CN103838988A - 信息安全保护方法和装置 - Google Patents

Abstract

本发明公开了一种信息安全保护方法，其通过信息安全设备和与该信息安全设备对应的无线设备来实现，该信息安全保护方法包括：在信息安全设备和无线设备之间建立无线通信链路，其中信息安全设备电连接到主机的接口上以对主机中的预定软件实施版权保护操作；在对预定软件内需要认证或签名的功能模块进行操作时，信息安全设备通过无线通信链路向无线设备发送认证或签名请求；无线设备根据接收到的认证或签名请求进行认证或签名处理，并向信息安全设备返回处理结果；信息安全设备根据接收到的处理结果执行后续操作。本发明还公开了相应的信息安全保护装置。通过本发明，能够利用信息安全设备和无线设备为应用程序提供版权保护和身份验证的双重保护。

Description

信息安全保护方法和装置

技术领域

本发明涉及一种信息安全领域，特别地涉及一种信息安全保护方法和装置。

背景技术

现有技术中，程序保护装置是实现程序安全保护的主要手段。所谓的程序保护装置特指一种附加在计算机接口（例如，USB接口、串口、并口等接口）上的硬件设备，也称信息安全设备，对运行在计算机中的特定程序进行安全保护。

常见安全保护技术主要通过版权保护设备和身份认证设备进行。

由于功能的不同及使用特点上的差异，通常情况下，版权保护设备则通常是一直插在计算机的接口上的，而身份认证设备需要随身携带，以便于完成与个人身份和权限相关的操作，所以两个功能合并在同一个设备上多有不便。

虽然现有技术中也存在将版权保护和身份认证功能合并到同一个设备上的产品，但由于受到设备的物理特性（如大小、容量、供电等）的影响，以及，由于版权保护和身份认证均为较为复杂的功能操作，以至于现有整合版权保护和身份认证的产品均存在功能侧重点的偏颇，例如，有的产品的重点是版权保护，由身份认证只通过一些比较简单的计算或认证实现。该类存在功能侧重点的产品相比于独立的功能丰富、安全性高的身份认证设备，在功能及安全性上都存在较大差距。

为提供更为便捷的服务，目前也出现了一些通过无线方式实施安全保护功能的程序保护装置。此类装置的内部构造主要包括智能卡芯片、无线通信组件和电池，将版权保护和身份认证集成在一起，通过无线通信方式进行数据的交互。而对于此类装置，由于其结构大小的限制，供电电池体积也受到影响，而由于采用无线方式进行通信，执行复杂的安全保护功能，耗费电力比较大，这对电池的供电能力有很高的要求，供电时间短，这也是目前迫切需要解决的问题。另外，此类设备应用于移动设备上时，需要的可能仅为身份认证相关的功能，其余功能也就存在闲置、浪费的情况，这也不利于节约成本。

发明内容

本发明所要解决的问题是现有技术中对应用程序的方法存在版权保护和身份认证功能存在侧重点偏颇，或者在两项功能处于同一保护装置上的供电不足的情况，提供一种对应用程序进行版权保护和身份认证的双重保护方法，并且提高两项功能的可用性，避免功能闲置现象。

