CN108090366A - 数据保护方法及装置、计算机装置及可读存储介质 - Google Patents

数据保护方法及装置、计算机装置及可读存储介质 Download PDF

Info

Publication number
CN108090366A
CN108090366A CN201711269114.6A CN201711269114A CN108090366A CN 108090366 A CN108090366 A CN 108090366A CN 201711269114 A CN201711269114 A CN 201711269114A CN 108090366 A CN108090366 A CN 108090366A
Authority
CN
China
Prior art keywords
data
main equipment
application processor
storage medium
encrypted
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201711269114.6A
Other languages
English (en)
Other versions
CN108090366B (zh
Inventor
李安
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Intellifusion Technologies Co Ltd
Original Assignee
Shenzhen Intellifusion Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Intellifusion Technologies Co Ltd filed Critical Shenzhen Intellifusion Technologies Co Ltd
Priority to CN201711269114.6A priority Critical patent/CN108090366B/zh
Priority to PCT/CN2017/119040 priority patent/WO2019109418A1/zh
Publication of CN108090366A publication Critical patent/CN108090366A/zh
Application granted granted Critical
Publication of CN108090366B publication Critical patent/CN108090366B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

一种数据保护方法，所述方法包括：接收应用处理器芯片的主设备对内存的安全数据区中的数据的访问请求；确定所述主设备的类型；若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。本发明还提供一种数据保护装置、计算机装置及可读存储介质。本发明可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。

