存储器的操作方法和装置、存储介质、电子装置
技术领域
本申请涉及可信计算领域，具体而言，涉及一种存储器的操作方法和装置、存储介质、电子装置。
背景技术
相关技术中，随着信息化建设的快速发展，人们需求更多的安全、可靠的安全产品，在这个过程，可信平台控制模块开始出现，当前的可信平台控制模块可以对计算机系统进行可信安全度量，保障计算机系统安全运行。
计算机系统扩展性较强，为了使用方便，经常需要在计算机设备与其它设备之间进行数据传输，虽然计算机系统自身是安全可信的，但是其它设备的安全性并得不到保障，从而可能计算机系统与其他设备通讯连接后出现安全问题。
针对上述的问题，目前尚未提出有效的解决方案。
发明内容
本申请实施例提供了一种存储器的操作方法和装置、存储介质、电子装置，以至少解决相关技术中计算机系统存在安全隐患的技术问题。
根据本申请实施例的一个方面，提供了一种存储器的操作方法，包括：在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，第一终端为可信管理中心管理的可信终端；在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证；在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作。
根据本申请实施例的另一方面，还提供了一种存储器的操作装置，包括：度量单元，用于在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，第一终端为可信管理中心管理的可信终端；认证单元，用于在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证；操作单元，用于在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作。
根据本申请实施例的另一方面，还提供了一种存储介质，该存储介质包括存储的程序，程序运行时执行上述的方法。
根据本申请实施例的另一方面，还提供了一种电子装置，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器通过计算机程序执行上述的方法。
在本申请实施例中，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，并通过第一终端上的TPCM对目标移动存储器进行认证，利用度量和认证这两层机制可以保证接入的目标移动存储器是可信的，可以解决相关技术中计算机系统存在安全隐患的技术问题，进而达到提高计算机系统的安全性的技术效果。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1是根据本申请实施例的存储器的操作方法的硬件环境的示意图；
图2是根据本申请实施例的一种可选的存储器的操作方法的流程图；
图3是根据本申请实施例的一种可选的终端注册的示意图；
图4是根据本申请实施例的一种可选的存储器注册的示意图；
图5是根据本申请实施例的一种可选的存储器注册的示意图；
图6是根据本申请实施例的一种可选的存储器注册的示意图；
图7是根据本申请实施例的一种可选的存储器使用的示意图；
图8是根据本申请实施例的一种可选的权限配置的示意图；
图9是根据本申请实施例的一种可选的权限配置的示意图；
图10是根据本申请实施例的一种可选的存储器的操作装置的示意图；
以及
图11是根据本申请实施例的一种终端的结构框图。
具体实施方式
为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
根据本申请实施例的一方面，提供了一种存储器的操作方法的方法实施例。
可选地，在本实施例中，上述存储器的操作方法可以应用于如图1所示的由可信终端集合101和可信管理中心103(可以有一个或者多个可信服务器组成)所构成的硬件环境中。如图1所示，可信管理中心103通过网络与可信终端集合101进行连接，可用于管理各个可信终端，上述网络包括但不限于：广域网、城域网或局域网，可信终端集合101并不限定于PC、手机、平板电脑等终端的集合。
本申请实施例的存储器的操作方法可以由可信管理中心103和可信终端集合101共同执行。图2是根据本申请实施例的一种可选的存储器的操作方法的流程图，如图2所示，该方法可以包括以下步骤：
步骤S202，在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，第一终端为可信管理中心管理的可信终端。
上述目标移动存储器为可存储数据的设备，如U盘、移动硬盘、智能设备(如手机、平板)等；上述可信管理中心即用于管理所有可信终端；上述可信终端采用主动可信机制，由TPCM(Trusted Platform Control Module)主动去访问并度量宿主信息系统，只有度量通过之后才允许使用，度量使用的信息可以是第一终端的环境信息和目标移动存储器的设备信息，也可以是对第一终端的环境信息和目标移动存储器的设备信息进行特征提取后的信息。
步骤S204，在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证。
