CN201181472Y - 硬件密钥装置和移动存储系统 - Google Patents

Abstract

本实用新型涉及一种硬件密钥装置和移动存储系统。该装置包括：第一数据接口；与第一数据接口相连的密钥生成模块；存储有私钥且用于形成密文密钥并输出的私钥模块。该系统采用本实用新型的硬件密钥装置，还包括移动存储设备，其中的硬件加密芯片包括：公钥单元；与公钥单元和控制芯片分别相连，用于解密获取随机密钥的密钥获取单元；用于根据随机密钥对文件数据进行加解密操作的加解密单元。本实用新型在移动存储设备硬加密方案的基础上，采用移动存储设备、硬件密钥装置分离存储数据和密钥的技术手段，并采用了非对称加密技术，消除了集中存放带来的安全隐患，提高了移动存储技术在文件数据加解密过程中的可靠性和安全性。

Description

硬件密钥装置和移动存储系统

技术领域

本实用新型涉及一种硬件密钥装置和移动存储系统，尤其涉及一种用于辅助配合移动存储设备对读/写的文件数据进行加解密操作的硬件密钥装置，以及采用该硬件密钥装置的移动存储系统。

背景技术

随着计算机技术的发展，计算机存储介质已经逐渐代替纸张，成为目前信息存储的主要方式。无纸化办公逐渐成为了政府、企业、军队的主要工作方式。

然而，在当前各类计算机系统的构建中，人们往往只关心网络上传输数据的安全性和访问过程中的身份安全性，而忽视了信息存储的安全性，特别是移动存储介质的安全性。实际上，用户保存到移动存储设备中的数据文件有很多是机密文件，出于安全考虑，十分需要对这些文件进行加密处理，并且保存在相应的加密移动存储设备中。对存储的数据进行加密处理，就是采用一定的加密算法，使得文件以密文的形式存储在存储设备中。用户在读取文件之前，首先需要输入口令等验证信息；验证通过后，再通过特定的密钥对数据文件进行解密。在未使用与之匹配的密钥对文件进行解密之前，用户所能看到的文件的数据是乱码，无法读取数据；当密钥与之匹配后，才可以正常地读出数据。

目前，我国移动存储设备市场以行业用户为主，例如政府、企业和军队等，而行业用户往往对移动存储设备的安全性要求较高。这种现状决定了加密移动存储逐渐替代普通移动存储的趋势。现有技术中，实现加密移动存储的技术方案可以有两种，一种是软加密方案，另一种是硬加密方案。

软加密方案的加解密运算过程完全是由计算机(PC)完成的，使用对称加密算法来实现。采用软加密方案的移动存储设备300的硬件结构如图1所示，由USB控制芯片320和移动存储模块(HDD/FLASH)340共同组成，密钥存储在移动存储模块340中。USB控制芯片320通过USB接口310与计算机200相连，用于实现移动存储设备300和计算机200之间的数据交互。在实际应用中，当用户需要读取文件时，通过计算机200上安装的软件输入正确的口令后，计算机200上的软件会从移动存储设备300中获取密钥，并根据该密钥对文件数据进行解密处理。当用户需要保存处理后的文件数据时，在用户输入正确的密码后，计算机200上的软件同样从移动存储设备300中获取密钥，并根据该密钥对待保存的文件数据进行加密处理，而后保存到移动存储设备300中。分析可知，软加密方案存在的问题是：无论在加密过程中还是在解密的过程中，密钥总是会被计算机读取到计算机的内存中，并且通常是以明文方式读取。因此，该移动存储设备加密方案的密钥很容易通过内存监控等方式被读取，密钥数据的安全性较低，使得数据存取过程的安全性也很低。

硬加密方案的加解密运算过程是由硬件加密芯片来完成的，和软加密方案相似，都是使用对称加密算法来实现的。如图2所示为采用硬件加密方案的移动存储设备的系统结构示意图。对于硬加密方案来说，移动存储设备300中除了USB控制芯片320、移动存储模块340和USB接口310之外，还设置有用于进行加解密处理的硬件加密芯片330和与其相连的、专门设置用于存储硬件密钥的硬件密钥模块350。在实际应用中，当用户需要读取文件时，在输入了正确的口令后，移动存储设备300中的硬件加密芯片330就可以从硬件密钥模块350中获取密钥，并根据该密钥对文件数据进行解密处理，然后传送给计算机200。当用户需要保存处理后的文件数据时，在输入正确的口令后，硬件加密芯片330同样从硬件密钥模块350中获取密钥，并根据该密钥对已传送给USB控制芯片320的待保存文件数据进行加密处理，而后保存到移动存储模块340中。硬加密方案与软加密方案相比，在信息安全方面最本质的区别是：密钥只存在于硬件电路中，在移动存储设备中完成加解密过程，密钥不会被计算机读取，所以安全性有所提高。