Description

数据保护方法及装置、计算机装置及可读存储介质
技术领域
本发明涉及信息安全技术领域，具体涉及一种数据保护方法及装置、计算机装置及可读存储介质。
背景技术
在人脸识别及类似AI(Artificial Intelligence，人工智能)产品中，人脸图片库及类似的数据库作为最终校验比对的依据，是产品的核心数据，一旦被攻击者获取及进一步篡改，则可以非法修改权限，或使得原本没有权限的人获得权限，所以数据库的安全保障非常有必要。
此外，人脸识别及类似AI产品中通常有一些参数(例如CNN(ConvolutionalNeural Network，卷积神经网络)参数)，其中花费了大量时间和模型才调试好的参数是决定算法和产品的性能的关键数据，参数的安全保障也非常有必要。
目前市面上的AI产品，有的为控制成本没有对数据库和参数进行加密保护，有的则为了实现加密保护花了高额成本购买相应的IP和设计方案。前者安全性低，后者成本高。
发明内容
鉴于以上内容，有必要提出一种数据保护方法及装置、计算机装置及可读存储介质，其可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。
本申请的第一方面提供一种数据保护方法，应用于包括应用处理器芯片的计算机装置，所述应用处理器芯片与内存相连，所述内存包括安全数据区，所述方法包括：
接收所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求；
确定所述主设备的类型；
若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据；
若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；
若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
另一种可能的实现方式中，所述进行安全认证包括：
接收输入的权限解锁密码；
计算所述输入的权限解锁密码的消息摘要；
判断计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要是否相同；
若计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要相同，则通过安全认证。
另一种可能的实现方式中，所述内存封装在所述应用处理器芯片内。
另一种可能的实现方式中，所述应用处理器芯片还与外部存储介质及内存相连，所述方法还包括：
对数据进行加密，将加密后的数据存入所述外部存储介质；
接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据；
对所述加密后的数据进行解密，将解密后的数据存入所述安全数据区。
另一种可能的实现方式中，所述外部存储介质包括可移动外部存储介质和不可移动外部存储介质。
本申请的第二方面提供一种数据保护装置，应用于包括应用处理器芯片的计算机装置，所述应用处理器芯片与内存相连，所述内存包括安全数据区，所述装置包括：
接收单元，用于接收所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求；
确定单元，用于确定所述主设备的类型；
第一处理单元，用于若确定所述主设备是与外部输入输出接口无关的主设备，则允许所述主设备从所述安全数据区读取所述数据；
第二处理单元，用于若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；
第三处理单元，用于若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
另一种可能的实现方式中，所述应用处理器芯片还与外部存储介质及内存相连，所述装置还包括：
加密单元，用于对数据进行加密，将加密后的数据存入所述外部存储介质；
读取单元，用于接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据；
解密单元，用于对所述加密后的数据进行解密，将解密后的数据存入所述安全数据区。
本申请的第三方面提供一种计算机装置，所述计算机装置包括应用处理器芯片，所述应用处理器芯片用于执行存储器中存储的计算机程序时实现所述数据保护方法。
本申请的第四方面提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被应用处理器芯片执行时实现所述数据保护方法。
本发明接收应用处理器芯片的主设备对内存的安全数据区中的数据的访问请求；确定所述主设备的类型；若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。本发明可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。
附图说明
图1是本发明实施例一提供的数据保护方法的流程图。
图2是本发明实施例二提供的数据保护方法的流程图。
图3是本发明实施例二提供的数据保护方法的数据流图。
图4是本发明实施例三提供的数据保护装置的结构图。
图5是本发明实施例四提供的数据保护装置的结构图。
图6是本发明实施例五提供的计算机装置的示意图。
具体实施方式
为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施例对本发明进行详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。
在下面的描述中阐述了很多具体细节以便于充分理解本发明，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本发明。
优选地，本发明的数据保护方法应用在一个或者多个计算机装置中。所述计算机装置是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于应用处理器芯片、外部存储介质、内存等。
所述计算机装置可以是桌上型计算机、笔记本、掌上电脑及云端服务器等主设备。所述计算机装置可以与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互。
实施例一
图1是本发明实施例一提供的数据保护方法的流程图。所述数据保护方法应用于包括应用处理器芯片的计算机装置，所述应用处理器芯片与内存相连。
