CN113485757A

CN113485757A - 一种系统启动过程中的解密方法、装置、设备及存储介质

Info

Publication number: CN113485757A
Application number: CN202110829154.1A
Authority: CN
Inventors: 林东森
Original assignee: Beijing Qingyun Science And Technology Co ltd
Current assignee: Beijing Qingyun Science And Technology Co ltd
Priority date: 2021-07-22
Filing date: 2021-07-22
Publication date: 2021-10-08

Abstract

本发明实施例公开了一种系统启动过程中的解密方法、装置、设备及存储介质，该方法包括：当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；根据所述启动代码中的密码字符串确定解密密码；根据所述解密密码对硬盘的引导分区进行解密。解决了现有技术中操作系统启动过程中必须用户输入密码才可以对引导分区进行解密，进而读取引导文件进行系统的问题。无需与用户交互获取用户输入的密码进行解密，更加灵活方便，且由于对引导文件所在的引导分区进行了加密，不容易被注入恶意代码，更加安全。通过对启动代码进行修改，增加自动解密的功能，实现对引导分区的自动解密，即保证了数据安全，又简化了用户操作，提高用户体验。

Description

一种系统启动过程中的解密方法、装置、设备及存储介质

技术领域

本发明实施例涉及计算机及通信技术领域，尤其涉及一种系统启动过程中的解密方法、装置、设备及存储介质。

背景技术

使用LUKS对硬盘加密，具体是指对硬盘的各个分区进行了LUKS的格式化，并在此基础上建立文件系统(如xfs,ext4等)来使用，从而在数据存储过程中实现数据的加密。

云平台基础设施即服务(Infrastructure as a Service，IAAS)来说，其提供的虚拟机如果没有进行硬盘的加密，就会有数据泄漏风险，一般运维人员拿到硬盘后，就可以直接读取其中的内容。在一些黑盒服务的场景下，像封闭式x86/arm架构下的服务盒子，软路由、电视盒子之类，操作者轻易就能通过某些工具获取到硬盘数据，如引导启动U盘上的操作系统，然后挂载盒子的硬盘做改动。如果硬盘没有加密，就会有敏感数据泄漏的风险。

现有技术中无法对boot分区“自动解密”，由于启动代码需要读取boot分区的引导文件才能正常引导操作系统启动，所以启动代码要求输入密码以解密boot分区，需要人机交互。上述方式存在一定的缺点：加密的硬盘需要交互式地输入密码；不加密的话，引导文件暴露在外，容易被注入恶意代码。

发明内容

本发明提供一种系统启动过程中的解密方法、装置、设备及存储介质，以实现系统的自动启动。

第一方面，本发明实施例提供了一种系统启动过程中的解密方法，所述系统启动过程中的解密方法包括：

当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；

根据所述启动代码中的密码字符串确定解密密码；

根据所述解密密码对硬盘的引导分区进行解密。

进一步地，在所述当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码之前，还包括：

接收用户输入的初始密码；

根据所述初始密码确定密码字符串；

将所述密码字符串按照第一预设位置写入到启动代码中。

进一步地，在所述获取所述自身终端中硬盘的启动代码之前，还包括：

确定启动代码的存储区域。

进一步地，所述确定启动代码的存储区域，包括：

将所述自身终端的硬盘确定为所述启动代码的存储区域；或者，

确定与所述自身终端连接的存储装置，将所述存储装置确定为所述启动代码的存储区域。

进一步地，获取所述自身终端中硬盘的启动代码，包括：

获取所述存储区域中第二预设位置的主引导记录和夹层区数据；

根据所述主引导记录和夹层区数据确定启动代码。

进一步地，所述根据所述启动代码中的密码字符串确定解密密码，包括：

调用解密函数；

通过所述解密函数按照预设的解密算法对密码字符串进行解密，得到解密密码。

进一步地，该方法还包括：

获取所述引导分区中的引导文件；

根据所述引导文件引导所述自身终端的操作系统启动。

第二方面，本发明实施例还提供了一种系统启动过程中的解密装置，该系统启动过程中的解密装置包括：

代码获取模块，用于当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；

密码确定模块，用于根据所述启动代码中的密码字符串确定解密密码；

解密模块，用于根据所述解密密码对硬盘的引导分区进行解密。

第三方面，本发明实施例还提供了一种计算机设备，该设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如本发明实施例中任一所述的一种系统启动过程中的解密方法。