但是，由于硬加密方案的硬件密钥和移动存储模块采用集中设置的方式，因此有可能被不法分子同时得到，这会给所存储密文数据的安全性造成一定的安全风险。此外，作为识别用户授权信息的口令又具有可复制性，一旦用户口令被非法盗取，整个加密移动存储设备也将无任何保密性可言。一般用户为了记忆方便，通常将口令设置的相对较短，这也为不法分子采用穷举的方法进行攻击提供了可乘之机。故硬加密方案的加密数据存取过程的安全性也有一定的漏洞。

从以上分析可以看出，上述的软加密和硬加密移动存储设备设计方案在安全性上都存在一定的问题：采用软加密方案的移动存储设备，所存储密文数据的安全性及数据存取的安全性很低；采用硬加密方案的移动存储设备，由于硬件密钥和移动存储模块采用集中存放的方式，在密文数据的安全性方面仍有漏洞，且其口令具有可复制性及易穷举攻破性，该方案的数据存取过程也存在较大的安全隐患。

实用新型内容

本实用新型的目的是提供一种硬件密钥装置和移动存储系统，以提高加密移动存储技术在文件数据加解密过程中的可靠性和安全性。

为实现上述目的，本实用新型提供了一种硬件密钥装置，包括：

用于传输数据的第一数据接口；

与第一数据接口相连，用于根据从第一数据接口接收到的文件标识产生随机密钥的密钥生成模块；

存储有私钥，且用于根据私钥对随机密钥进行加密形成密文密钥，并从第一数据接口输出密文密钥的私钥模块，该私钥模块与密钥生成模块和第一数据接口分别相连。

为实现上述目的，本实用新型还提供了一种移动存储系统，采用本实用新型的硬件密钥装置，还包括移动存储设备，该移动存储设备包括顺序连接的第二数据接口、控制芯片、硬件加密芯片和移动存储模块，其中：

第一数据接口用于与处理文件数据的数据处理设备相连，交互文件标识和密文密钥；

第二数据接口用于与数据处理设备相连，交互密文密钥和文件标识对应的文件数据；

且该硬件加密芯片包括：

用于存储公钥的公钥单元；

与公钥单元和控制芯片分别相连，用于从控制芯片获取经第二数据接口采集到的密文密钥，并根据公钥对密文密钥进行解密后获取随机密钥的密钥获取单元；

连接在控制芯片和移动存储模块之间，并与密钥获取单元相连，用于根据随机密钥对文件数据进行加解密操作的加解密单元。

由以上技术方案可知，本实用新型在移动存储设备硬加密方案的基础上，采用移动存储设备、硬件密钥装置分离存储加密文件数据和密钥的技术手段，并采用了非对称加密技术，消除了加密文件数据和密钥集中存放带来的安全隐患，提高了移动存储技术中文件数据加解密存储的可靠性和安全性。

下面通过具体实施例并结合附图对本实用新型做进一步的详细描述。

附图说明

图1为现有技术采用软加密方案的移动存储设备结构示意图；

图2为现有技术采用硬加密方案的移动存储设备结构示意图；

图3为本实用新型硬件密钥装置具体实施例一的结构示意图；

图4为本实用新型硬件密钥装置具体实施例二的结构示意图；

图5为本实用新型硬件密钥装置具体实施例三的结构示意图；

图6为本实用新型移动存储系统具体实施例的结构示意图。

具体实施方式

硬件密钥装置实施例一

如图3所示为本实用新型硬件密钥装置具体实施例一的结构示意图。该硬件密钥装置100通常与移动存储设备配合使用，同时连接到例如计算机这样的数据处理设备上工作，其结构具体包括：用于与计算机交互传输数据的第一数据接口110；与第一数据接口110相连的密钥生成模块120，该密钥生成模块120用于根据从第一数据接口110接收到的文件标识，产生随机密钥，该文件标识是计算机进行文件数据写操作时所提供的、能唯一标识该文件数据的标识；存储有私钥的私钥模块130，该私钥模块130用于根据私钥，对产生的随机密钥进行加密，以形成密文密钥，并从第一数据接口110输出该密文密钥给计算机，该私钥模块130与密钥生成模块120和第一数据接口110分别相连。

