TWI620093B - 用於保全電腦大容量儲存資料的方法和裝置 - Google Patents
用於保全電腦大容量儲存資料的方法和裝置 Download PDFInfo
- Publication number
- TWI620093B TWI620093B TW103128138A TW103128138A TWI620093B TW I620093 B TWI620093 B TW I620093B TW 103128138 A TW103128138 A TW 103128138A TW 103128138 A TW103128138 A TW 103128138A TW I620093 B TWI620093 B TW I620093B
- Authority
- TW
- Taiwan
- Prior art keywords
- host
- sata
- data
- security
- subsystem
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 18
- 241000700605 Viruses Species 0.000 claims abstract description 17
- 238000004891 communication Methods 0.000 claims description 30
- 230000006870 function Effects 0.000 claims description 25
- 230000015654 memory Effects 0.000 claims description 22
- 239000007787 solid Substances 0.000 claims description 5
- 238000012545 processing Methods 0.000 claims description 3
- 150000001875 compounds Chemical class 0.000 claims 3
- 230000004048 modification Effects 0.000 abstract description 4
- 238000007726 management method Methods 0.000 description 50
- 239000002131 composite material Substances 0.000 description 23
- 238000010586 diagram Methods 0.000 description 16
- 238000007906 compression Methods 0.000 description 5
- 230000006835 compression Effects 0.000 description 5
- 230000005540 biological transmission Effects 0.000 description 4
- 238000012544 monitoring process Methods 0.000 description 4
- 238000013144 data compression Methods 0.000 description 3
- 230000000694 effects Effects 0.000 description 3
- 238000012790 confirmation Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000036541 health Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000002155 anti-virotic effect Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000015556 catabolic process Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 238000013502 data validation Methods 0.000 description 1
- 238000013524 data verification Methods 0.000 description 1
- 230000006837 decompression Effects 0.000 description 1
- 230000007812 deficiency Effects 0.000 description 1
- 238000006731 degradation reaction Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 230000014509 gene expression Effects 0.000 description 1
- 230000002452 interceptive effect Effects 0.000 description 1
- 230000005381 magnetic domain Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 230000008450 motivation Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000002085 persistent effect Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 230000011664 signaling Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 238000011144 upstream manufacturing Methods 0.000 description 1
- 238000010200 validation analysis Methods 0.000 description 1
- 230000003936 working memory Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/602—Providing cryptographic facilities or services
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/14—Protection against unauthorised use of memory or access to memory
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/14—Protection against unauthorised use of memory or access to memory
- G06F12/1408—Protection against unauthorised use of memory or access to memory by using cryptography
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/14—Protection against unauthorised use of memory or access to memory
- G06F12/1416—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/14—Protection against unauthorised use of memory or access to memory
- G06F12/1416—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights
- G06F12/1425—Protection against unauthorised use of memory or access to memory by checking the object accessibility, e.g. type of access defined by the memory independently of subject rights the protection being physical, e.g. cell, word, block
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/14—Protection against unauthorised use of memory or access to memory
- G06F12/1458—Protection against unauthorised use of memory or access to memory by checking the subject access rights
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/16—Protection against loss of memory contents
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
- G06F13/38—Information transfer, e.g. on bus
- G06F13/42—Bus transfer protocol, e.g. handshake; Synchronisation
- G06F13/4282—Bus transfer protocol, e.g. handshake; Synchronisation on a serial bus, e.g. I2C bus, SPI bus
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
- G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
