專利名稱：一種移動存儲器、移動存儲器的訪問控制方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種移動存儲器、移動存儲器的訪問控制方法及系統(tǒng)。
背景技術(shù)：
隨著移動存儲器，尤其是以USB(Universal Serial Bus，通用串行總線)為接口的移動存儲器(以下簡稱為U盤)的迅速普及，存儲在U盤中的文件的安全性問題日益受到關(guān)注。為了增強U盤的安全性，能夠?qū)盤的文件訪問操作進行控制的安全U盤已逐漸應(yīng)用到軍事、金融、商業(yè)等領(lǐng)域。安全U盤進行訪問控制的基本原理是，用戶在對安全U盤中的文件進行訪問前，需要通過計算機終端向安全U盤發(fā)送認證口令(以下簡稱為口令)，安全U盤對口令進行認證，認證通過后才允許用戶對安全U盤進行文件讀寫等操作。但是，現(xiàn)有的安全U盤僅通過靜態(tài)的認證口令對用戶進行身份認證，存在安全性較差的缺陷。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種移動存儲器、移動存儲器的訪問控制方法及系統(tǒng)，提高文件訪問的安全性。本發(fā)明的目的是通過以下技術(shù)方案實現(xiàn)的一種移動存儲器的訪問控制方法，包括移動存儲器接收多種認證類型的認證請求，并進行認證；當所述移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作；所述N為大于或等于2的整數(shù)。一種移動存儲器，包括認證單元和訪問控制單元，其中所述認證單元，用于接收多種認證類型的認證請求，并進行認證；所述訪問控制單元，用于當判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。一種移動存儲器的訪問控制系統(tǒng)，包括顯示裝置以及移動存儲器，其中所述顯示裝置，用于發(fā)送多種認證類型的認證請求給所述移動存儲器；所述移動存儲器，用于接收所述顯示裝置發(fā)送的多種認證類型的認證請求，并進行認證，當所述移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。由上述本發(fā)明提供的技術(shù)方案可以看出，本發(fā)明實施例提供的移動存儲器、移動存儲器的訪問控制方法及系統(tǒng)，通過當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作，提高文件訪問操作的安全性。


為了更清楚地說明本發(fā)明實施例的技術(shù)方案，下面將對實施例描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領(lǐng)域的普通技術(shù)人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他附圖。圖1為本發(fā)明實施例提供的移動存儲器的訪問控制方法的流程示意圖。圖2為本發(fā)明實施例提供的移動存儲器的構(gòu)成示意圖一。圖3為本發(fā)明實施例提供的移動存儲器的構(gòu)成示意圖二。圖4為本發(fā)明實施例提供的移動存儲器的訪問控制系統(tǒng)的構(gòu)成示意圖。圖5為本發(fā)明實施例提供的移動存儲器的訪問控制方法的應(yīng)用場景流程示意圖
ο圖6為本發(fā)明實施例提供的移動存儲器的訪問控制方法的應(yīng)用場景流程示意圖
--ο圖7為本發(fā)明實施例提供的移動存儲器的訪問控制方法的應(yīng)用場景流程示意圖
具體實施例方式下面結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明的實施例，本領(lǐng)域普通技術(shù)人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明的保護范圍。下面將結(jié)合附圖對本發(fā)明實施例作進一步地詳細描述。如圖1所示，本發(fā)明實施例提供一種移動存儲器的訪問控制方法，包括11、移動存儲器接收多種認證類型的認證請求，并進行認證。12、當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。本發(fā)明實施例移動存儲器的訪問控制方法中，移動存儲器可以接收顯示裝置發(fā)送的認證請求，上述顯示裝置可以包括個人計算機或?qū)Ｓ玫奈募畔@示裝置等。由上述本發(fā)明提供的技術(shù)方案可以看出，通過當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作，提高文件訪問操作的安全性?？蛇x的，上述認證類型可以包括靜態(tài)口令認證、動態(tài)口令認證或者證書認證等?？蛇x的，上述步驟12中移動存儲器可以采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證判斷當前已通過的認證所對應(yīng)的認證類型數(shù)是否等于N，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證。示例性的，認證類型包括靜態(tài)口令認證、動態(tài)口令認證或者證書認證，N等于2時，上述步驟12中判定當前已通過靜態(tài)口令認證、動態(tài)口令認證或者證書認證中任意2種類型的認證后，則判定已通過了預(yù)先設(shè)定的2種認證類型的認證，可以對移動存儲器進行文件訪問操作。