WO2017069489A1 - 선택적 암호화 방법 및 그를 이용한 전자 장치 - Google Patents

선택적 암호화 방법 및 그를 이용한 전자 장치 Download PDF

Info

Publication number
WO2017069489A1
WO2017069489A1 PCT/KR2016/011693 KR2016011693W WO2017069489A1 WO 2017069489 A1 WO2017069489 A1 WO 2017069489A1 KR 2016011693 W KR2016011693 W KR 2016011693W WO 2017069489 A1 WO2017069489 A1 WO 2017069489A1
Authority
WO
WIPO (PCT)
Prior art keywords
block
file
storage
encryption
electronic device
Prior art date
Application number
PCT/KR2016/011693
Other languages
English (en)
French (fr)
Inventor
이우중
길영진
윤성환
이기태
정대호
김민정
Original Assignee
삼성전자 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 삼성전자 주식회사 filed Critical 삼성전자 주식회사
Priority to US15/769,666 priority Critical patent/US10853503B2/en
Publication of WO2017069489A1 publication Critical patent/WO2017069489A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2107—File encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/88—Medical equipments

Definitions

  • Various embodiments of the present invention relate to an electronic device and a method of operating the same, and more particularly, to an electronic device and a method of operating the same, which selectively encrypt a block for a file stored in a storage.
  • the electronic device may organize files in memory, read and write files through a file system of an operating system.
  • encryption functions are provided to encrypt data in files stored in various types of memory or storage.
  • One method of encrypting storage such as a disk unit, is a disk encryption method that encrypts the entire disk unit.
  • the data stored on the disk unit can be protected even after the disk unit is physically removed from the electronic device or even when the operating system is disabled. Thus, excellent security performance can be provided.
  • disk encryption method inputs or outputs data in block units to the disk device, such a disk device encryption method is also called block device encryption.
  • the general block device encryption method encrypts the entire disk device, which is the block device to be encrypted, and thus encrypts data for error analysis, making it difficult to analyze file system errors due to block device or instability of the system including the block device. .
  • the general block device encryption method encrypts the entire block stored in the block device to be encrypted, the encryption or decryption operation may be inefficient.
  • a block for analyzing an error of a file system by selectively encrypting the block may not perform encryption.
  • data to be encrypted may be determined among a plurality of data based on various criteria, and a block encryption operation may be performed based on the determination result.
  • an operation related to encryption of the block device may be efficiently performed.
  • an electronic device may include: nonvolatile storage; Volatile memory; And a processor electrically connected with the storage and the memory, wherein the storage, when executed, sets the block layer for virtualizing the storage on the memory and executes a file in the set block layer. At least one of the encrypted block or the unencrypted block, stored at the block level, and optionally encrypting at least a portion of the file, stored at the block level, in the block unit, without encrypting the rest of the file. Instructions may be stored in the storage.
  • an electronic device may include: nonvolatile storage; Volatile memory; And a processor electrically coupled with the storage and the memory, wherein the storage, when executed, causes the processor to virtualize the storage on the memory as a block device and input or output to a file stored in the storage.
  • Instructions for selectively encrypting or decrypting a block of a file corresponding to the input or output request may be stored on the basis of an encryption tag indicating information about encryption or not, tagged to the input or output request according to the request.
  • an electronic device may include: nonvolatile storage; Volatile memory; And a processor electrically coupled with the storage and the memory, wherein the storage, when executed, causes the processor to virtualize the storage on the memory as a block device and to correspond to a file stored in the virtualized storage. At least one block may be selectively encrypted, and instructions that do not encrypt input or output resulting from running a file system utility may be stored.
  • a method of operating an electronic device may include: setting a block layer for virtualizing storage to a block device on a memory; Storing a file in units of blocks in the set block layer; Selectively encrypting the file, stored in the block unit, in at least one block unit; And storing at least one of an encrypted block and an unencrypted block in the storage.
  • an electronic device capable of selectively encrypting a block and a method of operating the same may be provided. Accordingly, the electronic device according to various embodiments of the present disclosure may determine an encryption target block among a plurality of blocks stored in the disk device, and encrypt only data of a block corresponding to data that requires encryption. In addition, the present invention does not encrypt the block corresponding to the data for error solving, it is possible to easily correct the error when an error occurs. In addition, the present invention can encrypt a block corresponding to data requiring encryption, thereby providing a high level of security.
  • FIG. 1 is a block diagram of an electronic device and a network according to various embodiments of the present disclosure.
  • FIG. 2 is a block diagram of an electronic device according to various embodiments of the present disclosure.
  • FIG. 3 is a block diagram of a program module according to various embodiments of the present disclosure.
  • FIG. 4 is a block diagram illustrating a configuration of a program module according to various embodiments of the present disclosure.
  • FIG. 5 is a block diagram illustrating a configuration of an electronic device according to various embodiments of the present disclosure.
  • FIG. 6 is a flowchart illustrating a block encryption operation according to various embodiments of the present disclosure.
  • FIG. 7 is a conceptual diagram illustrating a block encryption operation according to various embodiments of the present disclosure.
  • FIG. 8 is a flowchart illustrating a block encryption information setting operation according to a file input / output request according to various embodiments of the present disclosure.
  • FIG. 9 is a diagram illustrating a block encryption operation according to a type of block according to various embodiments of the present disclosure.
  • FIG. 10 is a flowchart illustrating a block encryption operation according to various embodiments of the present disclosure.
  • FIG. 11 is a diagram illustrating a block encryption operation according to various embodiments of the present disclosure.
  • FIG. 12 is a flowchart illustrating an encryption operation according to a file system utility according to various embodiments of the present disclosure.
  • FIG. 13 is an exemplary diagram of an encryption operation corresponding to a file system utility according to various embodiments of the present disclosure.
  • FIG. 14 is a block diagram of an encryption module according to various embodiments of the present disclosure.
  • expressions such as “A or B,” “at least one of A or / and B,” or “one or more of A or / and B” may include all possible combinations of items listed together.
  • “A or B,” “at least one of A and B,” or “at least one of A or B,” includes (1) at least one A, (2) at least one B, Or (3) both of cases including at least one A and at least one B.
  • first,” “second,” “first,” or “second,” as used herein may modify various components, regardless of order and / or importance, and may form a component. It is used to distinguish it from other components and does not limit the components.
  • the first user device and the second user device may represent different user devices regardless of the order or importance.
  • the first component may be called a second component, and similarly, the second component may be renamed to the first component.
  • One component (such as a first component) is "(functionally or communicatively) coupled with / to" to another component (such as a second component) or " When referred to as “connected to”, it should be understood that any component may be directly connected to the other component or may be connected through another component (eg, a third component).
  • a component e.g., a first component
  • another component e.g., a second component
  • no other component e.g., a third component
  • the expression “configured to” as used in this document is, for example, “having the capacity to” depending on the context, for example, “suitable for,” “. It may be used interchangeably with “designed to,” “adapted to,” “made to,” or “capable of.”
  • the term “configured to” may not necessarily mean only “specifically designed to” in hardware. Instead, in some situations, the expression “device configured to” may mean that the device “can” along with other devices or components.
  • the phrase “processor configured (or configured to) perform A, B, and C” may be implemented by executing a dedicated processor (eg, an embedded processor) to perform its operation, or one or more software programs stored in a memory device. It may mean a general-purpose processor (eg, a CPU or an application processor) capable of performing corresponding operations.
  • An electronic device may include, for example, a smartphone, a tablet personal computer, a mobile phone, a video phone, and an e-book reader.
  • wearable devices may be accessory (e.g., watches, rings, bracelets, anklets, necklaces, eyeglasses, contact lenses, or head-mounted-devices (HMDs), textiles, or clothing integrated (e.g., It may include at least one of: an electronic garment, a body-attachable (eg, skin pad or tattoo), or a living implantable type (eg, an implantable circuit).
  • HMDs head-mounted-devices
  • the electronic device may be a home appliance.
  • Home appliances are, for example, televisions, digital video disk (DVD) players, audio, refrigerators, air conditioners, vacuum cleaners, ovens, microwaves, washing machines, air purifiers, set-top boxes, home automation controls Panel (home automation control panel), security control panel, TV box (e.g. Samsung HomeSync TM , Apple TV TM , or Google TV TM ), game console (e.g. Xbox TM , PlayStation TM ), electronic dictionary It may include at least one of an electronic key, a camcorder, or an electronic picture frame.
  • DVD digital video disk
  • the electronic device may include a variety of medical devices (e.g., various portable medical measuring devices such as blood glucose meters, heart rate monitors, blood pressure meters, or body temperature meters), magnetic resonance angiography (MRA), magnetic resonance imaging (MRI), Such as computed tomography (CT), imaging or ultrasound, navigation devices, satellite navigation systems (global navigation satellite systems), event data recorders (EDRs), flight data recorders (FDRs), and automotive infotainment ) Devices, ship's electronic equipment (e.g.
  • Point of sales, point of sales, or Internet of things may include at least one.
  • an electronic device may be a piece of furniture or a building / structure, an electronic board, an electronic signature receiving device, a projector, or various measuring devices (eg, Water, electricity, gas, or radio wave measuring instrument).
  • the electronic device may be a combination of one or more of the aforementioned various devices.
  • An electronic device according to an embodiment may be a flexible electronic device.
  • the electronic device according to an embodiment of the present disclosure is not limited to the above-described devices, and may include a new electronic device according to technology development.
  • the term user may refer to a person who uses an electronic device or a device (eg, an artificial intelligence electronic device) that uses an electronic device.
  • a device eg, an artificial intelligence electronic device
  • the electronic device 101 may include a bus 110, a processor 120, a memory 130, an input / output interface 150, a display 160, and a communication module 170.
  • the electronic device 101 may omit at least one of the components or additionally include other components.
  • the bus 110 may, for example, include circuitry that connects the components 110-170 to each other and communicates communications (eg, control messages and / or data) between the components.
  • communications eg, control messages and / or data
  • the processor 120 may include one or more of a central processing unit (CPU), an application processor (AP), or a communication processor (CP).
  • the processor 120 may execute, for example, an operation or data processing related to control and / or communication of at least one other component of the electronic device 101.
  • the memory 130 may include volatile and / or nonvolatile memory.
  • the memory 130 may store, for example, commands or data related to at least one other element of the electronic device 101.
  • the memory 130 may store software and / or a program 140.
  • the program 140 may be, for example, a kernel 141, middleware 143, an application programming interface (API) 145, an application program (or an “application”) 147, or the like. It may include. At least a portion of kernel 141, middleware 143, or API 145 may be referred to as an operating system (OS).
  • OS operating system
  • the kernel 141 may be a system resource (eg, used to execute an action or function implemented in, for example, other programs (eg, middleware 143, API 145, or application program 147).
  • the bus 110, the processor 120, or the memory 130 may be controlled or managed.
  • the kernel 141 may provide an interface for controlling or managing system resources by accessing individual components of the electronic device 101 from the middleware 143, the API 145, or the application program 147. Can be.
  • the middleware 143 may serve as an intermediary for allowing the API 145 or the application program 147 to communicate with the kernel 141 to exchange data.
  • the middleware 143 may process one or more work requests received from the application program 147 according to priority.
  • the middleware 143 may use system resources (eg, the bus 110, the processor 120, or the memory 130, etc.) of the electronic device 101 for at least one of the application programs 147. Priority can be given.
  • the middleware 143 may perform one or more work requests by scheduling or load balancing by processing one or more work requests according to the priority given to the at least one.
  • the API 145 is, for example, an interface for the application 147 to control a function provided by the kernel 141 or the middleware 143, for example, file control, window control, image processing, or text. It may include at least one interface or function (eg, a command) for control.
  • the input / output interface 150 may serve as, for example, an interface capable of transferring a command or data input from a user or another external device to other component (s) of the electronic device 101.
  • the input / output interface 150 may output commands or data received from other component (s) of the electronic device 101 to a user or another external device.
  • Display 160 may be, for example, a liquid crystal display (LCD), a light-emitting diode (LED) display, an organic light-emitting diode (OLED) display, or Microelectromechanical systems (MEMS) displays, or electronic paper displays.
  • the display 160 may display, for example, various contents (eg, text, images, videos, icons, symbols, etc.) to the user.
  • the display 160 may include a touch screen and may receive, for example, a touch, gesture, proximity, or hovering input using an electronic pen or a part of a user's body.
  • the communication module 170 may establish communication between, for example, the electronic device 101 and an external device (eg, the first external electronic device 102, the second external electronic device 104, or the server 106). Can be.
  • the communication module 170 may be connected to the network 462 through wireless or wired communication to communicate with an external device (eg, the second external electronic device 104 or the server 106).
  • Wireless communication is, for example, a cellular communication protocol, for example, long-term evolution (LTE), LTE Advance (LTE-A), code division multiple access (CDMA), wideband CDMA (WCDMA), UMTS (universal).
  • LTE long-term evolution
  • LTE-A LTE Advance
  • CDMA code division multiple access
  • WCDMA wideband CDMA
  • GSM global system for mobile communications
  • wireless communication may include, for example, near field communication 164.
  • the short range communication 164 may include, for example, at least one of wireless fidelity (WiFi), Bluetooth, near field communication (NFC), global navigation satellite system (GNSS), and the like.
  • GNSS may be, for example, among the Global Positioning System (GPS), the Global Navigation Satellite System (Glonass), the Beidou Navigation Satellite System (“Beidou”), or Galileo, the European global satellite-based navigation system. It may include at least one.
  • GPS Global Positioning System
  • Beidou Beidou Navigation Satellite System
  • Galileo the European global satellite-based navigation system. It may include at least one.
  • GPS Global Positioning System
  • the wired communication may include, for example, at least one of a universal serial bus (USB), a high definition multimedia interface (HDMI), a reduced standard232 (RS-232), a plain old telephone service (POTS), and the like.
  • the network 462 may include a telecommunications network, for example, at least one of a computer network (for example, a LAN or a WAN), the Internet, and a telephone network.
  • Each of the first and second external electronic devices 102 and 104 may be a device of the same or different type as the electronic device 101.
  • server 106 may comprise a group of one or more servers.
  • all or part of operations executed in the electronic device 101 may be executed in another or a plurality of electronic devices (for example, the electronic devices 102 and 104 or the server 106).
  • the electronic device 101 may instead execute or execute the function or service by itself, or at least some function associated therewith.
  • the other electronic device may request the requested function or The additional function may be executed and the result may be transmitted to the electronic device 101.
  • the electronic device 101 may provide the requested function or service by processing the received result as it is or additionally.
  • Cloud computing distributed computing, or client-server computing techniques can be used.
  • the electronic device 201 may include, for example, all or part of the electronic device 101 illustrated in FIG. 1.
  • the electronic device 201 may include one or more processors (eg, an application processor (AP) 210), a communication module 220, a subscriber identification module 224, a memory 230, a sensor module 240, and an input device ( 250, display 260, interface 270, audio module 280, camera module 291, power management module 295, battery 296, indicator 297, and motor 298.
  • AP application processor
  • the processor 210 may control, for example, a plurality of hardware or software components connected to the processor 210 by running an operating system or an application program, and may perform various data processing and operations.
  • the processor 210 may be implemented with, for example, a system on chip (SoC).
  • SoC system on chip
  • the processor 210 may further include a graphic processing unit (GPU) and / or an image signal processor.
  • the processor 210 may include at least some of the components illustrated in FIG. 2 (eg, the cellular module 221).
  • the processor 210 may load and process instructions or data received from at least one of other components (eg, nonvolatile memory) into volatile memory, and store various data in the nonvolatile memory. have.
  • the communication module 220 may have a configuration that is the same as or similar to that of the communication interface 170 of FIG. 1.
  • the communication module 220 may be, for example, a cellular module 221, a WiFi module 223, a Bluetooth module 225, a GNSS module 227 (eg, a GPS module, a Glonass module, a Beidou module, or a Galileo module). It may include an NFC module 228 and a radio frequency (RF) module 229.
  • RF radio frequency
  • the cellular module 221 may provide, for example, a voice call, a video call, a text service, or an internet service through a communication network. According to an embodiment, the cellular module 221 may perform identification and authentication of the electronic device 201 in a communication network by using a subscriber identification module (eg, a SIM card) 224. According to an embodiment, the cellular module 221 may perform at least some of the functions that the processor 210 may provide. According to an embodiment, the cellular module 221 may include a communication processor (CP).
  • CP communication processor
  • Each of the WiFi module 223, the Bluetooth module 225, the GNSS module 227, or the NFC module 228 may include, for example, a processor for processing data transmitted and received through the corresponding module.
  • at least some (eg, two or more) of the cellular module 221, the WiFi module 223, the Bluetooth module 225, the GNSS module 227, or the NFC module 228 may be one integrated chip. (IC) or in an IC package.
  • the RF module 229 may transmit / receive a communication signal (for example, an RF signal), for example.
  • the RF module 229 may include, for example, a transceiver, a power amp module (PAM), a frequency filter, a low noise amplifier (LNA), an antenna, or the like.
  • PAM power amp module
  • LNA low noise amplifier
  • at least one of the cellular module 221, the WiFi module 223, the Bluetooth module 225, the GNSS module 227, or the NFC module 228 may transmit and receive an RF signal through a separate RF module. Can be.
  • Subscriber identification module 224 may include, for example, a card that includes a subscriber identification module and / or an embedded SIM, and may include unique identification information (eg, an integrated circuit card identifier (ICCID)) or It may include subscriber information (eg, international mobile subscriber identity (IMSI)).
  • ICCID integrated circuit card identifier
  • IMSI international mobile subscriber identity
  • the memory 230 may include, for example, an internal memory 232 or an external memory 234.
  • the internal memory 232 may be, for example, volatile memory (eg, dynamic RAM (DRAM), static RAM (SRAM), or synchronous dynamic RAM (SDRAM), etc.), non-volatile memory (eg, non-volatile memory).
  • volatile memory eg, dynamic RAM (DRAM), static RAM (SRAM), or synchronous dynamic RAM (SDRAM), etc.
  • non-volatile memory eg, non-volatile memory.
  • SSD solid state drive
  • the external memory 234 may be a flash drive, for example, compact flash (CF), secure digital (SD), micro secure digital (Micro-SD), mini secure digital (Mini-SD), or extreme (xD). It may further include a digital, a multi-media card (MMC) or a memory stick (memory stick).
  • the external memory 234 may be functionally and / or physically connected to the electronic device 201 through various interfaces.
  • the sensor module 240 may measure, for example, a physical quantity or detect an operation state of the electronic device 201 and convert the measured or detected information into an electrical signal.
  • the sensor module 240 includes, for example, a gesture sensor 240A, a gyro sensor 240B, an air pressure sensor 240C, a magnetic sensor 240D, an acceleration sensor 240E, a grip sensor 240F, and a proximity sensor ( 240G), color sensor 240H (e.g., red (green, blue) sensor), biometric sensor 240I, temperature / humidity sensor 240J, illuminance sensor 240K, or UV (ultra violet) ) May include at least one of the sensors 240M.
  • the sensor module 240 may include, for example, an olfactory sensor, an electromyography sensor, an electroencephalogram sensor, an electrocardiogram sensor. And infrared (IR) sensors, iris sensors, and / or fingerprint sensors.
  • the sensor module 240 may further include a control circuit for controlling at least one or more sensors belonging therein.
  • the electronic device 201 further includes a processor configured to control the sensor module 240 as part of or separately from the processor 210, while the processor 210 is in a sleep state. The sensor module 240 may be controlled.
  • the input device 250 may be, for example, a touch panel 252, a (digital) pen sensor 254, a key 256, or an ultrasonic input device ( 258).
  • the touch panel 252 may use at least one of capacitive, resistive, infrared, or ultrasonic methods, for example.
  • the touch panel 252 may further include a control circuit.
  • the touch panel 252 may further include a tactile layer to provide a tactile response to the user.
  • the (digital) pen sensor 254 may be, for example, part of a touch panel or may include a separate sheet for recognition.
  • the key 256 may include, for example, a physical button, an optical key, or a keypad.
  • the ultrasonic input device 258 may detect ultrasonic waves generated by an input tool through a microphone (for example, the microphone 288) and check data corresponding to the detected ultrasonic waves.
  • Display 260 may include panel 262, hologram device 264, or projector 266.
  • the panel 262 may include a configuration that is the same as or similar to that of the display 160 of FIG. 1.
  • the panel 262 may be implemented to be, for example, flexible, transparent, or wearable.
  • the panel 262 may be configured as a single module with the touch panel 252.
  • the hologram 264 may show a stereoscopic image in the air by using interference of light.
  • the projector 266 may display an image by projecting light onto a screen.
  • the screen may be located inside or outside the electronic device 201.
  • the display 260 may further include a control circuit for controlling the panel 262, the hologram device 264, or the projector 266.
  • the interface 270 may be, for example, a high-definition multimedia interface (HDMI) 272, a universal serial bus (USB) 274, an optical interface 276, or a D-subminiature ) 278.
  • the interface 270 may be included in, for example, the communication interface 170 illustrated in FIG. 1.
  • interface 270 may be, for example, a mobile high-definition link (MHL) interface, a secure digital (SD) card / multi-media card (MMC) interface, or an IrDA (infrared). data association) may include a standard interface.
  • MHL mobile high-definition link
  • SD secure digital
  • MMC multi-media card
  • IrDA infrared
  • the audio module 280 may bilaterally convert, for example, a sound and an electrical signal. At least some components of the audio module 280 may be included in, for example, the input / output interface 150 illustrated in FIG. 1.
  • the audio module 280 may process sound information input or output through, for example, a speaker 282, a receiver 284, an earphone 286, a microphone 288, or the like.
  • the camera module 291 is, for example, a device capable of capturing still images and moving images.
  • the camera module 291 may include one or more image sensors (eg, a front sensor or a rear sensor), a lens, and an image signal processor (ISP). Or flash (eg, LED or xenon lamp, etc.).
  • image sensors eg, a front sensor or a rear sensor
  • ISP image signal processor
  • flash eg, LED or xenon lamp, etc.
  • the power management module 295 may manage power of the electronic device 201, for example.
  • the power management module 295 may include a power management integrated circuit (PMIC), a charger integrated circuit (ICC), or a battery or fuel gauge.
