存储装置、鉴权端及加密存储设备的制作方法

本申请涉及数据存储与数据安全领域，特别是涉及一种存储装置、鉴权端及加密存储设备。

背景技术：

传统的加密移动硬盘，无论是采用密码键盘、指纹加密，或者pc(personalcomputer，个人计算机)登录的方式，表面上看都需要验证用户身份后，才能访问加密的存储空间，实际上都存在着各种程度上的安全隐患。例如密码键盘，存在着密码容易泄露，一旦被窥视，数据不再安全；又例如指纹加密，存在着指纹可能被复制，或者指纹存在概率上误识别的可能，无法胜任极端的安全要求；又例如pc登录的方式，存在登录密码容易被病毒软件拦截，钩子拦截，usb(universalserialbus，通用串行总线)数据伪造等风险。

技术实现要素：

为了解决上述问题，本申请提供一种存储装置、鉴权端及加密存储设备，将存储装置与鉴权端单独设置，避免一体化，解决了现有技术中一体设置时容易被破解的问题，通过存储装置与鉴权端的双向验证，保证存储装置与鉴权端的匹配。并且存储装置与鉴权端形成的通信通道使鉴权信息的传输更加安全可靠不可伪造，提高了数据存储的安全性。

本申请采用的一种技术方案是提供一种存储装置，该存储装置包括：存储器，用于存储数据；控制芯片，与存储器电连接；第一通信接口，与控制芯片电连接，并可用于与鉴权端进行通信连接；其中，当第一通信接口与鉴权端通信连接时，控制芯片用于在与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对存储器的数据进行加密或解密。

其中，存储装置还包括第二通信接口，第二通信接口与控制芯片电连接，并可用于与外部主机通信连接；

其中，当第二通信接口与外部主机相连接时，控制芯片用于在检测第一通信接口与鉴权端通信连接且与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对外部主机的数据进行加密存储至存储器或将存储器的数据进行解密传输至外部主机。

其中，第一通信接口为第一usb接口或tf卡接口或第一雷电接口；和/或第二通信接口为第二usb接口或者第二雷电接口。

其中，控制芯片包括：微控制单元，与存储器和第一通信接口电连接；存储单元，用于存储公钥，公钥与鉴权端存储的私钥相匹配，用于在与鉴权端进行相互认证时对进行验证的信息加密或解密。

其中，存储装置还包括前壳体、下壳体、后壳体、上壳体、中框和电路板；其中，控制芯片和第一通信接口设置与电路板上；电路板上设置有第三通信接口，第三通信接口与存储器通信连接，用于与存储器进行数据存储或读取；存储器设置于中框内，前壳体、下壳体、后壳体、上壳体形成一容置腔体，用于容置中框、电路板、存储器。

本申请采用的另一种技术方案是提供一种鉴权端，该鉴权端包括：存储器，用于存储鉴权信息；控制芯片，与存储器电连接；通信接口，与控制芯片电连接，用于与存储装置进行通信连接；其中，当通信接口与存储装置通信连接时，控制芯片用于在与存储装置相互认证通过后，从存储器中获取鉴权信息并向存储装置提供鉴权信息。

其中，存储器还用于存储私钥，私钥与存储装置存储的公钥相匹配，用于在与存储装置进行相互认证时对进行验证的信息加密或解密。

其中，通信接口为usb接口或tf卡接口或雷电接口。

其中，鉴权端还包括帽盖、外壳、电路板、后盖；其中，控制芯片、存储器和通信接口设置于电路板上；外壳包括第一容置腔体和第二容置腔体，第一容置腔体和第二容置腔体贯通，且与后盖连接，用于容置控制芯片、存储器、通信接口和电路板；帽盖与外壳可拆卸连接。

本申请采用的另一种技术方案是提供一种加密存储设备，该加密存储设备包括：存储装置，存储装置包括：第一控制芯片；第一存储器，与第一控制芯片电连接，用于存储数据；第一通信接口，与第一控制芯片电连接，用于与鉴权端进行通信连接；鉴权端，与存储装置通信连接，鉴权端包括：第二控制芯片；第二存储器，与第二控制芯片电连接，用于存储鉴权信息；第二通信接口，与第二控制芯片电连接，用于与存储装置的第一通信接口进行通信连接；其中，当第一通信接口与第二通信接口通信连接时，存储装置用于在与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对第一存储器的数据进行加密或解密。

本申请的有益效果是：区别于现有技术的情况，本申请的一种存储装置，该存储装置包括：存储器，用于存储数据；控制芯片，与存储器电连接；第一通信接口，与控制芯片电连接，并可用于与鉴权端进行通信连接；其中，当第一通信接口与鉴权端通信连接时，控制芯片用于在与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对存储器的数据进行加密或解密。通过上述方式，将存储装置与鉴权端单独设置，避免一体化，解决了现有技术中一体设置时容易被破解的问题，通过存储装置与鉴权端的双向验证，保证存储装置与鉴权端的匹配。并且存储装置与鉴权端形成的通信通道使鉴权信息的传输更加安全可靠不可伪造，提高了数据存储的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。其中：

