本文所述的实施例涉及一种由远程智能装置促成或执行的安全数据存储。
背景技术：
通常，负责促成存储装置的安全功能的执行的安全模块被嵌入在主机计算装置内，所述计算装置具有有效地处理识别、验证和软件加密/解密安全功能的计算能力。逐渐地，安全模块被移动到主机计算装置以外而呈现例如智能卡或sim卡等形式，以促成或执行便携式装置的上述安全功能的执行。
图1显示已知存储器配置的实例。便携式或手持式装置的安全模块115被嵌入到模块式装置110中，以促成或执行至少一些安全功能，包括识别、验证和软件加密/解密，所有这些安全功能都在接收到从主机计算装置105接收的指令之后。
在其他配置中，主机计算装置105具有向模块式装置发布指令的实用应用程序130，所述模块式装置经由用户输入模块145来处理这些指令和所请求的安全功能。包括识别、验证、访问控制和加密/解密在内的安全功能在模块式装置的安全模块115中由硬件执行。
技术实现要素：
在一个实例性实施例中，一种系统包括主机计算装置、智能装置和智能安全存储器。所述智能装置包括访问应用程序，以验证所述智能装置的用户并且控制所述主机计算装置和所述智能装置两者对存储在与所述智能安全存储器对应的内存上的数据的访问的安全功能。所述智能安全存储器包括：内存，用于存储数据；通信模块，用于与所述主机计算装置进行通信；智能装置接口模块，用于与所述智能装置进行通信并且控制所述通信模块的接口业务，以允许在执行一个或多个安全操作时对存储在所述内存上的所述数据的经授权的访问；和安全模块，用于基于从所述智能装置接收的指令执行要对所存储的数据执行的所述安全操作。
上述发明内容仅为例示性的，而非旨在以任何方式加以限制。除了上述例示性方面、实施例和特征以外，参考附图以及下述详细说明，其他方面、实施例和特征将变得显而易见。
附图说明
在以下详细说明中，仅将实施例阐述为例示，因为根据以下详细说明，各种改动和修改对于本领域的技术人员来说将变得显而易见。在不同的图式中使用相同的参考编号来指示相似或相同的项。
图1显示已知存储器配置的实例；以及；
图2显示根据本文所述实例中的至少一些实例的智能安全存储器的实例性实施方式。
具体实施方式
在以下详细说明中，参考形成说明的一部分的附图。在附图中，相似的符号通常标识相似的组件，除非上下文另有指示。此外，除非另有说明，否则每一个连续附图的说明可参考来自先前附图中的一个或多个的特征，以提供更清楚的上下文和对当前实例性实施例的更具体解释。尽管如此，详细说明、附图和权利要求中所述的实例性实施例并非旨在加以限制。也可使用其他实施例，并且可进行其他改动，此并不背离本文所呈现的主题的精神或范围。应当容易理解，本文大体阐述和附图所示的本发明的各方面可以各种各样的不同配置进行配置、取代、组合、分离和设计，所有这一切都被明确地涵盖在本文中。
本文所述实施例提供一种智能安全存储器，所述智能安全存储器通过提供为常规主机计算装置所共有的包括识别、验证、访问控制和硬件加密/解密在内的所有安全特征来与常规主机计算装置以及越来越普遍存在的智能装置介接。本文所述的实施例使用通过主机通信信道和智能装置接口信道以有线、无线和生物识别方式在智能装置上装载和/或操作的访问应用程序。
图2显示根据本文所述实例中的至少一些实例的智能安全存储器的实例性配置。
如本文所示，其中实施有智能安全存储器的小平面的配置200至少包括主机装置205、智能安全存储器210和智能装置240。智能安全存储器210至少包括目标模块215、安全模块220、内存225、通信模块230和智能装置接口235。智能装置240至少包括应用程序245。智能安全存储器210可通过接口通信信道243以通信方式连接至智能装置240；且智能安全存储器210可通过通信信道207以通信方式连接至主机计算装置205。尽管被示为离散的组件，但这些不同的组件可划分成更多组件、组合成更少组件或在被涵盖在所公开的主题的范围内时完全消除。此外，本领域的技术人员应当理解，每一个实例性组件可由各式各样的硬件、软件、固件或几乎其任何组合单独地和/或共同地实施。
主机计算装置205可指具有处理器、内存和输入/输出(input/output；i/o)控制器的计算机。内存可包括随机存取内存(randomaccessmemory；ram)。i/o控制器可控制i/o装置、外围装置、网络接口等。i/o装置的实例可包括使得用户能够与计算机进行交互的键盘、鼠标、显示器等。外围装置可包括用于存储操作系统(operatingsystem；os)、应用程序和数据的例如磁盘驱动器等大容量存储装置。网络接口可将计算机介接至网络，如lan、因特网等。网络接口可以是有线网络接口或无线网络接口。主机计算装置205和与智能安全存储器210对应的目标内存225之间的逻辑连接取决于经由开关选择237对与智能装置240对应的访问应用程序245的操作。
