专利名称：一种对硬盘分区进行加密的方法及装置的制作方法
技术领域：
本发明涉及计算机领域，特别涉及一种对硬盘分区进行加密的方法及装置。
背景技术：
随着计算机技术的应用范围日益广泛，如何保证数据安全性也成为了用户最为关心的问题。为了令数据安全性得到保证，通常使用加密技术对存储的各类文件数据进行加密。
目前，通常使用的加密技术主要包括文件加密技术和磁盘加密技术两种。首先，先介绍文件加密技术。所谓的文件加密技术，其核心是基于应用进程来实现加密控制，具有以下优点1、部署简单，不需要改变用户操作习惯，也不需要改变用户的应用环境；2、技术简单，仅涉及到进程文件关联技术、文件临时重定向技术和上层Hook技术；3、操作简单，比较容易被用户理解和接受。但是，文件加密技术的实现主要基于应用程序和文件的关联关系，而安全系统与应用程序密切相关，对于应用复杂的环境(例如，制作设计和软件设计行业)，安全系统的可部署性非常差，常常由于用户应用过于复杂、应用程序的升级或者应用的增加而导致该类内网的安全系统需要重新进行二次开发，从而给用户环境带来极大的限制和不稳定隐患，进而影响文件加密技术的安全性。进一步地，由于文件加密技术采用了文件临时重定向技术，因此，会产生临时缓存文件，而临时缓存文件在硬盘中是以明文状态存在，这很容易被攻击者使用公开的文件监视工具获取到，并通过复制该临时缓存文件而造成文件加密机制的失效；并且，使用临时缓存文件，相当于文件要在硬盘中重复进行两次读写操作，这会造成系统使用效率的明显下降，(如，下降50% )，尤其是针对大型文件进行加密时，对系统使用效率的影响更为明显。另一方面，由于应用程序中采用了众多Hook技术，因而很容易造成和防病毒等软件的冲突，造成系统不稳定，影响用户的正常使用，同时Hook技术也容易造成使用系统使用效率下降。其次，再介绍磁盘加密技术。所谓的磁盘加密技术，其核心是通过对做磁盘的扇区磁道等进行加密，然后而对加密磁盘进行读写，具有以下优点1、与应用程序无关，能够兼容各种复杂的应用环境，支持应用程序的升级和变更， 无需针对具体应用程序进行产品级的二次开发，稳定性和可用性得到保障。2、由于不采用文件临时重定向技术，因而文件读写次数不会增加，确保了系统使用效率不会明显下降。但是，由于磁盘加密技术仅针对特定的文件存储区域进行保护，缺乏对文件本身保密属性的判断能力，因此具有以下缺点采用磁盘加密技术需要对文件的存储区域进行条件限制，因此必然需要对使用环境进行调整以适应磁盘加密技术的。进一步地，单一的磁盘加密技术无法防止通过网络和其他途径的文件泄密行为，而若要综合网络控制技术开发相应的网络安全产品，则开发难度大、周期长。另一方面，目前的磁盘加密技术中没有完整的密钥管理机制，一旦出现密钥忘记等情况，没有有效的恢复手段。
发明内容
本发明实施例提供一种对硬盘分区进行加密的方法及装置，用于防止硬盘数据泄露，提高了硬盘数据的安全性。本发明实施例提供的具体技术方案如下一种对硬盘分区进行加密的方法，包括在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行 USBKEY身份验证；确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议从所述USBKEY 中获取用于硬盘加密的加密密钥；将指定的硬盘分区作为加密分区进行挂载；采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。一种密钥管理方法，包括在用户终端上的操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议将本地预设的加密密钥发往所述用户终端，令所述用户终端在将指定的硬盘分区作为加密分区进行挂载，并采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。一种对硬盘分区进行加密的装置，包括登录及资源管理模块，用于在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；挂载模块，用于确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议从所述USBKEY中获取用于硬盘加密的加密密钥，并将指定的硬盘分区作为加密分区进行挂载；文件系统驱动模块，用于采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。