CN108345804B - 一种可信计算环境中的存储方法和装置 - Google Patents

Abstract

本发明公开了一种用于包括可信平台模块的可信计算环境中的存储方法及装置，其方法包括下述步骤：接收来自外部存储设备中的数据存储请求；启动可信平台模块对所述外部存储设备进行身份验证；如果所述外部存储设备不属于可信任设备，则根据所述数据存储请求的类型，控制所述可信平台是否对请求处理的数据进行加密处理；如果需要加密处理，则对所述数据加密后的密文进行存储操作；否则使用所述数据进行存储操作。通过本发明可以有效提高可信计算环境使用外部存储设备的灵活性，同时其安全性也能得到保障。

Description

一种可信计算环境中的存储方法和装置

【技术领域】

本发明涉及计算机安全技术领域，具体涉及可信计算环境中的存储方法和装置。

【背景技术】

有关可信计算的概念，在ISO/IEC 15408标准中给出了以下定义：一个可信的组件、操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序软件、病毒以及一定的物理干扰造成的破坏。可信计算的基本思路是在硬件平台上引入安全芯片(可信平台模块)来提高终端系统的安全性。目前，可信计算环境是通过下述技术手段实现：调用TCM(Trusted Cryptography Module，可信密码模块)内部算法对计算机系统开机启动过程中的各个部件进行逐级的可信度量，以确定计算机系统是否遭到攻击或破坏，从而可以实现计算机系统的可信加固。

可见，可信计算环境虽然提高了环境内系统的安全性，但由于系统的各个部件均要通过可信度量后，才能使用，因而同时也降低了使用计算机各个部件的灵活性。这对于临时使用新的或者外来的还未及时进行可信度量登记的计算机部件，带来了极大的不变。

【发明内容】

本发明要解决在可信计算环境不能灵活使用外部存储设备的技术问题，提出了一种用于包括可信平台模块的可信计算环境中的存储方法和装置，以增强在可信计算环境中使用外部存储设备的灵活性，同时不降低可信计算环境的安全性。

本发明提出的用于包括可信平台模块的可信计算环境中的存储方法，包括：

步骤1、接收来自外部存储设备中的数据存储请求；

步骤2、启动可信平台模块对所述外部存储设备进行身份验证；

步骤3、如果所述外部存储设备不属于可信任设备，则转步骤4，否则，直接执行所述数据存储请求，然后转步骤6；

步骤4、根据所述数据存储请求的类型，控制所述可信平台是否对请求处理的数据进行加密处理；

步骤5、如果需要加密处理，则对所述数据加密后的密文进行存储操作；否则使用所述数据进行存储操作；

步骤6、操作结束。

在上述基础上，所述步骤4还包括：所述数据存储请求的类型包括：将所述可信计算环境中的数据写入到所述外部存储设备、将所述外部存储设备的数据写入到所述可信计算环境中。

在上述基础上，所述步骤5还包括：

如果所述类型为将所述可信计算环境中的数据写入到所述外部存储设备，则控制所述可信平台模块进行加密处理，产生加密密码，并使用该加密密码将所述写入的数据加密后，然后将所述加密后的密文写入到所述外部存储设备；如果所述类型为将所述外部存储设备中的数据写入到所述可信计算环境中，则所述可信平台模块不进行加密处理，直接将所述数据写入到所述可信计算环境中的临时存储区内。

在上述基础上，所述可信平台模块包括验证模块和加密/解密模块，所述验证模块完成对所述步骤2的操作，所述加密/解密模块负责完成对所述步骤5的操作。

在上述基础上，其特征在于所述步骤2包括下述步骤：

步骤a1、所述可信平台模块获取所述外部存储设备的硬件ID号和读写序号A，所述读写序号记录所述外部存储设备被所述可信平台模块验证的次数，其初始化值为0；

步骤a2、所述可信平台模块在其黑名单数据库查询所述硬件ID号是否属于禁止存储操作的黑名单数据库中的数据，如果属于，则禁止所述外部存储设备的存储操作，退出所述数据存储请求；如果不是，则继续下述步骤；

