CN113111396B

CN113111396B - 一种增强存储媒体安全性的方法及系统及装置及介质

Info

Publication number: CN113111396B
Application number: CN202110422832.2A
Authority: CN
Inventors: 洪薇; 洪健; 李京昆; 刘文思
Original assignee: Hubei Yangzhong Jushi Information Technology Co ltd
Current assignee: Hubei Yangzhong Jushi Information Technology Co ltd
Priority date: 2021-04-19
Filing date: 2021-04-19
Publication date: 2022-09-02
Anticipated expiration: 2041-04-19
Also published as: CN113111396A

Abstract

本发明公开了一种增强存储媒体安全性的方法及系统及装置及介质，涉及数据安全领域，确定参与用户数量A，每个参与用户生成对应的密钥；部署多重签名智能合约，获取多重签名智能合约下，每个参与用户的私钥对应的安全私钥串，对每个安全私钥串签名得到密钥集；将密钥集发送给存储媒体，根据多重门限加密方法加密得到加密数据；根据多重签名智能合约，获取解密用户的私钥对应的解密私钥串，根据多重签名智能合约对每个解密私钥串签名，得到解密集；将解密集发送给存储媒体得到解密数据；比较解密数据和加密数据判断是否解密成功。本发明能有效解决大规模网络环境下的密钥数量过多而难于管理的问题。

Description

一种增强存储媒体安全性的方法及系统及装置及介质

技术领域

本发明涉及数据安全领域，具体涉及一种增强存储媒体安全性的方法及系统及装置及介质。

背景技术

存储媒体的安全，直接关系到数据本身的安全，特别是当存储媒体设备在发生遗失或者脱离宿主机的安全保护下，存储在其上的数据就容易发生泄露或被窃取的风险。现有的技术普遍采用的基于硬件安全芯片，比如TPM及BitLocker等方法来保护存储媒体的安全，并且该方法取得了良好的实际效果并被广泛应用。

由于密钥保护在存储媒体的宿主机的硬件芯片里，所以适用的场景是“一密一机”，也即单个密钥对应单台机器或单套存储媒体的场景。在多台机器的网络环境下，如果每台机器及对应的存储媒体采用不同的密钥，则对这些的密钥的管理会成一个很大的负担，特别是在上百或上千台机器的大规模网络环境；如果对所有机器使用相同的密钥，则一旦泄露，所有机器都面临数据泄露的安全风险。

因此迫切需要一种密钥管理方法，能够同时满足安全性和可管理性二方面的要求，并且具有一定的规则灵活性，以满足大规模网络环境下的存储媒体安全的需求。

发明内容

本发明的目的在于为了确保存储媒体的安全以及更高效的管理密钥，本发明提供了一种增强存储媒体安全性的方法及系统及装置及介质。

为实现上述发明目的，本发明提供了一种增强存储媒体安全性的方法，包括：

确定参与用户数量A，每个参与用户生成对应的密钥；

部署多重签名智能合约，获取多重签名智能合约下，每个参与用户的私钥对应的安全私钥串；

根据多重签名智能合约对每个安全私钥串签名，得到每个安全私钥串对应的安全密钥，所有安全密钥组成密钥集；

将密钥集发送给存储媒体，根据多重门限加密方法对存储媒体对应的宿主机的信息以及密钥集加密，得到加密数据，将加密数据存储到存储媒体对应的宿主机的安全芯片中；

确定解密用户的门限值B，所述门限值B小于或等于参与用户数量A，根据门限值B在参与用户中获取解密用户；

根据多重签名智能合约，获取解密用户的私钥对应的解密私钥串，根据多重签名智能合约对每个解密私钥串签名，得到每个解密私钥串对应的解密密钥，所有解密密钥组成解密集；

将解密集发送给存储媒体，根据多重门限加密方法对存储媒体对应的宿主机的信息以及解密集加密，得到解密数据；

通过比较同一存储媒体中的解密数据和加密数据判断是否解密成功。

进一步的，本发明通过引入基于区块链的多重签名智能合约技术，以多方签名和链上合约的方式管理多方密钥。参与的多方共同协商管理密钥的规则，并将规则共同签名确认，形成链上不可篡改的智能合约，以对参与方公开透明的方式运行，且任何一方都不能篡改或跳过其中的步骤。通过这种方式，一方面很好地解决了“一机一密”在多节点特别是大规模网络环境下的密钥数量过多而难于管理的问题，另外也能避免单个密钥管理所节点所带来的严重安全隐患，并且利用智能合约的特性，解决了多方共同管理密钥的安全性问题，同时还具有规则多样化和灵活性的便利，适用不同的安全和应用需求。

