CN201199439Y

CN201199439Y - 一种移动存储装置

Info

Publication number: CN201199439Y
Application number: CNU2008200804224U
Authority: CN
Inventors: 陈永凡; 邓所云; 高雁翔
Original assignee: Individual
Current assignee: Individual
Priority date: 2008-05-07
Filing date: 2008-05-07
Publication date: 2009-02-25
Anticipated expiration: 2018-05-07

Abstract

本实用新型公开了一种移动存储装置，包括USB接口模块、USB/IDE转换芯片、微处理器、存储芯片、输入模块、智能IC卡、噪声芯片、FPGA芯片、算法芯片和硬盘，USB/IDE转换芯片分别连接USB接口模块和FPGA芯片，算法芯片与FPGA芯片连接，微处理器分别与FPGA芯片、存储芯片、输入模块、智能IC卡和噪声芯片连接，硬盘与FPGA芯片连接。采用了本实用新型的技术方案，能够保证只有合法的用户才能使用移动存储装置内的数据，即使该移动存储装置丢失也不会泄漏其中的数据。

Description

一种移动存储装置

技术领域

本实用新型涉及数据安全技术领域，尤其涉及一种移动存储装置。

背景技术

移动存储产品给广大用户的数据存储和交换带来了巨大的方便的同时，也带来了不可忽视的安全问题，移动存储产品的便携性导致的数据丢失屡屡发生，给用户带来了巨大的损失。特别是政府和军队用户，由于其数据的敏感性，数据存储安全性往往是其优先考虑的一个方面。安全移动硬盘主要用于加密存储(备份)计算机中敏感的信息，解决目前普遍存在的由于普通移动硬盘非法使用和丢失导致的信息泄露问题。

综合目前国内外安全移动硬盘的技术现状，安全移动硬盘的加密方式有两种：软件加密和硬件加密。软件加密是通过在移动存储设备中植入一些加密软件来实现的，这种加密方式的缺点是易于被破译，用户在使用移动硬盘的时候需要在计算机上安装一个具有安全功能的软件，此软件和移动硬盘配合解决用户的安全需求。

从技术上来说，采用软件加密技术而具备加密功能的硬盘，虽然实现比较简单，对产品成本也不会造成明显的提升，但在使用中却存在一些问题：首先，软件加密对每一组数据进行加密的算法基本上是通用的。如果别人得到硬盘，基于通用算法使得破解速度大大加快；其次，软件加密需要驱动程序支持。这使得加密硬盘在各计算机间的“可移植”性不强；第三，软件加密的数据处理要完全在计算机中完成，占用CPU资源，明显降低了实际数据传输速度；第四，软件加密技术由于其环境的限制，无法实现安全的密钥管理，来充分保证用户数据安全。

另一种采用硬件的方式进行加密，其主要是通过加密芯片对硬盘中的每一个字符、每一个数据进行加密。因此，硬件加密技术可对整个硬盘数据进行加密，可有效保护硬盘上的全部数据。由于采用硬件加密技术，还能避免系统资源消耗，读写时不会发生延迟。采用硬件加密技术的硬盘具有加密速度快、安全性强、对用户完全透明等特点，可以为用户的数据安全提供更为可靠的保证。

现有安全移动硬盘通过硬件方式加密的技术方案：

1、采用密码芯片对进出硬盘的数据流进行加解密，加解密用的密钥通过安全移动硬盘本身的键盘输入的口令获得。口令直接作为密钥，或者口令作为产生加解密密钥的一个种子。

2、用户要使用安全移动硬盘，在产品通过数据线连接到计算机上之后，必须通过安全移动硬盘本身的键盘界面输入合法的口令；否则，不能获得其中的数据。

此方案也存在严重的安全漏洞：安全移动硬盘本身提供的键盘较为简单，可以利用穷举的方式轻易获得合法的口令；即使设置了输入口令的次数限制，可以利用逆向工程，从产品内的芯片内读取程序代码，剔掉限制口令的部分代码，即可以利用穷举的方式轻易获得合法的口令。

