專利名稱：主動式數據安全存儲設備的安全對外通訊方法
技術領域：
本發(fā)明涉及存儲安全和通訊安全技術領域，尤其涉及主動式數 據安全存儲設備的安全對外通訊方法。
背景技術：
主動式數據安全存儲設備，是一種加載了操作系統，可實現外 圍設備控制并實現內部數據加密的存儲設備。其最大特征在于設備 本身可以決定數據的全部管理過程，包括數據區(qū)的創(chuàng)建和銷毀、數 據內容的修改和保存等。設備通過特定的機制，奪取必要外設的控 制權，屏蔽風險外設的訪問權，以實現設備的封閉操作。
主動式數據安全存儲設備比普通的存儲設備具有更高的安全性 能。在設備操作系統的控制下，設備可以通過通用通訊接口 (如USB 口)和驅動重載，植入已連接鼠鍵、監(jiān)視器等外設的本地計算機， 控制并利用本地計算機上的硬件資源進行數據管理；在設備操作系 統的監(jiān)控下， 一切數據讀寫和緩存操作都在設備內部進行，因此可 以保證不在宿主計算機上留下任何數據痕跡。主動式數據安全存儲 設備兼有便攜性、通用性、安全性，有著很好的市場前景。
然而，網絡入侵技術和木馬入侵技術影響了主動式數據安全存 儲設備的安全防線。在全封閉(僅使用鼠鍵、監(jiān)視器等不易被病毒 入侵的外設)的前提下，這種設備是非常安全的，但全封閉的使用規(guī)則極大地影響了設備的實用性；而一旦使用了U盤、光驅、網口 等外設，設備將不再處于全封閉狀態(tài)，木馬可能通過這些接口植入 到設備的操作系統和存儲空間中，黑客也可能通過網口入侵設備。 因為設備操作系統是普通操作系統，如果不對U盤、光軀、網口等 外設接口進行有效的監(jiān)控保護，入侵主動式數據安全存儲設備將和 入侵普通個人計算機一樣簡單。

發(fā)明內容
本發(fā)明的目的在于針對現有技術的不足，提供一種主動式數據 安全存儲設備的安全對外通訊方法，這種方法可在保證數據安全的 前提下，賦予主動式數據安全存儲設備對外通訊的功能，實現資源 的有限共享。
為實現上述目的，本發(fā)明通過以下技術方案實現主動式數據 安全存儲設備的安全對外通訊方法，所述主動式數據安全存儲設備 采用通用型對外通訊接口，包括USB接口和網口，主動式數據安全
存儲設備通過USB接口與第三方USB存儲設備進行通訊，主動式數 據安全存儲設備通過網口與網絡服務器進行通訊，所述主動式數據 安全存儲設備在對外通訊時，由位于主動式數據安全存儲設備上的
操作系統的驅動層實現對數據的選擇性安全處理，具體為
A、當與第三方USB存儲設備進行通訊時，對輸出主動式數據安 全存儲設備的數據，由驅動層實現對輸出數據的前置加密處理；對 輸入主動式數據安全存儲設備的數據，由驅動層實現對輸入數據的 前置病毒掃描處理，僅允許不包含惡意代碼的數據進入主動式數據安全存儲設備，以及由驅動層實現對輸入數據的前置解密處理；
B、當與網絡服務器進行通訊時，由驅動層實現對數據的打包或 解包處理以進行網絡數據傳輸，并對傳輸的數據進行加密處理。
所述當與第三方USB存儲設備進行通訊時，還包括在安全級別 較高的場合，由驅動層實現禁用USB接口的數據輸入。
所述當與網絡服務器進行通訊時，還包括同時采用網絡安全認 證協議以保證通訊安全。
所述當與網絡服務器進行通訊時，還包括不允許主動式數據安 全存儲設備通過網口訪問普通的公共網絡，以及允許主動式數據安 全存儲設備通過網口訪問特殊的網絡服務器。
本發(fā)明有益效果為本發(fā)明的基本思路是，利用通用型對外通 訊接口賦予主動式數據安全存儲設備對外通訊的能力，在主動式數 據安全存儲設備對外通訊時，由位于主動式數據安全存儲設備上的 操作系統的驅動層實現對數據的選擇性安全處理，保證位于通訊管 道、通訊接收方上數據的安全，因此，本發(fā)明可在保證數據安全的 前提下，賦予主動式數據安全存儲設備對外通訊的功能，實現資源 的有限共享。