为了解决上述问题，本发明提供一种信息安全保护方法，其通过信息安全设备和与该信息安全设备对应的无线设备来实现，信息安全保护方法包括：

在信息安全设备和无线设备之间建立无线通信链路，其中信息安全设备电连接到主机的接口上以对主机中的预定软件实施版权保护操作；

在对所述预定软件内需要认证或签名的功能模块进行操作时，信息安全设备通过无线通信链路向无线设备发送认证或签名请求；

无线设备根据接收到的认证或签名请求进行认证或签名处理，并向信息安全设备返回处理结果；

信息安全设备根据接收到的处理结果执行后续操作。

作为优选，在信息安全设备和无线设备之间建立的无线通信链路基于蓝牙技术而建立。

作为优选，基于加密算法、自定义加密方式和/或转码形式在信息安全设备和无线设备之间进行无线通讯。

作为优选，信息安全设备包括加密锁，无线设备包括个人密钥设备。

为了解决上述问题，本发明还提供了一种信息安全保护装置，包括：

信息安全设备，其适于电连接到主机的接口上以对主机中的预定软件实施版权保护操作，并包括相互通信连接的第一无线通信组件和信息安全控制芯片；

无线设备，其对应于信息安全设备，并包括相互通信连接的第二无线通信组件和安全验证组件，其中，

第一无线通信组件和第二无线通信组件用于在信息安全设备和无线设备之间建立无线通信链路；

信息安全控制芯片配置为在对所述预定软件内需要认证或签名的功能模块进行操作时通过无线通信链路向安全验证组件发送认证或签名请求，并根据安全验证组件返回的处理结果执行后续操作；

安全验证组件配置为接收到的认证或签名请求进行认证或签名处理，并向信息安全控制芯片返回处理结果。

作为优选，所述无线设备能够独立用于通过与移动设备建立无线通信链路而对该移动设备中的软件进行认证或签名操作。

作为优选，第一无线通信组件包括检测单元，其配置为自动检测信息安全设备周围覆盖有无线信号的预定范围内的无线设备信号；信息安全设备还包括第一运算处理单元，其配置为对第一无线通信组件收发的消息或指令进行对应的运算和处理。

作为优选，安全验证组件包括：存储单元，其用于存储认证信息和/或签名信息；第二运算处理单元，其用于根据接收到的认证或签名请求并基于存储单元中存储的认证信息和/或签名信息进行与认证或签名处理相关的运算处理操作。

作为优选，第一无线通信组件和第二无线通信组件分别包括无线控制芯片及天线。

作为优选，第一无线通信组件和第二无线通信组件为蓝牙组件。

作为优选，信息安全设备为加密锁。

作为优选，无线设备还包括：

供电模块，其电连接到第二无线通信组件和安全验证组件以为其供电。

作为优选，供电模块为蓄电池。

作为优选，供电模块为锂电池。

本发明的有益效果在于，通过信息安全设备和无线设备为应用程序提供版权保护和身份验证（包括身份认证、数字签名等）的双重保护，并且由于将版权保护和身份认证保护分别设置在两个设备上，节省了电量、提高了使用便捷性。

附图说明

图1为根据本发明实施例的信息安全保护方法的流程图；

图2为根据本发明实施例的信息安全保护装置的框图；

图3为根据本发明的一个实施例通过加密锁和个人密钥设备进行安全保护的信息安全保护方法的流程图；

图4为根据本发明的一个实施例将信息安全保护装置应用于移动设备的信息安全保护方法的流程图。

具体实施方式

以下结合附图对本发明的进行详细描述。

根据本发明的一个实施例，提供了一种信息安全保护方法，其通过信息安全设备和与该信息安全设备对应的无线设备来实现，如图1所示，根据本发明实施例的信息安全保护方法包括：

步骤S101，在信息安全设备和无线设备之间建立无线通信链路，其中信息安全设备电连接到主机的接口上以对主机中的预定软件实施版权保护操作，优选地，无线设备与信息安全设备采用相同的无线通信协议，无线通信协议是蓝牙，即，在信息安全设备和无线设备之间建立的无线通信链路基于蓝牙技术而建立，并且，具体地，包括：信息安全设备检测周围预定范围内的无线信号（可以根据用户需求在特定时间开启检测功能，也可以自动进行检测）；信息安全设备检测到无线设备信号后，信息安全设备与每个无线设备进行配对，在检测到与该信息安全设备对应的无线设备所发出的无线信号时，则配对成功，建立无线通信链路；

步骤S103，在对所述预定软件内需要认证或签名的功能模块进行操作时，信息安全设备通过无线通信链路向无线设备发送认证或签名请求；

步骤S105，无线设备根据接收到的认证或签名请求进行认证或签名处理，并向信息安全设备返回处理结果，无线设备内部根据请求进行认证或签名等处理并返回验证结果至信息安全设备；

