专利名称：主机保护区的数据保护装置及方法
技术领域：
本发明属于计算机安全技术领域，尤指一种主机保护区的数据保护装置及方法。
背景技术：
HPA(Host Protected Area)，主机保护区是ATA-5硬盘支持一种特性。支持该特性的硬盘可以将硬盘最后的某一段空间设置成保护状态，且设置成保护状态后，系统或其他程序无法看到该空间，也无法对该空间内的数据进行访问。相关资料请参考ANSI《InformationTechnology-AT Attachment with Packet Interface-5(ATA/ATAPI-5)》。
目前，市场上流行一种由申请人推出的基于一个Windows操作系统下的拯救者文件备份产品，在该文件备份产品的运行过程中，实现了一种数据备份方法，该方法可以在Windows下打开处于保护状态的HPA，并将需要备份的文件写入HPA；在完成备份操作后关闭HPA，使HPA再次处于保护状态。
在HPA处于保护状态时，系统中其他程序无法访问HPA，即无法读写其中的数据，因为根据ATA-5设计的磁盘将不会处理对HPA中的扇区的读写请求。当文件备份软件需要向HPA中写数据时，必须使用HPA访问方法将HPA打开，此时磁盘就可以处理对HPA中扇区的读写请求。如果此时不采用额外的保护措施，其他应用程序或操作系统本身就可以访问HPA(非法访问)并读写其中的数据，这些行为有可能是有意的也可能是其他程序发生错误产生的无意行为，但严重影响HPA中数据的安全。
发明内容
本发明要解决的问题是在HPA已经打开的情况下提供数据保护，允许合法的程序访问HPA中的数据，禁止其他的程序访问HPA中的数据。
为解决上述问题，本发明主机保护区的数据保护方法，运用在该主机保护区设备对象的上层或下层，包括以下步骤1)密钥确认步骤，在打开HPA时确认合法的访问者，访问者通过同密钥确认装置一次密钥交互，以确认合法的身份；2)请求者确认步骤，确认每次的读写请求是谁发出的，具体包括以下步骤21)访问标识获取步骤，取得访问者位置及访问者标识；22)判断步骤，判断访问是否处于HPA区域，若不处于HPA区域则允许相应的访问；23)比较步骤，对处于HPA区域访问的访问者标识同记录的访问者标识比较二者是否相等；24)确定步骤，根据比较装置的结果，确定拒绝请求或允许访问，若相等则允许访问，反之则拒绝请求。
相应地主机保护区的数据保护装置，设置在主机保护区设备对象的上层或下层，并包括以下装置
密钥确认装置，用于在打开HPA时确认合法的访问者，访问者通过同密钥确认装置一次密钥交互，以确认合法的身份；请求者确认装置，用于确认每次的读写请求是谁发出的，具体包括以下装置访问标识获取装置，用于取得访问者位置及访问者标识；判断装置，用于判断访问是否处于HPA区域，若不处于HPA区域则允许相应的访问；比较装置，对处于HPA区域访问的访问者标识同记录的访问者标识比较二者是否相等；确定装置，根据比较装置的结果，确定拒绝请求或允许访问，若相等则允许访问，反之则拒绝请求。
与现有技术相比，本发明主机保护区的数据保护装置及方法使得HPA中存放的数据更加安全，并且易于维护。
图1是在Windows中，物理硬盘的现有设备对象结构示意图。
图2是本发明物理硬盘在Windows中的设备对象结构示意图。
图3是本发明主机保护区的数据保护装置的方框图。
图4是本发明主机保护区的数据保护方法的流程图。
具体实施例方式
本实施例是基于Windows系统，Windows是面向对象设计的操作系统，所有的事务都是通过对一系列的对象进行操作和处理来完成的。
在设备的管理和驱动方面，任何物理设备在系统运行时都为其在内存中建立一个或多个设备对象，通过对设备对象的操作来最终访问物理设备。设备对象是Windows内核对象的一种，每个设备对象保存或记录系统中存在的一个虚拟，逻辑或物理设备。设备对象本身可以被分成几类，通常分为·物理设备对象(PDO)，直接代表系统中查找到的物理设备本身；·功能设备对象(FDO)，代表了功能驱动程序所对应的设备对象，该驱动程序通过此设备接受和处理设备访问请求，实现设备的功能；及·过滤器设备对象(Filter DO)，每一个分别代表了过滤器驱动程序所对应的设备对象，过滤器驱动程序通过此设备接受和处理设备请求，以改变或约束设备行为。