图1是本申请提供的存储装置第一实施例的结构示意图；

图2是本申请提供的存储装置第二实施例的结构示意图；

图3是本申请提供的存储装置中控制芯片的结构示意图；

图4是本申请提供的存储装置第三实施例的结构示意图；

图5为前壳体的结构示意图；

图6为电路板的结构示意图；

图7为硬盘的结构示意图；

图8为按照图4组装后的存储装置的结构示意图；

图9是本申请提供的鉴权端第一实施例的结构示意图；

图10是本申请提供的鉴权端第二实施例的结构示意图；

图11为外壳的结构示意图；

图12为按照图10组装后的鉴权端的透视结构示意图；

图13是本申请提供的加密存储设备第一实施例的结构示意图；

图14是本申请提供的加密存储设备中存储装置和鉴权端的结构示意图；

图15是本申请提供的加密存储设备第二实施例的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述。可以理解的是，此处所描述的具体实施例仅用于解释本申请，而非对本申请的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本申请相关的部分而非全部结构。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在本文中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域技术人员显式地和隐式地理解的是，本文所描述的实施例可以与其它实施例相结合。

参阅图1，图1是本申请提供的存储装置第一实施例的结构示意图。该存储装置10包括存储器11、控制芯片12、第一通信接口13。其中，存储器11用于存储数据，控制芯片12与存储器11电连接，第一通信接口13与控制芯片12电连接，并可用于与鉴权端进行通信连接。

在一些实施例中，该控制芯片12可以为fpga(field－programmablegatearray)芯片，该控制芯片12中可以安装有操作系统，例如可以是linux系统，该控制芯片12可以加载不同的bit文件来配置fpga芯片。另外，该控制芯片12还可以用于对存储器11进行访问，以实现对存储器11中的数据的读、写和擦除操作。

在一些实施例中，该控制芯片12可以为mcu(microcontrollerunit)芯片，该控制芯片12是把中央处理器(centralprocessunit；cpu)的频率与规格做适当缩减，并将内存(memory)、计数器(timer)、usb、a/d转换、uart(universalasynchronousreceiver/transmitter，通用异步收发传输器)、plc(programmablelogiccontroller，可编程逻辑控制器)、dma(directmemoryaccess，直接存储器访问)等周边接口整合于一身。该控制芯片12还可以用于对存储器11进行访问，以实现对存储器11中的数据的读、写和擦除操作。

在一些实施例中，控制芯片12还可以是dsp(digitalsignalprocess)芯片。

可以理解，上述控制芯片类型仅仅是举例，并不限制本申请控制芯片类型。

其中，当第一通信接口13与鉴权端通信连接时，控制芯片12用于在与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对存储器11的数据进行加密或解密。

在一些实施例中，控制芯片12具体用于向鉴权端发送第一验证信息，以使鉴权端生成第二验证信息，并反馈第一验证信息和第二验证信息；对反馈的第一验证信息进行第一验证；在第一验证通过后，将反馈的第二验证信息发送给鉴权端，以使鉴权端对第二验证信息进行第二验证，并在第二验证通过后，利用第一验证信息对鉴权信息进行加密，并反馈至存储装置；对鉴权信息进行解密，以利用鉴权信息对存储装置中存储的数据进行加密或解密。

其中，存储装置10和鉴权端上均设置有通信模组，利用通信模组之间连接以进行数据通信。通信连接的方式可以是蓝牙通信、rfid(radiofrequencyidentification，射频识别)。当存储装置与鉴权端之间的距离小于预设距离时，存储装置与鉴权端进行数据通信。如预设距离为0cm、0.5cm、1cm、10cm、50cm、100cm等。进一步，存储装置10的通信模组相当于第一通信接口13。

进一步，鉴权端有第二通信接口，第一通信接口13与第二通信接口电连接。例如，鉴权端的第二通信接口直接插设于存储装置10的第一通信接口13上，以完成电连接；鉴权端的第二通信接口插设于数据线的一端，数据线的另一端插设于存储装置10的第一通信接口13上，以完成电连接。其中，当鉴权端拔出时，鉴权端与存储装置10的通信连接断开。

可选的，第一通信接口13可以是usb接口、tf卡接口、雷电接口，鉴权端的第二通信接口与第一通信接口相对应。

其中，第一验证信息包括存储装置10的序列号或者uid(useridentification，用户身份证明)。在存储装置10与鉴权端通信连接时，控制芯片12通过第一通信接口13向鉴权端发送第一验证信息以使鉴权端验证存储装置10的序列号或者uid是否正确，若正确则生成第二验证信息，并反馈第一验证信息和第二验证信息。其中，第二验证信息包括鉴权端的序列号或者uid。

进一步，反馈的第一验证信息在传输过程中有可能被篡改，如在存储装置10发送给鉴权端第一验证信息时，第一验证信息被其余恶意设备截获，并由恶意设备对存储装置10反馈第一验证信息。此时，存储装置10就处于不安全状态，因此，存储装置10对反馈的第一验证信息进行验证，以确保接收到的验证信息来自与之匹配的鉴权端。

进一步，反馈的第一验证信息并不是存储装置发送的第一验证消息的所有内容，如存储装置发送的第一验证消息包括身份信息和验证信息，在鉴权端验证身份信息后，不必将身份信息再反馈至控制芯片12。

进一步，反馈的第一验证信息也不必须是全部的第一验证消息，如第一验证消息为一个128位的随机数，则反馈第一验证消息时，将128随机数的随机数拆分为两个64位的数字，拆分原则为直接将数字拆分，而不是将数值拆分，当接收任一个64位数字时，将其与那个128位的随机数进行匹配，若匹配上前64个数字或后64个数字，则确认第一验证通过。以一个6位数“123456”为例，将其拆分为“123”和“456”，即只进行位数的拆分。将“123”反馈给控制芯片12，控制芯片12验证发现与“123456”的前三个数字重合，则验证通过。

