CN104573573A - 一种移动存储的数据保护系统及方法 - Google Patents

Abstract

本发明公开了一种移动存储的数据保护系统及方法，所述系统设置于移动存储设备内，且所述系统分为身份识别模块、NAND？FLASH存储模块、数据隐藏模块、数据恢复模块组成；身份识别模块读取身份认证信息并进行比较后将结果通过接口传输到移动存储设备，由移动存储设备保存到NAND？FLASH存储模块内；数据恢复模块进行无认证到已认证状态进行判断，处理；数据隐藏模块判断已认证到无认证状态。本发明所实现的移动存储的数据保护系统及方法是每次对存储设备插拔循环查询工作状态的一个过程，不断的查询和状态判断，命令的解析，目的是把数据隐藏、数据恢复、文件系统操作及PC机特点结合，实现智能化的插入检测。

Description

一种移动存储的数据保护系统及方法

技术领域

本发明涉及移动存储器，特别涉及移动存储的数据保护方法及装置。

背景技术

目前的数据保护设备中基本上都是利用PC软件技术及硬件加密的方式实现，传统的数据保护设备局限于磁盘内的加密软件和机械式开关，容易破解，存在很大的安全隐患，不能对所有数据进行保护，存在数据泄密的风险。

专利申请200810236803.1公开了一种移动存储装置及数据安全传输方法和系统。该装置基于智能卡技术改造后内置智能卡芯片、数据交换区与私密区，其中，数据交换区、私密区以及内网主机终端中的存储器结合配套软硬件实现无协议的纯数据安全传输，在此基础上加入用户授权机制实现了每次数据传输操作都是符合用户意愿的，有效的防止了病毒和木马的攻击。该发明分别通过指纹认证以及双向认证来保证用户身份的可信和内网主机终端与移动存储装置间的互信，实现了机密文件只有通过授权的用户在安全的环境中才能进行读取。最后，通过认证服务器中的审计数据库和指纹数据库对移动存储装置与内网终端间的相互操作进行访问日志记录，实现了移动存储装置持有者身份的可追溯。然而该方法不仅需要内网主机终端对移动终端的指纹认证，还需要设置认证服务器，将认证信息存储于认证服务器的审计数据库中，如果缺少该审计数据库，或者说不能连接认证服务器，则无法完成对移动终端的认证，因此，该方法难以得到应用和推广。

发明内容

因此，本发明的首要目地是提供一种移动存储的数据保护系统及方法，该系统及方法是利用指纹技术、文件系统进行多层过滤的数据保护装置及方法，仅仅利用移动存储，就可实现对数据安全的保护，从而实现了保护个人数据。

本发明的另一个目地在于提供一种移动存储的数据保护系统及方法，该系统及方法在移动存储设备硬件不改变的基础上，添加指纹识别系统，使移动存储设备具备唯一的身份认证，同时利用FAT32文件系统的特点，结合固件驱动程序，使整个系统具备多层数据保护功能；并把数据隐藏和数据恢复等功能做到驱动程序中使整个设备更简单且好维护。

为实现上述目的，本发明的技术方案为：

一种移动存储的数据保护系统，其特征在于所述系统设置于移动存储设备内，且所述系统分为身份识别模块、NAND FLASH存储模块、数据隐藏模块、数据恢复模块组成；身份识别模块、NAND FLASH存储模块、数据隐藏模块、数据恢复模块分别连接USB HOST，身份识别模块读取身份认证信息并进行比较后将结果通过接口传输到移动存储设备(USB HOST)，由移动存储设备保存到NAND FLASH存储模块内；数据恢复模块进行无认证到已认证状态进行判断，如果不同修改RAM中存放的DBR根目录所在的簇号，对PC及发送的读命令进行分段处理，防止回写处理，虚写处理；数据隐藏模块判断已认证到无认证状态，对身份信息确定为无认证后，通过处理发回给PC的数据，建立FAT映射变，对反馈给PC的数据进行处理，利并用FAT32根目录在数据区内可移动的特点动态建立卷标目录项，利用PC机回写特性进行防回写处理，将根目录卷标建立在需要保存的数据区后，从而达到数据隐藏的目的。

更进一步，所述身份识别模块主要由指纹图像采集、指纹图像预处理、指纹特征提取、指纹数据比较匹配、特征数据库几部分组成，指纹图像采集依次连接指纹图像预处理、指纹特征提取、指纹数据比较匹配、特征数据库；身份识别模块读取身份认证信息并进行比较，比较后将结果通过接口传输到移动存储设备，由移动存储设备保存到NAND FLASH存储模块内。

