CN101017525A - 基于证书和透明加密的usb存储设备数据防泄密系统和方法 - Google Patents

Abstract

一种基于证书和透明加密技术的USB存储设备数据防泄密系统，由一个安装了证书管理软件、并采取物理隔离和网络保护措施的证书服务器，多个安装了客户端软件的内部网络主机－客户端，以及多个由普通USB存储设备经过证书服务器的初始化处理后的安全USB存储设备所组成。其使用方法的操作步骤是：(1)在网络服务器和每个主机中分别安装证书管理软件和客户端软件，(2)在证书服务器对USB存储设备执行安全初始化处理，(3)将已初始化的安全USB存储设备发放给内部用户使用，(4)安全USB存储设备的正常使用。本发明用于防止企业或部门内部网络中因使用USB存储设备而可能造成的数据外泄，系统结构简单，成本低廉，使用便利，能确保内部网络中的数据安全。

Description

基于证书和透明加密的USB存储设备数据防泄密系统和方法

技术领域

本发明涉及一种用于各个企事业单位内部网络中的USB存储设备的数据防泄密系统和方法，确切地说，涉及一种基于数字证书认证和透明加密技术的USB存储设备数据防泄密系统及其使用方法，属于信息安全中的数据安全领域。

背景技术

现在，人们越来越多地将计算机作为存储信息的媒介，并且频繁地使用USB存储设备来交换信息，在这些设备上不仅存放有涉及隐私的个人资料和信息，而且还包含企事业单位的业务数据和内部的重要信息，一旦这些数据丢失或被盗取，无论对企业或个人都将产生重大损失。因此，数据安全已经成为当今信息安全建设的重中之重。利用数据加密的技术方案可保护存储在硬盘、USB存储设备等数据存储设备上的数据安全。即使存储设备被盗，用户依然可放心数据不会被非授权人浏览或获取。

目前，通常采用硬件和软件技术来实现数据的加密存储，下面简要说明之。

(1)很多硬件制造厂商从硬件上实现了数据的加密保护，使其硬件上的所有数据都被保护起来，这样大大降低了机密数据被泄露的风险。

这种技术主要是用某种手段在磁盘上设置无法正常复制的信息，特定程序运行时将校验该信息，并确定运行的合法性。比较简单的例子是运行或安装某一程序时，需要在驱动器里面插入一张“钥匙盘”，没有正确的“钥匙盘”，该程序将不能运行或者某些功能被限制。而且，这张钥匙盘是不能通过磁盘拷贝来复制的。另一种当前普遍采用的加密技术是在磁盘上做出一些非正常的磁道或扇区，应用程序通过校验这些加密点来确定磁盘的合法性。但是，对于普通个人用户来说，这些设备往往价格昂贵，且维护困难，致使很多用户望而却步。

(2)从软件上实现数据的加密存储。目前市场上大部分此类产品都是被动式的加密数据，即只有当用户选中某个需要加密存储的文档时，才开始将数据进行加密并存储。这种实现方案使用起来很不方便，用户每次改变文档后，都需要重新将文档进行加密，这样大大影响了用户的办公效率。此外，这种方法很容易被用户疏忽而造成损失：如果用户忘了将文档进行加密，而认为文档已经加密，于是通过网络或其它途径将文档传输出去，这样将造成信息的泄漏。

为了克服传统加密软件的不足，产生了一种新的软件加密技术，它既能够满足数据存储安全的要求，又能做到用户操作和管理方便等优点。这种技术利用Windows内核分层管理的特性，通过开发内核过滤驱动程序，在不改变原有文件系统工作的前提下，实现对数据的透明加密。这样，用户只需进行简单配置后，就可安全放心地实现数据的加密存储。

现在，市场上采用该新技术的软件(例如上海迅软信息科技有限公司的USB安全存储专家)采用了“远程控制、集中管理、统一配置”的方式，为企事业单位的整体USB端口控制提供全方位解决方案。但是，它无法满足用户对加密方案的多样性需求，用户无法根据各自的需要来分别选择密码方案，也无法将自身的密码方案整合到系统中。

