本发明涉及数据安全技术领域，特别涉及一种嵌入式存储设备文件的加解密方法、装置及终端。
背景技术：
随着科技的发展，如今各类便携设备不断涌现，对嵌入式存储设备性能的需求也越来越高，MMC(MultimediaCard，多媒体卡)、EMMC(EmbeddedMultiMediaCard，它是针对手机或平板电脑等产品的内嵌式存储器标准规格)、SDCARD(SecureDigitalMemoryCard，安全数码卡)等嵌入式存储设备的技术也在不断的提高，其特点是容量增大，读写速度高，携带方便。用户对容量不断提升的需求原因是大量的用户数据需要存储，例如电影、图片、文件和其它一些重要和不用的数据。
有时用户会将一些非常重要的信息数据存入到嵌入式存储设备中，这些数据必须具备极高的安全性，信息内容不能被其它任何人获取。例如存入支付宝密码、用户身份、重要的联系人信息、银行密码等。这些信息对用户来说必须具备最高的安全级别，即使将数据直接损坏，也不能被第三方获取。因为一旦这些数据丢失，他人极有可能利用这些信息做出一些不法行为，对失主造成极大的人身威胁和损害。
现有加密方案，通常是对通过一个弱密码对存储设备进行简单的AES(AdvancedEncryptionStandard，高级加密标准)加密，然后在挂载文件系统前，对存储设备进行解密运算，解密成功后，再将解密后的数据挂载到某个目录；还有一些方案，通常是对文件内容进行了加密操作，但是文件名敏感信息并未得到安全保护，这样破解的目标就非常容易获得。
上述方案主要存在以下缺点：
1)通过弱密码保护数据，非常不安全，很容易泄露密码，没有身份认证环节，丧失加密数据的身份认证属性，导致密文脱离使用者的关联。
2)加密是针对整个存储设备进行，颗粒过大，现在的嵌入式flash(闪存)容量都很大，有的可达到几十G，甚至几百G，如果对整个存储设备或者分区进行加密，势必浪费很多时间，而整个flash空间的数据不一定全都是需要保护的敏感数据，这种方案很不灵活，原因在于加密数据的颗粒过大，而且加密的耗时过长，严重影响整个系统的效率和功耗。
3)输入体系和认证体系在终端非安全环境下进行，专业人员可以截获输入系统里面数据，比如说可以对密码输入框中的数据进行截获，使得整个架构丧失安全能力。例如，公开的内核通常调用应用层的控件来完成数据输入，此时用户可以通过修改自己的内核模块，截取应用层数据传递到内核的数据，进而获取密码，致使安全数据被获取。
4)传统的文件加密方法直接对文件数据进行加密，文件名是直接暴露给用户的，这就导致敏感文件的目标明显，容易让攻击者锁定目标，降低了攻击者的难度。
技术实现要素：
本发明要解决的技术问题是提供一种嵌入式存储设备文件的加解密方法、装置及终端，用以解决现有的对嵌入式存储设备中的文件加解密方式简单，使得数据安全级别较低，容易造成用户数据泄露的问题。
为了解决上述技术问题，本发明实施例提供一种嵌入式存储设备文件的加密方法，包括：
获取嵌入式存储设备中待加密的原始文件；
获取用户输入的第一特征信息；
将所述第一特征信息与预先存储的用户标识特征信息进行比对；
若比对通过，则获取第二特征信息；
根据第一预设规则对所述第一特征信息和所述第二特征信息进行处理，生成第一密钥；
根据所述第一密钥对所述原始文件进行加密处理，生成加密文件。
进一步地，在所述获取嵌入式存储设备中待加密的原始文件的步骤之后，还包括：
触发所述嵌入式存储设备所在的终端的操作环境切换为安全环境。
进一步地，所述获取用户输入的第一特征信息的步骤包括：
获取用户输入的标识信息；
对所述标识信息进行处理，获取得到第一特征信息。
进一步地，所述根据所述第一密钥对所述原始文件进行加密处理，生成加密文件的步骤包括：
获取所述原始文件的父目录路径；
根据所述第一密钥，利用第一加密算法对所述父目录路径进行加密，生成所述原始文件的父目录文件加密后的文件名；
将所述原始文件的内容分为多个文件片，并生成每个文件片的文件名；
