內(nèi)網(wǎng)移動(dòng)存儲(chǔ)介質(zhì)安全管理

引言：使用移動(dòng)存儲(chǔ)介質(zhì)開(kāi)展信息數(shù)據(jù)交換容易產(chǎn)生如信息泄露、病毒傳播等諸多信息安全問(wèn)題。本文針對(duì)內(nèi)網(wǎng)移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)的組成、功能及實(shí)現(xiàn)方式進(jìn)行介紹及分析，并對(duì)其使用功效進(jìn)行了總結(jié)。

近年來(lái)，隨著信息化的發(fā)展，U盤(pán)、移動(dòng)硬盤(pán)等移動(dòng)存儲(chǔ)介質(zhì)，因其體積小、存儲(chǔ)量大等特點(diǎn)得到迅速普及。在享受到移動(dòng)存儲(chǔ)所帶來(lái)的方便性的同時(shí)，也出現(xiàn)了諸多的信息安全問(wèn)題，特別是由于公安機(jī)關(guān)人員眾多、業(yè)務(wù)種類繁雜，使用的移動(dòng)存儲(chǔ)介質(zhì)數(shù)量大、管理無(wú)序等，帶來(lái)敏感信息泄露、病毒木馬傳播等風(fēng)險(xiǎn)。

系統(tǒng)介紹

內(nèi)網(wǎng)移動(dòng)存儲(chǔ)介質(zhì)安全管理由移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)和安全移動(dòng)存儲(chǔ)介質(zhì)(硬件)組成，而管理系統(tǒng)又由服務(wù)端管理系統(tǒng)和客戶端監(jiān)控系統(tǒng)組成，如圖1所示。

管理系統(tǒng)完成對(duì)內(nèi)網(wǎng)的安全移動(dòng)存儲(chǔ)介質(zhì)統(tǒng)一管理，客戶端和服務(wù)端采用C/S架構(gòu)。服務(wù)端進(jìn)行統(tǒng)一策略配置管理，下發(fā)策略到客戶端，接收客戶端上報(bào)日志數(shù)據(jù)。

圖1 管理系統(tǒng)組成

圖2 服務(wù)器端組成

客戶端軟件對(duì)接入內(nèi)網(wǎng)終端的USB接口類移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行認(rèn)證、注冊(cè)、注銷、更改密碼等操作，完成接收、下發(fā)、執(zhí)行服務(wù)端策略，向服務(wù)端上報(bào)數(shù)據(jù)工作。內(nèi)網(wǎng)終端計(jì)算機(jī)上的客戶端軟件與安全移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行雙向認(rèn)證。

移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)對(duì)移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行接入認(rèn)證、權(quán)限控制、日志審計(jì)等安全防護(hù)，建立了一套完整的防范體系。移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)整合底層驅(qū)動(dòng)、設(shè)備識(shí)別、進(jìn)程互控等多種技術(shù)，由服務(wù)器端和客戶端構(gòu)成，對(duì)內(nèi)網(wǎng)安全移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行控制。其中管理端系統(tǒng)是管理控制部分（管理層），具體包括終端配置管理平臺(tái)、管理信息庫(kù)和管理器；客戶端接受并執(zhí)行管理端的策略和指令（執(zhí)行層），包括多個(gè)模塊和移動(dòng)介質(zhì)控制接口；安全U盤(pán)在提供公安業(yè)務(wù)單位使用前，在密鑰中心初始化數(shù)據(jù)存取密鑰，通過(guò)雙向認(rèn)證進(jìn)行受控移動(dòng)存儲(chǔ)管理（受控層）。

服務(wù)器端主要由數(shù)據(jù)庫(kù)、管理平臺(tái)、區(qū)域管理器組成，完成策略制定、數(shù)據(jù)匯總、存儲(chǔ)、查詢等，結(jié)構(gòu)如圖2所示。

