WO2013107362A1 - 一种保护数据的方法和系统 - Google Patents

一种保护数据的方法和系统 Download PDF

Info

Publication number
WO2013107362A1
WO2013107362A1 PCT/CN2013/070599 CN2013070599W WO2013107362A1 WO 2013107362 A1 WO2013107362 A1 WO 2013107362A1 CN 2013070599 W CN2013070599 W CN 2013070599W WO 2013107362 A1 WO2013107362 A1 WO 2013107362A1
Authority
WO
WIPO (PCT)
Prior art keywords
environment
information
data
factor
environmental
Prior art date
Application number
PCT/CN2013/070599
Other languages
English (en)
French (fr)
Inventor
姜斌斌
Original Assignee
歌尔声学股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 歌尔声学股份有限公司 filed Critical 歌尔声学股份有限公司
Priority to JP2014552498A priority Critical patent/JP6275653B2/ja
Priority to US14/371,604 priority patent/US20150012748A1/en
Publication of WO2013107362A1 publication Critical patent/WO2013107362A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2107—File encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/001—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using chaotic signals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/65—Environment-dependent, e.g. using captured environmental data

Definitions

  • the present invention relates to the field of data security technologies, and in particular, to a method and system for protecting data.
  • BACKGROUND OF THE INVENTION With the popularization of information carrier devices, more and more automatic control and information processing systems use embedded architectures, and social organizations such as individuals and enterprises rely more and more on information carrier devices.
  • Embedded device is a commonly used information carrier device. The popularization of embedded devices improves the production efficiency of the society and facilitates the control of production. On the other hand, it also provides security protection for various information records in the system. Specific requirements.
  • the existing trusted computing theory system solution needs to add additional encryption hardware devices on the computing platform, such as TPM chip or USB-key, etc.
  • the hardware cost is too high, which is difficult for most users to accept; and the existing security protection system
  • the implementation and deployment of the operation is complex, professional, and ordinary IT managers It is often difficult to complete the configuration and maintenance of the system independently, and once the configuration is in error, the entire system may be unusable or the security of the entire system may be greatly reduced.
  • SUMMARY OF THE INVENTION The present invention provides a method and system for protecting data to solve the problem of excessive hardware cost and high professionalism in the prior art.
  • An embodiment of the present invention provides a method for protecting data.
  • an environmental factor is obtained according to environment information of the device in a security environment, and an environmental factor in the security environment is used to be sensitive to the device.
  • the data is encrypted, and after confirming that the encryption is successful, the environmental factor is destroyed;
  • Another embodiment of the present invention further provides a system for protecting data, the system including a device in which data is included, the device comprising an initialization unit, a boot control unit, an environment factor acquisition unit, and an encryption and decryption unit, wherein
  • the initialization unit acquires an environmental factor according to the environment information of the device in the security environment by the environment factor acquisition unit, and encrypts the sensitive data in the device by using the environment factor by the encryption and decryption unit; After confirming that the encryption is successful, the initialization unit destroys the environmental factor; the boot control unit acquires an environmental factor according to environmental information of the device in the current environment by the environmental factor acquisition unit each time the device is started, and encrypts and decrypts The unit decrypts the encrypted sensitive data by using an environmental factor in the current environment; when the decryption is successful, the boot control unit allows access to data in the device, and otherwise denies access to data in the device.
  • the beneficial effects of the embodiments of the present invention are:
  • the security environment factor is extracted in the security environment and the non-volatile sensitive data in the device is encrypted by using the security environment factor, so that the sensitive data in the device can be bound to the working environment, and different working environments will be extracted.
  • Different environmental factors are generated, so once the device moves out of the safe working environment, the decryption fails due to the inability to obtain a consistent environmental factor, thereby reducing the risk of data leakage by denying access to the data in the device.
  • the non-volatile sensitive data in the device is protected by the encryption and decryption mechanism bound to the environment, so the hardware cost is small, and the operation of implementing and deploying the data protection scheme is additionally implemented.
  • FIG. 1 is a flowchart of a method for protecting data according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a working mode of an environment factor obtaining unit according to another embodiment of the present invention
  • FIG. 3 is a schematic diagram of a working mode of a system for protecting data according to another embodiment of the present invention
  • FIG. 4 is a schematic diagram of another embodiment of the present invention. Schematic diagram of a working mode of dual system device binding with environment;
  • FIG. 5 is a schematic diagram of a dual system operation mechanism according to still another embodiment of the present invention.
  • DETAILED DESCRIPTION OF THE EMBODIMENTS In order to make the objects, technical solutions and advantages of the present invention more comprehensible, the embodiments of the present invention will be further described in detail with reference to the accompanying drawings.
  • An embodiment of the present invention provides a method for protecting data. Referring to FIG. 1, the method specifically includes:
  • the above device is the device where the data to be protected is located.
  • the above security environment may be the working environment when the device is first installed, and the operations of steps 11 and 12 may be performed during the first initialization process of the device, or the security environment may be the device at the beginning. After the installation and operation, according to the working environment set by the actual needs, the operations of steps 11 and 12 are completed in one initialization process of the device.
  • the sensitive data is the unique data necessary for accessing the data of the device in a secure environment.
  • the sensitive data is non-volatile data.
  • the sensitive data may be unique to the operating system of the boot device in a secure environment.
  • Non-volatile data may be unique to the operating system of the boot device in a secure environment.
  • the environment information of the device in the current environment (referred to as the current environment information) is extracted, and the environmental factor is obtained according to the current environment information.
  • step 14 Decrypt the encrypted sensitive data by using the current environment factor to determine whether the decryption is successful. When the decryption is successful, go to step 15. When the decryption fails, go to step 16.
  • the embodiment further provides a mechanism for two-way authentication between the environment and the device, including: the environment monitoring server pre-collects the identity information of the device in a secure environment, and the environment monitoring server collects the device before each time the device is started.
  • the identity information of the current environment is verified according to the identity information of the device in the security environment, and the device is determined to be a legal device according to the verification result. If yes, the device is allowed to access the security environment.
  • the system for protecting data provided by this embodiment includes a device where the data is located, and the device includes An initialization unit, a boot control unit, an environmental factor acquisition unit, and an encryption and decryption unit.
  • the initialization unit in an initialization process of the device, obtains an environmental factor according to the environment information of the device in the security environment by the environment factor acquisition unit, and encrypts the sensitive data in the device by using the environment factor by the encryption and decryption unit; after confirming that the encryption is successful, initializing The unit destroys the environmental factor.
  • the boot control unit obtains the environmental factor according to the environment information of the device in the current environment by the environment factor acquisition unit each time, and decrypts the encrypted sensitive data by using the environment factor in the current environment by the encryption and decryption unit; On success, the boot control unit allows access to the data in the device, otherwise it denies access to the data in the device.
  • the above-mentioned security environment may be the working environment when the device is first installed, or the above-mentioned security environment may be the working environment set by the device according to actual needs after the initial installation and operation. In this embodiment, the working environment selected when the device is first installed in the security environment is taken as an example for description.
  • the above devices include, but are not limited to, various embedded devices, such as embedded storage devices, embedded handheld terminals (mobile phones, handheld computers).
  • the extraction of the above environmental factors means that the protected device (such as an embedded device) interacts with the working environment (including the natural environment, the device physical environment, the server, and the software environment) according to a certain logic through the environment information extraction unit, from the environmental information.