根据他们相互之间物理的或逻辑的联系，系统将各种驱动程序按照层次结构组织起来，形成了一个设备对象的树型结构体。设备对象树呈现不同的层次，层中每个设备对象完成相对简单的工作，不同层之间协调工作。设备对象树由内核建立，用于管理系统所有设备对象。
请参照图1所示，在Windows中，物理硬盘现有设备对象结构示意图。磁盘分区由物理设备对象开始分区1、分区2、分区3等；第二层为磁盘分区功能设备对象主磁盘、从磁盘、CDROM分区等；第三层对应第二层，分别依次为主磁盘、从磁盘、CDROM的物理设备对象；第四层为与主磁盘、从磁盘、CDROM物理设备对象相连接的两个IDE通道的功能设备对象IDE通道0及IDE通道1；第五层对应第四层，分别依次为IDE通道0及IDE通道1的物理设备对象；第六层为与两个IDE通道的物理设备对象相连接的IDE控制器的功能设备对象；第七层对应第六层，为IDE控制器的物理设备对象；第八层，与IDE控制器的功能设备对象相连的PCI总线功能设备对象。
一个实际的物理设备，除了对应的设备对象的所代表的功能驱动程序决定它的行为外，还可以通过附加在它上层或下层的过滤器设备对象来改变和约束它的行为。为了在一个使用HPA进行数据备份的磁盘上实现前面提及的数据保护目的，本发明主机保护区的数据保护装置及方法，找到Windows系统中存在与主机保护区相对应的磁盘设备对象，在该硬磁盘设备对象的上层或下层放置一个过滤器，该通过相应驱动程序对原磁盘行为进行约束。在本实施例中，在主磁盘(设定为主机保护区)设备对象上层放置一个过滤器，即本发明主机保护区的数据保护装置，系统中的设备对象树的相关部分发生了变化，如图2所示。
请参照图3所示，本发明主机保护区的数据保护装置具体包括密钥确认装置30，用于在打开HPA时确认合法的访问者(因试图对HPA进行访问必须先行打开HPA)，需要访问主机保护区的访问者通过同密钥确认装置30一次交互，由欲访问者首先提供一个访问密钥，密钥确认装置30将它同从隐藏的主机保护区中读出的密钥比较，以此来确认合法的身份。
密钥确认装置30，进一步包括如下装置(因密钥确认为较成熟的现有技术，所以未图示)密钥产生装置，用于使用公开密钥加密算法(如RSA算法)计算此访问者提供的访问密钥，从而得到第一密钥，密钥校验装置，用于从HPA读取预先所记录的第二密钥，比较第一密钥和第二密钥，依据是否相等确定是否符合访问要求。
请求者确认装置31，用于确认每次的读写请求是谁发出的，根据Windows系统工作机制，每次设备的访问操作都是通过一个传递给设备驱动程序的I/O请求包(I/O Request Packet)来进行的(参考Windows Driver Develop Kits)。请求者确认装置31，将从接收到的I/O请求包中，可以得到是谁发出了访问数据的请求，需要访问的数据处于设备的什么区域等等信息，通过这些信息，可以简单地识别是不是合法的访问者。
请求者确认装置31，在接收到任何一个涉及HPA的访问请求时启用，进一步包括如下装置访问标识获取装置32，用于取得访问者位置及访问者标识；判断装置34，用于判断访问是否处于HPA区域，若不处于HPA区域则允许相应的访问；比较装置36，对处于HPA区域访问的访问者标识同记录的访问者标识比较二者是否相等；确定装置38，根据比较装置的结果，确定拒绝请求或允许访问，若相等则允许访问，反之则拒绝请求。
相应地，本发明主机保护区的数据保护方法，运用在主机保护区设备对象的上层或下层，实现管理所有对需要保护磁盘的访问请求。通过对访问请求的分析，可以确定当前需要访问的区域，当访问的区域处于HPA保护区中时，我们需要辨认访问者，在辨认访问者之后，如果发现访问者不是先前所说的合法访问者就拒绝该访问请求，如果是合法访问者则处理该请求。对于其他的不涉及主机隐藏保护区的访问请求都予以允许并将请求传递到下层，以处理该访问请求，这样就不会影响正常的系统执行。
访问者的辨认，分为两个任务进行。第一步，在打开HPA时确认合法的访问者，需要访问主机保护区的访问者通过同密钥确认装置30一次密钥交互，由欲访问者首先提供一个访问密钥，该访问密钥同从主机保护区中读出的密钥比较，以此来确认合法的身份。第二步，确认每次的读写请求是谁发出的，根据Windows驱动程序工作机制，每次设备的访问操作都是通过一个传递给设备驱动程序的I/O请求包(I/O Request Packet)来进行的(参考Windows Driver Develop Kits)。本发明主机保护区的数据保护方法将从接收到的I/O请求包中，可以得到是谁发出了访问数据的请求，需要访问的数据处于设备的什么区域等等信息，通过这些信息，可以简单地识别是不是合法的访问者。
