一种面向高保密场景的计算机全盘数据加密和安全认证方法与流程

本技术涉及数据安全，且特别涉及一种面向高保密场景的计算机全盘数据加密和安全认证方法。

背景技术：

1、随着互联网、物联网及大数据技术的飞速发展，数据已成为驱动各领域发展的核心要素，涵盖企业核心业务数据、个人隐私数据乃至国家重要数据。保障数据存储安全，对于维护隐私、防范信息泄露、支撑业务发展具有至关重要的意义。

2、在当前信息化环境下，数据安全保障通常划分为信息系统级和主机级两个层面：（1）信息系统级：指通过双绞线、光纤等网络介质将多台计算机互联构成的系统，侧重于整个系统层面（如网络、应用、数据流等）的数据安全；（2）主机级：指单个计算设备（如服务器、pc），聚焦于单个设备自身的操作系统、应用、本地存储等数据保护。

3、对于信息系统级的数据安全保障，业内已有成熟产品，如服务器密码机、网络机密码机、存储密码机等，可以对信息系统内的应用系统、网络传输及集中存储等过程中的数据进行安全防护，但上述技术手段主要针对应用系统授权访问、网络边界和集中存储系统的数据安全，不具备对单个计算设备的操作系统、本地存储数据执行保护的能力。因此，在信息系统内，常需要配合主机级防护共同完成数据安全保护体系建设。

4、对于主机级的数据安全保障，国内外开展了基于密码学的软件加密或硬件加密的技术研究。在工程应用及落地实施中，因兼容性问题、性能瓶颈、实施成本或密钥管理复杂等原因，现有技术手段仅能满足通用数据保护场景，不适用于高保密场景中的最小化授权访问、整机数据加密、强制数据保护等要求。

5、因此，亟需一种专门面向主机设备的数据加密保护与认证技术方案，尤其是对高保密环境中的主机设备，以强化主机设备中数据的安全性与访问控制能力，有效应对设备丢失、存储硬盘被盗及非授权访问带来的安全威胁。

技术实现思路

1、本技术的目的在于提供一种面向高保密场景的计算机全盘数据加密和安全认证方法，其旨在解决当前主机全盘数据安全防护缺失的问题，本技术通过双层访问控制机制分离系统盘和数据盘的安全授权过程，实现了全盘加密，可以有效防控非授权访问、设备丢失及存储硬盘被盗引发的数据安全风险。

2、本技术提供一种面向高保密场景的计算机全盘数据加密和安全认证方法，该方法包括：

3、s1，将加密设备连接至可信管理主机进行新增硬件芯片初始化；其中，加密设备具有指纹输入模块和加解密与读写控制模块；新增硬件芯片初始化的步骤包括：在可信管理主机的管理软件中创建用户，生成用户身份id；将用户身份id作为加密参数p1，经加密算法得到密钥key-1；录入用户指纹信息并生成密钥key-5；输入软件加密pin码，将软件加密pin码作为加密参数p4，经加密算法得到密钥key-2；录入用户计算机的主板id，将计算机的主板id作为加密参数p2；读取加密设备的硬件芯片id，将加密设备的硬件芯片id作为加密参数p3；使用加密参数p2和加密参数p3作为共同加密参数，经加密算法将密钥key-1加密到密钥key-3、将密钥key-2加密得到密钥key-4；将密钥key-3、密钥key-4和密钥key-5写入到加密设备的加解密与读写控制模块的安全存储区，将密钥key-1、密钥key-2和密钥key-5保存到可信管理主机；s2，将加密设备安装至计算机；s3，开机硬盘授权认证流程；计算机上电后，先进行设备自检过程，自检通过后发起指纹采集请求；通过指纹输入模块采集用户指纹，将指纹采集结果与加密设备的密钥key-5进行比对；指纹比对成功后，获取计算机的主板id和加密设备的硬件芯片id，并使用计算机的主板id和加密设备的硬件芯片id作为解密参数对加密设备中的密钥key-3和密钥key-4进行解密；若解密成功获得密钥key-1和密钥key-2，则放行硬盘访问权限；s4，计算机启动流程；计算机启动流程中完成操作系统启动；s5，受保护数据读写流程；计算机的数据使用授权软件自启动，用户输入pin码；使用用户输入的pin码计算得到key-2-user，并与加密设备内的密钥key-2进行密钥比对，若比对成功则获得硬盘读写权限；通过加密设备的加解密与读写控制模块控制硬盘数据读写过程，系统盘采用密钥key-1进行加解密，数据盘采用密钥key-2进行加解密。

4、本技术提供的面向高保密场景的计算机全盘数据加密和安全认证方法采用硬件和软件分层安全防护设计，硬件层实现在计算机操作系统加载前通过绑定于硬件的特征信息（指纹、用户id、设备信息等）完成硬件层可信认证，解锁操作系统引导能力；操作系统启动完成后，通过软件层实现数据访问控制及加密保护；因此，本技术通过双层访问控制机制分离系统盘和数据盘的安全授权过程，实现了全盘加密，可以有效防控非授权访问、设备丢失及存储硬盘被盗引发的数据安全风险；且该方法具有低成本、高性能、高兼容的优势。