  • the process of feature extraction is completed, and finally a data string of a certain length is generated as an environmental factor.
  • the environment information extraction unit interacts with the environment in different ways.
  • the interaction modes that can be used include at least: accurate measurement of temperature environment, measurement of light intensity, image of physical environment captured by video surveillance, and biometrics. Measurements, measurements of the network environment, scanning of data, and challenge-response authentication mechanisms interact with the Internet to obtain keys.
  • the environment factor acquisition unit 110 interacts with external devices 112 to 115 for extracting environmental information
  • the external devices 112 to 115 are environment information extraction units.
  • the image collector 112 is capable of collecting physical environment image information corresponding to a physical environment of the device, and the extracted environment information includes the physical environment image information.
  • the temperature and humidity collection device 113 (such as a temperature collector) can measure the temperature environment of the device.
  • the temperature environment information, the extracted environment information includes the temperature environment information.
  • the temperature and humidity collection device 113 (such as a humidity collector) can also measure the humidity environment of the device to obtain humidity environment information, and the extracted environmental information includes the humidity environment information.
  • the image collector 112 and the temperature and humidity collection device 113 can perform data collection through a direct data interface, and then obtain a stable and reliable value as an environmental factor or participate in generating an environmental factor through the error elimination mechanism of the data.
  • the network detection server 114 is capable of collecting network environment information of the network environment of the device, and the extracted environment information includes the network environment information.
  • the network probe server 114 is implemented by a function sub-module integrated inside the embedded device or by a device disposed outside the embedded device.
  • the network environment information of the collection mainly includes the topology of the network, various servers in the network or fingerprint information of a specific host (FingerPrint), such as media access control (MAC) address information, etc., and abstracts the information to generate an environmental factor. Or participate in generating environmental factors.
  • FingerPrint media access control
  • the authentication server 115 performs two-way identity authentication with the device. After the authentication is passed, the authentication server generates a data block as the two-way identity authentication information, and sends the data block to the device, and the extracted environment information includes the data block.
  • the authentication server 115 and the embedded device can perform channel bidirectional authentication directly through the challenge-response asymmetric encryption method, and let the authentication server and the embedded device confirm the identity of the other party, and then in the asymmetric encrypted data channel, The authentication server issues a block of data to the embedded device as an environmental factor or participates in generating an environmental factor.
  • the challenge-response authentication mechanism is a method of identity authentication.
  • the authentication server sends a different "challenge” string to the client each time the client authenticates. After receiving the “challenge” string, the client receives the "challenge” string. , make a corresponding "response” to confirm the identity of both parties.
  • the system may also use the illumination collector to measure the illumination environment of the device to obtain illumination intensity information, and the extracted environmental information includes the illumination intensity information; or, The collector collects biometric information (such as fingerprints, irises, etc.) of the device user, and the extracted environmental information includes the biometric information and the like.
  • the environmental factor acquisition unit 110 directly uses the extracted one or more environmental information as the acquired environmental factor, or the environmental factor acquisition unit generates an environmental factor, such as an environmental factor, by using the extracted one or more environmental information.
  • the unit performs feature extraction on one or more environmental information, and generates a data string of a certain length according to a predetermined algorithm, and uses the data string as an environmental factor.
  • the feature string can be obtained by extracting the specific data of the environmental variable in the environmental information, shielding the micro-variable factor to form the feature string, and hashing the feature string corresponding to each environment variable data involved in the operation, and finally obtaining the environmental factor, or It is also possible to finally obtain an environmental factor by a method of modulating a feature string or the like.
  • the environmental factor acquisition unit 110 passes the environmental factor to the encryption and decryption unit 120, and the encryption and decryption unit 120 uses the environmental factor as a key for encrypting or decrypting the non-volatile sensitive data.
  • the above initialization unit mainly completes the confirmation of the environmental information and the extraction of the environmental information when the device is first installed, forms an environmental factor, and encrypts the sensitive data on the non-volatile storage medium of the system through the "environment factor" as an initialization key.
  • the non-volatile sensitive data is unique data necessary for accessing data of the device in a secure environment.
  • the non-volatile sensitive data may be unique data necessary for starting the operating system of the device in a secure environment.
  • the non-volatile sensitive data selected is the kernel and image file data (data in the Ramdisk memory disk).
  • the environment factor is used to implement encryption processing according to the pre-shared key, and the credibility is transmitted.
  • the initialization unit can be logically located in the application layer of the system, and works when the system is first started.
  • the operating environment factor acquisition unit and the encryption and decryption unit respectively perform the initial running configuration of the system, and the configuration process does not generate a saveable configuration file or Data, but the environmental factor is obtained by extracting the characteristics of the environmental data, and the environmental factor is used as the key to directly encrypt the system kernel and the image file to be protected. After the encryption is successful, the environmental factor is not saved. The result of this initialization cannot be directly extracted and reverse analyzed.
  • the initialization unit has a self-destruct function. After confirming the encryption success, the security environment factor is destroyed, the unencrypted non-volatile sensitive data stored in the device is deleted, and the encryption function is prohibited. A data erasing operation is performed on the data storage space occupied by the initialization unit on the storage medium of the system.
  • the method of erasing includes all zero padding, all 1 padding, random number padding, and the like.
  • the final stage of the self-destruction process will modify the boot control unit configuration file, remove the information associated with the initialization unit, and restart the device.
  • the boot control unit guides the control unit to complete the environment confirmation before the system is started, and performs an environment confirmation action before the operating system kernel of the embedded device boots to prevent the device from starting in an environment without a security protection system. (If the device moves out of the specified runtime environment). Therefore, the guidance control unit can implement the generation of the environmental factor by calling the same environmental factor acquisition unit described above. Similarly, the resulting output (environment factor) is simply a one-time decryption key and is not saved in the system.
  • the environment factor obtaining unit extracts an environment factor according to the acquired environment information, and is used to decrypt the operating system kernel and its corresponding image file stored on the non-volatile storage medium of the device.
  • FIG. 3 there is shown a schematic illustration of the operation of a system for protecting data provided by yet another embodiment of the present invention.
  • the scenario in which the device to be protected is an embedded device and the security environment is the initial installation environment of the device is taken as an example.
  • the environment information is extracted and an environment factor is generated.
  • the kernel factor and the image file of the ciphertext are generated by the environment factor during the initialization process. Therefore, the initialization process must be one-time and irreversible.
  • the initialization unit completes the operation when the system is first powered up, and must self-destruct after the operation to ensure the irreversibility of the initialization process.
  • the boot control unit can check whether the system is started for the first time according to the configuration file of the system. If yes, go to step 210.
  • the initialization unit 200 invokes the environmental factor acquisition unit 100 to perform collection of environmental information, generate an environmental factor, and input the environmental factor to the encryption/decryption unit 201.