步骤S107，信息安全设备根据接收到的处理结果执行后续操作，主要包括两个结果：当处理结果为认证通过或签名成功时，后续操作包括将启用相应的功能模块；当处理结果为认证未通过或签名失败时，后续操作包括发出提示以重新向无线设备发送认证或签名请求，或者禁用相应的功能模块。

其中，信息安全设备的版权保护操作包括针对代码移植、数据加密、混淆变换等操作，其中，代码移植表示，将程序中最重要的代码从程序中挖走并移植到版权保护设备上，当程序中需要执行该程序中的此段代码时，使用版权保护设备上的API（Application Programming Interface，应用程序编程接口）函数使此段代码在版权保护设备上运行，从而进行安全有效的版权保护；数据加密表示，对程序中最重要的一段代码进行加密，在需要运行该段被加密的代码时，通过版权保护设备的解密程序对其进行解密；混淆变换是用于对移动代码进行保护的程序变换技术，可以使源代码变为功能上等价，却难于阅读和理解的代码。

此外，当处理结果为认证通过或签名成功后，信息安全设备顺序执行后续操作，在验证结果失败的情况下，禁止使用信息安全设备的版权保护功能，并提示重新认证。

优选地，基于加密算法、自定义加密方式和/或转码形式在信息安全设备和无线设备之间进行无线通讯，即通过加密算法或自定义加密方式、转码的形式对无线传输的数据进行加密、转换，当接收端接收到加密数据后，进行解密，然后继续执行。

优选地，信息安全设备可以包括加密锁，无线设备包括个人密钥设备。

根据本发明的一个实施例，提供了一种信息安全保护装置，如图2所示，根据本发明实施例的信息安全保护装置包括：

信息安全设备21，其适于电连接到主机23的接口上以对主机中的预定软件实施版权保护操作，并包括相互通信连接的第一无线通信组件a和信息安全控制芯片b；

无线设备22，其对应于信息安全设备，并包括相互通信连接的第二无线通信组件c和安全验证组件d，其中，

第一无线通信组件a和第二无线通信组件c用于在信息安全设备21和无线设备22之间建立无线通信链路；

信息安全控制芯片b配置为在对所述预定软件内需要认证或签名的功能模块进行操作时通过无线通信链路向安全验证组件d发送认证或签名请求，并根据安全验证组件d返回的处理结果执行后续操作；

安全验证组件d配置为接收到的认证或签名请求进行认证或签名处理，并向信息安全控制芯片b返回处理结果。

在实际应用中，可以通过信息安全设备对应用程序版权保护（因此，信息安全设备也可以称为版权保护设备），并通过无线设备进行身份认证（因此，无线设备也可以称为身份认证设备），从而实现双重保护。版权保护设备除了在硬件上采用具有高强度智能卡芯片外，还可以通过代码移植、数据加密、混淆变换等技术方式进行版权保护。身份认证设备则主要通过认证Key或数字证书等形式展现。

根据本发明的一个实施例，提供了一种信息安全保护装置，该装置包括信息安全设备和无线设备。

信息安全设备为一种硬件设备，优选地，信息安全设备为加密锁，其内置有信息安全设备控制芯片，并且该信息安全设备通过接口与主机电连接，主要提供版权保护功能，此外，信息安全设备内还包括无线通信模块和处理模块，具体地：

无线通信模块用于与无线设备无线通信，进行数据的交互传递，并且，无线通信模块还包括检测单元，检测单元用于检测无线通信模块的无线信号覆盖范围内的无线设备信号，优选地，该检测单元可以自动地进行无线信号的检测；

处理模块，用于对收发的消息或指令进行对应的运算和处理，例如，在收到加密的消息时，处理单元用于对该消息进行解密运算，在需要发送消息或指令时，可以对该消息或指令进行加密处理。

无线设备内部存储有身份认证Key和/或数字证书、加解密密钥等信息，用于完成身份认证、数字签名、数据加解密等与个人身份和权限相关的功能操作。具体来说，无线设备包括无线通信模块、存储模块和运算处理模块，具体地：

