CN103136126A - 一种可保障数据安全性的数据安全存储设备的实现方法 - Google Patents

Abstract

本发明公开了一种数据安全存储设备的实现方法。本发明涉及数据存储和信息安全领域。本发明的实现方法是：主系统与数据安全存储设备通过系统总线连接；数据存储介质与数据安全存储设备通过存储总线连接；数据安全存储设备设置有存储总线控制单元，系统总线控制单元，加密处理单元，中央处理器单元，数据缓存单元和非易失存储器单元。本发明提供了该设备的实施方法，并且还指明了一种数据安全保护机制的实施方法。应用本发明提出的数据安全存储设备和数据安全保护机制，能够为数据存储提供高强度的安全保护。

Description

一种可保障数据安全性的数据安全存储设备的实现方法

技术领域

本发明涉及数据存储和信息安全领域，特别涉及一种可保障数据安全性的数据安全存储设备的实现方法。

背景技术

目前，随着计算机、手机等电子产品在人们工作生活中的广泛应用，特别是由于互联网和二、三、四代移动互联信息技术的蓬勃发展并深度渗透到人们的工作生活中，人们接触的数字信息量出现爆炸性增长，每个人都成为数据的制造者和消费者。人们开始发现需要存储及处理的信息数据急剧增多，所受到的信息安全威胁越来越大，对于信息安全保障的需求也越来越高。

随着人们对信息安全认识的不断深入，信息安全保障的技术水平也在不断进步。总的来说，信息安全保障技术的发展经历了自数据安全阶段(强调保密通信)到网络信息安全时代(强调网络环境安全)，再到今天的信息安全保障时代(追求在信息交互过程中提供主动防御，实现保护、检测、反应和恢复四种有机功能)三个阶段。

在此过程中，数据安全一直是信息安全的基本命题，它包含数据机密性和数据完整性以及数据可用性三个基本特征。数据机密性是指保障个人或团体的信息不为其他不应获得者获得；数据完整性是指在传输、存储信息或数据的过程中，确保信息或数据不被未授权的篡改或在篡改后能够被迅速发现；数据可用性是一种以使用者为中心的设计概念，可用性设计的重点在于让产品的设计能够符合使用者的习惯与需求。从数据安全技术实现最关注的角度来说，数据机密性和数据完整性必须是一个有机整体。在满足数据可用性的前提下，通过采用有效完善的数据安全保障机制，来抵御安全威胁。

威胁数据安全的主要隐患目前有存储设备失效，人为操作失误和信息窃取。其中存储设备失效常见的实例有存储设备寿命到期，由于自然灾害或电源故障或电磁干扰等影响，都有可能导致数据丢失或数据存储错误。人为操作失误常见的实例有误删除、误发送等导致的数据意外丢失或数据意外扩散。这些情况的发生均不可预测，目前除了数据冗余备份和加强数据所有者的操作安全认识之外，还没有更好的解决办法。

而对数据安全最具威胁的是信息窃取。在互联网普及之前，主要的信息窃取手段是非法复制。目前伴随着互联网络的普及，采用黑客技术来获取他人机密，非法入侵破坏他人数据的事件屡有发生。这些行为轻则损害个人隐私以及个人企业利益，严重的甚至会极大损害国家利益及国家安全。提供完备的高强度数据安全访问机制是杜绝信息窃取事件发生的根本手段。

发明内容

针对现有技术的不足，本发明的目的之一在于提供一种数据安全存储设备，该设备使得数据安全访问机制得以运行；目的之二在于提供一种数据安全访问机制，该机制使数据安全存储设备上数据存储和传输的安全性得到有效保障。