同时，NAND FLASH存储模块存储情况映射表、身份认证信息；为了减少FLASH内部FAT映射表的频繁更新，先在移动存储设备内部BUFFER内开辟出若干个512Bytes的缓冲区来保存FAT映射表；每次由已认证到非认证状态变化时，遍历FAT表并在缓冲区内建立所述FAT映射表，把FAT映射表写入FLASH进行更新，同时将身份认证信息进行标识，如1为认证状态，0为未认证状态。

再之，数据恢复模块，分为两个大的状态转换功能模块：无认证到已认证状态模块、已认证到已认证状态处理模块。无认证到已认证状态处理模块主要是对判断身份识别信息，如果不同修改RAM中存放的DBR根目录所在的簇号，对PC及发送的读命令进行分段处理，防止回写处理，虚写处理，在根目录中建立文件夹指向未认证状态时根目录所在的首簇，否则同未认证到未认证状态；已认证到已认证状态处理模块是正常处理方式，不对反馈给PC的数据处理。

同样，数据隐藏模块，分为两个大的状态转换功能模块：已认证到无认证状态模块、无认证到无认证状态处理模块。已认证到无认证状态模块是对身份信息确定为无认证后，通过处理发回给PC的数据，建立FAT映射变，利用读分段处理技术，虚拟写出来方法，对反馈给PC的数据进行处理，利用FAT32根目录在数据区内可移动的特点动态建立卷标目录项，利用PC机回写特性进行防回写处理，将根目录卷标建立在需要保存的数据区后，从而达到数据隐藏的目的。无认证到无认证状态处理模块。

因此，对于整个身份认证过程要经历4种状态：无认证到已认证状态、已认证到已认证状态、已认证到未认证状态、未认证到未认证状态。无认证到已认证状态是设备从PC机拔出前是没有得到身份认证的，重新插入PC后得到身份认证；已认证到已认证状态是设备从PC机拔出前得到身份认证的，重新插入PC后也得到身份认证；已认证到未认证状态是设备从PC机拔出前是得到身份认证的，重新插入PC后没有得到身份认证；未认证到未认证状态是设备从PC机拔出前是没有得到身份认证的，重新插入PC后也没有得到身份认证。

本发明所实现的一种移动存储的数据保护方法，该方法的具体步骤为：

201、移动存储设备连接PC机，完成初始化；初始化后、首先要获取移动存储设备已存储的身份信息；

所述获取移动存储设备已存储的身份信息，是指获取FAT映射表存储块地址后进行设备扫描获取移动存储设备关键区域地址(MBR区、DBR区、FAT区、ROOT区地址)，然后进行参数设置。

202、身份识别模块开始检测输入的身份信息，根据当前信息与已存储的信息进行比较结果，决定进入相应的状态处理模式；

身份信息已认证到无认证模式时建立FAT映射表并将映射表写入FLASH；已认证到无认证模式时读取FAT映射表计算出已使用的簇扇区数，定位建立新根目录所在的簇号；无认证到无认证模式时读取新建立的根目录使用情况表，根目录使用情况表在簇不连续时需要在FAT表中找新根目录后续簇做准备；已认证到已认证模式时不对数据做处理。

203、设置完成后设备进行USB枚举，建立与PC机的链接，连接成功整个系统开始对PC及发送的USB命令进行处理工作，否则等待状态。

204、设备开始工作，查询端口数据，解析指令，接收回传命令，解析数据，同时在查询连接状态。

所述移动存储设备进入已认证到无认证模式时，为了保护存储设备数据，到达隐藏数据的目的，要先遍历FAT映射表使用情况，利用FAT32文件系统根目录区在数据区内的位置可移动的特点，并据此在读命令下建立新根目录和根目录使用情况映射表，读取数据起始地址和结束地址可能落在移动存储设备的不同区域，由于此模式下需要对不同区域的数据进行不同的处理，所以需要对数据进行分段处理和分段返回。利用PC机回写的特点，在读取到移动存储设备缓存区的数据进行处理后出送给PC机；在PC机写数据时首先进行读操作，写数据同样需要采取分段处理，对写MBR区、DBR区、FAT区的数据进行虚写处理、数据防写及回写处理。

