[發明專利]基于智能密碼鑰匙的SSD分區加密存儲系統及其實現方法

有效

• 申請號: 202011494597.1
• 申請日: 2020-12-17
• 公開（公告）號: CN112560058B
• 公開（公告）日: 2022-12-30
• 發明（設計）人: 張忠國;孫玉璽;姜向陽;秦法林
• 申請（專利權）人: 山東華芯半導體有限公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/79;H04L9/08
• 代理公司: 濟南泉城專利商標事務所 37218
• 代理人: 趙玉鳳

1.基于智能密碼鑰匙的SSD分區加密存儲系統，其特征在于：包括SSD模塊和智能密碼鑰匙模塊，SSD模塊包括主控芯片和NAND FLASH，主控芯片和NAND FLASH通過ONFI接口相連，主控芯片通過SATAIII接口與主機相連，主控芯片負責與PC主機通信，完成包括數據讀寫、加解密的操作，智能密碼模塊通過USB2.0接口與PC主機連接，提供包括身份認證、數據加解密、密鑰釋放的功能；

本加密存儲系統通過SSD分區加密機制實現訪問權限管理，不同分區采用不同的硬件密鑰，硬件加密密鑰由智能密碼鑰匙釋放；

本加密存儲系統的功能包括SSD分區管理、SSD硬件加密、SSD分區加密、設備初始化、身份認證、SSD分區創建及登錄；

SSD分區管理的實現過程為：在SSD內設置使其支持MBR、GPT分區格式的功能子模塊，分區個數及容量由用戶自由劃分；在SSD內設置使其可以作為系統盤或從盤使用的功能子模塊，作為系統盤使用時，第一分區作為系統分區，用于存放操作系統文件，該分區配置默認硬件密鑰，其他分區作為加密分區；作為從盤使用時，所有分區均為加密分區；

SSD硬件加密的實現過程為：不同的分區采用不同的硬件密鑰進行數據加解密，硬件加解密密鑰由智能密碼鑰匙釋放，SSD內部不存儲；硬件加密算法采用國密SM4分組密碼算法，數據經SM4加密后存儲在NAND FLASH內，在SSD內部完成數據的加解密過程；SSD分區創建及登錄的實現過程為：SSD上電生成一組非對稱加密密鑰對，主機程序從SSD讀取SSD公鑰，SSD私鑰保存在SSD內，根據分區號獲取智能密碼鑰匙中記錄的硬件密鑰進行密鑰擴展；密鑰擴展的流程為：在智能密碼鑰匙內部，將分區對應的密鑰密文SK經智能密碼鑰匙加密私鑰解密后得到明文MK，使用SSD公鑰加密明文MK為另一密文SK1，SSD收到密文SK1后，通過SSD私鑰解密得到明文MK，使用此密鑰MK進行SSD密鑰擴展，完成硬盤分區創建及登錄。

2.根據權利要求1所述的基于智能密碼鑰匙的SSD分區加密存儲系統，其特征在于：加密存儲系統將SSD數據硬件加解密密鑰以密文的方式存儲在智能密碼鑰匙中；在SSD與智能密碼鑰匙綁定階段，將智能密碼鑰匙的簽名證書及公鑰導入到SSD主控芯片安全存儲區域；在SSD與智能密碼鑰匙認證階段，通過SM2簽名驗簽的方式驗證智能密碼鑰匙身份合法性；在SSD硬件密鑰配置階段，智能密碼鑰匙將硬件密鑰經SSD公鑰加密得到密文硬件密鑰，SSD使用SSD私鑰解密此密文信息得到明文硬件密鑰，對比密鑰哈希值是否一致，一致則進行密鑰擴展和分區顯示及掛載，分區存儲的加密數據可訪問；注銷或掉電后，SSD分區變為密文狀態且不可訪問。

3.根據權利要求1所述的基于智能密碼鑰匙的SSD分區加密存儲系統，其特征在于：SSD分區加密的實現過程為：將分區設置為加密分區后，SSD上電時該分區默認不顯示，在分區編輯器中顯示為磁盤未分配，分區數據無法通過標準讀寫和專用軟件進行訪問；通過主控芯片內部的固件層拒絕對加密分區數據的非法訪問；由智能密碼鑰匙釋放128位密鑰信息給硬盤分區后，系統掛載并顯示該分區內容。

4.根據權利要求1所述的基于智能密碼鑰匙的SSD分區加密存儲系統，其特征在于：設備初始化的實現過程為：1）、密鑰分發，密鑰管理中心生成SM2加密密鑰對和SSD硬件加密密鑰組，并導入到智能密碼鑰匙，SSD硬件加密密鑰以密文的方式存儲在智能密碼鑰匙中；2）、證書分發，智能密碼鑰匙生成簽名密鑰對，向證書管理中心申請簽名證書，CA簽發簽名證書并保存至智能密碼鑰匙中；使用密鑰管理中心導入的加密密鑰對，向CA申請加密證書，CA簽發加密證書并保存至智能密碼鑰匙中。

5.根據權利要求1所述的基于智能密碼鑰匙的SSD分區加密存儲系統，其特征在于：身份認證的實現過程為：智能密碼鑰匙與SSD之間通過簽名證書進行綁定，智能密碼鑰匙與主機通過CPU序列號進行綁定；身份認證時，首先判斷智能密碼鑰匙證書的有效期，判斷證書有效性；SSD與智能密碼鑰匙之間首先驗證公鑰信息是否匹配，再通過SM2簽名驗簽的方式進行認證，判斷智能密碼鑰匙的合法性。

6.根據權利要求1所述的基于智能密碼鑰匙的SSD分區加密存儲系統，其特征在于：硬盤分區創建時，需加密的分區由智能密鑰鑰匙認證通過硬件密鑰擴展后，再進行分區創建及格式化；硬盤分區登錄時，SSD獲得密文MK1后，對密文MK1進行哈希運行生成MK1-HASH，與創建分區時預先存儲的MK-HASH值比對是否一致，一致則進行密鑰擴展及顯示分區，不一致則分區登錄失敗。