或者，可選的，上述步驟12中移動存儲器可以采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種認證類型的認證判斷當前已通過的認證所對應(yīng)的認證類型是否與預(yù)先設(shè)定的N種認證類型一致， 如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證。示例性的，認證類型包括靜態(tài)口令認證、動態(tài)口令認證或者證書認證，預(yù)先設(shè)定的 2種認證類型為靜態(tài)口令認證和證書認證時，上述步驟12中判定當前已通過靜態(tài)口令認證和證書認證2種類型的認證后，則判定已通過了預(yù)先設(shè)定的2種認證類型的認證，可以對移動存儲器進行文件訪問操作。或者，可選的，上述步驟12中移動存儲器可以采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種認證類型的認證判斷當前已通過的認證所對應(yīng)的認證類型中是否包含預(yù)先設(shè)定的安全條件認證， 如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證，所述安全條件認證屬于所述N種認證類型中的一種。而且，通過所述安全條件認證的前置條件中包含已通過N-I種前置認證，所述前置認證屬于所述N種認證類型中的一種。示例性的，認證類型包括靜態(tài)口令認證、動態(tài)口令認證或者證書認證，N等于2，前置認證為靜態(tài)口令認證，安全條件認證為證書認證時，上述步驟12中判定當前已通過的認證所對應(yīng)的認證類型中包含證書認證，且移動存儲器通過了證書認證的前置條件，即通過了靜態(tài)口令認證，則判定已通過了預(yù)先設(shè)定的2種認證類型的認證，可以對移動存儲器進行文件訪問操作?；蛘?，可選的，上述步驟12中移動存儲器可以采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種認證類型的認證判斷當前已通過的不同類型的認證所對應(yīng)的狀態(tài)值之和是否大于或等于預(yù)先設(shè)定的安全認證條件值X，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證；其中，移動存儲器可以采用如下方式設(shè)定通過各種類型的認證所對應(yīng)的狀態(tài)值通過任意M種類型的認證所對應(yīng)的狀態(tài)值之和小于X，其中M < N ；并且，通過任意 N種或預(yù)先設(shè)定的N種類型的認證所對應(yīng)的狀態(tài)值之和大于或等于X。示例性的，認證類型包括靜態(tài)口令認證、動態(tài)口令認證或者證書認證等，N等于3， 預(yù)先設(shè)定的安全認證條件值X等于3時。如果靜態(tài)口令認證的狀態(tài)值等于1，動態(tài)口令認證的狀態(tài)值等于1，證書認證的狀態(tài)值等于1時，通過3種預(yù)先設(shè)定的靜態(tài)口令認證、動態(tài)口令認證和證書認證的認證所對應(yīng)的狀態(tài)值之和等于X(即1+1+1 = 3)，且M = 2(M < N) 時，通過2種認證所對應(yīng)的狀態(tài)值之和小于X(即1+1 = 2 < 3)，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證；如果靜態(tài)口令認證的狀態(tài)值等于2，動態(tài)口令認證的狀態(tài)值等于1，證書認證的狀態(tài)值等于1，雖然，通過3種預(yù)先設(shè)定的靜態(tài)口令認證、動態(tài)口令認證和證書認證的認證所對應(yīng)的狀態(tài)值之和大于X (即2+1+1 = 4 > 3)，但是，M = 2時，通過2種預(yù)先設(shè)定的靜態(tài)口令認證和動態(tài)口令認證或者靜態(tài)口令認證和證書認證的認證所對應(yīng)的狀態(tài)值之和等于 X(即1+2 =幻，不滿足M種類型的認證所對應(yīng)的狀態(tài)值之和小于X，則不能判定已通過了預(yù)先設(shè)定的N種認證類型的認證?？蛇x的，本發(fā)明實施例移動存儲器的訪問控制方法，上述步驟12中預(yù)先設(shè)定的文件訪問操作可以為當前的文件訪問權(quán)限所對應(yīng)的文件訪問操作；其中，當前的文件訪問權(quán)限為當前的最高安全級別所對應(yīng)的文件訪問權(quán)限；當前的最高安全級別為當前通過的N種類型的認證所對應(yīng)的安全級別中的最高值對應(yīng)的安全級別?；蛘?，可選的，本發(fā)明實施例移動存儲器的訪問控制方法，上述步驟12中預(yù)先設(shè)定的文件訪問操作可以為當前的文件訪問權(quán)限所對應(yīng)的文件訪問操作；其中，當前的文件訪問權(quán)限為當前通過的N種類型的認證分別對應(yīng)的文件訪問權(quán)限的并集。如圖2所示，對應(yīng)于上述實施例的移動存儲器的訪問控制方法，本發(fā)明實施例提供一種移動存儲器，包括認證單元21和訪問控制單元22 認證單元21，用于接收多種認證類型的認證請求，并進行認證。訪問控制單元22，用于當判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。由上述本發(fā)明提供的技術(shù)方案可以看出，通過當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作，提高文件訪問操作的安全性?？