  • the non-volatile sensitive data selected in the device is encrypted by a bitwise symmetric algorithm. Since it is a bitwise operation, the original data is encrypted and its length does not change, so It does not have any influence on the original file length, which ensures the stability of the operating system and improves the compatibility of the device.
  • Step 215 The initialization unit 200 performs a self-destruct operation.
  • the self-destruct operation may be a data erasing operation performed by the original data storage space of the initialization unit 200.
  • Methods for deleting data include all zero padding, all 1 padding, random number padding, and so on.
  • the final stage of the self-destruction process is to modify the boot control unit configuration file, remove the information about the initialization unit 200, and complete the device initialization process.
  • the steps shown by the dashed lines in Figure 3 are the steps that need to be performed when the device is initialized. After completing the initialization of the system, power up the device again and perform the steps shown in the solid line in Figure 3.
  • Step 216 The boot control unit enters a normal startup process, and the environment factor acquisition unit 100 is directly invoked after the BIOS is loaded.
  • Step 217 The environment factor acquisition unit 100 generates an environmental factor in the current environment, and inputs it to the encryption and decryption unit 201.
  • Step 218 The encryption and decryption unit 201 decrypts the kernel and the image file of the ciphertext by using the environment factor in the current environment.
  • the decryption is successful, the data in the device is allowed to be accessed, and when the decryption fails, the data in the device is denied.
  • various related operations may be used, such as using the alarm communication module to send alarm information, and the alarm information may be various information such as GPS information, short message, and multimedia message, and may pass various networks.
  • the communication mode transmits the alarm information; the deletion module is used to destroy the sensitive data to prohibit access to the data in the device; or, by using the prohibition startup module, the device is prevented from starting the operating system in the secure environment to deny access to the data in the device;
  • the decryption unit fails to decrypt, the device is allowed to start an operating system in a non-secure environment, and the operating system in the non-secure environment is inaccessible to the sensitive data.
  • a dual-system device that selects different operating systems to start according to environmental factors is also provided. That is, set at least two operating systems in the system, one of the operating systems The system is bound to the environment factor, and another operating system that is not bound to the environment can be flexibly switched between different operating systems as needed.
  • a workflow of the dual-system device startup provided by the embodiment of the present invention mainly includes:
  • Step 41 After the device is powered on, the Master Boot Record (MBR) runs.
  • Step 42 The main boot program starts the boot control unit.
  • the master bootloader loads the data from the boot control unit into the memory from the non-volatile storage medium and begins execution.
  • Step 43 The boot control unit determines whether the environment determination process needs to be executed according to the system configuration file. If not, go to step 44, and if yes, go to step 45.
  • Step 44 Start the first operating system (denoted as 0S1) that is not bound to the environment when the environment determination process is not required.
  • the first operating system does not require access to the encrypted non-volatile sensitive data, i.e., the first operating system is booted and operated without the encrypted non-volatile sensitive data.
  • Step 45 Start the environmental factor acquisition unit when the environment determination process needs to be performed.
  • the environmental factor acquisition unit generates an environmental factor based on the acquired environmental information.
  • Step 46 The encryption and decryption unit performs a decryption operation on the kernel file and the image file of the ciphertext according to the environment factor. After confirming that the decryption is successful, executing step 49, loading the decrypted kernel file and the image file, and starting the binding with the environmental factor.
  • the second operating system represented as OS2.
  • Step 47 Determine if an alarm operation is required. If yes, go to step 48. If necessary, the above non-volatile sensitive data can also be destroyed to ensure that the device will not be started under the operating system bound to the environment to deny access to the data of the device under the operating system.
  • Step 48 Start the alarm communication module and send an alarm message.
  • the above alarm communication module may be one or more of a short message card, a multimedia message card or a global positioning system (GPS) chip.
  • GPS global positioning system
  • a dual system operation mechanism provided by this embodiment may also be as shown in FIG. 5.
  • the initialization unit 200 selects one of the two operating systems supported by the device to be bound to the environment factor, such as binding the operating system OS2 to the environment.
  • the boot control unit When the device is started again, the boot control unit directly determines whether the device works in a secure environment through the environment confirmation process, and if so, starts the operating system (OS2) in the secure environment, and if not, starts another one that is not bound to the environment.
  • OS2 operating system
  • OSl Operating system
  • the embodiment further provides a mechanism for mutual authentication between the environment and the device to ensure higher security of the system.
  • the environment factor is used to bind the device to the environment, and the device is required to be started in a secure environment.
  • the environment can also identify the identity of the device working in it, and only the device with legal identity can work in the environment.
  • the system further includes an environment monitoring server, which pre-collects and stores the identity information of the device in a secure environment.
  • the environment monitoring server collects the identity information of the device in the current environment, and determines whether the current device is a legal device according to the identity information of the device in the security environment. If yes, the device is allowed to access the security environment. If no, the device is prohibited from accessing the security environment.
  • the environmental monitoring server can be implemented by a separate server device or integrated in an embedded device.
  • the above processing method not only requires the protected embedded device to confirm that it is in a secure environment in a certain way, but also allows the defined security environment to ensure existence in a certain method (such as two-way authentication, device video monitoring, etc.).
  • Devices in the environment are environmentally-licensed devices, not other devices or logical units that are arbitrarily implanted or invaded.
  • a Public Key Infrastructure (PKI) authentication mechanism can be used between the environmental monitoring server and the embedded device.
  • ⁇ Mechanism is a key management technology that adheres to established standards. It is a key and certificate management system that can provide cryptographic services such as encryption and digital signature for all network applications.
  • the environment monitoring server and the embedded device mutually authenticate each other's certificate is valid. If one party fails to authenticate, then the embedded device is considered to be not a legitimate security device, and the embedded device is not allowed to operate.
  • the above-mentioned initialization unit, boot control unit, environment factor acquisition unit, encryption and decryption unit and alarm communication module can all be implemented by means of hardware devices. This scheme only uses “unit” and “module” as the name of the hardware device.
  • the method includes a plurality of hardware devices that can be used to implement the units and modules.
  • the encryption and decryption unit in the solution may be implemented by an encryption and decryption chip, such as a Hongsi HS32U1 system-level encryption chip, in the solution.
  • the police communication module can be implemented by the SiRF III GPS chip when using the GPS " ⁇ alarm mode. When using the SMS alarm mode, the WAVECOM model can be used.
  • the SMS card of the M 1206B is described above.
  • the embodiment of the present invention can encrypt sensitive data in the device by extracting the security environment factor in the security environment and encrypting the non-volatile sensitive data in the device by using the security environment factor. Bind to the work environment, different work environments will extract different environmental factors, so once the device moves out of the safe work environment, the decryption fails due to the inability to obtain a consistent environmental factor, thereby reducing data leakage by denying access to the data in the device. risks of. Since the solution does not need to add additional cryptographic hardware devices, the non-volatile sensitive data in the device is protected by the encryption and decryption mechanism bound to the environment, so the hardware cost is small, and the operation of implementing and deploying the data protection scheme is additionally implemented. It is also relatively simple and has low professional requirements, which reduces the workload of system implementation and deployment and the requirements for human resources.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Computing Systems (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种保护数据的方法和系统。本发明实施例提供的一种保护数据的方法包括：在数据所在的设备一次初始化过程中，根据安全环境下设备的环境信息获取环境因子，以及，利用安全环境下的环境因子对设备中的敏感数据进行加密，并在确认加密成功后，销毁所述环境因子。在每次启动所述设备时，根据当前环境下设备的环境信息获取环境因子，然后利用当前环境下的环境因子对所述设备中已加密的敏感数据进行解密，当解密成功时，允许访问所述设备中的数据，当解密失败时，拒绝访问所述设备中的数据。本方案所需的硬件成本较小且能够大大降低数据泄露的风险。

