存儲裝置數據加密和數據訪問的系統及方法

2023-04-28 10:12:01

專利名稱：存儲裝置數據加密和數據訪問的系統及方法
技術領域：
本發明總地涉及存儲裝置數據加密和數據訪問的方法及系統。
技術背景隨著可攜式電子裝置管理個人和企業任務的可靠性提高，傳統上以物理 形式承載的文檔和媒體變為數位化，從而由電子手段來訪問和傳輸。可攜式電子裝置(例如快閃記憶體裝置、膝上型電腦、筆記本電腦、PDA、行動電話和/ 或黑莓手機等)通常裝配有多媒體和文檔訪問軟體，以方便使用可攜式電子 裝置來進行任務管理。同樣，可攜式電子裝置的存儲裝置可以存儲大量文件和文檔，例如照片、 視頻文件、音頻文件、財務文檔、收據、醫學記錄、保險信息、諸如商業計 劃之類的商業相關文檔、財務資產負債表、法律文檔等。另外，臨時網絡文 件和信息點(cookies )可以將諸如密碼之類的用戶信息存儲到可用於訪問諸 如財務文檔和/或醫學記錄之類的保密信息的網頁。由於對電子裝置未經授權的訪問可能危害到個人的隱私和機密，因此隨 著可攜式電子裝置使用量的增加，存儲在存儲裝置中的數據安全已越來越緊 迫。雖然密碼(例如，作業系統登錄密碼、BIOS密碼等)已禁止未經授權 的用戶登錄到主機裝置(例如膝上型電腦)，但是在將存儲裝置從主機系統 上移除後即可以危及這些裝置的內容。例如，數據電腦黑客可以以物理方式 將存儲裝置移除，並將其移到該數據電腦黑客有訪問權限的另一主機裝置 上。因此，需要一種對存儲在存儲裝置中的數據進行加密的安全技術，即使 在主機系統上的作業系統沒有啟動時，也可以用於保護存儲裝置上的數據，例如，如果從存儲裝置直接讀取數據，以使主機系統可以從存儲裝置上訪問 數據，則在待訪問的存儲裝置數據被解密之前，對訪問請求進行授權。發明內容在此描述存儲裝置數據加密和數據訪問的系統及方法。在本部分總述本 發明的一些實施例。一個實施例包括接收對存儲在存儲裝置上的數據進行訪問的請求，其中 所述存儲在存儲裝置上的數據已使用至少 一個加密密鑰進行了加密。響應於 接收所述請求，提示用戶提供密碼，並響應於接收匹配預定密碼的密碼，訪 問所述加密密鑰，以解密所請求的存儲在存儲裝置上的數據。在一個實施例中，所述接收請求包括接收第一會話請求，其中所述會話響應於所述系統 重啟、上電和超時結束中的至少之一而啟動。此外，在一個實施例中，響應 於接收不匹配預定密碼的密碼，將與所述系統關聯的網絡地址發送到經預識 別的接收方，以識別所述存儲裝置的位置。本發明包括方法和執行這些方法的設備，包括執行這些方法的處理系統 和當在處理系統上執行時使該系統執行這些方法的計算機可讀介質。本發明的其它特徵將根據附圖和以下的詳細描述而顯而易見。


本發明通過示例的方式示出來，並不局限於附圖，附圖中相同的附圖標 記指代相同的元件。圖1依據一個實施例示出通過攔截器模塊與主機系統通信的存儲裝置 的示例。圖2依據一個實施例示出通過攔截器模塊與存儲裝置通信的主機系統 的示範性分解圖。圖3A為依據一個實施例示出為存儲裝置數據加密和數據訪問建立密碼 的過程的流程圖。圖3B為依據一個實施例示出授權存儲裝置數據加密和數據訪問的過程 的流程圖。圖3C為依據一個實施例示出識別丟失的或被盜的可攜式裝置的過程的流程圖。圖4A為依據一個實施例描述圖3B中所示過程的示例的交互圖，該圖 示出了存儲裝置、攔截器模塊和主機系統之間用於給存儲裝置數據加密和數 據訪問進行密碼授權的交互。圖4B為依據一個實施例進一步描述圖3B中所示過程的示例的交互圖， 該圖示出了存儲裝置、攔截器模塊和主機系統之間用於存儲裝置數據訪問的 交互。圖5依據一個實施例示出創建密碼或修改密碼的界面的屏幕截圖。 圖6依據一個實施例示出保護存儲裝置的界面的屏幕截圖。 圖7A依據一個實施例示出用於訪問被保護存儲裝置的登錄屏幕的界面 的屏幕截圖。圖7B依據一個實施例示出具有密碼輸入提示的登錄屏幕的界面的屏幕截圖。圖7C依據一個實施例示出由於在圖7B中輸入無效密碼而導致的不成 功登錄的屏幕截圖。圖8依據一個實施例示出顯示密碼提示的屏幕的界面的屏幕截圖。圖9為依據一個實施例的具有處理單元、存儲器模塊、控制器、軟體模 塊和/或無線模塊的攔截器模塊的分解圖。圖IO依據一個實施例示出具有源指令組的框圖。
具體實施方式