此外，现在作为移动存储的USB存储设备的功能已经非常强大，使用也越来越普遍。但是，在享受到使用USB存储设备带来的方便的同时，同时由于缺乏安全控制和辅助管理工具，也带来了可能的数据泄密的风险。比如企业或部门内部网络中，员工用USB存储设备就可以将公司或部门内部数据随意带出工作场所，内部网络上使用的USB存储设备也可能会丢失或被盗等等，这些情况都会造成数据的泄密。而且，目前市场上有数以百万种的USB存储设备，各种各样的内部机密数据就一直在这些USB存储设备中流动——同时面临丢失或被窃的风险，敏感的公司数据丢失所导致的潜在损失，每天都在呈几何级数倍的增长。因此，在这种情况下，如何保护企事业单位数据的安全对于每一个单位的IT部门来说都是一个极大的挑战，人们越来越强调必须针对移动存储设备采用必要和恰当的安全措施。所以，在现有的数据加密技术上，如何针对移动的USB存储设备实现一种加密安全，维护、管理方便，且用户容易接受的加密技术方案已经成为保障数据信息安全、推广信息安全产品的新课题。

发明内容

有鉴于此，本发明的目的是提供一种基于数字证书认证和透明加密技术的USB存储设备数据防泄密系统及其使用方法，用于防止企业或部门内部网络中因使用USB存储设备而可能造成的数据泄密事件的发生，确保内部网络中的各种数据的安全使用。

为了达到上述目的，本发明提供了一种基于证书和透明加密技术的USB存储设备数据防泄密系统，是用于各个部门或企事业单位的内部局域网络；其特征在于：该系统包括下述部件：

一个用作控制中心的证书服务器，它是安装了证书管理软件、并采取物理隔离和网络保护措施来保证其安全、可靠运行的网络服务器，用于完成USB存储设备的初始化及USB存储设备使用过程中的安全认证操作；

多个客户端，它是安装了客户端软件的内部网络主机，用于实现对USB存储设备的使用控制和对USB存储设备的读写操作进行透明加解密处理，以便禁止使用普通USB存储设备，只能使用经过安全初始化处理后的USB存储设备；

多个安全USB存储设备，它是由普通USB存储设备经过证书服务器的初始化处理后的设备，以防止USB存储设备的非法使用或丢失造成的数据泄密。

所述客户端和服务器要求的系统运行环境是操作系统Windows 2000、XP、2003、或Vista，以及支持上述操作系统的硬件。

所述证书服务器中的证书管理软件包括下述六个功能模块：

证书数据库，用于保存已经发布的证书信息，并与各种功能模块交互，完成相应的证书发布、认证和维护功能；

管理平台模块，用于提供包括用户初始化USB存储设备的操作启动、证书库信息的查看、增加、删减、或修改的各种人机交互的用户操作接口；

证书发布模块，用于在USB存储设备初始化时，接受管理平台模块的指令，为USB存储设备颁发证书；

证书维护模块，用于在USB存储设备使用过程中，接受管理平台模块的指令，对证书库中的各种证书数据进行查看、增加、删减、或修改的操作；

与客户端通信模块，用于与主机的客户端软件之间进行通信，完成USB存储设备的安全证书和传递证书私钥功能；

证书认证模块，用于完成对客户端使用的USB存储设备证书的认证。

所述客户端中的客户端软件包括下述五个功能模块：

USB存储设备插拔监控模块，用于自动检测客户端主机上的USB存储设备的插拔情况，一旦检测到有USB存储设备插入时，自动调用USB存储设备使用控制模块；

USB存储设备使用控制模块，采用证书认证方式，控制USB存储设备是否被允许在客户端主机上使用，即禁止未经安全初始化的USB存储设备用于客户端主机；

与证书服务器通信模块，用于与证书管理服务器进行通信，协助USB存储设备使用控制模块共同完成USB存储设备上的证书认证操作；

透明加解密模块，作为系统内核层的驱动程序，调用加解密算法实现模块来对客户端主机上使用的安全USB存储设备的读写操作进行透明加解密处理，并具有文件名/文件夹名的透明加解密处理功能；