更进一步，所述移动存储设备进入已认证到无认证模式时，在PC机读命令下，通过扫描FAT映射表来定位无认证时卷标所在的簇号，并在已认证根目录下建立文件夹目录项，文件夹目录项子目录指向的簇为无认证时卷标所在的簇号，无认证时卷标的父目录项指向为认证时根目录所在的簇；对数据读写采取分段处理及数据处理方式(防写、虚写及回写)，处理方式同上。

当所述移动存储设备进入无认证到无认证模式时，根据PC机读命令定位新根目录所在簇，然后在写命令下进行数据防写及虚写处理，利用回写将新根目录簇号写入存储设备。

以上各个步骤中，所述移动存储设备根据202步骤检测的结果而分别进行的，设备每次拔插后都会进行上述各步骤操作。

本发明所实现的移动存储的数据保护系统及方法是每次对存储设备插拔循环查询工作状态的一个过程，不断的查询和状态判断，命令的解析，目的是把数据隐藏、数据恢复、文件系统操作及PC机特点结合，实现智能化的插入检测。

因此，该技术方案可以实现保护个人数据不被泄露，利用指纹识别系统实现对身份认证，充分考虑PC机读写移动存储设备的特点，利用指纹识别系统、FAT32文件系统特点及固件驱动程序结合起来实现数据保护的目的，实现对移动存储设备数据安全的保护。

附图说明

图1是本发明所实施的结构框图。

图2是本发明所实施的各个模块构成的示意图。

图3是本发明所实施FLASH的结构示意图。

图4是本发明所实施数据恢复模块的处理流程图。

图5是本发明所实施数据隐藏模块的处理流程图。

图6是本发明所实施数据处理模块的处理流程图。

图7是本发明所实施的软件控制流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

图1、图2所示，为本发明实施移动存储的数据保护系统的结构图。图中所示，该数据保护系统构包括有身份识别、NAND FLASH存储、数据隐藏、数据恢复等部分。实现身份认证的整个过程要经历4种状态：无认证到已认证状态、已认证到已认证状态、已认证到未认证状态、未认证到未认证状态。无认证到已认证状态是设备从PC机拔出前是没有得到身份认证的，重新插入PC后得到身份认证；已认证到已认证状态是设备从PC机拔出前得到身份认证的，重新插入PC后也得到身份认证；已认证到未认证状态是设备从PC机拔出前是得到身份认证的，重新插入PC后没有得到身份认证；未认证到未认证状态是设备从PC机拔出前是没有得到身份认证的，重新插入PC后也没有得到身份认证。

其中，身份识别模块主要由指纹图像采集、指纹图像预处理、指纹特征提取、指纹特征匹配、特征数据库等几部分组成。主要功能是读取身份认证信息并进行比较后将结果通过接口传输到移动存储设备，由移动存储设备保存到FLASH内。

NAND FLASH存储模块如图3所示，包括簇使用情况映射表、身份认证信息等。为了减少FLASH内部FAT映射表的频繁更新，先在主控内部BUFFER内开辟出若干个512Bytes的缓冲区来保存FAT映射表。每次由已认证到非认证状态变化时，遍历FAT表并在缓冲区内建立映射表，把映射表写入FLASH进行更新。

数据恢复模块，如图4所示，分为两个大的状态转换功能模块：无认证到已认证状态模块、已认证到已认证状态处理模块。无认证到已认证状态处理模块主要是对判断身份识别信息，如果不同修改RAM中存放的DBR根目录所在的簇号，对PC及发送的读命令进行分段处理，防止回写处理，虚写处理，在根目录中建立文件夹指向未认证状态时根目录所在的首簇，否则同未认证到未认证状态；已认证到已认证状态处理模块是正常处理方式，不对反馈给PC的数据处理。

数据隐藏模块，如图5所示，分为两个大的状态转换功能模块：已认证到无认证状态模块、无认证到无认证状态处理模块。已认证到无认证状态模块是对身份信息确定为无认证后，通过处理发回给PC的数据，建立FAT映射变，利用读分段处理技术，虚拟写出来方法，对反馈给PC的数据进行处理，利用FAT32根目录在数据区内可移动的特点动态建立卷标目录项，利用PC机回写特性进行防回写处理，将根目录卷标建立在需要保存的数据区后，从而达到数据隐藏的目的。无认证到无认证状态处理模块

图6所示，本发明实现移动存储的数据保护方法，具体包括如下步骤：

201、移动存储设备插入PC机，上电各个模块的初始化完成，获取移动存储设备已存储的身份信息，获取FAT映射表存储块地址后进行设备扫描获取移动存储设备关键区域地址(MBR区、DBR区、FAT区、ROOT区地址)，然后进行参数设置。