以下描述和附圖是示例性的，並不能解釋為限制。對多個具體細節進行 了描述，以提供對本公開內容的全面理解。然而，在特定示例中，為了避免 使描述不清楚，沒有對公知的或慣用的細節進行描述。參考本公開內容中的一個實施例是指，但不一定必須，參考相同的實施例；而且這種參考意思是 參考至少一個。在本公開中參考"一個實施例"是指對包括在本公開至少一個實施例中 的實施例的有關詳細特徵、結構或特性進行描述。在本公開^^多地方出現的 短語"在一個實施例中，，不一定必須參考同樣的實施例，也不一定必須參考 與其它實施例完全不同的單獨的或可替換的實施例。而且，所描述的一些特 徵可能由一些實施例來展示，而其它實施例不展示。類似地，所描述的各種 需求可能是一 些實施例而不是其它實施例的需求。本公開的實施例包括存儲裝置數據加密和數據訪問的方法和系統。藉由硬體模塊的存儲裝置數據加密通過對存儲裝置上數據的加密，提供 了保證隱私和機密性的安全方法。諸如磁碟驅動器之類的存儲裝置上存在的 數據可以通過磁碟驅動器上所存儲數據的加密程序來得到保護。依據一個實 施例，當接收到保護存儲裝置的命令時，啟動密碼建立過程。初始建立過程使用戶建立一個或多個對存儲裝置上的數據進行訪問(例 如加密、解密、刪除、備份等)的密碼。依據一個實施例，可以為不同的系 統用戶設置不同的訪問級別(例如讀/寫/擦除的特權)。例如，可以將系統 管理員授權為從存儲裝置加密數據和解密數據。系統管理員還可以擁有啟動 用不同加密密鑰進行再加密的特權。授權的用戶可以擁有從加密的驅動器讀 出(或解密)數據的特權。依據一個實施例, 一旦完成初始建立過程，並提供了預定的密碼，則待 寫入存儲裝置的新數據可以在存儲到存儲裝置之前進行加密。另外，如果用 戶希望對所使用的磁碟驅動器進行加密，則可以將已存儲在磁碟驅動器上的 數據移動到待加密的第二存儲位置(例如同 一磁碟驅動器上的另 一存儲位 置、另一存儲裝置、系統存儲器、存儲器等)，然後再移回原始的存儲位置。依據一個實施例，可以通過提供與預定密碼相匹配的密碼，來獲得對被 保護存儲裝置的加密數據的訪問。通過提供預定密碼，對被保護存儲裝置上 的數據進行加密所使用的加密密鑰可以用於對加密的數據進行解密。在一個實施例中，將加密密鑰或掩蔽的加密密鑰存儲在主機系統的一個或多個存儲 裝置上的預定位置。存儲裝置的預定位置在啟動過程中登錄到作業系統之前 是可訪問的，從而可以訪問存儲的加密密鑰。在 一個實施例中，方法包括對存儲在存儲裝置上的數據進行訪問的請 求，其中存儲在存儲裝置上的數據已使用至少一個加密密鑰進行了加密。該 訪問存儲裝置的請求可以在系統啟動登錄到在該存儲裝置上安裝的主機操 作系統過程中，由用戶生成。該請求也可以由用戶生成，以1更運4亍在該存儲 裝置的第二分區安裝的第二作業系統。嘗試訪問具體的文件或文件夾也可以 觸發用於訪問存儲裝置上所存儲的加密數據的請求。另外，當系統或操作系 統退出休眠模式、節電模式或超時時，請求也可以自動或手動生成。通常， 該-清求會在系統啟動或系統重啟時自動生成。在一個實施例中，主機系統上的每個文件有不同的加密密鑰。在一些實 施例中，每個文件夾有不同的加密密鑰。在另一實施例中，j吏用一個加密密 鑰對所有留在存儲裝置上的數據進行加密。可以在存儲裝置或主機系統的多 個存儲裝置上實現文件特定加密密鑰、文件夾特定加密密鑰和/或分區特定 加密密鑰的組合。給文件、文件夾、分區和/或存儲裝置的加密密鑰的分配 可以是自動的或用戶指定的。另外，用於數據加密的加密密鑰可以基於用戶請求或基於自動觸發而改 變。在應用不同的加密密鑰之前，在使用不同的加密密鑰對相同的數據進行 加密之前，可以使用初始密鑰對加密的數據進行解密。例如，自動觸發可以 基於諸如數次失敗的登錄嘗試緊接著成功登錄的事件。自動觸發也可以是基 於時間的，例如當加密密鑰已被使用了預定的時間段時。在一個實施例中，該方法包括響應於接收請求，提示用戶提供密碼，並 響應於接收與預定密碼匹配的密碼，將加密密鑰應用於對所請求的存儲在存 儲裝置上的數據進行解密。例如，當主機系統退出休眠模式時，在用戶進一步使用該主機系統之前，提示用戶提供正確的密碼。將用戶提供的密碼與系統登錄之前可獲得的預定密碼進行比較。在一個實施例中，預定密碼存儲在待訪問的存儲裝置的預定 位置。例如，預定密碼可以存儲在可啟動存儲裝置的主引導記錄中。在一個 實施例中，用於一個存儲裝置的預定密碼可以存儲在另一存儲裝置上。例如， 在具有多個存儲裝置的系統中，用於從存儲裝置的預定密碼可以存儲在主存 儲裝置上。依據一個實施例，正確的密碼允許訪問用於對存儲裝置上的數據進行加 密的一個或多個加密密鑰。可替換地，密碼使系統啟動到作業系統中，而一 旦用戶登錄到系統，則附加密碼使訪問不同的分區、文件或文件夾。