为了提高数据的安全级别，所述内存可以封装在主芯片内，以防止对内存中数据直接读取或截取。例如，所述内存是DDR SDRAM(Double Data Rate Synchronous DynamicRandom Access Memory，双倍速率同步动态随机存储器)，将DDR SDRAM颗粒以SIP(SystemIn a Package，系统级封装)或POP(Package on Package，叠层封装)的方式封装在主芯片内，以防止对DDR SDRAM的数据直接读取或截取。由于内存封装在主芯片内，读取或截取内存中的数据的难度和成本都很高。
所述内存(例如DDR SDRAM)划分为安全数据区和非安全数据区。可以将需要保护的数据，例如AI(Artificial Intelligence，人工智能)产品的数据库(例如人脸图片库)、参数(例如CNN(Convolutional Neural Network，卷积神经网络)参数)等核心数据或关键数据存放在安全数据区，其他数据存储在非安全数据区。可以划分一个固定的地址段作为安全数据区。
如图1所示，所述数据保护方法具体包括以下步骤：
101：接收所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求。
例如，当应用处理器芯片的处理器检测到人脸图像，需要根据存储的人脸图片库进行人脸比对时，提出对所述安全数据区中人脸图片库和CNN参数的访问请求。
所述安全数据区中的数据可以是未加密的数据(即明文)，也可以是加密后的数据(即密文)。
102：确定所述主设备的类型。
所述主设备的类型至少可以包括以下几种类型：
(1)与外部输入输出接口无关的设备，例如应用处理器芯片的处理器(JTAG口已禁用的状态)、DMA(Direct Memory Access，直接内存访问)控制器。
(2)有输入输出接口的低速外设，例如所述应用处理器芯片的UART(UniversalAsynchronous Receiver/Transmitter，通用异步收发器)、I2C(Inter-IntegratedCircuit，内部整合电路)设备、SPI(Serial Peripheral Interface，串行外设接口)设备。
(3)有输入输出接口的高速外设，例如所述应用处理器芯片的USB(UniversalSerial Bus，通用串行总线)设备、PCIE(peripheral component interconnect express，外围组件快速互连)设备。
可以预先设置应用处理器芯片的主设备标识(例如主设备名称、主设备编号等)与主设备类型的对应关系，所述对应关系定义不同的主设备标识对应的主设备类型。在接收到所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求后，获取所述主设备的主设备标识(例如主设备名称)，根据所述主设备标识从所述对应关系中查找对应的主设备类型，即得到所述主设备的类型。
103：若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据。
例如，若确定所述主设备是所述应用处理器芯片的DMA控制器，则允许所述主设备从所述安全数据区读取所述数据。
104：若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据。
例如，若确定所述主设备是所述应用处理器芯片的SPI设备，则禁止所述主设备从所述安全数据区读取所述数据。
105：若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
例如，若确定所述主设备是所述应用处理器芯片的USB设备，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
可以为有输入输出接口的高速外设配置两个可访问的地址段A和B，其中A是非安全数据地址段，对应非安全数据区，B是安全数据地址段，对应安全数据区。上电默认情况下，只有A地址段有效，有输入输出接口的高速外设只能访问内存的非安全数据区，禁止访问内存的安全数据区。在收到有输入输出接口的高速外设对安全数据区中的数据的访问请求后，启动安全认证流程。若通过安全认证流程，则开启访问权限，将有效的地址段切换到B，有输入输出接口的高速外设访问安全数据区的数据。访问完毕后，将有效的地址段切换回A，关闭访问权限。
可以通过HASH加密算法进行安全验证。具体地，所述进行安全认证可以包括：接收输入的权限解锁密码；计算所述输入的权限解锁密码的消息摘要；判断计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要是否相同；若计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要相同，则通过安全认证。
可以以其他方式进行安全验证。例如，可以采集用户的生物特征信息(例如指纹、虹膜、人脸图像、声音等)；判断采集的生物特征信息与预先存储的生物特征信息是否匹配；若采集的生物特征信息与预先存储的生物特征信息匹配，则通过安全认证。
实施例一的数据保护方法接收应用处理器芯片的主设备对内存的安全数据区中的数据的访问请求；确定所述主设备的类型；若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。实施例一的数据保护方法可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。
实施例二
图2是本发明实施例二提供的数据保护方法的流程图。图3是本发明实施例二提供的数据保护方法的数据流图。下面结合图2和图3，对本发明实施例二提供的数据保护方法进行说明。
所述数据保护方法应用于应用处理器芯片，所述应用处理器芯片与外部存储介质及内存相连，所述内存包括安全数据区。如图2所示，所述数据保护方法具体包括以下步骤：
201：对数据进行加密，将加密后的数据存入所述外部存储介质。
所述数据可以是任意需要进行安全保护的数据。例如，所述数据可以是用户的隐私数据，比如电话本、短消息、邮件、账号等。所述数据也可以是关键数据或核心数据，比如AI产品的数据库(例如人脸图片库)和参数(例如CNN参数)。
