专利名称：一种加密卡内系统的保护方法
技术领域：
本发明涉及加密卡内的系统保护，具体来说，提供了一种加密卡内系统的保护方法。
背景技术：
目前，基于PCI/PCIE的加密卡普遍应用于信息安全领域，由于用户的密钥和部分加解密程序都存储在加密卡内，如果加密卡损坏，或用户进行了误操作破坏了关键数据，或者第三方恶意破坏加密卡，获得了加密上的存储设备，这些都会带来不必要的损失；其次， 加密卡在使用PCIE或PCI总线进行通信时，若主机端存在恶意软件通过修改PCIE空间，或通过PCIE映射方式，入侵加密卡，会破坏或盗取加密卡存储的数据，或对正在进行的加解密行为进行破坏。
发明内容
针对以上多个问题本发明提出一种加密卡内的系统保护方法，通过复合使用多种手段，可以对加密卡进行多重保护。一种加密卡内系统的保护方法，将加密卡内的系统和数据加密存储在加密卡中，密钥存储在Nikey中；加密卡启动后，安全模块使用加密卡本身对内部的系统进行解密并读取到内存中；加密卡在使用过程中，所有数据在内存中存储，当创建或修改用户信息时，安全模块监控存储设备的读写操作，并定时对数据存储区域进行签名，之后存储到Nikey上。优选的，所述加密卡和所述Nikey需配套使用，在启动时加密卡安全模块首先和 Nikey交互，Nikey对安全模块进行验签，验签通过后启动加密卡，否则报错。优选的，所述安全模块在加密卡内部系统解密后进入裸核运行的后台模式。优选的，所述裸核运行的后台模式为安全模块不受操作系统的调度控制，不能通过软件方法终止安全模块。优选的，所述安全模块在加密卡运行中负责监控整个加密卡的硬件状态，当敏感硬件状态发生变化后，安全模块使其强制恢复状态，并向主机端的安全工具报警。优选的，所述敏感硬件状态包括PCIE映射模式，PCIE空间的寄存器。优选的，所述安全模块在加密卡启动时将系统镜像保存，在加密卡系统出现故障时，通过奖项恢复加密卡系统。通过使用这种系统保护方法，可以提高加密卡的系统的可靠性，避免加密卡系统被破坏或被入侵，进而带来不必要的损失。
图1是加密卡内的系统保护方法的实现示意图
具体实施例方式如图1所示，为加密卡内的系统保护方法实现示意图。首先，加密卡上的固有系统和数据是加密存储的，加密的密钥存储在出厂时配套的Nikey中，在加密卡启动时，需要插入配套的Mkey，之后加密卡上启动安全模块，该模块通过PCIE接口和主机端的安全工具进行通信。该模块首先和Nikey进行交互，对加密卡上的安全模块进行验签，只有验签通过后，才能进行下一步操作，否则报错。安全模块通过验证后，安全模块使用Nikey导出的密钥，使用加密卡自身的加解密功能对加密卡的实际系统进行解密并读取到内存中，此时安全模块进入裸核运行的后台模式，因而不受操作系统调度控制，加密卡的实际系统无法探测到该模块，因此不能通过任何软件方法终止安全模块。安全模块负责监控整个加密卡的硬件状态，当敏感的硬件状态发生变化时，例如PCIE映射模式，或者PCIE空间的特定寄存器，安全模块将强制恢复状态， 并切断当前的PCIE通信，向主机端的安全工具报警。加密卡在使用过程中，所有的数据都在内存中存储，只有当修改用户信息，创建用户时，会有修改存储设备的动作，通过监控存储设备的读写操作，安全模块定时对数据存储区域进行签名，并存储到Nikey上。加密卡启动时，安全模块还支持系统镜像保存和恢复，这样当一块加密卡出现故障时，可以很快将之前保存的镜像复制到另外一块加密卡上，继续使用。使用这种复合模式的加密卡系统保护方法，在加密卡系统不论是在工作还是非工作状态下，都能获得可靠的保护。
权利要求
1.一种加密卡内系统的保护方法，其特征在于将加密卡内的系统和数据加密存储在加密卡中，密钥存储在Mkey中；加密卡启动后，安全模块使用加密卡本身对内部的系统进行解密并读取到内存中；加密卡在使用过程中，所有数据在内存中存储，当创建或修改用户信息时，安全模块监控存储设备的读写操作，并定时对数据存储区域进行签名，之后存储到Nikey上。
2.如权利要求1所述的方法，其特征在于所述加密卡和所述Mkey需配套使用，在启动时加密卡安全模块首先和Nikey交互，Nikey对安全模块进行验签，验签通过后启动加密卡，否则报错。
3.如权利要求1所述的方法，其特征在于所述安全模块在加密卡内部系统解密后进入裸核运行的后台模式。
4.如权利要求3所述的方法，其特征在于所述裸核运行的后台模式为安全模块不受操作系统的调度控制，不能通过软件方法终止安全模块。
5.如权利要求1所述的方法，其特征在于所述安全模块在加密卡运行中负责监控整个加密卡的硬件状态，当敏感硬件状态发生变化后，安全模块使其强制恢复状态，并向主机端的安全工具报警。
6.如权利要求5所述的方法，其特征在于所述敏感硬件状态包括PCIE映射模式， PCIE空间的寄存器。
7.如权利要求1所述的方法，其特征在于所述安全模块在加密卡启动时将系统镜像保存，在加密卡系统出现故障时，通过奖项恢复加密卡系统。
全文摘要
本发明提供了一种加密卡内系统的保护方法，将加密卡内的系统和数据加密存储在加密卡中，密钥存储在Nikey中；加密卡启动后，安全模块使用加密卡本身对内部的系统进行解密并读取到内存中；加密卡在使用过程中，所有数据在内存中存储，当创建或修改用户信息时，安全模块监控存储设备的读写操作，并定时对数据存储区域进行签名，之后存储到Nikey上。通过使用这种系统保护方法，可以提高加密卡的系统的可靠性，避免加密卡系统被破坏或被入侵，进而带来不必要的损失。
文档编号G06K19/073GK102279813SQ201110231579
公开日2011年12月14日 申请日期2011年8月12日 优先权日2011年8月12日
发明者叶丞, 石旭, 郭旭 申请人:无锡城市云计算中心有限公司