Агент для обеспечения безопасного облачного сервиса и устройство маркеров безопасности для безопасного облачного сервиса

Изобретение относится к области безопасности облачного сервиса. Технический результат заключается в повышении безопасности облачных сервисов. Агент, установленный на пользовательский терминал для обеспечения безопасного облачного сервиса, содержит генератор заголовков для генерирования заголовков, имеющих случайное значение для шифрования файла, загружаемого на облачный сервер, при получении этого файла с пользовательского терминала, при обнаружении блоком обнаружения событий устройства маркеров безопасности, генератор сеансовых ключей предназначен для генерирования сеансовых ключей, создающих сеанс с устройством маркеров безопасности, осуществляющим шифрование сгенерированного заголовка или дешифрования заголовка файла, загруженного с облачного сервера, а когда блок обнаружения событий определяет, что устройство маркеров безопасности отключено во время указанного сеанса, то отменяют автоматическое шифрование или дешифрование и удаляют файлы во избежание синхронизации с облачным сервером. 2 н. и 4 з.п. ф-лы, 11 ил.

 

УРОВЕНЬ ТЕХНИКИ ИЗОБРЕТЕНИЯ

1. Область техники изобретения

В целом, настоящее изобретение относится к агенту для обеспечения безопасного облачного сервиса и устройству маркеров безопасности для безопасного облачного сервиса. В частности, настоящее изобретение относится к технологии увеличения безопасности, согласно которой аутентификация пользователя и шифрование-дешифрование заголовков выполняются в файлах в аппаратном устройстве маркеров безопасности, которое может отсоединяться от пользовательского терминала, и впоследствии файлы хранятся на облачном сервере.

2. Описание предшествующего уровня техники

В настоящее время, облачные вычислительные среды широко используются для эффективного распределения ИТ-ресурсов и безопасного хранения данных. В 1960-х годах специалист в области информатики Джон Маккарти предложил концепцию облачных вычислений. В последнее время, стремительный прогресс инфраструктуры связи и растущая потребность в эффективном распределении ресурсов вычислительной среды поспособствовали быстрому развитию облачных вычислений.

В облачной вычислительной среде капитальные затраты на ИТ-оборудование со стороны клиента можно снизить, так как пользователям не нужны высокотехнологичные терминалы, а ИТ-ресурсы можно эффективно распределять в зависимости от сред обработки услуг. Однако облачные вычисления имеют некоторые проблемы безопасности. Например, когда сервер облачных вычислений подвергается взлому, данные могут быть украдены или поставщики услуг могут намеренно раскрывать конфиденциальные пользовательские данные.

Кроме того, поскольку облачные сервисы используются не только в ПК, но и в мобильных средах, таких как смартфоны и т.д., проблемы безопасности необходимо решить для того, чтобы защитить облачный сервер от взлома.

Соответственно, документы, в том числе заявка на патент Кореи 10-1107056, раскрывают метод шифрования синхронизируемого файла перед отправкой с клиентского терминала на облачный сервер и дешифрования файла на клиентском терминале после получения из облачного сервера.

В некоторых продуктах, использующих вышеописанный метод, шифрование выполняется модулями программно-реализованных алгоритмов, которые применяют ключи шифрования под управлением приложения-агента Windows, либо файлы шифруются в программном обеспечении с помощью ключей шифрования, хранящихся в аппаратном устройстве.

Другими словами, так как существующие методы шифрования файлов для увеличения безопасности облачного сервиса выполняют шифрование в программном обеспечении, а управление ключами шифрования осуществляется с помощью программы Windows, ключи могут перехватываться программами контроля, которыми управляют взломщики. Из этого следует, обеспечение безопасности на предыдущем уровне техники является сложной задачей.

Документы по предшествующему уровню техники

(Патентный документ 1) KR10-1107056

СУЩНОСТЬ ИЗОБРЕТЕНИЯ

Таким образом, настоящее изобретение было создано с учетом вышеуказанных проблем, возникающих на предшествующем уровне техники, а цель настоящего изобретения заключается в том, чтобы произвольно генерировать заголовок, который является ключом шифрования файла, в устройстве маркеров безопасности, соединенном с пользовательским терминалом, а также шифровать файл в агенте, причем ключ защиты предохраняется от передачи, а объем переданных и полученных данных можно сократить, так как устройство маркеров безопасности шифрует и дешифрует только заголовок.

Помимо этого, чтобы увеличить безопасность, настоящее изобретение предусматривает шифрование и дешифрование облачного файла и синхронизирует его только в том случае, когда устройство маркеров безопасности соединено с пользовательским терминалом.

Также, целью настоящего изобретения является генерирование сеансового ключа при помощи случайного значения, полученного из ключа пароля, когда устройство маркеров безопасности соединено с пользовательским терминалом в целях улучшения безопасности.

Чтобы достичь вышеуказанной цели, согласно варианту осуществления настоящего изобретения агент, установленный на пользовательском терминале для обеспечения безопасного облачного сервиса, может включать: генератор заголовков для генерирования заголовков, имеющих случайное значение для шифрования файла, загружаемого на облачный сервер, при получении этого файла с пользовательского терминала; генератор сеансовых ключей для генерирования сеансовых ключей, создающих сеанс с устройством маркеров безопасности при обнаружении устройства маркеров безопасности, отсоединяющегося от пользовательского терминала, устройство маркеров безопасности шифрует сгенерированный заголовок или дешифрует заголовок файла, загруженного с облачного сервера; и шифратор-дешифратор для шифрования файла, загружаемого на облачный сервер, использующий зашифрованный заголовок, когда он зашифрован устройством маркеров безопасности, и для дешифрования файла, загружаемого с облачного сервера с помощью дешифрованного заголовка, когда он дешифрован устройством маркеров безопасности.

