一種新型的USB存儲設(shè)備訪問控制方案

熊聰聰 汪 鵬

(天津科技大學計算機科學與信息工程學院，天津 300222)

0 引言

USB存儲設(shè)備的廣泛應(yīng)用在給用戶帶來便利的同時也帶來了很大的信息安全隱患，各種針對USB存儲設(shè)備的木馬、病毒以及非授權(quán)用戶的使用都造成了嚴重的信息安全問題。目前，針對USB存儲設(shè)備的安全防護機制大多是在應(yīng)用層上實現(xiàn)，且主要是對主機端系統(tǒng)的防護。在這種防護方式下，當主機系統(tǒng)受到攻擊和破壞時，信息的安全性不能得到保證;同時由于應(yīng)用層的權(quán)限較低，使得訪問控制機制容易遭到破壞。

對此，本文提出的解決方案是增加一個運行Linux系統(tǒng)的嵌入式平臺(ARM S3C2410)作為安全終端，將訪問控制機制放在此嵌入式平臺中。這種設(shè)計方案不僅可以很好地防范針對USB存儲設(shè)備的攻擊，而且克服了傳統(tǒng)防護方式的固有缺陷，保障了用戶的信息安全。

1 系統(tǒng)總體設(shè)計

1.1 硬件結(jié)構(gòu)設(shè)計

嵌入式系統(tǒng)平臺硬件部分采用ARM9系列的S3C2410，它包含 ARM處理器、Flash存儲芯片、SDRAM、LCD、USB主機接口和 USB從設(shè)備接口等。USB主機接口與USB從設(shè)備接口支持USB1.1協(xié)議標準。USB從設(shè)備接口負責與主機系統(tǒng)的USB主口進行通信，ARM板上的USB主設(shè)備接口負責與外圍USB存儲設(shè)備通信。系統(tǒng)硬件結(jié)構(gòu)如圖1所示。

圖1 系統(tǒng)硬件結(jié)構(gòu)圖Fig.1 Structure of system hardware

1.2 軟件結(jié)構(gòu)設(shè)計

根據(jù)嵌入式Linux平臺的特點和功能實現(xiàn)的需要，設(shè)計的系統(tǒng)軟件結(jié)構(gòu)如圖2所示。USB存儲設(shè)備訪問控制機制在嵌入式Linux中實現(xiàn)，其中Mass Storage Gadget驅(qū)動模塊用來實現(xiàn)訪問控制功能，認證驅(qū)動模塊負責接收應(yīng)用程序發(fā)送來的數(shù)據(jù)并根據(jù)預(yù)先存儲的賬戶信息進行認證，USB從設(shè)備端控制器驅(qū)動負責與主機間的底層通信。系統(tǒng)中只有用戶認證應(yīng)用程序在應(yīng)用層運行，負責接收用戶輸入的信息。所有的訪問機制和口令都在驅(qū)動層中實現(xiàn)，提高了訪問控制機制的安全性。

圖2 系統(tǒng)軟件結(jié)構(gòu)圖Fig.2 Structure of system software

2 USB存儲設(shè)備功能的實現(xiàn)

在實現(xiàn)控制器驅(qū)動后，可利用Linux Gadget子系統(tǒng)實現(xiàn)對各種USB設(shè)備端的應(yīng)用，如存儲設(shè)備、USB轉(zhuǎn)網(wǎng)口和USB轉(zhuǎn)串口等。這里通過加載Mass Storage Gadget驅(qū)動模塊在S3C2410上實現(xiàn)存儲設(shè)備功能，使得ARM板連接到主機時自動識別為USB移動存儲設(shè)備。

2.1 Linux Gadget系統(tǒng)結(jié)構(gòu)

運行于一個USB外設(shè)的系統(tǒng)在Linux內(nèi)核中被稱為Gadget子系統(tǒng)，分為USB設(shè)備控制(USB device control，UDC)層、設(shè)備驅(qū)動層(Gadget驅(qū)動)和 Gadget應(yīng)用程序接口(Gadget application program interface，Gadget API)層［1］。Linux Gradget系統(tǒng)框架如圖3 所示。

圖3 Linux Gadget系統(tǒng)框架Fig.3 System framework of Linux Gadget

UDC驅(qū)動是Gadget子系統(tǒng)中最底層的軟件層，也是硬件相關(guān)層。UDC驅(qū)動負責控制USB設(shè)備和主機間的底層通信，向上層提供與硬件相關(guān)操作的回調(diào)函數(shù)［1］。Gadget API是UDC驅(qū)動程序回調(diào)函數(shù)的簡單包裝，功能為向上提供編程接口。Linux USB設(shè)備側(cè)驅(qū)動程序使用 struct USB_gadget描述 UDC，使用 struct USB_ep表示端點。Gadget API通過這兩個結(jié)構(gòu)對下層硬件進行管理。Gadget驅(qū)動層是Linux Gadget子系統(tǒng)中的高層驅(qū)動，負責實現(xiàn)struct USB_gadget_driver結(jié)構(gòu)，并調(diào)用UDC驅(qū)動提供的Gadget API函數(shù)usb_gadget_register_driver()和usb_gadget_unregister_driver()在內(nèi)核中進行注冊和注銷操作［2］。硬件細節(jié)隱藏在不同的UDC驅(qū)動中，所以Gadget驅(qū)動是硬件不相關(guān)的，只負責具體設(shè)備功能的實現(xiàn)。

2.2 Mass Storage Gadget驅(qū)動模塊設(shè)計

Mass Storage Gadget驅(qū)動是Gadget子系統(tǒng)中的最高層，使ARM S3C2410連接主機時表現(xiàn)為一個移動存儲設(shè)備［3］，并使用雙緩沖技術(shù)來提高數(shù)據(jù)吞吐量。

驅(qū)動模塊的init()函數(shù)使用usb_gadget_register_driver(＆fsg_driver)函數(shù)完成驅(qū)動模塊的注冊，當設(shè)備連接時，調(diào)用fsg_bind()函數(shù)。fsg_bind()函數(shù)負責Gadget驅(qū)動和下層設(shè)備控制器的關(guān)聯(lián)、分配Mass Storage設(shè)備需要的端點以及傳送數(shù)據(jù)所需的數(shù)據(jù)緩沖區(qū)，其中最主要的功能是創(chuàng)建處理線程函數(shù)fsg_main_thread()。線程函數(shù)fsg_main_thread()是Gadget設(shè)備操作的主要處理函數(shù)，負責處理設(shè)備的各種操作及事件［4］，通過調(diào)用 get_next_command()函數(shù)不斷讀取主機端的命令，并將之發(fā)送給do_scsi_command()函數(shù)進行處理［8］。處理線程的生命周期在Gadget設(shè)備的fsg_bind()函數(shù)回調(diào)期間開始，在fsg_unbind()函數(shù)調(diào)用期間結(jié)束。

2.3 Mass Storage Gadget驅(qū)動模塊的移植

在Linux Kernel 2.6版本中，USB Gadget子系統(tǒng)的驅(qū)動代碼在/kernel/drivers/usb/gadget目錄下。配置好內(nèi)核中所需的USB Gadget功能，執(zhí)行make modules SUBDIRS=/drivers/usb/gadget命令，則在Gadget目錄下生成g_file_storage.ko文件，此時驅(qū)動模塊已經(jīng)可以使用。在加載驅(qū)動之前，必須根據(jù)硬件設(shè)計在內(nèi)核中添加設(shè)備插入通知函數(shù)。此外，由于USB主機和設(shè)備接口均需要48 MHz的時鐘，而ARM S3C2410中使用USB鎖相環(huán)(USB phase locked loop，UPLL)為 USB產(chǎn)生時鐘，所以還需向UPLLCON(UPLL控制寄存器)中寫入相應(yīng)值，以提供USB所需的時鐘。

修改 arch/arm/mach－s3c2410/mach－smdk2410.c添加內(nèi)核通知函數(shù)的主要代碼如下。

設(shè)備上電啟動后加載驅(qū)動，在終端輸入insmod g_file_storage_ko file=/dev/sda removable=1命令即可掛載驅(qū)動模塊，其中參數(shù)file=/dev/sda表示將插入的USB存儲設(shè)備在/dev目錄下生成的設(shè)備文件用于數(shù)據(jù)交互，removable參數(shù)表示是否為可移除設(shè)備。加載完畢后，將S3C2410設(shè)備的USB Device接口與主機系統(tǒng)的USB主機接口使用USB線連接，主機將其識別為USB存儲設(shè)備。