步骤a3、所述可信平台模块在其关联的读写序号数据库中查询与所述硬件ID号关联的读写序号B，如果所述关联的读写序号数据库中不存在所述硬件ID，则在所述关联的读写序号数据库中创建新的条目记录所述硬件ID，且与该ID关联的读写序号B的初始化值为0，

步骤a4、如果所述读写序号A与所述读写序号B相同，则继续判断所述硬件ID号是否属于可信任的外部设备，并将所述读写序号A和读写序号B的值分别加1，分别存储于所述外部存储设备和所述关联的读写序号数据库中；如果所述读写序号A与所述读写序号B不相同，则说明所述外部存储设备存在非法复制读写序号A的情况，即存在数据泄露的风险，因此不再继续判断所述硬件ID号是否属于可信任的外部设备，并将该ID号写入所述黑名单数据库中，并且禁止具有硬件ID的外部存储设备的一切数据存储请求操作，退出所述数据存储请求的所有操作；

步骤a5、如果判断是可信任的，则属于可信任的外部设备，否则属于不可信任的外部设备。

在上述基础上，所述可信平台模块检验所述硬件ID号是否属于可信任的外部设备包括下述步骤：

步骤b1、查询可信计算环境中的可信任设备数据库；

步骤b2、若所述数据库包含所述硬件ID号，则验证为可信任的外部设备；

步骤b3：若所述数据库不包含所述硬件ID号，则向所述可信计算环境的管理员发送报警信息，所述报警信息包括ID号、数据存储请求的时间，并验证为不可信任的外部设备。

在上述基础上，还包括下述步骤：

当所述外部存储设备接入到所述可信计算环境中，当所述可信计算环境从所述外部存储设备读取数据时，如果所述外部存储设备被验证为可信任的设备，则直接读取数据；如果所述外部存储设备被验证为不可信任的设备，则拒绝读取数据或者必须由可信计算环境的管理员提供解密密码后方可读取。

在上述基础上，所述临时存储区的数据具有不可执行的属性。

在上述基础上，所述加密密码按照如下方式产生：

(1)获取所述硬件ID号的值和所述可信平台模块的加密基值BA，所述ID值与BA值均为正整数；

(2)计算上述ID值与BA值的异或值M；

(3)将需要加密的写入数据与M异或后的结果作为密文。

此外，本发明还提出了一种可信计算环境中的存储装置，其特征在于包括：

可信平台模块，所述可信平台模块包括验证模块和加密/解密模块；

控制处理器，所述控制处理器执行上述操作。

【附图说明】

此处所说明的附图是用来提供对本发明的进一步理解，构成本申请的一部分，但并不构成对本发明的不当限定，在附图中：

图1是本发明提出的存储方法的流程图；

图2是本发明的提出的存储接口装置的结构图。

【具体实施方式】

下面将结合附图以及具体实施例来详细说明本发明，其中的示意性实施例以及说明仅用来解释本发明，但并不作为对本发明的不当限定。

参见图1，为本发明提出的存储方法的流程图，参见S01，当包括可信平台模块的可信计算环境中的存储接口接收到外部存储设备的存储请求，这种存储请求可能是通过外设接口，如USB接口，并口、串口、网口、无线接口等接入的新的外部存储设备，在程序指令的控制下，所述外部存储设备读取可信计算环境中的数据并保存到所述外部存储设备中或者是将所述外部存储设备中的数据写入到所述可信计算环境中。当所述外部存储设备已经通过了可信度量，属于可信计算环境中的一部分，也就是说，所述外部存储设备属于可信安全的设备，因此上述存储请求操作按照可信计算的规范执行即可。但是，如果所述外部存储设备属于临时接入的、或者还没及时在可信计算环境中登记的新设备，那么按照传统的可信计算环境的规范，此类设备将被禁止使用。可见，在传统可信计算环境中使用临时存储设备的灵活性非常低。采用本发明提出的可信计算环境中的存储方法，可以改变上述不足，参见图1的S02，在可信计算环境中，启动可信平台模块，对所述接入的外部存储设备进行身份验证，身份验证可采取多种方式，作为一种优选的实施例，可采取下述步骤进行验证：

