基于SATA桥接芯片的数据安全保障方法技术

本发明专利技术公开一种基于SATA桥接芯片的数据安全保障方法，属于信息安全存储技术领域。本方法将HY0168 SATA桥接芯片连接于主机/服务器与SATA存储设备之间，SATA桥接芯片作为主机/服务器与SATA存储设备之间数据传输的桥梁，对SATA指令和用户数据起到加密和转发的作用，同时SATA桥接芯片中存储有安全策略，对SATA指令和数据进行管控，防止非法侵入和后门监听；安全策略包括白名单体系、数据过滤、三方认证和分区保护，分别从指令、数据、整体系统、分区维度对数据进行安全保护。分区维度对数据进行安全保护。分区维度对数据进行安全保护。

【技术实现步骤摘要】
基于SATA桥接芯片的数据安全保障方法


[0001]本专利技术涉及信息安全存储领域，具体是基于SATA桥接芯片的数据安全保障方法。

技术介绍

[0002]随着人工智能、深度学习、知识图谱、大数据等领域的蓬勃发展，数据规模和数据安全作为支撑以上领域发展的重要基础，以数字经济为代表的新经济成为经济增长新引擎，数据作为核心生产要素成为了基础战略资源。
[0003]针对海量存储的设备主要分为SATA接口和PCIe接口硬盘设备，PCIe固态硬盘作为目前主要技术发展方向，占据越来越多的市场。然而SATA接口的机械硬盘(后简称HDD)、固态硬盘(后简称SSD)，尤其是HDD，由于其磁存储介质的可恢复性、高DSATA Retention（数据保存时间）表现、成本低廉的特点，在更关注稳定性和价格敏感的场景例如：小规模的数据中心、高校数据库、安防视频服务器等领域，往往有着不可替代的作用。
[0004]目前安全SSD采用的方法是使用标准的国际（AES）/国内(SM4)的密码算对数据进行加密，存储密文。而对硬盘（也指代SATA接口的SSD/HDD）通过一定的认证机制（如OPAL指令集），通过密码、硬盘序列号等手段保护使用者的合法性。这种方法对未取得认可的SSD有一定的安全防范作用，但是在认证通过后的第三方隐式攻击，例如通过SATA标准指令集更新硬盘固件、篡改分区表、伪造硬盘序列号等攻击手段显得保护能力不足。而通过主机与硬盘的直接绑定，由于两方都存储有安全信息，并且考虑到产品的兼容性和通用性的原因，对数据的窥探、暴力破解等往往是比较宽容的，例如在主机端或者硬盘就地存储密钥，会通过对内存读取或监测硬盘的特定位置进行密钥猜测。另外，对分区表的破坏可以起到对整个数据硬盘的损坏的目的。