Генератор заголовков может шифровать сгенерированный заголовок с помощью сеансового ключа и передавать зашифрованный заголовок на устройство маркеров безопасности.

Генератор сеансовых ключей может получать пароль и запрашивать открытый ключ у устройства маркеров безопасности, когда обнаруживает его; генерировать данные аутентификатора, включающие случайное значение для аутентификации, шифровать данные с помощью открытого ключа и передавать их на устройство маркеров безопасности; а также генерировать сеансовый ключ с помощью случайного значения для аутентификации и отклика при приеме от устройства маркеров безопасности данных отклика, включающих случайное значение для него.

Для достижения вышеуказанной цели устройство маркеров безопасности для безопасного облачного сервиса согласно варианту осуществления настоящего изобретения может включать: интерфейсный блок, отсоединяющийся от пользовательского терминала, для обеспечения интерфейса с агентом, установленным на пользовательском терминале; запоминающее устройство для хранения зашифрованного заголовка, который является ключом шифрования, генерируемым со случайным значением для шифрования и дешифрования файла, выкладываемого на облачный сервер; контроллер поддержки конвертирования шифрования-дешифрования, шифрующий заголовок файла, загружаемого на облачный сервер, при получении этого заголовка сохраняет зашифрованный заголовок на запоминающем устройстве и передает его на агент; и сохраняет зашифрованный заголовок файла, загружаемого с облачного сервера на запоминающее устройство, при приеме этого заголовка дешифрует его и передает на агент.

Кроме того, устройство маркеров безопасности может дополнительно включать чип безопасной аутентификации, передающий открытый ключ по запросу агента и получающий данные аутентификатора, включая случайное значение для аутентификации; генерирует ответные данные, включающие случайное значение для отклика, и передает ответные данные на агент; и генерирует сеанс с агентом по получении от него сеансового ключа, с генерацией последнего агентом с помощью случайного значения для аутентификации и случайного значения для отклика.

Чип безопасной аутентификации может шифровать шифрованный или дешифрованный заголовок с помощью сеансового ключа и передавать его на агент.

Согласно настоящему изобретению конфиденциальные данные для физических лиц и компаний не могут быть открыты при взломе облачного сервера и, поскольку заголовок файла (и ключ шифрования со случайным значением) шифруется и дешифруется в устройстве ключа маркера, утечки ключа шифрования можно избежать, даже если ПК взломан. Следовательно, безопасность можно существенно улучшить.

Также, сеансовый ключ генерируется с помощью случайного значения, полученного из ключа пароля при соединении устройства маркеров безопасности с пользовательским терминалом, а шифрованный или дешифрованный заголовок передается после шифрования сеансовым ключом, и тем самым можно улучшить безопасность.

КРАТКОЕ ОПИСАНИЕ ЧЕРТЕЖЕЙ

Вышеуказанные и другие цели, признаки и преимущества настоящего изобретения будут более понятны исходя из следующего подробного описания вместе с прилагаемыми чертежами, в которых:

РИС. 1 - схема конфигурации системы для обеспечения безопасного облачного сервиса согласно настоящему изобретению;

РИС. 2 - блок-схема, показывающая подробную конфигурацию агента пользовательского терминала по РИС. 1;

РИС. 3 - схема генерирования данных аутентификатора генератором сеансовых ключей по РИС. 2;

РИС. 4 - блок-схема, показывающая подробную конфигурацию устройства маркеров безопасности по РИС. 1;

РИС. 5 - схема, объясняющая генерирование ответных данных чипом безопасной аутентификации по РИС. 4;

РИС. 6 - схема последовательности операций, показывающая предварительный процесс для использования устройства маркеров безопасности в ПК-среде;

РИС. 7 - схема последовательности операций, показывающая процесс, в котором файл шифруется с помощью устройства маркеров безопасности и затем передается на облачный сервер;

РИС. 8 - схема последовательности операций, показывающая процесс, в котором файл дешифруется с помощью облачного сервиса в мобильной среде;

РИС. 9 - схема последовательности операций, показывающая процесс аутентификации пользователя при соединении устройства маркеров безопасности с пользовательским терминалом;

на РИС. 10 показан процесс шифрования заголовка файла в устройстве маркеров безопасности при загрузке файла;

на РИС. 11 показан процесс дешифрования заголовка файла в устройстве маркеров безопасности при загрузке файла.

ОПИСАНИЕ ПРЕДПОЧТИТЕЛЬНЫХ ВАРИАНТОВ ОСУЩЕСТВЛЕНИЯ ИЗОБРЕТЕНИЯ

Настоящее изобретение будет описано подробно исходя из его аспектов (или вариантов). Тем не менее, изобретение может быть выполнено во множестве разных форм и не должно рассматриваться как ограниченное только вариантами, изложенными в настоящем документе, а должно предусматривать модификации, аналоги или альтернативы, подпадающие под замыслы и технический объем настоящего изобретения.

Должны быть предусмотрены ссылки на чертежи, где одни и те же номера позиций используются на разных чертежах для обозначения одних и тех же или подобных компонентов. В данном описании, сведения о широко известных признаках и методах можно упустить, чтобы избежать ненужного запутывания представленных вариантов.