进一步，反馈的第二验证信息在传输过程中有可能被篡改，如在鉴权端反馈给控制芯片12第二验证信息时，第二验证信息被其余恶意设备截获，并由恶意设备对鉴权端反馈第二验证信息。此时，鉴权端就处于不安全状态，因此，鉴权端对反馈的第二验证信息进行验证，以确保接收到的验证信息来自与之匹配的存储装置10。

进一步，反馈的第二验证信息并不是鉴权端发送的第二验证消息的所有内容，如鉴权端发送的第二验证消息包括身份信息和验证信息，在存储装置验证身份信息后，不必将身份信息再反馈至鉴权端。

进一步，反馈的第二验证信息也不必须是全部的验证消息，如第二验证消息为一个128位的随机数，则反馈第二验证消息时，将128随机数的随机数拆分为两个64位的数字，拆分原则为直接将数字拆分，而不是将数值拆分，当接收任一个64位数字时，将其与那个128位的随机数进行匹配，若匹配上前64个数字或后64个数字，则确认第二验证通过。以一个6位数“123456”为例，将其拆分为“123”和“456”，即只进行位数的拆分。将“123”反馈给鉴权端，鉴权端验证发现与“123456”的前三个数字重合，则验证通过。

进一步，在第二验证通过后，鉴权端利用之前接收到的第一验证消息对鉴权信息进行加密，并反馈至控制芯片12。其中，鉴权信息被用于控制芯片12对存储器11存储的数据进行加密或解密。

在控制芯片12接收到加密后的鉴权信息后，对鉴权信息进行解密，以利用鉴权信息对存储器11存储的数据进行加密或解密。可选的，控制芯片12利用之前已经生成的第一验证信息作为密钥将鉴权端发送的加密数据进行解密，以得到鉴权信息。然后控制芯片12利用该鉴权信息对存储器11存储的数据进行加密或解密。

在一些实施例中，存储器11可以是机械硬盘(hdd，harddiskdrive)或固态硬盘(ssd，solidstatedrive)。其中，存储器上设置有通信接口，与控制芯片12通信连接。

在一些实施例中，存储装置10为加密移动硬盘，如加密移动机械硬盘、加密移动固态硬盘。在使用时配合鉴权端使用，通过与鉴权端双向认证后获取鉴权端提供的鉴权信息对存储的数据进行加密或解密。鉴权端和存储装置10能够便于携带并提高了数据存储的安全性。

区别于现有技术的情况，本申请的一种存储装置，该存储装置包括：存储器，用于存储数据；控制芯片，与存储器电连接；第一通信接口，与控制芯片电连接，并可用于与鉴权端进行通信连接；其中，当第一通信接口与鉴权端通信连接时，控制芯片用于在与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对存储器的数据进行加密或解密。通过上述方式，将存储装置与鉴权端单独设置，避免一体化，解决了现有技术中一体设置时容易被破解的问题，通过存储装置与鉴权端的双向验证，保证存储装置与鉴权端的匹配。并且存储装置与鉴权端形成的通信通道使鉴权信息的传输更加安全可靠不可伪造，提高了数据存储的安全性。

参阅图2，图2是本申请提供的存储装置第二实施例的结构示意图，该存储装置10包括存储器11、控制芯片12、第一通信接口13和第二通信接口14。其中，存储器11用于存储数据，控制芯片12与存储器11电连接，第一通信接口13与控制芯片12电连接，并可用于与鉴权端进行通信连接，第二通信接口14与控制芯片12电连接，并可用于与外部主机通信连接。

在一些实施例中，外部主机可以是pc(personalcomputer，个人计算机)，电视机、手机、机顶盒等。

在一些实施例中，第一通信接口为usb接口、tf卡接口、雷电接口中任意一种，第二通信接口为usb接口、雷电接口中任意两种中任意一种。

在一些实施例中，第一通信接口和第二通信接口可以为上述接口中的同一种接口，如均为usb接口或雷电接口。

参阅图3，图3是本申请提供的存储装置中控制芯片的结构示意图，该控制芯片12包括微控制单元121和存储单元122。

其中，微控制单元121与存储器11、第一通信接口13和第二通信接口14电连接。

其中，存储单元122用于存储公钥。该公钥与鉴权端存储的私钥相匹配，用于在与鉴权端进行相互认证时对进行验证的信息加密或解密。

具体地，控制芯片12用于在第一通信接口13与鉴权端通信连接时，利用存储单元122存储的公钥对第一验证信息进行加密形成第一加密信息。其中，第一验证信息包括第一随机数和第二随机数。第一随机数和第二随机数的长度根据实际需要进行设置，如设置为32位、64位、128位、256位或512位。第一随机数和第二随机数的长度可以相同，也可以不相同。进一步，利用存储单元122存储的公钥对身份信息和第一验证信息进行加密形成第一加密信息。身份信息为存储装置10或控制芯片12的唯一序列号或者uid。

然后通过第一通信接口13向鉴权端发送第一加密信息，以使鉴权端利用与存储单元122存储的公钥对应的私钥解密得到第一验证信息，并生成第二验证信息，利用私钥对第一验证信息和第二验证信息进行加密得到第二加密信息，并反馈第二加密信息。其中，存储单元122存储的公钥和鉴权端的私钥可以通过匹配的非对称加密算法生成，如，rsa(rsaalgorithm，rsa加密算法)、elgamal、背包算法、ecc(椭圆曲线加密算法)。

