CN101101575A - 一种数据安全存储的方法及装置 - Google Patents

Abstract

本发明公开了一种数据安全存储的方法：在虚拟化技术下的用户***中设定一个前端虚拟设备，在虚拟机管理器中或者在独立于用户操作***的管理或服务操作***中设定一个后端服务程序，由前端虚拟设备和后端服务程序通过临时存储单元进行数据存取，所存取的数据最终隐藏在用户***不可见的硬盘区域中。同时还公开了一种基于虚拟化技术数据安全存储的装置，包括：前端虚拟设备、后端服务程序和共享内存。通过本发明为用户提供了一套安全性高、可靠性好的数据安全存储方案。本发明通过对受保护数据间接的存取，提高计算机***对受保护数据读取和存储的安全性和可靠性。

Description

一种数据安全存储的方法及装置

技术领域

本发明涉及计算机***本地数据安全存储技术，特别是指一种基于虚拟化技术的数据安全存储的方法及装置。

背景技术

目前，解决计算机***本地数据安全存储的方法主要分为加密和数据隐藏两类，本发明属于数据隐藏类。

传统的数据隐藏方法分为文件隐藏和分区隐藏两种。但是这两种隐藏方法都是只针对用户的隐藏方法，数据实际上仍然存储在于BIOS和操作***可以访问的硬盘区域中，容易被发现。

当前较为普遍的数据安全存储方法有以下3种：

HPA(Host Protection Area)方法——通过硬盘指令使硬盘的高端区域对BIOS和操作***不可见。存取数据时，通过硬盘指令对这段区域解锁，解锁成功后，用户可直接在该区域进行数据存取。

双操作***(OS，Operating System)隔离方法——利用虚拟化技术，同时运行两个相互独立的操作***。其中，一个操作***用于日常应用，另一个操作***用于实现数据安全存储。

采用固件(Firmware)对硬盘区域进行管理的方法——该方法由虚拟机管理器(VMM，Virtual Machine Manager)限制用户操作***不能看到隐藏的硬盘区域。只有Firmware通过虚拟机管理器才能实现对隐藏数据区的访问。

采用固件(Firmware)对硬盘区域进行管理的方法的数据存取实施步骤如下：

1.应用程序向驱动程序发出数据读写请求，驱动程序将请求传递给Firmware；

2.Firmware根据接收到的请求访问受保护区域中的数据；

3.Firmware把受保护区域中数据信息提供给设备驱动；

4.设备驱动显示受保护区域数据信息给用户；

5.用户以访问正常区域的方式对受保护区域中的数据进行读写，读写操作由设备管理器通过Firmware对受保护区域进行读写；

6.用户操作完成后，发送读写完成消息给驱动程序，由驱动程序将消息传递给Firmware；

7.Firmware接到消息后停止访问受保护区域。

现有的几种数据安全存储方法都还不够完善，难以满足不断发展的数据安全存储的需要。HPA方法让BIOS和操作***对加锁的硬盘区域无法访问，但是独立于BIOS的软件仍然能够发现这一区域，如软件DM。另外，当用户存取数据时，HPA区域必须处于解锁状态，此时HPA区域不再隐藏，存储于该隐藏区域内的数据将完全暴露给用户。对于双操作***隔离方法，由于运行一个操作***对硬盘、内存、CPU资源的消耗巨大，如果额外增加一个操作***，仅仅用于数据的安全存储，往往造成资源的浪费。另外，当用于数据安全存储的操作***同时运行其它安全应用程序时，其它安全应用程序可能会给数据存储造成不安全、不稳定的影响。例如将安全支付的应用程序和支付相关的数据放在同一地方，如果应用程序出现问题，则可能影响到所保护的数据而破坏了该数据的安全性。采用固件(Firmware)对硬盘区域进行管理的方法只有Firmware通过VMM才能直接访问受保护区域，当Firmware成功访问受保护区域时，受保护区域不再受到保护，用户对受保护区域的读写与对非保护区域的读写一样，这种情况下，一旦用户对保护区域内的数据进行误操作，则无法修复因误操作导致的数据更改。

