專利名稱：基于同步用戶和主機認證的加密可移動存儲設備的制作方法
技術領域：
本發明涉及計算機，移動存儲設備，數據加密解密領域。
背景技術：
USB移動存儲器的存儲容量以每年50%的速度在增加。隨著USB3. 0技術的出現， USB移動存儲器的數據傳輸速度超過了 300MBps，是原有傳輸速度的10倍甚至更快。對很多人來說他們樂于將全部的個人或者公司數據存儲在一個便于攜帶的USB移動存儲器中。 這樣方便、環保并且可以提高效率。然而，這個趨勢從安全角度來說同樣帶來了危險，因為每天都有很多人丟失他們的USB移動存儲器。存儲在丟失或者被盜的USB移動存儲器中的秘密信息可能會被任何人獲取，包括陌生人，盜用者和競爭者。一個常用的解決辦法是利用基于硬件AES-256或者其它加密算法進行全存儲器加密。任何人都無法獲取經過加密的信息，除非他知道一個正確的密碼。這種方法簡單、快速并且貌似安全，因為AES-256本身是非常難以被破解的。不幸的是，計算機黑客非常善于破解用戶的密碼。雖然加密算法(例如，AES-256)本身可能是安全的，但是很多人為設置的密碼卻不是。人們經常對于所有不同的應用，重復使用相同或者類似的密碼。一些人使用基于字典或者生日的簡單密碼。即使強迫要求使用者輸入一個強密碼(例如，256bit的隨機數字)，很多人僅僅是將這些密碼簡單地記錄在紙上。這樣其實會更糟，有如下兩個原因(1)因為使用者必須將記錄密碼的紙隨身攜帶(例如，不管是在辦公室或者在外面)，竊取者可以同時竊取紙和USB 移動存儲器；(2)當使用者將記錄密碼的紙張放錯地方，USB移動存儲器中的所有信息都將永久的丟失。對于第一種方案的改進是在全盤加密的基礎上再使用而外的文件系統級別加密。 雖然附加的密碼可以改善安全性，但是文件系統級別的加密通常很慢，因為它們是基于軟件的。這樣將大幅降低效率，并且有悖于使用USB3. 0作為高速接口的初衷。另一個解決辦法是在U盤中集成一個生物識別讀卡器。使用者除非擁有正確的生物特征(例如，指紋)，否則將不可能獲取到數據。根據具體實現方法還可能會使用到可選的密碼。盡管生物識別架構更加的安全，但是它有三個主要的缺點(1)顯著地提高了 USB移動存儲器的成本；(2)生物識別讀卡器顯著地增加了 USB移動存儲器的體積；(3)它不可以用于寄件人在不知道收件人生物信息的情況下將敏感信息寄給收件人。
發明內容
不同于前述的解決辦法，我們的發明滿足了所有消費者的需求安全，方便，靈活， 高性能并且低成本。通過限制USB移動存儲設備被使用于經過授權的電腦，使得它的安全性能不僅僅依賴于使用者的密碼。算法不可被逆向工程所破解即使一個非法使用者了解完整的設計技術并且能夠直接從NAND Flash設備上讀取所有的原始數據，USB移動存儲設備數據、使用者的密碼、計算機授權信息都同樣能被保護。本發明靈活地允許多個使用者和多個經過授權的電腦使用USB移動存儲設備，并且可以充分利用USB3.0超高傳輸速度所帶來的高性能優勢。USB控制器成本可以被很好地控制，不需要使用例如生物識別讀卡器、芯片序列號(例如，電子保險絲，非易失性閃存)等額外增加成本的部件。在移動存儲設備中的數據由基于一個保密的主密鑰的加密過程進行加密。主密鑰通過用戶密鑰和系統密鑰的組合生成的。用戶密鑰經過一種基于用戶密碼的加密過程獲得保密和保護。通過使用存儲設備的計算機主機的硬件以及軟件序列號可以獲取該計算機系統的系統簽名，系統密鑰經過一種基于所述系統簽名的加密過程獲得保密和保護。