Description

一种保护数据的方法和系统
技术领域 本发明涉及数据安全技术领域， 特别涉及一种保护数据的方法和系统。 背景技术 随着信息载体设备的普及， 越来越多的自动控制、 信息处理系统釆用嵌入 式架构， 个人、 企业等社会组织对于信息载体设备的依赖程度也越来越高。 嵌 入式设备是一种常用的信息载体设备， 嵌入式设备的普及一方面提高了社会的 生产效率、 便利了对生产的控制， 另一方面也对系统中的各种信息记录提出了 安全保护上的具体要求。
近年来， 很多的信息安全厂商在数据保护技术上的研究和开发主要局限于 如何保护嵌入式设备的数据在网络中的安全， 比如对网络中的数据库、 本地文 件等数据的保护。而作为信息存储和管理载体的嵌入式设备自身的数据安全 (特 别是设备的物理安全）却往往被忽视， 导致数据泄漏的风险较高， 难以实现真 正的安全可靠。 特别是对于嵌入式移动设备， 一旦遗失或被恶意盗取后， 设备 中的数据极易泄露， 导致企业核心数据的丟失、 给企业技术和商业机密造成了 损失。
目前很多研发者和用户开始意识到数据的商业价值和在企业价值链中的意 义， 针对上述问题， 提出了釆用可信计算理论体系对信息载体设备进行保护。 在硬件上， 增加加密的硬件设备， 如可信赖平台模块（Trusted Platform Module, TPM )芯片和 USB-key等； 在逻辑上， 设置一个可信的安全根， 该安全根可以视 为安全系统中信任关系的 "根" ， 安全系统中所有相互信任或授权的活动都以 安全才艮为基础。
现有的数据保护方案至少存在如下缺陷：
现有的可信计算理论体系解决方案， 需要在计算平台上额外增设加密硬件 设备， 如 TPM芯片或 USB-key等， 硬件成本过高， 大多数的用户都难以接受； 且 现有安全保护体系的实施和部署的操作复杂， 专业性过强， 普通的 IT管理人员 通常难以独立完成系统的配置和维护， 而一旦配置出现差错， 可能会导致整个 系统无法使用或者整个系统的安全性大大降低。 发明内容 本发明提供了一种保护数据的方法和系统， 以解决现有方案硬件成本过高、 专业性过强的问题。
为达到上述目的， 本发明实施例釆用了如下技术方案：
本发明一个实施例提供了一种保护数据的方法， 在数据所在的设备一次初 始化过程中， 根据安全环境下设备的环境信息获取环境因子， 以及， 利用安全 环境下的环境因子对设备中的敏感数据进行加密， 并在确认加密成功后， 销毁 所述环境因子；
在每次启动所述设备时， 根据当前环境下设备的环境信息获取环境因子， 然后利用当前环境下的环境因子对所述设备中已加密的敏感数据进行解密， 当 解密成功时， 允许访问所述设备中的数据， 当解密失败时， 拒绝访问所述设备 中的数据。 本发明另一个实施例还提供了一种保护数据的系统， 所述系统包括数据所 在的设备， 所述设备包括初始化单元、 引导控制单元、 环境因子获取单元和加 解密单元， 其中，
所述初始化单元在所述设备一次初始化过程中， 通过环境因子获取单元根 据安全环境下设备的环境信息获取环境因子， 通过加解密单元利用所述环境因 子对所述设备中的敏感数据进行加密； 在确认加密成功后， 所述初始化单元销 毁所述环境因子； 所述引导控制单元在每次启动所述设备时， 通过环境因子获取单元根据当 前环境下设备的环境信息获取环境因子， 通过加解密单元利用当前环境下的环 境因子对所述已加密的敏感数据进行解密； 当解密成功时， 所述引导控制单元 允许访问所述设备中的数据， 否则拒绝访问所述设备中的数据。 本发明实施例的有益效果是：
本发明实施例通过在安全环境中提取安全环境因子并利用安全环境因子对 设备中的非易失性敏感数据加密， 从而能够将设备中的敏感数据与工作环境绑 定， 不同的工作环境将提取出不同的环境因子， 因此一旦设备移出安全的工作 环境， 由于无法得到一致的环境因子而造成解密失败， 进而通过拒绝访问设备 中的数据降低数据泄露的风险。 由于本方案无需增设额外的加密硬件设备， 通 过与环境绑定的加解密机制实现对设备中的非易失性敏感数据的保护， 所以硬 件成本较小， 另外实施和部署本数据保护方案的操作也相对简单， 专业性要求 较低， 降低了系统实施和部署的工作量及对人力资源的要求。 附图说明 图 1为本发明一个实施例提供的一种保护数据的方法流程图；
图 2为本发明另一个实施例提供的环境因子获取单元的工作方式示意图； 图 3为本发明又一个实施例提供的保护数据的系统的工作方式示意图； 图 4为本发明又一个实施例提供的与环境绑定的双系统设备启动的一种工 作方式示意图；
图 5为本发明又一个实施例提供的一种双系统操作机制示意图。 具体实施方式 为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本发明 实施方式作进一步地佯细描述。 本发明一个实施例提供了一种保护数据的方法， 参见图 1 , 具体包括：
11 : 提取安全环境下设备的环境信息 （简称为安全环境信息）， 并艮据安全 环境信息获取环境因子。
上述设备为需要保护的数据所在的设备。
12: 利用安全环境因子对设备中的敏感数据进行加密， 并在确认加密成功 后， 销毁环境因子。
上述安全环境可以为设备初次安装时的工作环境， 则步骤 11和 12的操作 可以在设备的第一次初始化过程中执行， 或者， 上述安全环境可以为设备在初 次安装运行后根据实际需要所设定的工作环境， 步骤 11和 12的操作在设备的 一次初始化过程中完成。
上述敏感数据为访问设备在安全环境下的数据所必须的唯一性数据， 该敏 感数据为非易失性数据， 例如， 上述敏感数据可以为启动设备在安全环境下的 操作系统所必须的唯一性非易失性数据。
13 : 在每次启动设备时， 提取出当前环境下设备的环境信息 （简称为当前 环境信息）， 根据当前环境信息获取环境因子。
本实施例中当利用安全环境因子对非易失性敏感数据加密之后， 再次启动 时， 需要对当前的工作环境进行识别， 提取当前的环境因子。
要求通过同样的工作环境所提取的环境因子一致（或误差在一定的容忍度 范围内）， 而在不同的工作环境下所提取的环境因子不同。 对非易失性敏感数据 加密和解密时的环境因子需要保持一致。
14: 利用当前环境因子对已加密的敏感数据进行解密， 判断解密是否成功， 当解密成功时， 执行步骤 15 , 当解密失败时， 执行步骤 16。
15: 解密成功时， 允许访问设备中的数据。
例如， 允许启动并运行设备在安全环境下的操作系统， 实现对设备中数据 的正常访问。
16: 解密失败时， 拒绝访问设备中的数据。
例如， 禁止启动设备在安全环境下的操作系统， 从而阻止了对该操作系统 下数据的访问。
进一步的， 本实施例还提供了一种环境与设备双向认证的机制， 包括： 环 境监控服务器预先釆集设备在安全环境下的身份信息， 在每次启动设备之前， 环境监控服务器釆集设备在当前环境下的身份信息， 根据安全环境下设备 的身份信息验证当前环境下设备的身份信息， 并根据验证结果判断设备是否为 合法设备， 若是， 允许设备接入安全环境， 若否， 禁止设备接入安全环境。 本方法实施例中相关步骤的具体执行方式参见本发明系统实施例中的相关 内容。
本发明另一个实施例以一种保护数据的系统为例来说明本方案提供的数据 保护机制。 本实施例提供的保护数据的系统包括数据所在的设备， 该设备包括 初始化单元、 引导控制单元、 环境因子获取单元和加解密单元。
初始化单元， 在设备一次初始化过程中， 通过环境因子获取单元根据安全 环境下设备的环境信息获取环境因子， 通过加解密单元利用环境因子对设备中 的敏感数据进行加密； 在确认加密成功后， 初始化单元销毁所述环境因子。
