CN104200176A - 对智能移动终端中文件进行透明加解密的系统及方法 - Google Patents

Abstract

本发明涉及信息安全中的移动互联网应用安全领域，其公开了一种对智能移动终端中文件进行透明加解密的系统及方法，解决传统加解密方案存在的安全性不高、操作繁琐的问题。在本发明中，当用户请求访问移动终端的隐私文件时，移动终端首先与智能手环进行相互身份认证，并协商生成会话秘钥，在认证通过后获取智能手环发送的数据保护秘钥，挂载虚拟保密磁盘后，将保护秘钥设置到虚拟保护磁盘的读写过滤驱动模块，根据用户具体的请求类型对虚拟磁盘进行相应操作，从而实现了基于智能手环认证、对移动终端中文件进行透明加解密的方案。本发明适用于对移动终端文件进行访问控制。

Description

对智能移动终端中文件进行透明加解密的系统及方法

技术领域

本发明涉及信息安全中的移动互联网应用安全领域，具体的说，是涉及一种基于智能手环的安全认证和秘钥托管技术，实现对智能移动终端中文件进行透明加解密的系统和方法。

背景技术

随着移动互联网技术快速发展，移动终端已经进入了智能化时代，如：智能手机、平板电脑等。由于移动智能终端的便捷性，可以随时拍照、分享、甚至进行金融理财和办公业务，因此智能移动终端上承载着越来越多的个人隐私信息，如私密照片、各种私密文件等。移动终端一旦丢失，则可能会导致大量的私人信息被泄露。同时，用户使用移动智能终端上网时，也可能遭到病毒、木马等恶意程序的攻击，导致对移动终端上文件数据的安全性造成威胁。

当今市面上已经出现了各种针对移动终端中文件进行加解密的方案，这些方案大致可以分为两类：

1、访问控制技术：这类技术比较普遍的是采用虚拟磁盘技术，即将需要保护的文件放在虚拟磁盘的保护空间中，然后对虚拟磁盘的挂载等操作进行访问控制。这种实现方案，在技术上非常容易破解，安全性不高。

2、非透明的文件加解密技术：这种技术对需要保护的文件进行逐一加密，访问的时候，需要先将文件完全解密之后再正常打开使用。然而这种方案解密时间长，影响用户体验；其次是缺乏有效的密钥管理方法。

透明加解密技术是指数据在使用过程中自动对数据进行加密或解密操作，无需用户的干预，合法用户在使用加密的文件前，也不需要进行解密操作即可使用。表面看来，访问加密的文件和访问未加密的文件基本相同，对合法用户来说，这些加密文件是“透明的”，即好像没有加密一样，但对于没有访问权限的用户，即使通过其它非常规手段得到了这些文件，由于文件是加密的，因此也无法使用。由于动态透明加密技术不仅不改变用户的使用习惯，而且无需用户太多的干预操作即可实现文档的安全，因而近年来得到了广泛的关注。

因此，本发明有必要提出一种基于智能手环实现对智能移动终端中文件进行透明加解密的系统和方法，解决传统加解密方案存在的安全性不高、操作繁琐的问题。

发明内容

本发明所要解决的技术问题是：提出一种对智能移动终端中文件进行透明加解密的系统及方法，解决传统加解密方案存在的安全性不高、操作繁琐的问题。

本发明解决上述技术问题所采用的技术方案是：

对智能移动终端中文件进行透明加解密的系统，包括

智能手环，用于完成与智能移动终端之间的初始化配对，在完成初始化配对后与该智能移动终端绑定，协商手环与智能移动终端相互认证协议及相互认证材料,并生成用于对该智能移动终端相关信息进行保密存储的密钥对(P,S)，私钥S在手环中安全存储和使用；还用于在智能移动终端创建虚拟保密磁盘后，存储虚拟保密磁盘的信息及其保护密钥k_vd。