- G06F21/80—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in storage media based on magnetic or optical technology, e.g. disks with sectors
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
- G06F3/0614—Improving the reliability of storage systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
- G06F3/0614—Improving the reliability of storage systems
- G06F3/0619—Improving the reliability of storage systems in relation to data integrity, e.g. data losses, bit errors
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
- G06F3/062—Securing storage systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
- G06F3/062—Securing storage systems
- G06F3/0623—Securing storage systems in relation to content
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0628—Interfaces specially adapted for storage systems making use of a particular technique
- G06F3/0655—Vertical data movement, i.e. input-output transfer; data movement between one or more hosts and one or more storage devices
- G06F3/0661—Format or protocol conversion arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
- G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
- G06F3/0601—Interfaces specially adapted for storage systems
- G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
- G06F3/0671—In-line storage system
- G06F3/0673—Single storage device
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2213/00—Indexing scheme relating to interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
- G06F2213/0032—Serial ATA [SATA]
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Human Computer Interaction (AREA)
- Software Systems (AREA)
- Mathematical Physics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Storage Device Security (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Abstract
大體來說,本發明之實施例包含用於安全儲存電腦系統資料之方法及裝置。本發明之實施例透明地加密及解密SATA資料至軟體層。此使對檔案系統、裝置驅動、作業系統或應用程式之任何軟體修改為不必要的。遠端地在中央遠端管理系統上執行加密金鑰管理或本地端執行該加密金鑰管理。本發明之實施例實行使用快照集(snapshots)之背景磁碟備份。包含於本發明之實施例中之額外安全特徵包含提供SATA大容量儲存至安全子系統之優先及/或背景存取之病毒掃描、虛擬/網路驅動機、RAM驅動機及埠選擇器。
Description
本發明大體上係與用於安全儲存資料於大容量儲存裝置的系統及方法相關;更確切地說係包含安全功能,如透明的資料加密及解密,及儲存於SATA裝置中之資料之透明的備份及病毒掃描。
習知計算裝置典型地包含用於與可連接之外部裝置(如滑鼠、鍵盤、無線數據機、隨身碟及硬驅動機等)及內部裝置(如硬驅動機及SSD驅動機)通訊之一至多個習知類型之輸入/輸出(I/O)埠。
然而,用於許多I/O介面(如串列AT附屬裝置,(SATA))之規格沒有用於認證附屬SATA裝置或加密SATA流量之規定。保全SATA通訊之一方法係藉由改變軟體層(驅動及應用程式)。因各個不同的SATA堆疊實施而導致缺乏互操作性,故此實施為不切實際的。這是此方法沒有得到廣泛應用的一個原因。另一選項係藉由加密完整檔案系統。此方法亦受到缺乏互操作性所苦。上述方法兩者皆具有另一種缺
失:儲存為執行加密之金鑰於相同系統中,此削弱整體之安全性。範例先前技術方法包含EP申請案號EP2407905及EP申請案號EP2517144。
同時,有些應用可自有效的SATA資料加密而受益匪淺,如用於在SATA大容量儲存裝置上儲存敏感資料之應用。因此,仍需要用於保全SATA通訊通道之有效技術。
大體來說,本發明之實施例包含用於安全儲存電腦系統資料之方法及裝置。本發明之實施例透明地加密及解密SATA資料至軟體層。此使對檔案系統、裝置驅動、作業系統或應用程式之任何軟體修改為不必要的。遠端地在中央遠端管理系統上執行加密金鑰管理或本地端執行該加密金鑰管理。本發明之實施例實行使用快照集(snapshots)之背景磁碟備份。包含於本發明之實施例中之額外安全特徵包含提供SATA大容量儲存至安全子系統之優先及/或背景存取之病毒掃描、虛擬/網路驅動機、RAM驅動機及埠選擇器。
根據這些及其他態樣,根據本案實施例之用於安全儲存電腦系統資料之系統包含大容量儲存裝置、執行作業系統之代管處理器系統及產生及使用儲存於大容量儲存裝置之資料之應用程式,及安全子系統在透明地至主機處理器及獨立地來自該主機處理器之資料上執行一或更多個安全功能。
100‧‧‧系統
102‧‧‧SATA主機
104‧‧‧安全SATA子系統
106‧‧‧子系統
108‧‧‧通訊通道
108-1‧‧‧通訊通道
108-2‧‧‧通訊通道
110‧‧‧附加裝置
112‧‧‧狀態訊息
114‧‧‧控制訊息
116‧‧‧資料訊息
120‧‧‧電腦
202‧‧‧SATA主機
210‧‧‧SATA裝置
214‧‧‧固態驅動機
300‧‧‧系統
302‧‧‧SATA主機
302-1‧‧‧SATA主機
302-2‧‧‧SATA主機
304‧‧‧安全SATA子系統
304-1‧‧‧安全SATA子系統
304-2‧‧‧安全SATA子系統
310‧‧‧SATA裝置
310-1‧‧‧SATA裝置
310-2‧‧‧SATA裝置
314‧‧‧HDD/SSD
314-1‧‧‧HDD/SSD
314-2‧‧‧HDD/SSD
404‧‧‧印刷電路板
502‧‧‧SATA主機
504‧‧‧子系統
510‧‧‧裝置
514‧‧‧實體儲存裝置
542‧‧‧連結
544‧‧‧裝置驅動
546‧‧‧檔案系統
548‧‧‧作業系統
550‧‧‧應用程式
610‧‧‧SATA硬驅動機
630‧‧‧主機處理器
632‧‧‧安全處理器
634‧‧‧SATA複合
636‧‧‧DDR
702‧‧‧SATA裝置核心
704‧‧‧SATA裝置核心
706‧‧‧埠選擇器
708‧‧‧埠倍增器
710‧‧‧資料壓縮區塊
712‧‧‧加密/解密區塊
714‧‧‧虛擬驅動機控制器
716‧‧‧快照管理器
718‧‧‧標籤管理器
720‧‧‧加密金鑰管理器
722‧‧‧資料掃描加速器
724‧‧‧遠端管理系統介面
726‧‧‧控制埠
732‧‧‧硬驅動機控制器
736‧‧‧RAM驅動機控制器
738‧‧‧DDR記憶體控制器
740‧‧‧DMA
本發明之這些及其他態樣及特徵將對基於檢視結合附加圖式之下列本發明之特定實施例之描述之本領域具有通
常知識者而言變得顯而易見,該等附加圖式其中:第1圖為圖示根據本發明之實施例之用於保全SATA資料及通訊之範例子系統之方塊圖;第2圖為圖示現有SATA通訊之方塊圖;第3圖為圖示根據本發明之實施例之用於保全SATA資料及通訊之範例管理系統之方塊圖;第4圖為進一步地圖示顯示於第3圖之用於安全SATA子系統之範例實施之方塊圖;第5圖為圖示根據本發明之實施例之範例保全SATA子系統之方塊圖如何被包含於典型硬體及軟體層內之資料流中;第6圖為圖示範例安全SATA子系統之頂層方塊圖,該範例安全SATA子系統可根據本發明之實施例在安全電腦中實施第5圖所展示之子系統;及第7圖為圖示SATA複合(complex)之範例配置之方塊圖,該SATA複合之範例配置可包含於如第6圖所展示之安全SATA子系統中。
現在將參考圖式仔細描述本發明,提供該等圖式為本發明之圖示說明範例以使本領域具有通常知識者實施本發明。特別的是,下文之圖式及範例並不意味限制本發明之範疇為單一實施例,但藉由交換一些或全部所欲元素或經圖示之元素之其他實施例係可能的。此外,其中可使用已知元件而部分地或全部地實施本發明之特定元素,將僅描述需要用
於本發明之瞭解之此類已知元件之那些部分,將省略此類已知元件之其他部分之詳細描述,以不遮掩本發明。除非以其他方式於本文中具體描述的,不然如對本領域具有通常知識者而言,不應限制所描述之實施例實施於軟體中;該等所描述之實施例可包含實施於硬體中之實施例,或實施於軟體及硬體之結合(反之亦然),將為顯而易見的。在本說明書中,展示特別元件之實施例不應被視為限制,更確切的說,除非以其他方式於本文中明確地描述,不然本發明係傾向包括包含複數個相似元件之其他實施例,反之亦然。此外,除非明顯地闡述如此,不然申請人並不意欲將說明書或申請專利範圍之任何術語歸於不常見的或特別的意義。進一步地說,本發明包括目前及未來已知之本文藉由圖式說明之方式所參考之已知元件之等同物。
