CN101521662B

CN101521662B - 涉密u盘远程监管系统及方法

Info

Publication number: CN101521662B
Application number: CN200810147784A
Authority: CN
Inventors: 高杨; 李俊艳; 刘婷婷
Original assignee: Institute of Electronic Engineering of CAEP
Current assignee: Institute of Electronic Engineering of CAEP
Priority date: 2008-12-05
Filing date: 2008-12-05
Publication date: 2012-08-29
Anticipated expiration: 2028-12-05
Also published as: CN101521662A

Abstract

本发明提供了一种涉密U盘远程监管系统及方法。本发明根据USB和MSC协议构建了U盘的唯一性标识，采用集线器收发装置扩展USB接口插槽，用嵌入式存放装置获取和识别每一个USB插槽上的U盘的唯一性标识；通过网络实现远距离传输，以及网络传输数据的封装，使U盘唯一性标识和使用者信息绑定。通过远程监控中心使U盘的借出和归还始终处于有效的监控之下，并能根据报警规则进行报警或发出通知。本发明的涉密U盘远程监管系统的体积小，安装方便，可靠性好，保密性强，可通过网络实现单位涉密U盘的统一管理。

Description

涉密U盘远程监管系统及方法

技术领域

本发明属于移动存储介质控制领域，具体涉及一种涉密U盘远程监管系统及方法。

背景技术

USB接口的移动存储介质，如U盘、移动硬盘，因为其体积小、容量大等优点，得到广泛应用。但是移动存储介质在给人们带来方便的同时，也给涉密单位引入了极大的安全隐患。移动存储介质上存储着大量涉及国家秘密和商业秘密的数据，对于这些移动存储介质的使用状况和进出携带情况目前没有一种很好的监控方式，对于它的监控大多数采用人工监督的方式。由于移动存储介质管理不善或是使用者安全意识浅薄，常常会发生以下危及信息安全的事情：

a．将涉密移动介质随意带进、带出保密区或者保密室，造成信息泄漏；

b．在保密区将涉密介质随意乱放，带出保密室，造成非授权信息查阅；

c．移动存储介质转借，移入另一保密信息存储室，造成秘密信息被非授权人员查阅；

d．移动存储介质误带，造成秘密外泄；

e．涉密与非涉密信息混用，造成秘密信息与普通信息混淆；

f．涉密介质被盗或遗失造成信息泄漏。

上面提到的各种情况，仅从保密员的人为监督和管理上下功夫是远远不够的，情况一旦发生，便难以追查，责任难以明确，更无法及时阻止涉密信息泄漏事件的发生。

因此各级政府，社会各阶层，企事业单位纷纷投入大量人力和财力保护信息的安全，研制和发展了各种各样用于保护移动介质信息安全的解决方案，如上海前沿的“移动设备管理系统”；江苏技方优盾“USB移动存储介质保密管理系统”；Chinasec（安元）“移动存储介质管理系统”等，都从移动介质的使用注册，信息加密，审计日志等方面着手，加强对移动存储介质的管理。然而，这些移动介质管理系统都存在局限性，即只在安装了本管理系统软件的系统内有效，不能解决移动存储介质交叉传递和越权外携的问题。管理系统成本高，不方便移动存储介质的统一管理，不能做到责任到人，实时通知移动存储介质的使用者。

发明内容

本发明所要解决的技术问题在于提供一种涉密U盘远程监管系统，本发明同时提供一种涉密U盘远程监管方法。采用本发明能够加强涉密U盘的安全管理，避免U盘交叉使用、丢失及泄密后无法责任到人的情况发生。

为解决上述技术问题，本发明涉密U盘远程监管系统采用的技术方案是：使用CY7C67300( EZ-HOST )MCU芯片及其外围电路组成一个嵌入式U盘存放装置安装在保密柜内，U盘存放装置设置有能容纳多支U盘的插槽，当涉密U盘插入和拔出插槽时，U盘存放装置通过USB总线枚举的方式识别涉密U盘的借出、归还状态和涉密U盘的唯一身份ID信息。身份ID是根据USB2.0协议构建的U盘唯一性标识信息。使用者通过该ID进行身份验证，解决U盘的使用和存放无法责任到人的问题。通过Ethernet把状态信息和身份ID传输到远程的监控中心，监控中心记录U盘状态和ID信息，并通过与预存在数据库中的信息进行比较，发现未按时归还或者私自携带外出的情况，及时通知使用者或者发出警告。