蛇x的，認證類型可以包括靜態(tài)口令認證，動態(tài)口令認證或者證書認證等。可選的，上述訪問控制單元22，可以具體用于判斷當前已通過的認證所對應(yīng)的認證類型數(shù)是否等于N，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證。或者，可選的，上述訪問控制單元22，可以具體用于判斷當前已通過的認證所對應(yīng)的認證類型是否與預(yù)先設(shè)定的N種認證類型一致，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證?；蛘?，可選的，上述訪問控制單元22，可以具體用于判斷當前已通過的認證所對應(yīng)的認證類型中是否包含預(yù)先設(shè)定的安全條件認證，如果是，則判定已通過了預(yù)先設(shè)定的N 種認證類型的認證，所述安全條件認證屬于所述N種認證類型中的一種，通過所述安全條件認證的前置條件中包含已通過N-I種前置認證，所述前置認證屬于所述N種認證類型中的一種?；蛘?，可選的，上述訪問控制單元22，可以具體用于判斷當前已通過的不同類型的認證所對應(yīng)的狀態(tài)值之和是否大于或等于預(yù)先設(shè)定的安全認證條件值X，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證，其中，所述移動存儲器采用如下方式設(shè)定通過各種類型的認證所對應(yīng)的狀態(tài)值，通過任意M種類型的認證所對應(yīng)的狀態(tài)值之和小于X，其中 M < N ；通過任意N種或預(yù)先設(shè)定的N種類型的認證所對應(yīng)的狀態(tài)值之和大于或等于X?？蛇x的，上述預(yù)先設(shè)定的文件訪問操作可以為當前的文件訪問權(quán)限所對應(yīng)的文件訪問操作；其中，所述當前的文件訪問權(quán)限為當前的最高安全級別所對應(yīng)的文件訪問權(quán)限；
所述當前的最高安全級別為當前通過的所述N種類型的認證所對應(yīng)的安全級別中的最高值對應(yīng)的安全級別?；蛘?，可選的，上述預(yù)先設(shè)定的文件訪問操作可以為當前的文件訪問權(quán)限所對應(yīng)的文件訪問操作；其中，所述當前的文件訪問權(quán)限為當前通過的所述N種類型的認證分別對應(yīng)的文件訪問權(quán)限的并集。如圖3所示，本發(fā)明實施例移動存儲器，還可以包括預(yù)設(shè)單元31，用于預(yù)先設(shè)置N種類型的認證，N為大于或等于2的整數(shù)，預(yù)先設(shè)置安全條件認證以及前置認證，預(yù)先設(shè)置安全認證條件值X以及N種類型的認證所對應(yīng)的狀態(tài)值，預(yù)先設(shè)定的文件訪問操作中的至少一種。本發(fā)明實施例移動存儲器與上述實施例移動存儲器的訪問控制方法相對應(yīng)，因此，涉及到的相似內(nèi)容可以參考上述實施例移動存儲器的訪問控制方法得以理解，在此不再贅述。如圖4所示，本發(fā)明實施例提供一種移動存儲器的訪問控制系統(tǒng)，包括顯示裝置 41以及移動存儲器42 顯示裝置41，用于發(fā)送多種認證類型的認證請求給所述移動存儲器42。移動存儲器42，用于接收顯示裝置41發(fā)送的多種認證類型的認證請求，并進行認證，當移動存儲器42判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器42 進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。。本發(fā)明實施例移動存儲器的訪問控制系統(tǒng)中，移動存儲器可以接收顯示裝置發(fā)送的認證請求，上述顯示裝置可以包括個人計算機或?qū)Ｓ玫奈募畔@示裝置等。由上述本發(fā)明提供的技術(shù)方案可以看出，通過當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作，提高文件訪問操作的安全性。本發(fā)明實施例移動存儲器的訪問控制系統(tǒng)中移動存儲器以參考上述實施例移動存儲器得以理解，在此不再贅述。第一方法實施例如圖5所示，本實施例中，移動存儲器記錄用戶通過的每一種類型的認證，用戶發(fā)起文件訪問操作請求后，移動存儲器掃描用戶的認證狀態(tài)，當滿足預(yù)先設(shè)定的條件時，允許其進行相應(yīng)的文件訪問操作。本實施例的方法包括如下步驟51、移動存儲器與顯示裝置連接后，顯示裝置顯示用戶認證界面，以提示用戶進行認證類型的選擇，并輸入或者選擇相應(yīng)的口令或證書。上述顯示裝置可以是個人計算機或?qū)Ｓ玫奈募畔@示裝置。52、用戶選定認證類型后，向移動存儲器發(fā)送認證請求。用戶可以選擇的認證類型包括靜態(tài)口令認證，動態(tài)口令認證，證書認證。如果選擇靜態(tài)口令認證，用戶通常應(yīng)當輸入用戶名及靜態(tài)口令，其中用戶名為可選項；如果選擇動態(tài)口令認證，用戶通常應(yīng)當輸入用戶名以及通過令牌裝置獲取的動態(tài)口令，令牌裝置如，OTP(One-Time password，動態(tài)口令)令牌，其中用戶名為可選項；如果用戶選擇證書認證，用戶通常應(yīng)當輸入用戶名，并選擇相應(yīng)的用戶證書，其中用戶名為可選項。根據(jù)采用的認證類型的不同，上述認證請求中可以包含靜態(tài)口令、或動態(tài)口令、 或該顯示裝置的證書。可選地，上述認證請求中還可以包含用戶名。