一種可信安全移動存儲裝置的製作方法
2023-05-19 06:17:41 1
專利名稱：一種可信安全移動存儲裝置的製作方法
技術領域：
本發明涉及信息安全技術領域，特別是可信安全移動存儲裝置。
背景技術：
近年來，移動存儲技術發展迅速，不論是存儲容量，還是讀寫的速度，都達到了一 個非常高的水平。目前，市場上有兩種移動存儲設備深受消費者喜愛，一種俗稱U盤，另一 種俗稱移動硬碟。這兩類移動存儲設備為用戶提供便攜的數據存儲方案。U盤存儲容量通 常在32MB和64GB之間變化。U盤與外界的數據傳輸通常遵循USB 1.1和2.0標準，傳輸 速率最高可達480Mbps。由於成本和價格的影響，市售普通U盤的容量一般不會太大，通常 為幾個GB左右。為了滿足低成本高容量的要求，移動硬碟逐步進入市場主流。移動硬碟採 用PC機或筆記本中常用的硬碟作為主要部件，外加數據轉換電路和USB接口。由於PC或 筆記本中的硬碟技術上非常成熟，以較低的價格就能獲得較高的存儲容量，通常能達到幾 百個GB。移動硬碟通常採用USB接口，滿足了用戶即插即用、便攜性的要求。現有技術中的U盤和移動硬碟由於採用USB接口，用戶可以非常方便地在不同的 具有USB接口的設備，如PC機、筆記本電腦和PDA等上使用，這為用戶提供了極大的便利性 和通用性。但是，對於對數據的安全性和保密性有特殊需求的用戶，如軍隊、保密部門、政 府機構、企業的研發設計部門等，U盤和移動硬碟的便攜性和通用性卻帶來了很大的安全隱 患。有的企業員工通過U盤或移動硬碟可以非常容易地將企業的某些機密數據拷出，導致 機密數據洩密。為了防止洩密，有的企業將員工的電腦中的USB接口採用某些物理手段封 鎖，從而禁止用戶使用U盤和移動硬碟，這會給用戶的正常數據傳遞帶來困難。因此，U盤 和移動硬碟的便攜、通用性和安全、保密性互相矛盾，使得用戶要麼犧牲便攜和通用性，要 麼犧牲安全和保密性。近年來，隨著可信計算技術的發展，可信計算設備(可信PC機、可信伺服器、 可信手機等)逐步走向市場。可信計算設備通過在傳統計算設備中嵌入可信安全模塊 (如國際上通用的TPM(TrustedPlatform Module)模塊和國內自主研發的TCM(Trusted CryptographyModule)模塊)作為系統的安全根來構建可信計算平臺。該可信計算平臺能 夠對外報告自身的身份，以用於身份鑑別。但是可信計算平臺與移動存儲裝置的安全使用， 未見技術報導。
發明內容
為了解決上述現有技術中存在的問題，本發明的目的是提供一種可信安全移動存 儲裝置。它將移動存儲設備和可信計算設備進行身份綁定，確保移動存儲設備中的數據只 能在局部範圍內流轉，有效防止數據洩密。為了達到上述發明目的，本發明的技術方案以如下方式實現—種可信安全移動存儲裝置，它包括移動存儲設備和與移動存儲設備相互連接的 可信計算設備。其結構特點是，所述移動存儲設備包括
訪問控制單元，具有相互連接的對數據傳輸進行控制的USB數據傳輸協議、訪問 控制協議以及數字籤名和認證協議，提供訪問控制和數據傳輸控制服務，USB數據傳輸協議 對數據傳輸進行控制，訪問控制協議判斷外部可信計算設備的訪問權限，數字籤名和認證 協議提供籤發數字證書、導入和導出數字證書、數字籤名以及驗證數字籤名服務； 密碼學服務單元，與訪問控制單元相互連接提供密碼學服務，包括生成真隨機數 的隨機數生成器、摘要算法、對稱加密算法、非對稱加密算法以及數字籤名算法和數字籤名 驗證算法；數據存儲單元，與訪問控制單元相互連接，存儲數據或信息；USB接口，與訪問控制單元中相互連接，為移動存儲設備與外部設備通訊的接口 ；所述移動存儲設備與可信計算設備以數字籤名和籤名認證的方式進行身份綁定， 可信計算設備包括相互連接的可信應用程式、可信OS Kernel、可信Boot Loader、可信 BI0S/EFI和可信密碼模塊TCM，可信密碼模塊TCM作為可信計算設備的可信根，基於該可信 根構建可信計算環境。