圖1為本發(fā)明主動式數據安全存儲設備的工作方式框圖2為本發(fā)明主動式數據安全存儲設備數據接口管理策略框圖。
具體實施例方式
下面結合附圖對本發(fā)明作進一步的說明-如圖1和圖2所示，主動式數據安全存儲設備增加若干數據接 口，如USB接口和網口，其中USB接口上允許接入第三方USB存儲 設備，網口允許接入網絡訪問特殊的網絡服務器。通過這些新增的 數據接口讓設備獲得包括數據訪問、數據轉移在內的對外數據交互 能力。這些接口通過以下方法進行對外數據交互
A、當與第三方USB存儲設備進行通訊時，對輸出主動式數據安 全存儲設備的數據，由驅動層實現對輸出數據的前置加密處理，加 密密鑰可變；對輸入主動式數據安全存儲設備的數據，由驅動層實 現對輸入數據的前置病毒掃描處理，僅允許不包含惡意代碼的數據 進入主動式數據安全存儲設備，以及由驅動層實現對輸入數據的前 置解密處理；在安全級別較高的場合，由驅動層實現禁用USB接口 的數據輸入。具體的實現方法如下
(Al)主動式數據安全存儲設備提供單個USB接口，并通過修 改操作系統安全策略，使USB接口僅支持Mass Storage Device型 通用存儲設備；
(A2)修改操作系統內的Mass Storage Device設備讀寫驅動 程序，在驅動層實現對讀寫的監(jiān)控。在寫入過程中，要求用戶提供 密鑰，并用該密鑰對輸出緩沖區(qū)內的數據進行加密，再執(zhí)行寫入操 作；
(A3)在主動式數據安全存儲設備操作系統中監(jiān)視USB接口的 設備接入狀態(tài)；
(A4)當有Mass Storage Device設備接入時，監(jiān)視設備的枚舉過程，直至設備就緒；
(A5)通過(A2)中的驅動程序執(zhí)行數據流出操作；
(A6)通過反病毒程序監(jiān)視數據流入操作，對流入的數據執(zhí)行 病毒掃描，僅允許不包含惡意代碼的數據進入設備；
(A7)在安全級別較高的場合，在Mass Storage Device設備 讀寫驅動程序中禁用USB數據流入。
B、不允許主動式數據安全存儲設備通過網口訪問普通的公共網 絡，允許主動式數據安全存儲設備通過網口訪問特殊的網絡服務器， 這類特殊的網絡服務器與主動式數據安全存儲設備以內部的特殊通 訊協議進行通訊，該特殊通訊協議規(guī)定網絡上的通訊數據必須以某 種格式進行打包或解包處理；當與網絡服務器進行通訊時，由驅動 層實現對數據的打包或解包處理以進行網絡數據傳輸，并對傳輸的 數據進行加密處理，加密密鑰可變，同時采用某種網絡安全認證協 議以保證通訊安全。具體的實現方法如下-
(Bl)設立遠程專用服務器；
(B2)引入SSL網絡安全認證協議，監(jiān)控服務器的對外通訊狀
況；
(B3)制訂特殊的網絡數據包格式，該格式支持基于SSL協議 的網絡通訊過程； '
(B4)在主動式數據安全存儲設備操作系統底層，對打包過程 中的本地(主動式數據安全存儲設備)數據訪問進行監(jiān)控，在本地 數據讀操作中前置加密處理，在本地數據寫操作中前置解密處理，這種加解密處理可采用對稱或非對稱的形式；
(B5)在服務器端，執(zhí)行與(B4)相對應的加解密處理，以保 證服務器可獲得通訊明文并執(zhí)行后續(xù)存取操作，但在網絡管道上流 通的通訊內容處于密文狀態(tài)；
(B6)在通訊過程開始前，服務器以某種安全方式發(fā)送密鑰至 主動式數據安全存儲設備，例如通過GSM網絡發(fā)送密碼，通過3G網 絡發(fā)送圖片(作為密鑰)，或在每個網絡數據包頭加入本數據包的加 解密口令；還可采取適當的保護方法以保證上述密鑰不可被他方獲 取或獲取后無法被解析；