发明内容

有鉴于此，本发明的目的在于提供一种数据安全存储的方法，提高计算机***对受保护数据读取和存储的安全性和可靠性。

基于上述目的，本发明提供了一种数据安全存储的方法，包括：

在用户***中设置前端虚拟设备，在用户***外设置后端服务程序，并设置前端虚拟设备和后端服务程序都可访问的临时存储单元；

当需要对受保护区域中的受保护数据进行存储时，前端虚拟设备接收到对数据的存储请求后，将请求存储的数据读写到所述临时存储单元中，并向所述后端服务程序发送通知；

后端服务程序将临时存储单元中的数据读出保存到预先配置的受保护区域中；

当需要对受保护区域中的受保护数据进行读取时，前端虚拟设备接收到对受保护数据读取的请求后，向所述后端服务程序发送包含有被请求数据索引信息的读取请求；

后端服务程序根据所述请求中的索引信息从所述受保护区域中找出被请求的数据，并读取到所述临时存储单元中，向前端虚拟设备发送通知；

前端虚拟设备从所述临时存储单元读出被请求数据提供给用户。

该方法进一步包括：设置用户密码；

所述收到用户对受保护数据的存储请求或读取请求后，进一步提示用户输入密码，判断输入的密码是否正确，如果是，则继续后续步骤；否则，提示用户出错。

该方法进一步包括：对所需安全存储的数据设置安全级别；

所述收到对受保护数据存储请求后，进一步提示用户对受保护数据设置安全级别；

所述收到对受保护数据读取的请求后，进一步判断该请求的操作是否超出了对该受保护数据设置的安全级别，如果是，则不执行超出安全级别的操作；否则，继续后续步骤。

该方法进一步包括：设置数据通道I、数据通道II、控制通道1、控制通道2；

所述的前端虚拟设备通过数据通道I将请求存储的数据读写到所述临时存储单元中，通过控制通道1向所述后端服务程序发送通知；所述后端服务程序通过控制通道2控制数据通道II把临时存储单元中的数据读出并保存到预先配置的受保护区域中。所述的前端虚拟设备通过控制通道1向所述后端服务程序发送包含有被请求数据索引信息的读取请求，所述后端服务程序通过控制通道2控制数据通道II把被请求的数据从受保护区域中读取到所述临时存储单元中，通过控制通道1向所述前端虚拟设备发送通知，所述前端虚拟设备通过数据通道I从所述临时存储单元读出被请求数据提供给用户。

该方法所述的控制通道1采用Event Channel、或中断、或Hypercall技术；所述的控制通道2采用程序中的命令或函数调用方法。

该方法所述的被请求数据索引信息进一步包括被请求数据的索引号、名称、创建日期、保存日期。

基于上述目的，本发明还提供了一种数据安全存储的装置，包括：

前端虚拟设备、后端服务程序模块和临时存储单元；其中

前端虚拟设备，设置于用户***中，用于获取和响应用户对受保护数据的存取请求，将用户需要保存的受保护数据读写到所述临时存储单元，将用户需要读取的受保护数据从临时存储单元中读出；

后端服务程序模块，设置于用户***外，用于将用户需要保存的受保护数据从所述临时存储单元中读出保存到预先配置的受保护区域中，将用户需要读取的受保护数据从所述受保护区域中读取到临时存储单元中；以及

临时存储单元，用于暂存受保护数据。

该装置所述的后端服务程序模块被设定在一个虚拟机管理器中或者在独立于用户***之外的管理或服务操作***中。

该装置所述的临时存储单元可以设定在虚拟机管理器中；或者在物理内存中用户***虚拟内存区域之外的一部分内存区域。

该装置进一步包括：控制通道1和控制通道2，数据通道I和数据通道II。

所述的数据通道I位于前端虚拟设备与临时存储单元之间，用于将数据从前端虚拟设备到临时存储单元的数据双向传送；所述的数据通道II位于临时存储单元与受保护区域之间，用于从临时存储单元到受保护区域的数据双向传送；控制通道1位于所述前端虚拟设备与所述后端服务程序模块之间，用于前端虚拟设备和后端服务程序模块之间控制消息的发送；控制通道2位于后端服务程序模块与数据通道2之间，用于后端服务程序模块对受保护区域数据存取的控制。

