NO331504B1 - Fremgangsmate og innretning for kryptering/dekryptering av data pa masselagringsinnretning. - Google Patents

Abstract

Foreliggende oppfinnelse tilveiebringer en fremgangsmåte og innretning som utfører kryptering/dekryptering av data på et masselagringsmedium. Et mangfold av forskjellige krypterings-/dekrypteringsalgoritmer med assosierte nøkler kan bli brukt på forskjellige lagringsområder på mediet, slik som blokker/sektorer på en harddiskdrive, for derved å øke sikkerheten til data betraktelig. I tillegg vil foreliggende oppfinnelse gi en fremgangsmåte og innretning som kombinerer nøklene med tilfeldige tall for videre å øke sikkerheten til dataene. I en foretrukket utførelse av oppfinnelsen vil blokk/sektortallet bli brukt for å velge en algoritme med en assosiert nøkkel og tilfeldig tall. Foreliggende oppfinnelse kan også bli brukt til å kryptere/dekryptere e-mails, nettverkstrafikk etc. og andre typer av elektroniske data. I tillegg kan innretningen brukes i en autentiseringsseksjon når en datamaskin startes opp fra en harddiskdrive, og til og med bli brukt for å velge et visst operativsystem og/eller miljø assosiert med en viss nøkkelbærer ved å forandre master boot record til disksystemet.

Description

Foreliggende oppfinnelse er relatert til en fremgangsmåte og en innretning for sikker kryptering (chiffrering), scrambling, dekryptering (dechiffrering), og av-scrambling av data, og mer spesifikt til en fremgangsmåte og en innretning for sikker kryptering/dekryptering av data under skriving og lesing fra en enhet for masselagring, det være seg disk/båndstasjon eller andre elektroniske/mekaniske/optiske masselagerenheter (kalt masselager), tilknyttet en datamaskin eller annet elektronisk utstyr, det være seg digitale kamera, digitale lyd/video opptakere (kalt datasystemer), via en databuss for masselagring i henhold til de vedlagte, selvstendige krav 1 og 19.

Datasystemer lagrer programmer og data i masselagerenheter. Uautorisert tilgang til slike lagrede data er en kjent og økende trussel. En vanlig fremgangsmåte for beskyttelse av lagret informasjon er å kreve brukernavn og passord fra brukere av datasystemene, og gjennom disse forhindre uautorisert tilgang til dataene.

De færreste vet at en uautorisert person kan få tilgang til enhver informasjon lagret på en masselagerenhet uten å ta i bruk standard brukeridentifisering ved at en uautorisert person kan fjerne lagringsenheten fra datamaskinen (på enkelte datasystemer med eksterne masselagerenheter er dette svært enkelt), montere lagringsenheten i en annen datamaskin og lese/ta i bruk informasjonen lagret på masselagerenheten. Dataene kan til og med modifiseres dersom ønskelig (forfalskning). Tyveri av masselagret data er en betydelig økende trussel.

Det er kjent at man kan sikre informasjon gjennom kryptering forut for lagring på masselagerenheter. Krypterte filer eller datasegmenter må da bli dekryptert før de kan tas i bruk. Når data blir skrevet tilbake til lagringsenheten, må dataene på ny bli kryptert. Denne prosessen innebærer ekstra prosedyrebehandling for brukeren, noe som ofte er årsaken til at slike forholdsregler sjelden er effektive i praksis.

Flertallet av operativsystemer er utviklet slik at de oppretter "arbeidsfiler" (swapfiler, midlertidige filer) for den informasjonen som blir behandlet. Sensitive data kan forbli tilgjengelig i disse "arbeidsfilene". Selv om brukeren tror at jobben er gjort og alle data er kryptert og trygt lagret på disk, kan en kompetent person trekke ut data og dokumenter fra disse "arbeidsfilene".

Selv når slike arbeidskopier er slettet kan de gjenopprettes, da sletting normalt kun vil markere et område av masselagringsmediet som åpent for gjenbruk og ikke slette selve dataene. For å sikre seg at dataene er slettet, må mediet gjentatte ganger bli fylt med tilfeldig data for å sikre at ingen informasjon er tilgjengelig på den slettede delen av masselagringsmediet. Denne prosessen må tilpasses til type lagringsmedium. Eksemplet her er typisk for et magnetisk medium, og vil være forskjellig for et elektronisk/mekanisk/optisk medium, men man kan ikke skrive for mange ganger tilbake til et "flash" minne, da overskrivingen vil forkorte dette mediets levetid betraktelig.

Disse prosedyrene involverer store mengder databearbeiding og bruk av spesielt utviklet programvare.

Bruk av krypteringsprogramvare vil også eksponere de tildelte krypteringsnøklene når disse er i bruk. Uautoriserte personer, virus programmer, spion programmer, osv. kan ta i bruk disse eksponerte nøklene og dekryptere lagret data.

For å unngå noen av de nevnte svakheter ved sikring av masselagret data, er det kjent at man kan kryptere alle lagrete data på en masselagerenhet og dekryptere alle data lest fra en slik masselagerenhet.

En fordel ved denne fremgangsmåten er at alle data på masselagerenheten, til enhver tid, forblir kryptert. Dette oppnås ved å aktivere et dedikert program som håndterer dataflyten til/fra masselagerenheten.

Det nevnte programmet kan derimot ikke lagres i kryptert form fordi datasystemet må kunne lese og implementere programmet for å ha mulighet til å dekryptere informasjon lagret på en masselagerenhet. Dersom all informasjon lagret på masselagerenheten skal krypteres, må programmet lagres på en annen lagringsenhet uten at dataene på denne blir kryptert. En annen opplagt ulempe med et slikt system er behovet for dataressurser stilt av krypterings/dekrypterings-prosessene, da de etterlater svært reduserte prosessorressurser til brukeren av datasystemet, og i tillegg eksponerer krypteringsnøklene når de er i bruk.

US Patent nummer 5,513,262 (van Rumpt et. al.) presenterer en elektronisk innretning for chiffrering/dechiffrering av data sendt til/fra en masselagerenhet i et datasystem ved å sette den elektroniske innretningen inn i databussen som forbinder datasystemet med masselagerenheten.

Den forbindende databussen viderebringer kommando koder, for eksempel for en hard disk stasjonskontroller. Kommandoene blir gjenkjent av den elektroniske innretningen og den lar kommandoene passere uendret, mens dataene blir chiffrert/dechiffrert samtidig som de passerer databussen til/fra masselagerenheten gjennom den elektroniske innretningen.

Chiffrering/dechiffrering oppnås ved å anvende krypterings/dekrypterings-algoritmer (DES) og en krypterings/dekrypterings-nøkkel på dataflyten som passerer gjennom den elektroniske innretningen. Redegjørelsen oppgir derimot ikke hvordan nøkkelen kommer til chiffrerings/dechiffreringsenheten på en sikker måte.