无线通信模块，用于与信息安全设备和/或移动设备无线通信，进行数据交互操作；

存储模块，用于存储身份认证Key和/或数字证书、加解密密钥等信息，还可以存储使用时的相关数据信息；

运算处理模块，用于根据指令进行相应的运算、处理操作，比如认证、数字签名、数据解密等；

供电模块，用于为该无线设备供电，该供电模块可以通过电池对无线设备供电，优选地，电池可以为锂电池。

根据本发明的一个实施例，该无线通信单元和无线通信模块均分别含有执行无线通信协议的无线控制芯片及天线，能够按照无线通信规范与其他无线通信设备建立通信连接，优选地，该无线控制芯片为蓝牙。

根据本发明的一个方面，该信息安全设备的无线通信模块主要用于以无线方式与无线设备通信，从而进行身份的认证或权限的处理。

在现有技术中，可以通过移动设备（如智能手机、平板电脑、PDA等）中的应用程序解决日常工作、生活等方面的问题。由于移动设备所使用的系统一般都具有较高的安全性，而且，移动设备上的应用程序不是全功能的，移动设备上使用的程序应用都有比较严格的审核流程，因此，移动设备中的程序应用一般不需要额外的版权保护，但需要认证。而对于开放式的系统（如安卓）来说，由于其开放性及其他特点，也不需要额外的版权保护。因此，对于移动设备中的程序应用来说，其使用主要存在认证方面的问题。

根据本发明的一个实施例，还提供了一种用于移动设备的验证装置，主机和信息安全设备为一体式设计，无线设备为移动设备，即，无线设备可以配合信息安全设备与PC机共同使用，也可以独立应用在移动设备上。并且，可以可选地选择信息安全设备使用。该无线设备和/或移动设备采用相同的无线通信协议。根据一个具体实施方式，无线通信协议是蓝牙。

无线设备独立使用在移动设备上进行认证保护的具体过程为：

移动设备上的无线通信组件自动检测其信号覆盖范围内的无线设备信号，当检测到无线设备信号时，自动与无线设备进行配对并建立无线通信链路，移动设备中的软件执行身份认证、数字签名或授权相关操作时，通过移动设备的无线通信组件向无线设备发送获取身份认证Key或数字证书信息请求，无线设备接收请求，通过内部存储的私钥和/或证书进行认证或签名等操作，通过后，则无线设备可以执行后续的功能操作。

本发明由信息安全设备和无线设备分别完成版权保护和与个人身份、权限相关的功能，使用灵活。当需要完成包括版权保护和身份认证的完整安全保护方案时，无线设备以无线方式与信息安全设备交互，二者配合使用。

在应用本发明的技术方案时，信息安全设备可以是一种硬件设备（例如，加密锁），其内置有信息安全控制芯片和无线通信组件（例如，蓝牙发射器），并且该信息安全设备可以通过主机接口与主机（例如，PC机）电连接，主要用于通过代码移植、数据加密、混淆变换等技术方式进行应用程序版权保护。

无线设备可以是一种个人密钥便携设备，其内置有无线通信组件（如蓝牙发射器），并且可以在该无线设备内存储身份认证Key、数字证书和/或加解密密钥等信息，用于完成身份认证、数字签名、数据加解密等与个人身份和权限相关的功能操作。无线设备可以配合信息安全设备在PC机上使用，也可以独立应用在具有无线通信功能的移动设备（如智能手机、平板电脑、PDA等）上，单独应用到移动设备上的无线设备相当于蓝牙key。