根據一般態樣,本發明之實施使在其他不安全之SATA資料及通訊上提供安全為可能的。根據一態樣,本發明之實施例實作經由SATA通道所發送之資料之加密及解密。根據其他態樣,本發明之實施例實作大容量儲存器之快照集(snapshots)及/或備份。根據更進一步之態樣,本發明之實施例實作透明大容量儲存器之病毒掃描及壓縮。根據更進一步之態樣,本發明之實施例包含提供存取多個驅動機之埠倍增器,該多個驅動機包含HDD/SSD、RAM驅動機、虛擬網路驅動機及快照驅動機。根據某些額外態樣,藉由本發明之實施例所執行之安全功能可邏輯地對上游主機及下游裝置來說為透明的。
第1圖為根據本發明之實施例之用於管理電腦大容量儲存裝置之安全之系統100之系統層級方塊圖。如所展示的,系統100包含經管理之安全電腦120,該經管理之安全電腦120包含SATA主機102、安全SATA子系統104及SATA裝置110。
在根據本發明之實施例之一未限制之範例配置中,安全電腦120為獨立電腦系統,類似習知桌上型電腦、膝上型電腦或平板電腦。在此類範例中,實施主機102為I/O周邊元件(例如,x86南橋或PCH晶片)之主機CPU集合之部分,及該主機102與習知作業系統(如Windows)及相關裝置驅動軟體通訊。根據本發明之某些態樣,在此範例中,子系統104之操作及功能係對主機CPU及相關作業系統及應用程式軟體而言為完全透明的。此外,除了本發明之安全功能外,使用者之安全電腦120之操作經驗與習知桌上型電腦、膝上型電腦及平板電腦之經驗完全相同。因此,雖然執行於電腦上之本申請案之軟體實際上不受限制,但裝置110之使用係藉由子系統106而被嚴格控制,該子系統106係執行如將要於下文所詳加描述之安全政策。
在這些及其他實施例中,子系統104較佳地為嵌入式系統。因此,此執行與嵌入式處理器一起被提供之所指派之軟體系統,及在任何情況下皆無法被電腦之終端使用者修改。根據本發明之態樣,子系統104係負責執行安全功能,如剖析及透明地加密或解密資料流。
在共同未決之美國專利申請案13/971,677(UNI-014)
中描述用於在安全電腦120中與主機CPU一起實施子系統104之範例架構,該美國專利申請案之內容以引用方式併入本文中。在經由本發明之教示後,本領域具有通常知識者將瞭解如何在安全電腦120之各種配置中實施本發明之原則。
SATA裝置110包含SATA標準介面,該SATA標準介面包含於如磁碟驅動機或固態驅動機之內部或外部儲存裝置中。雖然第1圖僅展示一SATA裝置110及SATA主機102,但應瞭解的是單一電腦120中可有好幾個藉由個別子系統104或相同子系統104管理之SATA裝置及主機。此外,雖然本發明將更被詳細地描述關於SATA標準之部分,但在本發明之教示後,本領域具有通常知識者將能夠以根據相似標準之裝置及通訊實施本發明,該等相似標準如eSATA及mSATA等。再進一步地說,應該瞭解的是,可應用本發明至每一目前或未來的SATA版本(例如,SATA規格1.0、2.0及3.0等)。
在共同未決之美國專利申請案13/971,582(UNI-007)中更仔細描述藉由可調適以於本發明中使用之安全SATA子系統104執行之安全功能之類型之各個態樣,該美國專利申請案之內容以引用其整體之方式併入本文中。
第1圖更顯示藉由通訊通道108耦合至安全電腦120之安全子系統104之遠端管理系統106。第1圖亦展示可經由通訊通道108發送之不同的訊息類型,特別是來自安全子系統104至遠端管理系統106之狀態訊息112、來自遠端管理系統106至安全子系統104之控制訊息114及來自安全子系統
104至遠端管理系統106之資料訊息116。
雖然第1圖展示僅耦合至一安全子系統104之遠端管理系統106,但應清楚的是,一或更多個額外安全子系統104可被類似地耦合至遠端管理系統106。
可能取決於由系統106所管理之裝置之數量及類型,而可用各個方式實施通道108。在一些實施例中,通道108可為系統106及子系統104間之分離之直接點對點連結。在其他實施例中,可由在眾多子系統104間共享之傳輸媒體實施通道108。在這些及其他實施例中,通道108可包含任何有線媒體或無線媒體之結合(如乙太網路或無線區域網路),及該通道108可包含系統106及子系統104間之交換器及路由器。在這些及其他實施例中,可藉由使用私有協定之公用及私有網路之各個類型及/或結合而實施通道108,該等私有協定係執行於習知協定(如UDP或TCP)上方或習知協定上。在實施例中,加密經由通訊通道108上發送之資料以改善安全;舉例而言,使用安全VPN。
根據一般態樣,在本發明之實施例中,遠端管理系統106負責管理可包含經允許裝置及該等裝置之加密金鑰之列表之政策。基於這些列表及附加至電腦120之介面之裝置,遠端管理系統106經由通道108發送適當的配置資訊(如加密金鑰)至子系統104。
因此,自遠端管理系統106發送至一或更多個安全SATA子系統104之控制訊息114包含不同的配置指令及設定,如要於下文中所詳加描述之加密金鑰及病毒特徵碼。自
一或更多個安全SATA子系統104發送至遠端管理系統106之狀態訊息112包含不同通知及警告。狀態訊息112之範例包含附加裝置110之通知。自一或更多個安全SATA子系統104發送至遠端管理系統106之資料訊息116包含來自安全裝置之資料(如病毒懷疑及/或偵測)、使用統計(如磁碟活動程度及存取時間監控)、已使用/剩餘容量、磁碟健康、快照準備等。
在共同未決之美國專利申請案13/971,711(UNI-008)中更詳細描述各個態樣之可調適以於本發明中使用之遠端管理系統及/或安全政策,該美國專利申請案之內容以引用其整體之方式併入本文中。
如先前所提到的,本發明之態樣包含提供安全功能至其他不安全之SATA介面。第2圖展示現有之SATA系統。此包括SATA主機202及SATA裝置210。如已知的,SATA使用點對點架構。在其他主機及裝置間不共享SATA主機及SATA裝置間之實體連接。在常見實施中,PC系統具有建立至主機板之支援SATA主機202之SATA控制器,該SATA控制器典型地以2-8埠為特徵。可經由外接SATA主機轉接器安裝額外埠,該外接SATA主機轉接器係***至系統匯流排插槽中(例如,PCI)。典型地經由具有獨立發送及接收芯對之標準7芯資料電纜,並以使用差分信號之該等電纜之每者而提供在SATA主機202及SATA裝置210(在此範例中經整合至硬驅動機或固態驅動機214)間之資料連接。應注意的是,有亦可與本發明一起使用之其他類型之SATA連接器(如eSATA及mSATA)。
第3圖為圖示根據本發明之實施例之另一範例管理系統300之方塊圖。在此範例中,系統管理經由個別通訊通道108-1及108-2連接至遠端管理系統106之兩個安全SATA子系統304-1及304-2之安全性。
如可見的,相較於第2圖,藉由安全SATA子系統304、遠端管理系統106及通訊通道108之包含以使系統300之拓樸安全。
如上文關於第1圖之更一般之範例所述的,及如將要於下文更仔細描述的,安全SATA子系統304係負責根據經由遠端系統106所管理之政策及經由遠端系統106所提供之金鑰剖析及透明地加密或解密資料流。在如第4圖所展示之實施例中,在安裝於印刷電路板(PCB)404上之單晶片上或半導體裝置上(例如,SOC)一起實施SATA主機302(可能為主機CPU)及子系統304。作為替代的,可在獨立地安裝於PCB 404上之不同晶片中實施SATA主機302及子系統304。在此實施例之任一實施中,未加密資料係藉由子系統304及主機302之不可為第三方存取之屬性,而在子系統304及SATA主機302間安全地通訊。舉例而言,其中404為PCB,及主機302及子系統304在獨立晶片中,在其之間之通訊信號可被埋入PCB電路走線內。如進一步顯示的,子系統經由纜線使加密資料與SATA裝置310(典型地一起整合至實體儲存裝置314,如硬驅動機或固態驅動機)通訊,該SATA裝置310對PCB或SOC 404來說係為外部的。舉例而言,HDD/SSD 314係可拆卸的,及該HDD/SSD 314之對子系統314之SATA
連接係便於監聽的。在範例實施例中,在SATA主機302上之軟體及硬體層亦可預防監聽,舉例而言藉由使用密碼或生物特徵識別(例如,指紋、臉部辨識及虹膜掃描等)。
根據本發明之額外態樣,安全SATA子系統304之實施例係或許在由遠端管理系統106所提供之配置所定義之預先定義之離散時間點處,負責建立儲存於HDD/SSD 314中之資料之快照。根據本發明之更進一步之態樣,安全SATA子系統之實施例係負責在HDD/SSD 314上執行資料確認,如病毒掃描。
如以上所闡述的,通訊通道108係負責用於加密儲存於HDD/SSD 314上之資料之加密金鑰之自遠端管理系統106至安全SATA子系統304之安全傳輸,及該通訊通道108負責子系統304及管理系統106間之狀態及指令訊息(例如,病毒警告、磁碟健康及使用等)之安全傳輸。此外,在一些實施例中,通道108亦運載磁碟驅動快照資料。可加密及選項地壓縮此快照資料。
第5圖為用於根據本發明之實施例而保全SATA通訊之系統之另一檢視,該系統經分解成涉及資料流之軟體層及硬體層。
在此範例中,與SATA裝置510相關之硬體裝置為實體儲存裝置514,如硬驅動機或SSD。SATA裝置510係負責將經由業界標準SATA協定所運載之資料轉換至由實體儲存裝置514所使用之供應商特定資料格式。SATA裝置510經由如SATA標準纜線、eSATA或mSATA之連接542連接
至安全子系統504。如所展示的,在本發明之此實施例中之子系統504實施加密層。此執行資料之透明加密及解密,該資料係於SATA主機502及裝置510間傳遞。應注意的是,子系統504之實施例可執行如下文更詳加解釋的額外安全功能(如病毒掃描等)。
如第5圖更進一步顯示的,在軟體層上方處,SATA主機502為裝置驅動544及檔案系統546。檔案系統之範例為FAT32、NTFS或ext4。根據本發明之態樣,SATA裝置驅動544及檔案系統546兩者不知道資料經加密之事實。
在軟體層上方處,裝置驅動544及檔案系統546為作業系統548。作業系統之範例為Linux、Mac OS、Windows、Android或iOS。於軟體層之作業系統548上方處展示應用程式550。
