對智能移動終端中文件進行透明加解密的系統及方法
2023-04-24 20:29:36
對智能移動終端中文件進行透明加解密的系統及方法
【專利摘要】本發明涉及信息安全中的移動網際網路應用安全領域，其公開了一種對智能移動終端中文件進行透明加解密的系統及方法，解決傳統加解密方案存在的安全性不高、操作繁瑣的問題。在本發明中，當用戶請求訪問移動終端的隱私文件時，移動終端首先與智能手環進行相互身份認證，並協商生成會話秘鑰，在認證通過後獲取智能手環發送的數據保護秘鑰，掛載虛擬保密磁碟後，將保護秘鑰設置到虛擬保護磁碟的讀寫過濾驅動模塊，根據用戶具體的請求類型對虛擬磁碟進行相應操作，從而實現了基於智能手環認證、對移動終端中文件進行透明加解密的方案。本發明適用於對移動終端文件進行訪問控制。
【專利說明】對智能移動終端中文件進行透明加解密的系統及方法
【技術領域】
[0001]本發明涉及信息安全中的移動網際網路應用安全領域，具體的說，是涉及一種基於智能手環的安全認證和秘鑰託管技術，實現對智能移動終端中文件進行透明加解密的系統和方法。
【背景技術】
[0002]隨著移動網際網路技術快速發展，移動終端已經進入了智能化時代，如:智慧型手機、平板電腦等。由於移動智能終端的便捷性，可以隨時拍照、分享、甚至進行金融理財和辦公業務，因此智能移動終端上承載著越來越多的個人隱私信息，如私密照片、各種私密文件等。移動終端一旦丟失，則可能會導致大量的私人信息被洩露。同時，用戶使用移動智能終端上網時，也可能遭到病毒、木馬等惡意程序的攻擊，導致對移動終端上文件數據的安全性造成威脅。
[0003]當今市面上已經出現了各種針對移動終端中文件進行加解密的方案，這些方案大致可以分為兩類:
[0004]1、訪問控制技術:這類技術比較普遍的是採用虛擬磁碟技術，即將需要保護的文件放在虛擬磁碟的保護空間中，然後對虛擬磁碟的掛載等操作進行訪問控制。這種實現方案，在技術上非常容易破解，安全性不高。
[0005]2、非透明的文件加解密技術:這種技術對需要保護的文件進行逐一加密，訪問的時候，需要先將文件完全解密之後再正常打開使用。然而這種方案解密時間長，影響用戶體驗；其次是缺乏有效的密鑰管理方法。
[0006]透明加解密技術是指數據在使用過程中自動對數據進行加密或解密操作，無需用戶的幹預，合法用戶在使用加密的文件前，也不需要進行解密操作即可使用。表面看來，訪問加密的文件和訪問未加密的文件基本相同，對合法用戶來說，這些加密文件是「透明的」，即好像沒有加密一樣，但對於沒有訪問權限的用戶，即使通過其它非常規手段得到了這些文件，由於文件是加密的，因此也無法使用。由於動態透明加密技術不僅不改變用戶的使用習慣，而且無需用戶太多的幹預操作即可實現文檔的安全，因而近年來得到了廣泛的關注。
[0007]因此，本發明有必要提出一種基於智能手環實現對智能移動終端中文件進行透明加解密的系統和方法，解決傳統加解密方案存在的安全性不高、操作繁瑣的問題。
【發明內容】
[0008]本發明所要解決的技術問題是:提出一種對智能移動終端中文件進行透明加解密的系統及方法，解決傳統加解密方案存在的安全性不高、操作繁瑣的問題。
[0009]本發明解決上述技術問題所採用的技術方案是:
[0010]對智能移動終端中文件進行透明加解密的系統，包括
[0011]智能手環，用於完成與智能移動終端之間的初始化配對，在完成初始化配對後與該智能移動終端綁定，協商手環與智能移動終端相互認證協議及相互認證材料，並生成用於對該智能移動終端相關信息進行保密存儲的密鑰對(P，S)，私鑰S在手環中安全存儲和使用；還用於在智能移動終端創建虛擬保密磁碟後，存儲虛擬保密磁碟的信息及其保護密鑰 kvd。