管理平臺(tái)：系統(tǒng)管理配置中心，Web形式配置系統(tǒng)的各項(xiàng)基本參數(shù)，進(jìn)行系統(tǒng)維護(hù)等配置操作，進(jìn)行系統(tǒng)應(yīng)用策略制訂，顯示狀態(tài)信息、報(bào)警信息和各種日志記錄等，管理平臺(tái)中所有操作的過(guò)程和結(jié)果均存儲(chǔ)在管理信息庫(kù)中。

數(shù)據(jù)庫(kù)：用來(lái)存放和管理各種策略、參數(shù)配置、客戶端設(shè)備的軟硬件信息、報(bào)警信息、審計(jì)信息、日志信息等各種信息。

管理器：系統(tǒng)數(shù)據(jù)處理中心。通過(guò)實(shí)時(shí)監(jiān)控?cái)?shù)據(jù)庫(kù)獲取控制臺(tái)的各種策略和命令，發(fā)送到客戶端軟件執(zhí)行。管理器接收客戶端軟件提供的各類狀態(tài)和報(bào)警信息，發(fā)送至管理信息庫(kù)，以備管理人員通過(guò)管理平臺(tái)查閱。

客戶端軟件由通訊模塊、功能控制模塊、標(biāo)簽認(rèn)證模塊以及進(jìn)程保護(hù)模塊組成，作為服務(wù)器端的響應(yīng)程序要按照服務(wù)器制定的安全策略實(shí)現(xiàn)相應(yīng)的功能，結(jié)構(gòu)如圖3所示。

通訊模塊：完成服務(wù)器與客戶端的數(shù)據(jù)（加密）通訊，接收服務(wù)器下發(fā)的所有指令，上報(bào)客戶端存活信息、客戶端的審計(jì)日志，以及其他服務(wù)器要求上報(bào)的信息；

圖3 管理器結(jié)構(gòu)

進(jìn)程保護(hù)模塊：負(fù)責(zé)保護(hù)進(jìn)程，以防止客戶端進(jìn)程被惡意停止，該模塊在安全模式下仍然有效；

功能控制模塊：負(fù)責(zé)執(zhí)行服務(wù)器下發(fā)的安全策略，例如硬件設(shè)備控制、非法外聯(lián)監(jiān)控、移動(dòng)存儲(chǔ)控制等；

移動(dòng)存儲(chǔ)介質(zhì)控制模塊：通過(guò)策略解析對(duì)移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行認(rèn)證與控制；

審計(jì)模塊：審計(jì)移動(dòng)存儲(chǔ)介質(zhì)的操作信息并上報(bào)到服務(wù)器；

U盤(pán)接口模塊：完成安全U盤(pán)的注冊(cè)、注銷、數(shù)據(jù)銷毀、接入認(rèn)證、策略下發(fā)、審計(jì)日志收集功能；

標(biāo)簽?zāi)K：對(duì)移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行唯一標(biāo)記設(shè)定和清除，包含標(biāo)簽制作、標(biāo)簽清除和密碼重置，同時(shí)還具備警員證書(shū)識(shí)別和認(rèn)證的功能；

其他模塊：主要進(jìn)行對(duì)硬件接口的控制和對(duì)設(shè)備資產(chǎn)的收集，對(duì)非移動(dòng)存儲(chǔ)類的USB接口設(shè)備進(jìn)行識(shí)別和放行。

安全U盤(pán)基本功能

1.身份認(rèn)證:只有通過(guò)正確的身份認(rèn)證才能使用安全U盤(pán)存儲(chǔ)數(shù)據(jù)。

通過(guò)密鑰初始化過(guò)程，使安全U盤(pán)不需保存用戶口令，口令認(rèn)證、修改口令和恢復(fù)口令的過(guò)程也有所不同。

修改口令:若修改身份認(rèn)證口令，通過(guò)默認(rèn)口令B將B1進(jìn)行解密，得出字符串“GA_XXXXX XX”，然后再通過(guò)用戶新口令C加密該字符串，生成新密鑰加密塊C1替換B1。

