CN111177783B - 移动存储介质防泄密的方法和装置 - Google Patents

Abstract

本发明公开了一种移动存储介质防泄密的方法和装置。其中，该方法包括：压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。本发明解决了相关技术中基于U盘主控芯片的量产工具只能对与U盘主控芯片匹配的设备做到安全保护，不具有通用性，导致移动存储介质的信息保护不全面的技术问题。

Description

移动存储介质防泄密的方法和装置

技术领域

本发明涉及数据保护领域，具体而言，涉及一种移动存储介质防泄密的方法和装置。

背景技术

随着数字化技术的发展，移动闪存技术已经成熟，日常生活和商务办公场景下，移动存储介质的应用十分广泛。然而，在文件交互的过程中，移动存储介质本身并没有访问权限的控制，一旦移动存储介质丢失，里面的数据文件不会受到保护，面临泄露的风险。若是存有个人隐私或者公司商业秘密，则可能造成不可估量的损失。

为克服上述问题，基于U盘主控芯片的量产工具可以根据实际需求，将移动存储介质划分为多个分区，比如CD-ROM(Compact Disc Read-Only Memory，光盘只读存储器)区、普通区、隐藏区等。其中，隐藏区的加载需要通过程序鉴权通过后才能映射成可见盘符使用。隐藏区可以保存一些私密或秘密数据。图1示出了现有技术中一种移动存储介质防泄密的方法流程图。如图1所示，系统运行量产工具软件，在插入U盘的情况下，检测U盘的主控芯片是否与量产工具软件所要量产的U盘主控芯片相匹配。如果匹配，则按预设格式、容量对U盘进行分区量产，待量产成功后拔出U盘。如果不匹配，则进入是否退出系统的步骤。显然，该方案只能对与U盘主控芯片匹配的设备进行量产，由于U盘主控芯片多种多样，无法对所有的普通U盘进行量产，即不具有通用性，信息保护不全面。

针对相关技术中基于U盘主控芯片的量产工具只能对与U盘主控芯片匹配的设备做到安全保护，不具有通用性，导致移动存储介质的信息保护不全面的技术问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种移动存储介质防泄密的方法和装置，以至少解决相关技术中基于U盘主控芯片的量产工具只能对与U盘主控芯片匹配的设备做到安全保护，不具有通用性，导致移动存储介质的信息保护不全面的技术问题。

根据本发明实施例的一个方面，提供了一种移动存储介质防泄密的方法，包括：压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

可选地，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，在压缩移动存储介质的存储空间之前，上述方法还包括：如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过；如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤；如果为已经注册过的移动存储介质，在满足触发条件的情况下，删除移动存储介质中已有的隐藏区，和/或格式化移动存储介质。

可选地，在压缩移动存储介质的存储空间之前，上述方法还包括：如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过；如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤；如果为已经注册过的移动存储介质，则显示移动存储介质中的隐藏区在系统中映射到的逻辑盘，并在逻辑盘中完成读写内容的加解密。

可选地，通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护，包括：如果检测到接入了移动存储介质，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；如果配置信息存在，在系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息；如果校验成功，基于头部信息确定加解密算法和密钥信息；如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎；加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密；将加密后的数据写入隐藏区的物理扇区。

可选地，在通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护之后，上述方法还包括：登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文；登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

根据本发明实施例的另一方面，还提供了一种移动存储介质防泄密的方法，包括：移动存储介质接入计算机设备；如果注册用户注册成功和/或验证通过，则同步安全策略数据至移动存储介质；当具有安全策略数据的移动存储介质再次接入计算机设备，压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；将移动存储介质中划分得到的隐藏区重新映射，在系统中映射到逻辑盘；通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

可选地，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护，包括：如果移动存储介质再次接入计算机设备，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；如果配置信息存在，在计算机设备的系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息；如果校验成功，基于头部信息确定加解密算法和密钥信息；如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎；加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密；将加密后的数据写入隐藏区的物理扇区。

可选地，在通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护之后，上述方法还包括：登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文；登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

