CN105243332A - 加密方法及装置、内核加密数据的操作方法及装置 - Google Patents

Abstract

本发明公开了一种加密方法及装置、内核加密数据的操作方法及装置。其中，该加密方法包括：获取终端的设备标识；根据该设备标识，在系统内核生成内核加密算法；在系统内核，调用该内核加密算法对该终端中指定的数据文件进行初始化加密。

Description

加密方法及装置、内核加密数据的操作方法及装置

技术领域

本发明涉及计算机及通信技术领域，具体而言，涉及一种加密方法及装置、内核加密数据的操作方法及装置。

背景技术

在云计算系统中，瘦终端本地的存储设备上会存储用户的一部分数据，当部分数据文件被拷贝到别的终端或个人电脑(pc)、以及非法用户将瘦终端的存储设备直接拆除到别的终端时，这些数据信息将可以被直接读取，从而存在信息被泄露的风险。

目前，瘦终端上的数据保护主要通过以下两种方式进行：

一、通过远程管理中心对瘦终端进行权限控制的方式。但这种方法主要存在以下缺点：1)对于将瘦终端上的数据文件直接拷贝到别的机器上不能进行保护；2)对于将瘦终端上的存储设备拆除下来放到别的机器上也无法进行保护。

二、通过加密软件对目标文件进行手动加密，但这种方法存在以下缺点：1)由于这些加密软件都是通过应用层软件对文件本身进行加密，所以容易被破解，安全级别不够；2)加密不能跟特定终端绑定，不能满足终端与数据的一一对应保护；3)在第三方软件要使用加密过的文件时，还需要用户提前手工解密后才能被第三方软件读取，效率较低，使用不方便，特别是对于一些由操作系统和第三方软件自动读写的文件，由于这些操作可能是后台进行读写，用户也无法在中间插入手工解密的过程。

针对相关技术存在的瘦终端上的数据保护存在的上述问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中加密不能跟特定终端绑定，不能满足终端与数据的一一对应保护的问题，本发明提供了一种加密方法及装置、内核加密数据的操作方法及装置，以至少解决上述问题。

根据本发明的一个方面，提供了一种加密方法，包括：获取终端的设备标识；根据所述设备标识，在系统内核生成内核加密算法；在系统内核，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密。

可选地，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密，包括：根据设定的保护目录、保护文件或保护存储设备，调用所述内核加密算法，对所述终端中指定的保护目录、保护文件或保护存储设备的数据进行初始化加密。

可选地，在系统内核生成内核加密算法之后，所述方法还包括：在系统内核生成与所述内核加密算法对应的内核解密算法。

可选地，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密之后，所述方法还包括：在内核文件驱动上层监测对初始化加密后的所述数据文件进行读或写的操作请求；在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端，如果不是，则拒绝所述操作请求，如果是，则执行所述操作请求。

可选地，执行所述操作请求包括：如果所述操作请求为文件读取请求，则执行所述内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区；如果所述操作请求为文件写入请求，则调用所述内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件。

根据本发明的另一个方面，提供了一种内核加密数据的操作方法，包括：在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求；在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端，如果不是，则拒绝所述操作请求，如果是，则执行所述操作请求。

可选地，执行所述操作请求包括：如果所述操作请求为文件写入请求，则在系统内核调用内核加密算法对待写入的数据进行加密，并将加密后的数据写入文件，其中，所述内核加密算法为在对所述数据进行初始化加密时，根据存储所述数据的终端的设备标识创建的；如果所述操作请求为文件读取请求，则执行内核解密算法，对请求读取的数据进行解密，将解密后的数据存储在内核文件缓冲区，其中，所述内核解密算法与所述内核加密算法对应。

可选地，在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求包括：在系统内核设置所述初始化加密后的数据的写事件及读事件监控标识；根据所述写事件及读事件监控标识，在系统文件驱动上层启动写请求或读请求监控。

根据本发明的又一个方面提供了一种加密装置，包括：获取模块，用于获取终端的设备标识；生成模块，用于根据所述设备标识，在系统内核生成内核加密算法；加密模块，用于在系统内核，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密。

