CN104182691A - 数据保密方法及装置 - Google Patents

Abstract

本发明提供一种数据保密方法和装置，所述方法运行于支持虚拟化技术的CPU的VMX root operation模式下的Ring0环上，包括：对计算设备中的输入输出设备的读写请求进行监听，等待目标用户或目标程序的操作；和当监听到所述目标用户或目标程序进行I/O操作时，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管；其中，受控内存是从计算机物理内存中划出的预定大小的一块内存区域，此内存区域对运行于支持虚拟化技术的CPU的VMX non-root operation模式下的Ring0环上的客户操作***不可见并且不受其管理。上述方法保证了业务数据的全生命周期安全，解决了涉密信息以明文形式存在的问题。

Description

数据保密方法及装置

技术领域

本发明涉及信息安全领域，尤其涉及一种数据保密方法及装置。

背景技术

随着信息技术的运用，越来越多的业务通过信息***来完成。某些业务数据被要求以密文存储和传输，但是业务数据在加密之前、加密过程中和解密之后是以明文的形式出现在显示器上或残留在内外部存储介质中，这将导致业务数据被人为地或意外地泄漏。

如何以技术手段保障业务数据的全生命周期安全是一个亟待解决的问题。

发明内容

本发明要解决的技术问题是，针对现有信息安全技术不能保证业务数据的全生命周期安全，提供一种数据保密方法及装置，实现业务数据的全生命周期安全。

根据本发明一个方面，提供一种数据保密方法，运行于支持虚拟化技术的CPU的VMX root operation模式下的Ring0环上，包括：对计算设备中的输入输出设备的读写请求进行监听，等待目标用户或目标程序的操作；和当监听到所述目标用户或目标程序进行I/O操作时，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管；其中，受控内存是从计算机物理内存中划出的预定大小的一块内存区域，此内存区域对运行于支持虚拟化技术的CPU的VMX non-root operation模式下的Ring0环上的客户操作***不可见并且不受其管理。

可选的，对于用户键盘输入数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：将目标用户输入的涉密数据直接放入受控内存中；按照第一种预设的规则对涉密数据进行加密，得到密文；将加密结果发送给目标程序，和/或根据第二种预设的规则以明文或密文的形式将涉密数据发送给显卡，继而在显示器上的显示。

可选的，对于磁盘输入/导入数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：将目标用户导入的数据直接放入受控内存中；按照第一种预设的规则对导入的数据进行加密；将加密结果发送给目标程序。

可选的，对于目标程序客户端或服务器端网络传送数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：当目标程序客户端和目标程序服务器之间有数据传输时，将待发送数据放入受控内存中；按照第一种预设的规则对待发送数据进行加密；根据网络数据包封装协议将加密结果封装并发送给网卡，继而传输到目标程序服务器或目标程序客户端。

可选的，对于目标程序输出数据到显示器，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：当目标用户要在目标程序中查询数据并显示到显示器时，将待显示的数据放入受控内存中；按照第一种预设的规则对待显示的数据进行加密，得到密文；根据第二种预设的规则以明文或密文的形式将待显示的数据发送给显卡，继而在显示器上的显示。

可选的，对于磁盘输出/导出数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：将目标用户要导出的数据放入受控内存中；按照第一种预设的规则对待显示的数据进行加密；将加密结果以要导出的文件格式存储到磁盘上。

可选的，对计算设备中的输入输出设备的读写请求进行监听的监听程序常驻受控内存中。

可选的，所述第一种预设的规则为对数据是否进行加解密的规则和/或如何进行加解密的规则；所述第二种预设的规则为是否需要在显示器上进行明文或密文显示的规则。

根据本发明另一个方面，提供一种数据保密装置，部署在支持虚拟化技术的CPU的VMX root operation模式下的Ring0环上，包括：

监听模块，适于对计算设备中的输入输出设备的读写请求进行监听，等待目标用户或目标程序的操作；和

接管模块，适于当监听到所述目标用户或目标程序进行I/O操作时，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管；

