CN102467625A

CN102467625A - 一种数据保护方法、装置及系统

Info

Publication number: CN102467625A
Application number: CN2010105382358A
Authority: CN
Inventors: 陈剑勇; 王洋; 贾松松; 王小民
Original assignee: Shenzhen University
Current assignee: Shenzhen University
Priority date: 2010-11-09
Filing date: 2010-11-09
Publication date: 2012-05-23
Anticipated expiration: 2030-11-09
Also published as: CN102467625B

Abstract

本发明适用于计算机技术领域，提供了一种数据保护方法、装置及系统，所述方法包括下述步骤：接收切换到企业数据区的请求指令；当所述请求指令被验证为合法指令时，获取所述企业数据区的配置信息；根据所述配置信息，切换到所述企业数据区。本发明通过对输入的切换到企业数据区请求指令进行验证，当指令合法时，获取企业数据区的配置信息，切换到企业数据区，从而实现从个人数据区到企业数据区的切换，解决了需要对终端内所有数据进行加密存储的方法来保护用户终端设备上的企业数据，从而满足了终端设备兼顾办公和私人使用的需要，使得终端设备的使用更加方便，更加人性化。

Description

一种数据保护方法、装置及系统

技术领域

本发明属于计算机技术领域，尤其涉及一种数据保护方法、装置及系统。

背景技术

随着企业信息化的不断深入，以及远程办公的普及，企业越来越关注企业内部的数据安全问题，为了加强用户终端的数据安全保护，防止企业的办公数据不被泄露，目前都是采取对终端内所有数据进行加密存储的方法来保护用户终端设备上企业数据，或禁止用户在终端设备上存储个人数据，没有对用户个人数据和企业办公数据进行区分加密处理，导致终端设备无法兼顾办公和私人使用的需要，终端使用不方便，不够人性化。

发明内容

本发明实施例的目的在于提供一种数据保护方法、装置及系统，旨在解决由于采取对终端内所有数据进行加密存储的方法来保护用户终端设备上企业数据，或禁止用户在终端设备上存储个人数据，没有对用户个人数据和企业办公数据进行区分加密处理，导致终端设备无法兼顾办公和私人使用的需要，终端使用不方便，不够人性化的问题。

本发明实施例是这样实现的，一种数据保护方法，所述方法包括下述步骤：

接收切换到企业数据区的请求指令；

当所述请求指令被验证为合法指令时，获取所述企业数据区的配置信息；

根据所述配置信息，切换到所述企业数据区。

本发明实施例的另一目的在于提供一种数据保护装置，所述装置包括：

请求指令接收单元，用于接收切换到企业数据区的请求指令；

配置信息获取单元，用于当所述请求指令接收单元接收到的请求指令被验证为合法指令时，获取企业数据区的配置信息；以及

企业数据区切换单元，用于根据所述配置信息获取单元获取的配置信息，切换到企业数据区。

本发明实施例的另一目的在于提供一种数据保护系统，所述系统包括数据保护装置，所述装置包括：

本发明实施例通过对输入的切换到企业数据区请求指令进行验证，当指令合法时，获取企业数据区的配置信息，切换到企业数据区，从而实现从个人数据区到企业数据区的切换，解决了需要对终端内所有数据进行加密存储的方法来保护用户终端设备上的企业数据，从而满足了终端设备兼顾办公和私人使用的需要，使得终端设备的使用更加方便，更加人性化。

附图说明

图1是本发明第一实施例提供的数据保护方法的实现流程图；

图2是本发明第二实施例提供的数据保护方法的实现流程图；

图3是本发明第三实施例提供的数据保护方法的实现流程图；

图4a、图4b是本发明第四实施例提供的数据保护方法的具体实例图；

图5是本发明第五实施例提供的数据保护装置的结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例提供了一种数据保护方法，所述方法包括下述步骤：

接收切换到企业数据区的请求指令；

根据所述配置信息，切换到所述企业数据区。

本发明实施例还提供了一种数据保护装置，所述装置包括：

本发明实施例还提供了一种数据保护系统，所述系统包括数据保护装置，所述装置包括：

本发明实施例通过对输入的切换到企业数据区请求指令进行验证，当验证指令合法时，获取企业数据区的配置信息，切换到企业数据区，从而实现从个人数据区到企业数据区的切换，解决了需要对终端内所有数据进行加密存储的方法来保护用户终端设备上的企业数据，从而满足了终端设备兼顾办公和私人使用的需要，使得终端设备的使用更加方便，更加人性化。

以下结合具体实施例对本发明的具体实现进行详细描述：

实施例一：

在本发明实施例中，用户终端的数据存储区被分为个人数据区和企业数据区，其中个人数据区是不加任何保护的逻辑区，系统处在于个人数据区时，企业数据区可以被隐藏，所有外部接口功能和普通计算机一样，没有执行数据保护功能，通过USB拷贝出来的数据、光驱写出来的数据，以及通过网络接口传输出去的数据，都是明文不加密的。

