硬盘加密

摘要部分
摘 要： 本文从硬盘加密系统研究的背景与国内外发展现状出发，分析了硬盘加密的原理，重点对基于驱动过滤层、DSP芯片、FPGA的三种硬盘加密体系结构进行了分析比较，并对其系统中密钥管理这一难点问题进行了探讨。文中最后，预测硬盘加密系统的发展趋势。
正文部分1 硬盘加密研究背景与发展现状 
1.1 硬盘加密系统的研究背景 
自从上个世纪80年代以来，PC和笔记本电脑变得越来越普及，但是不久人们就注意到：硬盘被盗和涉及重要机密的笔记本电脑的接二连三的丢失变成了令相关政府、机构、企业和个人尤为头疼的大问题。根据美国计算机安全研究所的一项调查结果表明：膝上电脑和硬盘被盗已经成为继电脑病毒感染后人们关心的第二大安全性问题。  字串7
从近年来发生的一系列的硬盘和笔记本电脑丢失案件，人们意识到：保护硬盘的数据变得尤为重要。由美国计算机安全研究所公布的一项调查结果表明：2005年67%的企业曾经发生过硬盘和笔记本电脑被盗事件。于是，研究笔记本电脑和硬盘丢失后，如何有效地保护里面的数据，成为电脑厂商和信息安全机构研究的重点问题。 
为防止笔记本电脑被盗，生产商想出了各种办法：提供与普通手提箱相似的电脑箱；发明了警报系统；设计数据加密程序，使未经授权的使用者无法看到电脑里的内容等；推出指纹安全识别系统的笔记本电脑，用户只需在感应区按下指纹，便能纪录指纹资料，当系统启动并进入OS系统时，系统将要求用户指纹以供辩识，通过后才可以继续操作。但是这些都有一个致使的弱点是:一旦盗贼采取暴力破解的方式，将笔记硬盘取出，立即可以读取该笔记本硬盘中的宝贵数据，导致保密信息泄密。 
鉴于上面方法的原因，许多笔记本电脑厂商和信息安全公司采用软件加密的方式来保护硬盘数据，这在一定程序上保护了硬盘数据。但是软件加密的速度较慢，尤其是对一些海量数据用软件进行处理时，会造成硬盘读写的瓶颈。以软件程序方式加密很容易被读取并通过修改程序破解，所以公认硬件加密更为可靠。相对于软件加密而言，以硬件的方式实现硬盘加密系统有高速、保密、便携、不可替代性等特点。 

字串3

1、 高速。如果采用分组密码来实现加密的话，基本上可以做到“零等待”。 
2、 保密。可以采取“加密卡＋智能卡＋硬盘”的方式，做到.密钥分开存储，使用时进行动态重构，很好地实现了数据的保密要求。 
3、 便携。用户无需记忆密钥，只要携带智能卡或电子密钥，就可以对加密盘进行操作。 
4、 不可替代性。如果采用一些生物技术，如指纹、眼膜等，只有验证本人的身份合法后，才能进行对硬盘操作。 
 
1.2 国内外硬盘加密系统的研究现状 
1.2.1国外硬盘加密系统研究的发展现状 
　　国外在这方面研究起步比较早，开始于2000年左右。瑞典于2002年推出.第一款LoqDrive硬盘。LOqDrive是用半导体指纹传感器（即CMOS－based capacitive sensor）。它只对活体手指进行有效识别，从而用户在传感器上遗留的指纹是不会让硬盘识别而自动解锁的。它不依赖于操作系统、主板BIOS、应用程序和磁盘系统。不影响PC机和应用软件的性能。它支持USB1.1与PC机相连。 
2004年日本Thanko公司也推出一款Victoria 120，采用的是指.纹识别技术来实现硬件层的加密，市场售价20G的为260美元。与此同时，美国华裔企业家万述宁博士所带领“诺瓦科技公司“ 团队研发成功。于2004年开发出世界上独一无二的X-Wall SE硬盘加密芯片，应用在对硬盘加解密, 共有40bit, 64bit, 128bit, 192bit 等四种不同位加密层次可供客户依需求做选择。X-Wall SE是位于PCI南桥和IDE接口之间的IDE 加密网关。它截取、通译、解释和转播硬盘进/出的IDE指令&数据，用DES/TDES 40/64/128/192-bit长度的便携式保密钥匙来加密数据。X-Wall SE能实时模式以1.1Gbit/sec吞吐量与Ultra ATA (Ultra DMA) 33/66/100兼.容硬盘操作。被鉴别后，它的操作对于所有用户完全透明，而不需要负责的图形用户界面（GUI）进行管理。其加密技术是做在ASIC的实体层 , 而非一般的密码输入或SSL加密技术 ; 同时创先例搭配便携式保密钥匙( Security Key ) , 此电子钥匙与硬盘的对应关系为一对一的 , 且是唯一的, 如果没有正确的Security Key是无法读取加密过的硬盘。其他，基于X－Wall芯片，好几家公司推出相应硬盘加密的产品。  字串9
 
