專利名稱：一種基于可信密碼模塊的全盤加密的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全技術(shù)領(lǐng)域，具體地說是ー種基于可信密碼模塊的全盤加密的方法。
背景技術(shù)：
企業(yè)、 政府尤其是涉密組織往往承載著大量涉密數(shù)據(jù)，這些數(shù)據(jù)的存儲(chǔ)安全問題隨著信息技術(shù)的發(fā)展越發(fā)的突出。在復(fù)雜的網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)泄密事件屢屢發(fā)生，用戶迫切需要安全有效的數(shù)據(jù)保護(hù)系統(tǒng)。磁盤加密系統(tǒng)使用各種加密技術(shù)實(shí)現(xiàn)重要數(shù)據(jù)的密文存儲(chǔ)，一定程度上保證了數(shù)據(jù)安全，目前的磁盤加密系統(tǒng)分應(yīng)用層加密和驅(qū)動(dòng)層加密兩種技術(shù)實(shí)現(xiàn)方法，應(yīng)用層加密系統(tǒng)要求用戶針對要保護(hù)的文件分別進(jìn)行操作，加解密效率不高，使用不方便。驅(qū)動(dòng)層加密系統(tǒng)通過附加過濾驅(qū)動(dòng)等技術(shù)實(shí)時(shí)加密整個(gè)磁盤分區(qū)數(shù)據(jù)，加解密過程對用戶來說是透明的，高效易用，因此得到廣泛應(yīng)用。驅(qū)動(dòng)級(jí)磁盤加密系統(tǒng)也暴露出ー些安全隱患，密鑰存儲(chǔ)的問題是驅(qū)動(dòng)級(jí)磁盤加密系統(tǒng)的關(guān)鍵，采用磁盤加密密鑰與磁盤分離的方法可以提高系統(tǒng)的安全性。在加密系統(tǒng)使用前植入惡意程序也是磁盤加密系統(tǒng)面臨的一大威脅，“邪惡女傭”病毒就是利用這種方法截取用戶密碼?！靶皭号畟颉辈《驹诖疟P加密系統(tǒng)啟動(dòng)前植入病毒程序，記錄用戶輸入的密碼，入侵者通過密碼獲得訪問權(quán)限竊取數(shù)據(jù)。針對這些漏洞，可以通過加強(qiáng)登陸認(rèn)證保護(hù)機(jī)制來彌補(bǔ)。近年來，可信計(jì)算作為信息安全的新技術(shù)得到長足發(fā)展，可信密碼模塊是ー種高可靠SOC芯片，能夠提供密碼學(xué)服務(wù)、認(rèn)證以及完整性驗(yàn)證等功能，由于可信密碼模塊可帶來安全增強(qiáng)功能，基于可信計(jì)算技術(shù)的應(yīng)用大量涌現(xiàn)，其中微軟的Bitlock功能即是ー種結(jié)合可信密碼模塊的加密應(yīng)用，但是Bitlock有一定的限制，文件系統(tǒng)必須是NTFS系統(tǒng)格式，并且基于TPM標(biāo)準(zhǔn)，出于國家信息安全考慮，國家相關(guān)部門要求使用國產(chǎn)安全芯片作為信息安全基礎(chǔ)硬件，因此我國推出了自己的可信計(jì)算標(biāo)準(zhǔn)，各廠商按此標(biāo)準(zhǔn)積極研發(fā)了國產(chǎn)可信密碼模塊，即TCM( trusted cryptography module ),它具備密碼運(yùn)算器和受保護(hù)的存儲(chǔ)器，內(nèi)嵌國家密碼管理局標(biāo)準(zhǔn)算法。TCM通過唯一的非対稱256位密鑰-密碼模塊密鑰(EK)作為密鑰樹的根密鑰來保護(hù)用戶密鑰和數(shù)據(jù)，私鑰不會(huì)外泄，加密過程在硬件內(nèi)部完成。

發(fā)明內(nèi)容
本發(fā)明的技術(shù)任務(wù)是針對在現(xiàn)有技術(shù)的不足，提供一種基于可信密碼模塊的全盤加密的方法。本發(fā)明的技術(shù)方案是按以下方式實(shí)現(xiàn)的，該ー種基于可信密碼模塊的全盤加密的方法，包括加密管理模塊、啟動(dòng)驗(yàn)證模塊、文件系統(tǒng)過濾加密模塊、可信密碼模塊，其中