Подразумевается, что хотя термины первый, второй и т.д. могут использоваться в данном документе для описания разных элементов, эти элементы не должны быть ограничены указанными терминами. Они используются только для различения одного элемента от другого. Например, первый элемент может быть назван вторым, и, подобным образом, второй элемент может быть назван первым без отступления от объема настоящего изобретения.

В данном контексте, термин «и/или» включает все без исключения комбинации одного или нескольких связанных и перечисленных элементов.

Следует понимать, что если элемент называют «подключенным» или «подсоединенным» к другому элементу, его можно прямо подключить или соединить с другим элементом, либо могут присутствовать промежуточные элементы. И наоборот, если элемент называется «прямо подключенным» или «прямо подсоединенным» к другому элементу, промежуточные элементы отсутствуют.

Терминология, использованная в настоящем документе, предназначена только для описания определенных вариантов осуществления изобретения и не должна его ограничивать. В данном контексте, формы единственного числа включают также формы множественного числа, если иное прямо не установлено контекстом. Также следует понимать, что термины «состоит», «состоящий», «включает» и/или «включающий» в этом контексте предполагают присутствие указанных признаков, чисел, этапов, операций, элементов и/или компонентов, но не исключают присутствие или добавление одного или нескольких других признаков, чисел, этапов, операций, элементов, компонентов и/или их групп.

Если не указано иное, все термины (включая технические и научные), использующиеся в этом документе, имеют значение, главным образом понятное для среднего специалиста в данной области техники, к которой относится настоящее изобретение. Также подразумевается, что термины, определенные в общепринятых словарях, должны толковаться как имеющие значения, совпадающие с их значениями в контексте соответствующей области техники, и не будут истолкованы в идеализированном или слишком формальном смысле, если прямо не установлено иное.

На РИС. 1 представлена схема конфигурации системы для обеспечения безопасного облачного сервиса согласно настоящему изобретению; на РИС. 2 представлена блок-схема подробной конфигурации агента по РИС. 1; на РИС. 4 показана блок-схема подробной конфигурации устройства маркеров безопасности по РИС. 1.

Как показано на РИС. 1, система для обеспечения безопасного, облачного сервиса согласно настоящему изобретению включает пользовательский терминал 1, устройство маркеров безопасности 2 и облачный сервер 3. Пользовательский терминал 1 - это устройство, в котором хранятся файлы пользователя. Он включает различные типы терминалов, способных хранить и отображать файлы, и имеет доступ к сети Интернет, например ПК, переносные компьютеры, планшетные компьютеры, смартфоны и т.д. На РИС. 1, 1А обозначен ПК, 1В - планшетный ПК, 1С - смартфон.

Кроме того, облачный сервер 3 является устройством для обеспечения облачного сервиса и публикации файлов пользователя, которое хранит контент пользователя в виде документов, контактов и медиафайлов, таких как фильмы, фото и музыка. Когда пользовательский терминал, включая ПК, смартфон и умное ТВ, запрашивает контент, пользовательский терминал может загружать контент, хранимый на сервере. В Корее, облачные сервисы представлены Naver NDrive, KТ ucloud, Daum Cloud и т.д., а также существуют такие глобальные облачные сервисы, как Dropbox, Box, Sugarsync, Google drive, Sky Drive и т.д.

Как показано на РИС. 2, агент 100 устанавливается на пользовательском терминале 1 для обеспечения безопасного облачного сервиса согласно настоящему изобретению. Агент 100 может включать блок обнаружения событий 110, генератор сеансовых ключей 120, генератор заголовков 120 и шифратор-дешифратор файлов 140.

Блок обнаружения событий 110 может обнаруживать появление события файла. В этом случае, событие указывает на создание, копирование, удаление и другие операции с загруженными или публикуемыми файлами.

Создание, копирование и другие операции с публикуемыми файлами, которые требуют процесса шифрования, могут стать первым событием. И наоборот, создание, удаление и другие операции с загружаемыми файлами, которые требуют процесса дешифрования, могут стать вторым событием.

При обнаружении первого события, включая загрузку на сервер и копирование файла, генератор заголовков 130 может генерировать заголовок со случайным значением и передавать его на устройство маркеров безопасности 2. В этом случае, заголовок является ключом для шифрования или дешифрования файла и может генерироваться со случайным значением с интервалом первого события.

Помимо этого, при обнаружении второго события, включая загрузку и удаление файла, генератор заголовков 130 может передавать заголовок файла, загруженного с облачного сервера 3, на устройство маркеров безопасности 2.

Когда пользователь загружает файл на облачный сервер 3 или копирует его, блок обнаружения событий 110 определяет, подключено ли устройство маркеров безопасности 2. Для увеличения безопасности, блок обнаружения событий 110 инициирует шифрование заголовка файла, загружаемого на сервер, на устройстве маркеров безопасности 2, только когда оно подключено.

Кроме того, когда пользователь загружает зашифрованный файл с облачного сервера и сохраняет либо удаляет его, блок обнаружения событий 110 определяет, подключено ли устройство маркеров безопасности 2 и может инициировать дешифрование заголовка зашифрованного файла на устройстве маркеров безопасности 2, когда оно подключено.

При обнаружении подключения устройства маркеров безопасности 2 генератор сеансовых ключей 120 может создавать сеанс для логического соединения с физически подключенным устройством маркеров безопасности 2 путем аутентификации пользователя.

