CN102930223A - 一种磁盘数据保护方法和系统 - Google Patents

Abstract

本申请公开了一种磁盘数据保护的系统，包括：计算机，以及与计算机具备连接的密钥设备，第一密钥始终存储在密钥设备中，密钥设备根据第一密钥和扇区特征信息生成第二密钥，第二密钥用来对被保护的磁盘上的数据进行加解密，确保了存储在被保护的磁盘上的数据总是处于加密状态，只有当密钥设备、指定的计算机和指定的磁盘三者同时存在的情况下，被保护的数据才可用；第二密钥是参考具体扇区特征而运算得出的，因此每个被保护的扇区的密钥都不相同，避免了该密钥偶然泄露或被推断出来导致全部数据泄漏的可能，更大限度地提高了计算机使用过程中的安全性和易用性。本申请还公开了一种磁盘数据保护的方法。

Description

一种磁盘数据保护方法和系统

技术领域

本申请涉及计算机数据保护技术领域，特别涉及一种磁盘数据保护的方法及系统。

背景技术

目前的磁盘数据保护技术大多采用访问控制模式，即：硬件或驱动程序以进程等方式区分访问者的身份，然后将访问者身份与预先设定好的访问列表比对，以判断访问者是否有权限访问，而这种根据进程和访问列表的方式都存在被伪造和信息泄露的风险。而从需求上来说，该数据保护方法是基于一份数据多用户的情形，其中只有部分用户可以访问数据。

现有技术中还存在使用单一的密钥对所有数据加密的磁盘数据保护技术，即：不同的计算机、不同的用户之间，密钥有可能不同，但同一计算机、同一用户的所有加密数据所使用的密钥是相同的。考虑到性能和易用性，保护大量磁盘数据时，一般会采用高级加密标准（AES，Advanced Encryption Standard）之类的对称加密算法。对于有经验的攻击者，相对比较容易使用固定数据或者差异很小的数据直接推算出加密密钥。这样，无论产生密钥的过程是多么复杂，整个系统的安全性还是受到了损害和威胁。

发明内容

本申请提供了一种磁盘数据保护方法及系统，可以有效避免密钥偶然泄露或被推断出来导致数据泄露的可能，确保了存储在被保护磁盘上数据的安全性，提高计算机使用过程中的安全性和易用性。

本申请实施例提供的一种磁盘数据保护的系统，包括：计算机，以及与计算机具备连接的密钥设备，

密钥设备包括：加密模块和存储模块；

所述存储模块用于保存第一密钥，所述第一密钥预先写入到密钥设备中；

所述加密模块用于保存加密算法，所述加密算法根据输入的磁盘扇区特征信息及第一密钥一起产生第二密钥；

通过初始化过程设置计算机中的磁盘保护区域范围；所述计算机包括：

磁盘过滤驱动模块，运行在应用层和操作系统的磁盘驱动层之间，获取来自密钥设备的第二密钥，判断来自应用层的磁盘读写请求要访问的扇区是否处于被保护的磁盘区域范围，若是，如果磁盘读写请求是读请求，则利用第二密钥对磁盘驱动层读出的数据进行解密后传输至应用层；如果磁盘读写请求是写请求，则先利用第二密钥将要写入的数据加密，再将加密后的数据通过磁盘驱动层写入磁盘；否则按照通常的磁盘读写操作进行处理。

较佳地，所述加密模块保存的加密算法包括但不限于对称加密算法或者非对称加密算法。

较佳地，存储模块进一步保存计算机绑定信息；

加密模块产生第二密钥的依据除了第一密钥和扇区特征之外，还包括计算机绑定信息，加密模块在产生第二密钥之前，判断密钥设备所连接的计算机的绑定信息与存储模块存储的绑定信息是否一致，若是则生成第二密钥，否则终止密钥产生过程。