加密管理模塊用來產(chǎn)生加密密鑰以及加密MBR數(shù)據(jù)并寫入目標(biāo)磁盤，完成全盤加密系統(tǒng)的建立、啟動(dòng)引導(dǎo)程序裝載和密鑰管理等功能；啟動(dòng)驗(yàn)證模塊在操作系統(tǒng)啟動(dòng)前加載,進(jìn)行登錄認(rèn)證和MBR的完整性驗(yàn)證；
文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊通過在文件系統(tǒng)上附加過濾系統(tǒng)驅(qū)動(dòng)，將加密模塊加入過濾驅(qū)動(dòng)中，截獲磁盤I/O數(shù)據(jù),完成磁盤數(shù)據(jù)的實(shí)時(shí)加解密；
可信密碼模塊為ー硬件加密TCM芯片，能夠完成加密和完整性度量等密碼學(xué)運(yùn)算，具備密鑰保護(hù)空間和用戶存儲(chǔ)空間；
其具體加密步驟為
1)、加密管理模塊對加密系統(tǒng)進(jìn)行初始化；
2)、啟動(dòng)驗(yàn)證模塊進(jìn)行驗(yàn)證、登陸認(rèn)證；
3 )、文件系統(tǒng)過濾加密模塊進(jìn)行加解密。上述步驟一具體包括
用戶輸入加密系統(tǒng)登錄ロ令，加密管理模塊調(diào)用TCM雜湊密碼算法根據(jù)ロ令和TCM信息創(chuàng)建登錄密鑰，同時(shí)調(diào)用TCM真隨機(jī)數(shù)發(fā)生器產(chǎn)生一段隨機(jī)數(shù)同樣做雜湊運(yùn)算創(chuàng)建加密密鑰；
調(diào)用TCM密碼算法和存儲(chǔ)根密鑰加密這兩個(gè)密鑰存儲(chǔ)在TCM用戶存儲(chǔ)空間中；
接著，加密管理模塊調(diào)用TCM存儲(chǔ)根密鑰加密目標(biāo)磁盤MBR，對MBR數(shù)據(jù)調(diào)用TCM雜湊密碼算法進(jìn)行雜湊計(jì)算，雜湊值作為完整性度量基準(zhǔn)值存儲(chǔ)在TCM芯片的用戶存儲(chǔ)區(qū)中，冋時(shí)在MBR后的扇區(qū)中與入啟動(dòng)引導(dǎo)程序。系統(tǒng)重啟后將啟動(dòng)驗(yàn)證模塊進(jìn)行驗(yàn)證登陸。上述步驟ニ具體包括
啟動(dòng)驗(yàn)證模塊即寫入磁盤MBR之后扇區(qū)的一段啟動(dòng)引導(dǎo)程序，其驗(yàn)證步驟為BI0S完成POST過程后跳轉(zhuǎn)加載啟動(dòng)引導(dǎo)程序，啟動(dòng)引導(dǎo)程序首先調(diào)用TCM雜湊密碼算法對MBR進(jìn)行計(jì)算，得到的雜湊值為完整性度量值與用戶存儲(chǔ)區(qū)中的標(biāo)準(zhǔn)度量值進(jìn)行匹配驗(yàn)證，驗(yàn)證不成功宕機(jī)，驗(yàn)證成功后進(jìn)行啟動(dòng)登錄認(rèn)證；
登錄認(rèn)證步驟為根據(jù)用戶輸入的ロ令和TCM信息令調(diào)用TCM計(jì)算登錄密鑰，與解密的用戶存儲(chǔ)區(qū)中的登錄密鑰進(jìn)行匹配驗(yàn)證，驗(yàn)證不通過宕機(jī)，驗(yàn)證通過后解密MBR和加密密鑰，加載操作系統(tǒng)，將加密密鑰傳入文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊。上述步驟三具體包括
上層應(yīng)用寫數(shù)據(jù)時(shí)，通過I/o管理器下發(fā)IRP請求，文件系統(tǒng)過濾加密模塊截獲IRP請求，利用加密密鑰和對稱加密算法加密傳遞的數(shù)據(jù)，然后派發(fā)IRP到文件系統(tǒng)驅(qū)動(dòng)、設(shè)備驅(qū)動(dòng)直到將數(shù)據(jù)寫入磁盤設(shè)備；反之，上層應(yīng)用讀數(shù)據(jù)時(shí)，文件系統(tǒng)過濾加密模塊中的加密模塊通過相反的步驟解密數(shù)據(jù)。本發(fā)明與現(xiàn)有技術(shù)相比所產(chǎn)生的有益效果是