Когда устройство маркеров безопасности 2 подключено к пользовательскому терминалу 1, генератор сеансовых ключей 120 создает сеансовый ключ путем передачи значения аутентификатора на устройство маркеров безопасности 2 и приема значения отклика на значение аутентификатора от устройства маркеров безопасности 2. Затем генератор сеансовых ключей 120 может создать сеанс с устройством маркеров безопасности 2 путем передачи на него сгенерированного сеансового ключа. Таким образом, значение аутентификатора получают шифрованием с помощью открытого ключа, случайного значения аутентификации, полученного из пароля.

В частности, при обнаружении физического соединения с устройством маркеров безопасности 2 генератор сеансовых ключей 120 может принимать пароль от пользователя. Также, генератор сеансовых ключей 120 может запрашивать открытый ключ и получать его от устройства маркеров безопасности 2, когда введен пароль. Генерирование значения аутентификатора описано со ссылкой на РИС. 3.

На РИС. 3 представлена схема генерирования данных аутентификатора генератором сеансовых ключей по РИС. 2.

Генератор сеансовых ключей 120 может генерировать случайное значение аутентификации, полученное из пароля. Случайное значение аутентификации может генерироваться с помощью алгоритма расширенного стандарта шифрования (AES) и шифроваться в режиме цепочки цифровых блоков (СВС).

Случайное значение аутентификации (ключ) может быть сгенерировано в виде 16-байтового ключа в режиме СВС по следующему уравнению:

Случайное значение аутентификации получают в следующем процессе. Сначала вектор инициализации (IV) обрабатывается XOR первым блоком открытого текста пароля и шифруется. Затем следующий блок открытого текста (SNO) обрабатывается XOR предыдущим зашифрованным блоком (SNO-1) и шифруется. Последний блок может быть заполненным блоком.

Когда сгенерировано 16-байтовое случайное значение аутентификации, полученное из пароля, генератор сеансовых ключей 120 разделяет его на два блока: первый 8-байтовый блок (первое случайное значение) и второй 8-байтовый блок (второе случайное значение), а затем вставляет строку пароля 210 в начале каждого блока, чтобы создать первый и второй блок данных аутентификатора.

К примеру, когда пароль «SZTGBPWD», а случайное значение аутентификации, полученное по вышеуказанному уравнению, составляет 0×00 01 02 03 04 05 06 07 08 09 0A 0В 0С 0D 0Е 0F, первый блок становится «S Z Т G В Р W D 00 01 02 03 04 05 06 07», а второй - «S Z Т G В Р W D 08 09 0A 0В 0С 0D 0Е 0F». То есть, первый и второй блоки могут быть зашифрованы по криптографическому стандарту с общим ключом, PKCS#5.

Как показано на РИС. 3, данные аутентификатора могут составлять 256 байтов и состоять из нескольких блоков с 16-байтовым столбцом.

Первый блок может состоять из 8 байтов строки пароля 210 и 8 байтов первого случайного значения 220, полученного из пароля.

Второй блок может состоять из 8 байтов строки пароля 210 и 8 байтов второго случайного значения 230, полученного из пароля.

Также, третий блок может содержать 4 байта проверочного значения 240, которое указывает на результат проверки открытого ключа, полученного от устройства маркеров безопасности 2, а оставшиеся 12 байтов третьего блока могут быть заполнены. Другими словами, 220 байтов данных аутентификатора могут быть заполнены заполнителем 250.

Генератор сеансовых ключей 120 может выполнять шифрование по методу RSA 256 байт данных аутентификатора по РИС. 3 с помощью открытого ключа, полученного от устройства маркеров безопасности 2, а затем может передавать их на него. Кроме того, в ответ на зашифрованные данные аутентификатора, генератор сеансовых ключей 120 принимает ответные данные, которые шифруются с помощью пароля от устройства маркеров безопасности 2, и генерирует сеансовый ключ. Затем генератор сеансовых ключей 120 может создать сеанс путем передачи сгенерированного сеансового ключа на устройство маркеров безопасности 2.

Генератор заголовков 130 создает заголовок для файла, в котором обнаружено первое событие, шифрует сгенерированный заголовок с помощью сеансового ключа, созданного генератором сеансовых ключей 120, и может передать его на устройство маркеров безопасности 2.

Заголовок для публикуемого файла шифруется в устройстве маркеров безопасности 2 и может быть передан на шифратор-дешифратор файлов 140. Также, заголовок для загруженного файла дешифруется в устройстве маркеров безопасности 2 и может быть передан на шифратор-дешифратор файлов 140.

Шифратор-дешифратор файлов 140 шифрует файл, в котором обнаружено первое событие, с помощью заголовка, зашифрованного в устройстве маркеров безопасности 2, и может загружать зашифрованный файл на облачный сервер 3.

Помимо этого, шифратор-дешифратор файлов 140 дешифрует файл, в котором обнаружено второе событие, с помощью заголовка, зашифрованного устройством маркеров безопасности 2, чтобы файл мог запускаться на пользовательском терминале 1.

Устройство маркеров безопасности 2 отсоединяется от пользовательского терминала 1 и работает, когда оно подключено к нему. Устройство маркеров безопасности 2 принимает заголовок файла, в котором блоком обнаружения событий 110 обнаружено появление любого события, от генератора заголовков 130; шифрует или дешифрует заголовок; и передает его на шифратор-дешифратор файлов 140.

В частности, устройство маркеров безопасности 2 шифрует заголовок, полученный от генератора заголовков 130, и передает его на шифратор-дешифратор файлов 140 в процессе загрузки файла на сервер. И наоборот, во время загрузки файла, устройство маркеров безопасности 2 дешифрует заголовок зашифрованного файла, который загружается с облачного сервера 3 при приеме заголовка от генератора заголовков 130, и передает дешифрованный заголовок на шифратор-дешифратор файлов 140. Также, в случае такого события, как копирование, удаление и другая операция с файлом, устройство маркеров безопасности 2 может осуществлять процесс шифрования-дешифрования.

