[发明专利]可信保密磁盘的实现方法

说明书

技术领域：

本发明设计基于虚拟磁盘管理技术及实时加解密磁盘软件Truecrypt的基础上，结合可信计算的思想，利用USBKEY作为可信的硬件基础，设计了采用USBKEY的可信磁盘加密系统。通过使用USBKEY作为可信的硬件基础实现加密磁盘的可信性。 

背景技术：

随着计算机的日益普及，计算机数据的安全问题也越来越受到重视。信息的安全受到来自各个方面的威胁，数据的保护越来越重要，涉密信息的安全问题越来越突出，保证涉密文档和敏感数据的关键就是数据加密技术。然而，传统的加密磁盘只是实现了对磁盘内容的加解密，然而，当密盘中密文数据被恶意修改之后，密盘中密文的内容就会发生变化，可能会产生两种结果：第一种是密文被解密后成为完全无法识别的乱码，但又不知道是密钥不对还是加解密软件出了问题；第二种结果是导致密文被解密后内容的含意与原密文有差异甚至完全不同，如果数据是重要的商业数据或重要的机密文件则给用户造成的损失可能无法估量。然而结合可信计算的思想，实现加密磁盘可信，就可以解决密钥和磁盘加解密软件可信性的问题。 

发明内容：

1.首先在计算机系统中建立一个可信根，可信根的可信性由物理安全、技术安全与管理安共同确保。 

2、然后建立一条可信链，从信任根开始到硬件平台，到操作系统，再到应用，一级测量认证一级，一级信任一级，把这种信任扩展到整个计算机系统，从而确保整个计算机系统的可信。 

附图说明：

图1：虚拟磁盘原理结构图 

图2：可信加密磁盘系统结构图 

具体实施方式：

一、可信加密磁盘的系统模型 

可信加密磁盘为以下模块(如附图图2)： 

界面管理模块：用于管理加密卷创建界面和加密卷加载界面。向加密卷创建模块和加密卷加载模块传递用户的设置。 

加密卷创建模块：根据用户设置的创建加密卷的参数(用户口令、加密卷路径等)，来创建相应的加密卷。 

加密卷加载模块：根据用户设置的各种加载参数，来加载相应的加密卷，形成相应的虚拟磁盘，供用户操作。 

虚拟磁盘驱动模块：应用程序的各种操作通过内核的I/O管理器转变为各种IRP请求。虚拟磁盘驱动相应文件系统驱动程序的IRP对虚拟磁盘(卷文件)进行相应的读写操作。 

加解密模块：提供了加解密算法和哈希算法。其中包括AES，Serpent，Twofish，SHA-1等算法的。此外，还有随机数产生器。 

USBKEY控制模块：完成所有和USBKEY相关的操作，例如：读取USBKEY的id，调用USBKEY中的HASH算法等。 

可信计算功能模块：完成可信计算相关的可信根的生成、存储、可信度量以及输出可信度量结果等功能。 

USBKEY：提供产生卷首密钥所用的id和可信根生成时所用的HASH算法以及可信的硬件基础。 

二、系统的关键技术 

虚拟磁盘的设计来源于Windows OS的硬件虚拟化技术，利用虚拟存储技术对底层存储设备进行抽象化管理，将实际的物理存储实体与存储的逻辑表示分离开来，形成虚拟磁盘。 

1、卷首部分设计 

加密卷分为两部分：卷首部分和数据部分，对加密卷内数据部分的读写都需要实时加解密的(写操作 时是加密，写操作时是解密)，而加密卷的安全程度是由密钥受保护的程度决定的。加密卷卷首的占用512字节空间，加密卷的前64字节存储的是由随机数产生器产生的随机数填充。卷首的第64字节到第255字节存的是加密卷的一些参数，第256字节到第511字节存的是对加密卷数据部分读写操作时进行实时加解密的主密钥。 

卷首部分全部是由卷首密钥要加密的，而卷首密钥是由PKCS#5中的导出函数PBKDF2得到的，此函数可以有效的防范字典攻击。卷首密钥的导出公式是DK＝PBKDF2(P，IDH，C，dkLen)，DK为导出的卷首密钥，P为用户设定的口令，IDH为USBKEY的序列号填充固定字符之后产生的64字节参数，C为迭代次数，dkLen为导出的卷首密钥的长度。 

2、加密卷的创建