具体的，部署多重签名智能合约，获取多重签名智能合约下，每个参与用户的私钥对应的安全私钥串，具体包括：

部署多重签名智能合约；

多重签名智能合约的输入参数为所有参与用户的私钥；

多重签名智能合约为每个参与用户生成一个随机数字；

获取每个参与用户对应的随机数字和私钥的哈希值，即得到每个参与用户的私钥对应的安全私钥串。

其中，根据多重签名智能合约对每个安全私钥串签名，得到每个安全私钥串对应的安全密钥，所有安全密钥组成密钥集，具体包括：

获取所有安全私钥串；

所有参与用户使用各自的私钥对每个安全私钥串依次签名，得到每个安全私钥串对应的安全密钥，所有安全密钥组成密钥集。

智能合约技术结合门限加密和签名算法，很好地解决了“一机一密”在多节点特别是大规模网络环境下的密钥数量过多而难于管理的问题。

根据门限加密和签名特性，当解密用户的数量小于门限值时，是无法得到与正常步骤一致的计算结果的，即解密数据和加密数据不会一致，只有当满足门限数才能得到符合要求的计算结果，并对存储媒体进行解锁。

优选的，宿主机的信息包括宿主机的硬件BIOS信息和操作系统启动信息。

其中，根据多重签名智能合约，获取解密用户的私钥对应的解密私钥串，根据多重签名智能合约对每个解密私钥串签名，得到每个解密私钥串对应的解密密钥，所有解密密钥组成解密集，具体包括：

多重签名智能合约为每个解密用户生成一个随机数字；

获取每个解密用户对应的随机数字和私钥的哈希值，得到每个解密用户的私钥对应的解密私钥串；

参与用户使用各自的私钥对每个解密用户签名，得到每个解密私钥串对应的解密密钥，所有解密密钥组成解密集。

具体的，判断对每个解密用户签名的参与用户数量，若签名的参与用户数量大于或等于阈值C，则解密密钥安全，得到所有解密密钥组成解密集；若签名的参与用户数量小于阈值C，则解密密钥不安全，重新根据门限值B在参与用户中获取解密用户，所述阈值C为参与用户数量A的一半。

与本发明中的方法对应，本发明还提供了一种增强存储媒体安全性的系统，包括：

第一智能合约模块，用于获取安全私钥串，根据多重签名智能合约对安全私钥串签名得到密钥集，并将密钥集发送给存储媒体；

第二智能合约模块，用于获取解密私钥串，根据多重签名智能合约对解密私钥串签名得到解密集，并将解密集发送给存储媒体；

第一门限加密模块，用于基于多重门限加密方法对存储媒体接收的密钥集以及存储媒体对应的宿主机的信息加密，得到加密数据；

第二门限加密模块，用于基于多重门限加密方法对存储媒体接收的解密集以及存储媒体对应的宿主机的信息加密，得到解密数据；

判断模块，用于比较同一存储媒体中的加密数据和解密数据，若加密数据和解密数据一致，则解密成功，若加密数据和解密数据不一致，则解密不成功。

其中，本系统还包括第一获取模块和第二获取模块；

第一获取模块用于为每个参与用户获取一个随机数字，并根据参与用户对应随机数字和私钥获取哈希值，得到每个参与用户对应的安全私钥串；

第二获取模块用于从参与用户中获取解密用户，为每个解密用户获取一个随机数字，并根据解密用户对应的随机数字和私钥获取哈希值，得到每个解密用户对应的解密私钥串。

与本发明中的方法对应，本发明还提供了一种电子装置，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述一种增强存储媒体安全性的方法的步骤。

与本发明中的方法对应，本发明还提供了一种存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述一种增强存储媒体安全性的方法的步骤。

本发明提供的一个或多个技术方案，至少具有如下技术效果或优点：

本发明通过引入基于区块链的智能合约技术，再结合门限加密和签名算法，能很好地解决了“一机一密”在多节点特别是大规模网络环境下的密钥数量过多而难于管理的问题，另外也能避免单个密钥管理节点所带来的安全隐患，并且利用智能合约的特性，解决了多方共同管理密钥的安全性问题，同时还具有规则多样化和灵活性的便利，适用不同的安全和应用需求。

附图说明

此处所说明的附图用来提供对本发明实施例的进一步理解，构成本申请的一部分，并不构成对本发明实施例的限定。在附图中：

图1为一种增强存储媒体安全性的方法的流程示意图；

图2为一种增强存储媒体安全性的系统的组成示意图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在相互不冲突的情况下，本发明的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述范围内的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

本领域技术人员应理解的是，在本发明的揭露中，术语“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”等指示的方位或位置关系是基于附图所示的方位或位置关系，其仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此上述术语不能理解为对本发明的限制。

可以理解的是，术语“一”应理解为“至少一”或“一个或多个”，即在一个实施例中，一个元件的数量可以为一个，而在另外的实施例中，该元件的数量可以为多个，术语“一”不能理解为对数量的限制。