进一步，当第一加密信息中包括身份信息和第一验证信息时，控制芯片12通过第一通信接口13向鉴权端发送第一加密信息，以使鉴权端利用与公钥对应的私钥解密得到身份信息和第一验证信息，并在对身份信息验证通过后，生成第二验证信息，利用私钥对第一验证信息和第二验证信息进行加密得到第二加密信息，并反馈第二加密信息。其中，在鉴权端对身份信息进行验证时，利用的是鉴权端已存储的身份信息进行匹配，如存储装置和鉴权端在出厂时已注入了对应的身份信息进行关联，以使在配对时能够通过身份信息的关联进行匹配。

在一些实施例中，控制芯片12通过第一通信接口13向鉴权端发送第一加密信息，以使鉴权端利用与存储单元122存储的公钥对应的私钥解密得到第一随机数和第二随机数，并生成第三随机数，利用私钥对第一随机数和第三随机数进行加密得到第二加密信息，并反馈第二加密信息。

进一步，将第一随机数和第二随机数中选择第一随机数加密反馈，可以避免在传输过程中随机数被盗取，且被恶意设备用于向存储装置通信的风险。

然后，控制芯片12利用存储单元122存储的公钥对第二加密信息进行解密得到第一随机数和第三随机数。由于存储装置10的公钥与鉴权端的私钥为一对密钥，可以相互解密对方通过公钥或私钥加密的信息。

然后，控制芯片12对第一随机数进行第一验证。其中，由于控制芯片12中在之前已生成第一随机数，所以在此验证解密鉴权端发送的第二加密信息中的第一随机数，可以保证鉴权端的安全性。

其次，在第一验证通过后，利用存储单元122存储的公钥对第三随机数加密得到第三加密信息，并发送给鉴权端，以使鉴权端对第三加密信息解密得到第三随机数并进行第二验证，并在第二验证通过后，利用第二随机数对鉴权信息进行加密得到第四加密信息，并反馈至控制芯片12。其中，在第一验证通过后，保证了鉴权端的安全性，然后利用存储单元122存储的公钥对第三随机数加密得到第三加密信息，并发送给鉴权端，以使鉴权端对第三加密信息解密得到第三随机数并进行第二验证。进行第二验证是为了保证存储装置的安全性，避免接收到恶意设备的信息。

进一步，第二验证主要是验证控制芯片12发送的第三加密信息是否与鉴权端发送的第三随机数一致，若一致，则可确定发送第二加密信息的设备为存储装置10。

然后鉴权端使用第二随机数作为密钥，将鉴权信息加密得到第四加密信息，并反馈至控制芯片12。

然后控制芯片12利用第二随机数对第四加密信息解密得到鉴权信息。由于第二随机数是由控制芯片12产生的，且在上述的交互过程中仅仅只传输过一次，能够最大程度的保证其安全性和未被截获。其中，鉴权端使用第二随机数作为密钥，将鉴权信息加密得到第四加密信息以及控制芯片12利用第二随机数对第四加密信息解密得到鉴权信息的过程可以使用对称加密算法实现，将第二随机数作为密钥，以便于鉴权端和控制芯片12加密或解密。

进一步，控制芯片12和鉴权端使用的对称加密算法可以是aes(advancedencryptionstandard，高级加密标准)、des(dataencryptionstandard，数据加密标准)算法，3des(tripledataencryptionalgorithm，三重数据加密)算法，blowfish算法，idea(internationaldataencryptionalgorithm，国际数据加密算法)算法、国密sm4算法。

最后，控制芯片12利用鉴权信息对存储装置中存储的数据进行加密或解密。这里的鉴权信息也是一个密钥，用于对存储装置中存储的数据进行加密或解密。

当第二通信接口14与外部主机通信连接时，控制芯片12用于在检测第一通信接口13与鉴权端通信连接且与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对外部主机的数据进行加密存储至存储器11或将存储器11的数据进行解密传输至外部主机。

在一些应用场景中，我们在设备端枚举为两个存储装置，一个是普通存储装置，不需要进行权限验证，数据不加密，速度更快；另外一个是本申请提供的存储装置10，日常使用并不会上盘，感知不到，隐蔽度更高，只有当鉴权端与存储装置10双向验证且存储装置10获取到鉴权信息后才会使用该存储装置进行数据加密或解密。

在一些实施例中，鉴权端可以制作为u盘的形态，具有便携性和隐蔽性。鉴权端与存储装置10通过type-c插头进行连接，内部使用iso7816协议通讯，通讯内容使用rsa非对称算法进行保护，避免被监听和篡改。鉴权端里保存了rsa算法所需的私钥，以及存储装置10中数据加解密所需的鉴权信息，只有在鉴权端与存储装置10之间进行双向验证通过后，鉴权端才会向存储装置10提供这个鉴权信息。

在一些实施例中，鉴权端与存储装置10根据实际的连接方式采用相应的通讯协议，如鉴权端与存储装置10通过usb的方式连接，可采用usb1.1、usb2.0、usb3.0等通讯协议。

可以理解，鉴权端与存储装置10之间的通讯协议根据实际需求进行设置，这里不做限制。

在一实施例中，存储装置10和鉴权端在制造过程中，进行匹配和存储装置10写入以上所述的公钥，鉴权端写入以上所述的私钥和鉴权信息，并且在所有密钥和鉴权信息分发后不留存档，根本上杜绝制造商可以进入的后门。

在本实施例中，通过将存储装置10和鉴权端单独设置，在进行通信连接后，通过存储装置10和鉴权端产生的随机数进行两次相互验证，避免在通讯过程被监听和篡改的危险，保证了存储装置10和鉴权端的双向通信安全，且存储装置10加密后的数据无法在没有鉴权端的情况下被读取，保证了数据的安全。