智能安全存储器210可指与一个或多个本地服务器对应或与云计算环境对应的数据存储器。在至少一个替代实施例中，智能存储器210可为便携式的。此外，在至少一个实施例中，智能安全存储器210可包括一个或多个物理内存集成电路或芯片。
目标模块215可指被设计、编程和/或配置成至少处理经由通信模块230从主机计算装置205接收和/或经由通信信道213从智能装置240接收的高级存储功能和安全功能的模块或组件。高级存储功能的非限制性实例包括对存储在内存225上的数据的存储探测和访问。高级存储功能可被传递至安全模块220以供进一步处理。
安全模块220可指被设计、编程和/或配置成至少促成或执行安全功能以保护存储在内存225上的数据的模块或组件。这种安全功能的非限制性实例为数据的加密/解密。安全模块220也可根据至少一些实施例被设计、编程和/或配置成充当目标模块215通过其与内存225进行通信的导线管。
当通过安全模块220、与安全模块220协作或在安全模块220的指令下促成或执行时，安全功能包括几个阶段，包括(但不限于)初始化、安全操作、安全预备、安全重置、口令验证、口令更改、存储输入操作和存储输出操作。同样通过安全模块220、与安全模块220协作或在安全模块220的指令下促成或执行的这些功能阐述如下：
初始化：在智能安全存储器210的启动期间，开关选择237可启用信道231和信道213之间的业务流。可忽略经由信道207来自/去往主机计算装置205的业务流。智能装置接口235具有局部智能且经由信道243以通信方式连接至智能装置240；智能装置接口235被设计、编程和/或配置成处理智能安全存储器210和智能装置240之间的命令、状态、输入和输出；且智能装置接口235被设计、编程和/或配置成使用开关选择237来控制信道231和信道213之间或信道207和信道213之间的三向业务流。
安全重置：使用访问应用程序245，智能装置240的用户可执行智能安全存储器210的软重置或硬重置。意即，可删除任何关于智能安全存储器210的安全相关信息。
安全操作：安全模块220可被设计、编程和/或配置成产生并处理来自智能装置240和智能安全存储器210的一个或多个高级安全请求。高级安全请求可通过信道243、231和213路由至目标模块215。目标模块215随后可根据安全请求经由信道217和/或信道223以通信方式连接至安全模块225。此类高级安全请求的非限制性实例包括：散列口令、口令验证、口令更改、安全重置。
安全模块220可被设计、编程和/或配置成产生并处理来自智能装置240和主机计算装置205中的一者或两者的一个或多个高级存储请求。高级存储请求可通过信道243、信道231和信道213；或者信道207和信道213路由至目标模块215。目标模块215可接着根据存储请求经由信道217和/或信道223以通信方式连接至安全模块225。此类高级存储请求的非限制性实例包括：存储识别、存储命令、存储状态、存储输入操作、存储输出操作。
安全预备：当首先通过与智能装置240(与智能装置接口235介接)上的访问应用程序245的用户交互来访问智能安全存储器210时，发出要创建并确认用户定义口令(例如：pswd0)的请求。如上所述，安全模块220可被设计、编程和/或配置成促成或执行安全功能以保护存储在内存225上的数据。因此，呈密码或生物识别签名的形式的口令pswd可接着经由通信信道243传输至智能安全存储器210，通过单向散列引擎hash散列成hash_pswd0＝hash(pswd0)，并且存储在智能安全存储器210中的非安全区域中。然后可调用安全模块220中的或与安全模块220对应的随机数生成程序ran()，并且可产生随机密钥ran_key0＝ran_key0。口令pswd0可接着由双向对称加密引擎enc_1用密钥ran_key0来进行加密，以创建加密密钥pswd0_ran_key0＝enc_1(pswd0,ran_key0)。加密密钥也可存储在智能安全存储器210中的非安全区域中。
