一種新型移動保密存儲設備

摘 要:現有移動存儲設備為人們工作帶來極大方便的同時也帶來了極大的失泄密隱患和管理上的難題，這是由于存儲介質本身一經涉密終生涉密、數據易被恢復;而且設備工作于通用的文件管理系統下，擺渡攻擊現象大量存在，因此使用現有移動存儲設備無法保證非保密網與保密網之間的信息交換的安全性?？啼浌獗P在一定程度上解決了問題，但累計成本高，工作效率低下。針對以上情況，為了解決因移動存儲設備的使用而造成的物理隔離網絡間信息交換的安全性問題，提出了以FPGA為控制核心和SDRAM為存儲介質，USB為傳輸端口制作新型移動保密存儲器的設想，進行了硬件的選擇與軟件的設計，并完成了原理樣機的制作。原理樣機實現了預期設想，可以安全、高效、穩定地進行物理隔離網絡之間的信息傳輸。創新之處在于應用SDRAM為存儲介質，同時考慮軟件和硬件，確保安全保密。

關鍵詞:移動存儲設備;FPGA;USB 2.0;SDRAM;通信協議

中圖分類號:TP309文獻標識碼:A

文章編號:1004-373X(2010)05-089-03

New Removable Privacy Storage Equipment

XIONG Yupeng，CHENG Xingxin，PANG Junrui

(College of Optoelectronic Science and Engineering，National University of Defense Technology，Changsha，410073，China)

Abstract:The widely use of the common removable storage equipment not only brings convenience to our work but also causes the problems of security，the reasons are common storage memory and the use of the system of Windows，so it is unsafety for data exchanging between the physical separated networks using the common removable storage equipment.The use of CD/DVD takes too much time and the cost is rather high.A new equipment based on the center controller FPGA and SDRAM storage memory is designed，the USB port is used.A series of software are designed to support this hardware under QuartusⅡ IDE and C.It can solve the security problems，the sample equipment has been made out.It works in security effectively and steadily between the separated networks.Using SDRAM storage memory and taking the hardware and software both into consideration at the same time to make sure the safety.

Keywords:removable storage equipment;FPGA;USB 2.0;SDRAM;communication protocol

0 引 言

現有移動存儲設備的廣泛使用極大方便了工作和生活，但不可否認的是移動存儲設備的廣泛使用也帶來了失密、泄密問題。經過調研發現，這是由于現有移動存儲設備自身的工作機理引起的，例如U盤以FLASH為存儲介質，存在數據不能徹底清除、易被恢復等數據安全問題，設備丟失也是泄密的隱患;同時由于現有移動存儲設備大多使用Windows的通用驅動和通用文件管理系統，為擺渡病毒的攻擊提供了便利條件，使擺渡攻擊大量存在;另外，現有移動存儲設備數據的拷貝過程難于監管，無意泄密和有意泄密事件大量存在，且管理上的難度較大。綜上所述現有移動存儲設備已成為失泄密的重要隱患，亟待解決?，F有保密手段大多是采用軟件上的設計來確保移動存儲設備的安全性，像設置口令認證、加密等方法，軟件易被攻破。另外，人為地加強對涉密文件的監督和管理，但考慮的不夠深入，應該將監督管理建立在技術層面上并與人為管理相結合。本文綜合考慮現有移動存儲設備保密手段，提出了軟硬件同時下手的設想，硬件上以SDRAM為存儲介質、以USB為接口，以FPGA為控制核心;軟件上編寫了相應的通信協議和程序來支持硬件，設計并制作出了一種新型移動保密存儲設備，可有效解決現有移動存儲設備存在的安全隱患問題。利用SDRAM 做為存儲介質進行安全保密的討論尚屬首例，軟硬件結合雙管齊下創新點突出明顯。該設計方案具有重要的現實意義和廣闊的應用前景[1]。