本发明的涉密U盘远程监管系统的嵌入式存放装置通过网络传输与远程的监控中心连接。嵌入式存放装置包括USB集线器收发装置、基于MCU芯片的USB主机控制器和网络控制器；监控中心包括网络接收模块，数据库查询与比较模块、报警模块和数据库模块。嵌入式存放装置的USB集线器收发装置与USB插槽相连，基于MCU芯片的USB主机控制器与USB集线器收发装置相连并通过USB总线枚举识别插在集线器上的U盘唯一性标识。网络控制器与基于MCU芯片的USB主机控制器相连，将U盘唯一性标识和U盘状态信息重新打包和绑定传给远程的监控中心。数据库查询与比较模块一端与网络接收模块相连，另一端与数据库模块相连，通过网络接收到的数据与数据库预存的数据进行比较，根据保密管理规定发出报警信号。

本发明的涉密U盘远程监管方法，依次包括如下步骤：

a．通过USB集线器收发装置扩展USB接口插槽数量；

b．根据USB2.0协议和MSC(Mass Storage Class，大容量存储类）协议构建U盘唯一性标识：厂商标识VID +产品标识PID+序列号SN；

c．采用MCU芯片及其外围电路组成嵌入式存放装置的硬件电路；

d．嵌入式存放装置中的软件包括嵌入式USB主机的控制、总线枚举以及请求命令封装三个部分。嵌入式USB主机通过总线枚举和重新封装后的请求命令识别U盘唯一性标识和U盘的存在状态信息；

e．网络控制器建立在企业内网Intranet安全性的基础上，采用单片机实现嵌入式存放装置网络的接入，并传输U盘唯一性标识和U盘的存在状态信息到远程的监控中心。

f．监控中心记录网络传输过来的信息，与预存在数据库中的信息比较，确定当前U盘所处状态，发现有违规操作的情况及时通知使用者或发出警告信号。

g．监控中心通过VC编程设计人性化的操作界面以显示U盘当前状态和报警信息，方便查询管理。

采用了本发明，可以使U盘的借出和归还时时刻刻处在有效的监管之下。在需要安装此监管系统的涉密单位内安装嵌入式存放装置，利用涉密单位内部的Ethernet网络和远程的监控中心相连。其中嵌入式存放装置包括一个能容纳多支U盘的USB接口插槽，当U盘插入或拔出时，嵌入式存放装置自动识别每一个U盘唯一性标识，而不需要人员去操作，而且由于每个U盘唯一性标识具有唯一性，不可更改，与使用者信息进行绑定，使U盘的使用责任到人，通过远程的监控中心记录显示U盘状态信息并实时发出通知和警告信息，做到事前防御，事后有据可查，提高了涉密U盘的监管力度。

本发明的涉密U盘远程监管系统的体积小、安装方便，涉密单位可以以部门为单位安装，通过网络集线器同时传输到远端的监控中心，实现U盘的统一管理。本发明的涉密U盘远程监管方法中的U盘唯一性标识的构建是根据协议采用各种ID的组合，该唯一性标识不可更改，可靠性高。唯一性标识的识别方法是根据协议进行函数命令封装实现，保密性好。本发明通过涉密单位内网实现涉密U盘的网络化的管理，由于涉密单位的内网都是物理隔离的，监管系统的安全性高。本发明也可用于其它USB接口的移动存储介质的管理，如数码相机，移动硬盘等。