根据本发明实施例的另一方面，还提供了一种移动存储介质防泄密的装置，包括：压缩模块，用于压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；映射模块，用于将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；加解密模块，用于通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

可选地，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，上述装置还包括：第一判断模块，用于如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过；第一磁盘处理模块，用于如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤；第二磁盘处理模块，用于如果为已经注册过的移动存储介质，在满足触发条件的情况下，删除移动存储介质中已有的隐藏区，和/或格式化移动存储介质。

可选地，上述装置还包括：第二判断模块，用于如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过；第三磁盘处理模块，用于如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤；第四磁盘处理模块，用于如果为已经注册过的移动存储介质，则显示移动存储介质中的隐藏区在系统中映射到的逻辑盘，并在逻辑盘中完成读写内容的加解密。

可选地，加解密模块包括：检查模块，用于如果检测到接入了移动存储介质，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；第一子处理模块，用于如果配置信息存在，在系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息；确定模块，用于如果校验成功，基于头部信息确定加解密算法和密钥信息；调用模块，用于如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎；第二子处理模块，用于加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密；写入模块，用于将加密后的数据写入隐藏区的物理扇区。

可选地，上述装置还包括：第一访问模块，用于登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文；第二访问模块，用于登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

根据本发明实施例的另一方面，还提供了一种移动存储介质防泄密的装置，包括：接入模块，用于检测到移动存储介质接入计算机设备；同步模块，用于如果注册用户注册成功和/或验证通过，则同步安全策略数据至移动存储介质；划分模块，用于当具有安全策略数据的移动存储介质再次接入计算机设备，压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；磁盘映射模块，用于将移动存储介质中划分得到的隐藏区重新映射，在系统中映射到逻辑盘；安全处理模块，用于通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

根据本发明实施例的另一方面，还提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行上述任意一种移动存储介质防泄密的方法。

根据本发明实施例的另一方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述任意一种移动存储介质防泄密的方法。

在本发明实施例中，首先压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；然后将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；最后通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。与相关技术相比，本申请通过压缩移动存储介质的存储空间得到隐藏区，利用隐藏区对数据进行保护，解决了相关技术中基于U盘主控芯片的量产工具只能对与U盘主控芯片匹配的设备做到安全保护，不具有通用性，导致移动存储介质的信息保护不全面技术问题，达到了实施成本低、通用性高的目的。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据现有技术的一种移动存储介质防泄密的方法流程图；

图2是根据本发明实施例1的一种可选的移动存储介质防泄密的方法流程图；

图3是根据本发明实施例1的一种可选的移动存储介质注册前后的结构示意图；

图4是根据本发明实施例1的一种可选的注册管理模块的工作流程图；

图5是根据本发明实施例1的一种可选的隐藏区的结构示意图；

图6是根据本发明实施例1的一种可选的移动存储介质的功能模块示意图；

图7是根据本发明实施例1的一种可选的映射加载模块的工作流程图；

图8是根据本发明实施例1的一种可选的隐藏区映射盘的工作流程图；

图9是根据本发明实施例2的一种可选的移动存储介质防泄密的方法流程图；

图10是根据本发明实施例2的另一种可选的移动存储介质防泄密的方法流程图；

图11是根据本发明实施例3的一种可选的移动存储介质防泄密的装置结构示意图；以及

图12是根据本发明实施例4的一种可选的移动存储介质防泄密的装置结构示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的各实施例及实施例中的特征可以相互组合。为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

另外，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

根据本发明实施例，提供了一种移动存储介质防泄密的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图2是根据本发明实施例的移动存储介质防泄密方法，如图2所示，该方法可以包括如下步骤：

