TW200834374A - Method, apparatus and system for authentication of external storage devices - Google Patents

Description

200834374 九、發明說明： 【發明所屬之技術領域】 本發明係關於外部儲存裝置之認證的方法、設備及系 統’特別關於但不限於防止未經授權而於_主機電腦使用 外部儲存裝置之方法、設備及系統。 【先前技術】 目削市面上有多種外部儲存裝置。該等裝置包含如硬碟 =等運用光學技術之儲存裝置’以及包含通料列匯流排 少、，Universal Serial Bus)快閃磁碟機等運用快閃技 術^諸存裝置。而有多種標準介面可用以將該等裝置連接 々故屯月包，包含USB、火線（Firewire)與PCMCIA介 不限於以上所述。此外，亦存在其他專屬介面， 口記憶棒」（memory stick)介面、安全數位卡（sd⑶汍 ecure Digital card)介面等。 =於下載速度快且儲存裝置之體積越來越小，對於公司 ’於安全性與機密性方面便出現了嚴重的威脅。該等 脅包含未經授權而複製具敏感性或機密性之資訊，以及 i傳，含病，等惡意或破壞力強大之應用程式等。舉例而 、二司的員工可輕易攜帶小型的USB快閃磁碟機而隱匿 =被祭覺。接著該磁韻可插人公司的任何電腦上的USB ，埠，下載並儲存具敏感性或機密性之資料及/或上傳 明從而迴避了所有的病毒過濾機制。除非封鎖、實體 :閉=有的外部介面或使使用者無法自公司的電腦系統 載貧料或將資料上傳，否則公司根本無法控制此種情 31_發明說明書_：)/97挪96137224 200834374 形。然對於獲得授權可執行上述操作者而言’此種作法將 造成極大的限制。 ^ 【發明内容】 依據一較佳態樣，本發明提供一種外部儲存裝置之認證 的方法，該外部儲存裝置係以可操作之方式與一主機電腦 之連接埠相連接，該方法包含：該主機電腦與該外部儲存 裝置執行一交握程序，以自該外部儲存裝置尋找一認證金 鑰；若該認證金鑰為至少一選自錯誤以及未於一預先決定 _之時間内提供之情形，則中斷該外部儲存裝置與該主機電 腦之電氣連接；以及若該認證金鑰正確且於該預先決定之 時間内提供，則允許該外部儲存裝置對於該主機電腦之存 取。 依據一第二較佳態樣，本發明提供一種外部儲存裝置， 可藉由該外部儲存裝置之連接器與一主機電腦之連接埠 以可操作之方式相連接，該外部儲存裝置包含一認證模 鲁組，該認證模組經設計以與該主機電腦之一認證應用程式 進行通訊，該認證模組亦經設計而包含一認證金鑰，該認 證金錄係用以傳送至該認證應用程式，以針對該外部儲存 裝置進行認證。 v 依據一第三較佳態樣，本發明提供一種外部儲存裝置之 認證的系統，可藉由該外部儲存裝置之連接器與一主機電 腦之連接埠以可操作之方式相連接，其中該外部儲存裝置 包含一認證模組，該認證模組係用以與該主機電腦之一認 證應用程式進行通訊，該認證模組包含一認證金鑰，而該 312XP/發明說明書(補件)/97-01/96137224 7 200834374 金鎗係用以傳送至該認證應用程式，以 存裝置進行認證。 +该外部儲 對於所有的·4樣，正確的認 維護。而該查詢查珣表中加以 之一網路贿k ^主機電腦以及該主機電腦所連接 選自ϋ 中加以維護。該認證金鑰係由至少— :疋使用者、一特定主機電腦以及該 :之一，網路終端機所限制。該特定使用者可以使： :入:_ ’該特定主機電腦可以主機電 斷。該使用^ 端機可以網路終端機識別資料判 別貧料可儲存於該查詢表中。 、鸲枝减 程腦之存取可限於該主機電腦之特定應用 斜上J貝料’而該等限制係於該查詢表中加以維護。 箄PF=路之存取可限於特定應用程式或特定資料，而該 專限制係於該㈣表巾加以維護。 •涊d金鑰+可分配予一未具有該認證金鑰之外部儲存裝 置士而其係藉由詢問是否需要該認證金鑰、於該預先決定 之時間内接收—肯定之回應時檢查該外部儲存裝置、以及 ^亥外部健存裝置通過檢查時將該認證金鑰分配予該外 =儲存裝置。而對於該外部儲存裝置之檢查可包含至β少一 ，1外部儲存裝置之識別資料、使用者之識別資料、主機 电腦之識別資料、網路終端機之識別資料、以及病毒或其 他惡意之應用程式或資料之掃瞄。 該認證模組可於該認證金鑰被傳送至該外部儲存裝置 312ΧΡ/發明說明書(補件)/97-01/96137224 8 200834374 前下载至該外部儲存裝置。 若回應為否定或未於該預先決定之 斷該外部儲存#罟盥兮士德士 】内美供’則可中 减仔衣置與该主機電腦之電氣連接。 【貫施方式】 首先請參閱圖！所示，其 電腦1〇。雷腦連接至£域網路12之 电知10具有數個連接埠14,佯如I丨 儲存裝詈1R梦ala USB快閃記憶 诫仔衣置16 4外部儲存裝置連 置16，可自雷腦m 由外部儲存裝 ^ 目月〇及/或網路12下载資料，以十

將資料上傳至電腦10及/ θ S 存裝置16具有一連接哭Μ裕以如圖所不’外部儲 接哭。m2 接益18,而於本例中，其為一哪連 ，但该連接器可為任何適合之連接器，可與 '妾埠14以可進行操作之方式相連接即可。一 於圖2中，外部儲存裝置⑺係 裝置16具有一連接哭入；〇Λ 万式壬現。 單元可或一連接TO;丨面20以及儲存單元22。該儲存 為一硬碟、快閃記憶體或其他所需或所欲採用者 儲存單元22係由一μ左⑽_ , "而飞尸/Γ奴知用者。 糸由储存早兀控制器26所控制。一; 器24係控制裝置16之所古.軍此 斤径钔裰處理 m1R ▲ 所有運作。一認證模組28則用以 Γ4中模組⑼可為_、可包含於微處理器 芝°位於一與微處理器24分離之處理器中。 ^腦10包含一控制器I#㈣^ 3 應用程式32，告遠桩哭10 且 接迫w 士士田連接18以可進行操作之方式插入一連 守’認證應用程4 32可與認證模組28進行 =若存取未經紐，_程式Μ將關任何 操作之方式與連接埠14中之任一相連接之外部儲存= 312ΧΡ/發明說明書(補件)/97-01/96137224 g 200834374 i6過對1 電们G之系統及/或網路12的存取；若存取已 通過吻祖，則應用程式3 已 式與連接埠U中之丄二何以可進行操作之方 …二=二接二外部儲存川^ 入碼限於特定之n = 證之通過可藉由登 之電腦。 及"猎由電腦識別資料限於特定 於衣置16以可進行操作之方式盥電腦丨n 4 * 證之進行可#由|锸m ^飞/、包細10相連接時，認 丁了错由數種不同的方式。裝置16可能於 通過認證，於此種情形將依#别已 當裝置16以可進行操作之方二電 認證，認證之結果可決定』使用=始進行 流程示於圖5。 之後鎮使用情形。此 無：針者产否為特定之使用者及，或電腦， 權限之管理者執行，而為由一具有職責與 16與電腦1D及/或網路12進行功能方面2 對於非由渠等配發，但可加以認證 ▲ :對圖5之具體例，所有後續之認證動 動=)4二=二’二證r式⑽自 .^ τ執仃，除前述之營 L:使用者：無法對之進行存取。如此使用者無法影 曰、干板、妨礙或迴避應用程式3 2 $、s ly -般於電腦!〇上執行之其他「\:運：。此種作法與 文全化」應用程式所採用 312XP/發明說明書(補件)/97-01/96137224 1〇 200834374 之作法相同。應用程式32包含一監控模組34，其監控連 接埠14以偵测一外部儲存裝置16與連接埠14之任一相 連接的情形（4 0 2)。此運作可藉由如定時探詢連接埠 14(403)等方式完成。若未偵測到裝置之插入（404)，則繼 續探詢的動作。若偵測到一裝置16插入一連接埠 14(405)，接著應用程式32將藉由執行查問與回應程序， 嘗試與裝置16建立認證交握（406)。