JP7203880B2 - ディスク暗号化保護方法及び装置、電子デバイス、コンピュータ可読記憶媒体及びコンピュータプログラム - Google Patents

Description

本開示の実施例は、コンピュータ技術の分野に関し、具体的には、人工知能技術に関し、ディスク暗号化保護方法及び装置、電子デバイス、コンピュータ可読記憶媒体及びコンピュータプログラムに関する。

機密データがオフラインで盗まれるのを防ぐために、ディスクデバイスは一般的にディスク暗号化技術を採用し、従来のＬＵＫＳ（Ｌｉｎｕｘ（登録商標） Ｕｎｉｆｉｅｄ Ｋｅｙ Ｓｅｔｕｐ、Ｌｉｎｕｘ（登録商標）統一キー設定）ディスク暗号化キーは、簡単なパスワードまたはファイルによって保護される。パスワードによって保護する方式では、手動入力が必要であり、自動運転システムの要求を満たさない。ファイルによる保護の方式は、ファイルを暗号化されていないディスクに格納する必要があり、セキュリティが保証されていない。

本開示では、ディスク暗号化保護方法及び装置、電子デバイス、コンピュータ可読記憶媒体及びコンピュータプログラムを提供する。

第１態様によると、ターゲットデバイスのディスクを暗号化し、ディスクに対応するキー（鍵）を生成し、暗号化ディスクを得ることと、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定し、ここで、暗号化ディスクは、複数の記憶スロットを含み、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶されることと、を含むディスク暗号化保護方法を提供する。

第２態様によると、ターゲットデバイスのディスクを暗号化し、ディスクに対応するキーを生成し、暗号化ディスクを得るように構成される暗号化ユニットと、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定し、ここで、暗号化ディスクは、複数の記憶スロットを含み、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶されるように構成される確定ユニットと、を含むことを特徴とするディスク暗号化保護装置を提供する。

第３態様によると、少なくとも１つのプロセッサと、少なくとも１つのプロセッサに通信接続されたメモリと、を含み、ここで、メモリには、少なくとも１つのプロセッサによって実行可能な指令が記憶され、指令が少なくとも１つのプロセッサによって実行されることにより、上記第１態様のいずれかに記載の方法を少なくとも１つのプロセッサに実行させる電子デバイスを提供する。

第４態様によると、コンピュータ指令が記憶された非一時的コンピュータ可読記憶媒体であって、コンピュータ指令は、第１態様のいずれかに記載の方法をコンピュータに実行させるために使用されることを特徴とする非一時的コンピュータ可読記憶媒体を提供する。

第５態様によると、コンピュータプログラムであって、当該コンピュータプログラムは、プロセッサにより実行されると、第１態様のいずれかに記載の方法をコンピュータに実行させるコンピュータプログラムを提供する。

本発明の技術によると、セキュリティチップに関する異なるターゲットデバイスの検出結果を判断することにより、異なる暗号化方式を使用してディスクを保護して、暗号化ディスクのセキュリティを高め、また、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶され、その固定パスワード暗号化方式は、従来のＬｉｎｕｘ（登録商標）システムのインストールに適合することができる。

本明細書で記載された内容は、本開示の実施例のキーとなる特徴または重要な特徴を限定することを意図したものではなく、本開示の範囲を制限するものでもないことを理解すべきである。本開示の他の特徴は、以下の説明によって容易に理解される。

図面は、本技術案をよりよく理解するために使用され、本発明に対する限定を構成するものではない。
本開示の一実施例が適用可能な例示的なシステムアーキテクチャ図である。 本開示によるディスク暗号化保護方法の一実施例のフローチャートである。 本開示によるディスク暗号化保護方法の一応用シーンを示す概略図である。 本開示によるディスク暗号化保護方法の別の実施例のフローチャートである。 本開示によるディスク暗号化保護装置の一実施例の概略構成図である。 本開示の実施例の電子デバイス／端末装置またはサーバを実現するために適用されるコンピュータシステムの概略構成図である。

以下、図面に関連して本発明の例示的な実施例を説明し、理解を助けるための本発明の実施例の様々な詳細を含み、それらは単なる例示的なものにすぎないとすべきである。したがって、当業者は、本発明の範囲および精神から逸脱しない限り、本明細書に記載された実施例に対して様々な変更および修正を行うことができることを認識すべきである。同様に、明確かつ簡単明瞭にするために、以下の説明では、公知の機能および構造に対する説明が省略する。

図１には、本願に係るディスク暗号化保護方法および装置を応用し得る例示的なシステムアーキテクチャ１００が示されている。

図１に示すように、システムアーキテクチャ１００は、端末装置１０１、１０２、１０３と、ネットワーク１０４と、サーバー１０５とを含むことができる。ネットワーク１０４は、端末装置１０１、１０２、１０３とサーバー１０５との間に通信リンクの媒介を提供するために使用される。ネットワーク１０４は、例えば有線、無線通信リンク、または光ファイバケーブルなどの様々な接続タイプを含むことができる。