在一個 實施例中，正確的密碼與加密密鑰相關聯，以便對所請求的數據進行解密。可替換地，正確的密碼與加密密鑰的掩蔽版本(例如加密的版本)相關 聯，且正確的密碼可以用於對加密密鑰的掩蔽版本進行去掩蔽。在一個實施 例中，正確的密碼可以用於識別對加密密鑰的掩蔽版本進行去掩蔽的附加密 鑰。另外，加密密鑰可以以掩蔽的方式(例如，加密的、掩蔽的、私/公鑰 旋轉交換等)在裝置之間傳輸，以防止在傳輸被中途截取的情況下，加密密 鑰的機密性被破壞。所請求的存儲在存儲裝置上的數據可以使用任意合適的加密算法進行加密。例如，可使用的加密算法包括但不限於RSA、數據加密標準 (DES/3DES) 、 Blowfish算法、國際數據加密算法(IDEA)、軟體優化加 密算法(SEAL) 、 RC4、高級加密標準(AES)等。圖1依據一個實施例示出通過攔截器裝置104,在此也稱作模塊104， 與主機系統106進行通信的存儲裝置102的示例。存儲裝置102是硬碟驅動器、帶有並行埠 (PATA)的硬碟驅動器、 帶有串行埠 (SATA)的硬碟驅動器、SCSI驅動器、光碟機動器、磁驅動器、 外部存儲裝置、諸如快閃記憶體裝置之類的半導體存儲裝置或作為主機系統106外 圍的磁-光存儲裝置中的至少一種。參考圖9描述攔截器模塊104,攔截器模 塊104包括控制器、存儲器、處理單元和用於加密目的的軟體模塊。依據一 個實施例，攔截器模塊104連接在存儲裝置102和主機系統106之間。主機系統106可以是支持存儲裝置102的任一種類型的系統。例如，主 機系統可以包括但不限於桌上型計算機、筆記本電腦、膝上型電腦、掌上 電腦、行動電話、智慧型電話、PDA等。在一個實施例中，主機系統106和/ 或攔截器模塊104可以連接至網絡108。圖2依據一個實施例示出通過攔截器模塊104與存儲裝置102通信的主 機系統106的示例性示意圖。在一個實施例中，主機系統106包括處理單元202、晶片組204、存儲 器206和I/O裝置陣列，I/O裝置陣列可以包括鍵盤、指點裝置、聲音系統 和/或視頻系統等。主機系統106被示為示例性的一般概括，從而使得在不 超出本公開的精神的情況下，可以有多種該系統的變化和改進。例如，存儲 器可以位於本領域公知的"北"橋上；視頻系統可以具有其自身分立的北橋 接入，且I/0可以通過"南"橋被連接。在一個實施例中，攔截器模塊104通過晶片組204連接至主機系統106。 攔截器模塊104和存儲裝置106可以通過以下接口中的一種來連接，這些接 口例如串行ATA (SATA)、並行ATA ( PATA)接口、防火牆、SCSI 或USB。攔截器模塊104與存儲裝置104連接，依賴於不同存儲裝置的標準， 支持不同的數據傳輸速率。例如，SATA接口支持1.5Gbits/s、 3Gbits/s和 6Gbits/s的數據速率。防火牆800和防火牆400總線也具有不同的數據傳輸 速率。圖3A為依據一個實施例示出為存儲裝置數據加密和數據訪問建立密碼 的過程的流程圖300A。在步驟302,接收訪問存儲裝置的第一請求。例如，當用戶試圖登錄到 最近購買的膝上型電腦(例如主機系統)時，用戶生成對最近購買的膝上型 電腦的存儲裝置進行訪問的第一請求。另外，當用戶試圖使用新近安裝的未 使用過的存儲裝置時，由用戶生成訪問該存儲裝置的第一請求。在一個實施 例中，當用戶試圖對存儲有數據的、安裝在帶有存儲裝置數據加密功能的系 統中的存儲裝置上的已有數據進行保持時，也生成對所使用的存儲裝置進行訪問的第一請求。在步驟304中，提示用戶建立一個或多個密碼和密碼提示，如圖5的屏 幕截圖中所示的。在一個實施例中，該一個或多個密碼用於生成一個或多個 加密密鑰，從而對主機系統的一個或多個存儲裝置上的數據進行加密。在一 個實施例中，加密密鑰是預定的，且與用戶響應該請求所建立的一個或多個 密碼相關聯。另外，可以基於由用戶建立的一個或多個密碼，進一步對預定 的加密密鑰進行掩蔽(例如加密或哈希化)。依據一個實施例，基於使用錯 誤密碼導致的失敗登錄嘗試，給用戶提供密碼提示，如圖8的示例性屏幕截 圖中所示。在步驟306中，創建密碼和密碼提示的哈希版本。可以創建密碼和密碼 提示的哈希(或者掩蔽)版本，以保護密碼和密碼提示。例如，如果從存儲 裝置直接讀取數據，則密碼會以偽裝的形式出現。可以使用各種哈希算法。 依據一個實施例，加密算法可以用於掩蔽密碼。在步驟308中，密碼和/或密碼提示的哈希(或通過算法而被偽裝的) 版本存儲在存儲裝置的預定位置。