其中，受控内存是从计算机物理内存中划出的预定大小的一块内存区域，此内存区域对运行于支持虚拟化技术的CPU的VMX non-root operation模式下的Ring0环上的客户操作***不可见并且不受其管理。

上述方法保证了业务数据的全生命周期安全，解决了涉密信息以明文形式存在的问题。

附图说明

图1是根据本发明一个实施例提供的业务数据安全保障***总体结构图；

图2是根据本发明一个实施例提供的业务数据安全保障***针对各种I/O操作的执行流程总图；

图3-7是根据本发明另外多个实施例提供的业务数据安全保障***针对不同I/O操作的执行流程分图；和

图8是根据本发明一个实施例提供的数据保密方法的方法流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图，对本发明进一步详细说明。应当理解，此处所描述的实例仅用以解释本发明，并不用于限定本发明。

发明人经研究发现，可以提供一种保障业务数据全生命周期安全的方法，或者说实现一个业务数据(也可以是其他种类的数据)安全保障***。业务数据在整个生命周期中的新增、删除、修改、查询操作以及与目标用户、目标程序的交互将通过业务数据安全保障***来实现，包括：业务数据录入到目标程序，业务数据从外部存储导入到目标程序，业务数据从目标程序中导出到外部存储，业务数据的修改及加工，业务数据的加密及解密，业务数据的存储，业务数据的显示，业务数据的销毁等。

本发明中，将被保护的业务信息***称为目标程序，将被保护的人员称为目标用户。

基于上述发现，根据本发明一个实施例，提供一种业务数据安全保障***。***总体结构图以及各个内部模块直接的关系如图1所示，业务数据安全保障***包括：

键盘管理模块、磁盘管理模块、内存管理模块、显示管理模块、网络传输管理模块及***管理模块。

上述各个模块并非操作***原有模块，而是本发明提供的业务数据安全保障***内部的新开发的软件功能模块，这些模块可以替代了操作***中相应的原有模块，或者说，他们当并且仅当有业务需要时接管操作***原来模块的功能，即通过绕过操作***中相应的原有模块直接管理键盘、显示器、网卡、内外部存储等***设备，使得业务数据在目标用户个人计算机内外部存储及显示器上、在目标程序服务器的内外部存储上、在业务数据通过网络传输时都将以密文方式存在。

上述模块的工作模式与操作***中相应的原有模块的工作模式基本相同，区别如下：

(1)内存管理模块：负责管理直接从计算机物理内存中划出的一块内存区域，此内存区域将对操作***不可见也不再受操作***管理，涉密业务数据的相关操作都将在这块内存区域中进行(称为：受控内存区域，与之相对的另外部分称为：非受控内存区域)。

当有业务数据进入目标程序、从目标程序中导出业务数据、从目标程序显示业务数据到显示器上及目标程序将要通过网络发送业务数据时，内存管理模块将对进入受内存管理模块管理的内存区域中的业务数据进行分析、加密/解密、控制显示等处理；

(2)键盘管理模块：有业务需要时负责接管键盘等输入设备，保证从输入设备输入的明文形式的业务数据直接进入受内存管理模块管理的内存区域中接受进一步处理；

(3)磁盘管理模块：有业务需要时负责接管U盘、光盘、移动硬盘和硬盘等磁盘存储设备，保证从磁盘存储设备上读取的明文形式的业务数据直接进入受内存管理模块管理的内存区域中接受进一步处理；

(4)显示管理模块：有业务需要时负责接管显示输出设备，保证业务数据以安全可控的方式显示输出(明文显示、密文存储，或可选择性的显示部分明文)；

(5)网络传输管理模块：有业务需要时负责接管网卡，对业务数据包进行网络传输前和网络传输接收后的预处理(封装和解包)，保证业务数据安全地进行网络传输；

(6)***管理模块：现有操作***没有的模块。负责业务数据安全保障***的内部管理，包括：***访问管理、用户和密码管理、***权限管理、数字证书管理、密钥管理、加密算法管理、***日志管理、***守护进程管理等。

