一种usb接口的设备身份认证模块及认证方法
【专利摘要】本发明公开了一种USB接口的设备身份认证模块及认证方法，认证模块的嵌入式微处理器分别与USB Host接口模块、USB Device接口模块和FLASH存储模块双向连接；嵌入式微处理器与USB通道电子开关模块单向连接；USB Host接口模块和USB Device接口模块分别连接到USB通道电子开关模块的两端。本发明的积极效果是：通过USB设备的USB接口上增加该模块，可以在不改变USB设备原有功能的前提下，为现有的USB设备增加身份认证功能，达到对USB设备进行访问控制的目的，由此提高USB设备与外部通信的安全性，抵御对USB接口发起的恶意攻击；该模块的认证机制可适用于任何USB传输协议。
【专利说明】—种USB接口的设备身份认证模块及认证方法
【技术领域】
[0001]本发明属于信息安全技术的身份认证领域，具体涉及一种USB接口的设备身份认证模块及认证方法。
【背景技术】
[0002]USB (Universal Serial Bus，通用串行总线)是一种高速串行通信接口规范，广泛应用于计算机、打印机、U盘、手机、平板电脑、数码照相机等电子产品。在标准的USB协议中，没有对USB设备进行身份认证的机制，因此，在需要较高安全等级的应用环境中，USB接口存在很大的安全风险。
[0003]USB规范定义了四种基本传输类型，分别是:控制传输、中断传输、批量传输、同步传输，在以上四种传输类型的基础上可以实现各种USB传输协议。由于各种USB设备采用的传输协议种类较多，因此身份认证机制如何兼容各种USB传输协议是一个难点。
【发明内容】
[0004]为了克服现有技术的上述缺点，本发明提供了一种USB接口的设备身份认证模块及认证方法，通过在USB接口上安装身份认证模块，可以在不改变USB设备原有功能的前提下，为现有的USB设备增加身份认证功能，由此提高USB设备与外部通信的安全性，抵御对USB接口发起的恶意攻击。
[0005]本发明解决其技术问题所采用的技术方案是:一种USB接口的设备身份认证模块，其嵌入式微处理器分别与USB Host接口模块、USB Device接口模块和FLASH存储模块双向连接；嵌入式微处理器与USB通道电子开关模块单向连接；USB Host接口模块和USBDevice接口模块分别连接到USB通道电子开关模块的两端。
[0006]本发明还提供了一种USB接口的设备身份认证方法，在USB设备之间进行通信前，USB通道电子开关模块将USB Host接口和USB Device接口之间的连接断开，使得通信双方的USB设备之间的通信线路处于断开状态；然后进行双向设备身份认证:如果认证失败则令USB Host接口和USB Device接口之间的连接始终处于断开状态，如果认证成功则USB通道电子开关模块将USB Host接口和USB Device接口直接连通，使得通信双方的USB设备之间的通信线路处于导通状态，USB设备进入相互通信阶段。
[0007]与现有技术相比，本发明的积极效果是:
[0008]I)在USB设备之间进行通信时，在身份认证通过前，通信双方的USB设备之间的通信线路处于断开状态。在身份认证成功完成后，通信双方的USB设备之间的通信线路处于导通状态。通过这种机制，可以阻止安装有设备身份认证模块的USB设备与未安装设备身份认证模块的USB设备进行通信，利用身份认证的方法实现对USB设备的访问权限进行控制，抵御从外部对USB设备的非法攻击。
[0009]2)本发明中，在身份认证完成后，USB设备之间的通信线路是通过电子开关连通的，其效果与USB设备之间采用标准USB线缆直接连接完全相同，设备身份认证模块不改变USB设备之间通信的信号和数据，因此所述设备身份认证模块可适用于任何USB传输协议。
[0010]3)本发明中，对USB设备插入和拔出的检测机制保证了身份认证的结果只对当前插入的USB设备有效，可抵御在身份认证成功完成后插入非法USB设备进行攻击的行为。