端末装置１０１、１０２、１０３は、ネットワーク接続をサポートすることにより、データのインタラクションとデータ処理を行うハードウェア装置またはソフトウェアであってもよい。端末装置１０１、１０２、１０３がハードウェアである場合、情報のインタラクション、ネットワーク接続、情報処理などの機能をサポートする様々な電子デバイスであってもよく、スマートフォン、タブレットコンピュータ、電子書籍リーダー、ラップトップコンピュータ、デスクトップコンピュータ、車載コンピュータなどが含まれるが、これらに限定されない。端末装置１０１、１０２、１０３がソフトウェアである場合、上述した電子デバイスに取り付けることができる。例えば、分散型サービスを提供するための複数のソフトウェアまたはソフトウェアモジュールとして実装されてもよく、単一のソフトウェアまたはソフトウェアモジュールとして実装されてもよい。ここで具体的な限定はしない。

サーバー１０５は、様々なサービスを提供するサーバーであってもよく、例えば、端末装置１０１、１０２、１０３に対してディスク暗号化を行うバックグラウンド処理サーバーである。バックグラウンド処理サーバーは、端末装置に対してディスク暗号化を行い、ターゲットデバイスにセキュリティチップが設けられているかどうかの検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定することができる。例示として、サーバー１０５はクラウドサーバーであってもよい。

なお、サーバーは、ハードウェアでもよくソフトウェアでもよい。サーバーがハードウェアである場合、複数のサーバーからなる分散型サーバークラスターとして実現されてもよく、単一のサーバーとして実現されてもよい。サーバーがソフトウェアである場合、複数のソフトウェアまたはソフトウェアモジュール（例えば分散型サービスを提供するためのソフトウェアまたはソフトウェアモジュール）として実装されてもよく、単一のソフトウェアまたはソフトウェアモジュールとして実装されてもよい。ここで具体的な限定はしない。

なお、本開示の実施例によるディスク暗号化保護方法は、サーバーによって実行されてもよく、端末装置によって実行されてもよく、サーバーと端末装置によって互いに協力して実行されてもよい。対応して、情報処理装置に含まれる各部分（例えば、各ユニット、サブユニット、モジュール、サブモジュール）は、全てサーバーに設けてもよく、全て端末装置に設けてもよく、それぞれサーバーと端末装置に設けてもよい。

図１の端末装置、ネットワーク、およびサーバーの数は単なる例示であることを理解すべきである。必要に応じて、任意の数の端末装置、ネットワーク、およびサーバーを備えることができる。ディスク暗号化保護方法が実行される電子デバイスが他の電子デバイスとのデータ転送を行う必要がない場合、当該システムアーキテクチャは、ディスク暗号化保護方法が実行される電子デバイス（例えば、サーバーまたは端末装置）のみを含むことができる。

続けて図２を参照すると、ディスク暗号化保護方法の一実施例のフロー２００が示され、以下のステップを含む。

ステップ２０１において、ターゲットデバイスのディスクを暗号化し、ディスクに対応するキーを生成し、暗号化ディスクを得る。

本実施例において、ディスク暗号化保護方法の実行主体（例えば図１における端末装置またはサーバー）は、ターゲットデバイスのディスクを暗号化し、ディスクに対応するキーを生成し、暗号化ディスクを得ることができる。

例示として、上記実行主体は、ＬＵＫＳ（Ｌｉｎｕｘ（登録商標） Ｕｎｉｆｉｅｄ Ｋｅｙ Ｓｅｔｕｐ、Ｌｉｎｕｘ（登録商標）統一キー設定）技術に基づいて、ターゲットデバイスのディスクを暗号化することができ、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ、高度暗号化基準）暗号化アルゴリズム、Ｃａｓｔ暗号化アルゴリズム、Ｓｅｒｐｅｎｔ暗号化アルゴリズムを含むが、これらに限定されない。ＬＵＫＳ技術は、Ｌｉｎｕｘ（登録商標）ハードディスク暗号化の基準である。基準的なディスクフォーマットを提供することにより、ＬＵＫＳ技術は、バージョン間の互換性を促進するだけでなく、複数のユーザのパスワードに対するセキュリティ上の管理を提供することができる。

ターゲットデバイスは、磁気ディスクが設けられた任意の端末装置であってもよく、例示として、ターゲットデバイスは、図１におけるデスクトップコンピュータ、車載コンピュータなどであってもよい。

なお、本ステップの実行主体は、端末装置であってもよく、サーバーであってもよい。端末装置がディスク暗号化機能を有する場合、本ステップの実行主体はディスク暗号化機能を有する端末装置であってもよい。サーバーがディスク暗号化機能を有する場合、本ステップの実行主体はディスク暗号化機能を有するサーバーであってもよい。