En mulig løsning er en nøkkel "fast programmert" i innretningen, men en utskiftbar nøkkel er heller å foretrekke dersom, for eksempel, en aktiv nøkkel ved en feiltagelse er blitt tilgjengelig for utenforstående. Produsenten av krypterings/dekrypterings-innretningen må også holde oversikt over alle brukte koder dersom, for eksempel, en brukt elektronisk innretning går i stykker og må erstattes for å gjenopprette adgang til lagret data. Derfor må det eksistere en indeks som forbinder "fast programmerte" nøkler med spesifikke krypterings/dekrypterings-innretninger, noe som i seg selv representerer en sikkerhetsrisiko.

Erstatning av en nøkkel innebærer overførsel av nøkkelen fra et datasystem til den elektroniske innretningen gjennom databussen som forbinder datamaskinen med masselagerenheten, hvilket innebærer at prosessorenheten i datasystemet blir involvert. Fiendtlig programvare plantet i datasystemet, som virus, orm, eller Trojansk kode, kan kapre nøkkelen idet den overføres, med det resultat at krypteringen blir kompromittert.

UK Patent søknad nummer GB 2,264,374 (Nolan) presenterer en annen innretning som kobles inn mellom vertsdatamaskinen og en masselagerenhet. Data flyter mellom flere databuffere, noe som kan være akseptabelt i et lavhastighets båndopptaksystem, men strukturen på innretningen kan ikke tilfredsstille kravene i moderne høyhastighets harddisker. I tillegg avhenger krypteringen/dekrypteringen av organiseringen av datablokker i lageret, noe som gjør at krypterings/dekrypterings-innretningen må tilpasses de enkelte datasystemer. Imidlertid presenterer beskrivelsen en separat terminal hvor operatøren kan legge inn krypterings/dekrypterings-nøkler direkte til krypterings/dekrypterings-enheten uten å involvere prosessorenheten i datasystemet. Selv ved bruk av en separat kanal for tilføring av nøkler fra et separat nøkkellagringsmedium, som for eksempel et smartkort, kan dataflyten bli avdekket og/eller manipulert.

Europeisk patentsøknad nummer EP 0471538 A2 viser et datasikkerhetssystem hvor en hardware basert krypteringskrets er inkorporert i diskkontrolleren som en vertsdatamaskin får aksess til en disk gjennom.

Europeisk patentsøknad nummer EP 0950941 A2 viser en annen fremgangsmåte til et apparat for beskyttelse av data på et lagringsmedium ved å kryptere dataene på et lagringsmedium med et passord.

US patentsøknad nummer US 6158004 viser et annet sikkerhetssystem for et informasjonsmedium som er slik sammensatt at bare fildata som inkluderer hemmelig individuell informasjon er kryptert av en krypteringskrets. Kjent fil-administrasjonsdata skrives til en minneenhet i klar tekst.

En stor ulempe med de nevnte innretninger er at alle fremgangsmåter så langt tar i bruk en algoritme og en nøkkel for hele innholdet på lagringsmediet. Like datasett vil bli kryptert med samme mønster, som kan bli brukt til å knekke nøkkelen og krypteringsfremgangsmåten som brukes. Et enkelt eksempel, som illustrerer dette bra er det engelske ordet "IS" som er kryptert til, for eksempel, "CE". Siden "IS" er en hyppig brukt frase i det engelske språk, og ved at denne bokstavkombinasjonen svært ofte er den andre frasen i en setning, kan man ved hjelp av denne observasjonen knekke koden som har blitt brukt.

Oppfinnelsen det gjøres krav på i de vedlagte patent krav og i viste eksempler på utførelse av oppfinnelsen, viser en forbedret fremgangsmåte og enhet for lagring og henting/lesing av kryptert/dekryptert data til/fra et medium for masselagring i et datasystem eller lignende systemer.

Oppfinnelsen beskriver en fremgangsmåte og en enhet som kan kryptere/dekryptere data lokalisert i adresserbare områder på et medium for masselagring gjennom bruk av en av flere krypterings/dekrypterings-algoritmer og nøkler, hvor utvelgelsen av gjeldende algoritme og nøkkel som skal anvendes på valgte dataelement i det adresserbare området, er basert på fysiske adresser til nedre og øvre adressebegrensning som favner over nevnte adresserbare område på masselagringsmediet.

Anordningen av en enhet i henhold til et eksempel på utførelse av den beskrevne oppfinnelsen kan bli brukt til å kryptere/dekryptere e-post eller andre former for elektroniske meldinger fortløpende. Nøkkelen og den assosierte krypteringsalgoritmen kan være et system som fremskaffer en offentlig nøkkel ("public key") og en privat nøkkel ("private key"). På denne måten kan personer som kommuniserer via e-post bruke sine private nøkler til å etablere en sikker kanal for utveksling av meldinger, og gjennom disse utveksle informasjon om hvilke offentlige nøkler og algoritmer beskjeden har blitt kryptert med.

I en foretrukket utførelse av den beskrevne oppfinnelsen er en fremgangsmåte og enhet som tillater ulike operativsystemer å være totalt uavhengige og isolerte, selv når systemene er lagret på samme masselagringsmedium, og som kun blir lastet inn i datasystemet når korrekt nøkkel settes inn i en enhet, i henhold til den beskrevne oppfinnelse, for denne operative konfigurasjonen. I en annen utførelse av den beskrevne oppfinnelsen vil en bruker eller administrator av et datasystem ha sin egen nøkkel lagret kryptert på en nøkkelbærer som overfører nøkkelen til krypterings/dekrypterings-enheten via en sikker kanal. Denne løsningen gir brukeren eller administratoren adgang til egne filer og gyldig operativ konfigurasjon. Når en slik nøkkel blir fjernet fra enheten vil mulige handlinger være, i henhold til foretrukket utførelse av den beskrevne oppfinnelsen, en av følgende: driftsstans, stans av aktive program i datamaskinen, stans av programmer etter en forhåndsdefinert tidsperiode, eller fortsatt drift av datamaskinen frem til datasystemet blir startet på nytt. På dette stadiet vil igjen nøkkelen kreves ved oppstart av maskinen. Fremgangsmåten og enheten i henhold til denne utførelsen av den beskrevne oppfinnelse representerer en stor forbedring av datasikkerheten i et dataserversystem sammenlignet med tidligere løsninger.

Et aspekt ved den beskrevne oppfinnelsen er å tilby en sikker og ikke-manipulerbar fremgangsmåte og enhet for overføring av nøkkel for en

krypterings/dekrypteringsalgoritme opererende i en utførelse av den beskrevne oppfinnelsen.