第6圖為根據本發明之實施例之安全電腦620之一範例之頂層方塊圖。如所展示的,此包括獨立的主機處理器630及安全處理器632,該主機處理器630及安全處理器632兩者連接至SATA複合634。SATA硬驅動機610(此包含經整合之SATA裝置)亦連接至SATA複合634,就像DDR 636一樣。在實施例中,為了如快取本地端快照資料及掃描來自磁碟之資料區塊之此類功能,而提供DDR記憶體636以由安全處理器632使用,以用於儲存安全處理器632之應用程式記憶體之資料。應注意的是,有許多可在本發明之實施例中使用之DDR的變形,如DDR2、DDR3及LPDDR等。
粗線指示主機處理器630、HDD 610、DDR記憶體
636、安全處理器632及SATA複合634間之高速資料路徑。
額外地或作為替代地,DDR記憶體為可由安全處理器632使用而作為RAM驅動機以加速儲存處理。作為RAM驅動機,此可作為揮發性儲存器或用於在主機處理器630上之作業系統之工作記憶體。作為揮發性,當系統620關閉時其內容被抹除。在一些實施例中,可使用RAM驅動機為HDD之替代。在這些可能實施例中,沒有用於主機處理器630之永久儲存器。所有經由主機處理器630建立及使用之檔案儲存於網路檔案伺服器中,及根據需要而經由遠端管理系統106下載該等檔案至記憶體636之RAM驅動機中。主機之作業系統及應用程式可儲存於板上之快閃記憶體中,及可在開機及根據需要而載入該等主機之作業系統及應用程式至DDR記憶體636之RAM驅動機中。因在RAM驅動機上之檔案被改變,故經由遠端管理系統106上傳該等檔案至網路檔案伺服器。此可被視為安全之極端形式,其中無使用者資料/檔案被永久地儲存於PC上。此亦需要使用者連接至網路,以用有意義之方式使用PC。
在上述及其他實施例中,其中亦可經由主機處理器630存取DDR記憶體636,一些部分較佳地專門保留給藉由安全處理器632之存取。
在實施例中,除了一起實施安全SATA子系統之安全處理器632、SATA複合634及DDR 636外,安全電腦620與習知之獨立電腦或膝上型電腦相似。舉例而言,主機處理器630可包含習知PC處理器系統,該習知PC處理器系統包
含執行標準作業系統(如Windows)之習知x86處理器,及該主機處理器630可更包含標準SATA裝置驅動、硬體介面及SATA主機。在不知道安全處理器632、SATA複合634及DDR 636執行安全功能的情況下,主機處理器630之作業系統、驅動及應用程式運轉。
在實施例中,主機處理器630及安全處理器632兩者被連接至SATA複合634為主機(master),此意味該主機處理器630及安全處理器632兩者可初始化帶有為DDR 636及硬驅動機610之目標之SATA交易。因此,在沒有干擾主機處理器之存取的情況下(即,沒有效能下降),安全處理器632可使用優先仲裁機制而在背景中存取驅動。仲裁可決定誰具有優先存取(典型地為主機處理器630)及有多少(例如,對於未處理之SATA指令之給定數目、有多少來自主機630及有多少來自安全處理器632)。因此,驅動係藉由處理器630及632兩者共享,此使安全處理器632執行背景任務,如病毒掃描及用於「基於內容之遠端」儲存之內容辨識等。
第7圖係更仔細地展示根據本發明之實施例之範例SATA複合634之方塊圖。
如所展示的及參考第6圖中之整體電腦系統圖,SATA複合634係包含於帶有SATA主機(係經由主機處理器630實施)、SATA裝置610、安全處理器632及DDR記憶體634之整體系統620中。如第6圖中,粗線指示SATA主機630、裝置610、DDR記憶體636及遠端管理系統106間之高速資料路徑。顯示於第7圖中之其他線為控制路徑。
如此範例所展示的,SATA複合634包含SATA裝置核心702、SATA裝置核心704、埠選擇器706、埠倍增器708、資料壓縮區塊710、加密/解密區塊712、虛擬驅動機控制器714、快照管理器716、標籤管理器718、加密金鑰管理器720、資料掃描加速器722及遠端管理系統介面724。將於以下更仔細地描述這些元件之態樣。硬驅動機控制器732實施如上所描述的DDR及HDD驅動存取功能。
如此範例更進一步所顯示的,系統620更包含電腦系統元件,如系統匯流排730(例如,ARM處理器之AXI系統匯流排)、指令及控制埠726、RAM驅動機控制器736、DDR記憶體控制器738及DMA 740。本領域具有通常知識者自以下所提供之範例將顯而易見這些元件之實施及操作細節,故為本發明之清楚起見,將省略該這些元件之實施及操作細節之詳細描述。
應注意的是,電腦620及/或SATA複合634可包含未顯示於第7圖之額外元件。舉例而言,SATA複合634可包含如FIFO之資料緩衝器,以緩衝至/自SATA主機630、裝置及主機核心702及704、記憶體控制器738及遠端管理系統介面724之資料流。應更注意的是,相較於第7圖所展示的,電腦620及/或SATA複合634可包含較少的元件,舉例而言取決於在安全電腦620之特定實施例中所支援之SATA安全功能之特定結合。應更注意的是,雖然為易於說明而獨立展示,但可在任何硬體、軟體或韌體之結合中一起實施SATA複合634之某些或全部元件及安全處理器子系統632。在一範
例實施中,提供上述之元件及子系統於一單一ASIC(即,系統單晶片(SOC))中。根據本發明之態樣,在所有實施中,提供上述之元件及子系統以讓使用者或第三方無法存取主機處理器630、安全處理器632及SATA複合634間之通訊。
根據本發明之透明態樣,SATA裝置核心702及主機核心704如對應SATA主機630及SATA裝置610之同儕裝置般地操作。因此,從協定角度來看,其使得本發明之安全子系統對SATA主機630及SATA裝置610來說係為透明的。此外,核心702及704較佳地提供全套之標準SATA特徵。在藉由本發明及SATA規格之教示後,SATA裝置領域之具有通常知識者將瞭解如何實施SATA裝置核心及主機核心704。
為進一步地實施本發明之透明態樣,埠選擇器706控制對至SATA裝置/驅動610、SATA主機630或安全處理器632之資料路徑之存取。埠選擇器706之輸出連接至埠倍增器708,該埠倍增器708為SATA通道資料擇路至硬驅動610(經由硬驅動機控制器732)、RAM驅動機控制器736、虛擬驅動機控制器714或快照驅動機控制器(經由快照管理器716)。
SATA複合634之範例實施例包含16埠倍增器708,該16埠倍增器708如下述配置:埠0耦合SATA通道至HDD 610;埠1耦合SATA通道至用於加速儲存處理或作為系統內之單獨驅動機之RAM驅動機控制器736;埠2耦合SATA通道至快照管理器716以讓使用者能選擇本地端儲存之快照之一者以被安裝為對主機處理器630為可見之快照驅
動機;埠3-14為虛擬網路驅動機以提供對基於網路儲存器之存取;及埠15為實施用於內部埠管理之暫存器之控制埠。將於以下提供執行透明加密/解密及提供虛擬驅動之額外操作細節。
更進一步支持本發明之透明態樣,標籤管理器718係負責轉換SATA指令標籤為由SATA複合634所使用之標籤範圍。轉換使藉由主機630、安全處理器632至HDD 610之平行存取為可能。標籤實施用於SATA主機之指令佇列以排序(queue)指令,及為SATA裝置每次執行該等指令之一個指令,因此自驅動去耦合SATA主機。舉例而言,SATA允許最多32個未處理經排序(queued)之以驅動執行之指令(例如,LBA 5處之寫入方塊)。映射來自主機及安全處理器之SATA經排序(queued)指令至單一指令佇列,同時優先來自每一處理器之指令(基於仲裁邏輯優先)。
包含本發明之安全功能之安全SATA複合634之整體操作係藉由安全處理器632控制。如此範例所展示的,可由一或更多個CPU核心及嵌入式軟體所組成之子系統實施安全處理器632。此嵌入式軟體控制整體系統操作:重新啟動、初始化、配置、設定不同裝置間的DMA、管理加密金鑰及經由遠端管理系統介面724與遠端管理系統106通訊,及當建立/刪除快照時管理及如何建立/刪除快照等。嵌入式軟體亦可執行各種相關應用程式,如為病毒而掃描驅動。掃描可包含尋找經由遠端管理系統106所提供之病毒特徵碼。在如本文所仔細描述之子系統632所執行之功能之教示後,本領域具
有通常知識者將能夠瞭解如何實施用於處理器子系統632之嵌入式軟體。
安全處理器子系統632具有對用於執行一些或全部之下列安全功能之驅動機610之完整(優先的及背景的)存取,該一些或全部之下列安全功能為:防毒掃描;配置用於加密及壓縮之驅動機610;捕捉及執行所有非區塊資料SATA指令(例如,配置/狀態指令、非LBA之讀/寫、識別(IDENTIFY)指令及狀態指令);管理透明備份/快照功能及管理如關鍵字掃描之監聽功能。將於以下更仔細討論這些安全功能之態樣。
在實施例中,安全處理器子系統632具有對驅動機610及RAM驅動機736之較高優先存取,以確保在不知道主機630的情況下,僅在系統啟動期間或可選地在週期病毒掃描期間執行正確配置。否則,主機處理器將具有對驅動之優先存取(用於正常區塊讀取/寫入操作)。
安全處理器子系統632以經由遠端管理系統介面724(RMS IF)及通訊通道108(典型地實施為乙太網路)之遠端管理系統106,而與如裝置610之狀態(例如,驅動機之使用及容量等)之控制資訊及包括加密金鑰之安全配置通訊。安全處理器子系統632亦控制其他SATA複合634與遠端管理系統106之資料通訊。在實施例中,遠端管理系統(RMS)IF 724加密及可選地壓縮在通訊通道108上所傳遞之資料。將自下列描述而顯而易見這些額外資料通訊之態樣。
在實施例中,安全處理器子系統632包括用於實施認證之功能。舉例而言,驅動610上之磁區係專用於元資料(驅
動專用資訊)。提供用於所有驅動之單一金鑰以讀取那些經加密之資料。同時,每一驅動將具有該每一驅動自身的用於所有在驅動上之其他資料之金鑰。
此外或作為替代的,安全處理器子系統632亦維持關於驅動610之活動及統計,如在特定期間有多少讀取及寫入發生、區塊位址之直方圖及存取等,及該安全處理器子系統632可週期地發送此資料至遠端管理系統106,或根據來自系統106之指令而週期地發送此資料至遠端管理系統106。