根据所述第一密钥，利用第二加密算法分别对所述每个文件片的文件名进行加密处理，生成每个文件片对应的加密文件名；
根据所述第一密钥，利用第三加密算法分别对所述每个文件片中的数据进行加密处理，生成每个文件片对应的加密数据；
在分别对所述多个文件片处理完成后，便生成了加密文件。
进一步地，所述根据所述第一密钥，利用第一加密算法对所述父目录路径进行加密，生成所述原始文件的父目录文件加密后的文件名的步骤具体包括：
根据所述第一密钥，利用第一加密算法对所述父目录路径进行加密，获取加密后的第一数据；
对所述第一数据进行数据处理，生成所述原始文件的父目录文件加密后的文件名。
进一步地，所述将所述原始文件的内容分为多个文件片，并生成每个文件片的文件名的步骤包括：
根据第二预设规则，将所述原始文件的内容分为多个大小相等的文件片；
按顺序为每个文件片生成具有统一标识的文件名。
进一步地，所述根据所述第一密钥，利用第二加密算法分别对所述每个文件片的文件名进行加密处理，生成每个文件片对应的加密文件名的步骤包括：
根据所述第一密钥，利用第二加密算法分别对所述每个文件片的文件名进行加密，获取加密后的第二数据；
对所述第二数据进行数据处理，生成所述文件片对应的加密文件名。
进一步地，所述根据所述第一密钥，利用第三加密算法分别对所述每个文件片中数据进行加密处理，生成每个文件片对应的加密数据的步骤包括：
根据所述第一密钥，利用第三加密算法分别对所述每个文件片中的数据进行加密处理，获取得到加密后的第三数据；
利用第四加密算法对所述第三数据进行加密处理，生成每个文件片对应的加密数据。
进一步地，所述加密方法，还包括：
传输所述加密文件到嵌入式存储设备，使得所述加密文件保存在所述嵌入式存储设备中。
进一步地，所述第一特征信息为用户输入的字符信息、指纹信息或近距离无线通信信息。
进一步地，所述第二特征信息为预先存储的所述嵌入式存储设备所在的终端的唯一标识。
本发明实施例提供一种嵌入式存储设备文件的加密装置，包括：
第一获取模块，用于获取嵌入式存储设备中待加密的原始文件；
第二获取模块，用于获取用户输入的第一特征信息；
比对模块，用于将所述第一特征信息与预先存储的用户标识特征信息进行比对；
第三获取模块，若比对通过，则用于获取第二特征信息；
密钥生成模块，用于根据第一预设规则对所述第一特征信息和所述第二特征信息进行处理，生成第一密钥；
加密模块，用于根据所述第一密钥对所述原始文件进行加密处理，生成加密文件。
本发明实施例提供一种嵌入式存储设备文件的解密方法，包括：
获取嵌入式存储设备中的加密文件；
获取用户输入的第三特征信息；
将所述第一特征信息与预先存储的用户标识特征进行比对；
若比对通过，则获取第二特征信息；
将所述第三特征信息和所述第二特征信息进行处理，生成第二密钥；
根据所述第二密钥对所述加密文件进行解密处理，解密成功，便得到了所述加密文件对应的原始文件；
其中，所述第二密钥与生成所述加密文件的密钥为相同的密钥。
本发明实施例提供一种嵌入式存储设备文件的解密装置，包括：
第一获取单元，用于获取嵌入式存储设备中的加密文件；
第二获取单元，用于获取用户输入的第三特征信息；
比对单元，用于将所述第一特征信息与预先存储的用户标识特征进行比对；
第三获取单元，若比对通过，则用于获取第二特征信息；
密钥生成单元，用于将所述第三特征信息和所述第二特征信息进行处理，生成第二密钥；
解密单元，用于根据所述第二密钥对所述加密文件进行解密处理，解密成功，便得到了所述加密文件对应的原始文件；
其中，所述第二密钥与生成所述加密文件的密钥为相同的密钥。
本发明实施例还提供一种终端，包括：加密装置和解密装置；其中，
所述加密装置，用于获取嵌入式存储设备中待加密的原始文件；
获取用户输入的第一特征信息；
将所述第一特征信息与预先存储的用户标识特征信息进行比对；
若比对通过，则获取第二特征信息；
根据第一预设规则对所述第一特征信息和所述第二特征信息进行处理，生成第一密钥；
根据所述第一密钥对所述原始文件进行加密处理，生成加密文件；
