CN1661572A - 用于管理存储装置与主机设备间数据访问的方法 - Google Patents

Abstract

本发明提出一种对相互连接的存储装置与主机之间的数据访问进行管理的方法，该方法包括：在将存储装置与主机连接后，禁止所述存储装置与所述主机之间的的至少部分数据访问操作；识别所述存储装置与主机的对应关系；和根据识别结果确定是否允许所述存储装置与主机之间进行数据访问操作。利用本发明的方法，可以有效地管理对特定设备和特定数据信息的访问与操作，从而保护重要数据的安全。

Description

用于管理存储装置与主机设备间数据访问的方法

技术领域

本发明涉及存储装置的与主机设备间的数据访问管理，特别涉及一种能够通过身份识别而确定存储装置与主机是否允许进行操作的数据访问管理方法。

背景技术

随着包括闪存、移动硬盘等存储装置的广泛应用，与此相关的信息安全问题越来越突出。对安全问题敏感的单位或部门甚至特殊的个人需要防止其秘密资料通过存储装置泄漏。例如，需要防止有人随意读取存储在存储装置中的数据，或者防止有人通过存储装置非法盗取存储在主机设备中的数据等。因此，对存储装置安全、可控使用的需要将日趋增多。本发明就是在这样一种背景下而提出的。

本发明的内容

本发明的目的就是提供一种在相互连接的存储装置与主机之间的数据访问操作进行管理的方法。该方法可通过对相互连接的存储装置与主机设备间的特定关系的识别，来确定是否允许数据访问操作的进行。

本发明的在相互连接的存储装置与主机之间的数据访问进行管理的方法包括：在将存储装置与主机连接后，禁止所述存储装置与所述主机之间的至少部分数据访问操作；

识别所述存储装置与主机的对应关系；和

根据识别结果确定所述存储装置与主机之间的数据访问操作。

所述禁止存储装置与所述主机之间的数据访问操作是在主机对存储装置的配置过程中，用特定的信息对主机的询问作出应答而实现的。

其中用特定的应答信息包括：

1)将存储装置枚举为非存储类设备；或

2)将存储装置枚举为只读设备；或

3)将存储装置枚举为可读写设备，向主机报告部分容量，或将部分存储空间定义为只读

4)对划分为至少一个分区的存储装置，将其枚举为可读写设备类型，只报告其中部分分区。

当根据所述识别结果确定所述存储装置与主机之间的对应关系时，重新建立所述存储装置与主机之间的连接，并在主机对存储装置的配置过程中，用与所述存储装置相一致的信息对主机的询问作出应答。

利用所述主机、存储装置的标识或用户自定义的标识来建立所述存储装置与所述主机的对应关系。所述主机标识包括：主机操作系统序列号、CPU或硬盘的硬部件序号、主机名称、其他硬件设备编号或参数；所述存储装置标识包括：存储装置产品序号、存储装置附带的软件序号，或其他参数。所述用户自定义标识分别存入主机和存储装置中，以建立主机与存储装置的对应关系；

当使用主机标识时，通过将主机标识存入存储装置建立主机与存储装置对应关系，在存储装置中建立标识表，将主机标识列入该表中，所述表存储在所述存储装置的控制器或存储空间中。

当使用存储装置标识时，通过将所述存储装置标识存入主机建立主机与存储装置的对应关系，在主机中建立标识表，将所述存储装置标识列入该表中，所述表存储在主机的处理器或非易失性存储空间中。

本发明还提出一种对存储装置在网络设备中的访问进行管理的方法，该方法包括：

在将存储装置与网络设备连接后，禁止所述存储装置与所述网络设备之间的至少部分数据访问操作；

识别所述存储装置与所述网络设备之间的对应关系；和

根据识别结果确定所述存储装置与所述网络设备的数据访问操作和通过所述网络设备与网络中其它设备之间的数据访问操作。

利用所述主机、存储装置或用户自定义标识来建立所述存储装置与所述主机的对应关系。所述主机标识包括：主机操作系统序列号、CPU、硬盘或其他硬部件序号、主机名称、用户自定义的标识、统一编排的代号、主机IP地址、主机网卡号等参数；所述存储装置标识包括：存储装置产品序号、存储装置附带的软件序号，或其他参数。