上述靜態(tài)口令可以由移動存儲器的管理人員或用戶預(yù)先進行設(shè)置，顯示裝置可以從其內(nèi)置、或外接的存儲模塊中讀取獲得，或者通過用戶輸入獲得，并將其包含在認證請求中發(fā)送給移動存儲器。上述動態(tài)口令可以由用戶通過專用的令牌裝置獲得，并輸入顯示裝置，顯示裝置將用戶輸入的動態(tài)口令包含在認證請求中發(fā)送給移動存儲器。上述顯示裝置證書可以由顯示裝置從其內(nèi)置、或外接的存儲模塊中讀取獲得，并發(fā)送至移動存儲器。上述外接的存儲模塊可以是存儲卡、智能卡、SIM (Subscriber Identity Module, 客戶識別模塊)卡等。此外，上述認證請求中還可以包含認證類型指示字段，用于標識當前采用的認證類型。53、移動存儲器接收到顯示裝置發(fā)送的認證請求后，進行認證類型的識別。如果是采用靜態(tài)口令方式認證，則跳轉(zhuǎn)至步驟M ；如果是采用動態(tài)口令方式認證，則跳轉(zhuǎn)至步驟55，如果是采用證書方式認證，則跳轉(zhuǎn)至步驟56。移動存儲器可以通過認證請求中的認證類型指示字段來識別當前采用的認證類型。54、如果采用靜態(tài)口令方式認證，移動存儲器將認證請求中包含的靜態(tài)口令與其安全存儲區(qū)中存儲的靜態(tài)口令進行對比，如果相匹配，則表明靜態(tài)口令認證成功；否則表明靜態(tài)口令認證失?。灰苿哟鎯ζ饔涗涭o態(tài)口令認證狀態(tài)。上述靜態(tài)口令認證狀態(tài)可以是靜態(tài)口令認證成功、或靜態(tài)口令認證失敗。上述認證狀態(tài)的初始狀態(tài)可以是未進行靜態(tài)口令認證、或靜態(tài)口令認證失敗。如果認證請求中包含用戶名，則移動存儲器可以根據(jù)用戶名從安全存儲區(qū)中獲取對應(yīng)的靜態(tài)口令進行對比；如果認證請求中不包含用戶名，則移動存儲器可以從安全存儲區(qū)中獲取多個有效的靜態(tài)口令，并分別與認證請求中包含的靜態(tài)口令進行對比，只要從安全存儲區(qū)中獲取的一個靜態(tài)口令與認證請求中包含的靜態(tài)口令匹配，則表明靜態(tài)口令認證成功。上述有效的靜態(tài)口令是指，至少與一個安全級別、或與文件訪問權(quán)限相對應(yīng)的靜態(tài)口令。55、如果采用動態(tài)口令方式認證，移動存儲器將其生成的當前的動態(tài)口令與認證請求中包含的動態(tài)口令進行對比，如果兩者匹配，則表明動態(tài)口令認證成功；否則表明動態(tài)口令認證失敗；移動存儲器記錄動態(tài)口令認證狀態(tài)。上述動態(tài)口令認證狀態(tài)可以是動態(tài)口令認證成功、或動態(tài)口令認證失敗。上述認證狀態(tài)的初始狀態(tài)可以是未進行動態(tài)口令認證、或動態(tài)口令認證失敗。為了支持動態(tài)口令認證，移動存儲器作為動態(tài)口令服務(wù)器(例如，OTP服務(wù)器)，需要在其中設(shè)置一個或多個動態(tài)口令生成器，每一個動態(tài)口令生成器可以與一個或多個令牌 (或用戶)相對應(yīng)。當移動存儲器中設(shè)置有多個動態(tài)口令生成器時，用戶通過令牌獲取當前的動態(tài)口令，輸入顯示裝置，并將動態(tài)口令包含在認證請求中發(fā)送給移動存儲器后，只要認證請求中包含的動態(tài)口令與其中一個動態(tài)口令生成器生成的動態(tài)口令相匹配，則表明動態(tài)口令認證成功。此外，當移動存儲器中設(shè)置有多個動態(tài)口令生成器，每一個動態(tài)口令生成器與一個用戶相對應(yīng)，且認證請求中包含用戶名時，用戶通過令牌獲取當前的動態(tài)口令，將用戶名和該動態(tài)口令一并輸入顯示裝置，并將用戶名和該動態(tài)口令包含在認證請求中發(fā)送給移動存儲器后，移動存儲器可以根據(jù)認證請求中包含的用戶名獲得與該用戶名相對應(yīng)的動態(tài)口令生成器生成的動態(tài)口令，通過將其與認證請求中包含的動態(tài)口令相比較來進行動態(tài)口令的認證。56、如果采用證書方式認證，移動存儲器接收到顯示裝置發(fā)送的認證請求后，對其中包含的證書(以下稱為顯示裝置證書)進行認證，并記錄證書認證狀態(tài)；上述證書認證狀態(tài)可以是證書認證成功、或證書認證失敗。上述認證狀態(tài)的初始狀態(tài)可以是未進行證書認證、或證書認證失敗。上述證書認證過程可以分為如下子步驟，包括561、移動存儲器讀取顯示裝置證書中的頒發(fā)者標識信息，并根據(jù)該信息獲取對應(yīng)的頒發(fā)者證書。562、移動存儲器從頒發(fā)者證書中讀取該證書的公鑰。563、移動存儲器使用上述公鑰對顯示裝置證書的證書簽名字段進行驗證，如果簽名驗證成功則表明證書認證成功，否則表明證書認證失敗。顯然，為了支持證書方式認證，移動存儲器中需要存儲一個或多個根證書(頒發(fā)者證書)，每一根證書對應(yīng)一個可信的CA (Certificate Authority，認證中心)，顯示裝置證書由上述CA頒發(fā)。57、本次認證成功后，移動存儲器對預(yù)先設(shè)定的認證類型的認證狀態(tài)進行檢查，如果滿足預(yù)先設(shè)定的安全認證條件，則將當前狀態(tài)標識為安全狀態(tài)，允許進行相應(yīng)的文件訪問操作；如果不滿足，則跳轉(zhuǎn)至步驟52。上述安全認證條件可以是以下條件之一條件一已通過N種類型的認證，認證類型數(shù)N為預(yù)先設(shè)定的大于1的整數(shù)。