主密鑰、用戶密鑰、使用者密碼、系統密鑰以及系統簽名不能基于在移動存儲設備中的加密或者非加密分區的數據而被直接計算出來。因此，在缺少保密的使用者密碼或者系統簽名的情況下，不能分別再現出使用者密鑰或者系統密鑰。沒有用戶密鑰或者系統密鑰中的任何一個，主密鑰不能被得到。這樣，存儲于移動存儲設備上的已加密的數據就不可能被正確地解密。這種兩級的密鑰系統允許一個或者多個經過授權的使用者在一個或者多個經過授權的計算機系統中執行移動存儲設備中的加密數據的安全存儲和獲取。進一步來說，如果一個使用者不能擁有一個有效的密碼和/或不能直接進入到上述經過授權的計算機系統，該使用者將不能存儲或者獲取已加密的數據。一個移動存儲設備，其包括一個主機通信端口，一個或者多個加密數據分區，一個或者多個非加密數據分區，一個加密引擎，一個解密引擎，以及一個能夠同時認證被授權用戶和被授權計算機系統的安全控制器。進一步，其中，所述主機通信端口使用USB3. 0協議。進一步，其中，所述的同時對被授權用戶和被授權計算機系統的認證是基于用戶 ID和用戶密碼這樣兩個用戶參數以及系統ID和系統簽名這樣兩個系統參數的，并且用戶 ID是一個能夠識別每一個用戶的唯一的字符串，系統ID是識別每一個計算機系統的唯一的字符串。進一步，其中，所述加密引擎使用一個加密密鑰加密在所述加密數據分區中的數據，所述的解密引擎使用解密密鑰解密在所述加密數據分區中的數據。進一步，其中，所述的加密引擎和所述的解密引擎使用同樣的主密鑰MK作為密鑰。進一步，所述的安全控制器包括一個加密模塊EM，一個解密模塊DM，一個隨機數字產生器RNG，一個密鑰衍生函數KDF，一個用戶密鑰數據表管理器UKDTM，一個用戶密鑰數據表UKDT，一個系統密鑰數據表管理器SKDTM，以及一個系統密鑰數據表格SKDT。進一步，其中，利用所述的加密模塊EM來增加/修改用戶或者增加/修改計算機系統，利用所述解密模塊DM來獲取主密鑰MK，該主密鑰MK將被用于加密向加密分區中寫入的數據以及解密從加密分區中讀出的數據。進一步，其中，所述的隨機數字產生器RNG在存儲設備進行低級格式化時產生一個新的用戶密鑰UK以及一個新的系統密鑰SK，并且通過利用新的用戶密鑰UK和新的系統密鑰SK來產生一個新的主密鑰MK。進一步，其中，所述密鑰衍生函數KDF將每一個用戶密碼轉變為一個確定的固定長度的用戶密鑰加密密鑰UKEK，所述密鑰衍生函數KDF將每一個系統簽名轉變為一個確定的固定長度的系統密鑰加密密鑰SKEK。進一步，其中，在初始化時，所述加密模塊EM使用新的用戶密鑰加密密鑰UKEK作為加密密鑰來加密用戶密鑰UK進而得到新的加密用戶密鑰EM。進一步，其中，在初始化時，所述加密模塊EM使用新的系統密鑰加密密鑰SKEK作為加密密鑰來加密系統密鑰SK進而得到新的加密系統密鑰ESK。進一步，其中，在初始化時，所述用戶密鑰數據表格管理器UKDTM在用戶密鑰數據表格UKDT中存儲新的用戶ID UID和新的加密用戶密鑰EUK。進一步，其中，在初始化時，所述系統密鑰數據表格管理器SKDTM在系統密鑰數據表格SKDT中存儲新的系統ID SID和新的加密系統密鑰ESK。進一步，其中，在用戶操作過程中所述用戶密鑰數據表格管理器UKDTM基于用戶 ID UID獲取加密用戶密鑰EUK。進一步，其中，在用戶操作過程中所述系統密鑰數據表格管理器SKDTM基于系統 ID SID獲取加密系統密鑰ESK。進一步，其中，在用戶操作過程中所述解密模塊DM使用用戶密鑰加密密鑰UKEK作為密鑰來解密所述加密用戶密鑰EM，進而形成用戶密鑰UK。進一步，其中，在用戶操作過程中所述解密模塊DM使用系統密鑰加密密鑰SKEK作為密鑰來解密所述加密系統密鑰ESK，進而形成系統密鑰SK。進一步，其中在用戶操作過程中安全控制器基于用戶密鑰M和系統密鑰SK來計算主密鑰MK，并基于主密鑰MK來實現數據的加密/解密。