较佳地，所述密钥设备具有防复制功能，使存储在其内的计算机绑定信息和/或第一密钥不会被除所述磁盘过滤驱动模块之外的非授权程序非法获取。

较佳地，所述磁盘保护区域范围信息保存在计算机的磁盘分区表中或密钥设备中。

本申请实施例提供的一种磁盘数据保护的方法，包括：

A、通过初始化过程设置计算机中的磁盘保护区域范围；

B、判断密钥设备是否存在并可以正常访问，若是继续执行步骤C，否则结束本流程；

C、判断要访问的扇区是否在被保护的范围内，若是，继续执行步骤D，否则退出本流程；

D、根据要访问的扇区的扇区特征以及密钥设备中存储的第一密钥产生第二密钥；

E、判断来自应用层的磁盘读写请求是否是读请求，若是则跳转至步骤G，否则，继续步骤F；

F、利用第二密钥对数据进行加密，然后将写请求转交给磁盘驱动层处理，然后返回步骤E；

G、调用磁盘驱动层读出数据，对读出的数据用第二密钥进行解密，将解密的数据返回给应用层，然后返回步骤E。

较佳地，生成第二密钥的加密算法为包括但不限于对称加密算法或者非对称加密算法。

较佳地，步骤A进一步包括：将计算机绑定信息保存在密钥设备中；

步骤D为：根据要访问的扇区的扇区特征以及密钥设备中存储的第一密钥和计算机绑定信息产生第二密钥。

较佳地，步骤A进一步包括：将计算机绑定信息保存在密钥设备中；

步骤D之前，进一步包括：判断密钥设备所连接的计算机的绑定信息与存储模块存储的绑定信息是否一致，若是执行步骤D，否则结束本流程。

较佳地，所述磁盘保护区域范围信息保存在计算机的磁盘分区表中或密钥设备中。

从以上技术方案可以看出，第一密钥始终存储在密钥设备中，密钥设备根据第一密钥和扇区特征信息生成第二密钥，第二密钥用来对被保护的磁盘上的数据进行加解密，确保了存储在被保护的磁盘上的数据总是处于加密状态，只有当密钥设备、指定的计算机和指定的磁盘三者同时存在的情况下，被保护的数据才可用；第二密钥是参考具体扇区特征而运算得出的，因此每个被保护的扇区的密钥都不相同，避免了该密钥偶然泄露或被推断出来导致全部数据泄漏的可能，更大限度地提高了计算机使用过程中的安全性和易用性。

附图说明

图1为本申请实施例提供的一种磁盘数据保护系统框图；

图2为本申请实施例提供的基于图1所示系统的一种磁盘数据保护方法流程图；

图3为本申请的一个应用实例提供的PDF应用程序使用时的处理流程图；

图4为本申请的一个应用实例提供的使用保险箱程序的处理流程图。

具体实施方式

本申请技术方案的基本思想在于，采用双重密钥实现磁盘数据保护，具体包括：通过初始化过程将第一密钥写入密钥设备中，将驱动程序安装到需要被保护的计算机中；密钥设备根据被保护的计算机磁盘的扇区特征及第一密钥生成第二密钥；根据磁盘读写请求通过第二密钥对扇区进行加解密操作。

本申请实施例提供了一种磁盘数据保护系统，如图1所示，主要由密钥设备110和被保护的计算机120构成，其中，被保护的计算机通过安装专用驱动程序后，生成一磁盘过滤驱动模块121。

在安装专用驱动程序的过程中需要对计算机120的磁盘进行初始化，通过初始化过程设置用户选定的磁盘保护区域范围。一旦初始化完成后，要保护的磁盘区域数据将全部丢失(用户应先做好备份)，用户使用操作系统的格式化功能重建文件系统后，即可正常使用。磁盘保护区域范围可以是磁盘全部存储区域或者部分存储区域。在以后的使用中也可以根据用户的需要再次执行初始化过程。

所述磁盘过滤驱动模块121，运行在应用层122和操作系统的磁盘驱动层123之间，获取来自密钥设备110的第二密钥，处理来自应用层的磁盘读写请求；磁盘过滤驱动模块121判断磁盘读写请求要访问的扇区是否处于被保护的磁盘区域范围，若是，则进一步进行如下判断，否则按照通常的磁盘读写操作进行处理（即将来自应用层122的读写请求直接交给磁盘驱动层123，或者将来自磁盘驱动层123的数据直接返回给应用层122）：如果磁盘读写请求是读请求，则利用第二密钥对磁盘驱动层123读出的数据进行解密后传输至应用层122；如果磁盘读写请求是写请求，则先利用第二密钥将要写入的数据加密，再将加密后的数据通过磁盘驱动层123写入磁盘。由于第二密钥来自密钥设备110，如果密钥设备110不存在或者无法访问，则磁盘过滤驱动模块121无法取得解密密钥，读出的数据无法解密。