当仅需要身份认证、数字签名等操作时，由无线设备以无线方式独立完成。通过本发明提供的方法，在保障安全的前提下，具有使用灵活、节省电量、提高使用便捷性的特点。

根据本发明的一个实施例，提供了一种用于执行应用程序的信息安全保护方法，主机为PC机，PC上具有工具类应用程序,信息安全设备为加密锁，其内置有蓝牙通信组件，在目前的程序保护技术中，加密锁是最常用的一种信息安全设备。所谓加密锁，是一种采用高强度智能卡芯片和先进的密码学技术，具有一定的运算和存储能力的硬件系统，同时难以被破解和复制，在高强度程序版权保护中具有广泛的应用。无线设备为具有蓝牙功能的个人密钥设备（可以称为蓝牙Key），其中，在一个系统内，加密锁与蓝牙Key为配套设备，他们通过蓝牙技术方式进行连接具有单独对应性，以下描述在运行PC机中的应用程序时，如图3所示，通过加密锁和个人密钥设备进行安全保护的信息安全保护方法的步骤包括：

步骤S301，将加密锁插接到主机的USB接口上，从而使加密锁与主机进行电通信连接；

步骤S303，加密锁的蓝牙发射器自动检测周围一定范围内的蓝牙Key信号，其中，具体一定范围的参数可以根据加密锁和蓝牙Key的不同型号或根据用户要求进行设定而确定；

步骤S305，在加密锁检测到蓝牙Key信号的情况下，主动与蓝牙Key进行配对，在检测到的蓝牙Key为与该加密锁对应的蓝牙Key时，则表示配对成功，然后与该蓝牙Key建立无线通信链路；

步骤S307，执行应用程序，应用程序请求加入云服务器、或者与请求与云服务器建立通信时，在云服务器需要对应用程序进行认证识别的情况下，加密锁向蓝牙Key发送认证请求；

步骤S309，蓝牙Key接收请求，将密码或数字证书等认证信息发送至加密锁；

步骤S311，加密锁将接收到的认证信息通过加密方式发送给云服务器；

步骤S313，云服务器接收信息进行验证，验证通过，应用程序与云服务器进行数据交互。

在未示出的实施例中，加密锁进行蓝牙Key信号的检测，并且与对应的蓝牙Key进行配对的步骤可以与步骤307同时进行，或者在每次执行需要进行认证识别的应用程序的时候进行。

本实施例中，应用程序加入云服务器出于安全等因素考虑，通过加密锁进行相应的版权保护（如代码移植、数据加密），当与云服务器连接通信时，进行认证，认证通过则建立连接，之后进行数据交互传输。

根据本发明的又一个本实施例，将根据本发明的验证装置应用于移动设备中，本实施例所述的移动设备为具有蓝牙功能的智能手机，所述无线设备为内置有蓝牙组件的个人密钥设备，用于完成认证、数字签名、数据解密等操作。

根据本发明的一个实施方式，一种信息安全保护方法，如图4所示为根据本发明的一个实施例的将信息安全保护装置中的无线设备单独应用于移动设备的信息安全保护方法的流程图，具体步骤包括：

步骤S401，开启智能手机的蓝牙功能，智能手机自动检测周围预定范围内蓝牙key的信号，其中，具体预定范围的参数可以根据智能手机的不同型号或参数设定而确定；

步骤S403，在智能手机检测到蓝牙Key的信号之后，主动与蓝牙Key进行配对，若配对成功，则在智能手机和蓝牙Key之间建立基于蓝牙的无线通信链路；

步骤S405，在使用智能手机内需要进行认证或验签的应用程序时，通过无线通信链路向蓝牙Key发送认证或签名的请求；

步骤S407，在蓝牙Key接收请求之后，进行认证或数字签名，将认证结果或签名返回给应用程序；

步骤S409，在应用程序验签或认证通过的情况下，则应用程序执行后续操作，否则，提示认证或验签失败，禁止使用应用程序的相关功能。

本实施例中，在本发明的认证方法应用于移动设备终端时，只需要选用对应的无线设备，使无线设备与移动设备终端进行无线连接通信，从而通过无线设备执行认证、数字签名、授权等操作，避免所有安全保护操作在同一个设备上进行而导致的安全缺乏以及供电不足等问题。