圖1利用管理員的用戶密鑰初始化用戶密鑰數據表格的示例系統； 圖2利用管理員系統密鑰初始化系統密鑰數據表格的示例系統；
圖3在用戶密鑰數據表格中為新用戶增加用戶密鑰的示例系統；
圖4在系統密鑰數據表格中為新計算機系統增加系統密鑰的示例系統；
圖5改變原有的已授權用戶密碼的示例系統；
圖6改變原有的已授權計算機系統簽名的示例系統；
圖7獲取某一指定用戶的用戶密鑰的示例系統；
圖8獲取某一指定計算機系統的系統密鑰的示例系統；
圖9對加密數據分區中用戶數據加密/解密的示例系統。
具體實施例方式下面的部分描述了發明的一個具體實施例。為了更加的清楚，這里列出了本部分中所寫的列表
AES 先進的加密標準 AU 管理員級用戶 EE 加密引擎 DE 解密引擎DM 解密模塊
EM 加密模塊
ESK0 加密管理員級系統密鑰
ESKi 第i個計算機系統的加密系統密鑰
EUK0=加密管理員級密鑰
EUKj 第i個用戶的加密用戶密鑰
MK 主密鑰
PBKDF2 基于密碼的密鑰求導函數2
SID0: 管理員級系統ID
SIDi 第i個計算機系統的系統ID
SK 系統密鑰
SKEK0 管理員級系統密鑰加密密鑰
SKEKi 第i個計算機系統的系統密鑰加密密鑰
SSi= 第i個計算機系統的系統簽名
UID0 管理員ID
UIDj 第j個用戶的用戶ID
UPj: 第j個用戶的用戶密碼
UK 用戶密鑰
UKEK0 管理員級用戶密鑰加密密鑰
UKEKj 第j個用戶的用戶密鑰加密密鑰
明碼用戶數據(未經加密的明碼文本)利用一個主密鑰(MK)通過加密引擎(EE)加密， 來形成加密的用戶數據(密碼文本)。加密的用戶數據被存儲在移動存儲設備的加密分區。 明碼用戶數據通過相反的過程被恢復從加密分區中讀取被加密的用戶數據，利用解密引擎(DE)通過同樣的用來加密用的主密鑰(MK)解密。MK是一個用戶密鑰(UK)和系統密鑰(SK)的函數。例如，MK可以通過UK和SK按位異或來形成。MK = UK SK
UK和SK是當對加密分區進行低級格式化時產生的隨機數字。UK和SK被加密和存儲在移動存儲中加密分區之外的部分中。UK和SK保持不變直到加密分區的下一次低級格式化。在MK的位數依賴于用戶數據EM的具體實施。M和SK的長度都與MK的長度相同。例如，MK, UK和SK可以是在一些應用中足夠安全128bit長。多個用戶可以被授權訪問存儲在移動存儲設備加密分區中的數據。這些數據被不同的用戶所共享，盡管如此，在同一個時間只有一個用戶可以進入加密分區。類似的，一個或者多個計算機系統可以被授權能夠訪問加密分區中存儲的數據。在本發明的實施例中，對于所有授權用戶，UK是一樣的，對于所有授權的計算機， SK是一樣的。在本實施例中，每一個被授權用戶可以使用任何的被授權計算機。如下1到 8闡述了本發明的一個實施例。1用戶密鑰數據表格的初始化
