CN207302057U - 基于物理钥匙实现权限管理的存储装置 - Google Patents

Abstract

本实用新型公开一种基于物理钥匙实现权限管理的存储装置，包括存储器本体和至少一个授权介质，存储器本体包括存储介质和控制单元，授权介质用于向所述控制单元输出授权信号；控制单元用于根据所述授权信号输出权限标识，并根据输出的权限标识设置存储介质的操作权限。本实用新型加密移动存储器增加了存储器的安全性，可有效防止数据信息泄露、木马病毒侵入、有意或者无意的删除、改写等。

Description

基于物理钥匙实现权限管理的存储装置

技术领域

本实用新型涉及移动存储设备领域，具体涉及一种基于物理钥匙实现权限管理的存储装置。

背景技术

基于网络的管理下，可以对数据进行有效的权限管理，如对数据的可读写授权控制、只读访问控制、禁止读写访问控制等。但是数据离线后往往存储在存储介质上，在数据存储到存储介质后数据的可管控权直接涉及到数据的安全问题，目前主要的管控是采用加密技术，但是加密技术仅仅解决了数据的保密不能解决数据的访问管控。其中对数据的最常用的管控有禁止访问(即禁止读写和浏览等操作)、仅可读操作、可读写操作、单浏览禁止复制改写操作等。

而随着存储设备在很多现场应用中的广泛应用，其带来的数据安全问题也日益凸显，例如，如何对静态存储的数据进行有效的授权管理，如何防止数据的恶意删除、修改数据以及如何在使用过程中防止病毒木马的侵入(即如何保护原始数据资料的完整性)等，已成为业内亟待解决的难题。例如在工业设计图纸的现场应用中，由于要进行设计效果图的现场演示，就需要随身携带数据到各种场合，这样在整个过程中就需要保护设计成果的安全，防止被非法删除改写，有效管控对数据的授权。再者，例如法院的取证数据资料档案等需要保证安全不被有意无或意的篡改等，这些都需要对存储设备进行有效简便的授权管理。

实用新型内容

本发明的主要目的在于提供一种基于物理钥匙实现权限管理的存储装置，该存储装置能够通过物理钥匙实现用户分级管理(例如不同用户拥有不同的物理钥匙，而不同的物理钥匙对应对存储设备的不同访问权限)，基于不同用户的访问权限实现对数据的权限管理，能够有效防止数据的恶意删除、修改、误删除及改写，还能在使用过程中防止病毒木马的侵入，进而保护原始数据资料的完整性和安全性。

根据本实用新型的一个方面，提供了一种基于物理钥匙实现权限管理的存储装置，包括存储器本体和至少一个授权介质，存储器本体包括存储介质和控制单元，授权介质用于向所述控制单元输出授权信号；控制单元用于根据所述授权信号输出权限标识，并根据输出的权限标识设置存储介质的操作权限。

通过为每个存储器本体分配授权介质，可以实现根据授权介质中的授权信息为存储介质设置相应的权限，从而基于授权介质的权限对存储介质中的数据进行相应操作，由此实现对存储器本体的权限管控，在使用过程中可以有效防止数据信息泄露、木马病毒侵入、有意或者无意的删除、改写等等，提高数据安全性和保护原始数据资料的完整性。

在一些实施方式中，控制单元还包括用于对存储介质中的数据进行加密处理的加密模块，授权介质中存储有与加密模块匹配的解密信息，控制单元还用于根据存储介质的操作权限和解密信息对存储介质中的数据进行解密。由此，既可以通过加密模块对存储介质中的数据进行加密，保证数据安全，又可以将授权管控和数据解密相结合，基于权限进行数据解密，在保证数据安全级别的同时，实现对数据的权限管控，适应离线状态下对数据的权限需求，避免数据因权限操作导致的误删除、不经授权的改写、信息泄露或木马病毒入侵等的不良，进一步增加加密型存储设备的安全性。在一些实施方式中，每个存储器本体对应的授权介质为两个，包括单向授权介质和双向授权介质；单向授权介质配置为对存储介质具有读权限，双向授权介质配置为对所述存储介质具有读权限和写权限。由此，就可以基于多个授权介质这个物理钥匙实现对存储器本体的权限管理，即通过使用不同的授权介质获得不同的数据操作权限，没有相应的授权介质就不能进行相应的数据操作，例如只有单向授权介质的情况下，只能对存储介质中的数据进行浏览的只读操作，而在有双向授权介质的情况下，可以对存储介质中的数据进行读写操作，即既可以读取数据也可以编辑改写数据，而将不同的授权介质分配给不同的用户，就可以实现不同用户拥有不同的物理钥匙，而不同的物理钥匙对应不同的访问权限，通过用户的分级管理，防止数据的有意或无意删除、修改，增加数据的安全性，且实现简单方便。