例如預(yù)先設(shè)定的認證類型數(shù)N的值為2，用戶通過任意兩種類型的認證后滿足安全認證條件。條件二已通過多個預(yù)先設(shè)定的類型的認證。例如，預(yù)先設(shè)定的認證類型為靜態(tài)口令認證和證書認證，則只有通過上述兩種類型的認證后才滿足安全認證條件。58、根據(jù)用戶通過的多種類型的認證確定該用戶當前的文件訪問權(quán)限。可以采用如下方式之一確定用戶當前的文件訪問權(quán)限(1)方式一不同的認證類型對應(yīng)不同的安全級別，且不同的安全級別對應(yīng)不同的文件訪問權(quán)限；將用戶已通過的各種認證類型中最高的安全級別作為當前的安全級別；將當前的安全級別所對應(yīng)的文件訪問權(quán)限作為用戶當前的文件訪問權(quán)限。本實施例中，安全級別由低到高可以分別為靜態(tài)口令認證所對應(yīng)的低級安全級別；動態(tài)口令認證所對應(yīng)的中級安全級別；證書認證所對應(yīng)的高級安全級別。本實施例中，不同的安全級別對應(yīng)不同的文件訪問權(quán)限。文件訪問權(quán)限可以包括不同的文件操作類型、和/或文件訪問操作對象。文件訪問操作類型可以包括文件屬性信息瀏覽，讀取文件，修改文件，刪除文件， 創(chuàng)建文件，創(chuàng)建文件夾，刪除文件夾等。上述文件屬性信息瀏覽也可以稱為瀏覽文件夾操作，是指對某一磁盤分區(qū)或文件夾中所包含的文件或文件夾的文件/文件夾名稱、文件類型、創(chuàng)建日期、修改日期等文件屬性信息進行瀏覽。文件訪問操作對象可以分為磁盤分區(qū)、文件夾、文件。例如當安全級別為高級時，可以對所有分區(qū)的所有目錄(文件夾)中的所有文件進行所有的訪問操作；即可以對所有的文件訪問操作對象進行所有類型的文件訪問操作；當安全級別為中級時，可以對所有分區(qū)/目錄(文件夾)中的所有文件進行讀取、 修改操作，并可以進行創(chuàng)建文件、瀏覽文件夾等訪問操作；但不允許進行刪除文件，刪除文件夾等操作；即可以對全部文件訪問操作對象進行部分類型的文件訪問操作；當安全級別為低級時，可以對部分分區(qū)/目錄(文件夾)中的全部或部分文件進行讀取操作，并可以進行瀏覽文件夾等訪問操作；但不允許進行修改文件，刪除文件，刪除文件夾等操作；即可以對部分文件訪問操作對象進行部分類型的文件訪問操作?；蛘撸?2)方式二 不同的認證類型對應(yīng)不同的文件訪問權(quán)限，將用戶已通過的不同類型的認證所對應(yīng)的文件訪問權(quán)限的并集作為用戶當前的文件訪問權(quán)限。例如，靜態(tài)口令認證對應(yīng)的文件訪問權(quán)限包括對文件夾A進行文件屬性信息瀏覽、讀取文件的操作；證書認證對應(yīng)的文件訪問權(quán)限包括對文件夾B進行所有的文件訪問操作；則用戶當前的文件訪問權(quán)限為對文件夾A進行上述特定的文件訪問操作，對文件夾B 進行所有的文件訪問操作。59，移動存儲器等待用戶通過顯示裝置向移動存儲器發(fā)送文件訪問操作請求。510，移動存儲器接收到顯示裝置發(fā)送的文件訪問操作請求后，對該請求進行分析，獲得該請求所對應(yīng)的文件訪問操作類型和文件訪問操作對象，并根據(jù)用戶當前的文件訪問權(quán)限判斷是否允許執(zhí)行該文件訪問操作請求；如果允許，則執(zhí)行步驟511 ；如果不允許，則執(zhí)行步驟512。511，如果允許執(zhí)行文件訪問操作請求，移動存儲器執(zhí)行對應(yīng)的文件訪問操作，并向顯示裝置返回文件訪問結(jié)果(例如，返回對應(yīng)的文件數(shù)據(jù)等)，并跳轉(zhuǎn)至步驟59。512，如果不允許執(zhí)行文件訪問操作請求，移動存儲器向顯示裝置返回禁止執(zhí)行對應(yīng)的文件訪問操作的應(yīng)答信息，并跳轉(zhuǎn)至步驟59。由上述本發(fā)明提供的技術(shù)方案可以看出，通過移動存儲器同時采用多種類型的認證對用戶的文件訪問操作進行控制，僅當用戶通過了多種類型的認證后，才允許其進行相應(yīng)的文件訪問操作，提高訪問移動存儲器的安全性。第二方法實施例如圖6所示，本實施例中，將安全認證條件設(shè)定為通過某一預(yù)設(shè)的認證類型(記作安全條件認證)，并將進行該類型的認證所需的前置條件設(shè)定為通過另一預(yù)設(shè)的認證類型 (前置認證)；移動存儲器通過判斷是否通過前置認證類型來判斷是否可進行安全條件認證；并通過判斷用戶是否已通過安全條件認證來判斷是否已滿足安全認證條件。也就是說， 本實施例中，用戶必須依序通過指定類型的認證才可以進行文件讀寫操作。以下以靜態(tài)口令為前置認證、證書認證為安全條件認證為例進行說明。61、移動存儲器與顯示裝置連接后，顯示裝置顯示用戶認證界面，以提示用戶進行認證類型的選擇，并輸入或者選擇相應(yīng)的口令或證書。62、用戶選定認證類型后，向移動存儲器發(fā)送認證請求。用戶可以選擇的認證類型包括靜態(tài)口令認證，動態(tài)口令認證，證書認證。63、移動存儲器接收到顯示裝置發(fā)送的認證請求后，進行認證類型的識別。如果是采用靜態(tài)口令方式認證，則跳轉(zhuǎn)至步驟64;如果是采用動態(tài)口令方式認證，則跳轉(zhuǎn)至步驟65，如果是采用證書方式認證，則跳轉(zhuǎn)至步驟66。64、如果采用靜態(tài)口令方式認證，移動存儲器將認證請求中包含的靜態(tài)口令與其安全存儲區(qū)中存儲的靜態(tài)口令進行對比，如果相匹配，則表明靜態(tài)口令認證成功；否則表明靜態(tài)口令認證失?。