本發(fā)明的一種基于可信密碼模塊的全盤加密的方法設(shè)計(jì)文件系統(tǒng)過濾驅(qū)動(dòng)進(jìn)行磁盤全盤數(shù)據(jù)的加解密，加密過程對用戶是透明的，加密效率高；利用TCM根密鑰來加密保護(hù)登錄密鑰和加密密鑰，密鑰與磁盤數(shù)據(jù)相分離，提高了加解密效率的同時(shí)，密鑰存儲(chǔ)的安全性得到大大提高。在磁盤第一磁道寫入啟動(dòng)引導(dǎo)程序與TCM通信實(shí)現(xiàn)操作系統(tǒng)啟動(dòng)前的登錄 認(rèn)證，同時(shí)利用TCM完整性驗(yàn)證功能對磁盤MBR進(jìn)行驗(yàn)證，及時(shí)發(fā)現(xiàn)惡意程序修改MBR，防止系統(tǒng)啟動(dòng)前惡意篡改加密系統(tǒng)非法竊取數(shù)據(jù)的行為。


附圖I是本發(fā)明的全盤加密結(jié)構(gòu)框圖。附圖2是本發(fā)明的全盤加密初始化步驟。附圖3是本發(fā)明的全盤加密啟動(dòng)驗(yàn)證步驟。
具體實(shí)施例方式下面結(jié)合附圖對本發(fā)明所提供的一種基于可信密碼模塊的全盤加密的方法作以下詳細(xì)說明。如附圖I所示，現(xiàn)提供一種基于可信密碼模塊的全盤加密的方法，包括加密管理模塊、啟動(dòng)驗(yàn)證模塊、文件系統(tǒng)過濾加密模塊、可信密碼模塊，其中
加密管理模塊用來產(chǎn)生加密密鑰以及加密MBR數(shù)據(jù)并寫入目標(biāo)磁盤，完成全盤加密系統(tǒng)的建立、啟動(dòng)引導(dǎo)程序裝載和密鑰管理等功能。啟動(dòng)驗(yàn)證模塊是一段啟動(dòng)引導(dǎo)程序，在操作系統(tǒng)啟動(dòng)前加載，通過與TCM通信調(diào)用TCM雜湊密碼算法，進(jìn)行登錄認(rèn)證和MBR的完整性驗(yàn)證。文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊通過在文件系統(tǒng)上附加過濾系統(tǒng)驅(qū)動(dòng)，將加密模塊加入過濾驅(qū)動(dòng)中,截獲磁盤I/o數(shù)據(jù)，完成磁盤數(shù)據(jù)的實(shí)時(shí)加解密?？尚琶艽a模塊(TCM)為ー硬件加密芯片，內(nèi)置國家密碼局認(rèn)證的SM2非対稱密碼算法、SM3雜湊密碼算法等密碼算法，能夠完成加密和完整性度量等密碼學(xué)運(yùn)算，具備密鑰保護(hù)空間和用戶存儲(chǔ)空間。具備平臺(tái)配置寄存器(PCR)，存放部件的完整性度量值。其具體加密步驟如附圖2、圖3所示
步驟I、首先記錄用戶輸入的加密系統(tǒng)登錄ロ令，加密管理模塊調(diào)用TCM雜湊密碼算法SM3算法根據(jù)ロ令和TCM信息創(chuàng)建登錄密鑰；調(diào)用TCM真隨機(jī)數(shù)發(fā)生器產(chǎn)生一段隨機(jī)數(shù)同樣做雜湊運(yùn)算創(chuàng)建加密密鑰。步驟2、調(diào)用TCM密碼算法和根密鑰(EK)加密這兩個(gè)密鑰存儲(chǔ)在TCM用戶存儲(chǔ)空間中。步驟3、加密管理模塊讀取目標(biāo)磁盤MBR，通過TCM存儲(chǔ)密鑰加密后替換原MBR數(shù)據(jù)，調(diào)用TCM雜湊密碼算法對其計(jì)算雜湊值，得到的256位雜湊值作為完整性度量基準(zhǔn)值存儲(chǔ)在TCM芯片的用戶存儲(chǔ)區(qū)中。