进一步，本实施例具有安全级别高，不存在现有技术条件下可以破解的可能性，即使知道所有的加解密流程和公钥存储位置，无法拿到鉴权端的情况下，不存在破解的可能性。并且鉴权信息的传输通道安全可靠不可伪造。另外，存储装置10与鉴权端使用简单，无需预设密码，且适用的主机没有限制，相比传统指纹、键盘加密款，安全级别更高。

参阅图4，图4是本申请提供的存储装置第三实施例的结构示意图，存储装置20包括前壳体21、下壳体22、后壳体23、上壳体24、中框25、电路板26、硬盘22、减震元件28。

其中，电路板26与硬盘22连接。减震元件28设置于硬盘22两侧，然后将硬盘22与减震元件28设置于中框25内。减震元件28可以是硅胶材质，有较好的减震效果，保护硬盘。然后利用前壳体21、下壳体22、后壳体23、上壳体24形成一容置腔体，将中框25、电路板26与硬盘22容置于该容置腔体内。

具体地，参阅图5，图5为前壳体的结构示意图，前壳体21包括第一开口211、第二开口212、底壁213和侧壁214。其中，底壁213和侧壁214围设形成一容置腔体，第一开口211、第二开口212设置于底壁213上。

参阅图6，图6为电路板的结构示意图，电路板26包括第一通信接口261、第二通信接口262、第一控制芯片263和第三通信接口264。其中，第一通信接口261与鉴权端通信连接，第二通信接口262与外部主机通信连接。第三通信接口264与硬盘22通信连接，用于与硬盘22进行数据通信。第一控制芯片263与第一通信接口261、第二通信接口262、第三通信接口264电连接，用于控制第一通信接口261与鉴权端通信，以进行相互认证，并获取鉴权端传输的鉴权信息。在获取到鉴权信息后，控制第二通信接口262与外部主机进行数据通信，利用鉴权信息将与外部主机进行数据通信的数据进行加密，然后通过第三通信接口264传输至硬盘22进行存储，或者通过第三通信接口264与硬盘22通信得到硬盘22存储的加密数据，利用鉴权信息对加密数据进行解密，然后通过第二通信接口262传输至外部主机。

参阅图7，图7为硬盘的结构示意图，硬盘22包括第一通信接口222和电源接口22。

结合图5-图7，对前壳体、电路板、硬盘的连接关系进行说明：

前壳体21的第一开口211与电路板26的第一通信接口261适配、前壳体21的第二开口212与电路板26的第二通信接口262适配，第三通信接口264与硬盘22的第一通信接口222和硬盘22的电源接口22。

可以理解，硬盘22与上述实施例的存储器相同或相似。

将图4中前壳体21、下壳体22、后壳体23、上壳体24、中框25、电路板26、硬盘22、减震元件28。进行组装，组装完成后的结构如图8所示的存储装置20。存储装置20可用于实现上述实施例中描述的内容，且体积小巧，便于携带。

可以理解，存储装置20也可实现上述实施例中描述的内容，这里不再赘述。

参阅图9，图9是本申请提供的鉴权端第一实施例的结构示意图，该鉴权端30包括存储器31、控制芯片32和通信接口33。

其中，存储器31用于存储鉴权信息；控制芯片32与存储器31电连接；通信接口33与控制芯片32电连接，用于与存储装置进行通信连接。此处存储装置如上述实施例中的存储装置10，这里不做赘述。

其中，通信接口33为usb接口或tf卡接口或雷电接口。

在一些实施例中，该控制芯片32可以为fpga(field－programmablegatearray)芯片，该控制芯片32中可以安装有操作系统，例如可以是linux系统，该控制芯片32可以加载不同的bit文件来配置fpga芯片。另外，该控制芯片32还可以用于对存储器31进行访问，以实现对存储器31中的数据的读、写和擦除操作。

在一些实施例中，该控制芯片32可以为mcu(microcontrollerunit)芯片，该控制芯片32是把中央处理器(centralprocessunit；cpu)的频率与规格做适当缩减，并将内存(memory)、计数器(timer)、usb、a/d转换、uart(universalasynchronousreceiver/transmitter，通用异步收发传输器)、plc(programmablelogiccontroller，可编程逻辑控制器)、dma(directmemoryaccess，直接存储器访问)等周边接口整合于一身。该控制芯片32还可以用于对存储器31进行访问，以实现对存储器31中的数据的读、写和擦除操作。

在一些实施例中，控制芯片32还可以是dsp(digitalsignalprocess)芯片。

在一些实施例中，控制芯片32还可以是cpu卡芯片，卡内的集成电路中带有微处理器cpu、存储单元(包括随机存储器ram(randomaccessmemory，随机存取存储器)、程序存储器rom(flash)、用户数据存储器eeprom)以及芯片操作系统如cos(chinaoperatingsysterm)。

可以理解，上述控制芯片类型仅仅是举例，并不限制本申请控制芯片类型。

其中，当通信接口33与存储装置通信连接时，控制芯片32用于在与存储装置相互认证通过后，从存储器31中获取鉴权信息并向存储装置提供鉴权信息。

在一些实施例中，控制芯片32具体用于通过通信接口33获取存储装置发送的第一验证信息，基于第一验证信息生成第二验证信息。

其中，存储装置和鉴权端30上均设置有通信模组，利用通信模组之间连接以进行数据通信。通信连接的方式可以是蓝牙通信、rfid(radiofrequencyidentification，射频识别)。当存储装置与鉴权端30之间的距离小于预设距离时，存储装置与鉴权端30进行数据通信。如预设距离为0cm、0.5cm、1cm、10cm、50cm、100cm等。进一步，鉴权端30的通信模组相当于通信接口33。