步骤S202，压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区。

一种可选方案中，上述移动存储介质可以为U盘、移动硬盘、存储卡等信息交换的介质；上述隐藏区可以存放需要保护的数据。

需要说明的是，在划分出隐藏区后，可以对隐藏区进行初始化。

步骤S204，将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘。

一种可选方案中，上述逻辑盘中的数据可以自由操作，不受权限限制。

步骤S206，通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

一种可选方案中，上述加解密引擎所采用的加解密算法可以为国密算法库中的SM1算法、SM3算法、SM4算法，或通用算法库中的BF(Brute Force，暴风)算法、DES(DataEncryption Standard，数据加密标准)算法、3DES(Triple Data Encryption Standard，三重数据加密标准)算法、AES(Advanced Data Encryption Standard，高级数据加密标准)算法等。其中，国密算法相对于通用算法，其保密性更强，可根据场合需要选取合适的算法。

在一个可选的实施例中，系统对插入其USB接口的普通U盘进行压缩，然后将压缩释放出来的存储空间作为隐藏区，对隐藏区进行映射，得到逻辑盘。最后通过加解密引擎对逻辑盘中的内容利用国密算法进行加解密，以保护和查看隐藏区的数据。

容易注意到，本实施例中的方法不区分移动存储介质的品牌、容量，兼容性好、通用性强，有效降低了采购成本和管理成本。

基于本申请上述实施例的方案，首先压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；然后将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；最后通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。与相关技术相比，本申请通过压缩移动存储介质的存储空间得到隐藏区，利用隐藏区对数据进行保护，解决了相关技术中基于U盘主控芯片的量产工具只能对与U盘主控芯片匹配的设备做到安全保护，不具有通用性，导致移动存储介质的信息保护不全面技术问题，达到了实施成本低、通用性高的目的。

下面对该实施例的上述部件进行进一步地说明。

图3示出了一种可选的移动存储介质注册前后的结构示意图。如图3所示，注册前的移动存储介质包括启动扇区、保留扇区和数据区，注册后的移动存储介质启动扇区、保留扇区、数据区、隐藏区等。显然，本实施例的方案，注册后的移动存储介质多了隐藏区。

可选地，在步骤S202压缩移动存储介质的存储空间之前，上述方法还可以包括：

步骤S2011，如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过。

步骤S2012，如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤。

步骤S2013，如果为已经注册过的移动存储介质，在满足触发条件的情况下，删除移动存储介质中已有的隐藏区，和/或格式化移动存储介质。

一种可选方案中，上述触发条件可以为需要进行反注册操作。

具体地，上述步骤S2011至步骤S2013可以由移动存储介质中的注册管理模块来执行。注册管理模块，负责移动存储介质的注册、反注册。图4示出了一种可选的注册管理模块的工作流程图。如图4所示，如果检测到接入了移动存储介质，则先判断该移动存储介质是否已经注册过。当该移动存储介质没有注册过时，先将移动存储介质格式化，然后压缩移动存储介质的存储空间，最后在压缩出来的存储空间上划分隐藏区。当该移动存储介质注册过时，说明其存在隐藏区，如果需要进行反注册操作，先删除隐藏区，恢复移动存储介质隐藏区的占用空间，再进行格式化，最终进入是否退出系统的步骤。

在一个可选的实施例中，图5示出了隐藏区的结构示意图。如图5所示，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，在步骤S202压缩移动存储介质的存储空间之前，上述方法还可以包括：

步骤S2014，如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过。

步骤S2015，如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤。

步骤S2016，如果为已经注册过的移动存储介质，则显示移动存储介质中的隐藏区在系统中映射到的逻辑盘，并在逻辑盘中完成读写内容的加解密。

上述步骤S2016，可以由移动存储介质映的映射加载模块来执行。具体地，映射加载模块可以将移动存储介质中存在的隐藏区重新映射到系统中，映射完成后，用户可以自由操作隐藏区映射的逻辑盘。

基于前述描述，图6示出了一种可选的移动存储介质的功能模块示意图，其中，移动存储介质作为数据的载体，主要作用是存储数据，其包括注册管理模块和映射加载模块；注册管理模块，对普通的移动存储介质进行存储空间的压缩，在释放出来的存储空间划分隐藏区，并进行相关初始化，同时还可以将已注册的移动存储介质进行还原；映射加载模块，可以将移动存储介质中存在的隐藏区重新映射到系统中，映射完成后，用户可以自由操作隐藏区映射的逻辑盘。当然，映射加载模块还可以负责以下操作：