202、指纹检测模块开始检测输入的身份信息，根据当前信息与已存储的信息进行比较结果，决定进入相应的状态处理模式。已认证到无认证模式时建立FAT映射表并将映射表写入FLASH；已认证到无认证模式时读取FAT映射表计算出已使用的簇扇区数，定位建立新根目录所在的簇号；无认证到无认证模式时读取新建立的根目录使用情况表，根目录使用情况表在簇不连续时需要在FAT表中找新根目录后续簇做准备；已认证到已认证模式时不对数据做处理。

203、设置完成后设备进行USB枚举，建立与PC机的链接，连接成功整个系统开始对PC及发送的USB命令进行处理工作，否则等待状态。

204、设备开始工作，查询端口数据，解析指令，接收回传命令，解析数据，同时在查询连接状态。

205、设备进入已认证到无认证模式时，为了保护存储设备数据，到达隐藏数据的目的，要先遍历FAT映射表使用情况，利用FAT32文件系统根目录区在数据区内的位置可移动的特点，并据此在读命令下建立新根目录和根目录使用情况映射表，利用PC机对移动存储设备操作的任何操作之前先数据读取特点，读取数据起始地址和结束地址可能落在移动存储设备的不同区域，由于此模式下需要对不同区域的数据进行不同的处理，所以需要对数据进行分段处理和分段返回。利用PC机回写的特点，在读取到移动存储设备缓存区的数据进行处理后出送给PC机；在PC机写数据时首先进行读操作，写数据同样需要采取分段处理，对写MBR区、DBR区、FAT区的数据进行虚写处理、数据防写及回写处理。

206、设备进入已认证到无认证模式时，在PC机读命令下，通过扫描FAT映射表来定位无认证时卷标所在的簇号，并在已认证根目录下建立文件夹目录项，文件夹目录项子目录指向的簇为无认证时卷标所在的簇号，无认证时卷标的父目录项指向为认证时根目录所在的簇；对数据读写采取分段处理及数据处理方式(防写、虚写及回写)，处理方式同205。

207、设备进入无认证到无认证模式时，根据PC机读命令定位新根目录所在簇，然后在写命令下进行数据防写及虚写处理，利用回写将新根目录簇号写入存储设备。

208、以上205、206、207等步骤存储设备根据202检测的结果而分别进行的，设备每次拔插后都会进行上述各步骤操作。

209、数据保护系统是每次对存储设备插拔循环查询工作状态的一个过程，不断的查询和状态判断，命令的解析，目的是把数据隐藏、数据恢复、文件系统操作及PC机特点结合，实现智能化的插入检测。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种移动存储的数据保护系统，其特征在于所述系统设置于移动存储设备内，且所述系统分为身份识别模块、NAND FLASH存储模块、数据隐藏模块、数据恢复模块组成；身份识别模块、NAND FLASH存储模块、数据隐藏模块、数据恢复模块分别连接USB HOST，身份识别模块读取身份认证信息并进行比较后将结果通过接口传输到移动存储设备，由移动存储设备保存到NANDFLASH存储模块内；数据恢复模块进行无认证到已认证状态进行判断，如果不同修改RAM中存放的DBR根目录所在的簇号，对PC及发送的读命令进行分段处理，防止回写处理，虚写处理；数据隐藏模块判断已认证到无认证状态，对身份信息确定为无认证后，通过处理发回给PC的数据，建立FAT映射变，对反馈给PC的数据进行处理，利并用FAT32根目录在数据区内可移动的特点动态建立卷标目录项，利用PC机回写特性进行防回写处理，将根目录卷标建立在需要保存的数据区。

2.如权利要求1所述的移动存储的数据保护系统，其特征在于所述身份识别模块主要由指纹图像采集、指纹图像预处理、指纹特征提取、指纹数据比较匹配、特征数据库几部分组成，指纹图像采集依次连接指纹图像预处理、指纹特征提取、指纹数据比较匹配、特征数据库；身份识别模块读取身份认证信息并进行比较，比较后将结果通过接口传输到移动存储设备，由移动存储设备保存到NAND FLASH存储模块内。