所述数据可以是单个文件，例如某个图片、文档、音乐、视频或应用程序等，也可以是某个文件夹。
加密后的数据即密文，也就是说，外部存储介质存放的是密文。
可以通过非对称加密算法对所述数据进行加密。在本较佳实施例中，可以通过RSA非对称加密算法对所述数据进行加密。例如，可以通过RSA的公钥对AI产品的数据库(例如人脸图片库)和参数(例如CNN参数)进行加密，将加密后的数据库(例如人脸图片库)和参数(例如CNN参数)存入所述外部存储介质。
或者，可以通过对称加密算法对所述数据进行加密。在本较佳实施例中，可以通过AES对称加密算法对所述数据进行加密。例如，通过密钥位宽256bit以上的AES加密算法对AI产品的数据库(例如人脸图片库)和参数(例如CNN参数)进行加密，将加密后的数据库(例如人脸图片库)和参数(例如CNN参数)存入所述外部存储介质。
所述外部存储介质可以包括可移动外部存储介质，例如SD/TF卡，用于存储经常更改的数据，例如人脸图片库，便于日常维护和更新。
所述外部存储介质还可以包括不可移动外部存储介质，例如nandflash/norflash、emmc flash，用于存储不常更改的数据，例如训练好的CNN参数。
202：接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据。
例如，当需要使用存储的人脸图片库与采集到的人脸图像进行比对时，从所述外部存储介质读取加密后的人脸图片库和CNN参数。
203：对所述加密后的数据进行解密，将解密后的数据存入所述安全数据区。
根据步骤201中的加密算法，采用相应的解密算法对所述加密后的数据进行解密。例如，步骤201中，用RSA公钥对所述数据进行加密，则步骤203中，用RSA私钥对所述加密后的数据进行解密。又如，步骤201中，用AES密钥对所述数据进行加密，则步骤203中，用AES密钥进行解密。
解密后的数据即明文，也就是说，安全数据区存放明文。在本实施例中，安全数据区中的数据(例如人脸图片库和CNN参数)需要频繁使用，如果在安全数据区中存放密文，就会需要频繁地反复加解密，会大大影响性能，因而在内存的安全数据区存放明文(即解密后的数据)。
204：接收所述应用处理器芯片的主设备对所述安全数据区中所述解密后的数据的访问请求。
本实施例中步骤204与实施例一中步骤101基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例一中步骤101的相关描述，此处不赘述。
205：确定所述主设备的类型。
本实施例中步骤205与实施例一中步骤102一致，具体请参阅实施例一中步骤102的相关描述，此处不赘述。
206：若确定所述主设备是与外部输入输出接口无关的主设备，则允许所述主设备从所述安全数据区读取所述解密后的数据。
本实施例中步骤206与实施例一中步骤103基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例一中步骤102的相关描述，此处不赘述。
207：若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述解密后的数据。
本实施例中步骤207与实施例一中步骤104基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例一中步骤102的相关描述，此处不赘述。
208：若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述解密后的数据。
本实施例中步骤208与实施例一中步骤105基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例一中步骤103的相关描述，此处不赘述。
实施例二的数据保护方法对数据进行加密，将加密后的数据存入外部存储介质；接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据；对所述加密后的数据进行解密，将解密后的数据存入内存的安全数据区；接收所述应用处理器芯片的主设备对所述安全数据区中所述解密后的数据的访问请求；确定所述主设备的类型；若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述解密后的数据；若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述解密后的数据；若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述解密后的数据。实施例二的数据保护方法可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。
实施例三
图4为本发明实施例三提供的数据保护装置的结构图。如图4所示，所述数据保护装置10可以包括：接收单元401、确定单元402、第一处理单元403、第二处理单元404、第三处理单元405。
接收单元401，用于接收所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求。
例如，当应用处理器芯片的处理器检测到人脸图像，需要根据存储的人脸图片库进行人脸比对时，提出对所述安全数据区中人脸图片库和CNN参数的访问请求。
所述安全数据区中的数据可以是未加密的数据(即明文)，也可以是加密后的数据(即密文)。
确定单元402，用于确定所述主设备的类型。
所述主设备的类型至少可以包括以下几种类型：
(1)与外部输入输出接口无关的设备，例如应用处理器芯片的处理器(JTAG口已禁用的状态)、DMA(Direct Memory Access，直接内存访问)控制器。
(2)有输入输出接口的低速外设，例如所述应用处理器芯片的UART(UniversalAsynchronous Receiver/Transmitter，通用异步收发器)、I2C(Inter-IntegratedCircuit，内部整合电路)设备、SPI(Serial Peripheral Interface，串行外设接口)设备。
(3)有输入输出接口的高速外设，例如所述应用处理器芯片的USB(UniversalSerial Bus，通用串行总线)设备、PCIE(peripheral component interconnect express，外围组件快速互连)设备。