该装置所述的控制通道1采用Event Channel、或中断、或Hypercall技术；所述的控制通道2采用程序中的命令或函数调用方法。

该装置所述的受保护区域是***物理硬盘中划出的一部分用户***无权访问的硬盘区域。

从上面所述可以看出，本发明提供的数据安全存储的方法及装置：在虚拟化技术下的用户***设定一个前端虚拟设备，在虚拟机管理器或管理操作***中设定一个后端服务程序，前端虚拟设备和后端服务程序共享一块虚拟***以外的内存区域进行数据存取，所存取的数据最终隐藏在用户***不可见的硬盘区域中。前端虚拟设备的作用是与用户进行交互，获取和响应用户的数据存取请求。后端服务程序的作用是获取和响应前端虚拟设备的数据存取请求。

本发明与现有技术相比较，具有以下优势：

存储数据区域被隐藏到了虚拟硬盘之外，用户在虚拟***中无论使用何种工具都只能看到虚拟硬盘，根本无法发现所存储的数据，从而实现了本地硬盘数据的安全隐藏。物理硬盘中的受保护区域专用于存储，避免了因为其它应用程序的运行造成的安全隐患。

任何情况下，只有前端虚拟设备通过后端服务程序来共同实现对受保护区域数据的访问，前端虚拟设备单独并不能直接访问受保护区域，因此具有良好的安全性。另外，虚拟机管理器确保前端虚拟设备不被卸载、不被远程连接的非法用户使用，并且通过口令验证来防范本地的非法用户。虚拟化技术使用前端虚拟设备和后端服务程序的共享内存来传递数据，用户如果只需要查看数据，根本不需要从受保护区域中读取数据，从而大大减少外部对受保护区域内数据的影响。通过对数据的查看和读取设置不同的安全级别，即使用户对前端虚拟设备显示的信息进行误操作也不会破坏受保护区域内的数据；另外，用户真正访问的是共享内存中的数据，为此，减少了对受保护区域的访问次数，从而增强了受保护区域内数据的安全性。

虚拟机中的应用程序通过前端虚拟设备访问存储区域过程中的共享内存是动态随机生成的，即该共享内存所对应的物理内存区域是随机的，并不对应物理内存中的某块固定区域，因而增强了安全性。

从资源消耗来说，不需要额外增加一个操作***用于数据的安全存储，不存在对硬盘和内存等资源的额外消耗，减少了CPU的调度负担。

附图说明

图1为本发明虚拟化技术下的硬盘功能区域划分示意图；

图2为本发明实现基于虚拟化技术的数据安全存储的***结构框图；

图3为本发明的第一较佳实施例中实现基于虚拟化技术的数据安全存储的***结构图；

图4为本发明的第二较佳实施例中实现基于虚拟化技术的数据安全存储的***结构图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

使用虚拟化技术，让用户***运行在虚拟硬盘上，而将数据存储在物理硬盘中虚拟硬盘之外的受保护区域内。对一块物理硬盘进行功能区域划分如图1所示，本发明中物理硬盘101被分为三个功能区域：受保护区域111，用户***的虚拟硬盘区域112和虚拟机管理器占用的硬盘区域113。图示为一个用户***中物理硬盘的区域划分，对于多个用户***也可按照同样方式进行划分。图1中的受保护区域位于物理硬盘中虚拟硬盘空间外的硬盘区域。对用户而言，因为只能看到虚拟机管理器给自己分配的虚拟硬盘空间，所以根本无法察觉受保护区域的存在，从而无法访问和破坏隐藏的被保护数据。

