[发明专利]数据安全读取方法及其安全存储装置

说明书

技术领域

本发明涉及信息安全领域，特别是一种数据安全读取方法及其安全存储装置。

背景技术

安全存储设备是一种带有处理器和存储器的小型硬件装置，它可通过计算机的数据通讯接口与计算机连接。现有技术中的安全存储模块采用PIN码验证用户身份的合法性，在进行身份认证时将安全存储模块与计算机相连，用户在计算机上输入PIN码，安全存储模块会自动校验该PIN码的正确性，只有当用户输入的PIN码正确时，才允许用户操作安全存储模块。安全存储模块具有密钥生成功能，并可安全存储密钥和预置加密算法。安全存储模块与密钥相关的运算完全在装置内部运行。由于安全存储模块具有高安全的特性，所以很多要求安全性较高的领域都采用安全存储模块进行身份认证，以保证操作的安全性。例如计算机开机保护系统常利用安全存储模块来确认使用者的身份。

然而，现有的安全存储模块在安全性和易用性方面仍存在许多不足。从安全存储模块与用户之间的认证方面来说，首先，由于许多用户为了防止忘记PIN码，经常采用诸如自己或家人的生日、电话号码等作为密码，这些有意义的字符串容易被他人猜测到，或者采用把密码抄在一个自己认为安全的地方，这也存在着安全隐患，极易造成密码泄露。现有的安全存储模块既存有密钥同时也存有用户信息，若非法分子盗取了该装置，就很有可能通过口令猜测得到用户设定的PIN码，一旦这种情况发生，非法分子便极易通过身份认证，最终达到窃取安全存储模块内部私密信息的目的。

其次，现有技术中，除了静态密码认证方式以外，还有使用用户生物特征信息代替密码进行认证的方式，即在初始化的时候把合法用户的生物特征信息存入装置内部，用户在使用时，需要一次或多次输入正确的生物特征信息方能通过认证，这种认证方式安全性强，但通常成本较高，使用时较为烦琐。

从外部设备与计算机之间的通信方面来说，现有技术中外部安全存储模块与主机进行数据通信的过程常采用存储加密或用户身份认证装置来保证安全存储模块中数据的安全性，控制非法用户监听或截获敏感信息。例如利用各种密钥机制实现对设备中数据的加密存储，或者利用双因子认证模式来认证用户的身份。然而，非法用户可以通过第三方软件截获安全存储模块与计算机进行通信的数据，并对特征信息进行破解分析，达到窃取设备内部数据的目的，从而给外部安全存储模块与计算机通信带来安全隐患。

发明内容

本发明克服了上述缺点，提供了一种应用成本低、安全性高的数据安全读取方法及其安全存储装置。

本发明解决其技术问题所采取的技术方案是：一种数据安全读取方法，所述安全存储设备中存储有密文数据和用于解密所述密文数据的固定密钥，读取过程包括如下步骤：

安全存储设备接收主机端发出的数据读取命令；

安全存储设备和智能密钥模块中任一方或双方认证对方的有效性；

在认证所述安全存储设备或/和智能密钥模块有效后，允许所述安全存储设备利用所述固定密钥对所述密文数据进行解密，并发往主机端。

在认证所述安全存储设备或/和智能密钥模块有效后，所述智能密钥模块与主机可进行密钥协商生成会话密钥并发送给所述安全存储设备，所述安全存储设备利用所述会话密钥将解密后的数据进行加密，发往主机端。

所述密钥协商可以智能密钥模块的操作时间、操作次数、身份认证信息或/和有效性认证信息为种子。

所述有效性认证之前还可包括，认证所述智能密钥模块中身份认证信息的合法性。

所述身份认证信息可为自定义密码或生物特征信息。

所述安全存储设备或智能密钥模块的有效性认证信息可为序列号或硬件标识。

还可包括在有效性认证失败后记录操作日志。

所述安全存储设备可与智能密钥模块之间采用非接触式通信实现读写操作。

一种数据安全存储装置，包括安全存储设备和智能密钥模块，所述安全存储设备包括：

接口单元，用于实现微处理器单元与主机间的数据通信；

密文存储单元，用于存储密文数据和解密所述密文数据的固定密钥；

通信单元，用于实现微处理器单元与所述智能密钥模块建立通信；

认证单元，用于经所述微处理器单元和所述通信单元，接收从智能密钥模块发来的有效性认证信息，进行有效性认证；

微处理单元，用于对认证单元进行有效性认证控制、用于对所述密文存储单元实现数据的读写控制、用于解析所述通信单元的通信接口协议、用于控制密文存储单元对密文数据的加解密；