附图说明

图1为本发明的总体结构示意框图；

图2为本发明中的基于MCU芯片的USB主机控制器的硬件结构框图；

图3为本发明中的基于MCU芯片的USB主机控制器的总线枚举流程图；

图4为本发明中的网络控制器的工作状态图；

图5为本发明中的监控中心的控制软件的功能框图。

具体实施方式

下面结合附图对本发明作进一步的详细描述。

图1为本发明的总体结构示意框图，从图中可以看出，USB集线器收发装置1、基于MCU芯片的USB主机控制器2和网络控制器3组合形成USB嵌入式存放装置4。嵌入式存放装置4通过网络传输与远程的监控中心9相连，其中监控中心9包括网络接收模块5，数据库查询与比较模块6、报警模块7和数据库模块8组成。

USB集线器收发装置1与USB插槽相连，基于MCU芯片的USB主机控制器2与USB集线器收发装置1相连，通过USB总线枚举识别插在集线器上的U盘唯一性标识。网络控制器3与基于MCU芯片的USB主机控制器2相连，将U盘唯一性标识和U盘状态信息重新打包和绑定传给远程的监控中心9。数据库查询与比较模块6一端与网络接收模块5相连，另一端与数据库模块8相连，通过网络接收到的数据与数据库预存的数据进行比较，根据保密管理规定发出报警信号。

本发明的涉密U盘远程监管方法，依次包括如下步骤：

a．通过多口HUB集线器收发装置扩展USB接口插槽；

b．根据USB2.0协议和MSC(Mass Storage Class，大容量存储类）协议构建U盘唯一性标识为VID(厂商标识)+PID(产品标识)+SN(序列号)；

c．采用CYPRESS公司的MCU芯片CY7C67300及其外围电路设计嵌入式存放装置的硬件电路；

d．装置的软件设计包括嵌入式USB主机的实现，总线枚举以及请求命令封装三部分。嵌入式主机通过总线枚举和重新封装后的请求命令识别U盘唯一性标识和U盘的插入、拔出状态信息；

e．网络控制器建立在企业内网（Intranet）安全性的基础上，采用微芯公司的PIC18F97J60实现嵌入式存放装置网络的接入，并传输U盘唯一性标识和状态信息到远程的监控中心。

g．监控中心通过VC设计人性化的操作界面以显示U盘当前状态和报警信息，方便查询管理。

其中多口HUB可采用4口或7口HUB以及类似产品。

本发明的系统内部功能模块的工作原理及其实现如下。

由USB2.0和MSC协议可知，USB系统中规定设备地址的位数为7 bit，所以其地址范围为0-127，USB系统软件为每一个设备只分配一个地址，所以一个主机最多只能扩展127个设备。另外，协议还规定，当U盘序列号索引值不为0，其必定含有一个唯一的序列号与之对应。该序列号由数字和字符组成，至少包括12个字符，系统构建了U盘的全球唯一身份ID为PID（Product Identifier，产品ID）+VID（Vendor Identifier，产商ID）+SN（Serial Number，序列号）。

基于MCU芯片的USB主机控制器2实现USB主机功能，通过总线枚举方式和请求命令的重新封装识别U盘唯一性标识并将ID信息存储在外部存储器中，方便后面的网络传输。图2为基于MCU芯片的USB主机控制器实现的硬件结构图，该主机控制器包括MCU主控芯片CY7C67300，芯片实现USB主机功能，主机可以从USB接口获取U盘唯一性标识，通过串口与超级终端连接，以进行软件开发与调试。外部存储器主要是用来扩展存储数据和代码空间，EEPROM模块主要完成程序下载，电源模块给每一个模块进行供电。电源采用UPS（Uninterruptible Power System，电源连续系统）电源，遇到意外断电可以做到设备不间断供电。图3为总线枚举流程图：总线枚举是指对总线上接入的USB设备进行识别和寻址操作。当USB主机发现有设备连接时，立刻通过默认的地址0发送读取设备描述符的命令，然后利用控制传输的标准命令为其动态配置设备地址，再通过该地址继续读取有关设备、配置、接口，以及字符串描述符，并建立有关信息的资料区。这些信息主要包括VID,PID和端点信息等。从枚举过程中提取VID、PID。但是SN的获得协议中没有标准的请求命令，需要自己进行封装，其封装表格如表1所示：