可选地，所述生成模块还用于在系统内核生成与所述内核加密算法对应的内核解密算法。

可选地，还包括：监测模块，用于在内核文件驱动上层监测对初始化加密后的所述数据文件进行读或写的操作请求；判断模块，用于在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端；拒绝模块，用于在判断所述当前设备不是授权终端时，拒绝所述操作请求；执行模块，用于在判断所述当前设备是授权终端时，执行所述操作请求。

可选地，所述执行模块包括：操作请求识别单元，用于识别所述操作请求为文件读取请求还是文件写请求；执行单元，用于在所述操作请求为读请求时，执行所述内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区，在所述操作请求为文件写入请求时，调用所述内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件。

根据本发明的又一个方面，提供了一种内核加密数据的操作装置，包括：监测模块，用于在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求；判断模块，用于在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端；拒绝模块，用于在判断所述当前设备不是授权终端时，拒绝所述操作请求；执行模块，用于在判断所述当前设备是授权终端时，执行所述操作请求。

可选地，所述执行模块包括：操作请求识别单元，用于识别所述操作请求为文件读取请求还是文件写请求；执行单元，用于在所述操作请求为读请求时，执行内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区，在所述操作请求为文件写入请求时，调用内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件，其中，所述内核加密算法为在对所述数据进行初始化加密时，根据存储所述数据的终端的设备标识创建的，所述内核解密算法与所述内核加密算法对应。

可选地，所述监测模块包括：设置单元，用于在系统内核设置所述初始化加密后的数据的写事件及读事件监控标识；监控单元，用于根据所述写事件及读事件监控标识，在系统文件驱动上层启动对写请求或读请求的监控。

通过本发明，根据终端的设备标识生成内核加密算法，在系统内核，通过内核加密算法对数据进行初始化加密，加密与特定终端绑定，实现了终端与数据的一一对应保护，即使将终端上的存储设备拆除下来放到别的机器上也无法进行解密，保证了数据的安全。并且，通过在系统内核而不是通过应用层软件对数据进行加密，不容易被破解，提升了数据的安全性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的加密方法的流程图；

图2是根据本发明实施例的加密装置的结构示意图；

图3是根据本发明可选实施例的加密装置的结构示意图；

图4是根据本发明实施例的内核加密数据的操作方法流程图；

图5是根据本发明实施例的内核加密数据的操作装置的结构示意图；

图6是初始化内核加解密模块以及对数据进行初始化加密的流程图；

图7是内核文件驱动读写过滤及加解密模块初始化过程的流程图；

图8是文件读取的解密操作的流程图；

图9是文件写入的加密操作的流程图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

图1是根据本发明实施例的加密方法的流程图，如图1所示，该加密方法主要包括以下步骤(步骤S102-步骤S106)：

步骤S102，获取终端的设备标识。

在具体实施过程中，终端的设备标识是唯一的，通过终端的设备标识，可以区分不同的终端。

步骤S104，根据所述设备标识，在系统内核生成内核加密算法。

在本发明实施例中，根据终端的设备标识生成内核加密算法(也可以称为内核加密模块)，由于设备标识是唯一的，因此，根据终端的设备标识生成的内核加密算法可以实现终端与数据的一一对应保护。

步骤S106，在系统内核，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密。

在具体实施过程中，用户可以设定的保护目录、保护文件或保护存储设备，即，可以直接将整个目录中的数据进行保护，也可以保护指定的单个文件，也可以设定需要保护某个存储设备，即保护该存储设备中存储的所有数据，根据用户的设定，调用上述内核加密算法，对终端中指定的数据进行初始化加密。

采用本发明实施例提供的上述方法进行加密，可以实现存储设备或数据在脱离原终端的情况下无法被读写的安全保护功能。

在本发明实施例的可选实施方案中，在系统内核生成内核加密算法之后，还可以在系统内核生成与所述内核加密算法对应的内核解密算法。从而可以对初始化加密的数据进行解密。

在本发明实施例的可选实施方案中，在调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密之后，所述方法还包括：在内核文件驱动上层监测对初始化加密后的所述数据文件进行读或写的操作请求；在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端，如果不是，则拒绝所述操作请求，如果是，则执行所述操作请求。

可选地，执行所述操作请求可以包括：如果所述操作请求为文件读取请求，则执行所述内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区；如果所述操作请求为文件写入请求，则调用所述内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件。