实际口令pswd0和随机密钥ran_key0都不存储在智能安全存储器210上。单向散列引擎hash和双向对称加密引擎enc_1使得几乎不可能从散列口令hash_pswd0和加密密钥pswd0_ran_key0的存储信息中恢复原始口令pswd0和随机密钥ran_key0。因此，安全性在智能安全存储器210上得以实现。在完成安全预备阶段之后，智能安全存储器210随着安全性启用而准备使用。如果需要，内存225可根据访问应用程序245的指令被分割成安全区域和非安全区域/公共区域。
口令验证：当智能安全存储器210已预备好时，其准备使用。智能装置240的用户可与访问应用程序245介接以输入口令pswd1，所述口令pswd1可与口令验证的安全请求一起传输至目标模块215。目标模块可被设计、编程和/或配置成对照hash(pswd1)的新的散列值以检查所存储的散列口令hash_pswd0。正比较致使口令pswd1得到验证。安全模块220可进一步被设计、编程和/或配置成检索加密随机密钥pswd0_ran_key0并且执行解密以恢复随机密钥ran_key1＝dec_1(pswd1,pswd0_ran_key0)。如果输入的口令pswd1与原始口令pswd0匹配，则ran_key1与原始随机密钥ran_key0相同。
口令更改：智能装置240的用户可与访问应用程序245介接，以更改向智能安全存储器210登记的或在智能安全存储器210中登记的口令。用户可与访问应用程序245介接，以通过输入pswd1以及新的且经确认的口令pswd2来输入当前(例如：原始)登记口令。类似于口令验证，pswd2可通过检查散列值hash_pswd1＝hash(pswd1)是否与hash_pswd0的存储值匹配来加以验证。一旦口令pswd1得到验证，则加密密钥pswd0_ran_key0＝enc_1(pswd0,ran_key0)可被检索。可执行对称解密操作ran_key0＝dec_1(pswd1,pswd0_ran_key0)。继而通过双向对称加密引擎enc_1用新的且经确认的口令pswd2来加密所恢复的随机密钥ran_key0。此操作生成新的加密随机密钥pswd0_ran_key0＝enc_1(pswd2,ran_key0)。接着，智能安全存储器210准备操作。
对于存储输出操作，根据开关选择237的状态，从智能装置240或从主机计算装置205接收原始数据data0。原始数据data0可通过信道213路由至目标模块215。与原始随机密钥ran_key0相同的所恢复的随机密钥ran_key1可提供至与安全模块220对应的数据双向对称加密引擎enc_d，以加密从信道217流向信道223的数据ran_key0_data0＝enc_d(ran_key1,data0)，并且向内存225写入。存储在内存225中的加密数据以ran_key0_data0的形式写入。
对于存储输入操作，与原始随机密钥ran_key0相同的所恢复的随机密钥ran_key1可提供至与安全模块220对应的数据双向对称解密引擎dec_d，以解密从内存225通过信道223流向信道217的数据ran_key0_data0。经解密数据data0＝dec_d(ran_key1,ran_key0_data0)可最终通过信道213路由至通信模块230，并且根据开关选择237的状态回到智能装置240或主机计算装置205中的任一者。
内存225可指被设计、编程和/或配置成至少存储要由至少智能装置240以及主机计算装置205访问的数据的非易失性内存存储器，如闪存、固态磁盘(solidstatedisk；ssd)或硬盘。
通信模块230可指一种模块或组件，其被设计、编程和/或配置成至少促成或执行主机计算装置205和与智能安全存储器210对应的包括通信模块230本身在内的一个或多个组件之间，经由通信信道207的通信。
通信模块230的非限制性实例可包括有线连接、无线连接或生物识别接口，且都被设计、编程和/或配置成促成主机计算装置205和与智能安全存储器210对应的一个或多个组件之间，经由通信信道207的通信。通信模块230可经由信道231以通信方式连接至智能装置接口235。
智能装置接口模块235可指一种模块或组件，其被设计、编程和/或配置成至少促成或执行智能装置240和与智能安全存储器210对应的一个或多个组件之间的，经由信道243的交互(意即，介接)。
智能装置接口235的非限制性实例可包括有线连接、无线连接或生物识别接口，且都被设计、编程和/或配置成促成智能装置240和与智能安全存储器210对应的一个或多个组件之间，经由通信信道243的通信。