可以预先设置应用处理器芯片的主设备标识(例如主设备名称、主设备编号等)与主设备类型的对应关系，所述对应关系定义不同的主设备标识对应的主设备类型。在接收到所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求后，获取所述主设备的主设备标识(例如主设备名称)，根据所述主设备标识从所述对应关系中查找对应的主设备类型，即得到所述主设备的类型。
第一处理单元403，用于若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据。
例如，若确定所述主设备是所述应用处理器芯片的DMA控制器，则允许所述主设备从所述安全数据区读取所述数据。
第二处理单元404，用于若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据。
例如，若确定所述主设备是所述应用处理器芯片的SPI设备，则禁止所述主设备从所述安全数据区读取所述数据。
第三处理单元405，用于若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
例如，若确定所述主设备是所述应用处理器芯片的USB设备，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
可以为有输入输出接口的高速外设配置两个可访问的地址段A和B，其中A是非安全数据地址段，对应非安全数据区，B是安全数据地址段，对应安全数据区。上电默认情况下，只有A地址段有效，有输入输出接口的高速外设只能访问内存的非安全数据区，禁止访问内存的安全数据区。在收到有输入输出接口的高速外设对安全数据区中的数据的访问请求后，启动安全认证流程。若通过安全认证流程，则开启访问权限，将有效的地址段切换到B，有输入输出接口的高速外设访问安全数据区的数据。访问完毕后，将有效的地址段切换回A，关闭访问权限。
可以通过HASH加密算法进行安全验证。具体地，所述进行安全认证可以包括：接收输入的权限解锁密码；计算所述输入的权限解锁密码的消息摘要；判断计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要是否相同；若计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要相同，则通过安全认证。
可以以其他方式进行安全验证。例如，可以采集用户的生物特征信息(例如指纹、虹膜、人脸图像、声音等)；判断采集的生物特征信息与预先存储的生物特征信息是否匹配；若采集的生物特征信息与预先存储的生物特征信息匹配，则通过安全认证。
实施例三的数据保护装置接收应用处理器芯片的主设备对内存的安全数据区中的数据的访问请求；确定所述主设备的类型；若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。实施例三的数据保护装置可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。
实施例四
图5为本发明实施例四提供的数据保护装置的结构图。如图5所示，所述数据保护装置50可以包括：加密单元501、读取单元502、解密单元503、接收单元504、确定单元505、第一处理单元506、第二处理单元507、第三处理单元508。
加密单元501，用于对数据进行加密，将加密后的数据存入所述外部存储介质。
所述数据可以是任意需要进行安全保护的数据。例如，所述数据可以是用户的隐私数据，比如电话本、短消息、邮件、账号等。所述数据也可以是关键数据或核心数据，比如AI产品的数据库(例如人脸图片库)和参数(例如CNN参数)。
所述数据可以是单个文件，例如某个图片、文档、音乐、视频或应用程序等，也可以是某个文件夹。
加密后的数据即密文，也就是说，外部存储介质存放的是密文。
可以通过非对称加密算法对所述数据进行加密。在本较佳实施例中，可以通过RSA非对称加密算法对所述数据进行加密。例如，可以通过RSA的公钥对AI产品的数据库(例如人脸图片库)和参数(例如CNN参数)进行加密，将加密后的数据库(例如人脸图片库)和参数(例如CNN参数)存入所述外部存储介质。
或者，可以通过对称加密算法对所述数据进行加密。在本较佳实施例中，可以通过AES对称加密算法对所述数据进行加密。例如，通过密钥位宽256bit以上的AES加密算法对AI产品的数据库(例如人脸图片库)和参数(例如CNN参数)进行加密，将加密后的数据库(例如人脸图片库)和参数(例如CNN参数)存入所述外部存储介质。
所述外部存储介质可以包括可移动外部存储介质，例如SD/TF卡，用于存储经常更改的数据，例如人脸图片库，便于日常维护和更新。
所述外部存储介质还可以包括不可移动外部存储介质，例如nandflash/norflash、emmc flash，用于存储不常更改的数据，例如训练好的CNN参数。
读取单元502，用于接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据。
例如，当需要使用存储的人脸图片库与采集到的人脸图像进行比对时，从所述外部存储介质读取加密后的人脸图片库和CNN参数。
解密单元503，用于对所述加密后的数据进行解密，将解密后的数据存入所述安全数据区。
根据加密单元501加密算法，采用相应的解密算法对所述加密后的数据进行解密。例如，加密单元501用RSA公钥对所述数据进行加密，则解密单元503用RSA私钥对所述加密后的数据进行解密。又如，加密单元501用AES密钥对所述数据进行加密，则解密单元503用AES密钥进行解密。
解密后的数据即明文，也就是说，安全数据区存放明文。在本实施例中，安全数据区中的数据(例如人脸图片库和CNN参数)需要频繁使用，如果在安全数据区中存放密文，就会需要频繁地反复加解密，会大大影响性能，因而在内存的安全数据区存放明文(即解密后的数据)。
接收单元504，用于接收所述应用处理器芯片的主设备对所述安全数据区中所述解密后的数据的访问请求。
本实施例中接收单元504与实施例三中接收单元401基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例三中接收单元401的相关描述，此处不赘述。
确定单元505，用于确定所述主设备的类型。