依據一個實施例，密碼和/或密碼提示的 哈希版本存儲在存儲裝置的、主機作業系統不可訪問的部分。這樣，在沒有 第一次提供正確密碼的情況下，作業系統不能通過加密數據的訪問。在一個 實施例中，密碼和/或密碼提示的哈希版本存儲在同 一主機系統中的另 一存 儲裝置中。例如，從裝置的密碼可以存儲在主裝置上。在步驟310，基於該密碼確定存儲在存儲裝置上的加密數據的加密密鑰， 並為了下一步訪問，將該加密密鑰與該密碼關聯。在一個實施例中，加密密 鑰是由密碼生成的。在一個實施例中，加密密鑰是預定的，且可以基於帶密 碼的操作來進一步偽裝(例如，哈希化或加密)，從而創建安全附加層。例 如，如果密碼被破壞，則由於具體的算法對電腦黑客來說是未知的，因此加 密密鑰還會受到保護。在操作312,使用加密密鑰對存儲裝置上的數據進行加密。例如，如圖 6的示例性屏幕截圖所示，可以在窗口 602中顯示顯示的"源驅動，，列表中選擇待保護的源驅動。在一個實施例中，可以選擇"目標驅動"(例如來自圖6的"目標驅動"窗口 )，將數據從"源驅動"移動到"目標驅動，，中。 該數據可以從源驅動移動，並在目標驅動中加密。加密的數據可以移回到源 驅動或存儲在目標驅動中。在一個實施例中，不必選擇目標驅動。例如，將 存儲裝置上待加密的數據移動到待加密存儲裝置的第二存儲位置。類似地， 也可以將加密的數據移回到初始位置，或存儲在源驅動上的第二存儲位置。在一個實施例中，如果主機系統生成將數據寫到存儲裝置的請求，則在 將數據移到該存儲裝置之前，使用加密密鑰對該數據進行加密。另外，可以 在加密之前，將該數據寫到存儲裝置，以後再基於自動觸發或手動觸發進行 加密。例如，對預定時間間隔寫入的數據進行加密。類似地，可以對預定量 的寫入數據(例如5kB)同時進行加密。圖3B為依據一個實施例示出授權存儲裝置數據加密和數據訪問的過程 的流程圖300B。在步驟322中，接收訪問存儲裝置的請求。例如，該請求可以在會話啟 動後即接收。該會話可以響應於系統重啟、上電或超時(time-out)結束中 的至少一種而啟動。該會話還可以是在退出休眠模式或節電模式之後被觸 發。在一個實施例中，當存儲裝置的特定分區、文件夾或文件被訪問時，生 成該請求。而且，當駐留在存儲裝置不同分區的不同作業系統被訪問時，也 可以生成請求。在步驟324中，針對密碼提示用戶，如圖7B的示例性屏幕截圖所示。 該密碼用於授權對存儲裝置上的數據進行訪問。例如，該密碼可以用於通過 查找表^f各，來識別用於加密存儲裝置上的數據的加密密鑰。另外，如前面所 述，該密碼可以用於對加密密鑰本身進行去掩蔽。依據一個實施例，多個密 碼可用於一個存儲裝置上的不同的文件、文件夾、作業系統或分區。在步驟326中，基於預定算法，計算用戶所提交密碼的哈希版本。依據 一個實施例，可以使用加密算法。在步驟328中，對存儲在存儲裝置預定位 置的預定密鑰的哈希版本進行識別。在步驟330中，對預定密碼的哈希版本和用戶所提交密碼的哈希版本進行比較。如果確定匹配，則在步驟332中， 允許對加密密鑰的訪問。在步驟334中，對從主機系統的用戶所訪問的存儲 裝置請求的數據進行解密。在一個實施例中，加密密鑰是從攔截器模塊、主機系統和/或存儲裝置 中的一個所訪問的。例如，當從存儲裝置訪問加密密鑰時，加密密鑰淨皮存儲 在隱藏的位置或路徑。在一個實施例中，對加密密鑰的訪問包括對用於解密 加密密鑰的第二加密密鑰的訪問。例如，加密密鑰可以以偽裝的(掩蔽的、 加密的)形式進行存儲，並在正確的密碼被提供給訪問請求時，進行解密。圖3C為依據一個實施例示出識別丟失的或被盜的可攜式裝置的過程的 流程圖300C。在步驟330中，將預定密碼的哈希版本與用戶所提交密碼的哈希版本進 行比較。如果識別到不匹配，則確定已發生在預定密碼與所提交密碼之間的 不匹配的次數。如果該次數不大於預定閾值，則在步驟342中再次提示用戶 輸入密碼和/或密碼提示。例如，如圖7C的示例性截圖700C所示，無效密 碼被輸入，用戶有重試或退出的選擇。如果該次數大於預定閾值，且如果該系統連接到網絡，則在步驟344中， 向網絡伺服器報告該主機系統的IP位址。在一個實施例中，主機系統的唯 一標識符，例如MAC地址、用戶名以及工作組名稱，也可以淨皮廣^番，並與 該IP位址進行關聯。該主機系統標籤符和IP位址可以被公布在網頁上，以 便丟失電子裝置的個人去查看是否有訪問他們的裝置的任何嘗試。如果是， 則該公布的IP位址可以給他們提供關於丟失的裝置所處位置的信息。在一個實施例中，如果在嘗試登錄失敗時，該主機系統沒有連接到網絡， 則可以保存失敗的嘗試的指示符，並在下一次該系統連接到網絡時進行廣 播。