一种密钥管理装置，包括口令认证模块，用于在用户终端上的操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；密钥管理模块，用于在确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议将本地预设的加密密钥发往所述用户终端，令所述用户终端在将指定的硬盘分区作为加密分区进行挂载，并采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。一种对硬盘分区进行加密的系统，包括USBKEY，用于在确认用户通过USBKEY身份验证后，基于预设的安全传输协议将用于硬盘加密的加密密钥发送至用户终端；用户终端，用于在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证，并在确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议从所述USBKEY中获取所述加密密钥，以及将指定的硬盘分区作为加密分区进行挂载，并采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。综上所述，本发明实施例中，基于操作系统驱动层技术动态地实施加解密技术，通过文件系统驱动来实现对硬盘数据的挂载、卸载及加解密读写，从而保证对磁盘数据的实时加密和解密操作。具体为当用户终端上的操作系统启动流程被触发时，经过了 USBKEY 身份验证后，加密密钥才会按照预设的安全传输机制，安全无误地导入到操作系统内暂时保存，而在获得加密密钥后，用户终端才将指定的硬盘分区作为加密分区进行挂载，并按照获得的加密密钥对该加密分区的读写操作进行加解密操作。这样，便在驱动层实现了对数据的动态读写加解密，通过独立的文件系统驱动杜绝了第三方对操作系统已有文件系统的 hook劫持，有效提高了数据安全性，并且实现了加密分区的挂载与操作系统启动流程的无缝集成，节省了硬盘加密流程的执行效率，符合给用的日常使用习惯，不会给用户带来额外的等待时间。
图1为本发明实施例中用户终端对硬盘分区进行加密流程图；图2为本发明实施例中用户终端功能结构示意图；图3为本发明实施例中USBKEY功能结构示意图。
具体实施例方式为了防止硬盘数据泄露，提高数据安全性，本发明实施例中，设计了一种全新的对硬盘分区进行加密的方法，具体为在操作系统启动的过程中，在系统挂载各硬盘分区之前，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证，确认用户通过该 USBKEY身份验证后，从USBKEY中获取预设的加密密钥，并将指定的硬盘分区作为加密分区进行挂载，接着，采用获得的加密密钥，对在上述加密分区中执行的读写操作进行加解密。这样，可以在系统驱动层实现对数据的动态读写加解密，从而有效地提高了数据安全性。较佳的，本发明实施例适用于Windows操作系统，而其他类型的操作系统也可以基于本发明的思想对本发明实施例进行改进后实现对硬盘分区的加解密，在此不再赘述。下面结合附图对本发明优选的实施方式进行详细说明。参阅图1所示，本发明实施例中，用户终端对硬盘分区进行加密的详细流程如下步骤100 用户终端在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证。本发明实施例中，较佳的，用户可以将USBKEY插入用户终端的USB接口后，再启动用户终端以触发操作系统的启动；而在操作系统启动流程被触发后，用户终端可以先根据用户输入的用户名和密码对用户进行操作系统登录认证，待登录成功后，再执行步骤200 中记载的USBKEY身份验证流程，或者，也可以先根据用户输入的账户口令信息进行USBKEY 身份验证，待验证通过后，再执行操作系统登录认证。进一步地，较佳的，为了节省用户的操作时间，可以将用户登录操作系统时输入的用户名和密码与用户进行USBKEY身份验证时使用的账户口令信息设置为相同内容，这样， 用户仅需输入一次用户名和密码即可以完成USBKEY身份验证和操作系统的登录，从而有效提高了系统使用效率。