專利名稱：Io設(shè)備可信管控方法及其系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及設(shè)備可信控制技術(shù)領(lǐng)域，特別是涉及IO設(shè)備可信管控方法及其系統(tǒng)。
背景技術(shù)：
usb是一個外部總線標(biāo)準(zhǔn)，用于規(guī)范電腦與外部設(shè)備的連接和通訊，是應(yīng)用在PC領(lǐng)域的接口技術(shù)。USb接口支持設(shè)備的即插即用和熱插拔功能。隨著計算機軟硬件的高速發(fā)展，USb接口上述優(yōu)點使得USb總線類的移動USb設(shè)備應(yīng)用得越來越廣泛。如今，出現(xiàn)在市面上的幾乎所有的移動設(shè)備都是usb插口，比如我們隨身攜帶的u盤，移動光驅(qū)，打印機等等，所以對USb設(shè)備的信任問題是越來越嚴(yán)重，尤其是我們的U盤，每個人都可以隨意地在任意的IO設(shè)備上進行插拔操作，這對我們的移動U盤和IO設(shè)備來說，都是很危險的。在一般的技術(shù)中，解決的大多都是usb設(shè)備的安全問題，檢查usb設(shè)備是否存在未知的病毒和木馬，文件是否被感染的問題，人們從來不去關(guān)心該設(shè)備是否是自己信任的設(shè)備，這樣在無法從根本上確保IO設(shè)備和USB設(shè)備的安全。

發(fā)明內(nèi)容
基于此，有必要針對一般的設(shè)備安全管理方法無法確定設(shè)備是否是自己信任的設(shè)備，而無法從根本上確保設(shè)備安全的問題，提供一種IO設(shè)備可信管控方法及其系統(tǒng)，確保設(shè)備的安全管理與數(shù)據(jù)的安全傳輸。一種IO設(shè)備可信管控方法，包括步驟:檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備；判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作；根據(jù)所述IO設(shè)備的當(dāng)前操作系統(tǒng)環(huán)境，將識別的所述USB設(shè)備加密；解密已加密的所述USB設(shè)備獲得可信U盤。在其中一個實施例中，所述檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備具體為:檢測所述IO端口，當(dāng)所述IO端口中驅(qū)動器的驅(qū)動程序加載完成時，開啟所述IO端口，允許接入所述USB設(shè)備。在其中一個實施例中，所述判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作包括步驟:判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則在線注冊所述USB設(shè)備，且禁止所述USB設(shè)備操作；判斷在線注冊所述USB設(shè)備是否注冊成功，若在線注冊成功則啟動所述USB設(shè)備，并將所述USB設(shè)備的注冊信息寫入所述IO設(shè)備的白名單中，若在線注冊失敗則禁止所述USB設(shè)備操作。在其中一個實施例中，所述在線注冊所述USB設(shè)備之前還有步驟:
檢測所述USB設(shè)備是否接受在線注冊，當(dāng)所述USB設(shè)備不接受在線注冊時，禁止所述USB設(shè)備啟動并退出操作。在其中一個實施例中，所述判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作具體包括步驟:監(jiān)控所述IO設(shè)備內(nèi)核進程響應(yīng)；當(dāng)監(jiān)控到有所述USB設(shè)備插入的事件發(fā)生時，響應(yīng)事件，并將事件信息發(fā)送到用戶空間進行處理；獲取所述事件信息，禁止所述USB設(shè)備操作；根據(jù)所述事件信息，檢查所述IO設(shè)備的白名單中是否有所述USB設(shè)備的注冊信息，若有則啟動所述USB設(shè)備，若無則禁止所述USB設(shè)備操作。6、根據(jù)權(quán)利要求1或2所述的IO設(shè)備可信管控方法，其特征在于，所述解密已加密的所述USB設(shè)備得到可信U盤具體包括步驟:判斷所述IO設(shè)備是否具有TCM芯片，若具有則判斷所述TCM芯片能否正常啟動，若所述IO設(shè)備具有所述TCM芯片且所述TCM芯片能夠正常啟動則繼續(xù)如下操作，否則不解密且退出操作；檢查所述IO設(shè)備的內(nèi)核中的算法，如果所述IO設(shè)備的內(nèi)核中存有加密所述USB設(shè)備的算法，則繼續(xù)進行如下操作，否則不解密且退出操作；檢查當(dāng)前操作系統(tǒng)，如果當(dāng)前操作系統(tǒng)是加密所述USB設(shè)備的操作系統(tǒng)，則繼續(xù)進行如下操作，否則不解密且退出操作；獲取所述TCM芯片中的密鑰，判斷所述密鑰是否正確，若正確則解密所述已加密的所述USB設(shè)備，獲得所述可信U盤，若不正確則不解密且退出操作。