[0012]在收到智能移動終端發送的針對某個虛擬保密磁碟的加載請求後，手環對智能移動終端進行認證，並生成授權信息和一次性會話密鑰ks ;然後，用授權信息調用私鑰解密kvd,最後，用會話密鑰ks加密kvd後發送給智能移動終端。
[0013]智能移動終端，用於完成與智能手環之間的初始化配對，實現與該智能手環綁定；協商手環與智能移動終端相互認證協議及相互認證材料，並設定緊急口令Epwd (用於手環丟失等不在手邊的場景)，還用於創建虛擬保密磁碟對用戶隱私文件進行保護，生成kvd，並分別安全保存到手環和移動終端。當用戶請求訪問隱私文件時，向智能手環發送獲取虛擬保密磁碟的保護密鑰kvd的請求。智能移動終端向手環證明自己的合法身份後，與其協商一次性會話密鑰ks，計算生成調用私鑰S的授權信息並發給智能手環。得到手環返回來的消息後，用會話密鑰ks解密得到保護密鑰kvd，加載虛擬保護磁碟並將kvd設置到讀寫驅動模塊，對用戶的讀寫請求進行透明的解密和加密。
[0014]具體的，所述智能手環存儲的虛擬保密磁碟相關信息包括:智能手環存儲虛擬保密磁碟的ID，虛擬保密磁碟的保護密鑰kvd。
[0015]具體的，所述智能移動終端還用於，如果在用戶請求訪問虛擬保密磁碟時，無法連接到智能手環，則提示用戶手動輸入緊急口令Epwd，在獲得用戶手動輸入的緊急口令後，利用該口令對加密後的虛擬保密磁碟的保密密鑰Kvd進行解密，並對解密後的密鑰進行驗證，如果驗證通過則加載虛擬保密磁碟並設置保密密鑰Kvd，對用戶的讀寫請求進行透明的解密和加密。
[0016]具體的，所述智能移動終端對用戶的讀寫請求進行透明的解密和加密，包括:
[0017]如果用戶的請求為讀請求，則先從虛擬保密磁碟中讀取密文,並經過虛擬保密磁碟過濾驅動模塊解密得到明文，再將明文返回給用戶；
[0018]如果用戶的請求為寫請求，則將用戶輸入的明文傳輸給虛擬保密磁碟過濾驅動，並由虛擬保密磁碟過濾驅動模塊對明文進行加密得到密文，再將密文存儲到虛擬保密磁碟中。
[0019]此外，本發明的另一目的，還在於基於上述系統提出一種對智能移動終端中文件進行透明加解密的方法，此方法的前提是手機認證手環以後，用戶已經進入手機進行操作，其方法包括以下步驟:
[0020]a.當用戶請求訪問智能移動終端中的隱私文件時，智能移動終端首先向與其綁定的智能手環發送身份認證請求並發送認證材料；
[0021]b.智能手環在收到身份認證請求後對認證材料進行驗證；
[0022]c.驗證通過後，智能移動終端與智能手環協商一次性會話密鑰ks，同時計算生成授權信息Mauth發送給智能手環；
[0023]d.智能手環得到授權信息^_後，請求調用私鑰解密kvd。最後，用會話密鑰匕加iS' kvd後發送給智能移動終端；
[0024]e.智能移動終端用ks解密智能手環返回的信息得到密鑰kvd，加載並將kvd設置到虛擬保護磁碟的讀寫驅動模塊，對用戶的讀寫請求進行透明的解密和加密。
[0025]具體的，步驟a中，所述當用戶請求訪問智能移動終端中的隱私文件時，智能移動終端會將虛擬保密磁碟的ID號和請求信息發送智能手環。
[0026]具體的，步驟a中還包括:
[0027]在用戶請求訪問虛擬保密磁碟時，如果無法連接到智能手環，則提示用戶手動輸入緊急口令Epwd，在獲得用戶手動輸入的緊急口令後，利用該口令對加密後的虛擬保密磁碟的保密密鑰Kvd進行解密，並對解密後的密鑰進行驗證，如果驗證通過則加載虛擬保密磁碟並設置保密密鑰Kvd，對用戶的讀寫請求進行透明的解密和加密。