另一方面，用户终端根据用户输入的账户口令信息，对该用户进行USBKEY身份验证时，可以根据用户输入的账户口令信息在本地进行USBKEY身份验证，也可以将用户输入的账户口令信息发往USBKEY进行USBKEY身份验证，并根据USBKEY的反馈确认验证通过。步骤110 用户终端确认用户通过USBKEY身份验证后，基于预设的安全传输协议从USBKEY中获取用于硬盘加密的加密密钥。本发明实施例中，步骤110的具体执行方式如下步骤A 用户终端接收从USBKEY传送的传输密钥密文，并按照与USBKEY约定的方式对该传输密钥密文进行解密，获得相应的传输密钥。步骤B 用户终端接收从USBKEY传送的加密密钥密文，并按照获得的传输密钥对该加密密钥密文进行解密，获得相应的加密密钥。例如，假设将USBKEY与用户终端约定的一对初始传输密钥分别称为密钥A和密钥 B，则USBKEY基于密钥A生成相应的第一传输密钥，称为密钥Al，然后，USBKEY采用密钥Al 对本地预先设置的加密密钥(称为密钥X)进行加密，生成加密密钥密文xl以及相应的验证码xll (验证码xll由密钥X、加密密钥密文xl和密钥Al经加密生成，具体方式在此不再赘述)；接着，USBKEY采用密钥A对密钥Al进行加密，生成传输密钥密文al以及相应的验证码all (验证码all由密钥Al、传输密钥密文al和密钥A经加密生成，具体方式在此不再赘述)；用户终端从USBKEY读取其生成的传输密钥密文al和验证码all，并在根据验证码all确认USBKEY的身份合法后，采用与USBKEY约定的密钥B对传输密钥密文al进行解密，从而获得密钥Al ；接，用户终端从USBKEY读取其生成的加密密钥密文xl和验证码xll， 并在根据验证码xll确认USBKEY的身份合法后，采用已获得的密钥Al对加密密钥密文al 进行解密，从而获得密钥X。当然，若操作系统再次启动，则在第二次进行加密密钥安全传输时，USBKEY可以采用基于初始传输密钥A生成的第二传输密钥A2 (密钥A2)对加密密钥X进行加密，并采用初始传输密钥A或上一次使用的密钥Al对密钥A2进行加密，以完成加密密钥的安全传输， 以此类推，后续流程均按照此种方法对加密密钥进行加密和传输，将不再赘述。可见，本实施例中，用户终端采用双加密的方式来实现加密密钥的安全传输(即加密密钥由传输密钥加密、传输密钥由初始传输密钥或上一次使的传输密钥加密)，从而有效防止了加密密钥的泄露，进一步提高了数据安全性。另一方面，USBKEY中预设的加密密钥，可以由USBKEY预先采用离散算法基于一个随机数(如，用户终端的机器编号)生成；而进行USBKEY身份时验证的账户口令信息可以由用户定期更新。步骤120 用户终端将指定的硬盘分区作为加密分区进行挂载。若用户将登录操作系统时使用的用户名和密码，与进行USBKEY身份验证时使用的账户口令信息设置为相同内容，则在执行步骤120之前，具体可以是执行步骤100之前， 也可以是执行步骤100之后且执行步骤110之前，还可以是执行步骤110之后且执行步骤
8120之前，用户终端可以根据用户输入的账户口令信息登录操作系统，从而在执行步骤120 时，用户终端可以开始进行硬盘分区的挂载和其他系统资源的加载。在执行步骤120时，用户终端将指定的至少一个硬盘分区记为加密分区，并为其分配相应的盘符，以及将分配的盘符映射至资源管理器进行注册保存，加密分区的数目可以为一个或多个，具体由用户设置。接着，用户终端可以将其他非指定的硬盘分区作为普通分区进行挂载，为其分配相应的盘符，并将各盘符映射至资源管理器进行注册保存，在此不再赘述。将各硬盘分区挂载完毕后，用户终端可以继续对操作系统启动时所需的各类程序进行加载，以完成操作系统的启动流程。步骤130 用户终端采用获得的加密密钥，对在上述加密分区中执行的读写操作进行加解密。本实施例中，用户终端既可以是在执行步骤120后，在加载操作系统启动时所需的各类程序的过程中，采用获得的加密密钥，对在上述加密分区中执行的读写操作进行加解密；也可以是在操作系统启动完成后，根据用户的相关操作，采用获得的加密密钥，对在上述加密分区中执行的读写操作进行加解密。具体为针对在上述加密分区中执行的写操作，采用所述加密密钥进行加密，以及针对在上述加密分区中执行的读操作，采用所述加密密钥进行解密。