式进行身份绑定，可信计算设备包括相互连接的可信应用程序、可信OS Kernel、可信Boot Loader、可信BIOS/EFI和可信密码模块TCM，可信密码模块TCM作为可信计算设备的可信根，基于该可信根构建可信计算环境。
2.根据权利要求1所述的可信安全移动存储装置，其特征在于，所述移动存储设备和可信计算设备之间的身份绑定是指双方分别获取对方的数字证书，并进行数字签名和签名认证，只有相互认证通过后可信计算设备才可以从移动存储设备的数据存储单元中读出或写入数据。
3.根据如权利要求1或2所述的可信安全移动存储装置，其特征在于，所述一个可信计算设备能同时绑定一个或多个移动存储设备，一个移动存储设备能同时绑定一个或多个可信计算设备。
4.根据权利要求3所述的可信安全移动存储装置，其特征在于，所述可信应用程序中包括外部设备访问代理程序，外部设备访问代理程序通过USB接口与移动存储设备访问控制单元的USB数据传输协议相互连接。
5.根据权利要求4所述的可信安全移动存储装置，其特征在于，所述可信根是指可信度量根、可信报告根和可信存储根。
6.根据权利要求5所述的可信安全移动存储装置，其特征在于，所述可信计算设备是指可信PC机、可信服务器或者可信手机。
7.根据权利要求6所述的可信安全移动存储装置，其特征在于，所述摘要算法采用MD5算法、SHA算法或者SM3算法；对称加密算法采用DES算法、3DES算法、IDEA算法、SMS4算法、SSF33算法或者SCB2算法；非对称加密算法采用RSA算法或者ECC算法；数字签名算法和签名验证算法采用DSA算法、RSA算法、ECC签名或者签名验证算法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2009100833508A CN101881997B (zh) | 2009-05-04 | 2009-05-04 | 一种可信安全移动存储装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2009100833508A CN101881997B (zh) | 2009-05-04 | 2009-05-04 | 一种可信安全移动存储装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN101881997A CN101881997A (zh) | 2010-11-10 |
| CN101881997B true CN101881997B (zh) | 2011-12-14 |
Family
ID=43054028
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN2009100833508A Active CN101881997B (zh) | 2009-05-04 | 2009-05-04 | 一种可信安全移动存储装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN101881997B (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108595987A (zh) * | 2018-04-13 | 2018-09-28 | 深圳大普微电子科技有限公司 | 权限访问管理方法以及相关装置 |
Families Citing this family (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102244684B (zh) * | 2011-07-29 | 2013-07-17 | 电子科技大学 | 基于usbkey的efi可信云链引导方法 |
| CN102427449B (zh) * | 2011-11-04 | 2014-04-09 | 北京工业大学 | 一种基于安全芯片的可信移动存储方法 |
| CN102646077B (zh) * | 2012-03-28 | 2016-06-15 | 山东超越数控电子有限公司 | 一种基于可信密码模块的全盘加密的方法 |
| CN102662871B (zh) * | 2012-03-29 | 2016-05-11 | 山东超越数控电子有限公司 | 一种基于可信密码模块的虚拟磁盘完整性保护系统及方法 |
| CN103207976B (zh) * | 2013-01-25 | 2016-04-27 | 贵州信安达科技有限公司 | 移动存储文件防泄密方法及基于该方法的保密u盘 |
| CN103116413B (zh) * | 2013-03-05 | 2015-07-22 | 中国农业银行股份有限公司 | 一种具有数字证书功能的鼠标设备 |
| CN103309279A (zh) * | 2013-05-24 | 2013-09-18 | 杭州电子科技大学 | 一种基于专用u盘的数控系统参数保护方法 |
| CN103679036A (zh) * | 2013-11-13 | 2014-03-26 | 安徽云盾信息技术有限公司 | 一种基于互联网的移动加密设备间建立信任的实现方法 |
| CN104978302B (zh) * | 2015-06-24 | 2018-02-23 | 山东超越数控电子股份有限公司 | 一种基于tcm芯片的智能安全usb接口控制方法 |
| CN106803046A (zh) * | 2017-01-22 | 2017-06-06 | 济南浪潮高新科技投资发展有限公司 | 一种基于外部存储的度量日志加密方法 |
| CN108874696B (zh) * | 2017-12-29 | 2022-09-30 | 安天科技集团股份有限公司 | 多权限安全存储设备的自动测试方法、装置及电子设备 |
| CN110059469A (zh) * | 2019-04-09 | 2019-07-26 | 广东电网有限责任公司 | 一种安全u盘系统及其使用方法 |
| CN112560011B (zh) * | 2021-02-07 | 2021-06-01 | 浙江地芯引力科技有限公司 | 一种基于加密芯片的外接适配设备安全认证系统和方法 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101236588A (zh) * | 2007-01-31 | 2008-08-06 | 同方股份有限公司 | 一种电脑端口使用权限的控制方法 |
| CN201163420Y (zh) * | 2008-03-06 | 2008-12-10 | 同方股份有限公司 | 一种安全网上银行设备 |
| CN201549223U (zh) * | 2009-05-04 | 2010-08-11 | 同方股份有限公司 | 可信安全移动存储装置 |