本发明还包括对用户身份进行认证的步骤，该步骤包括：

预先设定用户对存储装置的访问权限，用户只能对存储装置进行访问权限内的数据访问操作；所述访问权限不超过主机对存储装置的访问权限；

在主机取得对存储装置的访问权限的情况下，允许身份认证合格的用户通过主机对存储装置进行该用户权限内的数据访问操作。

利用本发明的方法，可以有效地管理对特定设备和特定数据信息的访问与操作，从而保护重要数据的安全。

附图的简要说明

图1是本发明的一种实施方案的示意图；

图2是本发明的上述实施方案中的主机对存储装置进行初始化和配置的过程一例的流程图。

本发明的具体实施方式

以下结合附图，进一步详细说明本发明。

本发明的主要实现思想，就是在主机与存储装置之间建立对应的关系，当存储装置与主机建立连接后，需先确认这种对应关系，如果这种对应关系不存在，则使存储装置无法正常使用；反之若确认了这种对应关系，则开放存储装置的部分或全部数据访问操作，供用户使用。

可以通过设定主机与存储装置之间的对应标识的方法来建立这种对应关系。在这种情况下，若存储装置携带的标识与主机携带的标识不对应，则认证无法通过。

下面以存储装置与单个主机的操作为例，说明本发明的一种实现方式：

在该实施方式中，要预先选取主机与存储装置的对应标识。该对应标识可以是主机标识、存储装置标识或者用户自定义的标识。主机标识可以选取主机操作系统序列号、CPU或硬盘等硬部件序号、主机名称等，也可使用用户自定义的其它标识。存储装置标识可选取存储装置产品序号、存储装置附带的软件序号，或用户自定义的标识。用户需先使用该对应标识将主机与存储装置建立关联。

当使用主机标识时，建立主机与存储装置对应关系的方法是：将主机标识(可以经加密或变换后)存入存储装置。可以在存储装置中建立标识表，将主机标识列入该表中。该表的存储位置可以在存储装置的控制器或存储空间中等。

当使用存储装置标识时，建立主机与存储装置的对应关系是将存储装置标识(可以经加密或变换后)存入主机。类似地，可以在主机中建立标识表，将存储装置标识列入该表中。存储位置可以在主机的处理器或非易失性存储空间中。

当使用用户自定义标识时，建立主机与存储装置的对应关系是分别将标识(可以经加密或变换后)存入存储装置及主机。

在主机上还需要装入应用软件，存储装置上也需装入软件(可以固化在存储装置中)，用于进行对应标识的认证及实现正常数据存取功能。由于标识认证和数据存取功能都是采用现有技术的方法实现的，故此处不再赘述。标识认证可在主机端进行，也可在装置端进行。

当用户要在某台主机上使用存储装置时，先将存储装置与主机进行连接(例如插入主机相应接口)，在初始化后，先屏蔽存储装置的数据访问操作，使其处于不可能进行正常数据读写的状态，用户无法访问其内部存储的资料。只有进行对应标识的认证并通过认证，才使该存储装置开放其部分或全部数据访问操作，使用户能够访问存储的资料。

在本发明的该实施方式中，屏蔽存储装置的数据访问操作的做法是，将存储装置枚举为非存储类设备，使主机无法根据该设备类型正常配置使用该存储装置。只有在主机端安装了用于认证对应标识的应用软件，并且通过了认证的情况下，才开放其数据访问操作。开放数据访问操作的做法是：重新建立存储装置与主机之间的连接，将存储装置重新枚举为正常的设备类型，使主机能够正常使用存储装置，访问其中保存的重要资料，或从主机读取数据并保存在所述存储装置中。在本发明中，术语“数据访问操作”包括对数据的读、写、修改、目录操作、加密等操作。