表1 获取SN的命令封装

其中设备描述符，语言ID和字符串描述符请求命令的bmRequestType字段为1000000，其D7=1说明数据传输的方向是设备至主机，D6..5=00代表是标准请求，D4..0=00000代表请求命令的接收端为设备。bRequest字段的内容都为Get_Descriptor，因为设备描述符中含有语言ID和字符串描述符的索引，所以字符串描述符和语言ID的获取都是通过获取设备描述符实现的。Get_Descriptor命令的wValue字段为0100，01代表描述符类型为设备描述符，00为描述符索引。wIndex字段为0，wLength为设备描述符结构体的长度。Get_LanguageID命令的wValue为0300，03代表描述符类型为字符串描述符，00为描述符索引。wIndex为0，wLength为字符串描述符长度。这个命令是获取U盘的语言ID，使语言ID作为获取字符串描述符命令的wIndex字段值，Get_Str_Descriptor命令的wValue为0303，descriptor_type为03代表该描述符为字符串描述符，descriptor_index为03说明获取U盘序列号的索引值为03。获取的字符串描述符的长度wLength为字符串描述符长度。

系统根据请求命令封装，分别实现Get_Descriptor（），Get_LanguageID（），Get_Str_Descriptor（）函数，利用这些函数的返回值得到U盘的SN序列号信息。

网络控制器3实现网络数据的重新封装与传输，在嵌入式领域中，大多数设备的通信接口符合RS232标准，但是这种传输方式距离短，不能满足系统远程监管的要求，解决此问题有两种方案，一种是对原有系统进行局部或全部的重新设计，从根本上解决系统接入Ethernet问题。但是其开发周期长，成本高。另一种是采用RS232到Ethernet的协议转换器，实现Ethernet的接入。不论从复杂度还是成本上考虑，这种方法明显优于第一种。系统采用RS232到Ethernet的协议转换器，实现Ethernet的接入。该转换器工作在三种模式下：UDP模式、TCP客户端模式和TCP服务器端模式。其传输的状态图如图4所示：根据初始化状态判定是TCP服务器模式还是UDP和TCP客户端模式，如果是TCP服务器模式则建立TCP连接并处于监听状态，进行数据的接收和发送。如果是TCP客户端模式或UDP模式，则进行地址解析，根据地址解析的结果判断是UDP模式还是TCP客户端模式，分别建立连接与数据的接收和发送。网络传输时封装后的网络数据结构如表2所示，该数据结构包括U盘唯一性标识信息VID、PID和SN，以及U盘密级和U盘的状态信息。给每一个U盘都赋予这样一个数据结构，使U盘唯一性标识与密级绑定起来，使U盘的使用责任到人，并根据密级进行管理，避免了U盘交叉使用和私自携带外出的情况发生。

表2

监控中心9是直接与监管人员接触的部分，其主要完成的功能如下：

a．接收、记录和显示U盘信息；

b．设定报警规则；

c．在报警规则指定事件发生时，进行报警并记录；

d．使用数据库存储U盘的信息并记录发生的事件。

监控中心9的控制软件要完成的功能如图5所示：接收、存储通过网络传输过来的U盘阵列的身份ID，通过与预存在数据库中的U盘阵列信息比较，发现违规现象可以通过蜂鸣报警，也可以通过GSM模块实现保密管理规则触发的短信报警功能。通过VC编程设计一个人性化的可操作界面实现监控中心显示U盘的归还时间、借出时间，显示U盘的序列号、密级、使用者联系方式以及目前的归还、借出状态等。

Claims

1.一种涉密U盘远程监管系统，其特征在于：所述的监管系统的嵌入式存放装置通过网络传输与远程的监控中心连接；嵌入式存放装置包括USB集线器收发装置、基于MCU芯片的USB主机控制器和网络控制器；监控中心包括网络接收模块，数据库查询与比较模块、报警模块和数据库模块；嵌入式存放装置的USB集线器收发装置与USB插槽相连，基于MCU芯片的USB主机控制器与USB集线器收发装置相连并通过USB总线枚举识别插在集线器上的U盘的U盘唯一性标识；网络控制器与基于MCU芯片的USB主机控制器相连，将U盘唯一性标识和U盘状态信息重新打包和绑定传给远程的监控中心；数据库查询与比较模块一端与网络接收模块相连，另一端与数据库模块相连，通过网络接收到的数据与数据库预存的数据进行比较确定是否发出报警信号。