当系统位于企业数据区时，所有保存的数据都是加密数据，当数据从企业数据区向外传输的时候，除了在显示屏显示的是明文外，其他的数据都是密文，所以无论是是通过USB拷贝、光驱刻录，以及网络发送的都是加密文件。

图1示出了本发明第一实施例提供的数据保护方法的实现流程，详述如下：

在步骤S101中，接收切换到企业数据区的请求指令。

在本发明实施例中，切换到企业数据区的请求指令可以是在计算机终端启动时输入的，也可以是计算机终端运行时输入的，在具体的实施过程中，可以通过向用户提供相应的选择界面或窗口供用户选择。

在步骤S102中，当请求指令被验证为合法指令时，获取企业数据区的配置信息。

在本发明实施例中，当接收到请求指令后，需要对输入的请求指令的合法性进行验证，在具体的实施过程中，可以采取用户名/密码的形式进行验证，也可以采取指纹等其它验证方式，验证成功后，通过读取企业数据区的配置信息来初始化企业数据区，该配置信息包括企业数据区的盘符，需要监控的文档类型等信息，该配置信息可以以配置文件的形式或数据库表的形式进行存储，方便系统的读取。

在本发明实施例中，当需要重新设置企业数据区的配置信息时，在获取企业区的配置信息后，可以根据用户的需求对配置信息进行重新设置，在具体实施过程中，可以根据输入的用户身份信息，判断其是否具有修改配置信息的权限。

在步骤S103中，根据步骤S102获取的配置信息，切换到企业数据区。

在本发明实施例中，通过调用内核函数将配置信息写入注册表中，并将注册表中的企业数据区的配置信息读取到文件系统驱动程序，从而实现个人数据区到企业数据区的切换。

在本发明实施中，当接收到用户输入的切换到企业数据区的请求指令后，对指令进行验证，当该请求指令被验证为合法指令时，将获取的企业数据区的配置信息写入注册表，并将注册表中的企业数据区的配置信息读取到文件系统驱动程序，实现从操作系统内核层对数据操作的监控，从而完成个人数据区到企业数据区的切换。

实施例二：

在本发明实施例中，计算机终端系统切换到企业数据区后，应用层的数据写入请求发送到内核层的I/O管理器，生成对应的I/O请求包(IRP)，当接收到数据写入请求IRP时，对写入的数据进行加密后再存储。

图2示出了本发明第二实施例提供的数据保护方法的实现流程，详述如下：

在步骤S201中，接收应用程序的数据写入请求IRP。

在本发明实施例中，应用层的应用程序将数据写入请求发送到I/O管理器，I/O管理器接收到应用程序输入的数据写入请求后，生成对应的IRP，在该IRP中存储了处理该IRP的驱动程序，以及指向应用层待写入数据的内存缓冲区地址。

在步骤S202中，根据企业数据区的配置信息检测写入的数据是否需要加密，是则执行步骤S203，否则执行步骤S206。

在本发明实施例中，企业数据区的配置信息中记录了当计算机终端系统位于企业数据区时，需要监控的盘符以及应用程序列表等信息，配置信息可以将当前应用程序与配置信息中监控的应用程序列表中的应用程序进行对比，从而判断当前应用程序写入的数据是否需要加密，在具体的实施过程中，也可以对位于企业数据区的所有应用程序进行监控，即只要切换到企业数据区，所有的应用程序都进行监控。

在步骤S203中，将应用层内存缓冲区中的数据读取到内核层预先申请的内存缓冲区中。

在步骤S204中，对内核层内存缓冲区中的数据进行加密。

在本发明实施例中，应用层内存缓冲区中的数据读取到内核层后，被写入指定的内核层缓冲区且不能被修改，因此，为了实现内核层的数据加密，在本发明实施例中，内核层预先申请一片内存缓冲区，通过基于内存描述符列表(MDL)的映射将指定的内核缓冲区的数据映射到预先申请的内存缓冲区中，对其进行加密处理后，再将修改映射到指定的内核缓冲区，实现对指定的内核缓冲区中的数据的加密。

在步骤S205中，将加密后的数据写入磁盘。

在步骤S206中，将应用层内存缓冲区中的数据写入磁盘。

在本发明实施例中，如果写入的数据不属于监控的范围，即不需要加密，则直接按现有的方法进行处理，将应用层内存缓冲区中的数据通过驱动程序写磁盘上。

在本发明实施例中，当系统位于企业数据区时，则对输入的数据写入请求进行检测，如果写入请求来自配置信息中指定要监控的应用程序时，通过内核层加密后将数据写入磁盘，提高了数据的安全性，保证了加密的透明性，进一步提高了用户体验。

