移动存储设备的接入权限管理方法和系统的制作方法
【技术领域】
[0001]本发明涉及信息安全领域，特别是涉及一种移动存储设备的接入权限管理方法和一种移动存储设备的接入权限管理系统。
【背景技术】
[0002]工业控制系统产品已在电力、工业、能源、交通、水利等重要行业深入应用，其硬件平台一般都设计了多个USB接口，但是在这些工业敏感领域，开放的USB接口会产生数据安全上的隐患，比如非授权使用者私自使用USB接口的可移动存储设备将重要而敏感的数据拷贝窃走。
[0003]针对这种情况，在工业控制领域，工业设备的USB接口往往会被物理隔离或者物理破坏，造成工业设备所有的USB接口都无法在物理上进行正常使用，以此来保证重要数据的安全性。
[0004]但是，随着各个行业的不断发展，工业设备的安全性标准在不断提高，其安全等级出现了多级化和细化的趋势，也就是说某些特定的授权者是允许访问那些重要而敏感的数据，而非授权者是不能访问这些安全性数据的。这么一来，工业设备需要解决这样一个问题，对于相同的工业设备，某些特定的授权者允许通过USB接口的可移动存储设备来存储那些重要而敏感的数据，而非授权者是无法使用工业设备的USB接口的，即使USB接口的可移动存储设备正确连接到设备的USB接口上。很显然，传统的从物理上隔离或破坏USB接口的做法已不能满足现在对安全性考虑的要求，因为这种方式对所有使用者而言都是一样的，不管是特定的授权者还是非授权者，所有用户都不能使用工业设备的USB接口，无法满足对工业设备USB接口差异化安全使用的需求。
【发明内容】
[0005]基于此，有必要提供一种移动存储设备的接入权限管理方法，其能够对接入目标主机的移动存储设备设置多种权限，从而满足对目标主机的接口差异化安全使用的需求。
[0006]此外，还提供一种移动存储设备的接入权限管理系统。
[0007]—种移动存储设备的接入权限管理方法，用于对接入目标主机的移动存储设备授权和权限检测，包括如下步骤:
[0008]将所述移动存储设备的唯一性信息经过加密后的密文存储在所述移动存储设备中；
[0009]由第一权限用户对第二权限用户的移动存储设备进行授权操作，所述授权操作生成权限信息；第二权限用户数据、唯一性信息和权限信息对应存储在所述目标主机内；所述第一权限高于第二权限；
[0010]当所述第二权限用户使用该移动存储设备接入目标主机时，读取并解密所述移动存储设备的唯一性信息，判断解密所得的唯一性信息是否与移动存储设备符合；
[0011]若解密所得的唯一性信息与移动存储设备符合，则根据对应的权限信息赋予该移动存储设备相应的操作权限。
[0012]在其中一个实施例中，所述第一权限用户为具有对第二权限用户的移动存储设备进行授权操作的系统管理员。
[0013]在其中一个实施例中，所述移动存储设备在进行授权操作前进行格式化和分区操作，所述分区包括隐藏分区和其他分区。
[0014]在其中一个实施例中，所述唯一性信息的密文存储在所述移动存储设备的隐藏分区中。
[0015]在其中一个实施例中，在读取所述唯一性信息的密文之前，检测所述移动存储设备是否包含隐藏分区，若是，则从所述隐藏分区中读取所述唯一性信息的密文，否则拒绝接入。
[0016]在其中一个实施例中，还包括判断所述隐藏分区中是否有两条以上的唯一性信息的密文，若是，则拒绝接入，否则从所述隐藏分区中读取所述唯一性信息的密文。
[0017]在其中一个实施例中，所述唯一性信息为移动存储设备的厂商号、设备号和出厂标识的组合。
[0018]在其中一个实施例中，在读取所述移动存储设备的唯一性信息之前，还判断登入到目标主机的当前用户是否为第二权限用户，若登入到目标主机的当前用户为第二权限用户，则继续读取所述移动存储设备的唯一性信息，否则结束权限检测过程，拒绝所述移动存储设备接入目标主机。
[0019]在其中一个实施例中，所述移动存储设备通过USB接口与目标主机连接。
[0020]一种移动存储设备的接入权限管理系统，包括:
[0021]授权模块，对移动存储设备进行授权操作，所述授权操作生成权限信息；然后将所述移动存储设备的唯一性信息经过加密并存储在所述移动存储设备中；
[0022]权限识别模块，当该移动存储设备接入目标主机时，读取并解密所述移动存储设备的唯一性信息；根据第二权限用户数据、唯一性信息和权限信息确定所述移动存储设备在目标主机上的接入权限。
[0023]上述接入权限管理方法和系统，从目标主机用户的角度进行权限划分，可以控制用户访问目标主机上的数据的权限，而从移动存储设备的角度进行权限划分，则可以控制移动存储设备能否使用目标主机的接口接入目标主机以及具备相应的操作权限。这样，结合用户权限划分和移动存储设备权限划分，就能够形成多级权限控制。
