CN103198029B - 具有防护机制的随身碟和数据储存系统 - Google Patents

Abstract

本发明提供一种具有防护机制的随身碟，其储存一主开机记录及一防护机制，所述防护机制的步骤，首先于计算机系统的操作系统中挂载一拦截程序。其次，将该随身碟的主开机记录的磁盘分割表的序列进行破坏，并于磁盘分割表的序列中加入一识别序号；操作系统欲存取磁盘分割表时，拦截程序用于寻找及确认识别序号，确认后将所读取的磁盘分割表的序列予以还原。

Description

具有防护机制的随身碟和数据储存系统

技术领域

本发明涉及一种具有防护机制的数据储存装置，特别涉及一种具有防护机制的USB随身碟。

背景技术

为了避免公司内部数据外泄，或避免数据遭任意增删窜改而产生不利影响，例如影响产品研发上市或造成客户信息流失，或使企业的竞争策略透露给竞争对手丧失竞争优势。因此，通常公司内部都会对数据的传输方式进行限制。举例而言，有些会以身分权限进行区别，限制用户身份对档案修改或阅读的权限，例如使用账号密码的机制确保用户具有足够存取权限。

一般防护机制的缺点乃需经执行特定软件才能启动，换句话说，控制数据存取的软件通常储存于开机磁盘中，且于开机时执行，并于开机完成后执行数据控管的工作。若将开机磁盘自原计算机系统实体移除，并以串接方式串接于其它计算机系统成为从属磁盘时，则可通过未安装有控制数据存取软件的开机磁盘读取机密数据，此时原开机磁盘将仅储存数据不具防护效果，形成防护上的漏洞。

一般而言，对于传输数据最便利的方式系使用USB闪存装置进行数据储存，其体积轻巧，可热插拔亦可重复写入。由于此种装置传输数据便利快速，企业内部往往除了针对各用户主机内部进行数据安全控管外，通常会限制禁止使用USB随身碟，却造成因内部数据传输不便而影响工作效率。

台湾地区专利公开号第201037596号「具安全防护装置的随身碟」提供利用随身碟的控制器读取其密码锁(或安全防护韧体)，用以验证计算机用户的密码，当验证通过后，可写入数据至内存中。亦即，其通过一身分验证接口进行安全验证。然而，此仍无法有效防止数据外泄的风险，若具有权限的用户(即具有密码的用户)仍可通过随身碟将数据携出至公司外部，仍可能将内部机密文件外流，而形成防护上的缺口。

发明内容

针对现有技术存在的缺陷和不足，，本发明的目的在于提供具有防护机制的随身碟和数据储存系统，防止公司的随身碟使用于无授权的计算机系统，或防止非公司的随身碟使用于企业内部，可有效控管公司内部的随身碟的使用。

为了达到上述的目的，本发明采用以下技术方案：

一种具有防护机制的随身碟，其储存一主开机记录(MBR，MasterBootRecord)及一防护机制，所述防护机制的步骤，首先于计算机系统的操作系统中挂载一拦截程序。其次，将该随身碟的主开机记录的磁盘分割表(PartitionTable)的序列进行破坏，并于磁盘分割表的序列中加入一识别序号；当操作系统欲存取磁盘分割表时，该拦截程序用于寻找及确认识别序号，确认后将所读取的磁盘分割表的序列予以还原。

本发明具有防护机制的数据储存系统，包括一第一计算机系统及一随身碟。所述的第一计算机系统，该第一计算机系统的操作系统中挂载一拦截程序，而所述的随身碟中储存一主开机记录(MBR，MasterBootRecord)，所述主开机记录的磁盘分割表(PartitionTable)的序列预先以一第二计算机系统破坏，并于磁盘分割表的序列中加入一识别序号。当随身碟连接于第一计算机系统时，于第一计算机系统的操作系统执行读取该磁盘分割表前，所述拦截程序执行寻找及确认磁盘分割表的序列内的识别序号，且于确认后将所读取的磁盘分割表的序列予以还原。