С другой стороны, подробная конфигурация устройства маркеров безопасности 2 представлена на РИС. 4. Как показано на РИС. 4, устройство маркеров безопасности 2 включает интерфейсные блоки 10А и 10В, контроллер поддержки конвертирования шифрования-дешифрования 20, запоминающее устройство 30 и чип безопасной аутентификации 40.

Интерфейсные блоки 10А и 10В являются разъемами, которые электрически соединяются с пользовательским терминалом 1. Как пример показаны USB-разъем 10А и микро-USB-разъем 10В, но могут использоваться различные типы интерфейсных устройств.

Контроллер поддержки конвертирования шифрования-дешифрования 20 выполняет шифрование или дешифрование заголовка файла, в котором происходит событие, посредством ключа шифрования и блока шифрования, которые хранятся на контроллере, и осуществляет операцию управления для резервирования данных, когда устройство маркеров безопасности 2 по настоящему изобретению используется как резервная память.

Когда выполняется шифрование или дешифрование, объем передаваемых или принимаемых данных можно сократить, а скорость обработки данных можно увеличить путем шифрования или дешифрования только заголовка файла.

Также, контроллер поддержки конвертирования шифрования-дешифрования 20 выполняет аутентификацию пользователя посредством чипа безопасной аутентификации 40, когда устройство маркеров безопасности 2 подключено к пользовательскому терминалу 1, и осуществляет шифрование или дешифрование только в том случае, когда аутентификация пользователя завершена успешно. Аутентификация пользователя выполняется путем генерирования сеансового ключа с помощью значения аутентификатора, полученного шифрованием случайного значения из пароля, который введен пользователем, и используя значение отклика на значение аутентификатора.

Запоминающее устройство 30 хранит зашифрованный заголовок. Кроме того, участок памяти запоминающего устройства 30 можно разделить таким образом, чтобы определенные части этого участка использовались для общей памяти, а остальные - для хранения зашифрованного заголовка. Запоминающее устройство 30 включает флэш-память, такую как широко используемая карта памяти USB или другие носители.

Чип безопасной аутентификации 40 представляет собой чип для обеспечения функции защиты, выполняя аутентификацию пользователя, когда устройство маркеров безопасности 2 подключено к пользовательскому терминалу 1, и может хранить как минимум один пароль в качестве средства аутентификации пользователя, дактилоскопическую информацию пользователя и модуль генерирования OTP (одноразового пароля) для создания значения OTP.

Парольная информация является личным идентификационным номером, который определен пользователем, и отличается от ключа шифрования. Кроме того, когда для аутентификации пользователя используется его дактилоскопическая информация, устройство считывания отпечатков пальцев должно быть установлено в устройстве маркеров безопасности или быть внешним устройством.

Модуль генерирования OTP использует шаг или время и случайное значение в качестве вводимых значений алгоритма шифрования для создания значения OTP и передает его серверу для аутентификации пользователя. Посредством такого сложного процесса аутентификации можно увеличить безопасность устройства маркеров безопасности. С другой стороны, сложный процесс аутентификации может улучшить безопасность устройства маркеров безопасности, но когда пользователь теряет его, он не может открыть зашифрованный файл, загруженный на облачный сервер 3. Эта проблема касается некоторых пользователей и сотрудников, следовательно, такие сложные продукты с одинаковым ключом шифрования можно продавать компаниям и группам, которые хотели бы использовать два или более устройства маркеров безопасности, чтобы избежать потерь.

При этом, чтобы управлять историей файла, который изменяют несколько человек, можно установить дополнительный сервис сервера. То есть, в сложных устройствах маркеров безопасности для нескольких сотрудников используется одинаковый ключ шифрования, но идентификационный номер присваивается каждому устройству маркеров безопасности для их различения, поэтому историей файла, который изменяют несколько человек, может управлять, к примеру, тот, кто последним изменил файл, при копировании файла и т.д.

С другой стороны, в процессе аутентификации пользователя чип безопасной аутентификации 40 генерирует ответные данные на данные аутентификатора, полученные от генератора сеансовых ключей 120 агента 100, и передает их агенту 100. Затем чип безопасной идентификации 40 может создать сеанс с агентом 100, получив сеансовый ключ, сгенерированный агентом 100 с помощью ответных данных. Генерирование ответных данных конкретно описано со ссылкой на РИС. 5.

На РИС. 5 представлена схема, объясняющая генерирование ответных данных чипа безопасной аутентификации 40 по РИС. 4.

При приеме данных аутентификатора от генератора сеансовых ключей 120 чип безопасной аутентификации 40 дешифрует данные аутентификатора с помощью пароля и может подтверждать его совпадение.

Если пароли совпадают, чип безопасной аутентификации 40 может генерировать случайное значение отклика на основе пароля. Случайное значение отклика может быть сгенерировано тем же алгоритмом, что используется для создания случайного значения аутентификации. Иначе говоря, его можно сгенерировать с помощью алгоритма расширенного стандарта шифрования и зашифровать в режиме цепочки цифровых блоков (СВС).

В данном случае, случайное значение отклика (ключ 1) может быть сгенерировано в виде 16-байтового ключа в режиме СВС по следующему уравнению:

Случайное значение отклика может быть получено в следующем процессе. Сначала вектор инициализации (IV) обрабатывается XOR первым блоком открытого текста пароля и шифруется. Затем следующий блок открытого текста (SNO) обрабатывается XOR предыдущим зашифрованным блоком (SNO-1) и шифруется.