另一方面，基于上述实施例，当用户终端检测到USBKEY被拔出、用户的账户口令信息验证失败次数达到设定阈值(如，10次)、用户指示注销操作系统账户、用户指示关机等等意外情况中的任意一种或多种组合时，需要将加密分区进行卸载，如，将加密分区的盘符从资源管理器中删除，以保证加密分区的数据安全。其中，当用户的账户口令信息验证失败次数达到设定阈值时，若USBKEY验证操作由用户终端完成，则用户终端还需要指示上述USBKEY将其本地进行锁定，而若USBKEY验证操作由USBKEY完成，则USBKEY直接将本地进行锁定，锁定操作具体为=USBKEY需要将原生成的加密密钥进行删除，并停止加密密钥的生成和传输；直到用户执行了合法的解锁操作后，USBKEY再根据预设方式生成新的加密密钥，如，采用离散算法基于用户终端机器编号生成相应的加密密钥。基于上述实施例，本发明实施例提供的安全系统内，用户终端需要基于USBKEY提供的加密密钥对硬盘分区进行加密，具体为参阅图2所示，用户终端中至少包括登录及资源管理模块20和挂载模块21和文件系统驱动模块22，其中登录及资源管理模块20，用于在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；具体为根据用户输入的账户口令信息在本地进行USBKEY身份验证；或者，将用户输入的账户口令信息发往USBKEY进行USBKEY身份验证。挂载模块21，用于确认用户通过USBKEY身份验证后，基于预设的安全传输协议从 USBKEY中获取用于硬盘加密的加密密钥，并将指定的硬盘分区作为加密分区进行挂载；其中，在获得加密密钥时，加载模块21先接收USBKEY发送的传输密钥密文，并按照与USBKEY约定的方式对传输密钥密文进行解密，获得传输密钥，再接收USBKEY发送的加密密钥密文，并按照传输密钥对加密密钥密文进行解密，获得相应的加密密钥。文件系统驱动模块22，用于采用获得的加密密钥，对在上述加密分区中执行的读写操作进行加解密；具体为针对在上述加密分区中执行的写操作，采用获得的加密密钥进行加密，以及针对在上述加密分区中执行的读操作，采用获得的加密密钥进行解密。另一方面，在挂载模块21将指定的硬盘分区作为加密分区进行挂载之前，登录及资源管理模块20还可以根据用户输入的账户口令信息，对用户进行操作系统登录认证；而在挂载模块21将指定的硬盘分区作为加密分区进行挂载之后，登录及资源管理模块20还可以对操作系统启动时所需的各类程序进行加载，以完成操作系统启动流程。而登录及资源管理模块20确定用户通过USBKEY身份验证后，可以对文件系统驱动模块22进行加载， 这样，挂载模块21将指定的硬盘分区作为加密分区进行挂载时，可以通过文件系统驱动模块22，将指定的至少一个的硬盘分区记为加密分区，并为其分配相应的盘符，以及将分配的盘符映射至资源管理器进行注册保存。如图2所示，在用户终端中进一步设置有卸载模块23，用于在检测到USBKEY被拔出、用户的账户口令信息验证失败次数达到设定阈值、用户指示注销操作系统账户和用户指示关机这几种情况中的任意一种或多种组合时，将已挂载的加密分区进行卸载；其中，若检测到用户的账户口令信息验证失败次数达到设定阈值，则卸载模块23还需要在对加密分区进行卸载的同时，指示USBKEY进行锁定。如图2所示，登录及资源管理模块20、挂载模块21和卸载模块23可以作为用户终端中一个独立的应用功能存在，用以实现硬盘的分区管理，可以将其组合称为硬盘分区管理单元。而文件系统驱动模块22则也可以视为用户终端中一个独立的应用功能存在，用以实现操作系统的文件驱动，如，在驱动层便以动态形式对硬盘中的加密分区进行传输数据的加解密。参阅图3所示，本发明实施例中，USBKEY中至少包括口令认证模块30和密钥管理模块31，其中，口令认证模块30，用于在用户终端上的操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；密钥管理模块31，用于在确认用户通过USBKEY身份验证后，基于预设的安全传输协议将本地预设的加密密钥发往用户终端，令用户终端在将指定的硬盘分区作为加密分区进行挂载，并采用获得的加密密钥，对在上述加密分区中执行的读写操作进行加解密。