創建用戶密鑰(UK)的示例系統如圖1所示。包括一個隨機數字產生器100，一個具有可以將大量可變長度的數據轉換到一個單一的確定長度的整數的確定算法的密鑰衍生函數101 ；—個加密模塊102，一個用戶密鑰數據表格管理器104，所述管理器被用來為一個確定的用戶ID從用戶密鑰數據表格105中存儲和重新獲取加密用戶密鑰。PBKDF2是密鑰衍生函數的一個示例函數。加密模塊102和解密模塊103可以使用一個被普遍接受的流密碼或者塊密碼。表格管理器104可以使用一個陣列或者一個鏈表來存儲和重新獲取加密的用戶密鑰。用戶密鑰數據表105在加密分區低級格式化開始的時候被清空。對加密分區執行低級格式化的個人被指定為管理員級用戶(AU)。隨機數字產生器100產生一個隨機數值 (例如，基于當前時間或者計算處理狀態)來作為UK。可變長度的管理員級用戶密碼由管理員級用戶AU自行設置，并且保密。可變長度的管理員級用戶密碼通入密鑰衍生函數101來產生一個確定的、長度固定的管理員級用戶密鑰加密密鑰UKEIVUKEK0的bit位數是依賴于加密模塊102的具體實施。例如，假設UK是U8bits 長，并且102使用AES塊加密算法，則UKEKtl的尺寸可以是128bits。加密模塊102使用UKEKtl作為加密密鑰來加密UK進而形成加密管理員級用戶密鑰EUIV用戶密鑰數據表管理器104在用戶密鑰數據表格105的第0個用戶條目中將EUKtl 和管理員級用戶ID UID0 112 (唯一的、公共識別字符串112) —同存儲起來。SK是在低級格式化加密分區時UK被創建的同時被創建的。2系統密鑰數據表格的初始化創建系統密鑰(SK)的示例系統如圖2所示。系統密鑰數據表格109在低級格式化加密分區的開始就被清空。隨機數字產生器產生一個隨機數字被用作為SK。可變長度的管理級系統密碼通過管理員級用戶AU被產生并保密，并且由密鑰衍生函數來產生確定的、固定長度的管理系統密鑰加密密鑰SKEIVSKEK0的bit位數依賴于的加密模塊102的具體實施。例如，假設SK是128 bit 長，并且102使用AES塊加密算法，則SKEKtl的長度可以是128 bits。SKEKtl被加密模塊102作為加密密鑰來加密SK進而生成加密的管理員級用戶系統密鑰ESKtlt5系統密鑰數據表管理器108在系統密鑰數據表109的第0個用戶條目中將和管理員系統ID SID0 113 (一個唯一、公共識別字符串113) —同存儲起來。UK是在低級格式化加密分區時SK被創建的同時被創建的。3授權新的用戶
在UK被初始化并且第0個(AU)用戶條目被輸入進用戶密鑰數據表格之后，就可以授權另外的用戶是他們能夠訪問到存儲在加密分區中的數據。這是通過為新的被授權用戶增加新條目到用戶密鑰數據表格105中來實現的。附圖3描述了一個增加授權用戶的示例系統。在本實施例中只有管理員級用戶AU 被允許來授權增加一個新的用戶。首先，用戶密鑰UK需要被恢復。使用管理員級用戶ID UID0 112，加密的管理員級用戶密鑰EUKtl被用戶密鑰表管理器104從用戶密鑰數據表格105中找回。管理員級用戶密碼114被輸入到密鑰衍生函數101中來形成管理員級用戶密鑰加密密鑰UKEIV解密模塊使用UKEKtl作為解密密鑰來解密EUKtl形成UK。然后，被恢復的M需要通過使用一個從新用戶密碼得到的用戶密鑰加密密鑰來進行加密。新的用戶密碼UPi被輸入進入密鑰衍生函數101進而來形成一個用戶密鑰加密密鑰UKEK”加密模塊使用UKEKi作為加密密鑰來加密M，進而形成加密用戶密鑰EMitl用戶密鑰數據表格管理器104在更新的用戶密鑰數據表格107中的第i個用戶條目中將EMi 和用戶ID UIDiIie (一個唯一的用戶識別字符串116) —同存儲起來。