ステップ２０２において、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定する。

本実施例において、上記実行主体は、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定することができる。

ここで、暗号化ディスクは複数の記憶スロットを含み、例えば、ＬＵＫＳ技術に基づいて暗号化して得られた暗号化ディスクの内部の暗号化パーティションは、ボリュームヘッダ、暗号化データエリアなどの部分から構成され、ボリュームヘッダにはデフォルトで８つのスロット（ｋｅｙ ｓｌｏｔ）を提供でき、スロットごとに、異なる暗号化方式に基づいて得られたキーのキーパラメータを記憶することができる。キーとその対応するキーパラメータは、暗号化ディスクを復号化キーとみなすことができ、任意のキーを使っても、ＬＵＫＳ技術に基づいて暗号化して得られた暗号化ディスクを開くことができる。

本実施例において、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶され、その固定パスワード暗号化方式は、従来のＬｉｎｕｘ（登録商標）システムのインストールに適合することができる。例として、従来のＬｉｎｕｘ（登録商標）システムは、Ｕｂｕｎｔｕシステムであってもよい。Ｕｂｕｎｔｕシステムをインストールする場合、Ｕｂｕｎｔｕシステムをインストールするディスクを暗号化する際に、固定パスワードを手動で入力し、パスワードキーパラメータはデフォルトで第１の記憶スロットに記憶される。

本実施例において、任意の暗号化方式を使用してキーを暗号化することができる。ホワイトボックス暗号化、ブラックボックス暗号化、キーのシステム状態へのバイディングなどを含むが、これらに限定されない。キーをシステム状態にバイディングする暗号化方式は、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ、基本入出力システム）、ＧＲＵＢ（ＧＲａｎｄ Ｕｎｉｆｉｅｄ Ｂｏｏｔｌｏａｄｅｒ、統合ブートローダー）、カーネル又は初期化ミラーリングなどのプリセットシステムの任意の部分の状態が変化した場合、キーを取得できなくなることを示すために使用され、キーのセキュリティがさらに保証される。

例示として、セキュリティチップが設けられたターゲットデバイスに対して、上記実行主体は、キーをシステム状態とバイディングし、キーとプリセットシステムのシステム状態をセキュリティチップに関連付けて記憶することができ、キーパラメータが暗号化ディスクの第２の記憶スロットに記憶される。セキュリティチップがないターゲットデバイスに対して、キーはホワイトボックス保護を採用し、パスワード及び暗号文はＬＵＫＳ ｈｅａｄｅｒに記憶され、キーパラメータは暗号化ディスクの第３の記憶スロットに記憶される。

続けて図３を参照して、図３は、本実施例によるディスク暗号化保護方法の応用シーンを示す概略図である。図３の応用シーンにおいて、ユーザは家庭用自動車３０１の車載コンピュータ３０２に自動運転システムをインストールしようとする。車載コンピュータ３０２は、車載コンピュータ３０２のディスク３０３を暗号化し、ディスク３０３に対応するキーを生成し、暗号化ディスクを得る。次に、車載コンピュータ３０２は、車載コンピュータにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定し、ここで、暗号化ディスクは複数の記憶スロットを含み、第１の記憶スロットには固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶されている。

本開示の上記実施例による方法では、異なるハードウェアにセキュリティチップが設けられているかどうかを判断することにより、異なる暗号化方式を使用してディスクを保護して、暗号化ディスクのセキュリティを高め、そして、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶され、その固定パスワード暗号化方式は従来のＬｉｎｕｘ（登録商標）システムのインストールに適合することができる。

続けて図４を参照すると、本発明によるディスク暗号化保護方法の別の実施例の概略的なフロー４００が示され、以下のステップを含む。

ステップ４０１において、ターゲットデバイスにプリセットシステムをインストールする場合、ターゲットデバイスのディスクを暗号化し、前記ディスクに対応するキーを生成し、暗号化ディスクを得る。

ステップ４０２において、キーに対してホワイトボックス暗号化を行い、ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、キーパラメータを第２の記憶スロットに記憶し、ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、キーパラメータを第３の記憶スロットに記憶する。

ステップ４０３において、プリセットシステムを起動する場合、暗号化ディスクを復号化するときにアクティブ化されたスロットを検出する。

ステップ４０４において、アクティブ化されたスロットが第１の記憶スロットであると確定したことに応答して、固定パスワード及びパスワードキーパラメータによって、暗号化ディスクを復号化することにより、復号化ディスクを得る。

ステップ４０５において、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、復号化ディスクを再暗号化して得られた第１の更新キーの暗号化方式と第１の更新キーに対応する第１の更新キーパラメータの記憶スロットを確定する。

本実施例において、上記実行主体は、上記ステップ４０５は以下の具体的方法により実行することができる。

ステップ４０５１において、ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、第１の更新キーとプリセットシステムのシステム状態をセキュリティチップに関連付けて記憶する。

ステップ４０５２において、ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、第１の更新キーに対してホワイトボックス暗号化を行う。

ステップ４０５３において、固定パスワードを第１の更新キーに置き換え、第１の更新キーパラメータを第３の記憶スロットに記憶する。

ステップ４０６において、アクティブ化されたスロットが第２の記憶スロットであると確定したことに応答して、キーが第２の記憶スロットにおけるキーパラメータに合致するかどうかを確定する。