-
2009
- 2009-05-04 CN CN2009100833508A patent/CN101881997B/zh active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101236588A (zh) * | 2007-01-31 | 2008-08-06 | 同方股份有限公司 | 一种电脑端口使用权限的控制方法 |
| CN201163420Y (zh) * | 2008-03-06 | 2008-12-10 | 同方股份有限公司 | 一种安全网上银行设备 |
| CN201549223U (zh) * | 2009-05-04 | 2010-08-11 | 同方股份有限公司 | 可信安全移动存储装置 |
Non-Patent Citations (1)
| Title |
|---|
| JP特开2008-134879A 2008.06.12 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108595987A (zh) * | 2018-04-13 | 2018-09-28 | 深圳大普微电子科技有限公司 | 权限访问管理方法以及相关装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN101881997A (zh) | 2010-11-10 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101881997B (zh) | 一种可信安全移动存储装置 | |
| CN102646077B (zh) | 一种基于可信密码模块的全盘加密的方法 | |
| JP2021522595A (ja) | 暗号化カード、電子デバイス、および暗号化サービスの方法 | |
| WO2017041603A1 (zh) | 数据加密方法、装置及移动终端、计算机存储介质 | |
| US20140095883A1 (en) | Hardening of direct anonymous attestation from side-channel attack | |
| CN101102180B (zh) | 基于硬件安全单元的系统间绑定及平台完整性验证方法 | |
| CN103427984A (zh) | 用于使用设备id和用户验证信息来生成安全密钥的装置 | |
| CN103065102A (zh) | 基于虚拟磁盘的数据加密移动存储管理方法 | |
| CN102123031A (zh) | 硬件认证技术 | |
| CN101788959A (zh) | 一种固态硬盘安全加密系统 | |
| CN102207999A (zh) | 一种基于可信计算密码支撑平台的数据保护方法 | |
| CN1996328A (zh) | 一种便携式信息安全设备 | |
| CN101551784A (zh) | 一种usb接口的ata类存储设备中数据的加密方法及装置 | |
| CN201549223U (zh) | 可信安全移动存储装置 | |
| CN102693385A (zh) | 基于sd可信计算模块的嵌入式终端及实现方法 | |
| CN103186479A (zh) | 基于单操作系统的双硬盘隔离加密装置、方法及计算机 | |
| CN102163267A (zh) | 固态硬盘安全访问控制方法、装置和固态硬盘 | |
| US8909929B2 (en) | Stored public key validity registers for cryptographic devices and systems | |
| CN103336746A (zh) | 一种安全加密u盘及其数据加密方法 | |
| US8812857B1 (en) | Smart card renewal | |
| CN105809068A (zh) | 一种支持采用硬件加密算法的高速存储控制soc芯片 | |
| CN105740733A (zh) | 一种加密移动硬盘及其实现方法 | |
| CN105389526B (zh) | 加密区和非加密区一体化的移动硬盘及其数据存储方法 | |
| CN102346716A (zh) | 硬盘存储设备的加密方法和解密方法及其加解密系统 | |
| CN103617127A (zh) | 带分区的存储装置及存储器分区的方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| EE01 | Entry into force of recordation of patent licensing contract |
Application publication date: 20101110 Assignee: TONGFANG COMPUTER Co.,Ltd. Assignor: Tongfang Co.,Ltd. Contract record no.: 2012110000187 Denomination of invention: Trusted safe mobile storage device Granted publication date: 20111214 License type: Exclusive License Record date: 20121221 |
|
| LICC | Enforcement, change and cancellation of record of contracts on the licence for exploitation of a patent or utility model | ||
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20240228 Address after: No. 118, Chunzhu East Road, Xishan Economic Development Zone (Dongting), Wuxi City, Jiangsu Province, 214000 Patentee after: TONGFANG COMPUTER Co.,Ltd. Guo jiahuodiqu after: Zhong Guo Address before: 100083, A, 2901, Tongfang science Plaza, Beijing, Haidian District Patentee before: Tongfang Co.,Ltd. Guo jiahuodiqu before: Zhong Guo |