4授權新的計算機系統
增加的計算機系統可能同樣被授權來獲取訪問在加密分區中的數據權限。這是通過為每個新授權的計算機系統增加系統密鑰數據表格中的入口來實現的。附圖4描述了一個增加一個新的被授權計算機系統的示例系統。只有管理員級用戶AU被允許授權新的計算機系統。首先，需要獲取系統密鑰SK。使用管理系統ID SID0 113，通過系統密鑰數據表格管理器108從系統密鑰數據表格109中獲得加密的管理系統密鑰ESKy將管理員級系統密碼輸入到密鑰衍生函數101進而來形成管理員級系統密鑰加密密鑰SKEIV解密模塊103 使用SKEKtl作為解密密鑰來解密ESKtl進而來形成SK。然后，被恢復的SK需要被新計算機系統系統簽名所產生的加密密鑰加密。系統簽名SSi是從目前被授權的計算機系統的硬件和軟件序列號中得到的。例如，系統簽名120可以從操作系統的序列號和網絡適配器MAC的地址中獲得。SSi被輸入到密鑰衍生函數進而形成系統密鑰加密密鑰SKE&。加密模塊102使用SKEKi作為加密密鑰來加密SK，進而形成加密的系統密鑰ES&。系統密鑰數據表格管理器108在更新的系統密鑰數據表111中的第i個入口將ESKi和系統ID SIDi 119 (一個唯一的識別計算機系統的字符串119) 一同存儲起來。5更改用戶密碼
附圖5描述了改變目前已授權用戶的密碼的示例系統。只有目前已被授權的用戶被允許改變用戶密碼。首先，通過已授權用戶的舊密碼獲得用戶密鑰UK。假設用戶密鑰數據表格105的第j個入口是需要改變密碼的用戶，利用用戶密鑰數據表格管理器104從用戶密鑰數據表格105中獲得加密的用戶密鑰EUKjtl輸入用戶密碼UPj到密鑰衍生函數101中來形成用戶密鑰加密密鑰UKEKp解密模塊103使用UKEI^作為解密密鑰來解密EW^進而產生UK。然后，利用從新用戶密碼UPj中獲得的加密密鑰來加密恢復的Μ。輸入新的HEj到密鑰衍生函數101中來形成一個新的_Ej。加密模塊102使用新的MMj作為加密密鑰來加密M，產生新的EMj。用戶密鑰數據表格管理器104在更新的用戶密鑰數據表格107 的第j個入口中將新的和用戶ID UIDj 一同存儲起來。6更改系統簽名
附圖6描述了改變之前已被授權計算機系統的系統簽名的示例系統。只有管理員級用戶AU擁有管理員級系統密碼，因此只有管理員級用戶AU可以更新之前已被授權計算機系統的系統簽名。首先，需要獲得系統密鑰SK。假設管理員系統ID (SIDtl)對應于系統密鑰數據表格109中的第0個入口，系統密鑰數據表格管理器108從系統密鑰數據表格109獲得加密的管理員級系統密鑰ESIV輸入管理員系統密碼115到密鑰衍生函數101中來形成管理員級系統密鑰加密密鑰SKEKy解密模塊103使用SKEKtl作為解密密鑰來解密ESKtl進而形成 SK。然后，通過使用從新的計算機系統系統簽名中獲得的加密密鑰來加密恢復的SK。 輸入新系統簽名SSj 120到密鑰衍生函數ιο 中來形成新的SEMj,其中j表示系統將更新它的簽名到對應的系統密鑰數據表格109中的第j個入口。加密模塊102使用新SEMj作為加密密鑰來加密SK，形成新的加密系統密鑰ESEr系統密鑰數據表格管理器108在更新的系統密鑰數據表111的第j個入口中將新￡2 和系統ID SIDj 119 一同存儲起來。7獲得用戶密鑰和系統密鑰
