[发明专利]一种基于可信计算密码支撑平台的数据保护方法

说明书

技术领域

本发明涉及计算机领域，尤其涉及一种基于可信计算密码支撑平台的数据保护方法。

背景技术

信息时代的重要特征之一就是大量的数据都以电子化的形式存储在各种媒质上，数据的安全保护逐渐成为备受关注的问题。磁盘数据的安全保护可以从硬件和软件两个方面进行。硬件保护是指借助于额外的硬件单元或部件对磁盘数据进行保护；软件保护是指依赖于硬件上层的操作系统或文件系统，从应用程序级、文件系统级或操作系统级对磁盘的读/写、访问等进行安全保护，现有的数据保护方案包括如下几种：

1)硬盘数据加密

硬盘数据加密是用磁盘中自带的加密芯片实时的加密或者解密磁盘中的数据。其基本原理是在传统硬盘的基础上增加独立的硬件加密芯片以及相应的控制芯片，在数据读写过程中对数据进行加密，加密、解密过程对操作系统透明，可以对整块硬盘、或者逻辑分区进行加密。

硬盘数据加密仅具有对数据的加解密功能，没有提供完整的基于等级保护的密钥管理机制和用户身份认证机制，只能够单机部署，无法适应企业级部署的需求。

2)文件系统加密

文件系统加密是在操作系统文件系统层对数据进行加密、解密操作。其基本原理是基于驱动分层架构，增加一层完成数据加密、解密的过滤驱动层，在应用程序读写过程实时的对数据进行加解密。Windows的EFS(EncryptingFile System，加密文件系统)文件加密以及某些厂商的文件加密系统均属于此类数据保护方式。

文件系统加密是纯软件的加密技术，而且加解密过程中密钥的明文会暴露在内存之中，容易被木马攻击；同时数据与密钥均存在于系统磁盘上，降低了抵抗暴力破解的能力；文件系统加密也没有安全的密钥管理及用户身份认证机制，用户与被保护的数据没有任何的绑定关系。

3)硬件加密卡

硬件加密卡多为安全厂商基于PCI(Peripheral ComponentInterconnect，外设部件互连标准)、USB(Universal Serial BUS，通用串行总线)接口开发的专业加密板卡，其原理也是基于独立的加密芯片对数据进行加密，以支持移动存储设备的数据保护。

硬件加密卡同样没有密钥管理体制和用户身份认证体系，同时硬件加密卡一般是可插拔的，任何平台均可以使用，不具备平台绑定性，一旦丢失或者被盗都会造成很大的安全隐患。

总的来说，现有数据保护方案的不足之处可以归结为三个方面：

(1)缺乏完整的密钥管理机制；

(2)缺乏安全的用户身份认证机制；

(3)缺乏用户身份与用户密钥绑定机制。

发明内容

本发明所要解决的技术问题是提供一种基于可信计算密码支撑平台的数据保护方法，提高计算机数据保护的安全性。

为解决上述技术问题，本发明提出了一种基于可信计算密码支撑平台的数据保护方法，应用于配置有可信计算密码支撑平台的计算机，所述可信计算密码支撑平台包括可信密码模块TCM和可信密码服务模块TSM，包括如下步骤：

步骤a，通过可信计算密码支撑平台为每个用户创建一个平台身份密钥标识，所述平台身份密钥标识与用户一一对应；

步骤b，将所述平台身份密钥标识作为一个输入参数，利用可信计算密码支撑平台生成随机数m；

步骤c，通过可信计算密码支撑平台生成用户的多级密钥，在生成所述多级密钥的任意一级或多级密钥时使用所述随机数m作为参数之一，所述多级密钥从底部向上依次包括TCM密码模块密钥EK、TCM存储主密钥SMK和用户存储密钥SK；

步骤d，在计算机的磁盘中为每个用户建立一块数据保护空间，存储该用户的受保护数据，用所述多级密钥的最终密钥加密所述数据保护空间中的数据。

进一步地，上述方法还可具有以下特点，所述步骤a包括：

步骤a1，获取认证中心CA公钥；

步骤a2，调用可信计算密码支撑平台的接口函数Tspi_TCM_CollateIdentityRequest生成平台身份密钥；

步骤a3，向认证中心CA发送所述平台身份密钥的认证请求；

步骤a4，认证中心CA对所述认证请求进行认证，认证通过后为所述平台身份密钥颁发认证证书；

步骤a5，调用可信计算密码支撑平台的接口函数Tspi_TCM_ActivateIdentity激活所述平台身份密钥作为用户的平台身份密钥标识。

进一步地，上述方法还可具有以下特点，所述步骤b包括：

步骤b1，调用接口函数TCM_LoadKey加载所述平台身份密钥到TCM中；