图2为基于虚拟化技术的数据安全存储的***结构框图，包括用户***201，虚拟机管理器(VMM，Virtual Machine Manger)202，硬件平台203。用户***包括：用户***操作***211，虚拟硬盘212，虚拟内存213和前端虚拟设备214。在虚拟机管理器中，包括临时存储单元221和后端服务程序222。硬件平台包括：物理硬盘231和物理内存232。其中前端虚拟设备214和后端服务程序222为本发明在现有虚拟化技术架构上新添加的功能模块。图2所示的临时存储单元221和后端服务程序也可以设置在其他位置。

一般来说，当用户访问受保护区域时，受保护区域最容易被发现和攻击。为了保证被保护数据存取过程的安全，在用户***中设定一个前端虚拟设备，在虚拟机管理器中建立一个专用的后端服务程序来监听前端虚拟设备的数据存取请求。当不进行安全数据存取时，前端虚拟设备与后端服务程序完全隔离。当进行安全数据存取时，前端虚拟设备通过控制通道、数据通道和临时存储单元，与后端服务程序共同实现对受保护区域内数据的存取。其中，控制通道分为控制通道1和控制通道2。控制通道1实现前端虚拟设备和后端服务程序之间控制消息的发送，采用例如Event Channel、中断、Hypercall等技术实现；控制通道2实现后端服务程序对受保护区域数据存取的控制，采用例如后端服务程序中的命令和函数调用等方法实现；数据通道分为数据通道I和数据通道II，数据通道I实现将数据从用户***的前端虚拟设备到临时存储单元的数据双向传送；数据通道II实现从临时存储单元到受保护区域的数据双向传送。

图3为本发明的第一较佳实施例的***结构图：即在不包含管理或服务操作***的虚拟化架构中实现基于虚拟化技术的数据安全存储，其中包括用户***301，虚拟机管理器(VMM，Virtual Machine Manger)302，硬件平台303。用户***301包括：用户***操作***311，虚拟硬盘312和前端虚拟设备313。在虚拟机管理器302中，包括后端服务程序321。硬件平台303包括：物理硬盘331和物理内存332；其中，物理硬盘331分为虚拟机VM的虚拟硬盘3311和受保护区域3312；物理内存分为虚拟机VM的虚拟内存3321和共享内存3322。在本实施例中，后端服务程序321在虚拟机管理器302中实现对受保护区域数据的存取。

图4为本发明的第二较佳实施例的***结构图：即在包含管理或服务操作***的虚拟化架构中实现基于虚拟化技术的数据安全存储，其中包括用户***401，管理操作***(OS)402，虚拟机管理器(VMM，Virtual MachineManger)403，硬件平台404。用户***401包括：用户***操作***411，虚拟硬盘412和前端虚拟设备413。管理操作***402中包括后端服务程序421。硬件平台404包括：物理硬盘441和物理内存442；其中，物理硬盘441分为VM虚拟硬盘4411和受保护区域4412；物理内存分为VM内存4421和共享内存4422。在本实施例中，存在一个与用户***同时运行的管理操作***402，后端服务程序421在该管理操作***402中实现对受保护区域数据的存取。

在图3和图4所示的两个具体实施例中，区别在于：图3中的后端服务程序321在虚拟机管理器VMM 302中；而图4中的后端服务程序421在管理操作***402中。图3和图4中的共享内存是图2中的临时存储单元的一

图2、3和4中的前端虚拟设备由中断处理模块、访问共享内存模块、用户交互控制模块和信息记录模块4个模块共同组成。其中，中断处理模块用于分配一个中断；访问共享内存模块用于实现前端虚拟设备访问共享内存；用户交互控制模块用于实现前端虚拟设备通过设备驱动等方式和用户进行交互；信息记录模块用于存储受保护区域内数据的索引信息。前端虚拟设备中的4个模块间相互配合过程为：当用户要把数据存放到受保护区域时，首先启动用户交互控制模块与前端虚拟设备进行交互，由前端虚拟设备中的中断处理模块分配一个中断来响应后端服务程序，前端虚拟设备同时启动访问共享内存模块使得前端虚拟设备与后端服务程序共同把数据存入共享内存中，然后由后端服务程序通过控制通道2把共享内存中的文件或文件夹通过数据通道II保存到受保护区域同时返回一个数据索引号和相关信息给前端虚拟设备，此时，前端虚拟设备启动信息记录模块对返回的数据索引号及相关信息进行保存。