[0011]4)身份认证采用基于SM2商密算法的挑战-应答机制，可以实现高可靠的双向身份认证。
【专利附图】
【附图说明】
[0012]本发明将通过例子并参照附图的方式说明，其中:
[0013]图1是本发明的硬件构成原理图；
[0014]图2是两个USB设备一对一的通信方式不意图；
[0015]图3是多个USB设备通过USB HUB互联构成一对多的通信方式示意图。
【具体实施方式】
[0016]—种USB接口的设备身份认证模块，以嵌入式微处理器为核心，具有一个USBDevice接口和一个USB Host接口，串联安装在每个参与通信的USB设备的USB接口和USB通信线路之间，对需要通信的两个或多个USB设备提供相互之间的双向身份认证，防止非法USB设备接入。该模块的认证机制可适用于任何USB传输协议。
[0017]如图1所示，该模块具体包括:嵌入式微处理器、USB Host接口模块、USBDevice接口模块、电源转换模块、复位模块、时钟模块、FLASH存储模块、USB通道电子开关模块、USB设备拔插检测模块等。其中:
[0018]嵌入式微处理器分别与USB Host接口模块、USB Device接口模块和FLASH存储模块双向连接；嵌入式微处理器分别与USB通道电子开关模块和LED指示灯单向连接；USB通道电子开关模块分别与USB Host接口模块和USB Device接口模块双向连接；USB设备拔插检测模块分别与嵌入式微处理器和USB Device接口模块单向连接；时钟模块与嵌入式微处理器单向连接；复位模块与嵌入式微处理器单向连接；电源转换模块为整个设备身份认证模块提供电源。
[0019]嵌入式微处理器同时与USB Host接口模块、USB Device接口模块和USB通道电子开关模块连接，USB Host接口模块和USB Device接口模块分别连接到USB通道电子开关模块的两端，通过嵌入式微处理器控制USB通道电子开关的开关状态可使USB Host接口模块和USB Device接口模块之间的连接处于导通或关断状态。
[0020]嵌入式微处理器采用一片国产32位商密安全处理器，其特点是内部集成了商密SM2算法引擎和两个USB接口，负责流程控制和调度。
[0021]USB Host接口模块负责与USB Device类型的USB设备连接；USB Device接口模块负责与USB Host类型的USB设备连接。
[0022]电源转换模块由一片LDO型电源芯片构成，负责将USB总线上的5V电源转换为3.3V电源，向整个模块提供电源。
[0023]复位模块由一片复位芯片构成，对嵌入式微处理器、USB Host接口模块、USBDevice接口模块提供复位信号。
[0024]时钟模块由一片石英晶振芯片构成，为嵌入式微处理器、USB Host接口模块、USBDevice接口模块提供运行时钟信号。
[0025]FLASH存储模块采用SPI接口的串行FLASH芯片构成，为嵌入式微处理器提供数据存储空间。
[0026]USB通道电子开关模块由一片MOS开关芯片构成，负责开启和关断USB通信通道。
[0027]USB设备拔插检测模块由一片CMOS逻辑芯片构成，负责检测外接USB设备的拔出和插入行为。
[0028]本发明还提供了一种USB接口的设备身份认证方法，在USB设备之间进行通信前，设备身份认证模块的USB通道电子开关模块将USB Host接口和USB Device接口之间的连接断开，使得通信双方的USB设备之间的通信线路处于断开状态；然后在通信双方的设备身份认证模块之间进行双向设备身份认证:如果认证失败则令设备身份认证模块的USBHost接口和USB Device接口之间的连接始终处于断开状态，如果认证成功则设备身份认证模块的USB通道电子开关模块将USB Host接口和USB Device接口直接连通，使得通信双方的USB设备之间的通信线路处于导通状态，USB设备进入相互通信阶段。
[0029]双向设备身份认证采用基于批量传输协议的自定义协议，实现基于SM2商密算法的挑战-应答身份认证机制，实现对通信双方的双向设备身份认证。