灰苿哟鎯ζ饔涗涭o態(tài)口令認證狀態(tài)。上述靜態(tài)口令認證狀態(tài)可以是靜態(tài)口令認證成功、或靜態(tài)口令認證失敗。上述認證狀態(tài)的初始狀態(tài)可以是未進行靜態(tài)口令認證、或靜態(tài)口令認證失敗。65、如果采用動態(tài)口令方式認證，移動存儲器向顯示裝置返回認證類型錯誤的提 /J^fn 息。66、如果采用證書方式認證，移動存儲器判斷用戶是否已通過前置認證(即靜態(tài)口令認證)，如果未通過前置認證，則向顯示裝置返回認證類型錯誤的提示信息；如果已通過前置認證，則對接收到的認證請求中包含的證書(以下稱為顯示裝置證書)進行認證，并記錄證書認證狀態(tài)。上述證書認證狀態(tài)可以是證書認證成功、或證書認證失敗。上述認證狀態(tài)的初始狀態(tài)可以是未進行證書認證、或證書認證失敗。67、本次認證成功后，移動存儲器判斷是否已滿足安全認證條件(即是否已通過證書認證)，如果滿足安全認證條件，則將當前狀態(tài)標識為安全狀態(tài)，允許進行相應(yīng)的文件訪問操作；如果不滿足，則跳轉(zhuǎn)至步驟62。68、根據(jù)預(yù)先設(shè)定的權(quán)限信息確定該用戶的文件訪問權(quán)限。69、移動存儲器等待用戶通過顯示裝置向移動存儲器發(fā)送文件訪問操作請求。610、移動存儲器接收到顯示裝置發(fā)送的文件訪問操作請求后，對該請求進行分析，獲得該請求所對應(yīng)的文件訪問操作類型和文件訪問操作對象，并根據(jù)用戶當前的文件訪問權(quán)限判斷是否允許執(zhí)行該文件訪問操作請求；如果允許，則執(zhí)行步驟611 ；如果不允許，則執(zhí)行步驟612。611、如果允許執(zhí)行文件訪問操作請求，移動存儲器執(zhí)行對應(yīng)的文件訪問操作，并向顯示裝置返回文件訪問結(jié)果(例如，返回對應(yīng)的文件數(shù)據(jù)等)，并跳轉(zhuǎn)至步驟609。
612、如果不允許執(zhí)行文件訪問操作請求，移動存儲器向顯示裝置返回禁止執(zhí)行對應(yīng)的文件訪問操作的應(yīng)答信息，并跳轉(zhuǎn)至步驟609?？蛇x的，本第二實施例還有多種變換方式，如(1)方式一前置認證可以為多種類型的認證方式之一，例如，前置認證可以是靜態(tài)口令認證、或動態(tài)口令認證；(2)方式二 對前置認證也可以設(shè)置啟動條件，該啟動條件可以是另一種類型的認證，例如，安全條件認證為證書認證，安全條件認證的啟動條件為通過動態(tài)口令認證，而動態(tài)口令認證的啟動條件為通過靜態(tài)口令認證。由上述本發(fā)明提供的技術(shù)方案可以看出，通過移動存儲器同時采用多種類型的認證對用戶的文件訪問操作進行控制，僅當用戶通過了多種類型的認證后，才允許其進行相應(yīng)的文件訪問操作，提高訪問移動存儲器的安全性。第三方法實施例如圖7所示，本實施例中，假設(shè)共有N種認證類型AU1，AU2，...，AUN，為每一種認證類型設(shè)置一個通過狀態(tài)值Si (i = 1，. . .，N)，移動存儲器記錄每一種認證類型的當前狀態(tài)值，未通過對應(yīng)類型的認證時，可將對應(yīng)的狀態(tài)值設(shè)置為0 ；通過第i種類型的認證后，移動存儲器將對應(yīng)的當前狀態(tài)值由0改為預(yù)先設(shè)定的通過狀態(tài)值Si。此外，移動存儲器設(shè)置安全認證條件值X，并將安全認證條件設(shè)定為每一種認證類型對應(yīng)的當前狀態(tài)值之和大于或等于X。以下，以N = 3，即共包含三種認證類型靜態(tài)口令認證(AUl)、動態(tài)口令認證 (AU2)和證書認證(AU3)，Sl = 2，S2 = 3，S3 = 4為例對本實施例進行說明。71、移動存儲器與顯示裝置連接后，顯示裝置顯示用戶認證界面，以提示用戶進行認證類型的選擇，并輸入或者選擇相應(yīng)的口令或證書。72、用戶選定認證類型后，向移動存儲器發(fā)送認證請求。用戶可以選擇的認證類型包括靜態(tài)口令認證，動態(tài)口令認證，證書認證。73、移動存儲器接收到顯示裝置發(fā)送的認證請求后，進行認證類型的識別；如果是采用靜態(tài)口令方式認證，則跳轉(zhuǎn)至步驟74;如果是采用動態(tài)口令方式認證，則跳轉(zhuǎn)至步驟 75，如果是采用證書方式認證，則跳轉(zhuǎn)至步驟76。74、如果采用靜態(tài)口令方式認證，移動存儲器將認證請求中包含的靜態(tài)口令與其安全存儲區(qū)中存儲的靜態(tài)口令進行對比，如果相匹配，則表明靜態(tài)口令認證成功；否則表明靜態(tài)口令認證失??；移動存儲器將靜態(tài)口令認證狀態(tài)值由0更改為2。75、如果采用動態(tài)口令方式認證，移動存儲器將其生成的當前的動態(tài)口令與認證請求中包含的動態(tài)口令進行對比，如果兩者匹配，則表明動態(tài)口令認證成功；否則表明動態(tài)口令認證失?。灰苿哟鎯ζ鲗討B(tài)口令認證狀態(tài)值由0更改為3。76、如果采用證書方式認證，移動存儲器接收到顯示裝置發(fā)送的認證請求后，對其中包含的證書(以下稱為顯示裝置證書)進行認證，移動存儲器將動態(tài)口令認證狀態(tài)值由 0更改為4。77、本次認證成功后，移動存儲器根據(jù)各種認證類型的認證狀態(tài)值判斷是否滿足預(yù)先設(shè)定的安全認證條件，如果滿足則將當前狀態(tài)標識為安全狀態(tài)，允許進行相應(yīng)的文件訪問操作；如果不滿足，則跳轉(zhuǎn)至步驟72 ；