所述密钥设备110，是指一个能够连接到计算机上的硬件加密设备，如USB-Key，连接方式也不限于USB接口。密钥设备110包括：加密模块111和存储模块112。

所述存储模块112用于保存第一密钥。所述第一密钥预先写入到密钥设备110中。

所述加密模块111用于保存加密算法，所述加密算法能够根据输入的磁盘扇区特征信息（如扇区在磁盘上的相对位置）及第一密钥一起产生第二密钥。

本申请的一个较佳实施例中，所述密钥设备110中存储的加密算法，包括但不限于对称（如AES、DES、TDES）或者非对称（如RSA、ECC）加密算法。

本申请的一个较佳实施例中，所述第二密钥，用于对扇区的数据执行加密、解密操作。如果计算机中同时有多个扇区需要保护，由于不同扇区的特征信息不同，因此对每个扇区使用不同的加密密钥，由于具体的第二密钥是利用第一密钥及扇区特征综合计算得出，且有了扇区特征作为变量参与，会增加推测第二密钥的难度，而且除非知道生成第二密钥的全部参数和算法，否则推测出一个扇区的密钥，也与其他扇区的密钥毫无关系。

本申请的一个较佳实施例中，存储模块112进一步保存计算机绑定信息，例如可以通过初始化过程将计算机绑定信息写入到密钥设备110的存储模块112中。所述计算机绑定信息为计算机设备的特征信息，包括但不限于主板序列号、网卡MAC地址等。加密模块111产生第二密钥的依据除了第一密钥和扇区特征之外，还包括计算机绑定信息；和或加密模块111在产生第二密钥之前，判断密钥设备110所连接的计算机120的绑定信息与存储模块112存储的绑定信息是否一致，若是则生成第二密钥，否则终止密钥产生过程；较佳地，同时给出错误提示。

本申请的一个较佳实施例中，所述密钥设备110具有防复制功能，使存储在其内的计算机绑定信息和/或第一密钥不会被除所述磁盘过滤驱动模块121之外的非授权程序非法获取。

本申请的一个较佳实施例中，要保护的磁盘区域范围信息，可保存在磁盘分区表或密钥设备中。

本申请实施例还提供了基于上述系统的一种磁盘数据保护方法，其流程如图2所示，具体步骤包括：

步骤201：通过初始化过程设置计算机中的磁盘保护区域范围。

步骤202：判断密钥设备是否存在并可以正常访问，若是继续执行步骤203，否则结束本流程。

步骤203：判断要访问的扇区是否在被保护的范围内，若是，继续执行步骤204，否则退出本流程。

步骤204：根据要访问的扇区的扇区特征以及密钥设备中存储的第一密钥产生第二密钥。

步骤205：判断来自应用层的磁盘读写请求是否是读请求，若是则跳转至步骤207，否则，继续步骤206。

步骤206：利用第二密钥对数据进行加密，然后将写请求转交给操作系统的磁盘驱动层处理，然后返回步骤205。

步骤207：调用操作系统的磁盘驱动层读出数据，对读出的数据用第二密钥进行解密，将解密的数据返回给应用层，然后返回步骤205。

本申请的一个较佳实施例中，生成第二密钥的加密算法为对称加密算法或者非对称加密算法。

本申请的一个较佳实施例中，步骤201进一步包括：将计算机绑定信息保存在密钥设备中；步骤204为：根据要访问的扇区的扇区特征以及密钥设备中存储的第一密钥和计算机绑定信息产生第二密钥；或者，步骤204之前，进一步包括：判断密钥设备所连接的计算机的绑定信息与存储模块存储的绑定信息是否一致，若是执行步骤204，否则结束本流程。