除了將IP位址報告到網頁，也可以在嘗試登錄失敗的情況下，向用戶 指定的電子郵件地址發送通知。該電子郵件可以報告例如嘗試登錄失敗的次 數、用於嘗試登錄的密碼、該系統的狀態、該系統的IP位址(如果當前可 獲得)等的信息。在一個實施例中，電子郵件通知可以在訪問請求失敗時發送。在一個實施例中，如果失敗的嘗試是訪問特定文件或文件夾，則可以向 用戶指定的電子郵件地址發送電子郵件。圖4A為依據一個實施例描述圖3B中所示過程的示例的交互圖400A, 該圖示出了存儲裝置、攔截器模塊和主機系統之間用於給存儲裝置數據加密 和數據訪問進行密碼授權的交互。在步驟402中，用戶啟動會話的第一訪問，主機系統給攔截器模塊發送 請求。攔截器模塊將該請求識別為該會話的第一次請求。依據一個實施例， 在上電、超時、重啟或用於終止前一會話的一些其它觸發之後，需要開始會 話。在步驟404中，攔截器模塊從存儲裝置的隱藏位置路徑獲取密鑰的加密 版本。在步驟406中，確定密鑰在隱藏路徑中的位置，並將定位的加密密鑰 發送到攔截器模塊。在步驟408中，使用例如USB即插即用特徵，在主機系統上啟動驅動 器載入。在步驟410中，攔截器模塊生成供主機系統針對密碼提示用戶的請 求。在步驟412中，針對密碼對用戶進行提示。在用戶輸入密碼之後，在步 驟414中，系統確定該密碼是否與期望值匹配。步驟406從存儲裝置的隱藏 路徑獲取的加密密鑰也可能是使用加密算法(例如DES/3DES、 BlowFish、 AES或其它合適的加密方法)或其它方法進行加密的，以便偽裝加密密鑰。 如果密碼匹配，則該系統將密鑰解鎖，然後解鎖的密鑰用於利用諸如AES 或其它的加密算法、適合的協議來解密或加密數據。在步驟420中，處理跳 轉到圖4B的過程。在一個實施例中，如果密碼不匹配，則處理返回到步驟410，再一次針 對密碼提示用戶。在預定次數的匹配密碼失敗嘗試之後，該主^L系統可以終 止該會話(例如，通過超時或系統重啟)。在一個實施例中，給用戶提供提 示或提示問題，以幫助用戶想起密碼，或允許解鎖超控(unlock override )。 在一個實施例中，主加密密鑰是可獲得的，且使用主密碼進行訪問，以便訪 問加密的驅動。圖4B為依據一個實施例進一步描述圖3B中所示過程的示例的交互圖400B,該圖示出了在存儲裝置、攔截器模塊和主機系統之間用於存儲裝置數 據訪問的交互。在步驟452中，主機發出命令"取得數據"。在步驟454中，攔截器接 收並識別該"取得數據"命令。在步驟456，攔截器模塊解譯該命令"取得 數據"。在步驟458中，命令"取得數據"被發送到存儲裝置。在步驟460，存儲裝置接收並解譯該命令。在步驟462，響應於該命令 "取得數據"獲取所請求的數據。在步驟464，向主機發回具有所請求數據 的回覆。在步驟466，使用合適的算法(例如諸如DES/3DES、 Blowfish、 AES之類的加密算法)通過密鑰回譯來解密獲取的數據。依賴於所使用的算法， 需要加密密鑰來解密所獲取的數據(例如如上所述早先獲得的密鑰)。在一些示例中，可以通過發送包含這樣的參數的模仿命令(未示出)， 來從主機系統發送密鑰，該參數是硬碟驅動器無法解譯的，而由攔截器中途 截取，然後解譯為諸如密鑰接收命令的參數。在步驟468，將從存儲裝置獲取的所請求數據的解密版本發送到主機系 統。在步驟470,從存儲裝置獲得所請求數據的解密版本。在一個實施例中， 自動備份軟體可以通過加密函數(例如AES)，將數據備份到存儲裝置。例 如，可以將存儲裝置存儲位置處的未加密數據暫時移到待加密的第二存儲位 置，然後再移回到原始存儲位置。在一個實施例中，第二存儲位置是同一存 儲裝置上的不同存儲位置。在一個實施例中，第二存儲位置是不同的存儲裝 置。在一個實施例中，可以使用多次隨機重寫，將原始(例如未加密的)數 據移除，以擦除未加密的數據，從而將存儲裝置上的數據加密。圖5依據一個實施例示出創建密碼或修改密碼的界面的屏幕截圖500。 屏幕截圖500示出用於密碼維護的安全訪問屏幕。在一個實施例中，安 全訪問屏幕包括檢查框"禁止密碼安全，，，從而在訪問存儲裝置以登錄操作 系統之前或訪問存儲裝置上的數據之前，禁止密碼授權。例如，如果"禁止密碼安全"框被選擇，則在登錄或建立主機系統之前，不需要填寫密碼域和 提示域。在這種情況下，存儲在存儲裝置的數據可以不加密。或者，存儲在 存儲裝置上的數據可以進行加密，但在數據訪問之前不提供密碼的情況下， 用於解密的加密密鑰是可獲得的。