本实施例中确定单元505与实施例三中确定单元402一致，具体请参阅实施例三中确定单元402的相关描述，此处不赘述。
第一处理单元506，用于若确定所述主设备是与外部输入输出接口无关的主设备，则允许所述主设备从所述安全数据区读取所述解密后的数据。
本实施例中第一处理单元506与实施例三中第一处理单元403基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例三中第一处理单元403的相关描述，此处不赘述。
第二处理单元507，用于若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述解密后的数据。
本实施例中第二处理单元507与实施例三中第二处理单元404基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例三中第二处理单元404的相关描述，此处不赘述。
第三处理单元508，用于若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述解密后的数据。
本实施例中第三处理单元508与实施例三中第三处理单元405基本一致(本实施例只是限定了所述数据为所述解密后的数据)，具体请参阅实施例三中第三处理单元405的相关描述，此处不赘述。
实施例四的数据保护装置对数据进行加密，将加密后的数据存入外部存储介质；接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据；对所述加密后的数据进行解密，将解密后的数据存入内存的安全数据区；接收所述应用处理器芯片的主设备对所述安全数据区中所述解密后的数据的访问请求；确定所述主设备的类型；若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述解密后的数据；若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述解密后的数据；若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述解密后的数据。实施例四的数据保护装置可以方便地对数据进行保护，保证数据具有较高的安全级别并且降低实现成本。
实施例五
图6为本发明实施例五提供的计算机装置的示意图。所述计算机装置1包括存储器20、应用处理器芯片30以及存储在所述存储器20中并可在所述应用处理器芯片30上运行的计算机程序40，例如数据保护程序。所述应用处理器芯片30执行所述计算机程序40时实现上述数据保护方法实施例中的步骤，例如图1所示的步骤101～105或图2所示的步骤201～208。或者，所述应用处理器芯片30执行所述计算机程序40时实现上述装置实施例中各模块/单元的功能，例如图4中的单元401～405或图5中的单元501～508。
示例性的，所述计算机程序40可以被分割成一个或多个模块/单元，所述一个或者多个模块/单元被存储在所述存储器20中，并由所述应用处理器芯片30执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序40在所述计算机装置1中的执行过程。例如，所述计算机程序40可以被分割成图4中的接收单元401、确定单元402、第一处理单元403、第二处理单元404、第三处理单元405，或者被分割成图5中的加密单元501、读取单元502、解密单元503、接收单元504、确定单元505、第一处理单元506、第二处理单元507、第三处理单元508，各单元具体功能参见实施例三与实施例四。
所述计算机装置1可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。本领域技术人员可以理解，所述示意图6仅仅是计算机装置1的示例，并不构成对计算机装置1的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述计算机装置1还可以包括输入输出设备、网络接入设备、总线等。
所称应用处理器芯片30包括处理器。所述处理器可以是中央处理单元(CentralProcessing Unit，CPU)，还可以包括其他通用处理器、数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述计算机装置1的控制中心，利用各种接口和线路连接整个计算机装置1的各个部分。
所述存储器20可用于存储所述计算机程序40和/或模块/单元，所述应用处理器芯片30通过运行或执行存储在所述存储器20内的计算机程序和/或模块/单元，以及调用存储在存储器20内的数据，实现所述计算机装置1的各种功能。所述存储器20可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据计算机装置1的使用所创建的数据(比如音频数据、电话本等)等。存储器20可以包括外部存储介质，也可以包括内存。此外，存储器20可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。
所述计算机装置1集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。
在本发明所提供的几个实施例中，应该理解到，所揭露的计算机装置和方法，可以通过其它的方式实现。例如，以上所描述的计算机装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。
另外，在本发明各个实施例中的各功能单元可以集成在相同处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在相同单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能模块的形式实现。
对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。计算机装置权利要求中陈述的多个单元或计算机装置也可以由同一个单元或计算机装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。
最后应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或等同替换，而不脱离本发明技术方案的精神和范围。