口令認(rèn)證:通過(guò)用戶輸入的認(rèn)證口令C或者B對(duì)加密密鑰C1或者B1進(jìn)行解密，得出字符串“GA_XXXXXXX”，若解密得到的字符串不是該格式的字符串，則說(shuō)明輸入密碼錯(cuò)誤。

恢復(fù)口令:用戶忘記口令后，需要通過(guò)超級(jí)口令進(jìn)行恢復(fù)。首先通過(guò)超級(jí)口令A(yù)將密鑰加密塊A1進(jìn)行解密得出字符串“GA_XXXXXXX”，然后再通過(guò)默認(rèn)口令B對(duì)字符串“GA_XXXXXXX”進(jìn)行加密得出最初的密鑰加密塊B1，然后將用戶修改口令后得出的C1進(jìn)行替換，這樣口令就恢復(fù)為默認(rèn)口令B。

2.自定義設(shè)備分區(qū)：將設(shè)備數(shù)據(jù)區(qū)域分為可見(jiàn)區(qū)與不可見(jiàn)區(qū)。

可見(jiàn)區(qū)用于存放移動(dòng)存儲(chǔ)設(shè)備管理程序的只讀區(qū)，Windows系統(tǒng)能識(shí)別并訪問(wèn)該區(qū)域。

不可見(jiàn)區(qū)為一段無(wú)法被任何操作系統(tǒng)識(shí)別訪問(wèn)的數(shù)據(jù)區(qū)域，必須通過(guò)移動(dòng)存儲(chǔ)設(shè)備管理程序進(jìn)行訪問(wèn)。

3.安全瀏覽器：安全U盤(pán)僅以CD驅(qū)動(dòng)器形式加載，安全瀏覽器為移動(dòng)存儲(chǔ)設(shè)備管理程序的圖形界面操作提供對(duì)安全U盤(pán)數(shù)據(jù)存儲(chǔ)區(qū)的訪問(wèn)控制的圖形界面。

4.日志審計(jì)：安全U盤(pán)將用戶使用行為根據(jù)策略設(shè)定情況記錄日志并實(shí)時(shí)上傳到服務(wù)器，不在盤(pán)內(nèi)保留日志，通過(guò)移動(dòng)存儲(chǔ)介質(zhì)管理軟件進(jìn)行日志審計(jì)功能。

5.自我保護(hù)：安全U盤(pán)自帶軟件針對(duì)許多反編譯工具內(nèi)嵌防反編譯功能，增加程序被調(diào)試難度；通過(guò)加密編譯防止程序被靜態(tài)分析，同時(shí)對(duì)關(guān)鍵的變量采用動(dòng)態(tài)生成，加大采用內(nèi)存特征碼分析程序的難度。另外，程序一旦運(yùn)行，在運(yùn)行期內(nèi)將與設(shè)備特征值綁定，一旦運(yùn)行期發(fā)現(xiàn)設(shè)備被替換，則自動(dòng)退出程序。

6.高強(qiáng)度加密：包括軟件加密、硬件加密、程序代碼加密等技術(shù)，軟加密采用國(guó)產(chǎn)SMS4加密算法，硬加密算法采用AES（CBC）-256位；程序編譯使用“代碼混淆”、“虛擬機(jī)”等技術(shù)加密。

7.安全U盤(pán)提供供客戶端軟件調(diào)用的文件：Secusb.Dll文件用于認(rèn)證安全U盤(pán)合法性，恢復(fù)密碼和粉碎。

數(shù)據(jù)結(jié)構(gòu)定義如下：

char m_lpDiskPath[64];//返回該USB設(shè)備的所有邏輯盤(pán)符 (如 ：ABC)，不包括lpszDiskRoot中指定的盤(pán)符,空值表示沒(méi)有需要放行的額外邏輯盤(pán)符;最大長(zhǎng)度256字節(jié)

Secusbsign.dll文件，用于讀/寫(xiě)安全U盤(pán)電子標(biāo)簽內(nèi)容。

數(shù)據(jù)結(jié)構(gòu)體定義如下：