Figur 1 illustrerer skjematisk en oversikt over et eksempel på en utførelse av foreliggende oppfinnelse. Figur 2 illustrerer skjematisk en oversikt over en sikker kanal som overfører en krypterings/dekrypterings-nøkkel fra et smartkort, eller en annen form for nøkkelbærer, til en enhet i henhold til foreliggende oppfinnelse. Figur 3 illustrerer skjematisk utlegg og sammenkoblinger av funksjonelle enheter i en elektronisk innretning i henhold til en foretrukket utførelse av foreliggende oppfinnelse. Figur 4 er en illustrasjon av en krypteringsprosess i henhold til et eksempel på en utførelse av foreliggende oppfinnelse. Figur 5 er en illustrasjon av en krypteringsprosess i henhold til et eksempel på en utførelse av foreliggende oppfinnelse. Figur 6 er en illustrasjon av en foretrukket utførelse av en krypteringsprosess i henhold til foreliggende oppfinnelse. Figur 7 illustrerer skjematisk et komparatorsystem i henhold til eksempelet på utførelse vist i Figur 3. Figur 8 illustrerer et system, i henhold til foreliggende oppfinnelse, hvor "Master Boot Record" til et disksystem kan byttes om.

En masselagerenhet er koblet til et datasystem gjennom en masselagringsbuss (for eksempel en kabel, kopper eller fiber osv.) som sørger for overføringen av data, kontrollkoder, og statuskoder mellom masselagerenheten og datasystemet.

Det eksisterer flere typer databuss-systemer og protokoller for denne oppgaven, for eksempel SCSI, IDE, AT, ATA, USB, FireWire, FiberChannel med flere. For en fagmann er samtlige av de nevnte databusstyper velkjente.

Den beskrevne oppfinnelsen kan ta i bruk en eller flere av disse databussprotokollene.

En elektronisk enhet 13, i henhold til et eksempel på utførelse av foreliggende oppfinnelse, er illustrert i Figur 1. En masselagerenhet kommuniserer med en datamaskin gjennom enhet 13 som har en side ("host side") 12 som kommuniserer med datamaskinen 10 via

databuss 11, og en annen side ("device side") 14 som kommuniserer med en masselagirngsenhet 16 via databuss 15. Databuss 15 bruker typisk en standard databussprotokoll for masselagring, som kjent for en fagmann. Databuss 11 kan bruke samme protokoll som databuss 15, men kan også være forskjellig, for eksempel en seriell databuss, mens databuss 15 er en parallell databuss. Enheten 13 vil uansett motta data eller sende data til/fra begge ender som knytter sammen datasystemet 10 med

masselagerenheten 16. Data kommunisert fra datasystemet 10 via databuss 11 blir fortløpende kryptert i enheten 13, mens data kommunisert fra masselagerenheten 16 via databuss 15 til datasystemet 10 blir fortløpende dekryptert i samme enhet 13.1 en utførelse av foreliggende oppfinnelse, hvor databuss 11 og databuss 15 tar i bruk forskjellige databussprotokoller, vil enheten 13 også fungere som oversetter mellom de to protokollene mens den samtidig krypterer og dekrypterer data fortløpende.

I henhold til foreliggende oppfinnelse kan enheten 13 organiseres på ulike måter. For eksempel kan de funksjonelle enhetene presentert i Figur 3 organiseres som en integrert del av en harddiskkontroller. I dette tilfellet er databuss 11 typisk en databuss for masselagring. Databuss 15 vil være en intern databussdefinisjon som er direkte knyttet til hardisk-driver systemet.

I et annet eksempel på utførelse av foreliggende oppfinnelse, kan enheten 13 være en krets designet til å være en del av et datasystems hovedkretskort. Databuss 11 vil da typisk være i henhold til den interne databussdefinisjonen for hovedkretskortet, eller skreddersydd til å kommunisere med en programmerbar inn/ut port på hovedkretskortet, for eksempel en "Direct Memory Access" kanal. Databuss 15 vil da være en databuss for masselagring.

Data overført mellom datasystemet og masselagerenheten kan deles inn i to kategorier: kommando/styrings-koder og brukerdata. Kommando/styrings-koder inneholder all informasjon om kommandoer og kontroll av masselagerenheten, det være seg statuskoder, formateringskoder, og koder som spesifiserer data organisering i masselagerenheten, hvilke operasjoner som skal utføres, hvilket adresseområde av mediet som skal brukes, osv.

Kommando/styrings-koder leses via den ene siden ("host side") 12 på enheten 13 fra databuss 11, for så å bli skrevet av enheten 13 til den andre siden ("device side") 14 og ut til databuss 15 uten å bli kryptert eller dekryptert (i noen tilfeller kan endring av koder bli utført). Styreenheten til masselagerenheten vil operere på kommando/styrings-kodene i henhold til produsentens spesifikasjoner av masselagerenheten. Denne fremgangsmåten for selektiv identifisering av kommando/styrings-koder eller data brukes for å sende utvidede kontrollkoder som styrer enheten 13 i utvelgelse av krypteringsnøkler, algoritmer, og andre interne operative funksjoner og egenskaper i enheten 13.

System for gjenkjennelse av slike kommando/styrings-koder er normalt spesifisert i dataprotokollen til masselagerenheten.

For noen masselagerenheters dataprotokoller derimot, vil det ikke være mulig å utvide kommando/styrings-kodene til iverksettelse av operasjoner i enheten 13.1 et annet eksempel på utførelse av foreliggende oppfinnelse, vil det være mulig å "låne" enkelte datablokker på et ubrukt område av masselagringsmediet, normalt et område utenfor lagringsenhetens grense (usynlig område). Enheten 13 kan bruke et slikt område som kommunikasjonsvindu til datamaskinen, og kan, av en fagmann, bli brukt på samme måte som når kommando/styirngs-kodene var utvidede. Datasystemet og enheten 13 kan lese og skrive meldinger (kommandoer, instruksjoner, data, osv.) til hverandre gjennom dette vinduet.

Med referanse til Figur 3, defineres brukerdata som dataene som skal lagres på masselagringsmediet. BCryptering/dekryptering blir gjennomført ved å sende brukerdata som inndata til godt dokumenterte krypteringsalgoritmer som DES, AES, osv. Krypterings/dekrypterings-enheten 13 har, i henhold til foreliggende oppfinnelse, en intern krypto-buss 32 som kobler ulike hardwaremoduler 41a, 41b...41n i enheten 13, som kjører spesifikke krypterings/dekrypterings-algoritmer som hver er tilknyttet strømmen av brukers inndata, som går til/fra en side ("host side") 12 og en annen side ("device side") 14 via de interne databussene i enheten 13, og under overvåkning av styringsenheten 30. For en fagmann er det gitt at 41a, 41b...41n kan implementere en hvilken som helst kjent algoritme, for eksempel gjennom et prosessorsystem for hver algoritme i hardware, for å oppnå maksimal hastighet, men også spesifikt utviklede løsninger for spesifikke krav for militært bruk, satellittkommunikasjon linker osv. (for eksempel algoritmer for scrambling) kan implementeres.

I nok en utførelse av foreliggende oppfinnelse kan algoritmene bli utført i en mikrokontroller anordning, hvor utvelgelsen av spesifikke algoritmer er gjennomført ved å laste forskjellig programtellerinnhold i mikrokontrolleren. Programtellerinnholdet korresponderer med start adressen til hver algoritme lagret i et vanlig program minne. Program minnet kan være et ikke-flyktig minne eller direkteminne initialisert ved oppstart, for eksempel av datasystemet 10. Slike overførsler kan også bli kryptert og/eller være gjenstand for rigide autentifiseringsprosedyrer, velkjente for en fagmann.

