一种基于可信密码模块的全盘加密的方法技术

本发明专利技术提供一种基于可信密码模块的全盘加密的方法，通过可信密码模块保护登陆密钥和存储密钥，设计文件系统过滤驱动加密模块加解密磁盘I/O数据，实现全盘数据实时透明加密，通过在磁盘第一磁道加入启动验证模块，调用TCM对加密系统进行认证和完整性验证，密钥和完整性验证信息存储于TCM中。该一种基于可信密码模块的全盘加密的方法和现有技术相比，不在磁盘存储，安全性高，系统登录需要TCM认证和完整性检验，可防止恶意程序植入截获用户口令。

【技术实现步骤摘要】

本专利技术涉及信息安全
，具体地说是ー种基于可信密码模块的全盘加密的方法。
技术介绍
企业、 政府尤其是涉密组织往往承载着大量涉密数据，这些数据的存储安全问题随着信息技术的发展越发的突出。在复杂的网络环境下，数据泄密事件屡屡发生，用户迫切需要安全有效的数据保护系统。磁盘加密系统使用各种加密技术实现重要数据的密文存储，一定程度上保证了数据安全，目前的磁盘加密系统分应用层加密和驱动层加密两种技术实现方法，应用层加密系统要求用户针对要保护的文件分别进行操作，加解密效率不高，使用不方便。驱动层加密系统通过附加过滤驱动等技术实时加密整个磁盘分区数据，加解密过程对用户来说是透明的，高效易用，因此得到广泛应用。驱动级磁盘加密系统也暴露出ー些安全隐患，密钥存储的问题是驱动级磁盘加密系统的关键，采用磁盘加密密钥与磁盘分离的方法可以提高系统的安全性。在加密系统使用前植入恶意程序也是磁盘加密系统面临的一大威胁，“邪恶女佣”病毒就是利用这种方法截取用户密码。“邪恶女佣”病毒在磁盘加密系统启动前植入病毒程序，记录用户输入的密码，入侵者通过密码获得访问权限窃取数据。针对这些漏洞，可以通过加强登陆认证保护机制来弥补。近年来，可信计算作为信息安全的新技术得到长足发展，可信密码模块是ー种高可靠SOC芯片，能够提供密码学服务、认证以及完整性验证等功能，由于可信密码模块可带来安全增强功能，基于可信计算技术的应用大量涌现，其中微软的Bitlock功能即是ー种结合可信密码模块的加密应用，但是Bitlock有一定的限制，文件系统必须是NTFS系统格式，并且基于TPM标准，出于国家信息安全考虑，国家相关部门要求使用国产安全芯片作为信息安全基础硬件，因此我国推出了自己的可信计算标准，各厂商按此标准积极研发了国产可信密码模块，即TCM( trusted cryptography module ),它具备密码运算器和受保护的存储器，内嵌国家密码管理局标准算法。TCM通过唯一的非対称256位密钥-密码模块密钥(EK)作为密钥树的根密钥来保护用户密钥和数据，私钥不会外泄，加密过程在硬件内部完成。
技术实现思路
本专利技术的技术任务是针对在现有技术的不足，提供。本专利技术的技术方案是按以下方式实现的，该ー种基于可信密码模块的全盘加密的方法，包括加密管理模块、启动验证模块、文件系统过滤加密模块、可信密码模块，其中 加密管理模块用来产生加密密钥以及加密MBR数据并写入目标磁盘，完成全盘加密系统的建立、启动引导程序装载和密钥管理等功能；启动验证模块在操作系统启动前加载,进行登录认证和MBR的完整性验证； 文件系统过滤驱动加密模块通过在文件系统上附加过滤系统驱动，将加密模块加入过滤驱动中，截获磁盘I/O数据,完成磁盘数据的实时加解密； 可信密码模块为ー硬件加密TCM芯片，能够完成加密和完整性度量等密码学运算，具备密钥保护空间和用户存储空间； 其具体加密步骤为 1)、加密管理模块对加密系统进行初始化； 2)、启动验证模块进行验证、登陆认证； 3 )、文件系统过滤加密模块进行加解密。上述步骤一具体包括 用户输入加密系统登录ロ令，加密管理模块调用TCM杂凑密码算法根据ロ令和TCM信息创建登录密钥，同时调用TCM真随机数发生器产生一段随机数同样做杂凑运算创建加密密钥； 调用TCM密码算法和存储根密钥加密这两个密钥存储在TCM用户存储空间中； 接着，加密管理模块调用TCM存储根密钥加密目标磁盘MBR，对MBR数据调用TCM杂凑密码算法进行杂凑计算，杂凑值作为完整性度量基准值存储在TCM芯片的用户存储区中，冋时在MBR后的扇区中与入启动引导程序。系统重启后将启动验证模块进行验证登陆。上述步骤ニ具体包括 启动验证模块即写入磁盘MBR之后扇区的一段启动引导程序，其验证步骤为BI0S完成POST过程后跳转加载启动引导程序，启动引导程序首先调用TCM杂凑密码算法对MBR进行计算，得到的杂凑值为完整性度量值与用户存储区中的标准度量值进行匹配验证，验证不成功宕机，验证成功后进行启动登录认证； 登录认证步骤为根据用户输入的ロ令和TCM信息令调用TCM计算登录密钥，与解密的用户存储区中的登录密钥进行匹配验证，验证不通过宕机，验证通过后解密MBR和加密密钥，加载操作系统，将加密密钥传入文件系统过滤驱动加密模块。