所述解密装置，用于获取嵌入式存储设备中的加密文件；
获取用户输入的第三特征信息；
将所述第一特征信息与预先存储的用户标识特征进行比对；
若比对通过，则获取第二特征信息；
将所述第三特征信息和所述第二特征信息进行处理，生成第二密钥；
根据所述第二密钥对所述加密文件进行解密处理，解密成功，便得到了加密文件对应的原始文件；
且所述第二密钥与第一密钥为相同的密钥。
本发明的有益效果是：
上述方案，通过利用用户特征信息以及嵌入式存储设备所在的终端特征信息，实现文件的加解密操作，增强了用户信息的安全性，同时保证了用户的人身利益。
附图说明
图1表示本发明实施例的所述加密方法的总体流程图；
图2表示本发明实施例的文件分割与加密示意图；
图3表示本发明实施例的所述加密装置的模块示意图；
图4表示本发明实施例的所述解密方法的总体流程图；
图5表示本发明实施例的所述解密装置的模块示意图；
图6表示本发明实施例的所述终端的模块示意图；
图7表示具有加解密功能的终端的加密实现流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明进行详细描述。
本发明针对现有的对嵌入式存储设备中的文件加解密方式简单，使得数据安全级别较低，容易造成用户数据泄露的问题，如图1所示，提供一种嵌入式存储设备文件的加密方法，包括：
步骤101，获取嵌入式存储设备中待加密的原始文件；
步骤102，获取用户输入的第一特征信息；
步骤103，将所述第一特征信息与预先存储的用户标识特征信息进行比对；
步骤104，若比对通过，则获取第二特征信息；
步骤105，根据第一预设规则对所述第一特征信息和所述第二特征信息进行处理，生成第一密钥；
步骤106，根据所述第一密钥对所述原始文件进行加密处理，生成加密文件。
应当说明的是，在本发明实施例中所述第一特征信息可以为用户输入的字符信息(即弱密码信息)、指纹信息或近距离无线通信(NFC)信息，但是，弱密码作为表征用户特征身份信息，会大大降低密文的安全性，因为密码在某种意义上并不能表征用户唯一身份，任何人都可以在获得密码的情况下，使用该移动终端的输入模块将密码输入，并完成密文解密过程，所以本发明中所述第一特征信息优选为指纹信息、NFC信息或其它唯一表征用户身份的信息；所述第二特征信息可以为固定的字符信息或者预先存储的所述嵌入式存储设备所在的终端的唯一标识，虽然使用某一个固定的字符信息作为生成密钥的输入因子，同样可以达到对预期文件加密的结果，依然可以保证用户身份特征信息、便携移动终端，密文三者的完整依赖性，可以对密文进行解密，但是，存储在嵌入式存储设备中的加密文件可以在相同软件版本同型号的便携移动终端中由同一个用户完成整个密文的解密过程，这样实质上是将对单个移动终端的依赖，扩大到同型号的移动终端，同样降低了密文的安全性，因此，本发明中所述第二特征信息优选为所述嵌入式存储设备所在的终端的唯一标识信息。
上述方案，依赖于唯一表征用户身份的特征信息和唯一表征便携移动终端的标识信息，不依赖于嵌入式存储设备，用户特征信息或者便携移动终端任何一方发生变化，都无法对密文进行解密，所以密文的解密需要特定用户在特定的终端上才能完成，极大的提高了密文的安全性。
应当说明的是，所述加密方法还可以实现对输入数据的加密，要注意的是，在进行输入数据的加密时，首先要在嵌入式存储设备中创建所述输入数据的文件路径及文件名。
为了保证整个加密过程的安全，在所述步骤101之后，还包括：
触发所述嵌入式存储设备所在的终端的操作环境切换为安全环境。
应当说明的是，所述安全环境是便携移动终端特定的一种特殊的运作模式，用于完成密钥和认证等一些列功能，区别于正常操作环境，具有极高的安全级别。
在所述第一特征信息不为弱密码时，所述步骤102包括：
获取用户输入的标识信息；
对所述标识信息进行处理，获取得到第一特征信息。