Store masselagerenheter må organisere data slik at det er håndterlig for et datasystem å tilby et funksjonelt filsystem for en bruker eller et applikasjonsprogram. Grunnleggende formattering vil være en blokk/sektorinndeling av mediet. Generelt vil det være nødvendig å ha adresserbare områder med underadresserbare enheter innad i området av et masselagringsmedium for å opprette funksjonelle masselagringsløsninger, som for eksempel filsystemer. Et adresserbart område i et masselagringsmedium er vanligvis et sekvensielt, fysisk, adresserbart området av mediet, begrenset av en nedre og øvre adresse som definerer ytterpunktene av det adresserbare området. Masselagringssystemer arrangeres vanligvis i et hierarki av logiske lag som definerer ulike typer av, for eksempel, lagringsområder og systemer. Et eksempel er RAID disksystem-definisjonene. En adresse til et slikt område er vanligvis referert til som en logisk adresse. I den beskrevne oppfinnelsen vil samtlige referanser være på det laveste nivået for adressering-mediets fysiske adresse. Utøvelsen av eksemplene på foreliggende oppfinnelse kan brukes sammen med alle typer logiske lagringsfremgangsmåter og systemer som legges på det fysiske mediet.

I henhold til en foretrukket utførelse av foreliggende oppfinnelse kan slike adresserbare områder (blokker/sektorer) bli individuelt kryptert med egen krypteringsnøkkel og/eller algoritme. Blokken 40 i enheten 13 mottar adressen til et område som for eksempel et blokk/sektor nummer og velger en av algoritmene for eksekvering i modulene 41a, 41b...4ln basert på en sammenligning av dette nummeret med adressen (underadressen innad i det området) assosiert med dataelementet for å bli lagret eller lest fra masselagerenheten 16. Figur 7 illustrerer en komparatorblokk 40. Start adressen og slutt adressen for en datablokk (avgrensningene av et adresserbart område av mediet) blir lagret i komparatoren 40 som henholdsvis "Start Block" og "Stop Block". Når adressen til et brukerdataelement (underadresse innad i området) er mottatt, blir adressen til brukerdataelementet sammenlignet med de tidligere nevnte "Start Block" og "Stop Block" adressene. Dersom adressen til brukerdataelementet er større enn eller lik "Start Block" adressen og adressen til brukerdataelementet er mindre enn eller lik "Stop Block" adressen, vil en Boolsk operasjon AND i komparatoren 40 oppdage dette vilkåret og sende et "is mine" signal til den av algoritme modulene 41a, 41b...41n som dette spesifikke "is mine" signalet er knyttet til, og aktivere algoritmen dersom påvist sant. Dersom dette ikke er tilfelle er signalet usant og forhindrer bruk av den tidligere nevnte algoritme.

I en utførelse av foreliggende oppfinnelse, vil alle prosessor algoritme-modulene i hardware 41a, 41b...41n inneholde et lagringsområde med samme antall minneceller som antall algoritmemoduler. Linken av et "is mine" signal til en spesifikk algoritme modul blir da fullbyrdet ved å legge inn logikken "1" i den cellen med adresse lik nummeret på algoritmemodulen, i motsatt fall "0". Ved å kombinere hvert "is mine" signal fra hver komparator med samtlige celler som har adresse som korresponderer med nummeret på "is mine" signalet, vil utvelgelsen av en algoritme være programmerbar og utbyttbar.

I en implementering av algoritmemodulene i en mikrokontroller kan assosiert korrekt innhold av programtelleren sammen med det assosierte "is mine" signalet foreta utvelgelsen og den utbyttbare programmeringen.

Sammenligningsarrangementet blir repetert "n" ganger i komparator blokken 40, en gang for hver av de "n" seksjonene som kjører en algoritme. Figur 4 illustrerer et eksempel på kryptering av dataelementer (blokker/sektorer eller adresserbare områder) hvor dataene er forskjellige, men hvor den samme nøkkelen brukes. Figur 5 illustrerer den samme krypteringsstrukturen som i Figur 4, men i denne presentasjonen er to av dataelementene like mens den samme nøkkelen brukes. De krypterte dataelementene vil derfor være like, og utgjøre et mønster som kan presentere en sikkerhetsrisiko.

I en foretrukket utførelse av foreliggende oppfinnelse brukes nummerinformasjonen fra en blokk/sektor i en kommando/styrings-kode, eller informasjonen om et adresserbart område gitt i en kommando for det spesifiserte adresserbare området, til å velge en nøkkel, sammen med et tilleggsgenerert nummer unikt for dette blokk/sektor/adresserbare området (en kombinasjon av blokk/sektor/adresserbart område nummer og en tilfeldig generert tabell, hvor kombinasjonen kan utgjøres som en sammensetting dersom nøkkelen er symboler, for eksempel addisjon og subtraksjon osv., dersom nøkkelen er et tall osv.). Denne strukturen er illustrert i Figur 6.

Det valgfritt genererte nummeret brukes til å forhindre at to identiske datablokker (eller datasekvenser) blir identisk kryptert, som presentert i Figur 5. De tilfeldige numrene genereres og lagres i en tabell i enheten 13, adressert gjennom blokk/sektor/adresserbart område nummeret. I en utførelse av den beskrevne oppfinnelsen kan det eksistere flere tabeller som adresseres i to steg, først ved det utvalgte "is mine" signalet generert i komparatoren 40, deretter nummeret fra blokk/sektor/adresserbart område. Denne operasjonen velger det samme tilfeldige nummeret for det samme blokk/sektor/adresserbare området og dermed forsikrer korrekt kryptering/dekryptering av de samme dataelementene, mens den samtidig fremskaffer totalt tilfeldig utvalgte mønstre i flyten av kryptert data, selv om de samme dataelementer dukker opp og de samme nøklene brukes, som illustrert i Figur 6. Tabellens innhold kan genereres innad i enheten 13i en mikrokontroller 51, for eksempel.

Med referanse til Figur 3, for å skrive en datablokk (datasekvens) til et masselager, må datamaskinen fortelle styreenheten for masselageret hvor dataene skal skrives gjennom et blokk/sektor nummer. Krypterings/dekrypterings-enheten vil motta kommandoen med blokk/sektor/adresserbart område nummeret via del 12 av enheten 13. Protokollen som tolker del 30 av enheten 13 vil gjenkjenne dette som en kommando og tilføre den gjennom sin indre dataveg til del 14 av enheten 13. Protokoll delen 30 vil også lagre denne informasjonen og tilføre det til komparatorene 40 i enheten 13 som tidligere beskrevet ("Start Block" og "Stop Block" adresser, adressen til en brukerdataenhet osv.).