实用新型内容

本实用新型的目的在于提出一种移动存储装置，能够保证只有合法的用户才能使用移动存储装置内的数据，即使该移动存储装置丢失也不会泄漏其中的数据。

为达此目的，本实用新型采用以下技术方案：

一种移动存储装置，包括USB接口模块、USB/IDE转换芯片、微处理器、存储芯片、输入模块、智能IC卡、噪声芯片、FPGA芯片、算法芯片和硬盘，所述USB/IDE转换芯片分别连接所述USB接口模块和所述FPGA芯片，用于将所述USB接口模块和所述FPGA芯片之间的USB信号和IDE信号相互进行转换，所述FPGA芯片用于IDE信号截获、数据加解密、IDE信号重构功能，所述算法芯片与所述FPGA芯片连接，供FPGA芯片加解密IDE数据时调用，所述微处理器分别与所述FPGA芯片、存储芯片、输入模块、智能IC卡和噪声芯片连接，所述微处理器用于管理所述智能IC卡、从所述噪声芯片采集随机数、认证登录用户和构造所述FPGA芯片，所述存储芯片用于保存所述硬盘和智能IC卡绑定时的部分认证信息和所述FPGA芯片构造数据，所述输入模块用于获取用户口令和提示用户相应的操作信息，所述智能IC卡用于存储用户认证信息和启动参数，所述噪声芯片用于提供随机数，所述硬盘与所述FPGA芯片连接，用于存储用户数据。

所述智能IC卡进一步包括管理IC卡和用户IC卡，所述用户IC卡用于保存用户身份认证信息，所述管理IC卡用于管理所述用户IC卡和密钥。

所述输入模块进一步包括液晶显示屏和键盘，所述输入模块也可以为指纹采集模块。

还包括电源模块，用于提供电力。

还包括复位模块，用于所述移动存储装置状态的复位。

所述硬盘为2.5英寸硬盘，也可为PC机硬盘。

采用了本实用新型的技术方案，只有合法的用户才能使用移动存储装置内的数据，没有掌握认证手段的非法用户不能访问移动存储装置；存储在移动存储装置内的数据必须是经过加密的，即使移动存储装置丢失也不能泄漏其中的数据，即加密后的数据是不可破解的；无论是身份认证的手段还是加密的强度，就目前的技术手段而言，是足够安全的。

附图说明

图1是本实用新型具体实施方式中移动存储装置的结构示意图。

具体实施方式

下面结合附图并通过具体实施方式来进一步说明本实用新型的技术方案。

本实用新型的主要思想是USB接口的移动存储装置采用嵌入加解密工作模式，实现了用户数据的透明实时加解密；借助液晶键盘和智能IC卡实现三级密钥管理，增强身份认证。

采用嵌入加解密工作模式，基于FPGA芯片实现硬盘信号截获/重构，同时实时硬件加解密硬盘数据流，在用户读写操作硬盘过程时，实现密码芯片对数据流进行加解密，最终使存储在硬盘内数据为密文(加密过程)，而用户读出数据为明文(解密过程)。

通过智能IC卡和用户口令实现用户的身份认证。其中，智能IC卡直接通过移动存储装置自身的扩展插口接入，用户口令也是通过移动存储装置自身的液晶键盘输入。这样的好处在于，无需通过在计算机上安装驱动程序就实现了较高安全级别的身份认证。

移动存储装置采用三级密钥管理机制来保护工作密钥。三级密钥如下：

用户密钥通过智能IC卡和用户口令来获取，用户密钥保护保护密钥。

保护密钥为噪声芯片生成的随机数，一次一密，保护工作密钥，保护密钥被用户密钥加密后进行切分，分别存储在存储芯片和智能IC卡中。

工作密钥为噪声芯片生成的随机数，用于加密保护硬盘数据，工作密钥被保护密钥加密后分散存储在存储芯片和智能IC卡中。

图1是本实用新型具体实施方式中移动存储装置的结构示意图。如图1所示，该移动存储装置包括USB接口模块1、USB/IDE转换芯片2、微处理器3、存储芯片5、输入模块7、智能IC卡8、噪声芯片6、FPGA芯片4、算法芯片9和硬盘10。USB/IDE转换芯片分别连接USB接口模块和FPGA芯片，算法芯片与FPGA芯片连接，微处理器分别与FPGA芯片、存储芯片、输入模块、智能IC卡和噪声芯片连接，硬盘与FPGA芯片连接。

USB/IDE转换芯片主要为实现USB信号与IDE信号的转换。这样，当操作系统通过USB接口读写操作硬盘上数据时，USB/IDE转换芯片将USB读写操作时序转换成了IDE读写时序。所以，实际上FPGA芯片的截获与构造动作的对象为IDE信号读写时序。

2.5英寸硬盘或者PC机硬盘用于存储用户数据，数据为密文存储。对于硬盘来说，它并不关心，或者根本就不会意识到存储到硬盘上数据经过加密处理，硬盘只负责响应IDE信号时序，并作出响应的处理。

