基于虚拟化架构USB访问控制研究.docVIP

基于虚拟化架构USB访问控制研究 　　【 摘 要 】 虚拟化架构下的多个虚拟机共享同一个硬件平台，这会给USB外部设备的使用带来安全隐患。当虚拟机用户将USB存储设备连接到平台时，设备可能被没有使用权限的虚拟机访问，造成设备中重要隐私数据失泄密。本文基于虚拟化架构平台提出了一种USB设备安全访问机制，通过身份认证技术，阻止非授权虚拟机使用USB设备，保证USB设备中数据的机密性。 　　【 关键词 】 虚拟化；USB；访问控制；机密性 　　Analysis of Virtualization-Based USB Access Control 　　Tian Nan Li Mo-ci Gu Hui-tao 　　（Navy Computing Technology Institut Beijing 100841） 　　【 Abstract 】 Under virtualization architecture， some virtual machines share the same hardware，which brings security problems to the use of usb equipments.When external usb device access to virtual platform， it may be unauthorized used. In this paper， we provied a method to control usb access under virtualization environment， which preventing unauthorized use based on identity authentication. 　　【 Keywords 】 virtualization， USB， access control， confidentiality 　　1 前言 　　USB外部串行总线标准广泛应用于规范电脑与外部设备的连接和通讯，可以连接打印机、扫描仪、移动硬盘、外置光软驱等设备。在传统的架构中，USB移动存储设备可以通过操作系统内核进行管理。在虚拟化架构下，为了满足不同用户的计算需求，一个虚拟化平台上可能同时运行多个虚拟机，这些虚拟机共享同一个硬件平台，由虚拟机控制器进行统一管理。 　　虚拟化的本质是对物理设备的共享，平台上的多个虚拟机共享一套物理资源。虚拟化架构下的物理外设接口是属于整个平台的资源，不属于任何一个虚拟机。由于虚拟化平台缺乏相关机制来辨别USB设备所属虚拟机，因此当虚拟机用户将USB存储设备连接到平台时，设备可能被没有使用权限的用户访问。 　　当前，还没有针对虚拟化平台下多虚拟机共存的特点而设计的USB存储设备访问控制系统。本文的主要工作是分析USB接口驱动系统和虚拟化平台的工作原理，研究基于身份认证的虚拟化USB接口访问控制机制，通过屏蔽非授权用户保护虚拟化平台中USB数据的安全。本文的组织结构如下：第2章对Linux系统下的USB驱动系统和虚拟机架构下的USB驱动系统进行分析；第3章提出了安全访问控制系统的模型和工作原理，介绍了设计思路及各模块的功能；第4章对全文工作进行总结。 　　2 USB驱动系统 　　2.1 Linux系统USB驱动 　　USB通用串行总线是最复杂的外部设备接口标准之一，提供了串行I/O，动态设备配置和通用设备连接，USB具有传输速度快（USB1.1是12Mbps， USB2.0是480Mbps）、使用方便、支持热插拔、连接灵活、独立供电等特点，可以连接鼠标、打印机、扫描仪、移动硬盘、数码相机等几乎所有的外部设备。 　　Linux系统下的USB驱动系统由三个层次的驱动模块构成，如图1所示。 　　（1）USB功能驱动是针对具体设备的驱动，根据不同USB设备的特点编写的，如USB存储介质驱动、USB人机交互设备驱动以及USB扫描驱动。当应用程序或者其他设备驱动向USB设备发出I/O请求时，USB功能驱动将这些I/O请求转换成一系列的USB命令，然后将它们以USB请求块URB（USB Request Block）的形式提交给USB核心驱动。 　　（2）USB核心驱动程序同时为上层的USB功能驱动和下层的USB主机控制器驱动提供了通用的接口，其主要功能是动态地配置和管理USB设备，当一个新的USB设备连接到系统总线时，首先由核心驱动程序开始对设备进行枚举，从而获取特定设备信息，加载该设备相应的功能驱动。 　　（3）USB主机控制器驱动是用于控制USB主机控制器的驱动，当USB主机控制器驱动从USB核心驱动接收到URB后，会将它们分割成更小的请求片，连接到不同的帧列表中，然后交给主机控制器芯片完成具体的I/O事务。 　　2