Når datamaskinen sender skrive kommandoen, vil protokoll delen 30 sende skrive kommandoen til del 14, og sette protokoll delen 30 klar til å foreta dataoverføringer. Så begynner datamaskinen å sende data. Protokoll delen 30 vil samle inn data fra delen 12 via databussen 11, samle dem til 32 bits størrelser (som er størrelsen på den interne krypto-bussen 32, men som ikke er begrenset til denne størrelsen), og sende dataene til krypto-bussen 32. Komparatoren 40 aktiviserer den rette algoritmemodulen og den assosierte nøkkelen, og lar dataene, på krypto-bussen 32, transporteres gjennom den korrekte algoritme-modulen 41a, 41b...41 n.

Når data leses fra masselagerenheten 16, sender datamaskinen en lesekommando, og protokoll delen 30 vil arrangere dataflyten slik at dataene leses fra masselagerenheten til datamaskinen via den korrekte dekrypteringsfunksjonen innad i enheten 13, på en tilsvarende måte som beskrevet ovenfor.

Når lese/skrive trafikken starter, vil komparatormodulen 40, som inneholder det settet med komparatorer som beskriver de adresserbare områdene på masselagringsmediet som er kryptert med ulike algoritmer ("Start Block" og "Stop Block" adresser), sende signalet "is mine" som korresponderer med den aktuelle sektoren, og dermed velge korrekt algoritmemodul 41a, 41b...41nog assosiert nøkkel.

Krypterings/dekrypterings-algoritmene 41a, 41b...41n vil begynne å samle inn data og organisere dem i henhold til bit størrelsen algoritmen bruker. Når korrekt antall bits er samlet inn, vil data bli sendt gjennom gjeldende algoritmemodul 41a, 41b...41n som utvalgt av komparatoren 40. Etter kryptering/dekryptering vil data bli delt opp i krypto-bussens bit størrelse og sendt fra gjeldende algoritme 41a, 41b...41n tilbake til krypto-bussen 32, ned til protokoll delen 30, som deler dataene til bit størrelsen på databuss 15 eller 11, og videresendes til enten datamaskinen 10 (dekryptering) eller til masselagerenheten 16 (kryptering). Krypteringsmodulene 41a, 41b...41n får også informasjon fra komparatoren når en ny datablokk starter, for å ha muligheten til å ta i bruk CBC eller andre kodingsfunksjoner for å utvide sikkerheten.

Protokoll delen 30 utgir også de nødvendige "hand shake" signaler som utgjør deler av databussene 11 og 15.

Fremgangsmåten og enheten i henhold til den beskrevne oppfinnelsen er ikke begrenset, som beskrevet, til en bestemt krypterings/dekrypterings-algoritme. Modulene 41a, 41b...4ln kan samtlige implementere enhver type algoritme eller scrambling av data. I en foretrukket utførelse av foreliggende oppfinnelse vil hver modul 41a, 41b...41nha lagringsplass for en assosiert nøkkel med den spesifikke algoritmen.

I en "best mode" utførelse av den beskrevne oppfinnelsen er en enhet, som presentert i

Figur 1 og Figur 2, implementert med vekslende og erstattelige nøkler arrangert i hver modul 41a, 41b...41n]i dertil allokert minne, utvalgt av komparatorsystemet, Figur 7, når signalet "is mine" velger en modul 41a, 41b...41n som kjører den aktuelle algoritme valgt av komparatoren 40.

Initiering av krypterings/dekrypterings-systemet i henhold til den foretrukne utførelsen av foreliggende oppfinnelse inkluderer tilføring av en start blokk adresse, en stopp blokk adresse, en nøkkel, og en indikator på hvilken algoritme-modul 41a, 41b...41n som skal tas i bruk for de ulike blokkene/sektorene eller adresserbare delene av et lagringsmedium. Figur 2 presenterer et system med en smartkortleser 61a for lesing av smartkort 63a (nøkkelbærer) som inneholder start blokk adressen, stopp blokk adressen, nøkkelen, og algoritmeindikatoren. Andre måter å bringe denne informasjonen til enheten 13, slik som en infrarød kommunikasjonslink eller radiolink 62b osv., kan brukes i henhold til foreliggende oppfinnelse.

Når enheten 13 er startet, vil den interne mikrokontrolleren 51 hente nøkler fra nøkkelbæreren 63 a. Mikrokontrolleren vil sende nøkler til den korrekte krypteringsmodulen via en sikkerhetsmodul 42. Sikkerhetsmodulen forhindrer ødeleggelse av nøkler dersom mikrokontrolleren 51 skulle kjøre en kode med feil. Mikrokontrolleren vil også legge inn komparatorverdiene.

Det interne RAM 31 ("Random Access Memory") er ordnet på samme måte som en adresserbar del av en masselagerenhet. Det vil si, alle vanlige funksjoner til enheten 13, i henhold til foreliggende oppfinnelse, kan anvendes på innholdet til denneRAM.

For å bruke denne funksjonaliteten kan utvidede koder, som beskrevet ovenfor, bli tatt i bruk for å overføre en datablokk til/fra ram 31, enten til/fra datasystemet 10 via databuss 11, eller til/fra masselagerenheten 16 via databuss 15. En annen fremgangsmåte for tilgang til RAM 31, er å bruke det som en minnelokalitet utenfor diskens avgrensning, og deretter aksessere minnet som om det var en del av disksystemet, om enn skjult. Disse handlingene blir kontrollert av protokoll delen 30.

En oppgave RAM 31 kan utføre er å sende et avbrudd til den interne mikrokontrolleren 51, når for eksempel RAM 31 er full. Mikrokontrolleren 51 kan da lese data fra RAM 31 og foreta prosessering av dataene. Mikrokontrolleren kan også skrive til RAM 31. Datasystemet 10 kan også lese data fra RAM 31. Ved å opprette en enkel kommunikasjonsprotokoll kan datamaskinen kommunisere med mikrokontrolleren 51.1 en utførelse av foreliggende oppfinnelse er en slik protokoll iverksatt, i tillegg til en protokoll hvor mikrokontrolleren 51 kan videresende denne informasjonen til nøkkelbæreren 63,65. På denne måten har vi en kommunikasjonskanal både til mikrokontrolleren og til nøkkelbæreren 63, 65 via datasystemet 10, og direkte internt innad i enheten 13. Disse kommunikasjonskanalene brukes til å laste nøkler til nøkkelbæreren 63, 65 i tillegg til å laste nøkler til algoritme-modulene 41a, 41b...41n.

Uansett implementering kan RAM 31 brukes i flere nyttige applikasjoner. I en av eksemplene på utførelse av foreliggende oppfinnele brukes RAM til å laste e-post og andre typer elektronisk data, slik som filer, nettverkstrafikk osv., til RAM 31, kryptere innholdet av RAM i en utvalgt modul 41a, 41b...41n, for så å lese de krypterte dataene tilbake til datasystemet 10 hvor videre behandling av dataene blir gjennomført. Dersom lengden på dataene overgår størrelsen på RAM 31, vil kommunikasjonsprotokollen dele opp dataene og i en sløyfe sende de ulike datablokkene gjennom prosessen, som beskrevet ovenfor, til det er slutt på data.