步骤S206，在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作。
通过上述步骤S202至步骤S206，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，并通过第一终端上的TPCM对目标移动存储器进行认证，利用度量和认证这两层机制可以保证接入的目标移动存储器是可信的，可以解决相关技术中计算机系统存在安全隐患的技术问题，进而达到提高计算机系统的安全性的技术效果。下面结合图2所示的步骤进一步详述本申请的技术方案。
在步骤S202提供的技术方案中，在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量。
可选地，在目标移动存储器连接第一终端之前，目标移动存储器需要在可信设备上进行注册，而该可信设备为已经在可信管理中心注册过的设备。
其中，可信设备的注册流程如下：
步骤1，通过第二终端上的TPCM对第二终端的运行环境进行度量，如获取运行时的环境信息，提取其中的特征，将提取的特征与保存的特征进行比对，如果匹配度大于某个阈值(如90％)就认为度量通过，否则就是不通过。
步骤2，在第二终端的运行环境通过度量的情况下，通过第二终端上的TPCM在可信管理中心注册第二终端，如将第二终端的终端信息发送到可信管理中心，由可信管理中心判断是否通过。
移动存储器的注册流程如下：
步骤1，在目标移动存储器连接第一终端之前，在目标移动存储器连接至第二终端的情况下，通过第二终端上的TPCM对第二终端的运行环境和目标移动存储器进行度量，第二终端为可信管理中心管理的已经通过注册的可信终端。
步骤2，在第二终端的运行环境和目标移动存储器通过度量(度量方式与前文类似，不在赘述)的情况下，通过第二终端上的TPCM对目标移动存储器进行注册。
可选地，通过第二终端上的TPCM对目标移动存储器进行注册包括：
步骤21，第二终端获取目标移动存储器的设备信息，如所有者、厂商、名称、标识等信息。
步骤22，通过第二终端上的TPCM将携带设备信息的注册请求发送给可信管理中心，由可信管理中心完成注册，记录其设备信息。
在上述方案中，通过第二终端上的TPCM将携带设备信息的注册请求发送给可信管理中心可以包括如下两种方式实现：在发送注册请求前收到管理员密钥(表示管理员同意进行注册)的情况下，通过第二终端上的TPCM将注册请求发送给可信管理中心；通过第二终端上的TPCM将经由管理员密钥加密的注册请求发送给可信管理中心，可信管理中心利用公钥对请求进行解密，得到明文的请求。
可选地，在通过第二终端上的TPCM对目标移动存储器进行注册之后，在目标移动存储器通过注册的情况下，可信管理中心将目标移动存储器的设备信息发送给多个可信终端，多个可信终端包括第一终端，以便于可以在这些可信终端上使用该移动存储器。
可选地，在通过第二终端上的TPCM对目标移动存储器进行注册之后，在目标移动存储器通过注册的情况下，可信管理中心将目标移动存储器的至少一个操作权限发送给多个可信终端，多个可信终端中的任一终端收到的操作权限为至少一个操作权限中的一个。
上述多个可信终端对于目标移动存储器的操作权限可以是完全相同(如都是只能读取)、部分相同(如至少有两个可信终端的权限相同)、完全不同(即任意两个可信终端的权限均不同)。
在存在操作权限与第一终端不同的终端的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作包括：按照第一操作权限在第一终端上对目标移动存储器执行数据操作，其中，第一操作权限与第二操作权限不同，第一操作权限是为第一终端配置的操作权限，第二操作权限是为第三终端配置的操作权限，第三终端为可信管理中心管理的与第一终端不同的可信终端。
在步骤S204提供的技术方案中，在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证，如TPCM提取目标移动存储器的设备信息，然后与预存的信息进行比较，如果有匹配的预存信息就表示认证通过。
在步骤S206提供的技术方案中，在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作，如进行数据读取、数据删除、数据写入等。
作为一种可选的实施例，下面结合具体的实施方式以U盘为例进一步详述本申请的技术方案。
步骤1，如图3所示，可信终端安装可信终端软件，并在管理中心注册。
步骤2，如图4所示，注册U盘，注册过程可利用管理员密钥key对注册请求(或称注册信息)进行加密，然后将信息上传至管理中心，如图5所示。
步骤3，配置U盘信息到管理域内的所有终端。
如图6所示，管理中心配置自动分发或者手动分发开关来控制接收策略信息的终端是全网还是指定，默认配置为只读权限，将注册U盘信息下发到其他可信终端。
步骤4，如图7所示，可信终端可使用本U盘。
步骤5，如图8所示，管理中心配置写权限到指定终端，配置权项可以在U盘注册的时候进行配置，也可以在U盘插入目标设备时实时配置。
如图9所示，同一U盘在不同终端的权限可以不同。