步骤S206通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护，具体可以包括如下步骤：

步骤S2061，如果检测到接入了移动存储介质，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息。

步骤S2062，如果配置信息存在，在系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息。

步骤S2063，如果校验成功，基于头部信息确定加解密算法和密钥信息。

步骤S2064，如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎。

步骤S2065，加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密。

步骤S2066，将加密后的数据写入隐藏区的物理扇区。

图7示出了一种可选的映射加载模块的工作流程图。如图7所示，映射加载模块，负责检查移动存储介质的隐藏区配置，隐藏区信息校验通过后，将隐藏区加载映射到操作系统中，用户在逻辑盘中写入的数据，经过加密后写入到移动存储介质的物理扇区。具体地，系统开机后，如果检测到接入了移动存储介质，那么检查是否存在隐藏区的配置信息。如果存在隐藏区的配置信息，在系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息。如果校验成功，基于头部信息确定加解密算法和密钥信息。如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎。加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密，最后将加密后的数据写入隐藏区的物理扇区，确认是否进入退出系统的步骤，在确认退出系统的情况下，断开逻辑盘。如果不存在隐藏区的配置信息，则直接结束。

可选地，在步骤S206通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护之后，上述方法还可以包括：

步骤S2071，登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文。

一种可选方案中，上述明文可以为没有加密的数据。

步骤S2072，登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

例如，如果登录系统的用户为未授权用户，系统可以关闭打开移动存储介质的通道，不对该移动存储设备做任何处理，禁用该移动存储设备。

图8示出了一种可选的隐藏区映射盘的工作流程图。如图8所示，使用存储介质物理扇区映射成磁盘的技术，开发隐藏区磁盘映射驱动，实现将存储介质连续物理扇区映射成逻辑驱动器的功能，底层数据操作实现加密存储。具体地，在桌面中启动的应用程序对文件进行访问操作时，经由以下几个步骤进行处理：应用程序读写文件，文件的I/O请求将被传递到系统内核进行处理，并负责接收处理结果，将处理结果返回给调用模块；文件打开请求，到内核层后，内核将文件I/O读写请求转发给文件系统，文件系统将I/O请求解析转化后，下发给磁盘驱动；隐藏区映射磁盘设备接收到I/O访问请求，针对读写I/O请求，调用隐藏区映射盘加解密引擎，对数据进行加解密操作。加解密引擎，负责调度加解密算法库和密钥管理模块，对数据进行加密或者解密操作，将结果返回给调用模块；移动存储介质，最终I/O请求到达硬件设备，向存储设备物理扇区写入数据或者读取数据，并将数据返回给上层调用模块。

上述方案中，首先压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；然后将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；最后通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。与相关技术相比，本申请通过压缩移动存储介质的存储空间得到隐藏区，利用隐藏区对数据进行保护，解决了相关技术中基于U盘主控芯片的量产工具只能对与U盘主控芯片匹配的设备做到安全保护，不具有通用性，导致移动存储介质的信息保护不全面技术问题，达到了实施成本低、通用性高的目的。容易注意到，上述方案通过将移动存储介质的架构划分为注册管理模块和映射加载模块，达到了技术稳定、兼容性高、部署方便灵活的目的；国产加密算法的安全性高；由于不需要专属的硬件设备，大大降低了实施成本；也不会改变用户的使用习惯，学习、培训成本低，能够有效防止移动存储介质丢失带来的损失。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施例2

根据本发明实施例，提供了一种移动存储介质防泄密的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图9是根据本发明实施例的一种移动存储介质防泄密的方法流程图，如图9所示，该方法包括如下步骤：