從或向加密分區讀取和寫入有效數據的需要具有主密鑰MK。為了得到MK的信息，必需要首先獲得UK和SK。M只能通過之前已被授權的用戶使用相應的用戶密碼得到。類似的，SK只能通過已授權的計算機系統使用相應的系統簽名得到。附圖7描述了一個獲得UK的示例系統。使用用戶ID UIDj 116，通過用戶密鑰數據管理器104從用戶密鑰數據表格105中得到加密的用戶密鑰EUKjtl輸入用戶密碼UPjIH 到密鑰衍生函數101中來形成用戶密鑰加密密鑰UKEKj。解密模塊103使用UKEKj作為解密密鑰來解密EW^進而形成用戶密鑰UK。附圖8描述了一個獲得SK的示例系統。使用系統ID SIDj 119，通過系統密鑰數據表格管理器108從系統密鑰數據表格109中獲得加密的系統密鑰ESKj。輸入系統簽名 SSj 120到密鑰衍生函數101中進而獲得系統密鑰加密密鑰SKEK」。解密模塊103使用SKEKj 作為解密密鑰來解密來形成系統密鑰SK。8加密和解密用戶數據
安全控制器123由上述加密模塊EM 102，上述解密模塊DM 103，上述隨機數字產生器 RNG 100，上述密鑰衍生函數KDF 101，上述用戶密鑰數據表管理器UKDTM 104，上述用戶密鑰數據表格UKDT 105，上述系統密鑰數據表管理器SKDTM 108，以及上述系統密鑰數據表格SKDT 109組成。根據上述描述的過程，安全控制器可以生成并存儲用戶密鑰UK和系統密鑰SK，并進而生成MK (如上述知道MK是UK和SK的函數)。附圖9描述了一個使用MK對用戶數據進行加密和解密的示例系統。用戶輸入到移動存儲設備加密分區的明碼用戶數據通過主機通訊端口 121送給加密引擎122。加密引擎122使用安全控制器123提供的MK作為加密密鑰對明碼用戶數據進行加密，并將加密的用戶數據寫入到移動存儲器加密分區126。如果用戶讀取加密分區126中已存儲的加密數據，則經過相反的過程加密分區 1 將已加密的用戶數據輸入給解密引擎124，解密引擎124使用安全控制器123提供的MK 作為解密密鑰對已加密的用戶數據進行解密，并將恢復的明碼用戶數據輸入到主機通訊端口 121進而傳輸到使用該移動存儲設備的主機系統。
權利要求
1.一個移動存儲設備，其包括一個主機通信端口，一個或者多個加密數據分區，一個或者多個非加密數據分區，一個加密引擎，一個解密引擎，以及一個能夠同時認證被授權用戶和被授權計算機系統的安全控制器。
2.一個根據權利要求1所述的移動存儲設備，其中，所述主機通信端口使用USB3. 0協議。
3.一個根據權利要求1所述的移動存儲設備，其中，所述的同時對被授權用戶和被授權計算機系統的認證是基于用戶ID和用戶密碼這樣兩個用戶參數以及系統ID和系統簽名這樣兩個系統參數的，并且用戶ID是一個能夠識別每一個用戶的唯一的字符串，系統ID是識別每一個計算機系統的唯一的字符串。
4.一個根據權利要求3所述的移動存儲設備，其中，所述加密引擎使用一個加密密鑰加密在所述加密數據分區中的數據，所述的解密引擎使用解密密鑰解密在所述加密數據分區中的數據。
5.一個根據權利要求4所述的移動存儲設備，其中，所述的加密引擎和所述的解密引擎使用同樣的主密鑰MK作為密鑰。
6.一個根據權利要求5所述的移動存儲設備，其中，所述的安全控制器包括一個加密模塊EM，一個解密模塊DM，一個隨機數字產生器RNG，一個密鑰衍生函數KDF，一個用戶密鑰數據表管理器UKDTM，一個用戶密鑰數據表UKDT，一個系統密鑰數據表管理器SKDTM，以及一個系統密鑰數據表格SKDT。