Когда генерируется 16-байтовое случайное значение, полученное из пароля, чип безопасной аутентификации 40 разделяет его на два блока: первый 8-байтовый блок 320 (третье случайное значение) и второй 8-байтовый блок 330 (четвертое случайное значение), а затем вставляет строку пароля 310 в начале каждого блока, чтобы создать первый и второй блок ответных данных 300.

Как показано на РИС. 5, ответные данные могут составлять 32 байта и состоять из первого и второго блока, каждый из которых имеет 16-байтовый столбец.

Первый блок может состоять из 8 байтов строки пароля 310 и 8 байтов третьего случайного значения 320, которое получено из пароля.

Второй блок может состоять из 8 байтов строки пароля 310 и 8 байтов четвертого случайного значения 330, которое получено из пароля.

Чип безопасной аутентификации 40 может зашифровать 32 байта ответных данных по РИС. 5 с помощью пароля и передать их на генератор сеансовых ключей 120.

Чип безопасной аутентификации 40 может создавать сеанс при приеме сеансового ключа от генератора сеансовых ключей 120.

Сеансовый ключ может быть создан генератором сеансовых ключей 120 с помощью случайного значения аутентификации, сгенерированного им, а также используя случайное значение отклика, которое включено в ответные данные, полученные генератором сеансовых ключей 120 от устройства маркеров безопасности 2.

На РИС. 6 представлена схема последовательности операций, показывающая предварительный процесс для использования устройства маркеров безопасности в ПК-среде.

Когда устройство маркеров безопасности 2 подключено к ПК пользователя на этапе S100, агент 100, загруженный на ПК пользователя, запускается на этом этапе. Агент 100 является программой для обеспечения безопасного облачного сервиса, связанной с устройством маркеров безопасности 2, и выполняет такие процессы, как: отправка заголовка целевого файла, созданного генератором заголовков 130, на устройство маркеров безопасности 2 для аппаратного шифрования заголовка, когда целевой шифруемый файл обнаруживается во время облачной синхронизации; дешифрование заголовка файла, который загружается с облачного сервера 3, посредством устройства маркеров безопасности 2; и выполнение автоматических операций шифрования и дешифрования в зависимости от того, подключено ли устройство маркеров безопасности 2.

При запуске агента 100 пользователь перенаправляется на главную страницу производителя устройства маркеров безопасности 2, ему предлагается зарегистрироваться на главной странице и оформить подписку на этапе S120. Затем на этапе S130 выполняется аутентификация пользователя. Как описано выше, аутентификация пользователя осуществляется с помощью различных средств, таких как пароль, дактилоскопическая информация, OTP и т.д. Кроме того, безопасность можно дополнительно улучшить, создав сеансовый ключ с помощью случайного значения на основе пароля.

Затем агент 100 предлагает пользователю указать или создать папку локальной синхронизации на этапе S140, т.е. папку, которая будет синхронизироваться с облачным сервером 3. Папку локальной синхронизации можно передать на облачный сервер 3 после того, как все файлы, сохраненные в ней, зашифрованы при помощи зашифрованного заголовка, переданного от устройства маркеров безопасности 2.

Как вариант, папку локальной синхронизации можно разделить на папку общей синхронизации, из которой файлы передаются на облачный сервер 3 без шифрования, и папку безопасной синхронизации, из которой файлы загружаются на облачный сервер 3 после шифрования с помощью заголовка. В данном случае, агент может создавать папку безопасной синхронизации как подпапку в папке локальной синхронизации, а операция для безопасного облачного сервиса может выполняться только для файлов, сохраненных в папке безопасной синхронизации на этапе S150.

РИС. 7 - схема последовательности операций, показывающая процесс, в котором файл шифруется с помощью устройства маркеров безопасности, после чего передается на облачный сервер.

Агент 100, загруженный на ПК пользователя, контролирует подключение устройства маркеров безопасности 2 к этому ПК на этапе S201 и может генерировать сеансовый ключ путем проведения аутентификации пользователя на этапе S202 при обнаружении подключения. Подробное описание аутентификации пользователя приведено на РИС. 9.

Агент 100 определяет первое событие, такое как создание или копирование файла, загружаемого на облачный сервер 3, на этапе S203 и может генерировать заголовок для соответствующего файла на этапе S204 при обнаружении первого события. Здесь заголовок является ключом шифрования для шифрования файла, в котором обнаружено первое событие, и его можно генерировать по случайному значению.

Далее сгенерированный заголовок шифруется с помощью сеансового ключа, сгенерированного на этапе S202, и передается на устройство маркеров безопасности на этапе S205. По завершении шифрования отправленного заголовка устройством маркеров безопасности 2 и отправки на агент 100 на этапе S206, с помощью шифрованного заголовка агент 100 может зашифровать файл, в котором обнаружено первое событие, на этапе S207.

При шифровании публикуемого файла агент 100 сохраняет зашифрованный файл в соответствующей папке на этапе S208. Зашифрованный файл хранится в папке локальной синхронизации или папке безопасной синхронизации, являющейся подпапкой папки локальной синхронизации в зависимости от объема шифрования, и файл, хранящийся в соответствующей папке, передается на облачный сервер 3 путем запуска облачного приложения.