通过本发明实施例提供的技术方案采用结合终端独有设备ID对指定数据进行自动加解密的方法实现数据安全保护，特别是当数据文件或存储设备被非法用户获取后也能实现脱机保护的作用，能针对高安全要求的用户提供终端本地数据的额外保护。

与上述加密方法对应，本发明实施例还提供了一种加密装置，该装置可以位于终端，或者，也可以作为与终端连接的第三方设备。

图2为根据本发明实施例的加密装置的结构示意图，如图2所示，主要包括：获取模块20，用于获取终端的设备标识；生成模块22，与获取模块20连接，用于根据所述设备标识，在系统内核生成内核加密算法；加密模块24，与生成模块22连接，用于在系统内核，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密。

在本发明实施例的一个可选实施方案中，所述生成模块22还用于在系统内核生成与所述内核加密算法对应的内核解密算法。

在本发明实施例的一个可选实施方式中，如图3所示，该装置还可以包括：监测模块30，用于在内核文件驱动上层监测对初始化加密后的所述数据文件进行读或写的操作请求；判断模块32，用于在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端；拒绝模块34，用于在判断所述当前设备不是授权终端时，拒绝所述操作请求；执行模块36，用于在判断所述当前设备是授权终端时，执行所述操作请求。

进一步，在本发明实施例可选实施方式中，所述执行模块36可以包括：操作请求识别单元，用于识别所述操作请求为文件读取请求还是文件写请求；执行单元，用于在所述操作请求为读请求时，执行所述内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区，在所述操作请求为文件写入请求时，调用所述内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件。

与上述加密方法对应，本发明实施例还提供了一种内核加密数据的操作方法，用于对经上述加密方法进行加密的数据进行操作。

图4为根据本发明实施例的内核加密数据的操作方法流程图，如图4所示，主要包括以下步骤(步骤S402-步骤S408)：

步骤S402，在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求。

在本发明实施例中，可以通过对初始化加密后的数据设置写事件及读事件监控标识，然后根据所述写事件及读事件监控标识，在系统文件驱动上层启动写请求或读请求监控。

步骤S404，在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端，如果不是，则执行步骤S406，否则，执行步骤S408。

步骤S406，拒绝所述操作请求。

步骤S408，执行所述操作请求。

在本发明实施例的一个可选实施方式中，执行所述操作请求包括：如果所述操作请求为文件写入请求，则在系统内核调用内核加密算法对待写入的数据进行加密，并将加密后的数据写入文件，其中，所述内核加密算法为在对所述数据进行初始化加密时，根据存储所述数据的终端的设备标识创建的；如果所述操作请求为文件读取请求，则执行内核解密算法，对请求读取的数据进行解密，将解密后的数据存储在内核文件缓冲区，其中，所述内核解密算法与所述内核加密算法对应。

根据本发明实施例，还提供一种内核加密数据的操作装置，用于实现上述内核加密数据的操作方法。

图5为根据本发明实施例的内核加密数据的操作装置的结构示意图，如图5所示，主要包括：监测模块50，用于在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求；判断模块52，用于在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端；拒绝模块54，用于在判断所述当前设备不是授权终端时，拒绝所述操作请求；执行模块56，用于在判断所述当前设备是授权终端时，执行所述操作请求。

可选地，所述执行模块可以包括：操作请求识别单元，用于识别所述操作请求为文件读取请求还是文件写请求；执行单元，用于在所述操作请求为读请求时，执行内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区，在所述操作请求为文件写入请求时，调用内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件，其中，所述内核加密算法为在对所述数据进行初始化加密时，根据存储所述数据的终端的设备标识创建的，所述内核解密算法与所述内核加密算法对应。

可选地，所述监测模块可选包括：设置单元，用于在系统内核设置所述初始化加密后的数据的写事件及读事件监控标识；监控单元，用于根据所述写事件及读事件监控标识，在系统文件驱动上层启动对写请求或读请求的监控。