本发明系将随身碟的磁盘分割表的序列破坏后，并于其中加入一识别序号，利用拦截程序于破坏过的磁盘分割表寻找及确认所加入的识别序号，确认为合法随身碟后，再将磁盘分割表的序列予以还原，若于识别序号，则拦截程序将不会还原磁盘分割表，而无法进行读取或写入的动作。换言的，若是将该随身碟连接于其它未具有拦截程序的计算机系统，则因磁盘分割表的序列已受到破坏，而无法读取。故，可有效控管随身碟连接于经授权的计算机系统使用，避免数据外泄。

以上所述系用以阐明本发明的目的、达成此目的的技术手段、以及其产生的优点等等。而本发明可从以下较佳实施例的叙述并伴随后附图式及权利要求使读者得以清楚了解。

附图说明

上述组件，以及本发明其它特征与优点，藉由阅读实施方式的内容及其图式后，将更为明显：

图1为本发明的随身碟装置的示意图；

图2为本发明的企业内部网络系统图；及

图3为本发明防护机制的方法流程图。

主要组件符号说明

100具有防护机制的随身碟200主开机记录202控制IC

204USB接口206闪存210主开机程序

220磁盘分割表230识别序号300企业内部网络系统

310第二计算机系统320第一计算机系统S401-S402防护机制的方法步骤

具体实施方式

本发明将以较佳实施例及观点加以叙述，此类叙述系解释本发明之结构及步骤，仅用以说明而非用以限制本发明之权利要求。因此，除说明书中之较佳实施例以外，本发明亦可广泛实行于其它实施例中。

请参阅图1，本发明具有防护机制的随身碟100，其包含一控制IC202，所述控制IC202连接于一USB接口204及闪存206。所述的随身碟100具有开机功能，所述闪存206中储存一主开机记录200，其包含一主开机程序(MBP，MasterBootProgram)210及一磁盘分割表(PartitionTable)220。另请参阅图2，于实施例中，本发明应用于一企业内部网络系统300，包含一伺服端计算机系统310及至少两个用户端计算机系统320，用户可通过随身碟100分别连接于至少两个用户端计算机系统320进行数据存取。

本发明的实施例中，具有防护机制的随身碟100使用时外接于用户端计算机系统320，利用本发明的方法步骤，使随身碟100具有防护机制及控制数据存取的功能，用户必须经过确认才可自由传输、打印或复制随身碟100中的数据。

请参考图3，本发明的具防护机制的随身碟执行方法。首先，步骤S401，将具有防护机制的随身碟100的磁盘分割表220的序列预先破坏，并于序列中加入一识别序号230。此一步骤可利用第二计算机系统(即伺服端计算机系统)310预先执行。

磁盘分割表220记录随身碟100内存中每个分割区域的起始磁道、终止磁道、使用的操作系统等信息。所述磁盘分割表220的序列的破坏方式可将磁盘分割表220予以加密，或将其序列中写入随机数。破坏后的磁盘分割表220将使得随身碟100中的数据无法读取，亦即无法通过计算机系统读取随身碟100中的数据。

其中，所述的加密方式为：通过加密算法进行加密(例如：高阶加密标准(AES，AdvancedEncryptionStandard)、DES、3DES、Blowfish)，以AES高阶加密标准为例，但不限定于AES高阶加密标准，其钥匙长度分别为128bits、192bits、256bits，并利用透明式加解密的格式。

识别序号230可任意选取，可设定每一个合法的随身碟使用同一个序号，例如A公司为1234、B公司为5678等，或可设定每一个授权的随身碟使用不同的序号，例如1230、1231、...123X等，设定完成后并将其制作识别序号表，并传送至每一第一计算机系统(即用户端计算机系统)320，即所设定的识别序号表分别储存于每一第一计算机系统320中。

其次，步骤S402，于每一第一计算机系统320的操作系统中挂载一拦截程序(hookprogram)。所述拦截程序的作用系于破坏过的磁盘分割表寻找预先加入的识别序号230，并判断及确认是否为授权的随身碟100。