【附图说明】
[0024]图1为目标主机与移动存储设备的连接关系不意图；
[0025]图2为一实施例的权限管理方法中对移动存储设备授权的流程图；
[0026]图3为一实施例的权限管理方法中对移动存储设备进行权限识别的流程图；
[0027]图4为一实施例的权限管理系统模块图。
【具体实施方式】
[0028]如图1所示，为目标主机与移动存储设备的连接关系示意图。本实施例以目标主机为工业设备为例进行说明。工业设备10上设有接口 102，移动存储设备20通过接口 102与工业设备10电气相接。接口 102示例为USB接口。移动存储设备20示例为U盘，或者大容量USB接口的移动硬盘，其内部包括存储介质和相应的处理电路。
[0029]在工业设备10保留设备上的接口的前提下，为了让授权用户利用移动存储设备20访问工业设备10上相应权限的数据和让非授权用户不能访问工业设备10，提供一种移动存储设备的接入权限管理方法。该方法包括对移动存储设备20授权以使移动存储设备20获得相应的权限的过程和对移动存储设备20进行权限识别以确认其操作权限的过程。
[0030]参考图2，对移动存储设备20授权的过程如下。
[0031]步骤SlOl:工业设备扫描其上的接口，获取其接口上电气连接的移动存储设备信息。当第一权限用户(通常是系统管理员)将待授权的移动存储设备接入工业设备的相应协议的接口上实现电气连接后，第一权限用户启动工业设备上的授权程序来完成上述的授权工作。该授权程序首先扫描工业设备上的预定义的接口，例如所有的USB接口，以获知哪些接口上连接了移动存储设备，为下一步操作提供目标对象。通常地，移动存储设备与工业设备在连接时，会由工业设备的操作系统获取移动存储设备的相关信息并配备相应的资源。由于本实施例中，移动存储设备在被授权之前并不具备权限，需要借助工业设备的操作系统提供移动存储设备信息。
[0032]步骤S102:根据所述移动存储设备信息获取存储容量。移动存储设备信息包括设备厂商号、设备号以及出厂标识等，还包括其存储容量信息。获取移动存储设备信息可以为后续的分区操作提供信息。
[0033]步骤S103:询问并等待第一权限用户的授权指令。若接收到第一权限用户的授权指令，则执行步骤S104，否则结束授权过程，所述移动存储设备不被授权。在授权程序检测到移动存储设备并获取移动存储设备信息后，可以直接开始移动存储设备的授权工作，也可以询问第一权限用户是否进行授权并在得到确认后开始，还可以仅告知第一权限用户设备就绪，由第一权限用户选择启动授权工作从而发出授权指令或者选择退出结束授权过程。这三种处理方式都会产生授权指令，以启动执行授权操作。本步骤的过程是一个兼顾便捷性和程序合理性的过程。
[0034]步骤S104:在所述移动存储设备设置隐藏分区并将隐藏分区和其他分区进行格式化。格式化类型为NTFS、FAT或FAT32。隐藏分区是移动存储设备上对第二权限用户不可见的一部分存储区域，因此存储在其上的文件一般不容易被第二权限用户删除或改动，可以保证文件的安全性。所述格式化可以清除分区内的所有数据，空出存储空间和排除不相干的文件干扰(例如病毒文件)。
[0035]步骤S105:将所述移动存储设备的唯一性信息加密后的密文存储在所述移动存储设备的隐藏分区中。所述唯一性信息是可以唯一确定该移动存储设备的信息，可以用来标识和区分设备。本实施例中所述唯一性信息为设备的厂商号、设备号和出厂标识的组合。由于密文也是文件，其可以被转存。只有该密文包含的信息能够唯一确定移动存储设备，才能建立移动存储设备与工业设备的对应关系，否则当密文被大量复制后用于其他移动存储设备，会对工业设备带来不确定的影响，从而降低安全性。唯一性信息具备唯一性后，当密文被复制到其它存储设备后，该存储设备的厂商号、设备号和出厂标识的组合与原先产生密文的存储设备的厂商号、设备号和出厂标识的组合不同。所以当密文复制到其它存储设备后，该存储设备不可用。密文存储在隐藏分区中可以防止被第二权限用户误操作删除，保证文件的安全性。
[0036]上述加密可以采用RSA算法，DES算法以及MD5算法中的一种。在其他实施例中，还可以采用其他可行的加密算法。
[0037]步骤S106:对移动存储设备进行授权操作。所述授权操作生成权限信息，所述第二权限用户数据、唯一性信息和权限信息对应存储在所述工业设备内。该授权操作实际上是告知工业设备该移动存储设备可以信任。例如可以在工业设备内维护一个信任列表，进行授权操作即是在信任列表中添加该移动存储设备的相关信息。该权限信息还可以包括其他内容，例如该移动