根据本发明目的之一所提出的数据安全存储设备，实现方法为：

1)数据安全存储设备中设置有中央处理器，实现所支持的总线协议的灵活加载和设备内功能单元的工作模式配置，并调度各个功能单元协同工作运行数据安全保护机制；

2)数据安全存储设备中设置有系统总线协议控制，实现对系统总线传输内容的监测，在中央处理器配置和调度干预之下，实现对于主系统数据存储和安全保护两种操作请求的识别；

3)数据安全存储设备中设置有数据缓冲区，在中央处理器配置和调度干预之下，实现数据存储和安全保护操作过程中临时数据的缓存；

4)数据安全存储设备中设置有存储总线控制，完成数据安全存储设备与数据存储介质的物理连接，在中央控制器的配置及调度干预下，完成数据存储介质的数据存取操作；

5)数据安全存储设备中设置有加密处理引擎，在中央控制器的配置及调度下，可以实现密钥及密钥对产生和摘要运算功能，并能实现对称及非对称式加解密计算处理；

6)数据安全存储设备中设置有非易失存储器，用于存储中央控制器单元程序固件以及在中央处理器配置下，保存运行数据安全机制过程中产生的密钥、密文数据。

根据发明目的之二所提出的数据安全访问机制实现方法，被划分为三个实施阶段：用户注册阶段、用户认证阶段和安全访问阶段。此实现方法各阶段较优的实现步骤为：

1)用户注册阶段，主系统端设置数据安全区域，根据用户注册请求，安全保存用户名USER和身份识别号PIN；

2)用户注册阶段，主系统传送用户名USER至数据安全存储设备。数据安全存储设备为此用户名USER产生随机密钥RKV；使用密钥RKV将用户名USER做对称加密运算，形成用户原始密值USV1；然后数据安全存储设备密值USV1进行摘要计算，产生密文SVPD1，并保存在数据安全存储设备本地；数据安全存储设备将密钥RKV和用户原始密值USV1返回给主系统；

3)用户注册阶段，主系统在数据安全区域保存密钥RKV和用户原始密值USV1，完成合法用户注册；

4)用户认证阶段，主系统通过请求用户所输入的用户名USER和PIN与原有保存结果相比较，判断发起认证操作的用户的临时合法性；经判断非法的用户禁止其后续操作请求，经判断为临时合法的用户的认证请求继续执行；

5)主系统传输认证请求给数据安全存储设备，数据安全存储设备为本次认证请求产生由KPV和KSV构成的密钥对，保存KVP中的私钥KSV，并将KPV发送给主系统；

6)主系统利用KPV对密钥RKV和用户原始密值USV1进行非对称加密计算，将产生的密文结果发送给数据安全存储设备；然后数据安全存储设备对此密文数据利用KSV进行非对称解密计算，还原RKV和USV1后，将USV1做摘要计算产生密文SVPD2；

7)数据安全存储设备在本地搜寻与SVPD2相吻合项，如果不存在则说明用户名USER未经注册，停止处理主系统的后续请求；如果发现有吻合项SVPD1，则请求用户为合法用户，数据安全存储设备保存RKV，作为安全访问阶段数据传输时采用的对称加解密算法密钥，至此完成用户认证；

8)安全访问阶段，主系统经系统总线发出数据读取操作请求，数据安全存储设备通过控制存储总线启动对数据存储介质的真正读数据操作；存储于数据存储介质上的密文数据，经存储总保存到数据缓冲区中；数据安全存储设备以RKV作为对称解密算法的密钥，将密文数据还原成明文数据后反馈至主系统；

9)安全访问阶段，主系统经系统总线发出数据写入操作请求，数据安全存储设备接收写入数据，系统总线上的明文数据被保存在数据缓冲区中；数据安全存储设备以RKV作为对称加密算法的密钥，将明文数据加密成密文数据，此密文数据经存储总线保存到数据存储介质。

上述步骤2)、9)、10)中的对称加解密算法的较优实施方式包括AES和3DES；

上述步骤2)和7)中的摘要运算的当前较优实施方式包括MD5、SHA1和SHA2；

上述步骤7)中的非对称加解密运算的当前较优实施方式包括RSA。

本发明的有益效果是，可以识别未注册用户和冒名用户，主动并有效地抵御黑客攻击，避免信息窃取和恶意的数据破坏；通过对数据存储介质实施密文数据读取和写入，使得原始数据得到有效加密，进而能够有效抵御非法的数据拷贝。