第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明实施例中任一所述的一种系统启动过程中的解密方法。

本发明实施例提供了一种系统启动过程中的解密方法、装置、设备及存储介质，当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；根据所述启动代码中的密码字符串确定解密密码；根据所述解密密码对硬盘的引导分区进行解密。解决了现有技术中操作系统启动过程中必须用户输入密码才可以对引导分区进行解密，进而读取引导文件进行系统的问题。无需与用户交互获取用户输入的密码进行解密，更加灵活方便，且由于对引导文件所在的引导分区进行了加密，不容易被注入恶意代码，更加安全。通过对启动代码进行修改，增加自动解密的功能，实现对引导分区的自动解密，即保证了数据安全，又简化了用户操作，提高用户体验。

附图说明

图1是本发明实施例一中的一种系统启动过程中的解密方法的流程图；

图2是本发明实施例二中的一种系统启动过程中的解密方法的流程图；

图3是本发明实施例三中的一种系统启动过程中的解密装置的结构示意图；

图4是本发明实施例四中的一种计算机设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施例方式作进一步地详细描述。应当明确，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请的描述中，需要理解的是，术语“第一”、“第二”、“第三”等仅用于区别类似的对象，而不必用于描述特定的顺序或先后次序，也不能理解为指示或暗示相对重要性。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本申请中的具体含义。此外，在本申请的描述中，除非另有说明，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

实施例一

图1给出了本申请实施例一提供的一种系统启动过程中的解密方法的流程示意图，该方法适用于在进行系统启动过程中对引导分区进行解密的情况。该方法可以由计算机设备执行，该计算机设备可以是两个或多个物理实体构成，也可以是一个物理实体构成。一般而言，计算机设备可以是笔记本、台式计算机以及智能平板等。

需要说明的是，本实施例实现系统启动过程中的解密方法的应用环境可描述为：操作系统在启动时，首先需要通过启动代码读取boot分区的引导文件，通过引导文件正常引导操作系统启动。现有实现方案中，读取boot分区时需要对分区进行解密，或者分区没有加密，直接读取，无需解密。上述方式中，如果解密需要用户手动输入密码进行解密；如果分区不进行加密，引导文件暴露在外，容易被注入恶意代码。由于需要用户输入密码，操作不够灵活，并且若不进行加密无法保证文件数据的安全性。

本实施例提供的系统启动过程中的解密方法能够对引导文件所在的引导分区自动进行解密，实现操作灵活、且安全性高的效果，以此来克服现有技术方案所存在的问题。

如图1所示，本实施例一提供的一种系统启动过程中的解密方法，具体包括如下步骤：

S110、当检测到自身终端启动后，获取自身终端中硬盘的启动代码。

在本实施例中，自身终端具体可以理解为执行系统启动过程中解密方法的终端设备，由于本申请是系统进行启动过程中对引导分区(boot分区)进行解密的方法，所以解密方法需部署在具有启动需求的设备上。启动代码是系统一上电就执行的一段程序，用于引导操作系统启动。

具体的，监测自身终端的启动状态，即是否上电。由于自身终端启动操作系统正常运行所需的大部分软件都存储在硬盘上，因此自身终端具有一个对应的硬盘，安装在自身终端中。当检测到自身终端启动后，获取硬盘的启动代码，以便引导操作系统启动。启动代码可以存储在自身终端中，也可以存储到其他的存储器或者存储装置中。

S120、根据启动代码中的密码字符串确定解密密码。

在本实施例中，密码字符串具体可以理解为用于解密引导分区密码的字符串。解密密码具体可以理解为解密引导分区的密码。

具体的，通常密码字符串以常量的形式写入到启动代码中，只要知道密码字符串多对应的常量名称，即可知道密码字符串。分析启动代码，确定密码字符串，对密码字符串进行解密，确定密码字符串所对应的解密密码。

本申请通过对启动代码进行修改，加入解密引导分区的方法，既保证了数据安全，又可以实现启动流程无交互。引导文件无需定制化，升级内核可以采用正常流程进行升级，不会增加工作量。将包括引导分区的所有硬盘分区都保护起来，做到全硬盘数据加密，使操作者无介入之空间。

