大容量存储设备存储器加密方法、系统及装置制造方法及图纸

公开了用于安全地存储数据的大容量存储设备和方法。大容量存储设备包括：用于与所连接的主机进行通信的通信接口；用于存储数据的大容量存储器部件；适用于安全地存储至少一个主秘密的安全密钥存储部件；以及不同于安全密钥存储部件且连接至安全密钥存储部件和大容量存储器部件的加密-解密部件。加密-解密部件可以适用于利用加密算法和至少一个加密密钥对从主机接收的数据进行加密，且将加密的数据写入大容量存储器部件中。加密-解密部件也可以适用于响应于来自主机的读取数据命令使用解密算法和其安全性使用安全地存储在安全密钥存储部件中的主秘密来保护的至少一个解密密钥对存储在大容量存储器部件中的加密的数据进行解密以将数据返回给主机。

【技术实现步骤摘要】
【国外来华专利技术】大容量存储设备存储器加密方法、系统及装置相关申请的交叉引用本申请要求于2011年6月16日提交的、题为“MassStorageDevicewithOn-The-FlyEncryption”的美国临时申请No.61/355,399的优先权，其内容通过引用全部合并在本文中。
技术介绍
能够存储相对大量的数据（例如，几百兆字节或几千兆字节，有时几十千兆字节）并且可以很容易地连接至计算机和从计算机断开的小型便携式电子设备正变得越来越受欢迎，因为它们为用户传输计算机数据提供了方便的方式。在许多情况下，这样的设备可以通过即插即用技术容易地连接到主机，并将本身作为具有标准文件系统的大容量存储设备（MSD）呈现给主机的操作系统。在许多情况下，将设备连接到主机的接口为USB（通用串行总线）型。所谓的USB密钥装置或USB记忆棒是这样的设备的示例。在某些情况下，该设备还提供其他的功能，或者大容量存储功能被集成到具有另外的主要功能的设备中。例如，一些USB密钥装置还包含智能卡或智能卡芯片，并提供安全功能（通常在公钥基础设施（PKI）的环境中），而很多数码相机可以通过USB连接来连接到计算机，然后作为大容量存储设备对主机可见。因为它们对于传输计算机数据来说是如此方便，所以这些便携式大容量存储设备经常用于存储和传送机密或敏感的数据。因此，它们会具有由于它们相对较小的尺寸而加剧的安全风险，因为相对较小的尺寸使得它们容易被盗或丢失。附图说明图1是图示了根据本专利技术的各个方面的大容量存储设备的框图；图2是图示了根据本专利技术的各个方面的从大容量存储设备中读取受保护数据的处理的不同步骤的流程图;图3是图示了根据本专利技术的各个方面的将受保护数据写入大容量存储设备的处理的不同步骤的流程图;图4是图示了根据本专利技术的各个方面的获得批量加密/解密密钥的处理的一些步骤的流程图；图5是图示了根据本专利技术的各个方面的大容量存储设备和安全密钥层级的框图;图6是图示了根据本专利技术的各个方面的加密算法的框图;图7是图示了根据本专利技术的各个方面的解密算法的框图;图8是图示了根据本专利技术的各个方面的替选的大容量存储设备和安全密钥层级的框图；图9是图示了根据本专利技术的各个方面的替选的加密算法的框图；图10是图示了根据本专利技术的各个方面的替选的解密算法的框图；以及图11是图示了根据本专利技术的一个方面的大容量存储设备的初始化的流程图。具体实施例本专利技术人已经认识到：便携式大容量存储设备需要具备当从便携式大容量存储设备的大容量存储器读取存储数据或向其写入数据时对这些数据进行实时地（on-the-fly）加密和解密的能力。具有加密存储数据能力的便携式大容量存储设备的一个技术问题是：用于加密和解密存储数据的密钥的安全性必须足够高。另一个技术问题是：鉴于大量的数据要被加密或解密，加密和解密速度必须足够高，以便不会以不可接受的方式减慢读取和写入操作。具体的挑战是采用相对廉价的标准部件来解决这两个问题。本专利技术的各个方面基于专利技术人的如下见解：可以通过如下大容量存储设备来克服上述两个问题，该大容量存储设备包括：（1）一方面，能够安全地存储秘密的第一安全密钥存储部件，以及（2）另一方面，能够高速地加密和解密写入大容量存储设备的大容量存储器或从大容量存储器读出的大量数据（例如几百兆或几千兆字节）的第二高速加密/解密部件，由此，高速加密/解密部件用于对写入大容量存储器或从大容量存储器读取的数据进行加密和解密的加密和解密密钥中的至少一些的机密性由使用安全地存储在安全密钥存储部件中的秘密的安全机制来保护。例如，批量加密和解密密钥可以直接存储在安全密钥存储部件中，或者它们可以从安全地存储在安全密钥存储部件中的秘密导出，或者它们存储在其它地方（例如存储在大容量存储器上）并且用直接存储在安全密钥存储部件中的密钥加密或用从存储在安全密钥存储部件中的密钥导出的密钥加密，或者它们从存储在其它地方（例如，存储在大容量存储器上）的密钥导出并且用直接存储在安全密钥存储部件中的密钥加密或用从存储在安全密钥存储部件中的密钥导出的密钥加密。本专利技术的另一个方面包括一种用于对存储在具有大容量存储功能的设备的大容量存储器中的数据进行加密和解密的方法。本专利技术的又一个方面包括一种用于生成和管理一些存储在大容量存储设备（MSD）中的秘密密钥并用这些秘密密钥来初始化大容量存储设备的方法。存储器加密的目的是要确保大容量存储设备的数据内容的机密性。在正常情况下，应该只有设备真正的主人能够获得他或她的设备的清楚的文本内容。为了实现该目标，大容量存储设备可以要求大容量存储设备对用户的认证。用户的认证可以对于读取操作和写入操作两者都需要，或仅对于写入操作需要或仅对于读取操作需要。成功的认证可以打开设备以进行单个操作或多个操作。例如，可以要求用户每次对每个读取操作进行认证，或者用户可以只需要在第一次操作之前进行一次认证，只要设备仍然保持通电并连接到主机即可，或者用户可能必须在设备连接到主机时以及之后经过特定的时间间隔或不活动的时间段之后进行认证。可以使用多种技术来认证用户。在一个实施例中，可以要求用户提供PIN或密码，而在其它实施例中，可以通过生物特征认证技术来认证用户，例如，将用户的指纹与存储在大容量存储设备中的参考指纹进行比较。在一个实施例中，大容量存储设备包括：（1）大容量存储器部件，（2）能够安全地存储秘密的安全密钥存储部件，（3）能够对写入大容量存储设备的大容量存储器的数据或从大容量存储器读取的数据进行高速加密和解密的高速加密/解密部件，（4）用于与大容量存储设备所连接到的主机进行通信的通信接口。在该上下文中，安全密钥存储部件是能够以非易失性方式存储敏感数据（比如PIN或密码值、或其他的与用户认证相关的参考数据和秘密，比如秘密密码密钥）并被设计成抵御意在例如通过破坏机密性（例如，获得秘密密钥的值）或破坏敏感数据的完整性（例如，重写PIN的参考值或PIN尝试计数器（PINtrycounter）的值）来泄密敏感数据的一系列攻击的部件。智能卡或智能卡芯片是安全密钥存储部件的很好的示例。为了抵御攻击，安全密钥存储部件可能已设置有多种安全机制。这些安全机制可以包括逻辑层次上的措施，比如对读取和写入操作的访问控制或对涉及敏感数据的使用的某些操作（例如，使用秘密密钥的加密或解密操作）的访问控制，由此，可以取决于特定条件比如用户的认证状态来授权或拒绝对这些操作的访问（例如，更改PIN值的请求或使用存储在部件中的秘密密钥来执行解密操作的请求只有在用户的PIN被成功验证后才被同意）。其它安全措施可以包括物理措施，比如使探测攻击更加困难的小尺寸或用于防止电磁泄漏的屏蔽罩。还有其它一些措施可以用于针对性地阻止试图基于例如时序或功耗分析来获取敏感数据的信息的特定类型的攻击。安全密钥存储部件可以具有传感器以检测该部件是否工作在其允许的参数范围（例如，允许的电源电压、允许的时钟速度）之外，这可能指示基于引发错误的攻击。安全密钥存储部件还可以具有用于检测部件是否正被探测的传感器。这些传感器可以包括电压、温度、频率和光传感器。安全密钥存储部件可以具有对任何存储在存储器中和/或在总线上传输的数据进行加扰和/或加密的规范。安全密钥存储部件可以遵循FIPS140-2或FIPS140本文档来自技高网...

