数据防泄漏方法及计算机可读存储介质技术

本发明专利技术公开了一种数据防泄漏方法及计算机可读存储介质，方法包括：使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据密文数据，得到预设格式的数据块，并使用可信启动私钥对数据块进行签名，得到签名数据；根据数据块和签名数据，得到混合数据；将加密密钥注入至熔丝区域；安全操作系统启动后，配置安全存储区域；安全操作系统获取混合数据，并使用可信启动公钥对混合数据进行签名验证；若验证通过，则从熔丝区域获取加密密钥；解析混合数据，使用加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将明文数据存储至安全存储区域。本发明专利技术可有效防止数据在静态存储到动态运行时的泄露。

Data Leakage Prevention Method and Computer Readable Storage Media

The invention discloses a data leak-proof method and a computer readable storage medium. The method includes: encrypting encrypted plaintext data with encrypted key to obtain ciphertext data; obtaining preset data blocks according to ciphertext data, and signing data blocks with trusted start-up private key to obtain signature data; and obtaining hybrid data blocks and signature data. Data; inject encryption key into fuse area; configure secure storage area after the start of secure operating system; secure operating system acquires mixed data and uses trusted start public key to verify the signature of mixed data; if the verification is passed, the encryption key is obtained from fuse area; parse mixed data and use encryption key to encrypt data in mixed data block. Decrypt, get the plaintext data, and store the plaintext data in the secure storage area. The invention can effectively prevent the leakage of data from static storage to dynamic operation.

【技术实现步骤摘要】
数据防泄漏方法及计算机可读存储介质
本专利技术涉及数据安全
，尤其涉及一种数据防泄漏方法及计算机可读存储介质。
技术介绍
现有的普通FLASH对数据的防护比较弱，很容易通过工具将存储在里面的数据拷贝出来，如果数据是明文形式存在的话数据就泄漏了。如果使用专用的安全FLASH又增加了硬件成本，且保护的仅仅是静态情况下的数据，程序运行起来之后加载到普通内存里面的数据又有可能被恶意程序窥探到，从而导致数据的泄漏。
技术实现思路
本专利技术所要解决的技术问题是：提供一种数据防泄漏方法及计算机可读存储介质，可有效防止数据从静态存储到动态运行时的泄露。为了解决上述技术问题，本专利技术采用的技术方案为：一种基于trustzone的数据防泄漏方法，包括：使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；根据所述数据块和所述签名数据，得到混合数据；将所述加密密钥注入至熔丝区域；安全操作系统启动后，配置安全存储区域；安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证；若验证通过，则从熔丝区域获取加密密钥；解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域。本专利技术还涉及一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上所述的步骤。本专利技术的有益效果在于：通过把需要保护的数据用密码技术进行处理产生一个格式化的混合数据文件，在运行时通过trustzone权限配置部分普通的内存区域为可信区域独享安全存储区域，并通过密码技术把数据解析到对应的安全存储区域，这样非可信环境下的程序无法窥探到安全内存的数据，只能通过间接请求trustzone的可信环境下的数据进行使用，确保整个过程数据无法泄漏出去。本专利技术可在不需要使用专用安全flash或者专用安全RAM的情况下，有效防止数据在静态存储到动态运行时的泄露。附图说明图1为本专利技术一种基于trustzone的数据防泄漏方法的流程图；图2为本专利技术实施例一的方法流程图；图3为本专利技术实施例二的加密过程示意图；图4为本专利技术实施例二的解密过程示意图；图5为本专利技术实施例二的混合数据的格式示意图；图6为本专利技术实施例三的嵌入式设备启动流程示意图。具体实施方式为详细说明本专利技术的
技术实现思路
、所实现目的及效果，以下结合实施方式并配合附图详予说明。本专利技术最关键的构思在于：通过加密和签名验证，确保静态数据的私密性和完整性，运行之后通过在可信环境下进行解密并将数据保存在安全内存，来确保数据无法被泄漏。请参阅图1，一种基于trustzone的数据防泄漏方法，包括：使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；根据所述数据块和所述签名数据，得到混合数据；将所述加密密钥注入至熔丝区域；安全操作系统启动后，配置安全存储区域；安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证；若验证通过，则从熔丝区域获取加密密钥；解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域。从上述描述可知，本专利技术的有益效果在于：可在不需要使用专用安全flash或者专用安全RAM的情况下，有效防止数据在静态存储到动态运行时的泄露。进一步地，所述“使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据”具体为：通过随机数生成器生成加密密钥，所述加密密钥包括第一密钥和第二密钥；使用所述第一密钥对待加密的明文数据进行加密，得到密文数据；使用所述第二密钥对所述第一密钥进行加密，得到加密后的第一密钥；根据预设的格式合成所述密文数据和加密后的第一密钥，得到数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据。由上述描述可知，通过双重密钥进行加密，进一步保证了数据安全性。进一步地，所述“将所述加密密钥注入至熔丝区域”具体为：将所述第二密钥通过密钥注入工具注入至熔丝区域。由上述描述可知，熔丝区域具有烧录之后硬件不可篡改的特性，而且熔丝区域一般只有trustzone的安全操作系统才能访问使用，普通操作系统无法访问，进一步确保了加密密钥的安全性。进一步地，所述安全存储区域包括第一内存块和第二内存块；所述“从熔丝区域获取加密密钥；解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域”具体为：安全操作系统从熔丝区域获取第二密钥；解析所述混合数据的数据块，得到密文数据和加密后的第一密钥；使用所述第二密钥对所述加密后的第一密钥进行解密，得到第一密钥，并将所述第一密钥存储至第二内存块；使用所述第一密钥对所述密文数据进行解密，得到明文数据，并将所述明文数据存储至第一内存块。由上述描述可知，将明文数据和第一密钥都保存至安全存储区域，保证运行时数据和密钥的安全性。进一步地，所述“将所述明文数据存储至第一内存块”之后，进一步包括：清空释放所述第二内存块。由上述描述可知，密文数据解密为明文数据后，就不需要第一密钥，因此可把存放第一密钥的第二内存块先清空之后再释放掉，节约安全存储区域的空间。进一步地，所述“将所述加密密钥注入至熔丝区域”之后，进一步包括：将可信启动公钥通过密钥注入工具注入至熔丝区域；将所述混合数据通过烧录工具保存至Flash区域。由上述描述可知，将可信启动公钥也注入至熔丝区域，确保了可信启动公钥的安全性；混合数据由于已经经过加密处理，因此可以直接保存在Flash区域。进一步地，所述“安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证”具体为：安全操作系统获取可信启动公钥；使用所述可信启动公钥对所述混合数据中的签名数据进行解密，得到第一摘要；对所述混合数据中的数据块进行摘要运算，得到第二摘要值；若所述第一摘要值与所述第二摘要值一致，则判定验证通过。由上述描述可知，通过进行签名验证，确保混合数据的合法性和完整性。本专利技术还提出了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上所述的步骤。实施例一请参照图2，本专利技术的实施例一为：一种基于trustzone的数据防泄漏方法，所述方法基于ARMtrustzone硬件架构、OTP熔丝区域、片上不可篡改ROM区域等硬件技术，trustzone技术是ARM处理器上的一种可信区域技术，该技术可以把处理器上的硬件资源和软件资源划分成两个运行环境：可信环境和非可信环境。可信环境下运行一个安全操作系统，非可信环境下运行一个普通操作系统。所述方法包括如下步骤：S1：使用加密密钥对待加密的明文数据进行加密，得到密文数据；S2：根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；具体地，先对数据块进行摘要运算，再使用可信启动私钥对摘要值进行加密，即得到签名数据。S3：根据所述数据块和所述本文档来自技高网...

