DE112009004950T5

DE112009004950T5 - Verfahren, System und Vorrichtung zum Sichern einer digitalen Speichervorrichtung

Info

Publication number: DE112009004950T5
Application number: DE112009004950T
Authority: DE
Inventors: Leonard E. Russo
Original assignee: Hewlett Packard Development Co LP
Current assignee: Hewlett Packard Development Co LP
Priority date: 2009-07-12
Filing date: 2009-07-12
Publication date: 2012-07-12
Also published as: GB2484041B; GB2484041A; GB201201099D0; CN102473225A; US20120102331A1; US8868920B2; WO2011008192A1; CN102473225B

Abstract

Verfahren zum Sichern einer digitalen Speichervorrichtung, wobei ein Host mit der Speichervorrichtung verbunden ist, der Host die Speichervorrichtung digital sperrt, so dass unbefugter Datenzugriff auf die Speichervorrichtung verweigert wird, der Host die Verschlüsselungszustände der Speichervorrichtung entweder in einen Zustand einstellt, bei dem Verschlüsselung von Daten auf der Speichervorrichtung aktiviert ist, oder einen Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung deaktiviert ist.

Description

Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich auf ein Verfahren, System und eine Vorrichtung zum Sichern einer digitalen Speichervorrichtung. Genauer, aber nicht ausschließlich, bezieht sich die vorliegende Erfindung auf ein Verfahren zum Sperren einer digitalen Speichervorrichtung, so dass unbefugter Datenzugriff auf diese Speichervorrichtung verweigert wird, ein Datensystem, das in der Lage ist, unbefugten Datenzugriff auf eine digitale Speichervorrichtung zu verweigern und eine digitale Speichervorrichtung, die eine ATA-Schnittstelle (ATA = Advanced Technology Attachment) zum Bereitstellen von Datenzugriff auf eine Hostverarbeitungseinheit aufweist.
Hintergrund der Erfindung
Digitale Speichervorrichtungen sind mit Hardwareschnittstellen für eine Verbindung mit Hostcomputern ausgestattet. Eine Schnittstelle zum Bereitstellen von Zugriff auf eine Speichervorrichtung in einem Hostcomputer ist die Advanced Technology Attachment (ATA). Bekannte Speichervorrichtungen in Hostcomputern (wie zum Beispiel Festplattenlaufwerke (HDD; HDD = hard disk drives) und Festkörper- bzw. Halbleiterlaufwerke (SSD; SSD = solid state drives) sind häufig mit ATA-Schnittstellen ausgestattet.
Ein üblicherweise akzeptierter Standard bei der Host-Speichervorrichtungskommunikation ist der Standard-ATA/ATAPI-Befehlssatz (ATAPI = Advanced Technology Attachment Packet Interface). Der Sicherheitsmerkmalsatz ist eines der Merkmale des Befehlssatzes. Der Sicherheitsmerkmalsatz umfasst einen Sicherheitssatzpasswortbefehl zum Begrenzen von Zugriff auf Nutzerdaten, die auf der digitalen Speichervorrichtung gespeichert sind. Mit dem Sicherheitssatzpasswortbefehl kann die Speichervorrichtung unter Verwendung eines Nutzerpassworts gesperrt oder entsperrt werden.
Wenn das Sicherheitspasswort aktiviert ist, ist die Speichervorrichtung gesperrt, d. h. Zugriff auf Nutzdaten auf der Vorrichtung wird verweigert. Das Sicherheitssatzpasswort wird durch Verwenden des Sicherheitspassworts aktiviert. Nur nach einer Rücksetzung beim Einschalten (power-on reset) ist das Sicherheitssatzpasswort aktiviert. Nur wenn ein Sicherheitsentsperrbefehl ohne Fehler abgeschlossen wird, kann wieder auf die Speichervorrichtung zugegriffen werden. Der Sicherheitsentsperrbefehl erfordert ein korrektes Nutzerpasswort. Mehr Informationen über diesen Standard finden sich beispielsweise in INCITS (International Committee for Information Technology Standards) 452–2008 (D1699): AT Attachment 8 – ATA/ATAP-Befehlssatz-Standarddokumentation, die öffentlich erhältlich ist.
Der Sicherheitsmerkmalsatz ermöglicht es einem Nutzer oder System, eine Speichervorrichtung digital zu sperren, so dass unbefugte Person und/oder unbefugte Systeme nicht auf die Speichervorrichtung zugreifen können. Wenn eine Speichervorrichtung von ihrem ursprünglichen Hostcomputer getrennt wird und danach mit einem anderen Hostcomputer verbunden wird, kann das Sicherheitspasswort nicht durch den Nutzer oder den anderen Computer bereitgestellt werden. Die Speichervorrichtung kann durch den neuen Hostcomputer nicht entsperrt werden und auf dieselbe kann nicht zugegriffen werden.
Ein Sicherheitsmerkmalsatz kann durch einen Computeranbieter oder durch einen Endnutzer eingestellt werden. Auf den Sicherheitsmerkmalsatz kann beispielsweise durch das BIOS zugegriffen werden. Wenn ein Nutzerpasswort verloren gegangen ist und die Speichervorrichtung gesperrt ist, kann der Speichervorrichtungsanbieter die Speichervorrichtung unter Verwendung eines Masterpassworts entsperren, das für Endnutzer im Allgemeinen nicht verfügbar ist.