执行上述步骤S401、S402之后，当具有识别序号230的随身碟100连接至用户端计算机系统320时，第一计算机系统320的操作系统欲存取随身碟100的磁盘分割表220，则所述的拦截程序于磁盘分割表220中寻找是否具有识别序号230，并判断及确认该识别序号230是否为识别序号表中的合法序号。

经拦截程序确认识别序号为合法序号，则所连接的随身碟100为具有权限的装置，所述拦截程序自动执行将受到破坏的磁盘分割表220的序列予以还原。若破坏的方式为将磁盘分割表220加密，则将磁盘分割表220予以解密，使其回复为可读取的磁盘分割表220。相反的，若拦截程序未寻找到识别序号230，或寻找的识别序号230不是合法的序号，则所连接的随身碟100为不具有权限的装置，该拦截程序不会还原受到破坏的磁盘分割表220的序列，使磁盘分割表220保持破坏或加密的状态。因而，随身碟100的磁盘分割表220仍无法读取，亦即无法通过计算机系统读取随身碟100中的数据。

另一方面而言，若是将该随身碟100连接于其它未具有拦截程序的计算机系统，即非为企业内部合法授权的用户端计算机系统，则因磁盘分割表220的序列已受到破坏，而无法顺利读取或写入随身碟100的数据。

本发明提供一种具有防护机制的数据储存系统，包含一第一计算机系统(即用户端计算机系统)320及一随身碟100。所述的第一计算机系统320的操作系统中挂载一拦截程序，而所述的随身碟100中储存一主开机记录200，所述主开机记录200的磁盘分割表220的序列预先以一第二计算机系统(即伺服端计算机系统)310破坏，并于磁盘分割表220的序列中加入一识别序号230。

由于存取随身碟100所必须的磁盘分割表220被破坏成为无法读取的磁盘分割表220，仅有拦截程序可将被破坏的磁盘分割表220予以还原或解密。故，若随身碟100被连接于企业外部的计算机系统，其磁盘分割表220对企业外部的计算机系统而言非为合法或授权的磁盘装置，而无法达成正确读取的目的，因此可以有效防止随身碟100的不当使用，避免数据外泄。

本发明的优点在于，可有效防止公司的随身碟使用于无授权的计算机系统，或防止非公司的随身碟使用于企业内部，有效避免数据外泄而损害公司利益。

本发明的另一优点在于，可以有效控管公司内部的随身碟的使用，以增加数据传输方式多元性，进而增加工作效率。

本发明的另一优点在于，本发明所使用的防护机制非为使用密码锁，或非为通过身分验证，例如IP位置或身分账号密码，而限制具有权限的用户，本发明系使用拦截程序进行随身碟的验证，有效预防具有权限的用户将公司机密外泄至企业外部计算机系统。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (3)

1.一种具有防护机制之随身碟，其储存一主开机记录及一防护机制，该防护机制系应用于一计算机系统中，其特征在于步骤包含：

将该随身碟之该主开机记录之磁盘分割表之序列进行加密，并于该磁盘分割表之序列中加入一识别序号；以及

于该计算机系统之操作系统中挂载一拦截程序；

其中，该拦截程序系用以于该操作系统欲存取该磁盘分割表时，寻找及确认该识别序号，确认后将所读取之该磁盘分割表之序列予以解密。

2.如权利要求第1项所述之具有防护机制之随身碟，其特征在于该防护机制之步骤更包含于该操作系统欲写入该磁盘分割表时，将所写入之数据予以加密。

3.一种具有防护机制之数据储存系统，其特征在于包含：

一第一计算机系统，该第一计算机系统之操作系统中挂载一拦截程序；

一随身碟，该随身碟储存一主开机记录，其中该主开机记录之磁盘分割表的序列以一第二计算机系统予以加密，并于该磁盘分割表之序列中加入一识别序号，该随身碟可连接于该第一计算机系统；

其中，当该随身碟连接于该第一计算机系统时，于该第一计算机系统之操作系统执行读取该磁盘分割表前，该拦截程序执行寻找及确认该磁盘分割表之序列内的该识别序号，且于确认后将所读取之该磁盘分割表之序列予以解密。