【技术保护点】

【技术特征摘要】
【国外来华专利技术】2010.06.16 US 61/355,3991.一种用于存储数据的大容量存储设备，包括：用于与所连接的主机进行通信的通信接口；用于存储数据的大容量存储器部件；适用于安全地存储至少一个主秘密的安全密钥存储部件；以及不同于所述安全密钥存储部件且连接至所述安全密钥存储部件和所述大容量存储器部件的加密-解密部件；所述加密-解密部件适用于使用加密算法和至少一个批量加密密钥来对从所述主机接收的数据进行加密，并将加密的数据写入所述大容量存储器部件中；所述加密-解密部件还适用于响应于来自所述主机的读取数据命令来对存储在所述大容量存储器部件中的加密的数据进行解密，以将所述数据返回给所述主机，并且其中，所述解密使用解密算法和至少一个批量解密密钥，所述至少一个批量解密密钥的安全性使用安全地存储在所述安全密钥存储部件中的主秘密来保护，其中，所述加密-解密部件通过访问安全地存储在所述安全密钥存储部件中的主秘密来获得所述至少一个批量解密密钥，以及其中，所述加密-解密部件访问安全地存储在所述安全密钥存储部件中的主秘密包括：所述安全密钥存储部件使用密码算法从所述主秘密密码地导出中间秘密并将所述中间秘密返回给所述加密-解密部件，其中所述中间秘密不同于所述主秘密，以及由此所述加密-解密部件从所述中间秘密导出所述至少一个批量解密密钥。2.根据权利要求1所述的设备，其中，所述加密-解密部件通过访问安全地存储在所述安全密钥存储部件中的主秘密来获得所述至少一个批量加密密钥。3.根据权利要求2所述的设备，其中，所述加密-解密部件访问安全地存储在所述安全密钥存储部件中的主秘密以获得所述至少一个批量加密密钥包括：所述安全密钥存储部件使用密码算法从所述主秘密密码地导出中间秘密并将所述中间秘密返回给所述加密-解密部件，以及由此所述加密-解密部件从所述中间秘密导出所述至少一个批量加密密钥。4.根据权利要求1至3中的任意一项所述的设备，其...

【专利技术属性】
技术研发人员：哈尔姆·布拉姆斯，
申请(专利权)人：威斯科数据安全国际有限公司，
类型：
国别省市：