(B7)主動式數據安全存儲設備僅能與專用服務器以特殊的通 訊方式進行網絡交互，且不定期更換網絡數據包的格式標準，以確 保網絡通訊的安全。
以上所述的密鑰，其形式可以是多樣化的，可以是普通密碼、 圖片、其他文件、指紋等。
本發(fā)明可以在保證安全的前提下賦予主動式數據安全存儲設備 以下功能對于本地數據共享，可從第三方存儲設備上獲得數據， 并在必要時以密文形式把設備內部數據轉移到第三方存儲設備上； 對于遠程數據共享，可從特殊的網絡服務器上獲得需要的數據，并 把有用的數據傳輸給該服務器。因此，本發(fā)明所述的方法既實現了 主動式數據安全存儲設備的對外數據交互，又不影響設備內部數據 的安全。
以上所述僅是本發(fā)明的較佳實施例，故凡依本發(fā)明專利申請范圍所述的構造、特征及原理所做的等效變化或修飾，均包括于本發(fā) 明專利申請范圍內。
權利要求
1、主動式數據安全存儲設備的安全對外通訊方法，所述主動式數據安全存儲設備采用通用型對外通訊接口，包括USB接口和網口，主動式數據安全存儲設備通過USB接口與第三方USB存儲設備進行通訊，主動式數據安全存儲設備通過網口與網絡服務器進行通訊，其特征在于，所述主動式數據安全存儲設備在對外通訊時，由位于主動式數據安全存儲設備上的操作系統的驅動層實現對數據的選擇性安全處理，具體為A、當與第三方USB存儲設備進行通訊時，對輸出主動式數據安全存儲設備的數據，由驅動層實現對輸出數據的前置加密處理；對輸入主動式數據安全存儲設備的數據，由驅動層實現對輸入數據的前置病毒掃描處理，僅允許不包含惡意代碼的數據進入主動式數據安全存儲設備，以及由驅動層實現對輸入數據的前置解密處理；B、當與網絡服務器進行通訊時，由驅動層實現對數據的打包或解包處理以進行網絡數據傳輸，并對傳輸的數據進行加密處理。
2、 根據權利要求1所述的主動式數據安全存儲設備的安全對外 通訊方法，其特征在于所述當與第三方USB存儲設備進行通訊時， 還包括在安全級別較高的場合，由驅動層實現禁用USB接口的數據 輸入。
3、 根據權利要求1所述的主動式數據安全存儲設備的安全對外 通訊方法，其特征在于所述當與網絡服務器進行通訊時，還包括同時采用網絡安全認證協議以保證通訊安全。
4、根據權利要求3所述的主動式數據安全存儲設備的安全對外通訊方法，其特征在于所述當與網絡服務器進行通訊時，還包括 不允許主動式數據安全存儲設備通過網口訪問普通的公共網絡，以 及允許主動式數據安全存儲設備通過網口訪問特殊的網絡服務器。
全文摘要
本發(fā)明涉及存儲安全和通訊安全技術領域，尤其涉及主動式數據安全存儲設備的安全對外通訊方法；主動式數據安全存儲設備的安全對外通訊方法，所述主動式數據安全存儲設備采用通用型對外通訊接口，包括USB接口和網口，主動式數據安全存儲設備通過USB接口與第三方USB存儲設備進行通訊，主動式數據安全存儲設備通過網口與網絡服務器進行通訊，其特征在于，所述主動式數據安全存儲設備在對外通訊時，由位于主動式數據安全存儲設備上的操作系統的驅動層實現對數據的選擇性安全處理；本發(fā)明可在保證數據安全的前提下，賦予主動式數據安全存儲設備對外通訊的功能，實現資源的有限共享。
文檔編號G06F21/00GK101447007SQ20081021882
公開日2009年6月3日 申請日期2008年10月31日 優(yōu)先權日2008年10月31日
發(fā)明者凱 倪, 崔銘常, 松 張, 張海光, 林喜榮, 林家用, 毛樂山, 王懷濤, 程雪岷, 馬建設 申請人:東莞市智盾電子技術有限公司;清華大學深圳研究生院