步骤S901，移动存储介质接入计算机设备。

一种可选方案中，上述移动存储介质可以为U盘、移动硬盘、存储卡等信息交换的介质。

步骤S902，如果注册用户注册成功和/或验证通过，则同步安全策略数据至移动存储介质。

一种可选方案中，上述注册成功和/或验证通过的用户可以为企业内部用户；上述安全策略数据可以在用户注册或验证时由用户在系统中选择或填写，均为现有技术，此处不再赘述。

步骤S903，当具有安全策略数据的移动存储介质再次接入计算机设备，压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区。

一种可选方案中，上述隐藏区可以存放需要保护的数据。

需要说明的是，在划分出隐藏区后，可以对隐藏区进行初始化。

步骤S904，将移动存储介质中划分得到的隐藏区重新映射，在系统中映射到逻辑盘。

一种可选方案中，上述逻辑盘中的数据可以自由操作，不受权限限制。

步骤S905，通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

一种可选方案中，上述加解密引擎所采用的加解密算法可以为国密算法库中的SM1算法、SM3算法、SM4算法，或通用算法库中的BF(Brute Force，暴风)算法、DES(DataEncryption Standard，数据加密标准)算法、3DES(Triple Data Encryption Standard，三重数据加密标准)算法、AES(Advanced Data Encryption Standard，高级数据加密标准)算法等。其中，国密算法相对于通用算法，其保密性更强，可根据场合需要选取合适的算法。

容易注意到，本实施例中的方法不区分移动存储介质的品牌、容量，兼容性好、通用性强，有效降低了采购成本和管理成本。

可选地，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，步骤S905通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护，具体可以包括如下步骤：

步骤S9051，如果移动存储介质再次接入计算机设备，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息。

步骤S9052，如果配置信息存在，在计算机设备的系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息。

步骤S9053，如果校验成功，基于头部信息确定加解密算法和密钥信息。

步骤S9054，如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎。

步骤S9055，加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密。

步骤S9056，将加密后的数据写入隐藏区的物理扇区。

可选地，在步骤S905通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护之后，上述方法还可以包括：

步骤S9061，登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文。

一种可选方案中，上述明文可以为没有加密的数据。

步骤S9062，登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

在一个可选的实施例中，图10示出了企业数据安全管理系统的工作流程图。如图10所示，员工首先登陆系统，为移动存储介质同步安全策略数据，然后领取注册完的移动存储介质。如果具有安全策略数据的移动存储介质接入计算机设备，计算机设备检查该移动存储介质是否存在隐藏区。如果没有，则计算机设备禁用该移动存储介质，进入是否退出系统的步骤；如果有，加载隐藏区，将隐藏区映射到系统的逻辑盘中，映射完成后，员工可以自由操作隐藏区映射到系统的逻辑盘中的文件。

需要说明的是，针对金融行业的特点，本实施例的方案可根据用户需求，实现对移动存储设备的管理和防护，防止过失泄密，在不增加成本的情况下实现文件的安全访问与存储，防止泄密发生。

需要说明的是，本申请上述实施例2中涉及到优选实施方案与实施例1提供的方案以及应用场景实施过程相同，但不限于实施例1所提供的方案。

实施例3

根据本发明实施例，提供了一种移动存储介质防泄密的装置，需要说明的是，本申请实施例的一种移动存储介质防泄密的装置可以用于执行本申请实施例1所提供的移动存储介质防泄密的方法。以下对本发明实施例提供的一种移动存储介质防泄密的装置进行介绍。

图11是根据本申请实施例的移动存储介质防泄密的装置结构示意图。如图11所示，该装置1100包括压缩模块1102、映射模块1104和加解密模块1106。

其中，压缩模块1102，用于压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；映射模块1104，用于将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；加解密模块1106，用于通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

可选地，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，上述装置还包括：第一判断模块，用于如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过；第一磁盘处理模块，用于如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤；第二磁盘处理模块，用于如果为已经注册过的移动存储介质，在满足触发条件的情况下，删除移动存储介质中已有的隐藏区，和/或格式化移动存储介质。