具体实施步骤如下：

数据存储过程：

1.用户通过前端虚拟设备选择需要保存到受保护区域的文件或文件夹；

2.提示用户输入密码，虚拟机管理器检验输入密码是否正确，如果密码正确，提示用户对所要保存的文件或文件夹的查看和读取设置相应的安全级别，如可读不可写或可读可写等方式，否则显示错误；

3.前端虚拟设备通过数据通道I将文件或文件夹复制或移动到共享内存中，同时通过控制通道1通知后端服务程序；控制通道1采用Event Channel、中断、Hypercall等技术实现，如Event Channel是虚拟化架构Xen中的一种事件通知机制，用于实现类似硬件中断的作用，具体实现方式为：每个通道与一个比特位对应，当其中一个通道上有事件发生时，与该通道对应的比特位从0跳变为1；

4.后端服务程序通过控制通道2把共享内存中的文件或文件夹通过数据通道II保存到受保护区域，同时由后端服务程序通过控制通道1返回一个唯一的文件或文件夹索引号送给前端虚拟设备；控制通道2采用命令或函数调用等方法实现；

5.前端虚拟设备保存所存储的文件或文件夹信息，如文件或文件夹索引号、名称、创建日期、保存日期等信息；

6.前端虚拟设备询问用户是否需要删除用户虚拟硬盘中的原始文件或文件夹，如果需要则删除原始文件或文件夹。

数据读取过程：

1.用户输入访问前端虚拟设备的命令；

2.用户***提示用户输入密码，虚拟机管理器对键盘输入的密码进行检验，如果密码校验正确，则继续执行后续步骤，否则显示出错；

3.前端虚拟设备打开一个窗口将已保存文件或文件夹的信息显示给用户，此功能类似于Windows操作***中的回收站；

4.用户选择查看文件或文件夹，或者选择把文件或文件夹从前端虚拟设备中移出并存到用户虚拟硬盘，此时用户只能根据文件或文件夹已经设定好的安全级别进行查看和读取操作；如果用户请求的操作超出了级别规定的权限，则提示用户操作错误，对用户提出的超出级别权限的请求不予执行；

5.前端虚拟设备通过控制通道1向后端服务程序发送文件或文件夹读取请求，同时把是否删除受保护区域中的原始文件或文件夹和用户所选择文件或文件夹对应的索引号作为参数一起作为请求发送；

6.后端服务程序通过控制通道2把索引号对应的文件或文件夹从受保护区域内读出来，经数据通道II放入共享内存中并通知前端虚拟设备；

7.前端虚拟设备按照用户请求显示文件或文件夹内容，或者将文件或文件夹保存到用户***虚拟硬盘上；

8.前端虚拟设备询问用户是否需要删除原始文件或文件夹，如果需要，删除该原始文件或文件夹；

9.前端虚拟设备询问用户是否需要继续从受保护区域中读取其它文件或文件夹，如果不需要，关闭窗口。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种数据安全存储的方法，其特征在于，包括：