在收到智能移动终端发送的针对某个虚拟保密磁盘的加载请求后，手环对智能移动终端进行认证，并生成授权信息和一次性会话密钥k_s；然后，用授权信息调用私钥解密k_vd,最后，用会话密钥k_s加密k_vd后发送给智能移动终端。

智能移动终端，用于完成与智能手环之间的初始化配对，实现与该智能手环绑定；协商手环与智能移动终端相互认证协议及相互认证材料，并设定紧急口令E_pwd(用于手环丢失等不在手边的场景),还用于创建虚拟保密磁盘对用户隐私文件进行保护，生成k_vd，并分别安全保存到手环和移动终端。当用户请求访问隐私文件时，向智能手环发送获取虚拟保密磁盘的保护密钥k_vd的请求。智能移动终端向手环证明自己的合法身份后，与其协商一次性会话密钥k_s，计算生成调用私钥S的授权信息并发给智能手环。得到手环返回来的消息后，用会话密钥k_s解密得到保护密钥k_vd，加载虚拟保护磁盘并将k_vd设置到读写驱动模块，对用户的读写请求进行透明的解密和加密。

具体的，所述智能手环存储的虚拟保密磁盘相关信息包括：智能手环存储虚拟保密磁盘的ID，虚拟保密磁盘的保护密钥k_vd。

具体的，所述智能移动终端还用于，如果在用户请求访问虚拟保密磁盘时，无法连接到智能手环，则提示用户手动输入紧急口令E_pwd，在获得用户手动输入的紧急口令后，利用该口令对加密后的虚拟保密磁盘的保密密钥K_vd进行解密，并对解密后的密钥进行验证，如果验证通过则加载虚拟保密磁盘并设置保密密钥K_vd，对用户的读写请求进行透明的解密和加密。

具体的，所述智能移动终端对用户的读写请求进行透明的解密和加密,包括：

如果用户的请求为读请求，则先从虚拟保密磁盘中读取密文，并经过虚拟保密磁盘过滤驱动模块解密得到明文，再将明文返回给用户；

如果用户的请求为写请求，则将用户输入的明文传输给虚拟保密磁盘过滤驱动，并由虚拟保密磁盘过滤驱动模块对明文进行加密得到密文，再将密文存储到虚拟保密磁盘中。

此外，本发明的另一目的，还在于基于上述系统提出一种对智能移动终端中文件进行透明加解密的方法，此方法的前提是手机认证手环以后，用户已经进入手机进行操作，其方法包括以下步骤：

a.当用户请求访问智能移动终端中的隐私文件时，智能移动终端首先向与其绑定的智能手环发送身份认证请求并发送认证材料；

b.智能手环在收到身份认证请求后对认证材料进行验证；

c.验证通过后，智能移动终端与智能手环协商一次性会话密钥k_s，同时计算生成授权信息M_auth发送给智能手环；

d.智能手环得到授权信息M_auth后，请求调用私钥解密k_vd。最后，用会话密钥k_s加密k_vd后发送给智能移动终端；

e.智能移动终端用k_s解密智能手环返回的信息得到密钥k_vd，加载并将k_vd设置到虚拟保护磁盘的读写驱动模块，对用户的读写请求进行透明的解密和加密。

具体的，步骤a中，所述当用户请求访问智能移动终端中的隐私文件时，智能移动终端会将虚拟保密磁盘的ID号和请求信息发送智能手环。

具体的，步骤a中还包括：

在用户请求访问虚拟保密磁盘时，如果无法连接到智能手环，则提示用户手动输入紧急口令E_pwd，在获得用户手动输入的紧急口令后，利用该口令对加密后的虚拟保密磁盘的保密密钥K_vd进行解密，并对解密后的密钥进行验证，如果验证通过则加载虚拟保密磁盘并设置保密密钥K_vd，对用户的读写请求进行透明的解密和加密。

