專利名稱：一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法
技術領域：
本發(fā)明對操作系統(tǒng)盤數據加密，加密后的數據不能被非法訪問或帶出。主要用于 計算機信息安全領域。
背景技術：
隨著國家和社會信息化過程的深入推進，信息系統(tǒng)中操作系統(tǒng)盤安全性以及防止 數據泄密已經成為一個關注的焦點，現在保障操作系統(tǒng)盤的安全性必須要做到的是保證 數據的完整性；防止數據被破壞或丟失；預防來自網絡的惡意攻擊等。操作系統(tǒng)盤下的系 統(tǒng)文件存放了系統(tǒng)中的重要文件，從而保護系統(tǒng)重要文件，把普通文件改成受保護的保護 文件成為一個極需攻克的技術難題。同時對系統(tǒng)完整性和系統(tǒng)數據安全的保護，還需要考 慮系統(tǒng)運行的外部環(huán)境?，F有的操作系統(tǒng)盤保護方法技術，較常見的有卷影復制服務，可以為操作系統(tǒng)提 供備份基礎結構，此方法無需手動干預即可還原數據，能夠為遠程提供集中管理支持，這 種方法是基于磁盤的備份和還原操作原理的基礎上，實際只起到了系統(tǒng)遭到破壞后還原作 用，沒有起到即時保護操作系統(tǒng)的作用，而且需要部署一個數據庫及其他軟件，它們本身的 安全問題都是操作系統(tǒng)的安全隱患；還有常用的本地數據保護技術，采取的是系統(tǒng)盤寫保 護和非系統(tǒng)盤加密的方式，這種方法基本解決了用戶的客戶端本地數據安全問題，但是系 統(tǒng)盤寫保護的方案有以下致命的弱點無法更新補丁，無法保存用戶環(huán)境，導致系統(tǒng)緩慢寸。本發(fā)明對系統(tǒng)數據進行加密，既能保證客戶端系統(tǒng)盤數據的安全，又能避免系統(tǒng) 盤寫保護帶來的問題。專利
發(fā)明內容
本發(fā)明中使用的保護技術是指一種用戶對計算機系統(tǒng)資源的訪問機制。該機制操 作系統(tǒng)底層實現，保護操作系統(tǒng)數據不被非法訪問，加密操作對用戶是透明的。本發(fā)明實現 客戶端操作系統(tǒng)盤數據加密，加密后系統(tǒng)盤與本機硬件信息綁定，加密盤離開本機硬件環(huán) 境后，無法正常使用，而且非客戶端不能夠訪問系統(tǒng)盤上的數據。同時提供完善的恢復手段 和災備措施。本系統(tǒng)設計分為二個模塊設置加密盤、恢復加密盤。二個模塊共同實現了保存在 操作系統(tǒng)盤上的信息不被破壞和非法訪問，為加強資源使用的控制策略提供一種機制。實 現操作系統(tǒng)訪問控制機制的操作包括密碼應用、操作系統(tǒng)盤設置、操作系統(tǒng)全盤加密指令 的執(zhí)行。1、設置系統(tǒng)加密盤、恢復系統(tǒng)加密盤設置加密盤和恢復加密盤，管理員根據需要對系統(tǒng)盤執(zhí)行加密工作，同時也可以 執(zhí)行解密系統(tǒng)盤操作，底層的實現過程是在驅動中做的。設置加密盤的流程圖見附圖1，恢 復加密盤的流程圖見附圖2。管理員對操作系統(tǒng)下發(fā)操作系統(tǒng)控制策略，即發(fā)出對操作系統(tǒng)的加密請求。驅動在接收到上層傳來的加密請求后，首先校驗參數是否合理，在通過校驗之后，對HEAD扇區(qū) 進行寫入，卷偏移10個扇區(qū)。然后寫入加了密的DBR扇區(qū)，DBR扇區(qū)用來控制該磁盤是設 置成加密盤，還是解密盤。加密的DBR區(qū)域，加密范圍是1*512，9*512，因為第10個扇區(qū) 為HEAD，加密過程中驅動系統(tǒng)盤加密程序會做有效性驗證。HEAD表示硬盤的磁頭數，用來標識該系統(tǒng)盤扇區(qū)為加密扇區(qū)。DBR(D0S Boot Record)是操作系統(tǒng)引導記錄區(qū)的意思。它通常位于硬盤的0磁道1柱面1扇區(qū)，是操作 系統(tǒng)可以直接訪問的第一個扇區(qū)，它包括一個引導程序和一個被稱為BPB(Bi0S Parameter Block)的本分區(qū)參數記錄表。引導程序的主要任務是當MBR將系統(tǒng)控制權交給它時，判斷 本分區(qū)根目錄前兩個文件是不是操作系統(tǒng)的引導文件(以DOS為例，即是Io. sys和Msdos. sys)。如果確定存在，就把它讀入內存，并把控制權交給該文件。BPB參數塊記錄著本分區(qū) 的起始扇區(qū)、結束扇區(qū)、文件存儲格式、硬盤介質描述符、根目錄大小、FAT個數，分配單元的 大小等重要參數。