实施例三：

在本发明实施例中，当读取的数据为监控的应用程序数据时，由于写入时采取加密后再存储，因此，对数据的读取过程中，需要对数据进行解密。

图3示出了本发明第三实施例提供的数据保护方法的实现流程，详述如下：

在步骤S301中，接收应用程序的数据读取请求IRP。

在步骤S302中，根据企业数据区的配置信息检测读取的数据是否需要解密，是则执行步骤S303，否则执行步骤S306。

在本发明实施例中，应用层的应用程序将数据读取请求发送到I/O管理器，I/O管理器接收到应用程序输入的数据读取请求后，生成对应的IRP，在该IRP中存储了处理该IRP的驱动程序。由于企业数据区的配置信息中记录了当计算机终端系统位于企业数据区时，需要监控的盘符以及应用程序列表等信息，配置信息可以将当前应用程序与配置信息中需要监控的应用程序列表中的应用程序进行对比，从而判断当前应用程序读取的数据是否已加密。

在步骤S303中，将磁盘上的数据读取到内核层预先申请的内存缓冲区中。

在步骤S304中，对内核层内存缓冲区中的数据进行解密并发送到应用层内存缓冲区中。

在本发明实施例中，磁盘上的数据被读取到内核层后，被写入指定的内核层缓冲区且不能被修改，因此，为了实现内核层的数据解密，在本发明实施例中，内核层预先申请一片内存缓冲区，通过基于内存描述符列表(MDL)的映射将指定的内核缓冲区的数据映射到预先申请的内存缓冲区中，对其进行解密处理后，再将修改映射到指定的内核缓冲区，实现对指定的内核缓冲区中的数据的解密。

在步骤S305中，将解密后的数据发送给应用程序。

在步骤S306中，将磁盘上的数据读取到应用层内存缓冲区中。

在步骤S307中，将数据发送给应用程序。

在本发明实施例中，当系统位于企业数据区时，则对应用程序的读取请求进行检测，如果读取请求来自配置信息中指定要监控的应用程序时，通过内核层解密后将数据发送给应用程序，从而保证解密的透明性。

在本发明实施例中，当接收到切换到个人数据区的用户请求时，可以通过注销用户账号或重新启动系统的方式来实现企业数据区到个人数据区的切换，当计算机终端位于个数据区时，则不进行内核层的加密操作。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，所述的存储介质，如ROM/RAM、磁盘、光盘等。

实施例四：

根据实施例一至三，图4a、图4b示出了本发明第三实施例提供的数据保护方法的具体实例，为了便于说明，仅示出了与本发明实施例相关的部分。

图4a示出了本发明实施例在远程办公的具体实例，当计算机终端接收到用户输入进入企业数据区的指令时，通过Internet将用户身份信息发送到企业的身份认证服务器，认证成功后，计算机终端进入企业数据区，用户便可以进行远程办公了，在具体的实施过程中，用户可以将其数据备份到企业的备份服务器，保证企业数据的安全，如果用户需要切换到个人数据区，则可以通过注销用户账号实现企业数据区到个人数据区的切换，此时，计算机终端就是一台普通的个人电脑，个人数据不进行内核层加密。

图4b示出了本发明实施例在云计算中的具体实例，企业的计算机终端通过认证云服务对输入的身份信息进行验证，验证成功后，计算机终端的系统切换到企业数据区进行办公，通过系统内核层对数据进行加密后保存，并通过存储云提供的备份服务对加密后的数据进行备份。

实施例五：

图5示出了本发明第五实施例提供的数据保护装置的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

请求指令接收单元51接收切换到企业数据区的请求指令；当请求指令接收单元51接收到的请求指令被验证为合法指令时，配置信息获取单元52获取企业数据区的配置信息；企业数据区切换单元53根据配置信息获取单元52获取的配置信息，切换到企业数据区。

在本发明实施例中，企业数据区切换单元53由配置信息写入单元531和配置信息读取单元532组成，其中配置信息写入单元531将配置信息获取单元52获取的配置信息写入注册表；配置信息读取单元532将注册表中企业数据区的配置信息读取到文件系统驱动程序，从而将配置信息写入注册表中，并将注册表中的企业数据区的配置信息读取到文件系统驱动程序，实现个人数据区到企业数据区的切换。

当接收到应用程序的数据写入请求IRP时，数据写入请求检测单元54根据企业数据区的配置信息检测写入的数据是否需要加密；内核层数据加密单元55将应用层内存缓冲区中的数据读取到内核层预先申请的内存缓冲区中，对该内存缓冲区中的数据进行加密；数据保存单元56将内核层数据加密单元55加密后的数据保存到磁盘上。