5、本技术可选的实施方式中，加密设备具有输入sata接口；s1步骤中，将输入sata接口与可信管理主机的主板连接。

6、在上述技术方案中，加密设备采用标准sata协议接口设计，有利于保证加密设备的兼容性，且成本低。

7、本技术可选的实施方式中，加密设备具有输入sata接口和输出sata接口；s2步骤中，将输入sata接口与计算机的主板连接，输出sata接口与计算机上配置的sata硬盘连接。

8、在上述技术方案中，加密设备采用标准sata协议接口设计，将输入sata接口与计算机的主板连接，输出sata接口与计算机上配置的sata硬盘连接，即可实现单块硬盘完整加密，与现在计算机主机无缝兼容，有利于保证加密设备的兼容性，且成本低。

9、本技术可选的实施方式中，当计算机上配置有多块sata硬盘时，加密设备设置有与sata硬盘的数量对应的加解密与读写控制模块，且加密设备配置的指纹输入模块的数量为一个；每个加解密与读写控制模块对应配置一个输入sata接口和一个输出sata接口；多个加解密与读写控制模块中的任意一个加解密与读写控制模块与指纹输入模块连接；多个加解密与读写控制模块之间通过级联接口连接。

10、在上述技术方案中，可以使得每块硬盘都受独立的加解密与读写控制模块控制，通过模块间的级联接口实现用户授权信息在硬盘间的传递；用户仅需在任一硬盘（加解密与读写控制模块）连接的指纹输入模块完成授权认证，授权信息即可通过级联通道自动同步至所有级联硬盘。

11、本技术可选的实施方式中，加密设备具有指纹传感器输入接口；s2步骤中，将指纹输入模块置于计算机外，并将指纹输入模块通过数据线与指纹传感器输入接口连接。

12、在上述技术方案中，可以使得用户仅在任一硬盘（加解密与读写控制模块）连接的外置指纹输入模块完成授权认证，授权信息即可通过级联通道自动同步至所有级联硬盘。

13、本技术可选的实施方式中，当加密设备的硬件芯片故障时，面向高保密场景的计算机全盘数据加密和安全认证方法还包括：先进行恢复硬件芯片初始化，再依次进行s2步骤、s3步骤、s4步骤和s5步骤；恢复硬件芯片初始化的步骤包括：通过可信管理主机的管理软件读取密钥key-1、密钥key-2和密钥key-5；将新的加密设备连接至可信管理主机，读取新的加密设备的硬件芯片id，将新的加密设备的硬件芯片id作为加密参数new-p3；使用加密参数p2和加密参数new-p3作为共同加密参数，经加密算法将密钥key-1加密到密钥new-key-3、将密钥key-2加密得到密钥new-key-4；将密钥new-key-3、密钥new-key-4和密钥key-5写入到新的加密设备的安全存储区。

14、在上述技术方案中，当加密设备硬件芯片故障导致硬盘数据无法正常读取时，可以通过可信管理主机的可信管理软件将硬盘绑定至新的加密设备，恢复硬盘数据读取。

15、本技术可选的实施方式中，当计算机故障时，面向高保密场景的计算机全盘数据加密和安全认证方法还包括：先进行恢复硬件芯片初始化，再依次进行s2步骤、s3步骤、s4步骤和s5步骤；恢复硬件芯片初始化的步骤包括：通过可信管理主机的管理软件读取密钥key-1、密钥key-2和密钥key-5；将新的计算机的主板id录入到可信管理主机，将新的计算机的主板id作为加密参数new-p2；使用加密参数new-p2和加密参数p3作为共同加密参数，经加密算法将密钥key-1加密到密钥new-key-3、将密钥key-2加密得到密钥new-key-4；将密钥new-key-3、密钥new-key-4和密钥key-5写入到加密设备的安全存储区。

16、在上述技术方案中，当计算机故障导致硬盘数据无法正常读取时，可以通过可信管理主机的可信管理软件将硬盘绑定至新的计算机，恢复硬盘数据读取。

17、本技术可选的实施方式中，当加密设备的硬件芯片和计算机均故障时，面向高保密场景的计算机全盘数据加密和安全认证方法还包括：先进行恢复硬件芯片初始化，再依次进行s2步骤、s3步骤、s4步骤和s5步骤；恢复硬件芯片初始化的步骤包括：通过可信管理主机的管理软件读取密钥key-1、密钥key-2和密钥key-5；将新的加密设备连接至可信管理主机，读取新的加密设备的硬件芯片id，将新的加密设备的硬件芯片id作为加密参数new-p3；将新的计算机的主板id录入到可信管理主机，将新的计算机的主板id作为加密参数new-p2；使用加密参数new-p2和加密参数new-p3作为共同加密参数，经加密算法将密钥key-1加密到密钥new-key-3、将密钥key-2加密得到密钥new-key-4；将密钥new-key-3、密钥new-key-4和密钥key-5写入到新的加密设备的安全存储区。

18、在上述技术方案中，当加密设备硬件芯片和计算机均故障导致硬盘数据无法正常读取时，可以通过可信管理主机的可信管理软件将硬盘绑定至新的加密设备和新的计算机，恢复硬盘数据读取。

19、本技术可选的实施方式中，计算机启动流程包括：完成bios认证和用户认证，直至完成操作系统启动。