根据采用主机标识或存储装置标识的不同，具体的流程会有细微差别：在使用主机标识时，存储装置连接到主机后，首先进行初始化过程(步骤101)。由于存储装置的初始化是现有技术，故在此不作赘述。在初始化完成之后，主机操作系统对该新连接设备发出问询命令，以获取连接的设备类型(步骤102)。存储装置接到该问询命令并根据预设的设备类型值(例如打印机、摄像头等)进行应答(步骤103)。主机则在收到上述应答后对该存储装置进行配置识别(步骤104)。本领域普通技术人员可以理解，新连接的设备对于主机操作系统的问询命令的应答将决定主机对设备的识别、配置以及随后的不同处理，包括存储装置是否可正常使用、是否开放全部数据访问操作等等。例如，如果应答设备类型为打印机，则主机无法访问存储装置的存储空间。

用户调用主机端的应用软件进行标识认证。用户只需启动认证程序即可，主机端应用软件和装置端软件可以自动执行标识认证；当然如果标识认证过程中需要用户提供信息，例如标识是由用户自定义，需要用户提供关键信息方可通过认证者，则需用户干预。具体过程例如可以是：通过该应用软件取得主机标识，并通过接口发送给存储装置。由存储装置端的软件(例如固化软件)将该主机标识与该存储装置预存的主机标识进行比较验证(步骤105)。若未通过认证(步骤106的否)，则存储装置返回错误信息，主机的应用软件确定该存储装置不可用(步骤107’)。反之，若通过认证(步骤106的是)，说明该主机与该存储装置具有对应关系，允许在该主机上使用该存储装置。

此时，存储装置端的软件发出复位命令，重新建立与主机的连接(步骤107)。此时流程与步骤101、102类似。存储装置初始化后主机发出询问命令(步骤108)，存储装置对该问询命令作出应答。此时，在应答中将该存储装置枚举为其正常的设备类型，如可移动磁盘(步骤109)。主机将根据该设备类型值，对存储装置进行配置。此时的存储装置部分或全部数据访问操作开放，用户可进行存储装置与主机之间的数据操作。

另一方面，在使用存储装置标识时，存储装置连接到主机后，同样首先进行初始化过程(步骤101)。初始化完成之后，主机操作系统对该新连接设备发出问询命令(步骤102)，以获取连接的设备类型。存储装置接到该问询命令并根据预设的设备类型值(例如光盘驱动器等)进行应答(步骤103)。在这种情况下，主机将以该预设的设备类型(即光盘驱动器设备类型)对存储装置进行识别、配置(步骤104)，配置完毕后，存储装置的数据访问操作被屏蔽，主机无法与存储装置进行数据访问的操作。

此时，用户调用主机端的应用软件进行标识认证，该应用软件从存储装置处取得存储装置标识，由主机端的应用软件将该存储装置标识与预存入的存储装置标识进行比较验证(步骤105)。若通过认证，说明该主机与该存储装置具有对应关系，允许在该主机上使用该存储装置，则存储装置端的软件发出复位命令，断开再重新建立与主机的连接(步骤107)。此时流程与前述步骤类似，存储装置初始化后主机发出询问命令(步骤108)。存储装置对该问询命令作出应答。在这种情况下，存储装置的应答将该存储装置枚举为其正常的设备类型，如可移动磁盘(步骤109)。主机将根据该设备类型值，对存储装置进行配置。此时的存储装置数据访问开放，用户可以在主机与存储装置间进行数据访问的操作。

参考图2，下面说明根据在本发明上述实施方式中主机对存储装置的初始化及配置过程，对其他设备类型其原理是类似的。

如图2所示，用户将存储装置接入到主机的对应接口(步骤201)。主机的对应接口检测到有设备接入，将向接入的存储装置供电(步骤202)。

接着，主机向存储装置发出问询指令，询问存储装置的描述符。存储装置根据问询指令，从控制器中获取设备描述符。该设备描述符含有标志，表明存储装置允许产生多个盘符。存储装置将该设备描述符返回给主机(步骤203)。主机接收到该描述符后，为存储装置分配逻辑地址(步骤204)。