根據第7圖所展示之本發明之範例實施例之態樣,藉由壓縮區塊710及加密區塊712透明地壓縮及隨後加密所有寫入至硬驅動機610之資料,及藉由區塊712及710個別地解密及解壓縮自硬驅動機610所讀取之所有資料。讀取程序對稱於寫入程序。根據本發明之更進一步之態樣,或許根據自遠端管理系統106所接收之安全政策及/或配置,而可由安全處理器子系統632啟用或禁用資料壓縮模組710之操作及/或加密/解密模組712。此外,可基於資料類型而控制區塊710及/或712之操作。舉例而言,可加密及壓縮所有來自SATA主機630之資料,反之不加密來自安全處理器632之資料。不加密或壓縮來自主機630或安全處理器632之確切的SATA指令(例如,執行讀取/寫入存取、控制驅動機或讀取狀態)。
加密金鑰管理器720管理區塊712所使用之資料加密/解密之金鑰之本地快取。加密金鑰管理器720之實施例可在本地模式中操作,其中在沒有涉及遠端管理系統106的情況下管理金鑰。在這些及其他實施例中,加密金鑰管理器720
亦可(或作為替代的)經由遠端管理系統介面724而自遠端管理系統接收金鑰。
在共同未決之美國專利申請案13/971,632(UNI-010)中描述執行可調適以由本發明之加密/解密區塊712使用之SATA通訊之透明加密及解密之範例態樣,該美國專利申請案之內容以引用其整體之方式併入本文中。可由各種已知壓縮技術(如LZW或任何其他字典基礎壓縮演算法),而實施壓縮/解壓縮區塊710。
快照管理器716控制用於透明地建立裝置610中之資料之快照及/或此類資料之備份之功能。或許根據經由遠端管理系統106通訊之配置及/或政策,而可藉由安全處理器子系統632控制此類快照及/或備份之時間及啟用/禁用。
在實施例中,快照管理器716自裝置610處得到資料,及透明地經由埠選擇器706及DDR記憶體控制器738儲存資料於DDR記憶體636中。在這些及其他實施例中,安全處理器子系統632控制某些或全部之經儲存快照資料經由遠端管理介面724至遠端管理系統106之發送。
在共同未決之美國專利申請案13/971,651(UNI-013)中描述可調適以由本發明之快照管理器716使用之執行儲存於如裝置610之大容量儲存裝置上之資料之透明快照或備份之範例態樣,該美國專利申請案之內容以引用其整體之方式併入本文中。
根據本發明之額外態樣,快照管理器716使主機使用者選擇及安裝任何先前所儲存之快照之一者為可能,該等
任何先前所儲存之快照係儲存於HDD/SSD 610上為快照驅動機。在實施例中,快照管理器716可更進一步地允許自與遠端管理系統106相關之備份伺服器所取回的較舊快照(經由通訊通道108)。
資料掃描加速器722控制用於執行各個裝置610上之資料之確認之功能。或許根據經由遠端管理系統106所傳達之配置及/或政策,而藉由安全處理器子系統632控制此類確認之類型、時間及啟用/禁用。此可執行下列類型之資料確認:正規表示式、簽名確認及病毒掃描。加速器722之實施例係較佳地實施於硬體中,該硬體典型地較軟體實施快速。此外,根據發明之態樣,與其他SATA活動同時執行掃描。
根據發明之態樣,埠倍增器708使單一SATA主機能存取多個SATA驅動機。在實施例中,主機CPU經由該主機CPU自身之SATA主機630介面連接至SATA複合634中之埠倍增器。此範例中之埠倍增器708被連接至一些驅動機:實體HDD或SSD 610、實施於DDR記憶體中之RAM驅動機及一些虛擬網路驅動機(該些虛擬網路驅動機為放置於資料中心之實體驅動機,該等實體驅動機係由電腦120在通訊通道108上經由遠端管理系統106而存取,如NFS及快照驅動機(經由快照管理器716))。因此,在此範例中,主機使用者經由如視窗資源管理器(Windows Explorer)之習知檔案系統「看見」全部這些不同類型之驅動機及可存取該等這些不同類型之驅動機。
虛擬驅動機控制器714提供對於經由遠端管理系統
106所提供之虛擬之基於網路之驅動機之存取。如上文所闡述的,可能有各個虛擬驅動機,該各個虛擬驅動機對主機630來說如同真實驅動機般地呈現,但實體地經由遠端管理系統106而實施及經由虛擬驅動機控制器714管理於別處。
應注意的是,雖然第7圖未展示,但本發明之實施例可包含用於監聽SATA主機630及SATA HDD/SSD 610間傳達之SATA資料之功能,如於共同未決之美國專利申請案13/971,604(UNI-009)中以更多細節所描述的。在本發明之教示後,本領域具有通常知識者將能夠調適用於SATA複合634之本申請案所描述之技術。
在第7圖所展示之範例實施例中,使用DMA 740以執行HDD 610、DDR 636、SATA主機630及安全處理器632間之資料移動。可設定用於此類資料傳輸之DMA 740之模組為安全處理器632、埠選擇器706、快照管理器716、標籤管理器718及資料掃描加速器722。
與此相關地,可使用DDR記憶體636為如上文所述之用於快照資料之暫時儲存器,及用於在主機630/安全主機632及裝置610間傳輸之資料區塊、經排序指令(例如,用於讀取及寫入資料至裝置610)及其他資料結構之儲存器。
雖然本發明已參考本發明之較佳實施例而特定地描述,但對本領域具有通常知識者而言,在沒有背離本發明之精神及範疇的情況下,形式上及細節上之改變及修改應為顯而易見的。此傾向於附加之申請專利範圍包含此類改變及修改。
Claims (25)
- 一種用於安全儲存電腦系統資料之系統,包括:一大容量儲存裝置;一主機處理器系統,該主機處理器系統執行產生及使用儲存於該大容量儲存裝置上的主機資料之一作業系統及應用程式;及一安全子系統,該安全子系統對該主機處理器為透明的且獨立於該主機處理器在該主機資料上執行一個或更多個安全功能,且其中該安全子系統更產生及使用儲存於該大容量儲存裝置上的安全資料,且其中該安全子系統控制對該大容量儲存裝置的存取,使得該主機處理器系統不能存取該安全資料。
- 如請求項1所述之系統,其中該主機處理器系統包含一SATA主機且該大容量儲存裝置包括一SATA裝置,且其中該安全子系統包含一SATA複合,該SATA複合係介於該主機處理器系統之該SATA主機及包括該大容量儲存裝置之該SATA裝置間,其中該SATA複合包含一SATA裝置核心,該SATA裝置核心與該主機處理器系統的該SATA主機通訊。
- 如請求項1所述之系統,更包括:一遠端管理系統,該遠端管理系統經由一網路與該安全子系統通訊。
- 如請求項3所述之系統,其中該遠端管理系統管理用於 加密及解密儲存於該大容量儲存裝置上之該主機資料之金鑰。
- 如請求項3所述之系統,其中該遠端管理系統管理執行儲存於該大容量儲存裝置上之該主機資料之快照。
- 如請求項1所述之系統,其中該安全功能包括病毒掃描。
- 如請求項1所述之系統,其中該安全子系統包括用於控制該大容量儲存裝置上之該主機及該安全資料之一輸入及輸出之一埠選擇器。
- 如請求項7所述之系統,其中該埠選擇器選擇輸入來自該主機處理器系統之該主機資料或來自該安全子系統之該安全資料。
- 如請求項7所述之系統,其中該埠選擇器透明且獨立於該主機處理器系統來選擇輸出該主機資料至該大容量儲存裝置、包括於該安全子系統中之一RAM驅動機或一虛擬驅動機。
- 如請求項7所述之系統,其中該埠選擇器藉由該主機處理器系統或該安全子系統賦能(enable)對該大容量儲存裝置之優先存取。
- 如請求項1所述之系統,其中該安全子系統包括一埠倍增器,該埠倍增器係用於提供該主機處理器系統中之一主機驅動機介面存取複數個驅動機。
- 如請求項11所述之系統,其中該複數個驅動機包含一硬驅動機、一固態驅動機、一RAM驅動機、一虛擬驅動機及一快照驅動機之一個或更多個。
- 如請求項1所述之系統,更包括一揮發性記憶體,其中該安全子系統包括耦合至該揮發性記憶體之一RAM驅動機控制器,該RAM驅動機控制器係用於透明且獨立於該主機處理器系統來提供該主機處理器系統對該揮發性記憶體中之一RAM驅動機之存取。
- 如請求項1所述之系統,更包括耦合至一網路之一遠端管理系統介面,其中該安全子系統包括耦合至該遠端管理系統介面之一虛擬驅動機控制器,該虛擬驅動機控制器係用於透明且獨立於該主機處理器系統來提供該主機處理器系統對該網路上的一虛擬驅動機之存取。
- 如請求項1所述之系統,其中該安全子系統包括一快照管理器,該快照管理器提供該主機處理器系統對複數個該大容量儲存裝置上之該主機資料之經儲存快照之一者之存取。
- 如請求項1所述之系統,更包括一主機板,該主機處理器及該安全子系統共同附加至該主機板。
- 如請求項6所述之系統,其中該安全子系統包含一遠端管理介面,該遠端管理介面經由一網路與一遠端管理系統通訊,其中該遠端管理介面接收來自該遠端管理系統的病毒特徵碼以使用於該病毒掃描。
- 一種用於保全電腦系統資料之方法,包括以下步驟:接收由該電腦系統之一主機處理器所產生之主機資料;在儲存該主機資料至該電腦系統之一大容量儲存裝置前,透明地加密該主機資料;在該大容量儲存裝置上儲存該經加密主機資料;藉由該電腦系統的一安全子系統產生安全資料;及對該主機處理器透明地且獨立於該主機處理器來控制該安全資料在該大容量儲存裝置上的儲存,使得該主機處理器不能存取該安全資料。
- 如請求項18所述之方法,其中該透明加密不違反該大容量儲存裝置之規格要求。
- 如請求項19所述之方法,其中該大容量儲存裝置包括一SATA裝置,及其中該規格要求包括通訊延遲、資料完整性及 資料速率之一個或更多個。
- 如請求項18所述之方法,更包括以下步驟:自一遠端管理系統接收一加密金鑰,其中透明地加密之步驟包括使用該已接收之加密金鑰。
- 如請求項18所述之方法,更包括以下步驟:接收藉由該主機處理器之一請求,以存取來自該大量儲存裝置之該加密主機資料;及在提供該經請求之主機資料至該主機處理器前,透明地解密該加密主機資料。
- 如請求項18所述之方法,更包括以下步驟:經由一網路發送該大量儲存裝置之一目前狀態至一遠端管理系統。
- 一種電腦系統,包括:一主機處理器子系統,該主機處理器子系統執行產生及使用主機資料之一作業系統及應用程式,該主機處理器子系統具有一介面以用於使該主機資料儲存於一大容量儲存裝置上及自該大容量儲存裝置存取;一安全子系統,該安全子系統對該主機處理器子系統為透明的且獨立於該主機處理器子系統來控制該主機資料的該儲存及該存取,且其中該安全子系統選擇性地使該主機資料儲存於以下一者上:該電腦系統中的揮發性記憶體中的一 RAM驅動機、該電腦系統中的一硬驅動機、或一網路上的一虛擬驅動機;及一主機板,該主機處理器子系統及該安全子系統共同附加至該主機板。
- 如請求項24所述之電腦系統,其中該介面包括一SATA主機。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US13/971,732 US9424443B2 (en) | 2013-08-20 | 2013-08-20 | Method and apparatus for securing computer mass storage data |