在一個實施例中，通過在"新密碼"和"確認新密碼"域中輸入期望的 密碼，來設定新密碼以保護存儲裝置。在這種情況下，"當前密碼"域可以 是空。在一個實施例中，通過在"當前密碼"域中提供正確密碼，並在"新 密碼"和"確認新密碼"域中輸入期望的密碼，來修改已有的密碼。"提示"域可用於輸入只有用戶知道答案的問題。這個問題可以在用戶 忘記密碼時提問，例如當不正確密碼被輸入預定次數時。該"提示"域還可 用於輸入密碼提示，例如"該密碼與多利阿姨的生日有關"，以使用戶想起 密碼。在一個實施例中，用戶可以暗示他或她已忘記了密碼，並在提交不正 確定密碼預定次數之前，請求看到密碼提示。圖6依據一個實施例示出保護存儲裝置的界面的屏幕截圖600。屏幕截圖600示出通過存儲裝置上數據的數據加密來保護存儲裝置的 示例。在一個實施例中，從子窗口 602下面列出的存儲裝置列表中選擇源驅 動(例如通過數據加密待保護的存儲裝置)，並從子窗口 604下面列出的存 儲裝置列表中選擇目標驅動。例如，源驅動為有數據要保護的存儲裝置。源 驅動上的數據可被加密，並移動到目標驅動進行存儲。在一個實施例中，源 驅動上的數據可以移到目標驅動進行加密，並從源驅動擦除。然後，將加密 的數據移回到源驅動進行存儲。在一個實施例中，該過程涉及一個存儲裝置(例如源驅動)。例如，將 源驅動上待加密的數據移到待加密的另一存儲位置。依據一個實施例，將原 始存儲位置上的未保護數據擦除，並將存儲在另 一存儲位置的加密數據移回 到原始存儲位置進行存儲。圖7A依據一個實施例示出用於訪問被保護存儲裝置的登錄屏幕的界面 的屏幕截圖700A。屏幕截圖700A示出用於授權存儲裝置的數據訪問的兩級安全訪問的示 例。在一個實施例中，在訪問能被同意的存儲裝置之前，在"密碼"域輸入 預定密碼。在一個實施例中，在訪問能被同意的存儲裝置之前，除正確密碼 之外，還將顯示在位圖窗口的文本輸入到"位圖窗口"域。 一旦填寫"密碼" 域，就可以點擊"登錄"圖標，以驗證訪問，並基於成功的驗證，同意訪問。圖7B依據一個實施例示出具有密碼輸入提示(password prompt)的登 錄屏幕的界面的屏幕截圖700B。依據一個實施例，預定密碼淨皮輸入到"請輸入密碼"域中，以訪問系統 (例如登錄到一個或多個作業系統和/或訪問一個或多個存儲裝置)。圖7C依據一個實施例示出由於在圖7B中輸入無效密碼而導致的不成 功登錄的屏幕截圖700C。依據一個實施例，基於不成功登錄，用戶可以選擇退出或重試。可以有預定的次數供用戶提交無效密碼。當預定次數已達到，則系統可能退出或如 圖8的實施例所示給用戶提供密碼提示。屏幕截圖800示出給用戶顯示密碼提示的提示符的示例。如果用戶忘記 了密碼，則可以請求該密碼提示提示符。在一個實施例中，當發生預定次數 的不正確密碼提交時，觸發密碼提示提示符。例如，如果用戶提交了三次不 正確密碼，則系統可以提供在密碼設定階段指定的密碼提示。圖9為依據一個實施例的具有處理單元902、存儲器模塊、控制器、軟 件模塊和/或無線模塊的攔截器模塊104的原理圖。處理單元902可以包括各種軟體實例，例如加密^t塊和/或"t喿作系統。 加密模塊的一個實施例包括執行一個或多個加密算法以保護並解密存儲裝 置上所存儲的數據的代碼。在一個實施例中，不同的加密算法可以用於不同 的存儲裝置，控制器和/或存儲器能夠將相關加密算法與使用該加密算法進 行加密的存儲裝置進行關聯。在一個實施例中，加密模塊包括存儲一個或多 個加密密鑰的存儲器，該加密密鑰與一個或多個加密算法一起^f吏用，來保護 一個或多個存儲裝置。可替換地，加密密鑰由可替換攔截器模塊104的裝置在攔截器模塊104的加密/解密處理過程中提供。例如，該一個或多個加密 密鑰可以基於授權被發送到攔截器模塊104。在一個實施例中，授權可以採 用多種形式中的一種，例如識別主機系統的用戶身份的密碼授權。圖IO示出計算機系統1000示例性形式的設備的圖示，在該設備中可以 執行一套指令，使設備執行在此所討論的方法中的一個或多個。在可替換實 施例中，該設備操作為獨立的裝置或可以連接(例如通過網絡連接)到其它 設備。在以網絡方式進行的配置中，該設備可以以伺服器的性能來運行，或 在客戶端-伺服器網絡環境中以客戶端設備來運行，或操作為點對點(或分 布式)網絡環境中的點設備。該設備可以是伺服器計算機、客戶端計算機、 個人計算機(PC)、平板計算機、機頂盒(STB)、個人數字助理(PDA)、 蜂窩電話、網頁裝置、網絡路由器、網絡交換機或網橋、或能夠執行指明該 設備所採取的行動的(順序的或其它的) 一套指令的設備。