步骤a1、所述可信平台模块获取所述外部存储设备的硬件ID号和读写序号A，所述读写序号记录所述外部存储设备被所述可信平台模块验证的次数，其初始化值为0；

步骤a2、所述可信平台模块在其黑名单数据库查询所述硬件ID号是否属于禁止存储操作的黑名单数据库中的数据，如果属于，则禁止所述外部存储设备的存储操作，退出所述数据存储请求；如果不是，则继续下述步骤；

步骤a3、所述可信平台模块在其关联的读写序号数据库中查询与所述硬件ID号关联的读写序号B，如果所述关联的读写序号数据库中不存在所述硬件ID，则在所述关联的读写序号数据库中创建新的条目记录所述硬件ID，且与该ID关联的读写序号B的初始化值为0；

步骤a4、如果所述读写序号A与所述读写序号B相同，则继续判断所述硬件ID号是否属于可信任的外部设备，并将所述读写序号A和读写序号B的值分别加1，分别存储于所述外部存储设备和所述关联的读写序号数据库中；如果所述读写序号A与所述读写序号B不相同，则说明所述外部存储设备存在非法复制读写序号A的情况，即存在数据泄露的风险，因此不再继续判断所述硬件ID号是否属于可信任的外部设备，并将该ID号写入所述黑名单数据库中，并且禁止具有硬件ID的外部存储设备的一切数据存储请求操作，退出所述数据存储请求的所有操作；

步骤a5、如果判断是可信任的，则属于可信任的外部设备，否则属于不可信任的外部设备。

通过上述步骤，可以记录下每次访问可信计算环境的外部存储设备，以便于作为访问行为的跟踪数据，特别是，当某个外部存储设备存在非法数据访问行为时，能够迅速根据其硬件ID号在禁止其再次访问，以保护环境的安全性。此外，本实施例还通过上述步骤限制访问可信计算环境的外部存储设备ID号的唯一性，防止相互串考ID号。例如，当外部存储设备S1首次访问了所述可信计算环境，所述可信计算环境的关联的读写序号数据库中会记录下所述外部存储设备S1的硬件ID号和关联的读写序号，如果用户用外部存储设备S2复制了S1的数据，并将外部存储设备S2的硬件ID仿造成与S1一致，当使用S2访问后，由于与所述ID关联的读写序号增加，所以当再以S1访问时，由于S1里内部存放的访问序号还是未增加前的数据，说明S1的数据存在被串考给其他外部存储设备，并被所述其他外部存储设备用于访问了所述可信计算环境的行为，这种行为是被禁止的，因此可通过黑名单的机制禁止与S1相关的设备(即具有与S1同样硬件ID号的设备)访问可信计算环境的行为。从而强化了可信计算环境的安全性。