具体的，步骤e中，所述对用户的读写请求进行透明的解密和加密，包括：

如果用户的请求为读请求，则先从虚拟保密磁盘中读取密文，并经过虚拟保密磁盘过滤驱动解密得到明文，再将明文返回给用户；

如果用户的请求为写请求，则将用户输入的明文传输给虚拟保密磁盘过滤驱动，并由虚拟保密磁盘过滤驱动对明文进行加密得到密文，再将密文存储到虚拟保密磁盘中。

本发明的有益效果是：

1)采用了透明加解密技术，对于移动终端用户，不需要改变使用习惯，减少了用户的干预，达到实时、高效加解密效果；

2)通过智能手环对虚拟保密磁盘密钥进行管理，在移动终端请求密钥前对智能手环的身份信息进行自动认证，增加了安全性；

3)在手环认证丢失等情况下，用户可以手动输入紧急口令E_pwd来解密磁盘密钥，也增加了使用的灵活性；由于紧急口令E_pwd使用的频率较低，因此可以提高该口令的长度要求，增加安全性，并不会对易用性产生大的影响。

附图说明

图1为本发明中的对智能移动终端中文件进行透明加解密的系统示意图；

图2为虚拟保密磁盘文件结构图；

图3为本发明实施例中对智能移动终端中文件进行透明加解密方法流程图。

具体实施方式

本发明旨在提出一种对智能移动终端中文件进行透明加解密的系统及方法，解决传统加解密方案存在的安全性不高、操作繁琐的问题。

如图1所示，本发明中的对智能移动终端中文件进行透明加解密的系统包括：

智能手环，用于完成与智能移动终端之间的初始化配对，在完成初始化配对后与该智能移动终端绑定，协商手环与智能移动终端相互认证协议及相互认证材料，并生成用于对该智能移动终端相关信息进行保密存储的密钥对(P,S)，私钥S在手环中安全存储和使用；还用于在智能移动终端创建虚拟保密磁盘后，存储虚拟保密磁盘的信息及其解密密钥k_vd。

在收到智能移动终端发送的针对某个虚拟保密磁盘的加载请求后，手环对智能移动终端进行认证，并生成授权信息和一次性会话密钥k_s；然后，用授权信息调用私钥解密k_vd。最后，用会话密钥k_s加密k_vd后发送给智能移动终端。

智能移动终端，用于完成与智能手环之间的初始化配对，实现与该智能手环绑定；协商手环与智能移动终端相互认证协议及相互认证材料。还用于创建虚拟保密磁盘对用户隐私文件进行保护，生成k_vd，并分别安全保存到手环和手机端。当用户请求访问隐私文件时，向智能手环发送获取虚拟保密磁盘的保护密钥k_vd的请求。智能移动终端向手环证明自己的合法身份后，与其协商一次性会话密钥k_s，计算生成调用私钥S的授权信息并发给智能手环。得到手环返回来的消息后，用会话密钥k_s解密得到保护密钥k_vd，加载虚拟保护磁盘并将k_vd设置到读写驱动模块，对用户的读写请求进行透明的解密和加密。

本发明中所述的“虚拟保密磁盘”是相对于硬件磁盘的虚拟存储空间，我们这里沿用了这种说法，在Android系统中，虚拟保密磁盘是在存储区中生成的一个文件，用来存放多个加密文件。每次用户访问被保护的文字时，需要挂载该文件为一个虚拟保密磁盘，并设置正确的保护秘钥，否则无法访问文件中的内容。当用户创建虚拟保密磁盘时，需产生一个保护该虚拟保密磁盘的保护秘钥，此保护密码即为针对该虚拟保密磁盘进行透明加解密的密钥。为了避免单一密钥带来的不安全因素，该系统为每个虚拟保密磁盘单独分配密钥，提高安全性。当然，每个虚拟保密磁盘也都分配有唯一的ID号用于区分。