步驟4、在磁盤第一磁道的MBR之后第3至55扇區(qū)寫入啟動(dòng)引導(dǎo)程序，系統(tǒng)重啟后將啟動(dòng)加密系統(tǒng)啟動(dòng)弓I導(dǎo)程序進(jìn)行驗(yàn)證登陸。步驟5、BIOS完成POST過程調(diào)用INT13中斷跳轉(zhuǎn)加載啟動(dòng)驗(yàn)證模塊，啟動(dòng)驗(yàn)證模塊即寫入磁盤MBR之后扇區(qū)的一段啟動(dòng)引導(dǎo)程序，啟動(dòng)引導(dǎo)程序首先調(diào)用TCM雜湊密碼算法對MBR進(jìn)行計(jì)算，得到的256位雜湊值進(jìn)行PCR擴(kuò)展存儲(chǔ)在TCM中，同時(shí)將256位雜湊值即完整性度量值與用戶存儲(chǔ)區(qū)中的標(biāo)準(zhǔn)度量值進(jìn)行匹配驗(yàn)證，驗(yàn)證不成功宕機(jī)，驗(yàn)證成功后進(jìn)行啟動(dòng)登錄認(rèn)證。步驟6、根據(jù)用戶輸入的ロ令和TCM信息令調(diào)用TCM計(jì)算登錄密鑰，與解密的用戶存儲(chǔ)區(qū)中的登錄密鑰進(jìn)行匹配驗(yàn)證，驗(yàn)證不通過宕機(jī)，驗(yàn)證通過后加載操作系統(tǒng)。步驟7、如果登錄ロ令驗(yàn)證通過，解密MBR和加密密鑰，加載操作系統(tǒng)，將加密密鑰傳入文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊。
步驟8、上層應(yīng)用寫數(shù)據(jù)時(shí)，通過I/O管理器下發(fā)IRP請求，文件系統(tǒng)過濾驅(qū)動(dòng)截獲IRP請求，利用加密密鑰和對稱加密算法加密傳遞的數(shù)據(jù)，然后派發(fā)IRP到文件系統(tǒng)驅(qū)動(dòng)，設(shè)備驅(qū)動(dòng)直到將數(shù)據(jù)寫入磁盤設(shè)備 。反之，上層應(yīng)用讀數(shù)據(jù)時(shí)，文件系統(tǒng)過濾驅(qū)動(dòng)中的加密模塊通過相反的步驟解密數(shù)據(jù)。
權(quán)利要求
1.一種基于可信密碼模塊的全盤加密的方法，其特征在于包括加密管理模塊、啟動(dòng)驗(yàn)證模塊、文件系統(tǒng)過濾加密模塊、可信密碼模塊，其中 加密管理模塊用來產(chǎn)生加密密鑰以及加密MBR數(shù)據(jù)并寫入目標(biāo)磁盤，完成全盤加密系統(tǒng)的建立、啟動(dòng)引導(dǎo)程序裝載和密鑰管理等功能； 啟動(dòng)驗(yàn)證模塊在操作系統(tǒng)啟動(dòng)前加載,進(jìn)行登錄認(rèn)證和MBR的完整性驗(yàn)證； 文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊通過在文件系統(tǒng)上附加過濾系統(tǒng)驅(qū)動(dòng)，將加密模塊加入過濾驅(qū)動(dòng)中，截獲磁盤I/O數(shù)據(jù),完成磁盤數(shù)據(jù)的實(shí)時(shí)加解密； 可信密碼模塊為ー硬件加密TCM芯片，能夠完成加密和完整性度量等密碼學(xué)運(yùn)算，具備密鑰保護(hù)空間和用戶存儲(chǔ)空間； 其具體加密步驟為 1)、加密管理模塊對加密系統(tǒng)進(jìn)行初始化； 2)、啟動(dòng)驗(yàn)證模塊進(jìn)行驗(yàn)證、登陸認(rèn)證； 3 )、文件系統(tǒng)過濾加密模塊進(jìn)行加解密。