技术实现思路

[0005]针对现有技术的缺陷，本专利技术提供一种基于SATA桥接芯片的数据安全保障方法，在运行态对SSD进行全面的保护，有效防止指令后门、固件篡改、引导扇区攻击、接触式攻击，并且赋予通用硬盘以权限分级和设备绑定功能，达到通用存储产品专用应用的目的。
[0006]为了解决所述技术问题，本专利技术采用的技术方案是：基于SATA桥接芯片的数据安全保障方法，本方法将HY0168 SATA桥接芯片连接于主机/服务器与SATA存储设备之间，SATA桥接芯片作为主机/服务器与SATA存储设备之间数据传输的桥梁，对SATA指令和用户数据起到加密和转发的作用，同时SATA桥接芯片中存储有安全策略，对SATA指令和数据进行管控，防止非法侵入和后门监听；安全策略包括白名单体系、数据过滤、三方认证和分区保护，分别从指令、数据、整体系统、分区维度对数据进行安全保护。
[0007]本专利技术中，SATA桥接芯片采用山东华翼半导体有限公司的SATA桥接芯片HY0168。
[0008]针对恶意指令攻击，例如非法固件升级、覆盖管理员密码等针对SATA指令集的攻击，设置白名单体系。所述白名单体系是SATA桥接芯片对SATA指令集进行筛选，将指令集分为激活、禁止、管理三种状态，激活态下，SATA桥接芯片转发主机指令到SATA存储设备，作为
数据通讯桥梁进行SATA指令数据转发，SATA存储设备作为SATA指令最终受体响应指令并通过SATA桥接芯片反馈给主机；禁止态下，SATA桥接芯片直接响应主机指令，通过显性失败或隐性失败来响应SATA指令，SATA桥接芯片作为最终SATA指令受体，不进行转发，SATA存储设备无法获取禁止态下所有指令；管理态下，SATA桥接芯片参与指令判断，根据SATA桥接芯片当前运行状态来决定进入激活态或者禁止态。
[0009]具体的，SATA桥接芯片通过SATA指令集筛选器对SATA指令集进行筛选，激活态和禁止态由SATA指令集筛选器直接处理，管理态先由SATA指令集筛选器判断，然后传递给SATA桥接芯片，由SATA桥接芯片进行指令和状态判断。
[0010]针对对分区表的恶意破坏攻击设置数据过滤，数据过滤是对MBR分区表进行保护，防范主引导分区攻击，具体做法是MBR分区表修改依赖于定制工具，无法通过第三方工具进行修改，当SATA桥接芯片检测到MBR数据修改时，判断当前操作是否是合法用户行为，如果是，则继续，如果不是，则反馈修改失败，然后SATA桥接芯片随机生成一个硬盘实际容量范围之外的LBA地址S，第三方工具获取地址S后生成新分区表信息，并通过S地址写入，SATA桥接芯片解析分区表信息并判断解析出的S与原生成的S是否一致，如果一致则将分区表信息写入SATA桥接芯片内部，并根据分区表修改SATA存储设备分区表的信息和位置，SATA桥接芯片复位，返回分区表修改成功。
[0011]为了保证安全，S具有一定的保活时间，SATA桥接芯片通过定时器计时，在超过保活时间后，S失效。每次修改MBR分区表时，S重新产生，每次使用S后，SATA桥接芯片将丢弃S不再使用。
[0012]正常情况下，系统可以读取MBR地址（LBA0）/ GPT(LBA2)获取分区信息，但是当LBA0/LBA2遭受非法写入攻击，HY0168固件将拒绝写入操作，重新分区或者格式化必须通过专用工具进行修改，这样保证了分区表以及分区分配的合法性。分区成功后，将分区表存放到HY0168的内部存储区中，不存储到外部硬盘。当HY0168与硬盘分离，由于硬盘存储的分区表是错误的，在脱离对应的HY0168的情况下，单独连接硬盘呈现未初始化状态。针对GPT分区，也可以通过存储LBA2（GPT分区表的关键数据是存储在LBA2中）来完成分区表保护。
[0013]针对通用设备的抗攻击情况和篡改序列号等行为，HY0168提出了一套以HY0168为中间介质的三方认证的方法。三方认证是由SATA桥接芯片基于国产商密算法分别认证主机和SATA存储设备，对主机、SATA桥接芯片、SATA存储设备进行三方绑定，主机端要求BIOS或TPM模块支持SM2加解密算法，并具备非易失存储功能；三方认证的流程为：上电后BIOS/TPM获取SATA桥接芯片HY0168生成的SM2密钥对（Pub_a,Pri_a），Pub_a 表示该密钥对中的公钥，Pri_a 表示该密钥对中的私钥，BIOS/TPM获取公钥Pub_a, BIOS/TPM生成一组SM2密钥对（Pub_b,Pri_b）, Pub_b表示该密钥对中的公钥，Pri_b表示该密钥对中的私钥，读取BIOS/TPM存储的密钥分量R1，产生一组随机数R11，R11与R1长度相同，将R1、R11以及Pub_b进行连接操作产生C，即C= R1‖R11‖Pub_b，使用Pub_a加密C，加密结果为C1，则C1=SM2Pub_a(C)，将C1发送给SATA桥接芯片HY0168， SATA桥接芯片HY0168使用Pri_a解密C1得到C，然后读取HY0168 SATA桥接芯片中存储的R2，计算得到R
’
，R
’
=R1 XOR R2，计算SM3（R
’
）并比较存储在HY0168 SATA桥接芯片中的SM3（R）是否一本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.基于SATA桥接芯片的数据安全保障方法，其特征在于：本方法将SATA桥接芯片连接于主机/服务器与SATA存储设备之间，SATA桥接芯片作为主机/服务器与SATA存储设备之间数据传输的桥梁，对SATA指令和用户数据起到加密和转发的作用，并且SATA桥接芯片中存储有安全策略，对SATA指令和数据进行管控，防止非法侵入和后门监听；安全策略包括白名单体系、数据过滤、三方认证和分区保护，分别从指令、数据、整体系统、分区维度对数据进行安全保护。2.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法，其特征在于：所述白名单体系是SATA桥接芯片对SATA指令集进行筛选，将指令集分为激活、禁止、管理三种状态，激活态下，SATA桥接芯片转发主机指令到SATA存储设备，作为数据通讯桥梁进行SATA指令数据转发，SATA存储设备作为SATA指令最终受体响应指令并通过SATA桥接芯片反馈给主机；禁止态下，SATA桥接芯片直接响应主机指令，通过显性失败或隐性失败来响应SATA指令，SATA桥接芯片作为最终SATA指令受体，不进行转发，SATA存储设备无法获取禁止态下所有指令；管理态下，SATA桥接芯片参与指令判断，根据SATA桥接芯片当前运行状态来决定进入激活态或者禁止态。3.根据权利要求2所述的基于SATA桥接芯片的数据安全保障方法，其特征在于：SATA桥接芯片通过SATA指令集筛选器对SATA指令集进行筛选，激活态和禁止态由SATA指令集筛选器直接处理，管理态先由SATA指令集筛选器判断，然后传递给SATA桥接芯片，由SATA桥接芯片进行指令和状态判断。4.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法，其特征在于：数据过滤是对MBR分区表进行保护，防范主引导分区攻击，具体做法是MBR分区表修改依赖于定制工具，无法通过第三方工具进行修改，当SATA桥接芯片检测到MBR数据修改时，判断当前操作是否是合法用户行为，如果是，则继续，如果不是，则反馈修改失败，然后SATA桥接芯片随机生成一个硬盘实际容量范围之外的LBA地址S，第三方工具获取地址S后生成新分区表信息，并通过S地址写入，SATA桥接芯片解析分区表信息并判断解析出的S与原生成的S是否一致，如果一致则将分区表信息写入SATA桥接芯片内部，并根据分区表修改SATA存储设备分区表的信息和位置，SATA桥接芯片复位，返回分区表修改成功。5.根据权利要求4所述的基于SATA桥接芯片的数据安全保障方法，其特征在于：S具有一定的保活时间，SATA桥接芯片通过定时器计时，在超过保活时间后，S失效。6.根据权利要求4所述的基于SATA桥接芯片的数据安全保障方法，其特征在于：每次修改MBR分区表时，S重新产生，每次使用S后，SATA桥接芯片将丢弃S不再使用。7.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法，其特征在于：三方认证是由SATA桥接芯片基于国产商密算法分别认证主机和SATA存储设备，对主机、SATA桥接芯片、SATA存储设备进...

【专利技术属性】
技术研发人员：孙玉玺，杜辉，苏云学，高凯，宗成强，李铁，
申请(专利权)人：山东华翼微电子技术股份有限公司，
类型：发明
国别省市：