引导控制单元， 在每次启动设备时， 通过环境因子获取单元根据当前环境 下设备的环境信息获取环境因子， 通过加解密单元利用当前环境下的环境因子 对已加密的敏感数据进行解密； 当解密成功时， 引导控制单元允许访问设备中 的数据， 否则拒绝访问设备中的数据。 上述安全环境可以为设备初次安装时的工作环境， 或者， 上述安全环境可 以为设备在初次安装运行后根据实际需要所设定的工作环境。 本实施例中以安 全环境选定为设备初次安装时的工作环境为例进行说明。 上述设备包括但不局 限于各种嵌入式设备， 如嵌入式存储设备、 嵌入式手持终端 （手机、 掌上电脑
Pad ), 嵌入式工业控制计算机等。 环境因子的提取
上述环境因子的提取是指被保护的设备（如嵌入式设备）通过环境信息提 取单元按照一定的逻辑与其工作环境（包括自然环境、 设备物理环境、 服务器 及软件环境）进行交互， 从环境信息中完成特征提取， 最终生成一定长度的数 据串作为环境因子的过程。 所识别的环境因素不同， 则环境信息提取单元与环境交互的方式也不同， 可以釆用的交互方式至少包括： 温度环境精确测量、 光照强度测量、 视频监控 拍摄的物理环境的图像、 生物特征的测量、 网络环境的测量、 数据的扫描、 釆 用挑战 -响应 （Challenge-Response )认证机制与互联网络交互获取密钥等。 这些 因素的任意其一或者任意数量的组合相互作用最终形成系统对环境认知的环境 因子。 参见图 2,环境因子获取单元 110与用来提取环境信息的外部设备 112至 115 进行交互， 该外部设备 112至 115为环境信息提取单元。 图像釆集器 112 能够釆集设备的物理环境对应的物理环境图像信息， 所提 取的环境信息包括该物理环境图像信息。 温湿度釆集设备 113 (如温度釆集器）能够对设备的温度环境进行测量得到 温度环境信息， 所提取的环境信息包括该温度环境信息。 温湿度釆集设备 113 (如湿度釆集器 )还能够对设备的湿度环境进行测量得 到湿度环境信息， 所提取的环境信息包括该湿度环境信息。 图像釆集器 112、温湿度釆集设备 113都可以通过直接的数据接口进行数据 釆集， 然后通过数据的误差消除机制得到一个稳定可信的数值作为环境因子或 参与生成环境因子。 网络探测服务器 114 能够釆集设备的网络环境的网络环境信息， 所提取的 环境信息包括该网络环境信息。 网络探测服务器 114 由集成在嵌入式设备内部 的功能子模块实现或者由设置在嵌入式设备外部的设备实现。 釆集的网络环境 信息主要包括网络的拓朴结构、 网络中的各种服务器或特定主机的指紋信息 ( FingerPrint ), 如媒体接入控制 （MAC )地址信息等， 将这些信息抽象后生成 环境因子或参与生成环境因子。 认证服务器 115 与设备进行双向身份认证， 在认证通过后， 认证服务器生 成一个作为双向身份认证信息的数据块， 将该数据块发送至设备， 则所提取的 环境信息包括该数据块。 例如， 认证服务器 115 与嵌入式设备直接可以通过挑 战 -响应的非对称加密方法进行通道双向的认证， 同时让认证服务器和嵌入式设 备确认对方的身份， 然后在该非对称加密数据通道中， 由认证服务器向嵌入式 设备颁发一个数据块， 将该数据块作为环境因子或参与生成环境因子。 其中， 挑战-响应认证机制是一种身份认证的方式， 该方式下每次认证时认证服务器端 都给客户端发送一个不同的 "挑战"字串， 客户端收到这个"挑战"字串后， 做出相 应的 "应答"， 以实现双方身份的确认。 进一步的， 除了对上述环境因素的测量之外， 本系统还可以利用光照釆集 器对设备的光照环境进行测量得到光照强度信息， 所提取的环境信息包括该光 照强度信息； 或者， 利用生物特征釆集器釆集设备使用者的生物特征信息 （如 指紋、 虹膜等）， 所提取的环境信息包括该生物特征信息等。 环境因子获取单元 110 直接将提取到的一种或多种环境信息作为所获取到 的环境因子， 或者， 环境因子获取单元利用提取到的一种或多种环境信息生成 环境因子， 如环境因子获取单元对一种或多种环境信息进行特征提取， 并按照 预定算法生成一定长度的数据串， 将该数据串作为环境因子。 生成的方式例如 可以是通过对环境信息中环境变量具体数据进行特征提取， 屏蔽微观可变因素 后形成特征字串， 将所有参与运算的各个环境变量数据对应的特征字串进行杂 凑运算， 最终得到环境因子， 或者， 也可以是通过对特征字串的取模运算等方 法最终得到环境因子。 环境因子获取单元 110将该环境因子传递至加解密单元 120, 加解密单元 120将环境因子作为加密或解密非易失性敏感数据的密钥。
初始化单元
上述初始化单元主要完成设备初次安装时对环境信息的确认和环境信息的 提取， 形成环境因子， 并通过这个 "环境因子" 作为初始化密钥对系统非易失 性存储介质上的敏感数据进行加密。 该非易失性敏感数据为访问设备在安全环 境下的数据所必须的唯一性数据， 例如， 上述非易失性敏感数据可以为启动设 备在安全环境下的操作系统所必须的唯一性数据。 对嵌入式设备时， 所选取的 非易失性敏感数据为内核和镜像文件数据 ( Ramdisk内存盘中的数据）。 而对设 备中非易失性存储介质上的其他数据， 在操作系统层面， 釆用环境因子按照预 共享密钥的方式实现加密处理， 完成可信性的传递。
初始化单元在逻辑上可以处在系统的应用层， 在系统初次启动的时候工作， 分别操作环境因子获取单元和加解密单元完成系统的初次运行配置， 配置过程 并不生成一个可保存的配置文件或数据， 而是通过提取环境数据特征的结果得 到环境因子， 将环境因子作为密钥直接加密需要保护的系统内核和镜像文件， 加密成功后， 不保存该环境因子。 该初始化的结果不可以直接提取和逆向分析。
本实施例中初始化单元具有一种自毁功能， 在确认加密成功后， 销毁安全 环境因子， 删除设备中存储的未加密的所述非易失性敏感数据并禁止加密功能。 在系统的存储介质上对初始化单元所占用的数据存储空间进行数据擦除操作。 擦除的方法包括全零填充、 全 1 填充、 随机数填充等。 自毁过程的最后阶段将 对引导控制单元配置文件进行修改， 去掉与初始化单元相关的信息， 并重新启 动设备。
引导控制单元 引导控制单元主要完成系统启动前的环境确认， 在嵌入式设备的操作系统 内核引导之前执行环境确认动作， 避免设备在没有安全保护体系的环境中启动 (如设备移出指定的运行环境）。 所以引导控制单元可以通过调用上述相同的环境因子获取单元实现环境因 子的生成。 同样， 产生的输出结果（环境因子）仅仅是一次性使用的解密密钥， 并不会在系统中进行保存。 首先环境因子获取单元根据获取到的环境信息提取一个环境因子， 用以解 密存储在设备非易失性存储介质上的操作系统内核及其对应的镜像文件
( Ramdisk )„ 如果设备的工作环境发生变化， 将无法生成正确的环境因子， 也 就无法对存储在非易失性存储介质上的数据进行明文的提取操作。 在同样的环境下环境因子获取单元所提取的环境因子应完全一致， 且环境 因子只在系统加载或启动时产生作用， 一旦系统完成加载或启动， 它将不存在 于系统的任何一个易失或非易失性存储介质之中。
参见图 3 ,显示了本发明又一个实施例提供的保护数据的系统的工作方式示 意图。
本实施例中以需要保护的设备为嵌入式设备， 安全环境为设备的初次安装 环境的场景为例进行说明。 在初始化过程中， 提取环境信息并生成环境因子， 在初始化过程中利用环境因子生成密文的内核和镜像文件。 因此， 初始化过程 必须是一次性的， 并且是不可逆的， 初始化单元在系统第一次加电的时候完成 操作， 操作过后必须进行自毁， 以确保初始化过程的不可逆性。 系统初次启动时， 引导控制单元可以根据系统的配置文件检查系统是否第 一次启动， 若是， 执行步骤 210。
