[发明专利]基于在线密钥的密钥保护装置

权利要求书

1.一种用于为存储介质创建密钥保护装置的方法，所述方法是在计算设备中实现的，并包括：

获取(304)在线密钥，其中所述在线密钥受远程服务的保护；

至少部分地基于所述在线密钥，加密(312)用于加密和解密所述存储介质或一个或多个存储介质加密密钥的主密钥，所述存储介质加密密钥用于加密和解密所述存储介质；以及

存储(316)用于所述存储介质的密钥保护装置，所述密钥保护装置包括所述已加密的主密钥。

2.如权利要求1所述的方法，其特征在于，获取所述在线密钥包括从所述远程服务获取所述在线密钥。

3.如权利要求1所述的方法，其特征在于，还包括使用所述远程服务的公钥加密所述在线密钥，并将所述已加密的在线密钥包括在所述密钥保护装置中。

4.如权利要求1所述的方法，其特征在于，获取所述在线密钥包括生成所述在线密钥，所述方法还包括将所述在线密钥与所述远程服务一起存储，所述在线密钥是与所述计算设备或所述计算设备的用户相关联地存储的。

5.如权利要求1所述的方法，其特征在于，所述存储介质包括可移动的闪存设备。

6.如权利要求1所述的方法，还包括：

生成一个或多个本地密钥；

保护所述一个或多个本地密钥中的每一个，以便只有在已经认证所述计算设备的用户之后才能检索所述一个或多个本地密钥中的每一个；

组合所述一个或多个本地密钥和所述在线密钥以生成组合密钥；以及

其中，加密所述主密钥包括使用所述组合密钥来加密所述主密钥。

7.如权利要求6所述的方法，其特征在于，使用所述组合密钥来加密所述主密钥包括使用对称密钥加密密码来加密所述主密钥，所述对称密钥加密密码使用所述组合密钥作为对称密钥。 

8.如权利要求6所述的方法，还包括：

通过至少部分地基于所述主密钥，加密所述组合密钥，来生成已加密的组合密钥；以及

将所述已加密的组合密钥包括在所述密钥保护装置中。

9.如权利要求8所述的方法，还包括：

获取新主密钥；

通过至少部分地基于所述组合密钥，加密所述新主密钥，来生成新的已加密的主密钥；

将所述密钥保护装置中的所述已加密的主密钥替换为所述新的已加密的主密钥；

通过至少部分地基于所述新的主密钥，加密所述组合密钥，来生成新的已加密的组合密钥；以及

将所述密钥保护装置中的所述已加密的组合密钥替换为所述新的已加密的组合密钥。

10.一种计算设备，包括：

处理器(502)；以及

在其上存储了用于访问用户保护的存储介质的指令的一个或多个计算机可读介质(504)，当由所述处理器执行所述指令时，所述指令使所述处理器：

从远程服务获取(404)与所述计算设备和所述计算设备的用户中的一个或两者相关联的在线密钥；

获取(402)包括已加密的主密钥的密钥保护装置，其中所述主密钥用于解密所述用户保护的存储介质或解密用于解密所述用户保护的存储介质的一个或多个存储介质加密密钥；以及

使用(408)所述在线密钥来从所述密钥保护装置中的所述已加密的主密钥解密所述主密钥。

11.如权利要求10所述的计算设备，其特征在于，获取所述密钥保护装置是从所述用户保护的存储介质获取所述密钥保护装置。

12.如权利要求10所述的计算设备，其特征在于，使用所述远程服务的公钥加密所述在线密钥，并且，其中获取所述在线密钥是将使用所述远程服 务的所述公钥加密的所述在线密钥发送到所述远程服务，并在被所述远程服务使用所述远程服务的私钥解密之后从所述远程服务获取所述在线密钥。

13.如权利要求10所述的计算设备，其特征在于，在所述计算设备的预执行环境中执行所述指令，其中所述用户保护的存储介质包括用于引导所述计算设备的引导卷。