CN110378131A - 一种利用可信根管理cryptsetup密钥的方法、系统及装置 - Google Patents

一种利用可信根管理cryptsetup密钥的方法、系统及装置 Download PDF

Info

Publication number
CN110378131A
CN110378131A CN201910553680.2A CN201910553680A CN110378131A CN 110378131 A CN110378131 A CN 110378131A CN 201910553680 A CN201910553680 A CN 201910553680A CN 110378131 A CN110378131 A CN 110378131A
Authority
CN
China
Prior art keywords
key
physics
cryptsetup
root
file
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910553680.2A
Other languages
English (en)
Inventor
许鑫
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suzhou Wave Intelligent Technology Co Ltd
Original Assignee
Suzhou Wave Intelligent Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Suzhou Wave Intelligent Technology Co Ltd filed Critical Suzhou Wave Intelligent Technology Co Ltd
Priority to CN201910553680.2A priority Critical patent/CN110378131A/zh
Publication of CN110378131A publication Critical patent/CN110378131A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G06F21/80—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in storage media based on magnetic or optical technology, e.g. disks with sectors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种利用可信根管理cryptsetup密钥的方法，包括：利用物理可信根硬件创建物理可信根密钥；利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。还公开了一种利用可信根管理cryptsetup密钥的系统、装置。本发明提出了使用可信根保护密钥文件，将原有的明文密钥转换成密文后再存储。这增加了cryptsetup密钥文件的安全性，有效防止未经权限同意获取cryptsetup密钥文件进行磁盘文件挂载行为。