Ein weiteres Merkmal, das die Sicherung von Daten in einer Speichervorrichtung ermöglicht, ist Verschlüsselung. Verschlüsselung kann definiert werden als der Prozess des Transformieren von Daten unter Verwendung eines Algorithmus (der als Chiffre bezeichnet werden kann), um dieselben für Systeme oder Nutzer unlesbar zu machen, es sei denn diese Systeme oder Nutzer besitzen spezielle Kenntnisse, die normalerweise als Schlüssel bezeichnet werden.
In einigen geographischen Regionen sind bestimmte verschlüsselte Daten nicht erlaubt. In einigen Regionen sind verschlüsselte Daten oder Datenverschlüsselung beispielweise nur erlaubt, falls diese gemäß spezifischen Standards verschlüsselt sind, beispielsweise lokalen Standards und/oder falls spezifische Lizenzen oder Zertifikate erworben werden bevor die Speichervorrichtung in die Region kommt. In einigen Regionen kann es sein, dass es überhaupt nicht erlaubt ist, Daten auf einem Computer zu verschlüsseln. Ausländische Speichervorrichtungen mit verschlüsselten Daten oder Datenverschlüsselungsfähigkeiten stimmen eventuell nicht mit regionalen Regelungen überein und es ist daher nicht erlaubt, diese in der Region zu importieren, oder zumindest nicht ohne die erforderlichen Standards zu erfüllen und zuerst die relevanten Lizenzen oder Zertifikate zu erwerben.
Geographische Regionen, die Verschlüsselungsbeschränkungen auferlegen, erlauben es jedoch häufig, dass der ATA-Sicherheitsmerkmalssatz in Computer und Speichervorrichtungen angewendet wird. Daher kann es sein, dass für eine bestimmte Region die ATA-Sicherheitsfunktionalität für Speichervorrichtungen erlaubt ist, während bestimmte verschlüsselte Daten oder Verschlüsselungsfunktionalitäten auf Speichervorrichtungen nicht erlaubt sind.
Kurze Beschreibung der Zeichnungen
Zu Darstellungszwecken werden bestimmte Ausführungsbeispiele der vorliegenden Erfindung nun mit Bezugnahme auf die beiliegenden schematischen Zeichnungen beschrieben.
Es zeigen:
1 ein Datensystem;
2 ein Flussdiagramm eines Verfahrens zum Sperren einer digitalen Speichervorrichtung und Aktivieren oder Deaktivieren von Verschlüsselung auf dieser Speichervorrichtung.
Detaillierte Beschreibung
In der folgenden detaillierten Beschreibung wird auf die beiliegenden Zeichnungen Bezug genommen. Die Ausführungsbeispiele in der Beschreibung und den Zeichnungen sollten darstellend sein und nicht so gesehen werden, dass sie auf das spezifische Ausführungsbeispiel des beschriebenen Elements begrenzt sind. Mehrere Ausführungsbeispiele können durch Modifikation, Kombination oder Variation bestimmter Elemente von der folgenden Beschreibung abgeleitet werden. Ferner ist klar, dass auch Ausführungsbeispiele oder Elemente, die nicht speziell offenbart sind, von der Beschreibung und den Zeichnungen abgeleitet werden können.
In 1 ist ein Datensystem 1 gezeigt, dass einen Host 2 und eine digitale Speichervorrichtung 3 umfassen kann. Letztere kann auch als Speichervorrichtung 3 bezeichnet werden. Der Host 2 kann eine zentrale Verarbeitungseinheit (CPU; CPU = central processing unit) aufweisen zum Verarbeiten von Daten in dem System 1, auch als Hostverarbeitungseinheit bezeichnet. Der Host 2 kann eine Hostverbindungsschnittstelle 4 aufweisen für Datenübertragung zu und von anderen Vorrichtungen, die in und/oder mit dem Hast 2 verbunden sind. Die Hostverbindungsschnittstelle 4 kann eine Schnittstelle aufweisen, die für eine Verbindung mit der Speichervorrichtung 3 angeordnet ist. Der Host 2 kann ferner eines oder mehrere eines Basiseingabe/-ausgabesystems (BIOS), zumindest einen Treiber, zumindest eine Softwareanwendung, Direktzugriffsspeicher, Nur-Lese-Speicher und jede zusätzliche Anzahl von Schaltungen, Verbindern und Softwareanwendungen und mehr aufweisen.
Die Speichervorrichtung 3 kann beispielsweise ein Festplattenlaufwerk, ein Halbleiterlaufwerk oder jede andere Vorrichtung zum Speichern digitaler Daten aufweisen. Die Speichervorrichtung 3 kann eine Speichervorrichtungsverbindungsschnittstelle 5 aufweisen, die angeordnet ist, um Daten zu und von der Speichervorrichtung 3, zwischen der Speichervorrichtung 3 und dem verbundenen Hardwareteil zu übertragen. Die Speichervorrichtungsverbindungsschnittstelle 5 kann eine Schnittstelle aufweisen, die angeordnet ist, um mit dem Host 2 zu verbinden, um Daten zu dem Host 2 zu liefern und von demselben zu empfangen. Die Speichervorrichtung 3 kann ferner einen Datenspeicherabschnitt 6 aufweisen. Bei darstellenden Beispielen kann der Datenspeicherabschnitt 6 angeordnet sein, um zumindest ein, mehrere zehn, Hunderte oder Tausende von Gigabytes digitaler Daten zu speichern. Die Speichervorrichtung 3 kann einen Firmwareabschnitt 7 aufweisen, der vorprogrammiert ist, um ankommende Daten zu verarbeiten und zuzuordnen.
