浅谈三种移动存储介质中数据交换的防泄密方案

何思思+吴一冰+刘新永+王伟

【摘 要】 本文分析了信息化办公模式下的几中泄密途径和目前的应对办法，并就使用移动存储介质进行数据交换时可能出现的涉密问题进行剖析，提出了专用安全U盘、版权U盘、堡垒U盘三种管控方案，并对三种防泄密解决方案进行了对比，涉密单位可结合业务需求以及涉密要求，采购不同种类的安全U盘以满足单位自身的安全需要。

【关键词】 信息化办公安全 U盘版权 U盘堡垒 U盘数据扩散防涉密

1 概述

随着各种移动设备的普及，通过使用移动存储介质带来的泄密事件也逐渐增多。在当下的各种信息化办公模式下，单位内使用移动存储介质进行数据交换，其可能产生的泄密途径有以下几种：（1）使用市面普通Flash芯片版的移动存储设备进行数据交换；（2）通过网络方式进行数据交换，例如：Email、QQ、Wi-Fi文件共享、蓝牙/红外线数据传输等；（3）脱离计算机环境，使用相机、手机的拍照功能对文件内容进行拍照，单向窃取数据。

2 方案介绍

2.1 方案一：专用安全U盘，一款基于数据安全进出U盘为管控点的安全解决方案

U盘配有多个安全参数，由安全管理员通过安全管理工具对U盘进行初始化设置，初始化成功后再分配给单位员工使用。安全防护特性维度涉及：数据访问防护、U盘登陆防护、非授权访问处理、U盘密码保护和操作审计管理。

2.1.1 数据访问防护

物理区域访问防护：盘文件阅览是基于安全厂家自主研发的安全资源浏览器，U盘文件存储是基于安全厂家自主研发的文件系统，从根源上断绝非授权第三方应用程序通过任何渠道访问U盘。

数据阅览防护：U盘配有多个密码，使用不同的密码进入U盘所看到的U盘文件目录结构各不相同。使用普通密码登陆U盘，看到U盘上所有文件/文件夹；使用超级密码登陆U盘，看到的只是部分授权可见的文件/文件夹。

数据防拷出保护：凡是被用户打上“防拷出”标签的文件/文件夹，不允许非授权用户通过任何途径将此文件/文件夹拷出U盘。例如：Windows右键复制/粘贴、另存为、快捷键复制/粘贴、鼠标拖曳、右键发送到桌面等。只允许输入正确的授权密码方可进行文件/文件夹拷出。

写入数据到U盘防护：管理员对U盘开启“写入保护”后，U盘使用者只能凭正确密码方可执行写入操作，否则不允许对U盘上的数据进行任何的改变，例如：新建文件/文件夹、重命名文件/文件夹、修改文件内容、删除文件/文件夹、粘贴文件/文件夹。

使用过程中的实时防护：在使用U盘的过程中，若发现有违规操作，U盘立即自动关闭资源管理器窗口，自动退出，禁止用户对U盘进行任何的访问操作。例如：当前物理计算机临时接入互联网，当前物理计算机中途脱离了内网管理环境等。

文件粉碎机制：提供文件粉碎功能，增强已删除数据防恢复保护。

2.1.2 U盘登陆防护

进入U盘之前需要通过合法授权身份认证。认证判断包含但不限于：密码认证、U盘使用有效期判断、U盘有效使用次数判断、U盘安全日志存储空间可用大小为零判断、当前物理计算机是否为合法授权终端判断、当前物理计算机是否联接互联网、限定允许的密码连续错误输入次数判断、当前是不是在虚拟机上运行U盘、当前是不是安全模式。

2.1.3 U盘密码防护

（1）密码强度保护。要求密码具有一定要求的格式要求，例如：最短字符数、允许的字符格式等。（2）密码过期保护。要求每隔一个时间段需要设定新的U盘密码，密码过期后不允许使用U盘。（3）密码初始化保护保护。当用户忘记U盘密码时，可通过手机发送短信验证码、回答密保问题途径找回密码，也可以寻求管理员初始化密码。对于涉密级别高的单位，管理员初始化密码的同时会自动粉碎U盘上的数据。