  • the PMIC may have a wired and / or wireless charging scheme.
  • the wireless charging method may include, for example, a magnetic resonance method, a magnetic induction method, an electromagnetic wave method, or the like, and may further include additional circuits for wireless charging, such as a coil loop, a resonance circuit, a rectifier, and the like. have.
  • the battery gauge may measure, for example, the remaining amount of the battery 296, the voltage, the current, or the temperature during charging.
  • the battery 296 may include, for example, a rechargeable battery and / or a solar battery.
  • the indicator 297 may display a specific state of the electronic device 201 or a part thereof (for example, the processor 210), for example, a booting state, a message state, or a charging state.
  • the motor 298 may convert an electrical signal into mechanical vibrations, and may generate a vibration or haptic effect.
  • the electronic device 201 may include a processing device (eg, a GPU) for supporting mobile TV.
  • the processing device for supporting mobile TV may process media data according to a standard such as digital multimedia broadcasting (DMB), digital video broadcasting (DVB), or mediaFlo (TM).
  • DMB digital multimedia broadcasting
  • DVD digital video broadcasting
  • TM mediaFlo
  • the program module 310 (eg, the program 140) is an operating system (or operating system) and / or operating a resource related to the electronic device (eg, the electronic device 101). It may include various applications (for example, an application program 147) running on the system.
  • the operating system may be, for example, android, ios, windows, symbian, tizen, bada, or the like.
  • the program module 310 may include a kernel 320, middleware 330, an application programming interface (API) 360, and / or an application 370. At least a part of the program module 310 may be preloaded on the electronic device or may be downloaded from an external electronic device (eg, the electronic devices 102 and 104, the server 106, etc.).
  • API application programming interface
  • the kernel 320 may include, for example, a system resource manager 321 and / or a device driver 323.
  • the system resource manager 321 may perform control, allocation, or retrieval of system resources.
  • the system resource manager 321 may include a process manager, a memory manager, or a file system manager.
  • the device driver 323 may include, for example, a display driver, a camera driver, a Bluetooth driver, a shared memory driver, a USB driver, a keypad driver, a WiFi driver, an audio driver, or an inter-process communication (IPC) driver. .
  • IPC inter-process communication
  • the middleware 330 may provide various functions through the API 360, for example, to provide functions commonly required by the application 370, or to allow the application 370 to efficiently use limited system resources inside the electronic device. Functions may be provided to the application 370.
  • the middleware 330 eg, the middleware 143 may include a runtime library 335, an application manager 341, a window manager 342, and a multimedia manager. 343, resource manager 344, power manager 345, database manager 346, package manager 347, connectivity manager (348), a notification manager (349), a location manager (350), a graphic manager (351), or a security manager (352) can do.
  • the runtime library 335 may include, for example, a library module that the compiler uses to add new functionality through the programming language while the application 370 is running.
  • the runtime library 335 may perform input / output management, memory management, or a function for an arithmetic function.
  • the application manager 341 may manage, for example, a life cycle of at least one of the applications 370.
  • the window manager 342 may manage GUI resources used on the screen.
  • the multimedia manager 343 may grasp formats required for playing various media files and perform encoding or decoding of media files using a codec suitable for the format.
  • the resource manager 344 may manage resources such as source code, memory, or storage space of at least one of the applications 370.
  • the power manager 345 may operate together with a basic input / output system (BIOS) to manage a battery or power, and provide power information necessary for the operation of the electronic device.
  • the database manager 346 may generate, search for, or change a database to be used by at least one of the applications 370.
  • the package manager 347 may manage installation or update of an application distributed in the form of a package file.
  • the connection manager 348 may manage, for example, a wireless connection such as WiFi or Bluetooth. Notification manager 349 may display or notify events such as arrival messages, appointments, proximity notifications, and the like in a manner that does not disturb the user.
  • the location manager 350 may manage location information of the electronic device.
  • the graphic manager 351 may manage graphic effects to be provided to the user or a user interface related thereto.
  • the security manager 352 may provide various security functions required for system security or user authentication. According to an embodiment of the present disclosure, when the electronic device (for example, the electronic device 101) includes a telephone function, the middleware 330 further includes a telephone manager for managing a voice or video call function of the electronic device. can do.
  • the middleware 330 may include a middleware module that forms a combination of various functions of the above-described components.
  • the middleware 330 may provide a module specialized for each type of OS in order to provide a differentiated function.
  • the middleware 330 may dynamically delete some of the existing components or add new components.
  • API 360 (eg, API 145) is, for example, a set of API programming functions, which may be provided in different configurations depending on the operating system. For example, in the case of Android or iOS, one API set may be provided for each platform, and in Tizen, two or more API sets may be provided for each platform.
  • the application 370 may be, for example, a home 371, a dialer 372, an SMS / MMS 373, an instant message (374), a browser 375, Camera 376, Alarm 377, Contact 378, Voice Dial 379, Email 380, Calendar 381, Media Player 382, Album 383, or Clock 384, Healthcare or one or more applications capable of performing functions such as health care (eg, measuring exercise amount or blood sugar) or providing environmental information (eg, providing barometric pressure, humidity, or temperature information).
  • health care eg, measuring exercise amount or blood sugar
  • environmental information eg, providing barometric pressure, humidity, or temperature information
  • the application 370 may be an application that supports information exchange between an electronic device (eg, the electronic device 101) and an external electronic device (eg, the electronic devices 102 and 104).
  • the "information exchange application” may be included.
  • the information exchange application may include, for example, a notification relay application for delivering specific information to an external electronic device, or a device management application for managing the external electronic device.
  • the notification delivery application may include notification information generated by another application of the electronic device (eg, an SMS / MMS application, an email application, a health care application, or an environmental information application). , 104)). Also, the notification delivery application may receive notification information from an external electronic device and provide the notification information to a user, for example.
  • another application of the electronic device eg, an SMS / MMS application, an email application, a health care application, or an environmental information application. , 104)
  • the notification delivery application may receive notification information from an external electronic device and provide the notification information to a user, for example.
  • the device management application may, for example, turn at least one function of an external electronic device (eg, the electronic devices 102 and 104) in communication with the electronic device (eg, turn on the external electronic device itself (or some component part). On / turn-off or adjust the brightness (or resolution) of the display, manage applications (e.g., install, delete), applications running on an external electronic device or services provided by the external electronic device (e.g., call service or message service) , Or update).
  • an external electronic device e.g, the electronic devices 102 and 104
  • manage applications e.g., install, delete
  • applications running on an external electronic device or services provided by the external electronic device e.g., call service or message service
  • the application 370 may include an application (eg, a health care application of a mobile medical device, etc.) designated according to an attribute of the external electronic device (eg, the electronic devices 102 and 104).
  • the application 370 may include an application received from an external electronic device (for example, the server 106 or the electronic devices 102 and 104). May include a preloaded application or a third party application downloadable from a server, etc.
  • the names of the components of the program module 310 according to the embodiment illustrated in FIG. Therefore, it may vary.
  • At least part of the program module 310 may be implemented in software, firmware, hardware, or a combination of two or more thereof. At least a part of the program module 310 may be implemented (for example, executed) by, for example, a processor (for example, the processor 210). At least a part of the program module 310 may include, for example, a module, a program, a routine, sets of instructions, or a process for performing one or more functions.
  • FIG. 4 is a block diagram illustrating a configuration of a program module according to various embodiments of the present disclosure.
  • the program module 400 conceptually operates in an application program 420 and a kernel address space operating in a user address space on virtual memory. It may be divided into a system 430.
  • the application 420 may refer to programs that operate in the user address space, that is, user processes.
  • the application 420 may include a plurality of processes.
  • the application 420 may include a first process 421, a second process 422, and an nth process 429. Each process 421, 422, 429 may have its own independent address space.
  • the application 420 may create a memory space (buffer) in its address space to read an arbitrary file from the kernel's file system or to write a file to the file system.
  • the application 420 may correspond to the application 370, the API 360, and the middleware 330 of FIG. 3.
  • the operating system 430 may correspond to the kernel 320 of FIG. 3. According to various embodiments of the present disclosure, the operating system 430 may include a system call interface 440, a virtual file system 450, a file system 480, and a block layer 490.
  • the operating system 430 may further include a file system other than the virtual file system 450 and the file system 480 described above.
  • the system call interface 440 is an interface that allows an application program 420 in a user domain to use operating system 430 functions of a kernel domain, and at least one process can access the resources and / or hardware of the kernel. Can provide functionality.
  • the virtual file system 450 may provide a file system interface to the application 420.
  • virtual file system 450 may allow an application program to access any kind of file system in the same way.
  • the virtual file system 450 may mean an abstraction layer on an actual file system.
  • the file system 480 may store data of a file in the storage 540 through the block layer 490 and input / output data (I / 0).
  • the file system 480 may organize and manage data of a file in a predetermined size unit called a 'block' or a 'cluster', and the data in the block hierarchy 940 in a corresponding constant size unit (or an integer multiple of a constant size). I / O can be input and output.
  • the file data managed by the file system 480 may be composed of meta data generated by the file system and user data input / output by an application program. In the remainder of the present invention, data in block units managed by the file system may be referred to as “data.
  • the data block corresponding to the metadata of the file, among the file, may be represented as a “meta data block” and the data block corresponding to the user data may be expressed as a “normal data block”.
  • the file system 480 may distinguish various types of files by the file system itself.
  • the file system 480 may distinguish various types of files, such as regular files, directories, and link files, and store them in storage.
  • the type of the file system 480 is not limited to a specific file system.
  • various file systems of various operating systems such as FAT file system of Windows operating system or Ext file system of Linux, can be used in the present invention.
  • the data size unit managed by the file system and its type are described in terms of 'block' (e.g., meta data block and general data block), but different terms (e.g. ') Can be used.
  • file system 480 may include a plurality of file systems.
  • file system 480 may include stackable file systems on which a plurality of file systems are mounted.
  • the block layer 490 is a virtualization of at least some memory areas including at least one storage 540 as a 'block device' layer.
  • the block layer 490 is a storage unit 540 in a certain size unit (for example, a block) or an integer multiple thereof (for example, an array of blocks) when the storage 540 and an input / output (I / O) operation are performed. Data can be input and output to
  • the unit name for the predetermined size may use other terms such as 'cluster' or 'sector' in addition to 'block' depending on the type of file system or storage.
  • 'block' eg, block unit, block device, block encryption device
  • 'block' is used as a representative, but is not intended to be limited to a specific term.
  • the block layer 490 may further include a block encryption module.
  • the block layer 490 may activate (load or mount) the block encryption module 790 to encrypt / decrypt data of a block input and output at an upper or lower layer.
  • the encryption / decryption of data (via software or dedicated hardware) may be performed in the block layer 490, or the block layer 490 may be set to perform encryption / decryption of data. A role may be played.
  • encryption / decryption of data may be performed outside the block layer 490 (eg, at the time of DMA or within storage).
  • 'block device' may mean a device virtualized by a 'block layer'. That is, the file system may input / output data of a file in block units to the “block device”.
  • 'block encryption device' may mean a device virtualized by a 'block layer in which the block encryption module 790 is activated'. That is, the file system may input / output data of a file in block units to the 'block encryption device'.
  • the block layer 490 can include a block device driver that provides an interface with at least one device.
  • the block layer 490 may include a block device driver that provides an interface with the storage 540, which will be described later.
  • the block layer 490 when the block layer 490 performs I / O operations in a block unit (or an integer multiple thereof) to the storage 540, physical data copying between the memory areas is performed to the DMA module 530 which will be described later. Can be performed by
  • a 'block' may not only mean a specific size unit of data and a data storage space of the corresponding size unit, but also mean data stored in the data storage space.
  • encrypting a 'block' means encrypting data stored in the 'block'.
  • FIG. 5 is a block diagram illustrating a configuration of an electronic device according to various embodiments of the present disclosure.
  • the electronic device 500 may include, for example, a processor 510, a memory 520, a DMA module 530, and a storage 540.
  • the processor 510, the memory 520, the DMA module 530, and the storage 540 may be connected to the system bus 550.
  • the processor 510 may be the above-described processors 120 and 210 or may be part of the above-described processors 120 and 210.
  • the processor 591 may execute a code of the program module 400 described with reference to FIG. 4 to execute an instruction corresponding to the code.
  • the processor 510 may instruct the DMA module 530 to cause the DMA module 530 to copy data between the memory 520 and the storage 540.
  • the memory 520 may store codes and data of the program module 400 described with reference to FIG. 4.
  • the memory 520 may correspond to the volatile memory described with reference to FIGS. 1 and 2.
  • the memory 520 may include a plurality of buffers for storing data of the process 420 and the file system 480 and the block layer 490.
  • the direct memory access (DMA) module 530 is a module for transferring data between memory regions or between the memory 520 and the I / O device.
  • the DMA module 530 may set a channel in the memory 520 and the storage 540 to copy data by bypassing the processor 510.
  • the DMA module 530 may encrypt or decrypt data in the aforementioned direct memory access operation. This will be described later.
  • the DMA module 530 may be located inside the storage controller on the application processor (AP), but is not limited to a specific location.
  • the storage 540 is a data storage device and may correspond to the non-volatile memory and the recording medium described in FIGS. 1 and 2.
  • the storage 540 may be a universal flash storage (UFS) that is a flash memory or an embedded multi-media card (eMMC), an SD card, a UHS card, or a UFS card.
  • UFS universal flash storage
  • data of some blocks of all blocks of a file of a file system stored in the storage 540 may be encrypted and stored, and data of some other blocks may be stored without encryption.
  • the system bus 550 may be a path through which the processor 510, the memory 520, the DMA module 530, and the storage 540 exchange commands with other configurations and data.
  • the electronic device 101 selects at least a portion of a data block corresponding to a file based on at least one of a file type, a file access authority, a file user, and a group to which the file belongs, through a file tree scan of the file system. Can be encrypted.
  • the electronic device 101 checks the file type of all files included in the file system through a file tree scan of the file system, and the data block corresponding to the specific file type (eg, a regular file) You can decide to encrypt. This will be described in detail below.
  • FIG. 6 is a flowchart illustrating a block encryption operation according to various embodiments of the present disclosure.
  • the electronic device 101 may load the block encryption module 790 into the block layer 490 to encrypt the block device, for example. Accordingly, a block encryption device distinguished from an existing block device may be virtualized on software.
  • the block encryption module 790 may set to encrypt or decrypt at least one block or to encrypt / decrypt.
  • the electronic device 101 may set a user password or a user key as an encryption key for block encryption / decryption in the block encryption module 790.
  • the electronic device 101 may scan, for example, a file tree for at least one file stored in the storage 540.
  • the encryption conversion module 750 may scan a file tree for at least one file system stored in the storage 540 and check information on at least one file through a file tree scan. Can be.
  • the encryption conversion module 750 may scan the file tree and control to switch the encryption operation of the block encryption module 790.
  • the electronic device 101 may scan a file tree for at least one file stored in the storage 540 using various known algorithms and utility tools.
  • the encryption conversion module 750 may scan subordinate files and subdirectories from the root directory (or root file) of the file system stored in the storage 540. Accordingly, the encryption conversion module 750 may check additional information (eg, file type, file owner, file permission, file group) of each of at least some files included in the file system through a file tree scan.
  • the electronic device 101 may determine, for example, the encryption target file or the encryption target data block based on the scan result.
  • the electronic device 101 for example, the encryption conversion module 750 scans the file tree to identify a regular file among a plurality of file types included in the file system.
  • the data block belonging to the regular file can be determined as the encryption target.
  • the encryption conversion module 750 may determine only the general data block except the metadata block among the data blocks of the regular file as the encryption target.
  • the encryption conversion module 750 may scan a file tree to classify a directory file among a plurality of files included in a file system, and to identify a data block belonging to a directory file. It can be determined that it is not an encryption target.
  • the electronic device 101 for example, the encryption conversion module 750 scans a file tree and selects a file having a specific owner, a specific group, or a specific authority as an attribute from among a plurality of files included in the file system.
  • the data block belonging to may be determined as an encryption target or may not be determined as an encryption target.
  • the encryption conversion module 750 may determine that a file having an owner having a system authority or a root authority as an attribute is not an encryption target.
  • the electronic device 101 for example, the encryption conversion module 750 scans a file tree and belongs to a file under a specific location (directory) among a plurality of files included in the file system.
  • the block may be determined as an encryption target or may not be determined as an encryption target.
  • the encryption conversion module 750 may determine that a file under a location (directory) where an application program execution code file or a library file is stored is not an encryption target.
  • operations 630 and 650 are described as separate operations or divided steps for convenience, the data block to be encrypted may be determined during a file scan process.
  • the electronic device 101 may store information about a data block that is determined as an encryption target in operations 630 and 650 in an information data structure such as a data block bitmap.
  • the data block bitmap may be a bitmap in which blocks including at least some areas of the storage 540 are checked for encryption.
  • the electronic device 101 checks (or clears) each bit in a bitmap of 128 bytes (1024 bits) and checks (or clears) each bit for a storage having 1024 blocks of memory space. have.
  • the electronic device 101 may check (or clear) a bit of an encryption target block in the data block bitmap, and may refer to the storage structure by referring to the bitmap information data structure checked in operation 670.
  • Bulk encryption may be performed on the data blocks determined to be encrypted on the block 540.
  • the electronic device 101 may encrypt, for example, the block determined to be an encryption target.
  • the encryption conversion module 750 encrypts the data by reading the original data of the data block determined as the encryption target from the existing block device and writing it back to the block encryption device. can do.
  • the above-described data block bitmap data structure may be used.
  • the electronic device 101 may include, for example, an encryption conversion module 750, a block encryption module 790, and a storage 540.
  • the electronic device 101 may encrypt a block device corresponding to the electronic device 101 according to a user's selection or according to a setting of the electronic device 101 (eg, when the user first boots). Accordingly, the block device corresponding to the electronic device 101 may be converted to a block encryption device.
  • a determination operation for determining whether to be encrypted is required based on a file tree scan process and a scan result.
  • the encryption conversion module 750 may convert a block device into a block encryption device.
  • the encryption conversion module 750 may scan a file tree for at least one file (or file system) stored in the storage 540, and based on the scan result, at least one file It may be determined whether each of at least one block corresponding to is encrypted. Therefore, the encryption conversion module 750 may selectively encrypt the data blocks of the file when the block device is converted to the block encryption device.
  • the encryption conversion module 750 may read the original data stored in the storage 540 corresponding to the block device, and encrypt the read original data.
  • the encryption conversion module 750 may read original data from the block layer 780 and write to the block encryption module 790 to be described later.
  • the block encryption module 790 may encrypt the original data and write the stored data to the storage 540.
  • the block encryption module 790 may encrypt at least one block corresponding to at least one file.
  • the block encryption module 790 may decrypt the encrypted block.
  • the block encryption module 790 may encrypt or decrypt a plurality of consecutive blocks during I / O of a plurality of consecutive blocks.
  • the block encryption module 790 can be loaded into the block layer 780.
  • the block encryption module 790 may virtualize the block layer 780 with a block encryption device. Accordingly, the file system 480 may store the block encrypted through the block encryption module 790 in the storage 540.
  • the electronic device 101 may write a block or cluster corresponding to the scanned regular file to the block encryption module 790 and scan the file tree during the file tree scan process. After checking the block or cluster corresponding to the regular file, the block encryption module 790 may be written in a batch after the end of the scan. Thus, the block encryption module 790 may encrypt a block corresponding to the regular file scanned during the file tree scan process, and may collectively encrypt a block corresponding to the regular file after the scan ends.
  • the block encryption module 790 may virtualize at least a portion of the storage 540 with the block encryption device.
  • the electronic device 101 may virtualize a data partition 740 in which user data is stored on the storage 540 with a block encryption device.
  • the block layer 780 may refer to a layer that interfaces file data configured in the file system to the storage 540. Accordingly, data may be input or output in block units in the block layer 780.
  • the storage 540 may be a storage device targeted for a block encryption operation.
  • Some or all areas of the storage 540 may be mapped to block devices.
  • the program module 400 may mount the file system on the mapped block device. Accordingly, the program module 400 may access a file stored in the storage 540.
  • an electronic device may include a nonvolatile storage, a volatile memory, and a processor electrically connected to the storage and the memory, wherein the storage may be executed by the processor when the processor is configured to perform the operation on the memory.
