(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210788937.4 (22)申请日 2022.07.06 (71)申请人 北京神州安 付科技股份有限公司 地址 100000 北京市昌平区回龙观龙域中 街1号院1号楼龙域中心 A座1102室 (72)发明人 张敏　赵宁宁　崔焕　管巫浩　 (74)专利代理 机构 济南华典专利代理事务所 (普通合伙企业) 372 93 专利代理师 王尚 (51)Int.Cl. G06F 21/80(2013.01) G06F 21/60(2013.01) G06F 21/46(2013.01) H04L 9/32(2006.01) H04L 9/40(2022.01) (54)发明名称 一种数据信息安全保护方法 (57)摘要 本发明公开了一种数据信息安全保护方法， 涉及信息安全领域。 包括硬件保护和软件保护， 硬件保护， 通过直接添加新的硬件单元， 从电路 级别对磁盘数据进行保护， 软件保护， 通过硬件 上层的操作系统或文件系统， 从应用程序级、 文 件系统级或操作系统级对磁盘的读/写、 访问等 进行安全保护。 设计并实现了一种快速的硬盘加 密 算 法 F a s t D i s k E n c ，其 性 能 比 WindowsVi staBitlocker所采用的算 法快约20％ 并且在Linux2.4上基于该算法实现了一个安全 的可堆叠文件系统； 设计了具有可增量计算性质 的Hash函数EHASH， 在大量数据只进行少量修改 的情形下， EHASH较传统Hash函数SHA1有显著的 性能优势。 此外， 提出了一个针对备份磁盘数据 的离线完整性保护方案， 该方案能有效的解决完 整性保护中抗重放 攻击的难点。 权利要求书2页 说明书3页 附图1页 CN 115186309 A 2022.10.14 CN 115186309 A 1.一种数据信息安全保护方法， 其特征在于： 包括硬件保护和软件保护， 硬件保护， 通 过直接添加新的硬件 单元， 从电路级别对磁盘数据进 行保护， 软件保护， 通过硬件上层的操 作系统或文件系统， 从应用程序级、 文件系统级或操作系统级对磁盘的读/写、 访问等进行 安全保护。 2.根据权利要求1所述的一种数据信 息安全保护方法， 其特征在于： 所述硬件保护由数 据缓冲电路对硬盘数据线 上的数据进 行缓冲， 过滤命令控制 信号， 加密数据信号， 实现硬盘 数据的安全保护， 且该系统使用智能卡存储和管理密钥， 并支持DES， 3DES,AES等各种加密 算法， 系统的认证方式可以是集中认证， 采用认证服务器(Authenticationserver)进行， 其 中认证服务器为NASD[34]和AFS[32]， 也可以采用自认证(Self ‑certifying)的方式,如SFS [18]等。 3.根据权利要求2所述的一种数据信 息安全保护方法， 其特征在于： 所述软件保护采用 Encrypt‑on‑wire系统， Encrypt ‑on‑wire系统加密服务器和客户端 间的通信， 并验证客户 端访问服务器的权限， 当用户身份和权限得到确认后， 允许其与服务器交互数据， Encrypt ‑ on‑disk系统将服务器排除在信任域之外， 只信任客户端运行环 境， 在将数据写入服务器磁 盘前先进行加密操作， 以保证存储在服务器上 的数据以密文的形式存在， 其中算法的核心 部分为FastDi skEnc函数， 其接口参数为输入明文plainText， 明文长度lengt h(以Byte为单 位)， 扰乱值blockIndex以及结构体cryptoInfo。 算法以128比特为单位， 对输入明 plainText顺序的进行加密操作； 加密结束后， 以sector为单位， 对输入明文 进行扰乱操作。 4.根据权利 要求3所述的一种数据信息安全保护方法， 其特征在于： 所述NASD[34]系统 由客户端、 文件服务器、 认证服务器和磁盘四部分组成， 用户第一次对文件服务器发出请求 时， 该请求被转移到认证服务器， NASD没有指 定认证的机制， 认证服务器可以是Kerber os服 务器或其他认证服务器， 通过认证服务器认证后， 文件服务器响应给客户端一个 capabilityobject， Capabilityobject中规定了客户端的权限， 之后 在该会话期间内， 客户 端就可使用该capabi litykey直接访问磁 盘。 5.根据权利要求4所述的一种数据信息安全保护方法， 其特征在于： 所述NASD中的 capabilityobject包括一个capabilitytoken和capabilitykey， Capabilitytoken包含了 授予该用户的访问权限信息； capabilitykey是包含了访问权限信息以及密钥的消息认证 码(MessageAuthenticationCode)， 该密钥由文件服务器和磁盘事先确定， 客户端通过认证 并获得文件服务器返回的capabilityobject后， 将其发送给磁盘， 磁盘驱动用事先与文件 服务器确定好的密钥验证该capabi lityobject并获得客户端的访问权限。 6.根据权利要求5所述的一种数据信息安全保护方法， 其特征在于： 所述SFS[18]系 统 由三部分组成， SFS文件服务器、 SFS客户端和SFS认证服务器， SFS的认证服务器不是用来认 证客户端的合法身份， 而 是用来存储客户端用户的组信息和公钥信息， SFS采用自认证路径 (self‑certifyingpathnames)来完成服务器和客户端的双向认证， SFS文件系统通过挂载 点/sfs/location/ho stid进行访问， location是文件服务器的地址， 可以是其DNS 主机名或 IP地址， hostid是服务器地址和其公钥的哈希值， 当用户请求文件服务器上的文件时， SFS 客户端首先生成一个公私钥对， 然后 从认证服务器获取文件服务器的公钥， 并将其哈希值 同hostid值比对以验证文件服务器的身份， 通过服务器的身份认证后， 客户端和文件服务 器协商创建会话密钥， 建立安全信道， 接着客户端用其私钥签名一个请求发送给文件服务权　利　要　求　书 1/2 页 2 CN 115186309 A 2器， 用以获得服务器的验证， 当服务器和客户端的双向认证结束后， 双方在 事先建立好的安 全信道中通信。权　利　要　求　书 2/2 页 3 CN 115186309 A 3