2.1.4 操作审计管理

U盘上的各种Windows文件操作动作都会一一审计，并存储在U盘黑匣子区域。此区域仅能由管理员通过安全厂家提供的安全工具进行管理：阅览、删除、导出另存为。

2.1.5 非授权访问处理

根据涉密等级，管理员可配置非法操作的处理，包含但不限于：短信自动发送告警信息、后台对U盘数据进行粉碎、不允许登陆U盘、U盘瞬间放电销毁。

2.2 方案二：版权U盘，一款基于数据扩散为管控点的安全解决方案

U盘上的文件只许阅览，不许编辑，不许另存为，不许删除。安全防护特性维度涉及：U盘登陆防护、数据访问防护、U盘密码保护、操作审计管理和非授权访问处理。

2.2.1 U盘登陆防护

进入U盘之前需要通过合法授权身份认证。认证判断与方案1相同。

2.2.2 数据访问防护

（1）U盘数据写入。唯有使用安全厂家提供的安全管理工具将文件批量一次性写入U盘。

（2）U盘文件访问。只能在U盘上鼠标双击文件阅览文件，文件无法另存为，无法编辑，无法删除。U盘在Windows下以CD-ROM形式加载，只读属性，任何非授权的第三方应用程序无法对U盘数据区域进行写操作。

（3）物理区域访问防护。U盘文件阅览是基于安全厂家自主研发的安全资源浏览器，U盘文件存储是基于安全厂家自主研发的文件系统，从根源上断绝非授权第三方应用程序通过任何渠道访问U盘。

（4）U盘使用过程中的实时防护。在使用U盘的过程中，若发现有违规操作，U盘立即自动关闭资源管理器窗口，自动退出，禁止用户对U盘进行任何的访问操作。例如：当前物理计算机临时接入互联网，当前物理计算机中途脱离了内网管理环境等。

2.2.3 U盘密码保护

与方案1中的U盘密码保护相同。

2.2.4 操作审计管理

与方案1中的操作审计管理相同。endprint

2.2.5 非法访问处理

与方案1中的非授权访问处理相同。

2.3 方案三：堡垒U盘，一款基于安全环境为管控点的安全解决方案

登陆U盘，计算机瞬间进入“影子模式”。退出U盘，重启计算机，计算机恢复到计算机进入“影子模式”之前的状态，用户在“影子模式”状态下对本地磁盘进行的任何读写操作均无效，仅保存在U盘上的数据真实有效。安全防护特性维度涉及：U盘登陆防护、数据访问防护、U盘密码保护、操作审计管理和非授权访问处理。

2.3.1 U盘登陆防护

进入U盘之前需要通过合法授权身份认证。认证判断与方案2相同。

2.3.2 数据访问防护

（1）只允许在单机环境中使用该U盘，不允许有任何网络数据包发送和接收。

（2）通过合法身份认证成功登陆U盘后，用户使用该U盘就像使用普通U盘一样，使用Windows资源管理器访问，读写不受限制。

（3）用户退出U盘，计算机退出影子模式，重启计算机后，计算机恢复到用户进入U盘“影子模式”前的状态。用户在“影子模式”下对本地磁盘进行的任何读写操作均无效，唯有保存在U盘上的数据真实有效。

（4）若需要将U盘上的数据拷出，唯有输入正确的理员授权密码，否则数据离不开U盘。

（5）U盘使用过程中的实时防护。在使用U盘的过程中，若发现有违规操作，U盘立即自动关闭资源管理器窗口，自动退出，禁止用户对U盘进行任何的访问操作。例如：当前物理计算机临时接入互联网，当前物理计算机中途脱离了内网管理环境等。