在一些实施方式中，单向授权介质和双向授权介质设置为具有不同的颜色或形状或在其外表面上具有权限标识信息。由此，在用户具有多个授权介质的情况下(例如主用户，授权介质都是自己的，对数据的所有操作也只能自己通过授权介质进行解锁的情况下)，只需要根据授权介质的外形或者颜色或者其上的标识符就可以区分授权介质的权限，从而根据需求很容易就能够拿到相应的授权介质进行操作，实现简单，且用户区分方便直观，用户体验好。

在一些实施方式中，每个存储器本体对应的授权介质为三个，包括单向授权介质、双向授权介质和全权授权介质；单向授权介质配置为对存储介质具有读权限，双向授权介质配置为对存储介质具有读权限和写权限，全权授权介质配置为对存储介质具有读权限、写权限和删除权限。由此，就可以通过不同的授权介质实现对权限的分配和管控，当需要相应的操作权限时，需要获取并用相应的授权介质才能够激活权限，能够防止无权限操作和病毒入侵，通过物理钥匙的方式进一步提高了数据安全。

在一些实施方式中，单向授权介质、双向授权介质和全权授权介质设置为具有不同的颜色或形状或在其外表面上具有权限标识信息。由此，用户根据授权介质的外形就能简单区别权限，从而根据需求使用相应权限的授权介质，操作简单方便。

在一些实施方式中，授权介质为U-Key，存储器本体上还设置有与U-Key接口匹配的通信接口。由此，通过匹配的通信接口，将U-key插在存储器本体上就能够实现权限管控，操作简单，且实现成本低。

在一些实施方式中，存储器本体为移动存储设备。由此，能解决现场应用中和使用移动存储的场合的权限管控，为用户提供方便，也为移动存储提供更进一步的安全保障。

在一些实施方式中，存储介质为磁存储介质或者闪存芯片为存储体的存储介质。由此，磁存储介质的存储模块具有价格便宜、存储数据量大的优点，闪存芯片具有快速存储和擦除的优点，将存储介质适用为这两种存储介质，可以使得本实用新型的权限管控能够应用到常用的移动存储设备上，扩大本实用新型的应用范围。

在一些实施方式中，移动存储设备为USB接口或E-SATE接口或SATA接口或PCI接口的存储设备。由此，可以扩大本实用新型的权限管控的适用范围，使得本实用新型的权限管控能够在几乎所有的移动存储设备上得到应用。

附图说明

图1为本实用新型一实施方式的基于物理钥匙实现权限管理的存储装置的结构示意图；

图2为图1中的存储器本体的一实施方式的模块结构示意图；

图3为图1中的存储器本体的另一实施方式的模块结构示意图；

图4为图1所示的存储装置的操作方法的流程图。

具体实施方式

下面结合附图对本实用新型作进一步详细的说明。

图1示意性地本实用新型一种实施方式的基于物理钥匙实现权限管理的存储装置，本实施例授权介质即为用于权限管理的物理钥匙，如图1所示，本实用新型实施例中的存储装置包括存储器本体1和授权介质2，存储器本体1用于进行数据的存储，授权介质2用于提供用于对存储器本体1中存储的数据的访问权限进行控制的授权信号。在本实施例中授权介质2例如可以设置为U-key的实现方式，而存储器本体1上具有与授权介质2的接口匹配的通信接口13和与外部设备相连的外部通讯接口10，当使用存储器本体1进行数据操作(例如读数据等)时，首先将存储器本体1通过外部通讯接口10连接至相应的外部设备如计算机，之后，使用授权介质2获取数据操作权限。使用授权介质2获取数据操作权限时，则是将授权介质2插入通信接口13即可通过授权介质2获取相应的数据操作权限。

