[发明专利]一种基于网卡ROM的全盘加解密方法及系统

说明书

本发明涉及数据加解密技术领域，公开了一种基于网卡ROM的全盘加解密方法。将存储分为bootloader、内核和文件系统三个部分；将密钥存储在网卡ROM中，bootloader启动过程中自动从网卡ROM中获取密钥并将内核与文件系统进行解密，然后再启动解密后的内核。该方案的关键将密钥存放在设备的硬件之中，达到与设备绑定的目的，保持对现有设备的兼容性，提高了存储区域的安全性；另外该方案不需要对现有应用做其它更改，易用性较强。另外，本发明还公开了一种基于网卡ROM的全盘加解密系统。

技术领域

本发明涉及数据加解密技术领域，特别是一种基于网卡ROM的全盘加解密方法及系统。

背景技术

随着计算机和网络的飞速发展，海量的数据存储在各种设备中，其中块设备是最主要的存储设备，携带着大量的涉密文档。倘若系统存在漏洞被未授权使用或者块设备被盗、丢失都会引起政府、企业或个人的重大经济和精神上的损失。如何有效地保护涉密文档的安全性，尤其在计算机丢失或失窃后，防止机密信息非法泄露，这种应用需求对目前普遍存在的存储安全提出了新的挑战。而在通用消费者领域，Android智能手机操作系统在其3.0版本中即提供了存储加密功能，而微软的Windows也推出了BitLocker功能，可以对整个磁盘进行加密。但这些解决方案都需要大量的用户响应(如输入密码)等，无疑这些方案都不适应于在工业环境中运行的设备，这些设备要求7×24h运行，无人工干预。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供了一种基于网卡ROM的全盘加解密方法及系统。

本发明采用的技术方案如下：一种基于网卡ROM的全盘加解密方法，包括：

将存储分为bootloader(引导加载程序)、内核和文件系统三个部分；

将密钥存储在网卡ROM中，bootloader启动过程中自动从网卡ROM中获取密钥并将内核与文件系统进行解密，然后再启动解密后的内核。

进一步的，所述bootloader采用grub2。

进一步的，所述grub2包括MBR、grub2镜像，所述MBR包含分区表和grub2的stage1加载代码。

进一步的，所述MBR位于磁盘第一个扇区，所述grub2镜像位于MBR扇区和内核与文件分区之间的间隙处。

进一步的，所述密钥保留16bytes以上。

进一步的，所述网卡ROM中存储的密钥采用pbkdf2算法进行处理。

进一步的，所述基于网卡ROM的全盘加密方法还包括系统初始化及加密的过程：随机生成密钥并将密钥写入网卡ROM中；调用cryptsetup工具将存储中需要加密的分区进行加密，所述需要加密的分区包括内核和文件系统。

进一步的，所述网卡设置PCI接口，所述grub2提供PCI访问接口，grub2通过所述PCI访问接口和所述PCI接口从网卡ROM中获取密钥进行解密。

进一步的，当存储所在的设备运行到内核并切换到文件系统后，从网卡ROM中获取密钥对加密的分区再次进行解密。

本发明还公开了一种基于网卡ROM的全盘加解密系统，包括：存储单元和网卡ROM单元；

所述存储单元分为Bootloader单元、内核单元、文件系统单元三部分，所述网卡ROM单元用于存储密钥，所述Bootloader启动过程中自动从网卡ROM中获取密钥并将内核与文件进行解密，然后再启动解密后的内核。

与现有技术相比，采用上述技术方案的有益效果为：

(1)本发明的技术方案将密钥存放在设备的硬件之中，达到与设备绑定的目的，保持对现有设备的兼容性，如ARM平台、X86平台、龙芯平台等均可适用。