请参考图1，图1为一种增强存储媒体安全性的方法的流程示意图，本发明提供了一种增强存储媒体安全性的方法，所述方法包括：

确定参与用户数量A，每个参与用户生成对应的密钥；

部署多重签名智能合约；多重签名智能合约的输入参数为所有参与用户的私钥；多重签名智能合约为每个参与用户生成一个随机数字；获取每个参与用户对应的随机数字和私钥的哈希值，即得到每个参与用户的私钥对应的安全私钥串；

获取所有安全私钥串；所有参与用户使用各自的私钥对每个安全私钥串依次签名，得到每个安全私钥串对应的安全密钥，所有安全密钥组成密钥集；

多重签名智能合约为每个解密用户生成一个随机数字；获取每个解密用户对应的随机数字和私钥的哈希值，得到每个解密用户的私钥对应的解密私钥串；参与用户使用各自的私钥对每个解密用户签名，得到每个解密私钥串对应的解密密钥，所有解密密钥组成解密集。

判断对每个解密用户签名的参与用户数量，若签名的参与用户数量大于或等于阈值C，则解密密钥安全，得到所有解密密钥组成解密集；若签名的参与用户数量小于阈值C，则解密密钥不安全，重新根据门限值B在参与用户中获取解密用户，所述阈值C为参与用户数量A的一半；

其中，宿主机的信息包括宿主机的硬件BIOS信息和操作系统启动信息。

下面结合具体的例子对本发明中的一种增强存储媒体安全性的方法进行介绍：

步骤1确定参与用户数量A，每个参与用户生成对应的密钥；在本实施例中生成的密钥为用户的指纹。

步骤2生成多重签名智能合约

2.1多重签名智能合约的输入参数为所有参与用户的私钥；

2.2多重签名智能合约为每个参与用户生成一个随机数字，再加上私钥，然后使用哈希算法计算其哈希值，形式化表示如下：

HASH_RESULT＝SHA256(RAND()+PRIV_KEY)

其中，SHA256是通用的哈希算法；

RAND()是随机数生成函数，可以生成指定范围的任意整数；

PRIV_KEY是用户的私钥；

2.3对步骤2.2生成的所有用户的哈希串，分别进行多重签名：

本实施例中共有5个参与用户，以用户1为例，步骤2.2为其生成的哈希串为HASH_RESULT_USER1，HASH_RESULT_USER1即为用户1的安全私钥串；

5个用户分别使用各自的私钥对每个安全私钥串依次进行签名：

RES1＝SIGN(HASH_RESULT_USER1,PRIV_KEY_USER1)

RES2＝SIGN(RES1,PRIV_KEY_USER2)

RES3＝SIGN(RES2,PRIV_KEY_USER3)

RES4＝SIGN(RES3,PRIV_KEY_USER4)

KEY_USER1＝SIGN(RES4,PRIV_KEY_USER5)

其中，SIGN为签名函数，PRIV_KEY_USER1为用户1的私钥；

最后一步生成的结果KEY_USER1即为用户1的安全密钥；

2.4得到密钥集；

获取步骤2.3生成的全部安全密钥，生成的密钥集为：

{KEY_USER1，KEY_USER2，KEY_USER3，KEY_USER4，KEY_USER5}。

步骤3将密钥集发送给存储媒体，并将宿主机器的硬件BIOS信息、操作系统启动信息并进行多重门限加密，得到加密数据，并将加密数据存储到存储媒体的宿主机的安全芯片。

步骤4使用多重签名验证和解锁存储媒体：

4.1确定解密用户的门限值B，所述门限值B小于或等于参与用户数量A，根据门限值B在参与用户中获取解密用户；在本实施例中门限值B为3；

4.2多重签名智能合约为每个解密用户生成一个随机数字，再加上私钥，然后使用哈希算法计算其哈希值，形式化表示如下：

三个解密用户的解密私钥串为：

解密用户1：HASH_RESULT_USER1；

解密用户2：HASH_RESULT_USER2；

解密用户3：HASH_RESULT_USER3；

4.3三个解密用户分别使用各自的私钥对每个解密私钥串依次进行签名

RES1＝SIGN(HASH_RESULT_USER1,PRIV_KEY_USER1)

RES2＝SIGN(RES1,PRIV_KEY_USER2)

KEY_USER1＝SIGN(RES2,PRIV_KEY_USER3)