Claims (10)

1.一种数据保护方法，应用于包括应用处理器芯片的计算机装置，所述应用处理器芯片与内存相连，其特征在于，所述内存包括安全数据区，所述方法包括：
接收所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求；
确定所述主设备的类型；
若确定所述主设备是与外部输入输出接口无关的设备，则允许所述主设备从所述安全数据区读取所述数据；
若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；
若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
2.如权利要求1所述的方法，其特征在于，所述进行安全认证包括：
接收输入的权限解锁密码；
计算所述输入的权限解锁密码的消息摘要；
判断计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要是否相同；
若计算的所述输入的权限解锁密码的消息摘要与所述应用处理器芯片中预先存储的消息摘要相同，则通过安全认证。
3.如权利要求1或2所述的方法，其特征在于，所述内存封装在所述应用处理器芯片内。
4.如权利要求1或2所述的方法，其特征在于，所述应用处理器芯片还与外部存储介质及内存相连，所述方法还包括：
对数据进行加密，将加密后的数据存入所述外部存储介质；
接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据；
对所述加密后的数据进行解密，将解密后的数据存入所述安全数据区。
5.如权利要求4所述的方法，其特征在于，所述对数据进行加密包括：
通过非对称加密算法对所述数据进行加密，所述非对称加密算法包括RSA算法；或者
通过对称加密算法对所述数据进行加密，所述对称加密算法包括AES算法；
所述进行安全认证包括：
通过HASH加密算法进行安全验证。
6.如权利要求4或5所述的方法，其特征在于，所述外部存储介质包括可移动外部存储介质和不可移动外部存储介质。
7.一种数据保护装置，应用于包括应用处理器芯片的计算机装置，所述应用处理器芯片与内存相连，其特征在于，所述内存包括安全数据区，所述装置包括：
接收单元，用于接收所述应用处理器芯片的主设备对所述安全数据区中的数据的访问请求；
确定单元，用于确定所述主设备的类型；
第一处理单元，用于若确定所述主设备是与外部输入输出接口无关的主设备，则允许所述主设备从所述安全数据区读取所述数据；
第二处理单元，用于若确定所述主设备是有输入输出接口的低速外设，则禁止所述主设备从所述安全数据区读取所述数据；
第三处理单元，用于若确定所述主设备是有输入输出接口的高速外设，则进行安全认证，若通过安全认证，则允许所述主设备从所述安全数据区读取所述数据。
8.如权利要求7所述的装置，其特征在于，所述应用处理器芯片还与外部存储介质及内存相连，所述装置还包括：
加密单元，用于对数据进行加密，将加密后的数据存入所述外部存储介质；
读取单元，用于接收数据读取指令，根据所述数据读取指令从所述外部存储介质读取所述加密后的数据；
解密单元，用于对所述加密后的数据进行解密，将解密后的数据存入所述安全数据区。
9.一种计算机装置，其特征在于，所述计算机装置包括应用处理器芯片，所述应用处理器芯片用于执行存储器中存储的计算机程序时实现如权利要求1-6中任一项所述数据保护方法。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被应用处理器芯片执行时实现如权利要求1-6中任一项所述数据保护方法。
CN201711269114.6A 2017-12-05 2017-12-05 数据保护方法及装置、计算机装置及可读存储介质 Active CN108090366B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201711269114.6A CN108090366B (zh) 2017-12-05 2017-12-05 数据保护方法及装置、计算机装置及可读存储介质
PCT/CN2017/119040 WO2019109418A1 (zh) 2017-12-05 2017-12-27 数据保护方法及装置、计算机装置及可读存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711269114.6A CN108090366B (zh) 2017-12-05 2017-12-05 数据保护方法及装置、计算机装置及可读存储介质