在用户***中设置前端虚拟设备，在用户***外设置后端服务程序，并设置前端虚拟设备和后端服务程序都可访问的临时存储单元；

当需要对受保护区域中的受保护数据进行存储时，前端虚拟设备接收到对数据的存储请求后，将请求存储的数据读写到所述临时存储单元中，并向所述后端服务程序发送通知；

后端服务程序将临时存储单元中的数据读出保存到预先配置的受保护区域中；

当需要对受保护区域中的受保护数据进行读取时，前端虚拟设备接收到对受保护数据读取的请求后，向所述后端服务程序发送包含有被请求数据索引信息的读取请求；

后端服务程序根据所述请求中的索引信息从所述受保护区域中找出被请求的数据，并读取到所述临时存储单元中，向前端虚拟设备发送通知；

前端虚拟设备从所述临时存储单元读出被请求数据提供给用户。

2.根据权利要求1所述的方法，其特征在于，该方法进一步包括：设置用户密码；

所述收到用户对受保护数据的存储请求或读取请求后，进一步提示用户输入密码，判断输入的密码是否正确，如果是，则继续后续步骤；否则，提示用户出错。

3.根据权利要求1或2所述的方法，其特征在于，该方法进一步包括：对所需安全存储的数据设置安全级别；

所述收到对受保护数据存储请求后，进一步提示用户对受保护数据设置安全级别；

所述收到对受保护数据读取的请求后，进一步判断该请求的操作是否超出了对该受保护数据设置的安全级别，如果是，则不执行超出安全级别的操作；否则，继续后续步骤。

4.根据权利要求1所述的方法，其特征在于，该方法进一步包括：设置据通道I、数据通道II、控制通道1、控制通道2；

所述的前端虚拟设备通过数据通道I将请求存储的数据读写到所述临时存储单元中，通过控制通道1向所述后端服务程序发送通知；所述后端服务程序通过控制通道2控制数据通道II把临时存储单元中的数据读出并保存到预先配置的受保护区域中。所述的前端虚拟设备通过控制通道1向所述后端服务程序发送包含有被请求数据索引信息的读取请求，所述后端服务程序通过控制通道2控制数据通道II把被请求的数据从受保护区域中读取到所述临时存储单元中，通过控制通道1向所述前端虚拟设备发送通知，所述前端虚拟设备通过数据通道I从所述临时存储单元读出被请求数据提供给用户。

5.根据权利要求4所述的方法，其特征在于，所述的控制通道1采用EventChannel、或中断、或Hypercall技术；所述的控制通道2采用程序中的命令或函数调用方法。

6.根据权利要求1所述的方法，其特征在于，所述的被请求数据索引信息进一步包括被请求数据的索引号、名称、创建日期、保存日期。

7.一种数据安全存储的装置，其特征在于，包括：前端虚拟设备、后端服务程序模块和临时存储单元；其中

前端虚拟设备，设置于用户***中，用于获取和响应用户对受保护数据的存取请求，将用户需要保存的受保护数据读写到所述临时存储单元，将用户需要读取的受保护数据从临时存储单元中读出；

后端服务程序模块，设置于用户***外，用于将用户需要保存的受保护数据从所述临时存储单元中读出保存到预先配置的受保护区域中，将用户需要读取的受保护数据从所述受保护区域中读取到临时存储单元中；以及

临时存储单元，用于暂存受保护数据。

8.根据权利要求7所述的装置，其特征在于，所述的后端服务程序模块被设定在一个虚拟机管理器中或者在独立于用户***之外的管理或服务操作***中。

9.根据权利要求7所述的装置，其特征在于，所述的临时存储单元可以设定在虚拟机管理器中；或者在物理内存中用户***虚拟内存区域之外的一部分内存区域。

10.根据权利要求7所述的装置，其特征在于，所述的装置进一步包括：控制通道1和控制通道2，数据通道I和数据通道II。

所述的数据通道I位于前端虚拟设备与临时存储单元之间，用于将数据从前端虚拟设备到临时存储单元的数据双向传送；所述的数据通道II位于临时存储单元与受保护区域之间，用于从临时存储单元到受保护区域的数据双向传送；控制通道1位于所述前端虚拟设备与所述后端服务程序模块之间，用于前端虚拟设备和后端服务程序模块之间控制消息的发送；控制通道2位于后端服务程序模块与数据通道2之间，用于后端服务程序模块对受保护区域数据存取的控制。

11.根据权利要求10所述的装置，其特征在于，所述的控制通道1采用Event Channel、或中断、或Hypercall技术；所述的控制通道2采用程序中的命令或函数调用方法。

12.根据权利要求7所述的装置，其特征在于，所述的受保护区域是***物理硬盘中划出的一部分用户***无权访问的硬盘区域。

Images