1 系統功能的設計

與現有移動存儲存儲設備不同，首先新型移動保密存儲設備以SDRAM為存儲介質代替FLASH介質，利用其斷電后數據完全清空不可恢復的物理特性來解決現有存儲介質存在的一經涉密終生涉密的問題，如系統結構圖1中①所示。其次考慮到病毒的傳播以及擺渡攻擊均是利用了Windows通用USB存儲設備驅動實現對移動存儲設備的數據讀寫，該新型設備通過建立與硬件配套的專用文件拷貝軟件和專用驅動程序，建立獨特的文件讀寫機制來杜絕一切用戶不知情的文件操作，因此，無論是U盤病毒還是擺渡病毒都無法破壞U盤中的數據，也不會在計算機和網絡中傳播病毒，更不會因為病毒引起泄密，從而切斷病毒傳播以及信息泄露的渠道，如系統結構圖1中②所示。最后還在該設備上建立了日志系統，詳細記錄設備的使用情況和數據的拷貝記錄，該日志文件存在FLASH芯片上，并對該記錄設定了訪問權限，只有管理員才能訪問清空該日志記錄，由管理員定期檢查使用情況，這就在技術層面上解決現有移動存儲設備存在的管理問題，如系統結構圖1中③所示。

圖1 系統結構簡圖

另外設備的電源系統由電池和電池芯片組成。設備與計算機相互連接時由USB線進行供電，與計算機脫離時須由外接電源供電，用以維持SDRAM上存儲的數據信息，其中由FPGA來控制SDRAM斷電[2]。

2 開發板的選取

根據新型移動存儲保密系統的設計方案，可以確定需要的硬件資源，為了更好地實現設備的功能，縮短開發周期，決定采用市場上的開發板，通過調研，認為杭州自由電子公司的FreeDev USB_FPGA開發板比較合適。該開發板集成了低功耗USB 20控制芯片CY7C68013A-100AXC，該芯片符合USB 20規范，480 Mb/s高速傳輸協議標準，兼容USB 11協議;Cyclone Ⅲ FPGA芯片EP3C25Q240C8，該芯片提供足夠的FPGA資源;SDRAM芯片K4S561632C-TC/L60，并且SDRAM的容量可按需要進一步擴展;該開發板還提供了板級時序控制的擴展接口，較方便地實現FPGA和USB 2.0的高速傳輸，相關測試表明開發板的傳輸峰值速度可達38 Mb/s，Bust方式測試25 Mb/s穩定傳輸 [3]。

由此可見該開發板的硬件資源以及軟件開發包均滿足需求，故選用該開發板，進行原理樣機的制作。

3 系統軟件的設計

3.1 通信協議的制定

綜合分析原理樣機的系統要求以及開發版所提供的硬件資源，考慮數據傳輸的需要，將SlaveFIFO每一個數據包的大小設定為512 B，所以每個傳輸單元的數據包大小也是512 B。每個數據包的前12個字節用作協議控制，用以區分不同的命令和不同的讀寫參數。根據存儲工作的具體過程，制定了上位機和下位機之間的通信協議以及命令字，如表1所示。

表1 數據結構

命令標識起始地址數據長度存儲器標識數據

4 B4 B2 B2 B500 B

根據通信協議的要求，命令標識用來標識數據的讀或者寫，起始地址是數據讀寫的基地址，考慮到一般的數據大小需要，數據地址采用4 B編碼可支持4 GB的尋址能力，可以滿足大多數數據拷貝的需要;數據長度標識本數據包數據中的有效字節數，其中命令標識見表2。

表2 命令字

命令標識存儲器識命令意義/主控芯片響應

0x550x550x550x550x000x00將SDRAM中從【起始地址】開始的【數據長度】個字節數據傳到USB FIFO

0x550x550x550x550xff0xff將FLASH中從【起始地址】開始的【數據長度】個字節數據傳到USB FIFO

0xaa0xaa0xaa0xaa0x000x00將【數據】從【起始地址】開始寫入到SDRAM

0xaa0xaa0xaa0xaa0xff0xff將【數據】從【起始地址】開始寫入到FLASH

3.2 上位機軟件設計[4]