上述步骤三具体包括 上层应用写数据时，通过I/o管理器下发IRP请求，文件系统过滤加密模块截获IRP请求，利用加密密钥和对称加密算法加密传递的数据，然后派发IRP到文件系统驱动、设备驱动直到将数据写入磁盘设备；反之，上层应用读数据时，文件系统过滤加密模块中的加密模块通过相反的步骤解密数据。本专利技术与现有技术相比所产生的有益效果是 本专利技术的设计文件系统过滤驱动进行磁盘全盘数据的加解密，加密过程对用户是透明的，加密效率高；利用TCM根密钥来加密保护登录密钥和加密密钥，密钥与磁盘数据相分离，提高了加解密效率的同时，密钥存储的安全性得到大大提高。在磁盘第一磁道写入启动引导程序与TCM通信实现操作系统启动前的登录 认证，同时利用TCM完整性验证功能对磁盘MBR进行验证，及时发现恶意程序修改MBR，防止系统启动前恶意篡改加密系统非法窃取数据的行为。附图说明附图I是本专利技术的全盘加密结构框图。附图2是本专利技术的全盘加密初始化步骤。附图3是本专利技术的全盘加密启动验证步骤。具体实施例方式下面结合附图对本专利技术所提供的作以下详细说明。如附图I所示，现提供，包括加密管理模块、启动验证模块、文件系统过滤加密模块、可信密码模块，其中 加密管理模块用来产生加密密钥以及加密MBR数据并写入目标磁盘，完成全盘加密系统的建立、启动引导程序装载和密钥管理等功能。启动验证模块是一段启动引导程序，在操作系统启动前加载，通过与TCM通信调用TCM杂凑密码算法，进行登录认证和MBR的完整性验证。文件系统过滤驱动加密模块通过在文件系统上附加过滤系统驱动，将加密模块加入过滤驱动中,截获磁盘I/o数据，完成磁盘数据的实时加解密。可信密码模块(TCM)为ー硬件加密芯片，内置国家密码局认证的SM2非対称密码算法、SM3杂凑密码算法等密码算法，能够完成加密和完整性度量等密码学运算，具备密钥保护空间和用户存储空间。具备平台配置寄存器(PCR)，存放部件的完整性度量值。其具体加密步骤如附图2、图3所示 步骤I、首先记录用户输入的加密系统登录ロ令，加密管理模块调用TCM杂凑密码算法SM3算法根据ロ令和TCM信息创建登录密钥；调用TCM真随机数发生器产生一段随机数同样做杂凑运算创建加密密钥。步骤2、调用TCM密码算法和根密钥(EK)加密这两个密钥存储在TCM用户存储空间中。步骤3、加密管理模块读取目标磁盘MBR，通过TCM存储密钥加密后替换原MBR数据，调用TCM杂凑密码算法对其计算杂凑值，得到的256位杂凑值作为完整性度量基准值存储在TCM芯片的用户存储区中。步骤4、在磁盘第一磁道的MBR之后第3至55扇区写入启动引导程序，系统重启后将启动加密系统启动弓I导程序进行验证登陆。步骤5、BIOS完成POST过程调用INT13中断跳转加载启动验证模块，启动验证模块即写入磁盘MBR之后扇区的一段启动引导程序，启动引导程序首先调用本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于可信密码模块的全盘加密的方法，其特征在于包括加密管理模块、启动验证模块、文件系统过滤加密模块、可信密码模块，其中 加密管理模块用来产生加密密钥以及加密MBR数据并写入目标磁盘，完成全盘加密系统的建立、启动引导程序装载和密钥管理等功能； 启动验证模块在操作系统启动前加载,进行登录认证和MBR的完整性验证； 文件系统过滤驱动加密模块通过在文件系统上附加过滤系统驱动，将加密模块加入过滤驱动中，截获磁盘I/O数据,完成磁盘数据的实时加解密； 可信密码模块为ー硬件加密TCM芯片，能够完成加密和完整性度量等密码学运算，具备密钥保护空间和用户存储空间； 其具体加密步骤为 1)、加密管理模块对加密系统进行初始化； 2)、启动验证模块进行验证、登陆认证； 3 )、文件系统过滤加密模块进行加解密。2.根据权利要求I所述的ー种基于可信密码模块的全盘加密的方法，其特征在于上述步骤一具体包括 用户输入加密系统登录ロ令，加密管理模块调用TCM杂凑密码算法根据ロ令和TCM信息创建登录密钥，同时调用TCM真随机数发生器产生一段随机数同样做杂凑运算创建加密密钥； 调用TCM密码算法和存储根密钥加密这两个密钥存储在TCM用户存储空间中； 接着，加密管理模块调用TCM存储根密钥加密目标磁盘MBR，对MBR数据调用TCM...

【专利技术属性】
技术研发人员：赵斌，
申请(专利权)人：山东超越数控电子有限公司，
类型：发明
国别省市：