其中，在口令认证模块30根据用户输入的账户口令信息，对该用户进行USBKEY身份验证之前，密钥管理模块31先根据预设方式生成用于进行硬盘加密的加密密钥，并采用本地生成的传输密钥对所述加密密钥进行加密，生成相应的加密密钥密文，以及采用与用户终端约定的方式对所述传输密钥进行加密，生成相应的传输密钥密文；而密钥管理模块 31基于预设的安全传输协议将本地预设的加密密钥发往用户终端时，先将生成的传输密钥密文发往用户终端，令用户终端采用与本地约定的方式对传输密钥密文进行解密，以获得相应的传输密钥，再将生成的加密密钥密文发往用户终端，令用户终端采用已解密的传输密钥对加密密钥密文进行解密，以获得相应的加密密钥。
如图3所示，在USBKEY中，进一步包括锁定解锁模块32，用于在检测到用户的账户口令信息验证失败次数达到设定阈值时，将本地进行锁定，以及在确定用户执行了合法的解锁操作时，指示密钥模块管块31根据预设方式重新生成相应的加密密钥。当然，锁定解锁模块32还可以根据应用环境来调整USBKEY的安全等级，以指示口令认证模块30是否需要对用户进行USBKEY身份验证。综上所述，本发明实施例中，基于操作系统驱动层技术动态地实施加解密技术，通过文件系统驱动来实现对硬盘数据的挂载、卸载及加解密读写，从而保证对磁盘数据的实时加密和解密操作。具体为当用户终端上的操作系统启动流程被触发时，经过了 USBKEY 身份验证后，加密密钥才会按照预设的安全传输机制，安全无误地导入到操作系统内暂时保存，而在获得加密密钥后，用户终端才将指定的硬盘分区作为加密分区进行挂载，并按照获得的加密密钥对该加密分区的读写操作进行加解密操作。这样，便在驱动层实现了对数据的动态读写加解密，通过独立的文件系统驱动杜绝了第三方对操作系统已有文件系统的 hook劫持，有效提高了数据安全性，并且实现了加密分区的挂载与操作系统启动流程的无缝集成，节省了硬盘加密流程的执行效率，符合给用的日常使用习惯，不会给用户带来额外的等待时间。进一步地，用户终端还可以根据USBKEY的插入拔出情况及驱动层的挂载尝试次数等策略随时选择挂载、卸载加密分区，从而可以迅速检测到攻击，实施有效地主动防御， 显然，这进一步防止了数据的泄露，增强了数据安全性。而在用户注销操作系统账户或关机的情况下，USBKEY可以从用户终端拔出，从而在用户终端内不存储任何密钥信息，彻底防止了黑客破解加密密钥的可能，显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
1权利要求
1.一种对硬盘分区进行加密的方法，其特征在于，包括在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY 身份验证；确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议从所述USBKEY中获取用于硬盘加密的加密密钥；将指定的硬盘分区作为加密分区进行挂载；采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。
2.如权利要求1所述的方法，其特征在于，所述根据用户输入的账户口令信息，对该用户进行USBKEY身份验证，包括根据用户输入的账户口令信息在本地进行USBKEY身份验证；或者，将用户输入的账户口令信息发往USBKEY进行USBKEY身份验证。
3.如权利要求1所述的方法，其特征在于，所述基于预设的安全传输协议从所述 USBKEY中获取用于硬盘加密的加密密钥，包括接收所述USBKEY发送的传输密钥密文，并按照与所述USBKEY约定的方式对所述传输密钥密文进行解密，获得所述传输密钥；接收所述USBKEY发送的加密密钥密文，并按照所述传输密钥对所述加密密钥密文进行解密，获得所述加密密钥。
4.如权利要求1所述的方法，其特征在于，在将指定的硬盘分区作为加密分区进行挂载之前，根据所述用户输入的账户口令信息，对用户进行操作系统登录认证；而在将指定的硬盘分区作为加密分区进行挂载之后，对操作系统启动时所需的各类程序进行加载，以完成操作系统启动流程。
5.如权利要求1-4任一项所述的方法，其特征在于，将指定的硬盘分区作为加密分区进行挂载，包括将指定的至少一个的硬盘分区记为加密分区，并为其分配相应的盘符，以及将分配的盘符映射至资源管理器进行注册保存。