在上述可信安全移動存儲裝置中，所述移動存儲設備和可信計算設備之間的身份 綁定是指雙方分別獲取對方的數字證書，並進行數字籤名和籤名認證，只有相互認證通過 後可信計算設備才可以從移動存儲設備的數據存儲單元中讀出或寫入數據。在上述可信安全移動存儲裝置中，所述一個可信計算設備能同時綁定一個或多個 移動存儲設備，一個移動存儲設備能同時綁定一個或多個可信計算設備。在上述可信安全移動存儲裝置中，所述可信應用程式中包括外部設備訪問代理程 序，外部設備訪問代理程序通過USB接口與移動存儲設備訪問控制單元的USB數據傳輸協 議相互連接。在上述可信安全移動存儲裝置中，所述可信根是指可信度量根、可信報告根和可 信存儲根。在上述可信安全移動存儲裝置中，所述可信計算設備是指可信PC機、可信伺服器 或者可信手機。在上述可信安全移動存儲裝置中，所述摘要算法採用MD5算法、SHA算法或者SM3 算法；對稱加密算法採用DES算法、3DES算法、IDEA算法或、SMS4算法、SSF33算法或者SCB2 算法；對稱加密算法採用RSA算法或者ECC算法；數字籤名算法和籤名驗證算法採用DSA算 法、RSA算法、ECC籤名或者籤名驗證算法。本發明由於採用了上述結構，將移動存儲設備通過數字籤名和籤名認證的方式與 可信計算設備進行身份綁定。只有經過身份綁定，可信計算設備才可以對移動存儲設備中 的數據存儲單元進行讀寫操作。本發明兼顧了移動存儲設備的通用移動性和安全保密性， 適用於對數據保密性要求較高的用戶。下面結合附圖和具體實施方式
對本發明作進一步說明。
圖1是本發明的結構原理示意圖；圖2是本發明實施例一的移動存儲設備結構示意圖；圖3是本發明實施例二的移動存儲設備結構示意圖。
具體實施例方式參看圖1，本發明包括移動存儲設備和與移動存儲設備相互連接的可信PC機、可信伺服器或者可信手機等可信計算設備。移動存儲設備與可信計算設備以數字籤名和籤名 認證的方式進行身份綁定，這種身份綁定是指雙方分別獲取對方的數字證書，並進行數字 籤名和籤名認證，只有相互認證通過後可信計算設備才可以從移動存儲設備的數據存儲單 元中讀出或寫入數據。一個可信計算設備能同時綁定一個或多個移動存儲設備，一個移動 存儲設備能同時綁定一個或多個可信計算設備。可信計算設備包括相互連接的可信應用程 序、可信OSKernel、可信Boot Loader、可信BI0S/EFI和可信密碼模塊TCM。可信密碼模塊 TCM作為可信計算設備的可信根，基於該可信根構建可信計算環境，可信根包括可信度量 根、可信報告根和可信存儲根。可信應用程式中包括外部設備訪問代理程序，外部設備訪問 代理程序通過USB接口與移動存儲設備訪問控制單元的USB數據傳輸協議相互連接。