CN104657671A - 移动存储设备的接入权限管理方法和系统 - Google Patents

Abstract

本发明公开一种移动存储设备的接入权限管理方法，包括如下步骤：将所述移动存储设备的唯一性信息经过加密后的密文存储在所述移动存储设备中；由第一权限用户对第二权限用户的移动存储设备进行授权操作，生成权限信息；当所述第二权限用户使用该移动存储设备接入工业设备时，读取并解密所述移动存储设备的唯一性信息，判断解密所得的唯一性信息是否与移动存储设备符合；若解密所得的唯一性信息与移动存储设备符合，则根据对应的权限信息赋予该移动存储设备相应的操作权限。此外，还公开一种实现该权限管理方法的系统。上述方法和系统能够实现包括可以利用工业设备的接口的多级权限管理。

Description

移动存储设备的接入权限管理方法和系统

技术领域

本发明涉及信息安全领域，特别是涉及一种移动存储设备的接入权限管理方法和一种移动存储设备的接入权限管理系统。

背景技术

工业控制系统产品已在电力、工业、能源、交通、水利等重要行业深入应用，其硬件平台一般都设计了多个USB接口，但是在这些工业敏感领域，开放的USB接口会产生数据安全上的隐患，比如非授权使用者私自使用USB接口的可移动存储设备将重要而敏感的数据拷贝窃走。

针对这种情况，在工业控制领域，工业设备的USB接口往往会被物理隔离或者物理破坏，造成工业设备所有的USB接口都无法在物理上进行正常使用，以此来保证重要数据的安全性。

但是，随着各个行业的不断发展，工业设备的安全性标准在不断提高，其安全等级出现了多级化和细化的趋势，也就是说某些特定的授权者是允许访问那些重要而敏感的数据，而非授权者是不能访问这些安全性数据的。这么一来，工业设备需要解决这样一个问题，对于相同的工业设备，某些特定的授权者允许通过USB接口的可移动存储设备来存储那些重要而敏感的数据，而非授权者是无法使用工业设备的USB接口的，即使USB接口的可移动存储设备正确连接到设备的USB接口上。很显然，传统的从物理上隔离或破坏USB接口的做法已不能满足现在对安全性考虑的要求，因为这种方式对所有使用者而言都是一样的，不管是特定的授权者还是非授权者，所有用户都不能使用工业设备的USB接口，无法满足对工业设备USB接口差异化安全使用的需求。

发明内容

基于此，有必要提供一种移动存储设备的接入权限管理方法，其能够对接入目标主机的移动存储设备设置多种权限，从而满足对目标主机的接口差异化安全使用的需求。

此外，还提供一种移动存储设备的接入权限管理系统。

一种移动存储设备的接入权限管理方法，用于对接入目标主机的移动存储设备授权和权限检测，包括如下步骤：

将所述移动存储设备的唯一性信息经过加密后的密文存储在所述移动存储设备中；

由第一权限用户对第二权限用户的移动存储设备进行授权操作，所述授权操作生成权限信息；第二权限用户数据、唯一性信息和权限信息对应存储在所述目标主机内；所述第一权限高于第二权限；

当所述第二权限用户使用该移动存储设备接入目标主机时，读取并解密所述移动存储设备的唯一性信息，判断解密所得的唯一性信息是否与移动存储设备符合；

若解密所得的唯一性信息与移动存储设备符合，则根据对应的权限信息赋予该移动存储设备相应的操作权限。

在其中一个实施例中，所述第一权限用户为具有对第二权限用户的移动存储设备进行授权操作的系统管理员。

在其中一个实施例中，所述移动存储设备在进行授权操作前进行格式化和分区操作，所述分区包括隐藏分区和其他分区。

在其中一个实施例中，所述唯一性信息的密文存储在所述移动存储设备的隐藏分区中。

在其中一个实施例中，在读取所述唯一性信息的密文之前，检测所述移动存储设备是否包含隐藏分区，若是，则从所述隐藏分区中读取所述唯一性信息的密文，否则拒绝接入。

在其中一个实施例中，还包括判断所述隐藏分区中是否有两条以上的唯一性信息的密文，若是，则拒绝接入，否则从所述隐藏分区中读取所述唯一性信息的密文。

在其中一个实施例中，所述唯一性信息为移动存储设备的厂商号、设备号和出厂标识的组合。

在其中一个实施例中，在读取所述移动存储设备的唯一性信息之前，还判断登入到目标主机的当前用户是否为第二权限用户，若登入到目标主机的当前用户为第二权限用户，则继续读取所述移动存储设备的唯一性信息，否则结束权限检测过程，拒绝所述移动存储设备接入目标主机。