Når for eksempel en kryptert e-post eller annen type data skal dekrypteres, må brukeren av datasystemet 10 laste e-posten eller dataene til RAM 31. Enheten 13 kjører da den respektive algoritmen, og den dekrypterte e-posten tilbakeføres til datasystemet 10. Nøkler for denne operasjonen kan være offentlig/privat nøkkelsystem som sørger for et sikkert system hvor nøklene aldri blir eksponert når de transporteres kryptert, i henhold til foreliggende oppfinnelse, til enheten 13 som beskrevet ovenfor.

Et viktig aspekt ved foreliggende oppfinnelse, er å sørge for sikker behandling av krypteringsnøkler. I en foretrukket utførelse av foreliggende oppfinnelse blir en nøkkel først overført til mikrokontrolleren fra datasystemet 10. Deretter kan enheten 13 gjennomføre en utvalgt kryptering av nøkkelen, og mikrokontrolleren 51 overføre og laste den krypterte nøkkelen til nøkkelbæreren 63, 65, for eksempel et smartkort. På denne enkle måten sørger fremgangsmåten og enheten i henhold til foreliggende oppfinnelse, for en sikker kanal for overførsel av krypterte krypteringsnøkler til bruk i systemet.

Et viktig aspekt ved foreliggende oppfinnelse er å bruke nøkler kryptert på nøkkelbærere, slik som smartkort. Nøkkelbærerteknologien tillater å "gjemme" datainnhold i bæreren. Denne egenskapen øker sikkerheten til en nøkkel. Et enda viktigere aspekt ved nøkkelbærerteknologien er at det er mulig å la nøkkelbæreren selv generere en tilfeldig krypteringsnøkkel for en sesjon. På denne måten foregår hele nøkkelprosessen uten menneskelig innblanding, noe som ytterligere øker sikkerheten til nøklene.

Nøkkelbæreren 63, 65 som bærer nøklene, er koblet direkte til enheten 13 via kommunikasjonskanalen 60. Nøkkelenhetens grensesnitt 61 kan for eksempel være en egen smartkortleser. For andre typer nøkkelbærere kan det være en IR sender/mottaker, radiosender/mottaker, eller andre lignende innretninger.

Nøklene lagres i eksterne enheter 63, 65. Det finnes også fremgangsmåter for lagring av nøkkeldata internt i enheten 13, i ikke-flyktig minne 52, 53 hvor brukeren må ta i bruk autentifiseringsfremgangsmåter for å bruke nøklene (dette er en prosedyre som kan opereres sammen med andre sikkerhetsprodukter).

Foreliggende oppfinnelse beskytter lastingen av eksterne nøkler ved å kryptere data til/fra nøkkelbæreren 63, 65.1 henhold til foreliggende oppfinnelse vil enheten 13 sende en offentlig nøkkel til nøkkelbæreren 63, 65 etter gjenkjenning av en nøkkelbærer 63, 65. Nøkkelbæreren 63, 65 vil deretter kryptere, ved bruk av offentlig nøkkel, en "sesjonsnøkkel" til enheten 13, og deretter kan enheten 13 og nøkkelbæreren 63, 65 begynne å kommunisere. En alternativ måte er å bruke en nøkkelutvekslingsfremgangsmåte (for eksempel Diffie-Hellman nøkkelutveksling) til å definere "sesjonsnøkler". "Sesjonsnøkkelen" vil kryptere alle data i kommunikasjonskanalen 60. Foreliggende oppfinnelse vil sende kontrollmeldinger til nøkkelbæreren 63,65 for å forsikre at nøkkelbæreren 63, 65 og nøkkelenhetens grensesnitt 61 fortsatt er aktiv. Disse kontrollmeldingene vil bli sendt ved tilfeldige tidsintervaller med nok data til å forsikre at nøkkelenhetens grensesnitt 61, nøkkelbæreren 63, 65, og enheten 13, kan autentifisere hverandre. Dersom nøkkelbæreren 63,65 oppdager uregelmessigheter vil den stoppes. Dersom enheten 13 oppdager uregelmessigheter vil den stoppes. Et unntak til denne operasjonen er at nøklene kan ha en levetidsparameter. Denne parameteren forteller enheten 13 hvor lang levetid nøklene skal ha i enheten 13 etter at en nøkkelenhet er fjernet. Dersom nøkkelen fjernes vil enheten 13, i henhold til foreliggende oppfinnelse, ikke stanse driften av nøkkelen før levetiden har nådd den predefinerte tidsperioden. All annen merkbar "tukling" med nøkkelen eller nøkkelenhetens grensesnitt 61 vil føre til at enheten 13 stopper driften av alle nøkler. Driftsstans innebærer at nøklene er påviselig fjernet fra enheten 13 og at enheten ikke lengre vil ha tilgang til det beskyttede området definert av nøkkelen.

Med referanse til Figur 8 kan foreliggende oppfinnelse også gjennomføre en dataavskjæringsfunksjon, det vil si den kan merke en sektor/blokk og lagre innholdet internt i RAM 31, modifisere eller endre innholdet, for så å sende det til vertsdatasystemet 10. Med denne funksjonen kan man endre partisjonstabeller på et disksystem og/eller endre partisjonstabeller til å samsvare med et nøkkelsett, for eksempel at forskjellige nøkkelsett kan starte opp systemet med forskjellige operativsystemer. En nøkkelenhet kan starte operativsystem 1, en annen nøkkelenhet kan starte operativsystem 2, hvor operativsystemene 1 og 2 er isolert fra hverandre på harddiskstasjonen.

Dette er en verdifull funksjon for datamaskiner i hjemmekontor, og andre datamaskiner hvor mer enn en bruker har behov for eksklusiv tilgang og beskyttelse av data.

Som vist i Figur 8 kan en harddiskenhet 16 splittes i flere uavhengige, isolerte, lagringsområder. En "Master Boot Record "(MBR) inneholder den nødvendige informasjon et datasystem først laster ved oppstart. Innholdet i en MBR forteller datasystemet hvor/hvordan operativsystemet lastes fra harddiskstasjonen. MBR for forskjellige operativsystem på samme harddiskstasjon kan lagres sammen med en krypteringsnøkkel på for eksempel et smartkort, i henhold til en utførelse av foreliggende oppfinnelse. Som beskrevet ovenfor kan MBR på smartkortet lastes til RAM 31, bli dekryptert og så brukes som MBR til harddiskstasjonen 16 koblet til enheten 13.

Den beskrevne oppfinnelsen inneholder også en to-stegs oppstartsfremgangsmåte for et datasystem. Først sendes et programkodesegment (lagret i enheten 13 i det ikke-flyktige minnet 52, eller i en nøkkelbærer, slik som et smartkort) til vertsdatasystemet 10 som forsyner brukeren/administratoren med en autentifiseringsfremgangsmåte. Deretter, etter suksessfull autentifisering, lastes "Master Boot Record" fra harddiskstasjonen til datamaskinen.