3 訪問控制功能的實現(xiàn)

訪問控制是為了限制訪問用戶對于關(guān)鍵資源(處理器、路由器、應(yīng)用程序、數(shù)據(jù)文檔和系統(tǒng)文檔)的訪問，防止用戶的非授權(quán)操作所造成的信息安全問題［5］。用戶只有在經(jīng)過身份認證并得到授權(quán)后，才能根據(jù)訪問控制機制預(yù)先設(shè)定的規(guī)則對資源進行訪問。

本方案采用基于角色的訪問控制機制，通過定義不同角色權(quán)限并為訪問用戶分配角色實現(xiàn)訪問控制，具有實現(xiàn)簡單、責任獨立和節(jié)約管理開銷等優(yōu)點［6］。在系統(tǒng)中，認證驅(qū)動模塊負責用戶角色的分配并輸出認證結(jié)果，Mass Storage Gadget驅(qū)動模塊則根據(jù)認證結(jié)果分配權(quán)限實現(xiàn)訪問控制。

3.1 訪問控制模型設(shè)計

本方案采用基于角色的訪問控制方式，將用戶角色分為角色A(讀權(quán)限)、角色B(寫權(quán)限)、角色C(讀寫權(quán)限)和角色D(無權(quán)限)。用戶通過應(yīng)用程序與認證驅(qū)動模塊交互，獲取角色并得到相應(yīng)的訪問權(quán)限。在Mass Storage Gadget驅(qū)動中，do_scsi_command()函數(shù)負責對命令進行解析并做出相應(yīng)處理，修改此函數(shù)中對于讀寫命令的處理可實現(xiàn)預(yù)先的規(guī)則設(shè)定。如角色A讀權(quán)限設(shè)定可通過修改SC_READ_10命令的處理實現(xiàn)，主要代碼如下。

3.2 認證模塊的設(shè)計與實現(xiàn)

認證模塊負責接收用戶登錄信息并分配相應(yīng)角色。由于Linux系統(tǒng)中用戶一般只能在用戶態(tài)執(zhí)行，因此不具有訪問內(nèi)核層中的數(shù)據(jù)結(jié)構(gòu)和程序的權(quán)限;而對于存儲設(shè)備的訪問控制又在驅(qū)動模塊中也就是內(nèi)核層實現(xiàn)，所以必需解決用戶態(tài)和內(nèi)核態(tài)的轉(zhuǎn)換問題，才能進行相應(yīng)的權(quán)限控制。在Linux中，可通過系統(tǒng)調(diào)用處理程序、調(diào)度程序和中斷處理程序三種方式實現(xiàn)用戶態(tài)和內(nèi)核態(tài)的轉(zhuǎn)換［7］。以下采用驅(qū)動模塊引用機制也就是系統(tǒng)調(diào)用處理程序的方式設(shè)計和實現(xiàn)認證模塊。

3.2.1 Linux 驅(qū)動模塊引用機制

在Linux模塊機制中，用戶可以把新的功能作為一個模塊動態(tài)地加入內(nèi)核。一般使用insmod命令裝載模塊，然后使用內(nèi)核的符號表解析模塊中未解析的符號。modprobe命令與insmod命令類似，它也可以將模塊裝載到內(nèi)核，另外會在當前模塊搜索路徑中查找依賴模塊，并按一定的順序裝載到內(nèi)核中。Linux內(nèi)核中的公共內(nèi)核符號表保存了所有的全局內(nèi)核項，包括模塊訪問的符號和相應(yīng)地址。驅(qū)動模塊被裝入內(nèi)核時可以利用EXPORT_SYMBOL和EXPORT_SYMBOL_GPL宏導(dǎo)出符號到公共內(nèi)核符號表中，同時可以被其他模塊引用，引用模塊依賴于導(dǎo)出符號模塊［8］。

3.2.2 認證模塊的實現(xiàn)