  • Setting a block layer for virtualizing storage to a block device storing a file in block units in the set block layer, selectively encrypting the file stored in the block unit, in the block unit, and an encrypted block And instructions for storing at least one of an unencrypted block in the storage.
  • an operation method of an electronic device may include setting a block layer for virtualizing storage on a memory as a block device, storing a file in block units in the set block layer, and block unit. Selectively encrypting the file stored in at least one block unit, and storing at least one of an encrypted block and an unencrypted block in the storage.
  • a computer-readable storage medium may include: setting a block layer for virtualizing storage to a block device on a memory; storing the file in block units in the set block layer; Instructions for selectively encrypting the file in units of at least one block and storing at least one of an encrypted block and an unencrypted block in the storage, stored in units of blocks. .
  • the electronic device 101 may selectively perform encryption of a block based on block information about the block. This will be described in detail below.
  • FIG. 8 is a flowchart illustrating a block encryption information setting operation according to a file input / output request according to various embodiments of the present disclosure.
  • the file system 480 may receive a file input / output (I / O) request from the application program 910.
  • the file system 480 may determine whether to decrypt or decode according to the type of a block constituting the file corresponding to the file input / output request.
  • the block constituting the file corresponding to the file input / output request may be a plurality of blocks.
  • the block type constituting the file corresponding to the file input / output request may mean a block type of the file system.
  • the file system 480 may determine that the meta data block of the data blocks constituting the file is not an encryption / decryption target.
  • the file system 480 may determine a general data block among data blocks constituting the file as an encryption / decryption target.
  • the file system 480 may determine that a data block of a file belonging to a specific type is an encryption / decryption target or not an encryption / decryption target according to a file type classified internally. For example, the file system 480 may determine that data blocks constituting the regular file are to be decrypted and that data blocks constituting the directory file are not to be decrypted.
  • the file system 480 may determine that a data block belonging to a specific owner, a specific group, or a file having a specific authority as an attribute to be decrypted or not to be decrypted.
  • the encryption conversion module 750 may determine that a file having an owner having a system authority or a root authority as an attribute is not a target for decryption.
  • the file system 480 may determine that a data block belonging to a file under a specific location (directory) is an encryption / decryption target or is not an encryption / decryption target.
  • the encryption conversion module 750 may determine that the files included in the directory where the application program execution file or the library files are stored are not an encryption target.
  • the file system 480 may transmit encryption / decryption information on whether to decrypt the encryption determined in operation 830 to the block encryption module 790. .
  • the encryption / decryption information may be included in the block information and transmitted, or may be included in the block input / output interface (eg, included in a parameter parameter).
  • the block encryption module 790 may encrypt or decrypt the corresponding block on the basis of encryption / decryption information during block I / O.
  • FIG. 9 is a diagram illustrating a block encryption operation according to a type of block according to various embodiments of the present disclosure.
  • the application program 910 may request a file input or output from the file system 480.
  • the file system 480 may input or output at least one file according to a file I / O request of the application program 910.
  • the file corresponding to the file I / O request may include at least one block.
  • a file corresponding to a file I / O request may include at least one metadata block and at least one general data block within file system 480.
  • a file corresponding to a file I / O request may include at least one metadata block.
  • File system 480 may be any file system of the various file systems described above.
  • the block may be divided into metadata blocks 991 and 993 including metadata of a file and general data blocks 992 and 994 including general data rather than metadata.
  • the meta data blocks 991 and 993 may be blocks including meta data which is data for managing a file system.
  • the metadata blocks 991 and 993 include a super block, a group block descriptor, an inode, an index node or a file allocation table (FAT), and an indirection block. ), A data bitmap block, an inode bitmap block, and the like.
  • the general data blocks 992 and 994 may be blocks including general data rather than the aforementioned meta data.
  • the block encryption module 790 of the block layer 780 may operate as a bypass without encrypting the metadata blocks 991 and 993, and may encrypt or decrypt the general data blocks 992 and 994. For example, the block encryption module 790 does not encrypt the metadata block among at least one block for the file corresponding to the file input / output request based on the encryption / decryption information received from the file system 480, and does not encrypt the metadata. Normal data blocks, not blocks, can be encrypted. According to an embodiment, the block encryption module 790 may write an encrypted block corresponding to the general data blocks 992 and 994 to the data partition 740 of the storage 540.
  • the block encryption module 790 may write the bypassed blocks corresponding to the metadata blocks 991 and 993 to the data partition 740 of the storage 540. Accordingly, the electronic device 101 may store data in the data partition 740 by bypassing data corresponding to the metadata blocks 991 and 993 without encrypting the data, and corresponding to the general data blocks 992 and 994. May be encrypted and stored in the data partition 740. According to various embodiments of the present disclosure, according to various encryption / decryption determination policies of the file system described above with reference to FIG. 8 (based on the encryption / decryption information received from the file system), the block encryption module 790 selectively selects a block. It can be encrypted and decrypted.
  • the electronic device 101 may encrypt the verified block, and a non-encryption tag indicating that the encryption block is not encrypted is tagged.
  • the identified block may not be encrypted. This will be described with reference to FIGS. 10 and 11.
  • FIG. 10 is a flowchart illustrating a block encryption operation according to various embodiments of the present disclosure.
  • the electronic device 101 loads the block encryption module 790 into the block layer 780 to perform an encryption operation of the block encryption module 790 that performs encryption of a data block. (loading)
  • the electronic device 101 may check the tag information of a block that has been requested for input / output from an upper layer (eg, a file system).
  • the block encryption module 790 may check tag information of at least one block of a file corresponding to a block input / output file I / O request generated in a file system according to a file input / output request of the application program 910.
  • the tag information may be tag information including information about whether to decrypt or decode.
  • the tag information may be delivered together with the input / output request in the upper layer.
  • the tag information may be information stored in a part of storage or other memory.
  • tag information of blocks is pre-stored in the form of a block bitmap data structure, and a file system or a block encryption apparatus may read tag information of a desired block.
  • the electronic device 101 may, for example, encrypt the at least one block based on the checked tag information.
  • the block encryption module 790 may encrypt a block corresponding to the encryption tag if it is an encryption tag indicating that the identified tag is an encryption target.
  • the block encryption module 790 may not encrypt a block corresponding to the non-encryption tag if it is a non-encryption tag indicating that the identified tag is an unencryption target.
  • FIG. 11 is a diagram illustrating a block encryption operation based on tag information according to various embodiments of the present disclosure.
  • the file system 480 may include a first data block 1191 that requires encryption and a second data block 1192 that does not require encryption.
  • the file system 480 may tag the encryption tag in the first data block 1191 that requires encryption, and may tag the non-encrypted tag in the second data block 1192 that does not require encryption. Accordingly, the file system 480 may tag an encryption tag with respect to the first data block 1191 requiring encryption at the time of file input / output processing, and request an input / output request to the block device encryption module 790, which does not require encryption.
  • an unencrypted tag may be tagged to request input / output to the block device encryption module 790.
  • the file system 480 when the file system 480 requests input and output to the block encryption module 790 for at least one block, the file system 480 adds information on whether to encrypt the block to the bio (block i / o) structure, which is a block structure. May be passed to module 790.
  • the block encryption module 790 may encrypt or decrypt the first data block 1191 tagged with the encryption tag, and encrypt and store the first data block 1191 tagged with the encryption tag in the data partition 740. have.
  • the block encryption module 790 may encrypt bypass the second data block 1192 tagged with the non-encryption tag so as not to encrypt it, and encrypt the bypass of the second data block 1192 tagged with the non-encryption tag, Data partition 740.
  • the description of the above-described encryption tag is an example for description, and the electronic device 101 according to various embodiments of the present disclosure may transmit a tag indicating whether the block is encrypted to the block layer through various methods.
  • a tag indicating whether to encrypt may be tagged only in a block corresponding to either a block requiring encryption or a block requiring no encryption.
  • an electronic device may include a nonvolatile storage, a volatile memory, and a processor electrically connected to the storage and the memory, wherein the storage may be executed by the processor when the processor is configured to perform the operation on the memory.
  • An instruction for selectively encrypting or decrypting a block of a file may be stored.
  • an operation method of an electronic device may include encryption, tagged to the input or output request according to an operation of virtualizing storage on a memory as a block device and an input or output request for a file stored in the storage. And selectively encrypting or decrypting a block of a file corresponding to the input or output request based on an encryption tag indicating information about whether the information is present.
  • a computer-readable storage medium may be tagged with the input or output request according to an operation of virtualizing the storage to a block device on a memory and an input or output request for a file stored in the storage.
  • the controller may store a command for selectively encrypting or decrypting a block of a file corresponding to the input or output request based on an encryption tag indicating information about whether to encrypt or not.
  • the electronic device 101 may selectively perform encryption or decryption on a block when the file system utility is driven.
  • FIG. 12 is a flowchart illustrating an encryption operation according to a file system utility according to various embodiments of the present disclosure.
  • FIG. 13 is an exemplary diagram of an encryption operation corresponding to a file system utility according to various embodiments of the present disclosure.
  • the electronic device 101 may open the block encryption module 790.
  • the electronic device 101 may open the block encryption module 790 according to the driving of the file system utility, or may open the block encryption module 790 exclusively to the file system utility driven according to the driving of the file system utility.
  • the file system utility is a program resident in the user address space, and inputs or outputs to the storage 540 to the block layer 780 operating in the kernel, for example, the block encryption module 790. You can request
  • the input or output according to the file system utility may be implemented by I / O control (IOCTL) or system call.
  • the operation corresponding to driving the file system utility may include, for example, an operation corresponding to at least one of a file system error check, a file system recovery, a format tool, and a resize tool.
  • the electronic device 101 may set the encryption operation bypass on so that the block encryption module 790 does not perform the encryption operation. Accordingly, the block encryption module 790 may not perform an encryption operation on the block.
  • the electronic device 101 may perform an operation corresponding to the file system utility program 1410. According to various embodiments of the present disclosure, the electronic device 101 may perform an operation corresponding to the file system utility program 1410 in a bypass state in which the block encryption module 790 does not perform an encryption operation. Accordingly, according to various embodiments of the present disclosure, data input and output by the file system utility program 1410 through the block encryption apparatus may not be decrypted by the block encryption module 790. In various embodiments of the present disclosure, in operation corresponding to the file system utility program 1410, the electronic device 101 may exclusively open the mapped block device to the file system utility program 1410, thereby providing a file system. The collision caused by the operation can be prevented.
  • the electronic device 101 may set the encryption operation bypass off after performing an operation corresponding to the file system utility program 1410. Accordingly, the block encryption module 790 may perform an encryption operation on the data.
  • the electronic device 101 may close the open block encryption module 790.
  • the file system utility program 1310 may request an input or output to the storage 540.
  • the file system utility program 1310 may directly access a block hierarchy without requesting a file system and input / output data.
  • the file system utility program 1310 may request input / output of metadata block data among data generated and stored by the file system.
  • the file system utility program 1310 may control the block encryption module 790 not to perform an encryption operation through the encryption / decryption bypass interface 1330.
  • the encryption / decryption bypass interface 1330 may control the block encryption module 790 not to perform an encryption operation in response to a request of the file system utility program 1310.
  • the encryption / decryption bypass interface 1330 may control the block encryption module 790 to operate in a bypass mode, in which the encryption operation is not performed, in response to a request of the file system utility program 1310.
  • the encryption / decryption bypass interface 1330 may include an interface for relaying between the user address space and the kernel. For example, it may include an implementation in the form of a system call or IOCTL.
  • the block encryption module 790 may operate in a bypass mode that does not encrypt a block under the control of the I / O bypass module 1330. According to various embodiments of the present disclosure, the block encryption module 790 does not encrypt or decrypt data input / output corresponding to the file system utility program 1310, but encrypts and bypasses at least some area of the storage 540 (eg, Data stored in the data partition 740 may be read or written.
  • an electronic device may include a nonvolatile storage, a volatile memory, and a processor electrically connected to the storage and the memory, wherein the storage may be executed by the processor when the processor is configured to perform the operation on the memory.
  • Virtualize the storage with a block device selectively encrypt at least one block corresponding to a file stored in the virtualized storage, and store instructions that do not encrypt input or output according to a file system utility.
  • a method of operating an electronic device may include: virtualizing storage to a block device on a memory, selectively encrypting at least one block corresponding to a file stored in the virtualized storage, and a file system utility. It may include an operation of not encrypting an input or an output according to the driving.
  • a computer-readable storage medium may further include: encrypting storage on a memory with a block device, selectively encrypting at least one block corresponding to a file stored in the virtualized storage, and storing the file. Instructions for executing an operation that does not encrypt an input or an output according to the system utility may be stored.
  • an electronic device includes nonvolatile storage, volatile memory, and a processor electrically coupled to the storage and the memory, wherein the storage, when executed, is executed by the processor on the memory.
  • Setting a block layer for virtualizing the data storing the file in the memory as at least one block in the block layer, selectively encrypting the at least one block, and the file including the selectively encrypted block. Instructions for storing the data in the storage.
  • a recording medium readable by an electronic device may be configured to set a block layer for virtualizing storage functionally connected to the electronic device on a memory functionally connected to the electronic device, the file in the block layer. Storing a program in at least one block in the memory, selectively encrypting the at least one block, and storing the file including the selectively encrypted block in the storage. have.
  • the electronic device 101 may determine whether to encrypt the block corresponding to the file based on the attribute of the file, and may or may not encrypt the block corresponding to the file based on the determination result. According to various embodiments of the present disclosure, the electronic device 101 determines whether an encryption operation is performed based on at least one of a file path and a file name for a file, and encrypts or encrypts a block corresponding to the file based on the determination result. You can't.
  • the electronic device 101 may or may not encrypt a block corresponding to a file based on at least one of a file path and a file name at first booting or at a user's request.
  • the file system 490 may receive information on at least one of a file path and a file name corresponding to a file not to be encrypted through I / O control (IOCTL) or a system call.
  • IOCTL I / O control
  • the file system 490 may or may not encrypt at least one block corresponding to the at least one file based on at least one of the received file path and the file name.
  • the file name may mean a binary executed at runtime.
  • the file system 490 may not encrypt a file corresponding to a specific path or a file corresponding to a specific name among the plurality of files, and encrypt the remaining files.
  • the file path or file name may be a program execution file path or its name installed or downloaded to the electronic device 101.
  • the electronic device 101 when encrypting the storage 540 including a plurality of files, may not encrypt a block corresponding to a file that does not require encryption. Accordingly, the electronic device 101 according to various embodiments of the present disclosure can efficiently perform a storage encryption operation and improve an application program execution speed of the electronic device 101.
  • the electronic device 101 may include an encryption module 1400, and the encryption module 1400 may encrypt or decrypt a block.
  • the encryption module 1400 may be composed of software, hardware, firmware, or a combination thereof.
  • FIG. 14 is a block diagram of an encryption module according to various embodiments of the present disclosure.
  • the encryption module 1400 may include an encryption core 1410 and a DMA module 1430.
  • the encryption core 1410 may perform overall operations related to data encryption or decryption. For example, the encryption core 1410 may encrypt or decrypt at least one block.
  • the direct memory access (DMA) module 1430 transfers data between the memory 520 and the storage 540. It may correspond to the DMA module 530 of FIG. 5.
  • the encryption module 1400 may perform data encryption or decryption during data transmission using the direct memory access (DMA) module 1430.
  • the encryption module 1400 may include flash memory protector (FMP) hardware of Samsung Electronics.
  • FMP flash memory protector
  • the encryption module 1400 may be included in an application processor.
  • the encryption module 1400 may be included in a processor (eg, processors 120 and 210).
  • the encryption module 1400 may include a memory for storing at least one processor and firmware.
  • the encryption module 1400 may be implemented by some or all of the processor and a memory storing firmware.
  • the encryption module 1400 may mean an encryption circuit.
  • the electronic device 101 may perform the selective encryption operation of the block through the above-described block encryption module 790 through the encryption module 1400. Accordingly, the electronic device 101 may perform an encryption or decryption operation on a block for which DMA transmission is requested during DMA transmission. For example, as described above, the electronic device 101 may encrypt a data block for a regular file among various file types through the encryption module 1400. For example, as described above, the electronic device 101 may encrypt only the general data block, not the metadata block, through the encryption module 1400. For example, the electronic device 101 may perform a file tree scan based on at least one of a type of a scanned file, an access right corresponding to the scanned file, and a group to which the scanned file belongs.
  • the block may be selectively encrypted through the encryption module 1400.
  • the electronic device 101 may encrypt the block tagged with the encryption tag through the encryption module 1400, and the block tagged with the non-encrypted tag may bypass the encryption module 1400 so that the encryption module 1400 does not encrypt the block.
  • the electronic device 101 may prevent the encryption module 1400 from performing an encryption operation on an input or an output corresponding to the file system utility.
  • the electronic device 101 may provide an encryption execution menu through an application (eg, a setting application).
  • the electronic device 101 may encrypt a file (or data) stored in the electronic device 101 in response to a user input.
  • the electronic device 101 displays a menu corresponding to a method of encrypting an entire file stored in the electronic device 101 or a menu corresponding to a method of selectively encrypting a part of all files. 160).
  • the electronic device 101 may obtain a user input of a method of encrypting the entire file or a method of selectively encrypting some files of the entire file through the provided menu, and according to the obtained user input, the encryption operation described above. Can be performed.
  • the description of the electronic device 101 described above is not limited to a specific operating system, and may be applied to various operating systems. Accordingly, a specific term for one operating system used in the above description may mean another term corresponding to another operating system.
  • the description of the electronic device 101 described above is not limited to a specific file system system but may be applied to various file system systems. Accordingly, a specific term for one file system system used in the above description may mean another term corresponding to another file system system.
  • Each of the above-described elements of the electronic device may be configured with one or more components, and the name of the corresponding element may vary according to the type of the electronic device.
  • the electronic device may be configured to include at least one of the above-described components, and some components may be omitted or further include other additional components.
  • some of the components of the electronic device according to various embodiments of the present disclosure may be combined to form a single entity, and thus may perform the same functions of the corresponding components before being combined.
  • module may refer to a unit that includes one or a combination of two or more of hardware, software, or firmware.
  • a “module” may be interchangeably used with terms such as, for example, unit, logic, logical block, component, or circuit.
  • the module may be a minimum unit or part of an integrally constructed part.
  • the module may be a minimum unit or part of performing one or more functions.
  • the “module” can be implemented mechanically or electronically.
  • a “module” is one of application-specific integrated circuit (ASIC) chips, field-programmable gate arrays (FPGAs), or programmable-logic devices that perform certain operations, known or developed in the future. It may include at least one.
  • ASIC application-specific integrated circuit
  • FPGAs field-programmable gate arrays
  • At least a portion of an apparatus (e.g., modules or functions thereof) or method (e.g., operations) may be, for example, computer-readable storage media in the form of a program module. It can be implemented as a command stored in.
  • a processor e.g, the processor 120
  • one or more processors may perform a function corresponding to the instruction.
  • the computer-readable storage medium may be, for example, the memory 130.
  • the computer-readable recording medium may include a hard disk, a floppy disk, a magnetic medium (for example, magnetic tape), an optical media (for example, a compact disc read only memory (CD-ROM), a DVD). (digital versatile disc), magneto-optical media (such as floptical disk), hardware devices (such as read only memory, random access memory (RAM), or flash memory Etc.
  • the program instructions may include not only machine code generated by a compiler, but also high-level language code executable by a computer using an interpreter, etc.
  • the above-described hardware device may include It can be configured to operate as one or more software modules to perform the operations of the various embodiments, and vice versa.
  • Modules or program modules according to various embodiments may include at least one or more of the above components, some may be omitted, or further include other components. Operations performed by modules, program modules, or other components in accordance with various embodiments may be executed in a sequential, parallel, repetitive, or heuristic manner. In addition, some operations may be executed in a different order, may be omitted, or other operations may be added.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • User Interface Of Digital Computer (AREA)
  • Stored Programmes (AREA)