Foreliggende oppfinnelse øker sikkerheten til en masselagerenhet ved å tilby en fremgangsmåte og en enhet for kryptering/dekryptering av data lagret på adresserbare deler av et masselagringsmedium ved bruk av forskjellige algoritmer og krypterings/dekrypterings-nøkler.

Et aspekt ved foreliggende oppfinnelse er å tilføre en nøkkel og en algoritme for en bestemt adresserbar del av lagringsmediet.

Nok et aspekt av foreliggende oppfinnelse er å sørge for økt sikkerhet under kryptering av en slik adresserbar del av et lagringsmedium med den spesifikke nøkkelen og algoritmen ved å fremskaffe et tilfeldig utvalgt tall sammen med nøkkelen for randomisering av de mønstrene som blir dannet på mediet etter kryptering, selv om suksessive dataposter er like og kryptert med samme nøkkel og algoritme. De randomiserte tallene lagres i en tabell, noe som tillater gjenoppretting av et spesifikt tilfeldig tall brukt til dekryptering av dataene kryptert med dette tilfeldige tallet, utvalgt av informasjonen om blokk/sektor nummeret eller adressen til den adresserbare delen av mediet.

Foreliggende oppfinnelse utgjør også et system for å sikre nedlastningen av et spesifikt operativsystem og driftsforhold fra en harddiskstasjon til et datasystem, og sørger også for fullstendig fysisk og logisk isolasjon mellom datafilene til de ulike operativsystemene og til brukerne av datasystemet. Foreliggende oppfinnelse innebærer også en krypterings/dekrypterings-fremgangsmåte og innretning som forhindrer tilgang til data på en server harddisk, for eksempel når disksystemet på serveren blir stjålet eller fjernet og flyttet til et annet datasystem.

Et annet aspekt ved foreliggende oppfinnelse er å tilby en kryptert kommunikasjonskanal for transport av nøkler mellom nøkkelbærere og en innretning i henhold til foreliggende oppfinnelse.

Claims (36)

1. Fremgangsmåte for kryptering (skifrering, scrambling)/dekryptering (deskifrering, avscrambling) av dataelementer overført til eller fra et masselagringsmedium, hvor masselagringsmediet innbefatter fysisk adresserbare områder,karakterisert vedtrinnene: å tilveiebringe et mangfold av kryptering/dekrypteringalgoritmer med assosierte krypterings-/dekrypteringsnøkler, å velge en og bruke denne ene av mangfoldet av krypterings-/dekrypteringsalgoritmene med den assosierte nøkkelen på et dataelement som blir overført til eller fra en adresse på masselagringsmedier, hvor valget av algoritmen og den assosierte nøkkelen er basert på i det minste to fysiske adresser som definerer en øvre og lavere adressegrense av en variasjonsbredde av adresserbart område som omfavner adressen til dataelementet på mediet.

2. Fremgangsmåte i henhold til krav 1,karakterisert vedat trinnet med å velge krypterings-/depkrypteringsalgoritmen med den assosierte nøkkelen videre innbefatter trinnet med å kombinere nøkkelen med et tilfeldig generert tall, ved sammenkjeding, subtraksjon eller addisjon eller kombinasjon av disse operasjonene eller ved andre aritmetiske eller logiske operasjoner på de to elementene som er dannet av det tilfeldige tallet og nøkkelen.

3. Fremgangsmåte i henhold til krav log2,karakterisertv e d at det tilfeldig genererte tallet blir lagret i tabell hvor adressen til tabellen er basert på to fysiske adresser innenfor den valgte variasjonsbredden for det adresserbare området på mediet.

4. Fremgangsmåte i henhold til krav 1,2 og 3,karakterisertv e d at adressen til tabellen er en indeks dannet av i det minste en del av adressen for dataelementet.

5. Fremgangsmåte i henhold til krav 3 og 4,karakterisertved at i det minste deler av innholdet i tabellen som lagrer de tilfeldig genererte tall er statisk eller dynamisk erstattbare lagret i tabellen.

6. Fremgangsmåte i henhold til krav 1,karakterisert vedat trinnet med å velge algoritmen og den assosierte nøkkelen innbefatter trinnene: å tilveiebringe en samling av variasjonsbredder av adresserbare områder ved å liste de øvre og nedre adressegrensene i par, å tilveiebringe en linking slik at en oppføring i samlingen av de adresserbare variasjonsbreddene for områdene er linket til bare en av algoritmene uten å ekskludere muligheten for at en av algoritmene kan være linket til et mangfold av variasjonsbredder av adresserbare områder i den betydningen at en algoritme kan bli brukt i mer enn en variasjonsbredde av adresserbart område på masselagringsmediet, å bruke adressen til et dataelement ved å sammenligne den med alle de øvre og nedre adressegrensene i samlingen, for derved detekterbart å finne paret med lavere og øvre adressegrense som slutter om adressen til dataelementet, og å sende ut et signal eller melding inneholdende informasjon om denne omslutningen av dataelementadressene for derved å identifisere den korrekte av krypterings-/dekrypteringsalgoritmene ved å bruke denne linkingen av algoritmene og variasjonsbredde av adresserbart område.

7. Fremgangsmåte i henhold til et av kravene 1 til 6,karakterisert vedat linkingen av et øvre og nedre adressepar med en krypterings- /dekrypteringsalgoritme og assosierte nøkkel enten er en forhåndsdefinert, statisk linking eller en dynamisk linging.

8. Fremgangsmåte i henhold til krav 1,karakterisert vedat nøklene assosiert med algoritmene er overført fra en bærer av en nøkkel til algoritmene over en sikker kryptert kommunikasjonskanal ved å lagre nøkkelen på et lagringselement lesbart koblet til algoritmen.

9. Fremgangsmåte i henhold til krav 8,karakterisert vedat overføringen av nøkkelen blir gjort ved en sikker utvekslingsplan (Diffie-Hellman nøkkelutvekslingsplan) eller med en offentlig privat nøkkelplan.

10. Fremgangsmåte i henhold til krav 8,karakterisert vedat overføringen av nøklene blir gjort med en autentiseringsprosess.

11. Fremgangsmåte i henhold til krav 8,karakterisert vedat nøkkelbæreren er en innretning innbefattende prosesseringselementer og ikke-flyktig hukommelse.

12. Fremgangsmåte i henhold til krav 8,karakterisert vedat den sikre kommunikasjonskanalen er dannet mellom et nøkkelinnretningsgrensesnitt, mottagbart koblet til bæreren av en nøkkel, og en krypterings-/dekrypteringsalgoritme.

13. Fremgangsmåte i henhold til krav 12,karakterisertv e d at den dannede sikre kanalen er en optiske og/eller fiberkommunikasjonskanal.

14. Fremgangsmåte i henhold til krav 12,karakterisertv e d at den dannede sikre kanalen er en trådløs radiokommunikasjonskanal.

15. Fremgangsmåte i henhold til krav 12,karakterisertv e d at den dannede sikre kanalen er en trådbasert kommunikasjonskanal.