在一些实施例中，通信连接的方式为有线连接，存储装置上设置有第一通信接口，第一通信接口与通信接口33电连接。例如，鉴权端30的通信接口33直接插设于存储装置的第一通信接口上，以完成电连接；鉴权端30的通信接口33插设于数据线的一端，数据线的另一端插设于存储装置的第一通信接口上，以完成电连接。其中，当鉴权端30拔出时，鉴权端30与存储装置的通信连接断开。

其中，通信接口33可以是usb接口或雷电接口或tf卡接口，通信接口33与存储装置的第一通信接口相对应。

进一步，第一验证信息包括存储装置的序列号或者uid(useridentification，用户身份证明)。在存储装置与鉴权端30通信连接时，存储装置向鉴权端30发送第一验证信息以使控制芯片32验证存储装置的序列号或者uid是否正确，若正确则生成第二验证信息，并反馈第一验证信息和第二验证信息。

然后控制芯片32通过通信接口33向存储装置发送第一验证信息和第二验证信息，以使存储装置对第一验证信息进行第一验证，在第一验证通过后，反馈第二验证信息。其中，在控制芯片32验证第一验证信息的数据正确后，向存储装置发送第一验证信息和第二验证信息，可选的，第二验证信息包括鉴权端30或控制芯片32的序列号或者uid。

进一步，第一验证信息在向存储装置传输过程中有可能被篡改，如在存储装置发送给鉴权端30第一验证信息时，第一验证信息被其余恶意设备截获，并由恶意设备对存储装置反馈第一验证信息。此时，存储装置就处于不安全状态，因此，存储装置对反馈的第一验证信息进行验证，以确保接收到的验证信息来自与之匹配的鉴权端30。

进一步，控制芯片32通过通信接口33向存储装置发送第一验证信息并不是存储装置发送的第一验证消息的所有内容，如存储装置发送的第一验证消息包括身份信息和验证信息，在鉴权端验证身份信息后，不必将身份信息再反馈至存储装置。

进一步，控制芯片32通过通信接口33向存储装置发送第一验证信息也不必须是全部的第一验证消息，如第一验证消息为一个128位的随机数，则向存储装置发送第一验证信息时，将128随机数的随机数拆分为两个64位的数字，拆分原则为直接将数字拆分，而不是将数值拆分，当存储装置接收任一个64位数字时，将其与那个128位的随机数进行匹配，若匹配上前64个数字或后64个数字，则确认第一验证通过。以一个6位数“123456”为例，将其拆分为“123”和“456”，即只进行位数的拆分。将“123”反馈给存储装置，存储装置验证发现与“123456”的前三个数字重合，则验证通过，则向鉴权端30反馈第二验证信息。

然后控制芯片32对第二验证信息进行第二验证。

在一些实施例中，存储装置反馈的第二验证信息在传输过程中有可能被篡改，如在控制芯片32通过通信接口33反馈给存储装置第二验证信息时，第二验证信息被其余恶意设备截获，并由恶意设备对鉴权端30反馈第二验证信息。此时，鉴权端30就处于不安全状态，因此，控制芯片32对第二验证信息进行验证，以确保接收到的验证信息来自与之匹配的存储装置。

进一步，存储装置反馈的第二验证信息并不是控制芯片32通过通信接口33发送的第二验证消息的所有内容，如控制芯片32通过通信接口33发送的第二验证消息包括身份信息和验证信息，在存储装置验证身份信息后，不必将身份信息再反馈至鉴权端30。

进一步，存储装置反馈的第二验证信息也不必须是全部的验证消息，如第二验证消息为一个128位的随机数，则反馈第二验证消息时，将128随机数的随机数拆分为两个64位的数字，拆分原则为直接将数字拆分，而不是将数值拆分，当接收任一个64位数字时，将其与那个128位的随机数进行匹配，若匹配上前64个数字或后64个数字，则确认第二验证通过。以一个6位数“123456”为例，将其拆分为“123”和“456”，即只进行位数的拆分。将“123”反馈给鉴权端，鉴权端验证发现与“123456”的前三个数字重合，则验证通过。

然后在控制芯片32对第二验证信息进行第二验证通过后，控制芯片32利用第一验证信息对鉴权信息进行加密，并通过通信接口33发送至存储装置，以使存储装置对鉴权信息进行解密，并利用鉴权信息对存储装置中存储的数据进行加密或解密。

在一些实施例中，存储器31还用于存储私钥，该私钥与存储装置存储的公钥相匹配，用于在与存储装置进行相互认证时对进行验证的信息加密或解密。

具体地，控制芯片32通过通信接口33获取存储装置发送的第一加密信息。其中，第一加密信息为存储装置利用公钥对第一验证信息加密形成的。

进一步，第一验证信息包括第一随机数和第二随机数。第一随机数和第二随机数的长度根据实际需要进行设置，如设置为32位、64位、128位、256位或512位。第一随机数和第二随机数的长度可以相同，也可以不相同。在一些实施例中，第一加密信息还包括存储装置利用公钥对身份信息和第一验证信息进行加密形成第一加密信息。身份信息为存储装置的唯一序列号或者uid。