Abstract

전자 장치의 동작 방법이 개시된다. 일 실시예에 의한 전자 장치의 동작 방법은 휘발성 메모리 상에 스토리지를 블록 장치로 가상화 하기 위한 블록 계층을 설정하는 동작, 설정된 블록 계층에, 파일을 블록 단위로 저장하는 동작, 블록 단위로 저장된, 파일을, 적어도 하나의 블록 단위로, 선택적으로 암호화하는 동작 및 암호화된 블록 및 암호화되지 않은 블록 중 적어도 하나를 스토리지에 저장하는 동작을 포함할 수 있다.

Description

선택적 암호화 방법 및 그를 이용한 전자 장치
본 발명의 다양한 실시예들은 전자 장치 및 그 동작 방법에 관한 것으로, 예를 들면, 스토리지에 저장되는 파일에 대한 블록을 선택적으로 암호화하는 전자 장치 및 그 동작 방법에 관한 것이다.
전자 장치는 운영 체제(operating system)의 파일 시스템을 통해 메모리에 파일을 구성하고, 파일을 읽고 쓸 수 있다.
데이터 보안 문제가 중요시됨에 따라, 다양한 형태의 메모리 또는 스토리지에 저장되는 파일의 데이터를 암호화하는 암호화 기능이 제공되고 있다.
디스크 장치와 같은 스토리지를 암호화 하는 방법으로는 디스크 장치 전체를 암호화하는 디스크 암호화 방법이 있으며, 전자 장치에서 디스크 장치가 물리적으로 제거된 뒤 또는 운영체제가 비활성화된 상태에서도 디스크 장치에 저장된 데이터를 보호할 수 있어서, 뛰어난 보안 성능을 제공할 수 있다.
디스크 암호화 방법은 디스크 장치에 블록 단위로 데이터를 입력 또는 출력하기 때문에, 이러한 디스크 장치 암호화 방법을 블록 장치 암호화라고도 한다.
일반적인 블록 장치 암호화 방식은 암호화 대상이 되는 블록 장치인 디스크 장치 전체를 암호화 함에 따라, 오류 분석을 위한 데이터까지 암호화되어서 블록 장치 또는 블록 장치가 포함된 시스템의 불안정으로 인한 파일 시스템의 오류를 분석하기 어렵다.
또한, 일반적인 블록 장치 암호화 방식은 암호화 대상이 되는 블록 장치에 저장된 블록 전체를 암호화하므로, 암호화 또는 복호화 동작이 비효율적일 수 있다.
본 발명의 다양한 실시예에서는, 블록을 선택적으로 암호화하여, 파일 시스템의 오류 등을 분석하기 위한 블록은 암호화를 수행하지 않을 수 있다.
또한, 본 발명의 다양한 실시예에서는, 다양한 기준을 기초로 복수의 데이터 중 암호화할 데이터를 판단하고, 판단 결과를 기초로 블록 암호화 동작을 수행할 수 있다.
또한, 본 발명의 다양한 실시예에서는, 블록 장치의 암호화와 관련된 동작을 효율적으로 수행할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치는, 비휘발성 스토리지; 휘발성 메모리; 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 가상화 하기 위한 블록 계층을 설정하고, 상기 설정된 블록 계층에 파일을 블록 단위로 저장하고, 상기 블록 단위로 저장된, 상기 파일의 적어도 일부를, 상기 블록 단위로, 선택적으로 암호화하고, 상기 파일의 나머지를 암호화하지 않고, 암호화된 블록 또는 상기 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하도록 하는 인스트럭션들을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치는, 비휘발성 스토리지; 휘발성 메모리; 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 블록 장치로 가상화하고, 상기 스토리지에 저장된 파일에 대한 입력 또는 출력 요청에 따라 상기 입력 또는 출력 요청에 태깅된, 암호화 여부에 대한 정보를 나타내는 암호화 태그를 기초로, 상기 입력 또는 출력 요청에 대응하는 파일의 블록을 선택적으로 암호화 또는 복호화하는 인스트럭션들을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치는, 비휘발성 스토리지; 휘발성 메모리; 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 블록 장치로 가상화하고, 상기 가상화된 스토리지에 저장된 파일에 대응하는 적어도 하나의 블록을 선택적으로 암호화하고, 파일 시스템 유틸리티 구동에 따른 입력 또는 출력에 대해서는 암호화하지 않는 인스트럭션들을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치의 동작 방법은, 메모리 상에 스토리지를 블록 장치로 가상화 하기 위한 블록 계층을 설정하는 동작; 상기 설정된 블록 계층에 파일을 블록 단위로 저장하는 동작; 상기 블록 단위로 저장된, 상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작; 및 암호화된 블록 및 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하는 동작을 포함할 수 있다.
본 발명의 다양한 실시예에 따라, 블록을 선택적으로 암호화할 수 있는 전자 장치 및 그 동작 방법을 제공될 수 있다. 이에 따라, 본 발명의 다양한 실시예에 의한 전자 장치는 디스크 장치에 저장되는 복수의 블록 중 암호화 대상 블록을 판단하고, 암호화가 필요한 데이터에 대응하는 블록의 데이터만을 암호화할 수 있다. 또한, 본 발명은 오류 해결을 위한 데이터에 대응하는 블록은 암호화하지 않아서, 오류 발생 시, 오류를 용이하게 수정할 수 있다. 또한, 본 발명은 암호화가 필요한 데이터에 대응하는 블록은 암호화할 수 있어서, 높은 보안 수준을 제공할 수 있다.
도 1은 본 발명의 다양한 실시예에 따른 전자 장치 및 네트워크의 블록도를 도시한다.
도 2는 다양한 실시예에 따른 전자 장치의 블록도이다.
도 3은 다양한 실시예에 따른 프로그램 모듈의 블록도이다.
도 4는 본 발명의 다양한 실시예에 따른 프로그램 모듈의 구성을 나타내는 블록도이다.
도 5는 본 발명의 다양한 실시예에 따른 전자 장치의 구성을 나타내는 블록도이다.
도 6은 본 발명의 다양한 실시예에 따른 블록 암호화 동작에 대한 흐름도이다.
도 7은 본 발명의 다양한 실시예에 따른 블록 암호화 동작을 나타내는 개념도이다.
도 8은 본 발명의 다양한 실시예에 따른 파일 입출력 요청에 따른 블록 암호화 여부 정보 설정 동작에 대한 흐름도이다.
도 9는 본 발명의 다양한 실시예에 따른 블록의 종류에 따른 블록 암호화 동작에 대한 예시도이다.
도 10은 본 발명의 다양한 실시예에 따른 블록 암호화 동작에 대한 흐름도이다.
도 11은 본 발명의 다양한 실시예에 따른 블록 암호화 동작에 대한 예시도이다.
도 12는 본 발명의 다양한 실시예에 따른 파일 시스템 유틸리티에 따른 암호화 동작에 대한 흐름도이다.
도 13은 본 발명의 다양한 실시예에 따른 파일 시스템 유틸리티에 대응하는 암호화 동작에 대한 예시도이다.
도 14는 본 발명의 다양한 실시예에 따른 암호화 모듈의 블록도이다.
이하, 본 문서의 다양한 실시예가 첨부된 도면을 참조하여 기재된다. 그러나, 이는 본 문서에 기재된 기술을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 문서의 실시예의 다양한 변경(modifications), 균등물(equivalents), 및/또는 대체물(alternatives)을 포함하는 것으로 이해되어야 한다. 도면의 설명과 관련하여, 유사한 구성요소에 대해서는 유사한 참조 부호가 사용될 수 있다.
본 문서에서, "가진다," "가질 수 있다," "포함한다," 또는 "포함할 수 있다" 등의 표현은 해당 특징(예: 수치, 기능, 동작, 또는 부품 등의 구성요소)의 존재를 가리키며, 추가적인 특징의 존재를 배제하지 않는다.
본 문서에서, "A 또는 B," "A 또는/및 B 중 적어도 하나," 또는 "A 또는/및 B 중 하나 또는 그 이상"등의 표현은 함께 나열된 항목들의 모든 가능한 조합을 포함할 수 있다. 예를 들면, "A 또는 B," "A 및 B 중 적어도 하나," 또는 "A 또는 B 중 적어도 하나"는, (1) 적어도 하나의 A를 포함, (2) 적어도 하나의 B를 포함, 또는 (3) 적어도 하나의 A 및 적어도 하나의 B 모두를 포함하는 경우를 모두 지칭할 수 있다.
본 문서에서 사용된 "제 1," "제 2," "첫째," 또는 "둘째,"등의 표현들은 다양한 구성요소들을, 순서 및/또는 중요도에 상관없이 수식할 수 있고, 한 구성요소를 다른 구성요소와 구분하기 위해 사용될 뿐 해당 구성요소들을 한정하지 않는다. 예를 들면, 제 1 사용자 기기와 제 2 사용자 기기는, 순서 또는 중요도와 무관하게, 서로 다른 사용자 기기를 나타낼 수 있다. 예를 들면, 본 문서에 기재된 권리 범위를 벗어나지 않으면서 제 1 구성요소는 제 2 구성요소로 명명될 수 있고, 유사하게 제 2 구성요소도 제 1 구성요소로 바꾸어 명명될 수 있다.
어떤 구성요소(예: 제 1 구성요소)가 다른 구성요소(예: 제 2 구성요소)에 "(기능적으로 또는 통신적으로) 연결되어((operatively or communicatively) coupled with/to)" 있다거나 "접속되어(connected to)" 있다고 언급된 때에는, 상기 어떤 구성요소가 상기 다른 구성요소에 직접적으로 연결되거나, 다른 구성요소(예: 제 3 구성요소)를 통하여 연결될 수 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소(예: 제 1 구성요소)가 다른 구성요소(예: 제 2 구성요소)에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는, 상기 어떤 구성요소와 상기 다른 구성요소 사이에 다른 구성요소(예: 제 3 구성요소)가 존재하지 않는 것으로 이해될 수 있다.
본 문서에서 사용된 표현 "~하도록 구성된(또는 설정된)(configured to)"은 상황에 따라, 예를 들면, "~에 적합한(suitable for)," "~하는 능력을 가지는(having the capacity to)," "~하도록 설계된(designed to)," "~하도록 변경된(adapted to)," "~하도록 만들어진(made to)," 또는 "~를 할 수 있는(capable of)"과 바꾸어 사용될 수 있다. 용어 "~하도록 구성된(또는 설정된)"은 하드웨어적으로 "특별히 설계된(specifically designed to)" 것만을 반드시 의미하지 않을 수 있다. 대신, 어떤 상황에서는, "~하도록 구성된 장치"라는 표현은, 그 장치가 다른 장치 또는 부품들과 함께 "~할 수 있는" 것을 의미할 수 있다. 예를 들면, 문구 "A, B, 및 C를 수행하도록 구성된(또는 설정된) 프로세서"는 해당 동작을 수행하기 위한 전용 프로세서(예: 임베디드 프로세서), 또는 메모리 장치에 저장된 하나 이상의 소프트웨어 프로그램들을 실행함으로써, 해당 동작들을 수행할 수 있는 범용 프로세서(generic-purpose processor)(예: CPU 또는 application processor)를 의미할 수 있다.
본 문서에서 사용된 용어들은 단지 특정한 실시예를 설명하기 위해 사용된 것으로, 다른 실시예의 범위를 한정하려는 의도가 아닐 수 있다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함할 수 있다. 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 용어들은 본 문서에 기재된 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가질 수 있다. 본 문서에 사용된 용어들 중 일반적인 사전에 정의된 용어들은, 관련 기술의 문맥상 가지는 의미와 동일 또는 유사한 의미로 해석될 수 있으며, 본 문서에서 명백하게 정의되지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다. 경우에 따라서, 본 문서에서 정의된 용어일지라도 본 문서의 실시예들을 배제하도록 해석될 수 없다.
본 문서의 다양한 실시예들에 따른 전자 장치는, 예를 들면, 스마트폰(smartphone), 태블릿 PC(tablet personal computer), 이동 전화기(mobile phone), 영상 전화기, 전자책 리더기(e-book reader), 데스크탑 PC(desktop personal computer), 랩탑 PC(laptop personal computer), 넷북 컴퓨터(netbook computer), 워크스테이션(workstation), 서버, PDA(personal digital assistant), PMP(portable multimedia player), MP3 플레이어, 모바일 의료기기, 카메라(camera), 또는 웨어러블 장치(wearable device) 중 적어도 하나를 포함할 수 있다. 다양한 실시예에 따르면, 웨어러블 장치는 액세서리형(예: 시계, 반지, 팔찌, 발찌, 목걸이, 안경, 콘택트 렌즈, 또는 머리 착용형 장치(head-mounted-device(HMD), 직물 또는 의류 일체형(예: 전자 의복), 신체 부착형(예: 스킨 패드(skin pad) 또는 문신), 또는 생체 이식형(예: implantable circuit) 중 적어도 하나를 포함할 수 있다.
어떤 실시예들에서, 전자 장치는 가전 제품(home appliance)일 수 있다. 가전 제품은, 예를 들면, 텔레비전, DVD(digital video disk) 플레이어, 오디오, 냉장고, 에어컨, 청소기, 오븐, 전자레인지, 세탁기, 공기 청정기, 셋톱 박스(set-top box), 홈 오토매이션 컨트롤 패널(home automation control panel), 보안 컨트롤 패널(security control panel), TV 박스(예: 삼성 HomeSyncTM, 애플TVTM, 또는 구글 TVTM), 게임 콘솔(예: XboxTM, PlayStationTM), 전자 사전, 전자 키, 캠코더(camcorder), 또는 전자 액자 중 적어도 하나를 포함할 수 있다.
다른 실시예에서, 전자 장치는, 각종 의료기기(예: 각종 휴대용 의료측정기기(혈당 측정기, 심박 측정기, 혈압 측정기, 또는 체온 측정기 등), MRA(magnetic resonance angiography), MRI(magnetic resonance imaging), CT(computed tomography), 촬영기, 또는 초음파기 등), 네비게이션(navigation) 장치, 위성 항법 시스템(GNSS(global navigation satellite system)), EDR(event data recorder), FDR(flight data recorder), 자동차 인포테인먼트(infotainment) 장치, 선박용 전자 장비(예: 선박용 항법 장치, 자이로 콤파스 등), 항공 전자기기(avionics), 보안 기기, 차량용 헤드 유닛(head unit), 산업용 또는 가정용 로봇, 금융 기관의 ATM(automatic teller's machine), 상점의 POS(point of sales), 또는 사물 인터넷 장치(internet of things)(예: 전구, 각종 센서, 전기 또는 가스 미터기, 스프링클러 장치, 화재경보기, 온도조절기(thermostat), 가로등, 토스터(toaster), 운동기구, 온수탱크, 히터, 보일러 등) 중 적어도 하나를 포함할 수 있다.
어떤 실시예에 따르면, 전자 장치는 가구(furniture) 또는 건물/구조물의 일부, 전자 보드(electronic board), 전자 사인 수신 장치(electronic signature receiving device), 프로젝터(projector), 또는 각종 계측 기기(예: 수도, 전기, 가스, 또는 전파 계측 기기 등) 중 적어도 하나를 포함할 수 있다. 다양한 실시예에서, 전자 장치는 전술한 다양한 장치들 중 하나 또는 그 이상의 조합일 수 있다. 어떤 실시예에 따른 전자 장치는 플렉서블 전자 장치일 수 있다. 또한, 본 문서의 실시예에 따른 전자 장치는 전술한 기기들에 한정되지 않으며, 기술 발전에 따른 새로운 전자 장치를 포함할 수 있다.
이하, 첨부 도면을 참조하여, 다양한 실시예에 따른 전자 장치가 설명된다. 본 문서에서, 사용자라는 용어는 전자 장치를 사용하는 사람 또는 전자 장치를 사용하는 장치(예: 인공지능 전자 장치)를 지칭할 수 있다.
도 1을 참조하여, 다양한 실시예에서의, 네트워크 환경(100) 내의 전자 장치(101)가 기재된다. 전자 장치(101)는 버스(110), 프로세서(120), 메모리(130), 입출력 인터페이스(150), 디스플레이(160), 및 통신 모듈(170)을 포함할 수 있다. 어떤 실시예에서는, 전자 장치(101)는, 구성요소들 중 적어도 하나를 생략하거나 다른 구성요소를 추가적으로 구비할 수 있다.
버스(110)는, 예를 들면, 구성요소들(110-170)을 서로 연결하고, 구성요소들 간의 통신(예: 제어 메시지 및/또는 데이터)을 전달하는 회로를 포함할 수 있다.
프로세서(120)는, 중앙처리장치(central processing unit(CPU)), 어플리케이션 프로세서(application processor(AP)), 또는 커뮤니케이션 프로세서(communication processor(CP)) 중 하나 또는 그 이상을 포함할 수 있다. 프로세서(120)는, 예를 들면, 전자 장치(101)의 적어도 하나의 다른 구성요소들의 제어 및/또는 통신에 관한 연산이나 데이터 처리를 실행할 수 있다.
메모리(130)는, 휘발성 및/또는 비휘발성 메모리를 포함할 수 있다. 메모리(130)는, 예를 들면, 전자 장치(101)의 적어도 하나의 다른 구성요소에 관계된 명령 또는 데이터를 저장할 수 있다. 한 실시예에 따르면, 메모리(130)는 소프트웨어 및/또는 프로그램(140)을 저장할 수 있다. 프로그램(140)은, 예를 들면, 커널(141), 미들웨어(143), 어플리케이션 프로그래밍 인터페이스(application programming interface(API))(145), 및/또는 어플리케이션 프로그램(또는 "어플리케이션")(147) 등을 포함할 수 있다. 커널(141), 미들웨어(143), 또는 API(145)의 적어도 일부는, 운영 시스템(operating system(OS))으로 지칭될 수 있다.
커널(141)은, 예를 들면, 다른 프로그램들(예: 미들웨어(143), API(145), 또는 어플리케이션 프로그램(147))에 구현된 동작 또는 기능을 실행하는 데 사용되는 시스템 리소스들(예: 버스(110), 프로세서(120), 또는 메모리(130) 등)을 제어 또는 관리할 수 있다. 또한, 커널(141)은 미들웨어(143), API(145), 또는 어플리케이션 프로그램(147)에서 전자 장치(101)의 개별 구성요소에 접근함으로써, 시스템 리소스들을 제어 또는 관리할 수 있는 인터페이스를 제공할 수 있다.
미들웨어(143)는, 예를 들면, API(145) 또는 어플리케이션 프로그램(147)이 커널(141)과 통신하여 데이터를 주고받을 수 있도록 중개 역할을 수행할 수 있다.
또한, 미들웨어(143)는 어플리케이션 프로그램(147)으로부터 수신된 하나 이상의 작업 요청들을 우선 순위에 따라 처리할 수 있다. 예를 들면, 미들웨어(143)는 어플리케이션 프로그램(147) 중 적어도 하나에 전자 장치(101)의 시스템 리소스(예: 버스(110), 프로세서(120), 또는 메모리(130) 등)를 사용할 수 있는 우선 순위를 부여할 수 있다. 예컨대, 미들웨어(143)는 적어도 하나에 부여된 우선 순위에 따라 하나 이상의 작업 요청들을 처리함으로써, 하나 이상의 작업 요청들에 대한 스케쥴링 또는 로드 밸런싱 등을 수행할 수 있다.
API(145)는, 예를 들면, 어플리케이션(147)이 커널(141) 또는 미들웨어(143)에서 제공되는 기능을 제어하기 위한 인터페이스로, 예를 들면, 파일 제어, 창 제어, 영상 처리, 또는 문자 제어 등을 위한 적어도 하나의 인터페이스 또는 함수(예: 명령어)를 포함할 수 있다.
입출력 인터페이스(150)는, 예를 들면, 사용자 또는 다른 외부 기기로부터 입력된 명령 또는 데이터를 전자 장치(101)의 다른 구성요소(들)에 전달할 수 있는 인터페이스의 역할을 할 수 있다. 또한, 입출력 인터페이스(150)는 전자 장치(101)의 다른 구성요소(들)로부터 수신된 명령 또는 데이터를 사용자 또는 다른 외부 기기로 출력할 수 있다.
디스플레이(160)는, 예를 들면, 액정 디스플레이(liquid crystal display(LCD)), 발광 다이오드(light-emitting diode(LED)) 디스플레이, 유기 발광 다이오드(organic light-emitting diode(OLED)) 디스플레이, 또는 마이크로 전자기계 시스템(microelectromechanical systems(MEMS)) 디스플레이, 또는 전자종이(electronic paper) 디스플레이를 포함할 수 있다. 디스플레이(160)는, 예를 들면, 사용자에게 각종 콘텐츠(예: 텍스트, 이미지, 비디오, 아이콘, 또는 심볼 등)을 표시할 수 있다. 디스플레이(160)는, 터치 스크린을 포함할 수 있으며, 예를 들면, 전자 펜 또는 사용자의 신체의 일부를 이용한 터치, 제스쳐, 근접, 또는 호버링 입력을 수신할 수 있다.
통신 모듈(170)은, 예를 들면, 전자 장치(101)와 외부 장치(예: 제 1 외부 전자 장치(102), 제 2 외부 전자 장치(104), 또는 서버(106)) 간의 통신을 설정할 수 있다. 예를 들면, 통신 모듈(170)은 무선 통신 또는 유선 통신을 통해서 네트워크(462)에 연결되어 외부 장치(예: 제 2 외부 전자 장치(104) 또는 서버(106))와 통신할 수 있다.
무선 통신은, 예를 들면, 셀룰러 통신 프로토콜로서, 예를 들면, LTE(long-term evolution), LTE-A(LTE Advance), CDMA(code division multiple access), WCDMA(wideband CDMA), UMTS(universal mobile telecommunications system), WiBro(Wireless Broadband), 또는 GSM(Global System for Mobile Communications) 등 중 적어도 하나를 사용할 수 있다. 또한, 무선 통신은, 예를 들면, 근거리 통신(164)을 포함할 수 있다. 근거리 통신(164)은, 예를 들면, WiFi(wireless fidelity), 블루투스(Bluetooth), NFC(near field communication), 또는 GNSS(global navigation satellite system) 등 중 적어도 하나를 포함할 수 있다. GNSS는 사용 지역 또는 대역폭 등에 따라, 예를 들면, GPS(Global Positioning System), Glonass(Global Navigation Satellite System), Beidou Navigation Satellite System(이하 "Beidou") 또는 Galileo, the European global satellite-based navigation system 중 적어도 하나를 포함할 수 있다. 이하, 본 문서에서는, "GPS"는 "GNSS"와 혼용되어 사용(interchangeably used)될 수 있다. 유선 통신은, 예를 들면, USB(universal serial bus), HDMI(high definition multimedia interface), RS-232(recommended standard232), 또는 POTS(plain old telephone service) 등 중 적어도 하나를 포함할 수 있다. 네트워크(462)는 통신 네트워크(telecommunications network), 예를 들면, 컴퓨터 네트워크(computer network)(예: LAN 또는 WAN), 인터넷, 또는 전화 망(telephone network) 중 적어도 하나를 포함할 수 있다.
제 1 및 제 2 외부 전자 장치(102, 104) 각각은 전자 장치(101)와 동일한 또는 다른 종류의 장치일 수 있다. 한 실시예에 따르면, 서버(106)는 하나 또는 그 이상의 서버들의 그룹을 포함할 수 있다. 다양한 실시예에 따르면, 전자 장치(101)에서 실행되는 동작들의 전부 또는 일부는 다른 하나 또는 복수의 전자 장치(예: 전자 장치(102,104), 또는 서버(106)에서 실행될 수 있다. 한 실시예에 따르면, 전자 장치(101)가 어떤 기능이나 서비스를 자동으로 또는 요청에 의하여 수행해야 할 경우에, 전자 장치(101)는 기능 또는 서비스를 자체적으로 실행시키는 대신에 또는 추가적으로, 그와 연관된 적어도 일부 기능을 다른 장치(예: 전자 장치(102, 104), 또는 서버(106))에게 요청할 수 있다. 다른 전자 장치(예: 전자 장치(102, 104), 또는 서버(106))는 요청된 기능 또는 추가 기능을 실행하고, 그 결과를 전자 장치(101)로 전달할 수 있다. 전자 장치(101)는 수신된 결과를 그대로 또는 추가적으로 처리하여 요청된 기능이나 서비스를 제공할 수 있다. 이를 위하여, 예를 들면, 클라우드 컴퓨팅, 분산 컴퓨팅, 또는 클라이언트-서버 컴퓨팅 기술이 이용될 수 있다.