7.一個根據權利要求6所述的移動存儲設備，其中，利用所述的加密模塊EM來增加/ 修改用戶或者增加/修改計算機系統，利用所述解密模塊DM來獲取主密鑰MK，該主密鑰MK 將被用于加密向加密分區中寫入的數據以及解密從加密分區中讀出的數據。
8.一個根據權利要求7所述的移動存儲設備，其中，所述的隨機數字產生器RNG在存儲設備進行低級格式化時產生一個新的用戶密鑰UK以及一個新的系統密鑰SK，并且通過利用新的用戶密鑰UK和新的系統密鑰SK來產生一個新的主密鑰MK。
9.一個根據權利要求8所述的移動存儲設備，其中，所述密鑰衍生函數KDF將每一個用戶密碼轉變為一個確定的固定長度的用戶密鑰加密密鑰UKEK，所述密鑰衍生函數KDF將每一個系統簽名轉變為一個確定的固定長度的系統密鑰加密密鑰SKEK。
10.一個根據權利要求9所述的移動存儲設備，其中，在初始化時，所述加密模塊EM使用新的用戶密鑰加密密鑰UKEK作為加密密鑰來加密用戶密鑰M進而得到新的加密用戶密鑰 EUK。
11.一個根據權利要求10所述的移動存儲設備，其中，在初始化時，所述加密模塊EM使用新的系統密鑰加密密鑰SKEK作為加密密鑰來加密系統密鑰SK進而得到新的加密系統密鑰 ESK。
12.—個根據權利要求11所述的移動存儲設備，其中，在初始化時，所述用戶密鑰數據表格管理器UKDTM在用戶密鑰數據表格UKDT中存儲新的用戶ID UID和新的加密用戶密鑰 EUK。
13.一個根據權利要求12所述的移動存儲設備，其中，在初始化時，所述系統密鑰數據表格管理器SKDTM在系統密鑰數據表格SKDT中存儲新的系統ID SID和新的加密系統密鑰 ESK。
14.一個根據權利要求13所述的移動存儲設備，其中，在用戶操作過程中所述用戶密鑰數據表格管理器UKDTM基于用戶ID UID獲取加密用戶密鑰EM。
15.一個根據權利要求14所述的移動存儲設備，其中，在用戶操作過程中所述系統密鑰數據表格管理器SKDTM基于系統ID SID獲取加密系統密鑰ESK。
16.一個根據權利要求15所述的移動存儲設備，其中，在用戶操作過程中所述解密模塊DM使用用戶密鑰加密密鑰UKEK作為密鑰來解密所述加密用戶密鑰EM，進而形成用戶密鑰UK。
17.一個根據權利要求16所述的移動存儲設備，其中，在用戶操作過程中所述解密模塊DM使用系統密鑰加密密鑰SKEK作為密鑰來解密所述加密系統密鑰ESK，進而形成系統密鑰SK。
18.一個根據權利要求17所述的移動存儲設備，其中在用戶操作過程中安全控制器基于用戶密鑰UK和系統密鑰SK來計算主密鑰MK，并基于主密鑰MK來實現數據的加密/解Γ t [ O
全文摘要
本發明通過限制USB移動存儲設備被使用于經過授權的電腦，使得它的安全性能不僅僅依賴于使用者的密碼，并且算法不可被逆向工程所破解。同時本發明靈活地允許多個使用者和多個經過授權的電腦使用USB移動存儲設備。在移動存儲設備中的數據由基于一個保密的主密鑰的加密過程進行加密，而主密鑰是通過用戶密鑰和系統密鑰組合生成的。用戶密鑰和系統密鑰分別經過基于用戶密碼或者系統簽名的加密過程獲得保密和保護。在缺少使用者密碼或者系統簽名的情況下，不可能再現出使用者密鑰或者系統密鑰。
文檔編號G06F12/14GK102270182SQ20111018477
公開日2011年12月7日 申請日期2011年7月4日 優先權日2011年7月4日
發明者李德俊, 洪小瑩, 袁邁克 申請人:濟南偉利迅半導體有限公司