3.如权利要求1所述的移动存储的数据保护系统，其特征在于NANDFLASH存储模块存储情况映射表、身份认证信息；为了减少FLASH内部FAT映射表的频繁更新，先在移动存储设备内部BUFFER内开辟出若干个512Bytes的缓冲区来保存FAT映射表；每次由已认证到非认证状态变化时，遍历FAT表并在缓冲区内建立所述FAT映射表，把FAT映射表写入FLASH进行更新，同时将身份认证信息进行标识。

4.如权利要求1所述的移动存储的数据保护系统，其特征在于数据恢复模块，分为两个大的状态转换功能模块：无认证到已认证状态模块、已认证到已认证状态处理模块；无认证到已认证状态处理模块主要是对判断身份识别信息，如果不同修改RAM中存放的DBR根目录所在的簇号，对PC及发送的读命令进行分段处理，防止回写处理，虚写处理，在根目录中建立文件夹指向未认证状态时根目录所在的首簇，否则同未认证到未认证状态；已认证到已认证状态处理模块是正常处理方式，不对反馈给PC的数据处理。

5.如权利要求1所述的移动存储的数据保护系统，其特征在于数据隐藏模块，分为两个大的状态转换功能模块：已认证到无认证状态模块、无认证到无认证状态处理模块；已认证到无认证状态模块是对身份信息确定为无认证后，通过处理发回给PC的数据，建立FAT映射变，利用读分段处理技术，虚拟写出来方法，对反馈给PC的数据进行处理，利用FAT32根目录在数据区内可移动的特点动态建立卷标目录项，利用PC机回写特性进行防回写处理，将根目录卷标建立在需要保存的数据区；无认证到无认证状态处理模块。

6.一种移动存储的数据保护方法，其特征在于该方法的实现步骤为：

201、移动存储设备连接PC机，完成初始化；初始化后、首先要获取移动存储设备已存储的身份信息；

202、身份识别模块开始检测输入的身份信息，根据当前信息与已存储的信息进行比较结果，决定进入相应的状态处理模式；

203、设置完成后设备进行USB枚举，建立与PC机的链接，连接成功整个系统开始对PC及发送的USB命令进行处理工作，否则等待状态。

204、设备开始工作，查询端口数据，解析指令，接收回传命令，解析数据，同时在查询连接状态。

7.如权利要求6所述的移动存储的数据保护方法，其特征在于201步骤中，所述获取移动存储设备已存储的身份信息，是指获取FAT映射表存储块地址后进行设备扫描获取移动存储设备关键区域地址，然后进行参数设置。

8.如权利要求6所述的移动存储的数据保护方法，其特征在于202步骤中，身份信息已认证到无认证模式时建立FAT映射表并将映射表写入FLASH；已认证到无认证模式时读取FAT映射表计算出已使用的簇扇区数，定位建立新根目录所在的簇号；无认证到无认证模式时读取新建立的根目录使用情况表，根目录使用情况表在簇不连续时需要在FAT表中找新根目录后续簇做准备；已认证到已认证模式时不对数据做处理。

9.如权利要求6所述的移动存储的数据保护方法，其特征在于所述204步骤后，所述移动存储设备进入已认证到无认证模式时，为了保护存储设备数据，到达隐藏数据的目的，要先遍历FAT映射表使用情况，利用FAT32文件系统根目录区在数据区内的位置可移动的特点，并据此在读命令下建立新根目录和根目录使用情况映射表，读取数据起始地址和结束地址可能落在移动存储设备的不同区域，由于此模式下需要对不同区域的数据进行不同的处理，所以需要对数据进行分段处理和分段返回。利用PC机回写的特点，在读取到移动存储设备缓存区的数据进行处理后出送给PC机；在PC机写数据时首先进行读操作，写数据同样需要采取分段处理，对写MBR区、DBR区、FAT区的数据进行虚写处理、数据防写及回写处理。

10.如权利要求9所述的移动存储的数据保护方法，其特征在于204步骤后，所述移动存储设备进入已认证到无认证模式时，在PC机读命令下，通过扫描FAT映射表来定位无认证时卷标所在的簇号，并在已认证根目录下建立文件夹目录项，文件夹目录项子目录指向的簇为无认证时卷标所在的簇号，无认证时卷标的父目录项指向为认证时根目录所在的簇；写数据同样需要采取分段处理，对写MBR区、DBR区、FAT区的数据进行虚写处理、数据防写及回写处理；当所述移动存储设备进入无认证到无认证模式时，根据PC机读命令定位新根目录所在簇，然后在写命令下进行数据防写及虚写处理，利用回写将新根目录簇号写入存储设备。