另外，需要说明的是：

(1)业务数据安全保障***的启用条件：当目标用户进行业务操作或目标程序启动时启用。

(2)如何接管键盘、磁盘、显卡、网卡等设备：业务数据安全保障***运行于支持虚拟化技术的CPU的VMX root operation模式下的Ring0环上，可以优先且直接操作I/O设备。当业务数据安全保障***启用后会在受控内存中常驻一个监听程序，监听键盘、磁盘、显卡、网卡的读写请求，当读写请求的发起人是目标用户或目标业务信息***(即目标程序)时，将对这些设备进行接管。

(3)接管后的设备如何加密解密业务数据：业务数据安全保障***的客户端和服务器端采用同样的加密方法，对于接管设备中的已加密的业务数据可以在受内存管理模块管理的内存区域中进行解密，同样对于明文可以进行加密。

除上述区别外，以上各个模块的工作模式与其所替代的相应的操作***原有模块的工作模式相同，在此不再赘述。

其中，对于接管键盘、磁盘、显卡、网卡等设备的内容，此处进一步进行说明，本领域技术人员可以理解：CPU厂商已支持虚拟化，例如X86CPU引入了Intel-VT技术，支持Intel-VT的CPU有VMX root operation和VMX non-root operation两种模式，两种模式都支持Ring 0～Ring 3这4个运行级别。所以，业务数据安全保障***可以运行在VMX root operation模式下，客户OS运行在VMX non-root operation模式下。也就说，硬件这层做了些区分，这样全虚拟化下，有些靠“捕获异常-翻译-模拟”的实现就不需要了。

根据本发明一个实施例，上述***的工作过程描述如下，如图2-7所示，包括：

步骤1、业务数据安全保障***部署运行于支持虚拟化技术的CPU的VMX root operation模式下的Ring0环上，能够优先且直接操作I/O设备；

业务数据安全保障***将优先从计算机物理内存中直接划出预定大小一块内存区域，此内存区域将对运行于支持虚拟化技术的CPU的VMXnon-root operation模式下的Ring0环上的客户操作***不可见并且不受其管理。这样，涉密业务数据的相关操作都将在业务数据安全保障***控制的这块内存区域中进行；

步骤2、当目标用户进行业务操作或目标程序启动时(例如目标程序客户端工作时，或者当通过网页来运行目标程序时)启用业务数据安全保障***；

步骤3、常驻业务数据安全保障***受控内存中的监听程序对硬件输入输出设备(包括但不限于键盘、磁盘、显卡、网卡)的读写请求进行监听，等待目标用户或目标程序的操作；

步骤4、当监听程序监听到所述目标用户或目标程序进行I/O操作时，对输入输出设备进行接管；

其中，对于输入数据(即I操作、输入操作)：

(1)对于用户键盘输入数据(参考图3)：

i.业务数据安全保障***的键盘管理模块将目标用户输入的数据直接放入业务数据安全保障***受控内存中；

ii.业务数据安全保障***的内存管理模块对业务数据进行分析，按照业务数据安全保障***的***管理模块设定的业务规则进行加密处理；

iii.业务数据安全保障***的内存管理模块调用业务数据安全保障***的显示管理模块，按照业务数据安全保障***的***管理模块设定的业务规则将业务数据以明文或密文的形式发送到显卡，继而在显示器上的特定位置显示；

需要说明的是：给目标程序的数据是加密的，因为目标程序运行在不可靠的操作***上；而给显卡的数据是根据业务规则来选择显示明文和密文，方便用户使用核对输入的数据是否输错。

iv.业务数据安全保障***的内存管理模块将业务数据发送到目标程序中。

(2)对于磁盘输入/导入数据(参考图4)：

i.业务数据安全保障***的磁盘管理模块将目标用户导入的数据直接放入业务数据安全保障***受控内存中；

ii.业务数据安全保障***的内存管理模块对业务数据进行分析，按照业务数据安全保障***的***管理模块设定的业务规则进行加密处理；

iii.业务数据安全保障***的内存管理模块将业务数据发送到目标程序中。

(3)对于目标程序客户端或服务器端网络传送数据(参考图5)：

i.当目标程序客户端或服务器端有数据需要发送到目标程序的服务器端或客户端时，业务数据安全保障***的网络传输管理模块将要发送的业务数据直接放入业务数据安全保障***受控内存中；

ii.业务数据安全保障***的内存管理模块对业务数据进行分析，按照业务数据安全保障***的***管理模块设定的业务规则进行加密处理；

iii.业务数据安全保障***的内存管理模块将业务数据发送到业务数据安全保障***的网络传输管理模块，该模块将对数据进行封装并发送到网卡。

对于输出数据：(即O操作、输出操作)