2.根据权利要求1所述的涉密U盘远程监管系统，其特征在于：所述的基于MCU芯片的USB主机控制器包括从USB接口获取U盘唯一性标识以进行软件开发与调试的MCU芯片、用来扩展存储数据和代码空间的外部存储器、用于程序下载控制的EEPROM模块、电源模块；MCU芯片分别与外部存储器、EEPROM模块、电源模块连接，MCU芯片还通过串口与超级终端连接。

3.根据权利要求1所述的监管系统，其特征在于：所述的嵌入式存放装置采用基于MCU芯片的USB主机控制器，对USB总线设备进行枚举获取唯一性标识；嵌入式存放装置中的USB集线器收发装置进行USB接口插槽扩展的数量小于127。

4.根据权利要求1所述的监管系统，其特征在于：所述网络控制器采用TCP服务器、TCP客户端、UDP三种工作模式中的一种，网络控制器中的网络传输数据封装采用U盘唯一性标识+使用者信息+U盘密级。

5.根据权利要求1～3任一所述的监管系统，其特征在于：所述的MCU芯片采用带有USB协议并且可以重复读写的芯片。

6.用于权利要求1所述的涉密U盘监管系统的监管方法，依次包括如下步骤：

通过USB集线器收发装置扩展USB接口插槽数量；

根据USB2.0协议和MSC协议构建U盘唯一性标识：厂商标识VID +产品标识PID+序列号SN；

采用MCU芯片及其外围电路组成嵌入式存放装置的硬件电路；

嵌入式存放装置中的软件包括基于MCU芯片的USB主机控制器的控制、总线枚举以及请求命令封装三个部分；基于MCU芯片的USB主机控制器通过总线枚举和重新封装后的请求命令识别U盘唯一性标识和U盘的存在状态信息；

网络控制器建立在企业内网Intranet安全性的基础上，采用单片机实现嵌入式存放装置的网络接入，并传输U盘唯一性标识和U盘的存在状态信息到远程的监控中心；

监控中心记录网络传输过来的信息，与预存在数据库中的信息比较，确定当前U盘所处状态，发现有违规操作的情况及时通知使用者或发出警告信号；

监控中心通过VC编程设计人性化的操作界面以显示U盘当前状态和报警信息，方便查询管理。

7.根据权利要求6所述的监管方法，其特征在于：所述的嵌入式存放装置采用基于MCU芯片的USB主机控制器，对USB总线设备进行枚举获取唯一性标识；嵌入式存放装置中的USB集线器收发装置进行USB接口插槽扩展的数量小于127。

8.根据权利要求6所述的监管方法，其特征在于：所述网络控制器采用TCP服务器、TCP客户端、UDP三种工作模式中的一种，网络控制器中的网络传输数据封装采用U盘唯一性标识+使用者信息+U盘密级。

9.根据权利要求6所述的监管方法，其特征在于：所述的监控中心中的

1) 网络接收模块与嵌入式存放装置连接，时刻观察嵌入式存放装置端是否有新的数据传输，负责建立连接、接收数据并进行命令的反馈；

2) 数据库查询与比较模块与数据库模块、报警模块和网络接收模块连接，查询网络接收到的数据，与数据库中预存的数据比较，根据报警规则发出警告或通知；报警模块可以是蜂鸣报警也可以是通过GSM方式进行短信或电话提醒；

3) 数据库模块采用微软开发、系统自带的ACCESS数据库，方便监控界面配置，缩短实现周期。

10.根据权利要求6或7所述的监管方法，其特征在于：所述的MCU芯片采用带有USB协议并且可以重复读写的芯片。