Description

一种利用可信根管理cryptsetup密钥的方法、系统及装置
技术领域
本发明涉及密钥管理技术领域，尤其是一种利用可信根管理cryptsetup密钥的方法、系统及装置。
背景技术
cryptsetup是一款Linux系统上的磁盘加密工具，其利用了Linux系统中的DeviceMapper机制实现了加解密磁盘I/O(Input/Output)数据流的功能。cryptsetup支持LUKS(LinuxUnifiedKeySetup，Linux硬盘加密标准)，被加密的磁盘挂载时需要用户提供口令或是密钥，用户的数据以密文的形式存放在磁盘中，保证了用户信息的隐私。
目前，cryptsetup加解密使用的密钥由两种方式生成，一种是使用kdf(Keyderivationfunction，密钥导出函数)计算用户口令生成，另一种为使用kdf计算密钥文件中的内容生成。使用口令的方式时，每次挂载磁盘时都需要提示用户输入口令，不利于自动化挂载磁盘的场景，使用密钥文件的方式可以简化挂载过程，但cryptsetup只使用密钥文件，不管理密钥文件，且密钥以明文的方式存放于密钥文件中，当前cryptsetup每次需要使用密钥加解密数据时，都是直接读取磁盘中的密钥文件，然后利用kdf算法将读取的内容转换成密钥使用。因此，一旦获取了密钥文件，任何人在任何环境下都可获取用户已经加密的数据。任何人获取密钥文件后都可以挂载并正常使用磁盘，不利于用户隐私数据的保护。
发明内容
本发明的目的是提供一种利用可信根管理cryptsetup密钥的方法、系统及装置，用可信根加密保护密钥文件，保证密钥文件以密文的形式存储，只在挂载磁盘时由可信根恢复出密钥供cryptsetup使用。
为实现上述目的，本发明采用下述技术方案：
本发明第一方面提供了一种利用可信根管理cryptsetup密钥的方法，包括：
利用物理可信根硬件创建物理可信根密钥；
利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；
恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。
结合第一方面，在第一方面第一种可能的实现方式中，所述利用物理可信根硬件创建物理可信根密钥，具体包括：
系统向物理可信根硬件发送密钥生成指令，创建物理可信根密钥；
利用密钥下载指令将生成的物理可信根密钥导入系统使用。
结合第一方面，在第一方面第二种可能的实现方式中，所述利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文，具体包括：
在系统内生成cryptsetup使用的密钥文件；
利用物理可信根密钥加密密钥文件并保存密钥文件密文；
删除物理可信根密钥。
结合第一方面，在第一方面第三种可能的实现方式中，所述恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据，具体包括：
利用物理可信根硬件恢复物理可信根密钥；
cryptsetup使用物理可信根密钥解密密钥文件密文，恢复为密钥文件明文；
cryptsetup使用密钥明文解密磁盘文件。
结合第一方面，在第一方面第四种可能的实现方式中，所述cryptsetup使用密钥明文解密磁盘文件步骤之前，还包括：
cryptsetup加载完密钥明文后将明文信息删除。
本发明第二方面还提供了一种利用可信根管理cryptsetup密钥的系统，包括：
物理设备层，用于生成物理可信根密钥；
linux内核层，用于导入物理可信根密钥、生成cryptsetup使用的密钥文件；
Linux应用层，用于物理可信根密钥管理，使用物理可信根密钥加密密钥文件。
本发明第三方面还提供了一种利用可信根管理cryptsetup密钥的装置，包括：
物理可信根密钥生成模块，利用物理可信根硬件创建物理可信根密钥；
密钥文件加密模块，利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；
密钥文件解密模块，恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。
发明内容中提供的效果仅仅是实施例的效果，而不是发明所有的全部效果，上述技术方案中的一个技术方案具有如下优点或有益效果：
本发明提出了使用可信根保护密钥文件，将原有的明文密钥转换成密文后再存储。可信根采用加密存储体系保护自身生成的密钥，每一密钥导出到可信根外部时都由其父密钥加密保护，所有密钥只有被加载至可信根时才以明文的方式存放到可信内部，可信根的根密钥无法导出，这保证了外部无法获取可信根的密钥来恢复cryptsetup密钥文件。同时可信根上的密钥可以实现与设备或是物理环境绑定的功能，因此利用可信根加密保护cryptsetup的密钥可以实现只允许在特定设备或是物理环境恢复磁盘数据的功能。这增加了cryptsetup密钥文件的安全性，有效防止未经权限同意获取cryptsetup密钥文件进行磁盘文件挂载行为。
附图说明
图1是本发明利用可信根管理cryptsetup密钥实施例一方法流程图；
图2是本发明利用可信根管理cryptsetup密钥实施例一方法流程图；
图3是本发明利用可信根管理cryptsetup密钥系统结构示意图；
图4是本发明利用可信根管理cryptsetup密钥装置示意图。
具体实施方式
为能清楚说明本方案的技术特点，下面通过具体实施方式，并结合其附图，对本发明进行详细阐述。下文的公开提供了许多不同的实施例或例子用来实现本发明的不同结构。为了简化本发明的公开，下文中对特定例子的部件和设置进行描述。此外，本发明可以在不同例子中重复参考数字和/或字母。这种重复是为了简化和清楚的目的，其本身不指示所讨论各种实施例和/或设置之间的关系。应当注意，在附图中所图示的部件不一定按比例绘制。本发明省略了对公知组件和处理技术及工艺的描述以避免不必要地限制本发明。
实施例一
如图1所示，利用可信根管理cryptsetup密钥的方法，包括：
S1、利用物理可信根硬件创建物理可信根密钥；
S2、利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；
S3、恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。
实施例二
如图2所示，利用可信根管理cryptsetup密钥的方法，包括：
S1、系统向物理可信根硬件发送密钥生成指令，创建物理可信根密钥。
本实施例通过密钥管理模块向TPM2.0芯片下发TPM2_Create指令(TPM2.0的指令)可创建TPM2.0的密钥。
S2、利用密钥下载指令将生成的物理可信根密钥导入系统使用。
本实施例使用TPM2.0_Load指令将已经创建的TPM2.0密钥导入到芯片中，然后就可使用该密钥进行加解密操作。
S3、在系统内生成cryptsetup使用的密钥文件。
cryptsetup的密钥其实是一组随机值，本实施例调用/dev/random或/dev/urandom生成密钥文件，cryptsetup密钥生成过程不做约束。
S4、利用物理可信根密钥加密密钥文件并保存密钥文件密文。本实施例中待密钥文件生成后，使用TPM2.0密钥加密该文件中的数据并保存密文。
S5、删除物理可信根密钥。保证只在cryptsetup使用密钥时再解密恢复出密钥。
S6、利用物理可信根硬件恢复物理可信根密钥；本实施例使用TPM2.0恢复cryptsetup密钥。
S7、cryptsetup使用物理可信根密钥解密密钥文件密文，恢复为密钥文件明文；
S8、cryptsetup加载完密钥明文后将明文信息删除。
S9、cryptsetup使用密钥明文解密磁盘文件。无论cryptsetup能否恢复磁盘中的数据，都需要在cryptsetup加载完密钥明文后将明文信息删除，防止该内容被窃取，下次使用时再使用TPM2.0恢复出密钥明文即可。
本发明提出一种利用可信根管理cryptsetup密钥的方法，围绕当前cryptsetup只使用密钥而不管理密钥的问题，提出了使用可信根保护密钥文件，将原有的明文密钥转换成密文后再存储。可信根采用加密存储体系保护自身生成的密钥，每一密钥导出到可信根外部时都由其父密钥加密保护，所有密钥只有被加载至可信根时才以明文的方式存放到可信内部，可信根的根密钥无法导出，这保证了外部无法获取可信根的密钥来恢复cryptsetup密钥文件。同时，可信根上的密钥可以实现与设备或是物理环境绑定的功能，因此，利用可信根加密保护cryptsetup的密钥可以实现只允许在特定设备或是物理环境恢复磁盘数据的功能。
如图3所示，利用可信根管理cryptsetup密钥的系统，包括：
物理设备层，用于生成物理可信根密钥；
linux内核层，用于导入物理可信根密钥、生成cryptsetup使用的密钥文件；
Linux应用层，用于物理可信根密钥管理，使用物理可信根密钥加密密钥文件。
如图4所示，一种利用可信根管理cryptsetup密钥的装置，包括：
物理可信根密钥生成模块101，利用物理可信根硬件创建物理可信根密钥；
密钥文件加密模块102，利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；
密钥文件解密模块103，恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。
上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (7)