下面以瘦终端为例，对本发明实施例提供的技术方案进行说明。

根据本发明实施例提供的技术方案，可以在瘦终端中实现用户敏感数据脱机安全的方法，该方法可以包括以下步骤：

1、初始化内核加解密模块(即内核加解算法)，对数据进行初始化加密，如图6所示，其可以包括以下4个步骤：

步骤S601，自动读取瘦终端特有的设备ID。

步骤S602，根据设备ID创建内核加密模块。

步骤S603，创建内核解密模块。

步骤S604，根据用户设定的文件或目录或存储驱动器调用内核加密模块进行初始化加密。

2、内核文件驱动读写过滤及加解密模块初始化过程，如图7所示，其可以包括以下步骤：

步骤S701，设置内核文件read事件监控标志。

步骤S702，设置内核文件write事件监控标志。

步骤S703，将内核文件过滤及加解密模块挂载到系统文件驱动上层。

步骤S704，启动read、write请求监控。

3、对内核文件进行读写操作，调用内核文件驱动读写过滤模块及加解密模块，其可以包括以下步骤：

1)初始化内核文件驱动读写过滤模块，并挂接到内核文件驱动上层。

2)对于文件读取的解密操作，如图8所示，内核文件驱动读写过滤模块拦截内核的文件读取请求(步骤S801)，根据当前设备ID判断是否是授权终端(步骤S802)，如果是则执行内核解密模块，完成数据解密(步骤S803)，解密后数据直接位于内核文件缓冲区，可以由应用层软件直接读取也可以向应用层返回解密后的数据(步骤S804)；如果设备ID非法，则拒绝解密，将内核读取请求返回失败(步骤S805)，向应用层返回失败(步骤S806)，此时应用软件读取文件提示失败。

3)对于文件写入的加密操作，如图9所示，内核文件驱动读写过滤模块拦截内核的文件写入请求(步骤S901)，根据当前设备ID是否为授权设备ID(步骤S902)，如果是则调用内核加密模块执行数据加密(步骤S903)，并将加密后数据写入文件(步骤S904)；如果当前设备ID非法则将内核文件写入请求返回失败(步骤S905)，向应用层返回失败(步骤S906)，此时应用软件写入文件提示失败。

下面通过对瘦终端的数据进行加密并执行读或写操作，对本发明实施例提供的技术方案进行描述。在本发明实施例中，对瘦终端的数据进行加密并执行读或写操作主要包括以下步骤：

步骤1：读取瘦终端特有的设备ID。根据设备ID创建内核加密模块(即上述的内核加密算法)并加装到系统内核层。

步骤2：创建内核解密模块(即上述的内核解密算法)并加载到系统内核层。

步骤3：根据用户设定的保护目录或文件或存储驱动器调用内核加密模块对数据进行初始化加密。

步骤4：设置内核文件read、write事件监控标志

步骤5：将内核文件过滤及加解密模块挂载到系统文件驱动上层

步骤6：启动read、write请求监控

步骤7：当过滤模块拦截内核的文件读取请求，根据当前设备ID判断是否是授权终端，如果是则执行内核解密模块，完成数据解密，解密后数据直接位于内核文件缓冲区，可以由应用层软件直接读取；如果设备ID非法，则拒绝解密，将内核读取请求返回失败，此时应用软件读取文件提示失败。

步骤8：过滤模块拦截内核的文件写入请求，根据当前设备ID是否为授权设备ID，如果是则调用内核加密模块执行数据加密，并将加密后数据写入文件；如果当前设备ID非法则将内核文件写入请求返回失败，此时应用软件写入文件提示失败。

从以上的描述中，可以看出，在本发明实施例中，根据终端的设备标识生成内核加密算法，在系统内核，通过内核加密算法对数据进行初始化加密，加密与特定终端绑定，实现了终端与数据的一一对应保护，即使将终端上的存储设备拆除下来放到别的机器上也无法进行解密，保证了数据的安全。并且，通过在系统内核而不是通过应用层软件对数据进行加密，不容易被破解，提升了数据的安全性。另外，本发明实施例的加解密操作在系统内核完成，从而可以自动对数据进行加解密，而不需要用户手动执行，从而提高了效率，也方便使用。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (15)

1.一种加密方法，其特征在于，包括：

获取终端的设备标识；

根据所述设备标识，在系统内核生成内核加密算法；

在系统内核，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密。

2.根据权利要求1所述的方法，其特征在于，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密，包括：

根据设定的保护目录、保护文件或保护存储设备，调用所述内核加密算法，对所述终端中指定的保护目录、保护文件或保护存储设备的数据进行初始化加密。

3.根据权利要求1或2所述的方法，其特征在于，在系统内核生成内核加密算法之后，所述方法还包括：

在系统内核生成与所述内核加密算法对应的内核解密算法。

4.根据权利要求3所述的方法，其特征在于，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密之后，所述方法还包括：