Bei einem bestimmten Ausführungsbeispiel kann das Datensystem 1 einen Computer, einen Personalcomputer, eine digitale Medienabspielvorrichtung oder dergleichen aufweisen. Bei einem Ausführungsbeispiel kann die Speichervorrichtung 3 in dem Gehäuse des Datensystems 1 angeordnet sein. Bei einem weiteren Ausführungsbeispiel kann die Speichervorrichtung 3 unabhängige Vorrichtungen aufweisen und kann angeordnet sein, um manuell mit dem Host 2 verbunden und/oder von demselben getrennt zu werden.
Die Hostverbindung 4 und die Speichervorrichtungsverbindungsschnittstelle 5 können Verbindungsschnittstellen aufweisen, die einem bestimmten Standard entsprechen. Bei einem Ausführungsbeispiel können die Schnittstellen 4, 5 gemäß dem Advanced Technologe Attachment (ATA) angeordnet sein, manchmal auch bekannt als IDE-Schnittstellenstandard (IDE = Integrated (oder Intelligent) Drive Electronics). Die ATA-Schnittstelle kann Serial ATA-, Parallel ATA, Fiber Channel ATA oder ähnliche Techniken umfassen. Die Schnittstellen 4, 5 können beispielsweise auch eine Serial Attached Small Computer System Interface (SAS) aufweisen, oder jede andere geeignete Speichervorrichtungsschnittstellen-Technologie.
Der Host 2 kann konfiguriert sein, um die Speichervorrichtung 3 zu sperren. Der Host 2 kann eine Sicherheitssoftwareanwendung 8 zum Sperren der Speichervorrichtung 3 aufweisen. Die Sicherheitssoftwareanwendung 8 kann konfiguriert sein, um Zugriff auf Nutzerdaten, die auf der Speichervorrichtung 3 gespeichert sind, zu beschränken oder zu verweigern. Die Sicherheitssoftwareanwendung 8 kann eine Sicherheitsmerkmalssatzfunktionalität aufweisen gemäß dem ATA/ATAPI-Befehlssatz (ATAS-ACS). Mehr Informationen über den Befehl finden sich u. a. in INCITS (International Committee for Information Technology Standards) 452–2008 (D1699): AT Attachment 8 – ATA/ATAPI-Befehlssatz-Standarddokumentation, die öffentlich erhältlich ist. Der Befehlssatz kann Befehle aufweisen für die Speichervorrichtungsfirmware, um bestimmte Speichervorrichtungseinstellungen zu konfigurieren. Befehle, die sich auf das Sperren und/oder Entsperren der Speichervorrichtung 3 beziehen, können in dem Sicherheitsmerkmalssatz enthalten sein.
Die Sicherheitssoftwareanwendung 8 kann konfiguriert sein, um ein Sicherheitspasswort an die Speichervorrichtung 3 auszugeben zum Sperren der Speichervorrichtung 3, auch bezeichnet als der Sicherheitssatzpasswortbefehl gemäß dem ATA/ATAPI-Befehlssatz-Standard. Die Speichervorrichtung 3 kann gesperrt sein, um Zugriff auf Daten auf der Speichervorrichtung 3 zu verweigern, es sei denn das korrekte Passwort wird verwendet, um die Speichervorrichtung 3 zu entsperren.
Die Sicherheitssoftwareanwendung 8 kann angeordnet sein, um den Speichervorrichtungsfirmwareabschnitt 7 anzuweisen, die Speichervorrichtung 3 zu sperren, beispielsweise unter Verwendung des Sicherheitspassworts des ATA/ATAPI-Befehlssatzes. Die Sicherheitssoftwareanwendung 8 kann ein Teil des Systems-Basiseingabe/ausgabe-Systems (BIOS) sein. Die Sicherheitssoftwareanwendung 8 kann in Hostfirmware enthalten sein. Die Sicherheitssoftwareanwendung kann eine Treiber- oder Softwareanwendung aufweisen, die konfiguriert ist, um die Speichervorrichtungsfirmware 7 anzuweisen. Auch andere Konfigurationen der Sicherheitssoftwareanwendung 8 können geeignet sein, um die Speichervorrichtung 3 mit dem Sicherheitspasswort zu sperren.
Der Speichervorrichtungsfirmwareabschnitt 7 kann konfiguriert sein, um Sicherheitsbefehle gemäß dem ATA/ATAPI-Befehlssatz zu verarbeiten. Beispielsweise kann der Speichervorrichtungsfirmwareabschnitt 7 konfiguriert sein, um einen „Sicherheitspasswort gesperrt”-Zustand der Speichervorrichtung 3 zu speichern, so dass auf die Daten auf dem Speicherabschnitt 6 nicht zugegriffen werden kann.
Bei anderen Ausführungsbeispielen können andere Schnittstellenstandards als der ATA/ATAPI-Befehlssatz angewendet werden. Entsprechend können andere Sicherheitspasswortanweisungen als der Sicherheitspasswortbefehl angewendet werden zum Sperren der Speichervorrichtung 3, und die Sicherheitssoftwareanwendung 8 und der Speichervorrichtungsfirmwareabschnitt 7 können auch entsprechend konfiguriert werden.