（6）文件粉碎机制。提供文件粉碎功能，增强已删除数据防恢复保护。

2.3.3 U盘密码保护

与方案1中的U盘密码保护相同

2.3.4 操作审计管理

U盘上的各种Windows文件操作动作都会一一审计，并存储在U盘黑匣子区域。此区域仅能由管理员通过安全厂家提供的安全工具进行管理：阅览、删除、另存为。

2.3.5 非授权访问处理

与方案1中的非授权访问处理相同。

3 方案对比（表1）

4 结语

本文分析了信息化办公模式下的几中泄密途径和目前的应对办法，并就使用移动存储介质进行数据交换时可能出现的涉密问题进行深入剖析，提出了专用安全U盘、版权U盘、堡垒U盘三种管控方案。本文所对比的三种防泄密解决方案各有侧重点，涉密单位可结合自身的业务需求以及涉密要求，采购不同种类的安全U盘以解决单位自身的安全需要。

参考文献：

[1]李为，刘嘉勇.一种基于分区引导扇区控制的移动存储介质安全控制方法[J].成都信息工程学院学报，2007年01期.

[2]廖洪其，凌捷，郝彦军，柯钢.USB移动存储设备的惟一性识别方法研究[J].计算机工程与设计，2010年12期.

[3]赵静.移动存储设备的硬件加密系统[D].天津工业大学，2008年.

[4]吴毓书，张宝峰，张翀斌，许源，饶华一.基于APDU数据交换协议的安全U盘通信模型[J].清华大学学报（自然科学版），2012年10期.endprint

2.2.5 非法访问处理

与方案1中的非授权访问处理相同。

2.3 方案三：堡垒U盘，一款基于安全环境为管控点的安全解决方案

登陆U盘，计算机瞬间进入“影子模式”。退出U盘，重启计算机，计算机恢复到计算机进入“影子模式”之前的状态，用户在“影子模式”状态下对本地磁盘进行的任何读写操作均无效，仅保存在U盘上的数据真实有效。安全防护特性维度涉及：U盘登陆防护、数据访问防护、U盘密码保护、操作审计管理和非授权访问处理。

2.3.1 U盘登陆防护

进入U盘之前需要通过合法授权身份认证。认证判断与方案2相同。

2.3.2 数据访问防护

（1）只允许在单机环境中使用该U盘，不允许有任何网络数据包发送和接收。

（2）通过合法身份认证成功登陆U盘后，用户使用该U盘就像使用普通U盘一样，使用Windows资源管理器访问，读写不受限制。

（3）用户退出U盘，计算机退出影子模式，重启计算机后，计算机恢复到用户进入U盘“影子模式”前的状态。用户在“影子模式”下对本地磁盘进行的任何读写操作均无效，唯有保存在U盘上的数据真实有效。

（4）若需要将U盘上的数据拷出，唯有输入正确的理员授权密码，否则数据离不开U盘。

（5）U盘使用过程中的实时防护。在使用U盘的过程中，若发现有违规操作，U盘立即自动关闭资源管理器窗口，自动退出，禁止用户对U盘进行任何的访问操作。例如：当前物理计算机临时接入互联网，当前物理计算机中途脱离了内网管理环境等。

（6）文件粉碎机制。提供文件粉碎功能，增强已删除数据防恢复保护。

2.3.3 U盘密码保护

与方案1中的U盘密码保护相同

2.3.4 操作审计管理

U盘上的各种Windows文件操作动作都会一一审计，并存储在U盘黑匣子区域。此区域仅能由管理员通过安全厂家提供的安全工具进行管理：阅览、删除、另存为。

2.3.5 非授权访问处理

与方案1中的非授权访问处理相同。

3 方案对比（表1）

4 结语

本文分析了信息化办公模式下的几中泄密途径和目前的应对办法，并就使用移动存储介质进行数据交换时可能出现的涉密问题进行深入剖析，提出了专用安全U盘、版权U盘、堡垒U盘三种管控方案。本文所对比的三种防泄密解决方案各有侧重点，涉密单位可结合自身的业务需求以及涉密要求，采购不同种类的安全U盘以解决单位自身的安全需要。

参考文献：

[1]李为，刘嘉勇.一种基于分区引导扇区控制的移动存储介质安全控制方法[J].成都信息工程学院学报，2007年01期.