若裝置16於電腦10 開機前便插入於連接埠14中，所依循之流程仍然相同， 參儲存裝置16對於電腦10之系統及/或網路12之存取將 遭到拒絕直到通過認證為止。 於認證程序（406)中，應用程式32呼叫裝置16要求其 提供一認證碼或認證金鑰。若認證模組28提供了認證碼 或認證金鑰（407)，則應用程式32檢查一目前認證碼或認 證金鑰之查詢表，以判斷該認證碼或認證金鑰是否列於其 上（408)。若存在相符者（409)，則可允許裝置16存取電 $腦10及/或網路12(410)。上述查詢表亦可包含限制 (411)。舉例而言，裝置16之認證金鑰或認證碼可與一特 定個人及/或電腦10相關連。上述關連性可藉由參照使 用者登入碼、電腦10及/或其所連接之網路12之終端機 的識別資料加以檢查。而上述存取可限於電腦10及/或 網路12之特定應用程式及/或資料。若存在限制，則應 用程式32將檢查查詢表以確保符合限制之要求（412)。 若於（407)該認證模組28於交握程序中無法正確地回 應應用程式32、於（40 9)未存在相符者或於（412)不符合 312XP/發明說明書(補件)/97-01/96137224 11 200834374 =，：：：應用程式32將立即中斷裝置16與電腦ι〇 二，接或將之隔離，以避免裝置16存取電腦1〇之系 、、、 /或網路12(413)。但於此同時，穿晉 於連接埠14中。 衣置16可仍插入 上於圖5之具體例中，可於認證之流程中對裝置^予以 =可。此，針對類似之流程將使用類似之元件符號，僅其 子首之數字由4改成5。 動=地’當電腦10開機時’認證應用程式32將自動啟 動（501)。該程式於電腦1〇中執行，除前述之管理者 2使时並無法狀進行存取。如此使用者無法影響、 干k、妨礙或迴避應用程式32之運作。此種作法盘 於電腦10上執行之其他「安全化」應用程式所採用之作又 法相R。同樣地，應用程式32包含監控模組34，其監控 連接埠14以偵測一外部儲存裝置16與連接埠14之:二 相連接的情形（5G2)。此運作可藉由如定時探詢連 14(503)等方式完成。若未偵測到裝置之插入（5〇4)，則 續探詢的動作。若偵測到一裝置16插入一連接埠 14(505)，接著應用程式32將藉由執行查問與回應程序， 嘗試與裝置16建立認證交握（506)。若裝置16於電腦1〇 開機前已插人於連接埠14 +，所依循之流程仍然相同， 儲存裝置16對於電腦10之系統及/或網路12之存取 遭到拒絕直到通過認證為止。 ； 於認證程序（506)中，應用程式32呼叫裝置16要求其 提供一認證碼或認證金鑰。若認證模組28提供了認磴^ 馬 312ΧΡ/發明說明書(補件)/97-01/96137224 12 200834374 2證切（507)，職隸式32檢查-目前認證碼或認 證金鑰之查詢表，以判斷該認證碼或認證金鑰是否列於其 上（508)。若存在相符者（5〇9)，則可允許裝置a存取電 腦1〇及/或網路12(51〇)。上述查詢表亦可包含限制 )*例而5 ’裝置16之認證金鑰或認證碼可與一特 疋们人及/或電腦丨〇相關連。上述關連性可藉由參照使 用者登=碼、電腦U及/或其所連接之網路12之終職 的識別貧料加以檢查。而上述存取可限於電腦W及/或 網路12之衫應用程式及，或資料。若存在限制，則應 用程式32將檢查查詢表以確保符合限制之要求。 若由於裝置16先前未經認可，認證模組28於（5〇7)交 f程序中無法正確地回應應用程< 32,則可進行認證： 序’由應用程式32對裝置16提出關（514)。上述 將顯不於-顯示幕上，且要求使用者輸入資料。若於一預 先決定之時間如讲秒内無回應或回應為否^，則應 32將立即中斷裝置16與電腦1()之電氣連接或將之隔離， 以避免裝置16存取電腦1〇之系統及，或 但=此同時，裝置16可仍插入於連接埠14中。 