根據(jù)Linux的驅(qū)動模塊引用機制，通過添加認證驅(qū)動模塊實現(xiàn)認證過程。系統(tǒng)認證流程如圖4所示。

圖4 系統(tǒng)認證流程圖Fig.4 Flowchart of system certification

設(shè)計方法是將認證驅(qū)動模塊實現(xiàn)為字符驅(qū)動，提供open、write、read操作并導(dǎo)出表示角色的符號(User)。同時設(shè)定Mass Storage Gadget驅(qū)動模塊引用認證模塊導(dǎo)出的符號，并使用modprobe命令加載各驅(qū)動模塊。認證時首先由認證驅(qū)動模塊從應(yīng)用程序中接收信息，并根據(jù)Flash中預(yù)先存放的口令信息對用戶身份進行認證;然后認證驅(qū)動模塊根據(jù)認證結(jié)果導(dǎo)出符號并向應(yīng)用程序返回狀態(tài)信息;最后由Mass Storage Gadget驅(qū)動模塊根據(jù)不同的符號值賦予用戶相應(yīng)的訪問權(quán)限。

3.3 用戶認證應(yīng)用程序設(shè)計

認證應(yīng)用程序的作用是接收用戶信息并與認證模塊交互。系統(tǒng)中應(yīng)用程序使用QT4編寫，采用多線程編程方式。主線程負責接收用戶輸入的口令信息并將其傳遞給認證模塊，然后阻塞等待認證模塊的反饋，子線程負責加載設(shè)備。通過用戶認證應(yīng)用程序，用戶可以方便地選擇加載USB存儲設(shè)備并輸入口令，在獲取反饋信息后進行相應(yīng)權(quán)限的訪問。

3.4 訪問控制功能測試

用戶打開認證應(yīng)用程序，輸入口令進行認證，獲取角色權(quán)限對設(shè)備進行訪問，如發(fā)生越權(quán)訪問，則發(fā)出警告信息。經(jīng)過測試證明，系統(tǒng)可以有效地對USB存儲設(shè)備進行訪問控制，用戶只能在認證授權(quán)后按照相應(yīng)權(quán)限進行訪問。

4 結(jié)束語

本文提出了一種利用嵌入式平臺實現(xiàn)USB存儲設(shè)備訪問控制的方案，以運行Linux的ARM S3C2410為例給出了詳細的設(shè)計和實現(xiàn)方法。該方案將訪問控制機制放在嵌入式平臺中，實現(xiàn)主機系統(tǒng)與外圍USB存儲設(shè)備物理上的隔離;同時，所有對USB存儲設(shè)備的訪問均由嵌入式平臺進行安全控制。試驗證明，此方案克服了傳統(tǒng)防護方式過于依賴主機系統(tǒng)的缺陷，很好地解決了使用USB存儲設(shè)備所引起的信息安全隱患，所涉及的軟件模塊和訪問控制機制的設(shè)計可以方便地應(yīng)用于其他的嵌入式Linux平臺，具有很好的移植性和參考價值。

［1］Linux-USB Community.Linux-USB Gadget API framework［EB/OL］.［2005 －06 －08］.http://www.linux － usb.org/gadget/.

［2］李傳偉，胡金春.嵌入式Linux下USB Gadget驅(qū)動框架研究［J］.航天控制，2006，24(6):51 －55.

［3］Xu Zhe，Liu Zhuo，Zhang Hua，et al.Development of Linux based USB device driver for portable spectrometer［C］//Proceedings of the 21st Annual International Conference on Chinese Control and Decision Conference，2009:5125 －5128.

［4］劉超.Linux平臺下USB大容量存儲設(shè)備驅(qū)動程序的改進與優(yōu)化［D］.北京:北京交通大學，2008.

［5］段云所，魏仕民，唐禮勇，等.信息安全概論［M］.北京:高等教育出版社，2003:114－126.

［6］韓若飛，汪厚祥.基于任務(wù)-角色的訪問控制模型研究［J］.計算機工程與設(shè)計，2007，28(4):800 －802.

［7］Bovet D P，Cesati M.深入理解 LINUX 內(nèi)核［M］.3版.陳莉君，馮銳，牛欣源，譯.北京:中國電力出版社，2007.

［8］Corbet J，Rubinia A，Kroah-Hartman G.Linux設(shè)備驅(qū)動程序［M］.2版.魏永明，耿岳，鐘書毅，譯.北京:中國電力出版社，2006.