一種IO設(shè)備可信管控系統(tǒng)，包括:IO端口檢測模塊，用于檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備；USB設(shè)備注冊判斷模塊，用于判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作；加密模塊，用于根據(jù)所述IO設(shè)備的當(dāng)前操作系統(tǒng)環(huán)境，將識別的所述USB設(shè)備加密；解密模塊，用于解密已加密的所述USB設(shè)備獲得可信U盤。在其中一個實施例中，所USB設(shè)備注冊判斷具體包括:注冊判斷單元，用于判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則在線注冊所述USB設(shè)備，且禁止所述USB設(shè)備操作；注冊成功判斷單元，用于判斷在線注冊所述USB設(shè)備是否注冊成功，若在線注冊成功則啟動所述USB設(shè)備，并將所述USB設(shè)備的注冊信息寫入所述IO設(shè)備的白名單中，若在線注冊失敗則禁止所述USB設(shè)備操作。在其中一個實施例中，所述注冊判斷單元包括:在線注冊確認(rèn)單元，用于檢測所述USB設(shè)備是否接受在線注冊，當(dāng)所述USB設(shè)備不接受在線注冊時，禁止所述USB設(shè)備啟動并退出操作。在其中一個實施例中，所述USB設(shè)備注冊判斷模塊具體包括:進程監(jiān)控單元，用于監(jiān)控所述IO設(shè)備內(nèi)核進程響應(yīng)；
響應(yīng)單元，用于當(dāng)監(jiān)控到有所述USB設(shè)備插入的事件發(fā)生時，響應(yīng)事件，并將事件信息發(fā)送到用戶空間進行處理；信息獲取單元，用于獲取所述事件信息，禁止所述USB設(shè)備操作；檢查單元，用于根據(jù)所述事件信息，檢查所述IO設(shè)備的白名單中是否有所述USB設(shè)備的注冊信息，若有則啟動所述USB設(shè)備，若無則禁止所述USB設(shè)備操作。在其中一個實施例中，所述解密模塊具體包括:IO設(shè)備檢測單元，用于判斷所述IO設(shè)備是否具有TCM芯片，若具有則判斷所述TCM芯片能否正常啟動，若所述IO設(shè)備具有所述TCM芯片且所述TCM芯片能夠正常啟動則繼續(xù)如下操作，否則不解密且退出操作；算法檢測單元，用于檢查所述IO設(shè)備的內(nèi)核中的算法，如果所述IO設(shè)備的內(nèi)核中存有加密所述USB設(shè)備的算法，則繼續(xù)進行如下操作，否則不解密且退出操作；操作系統(tǒng)檢測單元，用于檢查當(dāng)前操作系統(tǒng)，如果當(dāng)前操作系統(tǒng)是加密所述USB設(shè)備的操作系統(tǒng)，則繼續(xù)進行如下操作，否則不解密且退出操作；密鑰獲取單元，用于獲取所述TCM芯片中的密鑰，判斷所述密鑰是否正確，若正確則解密所述已加密的所述USB設(shè)備，獲得所述可信U盤，若不正確則不解密且退出操作。本發(fā)明IO設(shè)備可信管控方法，首先判斷IO端口是否開啟，只有當(dāng)IO端口開啟時，IO設(shè)備才允許USB設(shè)備接入，之后IO設(shè)備判斷接入的USB設(shè)備是否為注冊設(shè)備，如果接入的USB設(shè)備已經(jīng)在IO設(shè)備中注冊就啟動并識別該USB設(shè)備，如果接入的USB設(shè)備未在IO設(shè)備中注冊就禁止該USB設(shè)備，USB設(shè)備啟動之后IO設(shè)備會根據(jù)當(dāng)前操作系統(tǒng)環(huán)境將USB設(shè)備加密，通俗來說就是將USB設(shè)備按照IO設(shè)備的內(nèi)核設(shè)定“格式化”，消除可能存儲在USB設(shè)備中的病毒、木馬等，最后IO設(shè)備根據(jù)內(nèi)核加密USB設(shè)備時的數(shù)據(jù)解密獲得可信U盤，可信U盤與IO設(shè)備進行數(shù)據(jù)交互，確保IO設(shè)備和USB設(shè)備的安全管理與數(shù)據(jù)的安全傳輸。


