[发明专利]一种基于薄虚拟机监控器的USB存储设备安全访问控制方法

说明书

本发明涉及一种基于薄虚拟机监控器的USB设备安全访问控制的方法，其中USB设备I/O拦截的关键步骤是通过分析BitVisor中模拟实现的USB存储设备的BULK‑ONLY协议中数据流程提出的。该方法通过分析BitVisor中USB主机控制器的实现原理，根据设备具有的访问权限，对特定设备的识别操作、读操作、写操作进行拦截，达到安全访问控制的目的。同时，由于基于薄虚拟机监控器BitVisor实现，USB设备的安全访问控制对操作系统透明，其安全性不依赖于操作系统的安全性，且相较于Xen等虚拟机监控器，薄虚拟机监控器BitVisor体积更小，本身的安全可靠性更高，因此本发明的安全性和可靠性也更高。

技术领域

本发明涉及一种基于薄虚拟机监控器的USB存储设备安全访问控制方法，属于软件工程技术领域。

背景技术

目前Linux操作系统中，USB存储设备安全访问控制机制主要包括基于udev、基于LSM框架、基于系统USB设备驱动层等几种。

基于udev的USB存储设备安全访问控制机制：udev是Linux Kernel 2.6系列的设备管理器。该机制通过修改udev的规则文件来实现USB存储设备不可用的目标。该方法在应用层实现，安全性不高。

基于系统USB设备驱动层的USB存储设备安全访问控制机制：该机制主要是修改驱动层对应的函数来达到目标，但是驱动开发较为复杂，要进行重新进行编译，实用性差。

基于LSM框架进行USB存储设备访问控制机制：LSM框架在LINUX内核数据结构中加入了安全域，基于LSM框架的USB存储设备访问控制的研究主要是利用LSM在文件系统以及inode中的HOOK函数，当进行MOUNT、OPEN、READ、WRITE等系统调用时通过HOOK函数进行判断，如果操作针对的是USB存储设备文件系统，则不再继续相应操作。但是LSM框架本身存在着不具备综合决策能力等缺点，虽然可以动态加载实现的模块，但是当攻击者获得root权限时，完全可以绕过这些USB访问控制模块，然后利用USB存储设备盗取数据。

目前在Windows操作系统中，主要研究包括：基于WDM(Windows Driver Model)过滤驱动的USB移动存储设备访问控制系统，利用Microsoft推出的设备驱动程序模型实现了USB存储设备的访问控制；或利用Windows提供的API接口，在应用层开发USB存储设备的监控系统，但安全性不高。

基于虚拟化平台的USB设备安全访问机制，目前主要是基于XEN虚拟化平台的USB数据保护机制，它利用XEN系统中的PVUSB设备驱动，PVUSB驱动分为前端驱动和后端驱动，利用前端驱动以及后端驱动中数据流的特点，来区分I/O中的数据流部分，然后对数据流进行透明的加解密操作，从而达到数据安全的目的。该机制利用虚拟机的回滚机制来擦除USB存储设备使用时遗留在虚拟机中数据痕迹，该机制的数据保护模块是放在Dom0管理域中，但相关研究都是基于Dom0是安全的这一假设之上的。

发明内容

本发明技术解决问题：克服现有操作系统平台和虚拟化平台安全访问控制机制的不足，提供一种基于薄虚拟机监控器BitVisor的USB存储设备安全访问控制方法。BitVisor作为薄虚拟机监控器，具有极好的轻量化特点，只支持单个Guest OS(客户操作系统)，但对所支持的操作系统的类型没有任何限制。因此本发明所提出的基于薄虚拟机监控器BitVisor的USB存储设备安全访问控制方法，与Guest OS的类型无关。同时虚拟机监控器的运行环境独立于Guest OS，所以其安全性不依赖于Guest OS的安全性。BitVisor相比于现有的虚拟化架构，可信计算基更小，安全性更好。本发明主要针对BitVisor的USB主机控制器以及USB设备数据传输协议的特点，在BitVisor中实现了对USB存储设备的读操作、写操作、识别操作的控制。

本发明采用的技术方案如下：

一种基于薄虚拟机监控器的USB存储设备安全访问控制方法，其步骤包括：