ステップ４０７において、キーが第２の記憶スロットにおけるキーパラメータに合致したことに応答して、キー及びキーパラメータで暗号化ディスクを復号化することにより、復号化ディスクを得る。

ステップ４０８において、復号化ディスクを暗号化し、第２の更新キーと第２の更新キーパラメータを生成し、第２の更新キーとプリセットシステムのシステム状態をセキュリティチップに関連付けて記憶する。

ステップ４０９において、第２の更新キーパラメータを第３の記憶スロットに記憶する。

ステップ４１０において、プリセットシステムをアップグレードする前に、暗号化ディスクを復号化し、復号化の時にアクティブ化されたスロットを検出し、且つターゲットデバイスにセキュリティチップが設けられているかどうかを確定する。

ステップ４１１において、アクティブ化されたスロットが第３の記憶スロットであると確定したこと、及びターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、第２の更新キー及び第２の更新キーパラメータで暗号化ディスクを復号化することにより、復号化ディスクを得る。

ステップ４１２において、復号化ディスクを暗号化し、アップグレードキー及びアップグレードキーパラメータを生成する。

ステップ４１３において、アップグレードキーに対してホワイトボックス暗号化を行い、アップグレードキーパラメータを第２の記憶スロットに記憶する。

なお、上記に記載された内容に加えて、本開示の実施例は、図２に対応する実施例と同じまたは同様の特徴、効果を含むことができ、ここでは説明を省略する。

図４から分かるように、図２に対応する実施例と比較して、本実施例におけるディスク暗号化保護方法のフロー４００では、プリセットシステムのインストール、起動、及びアップグレードプロセスにおけるディスク復号化のフローを強調した。なお、本実施例では、プリセットシステムの完全なインストール、起動、およびアップグレードプロセスを含むが、ディスク暗号化保護方法の実施例では、別個のインストール、起動、またはアップグレードプロセスを含み得ることを理解すべきである。このように、本実施例で説明された態様では、プリセットシステムのインストール、起動、及びアップグレードプロセスにおいて、ディスクの自動復号化を実現し、インテリジェント化の度合いを向上させ、ターゲットデバイスにセキュリティチップが設けられている場合、キーをシステム状態にバイディングし、システムの状態が変化した場合、キーを取得できなくなり、キーのセキュリティがさらに保証され、プリセットシステムの起動およびアップグレードプロセスに対して、キーの移行を行うことにより、プリセットシステムのアップグレードが成功するか否かが次回のシステム起動時のディスク復号化には影響を与えず、インテリジェント化の度合いをさらに向上させた。

さらに図５を参照して、上記の各図に示された方法の実現として、本開示はディスク暗号化保護装置の一実施例を提供し、当該装置の実施例は、図２に示す方法実施例に対応し、以下に記載された特徴に加えて、当該装置の実施例は、図２に示す方法実施例と同じまたは対応する特徴を含み、且つ図２に示す方法実施例と同じまたは対応する効果が生じることができる。当該装置は、具体的に様々な電子デバイスに適用できる。

図５に示すように、本実施例のディスク暗号化保護装置５００は、ターゲットデバイスのディスクを暗号化し、ディスクに対応するキーを生成し、暗号化ディスクを得るように構成される暗号化ユニット５０１と、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、キーの暗号化方式とキーに対応するキーパラメータの記憶スロットを確定するように構成され、ここで、暗号化ディスクは、複数の記憶スロットを含み、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパスワードキーパラメータが記憶されるように構成される確定ユニット５０２と、を含む。

いくつかの実施例において、確定ユニット５０２は、さらに、ターゲットデバイスにプリセットシステムをインストールする場合、キーに対してホワイトボックス暗号化を行い、ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、キーパラメータを第２の記憶スロットに記憶するように構成される。

いくつかの実施例において、確定ユニット５０２は、さらに、ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、キーパラメータを第３の記憶スロットに記憶するように構成される。

いくつかの実施例において、確定ユニット５０２は、さらに、プリセットシステムを起動する場合、暗号化ディスクを復号化するときにアクティブ化されたスロットを検出し、アクティブ化されたスロットが第１の記憶スロットであると確定したことに応答して、固定パスワード及びパスワードキーパラメータで暗号化ディスクを復号化することにより、復号化ディスクを得て、ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、復号化ディスクを再暗号化して得られた第１の更新キーの暗号化方式と第１の更新キーに対応する第１の更新キーパラメータの記憶スロットを確定するように構成される。

いくつかの実施例において、確定ユニット５０２は、さらに、ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、第１の更新キーとプリセットシステムのシステム状態をセキュリティチップに関連付けて記憶し、ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、第１の更新キーに対してホワイトボックス暗号化を行い、固定パスワードを第１の更新キーに置き換え、更新キーパラメータを第３の記憶スロットに記憶するように構成される。