虚拟保密磁盘的文件结构如图2所示，其包括虚拟保密磁盘文件头和数据加密区两部分：文件头部分，保存了{Hmac,E_pk{k_vd},E_h(_pwd)(k_vd),offset}，其中Hmac是数据的摘要，用于校验文件头部分是否被篡改。K_vd是针对文件透明加解密的密钥。E_pk{k_vd}和E_h(_pwd)(k_vd)则分别是采用手环公钥和用户口令哈希值作为密钥采用加密算法加密后的K_vd信息。Offset是数据区的偏移位置。为对密钥进行保护以保证安全性，本发明中将{Hmac,E_pk{k_vd},E_h(_pwd)(k_vd),offset}数据同时备份一份到手环上面，即通过手环对密钥进行管理。

下面以一个具体的实例来阐述基于上述系统对智能移动终端中文件进行透明加解密方法，如图3所示，其具体包括以下实现步骤：

1.当用户请求访问智能移动终端中的隐私文件时，智能移动终端首先向与其绑定的智能手环发送身份认证请求并发送认证材料；

2.智能手环在收到身份认证请求后对认证材料进行验证；

3.验证通过后，智能移动终端与智能手环协商一次性会话密钥k_s，同时计算生成授权信息发送给智能手环；在所述步骤1的请求中包含了本次用户期望访问的隐私文件对应虚拟保密磁盘的ID号；而如果认证未通过，则为了便于用户进行灵活操作，本例中还设置了手动验证方式，即通过提示用户输入紧急用户口令来解密虚拟保密磁盘的保护密钥K_vd，并对解密后的密钥进行验证，如果验证通过则加载虚拟保密磁盘并设置保密密钥K_vd，对用户的读写请求进行透明的解密和加密。

4.智能手环得到授权信息后，请求调用私钥解密k_vd。最后，用会话密钥k_s加密k_vd后发送给智能移动终端；

5.智能移动终端用k_s解密智能手环返回的信息得到密钥k_vd，加载并将k_vd设置到虚拟保护磁盘的读写驱动模块，对用户的读写请求进行透明的解密和加密。

在上述步骤3和步骤5中，所述的根据用户的具体请求类型对虚拟保密磁盘进行相应操作具体内容如下：

如果用户的请求为读请求，则先从虚拟保密磁盘中读取密文，并经过虚拟保密磁盘过滤驱动解密得到明文，再将明文返回给用户；

如果用户的请求为写请求，则将用户输入的明文传输给虚拟保密磁盘过滤驱动，并由虚拟保密磁盘过滤驱动对明文进行加密得到密文，再将密文存储到虚拟保密磁盘中。

这里的虚拟保密磁盘驱动程序加解密的核心所在，其处于应用程序之下，文件系统之上。当应用启动时，虚拟保密磁盘先做初始化工作。这些工作都是在驱动程序的入口函数中完成。

Claims (8)

1.对智能移动终端中文件进行透明加解密的系统，其特征在于，包括

智能手环，用于完成与智能移动终端之间的初始化配对，在完成初始化配对后与该智能移动终端绑定，协商手环与智能移动终端相互认证协议及相互认证材料,并生成用于对该智能移动终端相关信息进行保密存储的密钥对(P,S)，私钥S在手环中安全存储和使用；还用于在智能移动终端创建虚拟保密磁盘后，存储虚拟保密磁盘的信息及其保护密钥k_vd；

在收到智能移动终端发送的针对某个虚拟保密磁盘的加载请求后，手环对智能移动终端进行认证，并生成授权信息和一次性会话密钥k_s；然后，用授权信息调用私钥解密k_vd,最后，用会话密钥k_s加密k_vd后发送给智能移动终端；

智能移动终端，用于完成与智能手环之间的初始化配对，实现与该智能手环绑定；协商手环与智能移动终端相互认证协议及相互认证材料，并设定紧急口令E_pwd,还用于创建虚拟保密磁盘对用户隐私文件进行保护，生成k_vd，并分别安全保存到手环和移动终端；当用户请求访问隐私文件时，向智能手环发送获取虚拟保密磁盘的保护密钥k_vd的请求；智能移动终端向手环证明自己的合法身份后，与其协商一次性会话密钥k_s，计算生成调用私钥S的授权信息并发给智能手环；得到手环返回来的消息后，用会话密钥k_s解密得到保护密钥k_vd，加载虚拟保护磁盘并将k_vd设置到读写驱动模块，对用户的读写请求进行透明的解密和加密。