在内核文件驱动上层监测对初始化加密后的所述数据文件进行读或写的操作请求；

在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端，如果不是，则拒绝所述操作请求，如果是，则执行所述操作请求。

5.根据权利要求4所述的方法，其特征在于，执行所述操作请求包括：

如果所述操作请求为文件读取请求，则执行所述内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区；

如果所述操作请求为文件写入请求，则调用所述内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件。

6.一种内核加密数据的操作方法，其特征在于，包括：

在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求；

在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端，如果不是，则拒绝所述操作请求，如果是，则执行所述操作请求。

7.根据权利要求6所述的方法，其特征在于，执行所述操作请求包括：

如果所述操作请求为文件写入请求，则在系统内核调用内核加密算法对待写入的数据进行加密，并将加密后的数据写入文件，其中，所述内核加密算法为在对所述数据进行初始化加密时，根据存储所述数据的终端的设备标识创建的；

如果所述操作请求为文件读取请求，则执行内核解密算法，对请求读取的数据进行解密，将解密后的数据存储在内核文件缓冲区，其中，所述内核解密算法与所述内核加密算法对应。

8.根据权利要求6所述的方法，其特征在于，在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求包括：

在系统内核设置所述初始化加密后的数据的写事件及读事件监控标识；

根据所述写事件及读事件监控标识，在系统文件驱动上层启动写请求或读请求监控。

9.一种加密装置，其特征在于，包括：

获取模块，用于获取终端的设备标识；

生成模块，用于根据所述设备标识，在系统内核生成内核加密算法；

加密模块，用于在系统内核，调用所述内核加密算法对所述终端中指定的数据文件进行初始化加密。

10.根据权利要求9所述的装置，其特征在于，所述生成模块还用于在系统内核生成与所述内核加密算法对应的内核解密算法。

11.根据权利要求10所述的装置，其特征在于，还包括：

监测模块，用于在内核文件驱动上层监测对初始化加密后的所述数据文件进行读或写的操作请求；

判断模块，用于在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端；

拒绝模块，用于在判断所述当前设备不是授权终端时，拒绝所述操作请求；

执行模块，用于在判断所述当前设备是授权终端时，执行所述操作请求。

12.根据权利要求11所述的装置，其特征在于，所述执行模块包括：

操作请求识别单元，用于识别所述操作请求为文件读取请求还是文件写请求；

执行单元，用于在所述操作请求为读请求时，执行所述内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区，在所述操作请求为文件写入请求时，调用所述内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件。

13.一种内核加密数据的操作装置，其特征在于，包括：

监测模块，用于在内核文件驱动上层监测对初始化加密后的数据进行读或写的操作请求；

判断模块，用于在监测到所述操作请求时，根据执行所述操作请求的当前设备的设备标识，判断所述当前设备是否为授权终端；

拒绝模块，用于在判断所述当前设备不是授权终端时，拒绝所述操作请求；

执行模块，用于在判断所述当前设备是授权终端时，执行所述操作请求。

14.根据权利要求13所述的装置，其特征在于，所述执行模块包括：

操作请求识别单元，用于识别所述操作请求为文件读取请求还是文件写请求；

执行单元，用于在所述操作请求为读请求时，执行内核解密算法，对请求读取的文件数据进行解密，将解密后的数据存储在内核文件缓冲区，在所述操作请求为文件写入请求时，调用内核加密算法对待写入的文件数据进行加密，并将加密后的数据写入文件，其中，所述内核加密算法为在对所述数据进行初始化加密时，根据存储所述数据的终端的设备标识创建的，所述内核解密算法与所述内核加密算法对应。

15.根据权利要求13或14所述的装置，其特征在于，所述监测模块包括：

设置单元，用于在系统内核设置所述初始化加密后的数据的写事件及读事件监控标识；

监控单元，用于根据所述写事件及读事件监控标识，在系统文件驱动上层启动对写请求或读请求的监控。