도 2는 다양한 실시예에 따른 전자 장치(201)의 블록도이다. 전자 장치(201)는, 예를 들면, 도 1에 도시된 전자 장치(101)의 전체 또는 일부를 포함할 수 있다. 전자 장치(201)는 하나 이상의 프로세서(예: AP(application processor))(210), 통신 모듈(220), (가입자 식별 모듈(224), 메모리(230), 센서 모듈(240), 입력 장치(250), 디스플레이(260), 인터페이스(270), 오디오 모듈(280), 카메라 모듈(291), 전력 관리 모듈(295), 배터리(296), 인디케이터(297), 및 모터(298) 를 포함할 수 있다.
프로세서(210)는, 예를 들면, 운영 체제 또는 응용 프로그램을 구동하여 프로세서(210)에 연결된 다수의 하드웨어 또는 소프트웨어 구성요소들을 제어할 수 있고, 각종 데이터 처리 및 연산을 수행할 수 있다. 프로세서(210)는, 예를 들면, SoC(system on chip) 로 구현될 수 있다. 한 실시예에 따르면, 프로세서(210)는 GPU(graphic processing unit) 및/또는 이미지 신호 프로세서(image signal processor)를 더 포함할 수 있다. 프로세서(210)는 도 2에 도시된 구성요소들 중 적어도 일부(예: 셀룰러 모듈(221))를 포함할 수도 있다. 프로세서(210)는 다른 구성요소들(예: 비휘발성 메모리) 중 적어도 하나로부터 수신된 명령 또는 데이터를 휘발성 메모리에 로드(load)하여 처리하고, 다양한 데이터를 비휘발성 메모리에 저장(store)할 수 있다.
통신 모듈(220)은, 도 1의 통신 인터페이스(170)와 동일 또는 유사한 구성을 가질 수 있다. 통신 모듈(220)은, 예를 들면, 셀룰러 모듈(221), WiFi 모듈(223), 블루투스 모듈(225), GNSS 모듈(227)(예: GPS 모듈, Glonass 모듈, Beidou 모듈, 또는 Galileo 모듈), NFC 모듈(228) 및 RF(radio frequency) 모듈(229)를 포함할 수 있다.
셀룰러 모듈(221)은, 예를 들면, 통신망을 통해서 음성 통화, 영상 통화, 문자 서비스, 또는 인터넷 서비스 등을 제공할 수 있다. 한 실시예에 따르면, 셀룰러 모듈(221)은 가입자 식별 모듈(예: SIM 카드)(224)을 이용하여 통신 네트워크 내에서 전자 장치(201)의 구별 및 인증을 수행할 수 있다. 한 실시예에 따르면, 셀룰러 모듈(221)은 프로세서(210)가 제공할 수 있는 기능 중 적어도 일부 기능을 수행할 수 있다. 한 실시예에 따르면, 셀룰러 모듈(221)은 커뮤니케이션 프로세서(CP: communication processor)를 포함할 수 있다.
WiFi 모듈(223), 블루투스 모듈(225), GNSS 모듈(227) 또는 NFC 모듈(228) 각각은, 예를 들면, 해당하는 모듈을 통해서 송수신되는 데이터를 처리하기 위한 프로세서를 포함할 수 있다. 어떤 실시예에 따르면, 셀룰러 모듈(221), WiFi 모듈(223), 블루투스 모듈(225), GNSS 모듈(227) 또는 NFC 모듈(228) 중 적어도 일부(예: 두 개 이상)는 하나의 integrated chip(IC) 또는 IC 패키지 내에 포함될 수 있다.
RF 모듈(229)은, 예를 들면, 통신 신호(예: RF 신호)를 송수신할 수 있다. RF 모듈(229)은, 예를 들면, 트랜시버(transceiver), PAM(power amp module), 주파수 필터(frequency filter), LNA(low noise amplifier), 또는 안테나 등을 포함할 수 있다. 다른 실시예에 따르면, 셀룰러 모듈(221), WiFi 모듈(223), 블루투스 모듈(225), GNSS 모듈(227) 또는 NFC 모듈(228) 중 적어도 하나는 별개의 RF 모듈을 통하여 RF 신호를 송수신할 수 있다.
가입자 식별 모듈(224)은, 예를 들면, 가입자 식별 모듈을 포함하는 카드 및/또는 내장 SIM(embedded SIM)을 포함할 수 있으며, 고유한 식별 정보(예: ICCID(integrated circuit card identifier)) 또는 가입자 정보(예: IMSI(international mobile subscriber identity))를 포함할 수 있다.
메모리(230)(예: 메모리(130))는, 예를 들면, 내장 메모리(232) 또는 외장 메모리(234)를 포함할 수 있다. 내장 메모리(232)는, 예를 들면, 휘발성 메모리(예: DRAM(dynamic RAM), SRAM(static RAM), 또는 SDRAM(synchronous dynamic RAM) 등), 비휘발성 메모리(non-volatile Memory)(예: OTPROM(one time programmable ROM), PROM(programmable ROM), EPROM(erasable and programmable ROM), EEPROM(electrically erasable and programmable ROM), mask ROM, flash ROM, 플래시 메모리(예: NAND flash 또는 NOR flash 등), 하드 드라이브, 또는 솔리드 스테이트 드라이브(solid state drive(SSD)) 중 적어도 하나를 포함할 수 있다.
외장 메모리(234)는 플래시 드라이브(flash drive), 예를 들면, CF(compact flash), SD(secure digital), Micro-SD(micro secure digital), Mini-SD(mini secure digital), xD(extreme digital), MMC(multi-media card) 또는 메모리 스틱(memory stick) 등을 더 포함할 수 있다. 외장 메모리(234)는 다양한 인터페이스를 통하여 전자 장치(201)와 기능적으로 및/또는 물리적으로 연결될 수 있다.
센서 모듈(240)은, 예를 들면, 물리량을 계측하거나 전자 장치(201)의 작동 상태를 감지하여, 계측 또는 감지된 정보를 전기 신호로 변환할 수 있다. 센서 모듈(240)은, 예를 들면, 제스처 센서(240A), 자이로 센서(240B), 기압 센서(240C), 마그네틱 센서(240D), 가속도 센서(240E), 그립 센서(240F), 근접 센서(240G), 컬러(color) 센서(240H)(예: RGB(red, green, blue) 센서), 생체 센서(240I), 온/습도 센서(240J), 조도 센서(240K), 또는 UV(ultra violet) 센서(240M) 중의 적어도 하나를 포함할 수 있다. 추가적으로 또는 대체적으로(additionally or alternatively), 센서 모듈(240)은, 예를 들면, 후각 센서(E-nose sensor), EMG 센서(electromyography sensor), EEG 센서(electroencephalogram sensor), ECG 센서(electrocardiogram sensor), IR(infrared) 센서, 홍채 센서 및/또는 지문 센서를 포함할 수 있다. 센서 모듈(240)은 그 안에 속한 적어도 하나 이상의 센서들을 제어하기 위한 제어 회로를 더 포함할 수 있다. 어떤 실시예에서는, 전자 장치(201)는 프로세서(210)의 일부로서 또는 별도로, 센서 모듈(240)을 제어하도록 구성된 프로세서를 더 포함하여, 프로세서(210)가 슬립(sleep) 상태에 있는 동안, 센서 모듈(240)을 제어할 수 있다.
입력 장치(250)는, 예를 들면, 터치 패널(touch panel)(252),(디지털) 펜 센서(pen sensor)(254), 키(key)(256), 또는 초음파(ultrasonic) 입력 장치(258)를 포함할 수 있다. 터치 패널(252)은, 예를 들면, 정전식, 감압식, 적외선 방식, 또는 초음파 방식 중 적어도 하나의 방식을 사용할 수 있다. 또한, 터치 패널(252)은 제어 회로를 더 포함할 수도 있다. 터치 패널(252)은 택타일 레이어(tactile layer)를 더 포함하여, 사용자에게 촉각 반응을 제공할 수 있다.
(디지털) 펜 센서(254)는, 예를 들면, 터치 패널의 일부이거나, 별도의 인식용 쉬트(sheet)를 포함할 수 있다. 키(256)는, 예를 들면, 물리적인 버튼, 광학식 키, 또는 키패드를 포함할 수 있다. 초음파 입력 장치(258)는 마이크(예: 마이크(288))를 통해, 입력 도구에서 발생된 초음파를 감지하여, 상기 감지된 초음파에 대응하는 데이터를 확인할 수 있다.
디스플레이(260)(예: 디스플레이(160))는 패널(262), 홀로그램 장치(264), 또는 프로젝터(266)를 포함할 수 있다. 패널(262)은, 도 1의 디스플레이(160)와 동일 또는 유사한 구성을 포함할 수 있다. 패널(262)은, 예를 들면, 유연하게(flexible), 투명하게(transparent), 또는 착용할 수 있게(wearable) 구현될 수 있다. 패널(262)은 터치 패널(252)과 하나의 모듈로 구성될 수도 있다. 홀로그램 장치(264)는 빛의 간섭을 이용하여 입체 영상을 허공에 보여줄 수 있다. 프로젝터(266)는 스크린에 빛을 투사하여 영상을 표시할 수 있다. 스크린은, 예를 들면, 전자 장치(201)의 내부 또는 외부에 위치할 수 있다. 한 실시예에 따르면, 디스플레이(260)는 패널(262), 홀로그램 장치(264), 또는 프로젝터(266)를 제어하기 위한 제어 회로를 더 포함할 수 있다.
인터페이스(270)는, 예를 들면, HDMI(high-definition multimedia interface)(272), USB(universal serial bus)(274), 광 인터페이스(optical interface)(276), 또는 D-sub(D-subminiature)(278)를 포함할 수 있다. 인터페이스(270)는, 예를 들면, 도 1에 도시된 통신 인터페이스(170)에 포함될 수 있다. 추가적으로 또는 대체적으로(additionally and alternatively), 인터페이스(270)는, 예를 들면, MHL(mobile high-definition link) 인터페이스, SD(secure digital) 카드/MMC(multi-media card) 인터페이스, 또는 IrDA(infrared data association) 규격 인터페이스를 포함할 수 있다.
오디오 모듈(280)은, 예를 들면, 소리(sound)와 전기 신호를 쌍방향으로 변환시킬 수 있다. 오디오 모듈(280)의 적어도 일부 구성요소는, 예를 들면, 도 1 에 도시된 입출력 인터페이스(150)에 포함될 수 있다. 오디오 모듈(280)은, 예를 들면, 스피커(282), 리시버(284), 이어폰(286), 또는 마이크(288) 등을 통해 입력 또는 출력되는 소리 정보를 처리할 수 있다.
카메라 모듈(291)은, 예를 들면, 정지 영상 및 동영상을 촬영할 수 있는 장치로서, 한 실시예에 따르면, 하나 이상의 이미지 센서(예: 전면 센서 또는 후면 센서), 렌즈, ISP(image signal processor), 또는 플래시(flash)(예: LED 또는 xenon lamp 등)를 포함할 수 있다.
전력 관리 모듈(295)은, 예를 들면, 전자 장치(201)의 전력을 관리할 수 있다. 한 실시예에 따르면, 전력 관리 모듈(295)은 PMIC(power management integrated circuit), 충전 IC(charger integrated circuit), 또는 배터리 또는 연료 게이지(battery or fuel gauge)를 포함할 수 있다. PMIC는, 유선 및/또는 무선 충전 방식을 가질 수 있다. 무선 충전 방식은, 예를 들면, 자기공명 방식, 자기유도 방식 또는 전자기파 방식 등을 포함하며, 무선 충전을 위한 부가적인 회로, 예를 들면, 코일 루프, 공진 회로, 또는 정류기 등을 더 포함할 수 있다. 배터리 게이지는, 예를 들면, 배터리(296)의 잔량, 충전 중 전압, 전류, 또는 온도를 측정할 수 있다. 배터리(296)는, 예를 들면, 충전식 전지(rechargeable battery) 및/또는 태양 전지(solar battery)를 포함할 수 있다.
인디케이터(297)는 전자 장치(201) 또는 그 일부(예: 프로세서(210))의 특정 상태, 예를 들면, 부팅 상태, 메시지 상태 또는 충전 상태 등을 표시할 수 있다. 모터(298)는 전기적 신호를 기계적 진동으로 변환할 수 있고, 진동(vibration), 또는 햅틱(haptic) 효과 등을 발생시킬 수 있다. 도시되지는 않았으나, 전자 장치(201)는 모바일 TV 지원을 위한 처리 장치(예: GPU)를 포함할 수 있다. 모바일 TV 지원을 위한 처리 장치는, 예를 들면, DMB(digital multimedia broadcasting), DVB(digital video broadcasting), 또는 미디어플로(mediaFloTM) 등의 규격에 따른 미디어 데이터를 처리할 수 있다.
도 3은 다양한 실시예에 따른 프로그램 모듈의 블록도이다. 한 실시예에 따르면, 프로그램 모듈(310)(예: 프로그램(140))은 전자 장치(예: 전자 장치(101))에 관련된 자원을 제어하는 운영 체제(operating system(OS)) 및/또는 운영 체제 상에서 구동되는 다양한 어플리케이션(예: 어플리케이션 프로그램(147))을 포함할 수 있다. 운영 체제는, 예를 들면, 안드로이드(android), iOS, 윈도우즈(windows), 심비안(symbian), 타이젠(tizen), 또는 바다(bada) 등이 될 수 있다.
프로그램 모듈(310)은 커널(320), 미들웨어(330), 어플리케이션 프로그래밍 인터페이스(application programming interface (API))(360), 및/또는 어플리케이션(370)을 포함할 수 있다. 프로그램 모듈(310)의 적어도 일부는 전자 장치 상에 프리로드(preload) 되거나, 외부 전자 장치(예: 전자 장치(102, 104), 서버(106) 등)로부터 다운로드(download) 가능하다.
커널(320)(예: 커널(141))은, 예를 들면, 시스템 리소스 매니저(321) 및/또는 디바이스 드라이버(323)를 포함할 수 있다. 시스템 리소스 매니저(321)는 시스템 리소스의 제어, 할당, 또는 회수 등을 수행할 수 있다. 한 실시예에 따르면, 시스템 리소스 매니저(321)는 프로세스 관리부, 메모리 관리부, 또는 파일 시스템 관리부 등을 포함할 수 있다. 디바이스 드라이버(323)는, 예를 들면, 디스플레이 드라이버, 카메라 드라이버, 블루투스 드라이버, 공유 메모리 드라이버, USB 드라이버, 키패드 드라이버, WiFi 드라이버, 오디오 드라이버, 또는 IPC(inter-process communication) 드라이버를 포함할 수 있다.
미들웨어(330)는, 예를 들면, 어플리케이션(370)이 공통적으로 필요로 하는 기능을 제공하거나, 어플리케이션(370)이 전자 장치 내부의 제한된 시스템 자원을 효율적으로 사용할 수 있도록 API(360)를 통해 다양한 기능들을 어플리케이션(370)으로 제공할 수 있다. 한 실시예에 따르면, 미들웨어(330)(예: 미들웨어(143))는 런타임 라이브러리(335), 어플리케이션 매니저(application manager)(341), 윈도우 매니저(window manager)(342), 멀티미디어 매니저(multimedia manager)(343), 리소스 매니저(resource manager)(344), 파워 매니저(power manager)(345), 데이터베이스 매니저(database manager)(346), 패키지 매니저(package manager)(347), 연결 매니저(connectivity manager)(348), 통지 매니저(notification manager)(349), 위치 매니저(location manager)(350), 그래픽 매니저(graphic manager)(351), 또는 보안 매니저(security manager)(352) 중 적어도 하나를 포함할 수 있다.
런타임 라이브러리(335)는, 예를 들면, 어플리케이션(370)이 실행되는 동안에 프로그래밍 언어를 통해 새로운 기능을 추가하기 위해 컴파일러가 사용하는 라이브러리 모듈을 포함할 수 있다. 런타임 라이브러리(335)는 입출력 관리, 메모리 관리, 또는 산술 함수에 대한 기능 등을 수행할 수 있다.
어플리케이션 매니저(341)는, 예를 들면, 어플리케이션(370) 중 적어도 하나의 어플리케이션의 생명 주기(life cycle)를 관리할 수 있다. 윈도우 매니저(342)는 화면에서 사용하는 GUI 자원을 관리할 수 있다. 멀티미디어 매니저(343)는 다양한 미디어 파일들의 재생에 필요한 포맷을 파악하고, 해당 포맷에 맞는 코덱(codec)을 이용하여 미디어 파일의 인코딩(encoding) 또는 디코딩(decoding)을 수행할 수 있다. 리소스 매니저(344)는 어플리케이션(370) 중 적어도 어느 하나의 어플리케이션의 소스 코드, 메모리 또는 저장 공간 등의 자원을 관리할 수 있다.
파워 매니저(345)는, 예를 들면, 바이오스(BIOS: basic input/output system) 등과 함께 동작하여 배터리(battery) 또는 전원을 관리하고, 전자 장치의 동작에 필요한 전력 정보 등을 제공할 수 있다. 데이터베이스 매니저(346)는 어플리케이션(370) 중 적어도 하나의 어플리케이션에서 사용할 데이터베이스를 생성, 검색, 또는 변경할 수 있다. 패키지 매니저(347)는 패키지 파일의 형태로 배포되는 어플리케이션의 설치 또는 업데이트를 관리할 수 있다.
연결 매니저(348)는, 예를 들면, WiFi 또는 블루투스 등의 무선 연결을 관리할 수 있다. 통지 매니저(349)는 도착 메시지, 약속, 근접성 알림 등의 사건(event)을 사용자에게 방해되지 않는 방식으로 표시 또는 통지할 수 있다. 위치 매니저(350)는 전자 장치의 위치 정보를 관리할 수 있다. 그래픽 매니저(351)는 사용자에게 제공될 그래픽 효과 또는 이와 관련된 사용자 인터페이스를 관리할 수 있다. 보안 매니저(352)는 시스템 보안 또는 사용자 인증 등에 필요한 제반 보안 기능을 제공할 수 있다. 한 실시예에 따르면, 전자 장치(예: 전자 장치(101))가 전화 기능을 포함한 경우, 미들웨어(330)는 전자 장치의 음성 또는 영상 통화 기능을 관리하기 위한 통화 매니저(telephony manager)를 더 포함할 수 있다.
미들웨어(330)는 전술한 구성요소들의 다양한 기능의 조합을 형성하는 미들웨어 모듈을 포함할 수 있다. 미들웨어(330)는 차별화된 기능을 제공하기 위해 운영 체제의 종류 별로 특화된 모듈을 제공할 수 있다. 또한, 미들웨어(330)는 동적으로 기존의 구성요소를 일부 삭제하거나 새로운 구성요소들을 추가할 수 있다.
API(360)(예: API(145))는, 예를 들면, API 프로그래밍 함수들의 집합으로, 운영 체제에 따라 다른 구성으로 제공될 수 있다. 예를 들면, 안드로이드 또는 iOS의 경우, 플랫폼 별로 하나의 API 셋을 제공할 수 있으며, 타이젠(tizen)의 경우, 플랫폼 별로 두 개 이상의 API 셋을 제공할 수 있다.
어플리케이션(370)(예: 어플리케이션 프로그램(147))은, 예를 들면, 홈(371), 다이얼러(372), SMS/MMS(373), IM(instant message)(374), 브라우저(375), 카메라(376), 알람(377), 컨택트(378), 음성 다이얼(379), 이메일(380), 달력(381), 미디어 플레이어(382), 앨범(383), 또는 시계(384), 건강 관리(health care)(예: 운동량 또는 혈당 등을 측정), 또는 환경 정보 제공(예: 기압, 습도, 또는 온도 정보 등을 제공) 등의 기능을 수행할 수 있는 하나 이상의 어플리케이션을 포함할 수 있다.
한 실시예에 따르면, 어플리케이션(370)은 전자 장치(예: 전자 장치(101))와 외부 전자 장치(예: 전자 장치(102, 104)) 사이의 정보 교환을 지원하는 어플리케이션(이하, 설명의 편의 상, "정보 교환 어플리케이션")을 포함할 수 있다. 정보 교환 어플리케이션은, 예를 들면, 외부 전자 장치에 특정 정보를 전달하기 위한 알림 전달(notification relay) 어플리케이션, 또는 외부 전자 장치를 관리하기 위한 장치 관리(device management) 어플리케이션을 포함할 수 있다.
예를 들면, 알림 전달 어플리케이션은 전자 장치의 다른 어플리케이션(예: SMS/MMS 어플리케이션, 이메일 어플리케이션, 건강 관리 어플리케이션, 또는 환경 정보 어플리케이션 등)에서 발생된 알림 정보를 외부 전자 장치(예: 전자 장치(102, 104))로 전달하는 기능을 포함할 수 있다. 또한, 알림 전달 어플리케이션은, 예를 들면, 외부 전자 장치로부터 알림 정보를 수신하여 사용자에게 제공할 수 있다.
장치 관리 어플리케이션은, 예를 들면, 전자 장치와 통신하는 외부 전자 장치(예: 전자 장치(102, 104))의 적어도 하나의 기능(예: 외부 전자 장치 자체(또는, 일부 구성 부품)의 턴-온/턴-오프 또는 디스플레이의 밝기(또는, 해상도) 조절), 외부 전자 장치에서 동작하는 어플리케이션 또는 외부 전자 장치에서 제공되는 서비스(예: 통화 서비스 또는 메시지 서비스 등)를 관리(예: 설치, 삭제, 또는 업데이트)할 수 있다.
한 실시예에 따르면, 어플리케이션(370)은 외부 전자 장치(예: 전자 장치(102, 104))의 속성(에 따라 지정된 어플리케이션(예: 모바일 의료 기기의 건강 관리 어플리케이션 등)을 포함할 수 있다. 한 실시예에 따르면, 어플리케이션(370)은 외부 전자 장치(예: 서버(106) 또는 전자 장치(102, 104))로부터 수신된 어플리케이션을 포함할 수 있다. 한 실시예에 따르면, 어플리케이션(370)은 프리로드 어플리케이션(preloaded application) 또는 서버로부터 다운로드 가능한 제3자 어플리케이션(third party application)을 포함할 수 있다. 도시된 실시예에 따른 프로그램 모듈(310)의 구성요소들의 명칭은 운영 체제의 종류에 따라서 달라질 수 있다.
다양한 실시예에 따르면, 프로그램 모듈(310)의 적어도 일부는 소프트웨어, 펌웨어, 하드웨어, 또는 이들 중 적어도 둘 이상의 조합으로 구현될 수 있다. 프로그램 모듈(310)의 적어도 일부는, 예를 들면, 프로세서(예: 프로세서(210))에 의해 구현(implement)(예: 실행)될 수 있다. 프로그램 모듈(310)의 적어도 일부는 하나 이상의 기능을 수행하기 위한, 예를 들면, 모듈, 프로그램, 루틴, 명령어 세트(sets of instructions) 또는 프로세스 등을 포함할 수 있다.
도 4는 본 발명의 다양한 실시예에 따른 프로그램 모듈의 구성을 나타내는 블록도이다.
도 4를 참조하면, 프로그램 모듈(400)은 개념적으로 가상 메모리(virtual memory) 상에서 사용자 주소 공간(user address space)에서 동작하는 응용 프로그램(420)과 커널 주소 공간(kernel address space)에서 동작하는 운영 체제(430)로 구분될 수 있다.
응용 프로그램(420)은 사용자 주소 공간에서 동작하는 프로그램들, 즉 사용자 프로세스들을 의미할 수 있다.
응용 프로그램(420)은 복수의 프로세스를 포함할 수 있다. 예를 들면, 응용 프로그램(420)은 제1 프로세스(421), 제2 프로세스(422) 및 제n 프로세스(429)를 포함할 수 있다. 각 프로세스(421,422,429)는 자신의 독립된 주소공간을 가질 수 있다. 응용 프로그램(420)은 자신의 주소 공간에 메모리 공간(버퍼)를 생성하여 커널의 파일시스템으로부터 임의의 파일을 리드(read)해 오거나 파일시스템에 파일을 라이트(write) 할 수 있다. 응용 프로그램(420)은 도 3의 어플리케이션(370), API(360) 및 미들웨어(330)에 대응될 수 있다.
운영 체제(430)는 도 3의 커널(320)에 대응될 수 있다. 본 발명의 다양한 실시예에 의하면, 운영 체제(430)는 시스템 콜 인터페이스(440), 가상 파일 시스템(450), 파일 시스템(480), 블록 계층(490)을 포함할 수 있다.
또한, 운영 체제(430)는 상술한 가상 파일 시스템(450), 파일 시스템(480) 이외의 다른 파일 시스템을 더 포함할 수도 있다.
시스템 콜 인터페이스(440)는 유저 영역의 응용 프로그램(420)이 커널 영역의 운영 체제(430) 기능을 사용할 수 있도록 해주는 인터페이스로, 적어도 하나의 프로세스가 커널의 리소스 및/또는 하드웨어에 접근할 수 있는 기능을 제공할 수 있다.
가상 파일 시스템(450, virtual file system)은 파일 시스템 인터페이스를 응용 프로그램(420)에 제공할 수 있다. 예를 들면, 가상 파일 시스템(450)은 응용 프로그램이 어떤 종류의 파일 시스템에라도 동일한 방법으로 접근하도록 할 수 있다. 가상 파일 시스템(450)은 실제 파일 시스템 위의 추상 계층을 의미할 수 있다.