210: 启动系统的初始化单元 200。 初始化单元 200调用环境因子获取单元 100进行环境信息的釆集， 生成环 境因子， 并将环境因子输入至加解密单元 201。 步骤 213: 加解密单元 201对非易失性存储介质 300上的内核文件、镜像文 件进行加密处理。 本实施例中釆用按位对称算法对设备中所选取的非易失性敏感数据进行加 密。 由于是按位操作， 原始数据经过加密处理后其长度不发生任何变化， 所以 对原来的文件长度并没有任何的影响， 保证了操作系统的稳定性， 提高了设备 的兼容性。 加解密单元 201 完成加密操作之后会对已经加密的内核文件和镜像文件进 行校验，校验完成，确认加密成功后，通知初始化单元 100进入下一步动作 215。 步骤 215: 初始化单元 200进行自毁操作。 自毁操作具体可以是， 将初始化单元 200原有的数据存储空间进行数据擦 除操作。
删除数据的方法包括全零填充、 全 1 填充、 随机数填充等。 自毁过程的最 后阶段是将对引导控制单元配置文件进行修改， 去掉初始化单元 200 的相关信 息， 至此完成设备初始化过程。 图 3 中虚线所示的步骤为设备初始化时所需执行的步骤。 完成系统的初始 化之后， 再次加电启动设备， 执行图 3中实线所示的步骤。 步骤 216: 引导控制 单元进入正常的启动过程， 完成 BIOS加载后直接调用环境因子获取单元 100。 步骤 217: 环境因子获取单元 100生成当前环境下的环境因子， 输入至加解 密单元 201。 步骤 218:加解密单元 201利用当前环境下的环境因子对密文的内核和镜像 文件进行解密加载， 当解密成功时， 允许访问设备中的数据， 当解密失败时， 拒绝访问设备中的数据。 本实施例中当设备脱离安全环境启动后， 可以釆用多种相关操作， 如利用 报警通讯模块发送报警信息， 报警信息可以为 GPS信息、短信、 彩信等多种信 息， 并可以通过各种网络通讯方式将报警信息传输出去； 利用删除模块销毁所 述敏感数据以禁止访问设备中的数据； 或者， 利用禁止启动模块， 阻止设备启 动安全环境下的操作系统， 以拒绝访问设备中的数据； 以及， 利用允许启动模 块， 在加解密单元解密失败时， 允许设备启动非安全环境下的操作系统， 该非 安全环境下的操作系统对所述敏感数据是无法访问的。
本发明又一个实施例中， 还提供了一种根据环境因素选择不同操作系统进 行启动的双系统设备。 即在系统中设置至少两种操作系统， 将其中一种操作系 统与环境因子绑定， 而另一种操作系统不与环境绑定的操作系统， 可以根据需 要， 在不同操作系统中进行灵活切换。 参见图 4, 在釆用环境因子对设备中的非易失性敏感数据加密后， 本发明实 施例提供的双系统设备启动的一种工作流程主要包括：
步骤 41： 设备加电后， 主引导程序 （ Master Boot Record , MBR )运行。 步骤 42: 主引导程序启动引导控制单元。 主引导程序将引导控制单元的数据从非易失性存储介质中加载到内存并开 始执行。 步骤 43: 引导控制单元将根据系统配置文件确定是否需要执行环境判定过 程， 若否， 执行步骤 44, 若是， 执行步骤 45。 步骤 44: 在不需要执行环境判定过程时， 启动不与环境绑定的第一操作系 统（表示为 0S1 )。 该第一操作系统不需要访问已加密的非易失性敏感数据， 即 该第一操作系统的启动和运行不需要上述已加密的非易失性敏感数据。 步骤 45: 在需要执行环境判定过程时， 启动环境因子获取单元。 环境因子获取单元会根据获取到的环境信息产生环境因子。
步骤 46: 加解密单元根据环境因子执行对密文的内核文件和镜像文件的解 密操作， 当确认解密成功后， 执行步骤 49, 加载解密后的内核文件和镜像文件， 启动与环境因素相绑定的第二操作系统（表示为 OS2 )。 当解密失败后， 执行步 骤 47。 步骤 47: 判断是否需要报警操作， 若是， 执行步骤 48。 必要时， 还可以破 坏上述的非易失性敏感数据， 保证设备不会在与环境绑定的操作系统下启动， 以拒绝访问设备在该操作系统下的数据。 步骤 48: 启动报警通讯模块， 发送报警信息。
上述报警通讯模块可以为短信卡、 彩信卡或全球定位系统 ( GPS )芯片中的 一种或多种。
本实施例提供的一种双系统操作机制还可以如图 5所示。 在初始化过程中， 由初始化单元 200在设备所支持的两种操作系统中选取 一种操作系统与环境因素绑定， 如将操作系统 OS2与环境相绑定。
当再次启动设备时， 引导控制单元直接经环境确认过程判断设备是否工作 在安全的环境中， 若是， 启动安全环境下的操作系统（OS2 ), 若否， 则启动另 一个未与环境相绑定的操作系统（OSl )。
进一步的， 本实施例还提供了一种环境与设备双向认证的机制， 以保证系 统具有更高的安全性。 一方面利用环境因子将设备与环境绑定， 要求设备在安 全的环境中启动， 另一方面， 环境也可以对工作于其中的设备身份进行识别， 仅允许合法身份的设备工作在该环境下。这时，本系统还包括环境监控服务器， 该环境监控服务器预先釆集合法设备在安全环境下的身份信息并保存。
在每次启动当前设备之前， 该环境监控服务器釆集设备在当前环境下的身 份信息， 根据安全环境下所述设备的身份信息判断当前设备是否为合法设备， 若是， 允许设备接入安全环境， 若否， 禁止设备接入安全环境。 该环境监控服 务器可由单独的服务器设备实现， 也可以集成在嵌入式设备中实现。
上述处理方式不仅仅要求被保护的嵌入式设备通过一定的方式确认自己处 在安全环境之中， 也允许被定义的安全环境通过一定的方法 （如双向认证、 设 备视频监控等方式）确保存在于环境中的设备都是经过环境许可的设备， 而不 是被任意植入或者侵入的其他设备或逻辑单元。 环境监控服务器和嵌入式设备 之间可以釆用公钥基础设施（Public Key Infrastructure, PKI )认证机制。 ΡΚΙ 机制是一种遵循既定标准的密钥管理技术， 是一种能够为所有网络应用提供加 密和数字签名等密码服务及所必需的密钥和证书管理体系。 环境监控服务器和 嵌入式设备双方相互认证对方的证书是否有效， 如果一方认证失败， 那么即可 认为嵌入式设备不是合法的安全设备， 不进行允许该嵌入式设备的运行。
本方案中上述的初始化单元、 引导控制单元、 环境因子获取单元、 加解密 单元和报警通讯模块等都可以硬件设备的方式实现，本方案只是釆用了 "单元" "模块" 作为硬件设备的命名方式， 以涵盖能够用以实现这些单元和模块的多 种硬件设备， 例如， 本方案中的加解密单元可以为由加解密芯片实现， 如宏思 HS32U1 系统级加密芯片，本方案中的 ·艮警通讯模块釆用 GPS "^艮警方式时可以 由 SiRF III GPS芯片实现，釆用短信报警方式时可以釆用 WAVECOM的型号为 M 1206B 的短信卡实 i¾ 由上所述， 本发明实施例通过在安全环境中提取安全环境因子并利用安全 环境因子对设备中的非易失性敏感数据加密， 从而能够将设备中的敏感数据与 工作环境绑定， 不同的工作环境将提取出不同的环境因子， 因此一旦设备移出 安全的工作环境， 由于无法得到一致的环境因子而造成解密失败， 进而通过拒 绝访问设备中的数据降低数据泄露的风险。 由于本方案无需增设额外的加密硬 件设备， 通过与环境绑定的加解密机制实现对设备中的非易失性敏感数据的保 护， 所以硬件成本较小， 另外实施和部署本数据保护方案的操作也相对简单， 专业性要求较低， 降低了系统实施和部署的工作量及对人力资源的要求。
以上所述仅为本发明的较佳实施例而已， 并非用于限定本发明的保护范围。 凡在本发明的精神和原则之内所作的任何修改、 等同替换、 改进等， 均包含在 本发明的保护范围内。