(1)对于目标程序输出数据到显示器(参考图6)：

i.当目标用户要在目标程序中查询数据并显示到显示器时，业务数据安全保障***的显示管理模块将要显示的业务数据直接放入业务数据安全保障***受控内存中；

ii.业务数据安全保障***的内存管理模块对业务数据进行分析，按照业务数据安全保障***的***管理模块设定的业务规则进行加密处理；

iii.业务数据安全保障***的内存管理模块调用业务数据安全保障***的显示管理模块，按照业务数据安全保障***的***管理模块设定的业务规则将业务数据以明文或密文的形式发送到显卡，继而在显示器上的特定位置显示。

(2)对于磁盘输出/导出数据(参考图7)：

i.业务数据安全保障***的磁盘管理模块将目标用户要导出的数据直接放入业务数据安全保障***受控内存中；

ii.业务数据安全保障***的内存管理模块对业务数据进行分析，按照业务数据安全保障***的***管理模块设定的业务规则进行加密处理；

iii.业务数据安全保障***的磁盘管理模块将业务数据以要导出的文件格式存储到磁盘上。

需要说明的是，上述对各种I/O设备接管的方法，可以分别对某个I/O设备单独进行，也可以同时对上述各种I/O设备一起进行。

基于上述数据安全保障***及其操作过程描述，如图8所示，根据本发明一个实施例，提供一种数据保密方法，运行于支持虚拟化技术的CPU的VMX root operation模式下的Ring0环上，包括：

S1、对计算设备中的输入输出设备的读写请求进行监听，等待目标用户或目标程序的操作；

S2、当监听到所述目标用户或目标程序进行I/O操作时，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管；其中，受控内存(或受控内存区域)是从计算机物理内存中直接划出的预定大小的一块内存区域，此内存区域将对运行于支持虚拟化技术的CPU的VMX non-rootoperation模式下的Ring0环上的客户操作***不可见并且不受其管理。

