本地白名單庫、網(wǎng)絡(luò)白名單庫和臨時白名單庫；
[0054]本地白名單庫，在程序初始化安裝時，通過掃描接口掃描生成；所述掃描接口，包括程序安裝接口、軟件掃描接口和網(wǎng)絡(luò)控件掃描接口。
[0055]其中，網(wǎng)絡(luò)白名單庫包括:當(dāng)PC端將已建立可信連接的USB設(shè)備信息上報至管理中心后，通過管理中心自動生成；并將所有白名單文件均保存在whiteliSt文件中，對白名單庫中的所有信息提供防篡改保護，禁止非授權(quán)的修改行為，防止改名、更換位置、修改內(nèi)容和刪除操作；
[0056]在默認(rèn)情況下，僅允許升級程序及升級程序所創(chuàng)建的執(zhí)行程序?qū)Π酌麊螏熘械膱?zhí)行程序進行增、刪、改操作，修改后的可執(zhí)行程序保存在臨時文件中，待操作系統(tǒng)重啟后將臨時文件寫入到臨時白名單庫中。
[0057]5、若身份信息無效或建立與PC端的可信連接失敗，將帶有危險狀況標(biāo)注的告警信息推送至PC端；
[0058]當(dāng)USB設(shè)備的身份信息檢查和驗證無效，則直接終止PC端與USB設(shè)備，并通過PC端中認(rèn)證服務(wù)器將該無效身份中帶有危險狀況標(biāo)注的告警信息推送至PC端顯示器上顯示，從而有效地保護了計算機主機系統(tǒng)的安全；
[0059]當(dāng)遠(yuǎn)端代理服務(wù)器與PC端的可信連接，雙訪問權(quán)限標(biāo)識的信息驗證未通過，則將該遠(yuǎn)端代理服務(wù)器中帶有危險狀況標(biāo)注的告警信息推送至PC端顯示器上顯示。
[0060]例如:USB設(shè)備(權(quán)限標(biāo)識0x00000001)遠(yuǎn)端代理服務(wù)器(服務(wù)權(quán)限標(biāo)識0x00000000)。當(dāng)遠(yuǎn)程代理服務(wù)器通過USB設(shè)備向PC端發(fā)起請求時，使用服務(wù)權(quán)限標(biāo)識0x00000000，請求在PC端被截獲之后，利用PC端可信平臺提取遠(yuǎn)程代理服務(wù)器的服務(wù)權(quán)限標(biāo)識0x00000000，同時在本地白名單庫服務(wù)列表中尋找USB設(shè)備的權(quán)限標(biāo)識；并提取USB設(shè)備的權(quán)限標(biāo)識0x00000001 ;由于其權(quán)限判定不通過(0x00000000 xor 0x00000001 = I),則不允許其發(fā)起遠(yuǎn)程瀏覽請求，并將該遠(yuǎn)端代理服務(wù)器中帶有危險狀況標(biāo)注的告警信息推送至PC端顯示器上顯示。
[0061]本發(fā)明一種基于USB協(xié)議的安全通信系統(tǒng)，包括USB設(shè)備和認(rèn)證服務(wù)器；
[0062]認(rèn)證服務(wù)器由服務(wù)器硬件組成，所述USB設(shè)備和認(rèn)證服務(wù)器至少包含一個接口，用于建立兩者之間的訪問連接。
[0063]所述認(rèn)證服務(wù)器包括通信模塊、身份驗證模塊、第一分析模塊、第二分析模塊、加密模塊、處理模塊和人機交互模塊；
[0064]身份驗證模塊為可編輯識別芯片；所述第一分析模塊和第二分析模塊為可編輯校驗芯片。
[0065]通信模塊包括采集單元和請求單元；
[0066]采集單元與所述請求單元相互通信，用于截獲由請求單元發(fā)出的系統(tǒng)操作請求；并接收所述請求單元中無法篡改的且攜帶唯一數(shù)字身份標(biāo)識的數(shù)字證書信息。
[0067]通信模塊與身份驗證模塊相接，觸發(fā)所述身份驗證模塊對USB設(shè)備的身份信息進行識別。
[0068]身份驗證模塊與第一分析模塊通過CAN總線或數(shù)據(jù)總線相互連接，當(dāng)身份信息有效時，通過所述第一分析模塊執(zhí)行完整度校驗；校驗通過，與認(rèn)證服務(wù)器建立可信連接；當(dāng)身份信息無效時，通過所述第一分析模塊將該無效身份中帶有危險狀況標(biāo)注的告警信息推送至處理模塊。
[0069]第一分析模塊用于接收USB設(shè)備的完整性信息執(zhí)行完整度校驗；利用動態(tài)度量法校驗本地動態(tài)度量摘要值，校驗合法后向USB設(shè)備發(fā)送可信連接認(rèn)證；同時向所述加密模塊發(fā)送信號對認(rèn)證數(shù)據(jù)進行加密；