例如，当所述第一特征信息为指纹信息时，对获取的用户输入的指纹图片进行DSP(digitalsignalprocessing，数字信号处理)处理，包括指纹采样和指纹特征值提取，处理完成后，便得到指纹特征信息。
应当说明的是，所述步骤105为本领域技术人员所熟知的，在此不再进行详细的说明。
为了较好的隐藏用户的加密文件，可选地，本发明的所述步骤106包括：
a.获取所述原始文件的父目录路径；
b.根据所述第一密钥，利用第一加密算法对所述父目录路径进行加密，生成所述原始文件的父目录文件加密后的文件名；
c.将所述原始文件的内容分为多个文件片，并生成每个文件片的文件名；
d.根据所述第一密钥，利用第二加密算法分别对所述每个文件片的文件名进行加密处理，生成每个文件片对应的加密文件名；
e.根据所述第一密钥，利用第三加密算法分别对所述每个文件片中的数据进行加密处理，生成每个文件片对应的加密数据；
在分别对所述多个文件片处理完成后，便生成了加密文件。
具体地，所述步骤b具体包括：
b1.根据所述第一密钥，利用第一加密算法对所述父目录路径进行加密，获取加密后的第一数据；
b2.对所述第一数据进行数据处理，生成所述原始文件的父目录文件加密后的文件名。
具体地，所述步骤c包括：
c1.根据第二预设规则，将所述原始文件的内容分为多个大小相等的文件片；
c2.按顺序为每个文件片生成具有统一标识的文件名。
通常将文件分为若干相等的文件片，在实际应用中也可以通过所用的加密算法对文件长度的要求进行文件片的划分。
具体地，所述步骤d包括：
d1.根据所述第一密钥，利用第二加密算法分别对所述每个文件片的文件名进行加密，获取加密后的第二数据；
d2.对所述第二数据进行数据处理，生成所述文件片对应的加密文件名。
具体地，所述步骤e包括：
e1.根据所述第一密钥，利用第三加密算法分别对所述每个文件片中的数据进行加密处理，获取得到加密后的第三数据；
e2.利用第四加密算法对所述第三数据进行加密处理，生成每个文件片对应的加密数据。
如图2所示，所述文件的具体加密流程为：
1)将原始文件100分割为大小相等的片段_1(111)，片段_2(112)，片段_3…片段_n，每个文件片段分别按照某种格式进行命名(例如filename_S0001，filename_S0002等)；
2)从文件路径名中获取原始文件100的父文件夹路径，使用AES256(密钥长度为256位的高级加密标准)算法对文件夹进行加密获得信息A，再用BASE64(Base64是网络上最常见的用于传输8Bit字节代码的编码方式之一)编码处理方式对信息A进行编码处理(因在利用加密算法进行加密后，获得的信息A中可能包含有不能作为文件名的非法字符，所以在此需要对信息A进行编码处理)，加密后的数据作为加密后新文件夹的名字；
3)对片段_1的文件名filename_S0001使用AES256加密生成密文A1，再用BASE64编码对A1进行编码处理得到文件片段_1对应的密文的文件名；
4)将片段_1的内容数据先通过AES256对称加密算法进行加密，加密后的结果再使用HMAC(Hash-basedMessageAuthenticationCode，密钥相关的哈希运算消息认证码)算法进行加密，将结果写入对应加密片段_1(113)中；
应当说明的是，使用双层加密技术，可以加强文件片中内容的安全性；
5)重复步骤3和步骤4，直到目标文件夹下面所有文件片段全部处理完成，便得到了完整的加密文件。
所述加密算法和编码方法并不局限于上述的HMAC算法、AES256算法以及BASE64编码方法。
应当说明的是，为了达到防止攻击范围暴露的目的，本发明实施例中加密文件需要放入独立路径的文件夹下面。
可选地，所述加密方法，还包括：
传输所述加密文件到嵌入式存储设备，使得所述加密文件保存在所述嵌入式存储设备中。
如图3所示，对应于上述加密方法，本发明实施例提供一种嵌入式存储设备文件的加密装置，包括：
第一获取模块110，用于获取嵌入式存储设备中待加密的原始文件；
第二获取模块120，用于获取用户输入的第一特征信息；