接下来，主机再次发出问询指令，询问配置、端点、接口描述符，存储装置根据该问询指令获得上述描述符返回给主机(步骤205)。所述描述符包含支持最大逻辑单元数(LUN)的信息，即要求产生多少个盘符的标志。主机对返回的描述符进行检验，检查描述符是否符合规范(步骤206)。如果不合规范则禁止配置该设备，返回到第一次问询描述符之前，再次进行询问(步骤207’)。如果第三次获得的描述符仍不符合规范，则停止询问，不再进行设备的配置。

如果描述符符合规范，则主机向存储装置发出准许配置设备的指令(步骤207)，开始进行一系列存储装置配置操作：

主机发出问询指令，询问设备相关信息(步骤208)，该信息包括设备厂商名、产品名、存储容量等，启动相应设备驱动程序，选择接口、端点(管道)，确定传输方式。存储装置应答该问询指令，返回上述信息(步骤209)。主机根据存储装置的要求，为存储装置分配一个或多个盘符(步骤210)。至此，主机对存储装置的识别、配置过程完毕。

下面说明屏蔽部分或全部存储装置访问操作的方法：

1、将存储装置枚举为非存储类型设备，此时主机操作系统上不显示盘符，而只显示设备，能够完全禁止对存储区域中的数据的任何访问；

2、将存储装置枚举为光驱类设备，此时显示盘符，但只能读，不能写；

3、将存储装置枚举为磁盘类型，即存储装置正常的设备类型，可在初始化过程中，向主机报告一个很小的容量。如图2中的步骤208，主机询问存储装置容量，存储装置根据预设报告一个小容量，此时主机只能读取该容量数据；还可将该容量的存储空间定义为只读；

4、将存储装置划分为多个区，与主机连接后枚举为正常类型，但只向主机报告其中的部分分区，存有重要数据的分区不报告给主机，此时主机只能对部分分区作数据操作，而存有重要数据的分区在操作系统中不可见，也就不可访问。如图2中203、206步骤，主机询问存储装置盘符的数量，可根据预先设置报告部分盘符。

以上是对本发明基本技术方案的描述。在此基础上，还可加入身份认证机制，使用户必须通过主机端应用程序对其身份的验证。此外，还可结合主机访问级别控制机制，使主机必须通过对应标识的验证，用户方可通过该主机对存储装置进行用户权限内和主机访问级别内的访问操作。

根据本发明的上述方法还可沿用到网络中。该网络可以是一个包含多台计算机的局域网，也可以是包含多台计算机的工作组等等。在网络中实现本发明方法的原理与上述单机例子中的类似。即设置存储装置与网络设备如网络计算机间的对应标识，并使用该标识在多台主机与多个存储装置之间建立对应关系。

如果采用主机标识，则取值除上述多种主机特征值之外，还可以是统一编排的代号、主机IP地址、主机网卡号等。可在存储装置中建立对应标识表，将所有允许访问存储装置的主机标识保存在其中以供查找。可以采用某个预定的规则。当主机标识符合该规则时，该主机被认为是允许访问存储装置的。例如该规则可以是主机的IP地址必须在某个范围内。

在把存储装置与网络中的一台设备如计算机连接时，存储装置仍要先屏蔽数据访问操作，只有在通过对应标识的验证后，才开放部分或全部数据访问操作。

此外，在验证对应标识的过程中，除可以单机验证之外，还可以设置服务器，通过该服务器对网络内部的多台主机进行验证。以确定是否允许所述存储装置与直接连接的某台主机进行数据操作、或所述存储装置通过该直接连接的主机与网络中的其它设备进行数据操作。在这种情况下，对应标识及其验证可采用公钥机制。