Claims

权利要求 书
1、 一种保护数据的方法， 其中， 在数据所在的设备一次初始化过程中， 根 据安全环境下设备的环境信息获取环境因子， 以及， 利用安全环境下的环境因 子对设备中的敏感数据进行加密， 并在确认加密成功后， 销毁所述环境因子； 在每次启动所述设备时， 根据当前环境下设备的环境信息获取环境因子， 然后利用当前环境下的环境因子对所述设备中已加密的敏感数据进行解密， 当 解密成功时， 允许访问所述设备中的数据， 当解密失败时， 拒绝访问所述设备 中的数据。
2、 根据权利要求 1所述的方法， 其中， 所述环境信息包括如下至少一种： 设备的温度环境信息、 设备的湿度环境信息、 设备的光照环境信息、 设备 使用者的生物特征信息、 设备的物理环境图像信息、 设备的网络环境信息、 设 备与认证服务器进行双向身份认证的双向身份认证信息；
根据环境信息获取环境因子包括： 将所提取到的环境信息作为环境因子； 或者， 利用所提取到的环境信息生成环境因子。
3、 根据权利要求 1所述的方法， 其中，
所述利用安全环境下的环境因子对设备中的敏感数据进行加密包括： 利用 安全环境下的环境因子， 釆用按位对称算法对设备中的敏感数据进行加密； 所述利用当前环境下的环境因子对所述设备中已加密的敏感数据进行解密 包括： 利用当前环境下的环境因子， 釆用与加密时相同的按位对称算法对所述 已加密的敏感数据进行解密。
4、 根据权利要求 1所述的方法， 其中， 所述当解密失败时， 拒绝访问所 述设备中的数据包括：
通过销毁所述敏感数据以拒绝访问所述设备中的数据； 或者，
通过阻止所述设备启动安全环境下的操作系统以拒绝访问所述设备中的数 据。
5、 根据权利要求 4所述的方法， 其中， 在拒绝访问所述设备中的数据时， 所述方法还包括：
发送报警信息； 和 /或
允许所述设备启动非安全环境下的操作系统， 所述非安全环境下的操作系 统对所述敏感数据是无法访问的。
6、 根据权利要求 1 所述的方法， 其中， 环境监控服务器预先釆集所述设 备在安全环境下的身份信息， 在每次启动所述设备之前， 环境监控服务器釆集所述设备在当前环境下的身份信息， 根据安全环境下 所述设备的身份信息验证当前环境下所述设备的身份信息， 并根据验证结果判 断所述设备是否为合法设备， 若是， 允许所述设备接入安全环境， 若否， 禁止 所述设备接入安全环境。
7、 根据权利要求 1至 6任一项所述的方法， 其中， 所述设备为嵌入式设备时， 所述敏感数据为内核和镜像文件数据。
8、 一种保护数据的系统， 其中， 所述系统包括数据所在的设备， 所述设备 包括初始化单元、 引导控制单元、 环境因子获取单元和加解密单元， 其中， 所述初始化单元在所述设备一次初始化过程中， 通过环境因子获取单元根 据安全环境下设备的环境信息获取环境因子， 通过加解密单元利用所述环境因 子对所述设备中的敏感数据进行加密； 在确认加密成功后， 所述初始化单元销 毁所述环境因子； 所述引导控制单元在每次启动所述设备时， 通过环境因子获取单元根据当 前环境下设备的环境信息获取环境因子， 通过加解密单元利用当前环境下的环 境因子对所述已加密的敏感数据进行解密； 当解密成功时， 所述引导控制单元 允许访问所述设备中的数据， 否则拒绝访问所述设备中的数据。
9、根据权利要求 8所述的系统， 其中， 所述系统还包括环境信息提取单元， 所述环境信息提取单元包括如下至少一种： 提取设备的温度环境信息的温 度釆集器、 提取设备的湿度环境信息的湿度釆集器、 提取设备的光照环境信息 的光照釆集器、 提取设备使用者的生物特征信息的生物特征釆集器、 提取设备 的物理环境图像信息的图像釆集器、 提取设备的网络环境信息的网络探测服务 器、 提取设备与认证服务器的双向身份认证信息的认证服务器；
所述环境因子获取单元， 将所述环境信息提取单元提取到的环境信息作为 环境因子；或者，利用所述环境信息提取单元提取到的环境信息生成环境因子。
10、 根据权利要求 8或 9所述的系统， 其中， 所述系统还包括环境监控服 务器，
所述环境监控服务器， 预先釆集所述设备在安全环境下的身份信息， 在每 次启动所述设备之前， 釆集所述设备在当前环境下的身份信息， 根据安全环境 下所述设备的身份信息验证当前环境下所述设备的身份信息， 并根据验证结果 判断所述设备是否为合法设备， 若是， 允许所述设备接入安全环境， 若否， 禁 止所述设备接入安全环境。
PCT/CN2013/070599 2012-01-19 2013-01-17 一种保护数据的方法和系统 WO2013107362A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2014552498A JP6275653B2 (ja) 2012-01-19 2013-01-17 データ保護方法及びシステム
US14/371,604 US20150012748A1 (en) 2012-01-19 2013-01-17 Method And System For Protecting Data

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210017522.3 2012-01-19
CN201210017522.3A CN102624699B (zh) 2012-01-19 2012-01-19 一种保护数据的方法和系统

Publications (1)

Publication Number Publication Date
WO2013107362A1 true WO2013107362A1 (zh) 2013-07-25

Family

ID=46564384

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/070599 WO2013107362A1 (zh) 2012-01-19 2013-01-17 一种保护数据的方法和系统

Country Status (4)

Country Link
US (1) US20150012748A1 (zh)
JP (1) JP6275653B2 (zh)
CN (1) CN102624699B (zh)
WO (1) WO2013107362A1 (zh)

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102624699B (zh) * 2012-01-19 2015-07-08 歌尔声学股份有限公司 一种保护数据的方法和系统
TW201520822A (zh) * 2013-11-27 2015-06-01 Delta Electronics Inc 投影機及其開機方法
CN103745164B (zh) * 2013-12-20 2016-08-17 中国科学院计算技术研究所 一种基于环境认证的文件安全存储方法与系统
CN104796394B (zh) * 2014-06-05 2018-02-27 深圳前海大数金融服务有限公司 基于局域网安全区的文件防扩散技术
CN104318172A (zh) * 2014-10-21 2015-01-28 合肥星服信息科技有限责任公司 基于局域网个性化特征的文件防扩散技术
CN104331667B (zh) * 2014-10-24 2018-10-26 宇龙计算机通信科技(深圳)有限公司 基于双系统的数据保存方法及系统
CN104318173B (zh) * 2014-10-27 2018-10-26 合肥迈斯软件科技有限公司 基于局域网交叉验证的文件防扩散技术
CN104506545B (zh) * 2014-12-30 2017-12-22 北京奇安信科技有限公司 数据泄露防护方法及装置
CN104539910B (zh) * 2015-01-16 2019-06-04 移康智能科技（上海）股份有限公司 一种数据安全访问方法和系统
JP2016167242A (ja) * 2015-03-10 2016-09-15 株式会社日立ソリューションズ 情報端末、情報管理システム及び情報端末の制御プログラム
JP6518487B2 (ja) * 2015-03-31 2019-05-22 智慧行動傳播科技股▲分▼有限公司 配信装置、配信システム、配信方法、電子機器、放送装置および受信プログラム
CN105678185B (zh) * 2015-12-31 2019-10-15 深圳市科漫达智能管理科技有限公司 一种数据安全保护方法以及智能终端管理系统
US10210333B2 (en) * 2016-06-30 2019-02-19 General Electric Company Secure industrial control platform
CN106125627A (zh) * 2016-08-25 2016-11-16 浪潮电子信息产业股份有限公司 一种基于tpm芯片的可信物联网实现方法
US10837782B1 (en) 2017-01-10 2020-11-17 Alarm.Com Incorporated Drone-guided property navigation techniques
CN108460284B (zh) * 2017-02-17 2023-12-29 广州亿三电子科技有限公司 一种计算机关键数据保护系统及方法
US10681037B2 (en) * 2017-06-29 2020-06-09 Amadeus S.A.S. Terminal authentication
CN107249006A (zh) * 2017-07-25 2017-10-13 湖南云迪生物识别科技有限公司 密码使用环境的认证方法和装置
CN107277046B (zh) * 2017-07-25 2020-08-28 湖南云迪生物识别科技有限公司 基于人脸识别的防胁迫密码管控方法和装置
WO2019051800A1 (zh) * 2017-09-15 2019-03-21 深圳传音通讯有限公司 基于双系统的数据访问方法及内核
CN110489971A (zh) * 2018-05-15 2019-11-22 微软技术许可有限责任公司 安全的数据集管理
GB2587191A (en) * 2019-09-12 2021-03-24 British Telecomm Resource access control
CN112149167B (zh) * 2020-09-29 2024-03-15 北京计算机技术及应用研究所 一种基于主从系统的数据存储加密方法及装置
CN112560120B (zh) * 2020-11-25 2024-04-05 深圳市金泰克半导体有限公司 安全内存条及安全内存条的启动方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1893713A (zh) * 2005-07-05 2007-01-10 索尼爱立信移动通信日本株式会社 移动终端设备、验证个人标识号的程序以及方法
CN102624699A (zh) * 2012-01-19 2012-08-01 歌尔声学股份有限公司 一种保护数据的方法和系统
CN202795383U (zh) * 2012-01-19 2013-03-13 歌尔声学股份有限公司 一种保护数据的设备和系统