Publications (2)

Publication Number Publication Date
CN108090366A true CN108090366A (zh) 2018-05-29
CN108090366B CN108090366B (zh) 2020-02-04

Family

ID=62173781

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711269114.6A Active CN108090366B (zh) 2017-12-05 2017-12-05 数据保护方法及装置、计算机装置及可读存储介质

Country Status (2)

Country Link
CN (1) CN108090366B (zh)
WO (1) WO2019109418A1 (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109040091A (zh) * 2018-08-17 2018-12-18 中科物栖（北京）科技有限责任公司 深度神经网络模型的加密方法及装置
CN109714754A (zh) * 2018-10-29 2019-05-03 努比亚技术有限公司 一种数据保护方法、终端及计算机可读存储介质
CN110278201A (zh) * 2019-06-12 2019-09-24 深圳市腾讯计算机系统有限公司 安全策略评价方法及装置、计算机可读介质和电子设备
CN111786955A (zh) * 2020-06-05 2020-10-16 三星电子（中国）研发中心 用于保护模型的方法和装置
CN111901117A (zh) * 2019-05-06 2020-11-06 深圳大普微电子科技有限公司 基于jtag接口的安全认证方法及系统
WO2022193630A1 (zh) * 2021-03-15 2022-09-22 清华大学 敏感数据的读取方法、装置、电子设备及存储介质
WO2024074008A1 (zh) * 2022-10-08 2024-04-11 山东云海国创云计算装备产业创新中心有限公司 一种总线的安全防护方法、装置及介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1713104A (zh) * 2004-06-24 2005-12-28 株式会社东芝 微处理器
US20060190690A1 (en) * 2005-02-18 2006-08-24 International Business Machines Corporation Content-on-demand memory key with positive access evidence feature
CN102985916A (zh) * 2010-07-13 2013-03-20 松下电器产业株式会社 微控制器及其控制方法
CN103218571A (zh) * 2011-12-01 2013-07-24 宏达国际电子股份有限公司 在处理器之间验证数据的系统及方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1276363C (zh) * 2002-11-13 2006-09-20 深圳市朗科科技有限公司 借助半导体存储装置实现数据安全存储和算法存储的方法
US20100174902A1 (en) * 2005-12-23 2010-07-08 Phison Electronics Corp. Portable storage media with high security function
CN103198263B (zh) * 2012-10-26 2016-07-06 高榕科技（深圳）有限公司 借助个人计算机的外设密钥建立加/解密存储空间的方法
CN106326782B (zh) * 2015-06-23 2019-07-26 联想(北京)有限公司 一种信息处理方法及电子设备
CN106874748A (zh) * 2015-12-11 2017-06-20 北京奇虎科技有限公司 一种提供用户数据的方法和装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1713104A (zh) * 2004-06-24 2005-12-28 株式会社东芝 微处理器
US20060190690A1 (en) * 2005-02-18 2006-08-24 International Business Machines Corporation Content-on-demand memory key with positive access evidence feature
CN102985916A (zh) * 2010-07-13 2013-03-20 松下电器产业株式会社 微控制器及其控制方法
CN103218571A (zh) * 2011-12-01 2013-07-24 宏达国际电子股份有限公司 在处理器之间验证数据的系统及方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109040091A (zh) * 2018-08-17 2018-12-18 中科物栖（北京）科技有限责任公司 深度神经网络模型的加密方法及装置
CN109714754A (zh) * 2018-10-29 2019-05-03 努比亚技术有限公司 一种数据保护方法、终端及计算机可读存储介质
CN111901117A (zh) * 2019-05-06 2020-11-06 深圳大普微电子科技有限公司 基于jtag接口的安全认证方法及系统
CN110278201A (zh) * 2019-06-12 2019-09-24 深圳市腾讯计算机系统有限公司 安全策略评价方法及装置、计算机可读介质和电子设备
CN110278201B (zh) * 2019-06-12 2022-08-23 深圳市腾讯计算机系统有限公司 安全策略评价方法及装置、计算机可读介质和电子设备
CN111786955A (zh) * 2020-06-05 2020-10-16 三星电子（中国）研发中心 用于保护模型的方法和装置
WO2022193630A1 (zh) * 2021-03-15 2022-09-22 清华大学 敏感数据的读取方法、装置、电子设备及存储介质
WO2024074008A1 (zh) * 2022-10-08 2024-04-11 山东云海国创云计算装备产业创新中心有限公司 一种总线的安全防护方法、装置及介质

Also Published As

Publication number Publication date
CN108090366B (zh) 2020-02-04
WO2019109418A1 (zh) 2019-06-13

Similar Documents

Publication Publication Date Title
CN108090366A (zh) 数据保护方法及装置、计算机装置及可读存储介质
CN101908106B (zh) 具有通用内容控制的存储设备
CN101819612B (zh) 具有分区的通用内容控制
CN101562040B (zh) 高安全性移动存储器的数据处理方法
CN103310169B (zh) 一种保护sd卡数据的方法和保护系统
CN107194284A (zh) 一种基于TrustZone隔离用户数据的方法及系统
CN104794388B (zh) 应用程序存取保护方法及应用程序存取保护装置
CN108683509A (zh) 一种基于区块链的安全交易方法、装置及系统
CN108537694A (zh) 用于在区块链上保护版权的方法、装置和可读存储介质
CN116362747A (zh) 一种区块链数字签名系统
CN103778384A (zh) 一种基于身份认证的虚拟终端安全环境的保护方法及系统
CN108055133A (zh) 一种基于区块链技术的密钥安全签名方法
CN106033625B (zh) 锁具、移动终端、锁具控制方法及锁具控制系统
US20210099304A1 (en) Composite identity authentication method and composite identity authentication system using same
CN102981980A (zh) 用于在存储装置控制存取的方法
CN103581196A (zh) 分布式文件透明加密方法及透明解密方法
CN106022039A (zh) 一种电子信息安全存储系统及存储方法
CN104346550B (zh) 一种信息处理方法以及一种电子设备
CN101159754A (zh) 一种运行在智能移动终端的互联网应用管理系统
CN108540457A (zh) 一种安全设备及其生物认证控制方法和装置
CN107609410A (zh) 基于HOOK的Android系统数据保护方法、终端设备及存储介质
CN205901794U (zh) 一种对大数据内容进行选择性加密的系统
CN104850764B (zh) 一种基于智能卡的软件保护方法及系统
CN201185082Y (zh) 高安全性移动存储器
CN106650372A (zh) 管理员权限的开通方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant