(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211226163.2 (22)申请日 2022.10.09 (71)申请人 山东华翼微电子技 术股份有限公司 地址 250101 山东省济南市高新区舜泰北 路933号1901室 (72)发明人 孙玉玺　杜辉　苏云学　高凯　 宗成强　李铁　 (74)专利代理 机构 济南泉城专利商标事务所 37218 专利代理师 赵玉凤 (51)Int.Cl. G06F 21/62(2013.01) G06F 21/60(2013.01) G06F 21/44(2013.01) G06F 13/40(2006.01) (54)发明名称 基于SATA桥接芯片的数据安全保障方法 (57)摘要 本发明公开一种基于SATA桥接芯片的数据 安全保障方法， 属于信息安全存储技术领域。 本 方法将HY0168  SATA桥接芯片连接于主机/服务 器与SATA存储设备之间， SATA桥接芯片作为主 机/服务器与SATA存储设备之间数据传输的桥 梁， 对SATA指令和用户数据起到加密和转发的作 用， 同时SATA桥接芯片中存储有安全策略， 对 SATA指令和数据进行管控， 防止非法侵入和后门 监听； 安全策略包括白名单体系、 数据过滤、 三方 认证和分区保护， 分别从指令、 数据、 整体系统、 分区维度对数据进行安全保护。 权利要求书2页 说明书7页 附图4页 CN 115310136 A 2022.11.08 CN 115310136 A 1.基于SATA桥接芯片的数据安全保障方法， 其特征在于： 本方法将SATA桥接芯片连接 于主机/服务器与SATA存储设备之间， SATA 桥接芯片作为主机/服务器与SATA存储设备之间 数据传输的桥梁， 对SATA指令和用户数据起到加密和转发的作用， 并且SATA桥接芯片中存 储有安全 策略， 对SATA指 令和数据进行管控， 防止非法侵入和 后门监听； 安全策略包括白名 单体系、 数据过滤、 三方认证和分区保护， 分别从指令、 数据、 整体系统、 分区维度对数据进 行安全保护。 2.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 所述白 名单体系是SATA桥接芯片对SATA指令集进行筛选， 将指令集分为激活、 禁止、 管理三种状 态， 激活态下， SATA桥接芯片转 发主机指令到SATA存储设备， 作为数据通讯桥梁进行SATA指 令数据转发， SATA存储设备作为SATA指令最 终受体响应指令并通过SATA 桥接芯片反馈给主 机； 禁止态下， SATA桥接芯片直接响应主机指令， 通过显性失败或隐性失败来响应SATA指 令， SATA桥接芯片作为最终SATA指令受体， 不进行转发， SATA存储设备无法获取禁止态下所 有指令； 管 理态下， SATA桥接 芯片参与指 令判断， 根据SATA桥接 芯片当前运行状态 来决定进 入激活态或者禁止态。 3.根据权利 要求2所述的基于SATA桥接芯片的数据 安全保障方法， 其特征在于： SATA桥 接芯片通过SATA指令集筛选器对SATA指令集进行筛选， 激活态和禁止态由SATA指令集筛选 器直接处理， 管 理态先由SATA指令集筛选器判断， 然后传递给SATA 桥接芯片， 由SATA 桥接芯 片进行指令和状态判断。 4.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 数据 过 滤是对MBR分区表进行保护， 防范主引导分区攻击， 具体做法是MBR分区表修改依赖于定制 工具， 无法通过第三方工具进行修改， 当SATA桥接芯片检测 到MBR数据修改时， 判断当前操 作是否是合法用户行为， 如果是， 则继续， 如果不是， 则反馈修改失败， 然后 SATA桥接芯片随 机生成一个硬盘实际容量范围之外的LBA地址S， 第三方工具获取地址S后生成新分区表信 息， 并通过S地址写入， SATA桥接 芯片解析分区表信息并判断解析出的S与 原生成的S是否一 致， 如果一致则将分区表信息写入SATA桥接芯片内部， 并根据分区表修改SATA存储设备分 区表的信息和位置， SATA桥接芯片复位， 返回分区表修改成功。 5.根据权利要求4所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： S具有 一定的保活时间， SATA桥接芯片通过定时器 计时， 在超过保活时间后， S失效。 6.根据权利要求4所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 每次修 改MBR分区表时， S重新产生， 每次使用S后， SATA桥接芯片将丢弃S不再使用。 7.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 三方认 证是由SATA桥接芯片基于国产商密算法分别认证主机和SATA存储设备， 对主机、 SATA桥接 芯片、 SATA存储设备进行三方绑定， 主机端要求BIOS或TP M模块支持SM2加解密算法， 并具备 非易失存 储功能； 三方认证的流 程为： 上电后BIOS/TPM获取SATA桥接芯片HY0168生成的SM2密钥对 （Pub_a,Pri_a） ， Pub_a  表 示该密钥对中的公钥， Pri_a  表示该密钥对中的私钥， BIOS/TPM获取 公钥Pub_a,  BIOS/TPM 生成一组SM2密钥对 （Pub_b,Pri_b）,  Pub_b表示该密钥对中的公钥， Pri_b表示该密钥对中 的私钥， 读取BIOS/TPM存储 的密钥分量R1， 产生一组随机数R11， R11与R1长度相同， 将R1、 R11以及Pub_b进行连接操作产生C， 即C=  R1‖R11‖Pub_b， 使用Pub_a加密C， 加密结果为C1，权　利　要　求　书 1/2 页 2 CN 115310136 A 2将C1发送给SATA桥接芯片HY0168，  SATA桥接芯片HY0168 使用Pri_a解密C1得到C， 然后读取 HY0168 SATA桥接芯片中存储的R2， 计算得到R’， R’=R1 XOR R2， 计算SM3 （R’） 并比较存储在 HY0168 SATA桥接芯片中的SM3 （R） 是否一致， 如果一致， 则认 证通过， 计算R22， R22  = R XOR  R11， R是SATA桥接芯片中设置的计算参数， R=R1  XOR R2， 并且R在SATA桥接芯片中以哈希值 的方式存储， 使用Pub _b加密R11得到C2， 发送C2至BIOS/TPM， 使用BIOS/TPM模块生成的SM2 私钥Pri_b解密C2得到R’11， 比对R’11与R11是否一致， 如 果一致， 则将R1更新为R11， HY0168   SATA桥接芯片将R2更新 为R22； 读取SATA存储设备序列号S1、 隐藏空间 的关键信息S2进入SATA桥接芯片与存储设备互 认， 认证一致后， 三方设备相互信任， SATA存储设备进行数据通路释放， 将存储在SATA存储 设备内部的真实分区表信息发送给主机， 主机开始对硬 盘进行识别。 8.根据权利要求7所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 根据信 息S1、 S2余存储设备互认的过程为： SATA桥接芯片 获取信息S 1、 S2后， 令M=SM3 （SM3 （S 1） XOR  S2） ， 比较M与SATA桥接芯片存 储的M1是否一 致， 如果一致， 则认证通过。 9.根据权利要求1所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 分区保 护是指在SATA桥接芯片内集成LBA分析器和分区密钥扩展模块， 分区密钥扩展模块与分区 相对应， 用于存储每个分区的范围、 密钥和模式， 并且分区密钥扩展模块进行密钥扩展， 完 成每个分区的密钥装配； 数据传输时， LBA分析器根据每次写入数据的地址和长度解析得到 LBA和分区对应关系， 调用对应的分区密钥扩展模块的密钥 信息进行 数据加解密操作。 10.根据权利要求9所述的基于SATA桥接芯片的数据安全保障方法， 其特征在于： 分区 密钥来源 包括自动产生和外 部导入。权　利　要　求　书 2/2 页 3 CN 115310136 A 3