1.一种利用可信根管理cryptsetup密钥的方法，其特征是，包括：
利用物理可信根硬件创建物理可信根密钥；
利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；
恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。
2.如权利要求1所述的方法，其特征是，所述利用物理可信根硬件创建物理可信根密钥，具体包括：
系统向物理可信根硬件发送密钥生成指令，创建物理可信根密钥；
利用密钥下载指令将生成的物理可信根密钥导入系统使用。
3.如权利要求1所述的方法，其特征是，所述利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文，具体包括：
在系统内生成cryptsetup使用的密钥文件；
利用物理可信根密钥加密密钥文件并保存密钥文件密文；
删除物理可信根密钥。
4.如权利要求1所述的方法，其特征是，所述恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据，具体包括：
利用物理可信根硬件恢复物理可信根密钥；
cryptsetup使用物理可信根密钥解密密钥文件密文，恢复为密钥文件明文；
cryptsetup使用密钥明文解密磁盘文件。
5.如权利要求4所述的方法，其特征是，所述cryptsetup使用密钥明文解密磁盘文件步骤之前，还包括：
cryptsetup加载完密钥明文后将明文信息删除。
6.一种利用可信根管理cryptsetup密钥的系统，其特征是，包括：
物理设备层，用于生成物理可信根密钥；
linux内核层，用于导入物理可信根密钥、生成cryptsetup使用的密钥文件；
Linux应用层，用于物理可信根密钥管理，使用物理可信根密钥加密密钥文件。
7.一种利用可信根管理cryptsetup密钥的装置，其特征是，包括：
物理可信根密钥生成模块，利用物理可信根硬件创建物理可信根密钥；
密钥文件加密模块，利用物理可信根密钥加密cryptsetup使用的密钥文件并保存利用物理可信根密钥加密的密钥文件密文；
密钥文件解密模块，恢复物理可信根密钥，cryptsetup导入物理可信根密钥解密磁盘数据。
CN201910553680.2A 2019-06-25 2019-06-25 一种利用可信根管理cryptsetup密钥的方法、系统及装置 Pending CN110378131A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910553680.2A CN110378131A (zh) 2019-06-25 2019-06-25 一种利用可信根管理cryptsetup密钥的方法、系统及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910553680.2A CN110378131A (zh) 2019-06-25 2019-06-25 一种利用可信根管理cryptsetup密钥的方法、系统及装置

Publications (1)

Publication Number Publication Date
CN110378131A true CN110378131A (zh) 2019-10-25

Family

ID=68250674

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910553680.2A Pending CN110378131A (zh) 2019-06-25 2019-06-25 一种利用可信根管理cryptsetup密钥的方法、系统及装置