為了確?？截愋袨榈陌踩?，開發了自己的文件管理系統，用以區別相對于Windows的文件管理系統，形成軟硬件的配套結合來確保數據拷貝的安全，可以通過對文件管理系統的修改來防止設備被攻破，造成泄密。數據從上位機傳送到單片機控制下的FIFO端口上，并能夠從FIFO端口讀取數據，實現軟件對硬件的控制，利用VC++6.0編寫了PC端文件管理軟件，完成對下位機的控制，軟件流程如圖2，圖3所示。

圖2 寫文件流程

圖3 讀文件流程

3.3 下位機固件設計[5]

單片機工作在SlaveFIFO方式下，上位機的數據直接發送到FIFO到端口上。FPGA內部設計了USB接口控制器，該控制器根據SlaveFIFO的信號狀態做出響應，接受并解析上位機的數據，并用SDRAM控制器協調存儲器的讀寫，拷貝的數據存儲于SDRAM上，而日志信息則存儲于FLASH芯片上。利用QuartusⅡ8.1及NiosⅡIDE軟件編寫芯片控制程序，軟件流程如圖4所示。

圖4 軟件流程圖

3.4 日志系統

每次讀寫操作均記錄源硬盤號，操作時間，文件名，生成日志系統，并將日志存儲于新型移動保密存儲設備上的FLASH芯片上，并對日志的讀取設置權限管理，使用者沒有日志的訪問權，只有管理員才能訪問清空日志，這樣就從技術層面上加強了移動存儲設備的管理與監督。

4 結 語

本文進行了針對當前保密嚴峻形勢下關于移動存儲設備的保密手段和方案的討論，并利用FPGA作為控制元件，利用USB作為傳輸端口，SDRAM為存儲介質建立了軟硬件結合的保密體系，并成功將該設備樣機制作完成。該設備樣機實現了數據的拷進、拷出功能，完全可靠，數據拷貝行為結束后，為設備斷電后再檢查可以發現設備上所有數據均已消失，接通外接電源后將設備與非保密機連接，進入到專有的文件拷貝界面重復數據拷貝，驗證了該設計方案的可行性。同時在理論上說明完全可以應用SDRAM斷電數據清空的特性作為存儲介質進行保密設備的制作，可以有效解決數據的可恢復問題，具有重要的現實意義。同時該設備存儲容量可以進一步擴展，傳統的保密手段(口令認證、增加密鑰、設置訪問權限等)完全可以在該設備上拓展，使之功能更加完善。該設備推廣性強，應用前景廣闊，能夠滿足一些對保密要求較高的單位和個人使用。

參考文獻

[1]袁衛，張冬陽.基于Verilog 的FPGA與USB 2.0高速接口設計[J].現代電子技術，2009，32(1):161-163.

[2]余家春.Protel 99 SE 電路設計實用教程[M].北京:中國鐵道出版社，2003.[3]FreeDev.自由電子開發板數據手冊及配套資料.2008.

[4]Kris Jamsa.C程序員實用大全[M].張春暉，劉大慶，李越，等譯.北京:中國水利水電出版社，2002.

[5]程耀林.FPGA系統設計方法解析[J].現代電子技術，2005，28(19):90-93.

[6]黃大勇，李鑒，張建正.基于USB 2.0接口的高速數據采集系統設計[J].現代電子技術，2007，30(24):69-72.

[7]Samsung.Samsung SDRAM Memory K4S561632E.2004.

[8]O2micro technology company.0z890 Datasheet.2007.

[9]崔俊杰，郭宏.基于FPGA的實時數據采集與遠程傳輸系統設計[J].數據采集與處理，2005，20(3):366-370.

[10]朱明程.可編程邏輯系統的VHDL設計技術[M].南京:東南大學出版社，1998.

王祥，阮利華，周榮政，等.USB 2.0接口系統的設計與應用[J].計算機工程與應用，2005，41(6):98-100.