以上实施例仅为本发明的示例性实施例，不用于限制本发明，本发明的保护范围由权利要求书限定。本领域技术人员可以在本发明的实质和保护范围内，对本发明做出各种修改或等同替换，这种修改或等同替换也应视为落在本发明的保护范围内。

Claims (14)

1.一种信息安全保护方法，其特征在于，其通过信息安全设备和与该信息安全设备对应的无线设备来实现，所述信息安全保护方法包括：

在所述信息安全设备和所述无线设备之间建立无线通信链路，其中所述信息安全设备电连接到主机的接口上以对所述主机中的预定软件实施版权保护操作；

在对所述预定软件内需要认证或签名的功能模块进行操作时，所述信息安全设备通过所述无线通信链路向所述无线设备发送认证或签名请求；

所述无线设备根据接收到的所述认证或签名请求进行认证或签名处理，并向所述信息安全设备返回处理结果；

所述信息安全设备根据接收到的所述处理结果执行后续操作。

2.根据权利要求1所述的信息安全保护方法，其特征在于，在所述信息安全设备和所述无线设备之间建立的所述无线通信链路基于蓝牙技术而建立。

3.根据权利要求1所述的信息安全保护方法，其特征在于，基于加密算法、自定义加密方式和/或转码形式在所述信息安全设备和所述无线设备之间进行无线通讯。

4.根据权利要求1至3中任意一项所述的信息安全保护方法，其特征在于，所述信息安全设备包括加密锁，所述无线设备包括个人密钥设备。

5.一种信息安全保护装置，其特征在于，包括：

信息安全设备，其适于电连接到主机的接口上以对所述主机中的预定软件实施版权保护操作，并包括相互通信连接的第一无线通信组件和信息安全控制芯片；

无线设备，其对应于所述信息安全设备，并包括相互通信连接的第二无线通信组件和安全验证组件，其中，

所述第一无线通信组件和第二无线通信组件用于在所述信息安全设备和所述无线设备之间建立无线通信链路；

所述信息安全控制芯片配置为在对所述预定软件内需要认证或签名的功能模块进行操作时通过所述无线通信链路向所述安全验证组件发送认证或签名请求，并根据所述安全验证组件返回的处理结果执行后续操作；

所述安全验证组件配置为接收到的所述认证或签名请求进行认证或签名处理，并向所述信息安全控制芯片返回所述处理结果。

6.如权利要求5所述的信息安全保护装置，其特征在于，所述无线设备能够独立用于通过与移动设备建立无线通信链路而对该移动设备中的软件进行认证或签名操作。

7.如权利要求5所述的信息安全保护装置，其特征在于，

所述第一无线通信组件包括检测单元，其配置为自动检测所述信息安全设备周围覆盖有无线信号的预定范围内的无线设备信号；

所述信息安全设备还包括第一运算处理单元，其配置为对所述第一无线通信组件收发的消息或指令进行对应的运算和处理。

8.如权利要求5所述的信息安全保护装置，其特征在于，所述安全验证组件包括：

存储单元，其用于存储认证信息和/或签名信息；

第二运算处理单元，其用于根据接收到的所述认证或签名请求并基于所述存储单元中存储的认证信息和/或签名信息进行与所述认证或签名处理相关的运算处理操作。

9.如权利要求5所述的信息安全保护装置，其特征在于，

所述第一无线通信组件和所述第二无线通信组件分别包括无线控制芯片及天线。

10.如权利要求5所述的信息安全保护装置，其特征在于，

所述第一无线通信组件和所述第二无线通信组件为蓝牙组件。

11.如权利要求5所述的信息安全保护装置，其特征在于，所述信息安全设备为加密锁。

12.如权利要求5所述的信息安全保护装置，其特征在于，所述无线设备还包括：

供电模块，其电连接到所述第二无线通信组件和安全验证组件以为其供电。

13.如权利要求12所述的信息安全保护装置，其特征在于，所述供电模块为蓄电池。

14.如权利要求12所述的信息安全保护装置，其特征在于，所述供电模块为锂电池。

Images