DBR是由高級格式化程序(即format, com等程序)所產生的。引導程序 或設備驅動程序根據這些信息將磁盤邏輯地址(DOS扇區(qū)號)轉換成物理地址(絕對扇區(qū) 號)。2、系統(tǒng)啟動后進行加解密本系統(tǒng)中用戶啟動操作系統(tǒng)后會先執(zhí)行啟動進行加解密。這段程序啟動時會進行 校驗，用來檢查系統(tǒng)盤硬盤磁道是否被其他程序修改過。還會對機器上所有系統(tǒng)盤和加密 硬盤進行授權檢驗，如果任何一個系統(tǒng)盤加密硬盤的加密密鑰和本機密鑰都不相同，本程 序都會停止運行。系統(tǒng)啟動進行加密的工作流程圖見附圖3，系統(tǒng)啟動進行解密的工作流程 圖見附圖4.在設置好加密操作系統(tǒng)盤，系統(tǒng)啟動后驅動首先檢查是否是加了密的系統(tǒng)盤，如 果是將繼續(xù)檢查加密密鑰是否和本機密鑰一致，如果不一致將禁用該分區(qū)。在啟動加密的 過程中，用戶寫入保護的操作系統(tǒng)的數據將被透明加密，用戶寫時是明文，但非法手段獲取 操作系統(tǒng)的數據將無法正常讀取。同時對于解密，在設置完解密的操作系統(tǒng)，系統(tǒng)啟動后通 過底層驅動的驗證后，先清空HEAD扇區(qū)，然后寫入解了密的DBR扇區(qū)，該操作系統(tǒng)變成普通 的系統(tǒng)盤，寫入的數據讀取時不受加密限制。本發(fā)明的核心關鍵技術是系統(tǒng)盤驅動加解密技術。當系統(tǒng)上層接收到加密請求和 解密請求時，該技術會根據校驗參數是否合理作出反應，當校驗合理后，對應的硬盤磁頭數 和操作系統(tǒng)引導記錄區(qū)進行加解密工作，檢查加/解密密鑰是否和本機密鑰一致，用來檢 驗該操作系統(tǒng)盤是否是和綁定時的機器硬件信息吻合，從而實現操作系統(tǒng)盤的全盤加密， 即便是惡意盜取硬盤安裝在其他機器上，操作系統(tǒng)文件仍舊是加密的。未通過身份認證或 授權的用戶無法獲取操作系統(tǒng)盤的信息。本發(fā)明系統(tǒng)同時提供異常恢復，系統(tǒng)啟動后驅動首先檢查是否是加了密的系統(tǒng) 盤，如果是將繼續(xù)檢查加密密鑰是否和本機密鑰一致，如果不一致將禁用該分區(qū)。對于解 密，先清空HEAD扇區(qū)，然后寫入解了密的DBR扇區(qū)。判斷當前系統(tǒng)盤加密驅動是否正在運 行，如果運行中，寫入的明文，到了驅動就成了密文了 ；提供寫入數據提示(Y/N)，并提示具 體寫入的硬盤位置，盤符等信息，以確認用戶的最終指令。本發(fā)明還有一個主要的安全問題是驗證，最常用的方法是使用用戶名和密碼，用 戶的身份決定了他們訪問計算機資源的級別，提高安全性采用加密密碼。我們指定了進程可以訪問的資源保護域，一個保護域是一個訪問權限的集合，每一個訪問權限是一個有序 對，權限集合表示在該對象上可以執(zhí)行什么操作。一個進程在所給域中的操作只能訪問域 所列出的對象，只能使用為每個對象所指定的權限。本發(fā)明系統(tǒng)具有良好的兼容性，可兼容各種操作系統(tǒng)，多硬盤，多操作系統(tǒng)Qk， 2k3, xp, vista, Iinux等)，各類殺毒軟件，及分區(qū)軟件等。并良好的穩(wěn)定性，可靈活應對應 用程序異常，數據破壞等情況；可對系統(tǒng)盤數據加密，在沒有安裝客戶端的計算機上無法讀 取系統(tǒng)盤上數據；加密后系統(tǒng)盤與本機bios信息綁定，加密盤其他型號的主板上，無法正 常使用。
圖1設置加密盤流程圖；圖2恢復加密盤流程圖；圖3系統(tǒng)啟動后加密流程圖；圖4系統(tǒng)啟動后解密流程圖。
具體實施例方式1、設置加密系統(tǒng)盤；驅動中接收上層傳過來的加密請求，校驗參數的合理性后，先寫入HEAD扇區(qū)，然 后寫入加了密的DBR扇區(qū)。2、系統(tǒng)啟動后全盤加密操作系統(tǒng)；系統(tǒng)啟動后驅動首先檢查是否是加了密的系統(tǒng)盤，如果是將繼續(xù)檢查加密密鑰是 否和本機密鑰一致，如果不一致將禁用該分區(qū)。3、恢復加密系統(tǒng)盤；驅動中接受上層傳過來的解密請求，校驗參數的合理性后，先清空HEAD扇區(qū)，然 后寫入解了密的DBR扇區(qū)。4、系統(tǒng)啟動后全盤解密操作系統(tǒng)；系統(tǒng)啟動后驅動首先檢查是否是解了密的系統(tǒng)盤，如果是將繼續(xù)檢查解密密鑰是 否和本機密鑰一致，如果不一致將禁用該分區(qū)。解密過程先清空HEAD扇區(qū)，然后寫入解了 密的DBR扇區(qū)。5、異?；謴筒僮飨到y(tǒng)盤系統(tǒng)提供命令用來備份和恢復系統(tǒng)盤。由于這兩個命令的使用具有一定的風險， 故使用時需要考慮以下情況1)當前系統(tǒng)盤加密驅動是否正在運行，如果運行中，寫入的明文到了驅動就轉化 成為密文。2)寫入數據提示(Y/N)，并提示具體寫入的硬盤位置，盤符等信息，用來再次確認 用戶加解密的命令。