附图说明

图1是本发明提出的数据安全存储设备的单元模块框图；

图2是本发明提出的数据安全访问机制的阶段流程框图；

图3是本发明提出的数据安全访问机制中用户注册阶段的步骤流程图；

图4是本发明提出的数据安全访问机制中用户认证阶段的步骤流程图；

图5是本发明提出的数据安全访问机制中安全访问阶段的读取流程图；

图6是本发明提出的数据安全访问机制中安全访问阶段的写入流程图。

具体实施方式

为详细阐述本发明的目的、方案和实现方法，下面结合具体的实施实例与附图，对本发明进行进一步的具体说明。

本发明提出的数据安全存储设备的较优实施实例见图1所示。

该装置包括：中央处理器单元101，系统总线控制单元102，数据缓存单元103，存储总线控制单元104，加密处理单元105，非易失存储器单元106。

其中，中央处理器单元101实现对系统总线控制单元102、数据缓存模块103、存储总线控制单元104和加密处理单元105的功能控制与调度；系统总线控制单元102实现主系统的数据存储和加密处理两类功能指令的区分与传达；存储总线控制单元104实现对数据存储介质的读写操作控制；加密处理单元105提供实现数据安全保护机制所必须的真随机数产生，实现摘要算法、对称加解密算法和非对称加解密算法；数据缓存单元103用作系统总线控制单元发送的写入数据和存储总线控制单元返回的读取数据以及加密处理单元的临时运算结果的快速缓存；非易失存储器单元106保存中央处理器单元的程序固件以及核心密钥以及数字签名和数字证书的部分数据。

本发明提出的数据安全访问机制的实施为三个阶段，较优实施方案见图2所示。其中：

1)用户注册阶段201，在保密传输环境下，主系统根据注册请求用户所输入的用户名和身份识别号，调用数据安全存储设备的加密算法，产生数字签名；

2)用户认证阶段202，在主系统用户进行数据存储操作请求之前，主系统首先对用户所输入的用户名和身份识别号进行识别，主系统识别认定的未注册用户不能进行后续的认证操作，主系统中已注册用户的数字签名送至数据安全存储设备进行识别，如该签名用户经识别认定为非法用户，不能进行后续的数据访问操作，如经识别为合法用户，数据安全存储设备为其颁发数字证书；

3)安全访问阶段203，合法用户的写入数据，由数据安全存储设备利用其所属数字证书指明的密钥做加密计算，将产生的密文数据存储至数据存储介质中；合法用户的数据读取操作，由数据安全存储设备利用其所属数字证书指明的密钥，将数据存储介质返回的密文数据做解密计算，将产生的明文数据返回给主系统。

数据安全访问机制的用户注册阶段的较优实施步骤见图3所示。其中具体实施步骤为：

步骤(1)301，主系统设置安全存储区，登记注册请求用户所输入的用户名USER和身份识别号PIN，并将该信息存储在安全存储区；

步骤(2)302，主系统通过应用协议发送用户名USER信息至数据安全存储设备，数据安全存储设备的加密处理模块产生随机密钥RKV，对称加密算法计算USER，产生密文信息USV1；

步骤(3)303，数据安全存储设备的加密处理模块将密文信息USV1进行摘要计算，产生密文信息SVPD1并安全保存于非易失存储器单元；

步骤(4)304，数据安全存储设备的返回随机密钥RKV和密文信息USV1至主系统，主系统将RKV和USV1保存至安全存储区。

数据安全访问机制的用户认证阶段的较优实施步骤见图4所示。其中具体实施步骤为：

步骤(1)401，用户报告主系统其用户名和身份识别号，主系统遍历安全存储区中已注册用户信息，初步认证其身份合法性，经认证身份非法用户不能进行后续操作步骤402；

步骤(2)402，用户身份经初步认证合法，主系统通过应用协议发送用户名USER信息至数据安全存储设备，数据安全存储设备的加密处理模块产生随机密钥对KPV与KSV，保存KSV于非易失存储器单元并将KPV发送至主系统；

步骤(3)403，主系统采用KPV作为非对称加密算法的密钥，加密USV1产生密文信息GUSV1，加密RKV产生密文信息GRKV，发送至数据安全存储设备；

步骤(4)404，数据安全存储设备采用KSV作为非对称解密算法的密钥，解密GUSV1和GRKV，获得USV1与RKV；

步骤(5)405，数据安全存储设备对USV1做摘要运算产生SVPD2，利用非易失存储器单元存储的SVPD1与SVPD2做一致性比较；

步骤(6)406，如数据安全存储设备中不存在与SVPD2一致的SVPD1，则该用户为非法用户，禁止其后续数据存储操作；如存在与SVPD2一致的SVPD1，则该用户为合法用户，允许其后续数据存储操作，并保存RKV，用作后期安全访问阶段数据对称加解密计算的密钥。