在其中一个实施例中，所述移动存储设备通过USB接口与目标主机连接。

一种移动存储设备的接入权限管理系统，包括：

授权模块，对移动存储设备进行授权操作，所述授权操作生成权限信息；然后将所述移动存储设备的唯一性信息经过加密并存储在所述移动存储设备中；

权限识别模块，当该移动存储设备接入目标主机时，读取并解密所述移动存储设备的唯一性信息；根据第二权限用户数据、唯一性信息和权限信息确定所述移动存储设备在目标主机上的接入权限。

上述接入权限管理方法和系统，从目标主机用户的角度进行权限划分，可以控制用户访问目标主机上的数据的权限，而从移动存储设备的角度进行权限划分，则可以控制移动存储设备能否使用目标主机的接口接入目标主机以及具备相应的操作权限。这样，结合用户权限划分和移动存储设备权限划分，就能够形成多级权限控制。

附图说明

图1为目标主机与移动存储设备的连接关系示意图；

图2为一实施例的权限管理方法中对移动存储设备授权的流程图；

图3为一实施例的权限管理方法中对移动存储设备进行权限识别的流程图；

图4为一实施例的权限管理系统模块图。

具体实施方式

如图1所示，为目标主机与移动存储设备的连接关系示意图。本实施例以目标主机为工业设备为例进行说明。工业设备10上设有接口102，移动存储设备20通过接口102与工业设备10电气相接。接口102示例为USB接口。移动存储设备20示例为U盘，或者大容量USB接口的移动硬盘，其内部包括存储介质和相应的处理电路。

在工业设备10保留设备上的接口的前提下，为了让授权用户利用移动存储设备20访问工业设备10上相应权限的数据和让非授权用户不能访问工业设备10，提供一种移动存储设备的接入权限管理方法。该方法包括对移动存储设备20授权以使移动存储设备20获得相应的权限的过程和对移动存储设备20进行权限识别以确认其操作权限的过程。

参考图2，对移动存储设备20授权的过程如下。

步骤S101：工业设备扫描其上的接口，获取其接口上电气连接的移动存储设备信息。当第一权限用户（通常是系统管理员）将待授权的移动存储设备接入工业设备的相应协议的接口上实现电气连接后，第一权限用户启动工业设备上的授权程序来完成上述的授权工作。该授权程序首先扫描工业设备上的预定义的接口，例如所有的USB接口，以获知哪些接口上连接了移动存储设备，为下一步操作提供目标对象。通常地，移动存储设备与工业设备在连接时，会由工业设备的操作系统获取移动存储设备的相关信息并配备相应的资源。由于本实施例中，移动存储设备在被授权之前并不具备权限，需要借助工业设备的操作系统提供移动存储设备信息。

步骤S102：根据所述移动存储设备信息获取存储容量。移动存储设备信息包括设备厂商号、设备号以及出厂标识等，还包括其存储容量信息。获取移动存储设备信息可以为后续的分区操作提供信息。

步骤S103：询问并等待第一权限用户的授权指令。若接收到第一权限用户的授权指令，则执行步骤S104，否则结束授权过程，所述移动存储设备不被授权。在授权程序检测到移动存储设备并获取移动存储设备信息后，可以直接开始移动存储设备的授权工作，也可以询问第一权限用户是否进行授权并在得到确认后开始，还可以仅告知第一权限用户设备就绪，由第一权限用户选择启动授权工作从而发出授权指令或者选择退出结束授权过程。这三种处理方式都会产生授权指令，以启动执行授权操作。本步骤的过程是一个兼顾便捷性和程序合理性的过程。

步骤S104：在所述移动存储设备设置隐藏分区并将隐藏分区和其他分区进行格式化。格式化类型为NTFS、FAT或FAT32。隐藏分区是移动存储设备上对第二权限用户不可见的一部分存储区域，因此存储在其上的文件一般不容易被第二权限用户删除或改动，可以保证文件的安全性。所述格式化可以清除分区内的所有数据，空出存储空间和排除不相干的文件干扰（例如病毒文件）。

步骤S105：将所述移动存储设备的唯一性信息加密后的密文存储在所述移动存储设备的隐藏分区中。所述唯一性信息是可以唯一确定该移动存储设备的信息，可以用来标识和区分设备。本实施例中所述唯一性信息为设备的厂商号、设备号和出厂标识的组合。由于密文也是文件，其可以被转存。只有该密文包含的信息能够唯一确定移动存储设备，才能建立移动存储设备与工业设备的对应关系，否则当密文被大量复制后用于其他移动存储设备，会对工业设备带来不确定的影响，从而降低安全性。唯一性信息具备唯一性后，当密文被复制到其它存储设备后，该存储设备的厂商号、设备号和出厂标识的组合与原先产生密文的存储设备的厂商号、设备号和出厂标识的组合不同。所以当密文复制到其它存储设备后，该存储设备不可用。密文存储在隐藏分区中可以防止被第二权限用户误操作删除，保证文件的安全性。