右於（514)於該預先決定之時間内有回應且為肯定 應用程式32即對裝置16進行檢查。此檢查可包含檢_ 置、使用者、電腦與網路終端機之識別 ^ 項，以及病毒或其他惡意之應用程式或資料 = 一金鑰分配予裝置i6，並將該： …己錄於查询表中。而針對使用者及/或電腦/終端機之 312XP/發明說明書(補件)/97·〇1/96137224 13 200834374 任何限制可於此時產生並附加於查詢表中 必要之模組28,接著便將之下载至裝置16。^ =載 式32將金鑰傳送至裝置16以 /壬 Γ /中。攸 所產生之限制的範圍内即可對恭f« If) 及/或網路12進行存取。 P 了對电恥10 :於（5G9)未有相符者或於⑸2)不符 :用程式32將立即中斷裝置16與電腦】之:求』 將之隔離，以避免裳置16存 接f 似5⑻。但於此同時， ϋ之系統及/或網路 卜、十.在a生J 了衣置16可仍插入於連接埠14中。 处—询表謂存於電腦1G t並 若電腦10與網路12相、康aif . ^ ^ 考力以、准濩。 伺服哭中n ，則查珣表以儲存於網路12之 ,，亦由管理者加以維護。然而，無論電腦 疋否與網路12相連，鹿用寇彳q 9 於前述之說明中雖已;=白存在於電腦10中。 說，但習於所、/二 發明之較佳具體例加以解 本發明之情形下，可斜士饮 白應㈣’於未偏離 面進行諸多變I。了對本發明之設計、建構及/或操作方 【圖式簡單說明】 例===瞭解且易於實施，將_ 例，其中？ 限制性之範例說明本發明之較佳具體 體^明之—具體例之外部館存裝置將用於一具 肢例之主機電腦之立體圖； 圖2為圖1之外部儲存裴置之方塊圖； 312XP/發明說明書(補件)/97·〇聰 14 200834374 圖3為圖1之主機電腦之局部方塊圖； 圖4為本發明之一具體例之流程圖；以 圖5為本發明之另一具體例之流程圖。 【主要元件符號說明】 10 電腦 12 網路 14 連接埠 16 外部儲存裝置 18 連接器 20 連接器介面 22 儲存單元 24 微處理器 26 儲存單元控制器 28 認證模組 30 控制器 32 認證應用程式 34 監控模組 312XP/發明說明書(補件)/97-01/96137224 15

Claims (1)

1. 200834374 十、申請專利範圍·· 1· 一種外部儲存裝置之認證 以可操作之方式與一主機電腦 含： 的方法，該外部儲存裝置係 之連接埠相連接，該方法包 該主機電腦與該外部儲存 ^ (handshake)以自該外部儲存枣：二<丁 一父握程序 若該認證金錄為至少一選二:找一認證金餘； 之時間内提供之情形，則中斷^缺以及未於一預先決定 腦之電氣連接^及㈣外部儲存裝置與該主機電 若該認證金鍮正確且於該預先決定之時_提供，則允 許5亥外部儲存n料魅機t腦之麵。 範圍第1項之外部儲存裝置之認證的方 3 :、之：證金鑰係於一查詢表中加以維護。 3·如申明專利範圍第2項之外i 、$ # tb ^ ^ ^ ^ 又外邛储存裝置之認證的方 /，，、中忒查珣表係於該主機電 -網路伺服器之-中加以維自及❹機電腦所連接之 法4:中申範圍，2項之外部儲存裝置之認證的方 法Ί亥㈣金鑰係由至少一選自一特定使用者、一特 戶電腦以及該主機電腦所連接之—特定網路終端機 5·:申广專利範圍第4項之外部館存裝置之認證的方 2其！:仙使用者登人碼判斷該特定使用者，以主機電 所該特定主機電腦’以及以網路終端機識別 貧料判断之該特定網路終端機。 312ΧΡ/發明說明書(補件)/97-01/96137224 16 200834374 法外部館存裝置之認證的方 機識別資料係儲存:該杳詢1機广^ 7.如申請專利範圍第 之認證的方法，其中對^^=任—項之外部储存裝置 電腦之特定應用程式或特定資子：：限於該主機 表申加以維護。 