上述安全認證條件是各種認證類型的認證狀態(tài)值的累積值大于或等于安全認證條件值X。例如，當安全認證條件值X = 5時，只要通過了三種類型中的任意兩種認證，即滿足安全認證條件；當安全認證條件值X = 6時，則需要通過包含證書認證的兩種認證才滿足安全認證條件。后續(xù)步驟與上述實施例的步驟58 512相似，在此不再贅述。由上述本發(fā)明提供的技術(shù)方案可以看出，通過移動存儲器同時采用多種類型的認證對用戶的文件訪問操作進行控制，僅當用戶通過了多種類型的認證后，才允許其進行相應(yīng)的文件訪問操作，提高訪問移動存儲器的安全性。在本申請所提供的幾個實施例中，應(yīng)該理解到，所揭露的系統(tǒng)，裝置和方法，可以通過其它的方式實現(xiàn)。例如，以上所描述的裝置實施例僅僅是示意性的，例如，所述單元的劃分，僅僅為一種邏輯功能劃分，實際實現(xiàn)時可以有另外的劃分方式，例如多個單元或組件可以結(jié)合或者可以集成到另一個系統(tǒng)，或一些特征可以忽略，或不執(zhí)行。另一點，所顯示或討論的相互之間的耦合或直接耦合或通信連接可以是通過一些接口，裝置或單元的間接耦合或通信連接，可以是電性，機械或其它的形式。所述作為分離部件說明的單元可以是或者也可以不是物理上分開的，作為單元顯示的部件可以是或者也可以不是物理單元，即可以位于一個地方，或者也可以分布到多個網(wǎng)絡(luò)單元上?？梢愿鶕?jù)實際的需要選擇其中的部分或者全部單元來實現(xiàn)本實施例方案的目的。另外，在本發(fā)明各個實施例中的各功能單元可以集成在一個處理單元中，也可以是各個單元單獨物理存在，也可以兩個或兩個以上單元集成在一個單元中。上述集成的單元既可以采用硬件的形式實現(xiàn)，也可以采用軟件功能單元的形式實現(xiàn)。所述集成的單元如果以軟件功能單元的形式實現(xiàn)并作為獨立的產(chǎn)品銷售或使用時，可以存儲在一個計算機可讀取存儲介質(zhì)中?；谶@樣的理解，本發(fā)明的技術(shù)方案本質(zhì)上或者說對現(xiàn)有技術(shù)做出貢獻的部分或者該技術(shù)方案的全部或部分可以以軟件產(chǎn)品的形式體現(xiàn)出來，該計算機軟件產(chǎn)品存儲在一個存儲介質(zhì)中，包括若干指令用以使得一臺計算機設(shè)備(可以是個人計算機，服務(wù)器，或者網(wǎng)絡(luò)設(shè)備等)執(zhí)行本發(fā)明各個實施例所述方法的全部或部分步驟。而前述的存儲介質(zhì)包括U盤、移動硬盤、只讀存儲器(ROM，Read-Only Memory)、隨機存取存儲器(RAM，Random Access Memory)、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。以上所述，僅為本發(fā)明較佳的具體實施方式
，但本發(fā)明的保護范圍并不局限于此， 任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明披露的技術(shù)范圍內(nèi)，可輕易想到的變化或替換， 都應(yīng)涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應(yīng)該以權(quán)利要求書的保護范圍為準。
權(quán)利要求
1.一種移動存儲器的訪問控制方法，其特征在于，包括移動存儲器接收多種認證類型的認證請求，并進行認證；當所述移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作；所述N為大于或等于2的整數(shù)。
2.根據(jù)權(quán)利要求1所述的訪問控制方法，其特征在于，所述移動存儲器采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證判斷當前已通過的認證所對應(yīng)的認證類型數(shù)是否等于N，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證。
3.根據(jù)權(quán)利要求1所述的訪問控制方法，其特征在于，所述移動存儲器采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種認證類型的認證判斷當前已通過的認證所對應(yīng)的認證類型是否與預(yù)先設(shè)定的N種認證類型一致，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證。
4.根據(jù)權(quán)利要求1所述的訪問控制方法，其特征在于，所述移動存儲器采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種認證類型的認證判斷當前已通過的認證所對應(yīng)的認證類型中是否包含預(yù)先設(shè)定的安全條件認證，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證，所述安全條件認證屬于所述N種認證類型中的一種；通過所述安全條件認證的前置條件中包含已通過N-I種前置認證，所述前置認證屬于所述N種認證類型中的一種。