Country Status (1)

Country Link
CN (1) CN110378131A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112948859A (zh) * 2021-03-04 2021-06-11 北京顶象技术有限公司 Linux系统下基于LUKS对硬盘的高强度加密方法和系统
CN117332429A (zh) * 2023-08-29 2024-01-02 深圳万物安全科技有限公司 磁盘加解密方法、装置、终端设备以及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106407753A (zh) * 2016-09-30 2017-02-15 郑州云海信息技术有限公司 一种设备安全保护方法及系统
CN107025388A (zh) * 2016-02-02 2017-08-08 上海格尔软件股份有限公司 一种基于tpm芯片实现系统盘与机器绑定的方法
CN108133144A (zh) * 2017-12-22 2018-06-08 浪潮(北京)电子信息产业有限公司 一种虚拟磁盘文件保护方法、装置、设备及可读存储介质
CN108572861A (zh) * 2018-04-26 2018-09-25 浪潮(北京)电子信息产业有限公司 一种虚拟可信根的保护方法、系统、设备及存储介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107025388A (zh) * 2016-02-02 2017-08-08 上海格尔软件股份有限公司 一种基于tpm芯片实现系统盘与机器绑定的方法
CN106407753A (zh) * 2016-09-30 2017-02-15 郑州云海信息技术有限公司 一种设备安全保护方法及系统
CN108133144A (zh) * 2017-12-22 2018-06-08 浪潮(北京)电子信息产业有限公司 一种虚拟磁盘文件保护方法、装置、设备及可读存储介质
CN108572861A (zh) * 2018-04-26 2018-09-25 浪潮(北京)电子信息产业有限公司 一种虚拟可信根的保护方法、系统、设备及存储介质

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112948859A (zh) * 2021-03-04 2021-06-11 北京顶象技术有限公司 Linux系统下基于LUKS对硬盘的高强度加密方法和系统
CN112948859B (zh) * 2021-03-04 2023-11-14 北京顶象技术有限公司 Linux系统下基于LUKS对硬盘的高强度加密方法和系统
CN117332429A (zh) * 2023-08-29 2024-01-02 深圳万物安全科技有限公司 磁盘加解密方法、装置、终端设备以及存储介质

Similar Documents

Publication Publication Date Title
US10348497B2 (en) System and method for content protection based on a combination of a user pin and a device specific identifier
US9813389B2 (en) System and method for wireless data protection
CN106330868B (zh) 一种高速网络加密存贮密钥管理系统及方法
Mahmoud et al. An approach for big data security based on Hadoop distributed file system
CN105245328A (zh) 一种基于第三方的用户及文件的密钥产生管理方法
CN102567688B (zh) 一种安卓操作系统上的文件保密系统及其保密方法
CN104852922B (zh) 基于分布式文件系统的大数据加解密方法
US7802102B2 (en) Method for efficient and secure data migration between data processing systems
CN105100115A (zh) 一种基于加密口令及数据拆分的隐私保护的数据存储方法
CN109842589A (zh) 一种云存储加密方法、装置、设备及存储介质
CN103312690A (zh) 一种云计算平台的密钥管理系统及方法
CN110378131A (zh) 一种利用可信根管理cryptsetup密钥的方法、系统及装置
CN102769525B (zh) 一种tcm的用户密钥备份与恢复方法
CN104794243B (zh) 基于文件名的第三方密文检索方法
Sundarakumar et al. Authorization for secured cloud storage through SHA-256
CN100531032C (zh) 密钥存储方法
CN109033811A (zh) 用于电子招投标的电子标书多层加解密系统
CN206388181U (zh) 一种用于计算机的加密数据传输线
CN105790928A (zh) 一种基于数字摘要的文件分割方法
CN115617713A (zh) 一种基于逻辑销毁技术的磁盘数据快速销毁方法
Zhang et al. Application exploration of Quantum Security Service Platform based on Quantum Key Distribution
Yang et al. A Lifecycle Controlling Method of Documents Based on Deadline and Access Times
CN117195326A (zh) 一种大数据加密存储方法
CN116894268A (zh) 面向海量数据的高性能隐私求交方法、系统及相关设备
SWATHI et al. A Survey on Secure and Authorized De-Duplication using Hybrid Clouds

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20191025