加解密算法实现模块，采用组件对象模型COM(Component Object Model)技术开发的该模块，其软件形式为动态链接库DLL(Dynamic Link Libraries)或EXE文件，用于完成USB存储设备的读写数据的透明加解密处理；对外提供密钥设置、数据加密、数据解密三个功能接口，该模块可由客户实现动态替换，即符合该模块设计要求的COM组件动态库可直接替换使用，以改变加解密算法。

为了达到上述目的，本发明还提供了一种基于证书和透明加密技术的USB存储设备数据防泄密系统的使用方法，其特征在于，包括下列操作步骤：

(1)在网络服务器和每个主机中分别安装证书管理软件和客户端软件；

(2)在证书服务器对USB存储设备执行安全初始化处理：由证书服务器为每个USB存储设备生成新的唯一的证书，并将该加密的证书信息写入USB存储设备中的未使用的隐藏扇区，以便在使用时先对每个USB存储设备进行认证，决定该USB存储设备是否允许在主机上使用；

(3)将已初始化的安全USB存储设备发放给内部用户使用：因加密的证书信息隐藏于设备上，用户难以复制和识别，普通删除或高级格式化操作也不会破坏证书信息，能保证安全USB存储设备不被仿冒或轻易损坏；而且安全USB存储设备上存储的文件名/文件夹名都实现了透明加密处理，确保数据安全；

(4)安全USB存储设备的正常使用：客户端软件和证书服务器先分别主动对插入客户端的每个USB存储设备进行认证，再对通过认证的USB存储设备的读写数据作透明加解密处理；用户使用方法如同普通USB存储设备一样。

所述步骤(2)进一步包括下述操作内容：

所述步骤(4)进一步包括下述操作内容：

(40)安全USB存储设备被插入客户端主机上；

(41)客户端软件中的USB存储设备插拔监控模块实时检测到设备插入消息，通知USB存储设备使用控制模块；

(42)USB存储设备使用控制模块读取隐藏扇区上加密的证书信息，并调用与证书服务器通信模块，由该通信模块将加密的证书信息发送给证书服务器，请求验证；

(43)证书服务器中的证书管理软件对该加密的证书信息进行安全验证，并将验证结果发送给客户端；

(44)客户端软件中的与证书服务器通信模块接收到证书服务器验证结果后，将验证结果转交USB存储设备使用控制模块进行读取和判断；如果验证通过，则继续执行后续操作；否则，USB存储设备使用控制模块自动卸载USB存储设备，禁止其使用，并跳转步骤(49)，结束全部操作；

(45)USB使用控制模块将证书服务器返回的与该证书对应的私钥设置到透明加解密模块，以便将私钥用作对应USB存储设备的透明加解密处理的密钥；

(46)透明加解密模块截获磁盘的读写操作，并使用当前密钥调用加解密算法实现模块对每个读写操作的数据进行透明加解密处理；同时对文件名/文件夹名的存储和显示做透明加解密；

(47)USB存储设备被用户拔出后，USB插拔监控模块实时检测到设备拔出消息，即通知USB使用控制模块；

(48)USB使用控制模块通知透明加解密模块将刚才使用的加解密密钥作销毁处理；

(49)结束。

所述证书采用非对称密码体制，即每个数字证书都对应有证书公钥和私钥；而透明加解密算法采用对称密码体制，即只有一个密钥，且透明加解密算法采用加密证书的私钥作为其密钥。

所述步骤(43)进一步包括下述操作内容：

(431)证书服务器中证书管理软件的与客户端通信模块接收到证书验证请求和密文证书；

(432)与客户端通信模块将该证书验证请求和密文证书传送给证书认证模块；

(433)证书认证模块对密文证书进行解密处理，并与证书数据库中的对应数据作比较，以验证该证书是否合法；

(434)证书认证模块将合法/非法的验证结果通过与客户端通信模块返回给客户端；且如果证书合法，需将该证书的私钥同时返回给客户端。

所述将加密的证书信息写入USB存储设备未使用的隐藏扇区中的方法是：在格式化磁盘时，每种文件系统都留有一定数量的扇区未被使用，这些未被使用的扇区根据文件系统的不同而在磁盘上的位置有所不同；再通过试验选取一些安全的扇区用于保存证书信息，并在实际写扇区前，先进行安全检测，确保该扇区未被使用；