[0030]在双向身份认证过程中或USB设备通信过程中，还可以启动USB设备拔插检测模块对与之相连的USB设备的拔出和插入行为进行检测，并在检测到USB设备拔出后，自动启动USB通道电子开关将USB Host接口和USB Device接口之间的连接断开；在检测到USB设备插入后，自动重新启动双向设备身份认证。
[0031]本发明所述设备身份认证模块的典型应用方式如图2和图3所示，其中，图2中的两个USB设备是一对一的通信方式；图3中的多个USB设备通过USB HUB互联，构成一对多的通信方式。
[0032]以图2为例，本发明的工作原理是:
[0033]安装有设备身份认证模块的两个USB设备进行通信的过程是:1)A设备的设备身份认证模块阻断A设备对外的通信线路，B设备的设备身份认证模块阻断B设备对外的通信线路。2)A设备的设备身份认证模块与B设备的设备身份认证模块进行双向设备身份认证。3)如果双向设备身份认证成功，则A设备的设备身份认证模块接通A设备对外的通信线路，B设备的设备身份认证模块接通B设备对外的通信线路，使得A设备与B设备之间的USB通信线路导通，A、B两个设备可以建立正常的USB通信连接。如果双向设备身份认证失败，则设备身份认证模块将继续保持对A、B设备对外通信线路的阻断，使得A、B设备无法进行通信。
【权利要求】
1.一种USB接口的设备身份认证模块，其特征在于:嵌入式微处理器分别与USB Host接口模块、USB Device接口模块和FLASH存储模块双向连接；嵌入式微处理器与USB通道电子开关模块单向连接；USB Host接口模块和USB Device接口模块分别连接到USB通道电子开关模块的两端。
2.根据权利要求1所述的一种USB接口的设备身份认证模块，其特征在于:设置有USB设备拔插检测模块，与嵌入式微处理器单向连接。
3.根据权利要求1所述的一种USB接口的设备身份认证模块，其特征在于:设置有时钟模块，分别与嵌入式微处理器、USB Host接口模块和USB Device接口模块连接。
4.根据权利要求1所述的一种USB接口的设备身份认证模块，其特征在于:设置有电源转换模块，分别与嵌入式微处理器、USB Host接口模块和USB Device接口模块连接。
5.根据权利要求1所述的一种USB接口的设备身份认证模块，其特征在于:设置有LED指示灯，所述嵌入式微处理器与LED指示灯单向连接。
6.根据权利要求1所述的一种USB接口的设备身份认证模块，其特征在于:设置有复位模块，分别与嵌入式微处理器、USB Host接口模块和USB Device接口模块连接。
7.—种USB接口的设备身份认证方法，其特征在于:在USB设备之间进行通信前，USB通道电子开关模块将USB Host接口和USB Device接口之间的连接断开，使得通信双方的USB设备之间的通信线路处于断开状态；然后进行双向设备身份认证:如果认证失败则令USB Host接口和USB Device接口之间的连接始终处于断开状态，如果认证成功则USB通道电子开关模块将USB Host接口和USB Device接口直接连通，使得通信双方的USB设备之间的通信线路处于导通状态，USB设备进入相互通信阶段。
8.根据权利要求7所述的一种USB接口的设备身份认证方法，其特征在于:在双向身份认证过程中或USB设备通信过程中，启动USB设备拔插检测模块对与之相连的USB设备的拔出和插入行为进行检测，并在检测到USB设备拔出后，自动启动USB通道电子开关将USB Host接口和USB Device接口之间的连接断开；在检测到USB设备插入后，自动重新启动双向设备身份认证。
【文档编号】G06F21/34GK104361277SQ201410573246
【公开日】2015年2月18日 申请日期:2014年10月22日 优先权日:2014年10月22日
【发明者】王亮 申请人:成都卫士通信息产业股份有限公司