数据安全访问机制中安全访问阶段的读取操作较优实施步骤见图5所示。其中具体实施步骤为：

步骤(1)501，主系统向数据安全存储设备发出数据读取命令；

步骤(2)502，数据安全存储设备经存储总线控制单元读取数据存储介质；

步骤(3)503，数据存储介质返回读取结果，为密文数据；

步骤(4)504，数据安全存储设备保存返回的读取结果至数据缓存单元，以RKV为密钥进行对称解密运算，还原成明文数据；

步骤(5)505，数据安全存储设备返回明文数据至主系统，完成当次读取操作。

数据安全访问机制中安全访问阶段的写入操作实施方案，当前较优实施步骤见图6所示。其中具体实施步骤为：

步骤(1)601，主系统向数据安全存储设备发出数据写入命令；

步骤(2)602，数据安全存储设备保存写入数据至数据缓存单元；

步骤(3)603，数据安全存储设备以RKV为密钥，对数据缓存单元中的明文写入数据进行对称加密运算，使之成为密文数据；

步骤(4)604，数据安全存储设备将密文数据写入至数据存储介质之中。

根据本发明的说明描述，应用本发明的数据安全存储设备和数据安全存储机制的实施方法，通过实施数据存储操作用户身份认证机制，识别未注册用户和冒名用户，能够主动并有效抵御黑客攻击，避免信息窃取和恶意的数据破坏；通过对数据存储介质实施密文数据读取和写入，使得原始数据得到有效加密，进而能够有效抵御非法的数据拷贝。

在本发明所提出的发明精神指引下，本领域的技术人员将会进一步理解并发现：

(1)所述的数据存储介质被包含到数据安全存储设备之中，成为数据安全存储设备的一个功能单元，并不脱离本发明的精神，该措施能够使得本发明所述数据安全存储设备的安全性得到进一步提升；

(2)所述的数据存储介质的存在可以不是必须；

(3)所述的数据安全存储机制的实施是由主系统通过软件来指挥数据安全存储设备的相关硬件处理完成，因此作为主系统与数据安全存储机制互通信息的桥梁，主系统与数据安全存储设备需要维护并遵循预定的应用协议，该应用协议通过系统总线在主系统与数据安全存储设备传递信息，能够实现主系统的数据安全存储功能。有鉴于此，本发明所述的数据安全机制的实施阶段和实施步骤是当前较优的实施实例，但这并不影响在应用本发明时，对其具体实施方法采取一定变形，变化技术措施，来达到同样的目的。在本发明的其实施实例中：

a.在数据安全机制运行的用户注册阶段，将主系统应用软件实施的部分步骤转移至数据安全存储模块的中央处理器单元的程序固件来实施，未脱离本发明的指导精神；

b.在数据安全机制运行的用户注册阶段，将数据安全存储模块的中央处理器单元的程序固件实施的部分步骤转移至主系统应用软件来实施，未脱离本发明的指导精神；

c.在数据安全机制运行的用户注册阶段，采用的加密和摘要运算的先后次序变化，未脱离本发明的指导精神；

d.在数据安全机制运行的用户注册阶段，采用的加密和摘要运算的算法类型变化，未脱离本发明的指导精神；

e.在数据安全机制运行的用户认证阶段，将主系统应用软件实施的部分步骤转移至数据安全存储模块的中央处理器单元的程序固件来实施，未脱离本发明的指导精神；

f.在数据安全机制运行的用户认证阶段，将数据安全存储模块的中央处理器单元的程序固件实施的部分步骤转移至主系统应用软件实施，未脱离本发明的指导精神；

g.在数据安全机制运行的用户认证阶段，采用的加密和摘要运算的先后次序变化，未脱离本发明的指导精神；

h.在数据安全机制运行的用户认证阶段，采用的加密和摘要运算的算法类型变化，未脱离本发明的指导精神；

i.在数据安全机制运行的安全访问阶段，采用的加密运算的算法类型类型变化，未脱离本发明的指导精神；

(4)本发明的实施方法中，采用中央处理器的程序固件控制系统总线控制单元，实现对不同协议和规格的系统总线的支持；对中央处理器的程序固件采取一定的设计变形，可使得本发明的实施方法对将来出现的新的系统总线协议实现支持；