然后控制芯片32利用存储器31存储的与公钥对应的私钥解密得到第一验证信息，并生成第二验证信息。其中，存储装置的公钥和存储器31存储的私钥可以通过匹配的非对称加密算法生成，如，rsa(rsaalgorithm，rsa加密算法)、elgamal、背包算法、ecc(椭圆曲线加密算法)。

进一步，当第一加密信息中包括身份信息和第一验证信息时，控制芯片32利用存储器31存储的与公钥对应的私钥解密得到身份信息和第一验证信息，并在对身份信息验证通过后，生成第二验证信息。

在控制芯片32对身份信息进行验证时，利用的是存储器31已存储的身份信息进行匹配，如存储装置和鉴权端30在出厂时已注入了对应的身份信息进行关联，以使在配对时能够通过身份信息的关联进行匹配，在对身份信息验证通过后，生成第二验证信息。

然后控制芯片32利用存储器31存储的私钥对第一验证信息和第二验证信息进行加密得到第二加密信息。

其中，当第一验证信息包括第一随机数和第二随机数，第二验证信息包括第三随机数时，控制芯片32利用存储器31存储的与公钥对应的私钥解密得到第一随机数和第二随机数，并生成第三随机数，控制芯片32利用私钥对第一随机数和第三随机数进行加密得到第二加密信息。在其他实施例中，可以利用私钥对第二随机数和第三随机数进行加密得到第二加密信息。

然后控制芯片32通过通信接口33向存储装置发送第二加密信息，以使存储装置利用公钥对第二加密信息进行解密得到第一随机数和第三随机数，并对第一随机数进行第一验证，在第一验证通过后，利用公钥对第三随机数加密得到第三加密信息，并反馈第三加密信息。由于存储装置的公钥与鉴权端30的私钥为一对密钥，可以相互解密对方通过公钥或私钥加密的信息。

其中，由于存储装置中在之前已生成第一随机数，所以在此验证解密鉴权端30发送的第二加密信息中的第一随机数，可以保证鉴权端30的安全性。在第一验证通过后，保证了鉴权端30的安全性，然后存储装置利用公钥对第三随机数加密得到第三加密信息，反馈第三加密信息至鉴权端30。

然后控制芯片32利用私钥对第三加密信息进行解密得到第三随机数。并对第三随机数进行第二验证。其中，进行第二验证是为了保证存储装置的安全性，避免接收到恶意设备的信息。

进一步，第二验证主要是验证存储装置发送的第三加密信息是否与控制芯片32通过通信接口33发送的第三随机数一致，若一致，则可确定发送第三加密信息的设备为存储装置。

然后，在控制芯片32进行第二验证通过后，利用第二随机数对鉴权信息进行加密得到第四加密信息，并发送至存储装置，以使存储装置利用第二随机数对第四加密信息进行解密得到鉴权信息，并利用鉴权信息对存储装置中存储的数据进行加密或解密。其中，由于第二随机数是由存储装置产生的，且在上述的交互过程中仅仅只传输过一次，能够最大程度的保证其安全性和未被截获。

进一步，控制芯片32使用第二随机数作为密钥，将鉴权信息加密得到第四加密信息以及存储装置利用第二随机数对第四加密信息解密得到鉴权信息的过程可以使用对称加密算法实现，将第二随机数作为密钥，以便于鉴权端30和存储装置加密或解密。

进一步，使用的对称加密算法可以是aes(advancedencryptionstandard，高级加密标准)、des(dataencryptionstandard，数据加密标准)算法，3des(tripledataencryptionalgorithm，三重数据加密)算法，blowfish算法，idea(internationaldataencryptionalgorithm，国际数据加密算法)算法、国密sm4算法。

这里的鉴权信息也是一个密钥，用于对存储装置中存储的数据进行加密或解密。

在一些应用场景中，我们在设备端枚举为两个存储装置，一个是普通存储装置，不需要进行权限验证，数据不加密，速度更快；另外一个是本申请提供的存储装置，日常使用并不会上盘，感知不到，隐蔽度更高，只有当鉴权端30与存储装置双向验证且存储装置获取到鉴权信息后才会使用该存储装置进行数据加密或解密。

在一些实施例中，鉴权端30可以制作为u盘的形态，具有便携性和隐蔽性。鉴权端30与存储装置通过type-c插头进行连接，内部使用iso7816协议通讯，通讯内容使用rsa非对称算法进行保护，避免被监听和篡改。鉴权端30里保存了rsa算法所需的私钥，以及存储装置中数据加解密所需的鉴权信息，只有在鉴权端30与存储装置之间进行双向验证通过后，鉴权端才会向存储装置提供这个鉴权信息。

在本实施例中，通过将存储装置和鉴权端30单独设置，在进行通信连接后，通过存储装置和鉴权端30产生的随机数进行两次相互验证，避免在通讯过程被监听和篡改的危险，保证了存储装置和鉴权端30的双向通信安全，且存储装置加密后的数据无法在没有鉴权端30的情况下被读取，保证了数据的安全。

进一步，本实施例具有安全级别高，不存在现有技术条件下可以破解的可能性，即使知道所有的加解密流程和公钥存储位置，无法拿到鉴权端30的情况下，不存在破解的可能性。并且鉴权信息的传输通道安全可靠不可伪造。另外，存储装置与鉴权端30使用简单，无需预设密码，且适用的主机没有限制，相比传统指纹、键盘加密款，安全级别更高。