[0028]具體的，步驟e中，所述對用戶的讀寫請求進行透明的解密和加密，包括:
[0029]如果用戶的請求為讀請求，則先從虛擬保密磁碟中讀取密文,並經過虛擬保密磁碟過濾驅動解密得到明文，再將明文返回給用戶；
[0030]如果用戶的請求為寫請求，則將用戶輸入的明文傳輸給虛擬保密磁碟過濾驅動，並由虛擬保密磁碟過濾驅動對明文進行加密得到密文，再將密文存儲到虛擬保密磁碟中。
[0031]本發明的有益效果是:
[0032]I)採用了透明加解密技術，對於移動終端用戶，不需要改變使用習慣，減少了用戶的幹預，達到實時、高效加解密效果；
[0033]2)通過智能手環對虛擬保密磁碟密鑰進行管理，在移動終端請求密鑰前對智能手環的身份信息進行自動認證，增加了安全性；
[0034]3)在手環認證丟失等情況下，用戶可以手動輸入緊急口令Epwd來解密磁碟密鑰，也增加了使用的靈活性；由於緊急口令Epwd使用的頻率較低，因此可以提高該口令的長度要求，增加安全性，並不會對易用性產生大的影響。
【專利附圖】
【附圖說明】
[0035]圖1為本發明中的對智能移動終端中文件進行透明加解密的系統示意圖；
[0036]圖2為虛擬保密磁碟文件結構圖；
[0037]圖3為本發明實施例中對智能移動終端中文件進行透明加解密方法流程圖。
【具體實施方式】
[0038]本發明旨在提出一種對智能移動終端中文件進行透明加解密的系統及方法，解決傳統加解密方案存在的安全性不高、操作繁瑣的問題。
[0039]如圖1所示，本發明中的對智能移動終端中文件進行透明加解密的系統包括:
[0040]智能手環，用於完成與智能移動終端之間的初始化配對，在完成初始化配對後與該智能移動終端綁定，協商手環與智能移動終端相互認證協議及相互認證材料，並生成用於對該智能移動終端相關信息進行保密存儲的密鑰對(P，S)，私鑰S在手環中安全存儲和使用；還用於在智能移動終端創建虛擬保密磁碟後，存儲虛擬保密磁碟的信息及其解密密鑰 kvd。
[0041]在收到智能移動終端發送的針對某個虛擬保密磁碟的加載請求後，手環對智能移動終端進行認證，並生成授權信息和一次性會話密鑰ks ;然後，用授權信息調用私鑰解密kvd。最後，用會話密鑰ks加密kvd後發送給智能移動終端。
[0042]智能移動終端，用於完成與智能手環之間的初始化配對，實現與該智能手環綁定；協商手環與智能移動終端相互認證協議及相互認證材料。還用於創建虛擬保密磁碟對用戶隱私文件進行保護，生成kvd，並分別安全保存到手環和手機端。當用戶請求訪問隱私文件時，向智能手環發送獲取虛擬保密磁碟的保護密鑰kvd的請求。智能移動終端向手環證明自己的合法身份後，與其協商一次性會話密鑰ks，計算生成調用私鑰S的授權信息並發給智能手環。得到手環返回來的消息後，用會話密鑰ks解密得到保護密鑰kvd，加載虛擬保護磁碟並將kvd設置到讀寫驅動模塊，對用戶的讀寫請求進行透明的解密和加密。
[0043]本發明中所述的「虛擬保密磁碟」是相對於硬體磁碟的虛擬存儲空間，我們這裡沿用了這種說法,在Android系統中，虛擬保密磁碟是在存儲區中生成的一個文件，用來存放多個加密文件。每次用戶訪問被保護的文字時，需要掛載該文件為一個虛擬保密磁碟，並設置正確的保護秘鑰，否則無法訪問文件中的內容。當用戶創建虛擬保密磁碟時，需產生一個保護該虛擬保密磁碟的保護秘鑰，此保護密碼即為針對該虛擬保密磁碟進行透明加解密的密鑰。為了避免單一密鑰帶來的不安全因素，該系統為每個虛擬保密磁碟單獨分配密鑰，提高安全性。當然，每個虛擬保密磁碟也都分配有唯一的ID號用於區分。