Die Sicherheitssoftwareanwendung 8 kann konfiguriert sein, um einen Verschlüsselungszustand der Speichervorrichtung 3 einzustellen. Die Sicherheitssoftwareanwendung kann konfiguriert sein, um einen Verschlüsselungsverwaltungszustand der Speichervorrichtung 3 einzustellen. Bei einem Ausführungsbeispiel kann Verschlüsselung auf der Speichervorrichtung 3 aktiviert sein oder Verschlüsselung auf der Speichervorrichtung 3 kann deaktiviert sein. Verschlüsselung aktiviert und Verschlüsselung deaktiviert können als unterschiedliche Verschlüsselungszustände angesehen werden. Die Sicherheitssoftwareanwendung 8 kann konfiguriert sein, um Verschlüsselung von Daten auf der Speichervorrichtung 3 zu aktivieren oder zu deaktivieren, insbesondere auf dem Speicherabschnitt 6 derselben. Bei dieser Beschreibung ist klar, dass, wenn Verschlüsselung aktiviert ist, Datenverschlüsselung auf der Speichervorrichtung 3 ermöglicht ist, und wenn Verschlüsselung deaktiviert ist, Datenverschlüsselung auf der Speichervorrichtung 3 nicht ermöglicht ist. Die Verschlüsselungsaktivierungsfunktion kann ein Verschlässelungsschlüsselverwaltungswerkzeug aufweisen. Wenn beispielsweise Verschlüsselung auf der Speichervorrichtung aktiviert ist, können die Daten auf der Speichervorrichtung vorverschlüsselt sein. Bevor die Verschlüsselung aktiviert wird, sind die Daten auf der Speichervorrichtung vorverschlüsselt, aber nach wie vor frei zugänglich. Die Verschlüsselungsschlüssel können vorgesehen sein, um die Verschlüsselung zu aktivieren. Wenn diese Schlüssel angelegt werden, kann es sein, dass die Daten nicht mehr frei zugänglich sind.
Wenn das Sicherheitspasswort aktiviert ist, kann ein Nutzer daran gehindert werden, auf die Speichervorrichtung 3 und die darauf gespeicherten Verschlüsselungsschlüssel zuzugreifen. Wenn die Verschlüsselung deaktiviert ist, kann ein Nutzer auf die Speichervorrichtung 3 sowie auf die Daten, die auf derselben gespeichert sind, zugreifen. Ferner kann es sein, dass keine Verschlüsselung von Daten oder keine Verschlüsselungsschlüsselverwaltung ermöglicht ist, wenn Verschlüsselung deaktiviert ist.
Wenn bei einem weiteren Ausführungsbeispiel das Sicherheitspassworts deaktiviert ist und die Verschlüsselung aktiviert ist, kann ein Nutzer auf die Speichervorrichtung 3 zugreifen, aber nicht auf die Daten zugreifen, da dieselben verschlüsselt sind. Der Nutzer kann durch Anlegen der Verschlüsselungsschlüssel auf die Daten zugreifen.
Wenn bei noch einem weiteren Ausführungsbeispiel das Sicherheitspasswort deaktiviert ist und Verschlüsselung aktiviert ist, kann ein Nutzer auf die Speichervorrichtung 3 zugreifen und kann auf die Daten zugreifen. Die Daten können vorverschlüsselt sein, aber sind nach wie vor frei zugänglich. Ferner können Verschlüsselungsschlüssel vorgesehen sein, so dass der Nutzer die Verschlüsselungssperre anlegen kann.
Verschlüsselung von Daten auf der Speichervorrichtung 3 kann über den Firmwareabschnitt 7 der Speichervorrichtung 3 aktiviert oder deaktiviert werden. Der Firmwareabschnitt 7 kann konfiguriert sein, um den Verschlüsselungszustand zu verarbeiten und zu speichern, wie es durch die Sicherheitssoftwareanwendung 8 angewiesen wird. Der Firmwareabschnitt 7 kann eingestellt sein, so dass Verschlüsselung aktiviert ist, oder der Firmwareabschnitt 7 kann eingestellt sein, so dass Verschlüsselung deaktiviert ist.
Die Sicherheitssoftwareanwendung 8 kann angeordnet sein, um Verschlüsselung auf der Speichervorrichtung 3 zu aktivieren oder zu deaktivieren durch Senden eines Datenbündels, das den Sicherheitssatzpasswortbefehl enthält. Die Speichervorrichtung kann gesperrt werden und Verschlüsselung kann aktiviert werden durch Senden eines Datenbündels, das das ATA/ATAPI-Standardsicherheitspasswort und eine Anweisung, die Verschlüsselung aktiviert, enthält. Das Datenbündel kann eine Befehlsstruktur und ein Datenpaket aufweisen, wovon ein Teil für spezifische ATA/ATAPI-Standardbefehle verwendet werden kann. Die Verschlüsselungszustandsanweisungen können in bestimmten Abschnitten der Befehlsstruktur und/oder des Datenpakets enthalten sein, die nicht durch die ATA/ATAPI-Befehle belegt sind.
Um einen Verschlüsselungszustand anzuzeigen, können beispielsweise die Speichervorrichtungsregister voreingestellt sein, wenn der Sicherheitspasswortbefehl ausgegeben wird. Die Register mit dem Namen Feature (Merkmal), Sector Count (Sektorzählwert), LBA Low (LBA niedrig), LBA Mid (LBA mittel), LBA High (LBA hoch) können verwendet werden, um anzuzeigen, dass die Speichervorrichtung 3 Verschlüsselungen aktiviert oder deaktiviert. Diese Register können unbeeinträchtigt bleiben durch den Sicherheitspasswortbefehl, so dass dieselben verfügbar sind zum Einstellen eines Verschlüsselungserlaubniszustands. Außerdem können niedrigere Bits 3:0 des Registers mit dem Namen Device verfügbar sein zum Einstellen eines Verschlüsselungszustands. Verschlüsselung kann aktiviert werden durch Setzen zumindest eines Bits in irgendeinem dieser Registerabschnitte auf eins. Verschlüsselung kann deaktiviert werden durch Setzen von zumindest einem Bit in irgendeinem dieser Registerabschnitte auf null.