本实施例的硬件密钥装置可与采用硬加密技术的移动存储设备配合使用，来实现移动存储数据的加密操作。该硬件密钥装置与计算机相连，当接收到待写入的文件数据的文件标识时，即提供一随机密钥，并采用存储在硬件密钥装置中的私钥对该随机密钥进行加密，形成密文形式的密钥。该私钥具体可采用“RSA”技术的非对称加密算法。硬件密钥装置产生密文密钥后即可提供给计算机以便转发给移动存储设备，采用硬加密技术对写数据进行加密操作。

在本实施例中，私钥以及在移动存储设备中需要使用的、配对的公钥可以是初始化时产生的，较佳的是由硬件密钥装置自行生成设置。则在上述技术方案的基础上，硬件密钥装置还可以包括非对称密钥生成模块160，如图3所示，该非对称密钥生成模块160与第一数据接口110和私钥模块130分别连接，用于生成配对使用的私钥和公钥，并将私钥存储在私钥模块130中，将公钥从第一数据接口110输出给计算机。

本实施例的硬件密钥装置与移动存储设备是分离设置的，实现了加密文件数据和密钥的分离，能够消除文件数据与密钥集中存放易被盗取的问题，提高移动存储加密技术的安全性。并且采用非对称加密算法以密文形式传输密钥，能够进一步消除密钥被盗取的安全隐患。

硬件密钥装置实施例二

如图4所示为本实用新型硬件密钥装置具体实施例二的结构示意图，在本实施例的硬件密钥装置中，该密钥生成模块120具体包括识别单元121和生成单元122。该识别单元121与第一数据接口110相连，用于识别包含在文件标识中的访问类型，即识别计算机提供的文件标识所代表的文件数据是待读取文件还是待写入文件，文件标识通常也可以是计算机在进行文件数据读操作时所使用的标识；该生成单元122与识别单元121和私钥模块130分别相连，用于当识别单元121识别到访问类型为写访问，即该文件为待写入文件时，对应该文件标识生成一随机密钥。

本实施例可在具体进行文件数据的交互时，识别所交互的文件数据是待写入文件还是待读取文件，当文件待写入移动存储设备时，密钥生成模块会对应该文件生成一新的随机密钥。

在上述技术方案的基础上，硬件密钥装置中还可以进一步包括一存储模块140，如图4所示，该存储模块140与生成单元122相连，用干存储文件标识，并对应文件标识存储生成的随机密钥。

本实施例的硬件密钥装置是一独立的装置，能够提供足够的存储空间，不但可以为每一个待写入移动存储设备的文件数据提供一个随机密钥，还能够进一步将文件标识和对应的随机密钥保存在本地的存储空间中以备后续查询使用。

在设有存储模块140的硬件密钥装置中，还可以在密钥生成模块120中设置查询单元123，如图4所示。该查询单元123与识别单元121、存储模块140和私钥模块130分别相连，用于当识别单元121识别到访问类型为读访问时，即识别到计算机提供的文件标识所代表的文件数据是待读取的文件时，从存储模块140中进行查询，因为一个硬件密钥装置与一个移动存储设备通常是配对使用的，所以在写入文件数据时，已对应存储了文件标识和随机密钥，所以经查询存储模块140后，可获取文件标识对应的随机密码。

采用上述技术方案，当计算机读取文件数据时，能够查询到已保存的文件标识和随机密钥，则硬件密钥装置在提供加密的随机密钥给移动存储设备时，该随机密钥与写入该文件时提供的随机密钥相同，从而能够实现以同一随机密钥对文件数据进行加解密操作。

采用本实施例的技术方案，能够为移动存储设备在读写数据时提供密文形式的、且相同的随机密钥。随机密钥在文件数据读取和写入时是一致的，并且和文件数据是分别存储在独立的设备中的。因此，能够提高移动存储技术数据读写的安全性。

硬件密钥装置实施例三

如图5所示为本实用新型硬件密钥装置具体实施例三的结构示意图。本实施例在上述实施例二的基础上进一步增加了生物特征验证模块150。该生物特征验证模块150连接在第一数据接口110与密钥生成模块120、非对称密钥生成模块160和私钥模块130之间，用于采集用户的生物特征，并对生物特征进行验证，当验证不通过时禁止第一数据接口110与计算机进行数据传输。若在硬件密钥装置中还设有其他连接在第一数据接口110上的模块，也应通过生物特征验证模块150连接在第一数据接口110上。