上述加密可以采用RSA算法，DES算法以及MD5算法中的一种。在其他实施例中，还可以采用其他可行的加密算法。

步骤S106：对移动存储设备进行授权操作。所述授权操作生成权限信息，所述第二权限用户数据、唯一性信息和权限信息对应存储在所述工业设备内。该授权操作实际上是告知工业设备该移动存储设备可以信任。例如可以在工业设备内维护一个信任列表，进行授权操作即是在信任列表中添加该移动存储设备的相关信息。该权限信息还可以包括其他内容，例如该移动存储设备是否具备从工业设备拷贝数据的权限、是否具备将数据从该移动存储设备拷贝到工业设备的权限等。

上述提及的第二权限用户通常是被限制部分权限的工业设备的操作者账号。从工业设备用户的角度进行权限划分，可以控制用户访问工业设备上的数据的权限，而从移动存储设备的角度进行权限划分，则可以控制移动存储设备能否使用工业设备的接口接入工业设备以及具备怎样的操作权限。这样，结合用户权限划分和移动存储设备权限划分，就能够形成多级权限控制。

例如用户A能够访问工业设备的全部数据，用户B只能够访问工业设备的部分数据。对用户A的移动存储设备进行不同的授权，则可以形成：1）用户A通过移动存储设备可以从工业设备拷贝全部数据；2）用户A不能通过移动存储设备从工业设备拷贝任何数据。对用户B的移动存储设备进行不同的授权，则可以形成：1）用户B通过移动存储设备可以从工业设备拷贝能够访问工业设备的部分数据；2）用户B不能通过移动存储设备从工业设备拷贝任何数据。

那么总体上就可以形成三种权限：1）用户可以从工业设备拷贝全部数据；2）用户可以从工业设备拷贝部分数据；3）用户不能从工业设备拷贝任何数据。从而达到了灵活的权限管理。既不妨碍用户的数据访问权限，又不需要对工业设备的接口进行物理隔离，非常方便。

参考图3，对移动存储设备20进行权限识别以确认其操作权限的过程如下。

步骤S201：工业设备扫描其上的接口，获取其接口上电气连接的移动存储设备信息。当第二权限用户将待使用的移动存储设备接入工业设备的相应协议的接口上实现电气连接后，工业设备上的权限识别程序依据当前用户获取存储在工业设备内第二权限用户数据和权限信息来完成权限确认工作，如果当前用户与工业设备内的第二权限用户数据不一致，则该程序退出。若一致，该权限识别程序首先扫描工业设备上的预定义的接口，例如所有的USB接口，以获知哪些接口上连接了移动存储设备，为下一步操作提供目标对象。通常地，移动存储设备与工业设备在连接时，会由工业设备的操作系统获取移动存储设备的相关信息并配备相应的资源，所以可以借助工业设备的操作系统提供移动存储设备信息。

步骤S202：判断所述移动存储设备是否含有隐藏分区，若是，则执行步骤S203，否则拒绝接入并结束当前移动存储设备的权限识别过程，启动下一移动存储设备的权限识别过程。若移动存储设备将唯一性信息的密文存储在隐藏分区，则在检测时执行本步骤，如果移动存储设备没有包含隐藏分区，那么就表明该移动存储设备并未被授权，因此也没有必要继续执行下面的操作，可直接拒绝该移动存储设备接入工业设备。

步骤S203：判断所述移动存储设备的隐藏分区中是否包含两条以上的唯一性信息的密文，若是，则拒绝接入并结束当前移动存储设备的权限识别过程，启动下一移动存储设备的权限识别过程；否则执行步骤S204。唯一性信息用于唯一标识一台移动存储设备，若移动存储设备包含两条以上的唯一性信息的密文，则其很可能是非法拷贝了其他移动存储设备的唯一性信息的密文想达到非法获取权限的目的，因此也可直接拒绝该移动存储设备接入工业设备。

步骤S204：从所述隐藏分区中读取并解密所述移动存储设备的唯一性信息的密文。从隐藏分区读取唯一性信息的密文后，采用相应密码算法的解密算法获得所述移动存储设备的唯一性信息。例如RSA的check函数，DES的check函数，MD5的MD5check函数。

步骤S205：将所述存储在工业设备内的唯一信息与解密所得的唯一性信息进行校验判断是否与移动存储设备符合，若是，则执行步骤S206，否则拒绝接入并结束当前移动存储设备的权限识别过程，启动下一移动存储设备的权限识别过程。