いくつかの実施例において、確定ユニット５０２は、さらに、アクティブ化されたスロットが第２の記憶スロットであると確定したことに応答して、キーが第２の記憶スロットにおけるキーパラメータに合致するかどうかを確定し、キーが第２の記憶スロットにおけるキーパラメータに合致したことに応答して、キー及びキーパラメータで暗号化ディスクを復号化することにより、復号化ディスクを得て、復号化ディスクを暗号化し、第２の更新キーと第２の更新キーパラメータを生成し、第２の更新キーとプリセットシステムのシステム状態をセキュリティチップに関連付けて記憶し、第２の更新キーパラメータを第３の記憶スロットに記憶するように構成される。

いくつかの実施例において、確定ユニット５０２は、さらに、プリセットシステムをアップグレードする前に、暗号化ディスクを復号化し、復号化の時にアクティブ化されたスロットを検出し、且つターゲットデバイスにセキュリティチップが設けられているかどうかを確定し、アクティブ化されたスロットが第３の記憶スロットであると確定したこと、及びターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、第２の更新キー及び第２の更新キーパラメータで暗号化ディスクを復号化することにより、復号化ディスクを得て、復号化ディスクを暗号化し、アップグレードキーとアップグレードキーパラメータを生成し、アップグレードキーに対してホワイトボックス暗号化を行い、アップグレードキーパラメータを第２の記憶スロットに記憶するように構成される。

以下、図６を参照して、本発明の実施例によると、本発明は、電子デバイス及び可読記憶媒体をさらに提供する。

図６に示すように、本発明の実施例のディスク暗号化保護方法による電子デバイス６００のブロック図である。電子デバイスは、ラップトップコンピュータ、デスクトップコンピュータ、作業台、パーソナルデジタルアシスタント、サーバー、ブレードサーバ、大型コンピュータ、および他の適切なコンピュータのような様々な形態のデジタルコンピュータを表すことを意図している。電子デバイスは、パーソナルデジタル処理、携帯電話、スマートフォン、ウェアラブルデバイス、および他の類似のコンピューティングデバイスのような様々な形態のモバイルデバイスを表すこともできる。本明細書に示された部品、それらの接続および関係、およびそれらの機能は、単なる例にすぎず、本明細書で説明されおよび/または要求されている本発明の実現を制限することを意図するものではない。

図６に示すように、当該電子デバイスは、少なくとも１つのプロセッサ６０１と、メモリ６０２と、高速インターフェースと低速インターフェースを含む各部品を接続するためのインターフェースとを含む。各部品は、異なるバスを利用して互いに接続され、共通マザーボードに取り付けられてもよいし、必要に応じて他の方法で取り付けられてもよい。プロセッサは、ＧＵＩのグラフィカル情報を外部入力／出力装置（例えば、インターフェイスにカップリングされた表示装置）に表示するためのメモリ内またはメモリ上に記憶された命令を含む、電子デバイス内で実行された指令を処理することができる。他の実施形態では、必要に応じて、複数のプロセッサおよび／または複数のバスを複数のメモリおよび複数のメモリとともに使用することができる。同様に、複数の電子デバイスを接続してもよく、各機器は、部分的に必要な動作（例えば、サーバアレイ、１組のブレードサーバ、またはマルチプロセッサシステムとして）を提供する。図６では、１つのプロセッサ６０１を例にとる。

メモリ６０２は、本発明による非一時的コンピュータ可読記憶媒体である。ここで、メモリは、少なくとも１つのプロセッサによって実行され得る指令を記憶することにより、本発明によるディスク暗号化保護方法を少なくとも１つのプロセッサに実行させる。本発明の非一時的コンピュータ可読記憶媒体は、コンピュータ指令を記憶し、当該コンピュータ指令は、本発明によるディスク暗号化保護方法をコンピュータに実行させるために使用される。

メモリ６０２は、非一時的コンピュータ可読記憶媒体として、本発明の実施例におけるディスク暗号化保護方法に対応するプログラム指令／モジュール（例えば、図５に示された暗号化ユニット５０１及び確定ユニット５０２）のような、非一時的ソフトウェアプログラム、非一時的コンピュータ実行可能プログラム、およびモジュールを記憶するために使用されることができる。プロセッサ６０１は、メモリ６０２に記憶された非一時的ソフトウェアプログラム、指令およびモジュールを実行することにより、サーバーの様々な機能アプリケーションおよびデータ処理を実行し、すなわち、上述した方法の実施例におけるディスク暗号化保護方法が実現される。

メモリ６０２は、プログラム記憶領域およびデータ記憶領域を含むことができ、ここで、プログラム記憶領域は、オペレーティングシステム、少なくとも１つの機能に必要なアプリケーションプログラムを記憶することができ、データ記憶領域は、ディスク暗号化保護方法による電子デバイスの使用によって作成されたデータなどを記憶することができる。また、メモリ６０２は、高速ランダムアクセスメモリを含むことができ、例えば少なくとも１つの磁気ディスク記憶装置、フラッシュメモリ装置、または他の非一時的固体記憶装置などの非一時的メモリを含むこともできる。いくつかの実施例では、選択肢の一つとして、メモリ６０２は、プロセッサ６０１に対して遠隔的に配置されたメモリを含むことができ、これらの遠隔メモリは、ネットワークを介してディスク暗号化保護方法の電子デバイスに接続されることができる。上記のネットワークの例は、インターネット、企業内ネットワーク、ローカルエリアネットワーク、モバイル通信ネットワークおよびその組み合わせを含むが、これらに限定されない。

