[发明专利]一种内存数据保护方法及系统

说明书

本发明提供一种内存数据保护方法及系统。该方法包括：当待保护内存数据写入目标页面时，获取目标页面的页面标识；根据页面标识，若判断获知目标页面为敏感页面，则为待保护内存数据分配与敏感页面对偶的影子页面；对待保护内存数据进行蜜罐化处理，确定待保护内存数据的虚假数据，并将虚假数据写入影子页面；将敏感页面的页表项信息从初始页表中转移至影子页表，初始页表用于存储目标页面的页表项信息，影子页表用于存储敏感页面和影子页面的页表项信息。该系统包括用户接口、页面标识单元和页面反转单元。本发明通过构造影子页面隐藏待保护内存数据的页面，从而实现对内存数据的保护，操作简单快捷，不会过多影响系统整体性能。

技术领域

本发明涉及计算机数据安全存储的技术领域，尤其涉及一种内存数据保护方法及系统。

背景技术

随着科学技术的发展，存储在计算机内存中的数据越来越多、越来越重要，内存也由此遭到越来越多的攻击，所以需要对其机密性进行保护，防止信息泄露。目前保护内存数据的一种较好方法是内存加解密，即：在处理器不访问数据时将内存数据加密存储，当处理器访问数据时再将数据解密。通过这种方式，可以缩短内存数据以明文形式在内存中存在的时间。

现有的RamCrypt技术，如图8所示，其设计思想如下：内存数据只在处理器访问前后以明文形式存在于内存，其它时间将以密文形式存在于内存。RamCrypt支持未修改的Linux进程正常运行，透明地对其内存数据实施加密保护。具体来讲，RamCrypt改变了页面异常处理流程，在访问页面前需要判断当前页面是否加密，如果页面处于加密状态则首先对其解密，再提供给处理器访问。这样就可以在不影响处理器使用的前提下保护内存数据。默认情况下，RamCrypt在同一时间只公开4个内存页面，这使得可供攻击的目标和时间窗口都极大缩小。特别的，为了保护加密密钥，使其不出现在内存中，RamCrypt将其存储于处理器寄存器中。该工作代表了一大批内存加解密方法，它们的核心就是基于加解密运算来保护内存数据。不过，这种方法面临着性能问题：原本只是简单内存访问操作，在引入内存加解密机制后，需要反复多次调用加解密算法对数据实施加解密运算，原本仅仅需要几个时钟周期就可以完成数据处理操作，可能会需要成千上万甚至更多的时钟周期。这是因为加解密运算往往都需要大量的循环、迭代、替换等操作，虽然其需要的I/O操作较少，但是仍然引入了大量的性能开销。尤其是当加密保护数据过多时，会造成系统性能严重下降。

发明内容

为解决现有内存数据保护方法中存在的系统性能开销过大，降低系统性能的问题，本发明提供一种内存数据保护方法及系统。

一方面，本发明提供一种内存数据保护方法，该方法包括：

步骤1、当待保护内存数据写入目标页面时，获取目标页面的页面标识；

步骤2、根据所述页面标识，若判断获知所述目标页面为敏感页面，则为所述待保护内存数据分配与所述敏感页面对偶的影子页面；

步骤3、对所述待保护内存数据进行蜜罐化处理，确定所述待保护内存数据的虚假数据，并将所述虚假数据写入所述影子页面；

步骤4、将所述敏感页面的页表项信息从初始页表中转移至影子页表，所述初始页表用于存储目标页面的页表项信息，所述影子页表用于存储敏感页面和影子页面的页表项信息。

进一步地，该方法还包括：

步骤5、接收用户的页面反转请求，所述页面反转请求包括所述待保护内存数据的存储地址和数据大小；

步骤6、根据所述目标页面的页面标识、所述待保护内存数据的存储地址和数据大小，对所述目标页面进行页面反转。

进一步地，该方法还包括：

步骤7、当用户完成数据访问后，若在预设时间之后目标页面为敏感页面，则对所述目标页面进行页面反转。

进一步地，该方法还包括：