2.根據(jù)權(quán)利要求I所述的ー種基于可信密碼模塊的全盤加密的方法，其特征在于上述步驟一具體包括 用戶輸入加密系統(tǒng)登錄ロ令，加密管理模塊調(diào)用TCM雜湊密碼算法根據(jù)ロ令和TCM信息創(chuàng)建登錄密鑰，同時(shí)調(diào)用TCM真隨機(jī)數(shù)發(fā)生器產(chǎn)生一段隨機(jī)數(shù)同樣做雜湊運(yùn)算創(chuàng)建加密密鑰； 調(diào)用TCM密碼算法和存儲(chǔ)根密鑰加密這兩個(gè)密鑰存儲(chǔ)在TCM用戶存儲(chǔ)空間中； 接著，加密管理模塊調(diào)用TCM存儲(chǔ)根密鑰加密目標(biāo)磁盤MBR，對MBR數(shù)據(jù)調(diào)用TCM雜湊密碼算法進(jìn)行雜湊計(jì)算，雜湊值作為完整性度量基準(zhǔn)值存儲(chǔ)在TCM芯片的用戶存儲(chǔ)區(qū)中，冋時(shí)在MBR后的扇區(qū)中與入啟動(dòng)引導(dǎo)程序； 系統(tǒng)重啟后進(jìn)行步驟ニ操作。
3.根據(jù)權(quán)利要求I或2所述的ー種基于可信密碼模塊的全盤加密的方法，其特征在于上述步驟ニ具體包括 啟動(dòng)驗(yàn)證模塊即寫入磁盤MBR之后扇區(qū)的一段啟動(dòng)引導(dǎo)程序，其驗(yàn)證步驟為BIOS完成POST過程后跳轉(zhuǎn)加載啟動(dòng)引導(dǎo)程序，啟動(dòng)引導(dǎo)程序首先調(diào)用TCM雜湊密碼算法對MBR進(jìn)行計(jì)算，得到的雜湊值為完整性度量值與用戶存儲(chǔ)區(qū)中的標(biāo)準(zhǔn)度量值進(jìn)行匹配驗(yàn)證，驗(yàn)證不成功宕機(jī)，驗(yàn)證成功后進(jìn)行啟動(dòng)登錄認(rèn)證； 登錄認(rèn)證步驟為根據(jù)用戶輸入的ロ令和TCM信息令調(diào)用TCM計(jì)算登錄密鑰，與解密的用戶存儲(chǔ)區(qū)中的登錄密鑰進(jìn)行匹配驗(yàn)證，驗(yàn)證不通過宕機(jī)，驗(yàn)證通過后解密MBR和加密密鑰，加載操作系統(tǒng)，將加密密鑰傳入文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊，進(jìn)行步驟三操作。
4.根據(jù)權(quán)利要求3所述的ー種基于可信密碼模塊的全盤加密的方法，其特征在于上述步驟三具體包括 上層應(yīng)用寫數(shù)據(jù)時(shí)，通過I/O管理器下發(fā)IRP請求，文件系統(tǒng)過濾加密模塊截獲IRP請求，利用加密密鑰和對稱加密算法加密傳遞的數(shù)據(jù)，然后派發(fā)IRP到文件系統(tǒng)驅(qū)動(dòng)、設(shè)備驅(qū)動(dòng)直到將數(shù)據(jù)寫入磁盤設(shè)備；反之，上層應(yīng)用讀數(shù)據(jù)時(shí)，文件系統(tǒng)過濾加密模塊中的加密模塊通過相反的步驟解密數(shù)據(jù)。
全文摘要
本發(fā)明提供一種基于可信密碼模塊的全盤加密的方法，通過可信密碼模塊保護(hù)登陸密鑰和存儲(chǔ)密鑰，設(shè)計(jì)文件系統(tǒng)過濾驅(qū)動(dòng)加密模塊加解密磁盤I/O數(shù)據(jù)，實(shí)現(xiàn)全盤數(shù)據(jù)實(shí)時(shí)透明加密，通過在磁盤第一磁道加入啟動(dòng)驗(yàn)證模塊，調(diào)用TCM對加密系統(tǒng)進(jìn)行認(rèn)證和完整性驗(yàn)證，密鑰和完整性驗(yàn)證信息存儲(chǔ)于TCM中。該一種基于可信密碼模塊的全盤加密的方法和現(xiàn)有技術(shù)相比，不在磁盤存儲(chǔ)，安全性高，系統(tǒng)登錄需要TCM認(rèn)證和完整性檢驗(yàn)，可防止惡意程序植入截獲用戶口令。
文檔編號(hào)G06F21/00GK102646077SQ20121008499
公開日2012年8月22日 申請日期2012年3月28日 優(yōu)先權(quán)日2012年3月28日
發(fā)明者趙斌 申請人:山東超越數(shù)控電子有限公司