可选地，上述装置还包括：第二判断模块，用于如果检测到接入了移动存储介质，判断移动存储介质是否已经注册过；第三磁盘处理模块，用于如果为未注册过的移动存储介质，则格式化移动存储介质，并启动压缩移动存储介质的存储空间的步骤；第四磁盘处理模块，用于如果为已经注册过的移动存储介质，则显示移动存储介质中的隐藏区在系统中映射到的逻辑盘，并在逻辑盘中完成读写内容的加解密。

可选地，加解密模块包括：检查模块，用于如果检测到接入了移动存储介质，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；第一子处理模块，用于如果配置信息存在，在系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息；确定模块，用于如果校验成功，基于头部信息确定加解密算法和密钥信息；调用模块，用于如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎；第二子处理模块，用于加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密；写入模块，用于将加密后的数据写入隐藏区的物理扇区。

可选地，上述装置还包括：第一访问模块，用于登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文；第二访问模块，用于登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

需要说明的是，上述压缩模块1102、映射模块1104和加解密模块1106对应于实施例1中的步骤S202至步骤S206，该三个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例3所公开的内容。

实施例4

根据本发明实施例，提供了一种移动存储介质防泄密的装置，需要说明的是，本申请实施例的一种移动存储介质防泄密的装置可以用于执行本申请实施例2所提供的移动存储介质防泄密的方法。以下对本发明实施例提供的一种移动存储介质防泄密的装置进行介绍。

图12是根据本申请实施例的移动存储介质防泄密的装置结构示意图。如图11所示，该装置1200包括接入模块1202、同步模块1204、划分模块1206、磁盘映射模块1208和安全处理模块1210。

其中，接入模块1202，用于检测到移动存储介质接入计算机设备；同步模块1204，用于如果注册用户注册成功和/或验证通过，则同步安全策略数据至移动存储介质；划分模块1206，用于当具有安全策略数据的移动存储介质再次接入计算机设备，压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；磁盘映射模块1208，用于将移动存储介质中划分得到的隐藏区重新映射，在系统中映射到逻辑盘；安全处理模块1210，用于通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

可选地，隐藏区包括：头部信息和实体部分信息，其中，头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，实体部分信息包括加密数据的信息。

可选地，安全处理模块包括：检查模块，用于如果检测到接入了移动存储介质，检查隐藏区的配置信息，其中，配置信息包括如下至少之一：移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；第一子处理模块，用于如果配置信息存在，在系统中加载隐藏区映射的逻辑盘，并校验隐藏区的头部信息；确定模块，用于如果校验成功，基于头部信息确定加解密算法和密钥信息；调用模块，用于如果映射得到的逻辑盘中的文件发生文件操作，调用加解密引擎；第二子处理模块，用于加解密引擎使用加解密算法和密钥信息对逻辑盘中的操作数据进行加密；写入模块，用于将加密后的数据写入隐藏区的物理扇区。

可选地，上述装置还包括：第一访问模块，用于登陆系统的用户为授权用户，则访问隐藏区的数据时，得到的是明文；第二访问模块，用于登陆系统的用户为未授权用户，则关闭打开移动存储介质的通道。

需要说明的是，上述接入模块1202、同步模块1204、划分模块1206、磁盘映射模块1208和安全处理模块1210对应于实施例2中的步骤S901至步骤S905，该五个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例2所公开的内容。

实施例5

根据本发明实施例，提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行实施例1或2的移动存储介质防泄密的方法。

实施例6

根据本发明实施例，提供了一种处理器，处理器用于运行程序，其中，程序运行时执行如下步骤：压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；将移动存储介质中划分得到的隐藏区进行映射，在系统中映射到逻辑盘；通过加解密引擎对逻辑盘中的读写内容进行加解密，使得隐藏区的数据进行安全保护。

进一步地，程序运行时还可以执行实施例1或2中的其它步骤，此处不再赘述。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (16)

1.一种移动存储介质防泄密的方法，其特征在于，包括：

压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；

将所述移动存储介质中划分得到的所述隐藏区进行映射，在系统中映射到逻辑盘；

通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护，

通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护，包括：

如果检测到接入了所述移动存储介质，检查所述隐藏区的配置信息，其中，所述配置信息包括如下至少之一：所述移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；