圖1為本發(fā)明IO設(shè)備可信管控方法其中一個實施例的流程示意圖；圖2為本發(fā)明IO設(shè)備可信管控方法其中一個實施例的流程示意圖；圖3為本發(fā)明IO設(shè)備可信管控方法其中一個實施例的流程示意圖；圖4為本發(fā)明IO設(shè)備可信管控方法其中一個實施例中解密已加密的所述USB設(shè)備獲得可信U盤的流程示意圖；圖5為本發(fā)明IO設(shè)備可信管控系統(tǒng)其中一個實施例的結(jié)構(gòu)示意圖；圖6為本發(fā)明IO設(shè)備可信管控系統(tǒng)其中一個實施例的結(jié)構(gòu)示意圖；圖7為本發(fā)明IO設(shè)備可信管控系統(tǒng)其中一個實施例的結(jié)構(gòu)示意圖；圖8為本發(fā)明IO設(shè)備可信管控系統(tǒng)其中一個實施例中解密模塊的結(jié)構(gòu)示意圖。
具體實施例方式如圖1所示，一種IO設(shè)備可信管控方法，包括步驟:SlOO:檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備。對于IO端口的控制，可以解決對IO設(shè)備的保護，管理員有權(quán)對IO設(shè)備上的端口進行開啟與禁止操作，防止任意的移動設(shè)備在IO設(shè)備上進行插拔。當(dāng)IO端口關(guān)閉時IO設(shè)備禁止USB設(shè)備操作，當(dāng)IO端口開啟時，IO設(shè)備才會允許USB設(shè)備繼續(xù)操作。具體來說，當(dāng)IO端口驅(qū)動器驅(qū)動和PCI總線驅(qū)動分離時，IO端口關(guān)閉，當(dāng)IO端口驅(qū)動器驅(qū)動和PCI總線驅(qū)動綁定時，IO端口開啟。S200:判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作。判斷接入的USB設(shè)備是否是在IO設(shè)備上已注冊的設(shè)備，只有在本機上注冊過的設(shè)備才能在本機上被識別，沒有被注冊的設(shè)備將禁止被IO設(shè)備識別到。如果接入的USB設(shè)備為未注冊設(shè)備IO設(shè)備將禁止其操作，如果接入USB設(shè)備為注冊設(shè)備IO設(shè)備將會識別該設(shè)備，并繼續(xù)進行操作。S300:根據(jù)所述IO設(shè)備的當(dāng)前操作系統(tǒng)環(huán)境，將識別的所述USB設(shè)備加密。S400:解密已加密的所述USB設(shè)備獲得可信U盤?？尚舥盤是一種被加密過的u盤硬件，只有支持能被加密的u盤硬件才能通過軟件進行制作可信U盤，不支持被加密的U盤硬件不能通過軟件進行加密。通過向可信U盤里寫入的所有文件，都將自動被加密成密文，在沒有解密前，即使他人通過暴力的手段能獲取到可信U盤里面的文件，由于是通過一些復(fù)雜的算法加密的，所以也很難將文件恢復(fù)成明文。只有通過制定的操作系統(tǒng)，以及可信的計算機，才能解密可信U盤。制作可信U盤的設(shè)計思路是:dm-crypt內(nèi)核模塊利用內(nèi)核的密碼應(yīng)用編程接口實現(xiàn)了透明的加密，由于dm-crypt系統(tǒng)有著無可比擬的優(yōu)越性，它的速度更快，易用性更強，適用面廣等特點，所以選擇它通過內(nèi)核來加密當(dāng)之無愧。解密u盤的設(shè)計思路是:是通過dm-crypt在內(nèi)核中來實現(xiàn)的,它首先檢測該IO設(shè)備是否是有tcm芯片的可彳目計算，只有是可彳目計算機才能解密可"[目u盤,然后檢測是否是制作可信u盤時的操作系統(tǒng)，只有指定了的操作系統(tǒng)才能解密開可信u盤，然后檢測該設(shè)備的加密算法在內(nèi)核中是否存在，算法模塊存在則將解密該可信U盤成功，但是此時的解密并非是解密真正的物理usb設(shè)備,而是Iinux內(nèi)核2.6版本以上所支持的device-mapper這個特性，在實際的物理usb設(shè)備上添加虛擬層提供的一種通用靈活的方法，實現(xiàn)鏡像，加密，解密等處理的，優(yōu)點是解密了的usb設(shè)備。本發(fā)明IO設(shè)備可信管控方法，首先判斷IO端口是否開啟，只有當(dāng)IO端口開啟時，