【技术保护点】
1.一种基于trustzone的数据防泄漏方法，其特征在于，包括：使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；根据所述数据块和所述签名数据，得到混合数据；将所述加密密钥注入至熔丝区域；安全操作系统启动后，配置安全存储区域；安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证；若验证通过，则从熔丝区域获取加密密钥；解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域。

【技术特征摘要】
1.一种基于trustzone的数据防泄漏方法，其特征在于，包括：使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；根据所述数据块和所述签名数据，得到混合数据；将所述加密密钥注入至熔丝区域；安全操作系统启动后，配置安全存储区域；安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证；若验证通过，则从熔丝区域获取加密密钥；解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域。2.根据权利要求1所述的基于trustzone的数据防泄漏方法，其特征在于，所述“使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据”具体为：通过随机数生成器生成加密密钥，所述加密密钥包括第一密钥和第二密钥；使用所述第一密钥对待加密的明文数据进行加密，得到密文数据；使用所述第二密钥对所述第一密钥进行加密，得到加密后的第一密钥；根据预设的格式合成所述密文数据和加密后的第一密钥，得到数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据。3.根据权利要求2所述的基于trustzone的数据防泄漏方法，其特征在于，所述“将所述加密密钥注入至熔丝区域”具体为：将所述第二密钥通过密钥注入工具注入至熔丝区域。4.根据权利要求3所述的基于trustzone的数据防泄漏方法，其特征在于，所述安...

【专利技术属性】
技术研发人员：赵国开，涂岩恺，池炜宾，刘炯钟，
申请(专利权)人：厦门雅迅网络股份有限公司，
类型：发明
国别省市：福建,35