ディスク暗号化保護方法の電子デバイスは、入力装置６０３および出力装置６０４をさらに含むことができる。プロセッサ６０１、メモリ６０２、入力装置６０３および出力装置６０４は、バスまたは他の方法で接続されることができ、図６では、バスで接続されることを例にとる。

入力装置６０３は、入力された数字または文字メッセージを受信し、ディスク暗号化保護された電子デバイスのユーザ設定および機能制御に関するキー信号入力を生成することができ、例えばタッチスクリーン、キーパッド、マウス、トラックボード、タッチパッド、指示棒、１つ以上のマウスボタン、トラックボール、ジョイスティックなどの入力装置が挙げられる。出力装置６０４は、表示装置、補助照明装置（例えば、ＬＥＤ）、および触覚フィードバック装置（例えば、振動モータ）などを含むことができる。当該表示装置は、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）ディスプレイ、およびプラズマディスプレイを含むことができるが、これらに限定されない。いくつかの実施例では、表示装置は、タッチスクリーンであってもよい。

ここで説明されたシステムおよび技術の様々な実施形態は、デジタル電子回路システム、集積回路システム、専用ＡＳＩＣ（専用集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、および／またはこれらの組み合わせにおいて実現されることができる。これらの様々な実施形態は、以下の内容を含むことができ、即ち、１つ以上のコンピュータプログラムに実施され、当該１つ以上のコンピュータプログラムは、少なくとも１つのプログラマブルプロセッサを含むプログラマブルシステム上で実行および/または解釈されることができ、当該プログラマブルプロセッサは、専用または汎用プログラマブルプロセッサであってもよく、記憶システム、少なくとも１つの入力装置、および少なくとも１つの出力装置からデータおよび指令を受信し、且つデータおよび指令を当該記憶システム、当該少なくとも１つの入力装置、および当該少なくとも１つの出力装置に送信することができる。

これらの計算プログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、またはコードとも呼ばれ）は、プログラマブルプロセッサのマシン指令を含み、高度なプロセスおよび／またはオブジェクトに向けたプログラミング言語、および／またはアセンブリ／マシン言語を利用してこれらの計算プログラムを実行することができる。本明細書で使用されたような用語「機械可読媒体」および「コンピュータ可読媒体」とは、機械指令および／またはデータをプログラマブルプロセッサに提供するための任意のコンピュータプログラム製品、デバイス、および／または装置（例えば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を指し、機械可読信号である機械指令を受信する機械可読媒体を含む。用語「機械可読信号」とは、機械指令および／またはデータをプログラマブルプロセッサに提供するための任意の信号を指す。

ユーザとのインタラクティブを提供するために、ここで説明されたシステムおよび技術をコンピュータ上で実施することができ、当該コンピュータは、ユーザに情報を表示するための表示装置（例えば、ＣＲＴ（陰極線管）またはＬＣＤ（液晶ディスプレイ）モニタ）、キーボードおよびポインティングデバイス（例えば、マウスまたはトラックボール）を備え、ユーザーは、当該キーボードおよび当該ポインティングデバイスを介して入力をコンピュータに提供することができる。他の種類の装置は、ユーザとのインタラクティブを提供するために使用されることもできる。例えば、ユーザに提供されたフィードバックは、任意の形態のセンシングフィードバック（例えば、視覚フィードバック、聴覚フィードバック、または触覚フィードバック）であってもよく、任意の形態（声入力、音声入力、または触覚入力を含む）でユーザからの入力を受信してもよい。

ここで説明されたシステムおよび技術を、バックグラウンド部品を含む計算システム（例えば、データサーバー）、またはミドルウエア部品を含む計算システム（例えば、アプリケーションサーバー）、またはフロントエンド部品を含む計算システム（例えば、グラフィカルユーザインタフェースまたはネットワークブラウザを有するユーザコンピュータが挙げられ、ユーザーは、当該グラフィカルユーザインタフェースまたは当該ネットワークブラウザを介してここで説明されたシステムおよび技術の実施形態とインタラクティブすることができ）、またはこのようなバックグラウンド部品、ミドルウエア部品、またはフロントエンド部品の任意の組合せを含む計算システム上で実施することができる。システムの部品は、任意の形態またはメディアのデジタルデータ通信（例えば、通信ネットワーク）によって相互に接続されてもよい。通信ネットワークの例は、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、およびインターネットを含む。