在所述可信平台模块检验所述硬件ID号是否属于可信任的外部设备可进一步包括下述步骤：

步骤b1、查询可信计算环境中的可信任设备数据库；

步骤b2、若所述数据库包含所述硬件ID号，则验证为可信任的外部设备；

步骤b3：若所述数据库不包含所述硬件ID号，则向所述可信计算环境的管理员发送报警信息，所述报警信息包括ID号、数据存储请求的时间，并验证为不可信任的外部设备。

通过向管理员发送报警信息，管理员能够及时获知未被认证为信任的外部设备访问可信计算环境的情况，以便于管理员根据情况及时处理突发情况。

如果在S02被确定为需要进一步判断是否属于可信任设备，则进入S03中的判断是否属于可信任设备的步骤，如果属于可信任的设备，则进入S04,按照传统的可信计算环境的规范直接执行所述数据存储请求。如果不属于可信任的设备，则进入S05-S06步骤，其中，S05根据所述数据存储请求的类型，控制所述可信平台是否对请求处理的数据进行加密处理，S06根据数据加密的情况使用不同的数据进行存储操作，具体为：如果经过加密处理，则使用加密后的密文进行存储操作，否则使用未加密的数据进行操作。在S05-S06步骤中，所述数据存储请求的类型包括：将所述可信计算环境中的数据写入到所述外部存储设备、将所述外部存储设备的数据写入到所述可信计算环境中。如果所述类型为将所述可信计算环境中的数据写入到所述外部存储设备，则控制所述可信平台模块进行加密处理，产生加密密码，并使用该加密密码将所述写入的数据加密后，然后将所述加密后的密文写入到所述外部存储设备；如果所述类型为将所述外部存储设备中的数据写入到所述可信计算环境中，则所述可信平台模块不进行加密处理，直接将所述数据写入到所述可信计算环境中的临时存储区内。由于临时存储区域的存储的数据具有不可执行的属性，也就是说，处于这些区域的数据不能够通过执行的方式影响到其他区域的数据，从而起到数据隔离的作用，以防止所述写入的数据干扰正常数据的可能性。而当所述临时存储区域经过管理员的检测和验证后，可将这些数据迁移到可信计算环境中的正常存储区域(正常存储区域中的数据具有执行属性)。

另外，本发明的技术方案可采用多种加密手段来实现数据的保护，如RSA公钥加密算法等，作为一个优选，本实施例利用异或同一数值偶数次能够复原原数据的特性，提出了一种异或加密的方法，为了方便理解，以一个简单例子说明：原数据为1，加密密码为1，1与1异或的结果为0，即为密文，密文0与加密密码1再次异或则得到原文1。在本实施例中，将外部存储设备的硬件ID号和可信平台模块给出的加密基值的异或值作为加密密码，其中可信平台模块给出的加密基值可为与所述硬件ID对应的一个数值，由可信平台模块随机产生。具体步骤如下：

(1)获取所述硬件ID号的值和一个与所述可信平台模块的加密基值BA，所述ID值与BA值均为正整数，所述BA值由所述可信平台模块随机产生；

(2)计算上述ID值与BA值的异或值M；

(3)将需要加密的写入数据与M异或后的结果作为密文。

通过上述步骤加密的密文由于暗含着所述硬件ID号，因此，当出现密文泄密的情况，可以根据泄密的密文分析出对应的硬件ID号，进一步地，可信计算环境的管理员可以利用黑名单的机制阻止此类ID号的外部设备访问可信计算环境，避免通过复制此类ID号的手段的非正常访问行为。

此外，当所述外部存储设备接入到所述可信计算环境中，当所述可信计算环境从所述外部存储设备读取数据时，如果所述外部存储设备被验证为可信任的设备，则直接读取数据；如果所述外部存储设备被验证为不可信任的设备，则拒绝读取数据或者必须由可信计算环境的管理员提供解密密码后方可读取。采取上述措施，也是进一步增强可信计算环境的安全性。

图2示出了本发明的提出的存储接口装置的一种优选的实施例结构图。可信平台模块，所述可信平台模块包括验证模块和加密/解密模块,分别执行验证和加密、解密操作；控制处理器，所述控制处理器执行上述操作,外部存储设备接口，负责与外部存储设备的信号连接。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如系统、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。上述实施例中的装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。上述实施例中的装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

Claims (9)

1.一种用于包括可信平台模块的可信计算环境中的存储方法，其特征在于包括下述步骤：

步骤1、接收来自外部存储设备中的数据存储请求；

步骤2、启动可信平台模块对所述外部存储设备进行身份验证；

步骤3、如果所述外部存储设备不属于可信任设备，则转步骤4，否则，直接执行所述数据存储请求，然后转步骤6；

步骤4、根据所述数据存储请求的类型，控制所述可信平台模块是否对请求处理的数据进行加密处理；

步骤5、如果需要加密处理，则对所述数据加密后的密文进行存储操作；否则使用所述数据进行存储操作；

步骤6、操作结束；

所述步骤2包括下述步骤：

步骤a1、所述可信平台模块获取所述外部存储设备的硬件ID号和读写序号A，所述读写序号记录所述外部存储设备被所述可信平台模块验证的次数，其初始化值为0；

步骤a2、所述可信平台模块在其黑名单数据库中查询所述硬件ID号是否属于禁止存储请求操作的黑名单数据库中的数据，如果属于，则禁止所述外部存储设备的存储操作，拒绝执行所述数据存储请求，并退出所有执行所述数据存储请求的操作；如果不是，则继续下述步骤；