파일 시스템(480)은 블록 계층(490)을 통해 스토리지(540)에 파일의 데이터를 저장하고 데이터를 입출력(I/0)할 수 있다. 파일 시스템(480)은 파일의 데이터를 '블록' 혹은 '클러스터'라고 불리는 일정한 크기 단위로 구성하여 관리할 수 있고, 해당 일정한 크기 단위(혹은 일정한 크기의 정수 배)로 블록 계층(940)에 데이터를 입출력할 수 있다. 파일 시스템(480)에서 관리하는 파일 데이터는 파일 시스템에서 생성한 메타 데이터와 응용 프로그램이 입출력하는 유저 데이터로 구성될 수 있는데, 본 발명의 나머지 부분에서 파일 시스템에서 관리하는 블록 단위의 데이터를 '데이터 블록', 그 중 파일의 메타 데이터에 대응하는 데이터 블록을 '메타 데이터 블록'그리고 유저 데이터에 대응하는 데이터 블록을 '일반 데이터 블록'으로 표현할 수 있다. 또한, 파일 시스템(480)은 파일 시스템 자체적으로 다양한 종류의 파일을 구분할 수 있다. 예를 들어, 파일 시스템(480)은 정규 파일(regular file), 디렉토리 (directory), 링크 파일(link file) 등 다양한 유형의 파일을 구분하고, 이를 스토리지에 저장할 수 있다.
본 발명에서 파일 시스템(480)의 종류를 특정한 파일 시스템으로 한정하지는 않는다. 예를 들어, 윈도우 운영체제의 FAT 파일시스템이나 리눅스의 Ext 파일시스템 등 다양한 운영체제의 다양한 파일시스템이 본원 발명에 사용될 수 있다. 본 발명의 나머지 부분에서 파일 시스템에서 관리하는 데이터 크기 단위 및 그 종류를 '블록'(예:메타 데이터 블록 및 일반 데이터 블록)이라는 용어로 설명하지만, 파일 시스템 종류에 따라 다른 용어(예:'클러스터')가 사용될 수 있다.
또한, 파일 시스템(480)은 복수의 파일 시스템을 포함할 수 있다. 예를 들면, 파일 시스템(480)은 복수의 파일 시스템이 마운트된 스태커블 파일 시스템들을 포함할 수도 있다.
블록 계층(490)은 적어도 하나의 스토리지(540)를 포함한, 적어도 일부 메모리 영역을 '블록 장치' 계층으로써 가상화한 것이다. 블록 계층(490)은 스토리지(540)와 데이터 입출력(I/O, input/output) 동작 시, 일정 크기 단위(예: 블록) 혹은 그의 정수 배(예: 블록의 배열) 크기로 스토리지(540)에 데이터를 입출력 할 수 있다.
상기 일정 크기에 대한 단위 명칭은 파일시스템 혹은 스토리지의 종류에 따라 '블록'외에 '클러스터' 혹은 '섹터'와 같은 다른 용어가 사용될 수 있다. 본 발명의 나머지 부분에서는 '블록'(예: 블록 단위, 블록 장치, 블록 암호화 장치) 이라는 용어를 대표로 사용하고 있으나 특정 용어로 한정하고자 함은 아니다.
블록 계층(490)에는 블록 암호화 모듈이 더 포함될 수 있다. 본 발명의 다양한 실시예에 따르면, 블록 계층(490)은 블록 암호화 모듈(790)을 활성화(로딩 혹은 마운트)하여 상위 혹은 하위 계층에서 입출력 되는 블록의 데이터를 암호화/복호화 되도록 할 수 있다. 본 발명의 다양한 실시예에 따르면 블록 계층(490) 내에서 (소프트웨어 혹은 전용 하드웨어를 통해) 데이터의 암호화/복호화가 수행될 수도 있고, 혹은 블록 계층(490)에서는 데이터의 암호화/복호화가 수행되도록 세팅하는 역할이 수행될 수도 있다. 또한, 블록 계층(490) 외에서 (예컨대, DMA 시점에 혹은 스토리지 내부에서) 데이터의 암호화/복호화가 수행될 수도 있다.
본 발명의 나머지 부분에서 '블록 장치'는 '블록 계층'에 의해 가상화된 장치를 의미할 수 있다. 즉, 파일 시스템은 '블록 장치'에 블록 단위로 파일의 데이터들을 입출력할 수 있다. 본 발명의 나머지 부분에서 '블록 암호화 장치'는 '블록 암호화 모듈(790)이 활성화된 블록 계층'에 의해 가상화된 장치를 의미할 수 있다. 즉, 파일 시스템은 '블록 암호화 장치'에 블록 단위로 파일의 데이터들을 입출력할 수 있다.
블록 계층(490)은 적어도 하나의 디바이스와의 인터페이스를 제공하는 블록 디바이스 드라이버를 포함할 수 있다. 예를 들면, 블록 계층(490)은 후술할 스토리지(540)와의 인터페이스를 제공하는 블록 디바이스 드라이버를 포함할 수 있다.
본 발명의 다양한 실시예에서, 블록 계층(490)이 스토리지(540)에 블록 단위(혹은 그 정수 배)의 I/O 동작 시, 메모리 영역 간 물리적인 데이터 복사는 후술할 DMA 모듈(530)에 의해 수행될 수 있다.
본 발명의 나머지 부분에서 '블록'은 데이터의 특정 크기 단위 및 해당 크기 단위의 데이터 저장 공간을 의미할 수 있을 뿐만 아니라, 해당 데이터 저장 공간에 저장된 데이터를 의미할 수 있다. 즉 '블록'을 암호화 한다는 뜻은 해당'블록'에 저장된 데이터를 암호화 한다는 것을 의미한다.
도 5는 본 발명의 다양한 실시예에 따른 전자 장치의 구성을 나타내는 블록도이다.
도 5를 참조하면, 전자 장치(500)는, 예를 들면, 프로세서(510), 메모리(520), DMA 모듈(530) 및 스토리지(540)을 포함할 수 있다. 프로세서(510), 메모리(520), DMA 모듈(530) 및 스토리지(540)는 시스템 버스(550)로 연결될 수 있다.
프로세서(510)는 상술한 프로세서(120, 210)일 수도 있고, 상술한 프로세서(120, 210)의 일부일 수도 있다. 프로세서(591)는 도 4에서 기술한 프로그램 모듈(400)의 코드(code)를 실행(execute)하여, 코드에 대응하는 명령을 수행할 수 있다. 프로세서(510)는 DMA 모듈(530)이 메모리(520)와 스토리지(540) 사이에서 데이터를 복사하도록, DMA 모듈(530)에 명령을 내릴 수 있다.
메모리(520)는 도 4에서 설명한 프로그램 모듈(400)의 코드 및 데이터를 저장할 수 있다. 메모리(520)는 도 1 및 도 2에서 기술된 휘발성 메모리에 대응될 수 있다. 한 실시예에 따르면, 메모리(520)는 프로세스 (420) 및 파일 시스템(480) 및 블록 계층(490)의 데이터를 저장하기 위한 복수의 버퍼를 포함할 수 있다.
DMA(direct memory access) 모듈(530)은 메모리 영역 간에, 또는 메모리(520)와 I/O 디바이스 간에 데이터를 전송하는 모듈이다. 예를 들면, DMA 모듈(530)은 메모리(520)와 스토리지(540)에 채널을 설정하여, 프로세서(510)를 우회하여 데이터를 복사할 수 있다. 그리고 DMA 모듈(530)은 상술한 다이렉트 메모리 액세스(direct memory access) 동작 시, 데이터를 암호화 또는 복호화할 수 있다. 이에 대해서는 후술하기로 한다. DMA 모듈(530)은 어플리케이션 프로세서(AP) 상의 스토리지 컨트롤러 내부에 위치할 수 있으나 특정한 위치로 한정되지는 않는다.
스토리지(540)는 데이터 저장 장치로서, 도 1 및 도2에 기술된 비휘발성 메모리(non-volatile memory) 및 기록 매체에 대응될 수 있다. 예를 들면, 스토리지(540)는 플래시 메모리인 UFS(universal flash storage) 또는 eMMC(embedded multi-media card), SD 카드, UHS 카드, UFS 카드일수 있다.
발명의 다양한 실시예에 따르면, 스토리지(540)에 저장되는 파일 시스템의 파일에 대한 전체 블록 중 일부 블록의 데이터는 암호화되어 저장될 수 있고, 다른 일부 블록의 데이터는 암호화되지 않고 저장될 수 있다.
시스템 버스(550)는 프로세서(510), 메모리(520), DMA 모듈(530), 스토리지(540) 각각이 다른 구성과 데이터와 명령을 주고 받는 통로일 수 있다.
전자 장치(101)는 파일 시스템의 파일 트리 스캔을 통해, 파일의 종류, 파일의 접근 권한, 파일의 사용자, 파일이 속하는 그룹 중 적어도 하나를 기초로, 파일에 대응하는 데이터 블록의 적어도 일부를 선택적으로 암호화할 수 있다.
예를 들면, 전자 장치(101)는 파일 시스템의 파일 트리 스캔을 통해 파일 시스템에 포함된 전체 파일의 종류(file type)를 확인하고, 특정 파일 종류(예:정규 파일)에 대응하는 데이터 블록은 암호화 하도록 판단할 수 있다. 이에 대해 이하 상세히 설명한다.
도 6은 본 발명의 다양한 실시예에 따른 블록 암호화 동작에 대한 흐름도이다.
동작 610에서, 전자 장치(101)는, 예를 들면 프로세서(510)는, 블록 장치를 암호화하기 위해, 블록 계층(490)에 블록 암호화 모듈(790)을 로딩(loading)할 수 있다. 이에 따라, 기존 블록 장치와 구분되는 블록 암호화 장치가 소프트웨어 상에 가상화 될 수 있다.
여기서 블록 암호화 모듈(790)은 적어도 하나의 블록을 암호화 또는 복호화하거나 혹은 암호화/복호화 되도록 설정할 수 있다.
실시 예에서, 전자 장치(101)는, 사용자 비밀번호(password) 혹은 사용자 키(key)를 블록 암호화 모듈(790)에 블록 암/복호화를 위한 암호 키로서 설정할 수 있다.
동작 630에서, 전자 장치(101)는, 예를 들면 암호화 전환 모듈(750)은, 스토리지(540)에 저장된 적어도 하나의 파일에 대한 파일 트리를 스캔할 수 있다. 예를 들면, 암호화 전환 모듈(750)은 스토리지(540)에 저장된, 적어도 하나의 파일 시스템에 대한 파일 트리를 스캔(scan)할 수 있고, 파일 트리 스캔을 통해 적어도 하나의 파일에 대한 정보를 확인할 수 있다. 여기서 암호화 전환 모듈(750)은 파일 트리를 스캔할 수 있고, 블록 암호화 모듈(790)의 암호화 동작을 전환하도록 제어할 수 있다.
전자 장치(101)는 공지된 다양한 알고리즘 및 유틸리티 툴(utility tool)을 이용하여, 스토리지(540)에 저장된 적어도 하나의 파일에 대한 파일 트리를 스캔할 수 있다. 한 실시예로 암호화 전환 모듈(750)은 스토리지(540)에 저장된 파일 시스템의 최상위 루트 디렉토리(혹은, 루트 파일)부터 하위 파일 및 하위 디렉토리를 스캐닝할 수 있다. 이에 따라, 암호화 전환 모듈(750)은 파일 트리 스캔을 통해, 파일 시스템에 포함된 적어도 일부 파일 각각의 추가 정보(예:파일 종류, 파일 소유자, 파일 권한, 파일 그룹)를 확인할 수 있다.. 동작 650에서, 전자 장치(101)는, 예를 들면 암호화 전환 모듈(750)은 스캔 결과를 기초로, 암호화 대상 파일을 판단하거나 혹은 암호화 대상 데이터 블록을 판단할 수 있다.
한 실시 예에 따르면 전자 장치(101)는, 예를 들면 암호화 전환 모듈(750)은, 파일 트리를 스캔하여 파일 시스템에 포함된 복수의 파일 타입(file type) 중 정규 파일(regular file)을 구분하고, 정규 파일에 속하는 데이터 블록을 암호화 대상으로 판단할 수 있다. 실시 예에 따르면, 암호화 전환 모듈(750)은 정규 파일의 데이터 블록 중에서 메타 데이터 블록을 제외한 일반 데이터 블록만을 암호화 대상으로 판단할 수 있다.
다양한 실시 예에 따르면 전자 장치(101)는, 예를 들면 암호화 전환 모듈(750)은, 파일 트리를 스캔하여 파일 시스템에 포함된 복수의 파일 중 디렉토리 파일을 구분하고, 디렉토리 파일에 속하는 데이터 블록을 암호화 대상이 아닌 것으로 판단할 수 있다.
다양한 실시 예에 따르면 전자 장치(101)는, 예를 들면 암호화 전환 모듈(750)은, 파일 트리를 스캔하여 파일 시스템에 포함된 복수의 파일 중 특정 소유자 혹은 특정 그룹 혹은 특정 권한을 속성으로 가진 파일에 속하는 데이터 블록을 암호화 대상으로 판단하거나 암호화 대상이 아닌 것으로 판단할 수 있다. 한 실시 예에 따르면, 암호화 전환 모듈(750)은 시스템 권한 혹은 루트 권한을 가진 소유자를 속성으로 가진 파일은 암호화 대상이 아닌 것으로 판단할 수 있다.
다양한 실시 예에 따르면 전자 장치(101)는, 예를 들면 암호화 전환 모듈(750)은, 파일 트리를 스캔하여 파일 시스템에 포함된 복수의 파일 중 특정 위치(디렉토리)의 하위에 있는 파일에 속하는 데이터 블록을 암호화 대상으로 판단하거나 암호화 대상이 아닌 것으로 판단할 수 있다. 한 실시 예에 따르면, 암호화 전환 모듈(750)은 응용 프로그램 실행코드 파일 혹은 라이브러리 파일들이 저장된 위치(디렉토리) 하위에 있는 파일은 암호화 대상이 아닌 것으로 판단할 수 있다.
동작 630 및 동작 650을 편의상 구분된 동작 또는 구분된 단계로 설명하였으나, 파일 스캔이 진행되는 과정 중에 암호화 대상인 데이터 블록을 판단할 수 있다.
실시 예에 따르면, 전자 장치(101)는, 동작 630 및 동작 650 과정에서 암호화 대상으로 판단되는 데이터 블록에 대한 정보를 데이터 블록 비트맵(data block bitmap)과 같은 정보 자료 구조에 저장할 수 있다. 예를 들어, 데이터 블록 비트맵은 스토리지(540)의 적어도 일부 영역을 포함한 블록들이 암호화 대상인지 아닌지 그 여부를 체크한 비트맵일 수 있다. 예를 들어, 전자 장치(101)는 1024개의 블록의 메모리 공간을 가진 스토리지를 위해, 128Byte(1024bit)의 비트맵으로 각 블록에 대한 암호화 대상 여부를 각 비트에 체크(또는 클리어)하여 기록할 수 있다.
전자 장치(101)는 동작 630 및 동작 650 과정에서, 상기 데이터 블록 비트맵에서 암호화 대상 블록의 비트를 체크(또는 클리어)할 수 있고, 동작 670에서 체크된 비트맵 정보 자료 구조를 참조하여 스토리지(540) 상의 암호화 판단된 데이터 블록들에 대해 일괄 암호화 수행할 수 있다.
동작 670에서, 전자 장치(101)는, 예를 들면 블록 암호화 모듈(790)은 암호화 대상으로 판단된 블록을 암호화 할 수 있다.
*한 실시예로, 암호화 전환 모듈(750)은 상술한, 암호화 대상으로 판단된 데이터 블록의 원본 데이터를 기존의 블록 장치로부터 읽고(read) 이를 다시 블록 암호화 장치로 쓰기(write)하여 데이터를 암호화 할 수 있다. 이 때, 발명의 다양한 실시예에 의하면, 상술한 데이터 블록 비트맵 자료 구조를 사용할 수 있다.
도 7은 본 발명의 다양한 실시예에 따른 블록 암호화 동작을 나타내는 개념도이다. 도 7을 참조하면, 전자 장치(101)는, 예를 들면, 암호화 전환 모듈(750), 블록 암호화 모듈(790) 및 스토리지(540)를 포함할 수 있다.
전자 장치(101)는 사용자의 선택에 따라, 혹은 전자 장치(101)의 설정에 따라 (예: 사용자 최초 부팅 시), 전자 장치(101)에 대응하는 블록 장치를 암호화할 수 있다. 이에 따라 전자 장치(101)에 대응하는 블록 장치는 블록 암호화 장치로 전환될 수 있다. 전자 장치(101)에 대응하는 블록 장치를 블록 암호화 장치로 최초 전환하는 경우에는 상술한 바와 같이, 파일 트리 스캔 과정 및 스캔 결과를 기초로 암호화 대상 여부를 판단하는 판단 동작이 필요하다.
도 7을 참조하면, 암호화 전환 모듈(750)은 블록 장치를 블록 암호화 장치로 전환할 수 있다.
본 발명의 실시예에 따르면, 암호화 전환 모듈(750)은 스토리지(540)에 저장된 적어도 하나의 파일(혹은, 파일 시스템)에 대한 파일 트리를 스캔할 수 있고, 스캔 결과를 기초로 적어도 하나의 파일에 대응하는 적어도 하나의 블록 각각의 암호화 여부를 판단할 수 있다. 따라서, 암호화 전환 모듈(750)은 블록 장치를 블록 암호화 장치로 전환 시, 파일의 데이터 블록들을 선택적으로 암호화 할 수 있다.
암호화 전환 모듈(750)은 블록 장치를 암호화 하는 경우, 블록 장치에 대응하는 스토리지(540)에 저장된 원본 데이터를 읽고(read), 읽은 원본 데이터를 암호화할 수 있다.
구체적으로, 암호화 전환 모듈(750)은 블록 계층(780)으로부터 원본 데이터를 읽고(read), 후술할 블록 암호화 모듈(790)에 쓸(write) 수 있다. 그리고 블록 암호화 모듈(790)은 원본 데이터를 암호화하여, 스토리지(540)에 쓸 수 있다. 블록 암호화 모듈(790)은 적어도 하나의 파일에 대응하는 적어도 하나의 블록을 암호화 할 수 있다. 또한, 블록 암호화 모듈(790)은 암호화된 블록을 복호화 할 수 있다. 예를 들면, 블록 암호화 모듈(790)은 연속된 복수의 블록에 대한 I/O 시, 연속된 복수의 블록을 암호화 또는 복호화 할 수 있다.
블록 암호화 모듈(790)은 블록 계층(780)에 로딩될 수 있다. 블록 암호화 모듈(790)은 블록 계층(780)을 블록 암호화 장치로 가상화할 수 있다. 이에 따라 파일 시스템(480)은 블록 암호화 모듈(790)를 통해 암호화된 블록을 스토리지(540)에 저장할 수 있다.
한편, 전자 장치(101)는 상술한 파일 트리 스캔 과정 중에 정규 파일이 스캔되면, 스캔된 정규 파일에 대응하는 블록 또는 클러스터를 블록 암호화 모듈(790)에 쓸 수 있고, 파일 트리 스캔 과정 중에 스캔된 정규 파일에 대응하는 블록 또는 클러스터를 확인한 후, 스캔 종료 후에 일괄적으로 블록 암호화 모듈(790)에 쓸 수도 있다. 그래서 블록 암호화 모듈(790)은 파일 트리 스캔 과정 중에 스캔된 정규 파일에 대응하는 블록을 암호화 할 수 있고, 스캔 종료 후에 정규 파일에 대응하는 블록을 일괄적으로 암호화할 수도 있다.
또한, 블록 암호화 모듈(790)은 스토리지(540)의 적어도 일부 영역을 블록 암호화 장치로 가상화 할 수 있다. 본 발명의 한 실시예에 따르면, 전자 장치(101)는 스토리지(540) 상 사용자 데이터가 저장되는 데이터 파티션(740)을 블록 암호화 장치로 가상화 할 수 있다.
블록 계층(780)은 파일 시스템에서 구성된 파일 데이터들을 스토리지(540)에 인터페이싱하는 계층을 의미할 수 있다. 이에 따라 블록 계층(780)에서는 데이터가 블록 단위로 입력 또는 출력될 수 있다. 스토리지(540)는 블록 암호화 동작에 대상이 되는 저장 장치일 수 있다.
스토리지(540)의 일부 영역 또는 전체 영역은 블록 장치(block device)로 매핑될 수 있다. 그리고 프로그램 모듈(400)은 파일 시스템을 매핑된 블록 장치에 마운트(mount) 할 수 있다. 이에 따라 프로그램 모듈(400)은 스토리지(540)에 저장된 파일에 접속할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치는, 비휘발성 스토리지, 휘발성 메모리 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 블록 장치로 가상화 하기 위한 블록 계층을 설정하고, 상기 설정된 블록 계층에 파일을 블록 단위로 저장하고, 상기 블록 단위로 저장된, 상기 파일을, 상기 블록 단위로, 선택적으로 암호화하고, 암호화된 블록 및 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하도록 하는 인스트럭션들을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치의 동작 방법은, 메모리 상에 스토리지를 블록 장치로 가상화 하기 위한 블록 계층을 설정하는 동작, 상기 설정된 블록 계층에 파일을 블록 단위로 저장하는 동작, 상기 블록 단위로 저장된, 상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작 및 암호화된 블록 및 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하는 동작을 포함할 수 있다.
본 발명의 다양한 실시예에서, 컴퓨터로 읽을 수 있는 저장매체는, 메모리 상에 스토리지를 블록 장치로 가상화 하기 위한 블록 계층을 설정하는 동작, 상기 설정된 블록 계층에 파일을 블록 단위로 저장하는 동작, 상기 블록 단위로 저장된, 상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작 및 암호화된 블록 및 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하는 동작을 실행시키기 위한 명령어를 저장할 수 있다.
한편, 본 발명의 다양한 실시예에 따른 전자 장치(101)는 블록에 대한 블록 정보를 기초로, 블록의 암호화를 선택적으로 수행할 수 있다. 이하, 이에 대해 자세히 설명한다.
도 8은 본 발명의 다양한 실시예에 따른 파일 입출력 요청에 따른 블록 암호화 여부 정보 설정 동작에 대한 흐름도이다.
도 8을 참조하면, 동작 810에서, 파일 시스템(480)은 응용 프로그램(910)으로부터 파일 입출력(I/O) 요청을 수신할 수 있다.
동작 830에서, 파일 시스템(480)은 파일 입출력 요청에 대응하는 파일을 구성하는 블록 종류에 따라 암복호화 여부를 판단할 수 있다. 여기서 파일 입출력 요청에 대응하는 파일을 구성하는 블록은 복수의 블록일 수도 있다. 여기서 파일 입출력 요청에 대응하는 파일을 구성하는 블록 종류는 파일 시스템의 블록 종류를 의미할 수도 있다.
본 발명의 다양한 실시 예에 따르면, 파일 시스템(480)은 파일을 구성하는 데이터 블록 중 메타 데이터 블록은 암복호화 대상이 아닌 것으로 판단할 수 있다. 혹은, 파일 시스템(480)은 파일을 구성하는 데이터 블록 중 일반 데이터 블록을 암복호화 대상으로 판단할 수 있다.
본 발명의 다양한 실시 예에 따르면, 파일 시스템(480)은 내부적으로 분류하는 파일 유형에 따라 특정 유형에 속하는 파일의 데이터 블록을 암복호화 대상으로 판단하거나 암복호화 대상이 아닌 것으로 판단할 수 있다. 예를 들어, 파일 시스템(480)은 정규 파일을 구성하는 데이터 블록은 암복호화 대상으로 판단하고, 디렉토리 파일을 구성하는 데이터 블록은 암복호화 대상이 아닌 것으로 판단할 수 있다.
본 발명의 다양한 실시 예에 따르면, 파일 시스템(480)은 특정 소유자 혹은 특정 그룹 혹은 특정 권한을 속성으로 가진 파일에 속하는 데이터 블록을 암복호화 대상으로 판단하거나 암복호화 대상이 아닌 것으로 판단할 수 있다. 예를 들어, 암호화 전환 모듈(750)은 시스템 권한 혹은 루트 권한을 가진 소유자를 속성으로 가진 파일은 암복호화 대상이 아닌 것으로 판단할 수 있다.
본 발명의 다양한 실시 예에 따르면, 파일 시스템(480)은 특정 위치(디렉토리)의 하위에 있는 파일에 속하는 데이터 블록을 암복호화 대상으로 판단하거나 암복호화 대상이 아닌 것으로 판단할 수 있다. 한 실시 예에 따르면, 암호화 전환 모듈(750)은 응용 프로그램 실행 파일 혹은 라이브러리 파일들이 저장되는 디렉토리에 포함된 파일들를 암호화 대상이 아닌 것으로 판단할 수 있다. 동작 850에서, 파일 시스템(480)은 블록 계층(780)에 블록 입출력(I/O) 요청 시, 동작 830에서 판단된 암복호화 여부에 대한 암복호화 정보를 블록 암호화 모듈(790)에 전달할 수 있다. 여기서 암복호화 정보는 블록 정보에 포함되어 전달될 수도 있고, 혹은 블록 입출력 인터페이스에 포함되어(예컨대, 인자 parameter에 포함되어) 전달될 수 있다.
이에 따라 블록 암호화 모듈(790)은 블록 I/O 시, 암복호화 정보를 기초로, 해당 블록을 암호화 또는 복호화 할 수 있다.
이하, 도 9를 참조하여 자세히 설명한다.
도 9는 본 발명의 다양한 실시예에 따른 블록의 종류에 따른 블록 암호화 동작에 대한 예시도이다.
도 9를 참조하면, 응용 프로그램(910)은 파일 시스템(480)에 파일 입력 또는 출력을 요청할 수 있다. 파일 시스템(480)은 응용 프로그램(910)의 파일 I/O 요청에 따라 적어도 하나의 파일을 입력 또는 출력 처리할 수 있다. 여기서 파일 I/O 요청에 대응하는 파일은 적어도 하나의 블록을 포함할 수 있다. 예를 들면, 파일 I/O 요청에 대응하는 파일은 파일 시스템(480) 내에서 적어도 하나의 메타 데이터 블록 및 적어도 하나의 일반 데이터 블록을 포함할 수 있다. 다른 예로, 파일 I/O 요청에 대응하는 파일은 적어도 하나의 메타 데이터 블록을 포함할 수도 있다. 그리고 파일 시스템(480)은 상술한 다양한 파일 시스템 중 임의의 파일 시스템일 수 있다. 여기서 블록은 파일에 대한 메타 데이터를 포함하는 메타 데이터 블록(991, 993)과, 메타 데이터가 아닌 일반 데이터를 포함하는 일반 데이터 블록(992, 994)으로 구분될 수 있다. 메타 데이터 블록(991, 993)은 파일 시스템을 관리하는 데이터인 메타 데이터가 포함된 블록일 수 있다. 예를 들면, 메타 데이터 블록(991, 993)에는 슈퍼 블록(super block), 그룹 블록 디스크립터(group block descriptor), 아이노드(inode, index node) 혹은 파일 할당 테이블(FAT), 간접 블록(indirection block), 데이터 비트맵 블록(data bitmap block), 아이노드 비트맵 블록(inode bitmap block) 등이 포함될 수 있다. 일반 데이터 블록(992, 994)은 상술한 메타 데이터가 아닌 일반 데이터를 포함하는 블록일 수 있다. 블록 계층(780)의 블록 암호화 모듈(790)은 메타 데이터 블록(991, 993)을 암호화하지 않는 바이패스(bypass)로 동작하고, 일반 데이터 블록(992, 994)을 암호화 또는 복호화 할 수 있다. 예를 들면, 블록 암호화 모듈(790)은 파일 시스템(480)에서 전달받은 암복호화 정보를 기초로, 파일 입출력 요청에 대응하는 파일에 대한 적어도 하나의 블록 중 메타 데이터 블록은 암호화하지 않고, 메타 데이터 블록이 아닌 일반 데이터 블록은 암호화 할 수 있다. 일 실시예에 따르면, 블록 암호화 모듈(790)은 일반 데이터 블록(992, 994)에 대응하는 암호화된 블록을 스토리지(540)의 데이터 파티션(740)에 쓸 수 있다. 그리고 블록 암호화 모듈(790)은 메타 데이터 블록(991, 993)에 대응하는 바이패스한 블록을 스토리지(540)의 데이터 파티션(740)에 쓸 수 있다. 이에 따라, 전자 장치(101)는 메타 데이터 블록(991, 993)에 대응하는 데이터는 암호화하지 않는 바이패스하여 데이터 파티션(740)에 저장할 수 있고, 일반 데이터 블록(992, 994)에 대응하는 데이터는 암호화하여 데이터 파티션(740)에 저장할 수 있다. 본 발명의 다양한 실시예들에서, 도 8에서 전술된 파일시스템의 다양한 암복호화 여부 판단 정책에 따라 (파일 시스템에서 전달받은 암복호화 정보를 기초로), 블록 암호화 모듈(790)은 블록을 선택적으로 암복호화 할 수 있다.