Entsprechend kann die Speichervorrichtungsfirmware 7 konfiguriert sein, um ein Datenbündel zu verarbeiten, das sowohl das Sicherheitspasswort als auch die Verschlüsselungszustandsanweisungen aufweist. Die Firmware 7 kann konfiguriert sein, um den Verschlüsselungszustand zu speichern durch Setzen eines Bits in einem der Registerabschnitte Feature, Sector Count, LBA Low, LBA Mid, LBA High, niedrigere Bits 3:0 der Vorrichtung auf eins oder null, zum Aktivieren bzw. Deaktivieren der Verschlüsselung.
Die Sicherheitssoftwareanwendung 8 kann konfiguriert sein, um ein Datenbündel auszugeben, das das Sicherheitspasswort und den Verschlüsselungszustand aufweist. Das Datenbündel kann eine Befehlsstruktur und ein Datenpaket aufweisen. Wie es von dem ATA/ATAPI-Standard bekannt ist, kann das Datenpaket 512 Byte aufweisen, die zusammen mit dem Sicherheitspasswort zu der Speichervorrichtung kommuniziert werden. Das Datenpaket kann auch unterschiedliche Größen haben, beispielsweise ein Kilobyte. Die Befehlsstruktur kann einen 28-Bit-Befehl aufweisen, der das Sicherheitspasswort enthält, obwohl die Bitgröße anders sein kann und Änderungen unterworfen sein kann, wie es durch den ATA/ATAPI-Standard bestimmt wird. Da das Datenpaket zusammen mit dem Sicherheitspasswortbefehl gesendet werden kann, kann ein Teil des Datenpakets verfügbar sein, um die Verschlüsselungszustände einzustellen. Bei einem Ausführungsbeispiel kann das Datenpaket zumindest ein Byte aufweisen, das konfiguriert ist, um den Verschlüsselungszustand der Speichervorrichtung einzustellen. Entsprechend kann die Speichervorrichtungsfirmware 7 konfiguriert sein, um den Verschlüsselungszustand zu speichern basierend auf diesem zumindest einen Byte. Außerdem können mehrere Bytes verwendet werden, um den Verschlüsselungszustand einzustellen.
Ein Verfahren zum Sichern einer Speichervorrichtung 3 ist in 2 gezeigt. Nach dem Hochfahren kann das Sicherheitspasswort über das BIOS oder eine andere Softwareanwendung, wie zum Beispiel einen Treiber, bei Schritt 100 aktiviert werden. Durch Aktivieren des Sicherheitspassworts kann der Host 2 die Speichervorrichtung 3 sperren, wobei auf die Speichervorrichtung zugegriffen werden kann bei einem nächsten Hochfahren durch Eingeben des Sicherheitspassworts.
Die Verschlüsselung kann bei Schritt 110 aktiviert oder deaktiviert werden. Die Sicherheitssoftwareanwendung 8 kann einen Nutzer fragen, den Verschlüsselungszustand einzustellen, oder der Nutzer oder das System muss den Verschlüsselungszustand aktiv anzeigen. Falls in dem letzteren Fall der Nutzer oder das System keinen Verschlüsselungszustand wählt, kann das System selbst zu einer Vorgabe schalten, die entweder ein Verschlüsselungsaktivier- oder -deaktivierzustand sein kann. Der Verschlüsselungszustand kann angezeigt werden über das BIOS oder eine andere Softwareanwendung.
Bei einem Ausführungsbeispiel kann der Verschlüsselungszustand eingestellt werden, wenn das Sicherheitspasswort aktiviert wird. Beispielsweise ist entweder das Laufwerk gesperrt und Datenverschlüsselung ist aktiviert, oder das Laufwerk ist gesperrt und Datenverschlüsselung ist deaktiviert, oder das Laufwerk ist entsperrt. Wenn ein Nutzer oder ein System bei Schritt 110 das Sperren der Speichervorrichtung 3 wählt, kann Verschlüsselung aktiviert 120 oder deaktiviert 130 sein.
Ein Nutzer oder ein System kann Verschlüsselung auf eine Weise oder auf eine Kombination von Weisen aktivieren. Bei Schritt 140 kann Verschlüsselung aktiviert werden durch Setzen zumindest eines Bits in einem der Register der Speichervorrichtung 3 mit den Namen Feature, Sector Count, LBA Low, LBA Mid, LBA High oder in Bits 3:0 der Vorrichtung auf eins. Dies kann der Speichervorrichtung 3 anzeigen, dass Verschlüsselung aktiviert ist. Die Verschlüsselungsaktivieranweisung kann in dem Datenbündel enthalten sein, das den Sicherheitspasswortbefehl enthält. Ein oder mehrere Bits in einer oder mehreren Registern können gesetzt werden, um Verschlüsselung zu aktivieren.
Wie es durch den Übergang 150 angezeigt ist, kann Verschlüsselung aktiviert werden durch Wählen oder Kombinieren unterschiedlicher Verfahren. Zusätzlich oder statt des Setzens eines Bits eines Registers, wie es durch Schritt 140 angezeigt ist, kann ein Byte in dem Datenpaket, das zu der Vorrichtung kommuniziert wird, verwendet werden, um der Speichervorrichtungsfirmware 7 anzuzeigen, dass Verschlüsselung aktiviert ist, wie es durch Schritt 160 angezeigt ist. Wie es oben erläutert ist, kann das Datenpaket in dem Datenbündel enthalten sein, das den Sicherheitspasswortbefehl enthält.