Если во время автоматического шифрования на этапе S209 обнаружено удаление или, другими словами, отключение устройства маркеров безопасности 2, агент 100 отменяет автоматическое шифрование на этапе S210 и удаляет файлы в соответствующих папках во избежание синхронизации с облачным сервером 3.

РИС. 8 - схема последовательности операций, показывающая процесс, в котором файл дешифруется с помощью облачного сервиса в мобильной среде.

Сначала облачное приложение для обеспечения облачного сервиса запускается на этапе S301, и когда зашифрованный файл загружается с облачного сервера 3 на мобильный терминал, на этапе S302 определяется появление второго события.

По получении шифрованного файла агент 100 для безопасного облачного сервиса запускается и контролирует, подключено ли устройство маркеров безопасности 2.

При подключении устройства маркеров безопасности 2 к мобильному терминалу на этапе S303 посредством аутентификации пользователя генерируется сеансовый ключ и на этапе S304 создается сеанс с агентом 100. По завершении аутентификации пользователя, с помощью сеансового ключа, сгенерированного на этапе s304, агент шифрует заголовок шифрованного файла и может передавать его на устройство маркеров безопасности 2 на этапе S305.

Когда заголовок дешифруется устройством маркеров безопасности 2 на этапе S306 и передается на терминал, с помощью дешифрованного заголовка агент 100 может дешифровать файл на этапе S307.

Пользовательский терминал 1 может отображать дешифрованный файл на экране, запуская его.

Если при загрузке файла на этапе S308 обнаружено удаление или, другими словами, отключение устройства маркеров безопасности 2, агент 100 отменяет автоматическое дешифрование и удаляет дешифрованные кэш-файлы в соответствующей папке для предотвращения их запуска на этапе S309.

РИС. 9 - схема последовательности операций, показывающая процесс, в котором устройство маркеров безопасности соединяется с пользовательским терминалом. Касательно дешифрования по РИС. 9 см. РИС. 2-5.

При обнаружении терминалом 1, на который установлен агент 100, физического подключения устройства маркеров безопасности 2 агент 100 может получить пароль от пользователя на этапе S410.

Когда пользователем вводится пароль, агент 100 может запросить открытый ключ от устройства маркеров безопасности 2 на этапе S420. В ответ на запрос открытого ключа устройство маркеров безопасности 2 передает его на этапе S430 и агент 100 может получить и сохранить его на этапе S440.

Далее генератор сеансовых ключей 120 агента 100 может сгенерировать случайное значение аутентификации на основе введенного пароля на этапе S450. На этом этапе случайное значение аутентификации может генерироваться с помощью алгоритма расширенного стандарта шифрования (AES) и шифроваться в режиме цепочки цифровых блоков (СВС).

Случайное значение аутентификации 16-байтовое и его можно использовать для генерирования данных аутентификатора посредством разбивки на первые 8 байт в качестве первого случайного значения и других 8 байт в качестве второго.

Затем генератор сеансовых ключей 120 агента 100 генерирует данные аутентификатора с помощью сгенерированного случайного значения аутентификации, шифрует его с помощью открытого ключа, полученного от устройства маркеров безопасности 2 на этапе S460, и передает его на устройство маркеров безопасности 2.

Данные аутентификации 256-байтовые и могут состоять из пароля, случайного значения аутентификации, проверочного значения открытого ключа, заполнения и т.д. Генерирование случайного значения аутентификации и данных аутентификатора описано выше на РИС. 3, поэтому в дальнейшем в этом документе описание этого будет опускаться.

Устройство маркеров безопасности 2 может подтвердить пароль путем дешифрования зашифрованных данных аутентификатора, полученных от агента 100, с помощью пароля на этапе S470.

Далее устройство маркеров безопасности 2 может сгенерировать случайное значение отклика, полученное из пароля на этапе S480. Случайное значение отклика может генерироваться с помощью алгоритма расширенного стандарта шифрования (AES) и шифроваться в режиме цепочки цифровых блоков (СВС).

В таком случае, случайное значение отклика 16-байтовое и может использоваться для генерирования ответных данных путем его разделения на первые 8 байт (третье случайное значение) и другие 8 байт (четвертое случайное значение).

Затем устройство маркеров безопасности 2 генерирует ответные данные с помощью случайного значения отклика, сгенерированного на этапе S490, шифрует его с помощью пароля на этапе S500 и может передавать его на агент 100.

Далее на этапе S510 агент 100 генерирует сеансовый ключ с помощью случайного значения аутентификации, сгенерированного на этапе S450, и с помощью случайного значения отклика, входящего в ответные данные, полученные от устройства маркеров безопасности 2, и может передавать сгенерированный сеансовый ключ на устройство маркеров безопасности 2.

Затем, по получении сеансового ключа, устройство маркеров безопасности 2 создает сеанс, логически связанный с агентом 100 для процедуры входа в систему на этапе S520.

На РИС. 10 изображен процесс шифрования заголовка файла в устройстве маркеров безопасности при загрузке файла на сервер, а на РИС. 11 - процесс дешифрования заголовка файла в устройстве маркеров безопасности при загрузке файла с сервера. На РИС. 10 и 11 изображен пример, на котором пользовательский терминал 1 подключен к USB-разъему 10А.

Сначала, согласно РИС. 10, при загрузке файла поток данных от агента 100 к устройству маркеров безопасности 2 обозначается пунктирной стрелкой, а поток данных в обратном направлении обозначается стрелкой с точками.

