[發明專利]一種白名單庫文件的安全加載方法及裝置

有效

• 申請號: 201810140704.7
• 申請日: 2018-02-11
• 公開（公告）號: CN108270574B
• 公開（公告）日: 2021-02-09
• 發明（設計）人: 沈利斌;郭正飛;邵騰飛
• 申請（專利權）人: 浙江中控技術股份有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08;G06F21/60
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王寶筠

本申請提供了一種白名單庫的安全加載方法及裝置，預設秘鑰和主機安全軟件代碼中的密文分開存儲，保證了白名單秘鑰的安全性；采用二次加密機制，即依據所述白名單秘鑰和所述第一加密算法對白名單中存儲的數據進行加密，得到白名單數據密文，再利用第二加密算法計算所述白名單庫的哈希值，根據所述白名單秘鑰和所述第一加密算法對所述白名單庫的哈希值進行加密，得到所述白名單庫的哈希值密文，保證了白名單庫數據的安全性。通過所述預設秘鑰對白名單庫進行解密驗證白名單庫的安全性，當驗證白名單庫安全時，對白名單庫進行加載。保證了主機安全軟件加載白名單庫時的安全性。

技術領域

本發明涉及工控安全技術領域，更具體的，涉及一種白名單庫文件的安全加載方法及裝置。

背景技術

白名單庫為主機信任的文件列表，列表中的對象被允許訪問或執行。主機安全軟件監控系統運行的過程中，只允許運行白名單中的程序，惡意的、未授權的進程和文件操作都將被阻止運行。主機安全軟件對主機進行全面掃描，生成可信任的白名單列表庫，并保護白名單不會被惡意軟件操作和破壞。

現在一般利用私密算法和固定密鑰，實現主機安全軟件與報名單庫之間的安全通信，其方法的實現是基于產品中采用了某種向外部保密的加密算法；并在主機安全軟件和白名單庫之間約定了一個固定的數據加密密鑰，且該密鑰也是對外部保密的。該方式的安全性在于算法的私密性和密鑰的安全性。

從產品的管理的角度看，產品從開發到生產的一系列流程中，算法和密鑰都有很大的泄漏風險。而且很多時候對于企業內部人員來講，算法和密鑰甚至都不是保密的。從另一方面來講，長期使用單一算法與密鑰，在獲取到大量通訊數據之后，也非常容易被破解。

綜上，現有方法較難保障主機安全軟件與白名單庫之間的通信數據安全。

發明內容

有鑒于此，本發明提供了一種白名單庫的安全加載方法及裝置，實現主機安全軟件與白名單庫之間的安全通信。

為了實現上述發明目的，本發明提供的具體技術方案如下：

一種白名單庫的安全加載方法，包括：

根據預設秘鑰和第一加密算法對主機安全軟件代碼中的密文進行解密，獲取白名單秘鑰，所述預設秘鑰存儲在主機中任意一個數據庫中；

依據所述白名單秘鑰和所述第一加密算法對白名單中存儲的數據進行加密，得到白名單數據密文，所述主機安全軟件代碼中的密文和所述白名單數據密文構成白名單庫；

利用第二加密算法計算所述白名單庫的哈希值，根據所述白名單秘鑰和所述第一加密算法對所述白名單庫的哈希值進行加密，得到所述白名單庫的哈希值密文，并將所述白名單庫的哈希值密文存儲在所述白名單庫中；

通過所述預設秘鑰對白名單庫進行解密驗證白名單庫的安全性，當驗證白名單庫安全時，對白名單庫進行加載。

優選的，所述方法還包括：

根據預設秘鑰對白名單秘鑰進行加密，生成密文，并將所述密文存儲在主機安全軟件代碼中。

優選的，白名單存儲的數據包括：可信可執行文件信息和可信可執行文件的哈希值；

所述依據所述白名單秘鑰和所述第一加密算法對白名單中存儲的數據進行加密，得到白名單數據密文，具體為：

依據所述白名單秘鑰分別對所述白名單存儲的可信可執行文件信息和可信可執行文件的哈希值進行加密，得到所述可信可執行文件信息的密文和所述可執行文件的哈希值的密文。

優選的，所述方法還包括：

對主機中的可執行文件進行掃描，得到可信可執行文件信息，并計算所述可信可執行文件名稱的哈希值；所述可信可執行文件信息包括：可信可執行文件的名稱、文件大小、創建時間和修改時間。