蒙星潮 龙成 潘鹏羽 黄广

桂林电子科技大学 广西 桂林 541004

引言

在信息发展迅速的今天，移动存储设备的重要性也在逐渐提高，尽管现在有各种云空间、云服务可以用于上传分享，但是在面对需要保密的文件或者大文件时，移动存储介质更能够保护文件使其不被其他公司窃取，传输起来更便捷，适合公司内部进行传输。而当公司采用移动存储设备来对内部文件进行交换传输时，涉及设备的合法性问题，设备遗失之后文件的保密性问题等。

为了解决这些问题，使公司更好地使用移动存储设备，提出一个移动存储介质识别系统，该系统能够对接入系统的移动存储设备进行合法性检测，防止内部敏感文件非法复制；内部认证移动存储设备遗失后存储文件的保密性。

1 思想和工作原理

本系统通过C/S架构，利用四个模块对移动存储设备的合法性进行检测验证，分别是标签注册模块、标签认证模块、进程驻留模块、通信加密模块、文件变更监控模块。

本系统通过对设备进行标签注册及验证保证设备的合法性，每个电脑在使用移动存储设备前都需要进行标签的注册，注册之后通过认证即可使用，并且在注册、认证以及日志记录过程中采用国密算法对通信消息进行加密，防止中间人攻击截取到敏感信息，保证传输过程中信息的安全。经过注册的设备的分区表通过国密算法进行加密，未通过认证的设备无法显示文件内容，并且会被强制弹出，保证了文件的安全。为了防止人为关闭系统，绕过监管非法使用移动存储设备，系统通过任务管理器进行HOOK，实现进程保护功能。文件变更监控模块是对移动存储设备中的文件变化进行记录，并且上传到服务器作为日志保存。

2 具体设计与实现

2.1 标签注册模块

（1）所有的USB设备都有VID（Vendor ID，供应商识别码）和PID（Product ID，产品识别码），VID由供应商向USBIF（Implementers Forum，应用者论坛）申请。供应商通常还会给USB设备分配一个SN序列号（SerialNumber）。本系统获取移动存储设备信息之后获取到的PID、VID、SN等信息进行组合[2]生成GUID（Globally Unique Identifier，全局唯一标识符），将GUID写入保护扇区，将GUID传输到Flask服务端[3]记录，Flask服务端对移动存储设备和电脑信息进行记录。

（2）注册模块需要对设备的分区表进行加密，本系统中采用SM4对称加密技术对MBR、GPT分区表进行加密，利用生成的GUID和服务器分发的秘密值进行派生密钥，该密钥由SM3进行消息摘要运算，截取运算结果钱128位作为SM4的密钥，保证服务器的秘密值的安全，利用生成的密钥对分区表进行对称加密，将加密信息存储在指定扇区中，随后清空分区表，以达到系统无法识别当前移动存储介质的分区情况，进而保护介质内的文件资料安全。

2.2 标签认证模块

标签认证模块是对移动存储设备进行认证，保证设备的合法性以及设备的正常使用。标签的认证主要是通过以下三个步骤进行认证。

（1）获取当前电脑移动存储设备的信息，如PID、VID、SN等，组合成GUID；

（2）系统将组合而成的GUID发送至Flask服务端，服务端对GUID做对比认证，将认证结果返回系统；

（3）系统根据认证结果判断是否对已加密分区表进行解密，如果标签认证通过，则标签认证模块利用GUID生成的密钥对加密的分区表进行解密，解密成功后移动存储设备能够正常使用，否则弹出插入的移动存储设备[9]，禁止使用。

2.3 进程驻留模块

进程驻留模块是为了保证进程的正常运行，防止用户手动关闭客户端绕过监管使用非法移动存好处设备的一个模块，通过对任务管理器进行HOOK处理将Open Process函数进行一个拦截，并替换成自己自定义的Fake Open Process，实现了Ring3级别的进程保护，在任务管理器关闭一个进程时，检测关闭的进程是否为需要保护的进程。如果是[4]，则拒绝其操作，如果不是则正常处理。

2.4 文件变更监控模块

文件变更监控可以对存储设备内的文件变更情况进行一个持续扫描监控。系统采用Windows API 中的CreateFile 打开盘符的根目录，然后利用ReadDirectory ChangesW去循环监控目录以及子目录下的文件是否有变更[8]。如果有变更，则将变更内容保存至一个容器中，该容器以移动存储介质的GUID作为标识符。这样子可以保证到，一个插入使用过的移动存储介质，第二次插入到计算机中，即使盘符号变更了，其内容的修改仍然记录到其对应GUID的容器中，以便后续向服务器上传文件变更历史记录。

2.5 通信加密模块

本系统采用国密算法SM2、SM3、SM4进行通信的信息加密，以保证安全可信的消息传输，保护数据的安全[6-7]。这样子即使数据被中间截获，攻击者也无法得知消息的原本内容是什么，也无法对数据进行篡改，一旦篡改则会在接收消息的一方校验消息失败。这套国密算法是由国家发布的商用密码，SM2为公钥密码算法、SM3为摘要算法、SM4位为分组密码算法。

对称加密通信流程[1]如下：

2.5.1 发送方使用接收方的对称加密密钥对消息进行加密，得到密文。

2.5.2 发送方计算消息的Hash，并使用接收方的非对称加密公钥进行加密后，将二者发送到接收方。

2.5.3 接收方接收到密文后，使用对称加密密钥解密，得到消息明文

2.5.4 接收方使用非对称加密私钥解密，得到发送方的明文Hash。

2.5.5 接收方本地计算消息的Hash，与解密出来的Hash进行比较。如果相同则认为本次通信是可靠安全的，否则是不可信的。

3 测试与验证

3.1 测试结果

3.1.1 测试客户端的CPU占用率，如图1所示。

图1 客户端的CPU占用率图表

3.1.2 测试不同容量的移动存储介质识别并解密所需时间情况，如图2所示。

图2 不同容量的移动存储介质识别并解密所需时间情况图表

3.2 结果分析

通过对各个模块的测试以及上述的系统性能表可以看到，本系统所占用的资源较少，解密速度也满足正常需要，如果电脑的性能足够强大，则解密速度可以得到更好的提升，减少解密所花费的时间，CPU的占用率也会减少[5]。本系统不采用传统的DES密码算法以及RSA算法，而是创新性地使用国密算法，保证了系统的安全性，增加了攻击者对信息破译的难度。

4 结束语

本系统优点在于打破传统加密模式，采用国密算法对通信过程以及分区表进行加密，在保证不拖慢通信速度的情况下，提升了系统的安全性。采用分区表加密也是一大优势，对分区表进行加密，提升了系统的运行速度，而且保证了移动存储设备的合法性，防止移动存储设备在陌生电脑上使用，造成信息泄露。缺点在于只支持Windows平台，不能跨平台使用；并且对于低性能的电脑不太兼容，需要占用资源稍大。