移動 存儲設備包括訪問控制單元，包括相互連接的對數據傳輸進行控制的USB數據傳輸協議、訪問 控制協議以及數字籤名和認證協議，提供訪問控制和數據傳輸控制服務，USB數據傳輸協議 對數據傳輸進行控制，訪問控制協議判斷外部可信計算設備的訪問權限，數字籤名和認證 協議提供籤發數字證書、導入和導出數字證書、數字籤名以及驗證數字籤名服務；密碼學服務單元，與訪問控制單元相互連接提供密碼學服務，包括生成真隨機數 的隨機數生成器、摘要算法、對稱加密算法、非對稱加密算法以及數字籤名算法和數字籤名 驗證算法；摘要算法採用MD5算法、SHA算法或者SM3算法；對稱加密算法採用DES算法、 3DES算法、IDEA算法或、SMS4算法、SSF33算法或者SCB2算法；對稱加密算法採用RSA算 法或者ECC算法；數字籤名算法和籤名驗證算法採用DSA算法、RSA算法、ECC籤名或者籤 名驗證算法；數據存儲單元，與訪問控制單元相互連接，存儲數據或信息；USB接口，與訪問控制單元中相互連接，為移動存儲設備與外部設備通訊的接口 ；參看圖2，本發明實施例一中的訪問控制單元採用TI 0MAP3530晶片，TI 0MAP3530 晶片是Texas Instruments公司的一款集成多種功能的運算處理器，負責各種算術和邏 輯運算。密碼學服務單元採用MT29C2G24MAKLAJA存儲晶片，MT29C2G24MAKLAJA存儲芯 片內部分為兩個區域，第一個區域用於臨時數據交換區，是處理器進行運算時的數據緩 存區；第二個區域用於存儲嵌入式作業系統和各種應用程式(包括各種協議和密碼學算 法)的軟體代碼。數據存儲單元採用相互連接的MT29F32G08QAAWP存儲晶片和JMF602 晶片，MT29F32G08QAAWP存儲晶片單片容量為8GB，是用戶普通數據的存儲區，通過陣列 方式採用多個本晶片可以進一步擴大存儲容量JMF602晶片是一存儲控制器，用於對 MT29F32G08QAAWP存儲晶片中數據的讀出和寫入進行存儲控制。USB接口採用USB3316QFN 晶片，USB3316QFN晶片為USB控制器，用於控制內外部數據以USB方式進行交互。上述本 發明實施例一是一種安全U盤方案。參看圖3，通過對實施例一中數據存儲單元的替換，本發明可以方便進行移植，獲 得一種安全移動硬碟方案。本發明實施例二中的訪問控制單元、密碼學服務單元和USB接 口採用的晶片均與實施例一中的一樣，僅數據存儲單元改用相互連接的數據接口轉換電路和普通2. 5或3. 5寸硬碟。通過這種實施方式實現的安全移動硬碟，不僅安全性，容量也大。本發明的移動存儲設備與可信計算機之間的身份認證和綁定過程如下
(1)安全移動存儲設備和可信計算機從可信第三方獲取表徵自身身份的數字證 書。(2)當安全移動存儲設備通過USB接口接入可信計算機後，雙方分別向對方提交 數字證書。(3)雙方分別校驗對方數字證書的有效性。只要有一方校驗不通過，雙方之間的數 據訪問終止。若校驗全部通過，轉步驟(4)。(4)雙方均從對方的數字證書中提取出對方的公鑰，存入內部存儲區。(5)雙方均將對方加入自身的允許訪問控制列表或拒絕訪問控制列表。只要有一 方將對方加入自身的拒絕訪問控制列表，雙方之間的數據訪問終止。若雙方均將對方加入 自身的允許訪問控制列表，轉步驟(6)。(6)雙方建立身份綁定關係，可信計算機可以從移動存儲設備的存儲單元中讀出 或寫入數據。(7)當下一次雙方開始通訊時，雙方通過數字籤名和籤名認證，以確認對方身份。 確認身份後，若雙方已建立身份綁定關係則可以進行數據傳輸，否則通訊終止。
權利要求