采用本申请的技术方案，移动存储器可以通过TPCM来进行注册和认证，TPCM通过与可信管理中心的交互来完成注册和认证，从而可以解决未经过认证的存储器插入时导致的安全问题，提高整个系统的安全性。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本申请各个实施例的方法。
根据本申请实施例的另一个方面，还提供了一种用于实施上述存储器的操作方法的存储器的操作装置。图10是根据本申请实施例的一种可选的存储器的操作装置的示意图，如图10所示，该装置可以包括：
度量单元1001，用于在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，其中，第一终端为可信管理中心管理的可信终端。
认证单元1003，用于在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证。
操作单元1005，用于在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作。
需要说明的是，该实施例中的度量单元1001可以用于执行本申请实施例中的步骤S202，该实施例中的认证单元1003可以用于执行本申请实施例中的步骤S204，该实施例中的操作单元1005可以用于执行本申请实施例中的步骤S206。
此处需要说明的是，上述模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在如图1所示的硬件环境中，可以通过软件实现，也可以通过硬件实现。
通过上述模块，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，并通过第一终端上的TPCM对目标移动存储器进行认证，利用度量和认证这两层机制可以保证接入的目标移动存储器是可信的，可以解决相关技术中计算机系统存在安全隐患的技术问题，进而达到提高计算机系统的安全性的技术效果。
可选地，本申请的装置还可包括存储器注册单元，用于指示：在目标移动存储器连接第一终端之前，在目标移动存储器连接至第二终端的情况下，通过第二终端上的TPCM对第二终端的运行环境和目标移动存储器进行度量，第二终端为可信管理中心管理的可信终端；在第二终端的运行环境和目标移动存储器通过度量的情况下，通过第二终端上的TPCM对目标移动存储器进行注册。
可选地，本申请的存储器注册单元还可用于指示：第二终端获取目标移动存储器的设备信息；通过第二终端上的TPCM将携带设备信息的注册请求发送给可信管理中心。
可选地，本申请的存储器注册单元还可用于指示：在发送注册请求前收到管理员密钥的情况下，通过第二终端上的TPCM将注册请求发送给可信管理中心；通过第二终端上的TPCM将经由管理员密钥加密的注册请求发送给可信管理中心。
可选地，本申请的存储器注册单元还可用于指示：在通过第二终端上的TPCM对目标移动存储器进行注册之后，在目标移动存储器通过注册的情况下，可信管理中心将目标移动存储器的设备信息发送给多个可信终端，多个可信终端包括第一终端。
可选地，本申请的存储器注册单元还可用于指示：在通过第二终端上的TPCM对目标移动存储器进行注册之后，在目标移动存储器通过注册的情况下，可信管理中心将目标移动存储器的至少一个操作权限发送给多个可信终端，其中，多个可信终端中的任一终端收到的操作权限为至少一个操作权限中的一个。
可选地，本申请的装置还可包括终端注册单元，用于指示：在目标移动存储器连接第二终端之前，通过第二终端上的TPCM对第二终端的运行环境进行度量；在第二终端的运行环境通过度量的情况下，通过第二终端上的TPCM在可信管理中心注册第二终端。
可选地，本申请的操作单元还可用于指示：按照第一操作权限在第一终端上对目标移动存储器执行数据操作，其中，第一操作权限与第二操作权限不同，第一操作权限是为第一终端配置的操作权限，第二操作权限是为第三终端配置的操作权限，第三终端为可信管理中心管理的与第一终端不同的可信终端。
此处需要说明的是，上述模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在如图1所示的硬件环境中，可以通过软件实现，也可以通过硬件实现，其中，硬件环境包括网络环境。
根据本申请实施例的另一个方面，还提供了一种用于实施上述存储器的操作方法的服务器或终端。
图11是根据本申请实施例的一种终端的结构框图，如图11所示，该终端可以包括：一个或多个(图11中仅示出一个)处理器1101、存储器1103、以及传输装置1105，如图11所示，该终端还可以包括输入输出设备1107。
其中，存储器1103可用于存储软件程序以及模块，如本申请实施例中的存储器的操作方法和装置对应的程序指令/模块，处理器1101通过运行存储在存储器1103内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的存储器的操作方法。存储器1103可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器1103可进一步包括相对于处理器1101远程设置的存储器，这些远程存储器可以通过网络连接至终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