所述对文件名/文件夹名的存储和显示做透明加解密的方法是：在系统内部网络主机上，用户打开USB存储设备逻辑卷时，显示的文件名是用户定义的正常文件名；但磁盘上实际存储的时加密的文件名；但是在未安装客户端软件的主机上，打开安全USB存储设备时看到的文件名都是密文。

本发明相对于现有技术具有以下优点：系统结构简单，成本低廉，在硬件方面除了为网络服务器配置物理和网络隔离措施外，几乎没有任何其它改造任务和费用投入，只需在服务器和终端主机分别配设相应的软件，就能够有效阻止内部网络因使用USB存储设备可能造成的数据泄漏风险。因为本发明系统为每个USB存储设备分别发布不同的数字证书，这些证书都是以密文形式隐藏到USB存储设备的未使用分区中，难以拷贝或伪造。而且，USB存储设备上存放的数据是密文，每个USB存储设备的证书和数据加密的密钥又都各不相同，而且文件名/文件夹名也是经过透明加密的密文，以降低信息泄密的风险，这样，在内部网络中使用的USB存储设备在外部的其它主机上读取的数据和文件名/文件夹名都是密文，无法真正识别之，能够保证USB存储设备的数据不会外泄。只有在本发明系统的主机上识别USB存储设备中的文件时，由客户端软件对文件名进行解密后，用户才能看到正常的文件名。此外，外界的普通USB存储设备由于不能通过内部网络的安全认证，也就不能在内部网络中的主机上使用。

此外，本发明采用证书认证方式控制USB存储设备的禁用或可用，证书由系统发布，对USB存储设备无任何特殊要求。本发明采用的透明加密算法以组件对象模型COM方式存在，它是微软开发的一组用于实现软件的二进制重用的规范。而且，COM中只要提供特定名称的加密和解密接口，无需修改系统软件，就可以实现算法的更换。这样，本发明就可以支持各种软件加密策略和硬件加密策略，用户可以使用自己的软件加密策略或硬件加密器，而透明化服务的功能不会受到丝毫限制。因此，本发明具有很好的应用前景，尤其适用于下述环境：单位内部工作中需要使用USB存储设备，且内部数据比较敏感，属于商业秘密或技术机密，需要防止员工非法使用USB存储设备或将USB存储设备设备丢失等情况而造成泄密。

附图说明

图1是本发明基于证书和透明加密技术的USB存储设备数据防泄密系统的结构组成示意图。

图2是本发明证书服务器中的证书管理软件内部模块结构组成示意图。

图3是本发明主机中的客户端软件内部模块结构组成示意图。

图4是本发明USB存储设备数据防泄密系统的使用方法操作流程方框图。

图5是图4中的USB存储设备初始化操作的具体流程方框图。

图6是图4中的USB存储设备正常使用过程的具体步骤流程方框图。

图7是图6中的证书服务器的证书认证过程的具体流程方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

参见图1，介绍本发明基于证书和透明加密技术的USB存储设备数据防泄密系统-用于各个部门或企事业单位的内部局域网络；该系统包括下述部件：

一个用作控制中心的证书服务器1，它是安装了证书管理软件、并采取物理隔离和网络保护措施来保证其安全、可靠运行的网络服务器，用于完成USB存储设备的初始化及USB存储设备使用过程中的安全认证操作；

多个安装了客户端软件的内部网络主机2，用于实现对USB存储设备的使用控制和对USB存储设备的读写操作进行透明加解密处理，该主机2禁止使用普通USB存储设备、只能使用经安全初始化处理后的USB存储设备；