5.根據(jù)權(quán)利要求1所述的訪問控制方法，其特征在于，所述移動存儲器采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種認證類型的認證判斷當前已通過的不同類型的認證所對應(yīng)的狀態(tài)值之和是否大于或等于預(yù)先設(shè)定的安全認證條件值X，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證；其中，所述移動存儲器采用如下方式設(shè)定通過各種類型的認證所對應(yīng)的狀態(tài)值通過任意M種類型的認證所對應(yīng)的狀態(tài)值之和小于X，其中M < N ；通過任意N種或預(yù)先設(shè)定的N種類型的認證所對應(yīng)的狀態(tài)值之和大于或等于X。
6.根據(jù)權(quán)利要求1-5中任一權(quán)利要求所述的訪問控制方法，其特征在于，所述認證類型包括靜態(tài)口令認證，動態(tài)口令認證或者證書認證。
7.根據(jù)權(quán)利要求1所述的訪問控制方法，其特征在于，所述預(yù)先設(shè)定的文件訪問操作為當前的文件訪問權(quán)限所對應(yīng)的文件訪問操作；其中，所述當前的文件訪問權(quán)限為當前的最高安全級別所對應(yīng)的文件訪問權(quán)限；所述當前的最高安全級別為當前通過的所述N種類型的認證所對應(yīng)的安全級別中的最高值對應(yīng)的安全級別。
8.根據(jù)權(quán)利要求1所述的訪問控制方法，其特征在于，所述預(yù)先設(shè)定的文件訪問操作為當前的文件訪問權(quán)限所對應(yīng)的文件訪問操作；其中，所述當前的文件訪問權(quán)限為當前通過的所述N種類型的認證分別對應(yīng)的文件訪問權(quán)限的并集。
9.一種移動存儲器，其特征在于，包括認證單元和訪問控制單元，其中所述認證單元，用于接收多種認證類型的認證請求，并進行認證，并輸出認證結(jié)果； 所述訪問控制單元，用于根據(jù)所述認證單元輸出的認證結(jié)果判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證，當判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。
10.根據(jù)權(quán)利要求9所述的移動存儲器，其特征在于，所述訪問控制單元采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證判斷當前已通過的認證所對應(yīng)的認證類型數(shù)是否等于N，如果是，則判定已通過了預(yù)先設(shè)定的 N種認證類型的認證；或者，所述訪問控制單元采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證判斷當前已通過的認證所對應(yīng)的認證類型是否與預(yù)先設(shè)定的N種認證類型一致，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證；或者，所述訪問控制單元采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證判斷當前已通過的認證所對應(yīng)的認證類型中是否包含預(yù)先設(shè)定的安全條件認證，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證，所述安全條件認證屬于所述N種認證類型中的一種，通過所述安全條件認證的前置條件中包含已通過N-I種前置認證，所述前置認證屬于所述N種認證類型中的一種；或者，所述訪問控制單元采用如下方式判斷當前是否已通過預(yù)先設(shè)定的N種類型的認證判斷當前已通過的不同類型的認證所對應(yīng)的狀態(tài)值之和是否大于或等于預(yù)先設(shè)定的安全認證條件值X，如果是，則判定已通過了預(yù)先設(shè)定的N種認證類型的認證，其中，所述移動存儲器采用如下方式設(shè)定通過各種類型的認證所對應(yīng)的狀態(tài)值，通過任意M種類型的認證所對應(yīng)的狀態(tài)值之和小于X，其中M < N ；通過任意N種或預(yù)先設(shè)定的N種類型的認證所對應(yīng)的狀態(tài)值之和大于或等于X。
11.一種移動存儲器的訪問控制系統(tǒng)，其特征在于，包括顯示裝置以及如上述權(quán)利要求 9或10所述的移動存儲器，其中所述顯示裝置，用于發(fā)送多種認證類型的認證請求給所述移動存儲器； 所述移動存儲器，用于接收所述顯示裝置發(fā)送的多種認證類型的認證請求，并進行認證，當所述移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對所述移動存儲器進行預(yù)先設(shè)定的文件訪問操作，所述N為大于或等于2的整數(shù)。
全文摘要
本發(fā)明公開了一種移動存儲器、移動存儲器的訪問控制方法及系統(tǒng)，其中，移動存儲器的訪問控制方法包括移動存儲器接收多種認證類型的認證請求，并進行認證；當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作；N為大于或等于2的整數(shù)。本發(fā)明移動存儲器、移動存儲器的訪問控制方法及系統(tǒng)，通過當移動存儲器判定當前已通過預(yù)先設(shè)定的N種類型的認證時，允許對移動存儲器進行預(yù)先設(shè)定的文件訪問操作，提高文件訪問操作的安全性。
文檔編號G06F12/14GK102426555SQ20111033785
公開日2012年4月25日 申請日期2011年10月31日 優(yōu)先權(quán)日2011年10月31日
發(fā)明者李東聲 申請人:北京天地融科技有限公司