Bei Schritt 170 wird Verschlüsselung aktiviert und das Sicherheitspasswort ist aktiviert. Bei einem nächsten Hochfahren, muss das Sicherheitspasswort eingegeben werden, um auf die Speichervorrichtung 3 zuzugreifen, da das Sicherheitspasswort aktiviert ist. Da Verschlüsselung aktiviert ist, können Daten auf der Speichervorrichtung 3 vorverschlüsselt sein und/oder Verschlüsselungsschlüssel können vorgesehen sein.
Ein Nutzer oder System kann wählen, die Verschlüsselung bei Schritt 130 zu deaktivieren. Ein Nutzer oder ein System kann Verschlüsselung auf eine Weise oder eine Kombination von Weisen deaktivieren. Bei Schritt 180 kann Verschlüsselung deaktiviert werden durch Setzen zumindest eines Bits in einem der Register der Speichervorrichtung 3 mit den Namen Feature, Sector Count, LBA Low, LBA Mid, LBA High oder in Bits 3:0 der Vorrichtung auf null. Dies kann der Speichervorrichtung 3 anzeigen, dass Verschlüsselung deaktiviert ist. Die Verschlüsselungsdeaktivieranweisung kann in dem Datenbündel enthalten sein, das den Sicherheitspasswortbefehl enthält. Ein oder mehrere Bits in einem oder mehreren Registern können gesetzt werden, um Verschlüsselung zu deaktivieren.
Wie es durch den Übergang 190 angezeigt ist, kann Verschlüsselung deaktiviert werden durch Wählen oder Kombinieren unterschiedlicher Verfahren. Zusätzlich oder statt des Setzens eines Bits in einem Register, wie es durch Schritt 180 angezeigt ist, kann ein Byte in dem Datenpaket, das zu der Vorrichtung kommuniziert wird, verwendet werden, um die Speichervorrichtungsfirmware 7 anzuweisen, dass Verschlüsselung deaktiviert ist, wie es durch Schritt 200 angezeigt ist. Das Datenpaket kann in dem Datenbündel enthalten sein, das den Sicherheitspasswortbefehl enthält.
Bei Schritt 210 kann Verschlüsselung deaktiviert werden und das Sicherheitspasswort kann eingestellt werden. Dann kann das System 1 neu gestartet werden, wobei die Speichervorrichtung 3 gesperrt ist. Falls durch die Sicherheitssoftwareanwendung 8 ein korrektes Sicherheitspasswort eingegeben wird, kann auf die Speichervorrichtung 3 zugegriffen werden. Da Verschlüsselung deaktiviert ist, können Daten auf der Speichervorrichtung 3 nicht verschlüsselt werden.
Gemäß einem Aspekt kann ein Verfahren zum Sichern einer digitalen Speichervorrichtung 3 vorgesehen sein. Das Verfahren kann umfassen, dass ein Host 2 mit der Speichervorrichtung 3 verbunden ist. Das Verfahren kann auch umfassen, dass der Host 2 die Speichervorrichtung 3 digital sperrt, so dass unbefugter Datenzugriff auf die Speichervorrichtung 3 verweigert werden kann. Das Verfahren kann ferner umfassen, dass der Host 2 die Verschlüsselungszustände der Speichervorrichtung 3 in einen Zustand setzen kann, bei dem Verschlüsselung der Daten auf der Speichervorrichtung 3 aktiviert ist und/oder in einen Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung deaktiviert ist, wie es bei einem beispielhaften Ausführungsbeispiel in 2 gezeigt ist, beispielsweise Schritte 170 bzw. 210.
Gemäß einem zweiten Aspekt kann ein Datensystem 1 vorgesehen sein, das in der Lage ist, unbefugten Zugriff auf eine Speichervorrichtung 3 zu verweigern. Das System 1 kann einen Host 2 und eine digitale Speichervorrichtung 3 aufweisen. Der Host 2 kann mit einer CPU, einer Sicherheitssoftwareanwendung 8 und einer Hostverbindungsschnittstelle 4 versehen sein. Die Speichervorrichtung 3 kann mit einem Firmwareabschnitt 7, einem Datenspeicherabschnitt 6 und/oder einer Speichervorrichtungsverbindungsstelle 5 versehen sein. Die Schnittstellen 4, 5 können angeordnet sein, um miteinander verbunden zu sein, um Datenübertragung zwischen der Speichervorrichtung 3 und dem Host 2 zu erlauben. Die Sicherheitssoftwareanwendung 8 kann konfiguriert sein, um ein Sicherheitspasswort an die Speichervorrichtung 3 auszugeben zum Sperren der Speichervorrichtung 3 und/oder zum Einstellen eines Verschlüsselungszustands des Datenspeicherabschnitts 6. Die Speichervorrichtung 3 kann konfiguriert sein, um einen Verschlüsselungszustand der Speichervorrichtung 3 zu speichern, so dass Verschlüsselung der Speichervorrichtung 3 aktiviert oder deaktiviert ist.