또 다른 예로, 전자 장치(101)는 확인된 블록에 암호화 대상임을 나타내는 암호화 태그가 태깅된 경우에는 확인된 블록을 암호화할 수 있고, 확인된 블록에 암호화 대상이 아님을 나타내는 비암호화 태그가 태깅된 경우에는 확인된 블록을 암호화하지 않을 수 있다. 이에 대해 도 10 및 도 11을 참조하여 설명한다.
도 10은 본 발명의 다양한 실시예에 따른 블록 암호화 동작에 대한 흐름도이다.
도 10을 참조하면, 동작 1010에서, 전자 장치(101)는 데이터 블록의 암호화를 수행하는 블록 암호화 모듈(790)의 암호화 동작 수행을 위해, 블록 암호화 모듈(790)을 블록 계층(780)에 로딩(loading)할 수 있다.
동작 1030에서, 전자 장치(101)는, 예를 들면 블록 암호화 모듈(790)은 상위 계층(예:파일 시스템)에서 입출력 요청받은 블록의 태그 정보를 확인할 수 있다. 예를 들면, 블록 암호화 모듈(790)은 응용 프로그램(910)의 파일 입출력 요청에 따라, 파일시스템에서 발생한 블록 입출력 파일 I/O 요청에 대응하는 파일의 적어도 하나의 블록의 태그 정보를 확인할 수 있다. 여기서 태그 정보는 암복호화 여부에 대한 정보를 포함하는 태그 정보일 수 있다.
일 실시예에 따르면, 태그 정보는 상위 계층에서 입출력 요청 시에 함께 전달받을 수 있다.
다른 실시예에 따르면, 태그 정보는 스토리지 혹은 기타 메모리의 일부 영역에 저장된 정보일 수 있다. 예를 들어, 블록들의 태그 정보는 블록 비트맵 자료 구조와 같은 형태로 기 저장되어 있고, 파일 시스템 혹은 블록 암호화 장치는 이를 읽어(read) 원하는 블록의 태그 정보를 확인할 수 있다.
동작 1050에서, 전자 장치(101)는, 예를 들면 블록 암호화 모듈(790)은 확인된 태그 정보를 기초로, 적어도 하나의 블록을 암호화할 수 있다. 예를 들면, 블록 암호화 모듈(790)은 확인된 태그가 암호화 대상임을 나타내는 암호화 태그이면, 암호화 태그에 대응하는 블록을 암호화할 수 있다. 그리고 블록 암호화 모듈(790)은 확인된 태그가 비암호화 대상임을 나타내는 비암호화 태그이면, 비암호화 태그에 대응하는 블록은 암호화하지 않을 수 있다.
도 11은 본 발명의 다양한 실시예에 따른 태그 정보에 따른 블록 암호화 동작에 대한 예시도이다.
도 11을 참조하면, 파일 시스템(480)은 암호화가 필요한 제1 데이터 블록(1191) 및 암호화가 필요하지 않은 제2 데이터 블록(1192)을 포함할 수 있다. 파일 시스템(480)은 암호화가 필요한 제1 데이터 블록(1191)에 암호화 태그를 태깅할 수 있고, 암호화가 필요하지 않은 제2 데이터 블록(1192)에 비암호화 태그를 태깅할 수 있다. 이에 따라, 파일 시스템(480)은 파일 입출력 처리 시에, 암호화가 필요한 제1 데이터 블록(1191)에 대해서는 암호화 태그를 태깅하여 블록 장치 암호화 모듈(790)에 입출력 요청할 수 있고, 암호화가 필요하지 않은 제2 데이터 블록에 대해서는 비암호화 태그를 태깅하여 블록 장치 암호화 모듈(790)에 입출력 요청할 수 있다. 일 실시예로, 파일 시스템(480)은 적어도 하나의 블록에 대해 블록 암호화 모듈(790)에 입출력 요청 시, 암호화 여부에 대한 정보를 블록 구조체인 bio(block i/o) 구조체에 추가하여 블록 암호화 모듈(790)에 전달할 수 있다. 블록 암호화 모듈(790)은 암호화 태그가 태깅된 제1 데이터 블록(1191)은 암호화 또는 복호화할 수 있고, 암호화 태그가 태깅된 제1 데이터 블록(1191)을 암호화하여 데이터 파티션(740)에 저장할 수 있다. 블록 암호화 모듈(790)은 비암호화 태그가 태깅된 제2 데이터 블록(1192)은 암호화하지 않도록 암호화 바이패스할 수 있고, 비암호화 태그가 태깅된 제2 데이터 블록(1192)을 암호화 바이패스하여, 데이터 파티션(740)에 저장할 수 있다. 한편, 상술한 암호화 태그에 대한 설명은 설명을 위한 예시로, 본 발명의 다양한 실시예에 따른 전자 장치(101)는 다양한 방식을 통해 블록의 암호화 여부를 나타내는 태그를 블록 계층에 전달할 수 있다. 그리고 암호화가 필요한 블록 또는 암호화가 필요하지 않은 블록 중 어느 하나에 해당하는 블록에만 암호화 여부를 나타내는 태그를 태깅할 수도 있다.
본 발명의 다양한 실시예에서, 전자 장치는, 비휘발성 스토리지, 휘발성 메모리 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 블록 장치로 가상화하고, 상기 스토리지에 저장된 파일에 대한 입력 또는 출력 요청에 따라 상기 입력 또는 출력 요청에 태깅된, 암호화 여부에 대한 정보를 나타내는 암호화 태그를 기초로, 상기 입력 또는 출력 요청에 대응하는 파일의 블록을 선택적으로 암호화 또는 복호화하는 인스트럭션을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치의 동작 방법은, 메모리 상에 스토리지를 블록 장치로 가상화하는 동작 및 상기 스토리지에 저장된 파일에 대한 입력 또는 출력 요청에 따라 상기 입력 또는 출력 요청에 태깅된, 암호화 여부에 대한 정보를 나타내는 암호화 태그를 기초로, 상기 입력 또는 출력 요청에 대응하는 파일의 블록을 선택적으로 암호화 또는 복호화하는 동작을 포함할 수 있다.
본 발명의 다양한 실시예에서, 컴퓨터로 읽을 수 있는 저장매체는, 메모리 상에 스토리지를 블록 장치로 가상화하는 동작 및 상기 스토리지에 저장된 파일에 대한 입력 또는 출력 요청에 따라 상기 입력 또는 출력 요청에 태깅된, 암호화 여부에 대한 정보를 나타내는 암호화 태그를 기초로, 상기 입력 또는 출력 요청에 대응하는 파일의 블록을 선택적으로 암호화 또는 복호화하는 동작을 실행시키기 위한 명령어를 저장할 수 있다.
본 발명의 다양한 실시예에 따른 전자 장치(101)는 파일 시스템 유틸리티 구동 시, 블록에 대한 암호화 또는 복호화를 선택적으로 수행할 수도 있다.
도 12는 본 발명의 다양한 실시예에 따른 파일 시스템 유틸리티에 따른 암호화 동작에 대한 흐름도이다.
도 13은 본 발명의 다양한 실시예에 따른 파일 시스템 유틸리티에 대응하는 암호화 동작에 대한 예시도이다.
도 12를 참조하면, 동작 1210에서, 전자 장치(101)는 블록 암호화 모듈(790)을 오픈(open)할 수 있다.
전자 장치(101)는 파일 시스템 유틸리티 구동에 따라 블록 암호화 모듈(790)을 오픈할 수 있고, 파일 시스템 유틸리티 구동에 따라 구동된 파일 시스템 유틸리티에 독점적으로 블록 암호화 모듈(790)을 오픈할 수도 있다. 여기서 파일 시스템 유틸리티는 사용자 주소 공간(User Address Space)에 상주하는 프로그램으로, 커널에서 동작하는 블록 계층(780), 예를 들면 블록 암호화 모듈(790)에, 스토리지(540)에 대한 입력 또는 출력을 요청할 수 있다. 예를 들면, 파일 시스템 유틸리티 구동에 따른 입력 또는 출력은 IOCTL(I/O control) 또는 시스템 콜(system call)로 구현될 수 있다. 그리고 파일 시스템 유틸리티 구동에 대응하는 동작은 예컨대, 파일 시스템 오류 검사, 파일 시스템 복구, 포맷 툴, 리사이즈 툴 중 적어도 하나에 대응하는 동작을 포함할 수 있다.
동작 1230에서, 전자 장치(101)는 블록 암호화 모듈(790)이 암호화 동작을 수행하지 않도록, 암호화 동작 바이패스 온(bypass on)으로 설정할 수 있다. 이에 따라 블록 암호화 모듈(790)은 블록에 대한 암호화 동작을 수행하지 않을 수 있다.
동작 1250에서, 전자 장치(101)는 파일 시스템 유틸리티 프로그램(1410)에 대응하는 동작을 수행할 수 있다. 본 발명의 다양한 실시예에 따르면, 전자 장치(101)는 블록 암호화 모듈(790)이 암호화 동작을 수행하지 않는, 바이패스 상태에서 파일 시스템 유틸리티 프로그램(1410)에 대응하는 동작을 수행할 수 있다. 이에 따라, 본 발명의 다양한 실시예에 따르면, 파일 시스템 유틸리티 프로그램(1410)이 블록 암호화 장치를 통해 입출력하는 데이터는 블록 암호화 모듈(790)에서 암복호화를 수행하지 않을 수 있다. 본 발명의 다양한 실시예에서, 전자 장치(101)는 파일 시스템 유틸리티 프로그램(1410)에 대응하는 동작 시, 매핑된 블록 장치를 파일 시스템 유틸리티 프로그램(1410)에 독점적으로 오픈할 수 있어서, 파일 시스템의 동작에 따른 충돌을 방지할 수 있다.
동작 1270에서, 전자 장치(101)는 파일 시스템 유틸리티 프로그램(1410)에 대응하는 동작 수행 후, 암호화 동작 바이패스 오프로 설정할 수 있다. 이에 따라 블록 암호화 모듈(790)은 데이터에 대한 암호화 동작을 수행할 수 있다.
동작 1290에서, 전자 장치(101)는 오픈된 블록 암호화 모듈(790)을 클로즈할 수 있다.
도 13을 참조하면, 파일 시스템 유틸리티 프로그램(1310)은 스토리지(540)에 대한 입력 또는 출력을 요청할 수 있다. 파일 시스템 유틸리티 프로그램(1310)은 파일 시스템을 통하지 않고 블록 계층에 직접 접근하여 데이터를 입출력 요청할 수 있다. 파일 시스템 유틸리티 프로그램(1310)은 일반적인 경우, 파일 시스템이 생성하여 저장한 데이터 중 메타 데이터 블록 데이터를 입출력 요청할 수 있다. 본 발명의 다양한 실시예에 따르면 파일 시스템 유틸리티 프로그램(1310)은 암복호 바이패스 인터페이스(1330)를 통해 블록 암호화 모듈(790)이 암호화 동작을 수행하지 않도록 제어할 수 있다.
암복호 바이패스 인터페이스(1330)는 파일 시스템 유틸리티 프로그램(1310)의 요청에 대응하여, 블록 암호화 모듈(790)이 암호화 동작을 수행하지 않도록 제어할 수 있다. 예를 들면, 암복호 바이패스 인터페이스(1330)는 파일 시스템 유틸리티 프로그램(1310)의 요청에 대응하여, 블록 암호화 모듈(790)이 암호화 동작을 수행하지 않는, 바이패스 모드로 동작하도록 제어할 수 있다. 여기서 암복호 바이패스 인터페이스(1330)는 사용자 주소 공간과 커널 사이를 중계하는 인터페이스를 포함할 수 있다. 예컨대, 시스템 콜 또는 IOCTL과 같은 형태의 구현을 포함할 수 있다.
블록 암호화 모듈(790)은 I/O 바이패스 모듈(1330)의 제어에 따라, 블록을 암호화하지 않는 바이패스 모드로 동작할 수 있다. 본 발명의 다양한 실시예에 따르면,블록 암호화 모듈(790)은 파일 시스템 유틸리티 프로그램(1310)에 대응하는 데이터 입출력을 암호화 또는 복호화 하지 않고, 암호화 바이패스하여 스토리지(540)의 적어도 일부 영역(예:데이터 파티션(740))에 저장된 데이터를 읽거나 쓸 수 있다.
본 발명의 다양한 실시예에서, 전자 장치는, 비휘발성 스토리지, 휘발성 메모리 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 블록 장치로 가상화하고, 상기 가상화된 스토리지에 저장된 파일에 대응하는 적어도 하나의 블록을 선택적으로 암호화하고, 파일 시스템 유틸리티 구동에 따른 입력 또는 출력에 대해서는 암호화하지 않는 인스트럭션들을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치의 동작 방법은, 메모리 상에 스토리지를 블록 장치로 가상화하는 동작 및 상기 가상화된 스토리지에 저장된 파일에 대응하는 적어도 하나의 블록을 선택적으로 암호화하고, 파일 시스템 유틸리티 구동에 따른 입력 또는 출력에 대해서는 암호화하지 않는 동작을 포함할 수 있다.
본 발명의 다양한 실시예에서, 컴퓨터로 읽을 수 있는 저장매체는, 메모리 상에 스토리지를 블록 장치로 가상화하는 동작 및 상기 가상화된 스토리지에 저장된 파일에 대응하는 적어도 하나의 블록을 선택적으로 암호화하고, 파일 시스템 유틸리티 구동에 따른 입력 또는 출력에 대해서는 암호화하지 않는 동작을 실행시키기 위한 명령어를 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치는 비휘발성 스토리지, 휘발성 메모리 및 상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고, 상기 스토리지는, 실행 시에, 상기 프로세서가, 상기 메모리 상에 상기 스토리지를 가상화 하기 위한 블록 계층을 설정하고, 상기 블록 계층에 파일을 적어도 하나의 블록으로 상기 메모리에 저장하고, 상기 적어도 하나의 블록에 대하여 선택적으로 암호화하고, 및 상기 선택적으로 암호화된 블록을 포함한 상기 파일을 상기 스토리지에 저장하도록 하는 인스트럭션들을 저장할 수 있다.
본 발명의 다양한 실시예에서, 전자 장치에서 판독 가능한 기록 매체는 상기 전자 장치와 기능적으로 연결된 메모리 상에 상기 전자 장치와 기능적으로 연결된 스토리지를 가상화 하기 위한 블록 계층을 설정하는 동작, 상기 블록 계층에 파일을 적어도 하나의 블록으로 상기 메모리에 저장하는 동작, 상기 적어도 하나의 블록을 선택적으로 암호화하는 동작 및 상기 선택적으로 암호화된 블록을 포함한 상기 파일을 상기 스토리지에 저장하는 동작을 실행시키기 위한 프로그램을 저장할 수 있다.
전자 장치(101)는 파일의 속성을 기초로, 파일에 대응하는 블록의 암호화 여부를 판단하고, 판단 결과를 기초로 해당 파일에 대응하는 블록을 암호화하거나 암호화하지 않을 수 있다. 본 발명의 다양한 실시예에서, 전자 장치(101)는 파일에 대한 파일 경로, 파일 이름 중 적어도 하나를 기초로 암호화 동작 여부를 판단하고, 판단 결과를 기초로 해당 파일에 대응하는 블록을 암호화하거나 암호화하지 않을 수 있다.
일 실시예에서, 전자 장치(101)는 최초 부팅 시 또는 사용자의 요청에 따라, 파일 경로, 파일 이름 중 적어도 하나를 기초로 파일에 대응하는 블록을 암호화하거나 암호화하지 않을 수 있다. 예를 들면, 파일 시스템(490)은 IOCTL(I/O control) 또는 시스템 콜(system call)을 통해, 암호화하지 않을 파일에 대응하는 파일 경로, 파일 이름 중 적어도 하나에 대한 정보를 수신할 수 있다. 그리고 파일 시스템(490)은 수신된 파일 경로, 파일 이름 중 적어도 하나를 기초로, 적어도 하나의 파일에 대응하는 적어도 하나의 블록을 암호화할 수도 있고, 암호화하지 않을 수도 있다. 여기서 파일 이름은 런타임에 실행되는 바이너리를 의미할 수 있다.
한 실시예로, 파일 시스템(490)은 복수의 파일 중 특정 경로에 대응하는 파일 또는 특정 이름에 대응하는 파일은 암호화하지 않을 수 있고, 나머지 파일은 암호화할 수 있다. 한 실시예에서, 상기 파일 경로 혹은 파일 이름은 전자 장치(101)에 설치되거나 다운로드된 프로그램 실행 파일 경로 혹은 그 이름일 수 있다.
이에 따라 본 발명의 다양한 실시예에 따른 전자 장치(101)는 복수의 파일을 포함하는 스토리지(540)를 암호화할 때, 암호화가 필요하지 않은 파일에 대응하는 블록은 암호화하지 않을 수 있다. 그래서 본 발명의 다양한 실시예에 따른 전자 장치(101)는 스토리지 암호화 동작을 효율적으로 수행할 수 있고, 전자 장치(101)의 응용 프로그램 실행 속도를 향상시킬 수 있다.
본 발명의 다양한 실시예에 따른 전자 장치(101)는 암호화 모듈(1400)을 포함할 수 있고, 암호화 모듈(1400)은 블록을 암호화 또는 복호화할 수 있다. 암호화 모듈(1400)은 소프트웨어, 하드웨어, 펌웨어, 또는 그 조합으로 구성 될 수 있다.
도 14는 본 발명의 다양한 실시예에 따른 암호화 모듈의 블록도이다.
도 14를 참조하면, 암호화 모듈(1400)은 암호화 코어(1410), DMA 모듈(1430)을 포함할 수 있다.
암호화 코어(1410)는 데이터 암호화 또는 복호화와 관련된 전반적인 동작을 수행할 수 있다. 예를 들면, 암호화 코어(1410)는 적어도 하나의 블록을 암호화 또는 복호화 할 수 있다.
DMA(direct memory access) 모듈(1430)은 메모리(520)와 스토리지(540) 간에 데이터를 전송한다. 도 5의 DMA 모듈(530)에 대응될 수 있다.
한 실시예에 따르면, 암호화 모듈(1400)은 DMA(direct memory access)모듈(1430)을 이용한 데이터 전송 중에 데이터 암호화 또는 복호화 동작을 수행할 수 있다. 일 실시예로, 암호화 모듈(1400)은 삼성 전자의 FMP(flash memory protector) 하드웨어를 포함할 수 있다. 한 실시예에 따르면, 암호화 모듈(1400)은 DMA 전송이 요청된 블록에 암호화/복호화 수행을 요청하는 플래그(flag)가 셋업된 경우, 셋업된 플래그를 기초로 DMA 전송 중에, DMA 전송이 요청된 블록의 암호화 또는 복호화 동작을 수행할 수 있다.
한 실시예에 따르면, 암호화 모듈(1400)은 어플리케이션 프로세서에 포함될 수 있다. 예를 들면, 암호화 모듈(1400)은 프로세서(예: 프로세서(120, 210))에 포함될 수 있다. 또한, 암호화 모듈(1400)은 적어도 하나의 프로세서 및 펌웨어를 저장하는 메모리를 포함할 수도 있다. 한 실시예에 따르면, 암호화 모듈(1400)은 프로세서의 일부 또는 전부, 및 펌웨어를 저장하는 메모리에 의해 구현될 수 있다. 그리고 암호화 모듈(1400)은 암호화 회로를 의미할 수도 있다.
전자 장치(101)는 상술한 블록 암호화 모듈(790)을 통한 블록의 선택적 암호화 동작을, 암호화 모듈(1400)을 통해 수행할 수도 있다. 그래서 전자 장치(101)는 DMA 전송 중에 DMA 전송이 요청된 블록의 암호화 또는 복호화 동작을 수행할 수 있다. 예를 들면, 상술한 바와 같이 전자 장치(101)는 다양한 파일 종류 중 정규 파일에 대한 데이터 블록을 암호화 모듈(1400)을 통해 암호화할 수 있다. 예를 들면, 상술한 바와 같이 전자 장치(101)는 메타 데이터 블록이 아닌 일반 데이터 블록만을 암호화 모듈(1400)을 통해 암호화할 수 있다. 예를 들면, 전자 장치(101)는 파일 트리 스캔을 통해, 스캔된 파일의 종류, 스캔된 파일에 대응하는 접근 권한, 스캔된 파일이 속하는 그룹 중 적어도 하나를 기초로, 스캔된 파일에 대응하는 블록을 암호화 모듈(1400)을 통해 선택적으로 암호화할 수 있다. 전자 장치(101)는 암호화 태그가 태깅된 블록을 암호화 모듈(1400)을 통해 암호화할 수 있고, 비암호화 태그가 태깅된 블록은 암호화 모듈(1400)이 암호화하지 않도록 바이패스 동작할 수 있다. 또한, 전자 장치(101)는 파일 시스템 유틸리티 구동 시, 암호화 모듈(1400)이 파일 시스템 유틸리티에 대응하는 입력 또는 출력에 대한 암호화 동작을 수행하지 않도록 할 수 있다.
전자 장치(101)는 어플리케이션(예: 설정 어플리케이션)을 통해 암호화 실행 메뉴를 제공할 수 있다. 전자 장치(101)는 사용자 입력에 반응하여 전자 장치(101)에서 저장하고 있는 파일(또는 데이터)을 암호화할 수 있다. 한 실시예에 따르면, 전자 장치(101)는 전자 장치(101)에서 저장하고 있는 파일 전체를 암호화하는 방식에 대응하는 메뉴 또는 파일 전체 중 일부 파일을 선택적으로 암호화하는 방식에 대응하는 메뉴를 디스플레이(160)를 통해 제공할 수 있다. 그리고 전자 장치(101)는 제공된 메뉴를 통해, 파일 전체를 암호화하는 방식 또는 파일 전체 중 일부 파일을 선택적으로 암호화하는 방식에 대한 사용자 입력을 획득할 수 있고, 획득된 사용자 입력에 따라 상술한 암호화 동작을 수행할 수 있다.
상술한 전자 장치(101)에 대한 설명은 특정 운영 체제에 한정되지 않으며, 다양한 운영 체제에 적용될 수 있다. 이에 따라 상술한 설명에서 사용된 하나의 운영 체제에 대한 특정 용어는 다른 운영 체제에 대응하는 다른 용어를 의미할 수 있다.
상술한 전자 장치(101)에 대한 설명은 특정 파일 시스템 체제에 한정되지 않으며, 다양한 파일 시스템 체제에 적용될 수 있다. 이에 따라 상술한 설명에서 사용된 하나의 파일 시스템 체제에 대한 특정 용어는 다른 파일 시스템 체제에 대응하는 다른 용어를 의미할 수 있다.
상술한 전자 장치의 전술한 구성요소들 각각은 하나 또는 그 이상의 부품(component)으로 구성될 수 있으며, 해당 구성 요소의 명칭은 전자 장치의 종류에 따라서 달라질 수 있다. 다양한 실시예에서, 전자 장치는 전술한 구성요소 중 적어도 하나를 포함하여 구성될 수 있으며, 일부 구성요소가 생략되거나 또는 추가적인 다른 구성요소를 더 포함할 수 있다. 또한, 다양한 실시예에 따른 전자 장치의 구성 요소들 중 일부가 결합되어 하나의 개체(entity)로 구성됨으로써, 결합되기 이전의 해당 구성 요소들의 기능을 동일하게 수행할 수 있다.
본 문서에서 사용된 용어 "모듈"은, 예를 들면, 하드웨어, 소프트웨어 또는 펌웨어(firmware) 중 하나 또는 둘 이상의 조합을 포함하는 단위(unit)를 의미할 수 있다. "모듈"은, 예를 들면, 유닛(unit), 로직(logic), 논리 블록(logical block), 부품(component), 또는 회로(circuit) 등의 용어와 바꾸어 사용(interchangeably use)될 수 있다. "모듈"은, 일체로 구성된 부품의 최소 단위 또는 그 일부가 될 수 있다. "모듈"은 하나 또는 그 이상의 기능을 수행하는 최소 단위 또는 그 일부가 될 수도 있다. "모듈"은 기계적으로 또는 전자적으로 구현될 수 있다. 예를 들면,"모듈"은, 알려졌거나 앞으로 개발될, 어떤 동작들을 수행하는 ASIC(application-specific integrated circuit) 칩, FPGAs(field-programmable gate arrays) 또는 프로그램 가능 논리 장치(programmable-logic device) 중 적어도 하나를 포함할 수 있다.
다양한 실시예에 따른 장치(예: 모듈들 또는 그 기능들) 또는 방법(예: 동작들)의 적어도 일부는, 예컨대, 프로그램 모듈의 형태로 컴퓨터로 읽을 수 있는 저장매체(computer-readable storage media)에 저장된 명령어로 구현될 수 있다. 명령어는, 프로세서(예: 프로세서(120))에 의해 실행될 경우, 하나 이상의 프로세서가 명령어에 해당하는 기능을 수행할 수 있다. 컴퓨터로 읽을 수 있는 저장매체는, 예를 들면, 상기 메모리(130)가 될 수 있다.
상기 컴퓨터로 판독 가능한 기록 매체는, 하드디스크, 플로피디스크, 마그네틱 매체(magnetic media)(예: 자기테이프), 광기록 매체(optical media)(예: CD-ROM(compact disc read only memory), DVD(digital versatile disc), 자기-광 매체(magneto-optical media)(예: 플롭티컬 디스크(floptical disk)), 하드웨어 장치(예: ROM(read only memory), RAM(random access memory), 또는 플래시 메모리 등) 등을 포함할 수 있다. 또한, 프로그램 명령에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함할 수 있다. 상술한 하드웨어 장치는 다양한 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지다.
다양한 실시예에 따른 모듈 또는 프로그램 모듈은 전술한 구성요소들 중 적어도 하나 이상을 포함하거나, 일부가 생략되거나, 또는 추가적인 다른 구성요소를 더 포함할 수 있다. 다양한 실시예에 따른 모듈, 프로그램 모듈 또는 다른 구성요소에 의해 수행되는 동작들은 순차적, 병렬적, 반복적 또는 휴리스틱(heuristic)한 방법으로 실행될 수 있다. 또한, 일부 동작은 다른 순서로 실행되거나, 생략되거나, 또는 다른 동작이 추가될 수 있다.
그리고 본 문서에 개시된 실시예는 개시된, 기술 내용의 설명 및 이해를 위해 제시된 것이며, 본 개시의 범위를 한정하는 것은 아니다. 따라서, 본 개시의 범위는, 본 개시의 기술적 사상에 근거한 모든 변경 또는 다양한 다른 실시예를 포함하는 것으로 해석되어야 한다.

