专利名称：一种基于身份的存储数据隔离方法
技术领域：
本发明的目的在于通过用户身份识别，结合加密控制技术和磁盘数 据隐藏技术，实现不同的用户数据存储空间相互隔离和保密。主要用于 计算机信息安全领域。
背景技术：
在信息系统中数据存储的安全性已经成为一个关注的焦点，也是企 事业单位进行数字知识产权保护需要采取的必要手段。现在保障存储设
备的安全性必须要做到的是保护机密的数据；保证数据的完整性；防 止数据被破坏或丢失。本发明在保证存储数据安全性的基础上，同时实 现不同的用户数据存储空间相互隔离和保密，采取的保护数据安全的方 法是身份认证。
数据资源共享和数据安全问题之间的矛盾日益突出。基于身份的存 储数据隔离方法从单位管理者的角度出发，要防止单位内部相关人员任 意接触到涉密数据，使有意或者无意泄密数据行为的发生，从而实现对 单位数字知识产权的保护和保密。
现有的安全存储数据控制技术，大都仅单一采用了服务器访问控制 技术措施，难以实现全面的存储数据控制和存储空间隔离保密的功能。 典型的包括从自身安全角度考虑，把内部网络与互联网物理断开，但是 对内部网络的访问办法控制，而且与互联网上所有服务器断开不利于正
常数据的控制；还有通过网络协议内容过滤的方式防止存储数据泄密， 但是如果数据经过加密/压縮等简单处理，则无法防止；再有就是对本地 文件采用全盘加密措施，忽略了加密区域是应该有针对性的。
专利
发明内容
本发明所描述的基于身份认证的存储数据隔离方法基于数据分类 的基础，通过用户身份识别，结合加密控制技术和磁盘数据隐藏技术， 实现不同用户数据存储空间相互隔离和保密。使攻击者不可能在没有通 过身份验证的情况下越权访问存储空间。
本发明采用综合的控制技术，以策略的形式表现。管理员根据不同 用户的不同安全级别定义存储数据的磁盘空间。用户只能访问自己(或 者相同安全级别)的存储区域，不能访问其他用户(或者不同安全级别) 的存储区域。这个过程是通过磁盘数据隐藏技术，以及文件访问控制技 术实现的。整个过程非常灵活，控制了存储数据磁盘之间的隔离和保密 程度。
磁盘数据隐藏技术的核心是磁盘驱动技术。系统将磁盘分成若干分 区，管理员运用磁盘驱动技术将其中的一个或若干个分区做成工作盘， 并自动划分一个固定的区域作为缓存区。客户端在使用的过程中将数据 写入工作盘，其他用户无法访问到工作盘的内容，也无法对工作盘做写 入、修改等操作。工作盘的用户在对非工作盘操作时，数据表象上写入 了非工作盘，但低层上是写入了事先划分好的缓存区，缓存区不存储数 据，故重启系统再进入系统时写在非工作区的数据被删除丢失，根本原 因是缓存区不保存数据而造成的，这样用户就无法在非工作盘工作。
通过磁盘驱动技术，使磁盘数据隐藏有效实现，工作盘用户只能在 工作盘工作，在非工作盘的工作成果将被删除，实现了工作区数据的保
密不可外泄。非工作盘用户对工作盘的内容是不可见更不可操作的，这 就保证磁盘数据无法外泄的同时也不可破坏。
本发明存储空间隔离技术的核心是文件驱动技术。系统把磁盘分区 划分成多个工作盘，管理员运用文件驱动技术使这些工作盘针对不同用 户，即每个用户只能在分配好的工作盘上工作，而其他的工作盘是被隐 藏的，使工作盘在物理上实现隔离效果。
通过文件驱动技术，使用户在特定的权限下使用特定的工作区，在 工作区对文件进行各种操作，其中管理员设置用户访问工作区的权限等 级，实现了存储空间的隔离，这种隔离是有针对性的，也是极有实际意 义的，存储空间在实现物理地址上的隔离的同时实现了针对用户的特定 隔离，使访问磁盘时有了针对性的保密措施。
本发明存储数据隔离控制是管理员对磁盘空间划分特定的存储空 间，实现不同用户数据针对客户端的特定数据区工作。
存储数据隔离控制功能描述如下
1) 执行存储数据隔离控制，将用户身份与存储空间绑定，再加上 相关的保密技术实现数据的保密；
2) 执行存储数据隔离控制，用户只对客户机上指定的工作区域进 行访问控制，防止特定用户的工作区被其他用户随意访问导致 工作区数据泄密；
