[发明专利]使用可信计算技术管理系统中存储设备密码的方法

说明书

本发明公开一种使用可信计算技术管理系统中存储设备密码的方法，创建一个存储设备密码管理中心，全局管理所有处于使用周期内的存储设备，提供密码生成，更新和在线查询功能。终端系统需经可信验证中心验证为可信后，间接向密码管理中心提交密码请求，从而获得加密存储设备的使用权。管理中心按照安全规范生成存储设备密码，随机性好，安全性高；避免了用户生成密码安全性弱，易受字典攻击的缺陷。而通过先验证终端系统可信，后授予存储设备密码的新验证流程；避免了设备管理中完全依赖人在回路，做到海量安全存储设备集合的自动化管理。实现在存储设备层级，便捷可靠地保护数据安全。

技术领域

本发明属于计算机技术领域，具体涉及一种使用可信计算技术管理系统中存储设备密码的方法。

背景技术

数据是信息的载体，计算机被用来传输，处理和存储各种数据，大量数据是高价值和敏感的，例如用户个人信息，银行交易记录，商业合同，科学实验数据，军事机密等。一个完善的计算机系统设计既要考虑如何高效合理的处理数据，也要考虑如何保护数据的安全性和可用性。

数据安全需要涵盖数据的三类状态包括：(1)数据正在被更新(Data in Use)，指的是系统中正在被实时处理更新的数据。这类数据一般存储在内存，Cache或者其他易失的存储介质中；(2)数据正在被移动(Data in Motion)，数据正在网络或者各种数据总线(PCIe，USB等)上传输。(3)静态数据(Data at Rest)，保持在存储状态中的数据，随着设备的迁移往往能被离线获取。例如离线备份的数据，数据仓库中保存的数据等。

为了保护第3类静态数据的安全，TCG国际行业标准组织可信计算组织(TCG，Trusted Computing Group)从用户访问控制和存储数据自加密的维度，制定了OPAL/OPALite/OPAL Pyrite存储安全扩展协议族。协议包含内容锁定、用户配置、访问权限，安全擦除等一系列存储安全相关功能。当前，OPAL扩展协议族已经被ATA/NVMe/SCSI等多个存储命令集实现，广泛应用于各种存储设备。

在TCG OPAL扩展协议中，只有存储设备密码的拥有者才有权限修改设备安全状态；也只有密码在验证通过后，才能正常访问存储数据。设备每次重置，设备都要求再次输入密码，重新验证身份；因此设备密码的拥有者也被称为设备的所有者。所有者既可以是一个特定的用户，如个人笔记本的终端用户；也可以是当前使用设备的可信系统，如通过可信验证的存储服务器，或是并行运行于服务器上的虚拟机。

在计算机系统安全设计中，数据存储时加密，读取时解密是保护静态数据安全(Data at Rest)的通行技术。现有实现主要包括两种方案:一种是在操作系统层面使用软件加解密存储数据,例如微软的Bitlocker；另一种则完全依靠存储设备本身的安全特性拓展(如OPAL规范)，但在存储设备初始化时需要用户设置和提供解锁密码。如图2所示是终端系统中自加密存储设备(Self-Encrypted Device)对用户数据及密钥的现有处理方式该方式下的密钥管理必须保持人在回路，且密码安全性较低。

但是现有的技术还存在以下问题：1.由用户设置存储设备密码安全性能弱，容易受字典攻击；2.海量存储设备集合中获取、更新解锁密码流程复杂，依赖人在回路，难以实现自动化部署。3.存储设备从系统迁移、回收或注销后，依赖人在回路，难以实现无缝重置硬盘或迁移到其他终端。

发明内容

本发明解决的技术问题：提供一种通过验证系统的可信状态，赋予该系统安全存储设备密码的权限，在存储设备级别保护数据安全的使用可信计算技术管理系统中存储设备密码的方法。

技术方案：为了解决上述技术问题，本发明采用的技术方案如下：