一种终端数据保护方法及终端

摘要

本发明公开一种终端数据保护方法及终端，该方法包括将第一终端的存储模块中的引导扇区、磁盘分区表信息和操作系统启动扇区加密后保存在第二终端的可信计算模块；将该磁盘分区表和操作系统启动扇区设置为未知系统状态；第一终端每次加电开机时，启动该第二终端；从第二终端的可信计算模块中解密该引导扇区、磁盘分区表信息和操作系统启动扇区；将解密后的数据还原到第一终端的存储模块并用于启动操作系统；在操作系统启动完成前，重新将磁盘分区表和操作系统启动扇区设置为未知系统状态。本发明通过以上技术方案，解决现有技术中无法有效的保障终端数据安全的问题。

主权项

一种终端数据保护方法，其特征在于，包括：将第一终端的存储模块中的引导扇区、磁盘分区表信息和操作系统启动扇区加密后保存在第二终端的可信计算模块的非易失性存储空间；将所述磁盘分区表和操作系统启动扇区设置为未知系统状态；将所述第二终端的所述可信计算模块产生的消息摘要和使用PEK或PIK证书对所述消息摘要进行签名后的签名信息保存到所述第一终端的所述存储模块的指定扇区，并隐藏所述指定扇区；将所述指定扇区的扇区位置信息写入所述可信计算模块的非易失性存储空间；所述第一终端每次加电开机时，启动所述第二终端，包括：利用新引导程序，从所述非易失性存储空间中读取所述扇区位置信息；根据所述扇区位置信息到所述指定扇区读取所述消息摘要和所述签名信息；利用所述PEK或PIK证书验证所述签名信息；签名信息验证通过后，启动所述第二终端；从所述第二终端的可信计算模块中解密所述引导扇区、磁盘分区表信息和操作系统启动扇区；将解密后的引导扇区、磁盘分区表信息和操作系统启动扇区还原到所述第一终端的存储模块并用于启动所述第一终端的操作系统；在所述第一终端操作系统启动完成前，重新将所述磁盘分区表和操作系统启动扇区设置为未知系统状态。