權利要求
1.一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征在于對操作系統(tǒng)盤進 行全盤加解密。有驗證客戶端用戶身份，查找客戶端用戶相應的網絡資源密鑰；在驅動層采 用全盤加密保護技術實現操作系統(tǒng)盤數據的加解密操作，加密后的系統(tǒng)盤與本機硬件信息 綁定。有操作系統(tǒng)全盤加密保護技術控制用戶對計算機系統(tǒng)資源的訪問權限，用戶數據的加 解密操作是透明的。有加密的操作系統(tǒng)盤接入其他環(huán)境中無法正常讀取。
2.如權利要求1所述的一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征在 于當操作系統(tǒng)上層接受到加密請求和解密請求時，全盤加密保護技術判斷校驗參數是否 合理，將對應的硬盤磁頭數和操作系統(tǒng)引導記錄區(qū)進行加解密工作，檢查加/解密密鑰是 否和本機密鑰一致；未通過身份認證或授權的用戶無法獲取操作系統(tǒng)盤的信息。
3.如權利要求2所述的一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征在 于操作系統(tǒng)驅動層接收到來自應用層的加解密請求，將操作系統(tǒng)盤加解密。
4.如權利要求2所述的一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征在 于系統(tǒng)提供異?；謴蜋C制。操作系統(tǒng)全盤加密啟動后驅動首先檢查是否是解了密的系統(tǒng) 盤，如果是將繼續(xù)檢查解密密鑰是否和本機密鑰一致，如果不一致將禁用該分區(qū)。
5.如權利要求3所述的一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征 在于驅動系統(tǒng)盤加密程序具有驗證有效性的特征，用來判斷加密區(qū)域能不能加密。其中 HEAD表示硬盤的磁頭數，用來標識該系統(tǒng)盤扇區(qū)為加密扇區(qū)；DBR(Dos Boot Record)表示 操作系統(tǒng)引導記錄區(qū)。
6.如權利要求5所述的一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征在 于驅動中接受上層傳過來的加密請求，校驗參數的合理性后，先寫HEAD扇區(qū)，然后寫入加 了密的DBR扇區(qū)。
7.如權利要求5所述的一種基于用戶身份認證的操作系統(tǒng)盤全盤加密方法，其特征在 于驅動中接受上層傳過來的解密請求，校驗參數的合理性后，先清空HEAD扇區(qū)，然后寫入 解了密的DBR扇區(qū)。
全文摘要
隨著國家和社會信息化過程的深入推進，信息系統(tǒng)中系統(tǒng)安全性以及防止數據泄密已經成為一個關注的焦點，系統(tǒng)磁盤尤其操作系統(tǒng)盤的全盤保護需要采取一些必要手段。本發(fā)明中使用一種對計算機資源進行訪問控制的保護技術，建立用戶對計算機系統(tǒng)資源的訪問機制。該機制由操作系統(tǒng)內部采用，保護信息不被非法訪問，用戶數據的加密操作是透明的；本發(fā)明對客戶端操作系統(tǒng)盤數據加密，加密后的系統(tǒng)盤與本機硬件信息綁定；加密盤只能在本機硬件環(huán)境下正常使用，非本機用戶不能夠訪問系統(tǒng)盤上的數據；本發(fā)明的安全機制對系統(tǒng)完整性和系統(tǒng)數據安全的可信度進行衡量。
文檔編號G06F12/14GK102073597SQ201010122300
公開日2011年5月25日 申請日期2010年3月11日 優(yōu)先權日2009年11月19日
發(fā)明者喻波, 李志濤, 王志海, 顧飛 申請人:北京明朝萬達科技有限公司