1.2.2国内硬盘加密系统研究的研究现状 
国内在这方面，起步比较晚，现在市场上有多款加密硬盘都是基于国外加密和控制芯片基础之上的。 
目前，西北工业大学正在进行硬盘加密Asic芯片的研究设计。 
2、硬盘的工作机制与硬盘加密的原理概要 
2.1 硬盘工作机制 
计算机硬盘主要由碟片、磁头、磁头臂服务定位系统和底层电路板、数据保护系统以及接口等组成。计算机硬盘的技术指标主要围绕在接口技术、数据传输率、单碟容量、磁盘转速、磁头技术、服务定位系统、二级缓存等参数上。在这从多技术指标中，数据传输率和接口技术与硬盘加密实现最为关键。 
从理论上说，硬盘的工作原理很简单，硬盘可以读取和写入保存数据，写入数据实际上是通过磁头对硬盘片表面的可磁化单元进行磁化，就象录音机的录音过程；不同的是，录音机是将模拟信号顺序地建制在涂有磁介的磁带上，而硬盘将二进制的数字信号以同心圆轨迹的形式，一圈一圈地记录在涂有磁介的高速旋转的盘面上。读取数据时，只需把磁头移动到相应的位置读取此处的磁化编码状态即可。  字串5
2.2 硬盘加密系统的原理 
任何加密方法，其原理是相同的，都可抽象为钩子(hook)理论。即在数据从用户界面到磁盘的这个通路上的某个地方，安装自己的处理过程(我们称之为“钩子”)，当写入请求到达的时候先把数据经过数学变换，然后再调用原来路.径上的处理过程，写入到磁盘，当请求到达的时候，先把数据经过反向变换，然后再传递到上层应用程序。各种加密方.法区别就在于这个钩子放置和起作用的位置和作用范围不同，硬件加密的钩子放置在硬盘控制器的固件(Firmware)，或专有的DSP中，其作用范围大部分是整个磁盘，软件加密则都是在主机端，有的在文件系统中，有的在系统调用中，有的甚至在用户层应用程序中，作用范围有的是分区表，有的是文件分配表，或某些文件和目录。 
图1：硬盘加密原理图 
原理如图1所示，由数据缓冲电路对硬盘数据线上的数据进行缓冲，然后发送出去，由于缓冲的时间在读写信号所规定的时间内，因此对信号读写没有太大的影响，主要是对通过IDE线的信息流按数据和命令进行有效的分离。对数据信息送到数据处理单元进行加解密运算处理，对命令信息放其通过，不进行处理。  字串7
比较逻辑单元：硬盘本身一些参数是由硬盘制造商在硬盘制造时就写入的，如果硬盘在读出时对数据进行了加密处理，主机就不能正确对硬盘进行启动和髝。因此对于这类命令必须进行过滤。 
控制逻辑单元：控制逻辑单元主要完成对数据处理进.行控制，只有写数据时才进行处理。主要在发送命令和数据时采用的相同的数据线，因此，必须采取相应的控制逻辑来进行控制。只有数据线上传送的是数据时才进行处理，控制信号则直接放过。 
数据缓存单元：完成对数据线的缓冲，可以保持时序逻辑的完整性。 
数据处理单元：完成对数据进行加解密处理。 
3 几种硬盘加密方法比较 
3.1　用过滤层驱动程序实现硬盘加密方案 
用过滤层驱动程序实现硬盘加密是把钩子放置在磁盘驱动程序的下一层，通过完全接管操作系统对磁盘的读写请求，在扇区级别上进行加密解密，其作用范围和硬件加密相同，都是整个磁盘。这个钩子的实现不是普通意义上的简.单函数地址替换，而是通过一个完整的过滤层设备驱动程序来实现。它在硬件驱动层提供与硬盘无关的访问接口，上层把硬盘视为连续的存储介质；在文件系统驱动中写入数据时在该驱动程序中加密时解密，对于上层这一操作是透明的；在I/O服务接口层提供与文件系统格式无.关的文件系统访问接口；上层把硬盘视为统一的文件系统而不管该文件系格式是什么。这样　由于采用比较底层的驱动程序来实现，可以和操作系统融为一体，速度更快，加密更彻底。这也是本方法和其它加密方法的本质区别所在。它可以把密钥存储在经过安全认证的电子钥匙上，使用电子钥匙时，可以对用户进行分级管理，按权限对硬盘进行相应的操作，如图2示。  字串7
 
图2：用过滤层驱动实现硬盘加密 
　　这种硬盘加密方法具备速度较快，算法可变，与文件系统无关，使用范围广等特点，由于使用了驱动程序，因此实现比较有难度，但是相对于在用户层应用程序中实现来说，它和操作系统融为一体，而且在不同的平台上其实现机制完全相同，因此具有更好适应性。 
3.2　基于DSP实现硬盘加密.方案 
DSP（数字信号处理器）与普通微处理器相比具有显著的差别，DSP具有算.法运行快速性及信号处理的特殊指令集，同时具有实时性好、损耗低等优点。 
 