US13/971,732 | 2013-08-20 |
Publications (2)
Publication Number | Publication Date |
---|---|
TW201514749A TW201514749A (zh) | 2015-04-16 |
TWI620093B true TWI620093B (zh) | 2018-04-01 |
Family
ID=52481462
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
TW103128138A TWI620093B (zh) | 2013-08-20 | 2014-08-15 | 用於保全電腦大容量儲存資料的方法和裝置 |
Country Status (3)
Country | Link |
---|---|
US (2) | US9424443B2 (zh) |
TW (1) | TWI620093B (zh) |
WO (1) | WO2015026829A1 (zh) |
Families Citing this family (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US9232176B2 (en) | 2013-03-04 | 2016-01-05 | Janus Technologies, Inc. | Method and apparatus for securing computer video and audio subsystems |
US9231921B2 (en) | 2013-08-20 | 2016-01-05 | Janus Technologies, Inc. | System and architecture for secure computer devices |
US9215250B2 (en) | 2013-08-20 | 2015-12-15 | Janus Technologies, Inc. | System and method for remotely managing security and configuration of compute devices |
US10796002B1 (en) | 2014-09-08 | 2020-10-06 | Janus Technologies, Inc. | Method and apparatus for establishing a root-of-trust path for a secure computer |
DE102014222181A1 (de) * | 2014-10-30 | 2016-05-04 | Robert Bosch Gmbh | Verfahren zum Betreiben eines Steuergeräts |
US9800561B2 (en) * | 2014-11-06 | 2017-10-24 | Intel Corporation | Secure sharing of user annotated subscription media with trusted devices |
US11269984B2 (en) | 2014-12-09 | 2022-03-08 | Janus Technologies, Inc. | Method and apparatus for securing user operation of and access to a computer system |
US10474589B1 (en) | 2016-03-02 | 2019-11-12 | Janus Technologies, Inc. | Method and apparatus for side-band management of security for a server computer |
US11010475B1 (en) | 2016-10-07 | 2021-05-18 | Janus Technologies Inc. | Secure computer with multiple operating systems |
US10540198B2 (en) * | 2017-07-01 | 2020-01-21 | Intel Corporation | Technologies for memory replay prevention using compressive encryption |
CN107911221B (zh) * | 2017-11-22 | 2021-01-12 | 深圳华中科技大学研究院 | 固态盘数据安全存储的密钥管理方法 |
KR102485368B1 (ko) | 2018-01-15 | 2023-01-05 | 삼성전자주식회사 | 전자 장치, 그 제어 방법 및 컴퓨터 판독가능 기록 매체 |
TWI739405B (zh) | 2020-04-24 | 2021-09-11 | 新唐科技股份有限公司 | 病毒防護晶片及病毒防護方法 |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5987572A (en) * | 1997-09-29 | 1999-11-16 | Intel Corporation | Method and apparatus employing a dynamic encryption interface between a processor and a memory |
TW201027338A (en) * | 2009-01-12 | 2010-07-16 | Prolific Technology Inc | External storage device having a self-contained security function |
Family Cites Families (60)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US4598170A (en) | 1984-05-17 | 1986-07-01 | Motorola, Inc. | Secure microprocessor |
JP2831703B2 (ja) | 1989-06-23 | 1998-12-02 | 株式会社東芝 | 自動フロアプラン演算装置 |
US5715174A (en) | 1994-11-15 | 1998-02-03 | Absolute Software Corporation | Security apparatus and method |
US5724027A (en) | 1995-09-28 | 1998-03-03 | Intel Corporation | Method and apparatus for providing system security to personal computer systems using transparent system interrupt |
US5946469A (en) | 1995-11-15 | 1999-08-31 | Dell Computer Corporation | Computer system having a controller which emulates a peripheral device during initialization |
US6088802A (en) | 1997-06-04 | 2000-07-11 | Spyrus, Inc. | Peripheral device with integrated security functionality |
US6061794A (en) | 1997-09-30 | 2000-05-09 | Compaq Computer Corp. | System and method for performing secure device communications in a peer-to-peer bus architecture |
US6453446B1 (en) | 1997-12-24 | 2002-09-17 | Magma Design Automation, Inc. | Timing closure methodology |
US6243851B1 (en) | 1998-03-27 | 2001-06-05 | Xilinx, Inc. | Heterogeneous method for determining module placement in FPGAs |
US7756986B2 (en) | 1998-06-30 | 2010-07-13 | Emc Corporation | Method and apparatus for providing data management for a storage system coupled to a network |
US6546491B1 (en) | 1999-03-19 | 2003-04-08 | International Business Machines Corporation | Securing mobile computer systems in a corporate environment |
US7225333B2 (en) | 1999-03-27 | 2007-05-29 | Microsoft Corporation | Secure processor architecture for use with a digital rights management (DRM) system on a computing device |
US6594780B1 (en) | 1999-10-19 | 2003-07-15 | Inasoft, Inc. | Operating system and data protection |