IO設(shè)備才允許USB設(shè)備接入，之后IO設(shè)備判斷接入的USB設(shè)備是否為注冊設(shè)備，如果接入的USB設(shè)備已經(jīng)在IO設(shè)備中注冊就啟動并識別該USB設(shè)備，如果接入的USB設(shè)備未在IO設(shè)備中注冊就禁止該USB設(shè)備，USB設(shè)備啟動之后IO設(shè)備會根據(jù)當(dāng)前操作系統(tǒng)環(huán)境將USB設(shè)備加密，通俗來說就是將USB設(shè)備按照IO設(shè)備的內(nèi)核設(shè)定“格式化”，消除可能存儲在USB設(shè)備中的病毒、木馬等，最后IO設(shè)備根據(jù)內(nèi)核加密USB設(shè)備時的數(shù)據(jù)解密獲得可信U盤，可信U盤與IO設(shè)備進行數(shù)據(jù)交互，確保IO設(shè)備和USB設(shè)備的安全管理與數(shù)據(jù)的安全傳輸。在其中一個實施例中，所述檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備具體為:檢測所述IO端口，當(dāng)所述IO端口中驅(qū)動器的驅(qū)動程序加載完成時，開啟所述IO端口，允許接入所述USB設(shè)備。在現(xiàn)有的技術(shù)中，通過物理的方法來控制IO端口的關(guān)閉與禁止是可行的，例如在BIOS中進行設(shè)置。在本實施例中通過軟件的方法更方便更快捷達到對IO端口控制的目的，具體來是說就是通過所述IO端口中驅(qū)動器的驅(qū)動程序加載與刪除來分別實現(xiàn)，當(dāng)驅(qū)動器的驅(qū)動程序刪除時來讓IO端口禁止，當(dāng)驅(qū)動器驅(qū)動程序加載時讓IO端口開啟。如圖2所示，所述步驟S200包括步驟:S220:判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則在線注冊所述USB設(shè)備，且禁止所述USB設(shè)備操作。判斷接入的USB設(shè)備是否是在IO設(shè)備上已注冊的設(shè)備，只有在本機上注冊過的設(shè)備才能在本機上被識別，沒有被注冊的設(shè)備將禁止被IO設(shè)備識別到。如果接入的USB設(shè)備為未注冊設(shè)備IO設(shè)備將禁止其操作，如果接入USB設(shè)備為注冊設(shè)備IO設(shè)備將會識別該設(shè)備，并繼續(xù)進行操作。S240:判斷在線注冊所述USB設(shè)備是否注冊成功，若在線注冊成功則啟動所述USB設(shè)備，并將所述USB設(shè)備的注冊信息寫入所述IO設(shè)備的白名單中，若在線注冊失敗則禁止所述USB設(shè)備操作。如果接入的設(shè)備是未注冊的USB設(shè)備，IO設(shè)備在禁止其操作后，還會對其進行在線注冊，提供機會讓接入的USB設(shè)備注冊，如果接入的USB設(shè)備注冊成功IO設(shè)備將會把該USB設(shè)備的注冊信息寫入到IO設(shè)備的白名單中，把該USB設(shè)備當(dāng)成注冊設(shè)備識別，如果在線注冊未成功IO設(shè)備將會禁止接入的USB設(shè)備操作，并退出整個操作。在本實施例中，IO設(shè)備為新接入的USB設(shè)備提供一個在線注冊的機會，方便是IO設(shè)備管理人員需求的USB設(shè)備在線注冊到IO設(shè)備中，有利于本發(fā)明IO設(shè)備可信管控方法的靈活應(yīng)用。在其中一個實施例中，所述在線注冊所述USB設(shè)備之前還有步驟:檢測所述USB設(shè)備是否接受在線注冊，當(dāng)所述USB設(shè)備不接受在線注冊時，禁止所述USB設(shè)備啟動并退出操作。如圖3所示,在其中一個實施例中,所述步驟S200具體包括步驟:S320:監(jiān)控所述IO設(shè)備內(nèi)核進程響應(yīng)，實時對IO設(shè)備內(nèi)核中的相應(yīng)進行監(jiān)控。S340:當(dāng)監(jiān)控到有所述USB設(shè)備插入的事件發(fā)生時，響應(yīng)事件，并將事件信息發(fā)送到用戶空間進行處理。當(dāng)有監(jiān)控到有USB設(shè)備插入時，如遇到鼠標(biāo)，u盤等usb設(shè)備時，將獲取一個響應(yīng)事件，獲取了事件后IO設(shè)備將該事件發(fā)送到用戶空間，交給用戶進行處理識別。S360:獲取事件信息，禁止所述USB設(shè)備操作。IO設(shè)備分析獲取的事件信息，同時由于還未能判斷出接入的USB設(shè)備是否注冊設(shè)備，為了確保安全將會禁止USB設(shè)備操作。S380:根據(jù)所述事件信息，檢查所述IO設(shè)備的白名單中是否有所述USB設(shè)備的注冊信息，若有則啟動所述USB設(shè)備，若無則禁止所述USB設(shè)備操作。IO設(shè)備檢查白名單中是否存有接入的USB設(shè)備的注冊信息，如果存有就啟動接入的USB設(shè)備，如果沒有將會保持對接入的USB設(shè)備的禁止并退出操作。