而且，雖然只說 明了單個設備，但詞"設備"應該認為也包括設備的任意集合，該集合獨立 地或連帶地執行一套(多套)指令以執行在此所述的方法中的任意一個或多 個。雖然機器可讀介質1022在示例性實施例中示為單個介質，但詞"機器 可讀介質"應該認為包括存儲一套或多套指令的單個介質或多個介質(例如 集中式的或分布式的資料庫和/或關聯的高速緩衝和伺服器)。詞"機器可 讀介質"還應該認為包括能夠存儲、編碼或攜帶由設備執行的一套指令，並 使該設備執行本發明方法中的一個或多個的任意介質。通常，為執行本公開 的實施例所執行的例程可以作為作業系統或特定應用、部件、程序、對象、 模塊或稱作"電腦程式"的指令順序的一部分來執行。該電腦程式通常 包括在各種時間設置在計算機中各種存儲器和存儲設備中的一條或多條指 令，當計算機中的一個或多個處理器執行和讀取這些指令時，使計算機執行 操作，以實現本公開的各個方面所涉及的部件。而且，雖然在完全的機能計算機和計算機系統的背境中描述了實施例， 但是本領域技術人員應該理解各種實施例能夠以各種形式劃分為程序產品，21且本公開平等地應用這些程序，而不考慮實際上用於影響分布的設備或計算 機可讀介質的具體類型。計算機可讀介質的示例包括但不限於可記錄型介 質，例如易失和非易失的存儲器裝置、軟盤和其它可移除的盤、硬碟驅動器、光碟(例如壓縮盤只讀存儲器(CDROMS)、數字通用盤(DVD)等)， 除此之外還有諸如數字和模擬通信鏈路之類的傳輸型介質。儘管參考具體的示例性實施例描述了實施例，但明顯的是可以對這些實 施例進行各種修改和變化。因此，說明書和附圖被認為是示例性的而不是限 制性的。前述說明提供了參數具體示例性實施例的描述。明顯的是在不超出 權利要求中所記載的較寬精神和範圍的情況下，可以對實施例進行各種修 改。因此，說明書和附圖^1認為是示例性的而不是限制性的。
權利要求
1、一種方法，包括以下步驟接收對存儲在存儲裝置上的數據進行訪問的請求，其中所述存儲在存儲裝置上的數據已使用至少一個加密密鑰進行加密；響應於接收所述請求，提示用戶提供密碼；並且響應於至少接收與預定密碼匹配的密碼表示，訪問所述加密密鑰，以解密所請求的存儲在存儲裝置上的數據。
2、 如權利要求l所述的方法，其中所述存儲裝置為磁碟驅動器。
3、 如權利要求l所述的方法，其中所述存儲裝置為系統外圍的存儲裝置。
4、 如權利要求3所述的方法，其中所述方法由連接在所述存儲裝置和 所述系統之間的攔截器來執行，並且其中所述攔截器包括至少 一控制器和存儲器。
5、 如權利要求4所述的方法，其中自所述攔截器、所述系統和所述存 儲裝置中的一個訪問所述加密密鑰。
6、 如權利要求5所述的方法，包括自所述存儲裝置的隱藏位置獲取所 述加密密鑰。
7、 如前述權利要求中任一項所述的方法，包括響應於所述系統重啟、 上電和超時結束中的至少之一來啟動所述請求。
8、 如前述權利要求中任一項所述的方法，其中所述訪問所述加密密鑰 的步驟包括訪問用於解密所述加密密鑰的第二加密密鑰。
9、 如前述權利要求中任一項所述的方法，包括使用所述加密密鑰來解 密所請求的數據。
10、 如權利要求9所述的方法，包括將所解密的數據從所述存儲裝置的 第 一存儲位置至少移到第二存儲位置，並使用所述加密密鑰來再加密該數據。
11、 如權利要求10所述的方法，進一步包括將所加密的數據移回到所述第一存儲位置。
12、 如前述權利要求中任一項所述的方法，進一步包括響應於至少接 收與預定密碼不匹配的密碼表示，將與所述系統關聯的網絡地址發送到預識 別的接收方，以便識別所述存儲裝置的位置。
13、 如權利要求12所述的方法，其中所述預識別的接收方為預識別的網頁。
14、 一種存儲有指令組的機器可讀介質，其中在所述指令組被執行時， 執行一種包括以下步驟的方法接收對存儲在存儲裝置上的數據進行訪問的請求，其中所述存儲在存儲 裝置上的數據已使用至少 一個加密密鑰進行加密； 響應於接收所述請求，提示用戶提供密碼；響應於至少接收與預定密碼匹配的密碼表示，訪問所述加密密鑰，以解 密所請求的存儲在存儲裝置上的數據。
15、 如權利要求14所述的機器可讀介質，其中所述存儲裝置為系統外 圍的存儲裝置。
16、 如權利要求15所述的機器可讀介質，其中所述方法由連接在所述 存儲裝置和所述系統之間的攔截器來執行，並且其中所述攔截器包括至少一控制器和存儲器。