При вводе заголовка для шифрования публикуемого файла из агента 100 на этапе S1 контроллер поддержки конвертирования шифрования-дешифрования 20 шифрует полученный заголовок исходного файла на этапе S2, сохраняет его на запоминающем устройстве 30 на этапе S3 и отправляет шифрованный заголовок с запоминающего устройства 30 на агент 100 на этапе S4.

Агент 100 принимает шифрованный заголовок, шифрует исходный публикуемый файл и может загружать этот файл на облачный сервер 3.

Впоследствии, согласно РИС. 11 при загрузке файла поток данных от агента 100 к устройству маркеров безопасности 2 обозначается пунктирной стрелкой, а поток данных в обратном направлении - стрелкой с точками. При вводе заголовка файла, загруженного с облачного сервера 3, с агента 100 на этапе S11 контроллер поддержки конвертирования шифрования-дешифрования 20 проходит через шифрованный заголовок и сохраняет его на запоминающем устройстве 30 на этапе S12, дешифрует его на этапе S13 и отправляет дешифрованный заголовок на агент 100 на этапе S14.

Агент 100 принимает дешифрованный заголовок и дешифрует зашифрованный файл, загруженный с облачного сервера, для запуска на пользовательском терминале 1. С другой стороны, помимо создания файла путем его публикации или загрузки в зависимости от потока данных, описанного на РИС. 10 и 11, шифрование-дешифрование может осуществляться при появлении таких событий, как копирование, удаление файла и т.д.

Хотя предпочтительные варианты осуществления настоящего изобретения были раскрыты в целях наглядности, специалисты в данной области техники одобрят различные возможные изменения, дополнения и замены без отступления от объема и сущности настоящего изобретения, о чем говорится в прилагаемых пунктах формулы изобретения.

1. Агент, установленный на пользовательский терминал для обеспечения безопасного облачного сервиса, включающий:

генератор заголовков для генерирования заголовков, имеющих случайное значение для шифрования файла, загружаемого на облачный сервер, при получении этого файла с пользовательского терминала;

при обнаружении блоком обнаружения событий устройства маркеров безопасности генератор сеансовых ключей предназначен для генерирования сеансовых ключей, создающих сеанс с устройством маркеров безопасности, осуществляющим шифрование сгенерированного заголовка или дешифрования заголовка файла, загруженного с облачного сервера, а когда блок обнаружения событий определяет, что устройство маркеров безопасности отключено во время указанного сеанса, то отменяют автоматическое шифрование или дешифрование и удаляют файлы во избежание синхронизации с облачным сервером, шифратор-дешифратор предназначен для шифрования файла, загружаемого на облачный сервер, использующий зашифрованный заголовок, когда он зашифрован устройством маркеров безопасности, и для дешифрования файла, загружаемого с облачного сервера с помощью дешифрованного заголовка, когда он дешифруется устройством маркеров безопасности; и

шифратор-дешифратор для шифрования файла, загружаемого на облачный сервер, использующий зашифрованный заголовок, когда он зашифрован устройством маркеров безопасности, и дешифрования файла, загружаемого с облачного сервера с помощью дешифрованного заголовка, когда он дешифруется устройством маркеров безопасности.

2. Агент по п. 1, отличающийся тем, что генератор шифрует заголовок с помощью сеансового ключа и передает зашифрованный заголовок на устройство маркеров безопасности.

3. Агент по п. 1, отличающийся тем, что генератор сеансовых ключей получает пароль и запрашивает открытый ключ у устройства маркеров безопасности, когда обнаруживает его подключение; генерирует данные аутентификатора, включающие случайное значение аутентификации, шифрует данные с помощью открытого ключа и передает их на устройство маркеров безопасности; и генерирует сеансовый ключ с помощью случайного значения аутентификации и отклика при приеме от устройства маркеров безопасности ответных данных, включающих случайное значение отклика.

4. Устройство маркеров безопасности для безопасного облачного сервиса, включающее:

блок обнаружения событий, предназначенный для определения подключения устройства маркеров безопасности к пользовательскому терминалу при шифровании или дешифровании заголовка файла, загружаемого на облачный сервер или загружаемого с облачного сервера, а при обнаружении того, что устройство маркеров безопасности отключено, обеспечивают отмену автоматического шифрования или дешифрования и удаление файлов во избежание синхронизации с облачным сервером;

интерфейсный блок, отсоединяющийся от пользовательского терминала, для обеспечения интерфейса с агентом, установленным на пользовательский терминал;

запоминающее устройство для хранения зашифрованного заголовка, который является ключом шифрования, генерируемым со случайным значением для шифрования и дешифрования файла, выкладываемого на облачный сервер; и

контроллер поддержки конвертирования шифрования-дешифрования, шифрующий заголовок файла, загружаемого на облачный сервер, при получении этого заголовка, сохраняет шифрованный заголовок на запоминающем устройстве и передает его на агент; и сохраняет шифрованный заголовок файла, загружаемого с облачного сервера, на запоминающее устройство при приеме этого заголовка, дешифрует его и передает на агент.

5. Устройство маркеров безопасности по п. 4, дополнительно включающее:

чип безопасной аутентификации, передающий открытый ключ по запросу агента и получающий данные аутентификатора, включающие случайное значение аутентификации; генерирует ответные данные, включающие случайное значение отклика, и передает ответные данные на агент; и генерирует сеанс с агентом по получении от него сеансового ключа, с генерированием последнего агентом с помощью случайного значения аутентификации и с помощью случайного значения отклика.

6. Устройство маркеров безопасности по п. 5, отличающееся тем, что с помощью сеансового ключа чип безопасной аутентификации шифрует шифрованный или дешифрованный заголовок и передает его на агент.