如圖4所示,在其中一個實施例中,所述步驟S400具體包括步驟:S420:判斷所述IO設(shè)備是否具有TCM芯片，若具有則判斷所述TCM芯片能否正常啟動，若所述IO設(shè)備具有所述TCM芯片且所述TCM芯片能夠正常啟動則繼續(xù)如下操作，否則不解密且退出操作。首先檢查該IO設(shè)備環(huán)境是否是有tcm芯片的可信計算機，之后再檢測TCM芯片能否正常和開啟。如果不是則不能解密可信u盤，只有是可信計算機且其中的TCM能正常啟動才能進行下一步的解密操作。S440:檢查所述IO設(shè)備的內(nèi)核中的算法，如果所述IO設(shè)備的內(nèi)核中存有加密所述USB設(shè)備的算法，則繼續(xù)進行如下操作，否則不解密且退出操作。在加密所述USB設(shè)備時所使用的算法將會存在USB設(shè)備中，在解密USB設(shè)備時將會檢查內(nèi)核中是否存在該算法模塊，只有存在且正確才能進行下一步的解密操作。S460:檢查當(dāng)前操作系統(tǒng)，如果當(dāng)前操作系統(tǒng)是加密所述USB設(shè)備的操作系統(tǒng)，則繼續(xù)進行如下操作，否則不解密且退出操作。檢查是否是加密所述USB設(shè)備時的操作系統(tǒng)，只有當(dāng)前的操作系統(tǒng)沒有改變并且是加密所述USB設(shè)備時的操作系統(tǒng)，才能進行下一步的操作。S480:獲取所述TCM芯片中的密鑰，判斷所述密鑰是否正確，若正確則解密所述已加密的所述USB設(shè)備，得到所述可信U盤，若不正確則不解密且退出操作。獲取密鑰，密鑰放在tcm的nv中或者文件中，當(dāng)讀取到的密鑰沒有被篡改，將能正常解密可信u盤。相對于現(xiàn)有的技術(shù)中u盤所用到的加密算法還沒有支持國密算法sms4，本發(fā)明IO設(shè)備可信管控方法可以在內(nèi)核支持國密算法sms4的前提下，選擇調(diào)用國密算法sms4來加密u盤，由于可信計算TCM芯片支持國密算法sms4，后期的擴展還可以進行通過TCM芯片的硬件加密以達到硬件的保護操作。隨著人們對安全的認(rèn)識越來越高，對于在有TCM芯片的可信計算機上，還可以指定TCM芯片中特有的值，比如能唯一確定TCM芯片的nv的值用作密鑰來加密u盤，只有在有TCM的芯片的計算機上才能解密該u盤，以此達到u盤的可f目。如圖5所示，一種IO設(shè)備可信管控系統(tǒng)，包括:IO端口檢測模塊100，用于檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備。對于IO端口的控制，可以解決對IO設(shè)備的保護，管理員有權(quán)對IO設(shè)備上的端口進行開啟與禁止操作，防止任意的移動設(shè)備在IO設(shè)備上進行插拔。當(dāng)IO端口關(guān)閉時IO設(shè)備禁止USB設(shè)備操作，當(dāng)IO端口開啟時，IO設(shè)備才會允許USB設(shè)備繼續(xù)操作。具體來說，當(dāng)IO端口驅(qū)動器驅(qū)動和PCI總線驅(qū)動分離時，IO端口關(guān)閉，當(dāng)IO端口驅(qū)動器驅(qū)動和PCI總線驅(qū)動綁定時，IO端口開啟。USB設(shè)備注冊判斷模塊200，用于判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作。判斷接入的USB設(shè)備是否是在IO設(shè)備上已注冊的設(shè)備，只有在本機上注冊過的設(shè)備才能在本機上被識別，沒有被注冊的設(shè)備將禁止被IO設(shè)備識別到。如果接入的USB設(shè)備為未注冊設(shè)備IO設(shè)備將禁止其操作，如果接入USB設(shè)備為注冊設(shè)備IO設(shè)備將會識別該設(shè)備，并繼續(xù)進行操作。加密模塊300，用于根據(jù)所述IO設(shè)備的當(dāng)前操作系統(tǒng)環(huán)境，將識別的所述USB設(shè)備加密。解密模塊400，用于解密已加密的所述USB設(shè)備獲得可信U盤?？尚舥盤是一種被加密過的u盤硬件，只有支持能被加密的u盤硬件才能通過軟件進行制作可信U盤，不支持被加密的U盤硬件不能通過軟件進行加密。通過向可信U盤里寫入的所有文件，都將自動被加密成密文，在沒有解密前，即使他人通過暴力的手段能獲取到可信U盤里面的文件，由于是通過一些復(fù)雜的算法加密的，所以也很難將文件恢復(fù)成明文。只有通過制定的操作系統(tǒng)，以及可信的計算機，才能解密可信U盤。