[0044]虛擬保密磁碟的文件結構如圖2所示，其包括虛擬保密磁碟文件頭和數據加密區兩部分:文件頭部分，保存了 {Hmac，Epk{kvd}，Eh(pwd) (kvd)，offset},其中Hmac是數據的摘要，用於校驗文件頭部分是否被篡改。Kvd是針對文件透明加解密的密鑰。Epk{kvd}和Eh(pwd) (kvd)則分別是採用手環公鑰和用戶口令哈希值作為密鑰採用加密算法加密後的Kvd信息。Offset是數據區的偏移位置。為對密鑰進行保護以保證安全性，本發明中將{Hmac,Epk{kvd},Eh(pwd) (kvd), of f set}數據同時備份一份到手環上面，即通過手環對密鑰進行管理。
[0045]下面以一個具體的實例來闡述基於上述系統對智能移動終端中文件進行透明加解密方法，如圖3所示，其具體包括以下實現步驟:
[0046]1.當用戶請求訪問智能移動終端中的隱私文件時，智能移動終端首先向與其綁定的智能手環發送身份認證請求並發送認證材料；
[0047]2.智能手環在收到身份認證請求後對認證材料進行驗證；
[0048]3.驗證通過後，智能移動終端與智能手環協商一次性會話密鑰ks，同時計算生成授權信息發送給智能手環；在所述步驟I的請求中包含了本次用戶期望訪問的隱私文件對應虛擬保密磁碟的ID號；而如果認證未通過，則為了便於用戶進行靈活操作，本例中還設置了手動驗證方式，即通過提示用戶輸入緊急用戶口令來解密虛擬保密磁碟的保護密鑰Kvd,並對解密後的密鑰進行驗證，如果驗證通過則加載虛擬保密磁碟並設置保密密鑰Kvd，對用戶的讀寫請求進行透明的解密和加密。
[0049]4.智能手環得到授權信息後，請求調用私鑰解密kvd。最後，用會話密鑰ks加密kvd後發送給智能移動終端；
[0050]5.智能移動終端用ks解密智能手環返回的信息得到密鑰kvd，加載並將kvd設置到虛擬保護磁碟的讀寫驅動模塊，對用戶的讀寫請求進行透明的解密和加密。
[0051]在上述步驟3和步驟5中，所述的根據用戶的具體請求類型對虛擬保密磁碟進行相應操作具體內容如下:
[0052]如果用戶的請求為讀請求，則先從虛擬保密磁碟中讀取密文,並經過虛擬保密磁碟過濾驅動解密得到明文，再將明文返回給用戶；
[0053]如果用戶的請求為寫請求，則將用戶輸入的明文傳輸給虛擬保密磁碟過濾驅動，並由虛擬保密磁碟過濾驅動對明文進行加密得到密文，再將密文存儲到虛擬保密磁碟中。
[0054]這裡的虛擬保密磁碟驅動程序加解密的核心所在，其處於應用程式之下，文件系統之上。當應用啟動時，虛擬保密磁碟先做初始化工作。這些工作都是在驅動程序的入口函數中完成。
【權利要求】
1.對智能移動終端中文件進行透明加解密的系統，其特徵在於，包括 智能手環，用於完成與智能移動終端之間的初始化配對，在完成初始化配對後與該智能移動終端綁定，協商手環與智能移動終端相互認證協議及相互認證材料，並生成用於對該智能移動終端相關信息進行保密存儲的密鑰對(P，S)，私鑰S在手環中安全存儲和使用；還用於在智能移動終端創建虛擬保密磁碟後，存儲虛擬保密磁碟的信息及其保護密鑰kvd; 在收到智能移動終端發送的針對某個虛擬保密磁碟的加載請求後，手環對智能移動終端進行認證，並生成授權信息和一次性會話密鑰ks;然後，用授權信息調用私鑰解密kvd，最後，用會話密鑰ks加密kvd後發送給智能移動終端； 智能移動終端，用於完成與智能手環之間的初始化配對，實現與該智能手環綁定；協商手環與智能移動終端相互認證協議及相互認證材料，並設定緊急口令Epwd,還用於創建虛擬保密磁碟對用戶隱私文件進行保護，生成kvd，並分別安全保存到手環和移動終端；當用戶請求訪問隱私文件時，向智能手環發送獲取虛擬保密磁碟的保護密鑰kvd的請求；智能移動終端向手環證明自己的合法身份後，與其協商一次性會話密鑰ks，計算生成調用私鑰S的授權信息並發給智能手環；得到手環返回來的消息後，用會話密鑰ks解密得到保護密鑰kvd，加載虛擬保護磁碟並將kvd設置到讀寫驅動模塊，對用戶的讀寫請求進行透明的解密和加LU O