在一些实施例中，存储装置为加密移动硬盘，如加密移动机械硬盘、加密移动固态硬盘。在使用时配合鉴权端30使用，通过与鉴权端30双向认证后获取鉴权端30提供的鉴权信息对存储的数据进行加密或解密。鉴权端30和存储装置能够便于携带并提高了数据存储的安全性。

区别于现有技术的情况，本申请的一种鉴权端，该鉴权端包括：存储器，用于存储鉴权信息；控制芯片，与存储器电连接；通信接口，与控制芯片电连接，用于与存储装置进行通信连接；其中，当通信接口与存储装置通信连接时，控制芯片用于在与存储装置相互认证通过后，从存储器中获取鉴权信息并向存储装置提供鉴权信息。通过上述方式，将存储装置与鉴权端单独设置，避免一体化，解决了现有技术中一体设置时容易被破解的问题，通过存储装置与鉴权端的双向验证，保证存储装置与鉴权端的匹配。并且存储装置与鉴权端形成的通信通道使鉴权信息的传输更加安全可靠不可伪造，提高了数据存储的安全性。

参阅图10，图10是本申请提供的鉴权端第二实施例的结构示意图，鉴权端40包括帽盖41、外壳42、第二通信接口43、电路板44、后盖45、控制芯片46和存储器(图未示)。

其中，控制芯片46、存储器和第二通信接口43设置于电路板44上。具体地，该电路板44可以是一块矩形或正方形的pcb(printedcircuitboard)板，第二通信接口43设置在该矩形或正方形pcb板的四个侧边中任一个上，第二通信接口43与第二控制芯片46电连接。

参阅图11对外壳42进行说明：外壳42包括第一容置腔体421和第二容置腔体422，第一容置腔体421和第二容置腔体422贯通，且与后盖连接，用于容置控制芯片46、存储器、第二通信接口43和电路板44。

帽盖41与外壳42的第二容置腔体422可拆卸连接，在鉴权端40未使用时，帽盖41与外壳42处于连接状态，在鉴权端40使用时，帽盖41与外壳42处于拆卸状态，鉴权端40插设于存储装置，通过第二通信接口43与存储装置71连接。

将帽盖41、外壳42、第二通信接口43、电路板44、后盖45、控制芯片46、存储器(图未示)进行组装，组装后的形态如图12所示，图12为鉴权端40的透视结构示意图。

可以理解，鉴权端40的结构如上述实施例中的任一鉴权端，也可实现上述实施例中描述的内容，这里不再赘述。

参阅图13，图13是本申请提供的加密存储设备第一实施例的结构示意图，该加密存储设备50包括存储装置51和鉴权端52。

其中，存储装置51和鉴权端52通信连接。

具体地，参阅图14，图14是本申请提供的加密存储设备中存储装置和鉴权端的结构示意图。

其中，存储装置51包括第一控制芯片512、第一存储器511和第一通信接口513。第一存储器511与第一控制芯片512电连接，用于存储数据。第一通信接口513与第一控制芯片512电连接，用于与鉴权端52进行通信连接。

其中，鉴权端52包括第二控制芯片522、第二存储器521和第二通信接口523。第二存储器521与第二控制芯片522电连接，用于存储鉴权信息。第二通信接口523与第二控制芯片522电连接，用于与存储装置51的第一通信接口513进行通信连接。

进一步，当第一通信接口513与第二通信接口523通信连接时，存储装置51用于在与鉴权端52相互认证通过后，利用鉴权端52提供的鉴权信息对第一存储器511的数据进行加密或解密。

在一些实施例中，本实施例中的存储装置51如上述实施例中的存储装置10，鉴权端52如上述实施例中的鉴权端40。

区别于现有技术的情况，本申请的一种加密存储设备，该加密存储设备包括：存储装置，存储装置包括：第一控制芯片；第一存储器，与第一控制芯片电连接，用于存储数据；第一通信接口，与第一控制芯片电连接，用于与鉴权端进行通信连接；鉴权端，与存储装置通信连接，鉴权端包括：第二控制芯片；第二存储器，与第二控制芯片电连接，用于存储鉴权信息；第二通信接口，与第二控制芯片电连接，用于与存储装置的第一通信接口进行通信连接；其中，当第一通信接口与第二通信接口通信连接时，存储装置用于在与鉴权端相互认证通过后，利用鉴权端提供的鉴权信息对第一存储器的数据进行加密或解密。通过上述方式，将存储装置与鉴权端单独设置，避免一体化，解决了现有技术中一体设置时容易被破解的问题，通过存储装置与鉴权端的双向验证，保证存储装置与鉴权端的匹配。并且存储装置与鉴权端形成的通信通道使鉴权信息的传输更加安全可靠不可伪造，提高了数据存储的安全性。

参阅图15，图15是本申请提供的加密存储设备第二实施例的结构示意图。加密存储设备60包括存储装置61和鉴权端62。图15中还包括数据线70，用于将存储装置与外部主机相连接。图15所示为存储装置61和鉴权端62通信连接进行工作的示意图，在未工作时，鉴权端62从存储装置61上拔除，在鉴权端62拔出后，存储装置61的鉴权信息丢失，即使数据线70将存储装置61与外部主机相连接，存储装置61也无法与外部主机通信，并对通信数据进行加密或解密。

可以理解，存储装置61的结构如上述实施例中的任一存储装置，也可实现上述实施例中存储装置涉及的内容，这里不再赘述。

可以理解，鉴权端62的结构如上述实施例中的任一鉴权端，也可实现上述实施例中鉴权端涉及的内容，这里不再赘述。

以上所述仅为本申请的实施方式，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本申请的专利保护范围内。