Gemäß einem dritten Aspekt kann eine digitale Speichervorrichtung 3 vorgesehen sein. Die digitale Speichervorrichtung 3 kann einen Datenspeicherabschnitt 6, einen Firmwareabschnitt 7 und/oder eine ATA-Schnittstelle 5 (ATA = Advanced Technology Attachment) für Kommunikation mit einer Hostverarbeitungseinheit aufweisen. Der Speicherabschnitt 6, beispielsweise der Firmwareabschnitt 7 desselben kann konfiguriert sein zum (i) Verarbeiten eines Datenbündels, das Sicherheitspasswort-Festlegen-(Set Security Password) und Verschlüsselungszustandsanweisungen aufweist (ii) digitalen Sperren der Speichervorrichtung 3 durch die Sicherheitspasswort-Festlegen-Anweisung und/oder (iii) Speichern des Verschlüsselungszustands der Speichervorrichtung 3 in einem von (i) einem Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung aktiviert ist (z. B. siehe Schritt 170) und/oder (ii) einem Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung deaktiviert ist (z. B. siehe Schritt 210) basierend auf den Verschlüsselungszustandsanweisungen.
Das kombinierte Sperr- und Verschlüsselungsmerkmal, wie es oben erläutert ist, kann vorteilhaft sein zum selektiven Aktivieren und Deaktivieren von Datenverschlüsselung auf der Speichervorrichtung 3, abhängig von einer bestimmten geographischen Region, in die dieselben zu exportieren sind, durch die Verwendung des ATA-Befehlssatz-Standards, der bereits in den meisten Speichervorrichtungen in einem Computer als Standard angewendet werden kann. Beispielsweise kann eine Ladung Speichervorrichtungen, die zu einer geographischen Region zu transportieren ist, die keine Verschlüsselungsbeschränkungen hat, gesperrt werden, während Verschlüsselung aktiviert ist. Dies kann die Option ermöglichen, gesperrte Speichervorrichtungen 3, die verschlüsselte oder leicht verschlüsselbare Daten aufweisen, in diese Regionen zu importieren. Andererseits kann eine Ladung von Speichervorrichtungen 3, die zu einer geographischen Region befördert werden soll, die keine Verschlüsselung erlaubt, die Verschlüsselung deaktiviert haben. Dies kann einen relativ leichten Import dieser Speichervorrichtungen 3 in diese beschränkenden Regionen ermöglichen. Gleichzeitig kann die Speichervorrichtung 3 gesperrt sein, um eine andere Form von Sicherheit zu liefern.
Somit kann die Speichervorrichtung 3 zu im Wesentlichen allen geographischen Regionen transportiert werden während dieselbe gesichert ist. Mit relativ geringem Aufwand und/oder Kosten der Speichervorrichtungen 3 können die Verschlüsselungszustände eingestellt werden unter Verwendung des Datenbündels, das den ATA/ATAPI-Sicherheitsmerkmalsatz enthält.
Die obige Beschreibung soll nicht erschöpfend sein oder die Erfindung auf die offenbarten Ausführungsbeispiele begrenzen. Andere Variationen der offenbarten Ausführungsbeispiele sind klar und für Fachleute auf diesem Gebiet ausführbar beim Praktizieren der beanspruchten Erfindung von einem Studium der Zeichnungen, der Beschreibung und der angehängten Ansprüche. In den Ansprüchen schließt das Wort „aufweisen” andere Elemente oder Schritte nicht aus, und der unbestimmte Artikel „ein” oder „eine” schließt eine Mehrzahl nicht aus, während ein Verweis auf eine bestimmte Anzahl von Elementen die Möglichkeit nicht ausschließt, mehr als diese Anzahl von Elementen zu haben. Ein einzelner Prozessor oder eine andere Einheit kann die Funktionen mehrerer Elemente erfüllen, die in der Offenbarung aufgeführt sind, und umgekehrt können mehrere Elemente die Funktion eines Elements erfüllen.
Die reine Tatsache, dass bestimmte Maße in zueinander unterschiedlichen abhängigen Ansprüchen erwähnt werden, bedeutet nicht, dass eine Kombination dieser Maße nicht vorteilhaft verwendet werden kann. Mehrere Alternativen, Äquivalente, Variationen und Kombinationen können durchgeführt werden, ohne von dem Schutzbereich der Erfindung abzuweichen.

Claims

Verfahren zum Sichern einer digitalen Speichervorrichtung, wobei ein Host mit der Speichervorrichtung verbunden ist, der Host die Speichervorrichtung digital sperrt, so dass unbefugter Datenzugriff auf die Speichervorrichtung verweigert wird, der Host die Verschlüsselungszustände der Speichervorrichtung in einen der folgenden einstellt, einen Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung aktiviert ist, und einen Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung deaktiviert ist.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 1, bei dem die Speichervorrichtung nur nach dem Neustarten des Hosts gesperrt ist und der Verschlüsselungszustand eingestellt ist.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 1, bei dem der Host einen Sicherheitspasswort-Festlegen-Befehl ausgibt, um die Speichervorrichtung zu sperren.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 1, bei dem Hostfirmware die Speichervorrichtung sperrt und die Verschlüsselungszustände der Speichervorrichtung durch eine ATA-Schnittstelle (ATA = Advanced Technologe Attachment) einstellt.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 1, bei dem der Host die Speichervorrichtung sperrt durch Ausgeben eines Sicherheitspasswort-Festlegen-Befehls, und Verschlüsselung auf der Speichervorrichtung aktiviert durch Setzen eines Bits in zumindest einem von einem Register namens Feature, einem Register namens Sector Count, einem Register namens LBA Low, einem Register namens LBA Mid, einem Register namens LBA high, und niedrigeren Bits 3:0 eines Registers namens Device, auf eins.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 1, bei dem der Host die Speichervorrichtung sperrt durch Ausgeben eines Sicherheitspasswort-Festlegen-Befehls, und Verschlüsselung auf der Speichervorrichtung deaktiviert durch Setzen eines Bits in zumindest einem von einem Register namens Feature, einem Register namens Sector Count, einem Register namens LBA Low, einem Register namens LBA Mid, einem Register namens LBA high, und niedrigeren Bits 3:0 eines Registers namens Device, auf null.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 1, bei dem der Host die Speichervorrichtung sperrt durch Ausgeben eines Datenbündels, das einen Sicherheitspasswort-Festlegen-Befehl aufweist, wobei die Speichervorrichtung durch zumindest ein Byte des Datenbündels angewiesen wird, den Verschlüsselungszustand der Speichervorrichtung einzustellen.
