CN102760104A

CN102760104A - 一种usb设备控制方法

Info

Publication number: CN102760104A
Application number: CN2012102098058A
Authority: CN
Inventors: 付强; 邓鸿; 许勇
Original assignee: Chengdu Westone Information Industry Inc
Current assignee: Chengdu Westone Information Industry Inc
Priority date: 2012-06-25
Filing date: 2012-06-25
Publication date: 2012-10-31
Anticipated expiration: 2032-06-25
Also published as: CN102760104B

Abstract

本发明涉及USB设备技术领域，本发明公开了一种USB设备控制方法，其具体包含以下步骤：首先通过USB下层过滤驱动拦截接入的所有USB设备，并获取接入的所有USB设备的设备描述符，根据设备描述符查询策略规则信息库，根据策略规则信息库中的策略信息识别出被禁止接入的USB设备和被允许接入的USB设备，最后根据识别结果对USB设备进行控制。客户可以根据自己的需要随时调整，使得USB设备有选择地被使用，方便了用户的使用，另外一方面将危险性高的USB设备进行禁用，保证了内部数据及系统的安全。

Description

一种USB设备控制方法

技术领域

本发明涉及USB设备技术领域，尤其涉及一种USB设备控制方法。

背景技术

随着计算机硬件的飞速发展，外围设备日益增多，键盘、鼠标、调制解调器、打印机、扫描仪早已为人所共知，数码相机、MP3随身听接踵而至，其一般都采用越来越通用的USB接口与PC机进行连接。USB接口即插即用(PnP)概念的使用使硬件的安装过程得到了简化，这使用户感觉到了使用USB设备的方便。在给用户带来便利的同时，也给各类单位（尤其是涉密单位）带来了安全隐患。USB接口是内部网络信息泄密的一个重要途径，同时也是内部网络的病毒源，因此很多保密单位都采用物理上禁用USB端口。但由于USB设备种类繁多且使用广泛，仅仅简单而粗暴地禁用USB接口会使无威胁的外围设备如USB鼠标、键盘、USBKey等设备无法使用，这会给用户带来很多不便。

发明内容

针对上述的USB接口泄密，而如果简单采用物理禁用USB接口又不方便的技术问题，本发明公开了一种USB设备控制方法。

本发明的目的通过下述技术方案来实现：

一种USB设备控制方法，其具体包含以下步骤：首先通过USB下层过滤驱动拦截接入的所有USB设备，并获取接入的所有USB设备的设备描述符，根据设备描述符查询策略规则信息库，根据策略规则信息库中的策略信息识别出被禁止接入的USB设备和被允许接入的USB设备，最后根据识别结果对USB设备进行控制。

优选地，上述通过USB下层过滤驱动拦截具体包括以下步骤：I/O请求包先被送到USB设备堆栈的最上层驱动程序，然后过滤到下层的驱动程序，下层过滤驱动过滤该USB设备的所有I/O请求包。

优选地，上述USB设备堆栈为层次结构，其具体包括物理设备对象、功能设备对象、上层过滤器、下层过滤器，其从上到下依序为上层过滤器、功能设备对象、下层过滤器、物理设备对象。

优选地，上述获取接入的所有USB设备的设备描述符具体为：从USB设备的默认控制端点读取设备描述符，根据设备描述符中的类、子类及所使用的协议识别出USB设备。

优选地，上述从USB设备的默认控制端点读取设备描述符具体为：首先读取默认控制端点上的数据包容量的最大值，然后分块读出整个描述符。

本发明的有益效果：本发明首先采用USB下层过滤驱动拦截接入的所有USB设备，并获取接入的所有USB设备的设备描述符信息，根据设备描述符信息查询策略规则信息库，根据策略规则信息库中的策略信息识别出哪些USB设备被禁止接入，哪些USB设备被允许接入，比如允许接入USB接口的键盘，禁止接入USB接口的存储设备（如U盘、USB光驱等）。上述哪些USB设备被禁止接入，哪些USB设备被允许接入都保存在策略规则信息库中，客户可以根据自己的需要随时调整，使得USB设备有选择地被使用，如USB鼠标、键盘、USBKey等可以使用，带存储功能的USB设备如U盘、磁盘等不能使用，可以根据需要随时调整策略规则信息库，调整哪些USB设备可以使用，方便了用户的使用，另外一方面将危险性高的USB设备进行禁用，保证了内部数据及系统的安全。