　　　图3：DSP硬盘加密系统结构图 
该系统主要包括：DSP工作模块、存储器模块、IC卡接口模块、控制模块及接口模块等。其硬盘加密读写数据流图如图4示。 
 
图4：硬盘加密读写数据流图  字串1
3.3基于“硬盘加密卡＋硬密钥”方案实现硬盘加密方案 
在硬盘与CPU和内存之间放置加密卡，加密卡上用ASIC安全芯片或FPGA实现快速加解密和控制逻辑，对访问硬盘的各种信号进行分类处理，单对硬盘读写的数据进行加解密运算，对控制信号让其直通。加密算法中的密钥以智能卡技术提供，在系统自检时，首先通过生物特征信息要求验证用户身份，只有正确的用户才能对硬盘进行各种操作,如图５示。 
这种技术不仅解决了硬盘数据的中加密，也提供了加密算法密钥与访问控制密码中私钥的集认证、加解密于一体化管理方案。这种方案用户不需要记忆密钥，生物信息的认证识别确保了用户的不可替代性。 
　　　图5：FPGA硬盘加密系统结构 
缺点：当硬密钥丢失时，即使是合法.用户也不能读取硬盘信息。 
 
4对硬盘加密系统中如何加强密钥管理的探讨 
硬盘加密系统设计中如何采取一种高效、保密的方法来对密钥进行管理？这是设计硬盘加密系统的难点同时也是关键点。对于如何较好地对密钥管理，是至关重要的。以下提出几种密钥管理方案： 
（1）密钥一体化管理管理：我们可以把加密密钥K和密钥的生成过程都放在硬盘加密卡上，当系统开机后密钥会自动生成并读入到加密卡中，其优点是用户自己不用输入和记忆任何密码，硬盘的加解密整个过程对于用户是完全透明的，缺点一是密钥无法更改；二是当加密卡和硬盘同时丢失后，硬盘上的数据会很容易被破解。 
（2）把密钥的生成过程放在IC卡，生成的一系统密钥K存储.在加密卡的存储器，这个过程是：第一次使用时，个人随机输入私人子密钥，这个私钥不需要记忆，也不需要存储。同时为了安全，这个私钥最好不是弱密钥。由密钥生成函数（或算法）比如RSA算法或MD5算法生成一系列密钥存入加密卡存储器，这个存储器不能被外部读取。用这种方法既可以做到用户不需要记忆的私人密钥，又可以保证密钥的安全。但是存储在加密卡的密钥要由智能卡来激活，比如一个指令。 
（3）将密钥存储在智能卡中，用户先将物理标记插入加密卡或连在计算机终端上的特殊读入装置中，然后把密钥输入到系统中。用户只能使用这个密钥，他并不知道，也不能泻露。这种方法要求第一次关机时要能删除加密卡的存储器上的密钥。或把密钥分成两部分，一部分存入智能卡，另一半存入加密卡，两部分的运算后结果作为最终密钥。智能卡的那部分可以由用户在使用中定时更新，存入加密卡的那部分是固定的。 
以上三个方案容易于操作，但不.能解决智能丢失所带来的问题。如果智能卡丢失，将导致即使是合法用户也不能操作硬盘数据。解决此问题一个可行的办法是增加一个绝对可信的第三方作为超级管理员，超级管理员可以记录、管理给用户分发密钥，当用户丢失硬密钥时超级管理员可以给用户重写一个硬密钥。 
5 硬盘加密系统发展趋势 
（1）、硬盘加密系统的发展伴随硬盘接口标准而不断地发展的，现在的硬盘加密都是基于ATA或者是USB移动硬盘的。而随着技术的不断进步，ATA硬盘的不足日益凸现，其低速、噪音、强振动一直难以克服，而在同一个舞台上，它的取代者SATA已经锋芒毕露。 

字串9

相对于ATA而言，SATA凭借其高速（Serial ATA 1X在2001年中得以实现，每秒能.够提供高达l.5 Gigabits(十亿位)的传输速率）、安静的表现在国内外的评测中屡获殊荣。它的Noise　Guard (噪音卫士)、SilentSeek (安静寻道)、SSB (震动缓冲外壳)和ImpacGuard防震卫士) 技术都是业内的领先技术，这些技术也保证了SATA硬盘的高读写性能和低噪音。 
所以对于SATA硬盘加密已经提上日程，研究SATA协议标准，成为业内大势所趋。 
（2）、可以预见的是，硬盘加密将和个人生物特征信息紧密结合起来。每个用户都唯一地凭借特有的生物信息控制保密信息。 
（3）、对于公众信息的控制，分级按角色进行授权管理、操作。