US7240303B1 (en) | 1999-11-30 | 2007-07-03 | Synplicity, Inc. | Hardware/software co-debugging in a hardware description language |
US7225423B2 (en) | 2000-06-30 | 2007-05-29 | Zenasis Technologies, Inc. | Method for automated design of integrated circuits with targeted quality objectives using dynamically generated building blocks |
US7350204B2 (en) | 2000-07-24 | 2008-03-25 | Microsoft Corporation | Policies for secure software execution |
US7320071B1 (en) | 2001-05-22 | 2008-01-15 | National Semiconductor Corporation | Secure universal serial bus |
US6820160B1 (en) | 2001-08-21 | 2004-11-16 | Cypress Semiconductor Corporation | Apparatus for optically isolating a USB peripheral from a USB host |
US7478235B2 (en) | 2002-06-28 | 2009-01-13 | Microsoft Corporation | Methods and systems for protecting data in USB systems |
US6782424B2 (en) | 2002-08-23 | 2004-08-24 | Finite State Machine Labs, Inc. | System, method and computer program product for monitoring and controlling network connections from a supervisory operating system |
US7149992B2 (en) | 2002-10-23 | 2006-12-12 | Via Technologies, Inc. | Method for faster timing closure and better quality of results in IC physical design |
US7055113B2 (en) | 2002-12-31 | 2006-05-30 | Lsi Logic Corporation | Simplified process to design integrated circuits |
US6922817B2 (en) | 2003-04-04 | 2005-07-26 | Lsi Logic Corporation | System and method for achieving timing closure in fixed placed designs after implementing logic changes |
RU2308080C2 (ru) | 2003-05-02 | 2007-10-10 | Гиритек А/С | Всеобъемлющая, ориентированная на пользователя сетевая безопасность, обеспечиваемая динамической коммутацией датаграмм и схемой аутентификации и шифрования по требованию через переносные интеллектуальные носители информации |
US7469343B2 (en) | 2003-05-02 | 2008-12-23 | Microsoft Corporation | Dynamic substitution of USB data for on-the-fly encryption/decryption |
US7337100B1 (en) | 2003-06-12 | 2008-02-26 | Altera Corporation | Physical resynthesis of a logic design |
US6961852B2 (en) | 2003-06-19 | 2005-11-01 | International Business Machines Corporation | System and method for authenticating software using hidden intermediate keys |
US7117473B1 (en) | 2004-03-03 | 2006-10-03 | Xilinx, Inc. | System for creating a physical hierarchy of a chip without restriction by invading a logical hierarchy of logic blocks |
US7987497B1 (en) | 2004-03-05 | 2011-07-26 | Microsoft Corporation | Systems and methods for data encryption using plugins within virtual systems and subsystems |
US7396257B2 (en) | 2005-05-26 | 2008-07-08 | Itt Manufacturing Enterprises, Inc. | Computer input/output (I/O) connector assembly having a security circuit disposed therein |
US7340700B2 (en) | 2005-05-27 | 2008-03-04 | Lsi Logic Corporation | Method for abstraction of manufacturing test access and control ports to support automated RTL manufacturing test insertion flow for reusable modules |
EP1920380B1 (en) | 2005-07-08 | 2011-02-16 | Sandisk Corporation | Mass storage device with automated credentials loading |
US7962755B2 (en) | 2006-04-28 | 2011-06-14 | Ceelox, Inc. | System and method for biometrically secured, transparent encryption and decryption |
US7818395B2 (en) | 2006-10-13 | 2010-10-19 | Ceelox, Inc. | Method and apparatus for interfacing with a restricted access computer system |
US7635272B2 (en) | 2006-08-17 | 2009-12-22 | Acco Brands Usa Llc | USB port locking and blocking device |
KR101391152B1 (ko) | 2007-04-05 | 2014-05-02 | 삼성전자주식회사 | Ums 기기의 컨텐츠를 보호하기 위한 방법 및 장치 |
US8011010B2 (en) | 2007-04-17 | 2011-08-30 | Microsoft Corporation | Using antimalware technologies to perform offline scanning of virtual machine images |
US8321936B1 (en) | 2007-05-30 | 2012-11-27 | M86 Security, Inc. | System and method for malicious software detection in multiple protocols |
CA2692395A1 (en) | 2007-07-06 | 2009-01-15 | Kerry Berland | Unidirectional usb port |
US20090033668A1 (en) | 2007-07-31 | 2009-02-05 | Pederson Douglas A | Display EDID emulator system and method |
CZ2007779A3 (cs) | 2007-11-08 | 2009-05-20 | Monet+,A.S. | Zpusob zabezpecení autorizovaného zadávání dat a zarízení k jeho provádení |
US8646040B2 (en) | 2007-12-31 | 2014-02-04 | International Business Machines Corporation | Method and system for securing access to an unsecure network utilizing a transparent identification member |
US7984285B2 (en) | 2008-02-26 | 2011-07-19 | Dell Products L.P. | Information handling system port security |