17、 如權利要求16所述的機器可讀介質，其中自所述攔截器、所述系 統和所述存儲裝置中的一個訪問所述加密密鑰。
18、 如權利要求17所述的機器可讀介質，其中所述加密密鑰在自所述 存儲裝置訪問時存儲在隱藏路徑中。
19、 如權利要求17所述的機器可讀介質，其中所述接收所述請求的步 驟包括接收第一會話請求，並且其中響應於所述系統重啟、上電和超時結束 中的至少之一來啟動所述會話。
20、 如權利要求14所述的機器可讀介質，其中進一步響應於至少接收與預定密碼匹配的密碼表示，將數據從所述存儲裝置的第 一存儲位置至少移 到第二存儲位置，並使用所述加密密鑰來加密所述數據。
21、 一種電腦程式，其在合適的系統上運行時執行權利要求1至13 中任一項所述的方法。
22、 一種系統，包括以下裝置用於接收對存儲在存儲裝置上的數據進行訪問的請求的裝置，其中所述 存儲在存儲裝置上的數據已使用至少 一個加密密鑰進行加密；用於響應於接收所述請求來提示用戶提供密碼的裝置；以及 用於響應於至少接收與預定密碼匹配的密碼表示來訪問所述加密密鑰 以解密所請求的存儲在存儲裝置上的數據的裝置。
23、 一種攔截器裝置，其連接在主機系統和該系統的數據存儲裝置之間， 其中存儲在所述存儲裝置上的數據已使用至少 一個加密密鑰進行加密，所述攔截器裝置至少包括處理器和存儲器，並且所述攔截器裝置以可操 作的方式從所述主機系統接收對存儲在所述存儲裝置上的數據進行訪問的請求； 響應於所述請求來提示用戶提供密碼；並且響應於至少接收與預定密碼匹配的密碼表示，訪問所述加密密鑰，以解 密所請求的數據。
24、 如權利要求23所述的裝置，其中所述攔截器裝置以可操作方式自 所述攔截器裝置、所述主機系統和所述存儲裝置中的一個訪問所述加密密鑰。
25、 如權利要求24所述的裝置，其中所述攔截器裝置以可操作方式自 所述存儲裝置的隱藏位置訪問所述加密密鑰。
26、 如權利要求23、 24或25所述的裝置，其中以可操作方式對所述加 密密鑰的加密版本進行解密，以訪問所述加密密鑰。
27、 如權利要求26所述的裝置，其中以可操作方式使用所訪問的加密 密鑰來解密所請求的數據。
28、 如權利要求27所述的裝置，其中所述攔截器裝置以可操作方式向 所述主機系統提供所解密的數據。
29、 一種方法，包括以下步驟 接收對存儲裝置進行訪問的請求； 響應於接收所述請求，提示用戶提供密碼；響應於所述密碼的提供，創建加密密鑰，並將該加密密鑰與所述密碼進 行關聯；使用所述加密密鑰對數據進行加密；並且 將所加密的數據存儲到所述存儲裝置上。
30、 如權利要求29所述的方法，包括創建所述密碼的掩蔽版本。
31、 如權利要求30所述的方法，包括將所述密碼的掩蔽版本存儲在所 述存儲裝置的預定位置。
32、 如權利要求29、 30或31所述的方法，包括根據所述密碼生成所述加密密鑰。
33、 如權利要求29、 30或31所述的方法，包括創建所述加密密鑰的掩蔽版本。
34、 如權利要求29、 30、 31、 32或33所述的方法，包括存儲所述加密 密鑰或所述加密密鑰的掩蔽版本。
35、 如權利要求29所述的方法，包括選擇待加密的位於源位置的數據， 將所述數據移到目標位置，並使用所述加密密鑰對在所述目標位置的所述數 據進行加密。
36、 一種系統，包括以下裝置用於接收對存儲裝置進行訪問的請求的裝置； 用於響應於接收所述請求來提示用戶提供密碼的裝置； 用於響應於所述密碼的提供來創建加密密鑰並將該加密密鑰與所述密 碼進行關聯的裝置；用於使用所述加密密鑰對數據進行加密的裝置；以及用於將所加密的數據存儲到所述存儲裝置上的裝置。
37、 一種電腦程式，其在合適的系統上運行時執行權利要求29至35 中任一項所述的方法。
38、 一種載體，其用於承載如權利要求37所述的電腦程式。
39、 如權利要求38所述的載體，其中所述載體為機器可讀介質。
全文摘要
在此描述一種存儲裝置數據加密和數據訪問的系統和方法。本部分總述本發明的一些實施例。一個實施例包括接收對存儲在存儲裝置上的數據進行訪問的請求，其中所述存儲在存儲裝置上的數據已使用至少一個加密密鑰進行加密。響應於接收所述請求，提示用戶提供密碼，並響應於接收與預定密碼相匹配的密碼，訪問所述加密密鑰，以解密所請求的存儲在存儲裝置上的數據。
文檔編號G06F12/14GK101246455SQ200810000300
公開日2008年8月20日 申請日期2008年1月30日 優先權日2007年1月30日
發明者尼古拉斯·安東諾普洛斯, 斯瑞·M·耶爾 申請人:科技資產股份有限公司