[2]廖洪其，凌捷，郝彦军，柯钢.USB移动存储设备的惟一性识别方法研究[J].计算机工程与设计，2010年12期.

[3]赵静.移动存储设备的硬件加密系统[D].天津工业大学，2008年.

[4]吴毓书，张宝峰，张翀斌，许源，饶华一.基于APDU数据交换协议的安全U盘通信模型[J].清华大学学报（自然科学版），2012年10期.endprint

2.2.5 非法访问处理

与方案1中的非授权访问处理相同。

2.3 方案三：堡垒U盘，一款基于安全环境为管控点的安全解决方案

登陆U盘，计算机瞬间进入“影子模式”。退出U盘，重启计算机，计算机恢复到计算机进入“影子模式”之前的状态，用户在“影子模式”状态下对本地磁盘进行的任何读写操作均无效，仅保存在U盘上的数据真实有效。安全防护特性维度涉及：U盘登陆防护、数据访问防护、U盘密码保护、操作审计管理和非授权访问处理。

2.3.1 U盘登陆防护

进入U盘之前需要通过合法授权身份认证。认证判断与方案2相同。

2.3.2 数据访问防护

（1）只允许在单机环境中使用该U盘，不允许有任何网络数据包发送和接收。

（2）通过合法身份认证成功登陆U盘后，用户使用该U盘就像使用普通U盘一样，使用Windows资源管理器访问，读写不受限制。

（3）用户退出U盘，计算机退出影子模式，重启计算机后，计算机恢复到用户进入U盘“影子模式”前的状态。用户在“影子模式”下对本地磁盘进行的任何读写操作均无效，唯有保存在U盘上的数据真实有效。

（4）若需要将U盘上的数据拷出，唯有输入正确的理员授权密码，否则数据离不开U盘。

（5）U盘使用过程中的实时防护。在使用U盘的过程中，若发现有违规操作，U盘立即自动关闭资源管理器窗口，自动退出，禁止用户对U盘进行任何的访问操作。例如：当前物理计算机临时接入互联网，当前物理计算机中途脱离了内网管理环境等。

（6）文件粉碎机制。提供文件粉碎功能，增强已删除数据防恢复保护。

2.3.3 U盘密码保护

与方案1中的U盘密码保护相同

2.3.4 操作审计管理

U盘上的各种Windows文件操作动作都会一一审计，并存储在U盘黑匣子区域。此区域仅能由管理员通过安全厂家提供的安全工具进行管理：阅览、删除、另存为。

2.3.5 非授权访问处理

与方案1中的非授权访问处理相同。

3 方案对比（表1）

4 结语

本文分析了信息化办公模式下的几中泄密途径和目前的应对办法，并就使用移动存储介质进行数据交换时可能出现的涉密问题进行深入剖析，提出了专用安全U盘、版权U盘、堡垒U盘三种管控方案。本文所对比的三种防泄密解决方案各有侧重点，涉密单位可结合自身的业务需求以及涉密要求，采购不同种类的安全U盘以解决单位自身的安全需要。

参考文献：

[1]李为，刘嘉勇.一种基于分区引导扇区控制的移动存储介质安全控制方法[J].成都信息工程学院学报，2007年01期.

[2]廖洪其，凌捷，郝彦军，柯钢.USB移动存储设备的惟一性识别方法研究[J].计算机工程与设计，2010年12期.

[3]赵静.移动存储设备的硬件加密系统[D].天津工业大学，2008年.

[4]吴毓书，张宝峰，张翀斌，许源，饶华一.基于APDU数据交换协议的安全U盘通信模型[J].清华大学学报（自然科学版），2012年10期.endprint