S130、根据解密密码对硬盘的引导分区进行解密。

具体的，在获取到解密密码后，将解密密码作为引导分区的密码，自动对硬盘的引导分区进行解密，实现数据解密。在对引导分区进行解密时，识别引导分区的标识符，并进行解密。解密密码也可以做到所有分区都解密，但是此时进行系统启动仅需要引导分区，因此仅对引导分区进行解密即可，其它分区的解密工作可以由引导文件完成。

本发明实施例提供了一种系统启动过程中的解密方法，当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；根据所述启动代码中的密码字符串确定解密密码；根据所述解密密码对硬盘的引导分区进行解密。解决了现有技术中操作系统启动过程中必须用户输入密码才可以对引导分区进行解密，进而读取引导文件进行系统的问题。无需与用户交互获取用户输入的密码进行解密，更加灵活方便，且由于对引导文件所在的引导分区进行了加密，不容易被注入恶意代码，更加安全。通过对启动代码进行修改，增加自动解密的功能，实现对引导分区的自动解密，即保证了数据安全，又简化了用户操作，提高用户体验。

实施例二

图2为本发明实施例二提供的一种系统启动过程中的解密方法的流程图。本实施例的技术方案在上述技术方案的基础上进一步细化，具体主要包括如下步骤：

S201、接收用户输入的初始密码。

在本实施例中，初始密码具体可以理解为用户所设置的引导分区解密密码，用户可以是使用终端的用户，也可以是研发人员，即出厂前或者系统使用前，由研发人员设置初始密码，保证数据的安全。

具体的，初始密码可以根据字符集进行设置，涵盖的范围更加广泛，相比于键盘上可以直接键入的字母、数字、符号，其复杂度更高，安全性也更高。

S202、根据初始密码确定密码字符串。

对初始密码进行加密处理，例如，采用一定的加密算法进行加密，或者二进制转换，将其转换为二进制数据。通过对初始密码进行加密处理，得到密码字符串，实现密码加密。

S203、将密码字符串按照第一预设位置写入到启动代码中。

在本实施例中，第一预设位置具体可以理解为代码中对密码字符串进行数据写入的位置。在编写启动代码时，预先确定在进行程序编写及函数调用时，定义密码字符串的第一预设位置，将密码字符串按照相应的位置写入到启动代码中。

S204、当检测到自身终端启动后，确定启动代码的存储区域。

在本实施例中，存储区域具体可以理解为启动代码的存储位置。在获取启动代码前首先需要确定启动代码的存储区域，因此，当检测到自身终端启动后，确定启动代码的存储区域。存储区域可以是已知的固定区域，在自身终端启动后，从已知的存储区域中获取启动代码。或者，存储区域不固定，需要自身终端在启动后检查可能作为存储区域的数据存储位置，进而确定存储区域。

作为本实施例的一个可选实施例，本可选实施例进一步将所述确定启动代码的存储区域优化为：将所述自身终端的硬盘确定为所述启动代码的存储区域；或者，确定与所述自身终端连接的存储装置，将所述存储装置确定为所述启动代码的存储区域。

在本实施例中，存储装置可以是任意可进行数据存储的存储器，例如U盘。

启动代码可以存储在自身终端的硬盘中，也可以存储在外接的存储装置中。可以预先告知执行方法的终端设备启动代码的存储区域，在自身终端启动后，直接将已知的存储启动代码的位置确定为存储区域。或者，首先检查自身终端的硬盘，判断硬盘中是否存储了启动代码，若是，将硬盘确定为存储区域；否则，判断是否存在与自身终端进行连接的存储装置，若是，确定与自身终端连接的存储装置，并将存储装置确定为存储区域。

本申请提供两种启动代码的存储方式，可以根据需求将其存储在终端设备的硬盘中，此种方式系统启动更加快速、便捷；或者，将启动代码做成硬件形式的解密钥匙单独放置在存储装置中，避免没有权限的用户随意对设备系统进行操作，即用户可以保存自己设备的启动代码，只有具有启动代码的用户可以启动操作系统，提高了设备及数据的安全性。

S205、获取存储区域中第二预设位置的主引导记录和夹层区数据。

在本实施例中，第二预设位置具体可以理解为预先确定的数据存储位置。主引导记录即为master boot record(MBR)，保存了boot.img数据，夹层区数据保存在夹层区(embedding area)，夹层区数据包括了core.img数据。主引导记录和夹层区通常的容量总大小是1MiB,保存在硬盘或存储装置的头部，记录着分区表、boot.img和core.img。