其中，图2示出了一种实施方式下的存储器本体1的模块结构，如图2所示，在该实施例中存储器本体1中包括有控制单元11和用于存储数据的存储介质12，控制单元11用于获取授权介质2中的授权信号，根据授权信号生成权限标识，并根据权限标识设置对存储介质12的操作权限。在具体使用时，用户通过授权介质2向控制单元11输出授权信号，控制单元11根据授权信号实现对存储介质12的操作权限的管控。具体地，控制单元11例如可以通过单片机实现，而授权介质12例如可以通过硬件电路实现，例如一个物理的电子产品作为授权介质，而在控制单元11中根据授权介质的产品编码，预先存储与产品编码对应的用户权限，例如产品编码为123的授权介质，对应的权限为只读权限，则在控制单元11中预先存储一条产品ID为123，权限为r的记录。之后通过控制单元11通过读取授权介质2的产品编码和存储的记录进行判断，生成权限标识例如r，并根据该权限标识将存储介质12的操作权限设置为只读。而授权介质的产品编码既可以通过电路形成的编码实现，也可以通过在授权介质中存储自定义的唯一产品标识实现，还可以是通过产品的IP号(某些具有IP地址的电子产品，例如智能终端)实现，这些都可以根据具体设置的授权介质的产品类型和特性进行灵活设置，本实用新型实施例不对此进行限制。而控制单元11的读取授权介质2的授权信号并输出权限标识的方式，既可以通过在单片机例如MCU上配置相应的集成电路的方式实现，也可以通过在MCU上进行现有技术中的程序的方式实现，这些都是可以参照现有技术进行具体实现的，本实用新型实施例对具体的实现方式不进行详细阐述和限制。

其中，根据需要设置的权限的类型，为每个存储器本体1配置的授权介质2的数量可以为一个也可以为多个，每个授权介质2具有一种权限，当用户需要进行相应权限的操作时，就使用相应的授权介质2对存储器本体1进行权限解锁。如图1所示，在该实施例中，授权介质2为包括两个，即包括单向授权介质21和双向授权介质22，单向授权介质21配置为只有可读权限，双向授权介质22配置为既有读权限又具有写权限。其中，对单向授权介质21和双向授权介质22的权限的配置，即是通过上文叙述的为授权介质2配置标识编码，而在控制单元11中预先存储标识编码和其对应的权限的方式。这样，当用户插入单向授权介质21时，就可以读取存储介质12中的数据，而当插入双向授权介质22时，就可以读取和编辑存储介质12中的数据，而当没有插入任何授权介质时，则禁止对存储介质12中的数据进行访问。

在其他优选实施例中，授权介质2还可以为三个，即除了单向授权介质和双向授权介质外，还可以包括全权授权介质，配置为既有读写权限又有删除权限，这样用户就可以通过全权授权介质删除存储介质12中的文件，而在其他实施例中，还可以有其他的数量和权限配置，例如单独设置删除授权介质等，本实用新型实施例不对此进行限制。

在优选实施例中，存储器本体1例如可以实现为诸如移动硬盘等移动存储设备，其与外部设备连接的外部通讯接口10优选为USB接口或E-SATE接口或SATA接口或PCI接口，而其存储介质则优选为磁存储介质或以闪存芯片为存储体的存储介质。

图3示意性地显示了本实用新型的另一种实施方式的存储器本体1的模块结构。如图3所示，该存储器本体1的控制单元11中设置有用于对存储介质12中的数据进行加密的加密模块111，而与加密模块111匹配的解密信息可以存储在控制单元11中也可以存储在授权介质2中，本实施例以存储在授权介质2中进行介绍。在该实施例中，控制单元11会通过前述的方式读取授权介质2中的授权信号，并根据授权信号对存储介质12的操作权限进行设置，之后，在用户读取相应的文件时，控制单元11还会从授权介质2中读取解密信息对相应的文件数据进行解密。其中，控制单元11通过加密模块111对数据进行加密和根据解密信息对数据进行解密可以通过现有技术中存储装置对数据的加解密方式实现，例如通过公钥和私钥的加解密方式等，本实施例对此不进行赘述，也不对此进行限制，本实用新型的核心在于通过授权介质2实现对存储介质12的权限管控，而存储器本体1的其他部分的实现方式，例如存储介质12与外部通讯接口之间的接口转换以及数据加解密处理等，都可以沿用存储器本体的原有设计和实现方式。

在其他实施例中，与外部设备连接的外部通讯接口也可以是设置在存储器本体1中的无线模块，例如蓝牙模块或者WiFi模块或者Wifi-Direct模块等，本实施例不对此进行限制，而相应地连接的外部设备则可以是计算机或者手机等能够浏览、复制、修改和删除存储装置中已有数据的装置。而授权介质也可以是除了U-key之外的其他实现方式，如为手机或只读U盘等，只要能够进行权限标识即可。而为了用户对授权介质的权限进行区分，以方便其记忆和使用，多个不同权限的不同授权介质例如单向授权介质与双向授权介质可以设置为具有不同的颜色或形状，也可以是在授权介质的外表面上设置标识符如能够表明其权限特征的字符进行标识。