如果所述配置信息存在，在系统中加载所述隐藏区映射的逻辑盘，并校验所述隐藏区的头部信息；

如果校验成功，基于所述头部信息确定加解密算法和密钥信息；

如果所述映射得到的逻辑盘中的文件发生文件操作，调用所述加解密引擎；

所述加解密引擎使用所述加解密算法和密钥信息对所述逻辑盘中的操作数据进行加解密；

将加密后的数据写入所述隐藏区的物理扇区。

2.根据权利要求1所述的方法，其特征在于，所述隐藏区包括：头部信息和实体部分信息，其中，所述头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，所述实体部分信息包括加密数据的信息。

3.根据权利要求1所述的方法，其特征在于，在压缩移动存储介质的存储空间之前，所述方法还包括：

如果检测到接入了移动存储介质，判断所述移动存储介质是否已经注册过；

如果为未注册过的移动存储介质，则格式化所述移动存储介质，并启动压缩所述移动存储介质的存储空间的步骤；

如果为已经注册过的移动存储介质，在满足触发条件的情况下，删除所述移动存储介质中已有的隐藏区，和/或格式化所述移动存储介质。

4.根据权利要求1所述的方法，其特征在于，在压缩移动存储介质的存储空间之前，所述方法还包括：

如果检测到接入了移动存储介质，判断所述移动存储介质是否已经注册过；

如果为未注册过的移动存储介质，则格式化所述移动存储介质，并启动压缩所述移动存储介质的存储空间的步骤；

如果为已经注册过的移动存储介质，则显示所述移动存储介质中的隐藏区在系统中映射到的逻辑盘，并在所述逻辑盘中完成读写内容的加解密。

5.根据权利要求1所述的方法，其特征在于，在通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护之后，所述方法还包括：

登陆系统的用户为授权用户，则访问所述隐藏区的数据时，得到的是明文；

登陆系统的用户为未授权用户，则关闭打开所述移动存储介质的通道。

6.一种移动存储介质防泄密的方法，其特征在于，包括：

移动存储介质接入计算机设备；

如果注册用户注册成功和/或验证通过，则同步安全策略数据至所述移动存储介质；

当具有所述安全策略数据的移动存储介质再次接入所述计算机设备，压缩所述移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；

将所述移动存储介质中划分得到的所述隐藏区重新映射，在系统中映射到逻辑盘；

通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护，

通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护，包括：

如果所述移动存储介质再次接入所述计算机设备，检查所述隐藏区的配置信息，其中，所述配置信息包括如下至少之一：所述移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；

如果所述配置信息存在，在所述计算机设备的系统中加载所述隐藏区映射的逻辑盘，并校验所述隐藏区的头部信息；

如果校验成功，基于所述头部信息确定加解密算法和密钥信息；

如果所述映射得到的逻辑盘中的文件发生文件操作，调用所述加解密引擎；

所述加解密引擎使用所述加解密算法和密钥信息对所述逻辑盘中的操作数据进行加密；

将加密后的数据写入所述隐藏区的物理扇区。

7.根据权利要求6所述的方法，其特征在于，所述隐藏区包括：头部信息和实体部分信息，其中，所述头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，所述实体部分信息包括加密数据的信息。

8.根据权利要求7所述的方法，其特征在于，在通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护之后，所述方法还包括：

登陆系统的用户为授权用户，则访问所述隐藏区的数据时，得到的是明文；

登陆系统的用户为未授权用户，则关闭打开所述移动存储介质的通道。

9.一种移动存储介质防泄密的装置，其特征在于，包括：

压缩模块，用于压缩移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；

映射模块，用于将所述移动存储介质中划分得到的所述隐藏区进行映射，在系统中映射到逻辑盘；

加解密模块，用于通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护，

所述加解密模块包括：

检查模块，用于如果检测到接入了所述移动存储介质，检查所述隐藏区的配置信息，其中，所述配置信息包括如下至少之一：所述移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；