2.如权利要求1所述的对智能移动终端中文件进行透明加解密的系统，其特征在于，所述智能手环存储的虚拟磁盘的信息包括：智能手环存储虚拟保密磁盘的ID，虚拟保密磁盘的保护密钥k_vd。

3.如权利要求1所述的对智能移动终端中文件进行透明加解密的系统，其特征在于，所述智能移动终端还用于，如果对智能手环反馈的数字证书认证不通过，则提示用户手动输入口令，在获得用户手动输入的口令后，利用口令对加密后的虚拟磁盘密钥进行解密，并对解密后的密钥进行验证，如果验证通过则加载虚拟磁盘，并根据用户的具体请求类型对虚拟磁盘进行相应操作。

4.如权利要求1-3任意一项所述的对智能移动终端中文件进行透明加解密的系统，其特征在于，所述智能移动终端根据用户的具体请求类型对虚拟磁盘进行相应操作，包括：

如果用户的请求为读请求，则先从虚拟保密磁盘中读取密文，并经过虚拟保密磁盘过滤驱动模块解密得到明文，再将明文返回给用户；

如果用户的请求为写请求，则将用户输入的明文传输给虚拟保密磁盘过滤驱动，并由虚拟保密磁盘过滤驱动模块对明文进行加密得到密文，再将密文存储到虚拟保密磁盘中。

5.对智能移动终端中文件进行透明加解密的方法，其特征在于，包括以下步骤：

a.当用户请求访问智能移动终端中的隐私文件时，智能移动终端首先向与其绑定的智能手环发送身份认证请求并发送认证材料；

b.智能手环在收到身份认证请求后对认证材料进行验证；

c.验证通过后，智能移动终端与智能手环协商一次性会话密钥k_s，同时计算生成授权信息M_auth发送给智能手环；

d.智能手环得到授权信息M_auth后，请求调用私钥解密k_vd，最后，用会话密钥k_s加密k_vd后发送给智能移动终端；

e.智能移动终端用ks解密智能手环返回的信息得到密钥k_vd，加载并将k_vd设置到虚拟保护磁盘的读写驱动模块，对用户的读写请求进行透明的解密和加密。

6.如权利要求5所述的对智能移动终端中文件进行透明加解密的方法，其特征在于，步骤a中，所述当用户请求访问智能移动终端中的隐私文件时，智能移动终端会将虚拟保密磁盘的ID号和请求信息发送智能手环。

7.如权利要求5所述的对智能移动终端中文件进行透明加解密的方法，其特征在于，步骤a中还包括：

在用户请求访问虚拟保密磁盘时，如果无法连接到智能手环，则提示用户手动输入紧急口令E_pwd，在获得用户手动输入的紧急口令后，利用该口令对加密后的虚拟保密磁盘的保密密钥K_vd进行解密，并对解密后的密钥进行验证，如果验证通过则加载虚拟保密磁盘并设置保密密钥K_vd，对用户的读写请求进行透明的解密和加密。

8.如权利要求5-7任意一项所述的对智能移动终端中文件进行透明加解密的方法，其特征在于，步骤e中，所述对用户的读写请求进行透明的解密和加密，包括：

如果用户的请求为读请求，则先从虚拟保密磁盘中读取密文，并经过虚拟保密磁盘过滤驱动解密得到明文，再将明文返回给用户；

如果用户的请求为写请求，则将用户输入的明文传输给虚拟保密磁盘过滤驱动，并由虚拟保密磁盘过滤驱动对明文进行加密得到密文，再将密文存储到虚拟保密磁盘中。