[0070]第二分析模塊用于校驗遠(yuǎn)程代理服務(wù)器通過USB設(shè)備向PC端發(fā)起建立可信連接請求，進行遠(yuǎn)程代理服務(wù)器中服務(wù)權(quán)限標(biāo)識與PC端白名單庫服務(wù)列表中USB設(shè)備的權(quán)限標(biāo)識校驗。
[0071]處理模塊用于控制整個系統(tǒng)，接收所述第一分析模塊發(fā)送的完整度校驗結(jié)果，并以圖形及表格的形式發(fā)送至所述人機交互模塊。
[0072]人機交互模塊用于顯示系統(tǒng)的完整度校驗結(jié)果。
[0073]連接認(rèn)證包括通過openssl傳輸?shù)膖cp連接認(rèn)證和udp連接認(rèn)證。
[0074]處理模塊包括信息維護單元和同步信息單元；
[0075]信息維護單元與同步信息單元相連，為同步信息單元構(gòu)建存放已建立可信連接的USB設(shè)備信息的白名單。
[0076]本發(fā)明不局限于上述最佳實施方式，任何人在本發(fā)明的啟示下都可得出其他各種形式的產(chǎn)品，但不論在其形狀或結(jié)構(gòu)上作任何變化，凡是具有與本申請相同或相近似的技術(shù)方案，均落在本發(fā)明的保護范圍之內(nèi)。
【主權(quán)項】
1.一種基于USB協(xié)議的安全通信方法，其特征在于:所述方法包括: (1)將USB設(shè)備插入PC端接口，截獲由USB設(shè)備發(fā)出的系統(tǒng)操作請求； (2)觸發(fā)認(rèn)證服務(wù)器對所述USB設(shè)備的身份信息進行識別，根據(jù)識別結(jié)果判斷其有效性； (3)若身份信息有效，再次執(zhí)行完整度校驗；校驗通過，建立與PC端的可信連接； (4)設(shè)置白名單庫，用于存放已建立可信連接的USB設(shè)備信息；其中，所述白名單庫，包括本地白名單庫、網(wǎng)絡(luò)白名單庫和臨時白名單庫； (5)若身份信息無效或建立與PC端的可信連接失敗時，將帶有危險狀況標(biāo)注的告警信息推送至PC端。2.根據(jù)權(quán)利要求1所述的一種基于USB協(xié)議的安全通信方法，其特征在于:所述身份信息為主控芯片無法篡改的且攜帶唯一數(shù)字身份標(biāo)識的數(shù)字證書和有效性信息； 所述的數(shù)字證書為多種密碼體系下形成的數(shù)字證書，包括PK1、IBE/IBC和CPK體系；所述有效性信息，至少包括類型信息、型號信息、版本號信息、供應(yīng)商信息、數(shù)字簽名信息、生效日期和失效日期中任意一項； 所述驗證USB設(shè)備的身份信息可通過挑戰(zhàn)應(yīng)答方式和私有密碼通訊方式實現(xiàn)； 所述驗證USB設(shè)備的身份信息可采用非對稱密鑰加密算法和數(shù)字摘要算法。3.根據(jù)權(quán)利要求1所述的一種基于USB協(xié)議的安全通信方法，其特征在于:所述步驟(3)中再次執(zhí)行完整度校驗包括，PC端接收USB設(shè)備的完整性信息，利用動態(tài)度量法校驗本地動態(tài)度量摘要值，校驗合法后向USB設(shè)備發(fā)送可信連接認(rèn)證；并對認(rèn)證數(shù)據(jù)進行加密； 所述連接認(rèn)證包括tcp連接認(rèn)證和udp連接認(rèn)證； 所述加密采用國密SM算法和AES算法加密，并通過openssl傳輸。4.根據(jù)權(quán)利要求1所述的一種基于USB協(xié)議的安全通信方法，其特征在于:所述步驟(4)中本地白名單庫包括，在程序初始化安裝時，通過掃描接口掃描生成；所述掃描接口，包括程序安裝接口、軟件掃描接口和網(wǎng)絡(luò)控件掃描接口。5.根據(jù)權(quán)利要求1所述的一種基于USB協(xié)議的安全通信方法，其特征在于:所述步驟(4)中網(wǎng)絡(luò)白名單庫包括:當(dāng)PC端將已建立可信連接的USB設(shè)備信息上報至管理中心后，通過管理中心自動生成；并將所有白名單文件均保存在whitelist文件中，對白名單庫中的所有信息提供防篡改保護，禁止非授權(quán)的修改行為，防止改名、更換位置、修改內(nèi)容和刪除操作； 在默認(rèn)情況下，僅允許升級程序及升級程序所創(chuàng)建的執(zhí)行程序?qū)Π酌麊螏熘械膱?zhí)行程序進行增、刪、改操作，修改后的可執(zhí)行程序保存在臨時文件中，待操作系統(tǒng)重啟后將臨時文件與入到臨時白名單庫中。