当接收到应用程序的数据读取请求IRP时，数据读取请求检测单元57根据企业数据区的配置信息检测读取的数据是否需要解密；内核层数据解密单元58将磁盘上的数据读取到内核层预先申请的内存缓冲区中，对该内存缓冲区中的数据进行解密并发送到应用层内存缓冲区中；数据发送单元59将解密后的数据发送给应用程序。

上述仅为本发明的系统实施例，其各单元的功能如上述方法实施例所述，在此不再赘述，但不用以限制本发明。

在本发明实施例中，该数据保护装置可以包含在包括该装置的数据保护系统中的软件单元、硬件单元或软硬件结合单元，也可以作为独立的挂件集成到这些计算机设备中或者运行于这些设备中的系统中。在具体的实施过程中，可以将该装置置于Windows驱动程序模型WDM框架下的分层过滤驱动程序中，由该分层过滤驱动程序执行数据的加密和解密。

本发明实施例通过对输入的切换到企业数据区请求指令进行验证，当指令合法时，切换到企业数据区，当接收到应用程序的数据写入请求IRP时，对写入请求进行检测，如果写入请求来自配置信息中监控的应用程序时，通过内核层加密后将数据写入磁盘，当接收到应用程序的数据读取请求IRP时，如果读取请求属于监控的应用程序时，通过内核层解密后将数据发送给应用程序，解决了需要对终端内所有数据进行加密存储的方法来保护用户终端设备上的企业数据，从而满足了终端设备兼顾办公和私人使用的需要，使得终端设备的使用更加方便，更加人性化，同时采用内核层加密方法对数据进行保护，使得企业数据更加安全。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种数据保护方法，其特征在于，所述方法包括下述步骤：

接收切换到企业数据区的请求指令；

根据所述配置信息，切换到所述企业数据区。

2.如权利要求1所述的方法，其特征在于，所述当所述请求指令被验证为合法指令时，获取企业数据区的配置信息的步骤之后，所述根据所述配置信息，切换到所述企业数据区的步骤之前，所述方法还包括下述步骤：

对所述企业数据区的配置信息进行设置。

3.如权利要求1所述的方法，其特征在于，所述根据所述配置信息，切换到所述企业数据区的步骤具体包括下述步骤：

将所述配置信息写入注册表；

将所述注册表中的所述配置信息读取到文件系统驱动程序。

4.如权利要求1所述的方法，其特征在于，所述根据所述配置信息，切换到所述企业数据区的步骤之后，所述方法还包括下述步骤：

当接收到应用程序的数据写入请求IRP时，根据所述企业数据区的配置信息检测写入的数据是否需要加密；

当写入的数据需要加密时，将待写入数据读取到内核层预先申请的内存缓冲区中，对所述内存缓冲区中的数据进行加密；

将加密后的数据写入磁盘。

5.如权利要求1所述的方法，其特征在于，所述根据所述配置信息，切换到所述企业数据区的步骤之后，所述方法还包括下述步骤：

当接收到应用程序的数据读取请求IRP时，根据所述企业数据区的配置信息检测读取的数据是否需要解密；

当读取的数据需要解密时，将请求的数据读取到内核层预先申请的内存缓冲区中，对所述内存缓冲区中的数据进行解密；

将解密后的数据发送给应用程序。

6.一种数据保护装置，其特征在于，所述装置包括：

7.如权利要求6所述的装置，其特征在于，所述企业数据区切换单元具体包括：

配置信息写入单元，用于将所述配置信息获取单元获取的配置信息写入注册表；以及

配置信息读取单元，用于将注册表中企业数据区的配置信息读取到文件系统驱动程序。

8.如权利要求6所述的装置，其特征在于，所述装置还包括：

数据写入请求检测单元，用于当接收到应用程序的数据写入请求IRP时，根据企业数据区的配置信息检测写入的数据是否需要加密；

内核层数据加密单元，用于当写入的数据需要加密时，将待写入数据读取到内核层预先申请的内存缓冲区中，对所述内存缓冲区中的数据进行加密；以及

数据写入单元，用于将所述内核层数据加密单元加密后的数据写入磁盘。

9.如权利要求6所述的装置，其特征在于，所述装置还包括：

数据读取请求检测单元，用于当接收到应用程序的数据读取请求IRP时，根据企业数据区的配置信息检测读取的数据是否需要解密；

内核层数据解密单元，用于当读取的数据需要解密时，将请求的数据读取到内核层预先申请的内存缓冲区中，对所述内存缓冲区中的数据进行解密；以及

数据发送单元，用于将所述内核层数据解密单元解密后的数据发送给应用程序。

10.一种数据保护系统，其特征在于，所述系统包括权利要求6至9任一项所述的数据保护装置。