S206、根据主引导记录和夹层区数据确定启动代码。

根据主引导记录和夹层区数据中的boot.img和core.img确定启动代码，boot.img和core.img是根据环境动态生成的。

S207、调用解密函数。

在本实施例中，解密函数具体可以理解为实现密码解密功能的函数方法。在交互式提示输入密码的函数里或此函数调用之前加入解密函数，跳过人机交互的代码。

S208、通过解密函数按照预设的解密算法对密码字符串进行解密，得到解密密码。

在本实施例中，解密算法可以是AES、DES、3DES、RSA、ECC、DSA等，也可以是二进制转换、字符集转换等。

具体的，预先确定解密算法，解密算法与根据初始密码确定密码字符串所采用的处理方式相关。根据初始密码确定密码字符串为加密过程，解密算法应用在解密过程中，因此，解密算法与加密过程相关。解密函数按照预设的解密算法对密码字符串进行解密处理，得到解密后的解密密钥。

本申请所提供的系统启动解密方法中，对全盘进行加密，自动解密。尤其适用于“黑盒子”服务模式，其操作者无法访问操作系统(关闭ssh、console等运维入口)，这种场景下可以“零信任”对外发布系统镜像，无需担心系统被登录、恶意操作等。

S209、根据解密密码对硬盘的引导分区进行解密。

S210、获取引导分区中的引导文件。

在本实施例中，引导文件的作用是加载操作系统、解密根分区等其它加密的硬盘分区。在引导分区解密后，获取引导分区中的引导文件。

S211、根据引导文件引导所述自身终端的操作系统启动。

引导文件加载操作系统，引导自身终端的操作系统启动。

系统启动流程示例性的分为如下步骤：1、载入启动代码中的boot.img；2、载入启动代码中的core.img；3、确定解密密码；4、识别引导分区唯一识别码(uuid)，根据解密密码对引导分区进行解密；5、加载引导分区中的引导文件，引导操作系统启动。

本发明实施例提供了一种系统启动过程中的解密方法，当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；根据所述启动代码中的密码字符串确定解密密码；根据所述解密密码对硬盘的引导分区进行解密。解决了现有技术中操作系统启动过程中必须用户输入密码才可以对引导分区进行解密，进而读取引导文件进行系统的问题。无需与用户交互获取用户输入的密码进行解密，更加灵活方便，且由于对引导文件所在的引导分区进行了加密，不容易被注入恶意代码，更加安全。通过对启动代码进行修改，增加自动解密的功能，实现对引导分区的自动解密，即保证了数据安全，又简化了用户操作，提高用户体验。本申请提供两种启动代码的存储方式，考虑用户的不同需求，存储在终端设备的硬盘中，系统启动更加快速、便捷；或者，将启动代码放置在存储装置中，避免没有权限的用户随意对设备系统进行操作，提高了设备及数据的安全性。对数据进行全盘加密，自动解密，提高数据安全性。

实施例三

图3为本发明实施例三提供的一种系统启动过程中的解密装置的结构示意图，该装置包括：代码获取模块31、密码确定模块32和解密模块33。

其中，代码获取模块31，用于当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；密码确定模块32，用于根据所述启动代码中的密码字符串确定解密密码；解密模块33，用于根据所述解密密码对硬盘的引导分区进行解密。

本发明实施例提供了一种系统启动过程中的解密装置，当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码；根据所述启动代码中的密码字符串确定解密密码；根据所述解密密码对硬盘的引导分区进行解密。解决了现有技术中操作系统启动过程中必须用户输入密码才可以对引导分区进行解密，进而读取引导文件进行系统的问题。无需与用户交互获取用户输入的密码进行解密，更加灵活方便，且由于对引导文件所在的引导分区进行了加密，不容易被注入恶意代码，更加安全。通过对启动代码进行修改，增加自动解密的功能，实现对引导分区的自动解密，即保证了数据安全，又简化了用户操作，提高用户体验。