6.根據(jù)權(quán)利要求1所述的一種基于USB協(xié)議的安全通信方法，其特征在于:所述建立與PC端的可信連接包括 遠(yuǎn)端代理服務(wù)器通過USB設(shè)備向PC端發(fā)起建立可信連接請求；PC端響應(yīng)此請求；啟動PC端可信平臺，注冊服務(wù)總線；接受遠(yuǎn)端代理服務(wù)器連接請求； 當(dāng)雙訪問權(quán)限標(biāo)識的信息驗證全部通過后，響應(yīng)建立可信連接請求；接收遠(yuǎn)端代理服務(wù)器服務(wù)請求，生成遠(yuǎn)程瀏覽指令； 當(dāng)雙訪問權(quán)限標(biāo)識的信息驗證未通過，則將該遠(yuǎn)端代理服務(wù)器中帶有危險狀況標(biāo)注的告警信息推送至PC端。7.一種基于USB協(xié)議的安全通信系統(tǒng)，其特征在于:所述系統(tǒng)包括USB設(shè)備和認(rèn)證服務(wù)器； 所述USB設(shè)備和認(rèn)證服務(wù)器至少包含一個接口，用于建立兩者之間的訪問連接。8.根據(jù)權(quán)利要求7所述的一種基于USB協(xié)議的安全通信系統(tǒng)，其特征在于:所述認(rèn)證服務(wù)器包括通信模塊、身份驗證模塊、第一分析模塊、第二分析模塊、加密模塊、處理模塊和人機交互模塊； 所述身份驗證模塊為可編輯識別芯片；所述第一分析模塊和第二分析模塊為可編輯校驗芯片。9.根據(jù)權(quán)利要求7所述的一種基于USB協(xié)議的安全通信系統(tǒng)，其特征在于:所述通信模塊與身份驗證模塊相接，觸發(fā)所述身份驗證模塊對USB設(shè)備的身份信息進行識別； 所述身份驗證模塊與第一分析模塊通過CAN總線或數(shù)據(jù)總線相互連接，當(dāng)身份信息有效時，通過所述第一分析模塊執(zhí)行完整度校驗；校驗通過，與認(rèn)證服務(wù)器建立可信連接；當(dāng)身份信息無效時，通過所述第一分析模塊將該無效身份中帶有危險狀況標(biāo)注的告警信息推送至處理模塊。10.根據(jù)權(quán)利要求7所述的一種基于USB協(xié)議的安全通信系統(tǒng)，其特征在于:所述第一分析模塊用于接收USB設(shè)備的完整性信息執(zhí)行完整度校驗；利用動態(tài)度量法校驗本地動態(tài)度量摘要值，校驗合法后向USB設(shè)備發(fā)送可信連接認(rèn)證；同時向所述加密模塊發(fā)送信號對認(rèn)證數(shù)據(jù)進行加密； 所述第二分析模塊用于校驗遠(yuǎn)程代理服務(wù)器通過USB設(shè)備向PC端發(fā)起建立可信連接請求，進行遠(yuǎn)程代理服務(wù)器中服務(wù)權(quán)限標(biāo)識與PC端白名單庫服務(wù)列表中USB設(shè)備的權(quán)限標(biāo)識fe驗； 所述處理模塊用于控制整個系統(tǒng)，接收所述第一分析模塊發(fā)送的完整度校驗結(jié)果，并以圖形及表格的形式發(fā)送至所述人機交互模塊。
【專利摘要】本發(fā)明涉及一種基于USB協(xié)議的安全通信方法及其系統(tǒng)，所述方法包括：(1)將USB設(shè)備插入PC端接口，截獲由USB設(shè)備發(fā)出的系統(tǒng)操作請求；(2)觸發(fā)認(rèn)證服務(wù)器對所述USB設(shè)備的身份信息進行識別，根據(jù)識別結(jié)果判斷其有效性；(3)若身份信息有效，再次執(zhí)行完整度校驗；校驗通過，建立與PC端的可信連接；(4)設(shè)置白名單庫，用于存放已建立可信連接的USB設(shè)備信息；其中，所述白名單庫，包括本地白名單庫、網(wǎng)絡(luò)白名單庫和臨時白名單庫；(5)若身份信息無效或建立與PC端的可信連接失敗時，將帶有危險狀況標(biāo)注的告警信息推送至PC端。所述系統(tǒng)包括USB設(shè)備和認(rèn)證服務(wù)器；所述USB設(shè)備和認(rèn)證服務(wù)器至少包含一個接口，用于建立兩者之間的訪問連接。
【IPC分類】H04L9/32, H04L29/06
【公開號】CN105099705
【申請?zhí)枴緾N201510512656
【發(fā)明人】劉鋒, 李健航, 鄭必可
【申請人】同方計算機有限公司
【公開日】2015年11月25日
【申請日】2015年8月19日