多个安全USB存储设备3，它是由普通USB存储设备经过证书服务器的初始化处理后的设备，在系统中被称为“安全USB存储设备”，以区分未经过初始化处理的普通USB存储设备。

参见图2，介绍证书服务器1中的证书管理软件的下述六个功能模块：

证书数据库11，用于保存已经发布的证书信息，并与各种功能模块交互，完成相应的证书发布、认证和维护功能；

管理平台模块12，用于提供包括用户初始化USB存储设备的操作启动、证书库信息的查看、增加、删减、或修改的各种人机交互的用户操作接口；

证书发布模块13，用于在USB存储设备初始化时，接受管理平台模块的指令，为USB存储设备颁发证书；

证书维护模块14，用于在USB存储设备使用过程中，接受管理平台模块的指令，对证书库中的各种证书数据进行查看、增加、删减、或修改的操作；

证书认证模块15，用于完成对客户端使用的USB存储设备证书的认证；

与客户端通信模块16，用于与主机的客户端软件之间进行通信，完成USB存储设备的安全证书和传递证书私钥功能；

参见图3，介绍本发明各主机中的客户端软件的下述五个功能模块：

自动检测客户端主机上的USB存储设备的插拔情况的USB存储设备插拔监控模块21，一旦检测到有USB存储设备插入时，该模块21自动调用USB存储设备使用控制模块22。

USB存储设备使用控制模块22则采用证书认证方式来控制USB存储设备是否被允许在客户端主机上使用，即禁止未经安全初始化的USB存储设备用于客户端主机。

用于与证书管理服务器进行通信的与证书服务器通信模块23用于协助USB存储设备使用控制模块22共同完成USB存储设备上的证书认证操作。

透明加解密模块24，作为系统内核层的驱动程序，调用加解密算法实现模块25来对客户端主机上使用的安全USB存储设备的读写操作进行透明加解密处理，并具有文件名/文件夹名的透明加解密处理功能；

采用组件对象模型COM技术开发的加解密算法实现模块24，用于完成USB存储设备的读写数据的透明加解密处理；其软件形式为动态链接库DLL或EXE文件，对外提供密钥设置、数据加密、数据解密三个功能接口，且该模块可由客户实现动态替换，即符合该模块设计要求的COM组件动态库可直接替换使用，以改变加解密算法。

本发明中的服务器和客户端要求的系统运行环境是操作系统Windows2000、XP、2003、或Vista，以及支持上述操作系统的硬件。而系统中的硬件设备(服务器、主机和USB存储设备)都为日常应用中的普通硬件装置，无任何特殊要求。

参见图4，详细说明本发明USB存储设备数据防泄密系统的使用方法的各个操作步骤：

(1)在网络服务器和每个主机中分别安装证书管理软件和客户端软件，尤其是要保证服务器的安全，除了将其安置在一个专门的保密室内，还要在网络上设置一些安全措施。当内部网络上的所有主机都安装了客户端软件后，只有经过安全初始化的USB存储设备才可以在客户端主机上使用。

(2)在证书服务器对USB存储设备(优盘)执行安全初始化处理：所谓安全初始化就是由证书服务器为每个USB存储设备生成新的唯一的证书，并将该加密的证书信息写入USB存储设备中的未使用的隐藏扇区，以便在使用时先对每个USB存储设备进行认证，决定该USB存储设备是否允许在主机上使用；其中写入隐藏扇区的证书信息用于对插入主机中准备使用的USB存储设备进行认证和透明加解密时分发密钥。该步骤的具体操作内容如下(参见图5)：

(21)将USB存储设备插入到证书服务器；

(22)管理员通过证书服务器中证书管理软件的管理平台模块提供的操作接口，选择初始化操作；

(23)证书管理软件的证书发布模块生成新的证书，并把该新的加密的证书信息写入到USB未使用的隐藏扇区；

(24)将已发布的证书信息和该证书私钥存储在证书数据库中。

(3)将已初始化的安全USB存储设备发放给内部用户使用：在保密室内的证书服务器上安全初始化后的安全USB存储设备可以发放给内部用户使用。因加密的证书信息隐藏于设备上，用户难以复制和识别，普通删除或高级格式化操作也不会破坏证书信息，能保证安全USB存储设备不被仿冒或轻易损坏；而且安全USB存储设备上存储的文件名/文件夹名都实现了透明加密处理，确保数据安全。

