作者： 刘俊
来源：《科技创新导报》 2012年第24期
刘俊
(上海华申智能卡应用系统有限公司 上海 200031)
摘 要:随着通信技术的发展,高效率、快节奏的移动办公开始流行。移动办公中存在的安全隐患对政府、金融、军工等涉密组织实施移动办公造成了一定程度的阻碍。本文描述一种适用于笔记本电脑的高安全性便携移动办公设备的设计。它在安全性上为涉密组织实施移动办公提供帮助。
关键词:移动办公 智能卡 VPN 国密算法
中图分类号:TP31 文献标识码:A 文章编号:1674-098X(2012)08(c)-0044-03
移动办公是指在组织外部通过3G、WIFI等移动通信技术在公网上通过VPN连接组织内部网络实现办公的方式。随着移动通信技术,特别是3G移动通信技术的发展,具有高效率、快节奏特点的移动办公越来越流行。
粽子机
与其他单位相比,在政府、金融、军工等涉密组织实施移动办公同样具有重大的意义。比如对于公安部门,公安工作具有移动性、突发行、紧急性等特点,一线部门需要实时与公安数据中心交换信息,警务人员需要对常住人员信息、暂住人员信息、重点人口信息、在逃人员信息、车辆信息等进行迅速地查询。依靠移动警务系统随时随地获得公安业务信息的支持,特别是照片和相关图片的传输应用,可以解决通缉、协查、堵截、搜查等一线公安工作中对嫌疑人人工照片识别问题。 在安全性方面,涉密组织有更高的要求。但移动办公中存在的一些安全隐患,对涉密组织实施移动办公造成了一定程度上的阻碍。安全隐患主要表现在以下几点:
(1)数据在公网上传播,存在被截获的隐患;
(2)一旦终端保存不当或丢失,终端中的数据存在外泄的隐患;
(3)终端离开组织内部的监管系统,终端中的数据存在非法流出的隐患;
(4)终端离开组织内部的监管系统,终端中的系统或软件存在被修改或破坏的隐患。
移动办公使用的终端一般有两类:笔记本电脑和包括智能手机在内的手持终端。手机作为终端移动性、实时性更佳,但功能受到手机性能的限制;而笔记本则反之,性能更佳,能完成更过功能,但移动性稍差。 本文描述了一种适用于笔记本电脑的高安全性便携移动办公设备的设计。本设备使用智能卡芯片作为主控芯片,针对移动办公的安全隐患做了专门的安全设计,可为涉密组织实施移动办公提供帮助。
正火工艺
1 安全设计
本设备旨在消除移动办公中的安全隐患,在安全性上设计了针对性的解决方案:
针对移动办公时数据需要通过公网传播,可能导致数据被截获的问题,本设备内置了VPN方案。VPN使用的数字证书保存在智能卡中,数据加解密完全由智能卡硬件完成,加密算法使用由国家密码管理局推荐的国密算法。
针对终端保存不当或丢失,终端中的数据存在外泄的隐患,本设备设计了由口令保护和硬件全盘加密技术保护的安全数据存储区。
针对终端离开组织内部监管系统后,终端中的数据存在非法流出的隐患,本设备采用定制的安全操作系统。操作系统中移除硬盘、光驱、闪存盘等外设的驱动,禁止未经许可的外联。
针对终端离开组织内部监管系统后,终端中的系统或软件存在被修改或破坏的隐患,本设备采用安全操作系统区的设计。安全操作系统区的设计由硬件保护,使用者无法自行修改;对安全操作系统区的所有操作痕迹在系统关闭或重启时全部丢弃。
2 功能设计
针对移动办公的特点,结合上文的安全设计方案,本设备提供下列功能:
2.1 使用者身份标识
道路反光镜
通过智能卡芯片中的数字证书,使内网服务器识别终端使用者的身份。
2.2 定制的安全操作系统,内含VPN连接方案回收太阳能电池片
定制的操作系统,仅含有必要的功能。内含全程使用智能卡芯片硬件加解密的VPN连接方案。
2.3 固化的安全操作系统区
固化的安全操作系统区,使用者无法自行修改。
2.4 基于硬件加密的安全数据存储区
全盘硬件加密和硬件口令保护的安全数据存储区。
2.5 可控的网络连接和外设接入