本申请的一个较佳实施例中，所述磁盘保护区域范围信息保存在计算机的磁盘分区表中或密钥设备中。

为便于本领域技术人员领会本申请的技术方案，使本申请技术方案的技术原理、特点以及技术效果更加清楚，以下通过具体应用实例，对本申请方案进行进一步阐述。

应用实例一

应用程序为一种PDF应用程序，能够在连接有密钥设备的计算机上创建、打开、显示、编辑、标记、打印PDF格式的文档。假定使用该PDF应用程序时涉及的操作（如读写数据）均在D盘。

假定本应用实例中要保护的范围信息保存在磁盘分区表中，受保护区域为D盘。密钥设备为硬件加密锁（下称加密锁），加密锁中存储的加密算法为非对称算法RSA,第一密钥为RSA密钥。加密锁中存储的计算机绑定信息包括主板序列号、网卡MAC信息，加密锁已连接计算机。

本应用实例提供的PDF应用程序使用时的处理流程如图3所示，包括如下步骤：

步骤301：判断加密锁是否存在且可以正常访问，如果加密锁不存在或无法访问，则无法取得解密密钥，读出的数据也就没有意义，结束本流程，如果加密锁存在且可以正常访问，则继续执行步骤302。

步骤302：磁盘过滤驱动模块根据磁盘分区表中存储的保护区域范围判断要访问的扇区（D盘）是否处于被保护的范围，若是，继续执行步骤303，否则退出本流程执行通常的读写过程。

步骤303：根据扇区特征和当前计算机绑定信息，调用加密锁并根据加密算法RSA及第一密钥产生第二密钥。产生第二密钥时，如果当前计算机绑定信息与加密锁内保存的计算机绑定信息不一致，则无法产生正确的密钥。

步骤304：当使用PDF创建文件时，磁盘过滤驱动模块根据请求的类型，利用第二密钥对创建的文件数据进行加密，然后将请求转交给操作系统的磁盘驱动层处理。

步骤305：当使用PDF软件打开在D盘事先保存的PDF格式的文件执行编辑、标记或打印操作时，磁盘过滤驱动模块会调用操作系统的磁盘驱动层读出文件数据。

步骤306：对读出的文件数据用第二密钥进行解密，解密完成后，将数据返回至PDF应用程序，PDF应用程序继续执行后续的操作。

通过以上实施例可以看出，只有当密钥设备，指定的计算机和指定磁盘同时存在时，被保护的数据才可以用。密钥设备不存在或无法访问，则无法取得解密密钥，读出的数据没有意义。第二密钥是参考具体扇区（D盘）特征而运算出来的，因此每个被保护的扇区的密钥都不相同，避免该密钥泄露或被推断出而导致数据泄漏的可能。提升了安全性。

应用实例二：

假定要保护的磁盘区域范围信息保存在密钥设备中，受保护区域为D盘。密钥设备为USB-Key，USB-Key中存储的加密算法为对称算法AES，第一密钥为AES密钥。USB-Key中存储的计算机绑定信息包括主板序列号、网卡MAC信息，USB-key已连接计算机。

在本应用实例中，应用程序为一种财务保险箱程序，用于为财务工作提供安全的保护和存储功能。使用该软件可以在磁盘上创建保险箱文件，保险箱文件内部可存放一些机密或敏感的数据信息，通过该保险箱程序可以在磁盘的保险箱文件内创建相关文档、excel等文件。也可以打开磁盘上的保险箱文件，假定该保险箱程序相关读写操作均在D盘，该软件相关的数据安全及相关加密策略此处不再赘述。

本应用实例提供使用该保险箱程序的处理流程如图4所示，具体步骤如下：

步骤401：判断密钥设备是否存在且可以正常访问，若是，继续执行步骤402，否则结束本流程。

步骤402：根据密钥内部存储的保护区域范围信息判断要访问的扇区是否在被保护的范围内，若是，继续执行步骤403，否则退出本流程执行通常保险箱程序流程。

步骤403：根据扇区特征和当前绑定信息，调用密钥设备通过加密算法产生第二密钥。产生第二密钥时，需要对当前计算机绑定信息与密钥设备中存储计算机绑定信息进行验证，如果验证不通过，则无法产生正确的密钥，则无法执行后续流程。

