[发明专利]一种数据安全摆渡的方法及系统

说明书

技术领域

本发明涉及数据传输领域，尤其涉及一种数据安全摆渡的方法及系统。

背景技术

摆渡攻击是一种专门针对移动存储设备，从与互联网物理隔离的内部网络中窃取数据的攻击手段。如政府机关、军队、银行、科研机构等重要部门和涉密单位出于信息安全的考虑，一般将单位自建的内部网络与互联网之间实施严格的物理隔离，移动存储设备成为内、外网离线交换数据的首选工具。摆渡攻击就是利用移动存储设备作为“渡船”，间接达到从内网中窃取数据的目的。

为了保证内网安全，通常从外网拷入内网的数据都要经过摆渡机进行木马、病毒查杀处理，才能拷入内网的涉密主机上。但是，现有的摆渡过程存在如下问题：一是在摆渡机或涉密主机上交叉泄密，如一移动存储设备将数据拷贝到摆渡机上后，没有删除，非法的另一移动存储设备将留在摆渡机上的数据拷贝至外网，造成泄密；二是移动存储设备一旦遗失，会造成数据泄密；三是人为的从后台数据库中添加移动存储设备的注册信息，会使非法移动存储设备接入到涉密网络而造成数据泄密。

发明内容

本发明提供一种数据安全摆渡的方法及系统，解决非法移动存储设备从摆渡机或涉密主机上拷贝数据，造成泄密的问题。

为解决上述技术问题，本发明采用以下技术方案：

一种数据安全摆渡的方法，包括：

将用于涉密主机与摆渡机之间数据摆渡的第一移动存储设备在涉密主机上注册成具有只读功能或读写功能，在摆渡机上注册成具有读写功能；

所述第一移动存储设备在所述摆渡机和所述涉密主机之间进行数据摆渡。

还包括：将用于摆渡机与外网之间数据摆渡的第二移动存储设备在所述摆渡机上注册成具有读写功能；未在摆渡机上注册的移动存储设备在所述摆渡机上具有只读功能。

数据从涉密主机摆渡到外网时，将所述第一移动存储设备在涉密主机上注册成具有读写功能；数据从外网摆渡到涉密主机时，将所述第一移动存储设备在涉密主机上注册成具有只读功能。

在涉密主机和摆渡机上对第一移动存储设备进行注册的过程包括：先在所述涉密主机上对第一移动存储设备进行注册；再在所述摆渡机上对在所述涉密主机上注册成功的第一移动存储设备进行注册。

在所述涉密主机上对第一移动存储设备进行注册的过程包括：将所述第一移动存储设备接入所述涉密主机；在所述第一移动存储设备的可信计算模块的非易失性存储空间的涉密主机注册标识位写入所述涉密主机的注册标识，并利用所述涉密主机的可信计算模块的平台身份密钥(PIK)或平台身份证书(PEK证书)对所述涉密主机的注册标识进行签名。

在所述摆渡机上对在所述涉密主机上注册成功的第一移动存储设备进行注册的过程包括：将所述第一移动存储设备接入所述摆渡机；检测所述第一移动存储设备的非易失性存储空间中是否写入涉密主机的注册标识；若已写入，则解析所述涉密主机的注册标识以获取所述涉密主机的可信计算模块的PIK或PEK；利用所述PIK或PEK对所述涉密主机的注册标识进行签名验证；验证通过后在所述第一移动存储设备的非易失性存储空间中的摆渡机注册标识位写入所述摆渡机的注册标识，并利用所述摆渡机的可信计算模块的PIK或PEK对所述摆渡机的注册标识进行签名。

解析所述涉密主机的注册标识以获取所述涉密主机的可信计算模块的PIK或PEK的过程包括：预先将涉密主机的可信计算模块产生的所有PIK或PEK以列表的形式保存在所述摆渡机上；解析所述涉密主机的注册标识，从所述列表中选择所述涉密主机的注册标识相应的PIK或PEK。

还包括设置登录移动存储设备的密码，所述密码保存在所述移动存储设备的可信计算模块中。

所述第一移动存储设备从摆渡机上拷贝的数据为经过所述摆渡机加密后的数据，经过所述摆渡机加密后的数据拷贝至涉密主机之后，由所述涉密主机进行解密。

所述第一移动存储设备从涉密主机上拷贝的数据为经过所述涉密主机加密后的数据，经过所述涉密主机加密后的数据拷贝至摆渡机之后，由所述摆渡机进行解密。

移动存储设备的注册信息保存在涉密主机和摆渡机各自的可信计算模块中。

一种数据安全摆渡的系统，所述系统包括涉密主机、摆渡机和用于涉密主机与摆渡机之间数据摆渡的第一移动存储设备，其中，

所述涉密主机用于将所述第一移动存储设备注册成在其上具有只读功能或读写功能；

所述摆渡机用于将所述第一移动存储设备注册成在其上具有读写功能；