比对模块130，用于将所述第一特征信息与预先存储的用户标识特征信息进行比对；
第三获取模块140，若比对通过，则用于获取第二特征信息；
密钥生成模块150，用于根据第一预设规则对所述第一特征信息和所述第二特征信息进行处理，生成第一密钥；
加密模块160，用于根据所述第一密钥对所述原始文件进行加密处理，生成加密文件。
可选的，所述加密装置，还包括：
触发模块，用于触发所述嵌入式存储设备所在的终端的操作环境切换为安全环境。
可选地，所述加密模块160，包括：
获取子模块，用于获取所述原始文件的父目录路径；
第一生成子模块，用于根据所述第一密钥，利用第一加密算法对所述父目录路径进行加密，生成所述原始文件的父目录文件加密后的文件名；
拆分子模块，用于将所述原始文件的内容分为多个文件片，并生成每个文件片的文件名；
第二生成子模块，用于根据所述第一密钥，利用第二加密算法分别对所述每个文件片的文件名进行加密处理，生成每个文件片对应的加密文件名；
第三生成子模块，用于根据所述第一密钥，利用第三加密算法分别对所述每个文件片中的数据进行加密处理，生成每个文件片对应的加密数据；
在分别对所述多个文件片处理完成后，便生成了加密文件。
可选的，所述加密装置，还包括：
传输模块，用于传输所述加密文件到嵌入式存储设备，使得所述加密文件保存在所述嵌入式存储设备中。
如图4所示，对应于上述的加密方法，本发明实施例提供一种嵌入式存储设备文件的解密方法，包括：
步骤201，获取嵌入式存储设备中的加密文件；
步骤202，获取用户输入的第三特征信息；
步骤203，将所述第一特征信息与预先存储的用户标识特征进行比对；
步骤204，若比对通过，则获取第二特征信息；
步骤205，将所述第三特征信息和所述第二特征信息进行处理，生成第二密钥；
步骤206，根据所述第二密钥对所述加密文件进行解密处理，解密成功，便得到了所述加密文件对应的原始文件；
其中，所述第二密钥与生成所述加密文件的密钥为相同的密钥。
只有在获取到与加密密钥相同的解密密钥后，才可以实现对加密文件的解密，保证了用户数据的安全。
如图5所示，本发明实施例提供一种嵌入式存储设备文件的解密装置，包括：
第一获取单元210，用于获取嵌入式存储设备中的加密文件；
第二获取单元220，用于获取用户输入的第三特征信息；
比对单元230，用于将所述第一特征信息与预先存储的用户标识特征进行比对；
第三获取单元240，若比对通过，则用于获取第二特征信息；
密钥生成单元250，用于将所述第三特征信息和所述第二特征信息进行处理，生成第二密钥；
解密单元260，用于根据所述第二密钥对所述加密文件进行解密处理，解密成功，便得到了所述加密文件对应的原始文件；
其中，所述第二密钥与生成所述加密文件的密钥为相同的密钥。
在得到的所述解密密钥与所述加密密钥相同的情况下，如上述图2所示，所述对加密文件的解密过程具体为：
步骤a1，通过文件路径解析父文件夹，利用BASE64对父文件夹名称进行编码，然后利用AES256解密运算，获取得到的解密结果即为原文件的父文件夹对应的文件夹名；
步骤a2，将密文文件夹中加密片段_1(113)的文件名进行BASE64解码，然后再进行AES256解密，获得原文文件片段_1(111)的文件名；
步骤a3，对加密片段_1中的数据，使用HMAC算法进行解密，获得信息值，然后再使用AES256进行解密，获取到片段_1的原文；
步骤a4，重复步骤a2和步骤a3，将所有加密片段的数据进行解密，直到所有密文片段解密完成；
步骤a5，按照命名规则，将已经还原的文件片段_1、片段_2…..片段_n进行组合复原原始文件100。
本发明实施例还提供一种终端，包括：加密装置和解密装置；其中，
所述加密装置，用于获取嵌入式存储设备中待加密的原始文件；
获取用户输入的第一特征信息；
将所述第一特征信息与预先存储的用户标识特征信息进行比对；
若比对通过，则获取第二特征信息；
根据第一预设规则对所述第一特征信息和所述第二特征信息进行处理，生成第一密钥；