コンピュータシステムは、クライアントとサーバーとを含むことができる。クライアントとサーバーは、一般に互いに離れ、通常は通信ネットワークを介してインタラクティブする。クライアントとサーバーとの関係は、対応するコンピュータ上で実行され、且つ互いにクライアントーサーバー関係を有するコンピュータプログラムによって生成される。

本発明の技術案によると、異なるハードウェアを判断することにより、異なる暗号化方式を使用してディスクを保護して、暗号化ディスクのセキュリティを高め、そして、第１の記憶スロットには、固定パスワードに基づいてディスクを暗号化するパラメータキーが記憶され、その固定パスワード暗号化方式は、従来のＬｉｎｕｘ（登録商標）システムのインストールに適合することができる。

以上で示された様々な形態のフローを用いて、ステップを並べ替え、追加、または削除できることを理解すべきである。例えば、本発明に記載された各ステップは、並列的に実行されてもよく、順次に実行されてもよく、異なる順序で実行されてもよく、本発明に開示された技術案の所望の結果が達成される限り、本明細書では制限しない。

上記具体的な実施形態は、本発明の保護範囲に対する制限を構成するものではない。当業者は、設計要件とその他の要因に応じて、様々な修正、組み合わせ、サブ組み合わせ、および代替を行うことが可能であることを理解すべきである。本発明の精神及び原則内でなされたいかなる修正、均等置換及び改善等は、いずれも本発明の保護範囲に含まれるべきである。

Claims (17)