步骤a3、所述可信平台模块在其关联的读写序号数据库中查询与所述硬件ID号关联的读写序号B，如果所述关联的读写序号数据库中不存在所述硬件ID，则在所述关联的读写序号数据库中创建新的条目记录所述硬件ID，且与该ID关联的读写序号B的初始化值为0；

步骤a4、如果所述读写序号A与所述读写序号B相同，则继续判断所述硬件ID号是否属于可信任的外部设备，并将所述读写序号A和读写序号B的值分别加1，分别存储于所述外部存储设备和所述关联的读写序号数据库中,转步骤a5；如果所述读写序号A与所述读写序号B不相同，则不再继续判断所述硬件ID号是否属于可信任的外部设备，并将该ID号写入所述黑名单数据库中，并且禁止具有所述ID的外部存储设备的一切数据存储请求操作，拒绝执行所述数据存储请求，并退出所有执行所述数据存储请求的操作；

步骤a5、如果判断所述硬件ID号是可信任的，则属于可信任的外部设备，否则属于不可信任的外部设备。

2.如权利要求1所述的存储方法，其特征在于所述步骤4还包括：

所述数据存储请求的类型包括：将所述可信计算环境中的数据写入到所述外部存储设备、将所述外部存储设备的数据写入到所述可信计算环境中。

3.如权利要求2所述的存储方法，其特征在于所述步骤4还包括：

如果所述类型为将所述可信计算环境中的数据写入到所述外部存储设备，则控制所述可信平台模块进行加密处理，产生加密密码，并使用该加密密码将所述写入的数据加密后，然后将所述加密后的密文写入到所述外部存储设备；如果所述类型为将所述外部存储设备中的数据写入到所述可信计算环境中，则所述可信平台模块不进行加密处理，直接将所述数据写入到所述可信计算环境中的临时存储区内。

4.如权利要求3所述的存储方法，其特征在于：所述可信平台模块包括验证模块和加密/解密模块，所述验证模块完成对所述步骤2的操作，所述加密/ 解密模块负责完成对所述步骤5的操作。

5.如权利要求1-4任一项所述的存储方法，其特征在于所述可信平台模块检验所述硬件ID号是否属于可信任的外部设备包括下述步骤：

步骤b1、查询可信计算环境中的可信任设备数据库；

步骤b2、若所述数据库包含所述硬件ID号，则验证为可信任的外部设备；

步骤b3：若所述数据库不包含所述硬件ID号，则验证为不可信任的外部设备，并向所述可信计算环境的管理员发送报警信息，所述报警信息包括所述硬件ID号、数据存储请求的时间、验证为不可信任的外部设备的信息。

6.如权利要求5所述的存储方法，其特征在于还包括下述步骤：

当所述外部存储设备接入到所述可信计算环境中，当所述可信计算环境从所述外部存储设备读取数据时，如果所述外部存储设备被验证为可信任的设备，则直接读取数据；如果所述外部存储设备被验证为不可信任的设备，则拒绝读取数据或者必须由可信计算环境的管理员提供解密密码后方可读取数据。

7.如权利要求3所述的存储方法，其特征在于所述临时存储区的数据具有不可执行的属性。

8.如权利要求7所述的存储方法，其特征在于所述加密密码按照如下方式产生：

(1)获取所述硬件ID号的ID值和一个所述可信平台模块的加密基值BA值，所述ID值与BA值均为正整数，所述BA值由所述可信平台模块基于所述硬件ID号随机产生；

(2)计算上述ID值与BA值的异或值M；

(3)将需要加密的写入数据与M异或后的结果作为所述写入数据的密文。

9.一种可信计算环境中的存储接口装置，其特征在于包括：

可信平台模块，所述可信平台模块包括验证模块和加密/解密模块；

控制处理器，所述控制处理器执行如权利要求1-8所述的操作。

Images