根据所述第一密钥对所述原始文件进行加密处理，生成加密文件；
所述解密装置，用于获取嵌入式存储设备中的加密文件；
获取用户输入的第三特征信息；
将所述第一特征信息与预先存储的用户标识特征进行比对；
若比对通过，则获取第二特征信息；
将所述第三特征信息和所述第二特征信息进行处理，生成第二密钥；
根据所述第二密钥对所述加密文件进行解密处理，解密成功，便得到了加密文件对应的原始文件；
且所述第二密钥与第一密钥为相同的密钥。
在实际应用中，终端上的加密装置和解密装置通常集成在一起，实现对文件的加解密，如图6所示，所述终端上包含输入模块301，数据采集处理模块302，身份认证模块303，加解密模块304，传输模块305，其中，
输入模块301，用来输入用户的特征信息，受限于便携移动终端的配置状况，作用是用来接收用户的身份特征信息，由普通运行环境发起，切换到安全环境调起输入模块，建议采用安全性强的信息表征用户特征身份信息。例如可以采用NFC等表征用户身份的装置来作为输入模块，如果终端具有指纹系统，则可以使用指纹系统作为输入模块来表征用户身份认证信息。输入模块301的目的是接收来自用户身份认证的信息，包括并不局限于弱强密码输入、NFC、指纹等上述三种输入模块，任何能表征用户身份的简单或复杂的装置都可以替代并作为便携移动终端的输入模块。
数据采集模块302，用来对输入模块301输入的数据进行集中处理，处理后的数据直接作为认证模块的输入。对于简单的输入模块而言，数据采集模块的作用很简单，只是采集数据模块的数据，对于复杂的指纹系统而言，数据采集模块完成用户指纹图片的DSP处理，包括指纹采样和指纹特征值提取，数据采集模块302的作用就是通过输入模块301提供的信息数据，提取表征用户唯一身份的特征信息。
身份认证模块303，作用是完成用户信息登记和鉴权用户身份信息，身份认证模块303可以接收来自数据采集模块302的输入信息，对用户身份进行鉴权，当鉴权成功后，可进行下一步的加解密操作，如果鉴权失败，则结束加解密整个流程；身份认证模块303，可以通过接收不同输入参数，完成用户身份的登记，用户身份登记可以使用不同的形式表现，第一种方案，本地安全存储，将加密存储到便携移动终端的本地安全存储区，本地安全存储区可以是EMMC上的一段存储区域，也可以是终端内部集成的QFPROM(QFPROM表示一次可编程内存，与OneTimeProgrammableReadOnlyMemory即一次编程只读内存相似)区域，本地安全的存储区域的定义也不局限于上面两种，还可以通过软件加密的方式来完成；第二种方案，可以通过远程网络服务器来完成用户信息登记的安全存储，用户认证模块303可以将用户登记信息通过非对称加密算法加密存储到远程服务器端，完成用户身份信息登记；身份认证模块303的目的就是存储用户信息和鉴权用户特征信息，存储和鉴权的处理包括但不局限于上面两种方案，可以通过其它方式替代。
加解密模块304，作用是完成文件数据的加解密功能，并把加密的数据通过传输模块305传输给嵌入式存储设备。为了加密更加安全，加解密模块304是完全运作在安全环境下，是便携移动终端运行的另一种模式，便携移动终端可以在安全环境和普通环境下自由切换。加解密模块304内部应该至少包括密钥生成器、加解密算法，例如HMAC、AES256，常用的数组签名算法，例如MD5(Message-DigestAlgorithm5，信息-摘要算法5)、SHA256(SHA256算法的哈希值大小为256位)，支持BASE64编解码等常用功能，但并不局限于这几个功能。
身份认证模块303将用户身份特征信息数据传递到加解密模块304，加解密模块304将用户身份特征信息数据作为第一参数输入量，将便携移动终端的硬件唯一编码(例如芯片序列号等)作为第二参数输入，传递给密钥生成器进行运算，输出一组唯一的密钥。当输入参数发生变化时，输出的密钥随之变化。即不同的用户身份特征信息或者不同的便携移动终端作为输入将会得到不用密钥，该密钥用来对文件碎片进行加密。