(4)安全USB存储设备的正常使用：客户端软件和证书服务器先分别主动对插入客户端的每个USB存储设备进行认证，再对通过认证的USB存储设备的读写数据作透明加解密处理；用户使用方法则如同使用普通USB存储设备一样。该步骤是本发明使用方法中最重要的操作流程，其具体操作内容如下(参见图6)：

(40)用户将安全USB存储设备插入内部网络的客户端主机上；

(41)客户端软件中的USB存储设备插拔监控模块实时检测到USB设备插入消息，通知USB存储设备使用控制模块；

(42)USB存储设备使用控制模块读取隐藏扇区上加密的证书信息，并调用与证书服务器通信模块，由该通信模块将加密的证书信息发送给证书服务器，请求验证；

(43)证书服务器中的证书管理软件对该USB存储设备的加密证书信息进行安全验证，并将验证结果发送给客户端；该步骤具体操作内容如下(参见图7)：

(431)证书服务器中证书管理软件的与客户端通信模块接收到证书验证请求和密文证书；

(432)与客户端通信模块将该证书验证请求和密文证书传送给证书认证模块；

(433)证书认证模块对密文证书进行解密处理，并与证书数据库中的对应数据作比较，以验证该证书是否合法；

(434)证书认证模块将合法/非法的验证结果通过与客户端通信模块返回给客户端；且如果证书合法，需将该证书的私钥同时返回给客户端。

(44)客户端软件中的与证书服务器通信模块接收到证书服务器发来的验证结果后，将验证结果转交USB存储设备使用控制模块进行读取和判断；如果验证通过，则继续执行后续操作；否则，USB存储设备使用控制模块自动卸载USB存储设备，禁止其使用，并跳转步骤(49)，结束全部操作；

(45)USB使用控制模块将证书服务器返回的与该证书对应的私钥设置到透明加解密模块，以便将私钥用作对应USB存储设备的透明加解密处理的密钥；

(46)透明加解密模块截获磁盘的读写操作，并使用当前密钥调用加解密算法实现模块对每个读写操作的数据进行透明加解密处理；同时对文件名/文件夹名的存储和显示做透明加解密；

(47)当用户拔出USB存储设备后，USB插拔监控模块实时检测到设备拔出消息，即通知USB使用控制模块；

(48)USB使用控制模块通知透明加解密模块将刚才使用的加解密密钥作销毁处理；

(49)结束。

下面从三个方面说明本发明系统的防泄密原理：(一)员工将自己的外部USB存储设备带入到公司或部门内部使用时，由于本发明系统中主机的安全客户端软件和证书服务器的证书管理软件都要求在使用前先要对USB存储设备进行安全认证，所以未经过安全初始化的外部USB存储设备根本无法在该内部网络中使用，因此这种情况不会造成内部数据泄密。(二)员工将工作中使用的安全USB存储设备带出到家中或外面公共场所使用时，由于客户端软件对内部使用的安全USB存储设备的读写数据进行了透明加解密处理，写入到USB存储设备的数据都是密文，用户将该安全USB存储设备带出使用时，无法读取内部写入的数据信息，而且文件名也是加密的密文，根本不会造成数据泄密。(三)内部使用的安全USB存储设备丢失时，这种情况和第二种情况相似，得到安全USB存储设备的外人无法读取上面的数据，不会造成数据泄密。

本发明基于数字证书认证和透明加密技术的USB存储设备数据防泄密系统及其使用方法已经在申请人的实验室进行了实施试验，试验是成功的，实现了发明目的。

Claims (10)

1、一种基于证书和透明加密技术的USB存储设备数据防泄密系统，是用于各个部门或企事业单位的内部局域网络；其特征在于：该系统包括下述部件：

一个用作控制中心的证书服务器，它是安装了证书管理软件、并采取物理隔离和网络保护措施来保证其安全、可靠运行的网络服务器，用于完成USB存储设备的初始化及USB存储设备使用过程中的安全认证操作；

