徐 欣，陈锦飞

(杭州电子科技大学通信工程学院，浙江 杭州 310018)



基于Ukey和LiveOS的加密硬盘安全认证方案

徐 欣，陈锦飞

(杭州电子科技大学通信工程学院，浙江 杭州 310018)

针对目前硬盘加密方案通用性较差以及身份认证过程安全性不够的问题，提出一种全加密固态硬盘安全认证和可信启动方案.利用商密Ukey实现秘钥的安全存储，利用定制精简的LiveOS系统实现Ukey和加密硬盘的安全配对、认证、秘钥传递以及硬盘系统的可信启动.最后提出了一种秘钥安全恢复方案.方案基于现有安全ASIC芯片构建，并在通用PC系统上验证通过，具有很好的通用性、安全性及易用性.

加密硬盘；身份认证；可信启动

0 引 言

在现代信息系统中，用密码技术对信息保密的安全性取决于对密钥的安全保护[1].目前，基于硬件实现的硬盘加密方案通常是通过在主机与硬盘的数据传输链路之间串接现场可编程门阵列(Field-Programmable Gate Array，FPGA)模块来实现数据实时加解密，使用智能卡存储秘钥及认证身份[2]，但缺乏用户交互，无法判定智能卡持卡人的身份，且通用性较差.自加密硬盘(Self-Encrypting Drives，SED)在硬盘控制器内实现加密引擎，可直接与PC主板对接，通用性较好，但没有兼顾通用性和安全性的秘钥管理和身份认证方案.文献[3]使用ATA硬盘密码锁，通过口令验证用户身份.口令验证易被暴力破解，而且能通过搭线攻击窃取.文献[4]提出了一种基于Ukey(USB Key)的安全BIOS模型，使用Ukey存储秘钥，利用定制BIOS来实现加密硬盘和Ukey的相互认证，但这意味着加密……