3) 执行存储数据隔离控制，用户可在其他非特定数据区(无用户 指定的存储区即公共磁盘区域)写入数据，在退出系统后写入 的数据被自动删除，防止特定用户数据区域的数据被复制到非 特定的数据区而造成泄密；
4) 可进行访问控制的数据区域由管理员事先设定，实现了存储数 据区的隔离。
存储数据访问控制的流程描述如下
1) 在客户机上设置针对特定用户的工作区域;
2) 用户对特定的工作区域进行访问控制；
3) 实现数据存储隔离退出系统。
图1A为本发明中使用磁盘数据隐藏的原理图;
图1B为本发明中存储空间隔离的原理图2为本地存储数据隔离控制的流程示意具体实施例方式
1. 安装服务器和控制台
请参看《用户手册-可信系统基础平台》相关章节，安装服务器和 控制台。
2. 授权令牌和增加口令用户
根据用户数量，将厂家提供的令牌进行授权操作(添加到系统中)， 也可以添加口令用户。可根据用户的特点，如组织机构等，将用户划分 成不同的用户组。
3. 安装客户端代理
在需要安装的计算机上安装客户端代理软件，安装时注意-
1) 请先确认安装认证代理的计算机可以访问认证服务器；
2) 同一计算机不同的操作系统将认为是不同的认证代理；
3) 若以前安装过认证代理，卸载后再次安装时，若服务器上有上 次安装的客户端信息，将直接使用上次安装的客户端信息，不
再自动添加新客户端。
4. 分组管理计算机
在所有计算机安装完毕后，可以新建计算机组对所有计算机进行分 组管理。
5. 实施控制本地存储策略
在客户端实施控制本地存储，注意设置客户端上的个人工作区，各 工作区之间背靠背保密，高效实现磁盘数据隐藏技术。
权利要求
1、一种基于身份的存储数据隔离方法，其特征在于其功能实现以数据分类为基础，在信息系统中将数据存储空间隔离，且隔离区彼此之间不互通。
2、 如权利要求1所述的基于身份的存储数据隔离方法，其特征在 于通过用户身份识别，管理员根据不同用户的不同安全级别定义存储 数据的磁盘空间。
3、 如权利要求1或2所述的基于身份的存储数据隔离方法，其特征在于结合加密控制技术和磁盘数据隐藏技术，实现不同的用户数据 存储空间相互隔离和保密。
4、 利用权利要求3所述的基于身份的存储数据隔离方法，其特征在于管理员根据不同用户的不同安全级别定义存储数据的磁盘空间。 用户只能访问自己(或者相同安全级别)的存储区域，不能访问其他用 户(或者不同安全级别)的存储区域。这个过程是通过磁盘数据隐藏技 术，以及文件访问控制技术实现的。整个过程非常灵活，控制了存储数 据磁盘之间的隔离和保密程度。
5、 如权利要求4所述的基于身份的存储数据隔离方法，其特征在于所述方法同时可实现操作系统写保护，防病毒和木马。
6、 如权利要求5所述的基于身份的存储数据隔离方法，其特征在 于所述的方法在本地存储隔离时支持Windows补丁升级和Norton等 杀毒软件的病毒库升级。
7、 如权利要求6所述的基于身份的存储数据隔离方法，其特征在 于实现个人工作目录的一机多用，把计算机分成工作模式和非工作模 式，实现了既能访问外网又能保密工作区数据。
全文摘要
一种基于身份的存储数据隔离方法有效实现了企业内部计算机既需要连接外网(Internet)，又需要防止核心数据泄密的目标，通过提供工作模式或普通模式来改变客户端计算机的网络连接状态，为内网构造了一个安全的数据使用环境。DMS系统的模块控制本地存储，实现对本地客户端的可信数据区域进行访问控制。在特定的工作模式下实施控制本地存储，对本地客户机上指定的可信数据区域进行访问控制，可信数据区的工作成果只有在工作模式下可见，构造了一个数据存储空间相互隔离的环境。在身份认证控制上采用统一的用户管理模式，用户可以是简单的令牌/口令用户，也可以跟Chinasec可信网络认证系统相结合，使用统一的令牌用户。基于以上两层保护，一旦某用户提供了正确的PIN码和对应的证书令牌，即确信该用户即是合法用户。
文档编号G06F12/14GK101382919SQ20071012137
公开日2009年3月11日 申请日期2007年9月5日 优先权日2007年9月5日
发明者波 喻, 李志涛, 王志海, 飞 顾 申请人:北京明朝万达科技有限公司