固化3G拨号设置,VPN方案和设置控制网络连接。定制操作系统包含的驱动,控制外设接入。
3 硬件设计
本设备的大小和形状类似于闪存盘,通过插在电脑的USB口上使用,内置智能卡芯片和Nand Flash。
目前市面上将完整智能卡功能和Nand Flash集成在一起的产品一般采用以下两种硬件设计方案中的一种(如图1，2）。
方案A使用专门的Nand Flash控制芯片,读写Nand Flash的速度更快,但智能卡芯片不直接控制Nand Flash,不能在设备内部完成对Nand Flash中数据的硬件加解密。方案B可以直接使用智能卡芯片实现对Nand Flash中数据的硬件加解密。本设备采用了安全性更佳的方案B。
本设备使用经过国家密码管理局审核的由上海爱信诺航芯电子科技有限公司生产的SCCII-Plus安全处理器(国密批号:SSX45)作为主控芯片。SCCII-Plus采用32位CPU核,内部集成32K字节SRAM和512K字节Nor-Flash,集成支持高速(480MHz)和全速(12MHz)传输的USB2.0控制器,集成Nand-Flash控制器,集成真随机数发生器,集成对多种加密算法的硬件支持。
4 设备架构
本设备由安全操作系统区、安全数据存储区和智能卡模块三部分组成,架构图如下。
4.1 USB通信
本设备通过USB接口与电脑连接。为了使电脑的BIOS可以识别本设备并启动设备中的操作系统,本设备使用了绝大部分的电脑BIOS都支持的Mass Storage通信协议。
4.2 安全操作系统区
安全操作系统区中安装了操作系统和应用软件。考虑到绝大部分用户对微软公司的Windows操作系统比较熟悉,在软件兼容性方面,Windows操作系统能兼容的行业应用也是最多的,所以本设备选择了安装Windows操作系统。但由于普通的桌面Windows操作系统不支持从USB设备上启动,需要的资源也较多,并不适合本设备。所以本设备采用了Windows XP Embedded(以下简称为XPE)系统。
XPE是一种嵌入式操作系统,提供了一些Windows桌面操作系统所不具备的功能,比如从USB移动存储设备启动。它以组件化的形式提供Windows操作系统的功能,开发人员可以对其裁减。它基于与Windows桌面操作系统相同的Win32编程模型,能够提供与Windows桌面操作系统较好的软件兼容性。
安全操作系统区包含以下特性:
(1)设备硬件控制其为只读区域,用户无法自行修改其中的数据;
(2)操作系统可以从USB启动;
(3)EWF是XPE系统提供的一种将对存储设备的数据修改保存到内存中的技术,本设备使用EWF技术让用户正常使用具有只读特性的安全操作系统区,在系统关闭或重启时,所有对安全操作系统区的临时修改将被丢弃;
(4)操作系统定制时移除了一些外设如硬盘、光驱、闪存盘等的驱动,防止未经许可的外联;
(5)内置VPN软件,使用设备智能卡模块中的数字证书对所有通过VPN的网络数据经行硬件加解密,加密算法为国密SM1分组密码算法。
4.3 安全数据存储区
设备提供安全数据存储区,它是一个由智能卡芯片提供口令保护和全盘硬件加密的分区,供用户存放个人数据。
用户在安全套件的XPE系统中输入正确的密码后即可像操作一个普通Windows分区那样操作安全数据存储区。
安全数据存储区的安全性体现在以下方面:
(1)经过专门设计,仅能在本设备中的XPE系统中访问;
(2)安全数据存储区使用由智能卡芯片提供的硬件全盘加密技术,密码在出厂和管理员解锁时由主控芯片内部的真随机数发生器生成并保存在主控芯片内部的存储器中,没有任何方法可以从主控芯片中读出密码;
(3)安全数据存储区提供口令保护,只有输入了正确的口令后才能读写;
模板的制作
(4)安全数据存储区有口令尝试次数限制,连续输错口令达到口令尝试次数限制时,安全数据存储区将被锁定;