多个客户端，它是安装了客户端软件的内部网络主机，用于实现对USB存储设备的使用控制和对USB存储设备的读写操作进行透明加解密处理，以便禁止使用普通USB存储设备，只能使用经过安全初始化处理后的USB存储设备；

多个安全USB存储设备，它是由普通USB存储设备经过证书服务器的初始化处理后的设备，以防止USB存储设备的非法使用或丢失造成的数据泄密。

2、根据权利要求1所述的USB存储设备数据防泄密系统，其特征在于：所述客户端和服务器要求的系统运行环境是操作系统Windows 2000、XP、2003、或Vista，以及支持上述操作系统的硬件。

3、根据权利要求1所述的USB存储设备数据防泄密系统，其特征在于：所述证书服务器中的证书管理软件包括下述六个功能模块：

证书数据库，用于保存已经发布的证书信息，并与各种功能模块交互，完成相应的证书发布、认证和维护功能；

管理平台模块，用于提供包括用户初始化USB存储设备的操作启动、证书库信息的查看、增加、删减、或修改的各种人机交互的用户操作接口；

证书发布模块，用于在USB存储设备初始化时，接受管理平台模块的指令，为USB存储设备颁发证书；

证书维护模块，用于在USB存储设备使用过程中，接受管理平台模块的指令，对证书库中的各种证书数据进行查看、增加、删减、或修改的操作；

与客户端通信模块，用于与主机的客户端软件之间进行通信，完成USB存储设备的安全证书和传递证书私钥功能；

证书认证模块，用于完成对客户端使用的USB存储设备证书的认证。

4、根据权利要求1所述的USB存储设备数据防泄密系统，其特征在于：所述客户端中的客户端软件包括下述五个功能模块：

USB存储设备插拔监控模块，用于自动检测客户端主机上的USB存储设备的插拔情况，一旦检测到有USB存储设备插入时，自动调用USB存储设备使用控制模块；

USB存储设备使用控制模块，采用证书认证方式，控制USB存储设备是否被允许在客户端主机上使用，即禁止未经安全初始化的USB存储设备用于客户端主机；

与证书服务器通信模块，用于与证书管理服务器进行通信，协助USB存储设备使用控制模块共同完成USB存储设备上的证书认证操作；

透明加解密模块，作为系统内核层的驱动程序，调用加解密算法实现模块来对客户端主机上使用的安全USB存储设备的读写操作进行透明加解密处理，并具有文件名/文件夹名的透明加解密处理功能；

加解密算法实现模块，采用组件对象模型COM技术开发的该模块，其软件形式为动态链接库DLL或EXE文件，用于完成USB存储设备的读写数据的透明加解密处理；对外提供密钥设置、数据加密、数据解密三个功能接口，该模块可由客户实现动态替换，即符合该模块设计要求的COM组件动态库可直接替换使用，以改变加解密算法。

5、一种基于证书和透明加密技术的USB存储设备数据防泄密系统的使用方法，其特征在于，包括下列操作步骤：

(1)在网络服务器和每个主机中分别安装证书管理软件和客户端软件；

(2)在证书服务器对USB存储设备执行安全初始化处理：由证书服务器为每个USB存储设备生成新的唯一的证书，并将该加密的证书信息写入USB存储设备中的未使用的隐藏扇区，以便在使用时先对每个USB存储设备进行认证，决定该USB存储设备是否允许在主机上使用；

(3)将已初始化的安全USB存储设备发放给内部用户使用：因加密的证书信息隐藏于设备上，用户难以复制和识别，普通删除或高级格式化操作不会破坏证书信息，能保证安全USB存储设备不被仿冒或轻易损坏；而且安全USB存储设备上存储的文件名/文件夹名都实现了透明加密处理，确保数据安全；