、 ^等、制係於該查詢 8·如申睛專利範圍第 之認證的方法，㈠你兮1中任_項之夕卜部儲存褒置 式或特定資料/而tr 之存取係限於特定應用程 制係於該查詢表中加以維護。 之簡的方法：圍第1至6項中任-項之外部儲存裝置 乙⑽也的方法，進_步包紙 咕甘衣罝 認證金鑰之該外部儲存襄置，而未具有該 認證金鑰’於該預先決定之 :一； 查該外部館存裝置，以及於該外，壯月疋之回應時檢 將該認證金鑰分配予該外部儲存裝置。子衣置通過檢查時， ίο·如申請專利範圍第9項之外 法，對於該外部儲存裝置之檢 :：：：賴的二 裝置之識別資料、使广邊自外部儲存 料、網路終端機之識別資料=二主：電腦之識別資 程式或資料之掃瞄。 /督或其他惡意之應用 U·如申請專利範圍第9項之外部館 法，其令於該認證金餘被傳 衣置之适过的方 證模組被預先下載至;储存裝置前，-- 312XP/發明說明書贿牛)/97·㈣6137224 厂 200834374 12.如申請專利範圍第9項之外部館存裝置之認證的方 内^一/包含於該回應為否定或未於該預先決定之時間 接。…、T巾斷該外部館存裝置與該主機電腦之電氣連 法'W/t專利㈣第9項之外部儲存裝置之認證的方 彳/、中"亥認證金鑰係由一管理者所分配。 接哭盘儲存農置’其可藉由該外部儲存裝置之連 ^與：主機電腦之連接埠以可操作之方式相連接，其中 ;主=存裝置包含一認證模組，該認證模組經設計以盥 ，—認證應用程式進行通訊，該認證模組亦經 t而包含一認證金鑰，而該認證金餘係用以傳送至，切 證應用程式以針對該外部儲存裝置進行認證。— :5·如中請專利範圍帛14項之外部儲存裝置， 1證應用載至少㈣證偷與該贿金鍮之一 證全::Λ專利範圍第14項之外部儲存裝置’其中該認 μ餘係由至少—選自—特线用者、—特定主機 及该主機電腦所連接之一特定網路終端機所限制。包 蚀1田7·土如中請專利範圍第16項之外部儲存裝置，其中係以 使用者登入碼判斷該特定使用者，以主機電腦 ，該特定主機電腦，以及以網路終端機識別資料二奸 定網路終端機。 t列峤該斗寸 18·—種外部儲存裝置之認證的系統，其可 =裝置之連接ϋ與-线電腦之連接埠 ^ = 式相連接’其t該外部儲存裝置包含1證模組 312XP/發明說明書(補件)/97-01/96137224 18 200834374 模組係用以與該主機電滕之一認證應用 認證模組亦包含―認證:進订通訊，該 ，該認證應用程式以 二=金输係用以傳送至 19.如申請專利範圍第進行認證。 系統，其t該主機€腦*、卜錢存裝置之認證的 序，以自該外部儲存裝置衣置執仃-交握程 20.如申請專利/圍第Γ忍證金鎗。 糸統，其中正確之認證金鑰 子衣置之-祖的 該查詢表係於診拿撼帝；一"旬表中加以維護，而 路飼服器之加以維以及該主機電腦所連接之一網 …之外部儲存裝置之認證的 /、甲邊6忍證金鑰係由至 :二，以及該主機電腦所連接之:特：者㈣ 系=圍者=，儲存裝置之· 電腦識別資料判斷外馬判斷5亥特定使用者，以主機 別資料判斷該電腦，以及以網路終端機識 23·如申請專利範圍 系統，其中該使用者登入二 =部儲存裝置之認證的 網路終端機識別資料係=：：亥主機電腦識別資料以及該 ?4 Λ 储存於該查詢表中。 .如申S月專利範圍第 裝置之認證的系統，1中至23項中任一項之外部儲存 主機電腦之特定應主機電腦之存取係限於該 飞或4寸疋貧料，而該等限制係於該 3聽潑明說明書(補件)/97·_6 19 200834374 查詢表中加以維護。 25. 如申請專利範圍第20至23項中任一項之外部儲存 裝置之認證的系統，其中對於該網路之存取係限於特定應 用程式或特定資料，而該等限制係於該查詢表中加以維 護。 26. 如申請專利範圍第20至23項中任一項之外部儲存 裝置之認證的系統，其中該認證金鑰係由一管理者所分 配。

   312XP/發明說明書(補件)/97-01/96137224 20