6.如权利要求1-4任一项所述的方法，其特征在于，采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密，包括针对在所述加密分区中执行的写操作，采用所述加密密钥进行加密，以及针对在所述加密分区中执行的读操作，采用所述加密密钥进行解Γ t [ O
7.如权利要求1-4任一项所述的方法，其特征在于，在检测到所述USBKEY被拔出、用户的账户口令信息验证失败次数达到设定阈值、用户指示注销操作系统账户和用户指示关机这几种情况中的任意一种或多种组合时，将所述加密分区进行卸载。
8.如权利要求7所述的方法，其特征在于，若检测到用户的账户口令信息验证失败次数达到设定阈值，则在对加密分区进行卸载的同时，指示锁定所述USBKEY。
9.一种密钥管理方法，其特征在于，包括在用户终端上的操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议将本地预设的加密密钥发往所述用户终端，令所述用户终端在将指定的硬盘分区作为加密分区进行挂载，并采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。
10.如权利要求9所述的方法，其特征在于，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证之前，包括根据预设方式生成用于进行硬盘加密的加密密钥；采用本地生成的传输密钥对所述加密密钥进行加密，生成相应的加密密钥密文；采用与用户终端约定的方式对所述传输密钥进行加密，生成相应的传输密钥密文。
11.如权利要求10所述的方法，其特征在于，基于预设的安全传输协议将本地预设的加密密钥发往所述用户终端，包括将所述传输密钥密文发往所述用户终端，令所述用户终端采用与本地约定的方式对所述传输密钥密文进行解密，以获得相应的传输密钥；将所述加密密钥密文发往所述用户终端，令所述用户终端采用所述传输密钥对所述加密密钥密文进行解密，以获得相应的加密密钥。
12.如权利要求9、10或11所述的方法，其特征在于，在检测到用户的账户口令信息验证失败次数达到设定阈值时，将本地进行锁定，以及在确定用户执行了合法的解锁操作时， 根据预设方式重新生成相应的加密密钥。
13.—种对硬盘分区进行加密的装置，其特征在于，包括登录及资源管理模块，用于在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；挂载模块，用于确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议从所述USBKEY中获取用于硬盘加密的加密密钥，并将指定的硬盘分区作为加密分区进行挂载；文件系统驱动模块，用于采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。
14.如权利要求13所述的装置，其特征在于，所述登录及资源管理模块根据用户输入的账户口令信息，对该用户进行USBKEY身份验证时，根据用户输入的账户口令信息在本地进行USBKEY身份验证；或者，将用户输入的账户口令信息发往USBKEY进行USBKEY身份验证。
15.如权利要求13所述的装置，其特征在于，所述挂载模块基于预设的安全传输协议从所述USBKEY中获取用于硬盘加密的加密密钥时，先接收所述USBKEY发送的传输密钥密文，并按照与所述USBKEY约定的方式对所述传输密钥密文进行解密，获得所述传输密钥， 再接收所述USBKEY发送的加密密钥密文，并按照所述传输密钥对所述加密密钥密文进行解密，获得所述加密密钥。
16.如权利要求13所述的装置，其特征在于，所述挂载模块在将指定的硬盘分区作为加密分区进行挂载之前，所述登录及资源管理模块在将指定的硬盘分区作为加密分区进行挂载之前，根据所述用户输入的账户口令信息，对用户进行操作系统登录认证；而在所述挂载模块将指定的硬盘分区作为加密分区进行挂载之后，，所述登录及资源管理模块对操作系统启动时所需的各类程序进行加载，以完成操作系统启动流程。
17.如权利要求13-16任一项所述的装置，其特征在于，所述登录及资源管理模块确定所述用户通过USBKEY身份验证后，加载所述文件系统驱动模块，所述挂载模块将指定的硬盘分区作为加密分区进行挂载时，通过所述文件系统驱动模块，将指定的至少一个的硬盘分区记为加密分区，并为其分配相应的盘符，以及将分配的盘符映射至资源管理器进行注册保存。