在具备数据加解密功能的存储装置中，通过授权介质对存储器本体进行权限管理的具体使用过程例如可以是：在本实施例中，存储介质12中存储的数据包括仅能浏览的文本(例如，不可编辑的PDF文件)以及可浏览、复制、修改和删除的可编辑复制本(例如，可编辑的Word文件)，两个文本分别经第一公钥和第二公钥加密。当通信接口13中插入单向授权介质21时，此时，控制单元11首先读取单向授权介质21的控制信号并获取其权限标识，根据权限标识设置存储介质的操作权限，当具有读和/或写权限时，控制单元11再从授权介质中读取存储的解密信息并对存储介质12中的加密文件进行解密，解密得到的明文仅能浏览，不能复制、修改或者删除。当通信接口13中插入双向授权介质22时，此时，控制单元11读取双向授权介质22的控制信号并获取其权限标识，根据权限标识设置存储介质的操作权限为可读可写，之后控制单元11从双向授权介质中读取存储的解密信息并对存储介质11中的加密文件进行解密，解密得到的明文能够浏览、复制和修改，但不能删除，从而通过不同的授权介质实现对加密文件的用户权限的分级管理。

图4示出了对本实用新型实施例的存储装置的操作方法，如图4所示，该方法包括：

步骤S401，当系统上电后，首先检测是否有授权钥匙，例如控制单元11检测通信接口13是否有插入授权介质。如果没有授权钥匙，即没有获得授权，则进行步骤S402，即控制单元将存储介质的访问权限即操作权限设置为禁止任何操作，包括浏览、复制、修改和删除存储器内的数据。如果检测到授权介质，则判断授权介质的类型，根据授权介质的类型：如果检测到单向授权介质(即控制单元读取授权信号，判断为只有读权限)，则进行步骤S403，即将对存储介质的操作权限设置为只读权限，此时可以浏览存储器本体的存储介质中的数据，但是无法对存储介质内存储的数据进行复制、改写、删除等操作；如果检测到双向授权Key 2(即控制单元读取授权信号，判断为包括读写权限)，则进行步骤S404，即将对存储介质的操作权限设置为可读可写，即可以浏览存储器本体的存储介质中的数据，也可以复制、修改存储介质中的数据。这样，就能通过授权介质管控对存储器本体的操作权限，防止非法访问存储器本体的数据，还能在使用的过程中防止病毒木马的恶意侵入等。

以上所述的仅是本实用新型的一些实施方式。对于本领域的普通技术人员来说，在不脱离本实用新型创造构思的前提下，还可以做出若干变形和改进，这些都属于本实用新型的保护范围。

Claims (10)

1.基于物理钥匙实现权限管理的存储装置，包括存储器本体和至少一个授权介质，所述存储器本体包括存储介质和控制单元，

所述授权介质用于向所述控制单元输出授权信号；

所述控制单元用于根据所述授权信号输出权限标识，并根据权限标识设置所述存储介质的操作权限。

2.根据权利要求1所述的存储装置，其特征在于，所述控制单元还包括用于对所述存储介质中的数据进行加密处理的加密模块，

所述授权介质中存储有与所述加密模块匹配的解密信息，所述控制单元还用于根据所述存储介质的操作权限和所述解密信息对所述存储介质中的数据进行解密。

3.根据权利要求2所述的存储装置，其特征在于，每个存储器本体对应的授权介质为两个，包括单向授权介质和双向授权介质；

所述单向授权介质配置为对所述存储介质具有读权限，所述双向授权介质配置为对所述存储介质具有读权限和写权限。

4.根据权利要求3所述的存储装置，其特征在于，所述单向授权介质和双向授权介质设置为具有不同的颜色或形状或在其外表面上具有权限标识信息。

5.根据权利要求2所述的存储装置，其特征在于，每个存储器本体对应的授权介质为三个，包括单向授权介质、双向授权介质和全权授权介质；

所述单向授权介质配置为对所述存储介质具有读权限，所述双向授权介质配置为对所述存储介质具有读权限和写权限，所述全权授权介质配置为对所述存储介质具有读权限、写权限和删除权限。

6.根据权利要求5所述的存储装置，其特征在于，所述单向授权介质、双向授权介质和全权授权介质设置为具有不同的颜色或形状或在其外表面上具有权限标识信息。

7.根据权利要求1至6任一项所述的存储装置，其特征在于，所述授权介质为U-Key，所述存储器本体上还设置有与所述U-Key接口匹配的通信接口。

8.根据权利要求7所述的存储装置，其特征在于，所述存储器本体为移动存储设备。

9.根据权利要求8所述的存储装置，其特征在于，所述存储介质为磁存储介质或者闪存芯片为存储体的存储介质。

10.根据权利要求8所述的存储装置，其特征在于，所述移动存储设备为USB接口或E-SATE接口或SATA接口或PCI接口的存储设备。