其中，SIGN为签名函数，PRIV_KEY_USER1为解密用户1的私钥；

最后一步生成的结果KEY_USER1即为解密用户1的解密密钥；

4.4得到解密集；

{KEY_USER1，KEY_USER2，KEY_USER3}；

4.5判断对每个解密用户签名的参与用户数量；

步骤4.3中签名的用户数量为3，阈值C为3，参与用户数量为5，因此解密密钥安全；

步骤5将解密集发送给存储媒体，根据多重门限加密方法对存储媒体对应的宿主机的信息以及解密集加密，得到解密数据；

步骤6通过比较同一存储媒体中的解密数据和加密数据判断是否解密成功

如果同一存储媒体中的解密串与存储在宿主机的安全芯片的信息一致，则解锁成功；反之不成功。

实施例二

请参考图2，图2为一种增强存储媒体安全性的系统的组成示意图，本发明实施例二提供了一种增强存储媒体安全性的系统，所述系统包括：

第一门限加密模块，用于基于多重门限加密方法对存储媒体接收的密钥集以及存储媒体对应的宿主机的信息加密，得到加密数据，并将加密数据存储到存储媒体对应的宿主机的安全芯片中；

在本发明实施例二中，所述第一获取模块的具体方式为：为每个参与用户获取一个随机数字，并根据参与用户对应随机数字和私钥获取哈希值，得到每个参与用户对应的安全私钥串，将每个参与用户对应的安全私钥串发送给第一智能合约模块。

在本发明实施例二中，所述第一智能合约模块的具体方式为：获取安全私钥串，所有参与用户使用各自的私钥对每个安全私钥串依次签名，得到每个安全私钥串对应的安全密钥，所有安全密钥组成密钥集，并将密钥集发送给存储媒体。

在本发明实施例二中，所述第二获取模块的具体方式为：根据门限值从参与用户中获取解密用户，为每个解密用户获取一个随机数字，并根据解密用户对应的随机数字和私钥获取哈希值，得到每个解密用户对应的解密私钥串，将每个解密用户对应的解密私钥串发送给第二智能合约模块。

在本发明实施例二中，所述第二智能合约模块的具体方式为：获取解密私钥串，参与用户使用各自的私钥对每个解密用户签名，得到每个解密私钥串对应的解密密钥，所有解密密钥组成解密集，并将解密集发送给存储媒体。

实施例三

本发明实施例三提供了一种电子装置，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述一种增强存储媒体安全性的方法的步骤。

其中，所述处理器可以是中央处理器，还可以是其他通用处理器、数字信号处理器、专用集成电路、现成可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的数据，实现发明中一种增强存储媒体安全性的装置的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等。此外，存储器可以包括高速随机存取存储器、还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡，安全数字卡，闪存卡、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

实施例四

本发明实施例四提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现所述一种增强存储媒体安全性的方法的步骤。

本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ReadOnlyMemory，ROM)、可擦式可编程只读存储器((ErasableProgrammableReadOnlyMemory，EPROM)或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims

1.一种增强存储媒体安全性的方法，其特征在于，包括：

确定参与用户数量A，每个参与用户生成对应的密钥；

通过比较同一存储媒体中的解密数据和加密数据判断是否解锁存储媒体成功；

其中，安全私钥串具体包括：

部署多重签名智能合约；

多重签名智能合约的输入参数为所有参与用户的私钥；

多重签名智能合约为每个参与用户生成一个随机数字；

2.根据权利要求1所述的一种增强存储媒体安全性的方法，其特征在于，根据多重签名智能合约对每个安全私钥串签名，得到每个安全私钥串对应的安全密钥，所有安全密钥组成密钥集，具体包括：

获取所有安全私钥串；

3.根据权利要求1所述的一种增强存储媒体安全性的方法，其特征在于，宿主机的信息包括宿主机的硬件BIOS信息和操作系统启动信息。

4.根据权利要求1所述的一种增强存储媒体安全性的方法，其特征在于，根据多重签名智能合约，获取解密用户的私钥对应的解密私钥串，根据多重签名智能合约对每个解密私钥串签名，得到每个解密私钥串对应的解密密钥，所有解密密钥组成解密集，具体包括：

多重签名智能合约为每个解密用户生成一个随机数字；

5.根据权利要求4所述的一种增强存储媒体安全性的方法，其特征在于，判断对每个解密用户签名的参与用户数量，若签名的参与用户数量大于或等于阈值C，则解密密钥安全，得到所有解密密钥组成解密集；若签名的参与用户数量小于阈值C，则解密密钥不安全，重新根据门限值B在参与用户中获取解密用户，所述阈值C为参与用户数量A的一半。

6.一种增强存储媒体安全性的系统，其特征在于，所述系统执行权利要求1-5中任一项所述的方法：

判断模块，用于比较同一存储媒体中的加密数据和解密数据，若加密数据和解密数据一致，则存储媒体解锁成功，若加密数据和解密数据不一致，则存储媒体解锁不成功。

7.根据权利要求6所述的一种增强存储媒体安全性的系统，其特征在于，还包括第一获取模块和第二获取模块；

8.一种电子装置，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-5中任意一个所述一种增强存储媒体安全性的方法的步骤。

9.一种存储介质，所述存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-5中任意一个所述一种增强存储媒体安全性的方法的步骤。