[發明專利]一種基于網卡ROM的全盤加解密方法及系統

有效

• 申請號: 201911258554.0
• 申請日: 2019-12-10
• 公開（公告）號: CN111177773B
• 公開（公告）日: 2022-09-13
• 發明（設計）人: 黃沾;幸享宏;楊景賀
• 申請（專利權）人: 中國電子科技網絡信息安全有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/60
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 夏琴

本發明涉及數據加解密技術領域，公開了一種基于網卡ROM的全盤加解密方法。將存儲分為bootloader、內核和文件系統三個部分；將密鑰存儲在網卡ROM中，bootloader啟動過程中自動從網卡ROM中獲取密鑰并將內核與文件系統進行解密，然后再啟動解密后的內核。該方案的關鍵將密鑰存放在設備的硬件之中，達到與設備綁定的目的，保持對現有設備的兼容性，提高了存儲區域的安全性；另外該方案不需要對現有應用做其它更改，易用性較強。另外，本發明還公開了一種基于網卡ROM的全盤加解密系統。

技術領域

本發明涉及數據加解密技術領域，特別是一種基于網卡ROM的全盤加解密方法及系統。

背景技術

隨著計算機和網絡的飛速發展，海量的數據存儲在各種設備中，其中塊設備是最主要的存儲設備，攜帶著大量的涉密文檔。倘若系統存在漏洞被未授權使用或者塊設備被盜、丟失都會引起政府、企業或個人的重大經濟和精神上的損失。如何有效地保護涉密文檔的安全性，尤其在計算機丟失或失竊后，防止機密信息非法泄露，這種應用需求對目前普遍存在的存儲安全提出了新的挑戰。而在通用消費者領域，Android智能手機操作系統在其3.0版本中即提供了存儲加密功能，而微軟的Windows也推出了BitLocker功能，可以對整個磁盤進行加密。但這些解決方案都需要大量的用戶響應(如輸入密碼)等，無疑這些方案都不適應于在工業環境中運行的設備，這些設備要求7×24h運行，無人工干預。

發明內容

本發明所要解決的技術問題是：針對上述存在的問題，提供了一種基于網卡ROM的全盤加解密方法及系統。

本發明采用的技術方案如下：一種基于網卡ROM的全盤加解密方法，包括：

將存儲分為bootloader(引導加載程序)、內核和文件系統三個部分；

將密鑰存儲在網卡ROM中，bootloader啟動過程中自動從網卡ROM中獲取密鑰并將內核與文件系統進行解密，然后再啟動解密后的內核。

進一步的，所述bootloader采用grub2。

進一步的，所述grub2包括MBR、grub2鏡像，所述MBR包含分區表和grub2的stage1加載代碼。

進一步的，所述MBR位于磁盤第一個扇區，所述grub2鏡像位于MBR扇區和內核與文件分區之間的間隙處。

進一步的，所述密鑰保留16bytes以上。

進一步的，所述網卡ROM中存儲的密鑰采用pbkdf2算法進行處理。

進一步的，所述基于網卡ROM的全盤加密方法還包括系統初始化及加密的過程：隨機生成密鑰并將密鑰寫入網卡ROM中；調用cryptsetup工具將存儲中需要加密的分區進行加密，所述需要加密的分區包括內核和文件系統。

進一步的，所述網卡設置PCI接口，所述grub2提供PCI訪問接口，grub2通過所述PCI訪問接口和所述PCI接口從網卡ROM中獲取密鑰進行解密。

進一步的，當存儲所在的設備運行到內核并切換到文件系統后，從網卡ROM中獲取密鑰對加密的分區再次進行解密。

本發明還公開了一種基于網卡ROM的全盤加解密系統，包括：存儲單元和網卡ROM單元；

所述存儲單元分為Bootloader單元、內核單元、文件系統單元三部分，所述網卡ROM單元用于存儲密鑰，所述Bootloader啟動過程中自動從網卡ROM中獲取密鑰并將內核與文件進行解密，然后再啟動解密后的內核。

與現有技術相比，采用上述技術方案的有益效果為：

(1)本發明的技術方案將密鑰存放在設備的硬件之中，達到與設備綁定的目的，保持對現有設備的兼容性，如ARM平臺、X86平臺、龍芯平臺等均可適用。