18.如权利要求13-16任一项所述的装置，其特征在于，所述文件系统驱动模块采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密时，针对在所述加密分区中执行的写操作，采用所述加密密钥进行加密，以及针对在所述加密分区中执行的读操作，采用所述加密密钥进行解密。
19.如权利要求13-16任一项所述的装置，其特征在于，进一步包括卸载模块，用于在检测到所述USBKEY被拔出、用户的账户口令信息验证失败次数达到设定阈值、用户指示注销操作系统账户和用户指示关机这几种情况中的任意一种或多种组合时，将所述加密分区进行卸载。
20.如权利要求19所述的装置，其特征在于，若检测到用户的账户口令信息验证失败次数达到设定阈值，则所述卸载在对加密分区进行卸载的同时，指示锁定所述USBKEY。
21.一种密钥管理装置，其特征在于，包括口令认证模块，用于在用户终端上的操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证；密钥管理模块，用于在确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议将本地预设的加密密钥发往所述用户终端，令所述用户终端在将指定的硬盘分区作为加密分区进行挂载，并采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。
22.如权利要求21所述的装置，其特征在于，在所述口令认证模块根据用户输入的账户口令信息，对该用户进行USBKEY身份验证之前，所述密钥管理模块根据预设方式生成用于进行硬盘加密的加密密钥，并采用本地生成的传输密钥对所述加密密钥进行加密，生成相应的加密密钥密文，以及采用与用户终端约定的方式对所述传输密钥进行加密，生成相应的传输密钥密文。
23.如权利要求21所述的装置，其特征在于，所述密钥管理模块基于预设的安全传输协议将本地预设的加密密钥发往所述用户终端时，先将所述传输密钥密文发往所述用户终端，令所述用户终端采用与本地约定的方式对所述传输密钥密文进行解密，以获得相应的传输密钥，再将所述加密密钥密文发往所述用户终端，令所述用户终端采用所述传输密钥对所述加密密钥密文进行解密，以获得相应的加密密钥。
24.如权利要求21、22或23所述的装置，其特征在于，进一步包括锁定解锁模块，用于在检测到用户的账户口令信息验证失败次数达到设定阈值时，将本地进行锁定，以及在确定用户执行了合法的解锁操作时，指示所述密钥模块管块根据预设方式重新生成相应的加密密钥。
25.—种对硬盘分区进行加密的系统，其特征在于，包括USBKEY，用于在确认用户通过USBKEY身份验证后，基于预设的安全传输协议将用于硬盘加密的加密密钥发送至用户终端；用户终端，用于在操作系统启动流程被触发时，根据用户输入的账户口令信息，对该用户进行USBKEY身份验证，并在确认用户通过所述USBKEY身份验证后，基于预设的安全传输协议从所述USBKEY中获取所述加密密钥，以及将指定的硬盘分区作为加密分区进行挂载， 并采用所述加密密钥，对在所述加密分区中执行的读写操作进行加解密。
全文摘要
本发明涉及计算机领域，公开了一种对硬盘分区进行加密的方法及装置，用于防止硬盘数据泄露，提高了硬盘数据的安全性。该方法为当用户终端上的操作系统启动流程被触发时，经过USBKEY身份验证后，加密密钥才会按照预设的安全传输机制，导入到操作系统内暂时保存，而在获得加密密钥后，用户终端才将指定的硬盘分区作为加密分区进行挂载，并按照获得的加密密钥对该加密分区的读写操作进行加解密操作。这样，便在驱动层实现了对数据的动态读写加解密，通过独立的文件系统驱动杜绝了第三方对操作系统已有文件系统的hook劫持，有效提高了数据安全性，并且实现了加密分区的挂载与操作系统启动流程的无缝集成，节省了硬盘加密流程的执行效率。
文档编号H04L9/08GK102508791SQ20111030019
公开日2012年6月20日 申请日期2011年9月28日 优先权日2011年9月28日
发明者梁守龙 申请人:梁守龙