步骤404：使用该程序创建保险箱文件或其他数据文件时，利用第二密钥对数据进行加密，然后将写磁盘请求转交给操作系统的磁盘驱动层处理。

步骤405：使用该程序打开D盘上存储的保险箱文件时，调用操作系统的磁盘驱动层读出数据。

步骤406：对读出的数据用第二密钥进行解密，然后将解密结果返回给保险箱应用程序，继续后续操作。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的硬件平台的方式来实现，当然也可以全部通过硬件来实施，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例或者实施例的某些部分所述的方法。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请的保护范围，凡在本申请技术方案的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种磁盘数据保护的系统，其特征在于，包括：计算机，以及与计算机具备连接的密钥设备，

密钥设备包括：加密模块和存储模块；

所述存储模块用于保存第一密钥，所述第一密钥预先写入到密钥设备中；

所述加密模块用于保存加密算法，所述加密算法根据输入的磁盘扇区特征信息及第一密钥一起产生第二密钥；

通过初始化过程设置计算机中的磁盘保护区域范围；所述计算机包括：

磁盘过滤驱动模块，运行在应用层和操作系统的磁盘驱动层之间，获取来自密钥设备的第二密钥，判断来自应用层的磁盘读写请求要访问的扇区是否处于被保护的磁盘区域范围，若是，如果磁盘读写请求是读请求，则利用第二密钥对磁盘驱动层读出的数据进行解密后传输至应用层；如果磁盘读写请求是写请求，则先利用第二密钥将要写入的数据加密，再将加密后的数据通过磁盘驱动层写入磁盘；否则按照通常的磁盘读写操作进行处理。

2.根据权利要求1所述的系统，其特征在于，所述加密模块保存的加密算法包括但不限于对称加密算法或者非对称加密算法。

3.根据权利要求1所述的系统，其特征在于，存储模块进一步保存计算机绑定信息；

加密模块产生第二密钥的依据除了第一密钥和扇区特征之外，还包括计算机绑定信息，加密模块在产生第二密钥之前，判断密钥设备所连接的计算机的绑定信息与存储模块存储的绑定信息是否一致，若是则生成第二密钥，否则终止密钥产生过程。

4.根据权利要求3所述的系统，其特征在于，所述密钥设备具有防复制功能，使存储在其内的计算机绑定信息和/或第一密钥不会被除所述磁盘过滤驱动模块之外的非授权程序非法获取。

5.根据权利要求1所述的系统，其特征在于，所述磁盘保护区域范围信息保存在计算机的磁盘分区表中或密钥设备中。

6.一种磁盘数据保护的方法，其特征在于，包括：

A、通过初始化过程设置计算机中的磁盘保护区域范围；

B、判断密钥设备是否存在并可以正常访问，若是继续执行步骤C，否则结束本流程；

C、判断要访问的扇区是否在被保护的范围内，若是，继续执行步骤D，否则退出本流程；

D、根据要访问的扇区的扇区特征以及密钥设备中存储的第一密钥产生第二密钥；

E、判断来自应用层的磁盘读写请求是否是读请求，若是则跳转至步骤G，否则，继续步骤F；

F、利用第二密钥对数据进行加密，然后将写请求转交给磁盘驱动层处理，然后返回步骤E；

G、调用磁盘驱动层读出数据，对读出的数据用第二密钥进行解密，将解密的数据返回给应用层，然后返回步骤E。

7.根据权利要求6所述的方法，其特征在于，生成第二密钥的加密算法为包括但不限于对称加密算法或者非对称加密算法。

8.根据权利要求6所述的方法，其特征在于，步骤A进一步包括：将计算机绑定信息保存在密钥设备中；

步骤D为：根据要访问的扇区的扇区特征以及密钥设备中存储的第一密钥和计算机绑定信息产生第二密钥。

9.根据权利要求6所述的方法，其特征在于，步骤A进一步包括：将计算机绑定信息保存在密钥设备中；

步骤D之前，进一步包括：判断密钥设备所连接的计算机的绑定信息与存储模块存储的绑定信息是否一致，若是执行步骤D，否则结束本流程。

10.根据权利要求6所述的方法，其特征在于，所述磁盘保护区域范围信息保存在计算机的磁盘分区表中或密钥设备中。

Images