Verfahren zum Einstellen von Verschlüsselungszuständen gemäß Anspruch 7, bei dem das Datenbündel zumindest etwa 512 Byte beträgt.
Verfahren gemäß Anspruch 1, bei dem der Host ein Datenbündel an die Speichervorrichtung sendet zum Einstellen des Sicherheitspassworts und der Verschlüsselungszustände, und das Datenbündel eine Befehlsstruktur und ein Datenpaket aufweist.
Verfahren gemäß Anspruch 1, bei dem die Speichervorrichtung gesperrt ist und Verschlüsselung aktiviert ist auf zumindest einer Speichervorrichtung, die für Transport zu einer geographischen Region eingestellt ist, und die Speichervorrichtung gesperrt ist und Verschlüsselung deaktiviert ist auf zumindest einer Speichervorrichtung, die für einen Transport zu einer anderen geographischen Region eingestellt ist.
Datensystem, das in der Lage ist, unbefugten Zugriff auf eine Speichervorrichtung zu verweigern, das folgende Merkmale aufweist: einen Host und eine digitale Speichervorrichtung, wobei der Host mit einer CFU, einer Sicherheitssoftwareanwendung und einer Hostverbindungsschnittstelle versehen ist, die Speichervorrichtung mit einem Eirmwareabschnitt, einem Datenspeicherabschnitt und einer Speichervorrichtungsverbindungsschnittstelle versehen ist, die Schnittstellen angeordnet sind, um miteinander verbunden zu sein, um Datenübertragung zwischen der Speichervorrichtung und dem Host zu erlauben, die Sicherheitssoftwareanwendung konfiguriert ist, um ein Sicherheitspasswort an die Speichervorrichtung auszugeben zum Sperren der Speichervorrichtung, und um einen Verschlüsselungszustand des Datenspeicherabschnitts einzustellen, und die Speichervorrichtung konfiguriert ist, um einen Verschlüsselungszustand der Speichervorrichtung zu speichern, so dass Verschlüsselung der Speichervorrichtung aktiviert oder deaktiviert ist.
Datensystem gemäß Anspruch 11, bei dem der Host und die Speichervorrichtung unter Verwendung einer ATA-Schnittstelle in Verbindung sind.
Datensystem gemäß Anspruch 11, bei dem die Speichervorrichtung eine Festplatte und/oder ein Halbleiterlaufwerk aufweist.
Datensystem gemäß Anspruch 11, bei dem der Host ein Basiseingabe/ausgabesystem (BIOS) aufweist, das die Sicherheitssoftwareanwendung aufweist.
Datensystem gemäß Anspruch 11, bei dem der Speichervorrichtungsfirmwareabschnitt Registerabschnitte aufweist namens Feature, Sector Count, LBA Low, LBA Mid, LBA high, und einen Registerabschnitt, der aus niedrigeren Bits 3:0 eines Registers namens Device besteht, und der Firmwareabschnitt konfiguriert ist, um seinen Verschlüsselungserlaubniszustand durch zumindest ein Bit in dem zumindest einen der Registerabschnitte zu speichern.
Datensystem gemäß Anspruch 15, bei dem der Firmwareabschnitt konfiguriert ist, so dass Verschlüsselung aktiviert ist, wenn das zumindest eine Bit auf eins gesetzt ist, und wenn das zumindest eine Bit auf null gesetzt ist, Verschlüsselung deaktiviert ist.
Datensystem gemäß Anspruch 11, bei dem die Sicherheitssoftwareanwendung konfiguriert ist, um ein Datenpaket an die Speichervorrichtung auszugeben, wobei das Datenpaket zumindest ein Byte aufweist, das konfiguriert ist, um den Verschlüsselungszustand der Speichervorrichtung einzustellen, und die Speichervorrichtungsfirmware konfiguriert ist, um den Verschlüsselungszustand basierend auf dem zumindest einen Byte zu speichern.
Digitale Speichervorrichtung, die folgende Merkmale aufweist: einen Datenspeicherabschnitt, einen Firmwareabschnitt, und eine ATA-Schnittstelle (ATA – Advanced Technology Attachment) zum Bereitstellen von Datenzugriff auf eine Hostverarbeitungseinheit, wobei der Firmwareabschnitt konfiguriert ist zum Verarbeiten eines Datenbündels, das Sicherheitspasswort-Festlegen- und Verschlüsselungszustands-Anweisungen aufweist, digitalen Sperren durch die Sicherheitspasswort-Festlegen-Anweisung, und Speichern des Verschlüsselungszustands der Speichervorrichtung in einem der folgenden: einem Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung aktiviert ist, und einem Zustand, bei dem Verschlüsselung von Daten auf der Speichervorrichtung deaktiviert ist basierend auf den Verschlüsselungszustandsanweisungen.