如何實現(xiàn)對USB接口的安全管理？

 

首先讓我們先了解下PC機的USB端口是如何工作的。USB接口的HPY(物理層)和Controller(控制器)都集成在主板的南橋芯片上，當(dāng)有一個USB設(shè)備接入USB接口時，操作系統(tǒng)會調(diào)用相應(yīng)的USB Host驅(qū)動對設(shè)備發(fā)起枚舉。操作系統(tǒng)通過分析設(shè)備在枚舉過程中上傳的描述符信息，來確定是何種設(shè)備類規(guī)范的設(shè)備接入到USB接口中。與此同時，在操作系統(tǒng)加載相應(yīng)的驅(qū)動，如果沒有相應(yīng)的驅(qū)動，則會要求安裝該設(shè)備的驅(qū)動。待枚舉過程結(jié)束后，操作系統(tǒng)使用剛剛加載的驅(qū)動與接入USB接口的設(shè)備進(jìn)行通訊。通過對USB通訊方式的分析就不難發(fā)現(xiàn)，操作系統(tǒng)實現(xiàn)對不同的設(shè)備進(jìn)行訪問，是通過在枚舉過程中加載不同的設(shè)備類驅(qū)動而實現(xiàn)的。

 

那么能不能通過軟件對設(shè)備類規(guī)范的驅(qū)動進(jìn)行管理，從而實現(xiàn)對USB的管理呢？答案是否定的，通過軟件的方式只能實現(xiàn)一些低級別的管理，我們還是可以通過很多方式避開軟件的監(jiān)管。如對軟件進(jìn)行攻擊使其癱瘓，或者使用WinPE直接繞開本地的操作系統(tǒng)等等。顯然，通過軟件不能很好的實現(xiàn)對USB的管理，于是我們開始把視線轉(zhuǎn)移到硬件上。由于PC機的USB接口都與南橋芯片相接，USB信號引入南橋后就可以被操作系統(tǒng)所獲得。在南橋芯片上添加管理功能顯然是一項艱巨的工作，那么在USB信號進(jìn)入南橋之前就將其管理起來，是否可行呢？

 

將USB信號在進(jìn)入南橋直接就將其管理起來，實現(xiàn)對USB的管理，這也許是最可行的辦法了。應(yīng)該如何管理，又需要解決那些問題呢？首先是速度，如何在信號速度不受影響的情況下加以過濾和篩選。其次，可以完成對USB設(shè)備類的篩選，只將允許的設(shè)備類枚舉給PC機。最后，穩(wěn)定性要高，對主板盡可能減少修改?？偨Y(jié)以上的需求不難發(fā)現(xiàn)，我們需要的是一顆能夠高速實現(xiàn)USB流通訊的橋接芯片，同時還需要芯片可以支持不同的USB協(xié)議棧，實現(xiàn)對USB設(shè)備類篩選。

 

為解決這個問題，同方推出了一款具有高數(shù)據(jù)流吞吐速度和高強度加密算法的SOC芯片TF32A09。

 

TF32A09芯片簡介

 

TF32A09系列芯片是同方股份有限公司計算機系統(tǒng)本部自主研發(fā)的一款高速度、高性能32位信息安全SOC芯片。該芯片集成了高速的安全算法和通訊接口，摒棄了傳統(tǒng)的數(shù)據(jù)加解密處理方式，使數(shù)據(jù)流加解密速度大幅提升，適用于高速數(shù)據(jù)流加密。

 

TF32A09系列芯片支持國家密碼管理局指定的對稱密碼算法、非對稱密碼算法和雜湊算法，同時支持國際通用密碼算法。該芯片的處理能力強、安全性高、功耗低、接口豐富，具有極高的性能價格比。

 

新款高度整合的單芯片數(shù)據(jù)流加密解決方案，在單顆SoC上集成了32位高速CPU、易失和非易失存儲器、國密局指定的密碼算法(SM1、SM2、SM3、SMS4)、國際通用密碼算法和多種滿足高速數(shù)據(jù)流加密應(yīng)用的通訊接口，并擁有兩個USB-OTG接口，可根據(jù)應(yīng)用需求設(shè)置成Host、Device或OTG，滿足基于USB接口的高速數(shù)據(jù)流加解密應(yīng)用。SOC內(nèi)部采用流水線的架構(gòu)，使得在同一個周期內(nèi)并行執(zhí)行3個模塊(USB_Host、USB_Device、算法)，同時完成3個任務(wù)，從而大大縮短了一包數(shù)據(jù)處理的平均時間。它改變了CPU傳統(tǒng)的管理方式，僅作為加密模塊和通訊接口的控制端，而不在數(shù)據(jù)搬運的通路上，避免因CPU執(zhí)行冗長的代碼占用過多的時間。

 

TF32A09對USB的管理的實現(xiàn)方法

 

TF32A09芯片上有兩個USB-OTG接口，可以實現(xiàn)USB數(shù)據(jù)流的橋接。由于其高速的設(shè)計機制使USB數(shù)據(jù)流速度可以達(dá)到25Mbps，對于絕大多數(shù)USB應(yīng)用來說速度都可以滿足，同時通過加密模塊還可以將數(shù)據(jù)加密。芯片內(nèi)部集成了512K Flash和20K RAM可以輕松的實現(xiàn)USB協(xié)議棧的搭建。我們可以通過對協(xié)議棧的管理有選擇性的將某幾種設(shè)備放行給PC，如只放行HID設(shè)備(鼠標(biāo)、鍵盤)而禁止Mass Storage設(shè)備(U盤)；或者放行CCID設(shè)備(讀卡器)而禁止其他設(shè)備等等。由于TF32A09是一顆高性能的SOC芯片，其單芯片就可以解決問題，而無需大量的外圍電路，對系統(tǒng)的穩(wěn)定性也有所提高。

 

TF32A09系列芯片的問世，將有效解決PC領(lǐng)域的USB安全管理問題。相信TF32A09系列芯片在其他相關(guān)的安全領(lǐng)域一樣有用武之地。