上述的传输装置1105用于经由一个网络接收或者发送数据，还可以用于处理器与存储器之间的数据传输。上述的网络具体实例可包括有线网络及无线网络。在一个实例中，传输装置1105包括一个网络适配器(Network Interface Controller，NIC)，其可通过网线与其他网络设备与路由器相连从而可与互联网或局域网进行通讯。在一个实例中，传输装置1105为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。
其中，具体地，存储器1103用于存储应用程序。
处理器1101可以通过传输装置1105调用存储器1103存储的应用程序，以执行下述步骤：
在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，其中，第一终端为可信管理中心管理的可信终端；
在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证；
在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作。
处理器1101还用于执行下述步骤：
在目标移动存储器连接至第二终端的情况下，通过第二终端上的TPCM对第二终端的运行环境和目标移动存储器进行度量，第二终端为可信管理中心管理的可信终端；
在第二终端的运行环境和目标移动存储器通过度量的情况下，通过第二终端上的TPCM对目标移动存储器进行注册。
采用本申请实施例，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，并通过第一终端上的TPCM对目标移动存储器进行认证，利用度量和认证这两层机制可以保证接入的目标移动存储器是可信的，可以解决相关技术中计算机系统存在安全隐患的技术问题，进而达到提高计算机系统的安全性的技术效果。
可选地，本实施例中的具体示例可以参考上述实施例中所描述的示例，本实施例在此不再赘述。
本领域普通技术人员可以理解，图11所示的结构仅为示意，终端可以是智能手机(如Android手机、iOS手机等)、平板电脑、掌上电脑以及移动互联网设备(Mobile InternetDevices，MID)、PAD等终端设备。图11其并不对上述电子装置的结构造成限定。例如，终端还可包括比图11中所示更多或者更少的组件(如网络接口、显示装置等)，或者具有与图11所示不同的配置。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存取器(RandomAccess Memory，RAM)、磁盘或光盘等。
本申请的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于执行存储器的操作方法的程序代码。
可选地，在本实施例中，上述存储介质可以位于上述实施例所示的网络中的多个网络设备中的至少一个网络设备上。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：
在第一终端上连接有目标移动存储器的情况下，通过第一终端上的可信平台控制模块TPCM对第一终端的运行环境和目标移动存储器进行度量，其中，第一终端为可信管理中心管理的可信终端；
在第一终端的运行环境和目标移动存储器通过度量的情况下，通过第一终端上的TPCM对目标移动存储器进行认证；
在目标移动存储器通过认证的情况下，按照为目标移动存储器配置的操作权限在第一终端上对目标移动存储器执行数据操作。
可选地，存储介质还被设置为存储用于执行以下步骤的程序代码：
在目标移动存储器连接至第二终端的情况下，通过第二终端上的TPCM对第二终端的运行环境和目标移动存储器进行度量，第二终端为可信管理中心管理的可信终端；
在第二终端的运行环境和目标移动存储器通过度量的情况下，通过第二终端上的TPCM对目标移动存储器进行注册。
可选地，本实施例中的具体示例可以参考上述实施例中所描述的示例，本实施例在此不再赘述。
可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。
上述实施例中的集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在上述计算机可读取的存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在存储介质中，包括若干指令用以使得一台或多台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。
在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
在本申请所提供的几个实施例中，应该理解到，所揭露的客户端，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
以上所述仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。