密码单元是整个移动存储装置的核心部分，密码单元嵌入到USB/IDE转换部分和硬盘存储部分之间，主要实现用户身份认证、密钥管理和硬盘数据的加解密。组成部分包括：

微处理器(MCU)是整个移动存储装置的控制中心，微处理器完成以下工作：管理备份卡/用户卡，从噪声芯片采集随机数，认证登录用户，构造FPGA芯片等。

FPGA芯片主要实现IDE信号截获、数据加解密、IDE信号重构功能，使用IDE-USB转换芯片和2.5硬盘控制器觉察不出IDE信号已经被截获处理。

算法芯片供FPGA芯片加解密IDE数据时调用。

存储芯片保存硬盘和具体用户的IC卡绑定时的部分认证信息，以及FPGA芯片构造数据。

智能IC卡主要用于存储用户认证信息以及安全移动硬盘的启动参数。IC卡分为管理IC卡和用户IC卡。用户IC卡保存部分用户身份认证信息，当用户IC卡插入安全移动硬盘之后，对IC卡的合法性进行认证，只有认证通过之后，才会提示用户进行下一步的身份认证，否则系统不能正常使用。管理IC卡主要用于在用户IC卡丢失或者损坏等情况下制作新的用户IC卡；在用户有意或者无意使产品锁定或者销毁产品内密钥的情况下，使产品的密钥等恢复正常，使产品能够正常使用。

噪声芯片主要为安全移动硬盘提供随机数。

液晶显示屏/键盘或者指纹采集模块可以帮助用户来获取用户口令，以及提示用户相应的操作信息。

还包括电源模块和复位模块，电源模块是用于提供电力，复位模块用于移动存储装置中各个单元状态的复位。

用户使用该移动存储装置时，系统控制部分首先基于用户IC卡和用户口令识别用户是否合法，然后解密合成用户硬盘的工作密钥，并通过微处理器控制接口通知IDE信号处理部分设置硬盘工作密钥并开始硬盘读写操作，之后IDE信号处理部分专门负责硬盘IDE信号截获、加解密、重构，与此同时系统控制部分响应用户的功能键处理和拔IC卡退出处理。

以上所述，仅为本实用新型较佳的具体实施方式，但本实用新型的保护范围并不局限于此，任何熟悉该技术的人在本实用新型所揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本实用新型的保护范围之内。因此，本实用新型的保护范围应该以权利要求的保护范围为准。

Claims

1.一种移动存储装置，其特征在于，包括USB接口模块、USB/IDE转换芯片、微处理器、存储芯片、输入模块、智能IC卡、噪声芯片、FPGA芯片、算法芯片和硬盘，所述USB/IDE转换芯片分别连接所述USB接口模块和所述FPGA芯片，用于将所述USB接口模块和所述FPGA芯片之间的USB信号和IDE信号相互进行转换，所述FPGA芯片用于IDE信号截获、数据加解密、IDE信号重构功能，所述算法芯片与所述FPGA芯片连接，供FPGA芯片加解密IDE数据时调用，所述微处理器分别与所述FPGA芯片、存储芯片、输入模块、智能IC卡和噪声芯片连接，所述微处理器用于管理所述智能IC卡、从所述噪声芯片采集随机数、认证登录用户和构造所述FPGA芯片，所述存储芯片用于保存所述硬盘和智能IC卡绑定时的部分认证信息和所述FPGA芯片构造数据，所述输入模块用于获取用户口令和提示用户相应的操作信息，所述智能IC卡用于存储用户认证信息和启动参数，所述噪声芯片用于提供随机数，所述硬盘与所述FPGA芯片连接，用于存储用户数据。

2.根据权利要求1所述的一种移动存储装置，其特征在于，所述智能IC卡进一步包括管理IC卡和用户IC卡，所述用户IC卡用于保存用户身份认证信息，所述管理IC卡用于管理所述用户IC卡和密钥。

3.根据权利要求1所述的一种移动存储装置，其特征在于，所述输入模块进一步包括液晶显示屏和键盘，所述输入模块也可以为指纹采集模块。

4.根据权利要求1所述的一种移动存储装置，其特征在于，还包括电源模块，用于提供电力。

5.根据权利要求1所述的一种移动存储装置，其特征在于，还包括复位模块，用于所述移动存储装置状态的复位。

6.根据权利要求1所述的一种移动存储装置，其特征在于，所述硬盘为2.5英寸硬盘，也可为PC机硬盘。