请参照图4所示，本发明主机保护区的数据保护方法包括以下步骤1.密钥确认步骤40(因密钥确认为较成熟的现有技术，所以未图示)，进一步包括以下步骤1.1访问者提供访问密钥；1.2密钥产生步骤，使用公开密钥加密算法(如RSA算法)计算此访问密钥，从而得到第一密钥；1.3密钥校验步骤，从HPA读取预先所记录的第二密钥，比较第一密钥和第二密钥，依据是否相等确定是否符合访问要求。
2.请求者确认步骤432.1访问标识获取步骤44，取得访问者位置及访问者标识；2.2判断步骤45，判断访问是否处于HPA区域，若不处于HPA区域则允许相应的访问；2.3比较步骤46，对处于HPA区域访问的访问者标识同记录的访问者标识比较二者是否相等；2.4确定步骤47，根据比较装置的结果，确定拒绝请求或允许访问，若相等则允许访问，反之则拒绝请求。
综上所述，本发明主机保护区的数据保护装置及方法使得HPA中存放的数据更加安全，并且易于维护。
权利要求
1.一种主机保护区的数据保护方法，其特征在于，运用在该主机保护区设备对象的上层或下层，包括以下步骤1)密钥确认步骤，在打开主机保护区时确认合法的访问者，访问者通过同密钥确认装置一次密钥交互，以确认合法的身份；2)请求者确认步骤，确认每次的读写请求是谁发出的，包括以下步骤21)访问标识获取步骤，取得访问者位置及访问者标识；22)判断步骤，判断访问是否处于主机保护区区域，若不处于主机保护区区域则允许相应的访问；23)比较步骤，对处于主机保护区区域访问的访问者标识同记录的访问者标识比较二者是否相等；24)确定步骤，根据比较装置的结果，确定拒绝请求或允许访问，若相等则允许访问，反之则拒绝请求。
2.如权利要求1所述的主机保护区的数据保护方法，其特征在于，密钥确认步骤进一步包括以下步骤访问者提供访问密钥；密钥产生步骤，使用公开密钥加密算法计算此访问密钥，从而得到第一密钥；密钥校验步骤，从主机保护区读取预先所记录的第二密钥，比较第一密钥和第二密钥，依据是否相等确定是否符合访问要求。
3.如权利要求2所述的主机保护区的数据保护方法，其特征在于，公开密钥加密算法为RSA算法。
4.如权利要求1所述的主机保护区的数据保护方法，其特征在于，访问标识获取步骤中，访问者位置及访问者标识从接收到的I/O请求包中获取。
5.一种主机保护区的数据保护装置，其特征在于，设置在主机保护区设备对象的上层或下层，并包括以下装置密钥确认装置，用于在打开主机保护区时确认合法的访问者，访问者通过同密钥确认装置一次密钥交互，以确认合法的身份；请求者确认装置，用于确认每次的读写请求是谁发出的，具体包括以下装置访问标识获取装置，用于取得访问者位置及访问者标识；判断装置，用于判断访问是否处于主机保护区区域，若不处于主机保护区区域则允许相应的访问；比较装置，对处于主机保护区区域访问的访问者标识同记录的访问者标识比较二者是否相等；确定装置，根据比较装置的结果，确定拒绝请求或允许访问，若相等则允许访问，反之则拒绝请求。
6.如权利要求5所述的主机保护区的数据保护装置，其特征在于，密钥确认装置进一步包括如下装置密钥产生装置，用于使用公开密钥加密算法，计算此访问者提供的访问密钥，从而得到第一密钥；密钥校验装置，用于从主机保护区读取预先所记录的第二密钥，比较第一密钥和第二密钥，依据是否相等确定是否符合访问要求。
7.如权利要求5所述的主机保护区的数据保护装置，其特征在于，该数据保护装置设置在主机保护区的功能设备对象的上层。
全文摘要
一种主机保护区的数据保护方法，运用在该主机保护区设备对象的上层或下层，包括以下步骤1)密钥确认步骤，在打开HPA时确认合法的访问者，访问者通过同密钥确认装置一次密钥交互，以确认合法的身份；2)请求者确认步骤，确认每次的读写请求是谁发出的。相应地主机保护区的数据保护装置，设置在主机保护区设备对象的上层或下层，并包括以下装置密钥确认装置，用于在打开HPA时确认合法的访问者，访问者通过同密钥确认装置一次密钥交互，以确认合法的身份；请求者确认装置，用于确认每次的读写请求是谁发出的。
文档编号G06F12/14GK1536495SQ0310928
公开日2004年10月13日 申请日期2003年4月8日 优先权日2003年4月8日
发明者鲍禹卿, 杨文兵, 杜宾, 陶雷 申请人:联想(北京)有限公司