制作可信U盤的設(shè)計思路是:dm-crypt內(nèi)核模塊利用內(nèi)核的密碼應(yīng)用編程接口實現(xiàn)了透明的加密，由于dm-crypt系統(tǒng)有著無可比擬的優(yōu)越性，它的速度更快，易用性更強，適用面廣等特點，所以選擇它通過內(nèi)核來加密當(dāng)之無愧。解密u盤的設(shè)計思路是:是通過dm-crypt在內(nèi)核中來實現(xiàn)的,它首先檢測該IO設(shè)備是否是有tcm芯片的可彳目計算，只有是可彳目計算機才能解密可"[目u盤,然后檢測是否是制作可信u盤時的操作系統(tǒng)，只有指定了的操作系統(tǒng)才能解密開可信u盤，然后檢測該設(shè)備的加密算法在內(nèi)核中是否存在，算法模塊存在則將解密該可信U盤成功，但是此時的解密并非是解密真正的物理usb設(shè)備,而是Iinux內(nèi)核2.6版本以上所支持的device-mapper這個特性，在實際的物理usb設(shè)備上添加虛擬層提供的一種通用靈活的方法，實現(xiàn)鏡像，力口密，解密等處理的，優(yōu)點是解密了的usb設(shè)備。本發(fā)明IO設(shè)備可信管控系統(tǒng)，IO端口檢測模塊判斷IO端口是否開啟，只有當(dāng)IO端口開啟時，IO設(shè)備才允許USB設(shè)備接入，USB設(shè)備注冊判斷模塊判斷接入的USB設(shè)備是否為注冊設(shè)備，如果接入的USB設(shè)備已經(jīng)在IO設(shè)備中注冊就啟動并識別該USB設(shè)備，如果接入的USB設(shè)備未在IO設(shè)備中注冊就禁止該USB設(shè)備，加密模塊根據(jù)當(dāng)前操作系統(tǒng)環(huán)境將USB設(shè)備加密，通俗來說就是將USB設(shè)備按照IO設(shè)備的內(nèi)核設(shè)定“格式化”，消除可能存儲在USB設(shè)備中的病毒、木馬等，最后解密模塊根據(jù)內(nèi)核加密USB設(shè)備時的數(shù)據(jù)解密獲得可信U盤，可信U盤與IO設(shè)備進行數(shù)據(jù)交互，確保IO設(shè)備和USB設(shè)備的安全管理與數(shù)據(jù)的安全傳輸。如圖6所示，在其中一個實施例中，USB設(shè)備注冊判斷模塊200包括:注冊判斷單元220，用于判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則在線注冊所述USB設(shè)備，且禁止所述USB設(shè)備操作；注冊成功判斷單元240，用于判斷在線注冊所述USB設(shè)備是否注冊成功，若在線注冊成功則啟動所述USB設(shè)備，并將所述USB設(shè)備的注冊信息寫入所述IO設(shè)備的白名單中，若在線注冊失敗則禁止所述USB設(shè)備操作。在其中一個實施例中，所述注冊判斷單元220包括:在線注冊確認(rèn)單元，用于檢測所述USB設(shè)備是否接受在線注冊，當(dāng)所述USB設(shè)備不接受在線注冊時，禁止所述USB設(shè)備啟動并退出操作。如圖7所示，在其中一個實施例中，USB設(shè)備注冊判斷模塊200具體包括:進程監(jiān)控單元720，用于監(jiān)控所述IO設(shè)備內(nèi)核進程響應(yīng)；響應(yīng)單元740，用于當(dāng)監(jiān)控到有所述USB設(shè)備插入的事件發(fā)生時，響應(yīng)事件，并將事件信息發(fā)送到用戶空間進行處理；信息獲取單元760，用于獲取所述事件信息，禁止所述USB設(shè)備操作；檢查單元780，用于根據(jù)所述事件信息，檢查所述IO設(shè)備的白名單中是否有所述USB設(shè)備的注冊信息，若有則啟動所述USB設(shè)備，若無則禁止所述USB設(shè)備操作。如圖8所示，在其中一個實施例中，解密模塊400具體包括:IO設(shè)備檢測單元420，用于判斷所述IO設(shè)備是否具有TCM芯片，若具有則判斷所述TCM芯片能否正常啟動，若所述IO設(shè)備具有所述TCM芯片且所述TCM芯片能夠正常啟動則繼續(xù)如下操作，否則不解密且退出操作；算法檢測單元440，用于檢查所述IO設(shè)備的內(nèi)核中的算法，如果所述IO設(shè)備的內(nèi)核中存有加密所述USB設(shè)備的算法，則繼續(xù)進行如下操作，否則不解密且退出操作；操作系統(tǒng)檢測單元460，用于檢查當(dāng)前操作系統(tǒng)，如果當(dāng)前操作系統(tǒng)是加密所述USB設(shè)備的操作系統(tǒng)，則繼續(xù)進行如下操作，否則不解密且退出操作；密鑰獲取單元480，用于獲取所述TCM芯片中的密鑰，判斷所述密鑰是否正確，若正確則解密所述已加密的所述USB設(shè)備，獲得所述可信U盤，若不正確則不解密且退出操作。以上所述實施例僅表達了本發(fā)明的幾種實施方式，其描述較為具體和詳細(xì)，但并不能因此而理解為對本發(fā)明專利范圍的限制。應(yīng)當(dāng)指出的是，對于本領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明構(gòu)思的前提下，還可以做出若干變形和改進，這些都屬于本發(fā)明的保護范圍。因此，本發(fā)明專利的保護范圍應(yīng)以所附權(quán)利要求為準(zhǔn)。