附图说明

图1为本发明的USB设备控制方法的流程图。

图2为USB设备的设备堆栈。

具体实施方式

本发明公开了一种USB设备控制方法，如图1所示的本发明的USB设备控制方法的流程图，其具体包含以下步骤：首先通过USB下层过滤驱动拦截接入的所有USB设备，并获取接入的所有USB设备的设备描述符，根据设备描述符查询策略规则信息库，根据策略规则信息库中的策略信息识别出被禁止接入的USB设备和被允许接入的USB设备，最后根据识别结果对USB设备进行控制。本发明首先采用USB下层过滤驱动拦截接入的所有USB设备，并获取接入的所有USB设备的设备描述符信息，根据设备描述符信息查询策略规则信息库，根据策略规则信息库中的策略信息识别出哪些USB设备被禁止接入，哪些USB设备被允许接入，比如允许接入USB接口的键盘，禁止接入USB接口的存储设备（如U盘、USB光驱等）。上述哪些USB设备被禁止接入，哪些USB设备被允许接入都保存在策略规则信息库中，客户可以根据自己的需要随时调整，使得USB设备有选择地被使用，如USB鼠标、键盘、USBKey等可以使用，带存储功能的USB设备如U盘、磁盘等不能使用，可以根据需要随时调整策略规则信息库，调整哪些USB设备可以使用，方便了用户的使用，另外一方面将危险性高的USB设备进行禁用，保证了内部数据及系统的安全。

优选地，所述通过USB下层过滤驱动拦截具体包括以下步骤：I/O请求包（I/0 Request Package,简称IPR）先被送到USB设备堆栈的最上层驱动程序，然后过滤到下层的驱动程序，下层过滤驱动过滤该USB设备的所有I/O请求包。通过下层过滤驱动过滤掉该USB设备的所有I/O请求包。

优选地，所述USB设备堆栈为层次结构，其具体包括物理设备对象、功能设备对象、上层过滤器、下层过滤器，其从上到下依序为上层过滤器、功能设备对象、下层过滤器、物理设备对象。如图2所示的USB设备的设备堆栈，处于处于堆栈最底层的设备对象称为物理设备对象，或简称PDO，与其对应的驱动程序称为总线驱动程序。在设备对象堆栈的中间为功能设备对象，或简称FDO，其对应的驱动程序称为功能驱动程序。在FDO的上面和下面还会有一些过滤器设备对象。位于FDO的上面的过滤器设备对象称为上层过滤器，其对应的驱动程序称为上层过滤器驱动程序；位于FDO下面的过滤器设备对象称为下层过滤器，其对应的驱动程序称为下层过滤器驱动程序。有USB的操作都会使用IRP来完成，通常IRP先被送到设备堆栈的最上层驱动程序，然后逐渐过滤到下面的驱动程序，每一层驱动程序都可以决定如何处理IRP，它可以直接处理完成该IRP，也可以将该IRP传递给下层驱动，让下层驱动处理。

优选地，所述获取接入的所有USB设备的设备描述符具体为：从USB设备的默认控制端点读取设备描述符，根据设备描述符中的类、子类及所使用的协议识别出USB设备。USB设备硬件中的数据结构称为描述符，可以被主机软件识别。每个描述符开始于一个两字节的头，头中指出该描述符的字节长度(包括头)和描述符类型。事实上，如果我们不讨论特殊的串描述符，描述符的长度对于相同的描述符类型是固定的，即所有给定类型的描述符长度相同。每个设备都有一个唯一的设备描述符，它向主机软件标识该设备。主机使用GET_DESCRIPTOR控制事务直接从设备的0号端点读取该描述符。

该描述符在DDK中的定义如下：

typedef struct _USB_DEVICE_DESCRIPTOR {

UCHAR bLength;

UCHAR bDescriptorType;

USHORT bcdUSB;

UCHAR bDeviceClass;

UCHAR bDeviceSubClass;

UCHAR bDeviceProtocol;

UCHAR bMaxPacketSize0;

USHORT idVendor;

USHORT idProduct;

USHORT bcdDevice;

UCHAR iManufacturer;

UCHAR iProduct;

UCHAR iSerialNumber;

UCHAR bNumConfigurations;

