[发明专利]数据防泄漏方法及计算机可读存储介质

说明书

本发明公开了一种数据防泄漏方法及计算机可读存储介质，方法包括：使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据密文数据，得到预设格式的数据块，并使用可信启动私钥对数据块进行签名，得到签名数据；根据数据块和签名数据，得到混合数据；将加密密钥注入至熔丝区域；安全操作系统启动后，配置安全存储区域；安全操作系统获取混合数据，并使用可信启动公钥对混合数据进行签名验证；若验证通过，则从熔丝区域获取加密密钥；解析混合数据，使用加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将明文数据存储至安全存储区域。本发明可有效防止数据在静态存储到动态运行时的泄露。

技术领域

本发明涉及数据安全技术领域，尤其涉及一种数据防泄漏方法及计算机可读存储介质。

背景技术

现有的普通FLASH对数据的防护比较弱，很容易通过工具将存储在里面的数据拷贝出来，如果数据是明文形式存在的话数据就泄漏了。如果使用专用的安全FLASH又增加了硬件成本，且保护的仅仅是静态情况下的数据，程序运行起来之后加载到普通内存里面的数据又有可能被恶意程序窥探到，从而导致数据的泄漏。

发明内容

本发明所要解决的技术问题是：提供一种数据防泄漏方法及计算机可读存储介质，可有效防止数据从静态存储到动态运行时的泄露。

为了解决上述技术问题，本发明采用的技术方案为：一种基于trustzone的数据防泄漏方法，包括：

使用加密密钥对待加密的明文数据进行加密，得到密文数据；

根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；

根据所述数据块和所述签名数据，得到混合数据；

将所述加密密钥注入至熔丝区域；

安全操作系统启动后，配置安全存储区域；

安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证；

若验证通过，则从熔丝区域获取加密密钥；

解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域。

本发明还涉及一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上所述的步骤。

本发明的有益效果在于：通过把需要保护的数据用密码技术进行处理产生一个格式化的混合数据文件，在运行时通过trustzone权限配置部分普通的内存区域为可信区域独享安全存储区域，并通过密码技术把数据解析到对应的安全存储区域，这样非可信环境下的程序无法窥探到安全内存的数据，只能通过间接请求trustzone的可信环境下的数据进行使用，确保整个过程数据无法泄漏出去。本发明可在不需要使用专用安全flash或者专用安全RAM的情况下，有效防止数据在静态存储到动态运行时的泄露。

附图说明

图1为本发明一种基于trustzone的数据防泄漏方法的流程图；

图2为本发明实施例一的方法流程图；

图3为本发明实施例二的加密过程示意图；

图4为本发明实施例二的解密过程示意图；

图5为本发明实施例二的混合数据的格式示意图；

图6为本发明实施例三的嵌入式设备启动流程示意图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图详予说明。