2.如權利要求1所述的對智能移動終端中文件進行透明加解密的系統，其特徵在於，所述智能手環存儲的虛擬磁碟的信息包括:智能手環存儲虛擬保密磁碟的ID，虛擬保密磁碟的保護密鑰kvd。
3.如權利要求1所述的對智能移動終端中文件進行透明加解密的系統，其特徵在於，所述智能移動終端還用於，如果對智能手環反饋的數字證書認證不通過，則提示用戶手動輸入口令，在獲得用戶手動輸入的口令後，利用口令對加密後的虛擬磁碟密鑰進行解密，並對解密後的密鑰進行驗證，如果驗證通過則加載虛擬磁碟，並根據用戶的具體請求類型對虛擬磁碟進行相應操作。
4.如權利要求1-3任意一項所述的對智能移動終端中文件進行透明加解密的系統，其特徵在於，所述智能移動終端根據用戶的具體請求類型對虛擬磁碟進行相應操作，包括: 如果用戶的請求為讀請求，則先從虛擬保密磁碟中讀取密文，並經過虛擬保密磁碟過濾驅動模塊解密得到明文，再將明文返回給用戶； 如果用戶的請求為寫請求，則將用戶輸入的明文傳輸給虛擬保密磁碟過濾驅動，並由虛擬保密磁碟過濾驅動模塊對明文進行加密得到密文，再將密文存儲到虛擬保密磁碟中。
5.對智能移動終端中文件進行透明加解密的方法，其特徵在於，包括以下步驟: a.當用戶請求訪問智能移動終端中的隱私文件時，智能移動終端首先向與其綁定的智能手環發送身份認證請求並發送認證材料； b.智能手環在收到身份認證請求後對認證材料進行驗證； c.驗證通過後，智能移動終端與智能手環協商一次性會話密鑰ks，同時計算生成授權信息Mauth發送給智能手環； d.智能手環得到授權信息Mauth後，請求調用私鑰解密kvd，最後，用會話密鑰ks加密kvd後發送給智能移動終端； e.智能移動終端用ks解密智能手環返回的信息得到密鑰kvd，加載並將kvd設置到虛擬保護磁碟的讀寫驅動模塊，對用戶的讀寫請求進行透明的解密和加密。
6.如權利要求5所述的對智能移動終端中文件進行透明加解密的方法，其特徵在於，步驟a中，所述當用戶請求訪問智能移動終端中的隱私文件時，智能移動終端會將虛擬保密磁碟的ID號和請求信息發送智能手環。
7.如權利要求5所述的對智能移動終端中文件進行透明加解密的方法，其特徵在於，步驟a中還包括: 在用戶請求訪問虛擬保密磁碟時，如果無法連接到智能手環，則提示用戶手動輸入緊急口令Epwd，在獲得用戶手動輸入的緊急口令後，利用該口令對加密後的虛擬保密磁碟的保密密鑰Kvd進行解密，並對解密後的密鑰進行驗證，如果驗證通過則加載虛擬保密磁碟並設置保密密鑰Kvd，對用戶的讀寫請求進行透明的解密和加密。
8.如權利要求5-7任意一項所述的對智能移動終端中文件進行透明加解密的方法，其特徵在於，步驟e中，所述對用戶的讀寫請求進行透明的解密和加密，包括: 如果用戶的請求為讀請求，則先從虛擬保密磁碟中讀取密文，並經過虛擬保密磁碟過濾驅動解密得到明文，再將明文返回給用戶； 如果用戶的請求為寫請求，則將用戶輸入的明文傳輸給虛擬保密磁碟過濾驅動，並由虛擬保密磁碟過濾驅動對明文進行加密得到密文,再將密文存儲到虛擬保密磁碟中。
【文檔編號】G06F21/62GK104200176SQ201410430814
【公開日】2014年12月10日 申請日期:2014年8月28日 優先權日:2014年8月28日
【發明者】陳愛國, 羅光春, 田玲, 段貴多 申請人:電子科技大學