權(quán)利要求
1.一種IO設(shè)備可信管控方法，其特征在于，包括步驟: 檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備； 判斷接入的USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作； 根據(jù)所述IO設(shè)備的當(dāng)前操作系統(tǒng)環(huán)境，將識別的所述USB設(shè)備加密； 解密已加密的所述USB設(shè)備獲得可信U盤。
2.根據(jù)權(quán)利要求1所述的IO設(shè)備可信管控方法，其特征在于，所述檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備具體為:檢測所述IO端口，當(dāng)所述IO端口中驅(qū)動器的驅(qū)動程序加載完成時，開啟所述IO端口，允許接入所述USB設(shè)備。
3.根據(jù)權(quán)利要求1或2所述的IO設(shè)備可信管控方法，其特征在于，所述判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作包括步驟: 判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則在線注冊所述USB設(shè)備，且禁止所述USB設(shè)備操作； 判斷在線注冊所述USB設(shè)備是否注冊成功，若在線注冊成功則啟動所述USB設(shè)備，并將所述USB設(shè)備的注冊信息寫入所述IO設(shè)備的白名單中，若在線注冊失敗則禁止所述USB設(shè)備操作。
4.根據(jù)權(quán)利要求3所述的IO設(shè)備可信管控方法，其特征在于，所述在線注冊所述USB設(shè)備之前還有步驟: 檢測所述USB設(shè)備是否接受在線注冊，當(dāng)所述USB設(shè)備不接受在線注冊時，禁止所述USB設(shè)備啟動并退出操作。
5.根據(jù)權(quán)利要求1或2所述的IO設(shè)備可信管控方法，其特征在于，所述判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作具體包括步驟: 監(jiān)控所述IO設(shè)備內(nèi)核進程響應(yīng)； 當(dāng)監(jiān)控到有所述USB設(shè)備插入的事件發(fā)生時，響應(yīng)事件，并將事件信息發(fā)送到用戶空間進行處理； 獲取所述事件信息，禁止所述USB設(shè)備操作； 根據(jù)所述事件信息，檢查所述IO設(shè)備的白名單中是否有所述USB設(shè)備的注冊信息，若有則啟動所述USB設(shè)備，若無則禁止所述USB設(shè)備操作。
6.根據(jù)權(quán)利要求1或2所述的IO設(shè)備可信管控方法，其特征在于，所述解密已加密的所述USB設(shè)備獲得可信U盤具體包括步驟: 判斷所述IO設(shè)備是否具有TCM芯片，若具有則判斷所述TCM芯片能否正常啟動，若所述IO設(shè)備具有所述TCM芯片且所述TCM芯片能夠正常啟動則繼續(xù)如下操作，否則不解密且退出操作； 檢查所述IO設(shè)備的內(nèi)核中的算法，如果所述IO設(shè)備的內(nèi)核中存有加密所述USB設(shè)備的算法，則繼續(xù)進行如下操作，否則不解密且退出操作； 檢查當(dāng)前操作系統(tǒng)，如果當(dāng)前操作系統(tǒng)是加密所述USB設(shè)備的操作系統(tǒng)，則繼續(xù)進行如下操作，否則不解密且退出操作；獲取所述TCM芯片中的密鑰，判斷所述密鑰是否正確，若正確則解密所述已加密的所述USB設(shè)備，獲得所述可信U盤，若不正確則不解密且退出操作。
7.一種IO設(shè)備可信管控系統(tǒng)，其特征在于，包括: IO端口檢測模塊，用于檢測IO端口，當(dāng)所述IO端口開啟時，允許接入USB設(shè)備； USB設(shè)備注冊判斷模塊，用于判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則識別所述USB設(shè)備，若為未注冊設(shè)備則禁止所述USB設(shè)備操作； 加密模塊，用于根據(jù)所述IO設(shè)備的當(dāng)前操作系統(tǒng)環(huán)境，將識別的所述USB設(shè)備加密； 解密模塊，用于解密已加密的所述USB設(shè)備獲得可信U盤。