进一步地，该装置还包括：

接收模块，用于接收用户输入的初始密码；

字符串确定模块，用于根据所述初始密码确定密码字符串；

写入模块，用于将所述密码字符串按照第一预设位置写入到启动代码中。

进一步地，该装置还包括：

区域确定模块，用于确定启动代码的存储区域。

进一步地，区域确定模块包括：

第一区域确定单元，用于将所述自身终端的硬盘确定为所述启动代码的存储区域；或者，

第二区域确定单元，用于确定与所述自身终端连接的存储装置，将所述存储装置确定为所述启动代码的存储区域。

进一步地，代码获取模块31，包括：

数据获取单元，用于获取所述存储区域中第二预设位置的主引导记录和夹层区数据；

代码确定单元，用于根据所述主引导记录和夹层区数据确定启动代码。

进一步地，密码确定模块32，包括：

函数调用单元，用于调用解密函数；

密码确定单元，用于通过所述解密函数按照预设的解密算法对密码字符串进行解密，得到解密密码。

进一步地，该装置还包括：

文件获取单元，用于获取所述引导分区中的引导文件；

启动单元，用于根据所述引导文件引导所述自身终端的操作系统启动。

本发明实施例所提供的系统启动过程中的解密装置可执行本发明任意实施例所提供的系统启动过程中的解密方法，具备执行方法相应的功能模块和有益效果。

实施例四

图4为本发明实施例四提供的一种计算机设备的结构示意图，如图4所示，该设备包括处理器40、存储器41、输入装置42和输出装置43；设备中处理器40的数量可以是一个或多个，图4中以一个处理器40为例；设备中的处理器40、存储器41、输入装置42和输出装置43可以通过总线或其他方式连接，图4中以通过总线连接为例。

存储器41作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及模块，如本发明实施例中的系统启动过程中的解密方法对应的程序指令/模块(例如，系统启动过程中的解密装置中的代码获取模块31、密码确定模块32和解密模块33)。处理器40通过运行存储在存储器41中的软件程序、指令以及模块，从而执行设备的各种功能应用以及数据处理，即实现上述的系统启动过程中的解密方法。

存储器41可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储器41可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储器41可进一步包括相对于处理器40远程设置的存储器，这些远程存储器可以通过网络连接至设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置42可用于接收输入的数字或字符信息，以及产生与设备的用户设置以及功能控制有关的键信号输入。输出装置43可包括显示屏等显示设备。

实施例五

本发明实施例五还提供一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行一种系统启动过程中的解密方法，该方法包括：

根据所述启动代码中的密码字符串确定解密密码；

根据所述解密密码对硬盘的引导分区进行解密。

当然,本发明实施例所提供的一种包含计算机可执行指令的存储介质,其计算机可执行指令不限于如上所述的方法操作,还可以执行本发明任意实施例所提供的系统启动过程中的解密方法中的相关操作。

通过以上关于实施方式的描述，所属领域的技术人员可以清楚地了解到，本发明可借助软件及必需的通用硬件来实现，当然也可以通过硬件实现，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如计算机的软盘、只读存储器(Read-Only Memory,ROM)、随机存取存储器(RandomAccess Memory,RAM)、闪存(FLASH)、硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

值得注意的是，上述系统启动过程中的解密装置的实施例中，所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims

1.一种系统启动过程中的解密方法，其特征在于，包括：

根据所述启动代码中的密码字符串确定解密密码；

根据所述解密密码对硬盘的引导分区进行解密。

2.根据权利要求1所述的方法，其特征在于，在所述当检测到自身终端启动后，获取所述自身终端中硬盘的启动代码之前，还包括：

接收用户输入的初始密码；

根据所述初始密码确定密码字符串；

将所述密码字符串按照第一预设位置写入到启动代码中。

3.根据权利要求1所述的方法，其特征在于，在所述获取所述自身终端中硬盘的启动代码之前，还包括：

确定启动代码的存储区域。

4.根据权利要求3所述的方法，其特征在于，所述确定启动代码的存储区域，包括：

5.根据权利要求3所述的方法，其特征在于，获取所述自身终端中硬盘的启动代码，包括：

根据所述主引导记录和夹层区数据确定启动代码。

6.根据权利要求1所述的方法，其特征在于，所述根据所述启动代码中的密码字符串确定解密密码，包括：

调用解密函数；

7.根据权利要求1-6任一项所述的方法，其特征在于，还包括：

获取所述引导分区中的引导文件；

根据所述引导文件引导所述自身终端的操作系统启动。

8.一种系统启动过程中的解密装置，其特征在于，包括：

9.一种计算机设备，其特征在于，所述设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的一种系统启动过程中的解密方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一所述的系统启动过程中的解密方法。