生物特征具体可以采用指纹、体温或虹膜，也可以同时采用多种生物特征信息。则该生物特征验证模块150的结构具体可以如图5所示，包括指纹采集单元151、体温采集单元152和虹膜采集单元153，还包括与指纹采集单元151、体温采集单元152和虹膜采集单元153分别相连的验证单元154，该验证单元154连接在第一数据接口110与密钥生成模块120、非对称密钥生成模块160和私钥模块130之间。

硬件密钥装置在具体应用过程中，当计算机触发文件数据的读写操作后，密钥生成模块120将通过第一数据接口110读取文件标识，本实施例的技术方案在读取文件标识前，生物特征验证模块150需要首先采集获取用户的生物特征信息，例如指纹信息、体温信息和/或虹膜信息，并将该生物特征信息与本地预先存储的生物特征信息进行比对，当生物特征信息匹配时才允许第一数据接口110读入数据来触发后续操作。若生物特征验证不通过，即未匹配到相同的生物特征信息时，则生物特征验证模块150禁止第一数据接口110进行数据传输，并可以进一步反馈一禁用信息显示给用户。

具体到指纹采集的应用中，可以是在硬件密钥装置上设置一指纹采集板，用来扫描采集用户的指纹传输给指纹验证模块进行验证。当用户插入硬件密钥装置之后，即对硬件密钥装置的持有者进行身份确认，以确认正在使用该硬件密钥装置的人是被授权的人。可以将指纹验证作为获取随机密钥的必要条件，而将口令或密码验证作为获取随机密钥的可选条件，从而进一步增加移动存储技术数据加密的可靠性。

本实施例中采用了生物特征验证方法加强硬件密钥装置的安全性和可靠性，或者也可以采用口令密码的形式进行用户身份的验证。可以在第一数据接口与密钥生成模块和私钥模块之间设置密码验证模块，代替生物特征验证模块或者与生物特征验证模块并列使用，用于接收用户输入的口令密码，并当口令密码验证不通过时禁止第一数据接口的数据传输。

本实施例在上述实施例的基础上，进一步用指纹、体温或虹膜等生物特征识别技术代替或强化了硬加密技术中的口令密码，解决了现有移动存储设备加密方案在存储密文数据和数据存取过程中的各种安全问题，实现了安全性更好的加密移动存储。

移动存储系统实施例

如图6所示为本实用新型移动存储系统具体实施例的结构示意图，该移动存储系统可采用本实用新型硬件密钥装置具体实施例三，并还包括移动存储设备300，该移动存储设备300包括顺序连接的USB接口310、USB控制芯片320、硬件加密芯片330和移动存储模块340。其中，硬件密钥装置100的第一数据接口110用于与处理文件数据的计算机200相连，交互文件标识和密文密钥；移动存储设备300的USB接口310用于与该计算机200相连，交互硬件密钥装置100提供的密文密钥和该文件标识对应的文件数据。并且，移动存储设备300中的硬件加密芯片330具体包括：用于存储公钥的公钥单元331；与公钥单元331和USB控制芯片320分别相连的密钥获取单元332，该密钥获取单元332用于从USB控制芯片320中获取经USB接口310采集到的密文密钥，并根据公钥对密文密钥进行解密后获取随机密钥；连接在USB控制芯片320和移动存储模块340之间，并与密钥获取单元331相连的加解密单元333，该加解密单元333用于根据随机密钥对USB控制芯片320与移动存储模块340之间交互的读写文件数据进行加解密操作。

本实施例的移动存储系统是将移动存储设备与本实用新型的硬件密钥装置配合使用的。在具体应用中，硬件密钥装置采用非对称算法的私钥加密随机密钥，形成密文形式的密文密钥，并提供给移动存储设备。移动存储设备的硬件加密芯片采用非对称算法中对应的公钥对密文密钥解密后获取随机密钥，利用该随机密钥对待读写的文件数据进行加解密操作，下面分别详细介绍其工作过程。该移动存储系统进行文件数据写入操作的具体工作过程如下：

首先，由计算机触发文件数据写入移动存储设备的操作，通常在计算机中安装有加解密管理软件，该软件能够通过USB接口与硬件加密芯片进行数据交互，并通过第一数据接口与硬件密钥装置进行文件标识和密文密钥的传递；在该软件的控制驱动下，在通过硬件密钥装置上生物特征验证模块的验证后，向硬件密钥装置传送待写入文件数据的文件标识；硬件密钥装置中，密钥生成模块从第一数据接口读取到该文件标识，并识别到对当前文件的操作为写访问，则生成一新的随机密钥；私钥模块获取到随机密钥后，采用非对称算法的私钥对随机密钥加密以形成密文密钥；将密文密钥通过第一数据接口传输给计算机；计算机将密文密钥和文件标识及待写入文件数据一同传输给移动存储设备；在移动存储设备中，USB控制芯片控制硬件加密芯片获取该密文密钥；硬件加密芯片采用存储在本地的非对称算法的公钥对该密文密钥进行解密，获取随机密钥，而后再采用随机密钥对待写入文件数据进行加密操作；最后对应文件标识将加密后的文件数据存储在移动存储模块中。

在写入文件数据后，该移动存储系统进行文件数据读取操作的具体工作过程如下：

同样，由计算机触发从移动存储设备读取文件数据的操作，在加解密管理软件的控制驱动下，通过硬件密钥装置上生物特征验证模块的验证后，向硬件密钥装置传送待读取文件数据的文件标识；在硬件密钥装置中，密钥生成模块从第一数据接口读取到该文件标识，并识别到对当前文件的操作为读访问，则在本地的存储模块中查询匹配的文件标识，获取对应的随机密钥；私钥模块获取到随机密钥后，采用非对称算法的私钥对随机密钥加密以形成密文密钥；将密文密钥通过第一数据接口传输给计算机；计算机将密文密钥和文件标识一同传输给移动存储设备；在移动存储设备中，USB控制芯片控制硬件加密芯片获取该密文密钥；硬件加密芯片采用存储在本地的非对称算法的公钥对该密文密钥进行解密，获取随机密钥；而后根据文件标识从移动存储模块中获取待读取的文件数据，硬件加密芯片采用随机密钥对待读取文件数据进行解密操作；最后将解密后的文件数据通过USB接口传输给计算机。

上述过程为移动存储系统所执行的完整的数据加密写入-解密读取过程。在此过程中，除支持高速的对称密钥算法外，硬件加密芯片也支持非对称加密算法。在具体使用时，硬件密钥装置里保存着一个非对称加密算法私钥，硬件加密芯片和数据处理设备均不能获取硬件密钥装置中非对称密钥算法的私钥。硬件加密芯片所使用的公钥可以在硬件密钥装置初始化产生对称的私钥和公钥时获取，具体的可以在硬件加密芯片中设置采集单元，该采集单元与USB控制芯片和公钥单元分别连接，用于从计算机中采集硬件密钥装置提供的公钥，并将公钥存储到公钥单元中以备后续使用。

本实施例中，移动存储设备的USB接口即为第二数据接口，USB控制芯片即为控制芯片，硬件密钥装置的第一数据接口以及移动存储设备的第二数据接口可以为USB格式，也可以采用“1394”等其他格式的数据传输方式。移动存储设备的移动存储模块可以是Flash介质，也可以为移动硬盘的存储介质。硬件密钥装置和移动存储设备可以通过USB集线器(USB-HUB)共同连接到计算机上。

本实施例中移动存储设备设有硬件加密芯片，采用了硬加密技术方案，完全在硬件中实现文件数据的加解密。并且，在该移动存储设备中不集中存放加密后的文件数据和用于加解密的密钥，而是采用硬件密钥装置提供的密文密钥。因此，本实施例的移动存储系统消除了文件数据与密钥集中存放导致的安全隐患，同时采用非对称加密算法，利用配对的私钥和公钥获取每次加解密操作所需的随机密钥，使得传输的密钥是密文形式的，能够进一步提高数据加密操作的可靠性。本实施例的移动存储系统技术方案充分利用了非对称密钥算法在可靠性方面的优势，同时结合了对称密钥算法在速度上的优势，具有数据存取速度快和数据存取安全性高的优点。