16. Fremgangsmåte i henhold til krav 11,karakterisertv e d at nøkkelbæreren genererer en krypterings-/dekrypteringsnøkkel i prosesseringselementene.

17. Fremgangsmåte i henhold til et av kravene 1-16,karakterisertved trinnene: å tilveiebringe en master boot record for et harddisksystem kryptert med en av mangfoldet av krypterings-/dekrypteringsalgorimene med assosiert nøkkel på et smartkort, å lese innholdet av smartkortet for derved å muliggjøre en dekryptering av den nevnte master boot record i den identifiserbare dekrypteringsalgoritmen med den assosierte nøkkelen, å overføre det dekrypterte innholdet av nevnte master boot record til et datamaskinsystem koblet til harddiskdrivesystemet for derved å muliggjøre oppstart av et datamaskinoperativsystem og/eller en viss del av et filsystem og/eller et system/brukermiljø og/eller annen type av partisjon og/eller informasjon lagret kryptert på harddiskdrivesystemet til datamaskinsystemet.

18. Fremgangsmåte i henhold til krav 17,karakterisertv e d at smartkortet innbefatter en av et mangfold av master boot records og krypterings-/dekrypteringsnøkler.

19. Innretning (13) for kryptering (skifrering, scrambling)/dekryptering (deskifrering, descrambling) av dataelementer overført til eller fra et masselagringsmedium, der masselagringsmediet innbefatter fysisk adresserbare områder,karakterisert vedat innretningen innbefatter: et mangfold av elektronisk krypterings-/dekrypteringsseksjoner (41a, 41b 41n) med et mottagbart koblet hukommelsesområde for assosierte krypterings-/dekrypteringsnøkler, en komparatorkrets (40) oppdelt i et mangfold av seksjoner innbefattende i hver seksjon to skrivbare/lesbare hukommelseslokasjoner (100,101), to elektroniske komparatorenheter( 102,103) og en logisk port AND (104) koblet sammen slik at hukommelseslokasjonen (100) blir sammenlignet med innholdet av et adresseelement (105) i komparatorenheten (102) for å bestemme om adresseelementet (105) er større eller lik hukommelseslokasjonen (100), og på samme tid å sammenligne adresseelementet (105) med innholdet i hukommelseslokasjonen (101) i komparatorenheten (103) for å bestemme om adresseelementet (105) er mindre eller lik innholdet av hukommelseslokasjonen (101), hvorved utgangen av porten (104) genererer et muliggjøringssignal, i hver partisjon av komparatoren (40) der hvert muliggjøringssignal er koblet til en av mangfoldet av elektronisk krypterings-/dekrypteringsseksjoner (41a, 41b,...41n).

20. Innretning i henhold til krav 19,karakterisert vedat det er en skrivbar/lesbar tabell i innretningen (13) med tilfeldig genererte tall, hvorved den assosierte nøkkelen med en av de valgte algoritmene, ved hjelp av muliggjøringssignalet, blir kombinert med det tilfeldige tallet med en logisk eller aritmetisk operasjon.

21. Innretning i henhold til krav 20,karakterisert vedat innholdet av tabellen er forhåndsdefinert og anordnet i et mangfold av innretninger (13).

22. Innretning i henhold til krav 19,karakterisert vedat nøklene assosiert med algoritmene blir overført fira en bærer (63, 65) av en nøkkel til algoritmeseksjonene (41a, 41b,...41n) over en sikker kryptert kommunikasjonskanal (60) til mikrokontroller (51) i innretningen (13).

23. Innretning i henhold til krav 22,karakterisert vedat overføringen av nøklene blir gjort med en Diffie-Hellman nøkkelutvekslingsplan eller med en offentlig privat nøkkelplan.

24. Innretning i henhold til krav 22,karakterisert vedat overføringen av nøklene blir gjort med en autentiseringsprosess.

25. Innretning i henhold til krav 22,karakterisert vedat nøkkelbæreren (63, 65) er en innretning innbefattende prosesselementer og ikke-flyktig hukommelse.

26. Innretning i henhold til krav 22,karakterisert vedat den sikre kommunikasjonskanalen (60) er etablert mellom nøkkelbæreren (63, 65) mottagbart koblet til nøkkelinnretningsgrensesnittet (61), og en krypterings-/dekrypteirngsseksjon (41a, 41b,...41n) via mikrokontrolleren (51) og en elektronisk sikker enhet (42).

27. Innretning i henhold til krav 26,karakterisert vedat nøkkelinnretningsgrensesnittet (61) er en smartkortleser.

28. Innretning i henhold til krav 22,karakterisert vedat den sikre kanalen (60) er en optisk og/eller fiberkommunikasjonskanal.

29. Innretning i henhold til krav 22,karakterisert vedat den sikre kanalen (60) er en trådløs radiokommunikasjonskanal.

30. Innretning i henhold til krav 22,karakterisert vedat den sikre kanalen (60) er en trådbasert kommunikasjonskanal.

31. Innretning i henhold til krav 19,karakterisert vedat inngang og utgang fra mangfoldet av elektronisk krypterings-/dekrypteringskretsseksjonene (41a, 41b,...41n) er gjort over en kryptobuss (32).

32. Innretning i henhold til et av kravene 18 til 30,karakterisertv e d at den interne hukommelsen (31) er koblet til kryptobussen (32) via en kretskontroller (30).

33. Innretning i henhold til et av kravene 19 til 33,karakterisertved at en inngangs-/utgangsbuss (11) og/eller inngangs-/utgangsbuss (15) i innretningen (139 kan være en av følgende valg, men ikke begrense til: SCSI, IDE, AT, ATA, USB, FireWire, FiberChannel.

34. Innretning i henhold til et av kravene 19 til 33,karakterisertv e d at inngangs-/utgangsbussen (11) og inngangs-/utgangsbussen (15) kan være forskjellig i hvilket tilfelle innretningskontrolleren (30) eksekverer en protokolloversettelse mellom de to inngangs-Aitgangsbussene (11,15).

35. Innretning i henhold til et av kravene 19, til 34,karakterisertved at: en master boot record til et harddisksystem kryptert med en av mangfoldet av krypterings-/dekrypteringsalgoritmene i de elektroniske krypterings-/dekrypteringsseksjonene (41a, 41b,...41n) med assosiert nøkkel er lagret på en nøkkelbærer (63, 65), mikrokontrolleren (51) leser og overfører den nevnte master boot record for lagring i hukommelsen (31), et koblet datamaskinssystem (10) kan så bli startet opp i henhold til innholdet av hukommelsen (31) via innretningskontrolleren (30) og den mellomkoblede bussen (11).

36. Innretning i henhold til et av kravene 19 til 35,karakterisertv e d at enhver e-mail eller annen type av elektroniske data som for eksempel nettverkstrafikk kan bli overført fra datamaskinsytemet (10) via bussen (11) og innretningskontrolleren (30) til hukommelsen (31), og bli kryptert/dekryptert over kryptobussen (32), og så bli lest tilbake til datamaskinssystemet (10) for videre handlinger.