本文所述各个通信信道的实例可包括有线连接、无线连接或生物识别接口中的任何一者或多者，包括(但不限于)usb、闪电(lightning)、c型、lan、wifi、霹雳(thunderbolt)、wan、指纹扫描仪、视网膜扫描仪、面部识别、音频识别等。
可由智能装置接口235控制的开关选择237可指被设计、编程和/或配置成决定三个通信信道207、213和231之间的业务方向的模块或组件。
智能装置240可指可经由信道243以通信方式连接至智能安全存储器210的处理器启用装置，包括(但不限于)移动装置，如笔记本、膝上型计算机、智能手机、平板等。
访问应用程序245可指一种基于逻辑的模块或组件，其被设计、编程和/或配置成在智能装置240的控制下促成或执行对智能安全存储器210的识别、验证和/或访问控制。值得注意的是，主机计算装置205没有对应于访问应用程序245的副本，且因此不能控制智能安全存储器210的访问控制功能中的一个或多个。如上所述，主机计算装置205和目标的内存225之间的逻辑连接取决于访问应用程序245经由开关选择237的操作。在由智能装置240经由访问应用程序245促成或执行安全功能之后，主机计算装置205在对内存225的探测和访问中执行存储功能。
作为非限制性实例，可由访问应用程序245与安全模块220协作促成和/或控制的识别、验证和访问控制功能可包括智能安全存储识别、初始化、配置、密钥产生、口令初始化、修改和/或验证。对存储在内存225上的数据的硬件加密/解密可通过安全模块220促成或执行。
访问应用程序245可在智能装置240上启动。智能装置240的用户可通过输入口令和/或通过使用与智能装置240对应的传感器(意即，视网膜扫描仪、指纹读取器等)的生物识别验证在访问应用程序245上得到验证。在验证用户之后，智能装置240可经由通信信道243以通信方式连接至智能安全存储器210。智能装置240可接着经由开关选择237对智能安全存储器210的功能进行优选级控制。举例来说，可检索用于控制安全模块220内部的加密/解密操作的随机的密钥。所述密钥可接着用于加密或解密在安全模块220和内存225之间传递的数据。然后，可从内存225检索或在内存225存储来自智能装置240或主机计算装置205中的任一者的数据。
通信业务可从信道231通过通信模块230然后通过信道213流向目标模块215。内存225的安全功能可通过与智能装置240对应的访问应用程序245的操作来促成或执行。此外，对存储在内存225中的数据的硬件加密/解密可由安全模块220同样在访问应用程序245的控制下来促成或执行。安全地存储在内存225上的数据可在存储功能下通过访问应用程序245的控制来探测和访问。
根据至少一些实施例，即使通信信道207以通信方式连接至智能安全存储器210，主机计算装置205最初仍不具有对智能安全存储器210的逻辑访问。因此，如上所述，一旦用户通过访问应用程序245在智能装置240上得到验证，则开关选择237可经由智能装置接口235通过用户命令或自动地加以改变。如果开关选择237被改变成转而启用信道207和213之间的通信，则主机计算装置205可对存储在内存模块225中的安全数据进行相同的逻辑探测和访问，正如智能装置和内存模块225之间通过目标模块215和安全模块220在存储功能下的操作的上述安全操作。
当信道207的通信连接在逻辑上断开或智能安全存储器210断电时，开关选择237可恢复到其原始状态，以关断逻辑通信信道207，并且选择智能装置240作为合法的主机装置。包括对智能安全存储器210的识别、验证和访问控制在内的所有操作均需要识别、验证、访问控制的另一迭代，以便访问内存225上的安全数据。存储在内存225中的加密数据保持不变，直到访问应用程序245执行经授权的安全重置。
根据上文，应当理解，本文已阐述本发明的各种实施例以用于例示目的，并且在不背离本发明的范围和精神的前提下，可进行各种修改。因此，本文所公开的各种实施例并非旨在加以限制，其真实范围和精神由以上权利要求书指示。
主要元件标记说明
105：主机计算装置
110：模块式装置
115：安全模块
130：实用应用程序
145：用户输入模块
200：配置
205：主机装置
207：通信信道/信道
210：智能安全存储器
213、217、223、231：信道
215：目标模块
220：安全模块
225：内存
230：通信模块
235：智能装置接口/智能装置接口模块
237：开关选择
240：智能装置
243：接口通信信道/信道/通信信道
245：访问应用程序