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3440763B2 (ja) * 1996-10-25 2003-08-25 富士ゼロックス株式会社 暗号化装置、復号装置、機密データ処理装置、及び情報処理装置
US6035398A (en) * 1997-11-14 2000-03-07 Digitalpersona, Inc. Cryptographic key generation using biometric data
JP2000358025A (ja) * 1999-06-15 2000-12-26 Nec Corp 情報処理方法、情報処理装置及び情報処理プログラムを記憶した記録媒体
US7330970B1 (en) * 1999-07-13 2008-02-12 Microsoft Corporation Methods and systems for protecting information in paging operating systems
JP2005063292A (ja) * 2003-08-19 2005-03-10 Nec Corp 配信情報アクセス制御方法、プログラム、送信機器、受信機器、および送受信機器
US7818255B2 (en) * 2006-06-02 2010-10-19 Microsoft Corporation Logon and machine unlock integration
US8670564B1 (en) * 2006-08-14 2014-03-11 Key Holdings, LLC Data encryption system and method
US8417960B2 (en) * 2006-09-06 2013-04-09 Hitachi, Ltd. Method for generating an encryption key using biometrics authentication and restoring the encryption key and personal authentication system
JP2008084125A (ja) * 2006-09-28 2008-04-10 Toshiba Corp 情報処理装置
US20080126978A1 (en) * 2006-11-28 2008-05-29 Likun Bai System and method of enhancing computer security by using dual desktop technologies
JP2008250478A (ja) * 2007-03-29 2008-10-16 Hitachi Software Eng Co Ltd 情報端末の起動制御方法及び情報端末
US7886162B2 (en) * 2007-05-29 2011-02-08 International Business Machines Corporation Cryptographic secure program overlays
JP5288935B2 (ja) * 2007-10-30 2013-09-11 ミツビシ・エレクトリック・リサーチ・ラボラトリーズ・インコーポレイテッド コード化および復号化前のバイオメトリックパラメータの前処理方法
CN201126581Y (zh) * 2007-11-12 2008-10-01 中国长城计算机深圳股份有限公司 一种基于uefi的生物身份识别装置
CN101436247B (zh) * 2007-11-12 2012-04-11 中国长城计算机深圳股份有限公司 一种基于uefi的生物身份识别方法及系统
CN101345619B (zh) * 2008-08-01 2011-01-26 清华大学深圳研究生院 基于生物特征和移动密钥的电子数据保护方法及装置
JP2010102441A (ja) * 2008-10-22 2010-05-06 Fuji Xerox Co Ltd 情報処理装置、情報処理プログラム
CN101662469B (zh) * 2009-09-25 2012-10-10 浙江维尔生物识别技术股份有限公司 基于USBKey网上银行交易信息认证的方法和系统
US20110258430A1 (en) * 2010-04-15 2011-10-20 Nokia Corporation Method and apparatus for applying execution context criteria for execution context sharing
CN101859373A (zh) * 2010-04-28 2010-10-13 国网电力科学研究院 一种移动可信终端安全接入方法
US20130109349A1 (en) * 2011-10-26 2013-05-02 Mobitv, Inc. Mobile identity verification

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1893713A (zh) * 2005-07-05 2007-01-10 索尼爱立信移动通信日本株式会社 移动终端设备、验证个人标识号的程序以及方法
CN102624699A (zh) * 2012-01-19 2012-08-01 歌尔声学股份有限公司 一种保护数据的方法和系统
CN202795383U (zh) * 2012-01-19 2013-03-13 歌尔声学股份有限公司 一种保护数据的设备和系统

Also Published As

Publication number Publication date
CN102624699A (zh) 2012-08-01
JP2015504222A (ja) 2015-02-05
CN102624699B (zh) 2015-07-08
US20150012748A1 (en) 2015-01-08
JP6275653B2 (ja) 2018-02-07

Similar Documents

Publication Publication Date Title
JP6275653B2 (ja) データ保護方法及びシステム
JP5852265B2 (ja) 計算装置、コンピュータプログラム及びアクセス許否判定方法
KR101608510B1 (ko) 글로벌 플랫폼 규격을 사용하는 발행자 보안 도메인에 대한 키 관리 시스템 및 방법
CN202795383U (zh) 一种保护数据的设备和系统
TWI724683B (zh) 電腦實施的用於管理用戶金鑰對的方法、用於管理用戶金鑰對的系統以及用於管理用戶金鑰對的裝置
EP2583410B1 (en) Single-use authentication methods for accessing encrypted data
WO2020192406A1 (zh) 数据存储、验证方法及装置
KR101719381B1 (ko) 저장 장치의 원격 액세스 제어
US20070237366A1 (en) Secure biometric processing system and method of use
US20110016330A1 (en) Information leak prevention device, and method and program thereof
US11962694B2 (en) Key pair generation based on environmental factors
US20080040613A1 (en) Apparatus, system, and method for secure password reset
US20070226514A1 (en) Secure biometric processing system and method of use
CN108335105B (zh) 数据处理方法及相关设备
US10747885B2 (en) Technologies for pre-boot biometric authentication
US20160204933A1 (en) Personal information management system, method and service
CN111401901B (zh) 生物支付设备的认证方法、装置、计算机设备和存储介质
TWI724681B (zh) 基於身分資訊管理密碼金鑰
Nyman et al. Citizen electronic identities using TPM 2.0
US20070226515A1 (en) Secure biometric processing system and method of use
US10635826B2 (en) System and method for securing data in a storage medium
Mayrhofer An architecture for secure mobile devices
JP2008160325A (ja) リムーバブル・デバイスを用いたユーザの認証方法およびコンピュータ
Loftus et al. Android 7 file based encryption and the attacks against it
KR20150072007A (ko) 부정조작방지 장치 접근 방법 및 그 방법을 채용한 단말 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13738786

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2014552498

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14371604

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13738786

Country of ref document: EP

Kind code of ref document: A1