另外，还可引入OTG机制，即存储装置可作为主设备，对与其连接的外部设备进行对应标识的认证；也可以作为从设备，由连接的主机对存储装置进行对应标识认证。

显然，在由权利要求所限定的本发明的范围内，可以对本发明的实施方式作出各种修改和变化。因此，本发明的权利要求的保护范围将包括这些等同的修改和变化。

Claims (14)

1.一种对相互连接的存储装置与主机之间的数据访问进行管理的方法，该方法包括：

在将存储装置与主机连接后，禁止所述存储装置与所述主机之间的至少部分数据访问操作；

识别所述存储装置与主机的对应关系；和

根据识别结果确定所述存储装置与主机之间的数据访问操作。

2.根据权利要求1所述的方法，其特征在于，所述禁止存储装置与所述主机之间的数据访问操作是在主机对存储装置的配置过程中，用特定的信息对主机的询问作出应答而实现的。

3.根据权利要求2所述的方法，其中所述用特定的应答信息包括：

1)将存储装置枚举为非存储类设备；或

2)将存储装置枚举为只读设备；或

3)将存储装置枚举为可读写设备，向主机报告部分容量，或将部分存储空间定义为只读

4)对划分为至少一个分区的存储装置，将其枚举为可读写设备类型，只报告其中部分分区。

4.根据权利要求2所述的方法，其特征在于，当根据所述识别结果确定所述存储装置与主机之间的对应关系时，重新建立所述存储装置与主机之间的连接，并在主机对存储装置的配置过程中，用与所述存储装置相一致的信息对主机的询问作出应答。

5.根据权利要求1所述的方法，其特征在于，利用所述主机、存储装置的标识或用户自定义的标识来建立所述存储装置与所述主机的对应关系。

6.根据权利要求5所述的方法，其特征在于，

所述主机标识包括：主机操作系统序列号、CPU或硬盘的硬部件序号、主机名称、其他硬件设备编号或参数；

所述存储装置标识包括：存储装置产品序号、存储装置附带的软件序号，或其他参数。

所述用户自定义标识分别存入主机和存储装置中，以建立主机与存储装置的对应关系；

7.根据权利要求5所述的方法，其特征在于，当使用主机标识时，通过将主机标识存入存储装置建立主机与存储装置对应关系。

8.根据权利要求7所述的方法，其特征在于，在存储装置中建立标识表，将主机标识列入该表中，所述表存储在所述存储装置的控制器或存储空间中。

9.根据权利要求5所述的方法，其特征在于，当使用存储装置标识时，通过将所述存储装置标识存入主机建立主机与存储装置的对应关系。

10.根据权利要求9所述的方法，其特征在于，在主机中建立标识表，将所述存储装置标识列入该表中，所述表存储在主机的处理器或非易失性存储空间中。

11.一种对存储装置在网络设备中的访问进行管理的方法，该方法包括：

在将存储装置与网络设备连接后，禁止所述存储装置与所述网络设备之间的至少部分数据访问操作；

识别所述存储装置与所述网络设备之间的对应关系；和

根据识别结果确定所述存储装置与所述网络设备的数据访问操作和通过所述网络设备与网络中其它设备之间的数据访问操作。

12.根据权利要求11所述的方法，其特征在于，利用所述主机、存储装置或用户自定义标识来建立所述存储装置与所述主机的对应关系。

13.根据权利要求12所述的方法，其特征在于，所述主机标识包括：主机操作系统序列号、CPU、硬盘或其他硬部件序号、主机名称、用户自定义的标识、统一编排的代号、主机IP地址、主机网卡号等参数；

所述存储装置标识包括：存储装置产品序号、存储装置附带的软件序号，或其他参数。

14.根据权利要求1或11所述的方法，其特征在于，还包括对用户身份进行认证的步骤，该步骤包括：

预先设定用户对存储装置的访问权限，用户只能对存储装置进行访问权限内的数据访问操作；所述访问权限不超过主机对存储装置的访问权限；

在主机取得对存储装置的访问权限的情况下，允许身份认证合格的用户通过主机对存储装置进行该用户权限内的数据访问操作。

Images