根据本发明一个实施例，对于用户键盘输入数据，步骤S2中的对所述输入输出设备进行接管并将涉密数据存放在受控内存区域步骤进一步包括：

S211、将目标用户输入的涉密数据直接放入受控内存中；

S212、按照预设的规则对涉密数据进行加密，得到密文；对于预设的规则，例如，对于合同数据中的合同金额就要加密，对于合同号就不用加密；

S213、将加密结果发送给目标程序，和/或根据预设的规则以明文或密文的形式将涉密数据发送给显卡，继而在显示器上的显示。

根据本发明一个实施例，对于磁盘输入/导入数据，步骤S2中的对所述输入输出设备进行接管并将涉密数据存放在受控内存区域步骤进一步包括：

S221、将目标用户导入的数据直接放入受控内存中；

S222、按照预设的规则对导入的数据进行加密；

S223、将加密结果发送给目标程序。

根据本发明一个实施例，对于目标程序客户端或服务器端网络传送数据，步骤S2中的对所述输入输出设备进行接管并将涉密数据存放在受控内存区域步骤进一步包括：

S231、当目标程序客户端和目标程序服务器之间有数据传输时，将待发送数据放入受控内存中；

S232、按照预设的规则对待发送数据进行加密；

S233、根据网络数据包封装协议将加密结果封装并发送给网卡，继而传输到目标程序服务器或目标程序客户端。

根据本发明一个实施例，对于目标程序输出数据到显示器，步骤S2中的对所述输入输出设备进行接管并将涉密数据存放在受控内存区域步骤进一步包括：

S241、当目标用户要在目标程序中查询数据并显示到显示器时，将待显示的数据放入受控内存中；

S242、按照预设的规则对待显示的数据进行加密，得到密文；

S243、根据预设的规则以明文或密文的形式将待显示的数据发送给显卡，继而在显示器上的显示。

根据本发明一个实施例，对于磁盘输出/导出数据，步骤S2中的对所述输入输出设备进行接管并将涉密数据存放在受控内存区域步骤进一步包括：

S251、将目标用户要导出的数据放入受控内存中；

S252、按照预设的规则对待显示的数据进行加密；

S253、将加密结果以要导出的文件格式存储到磁盘上。

应该注意到并理解，在不脱离后附的权利要求所要求的本发明的精神和范围的情况下，能够对上述详细描述的本发明做出各种修改和改进。因此，要求保护的技术方案的范围不受所给出的任何特定示范教导的限制。

Claims (9)

1.一种数据保密方法，运行于支持虚拟化技术的CPU的VMX rootoperation模式下的Ring0环上，包括：

对计算设备中的输入输出设备的读写请求进行监听，等待目标用户或目标程序的操作；和

当监听到所述目标用户或目标程序进行I/O操作时，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管；

其中，受控内存是从计算机物理内存中划出的预定大小的一块内存区域，此内存区域对运行于支持虚拟化技术的CPU的VMX non-root operation模式下的Ring0环上的客户操作***不可见并且不受其管理。

2.根据权利要求1所述的数据保密方法，其中，对于用户键盘输入数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：

将目标用户输入的涉密数据直接放入受控内存中；

按照第一种预设的规则对涉密数据进行加密，得到密文；

将加密结果发送给目标程序，和/或根据第二种预设的规则以明文或密文的形式将涉密数据发送给显卡，继而在显示器上的显示。

3.根据权利要求1所述的数据保密方法，其中，对于磁盘输入/导入数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：

将目标用户导入的数据直接放入受控内存中；

按照第一种预设的规则对导入的数据进行加密；

将加密结果发送给目标程序。

4.根据权利要求1所述的数据保密方法，其中，对于目标程序客户端或服务器端网络传送数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：

当目标程序客户端和目标程序服务器之间有数据传输时，将待发送数据放入受控内存中；

按照第一种预设的规则对待发送数据进行加密；

根据网络数据包封装协议将加密结果封装并发送给网卡，继而传输到目标程序服务器或目标程序客户端。

5.根据权利要求1所述的数据保密方法，其中，对于目标程序输出数据到显示器，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：

当目标用户要在目标程序中查询数据并显示到显示器时，将待显示的数据放入受控内存中；

按照第一种预设的规则对待显示的数据进行加密，得到密文；

根据第二种预设的规则以明文或密文的形式将待显示的数据发送给显卡，继而在显示器上的显示。

6.根据权利要求1所述的数据保密方法，其中，对于磁盘输出/导出数据，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管步骤进一步包括：

将目标用户要导出的数据放入受控内存中；

按照第一种预设的规则对待显示的数据进行加密；

将加密结果以要导出的文件格式存储到磁盘上。

7.根据权利要求1所述的数据保密方法，其中，对计算设备中的输入输出设备的读写请求进行监听的监听程序常驻受控内存中。

8.根据权利要求2或5所述的数据保密方法，其中，所述第一种预设的规则为对数据是否进行加解密的规则和/或如何进行加解密的规则；

所述第二种预设的规则为是否需要在显示器上进行明文或密文显示的规则。

9.一种数据保密装置，部署在支持虚拟化技术的CPU的VMX rootoperation模式下的Ring0环上，包括：

监听模块，适于对计算设备中的输入输出设备的读写请求进行监听，等待目标用户或目标程序的操作；和

接管模块，适于当监听到所述目标用户或目标程序进行I/O操作时，通过将涉密数据存放在受控内存来对所述输入输出设备进行接管；

其中，受控内存是从计算机物理内存中划出的预定大小的一块内存区域，此内存区域对运行于支持虚拟化技术的CPU的VMX non-root operation模式下的Ring0环上的客户操作***不可见并且不受其管理。