1. ターゲットデバイスのディスクを暗号化し、暗号化ディスクを得て、前記暗号化ディスクに対応するキーを生成することと、
   前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出することと、
   検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定することであって、前記暗号化ディスクは複数の記憶スロットを含み、第１の記憶スロットには、固定パスワードに基づいて前記ディスクを暗号化するパスワードキーパラメータが記憶されていることと、
   を含む、
   ことを特徴とするディスク暗号化保護方法。
2. 上述前記ターゲットデバイスにセキュリティチップが設けられるかどうかを検出し、検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定することは、
   前記ターゲットデバイスにプリセットシステムをインストールする場合、前記キーに対してホワイトボックス暗号化を行うことと、
   前記ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、前記キーパラメータを第２の記憶スロットに記憶することと、
   を含む、
   請求項１に記載の方法。
3. 上述前記ターゲットデバイスにセキュリティチップが設けられるかどうかを検出し、検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定することは、
   前記ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、前記キーパラメータを第３の記憶スロットに記憶することをさらに含む、
   請求項２に記載の方法。
4. 上述前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定することは、
   前記プリセットシステムを起動する場合、前記暗号化ディスクを復号化するときにアクティブ化されたスロットを検出することと、
   アクティブ化されたスロットが第１の記憶スロットであると確定したことに応答して、前記固定パスワード及び前記パスワードキーパラメータによって、前記暗号化ディスクを復号化することにより、復号化ディスクを得ることと、
   前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記復号化ディスクを再暗号化して得られた第１の更新キーの暗号化方式と前記第１の更新キーに対応する第１の更新キーパラメータの記憶スロットを確定することと、
   をさらに含む、
   請求項３に記載の方法。
5. 上述前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記復号化ディスクを再暗号化して得られた第１の更新キーの暗号化方式と前記第１の更新キーに対応する第１の更新キーパラメータの記憶スロットを確定することは、
   前記ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、前記第１の更新キーと前記プリセットシステムのシステム状態を前記セキュリティチップに関連付けて記憶することと、
   前記ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、前記第１の更新キーに対してホワイトボックス暗号化を行うことと、
   前記固定パスワードを前記第１の更新キーに置き換え、前記第１の更新キーパラメータを第３の記憶スロットに記憶することと、
   を含む、
   請求項４に記載の方法。
6. 上述前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定することは、
   アクティブ化されたスロットが第２の記憶スロットであると確定したことに応答して、前記キーが前記第２の記憶スロットにおけるキーパラメータに合致するかどうかを確定することと、
   前記キーが前記第２の記憶スロットにおけるキーパラメータに合致したことに応答して、前記キー及び前記キーパラメータで前記暗号化ディスクを復号化することにより、復号化ディスクを得ることと、
   復号化ディスクを暗号化し、第２の更新キーと第２の更新キーパラメータを生成し、前記第２の更新キーとプリセットシステムのシステム状態を前記セキュリティチップに関連付けて記憶することと、
   前記第２の更新キーパラメータを第３の記憶スロットに記憶することと、
   をさらに含む、
   請求項４に記載の方法。
7. 上述前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定することは、
   前記プリセットシステムをアップグレードする前に、暗号化ディスクを復号化し、復号化の時にアクティブ化されたスロットを検出し、且つ前記ターゲットデバイスにセキュリティチップが設けられているかどうかを確定することと、
   アクティブ化されたスロットが第３の記憶スロットであると確定したこと、及び前記ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、前記第２の更新キー及び前記第２の更新キーパラメータで前記暗号化ディスクを復号化することにより、復号化ディスクを得ることと、
   復号化ディスクを暗号化し、アップグレードキーとアップグレードキーパラメータを生成することと、
   前記アップグレードキーに対してホワイトボックス暗号化を行い、前記アップグレードキーパラメータを第２の記憶スロットに記憶することと、
   をさらに含む、
   請求項６に記載の方法。
8. ターゲットデバイスのディスクを暗号化し、前記ディスクに対応するキーを生成し、暗号化ディスクを得るように構成される暗号化ユニットと、
   前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記キーの暗号化方式と前記キーに対応するキーパラメータの記憶スロットを確定するように構成される確定ユニットであって、前記暗号化ディスクは複数の記憶スロットを含み、第１の記憶スロットには固定パスワードに基づいて前記ディスクを暗号化するパスワードキーパラメータが記憶されるように構成される確定ユニットと、
   を含む、
   ことを特徴とするディスク暗号化保護装置。
9. 前記確定ユニットは、さらに、
   前記ターゲットデバイスにプリセットシステムをインストールする場合、前記キーに対してホワイトボックス暗号化を行い、前記ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、前記キーパラメータを第２の記憶スロットに記憶するように構成される請求項８に記載の装置。
10. 前記確定ユニットは、さらに、
    前記ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、前記キーパラメータを第３の記憶スロットに記憶するように構成される、
    請求項９に記載の装置。
11. 前記確定ユニットは、さらに、
    前記プリセットシステムを起動する場合、前記暗号化ディスクを復号化するときにアクティブ化されたスロットを検出し、アクティブ化されたスロットが第１の記憶スロットであると確定したことに応答して、前記固定パスワード及び前記パスワードキーパラメータで、前記暗号化ディスクを復号化することにより、復号化ディスクを得て、前記ターゲットデバイスにセキュリティチップが設けられているかどうかを検出し、検出結果に基づいて、前記復号化ディスクを再暗号化して得られた第１の更新キーの暗号化方式と前記第１の更新キーに対応する第１の更新キーパラメータの記憶スロットを確定するように構成される請求項１０に記載の装置。
12. 前記確定ユニットは、さらに、
    前記ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、前記第１の更新キーと前記プリセットシステムのシステム状態を前記セキュリティチップに関連付けて記憶し、前記ターゲットデバイスにセキュリティチップが設けられていないと確定したことに応答して、前記第１の更新キーに対してホワイトボックス暗号化を行い、前記固定パスワードを前記第１の更新キーに置き換え、前記第１の更新キーパラメータを第３の記憶スロットに記憶するように構成される請求項１１に記載の装置。
13. 前記確定ユニットは、さらに、
    アクティブ化されたスロットが第２の記憶スロットであると確定したことに応答して、前記キーが前記第２の記憶スロットにおけるキーパラメータに合致するかどうかを確定し、前記キーが前記第２の記憶スロットにおけるキーパラメータに合致したことに応答して、前記キー及び前記キーパラメータで前記暗号化ディスクを復号化することにより、復号化ディスクを得て、復号化ディスクを暗号化し、第２の更新キーと第２の更新キーパラメータを生成し、前記第２の更新キーとプリセットシステムのシステム状態を前記セキュリティチップに関連付けて記憶し、前記第２の更新キーパラメータを第３の記憶スロットに記憶するように構成される請求項１１に記載の装置。
14. 前記確定ユニットは、さらに、
    前記プリセットシステムをアップグレードする前に、暗号化ディスクを復号化し、復号化の時にアクティブ化されたスロットを検出し、且つ前記ターゲットデバイスにセキュリティチップが設けられているかどうかを確定し、アクティブ化されたスロットが第３の記憶スロットであると確定したこと、及び前記ターゲットデバイスにセキュリティチップが設けられていると確定したことに応答して、前記第２の更新キー及び前記第２の更新キーパラメータによって、前記暗号化ディスクを復号化することにより、復号化ディスクを得て、復号化ディスクを暗号化し、アップグレードキーとアップグレードキーパラメータを生成し、前記アップグレードキーに対してホワイトボックス暗号化を行い、前記アップグレードキーパラメータを第２の記憶スロットに記憶するように構成される請求項１３に記載の装置。
15. 少なくとも１つのプロセッサと、
    前記少なくとも１つのプロセッサに通信接続されたメモリと、を含み、
    前記メモリには、前記少なくとも１つのプロセッサが実行可能な指令が記憶され、前記指令が前記少なくとも１つのプロセッサによって実行されると、請求項１乃至６のいずれか１項に記載の方法を前記少なくとも１つのプロセッサに実行させる、
    ことを特徴とする電子デバイス。
16. コンピュータ指令が記憶された非一時的コンピュータ可読記憶媒体であって、
    前記コンピュータ指令は、請求項１乃至６のいずれか１項に記載の方法をコンピュータに実行させるために使用される、
    ことを特徴とする非一時的コンピュータ可読記憶媒体。
17. コンピュータプログラムであって、
    前記コンピュータプログラムがプロセッサにより実行されると、請求項１乃至６のいずれか１項に記載の方法を実行させる、
    コンピュータプログラム。

Images