} USB_DEVICE_DESCRIPTOR, *PUSB_DEVICE_DESCRIPTOR。

设备描述符的bLength域应等于18，bDescriptorType域应等于1，以指出该结构是一个设备描述符。bcdUSB域包含该描述符遵循的USB规范的版本号(以BCD编码)。现在，设备可以使用值0x0100或0x0110来指出它所遵循的是1.0版本还是1.1版本的USB规范。bDeviceClass、bDeviceSubClass、bDeviceProtocol指出设备类型。USB委员会的独立设备类工作组为每个设备类定义子类和协议代码。例如，音频类有控制、流，和MIDI流接口的子类代码。大容量存储类为使用各种端点的数据传输方法定义了协议代码。你可以为整个设备或仅在接口级指定一个类，但事实上，设备类、子类、和协议代码通常出现在接口描述符中而不是出现在设备描述符中。USB还为特殊类型的设备指定了一个特殊的设备类代码255，厂商可以使用这个代码指出其设备是一个非标准设备，并且在子类和协议域中填入厂商设定的值。例如，使用Anchor Chips芯片集的设备，其设备描述符中的类、子类，和协议代码全为255。USB设备类具体如下表所示。

类代码	描述
		0	指出类代码存在于接口描述符中
1	操作模拟或数字音频、语音、和其它与声音相关的数字设备
		2	电讯设备，如调制解调器、电话、应答机，等等
3	人类接口设备，如键盘、鼠标、麦克风，等等
		4	显示器
5	含有实时物理反馈的人类接口设备，如力反馈游戏杆
		6	执行电源管理的人类接口设备，如电池、充电器，等等
7	打印机
		8	大容量存储设备，如磁盘和CD-ROM
9	USB hubs
		10	通信类数据设备
11	智能卡设备
		13	内容安全设备
14	USB视频设备
		15	个人医疗设备
220	诊断设备
		224	无线控制器设备
255	厂商定义的设备类

。

优选地，从USB设备的默认控制端点读取设备描述符具体为：首先读取默认控制端点上的数据包容量的最大值，然后分块读出整个描述符。设备描述符的bMaxPacketSize0域给出了默认控制端点(端点0)上的数据包容量的最大值，每个设备都必须提供0号控制端点，由于USB规范并没有为该端点规定一个单独的端点描述符，所以这个域是唯一描述这个端点的地方。因为这个域在设备描述符的偏移7处，所以即使该端点使用最小的传输容量(8字节)主机也能读到这个域。一旦主机知道了端点0的最大传输容量，它就可以分块读出整个描述符。idVendor（PID）和idProduct(VID)域指定厂商代码和厂商专用的产品标识。bcdDevice指出设备的发行版本号(0x0100对应版本1.0)。当主机软件检测设备时，这三个域决定了主机应该装入哪个驱动程序。

这里已经通过具体的实施例子对本发明进行了详细描述，提供上述实施例的描述为了使本领域的技术人员制造或适用本发明，这些实施例的各种修改对于本领域的技术人员来说是容易理解的。本发明并不限于这些例子，或其中的某些方面。本发明的范围通过附加的权利要求进行详细说明。

上述说明示出并描述了本发明的一个优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims

1.一种USB设备控制方法，其具体包含以下步骤：首先通过USB下层过滤驱动拦截接入的所有USB设备，并获取接入的所有USB设备的设备描述符，根据设备描述符查询策略规则信息库，根据策略规则信息库中的策略信息识别出被禁止接入的USB设备和被允许接入的USB设备，最后根据识别结果对USB设备进行控制。

2.如权利要求1所述的USB设备控制方法，其特征在于所述通过USB下层过滤驱动拦截具体包括以下步骤：I/O请求包先被送到USB设备堆栈的最上层驱动程序，然后过滤到下层的驱动程序，下层过滤驱动过滤该USB设备的所有I/O请求包。

3.如权利要求2所述的USB设备控制方法，其特征在于所述USB设备堆栈为层次结构，其具体包括物理设备对象、功能设备对象、上层过滤器、下层过滤器，其从上到下依序为上层过滤器、功能设备对象、下层过滤器、物理设备对象。

4.如权利要求3所述的USB设备控制方法，其特征在于所述获取接入的所有USB设备的设备描述符具体为：从USB设备的默认控制端点读取设备描述符，根据设备描述符中的类、子类及所使用的协议识别出USB设备。

5.如权利要求4所述的USB设备控制方法，其特征在于所述从USB设备的默认控制端点读取设备描述符具体为：首先读取默认控制端点上的数据包容量的最大值，然后分块读出整个描述符。