第一子处理模块，用于如果所述配置信息存在，在系统中加载所述隐藏区映射的逻辑盘，并校验所述隐藏区的头部信息；

确定模块，用于如果校验成功，基于所述头部信息确定加解密算法和密钥信息；

调用模块，用于如果所述映射得到的逻辑盘中的文件发生文件操作，调用所述加解密引擎；

第二子处理模块，用于所述加解密引擎使用所述加解密算法和密钥信息对所述逻辑盘中的操作数据进行加密；

写入模块，用于将加密后的数据写入所述隐藏区的物理扇区。

10.根据权利要求9所述的装置，其特征在于，所述隐藏区包括：头部信息和实体部分信息，其中，所述头部信息包括如下至少之一：用户信息、密钥信息、加解密算法信息、隐藏区信息和校验信息，所述实体部分信息包括加密数据的信息。

11.根据权利要求9所述的装置，其特征在于，所述装置还包括：

第一判断模块，用于如果检测到接入了移动存储介质，判断所述移动存储介质是否已经注册过；

第一磁盘处理模块，用于如果为未注册过的移动存储介质，则格式化所述移动存储介质，并启动压缩所述移动存储介质的存储空间的步骤；

第二磁盘处理模块，用于如果为已经注册过的移动存储介质，在满足触发条件的情况下，删除所述移动存储介质中已有的隐藏区，和/或格式化所述移动存储介质。

12.根据权利要求9所述的装置，其特征在于，所述装置还包括：

第二判断模块，用于如果检测到接入了移动存储介质，判断所述移动存储介质是否已经注册过；

第三磁盘处理模块，用于如果为未注册过的移动存储介质，则格式化所述移动存储介质，并启动压缩所述移动存储介质的存储空间的步骤；

第四磁盘处理模块，用于如果为已经注册过的移动存储介质，则显示所述移动存储介质中的隐藏区在系统中映射到的逻辑盘，并在所述逻辑盘中完成读写内容的加解密。

13.根据权利要求9所述的装置，其特征在于，所述装置还包括：

第一访问模块，用于登陆系统的用户为授权用户，则访问所述隐藏区的数据时，得到的是明文；

第二访问模块，用于登陆系统的用户为未授权用户，则关闭打开所述移动存储介质的通道。

14.一种移动存储介质防泄密的装置，其特征在于，包括：

接入模块，用于检测到移动存储介质接入计算机设备；

同步模块，用于如果注册用户注册成功和/或验证通过，则同步安全策略数据至所述移动存储介质；

划分模块，用于当具有所述安全策略数据的移动存储介质再次接入所述计算机设备，压缩所述移动存储介质的存储空间，并在释放出来的存储空间中划分出隐藏区；

磁盘映射模块，用于将所述移动存储介质中划分得到的所述隐藏区重新映射，在系统中映射到逻辑盘；

安全处理模块，用于通过加解密引擎对所述逻辑盘中的读写内容进行加解密，使得所述隐藏区的数据进行安全保护，

所述安全处理模块还用于如果所述移动存储介质再次接入所述计算机设备，检查所述隐藏区的配置信息，其中，所述配置信息包括如下至少之一：所述移动存储介质的用户注册信息、隐藏区的权限信息、密钥信息和标识信息；

所述安全处理模块还用于如果所述配置信息存在，在所述计算机设备的系统中加载所述隐藏区映射的逻辑盘，并校验所述隐藏区的头部信息；

所述安全处理模块还用于如果校验成功，基于所述头部信息确定加解密算法和密钥信息；

所述安全处理模块还用于如果所述映射得到的逻辑盘中的文件发生文件操作，调用所述加解密引擎；

所述安全处理模块还用于所述加解密引擎使用所述加解密算法和密钥信息对所述逻辑盘中的操作数据进行加密；

所述安全处理模块还用于将加密后的数据写入所述隐藏区的物理扇区。

15.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行权利要求1至5中任意一项所述移动存储介质防泄密的方法。

16.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至5中任意一项所述移动存储介质防泄密的方法。

Images