一種可信安全移動存儲裝置，它包括移動存儲設備和與移動存儲設備相互連接的可信計算設備，其特徵在於，所述移動存儲設備包括訪問控制單元，具有相互連接的對數據傳輸進行控制的USB數據傳輸協議、訪問控制協議以及數字籤名和認證協議，提供訪問控制和數據傳輸控制服務，USB數據傳輸協議對數據傳輸進行控制，訪問控制協議判斷外部可信計算設備的訪問權限，數字籤名和認證協議提供籤發數字證書、導入和導出數字證書、數字籤名以及驗證數字籤名服務；密碼學服務單元，與訪問控制單元相互連接提供密碼學服務，包括生成真隨機數的隨機數生成器、摘要算法、對稱加密算法、非對稱加密算法以及數字籤名算法和數字籤名驗證算法；數據存儲單元，與訪問控制單元相互連接，存儲數據或信息；USB接口，與訪問控制單元中相互連接，為移動存儲設備與外部設備通訊的接口；所述移動存儲設備與可信計算設備以數字籤名和籤名認證的方式進行身份綁定，可信計算設備包括相互連接的可信應用程式、可信OS Kernel、可信Boot Loader、可信BIOS/EFI和可信密碼模塊TCM，可信密碼模塊TCM作為可信計算設備的可信根，基於該可信根構建可信計算環境。
2.根據權利要求1所述的可信安全移動存儲裝置，其特徵在於，所述移動存儲設備和 可信計算設備之間的身份綁定是指雙方分別獲取對方的數字證書，並進行數字籤名和籤名 認證，只有相互認證通過後可信計算設備才可以從移動存儲設備的數據存儲單元中讀出或 寫入數據。
3.根據如權利要求1或2所述的可信安全移動存儲裝置，其特徵在於，所述一個可信計 算設備能同時綁定一個或多個移動存儲設備，一個移動存儲設備能同時綁定一個或多個可 信計算設備。
4.根據權利要求3所述的可信安全移動存儲裝置，其特徵在於，所述可信應用程式中 包括外部設備訪問代理程序，外部設備訪問代理程序通過USB接口與移動存儲設備訪問控 制單元的USB數據傳輸協議相互連接。
5.根據權利要求4所述的可信安全移動存儲裝置，其特徵在於，所述可信根是指可信 度量根、可信報告根和可信存儲根。
6.根據權利要求5所述的可信安全移動存儲裝置，其特徵在於，所述可信計算設備是 指可信PC機、可信伺服器或者可信手機。
7.根據權利要求6所述的可信安全移動存儲裝置，其特徵在於，所述摘要算法採用MD5 算法、SHA算法或者SM3算法；對稱加密算法採用DES算法、3DES算法、IDEA算法、SMS4算 法、SSF33算法或者SCB2算法；對稱加密算法採用RSA算法或者ECC算法；數字籤名算法和 籤名驗證算法採用DSA算法、RSA算法、ECC籤名或者籤名驗證算法。
全文摘要
一種可信安全移動存儲裝置，涉及信息安全技術領域。本發明包括移動存儲設備和與移動存儲設備相互連接的可信計算設備。移動存儲設備包括訪問控制單元、密碼學服務單元、數據存儲單元和USB接口，移動存儲設備與可信計算設備以數字籤名和籤名認證的方式進行身份綁定，可信計算設備包括相互連接的可信應用程式、可信OS Kernel、可信Boot Loader、可信BIOS/EFI和可信密碼模塊TCM，可信密碼模塊TCM作為可信計算設備的可信根，基於該可信根構建可信計算環境。同現有技術相比，本發明將移動存儲設備和可信計算設備進行身份綁定，確保移動存儲設備中的數據只能在局部範圍內流轉，有效防止數據洩密。
文檔編號G11B20/00GK101881997SQ200910083350
公開日2010年11月10日 申請日期2009年5月4日 優先權日2009年5月4日
發明者劉鋒, 周培軍, 李康清, 鄭必可 申請人:同方股份有限公司