FR2934395B1 (fr) | 2008-07-23 | 2013-01-04 | Trusted Logic | Systeme et procede pour la securisation d'une interface utilisateur |
US8122399B2 (en) | 2008-08-28 | 2012-02-21 | International Business Machines Corporation | Compiler for closed-loop 1×N VLSI design |
CN101796514B (zh) * | 2008-10-07 | 2012-04-18 | 华中科技大学 | 对象存储***的管理方法 |
US7677065B1 (en) | 2008-11-18 | 2010-03-16 | Jin Tay Industries Co., Ltd. | Lock for a USB connector |
IT1392913B1 (it) | 2008-12-30 | 2012-04-02 | St Microelectronics Srl | Metodo per implementare variazioni di funzionalita' di un layout di progetto di un dispositivo integrato, in particolare un sistema su singolo chip o system-on-chip mediante celle di riempimento programmabili tramite maschera |
US9065812B2 (en) | 2009-01-23 | 2015-06-23 | Microsoft Technology Licensing, Llc | Protecting transactions |
US20110102443A1 (en) | 2009-11-04 | 2011-05-05 | Microsoft Corporation | Virtualized GPU in a Virtual Machine Environment |
US20110154023A1 (en) | 2009-12-21 | 2011-06-23 | Smith Ned M | Protected device management |
EP2572310B1 (en) | 2010-05-20 | 2018-12-19 | High Sec Labs Ltd. | Computer motherboard having peripheral security functions |
US8824492B2 (en) * | 2010-05-28 | 2014-09-02 | Drc Computer Corporation | Accelerator system for remote data storage |
TW201202996A (en) | 2010-07-12 | 2012-01-16 | Walton Advanced Eng Inc | Encryption flash disk |
US9015649B2 (en) | 2010-07-19 | 2015-04-21 | Taiwan Semiconductor Manufacturing Co., Ltd. | Method and apparatus for electronic system model generation |
US8566934B2 (en) | 2011-01-21 | 2013-10-22 | Gigavation, Inc. | Apparatus and method for enhancing security of data on a host computing device and a peripheral device |
US8943227B2 (en) * | 2011-09-21 | 2015-01-27 | Kevin Mark Klughart | Data storage architecture extension system and method |
US8612681B2 (en) * | 2011-11-22 | 2013-12-17 | Hitachi, Ltd | Storage system, storage apparatus and method of controlling storage system |
US8813218B2 (en) | 2012-02-14 | 2014-08-19 | Janus Technologies, Inc. | Security-enhanced computer systems and methods |
US9672162B2 (en) * | 2013-08-16 | 2017-06-06 | Arm Limited | Data processing systems |
-
2013
- 2013-08-20 US US13/971,732 patent/US9424443B2/en active Active
-
2014
- 2014-08-15 TW TW103128138A patent/TWI620093B/zh not_active IP Right Cessation
- 2014-08-19 WO PCT/US2014/051699 patent/WO2015026829A1/en active Application Filing
-
2016
- 2016-08-22 US US15/243,826 patent/US10395044B2/en not_active Expired - Fee Related
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5987572A (en) * | 1997-09-29 | 1999-11-16 | Intel Corporation | Method and apparatus employing a dynamic encryption interface between a processor and a memory |
TW201027338A (en) * | 2009-01-12 | 2010-07-16 | Prolific Technology Inc | External storage device having a self-contained security function |
Also Published As
Publication number | Publication date |
---|---|
US10395044B2 (en) | 2019-08-27 |
US9424443B2 (en) | 2016-08-23 |
TW201514749A (zh) | 2015-04-16 |
US20160357973A1 (en) | 2016-12-08 |
WO2015026829A1 (en) | 2015-02-26 |
US20150058587A1 (en) | 2015-02-26 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
TWI620093B (zh) | 用於保全電腦大容量儲存資料的方法和裝置 | |
US9699216B2 (en) | System and method for remotely managing security and configuration of compute devices | |
TWI581125B (zh) | 以電腦實施的方法與使用其的系統、以及電腦程式產品 | |
JP4698982B2 (ja) | 暗号処理を行うストレージシステム | |
US9076003B2 (en) | Method and apparatus for transparently encrypting and decrypting computer interface data | |
KR101904635B1 (ko) | 개인 디바이스 및 클라우드 데이터의 분산된 보안 백업 | |
TWI620089B (zh) | 安全性電腦 | |
US8417967B2 (en) | Storage device data encryption using a binary large object (BLOB) | |
US20190238560A1 (en) | Systems and methods to provide secure storage | |
TW201516658A (zh) | 用於執行透明大量儲存備份及快照的方法及裝置 | |
US11354048B2 (en) | Storage device and data disposal method thereof | |
KR102478392B1 (ko) | 최저 테일 레이턴시를 갖는 ssd들을 식별하기 위한 시스템 및 방법 | |
US20200242050A1 (en) | System and method to protect digital content on external storage | |
US20240184899A1 (en) | Methods and apparatus for offloading encryption | |
US20220123932A1 (en) | Data storage device encryption | |
EP4350557A1 (en) | Data storage method and apparatus, device, and readable storage medium | |
US20210319121A1 (en) | Concurrent volume and file based inline encryption on commodity operating systems |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
MM4A | Annulment or lapse of patent due to non-payment of fees |