步骤S206：根据第二权限用户对应的权限信息赋予该移动存储设备相应的操作权限。

上述方法通过对移动存储设备的授权过程将移动存储设备的唯一性信息登记在工业设备中，实现对移动存储设备的信任，同时通过将移动存储设备与第二权限用户绑定，实现第二权限用户的设备权限。只有当第二权限用户登录到工业设备的系统中并使用该移动存储设备接入工业设备时，同时，该第二权限用户与存储在工业设备内的第二权限用户数据一致时，就能获取存储在工业设备内的该第二权限用户对应的权限信息，才能使用授权过程中赋予的权限。当其他未授权用户登录到工业设备的系统中使用该移动存储设备接入工业设备时，该未授权用户与存储在工业设备内的授权用户数据不一致，就不能获取存储在工业设备内的授权用户对应的权限信息，其不能通过工业设备的接口与工业设备交换数据。第二权限用户使用没有被授权的移动存储设备接入工业设备时，不能通过工业设备的接口与工业设备交换数据。

上述方法可以由基于工业设备及其操作系统的管理系统实现。如图4所示，该管理系统10包括授权模块100和权限识别模块200。

授权模块100对移动存储设备进行授权操作，所述授权操作生成权限信息。然后将所述移动存储设备的唯一性信息经过加密并存储在所述移动存储设备中。

权限识别模块200在该移动存储设备接入工业设备时，读取并解密所述移动存储设备的唯一性信息；根据所述第二权限用户数据、唯一性信息和权限信息确定所述移动存储设备在工业设备上的接入权限。以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种移动存储设备的接入权限管理方法，用于对接入目标主机的移动存储设备授权和权限检测，包括如下步骤：

将所述移动存储设备的唯一性信息经过加密后的密文存储在所述移动存储设备中；

由第一权限用户对第二权限用户的移动存储设备进行授权操作，所述授权操作生成权限信息；第二权限用户数据、唯一性信息和权限信息对应存储在所述目标主机内；所述第一权限高于第二权限；

当所述第二权限用户使用该移动存储设备接入目标主机时，读取并解密所述移动存储设备的唯一性信息，判断解密所得的唯一性信息是否与移动存储设备符合；

若解密所得的唯一性信息与移动存储设备符合，则根据对应的权限信息赋予该移动存储设备相应的操作权限。

2.根据权利要求1所述的移动存储设备的接入权限管理方法，其特征在于，所述第一权限用户为具有对第二权限用户的移动存储设备进行授权操作的系统管理员。

3.根据权利要求1所述的移动存储设备的接入权限管理方法，其特征在于，所述移动存储设备在进行授权操作前进行格式化和分区操作，所述分区包括隐藏分区和其他分区。

4.根据权利要求3所述的移动存储设备的接入权限管理方法，其特征在于，所述唯一性信息的密文存储在所述移动存储设备的隐藏分区中。

5.根据权利要求4所述的移动存储设备的接入权限管理方法，其特征在于，在读取所述唯一性信息的密文之前，检测所述移动存储设备是否包含隐藏分区，若是，则从所述隐藏分区中读取所述唯一性信息的密文，否则拒绝接入。

6.根据权利要求5所述的移动存储设备的接入权限管理方法，其特征在于，还包括判断所述隐藏分区中是否有两条以上的唯一性信息的密文，若是，则拒绝接入，否则从所述隐藏分区中读取所述唯一性信息的密文。

7.根据权利要求1所述的移动存储设备的接入权限管理方法，其特征在于，所述唯一性信息为移动存储设备的厂商号、设备号和出厂标识的组合。

8.根据权利要求1所述的移动存储设备的接入权限管理方法，其特征在于，所述移动存储设备通过USB接口与目标主机连接。

9.根据权利要求1所述的移动存储设备的接入权限管理方法，其特征在于，在读取所述移动存储设备的唯一性信息之前，还判断登入到目标主机的当前用户是否为第二权限用户，若登入到目标主机的当前用户为第二权限用户，则继续读取所述移动存储设备的唯一性信息，否则结束权限检测过程，拒绝所述移动存储设备接入目标主机。

10.一种移动存储设备的接入权限管理系统，其特征在于，包括：

授权模块，对移动存储设备进行授权操作，所述授权操作生成权限信息；然后将所述移动存储设备的唯一性信息经过加密并存储在所述移动存储设备中；

权限识别模块，当该移动存储设备接入目标主机时，读取并解密所述移动存储设备的唯一性信息；根据第二权限用户数据、唯一性信息和权限信息确定所述移动存储设备在目标主机上的接入权限。