应当说明的是，所述传输模块305可以按文件片的方式进行加密或解密文件的传输，也可以在获取得到完整的加密或解密文件后统一进行传输。
加密或解密的总体流程为：当系统切换到安全环境下，调起输入模块301，用户输入表征用户身份的特征信息(例如强密码、指纹、NFC等)，通过数据采集处理模块302处理并获得用户特征信息，将用户特征信息传递给身份认证模块303，身份认证模块303对用户身份进行验证，验证通过后将用户身份特征信息传入加解密模块304，加解密模块304将身份信息和便携移动终端的唯一标识作为输入因子，产生一对一的密钥组，使用该密钥组对待加密文件进行加密并传输到嵌入式存储设备中进行存储或者对密文进行解密组装还原原文。
如图7所示，所述加密的具体流程为：
S101，系统处于普通运行模式的空闲状态；
S102，判断是否要进行文件加密操作，如果是，则进入步骤S103，反之，退到步骤S101；
S103，系统由普通模式切换到安全模式；
S104，安全模式下调起安全控件，由用户输入特征信息；
S105，采集处理用户的特征信息；
S106，进行用户身份验证，如果身份合法，则进入步骤S107，如果身份不合法，则进入步骤S109，由安全模式切换到普通模式，进入空闲状态；
S107，由加密模块对待加密文件进行加密；
S108，对加密后的密文进行存储；
密文存储后，进行状态切换到步骤S109，从安全模式切换到普通运行模式，之后进入步骤S101，系统处于普通模式空闲状态，接收其它操作。
应当说明的是，本发明可以实现多个用户在同一个存储设备上的私有信息加密保存，且不互相干扰。例如，多个用户共享同一个嵌入式存储设备，每个用户都可以将自己的私有信息存放到共享的嵌入式存储设备中，使用自己的身份和特定的移动终端对私有信息进行加密存储。其它用户都无法解密非自身加密的密文。
本发明可以对便携移动终端中嵌入式存储设备中的文件进行文件系统层次上的加解密操作，实现原文的加密和密文的还原，加密和解密依赖于用户身份认证模块和便携移动终端的标识，加密和解密操作在便携移动终端的安全环境下进行，用户身份认证信息的特征值可被用作加密输入因子，协同智能移动中断硬件加密功能，在安全环境下对待加密文件进行加密，加密过程采用一种特殊的分割方式，实现密文文件名和文件长度的隐藏，从而达到数据安全保护的目的。无论第三者获取到便携移动终端，或者嵌入式flash(如SD卡等)、或者获取到永固身份认证信息中任何一个数据都无法破解加密数据，只有将三部分数据完全获取到，才能对加密数据进行完整的解密来还原密文，具有极高的安全级别。
本发明上述方案解决了嵌入式存储设备中文件的存储安全问题，可以对嵌入式存储设备，如EMMC卡、SD卡等系列存储设备中的数据进行原文的加密和密文的解密；对数据的加密依赖于用户身份认证特征信息和便携移动终端的唯一标识信息，在安全环境下由加解密模块完成文件的加解密运算，文件加密的结果实现了原文文件名和文件长度的隐藏，从用户身份、便携移动终端、文件加密方法三个方面提高了密文的安全性，有效的防止意外情况下用户存储在嵌入式存储设备上的敏感数据被第三方破解，并可有效防止破解敏感数据后对用户带来的恶意伤害，极大地提高了攻击者的解密难度，增强了用户信息的安全性，保证了用户的人身利益；同时本发明的文件加密过程是建立在文件系统层次之上的加密，所以克服了对整个嵌入式存储设备进行加密方案中加密颗粒过大的、加密耗时过程、影响系统性能等缺点，同时用户可以随意对存储设备中任何文件进行加密保护，而不必考虑因需要对单个文件加密而最终对整个存储设备进行加密带来的开销；且由于身份特征信息对密文的依赖，本发明同样可以实现同一个便携移动终端中不同用户对各自私有信息的加密保护功能，若按照用户分组方式分类，也可以扩展为一个用户组对文件的加解密操作。
以上所述的是本发明的优选实施方式，应当指出对于本技术领域的普通人员来说，在不脱离本发明所述的原理前提下还可以作出若干改进和润饰，这些改进和润饰也在本发明的保护范围内。