(5)本发明的实施方法中，采用中央处理器的程序固件控制存储总线控制单元，实现对不同协议和规格的存储总线的支持；对中央处理器的程序固件采取一定的设计变形，可使得本发明的实施方法对将来出现的新的存储总线协议实现支持；

(6)采用ECC(椭圆曲线加密)算法作为本发明所述的非对称加密算法的实施，未脱离本发明的指导精神。

本发明通过具体的实施实例，详细描述了本发明的实施方法，但是本发明所涉及技术领域的从业人员理解，本发明的众多变形和变化并未脱离本发明的指导精神，希望在本发明的指导精神涵盖范围之内，本发明的权利要求也能够包括这些变形和变化。

Claims (12)

1.一种可保障数据存储安全的数据安全存储设备的实现方法，其特征在于：

(1)数据安全存储设备通过存储总线与数据存储介质连接；

(2)数据安全存储设备通过系统总线与主系统连接；

(3)主系统与数据安全存储设备协同实现数据安全保护机制。

2.根据权利要求1所述的数据安全存储设备，其特征还在于，设置有：系统总线控制单元，存储总线控制单元，数据缓存单元，加密处理单元，中央处理器单元和非易失存储器单元。

3.根据权利要求1所述的主系统，其特征在于：

(1)能够发出数据存储和安全保护两种类别的操作请求；

(2)是数据存储操作的发起方；

(3)是安全保护操作的发起方。

4.根据权利要求1所述的数据安全存储设备，其特征在于：

(1)能够执行数据存储和安全保护两种类别的操作；

(2)是数据存储操作的执行方；

(3)是安全保护操作的执行方。

5.根据权利要求1、3、4所述的数据存储操作，其特征在于，设置有包括：数据写入操作和数据读取操作。

6.根据权利要求1、3、4所述的安全保护操作，其特征在于，设置有包括：产生随机密钥，对称加解密运算，非对称加解密运算和摘要运算。

7.根据权利要求1所述的存储总线，其特征在于：采用标准总线协议或自定义总线协议；数据安全存储设备经此总线对数据存储介质进行数据读取和写入操作。

8.根据权利要求1所述的系统总线，其特征在于：采用标准总线协议或自定义总线协议；主系统经此总线对数据安全存储设备进行数据存储和安全保护操作。

9.根据权利要求1所述的数据存储介质，其特征在于：

(1)此数据存储介质是标准的数据存储设备，包括：机械硬盘、固态硬盘、U盘、SD卡、MMC卡和FLASH；

(2)此数据存储介质也可以是采用标准总线协议的带有数据存储功能的设备；

(3)此数据存储介质也可以是采用自定义总线协议带有数据存储功能的设备。

10.根据权利要求2所述的加密处理单元，其特征在于，设置功能有包括：产生密钥，摘要算法，对称加密算法和非对称加密算法。

11.根据权利要求2、11所述的加密处理单元，其特征在于：包括MD5、SHA1、SHA2、AES、3DES、RSA算法。

12.根据权利要求1所述的数据安全保护机制，其特征在于，包括如下实施阶段：

(1)用户注册阶段：在保密传输环境下，主系统登记记录注册请求用户的用户名和身份识别号，经数据安全存储设备采用摘要算法，加密算法处理此用户名，产生数字签名；

(2)用户认证阶段：主系统用户请求数据存储操作前，主系统首先对用户所输入的用户名和身份识别号进行识别；主系统识别认定的未登记注册的用户不能进行后续的认证操作；主系统中已注册用户的数字签名送至数据安全存储设备进行识别，如该签名用户经数据安全存储设备识别认定为非法用户，不能进行后续的数据访问操作；如经识别为合法用户，数据安全存储设备为其颁发数字证书；

(3)安全访问阶段：合法用户的写入数据，由数据安全存储设备利用其所属数字证书指明的密钥做加密计算，将产生的密文数据存储至数据存储介质中；合法用户的数据读取操作，由数据安全存储设备利用其所属数字证书指明的密钥，将数据存储介质返回的密文数据做解密计算，将产生的明文数据返回给主系统。

Images