Claims (22)

  1. 전자 장치에 있어서,
    비휘발성 스토리지;
    휘발성 메모리; 및
    상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 메모리 상에 상기 스토리지를 가상화 하기 위한 블록 계층을 설정하고,
    상기 설정된 블록 계층에, 파일을 블록 단위로 저장하고,
    상기 블록 단위로 저장된, 상기 파일의 적어도 일부를, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하고, 상기 파일의 나머지를 암호화하지 않고,
    상기 암호화된 블록 또는 상기 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하도록 하는 인스트럭션들을 저장하는
    전자 장치.
  2. 제1항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 블록의 종류, 상기 블록에 대응하는 상기 파일의 종류, 상기 블록에 대응하는 상기 파일의 접근 권한, 상기 블록에 대응하는 상기 파일이 속하는 그룹, 상기 블록에 대응하는 상기 파일의 소유자, 상기 블록에 대응하는 상기 파일의 경로 중 적어도 하나를 기초로, 상기 파일에 대응하는 블록을 선택적으로 암호화하는 인스트럭션들을 저장하는
    전자 장치.
  3. 제1항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 스토리지에 저장된 적어도 하나의 파일에 대한 파일 트리를 스캔하고,
    상기 스캔 결과를 기초로, 상기 적어도 하나의 파일에 대응하는 블록을 선택적으로 암호화하는 인스트럭션들을 저장하는
    전자 장치.
  4. 제3항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 스캔 결과를 기초로, 정규 파일에 대응하는 블록은 암호화하고, 상기 정규 파일이 아닌 비-정규 파일에 대응하는 블록은 암호화하지 않는 인스트럭션들을 저장하는
    전자 장치.
  5. 제4항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 정규 파일이 스캔될 때마다, 상기 스캔된 정규 파일에 대응하는 블록을 암호화하는 인스트럭션들을 저장하는
    전자 장치.
  6. 제4항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 스캔 종료 후, 상기 정규 파일에 대응하는 블록을 암호화하는 인스트럭션들을 저장하는
    전자 장치.
  7. 제3항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 스토리지에 대한 암호화 전환 입력 시, 상기 스토리지에 저장된 적어도 하나의 파일에 대한 파일 트리를 스캔하는 인스트럭션들을 저장하는
    전자 장치.
  8. 제2항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 파일이 메타 데이터이면, 상기 메타 데이터에 대응하는 블록은 암호화하지 않는 인스트럭션들을 저장하는
    전자 장치.
  9. 제1항 또는 제2항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 메모리 상에 상기 스토리지를 블록 장치로 가상화하고,
    상기 메모리 상에 마운트된 파일 시스템은 상기 블록 장치에 입력 또는 출력 요청할 데이터의 암복호화 여부를 판단하고, 상기 블록 장치에 입출력 데이터의 암복호화 여부에 대한 정보를 전달하고,
    상기 블록 장치는 상기 암복호화 여부에 대한 정보를 기초로, 상기 데이터에 대응하는 블록을 선택적으로 암호화 또는 복호화하는 인스트럭션들을 저장하는
    전자 장치.
  10. 제9항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 데이터를 구성하는 블록의 종류에 따라 암호화 또는 복호화 여부를 판단하는 인스트럭션들을 저장하는 전자 장치.
  11. 제10항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 입력 또는 출력 요청에 대응하는 데이터를 구성하는 블록의 종류가 메타 데이터 블록에 해당하면, 상기 입력 또는 출력 요청에 대응하는 데이터의 블록을 암호화하지 않는 인스트럭션들을 저장하는
    전자 장치.
  12. 제10항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 판단된 암호화 또는 복호화 여부를 기초로, 상기 암복호화 여부에 대한 정보를 나타내는 암복호화 정보를 상기 입력 또는 출력 요청에 포함하는 인스트럭션들을 저장하는
    전자 장치.
  13. 전자 장치에 있어서,
    비휘발성 스토리지;
    휘발성 메모리; 및
    상기 스토리지 및 상기 메모리와 전기적으로 연결된 프로세서를 포함하고,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 메모리 상에 상기 스토리지를 블록 장치로 가상화하고,
    상기 가상화된 스토리지에 저장된 파일에 대응하는 적어도 하나의 블록을 선택적으로 암호화하고,
    파일 시스템 유틸리티 구동에 따른 입력 또는 출력에 대해서는 암호화하지 않는 인스트럭션들을 저장하는
    전자 장치.
  14. 제13항에 있어서,
    상기 스토리지는, 실행 시에, 상기 프로세서가,
    상기 파일 시스템 유틸리티 구동에 따른 입력 또는 출력에 대응하는 블록은 암호화 동작을 바이패스하도록 제어하는 인스트럭션들을 저장하는
    전자 장치.
  15. 비휘발성 스토리지 및 휘발성 메모리를 포함하는 전자 장치의 동작 방법에 있어서,
    상기 메모리 상에 상기 스토리지를 블록 장치로 가상화 하기 위한 블록 계층을 설정하는 동작;
    상기 설정된 블록 계층에 파일을 블록 단위로 저장하는 동작;
    상기 블록 단위로 저장된, 상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작; 및
    암호화된 블록 및 암호화되지 않은 블록 중 적어도 하나를 상기 스토리지에 저장하는 동작을 포함하는
    동작 방법.
  16. 제15항에 있어서,
    상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작은,
    상기 블록의 종류, 상기 블록에 대응하는 상기 파일의 종류, 상기 블록에 대응하는 상기 파일의 접근 권한, 상기 블록에 대응하는 상기 파일이 속하는 그룹 중 적어도 하나를 기초로, 상기 블록을 선택적으로 암호화하는 동작을 포함하는
    동작 방법.
  17. 제15항에 있어서,
    상기 스토리지에 저장된 적어도 하나의 파일에 대한 파일 트리를 스캔하는 동작을 더 포함하고,
    상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작은,
    상기 스캔 결과를 기초로, 상기 적어도 하나의 파일에 대응하는 블록을 선택적으로 암호화하는 동작을 포함하는
    동작 방법.
  18. 제17항에 있어서,
    상기 스캔 결과를 기초로, 상기 적어도 하나의 파일에 대응하는 블록을 선택적으로 암호화하는 동작은,
    상기 스캔 결과를 기초로, 정규 파일에 대응하는 블록을 암호화하는 동작과,
    상기 스캔 결과를 기초로, 상기 정규 파일이 아닌 비-정규 파일에 대응하는 블록은 암호화하지 않는 동작을 포함하는
    동작 방법.
  19. 제18항에 있어서,
    상기 정규 파일에 대응하는 블록을 암호화하는 동작은,
    상기 파일 트리 스캔 동작 중에 정규 파일이 스캔될 때마다, 또는 파일 트리 스캔 동작이 종료된 후, 상기 스캔된 정규 파일에 대응하는 블록을 암호화하는 동작을 포함하는
    동작 방법.
  20. 제15항에 있어서,
    상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작은,
    상기 블록 장치에 입력 또는 출력 발생 시, 입력 또는 출력에 대응하는 데이터의 암복호화 정보를 상기 블록 장치에 전달하는
    동작 방법.
  21. 제16항에 있어서,
    상기 파일을, 적어도 하나의 상기 블록 단위로, 선택적으로 암호화하는 동작은,
    상기 블록의 종류가 메타 데이터 블록에 해당하면, 상기 메타 데이터 블록에 대응하는 데이터는 암호화하지 않는 동작을 포함하는
    동작 방법.
  22. 전자 장치에서 판독 가능한 기록 매체에 있어서,
    상기 전자 장치와 기능적으로 연결된 메모리 상에 상기 전자 장치와 기능적으로 연결된 스토리지를 가상화 하기 위한 블록 계층을 설정하는 동작;
    상기 블록 계층에 파일을 적어도 하나의 블록으로 상기 메모리에 저장하는 동작;
    상기 적어도 하나의 블록을 선택적으로 암호화하는 동작; 및
    상기 선택적으로 암호화된 블록을 포함한 상기 파일을 상기 스토리지에 저장하는 동작을 실행시키기 위한 프로그램을 저장하는 기록 매체.
PCT/KR2016/011693 2015-10-19 2016-10-18 선택적 암호화 방법 및 그를 이용한 전자 장치 WO2017069489A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/769,666 US10853503B2 (en) 2015-10-19 2016-10-18 Selective encoding method and electronic device using same

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2015-0145453 2015-10-19
KR1020150145453A KR102428461B1 (ko) 2015-10-19 2015-10-19 선택적 암호화 방법 및 그를 이용한 전자 장치

Publications (1)

Publication Number Publication Date
WO2017069489A1 true WO2017069489A1 (ko) 2017-04-27

Family

ID=58557307

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2016/011693 WO2017069489A1 (ko) 2015-10-19 2016-10-18 선택적 암호화 방법 및 그를 이용한 전자 장치

Country Status (3)

Country Link
US (1) US10853503B2 (ko)
KR (1) KR102428461B1 (ko)
WO (1) WO2017069489A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230050027A1 (en) * 2021-08-10 2023-02-16 Hanwha Techwin Co., Ltd. Surveillance camera system

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10606985B2 (en) * 2017-04-27 2020-03-31 Dell Products L.P. Secure file wrapper for TIFF images
US11023601B2 (en) * 2018-04-20 2021-06-01 Rohde & Schwarz Gmbh & Co. Kg System and method for secure data handling
KR102263281B1 (ko) * 2019-02-15 2021-06-10 리걸테크 주식회사 데이터 관리 시스템 및 데이터 관리 방법
US11733931B1 (en) * 2020-07-13 2023-08-22 Meta Platforms, Inc. Software defined hybrid flash storage memory controller
US11755222B2 (en) * 2021-02-26 2023-09-12 EMC IP Holding Company LLC File based encryption for multi-pathing devices
CN113900839A (zh) * 2021-10-27 2022-01-07 Oppo广东移动通信有限公司 数据库调用方法、装置、电子设备和存储介质
US20230350593A1 (en) * 2022-04-29 2023-11-02 Stmicroelectronics Sa Method, system, and circuit for deploying file system on embedded memory in programmable computing device
US11647040B1 (en) * 2022-07-14 2023-05-09 Tenable, Inc. Vulnerability scanning of a remote file system
WO2024063519A1 (ko) * 2022-09-19 2024-03-28 주식회사 레드윗 블록체인 기반의 데이터 관리 방법, 장치 및 시스템
KR102501004B1 (ko) * 2022-09-19 2023-02-21 주식회사 레드윗 블록체인 기반의 데이터 관리 방법 및 장치

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080320316A1 (en) * 2001-04-26 2008-12-25 Vmware, Inc. Selective Encryption System and Method for I/O Operations
US8190850B1 (en) * 2009-10-01 2012-05-29 Emc Corporation Virtual block mapping for relocating compressed and/or encrypted file data block blocks
US20140164792A1 (en) * 2011-05-20 2014-06-12 Citrix Systems, Inc. Securing Encrypted Virtual Hard Disks
US8798262B1 (en) * 2010-12-23 2014-08-05 Emc Corporation Preserving LBA information between layers of a storage I/O stack for LBA-dependent encryption
US20140380035A1 (en) * 2010-12-09 2014-12-25 International Business Machines Corporation Encrypting and decrypting a virtual disc

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6496847B1 (en) * 1998-05-15 2002-12-17 Vmware, Inc. System and method for virtualizing computer systems
US6961941B1 (en) * 2001-06-08 2005-11-01 Vmware, Inc. Computer configuration for resource management in systems including a virtual machine
US20050080761A1 (en) * 2002-10-18 2005-04-14 Neoscale Systems Data path media security system and method in a storage area network
US20070083467A1 (en) * 2005-10-10 2007-04-12 Apple Computer, Inc. Partial encryption techniques for media data
US9152800B2 (en) 2012-05-03 2015-10-06 Dell Products L.P. Pluggable cryptography
US9563785B2 (en) * 2014-12-03 2017-02-07 Vmware, Inc. Optimized encryption filtering of files

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080320316A1 (en) * 2001-04-26 2008-12-25 Vmware, Inc. Selective Encryption System and Method for I/O Operations
US8190850B1 (en) * 2009-10-01 2012-05-29 Emc Corporation Virtual block mapping for relocating compressed and/or encrypted file data block blocks
US20140380035A1 (en) * 2010-12-09 2014-12-25 International Business Machines Corporation Encrypting and decrypting a virtual disc
US8798262B1 (en) * 2010-12-23 2014-08-05 Emc Corporation Preserving LBA information between layers of a storage I/O stack for LBA-dependent encryption
US20140164792A1 (en) * 2011-05-20 2014-06-12 Citrix Systems, Inc. Securing Encrypted Virtual Hard Disks

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230050027A1 (en) * 2021-08-10 2023-02-16 Hanwha Techwin Co., Ltd. Surveillance camera system
US11863908B2 (en) * 2021-08-10 2024-01-02 Hanwha Vision Co., Ltd. Surveillance camera system

Also Published As

Publication number Publication date
US20180307847A1 (en) 2018-10-25
KR102428461B1 (ko) 2022-08-03
US10853503B2 (en) 2020-12-01
KR20170045619A (ko) 2017-04-27

Similar Documents

Publication Publication Date Title
WO2017069489A1 (ko) 선택적 암호화 방법 및 그를 이용한 전자 장치
WO2017135599A1 (ko) 외부 전자 장치를 제어하기 위한 방법 및 전자 장치
WO2016137187A1 (en) Apparatus and method for providing screen mirroring service
WO2016129936A1 (ko) 보안 메시지 전송 장치 및 그 처리 방법
WO2018021862A1 (en) Method of displaying content and electronic device adapted to the same
WO2017146360A1 (ko) 전자 장치, 음향 출력 시스템 및 음향 출력 시스템을 위한 전자 장치 제어 방법
WO2017116052A1 (ko) 컨텐트 인식 장치 및 그 동작 방법
WO2018155928A1 (ko) 복수의 생체 센서를 이용하여 인증을 수행하기 위한 전자 장치 및 그의 동작 방법
WO2017086676A1 (ko) 전자 장치 및 전자 장치의 컨텐츠 출력 방법
WO2016175602A1 (en) Electronic device for providing short-cut user interface and method therefor
WO2017014587A1 (en) Electronic device and method for managing object in folder on electronic device
WO2017209530A1 (en) Method of switching application and electronic device therefor
WO2017131401A1 (ko) 전자 장치 및 전자 장치의 사용자 인터페이스 제어 방법
WO2017119690A1 (ko) 전자 장치 및 그 동작 방법
WO2018128432A1 (ko) 전자 장치 간 콘텐츠 공유 시스템 및 전자 장치의 콘텐츠 공유 방법
WO2018139857A1 (en) Electronic device and method for managing data in electronic device
WO2017209446A1 (en) Electronic device and information processing system including the same
WO2018217066A1 (ko) 생체 정보를 측정하는 전자 장치와 이의 동작 방법
WO2018044065A1 (en) Method for displaying time information in low power state and electronic device including the same
WO2018117491A1 (ko) 네트워크를 선택하는 전자 장치
WO2018038526A1 (en) Electronic device and method for measuring heart rate based on infrared rays sensor using the same
WO2018021723A1 (ko) 이미지의 유사도에 기초하여 이미지들을 연속적으로 표시하는 방법 및 장치
WO2017026679A1 (en) Electronic device for controlling file system and operating method thereof
WO2018155905A1 (ko) 식별 정보 관리 방법 및 이를 지원하는 전자 장치
WO2018048217A1 (en) Electronic apparatus and operating method thereof

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16857747

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15769666

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16857747

Country of ref document: EP

Kind code of ref document: A1