(4)安全USB存储设备的正常使用：客户端软件和证书服务器先分别主动对插入客户端的每个USB存储设备进行认证，再对通过认证的USB存储设备的读写数据作透明加解密处理；用户使用方法如同普通USB存储设备一样。

6、根据权利要求5所述的USB存储设备数据防泄密系统的使用方法，其特征在于，所述步骤(2)进一步包括下述操作内容：

(21)将USB存储设备插入到证书服务器；

(22)管理员通过证书服务器中证书管理软件的管理平台模块提供的操作接口，选择初始化操作；

(23)证书管理软件的证书发布模块生成新的证书，并把该新的加密的证书信息写入到USB未使用的隐藏扇区；

(24)将已发布的证书信息和该证书私钥存储在证书数据库中。

7、根据权利要求5所述的USB存储设备数据防泄密系统的使用方法，其特征在于，所述步骤(4)进一步包括下述操作内容：

(40)安全USB存储设备被插入客户端主机上；

(41)客户端软件中的USB存储设备插拔监控模块实时检测到设备插入消息，通知USB存储设备使用控制模块；

(42)USB存储设备使用控制模块读取隐藏扇区上加密的证书信息，并调用与证书服务器通信模块，由该通信模块将加密的证书信息发送给证书服务器，请求验证；

(43)证书服务器中的证书管理软件对该加密的证书信息进行安全验证，并将验证结果发送给客户端；

(44)客户端软件中的与证书服务器通信模块接收到证书服务器验证结果后，将验证结果转交USB存储设备使用控制模块进行读取和判断；如果验证通过，则继续执行后续操作；否则，USB存储设备使用控制模块自动卸载USB存储设备，禁止其使用，并跳转步骤(49)，结束全部操作；

(45)USB使用控制模块将证书服务器返回的与该证书对应的私钥设置到透明加解密模块，以便将私钥用作对应USB存储设备的透明加解密处理的密钥；

(46)透明加解密模块截获磁盘的读写操作，并使用当前密钥调用加解密算法实现模块对每个读写操作的数据进行透明加解密处理；同时对文件名/文件夹名的存储和显示做透明加解密；

(47)USB存储设备被用户拔出后，USB插拔监控模块实时检测到设备拔出消息，即通知USB使用控制模块；

(48)USB使用控制模块通知透明加解密模块将刚才使用的加解密密钥作销毁处理；

(49)结束。

8、根据权利要求5或7所述的USB存储设备数据防泄密系统的使用方法，其特征在于：所述证书采用非对称密码体制，即每个数字证书都对应有证书公钥和私钥；而透明加解密算法采用对称密码体制，即只有一个密钥；且透明加解密算法采用加密证书的私钥作为其密钥。

9、根据权利要求7所述的USB存储设备数据防泄密系统的使用方法，其特征在于，所述步骤(43)进一步包括下述操作内容：

(431)证书服务器中证书管理软件的与客户端通信模块接收到证书验证请求和密文证书；

(432)与客户端通信模块将该证书验证请求和密文证书传送给证书认证模块；

(433)证书认证模块对密文证书进行解密处理，并与证书数据库中的对应数据作比较，以验证该证书是否合法；

(434)证书认证模块将合法/非法的验证结果通过与客户端通信模块返回给客户端；且如果证书合法，需将该证书的私钥同时返回给客户端。

10、根据权利要求5所述的USB存储设备数据防泄密系统的使用方法，其特征在于：所述将加密的证书信息写入USB存储设备未使用的隐藏扇区中的方法是：在格式化磁盘时，每种文件系统都留有一定数量的扇区未被使用，这些未被使用的扇区根据文件系统的不同而在磁盘上的位置有所不同；再通过试验选取一些安全的扇区用于保存证书信息，并在实际写扇区前，先进行安全检测，确保该扇区未被使用；

所述对文件名/文件夹名的存储和显示做透明加解密的方法是：在系统内部网络主机上，用户打开USB存储设备逻辑卷时，显示的文件名是用户定义的正常文件名；但磁盘上实际存储的时加密的文件名；但是在未安装客户端软件的主机上，打开安全USB存储设备时看到的文件名都是密文。

Images