8.根據(jù)權(quán)利要求7所述的IO設(shè)備可信管控系統(tǒng)，其特征在于，所USB設(shè)備注冊判斷模塊包括: 注冊判斷單元，用于判斷所述USB設(shè)備是否為注冊設(shè)備，若為注冊設(shè)備則啟動所述USB設(shè)備，若為未注冊設(shè)備則在線注冊所述USB設(shè)備，且禁止所述USB設(shè)備操作； 注冊成功判斷單元，用于判斷在線注冊所述USB設(shè)備是否注冊成功，若在線注冊成功則啟動所述USB設(shè)備，并將所述USB設(shè)備的注冊信息寫入所述IO設(shè)備的白名單中，若在線注冊失敗則禁止所述USB設(shè)備操作。
9.根據(jù)權(quán)利要求8所述的IO設(shè)備可信管控系統(tǒng)，其特征在于，所述注冊判斷單元包括: 在線注冊確認(rèn)單元，用于檢測所述USB設(shè)備是否接受在線注冊，當(dāng)所述USB設(shè)備不接受在線注冊時，禁止所述USB設(shè)備啟動并退出操作。
10.根據(jù)權(quán)利要求7所述的IO設(shè)備可信管控系統(tǒng)，其特征在于，所述USB設(shè)備注冊判斷模塊具體包括: 進程監(jiān)控單元，用于監(jiān)控所述IO設(shè)備內(nèi)核進程響應(yīng)； 響應(yīng)單元，用于當(dāng)監(jiān)控到有所述USB設(shè)備插入的事件發(fā)生時，響應(yīng)事件，并將事件信息發(fā)送到用戶空間進行處理； 信息獲取單元，用于獲取所述事件信息，禁止所述USB設(shè)備操作； 檢查單元，用于根據(jù)所述事件信息，檢查所述IO設(shè)備的白名單中是否有所述USB設(shè)備的注冊信息，若有則啟動所述USB設(shè)備，若無則禁止所述USB設(shè)備操作。
11.根據(jù)權(quán)利要求7或8所述的IO設(shè)備可信管控系統(tǒng)，其特征在于，所述解密模塊具體包括: IO設(shè)備檢測單元，用于判斷所述IO設(shè)備是否具有TCM芯片，若具有則判斷所述TCM芯片能否正常啟動，若所述IO設(shè)備具有所述TCM芯片且所述TCM芯片能夠正常啟動則繼續(xù)如下操作，否則不解密且退出操作； 算法檢測單元，用于檢查所述IO設(shè)備的內(nèi)核中的算法，如果所述IO設(shè)備的內(nèi)核中存有加密所述USB設(shè)備的算法，則繼續(xù)進行如下操作，否則不解密且退出操作； 操作系統(tǒng)檢測單元，用于檢查當(dāng)前操作系統(tǒng)，如果當(dāng)前操作系統(tǒng)是加密所述USB設(shè)備的操作系統(tǒng)，則繼續(xù)進行如下操作，否則不解密且退出操作； 密鑰獲取單元，用于獲取所述TCM芯片中的密鑰，判斷所述密鑰是否正確，若正確則解密所述已加密的所述USB設(shè)備，獲得所述可信U盤，若不正確則不解密且退出操作。
全文摘要
本發(fā)明提供一種IO設(shè)備可信管控方法及其系統(tǒng)，首先判斷IO端口是否開啟，只有當(dāng)IO端口開啟時，IO設(shè)備才允許USB設(shè)備接入，之后IO設(shè)備判斷接入的USB設(shè)備是否為注冊設(shè)備，如果接入的USB設(shè)備已經(jīng)在IO設(shè)備中注冊就啟動并識別該USB設(shè)備，如果接入的USB設(shè)備未在IO設(shè)備中注冊就禁止該USB設(shè)備，USB設(shè)備啟動之后IO設(shè)備會將USB設(shè)備加密，即將USB設(shè)備按照IO設(shè)備的內(nèi)核設(shè)定“格式化”，消除可能存儲在USB設(shè)備中的病毒、木馬等，最后IO設(shè)備根據(jù)內(nèi)核加密時的數(shù)據(jù)解密已加密的USB設(shè)備獲得可信U盤，可信U盤與IO設(shè)備進行數(shù)據(jù)交互，確保IO設(shè)備和USB設(shè)備的安全管理與數(shù)據(jù)的安全傳輸。
文檔編號G06F13/10GK103198037SQ20131014152
公開日2013年7月10日 申請日期2013年4月22日 優(yōu)先權(quán)日2013年4月22日
發(fā)明者梁志宏, 梁智強, 黃曙, 余南華, 胡朝輝, 江澤鑫, 陳炯聰, 周強峰, 林丹生 申請人:廣東電網(wǎng)公司電力科學(xué)研究院