本实用新型的移动存储系统可以采用本实用新型硬件密钥装置任一实施例的技术方案。采用硬件密钥装置和生物特征识别技术的结合来实现数据的可靠加密，实现了例如指纹等生物特征、硬件密钥装置和移动存储设备，这样的三因子数据存储安全机制，充分利用了硬加密技术在存储密文数据的安全性方面的优势，保证加解密过程在硬件中完成，而不在计算机中完成。用户要对移动存储设备里的数据进行读写操作就必须确保这三个因子同时存在，缺一不可。因此，这种三因子的信息安全机制极大地保证了加密存储数据的安全性。当然，如果用户需要，还可以对硬件密钥装置增加口令或其他生物特征的保护，从而实现四因子数据存储安全机制。

最后应说明的是：以上实施例仅用以说明本实用新型的技术方案，而非对其限制；尽管参照前述实施例对本实用新型进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本实用新型各实施例技术方案的精神和范围。

Claims (10)

1、一种硬件密钥装置，其特征在于，包括：

用于传输数据的第一数据接口；

与所述第一数据接口相连，用于根据从第一数据接口接收到的文件标识产生随机密钥的密钥生成模块；

存储有私钥，且用于根据所述私钥对所述随机密钥进行加密形成密文密钥，并从所述第一数据接口输出所述密文密钥的私钥模块，所述私钥模块与所述密钥生成模块和所述第一数据接口分别相连。

2、根据权利要求1所述的硬件密钥装置，其特征在于：还包括与所述第一数据接口和所述私钥模块分别连接的非对称密钥生成模块，用于生成对应的私钥和公钥，并将所述私钥存储在所述私钥模块中，将所述公钥从所述第一数据接口输出。

3、根据权利要求2所述的硬件密钥装置，其特征在于，所述密钥生成模块包括：

与所述第一数据接口相连，用于识别包含在所述文件标识中的访问类型的识别单元；

用于当识别单元识别到所述访问类型为写访问时，根据所述文件标识生成随机密钥的生成单元，所述生成单元与所述识别单元和私钥模块分别相连。

4、根据权利要求3所述的硬件密钥装置，其特征在于还包括：与所述生成单元相连，用于存储所述文件标识，并对应存储所述随机密钥的存储模块。

5、根据权利要求4所述的硬件密钥装置，其特征在于，所述密钥生成模块还包括：

用于当识别单元识别到所述访问类型为读访问时，从所述存储模块中查询获取所述文件标识对应的随机密码的查询单元，所述查询单元与所述识别单元、存储模块和私钥模块分别相连。

6、根据权利要求1所述的硬件密钥装置，其特征在于，还包括：连接在所述第一数据接口与所述密钥生成模块和所述私钥模块之间的生物特征验证模块，用于采集用户的生物特征，并当所述生物特征验证不通过时禁止所述第一数据接口的数据传输。

7、根据权利要求6所述的硬件密钥装置，其特征在于，所述生物特征验证模块包括：指纹采集单元、体温采集单元和/或虹膜采集单元，还包括与所述指纹采集单元、体温采集单元和/或虹膜采集单元相连的验证单元，所述验证单元连接在所述第一数据接口与所述密钥生成模块和所述私钥模块之间。

8、根据权利要求1所述的硬件密钥装置，其特征在于，还包括：连接在所述第一数据接口与所述密钥生成模块和所述私钥模块之间的密码验证模块，用于接收用户输入的口令密码，并当所述口令密码验证不通过时禁止所述第一数据接口的数据传输。

9、一种采用权利要求1～8所述的任一硬件密钥装置的移动存储系统，还包括移动存储设备，所述移动存储设备包括顺序连接的第二数据接口、控制芯片、硬件加密芯片和移动存储模块，其特征在于：

所述第一数据接口用于与处理文件数据的数据处理设备相连，交互所述文件标识和所述密文密钥；

所述第二数据接口用于与所述数据处理设备相连，交互所述密文密钥和所述文件标识对应的文件数据；

且所述硬件加密芯片包括：

用于存储公钥的公钥单元；

与所述公钥单元和所述控制芯片分别相连，用于从所述控制芯片获取经第二数据接口采集到的密文密钥，并根据所述公钥对所述密文密钥进行解密后获取随机密钥的密钥获取单元；

连接在所述控制芯片和移动存储模块之间，并与所述密钥获取单元相连，用于根据所述随机密钥对所述文件数据进行加解密操作的加解密单元。

10、根据权利要求9所述的移动存储系统，其特征在于，所述硬件加密芯片还包括：公钥采集单元，与所述控制芯片和所述公钥单元分别连接，用于从所述数据处理设备中采集获取公钥，并存储到所述公钥单元中。

Images