引言
隨著計算機科技的發展，無紙辦公日益成為各單位日常辦公的主要形式。而隨著USB存儲設備日益廣泛的使用，數據泄漏的危害也越來越嚴重。因此在單位內部對USB存儲設備的操作權限進行控制是很有必要的。
本設計可將不同的USB存儲設備(包括安全存儲設備和普通存儲設備)通過不同的接口接入到主機上，同時對主機和設備問傳輸的數據進行提取，分析和攔截。其應用范圍比較廣泛，為了方便介紹，本文將其作為USB存儲設備管理系統的一部分，根據具體的應用來介紹控制器的設計原理。讀寫控制器可應用在對PC機與安全存儲設備和普通存儲設備的數據共享管理上。其中，PC機的數據要求被保護，安全設備的使用權限被嚴格控制，不會泄漏數據；而普通設備則沒有采取任何安全措施，很有可能向外泄漏數據，比如通用的U盤。
控制器的主要功能是通過不同的接口把兩種USB存儲設備區分開來，實時監測PC機和普通設備間的數據，當檢測到PC機向普通設備寫入數據包時，對其強行破壞，防止數據泄漏。
1 硬件原理
系統的結構框圖如圖1所示。集線器芯片將上游一路USB總線分為兩路：一路直接通過專用的USB接口與安全存儲設備連接，另一路通過讀寫控制器和普通存儲設備連接。讀寫控制器采用CPLD、USB轉發器以及外圍電路實現集線器和普通存儲設備的連接。在CPLD中設計邏輯電路實現對USB轉發器傳輸方向的控制，并對數據進行分析和攔截，以破壞從PC機向普通USB存儲設備傳輸的數據，防止泄漏。
集線器采用的是帶有4個下游端口的GL850G。其端口傳輸的是USB總線的差分信號，故將其上游端口直接接PC機，下游端口接安全USB存儲設備或讀寫控制器。
讀寫控制器是由1片CPLD和2片USB轉發器及其外圍電路組成。CPLD采用的是Altera公司的EPM3512。它具有10000個可用的門、512個宏單元、208個可用的I／O引腳，調試和升級簡便，開發十分靈活。市場上關于USB轉接的芯片很多，本文設計的讀寫控制器要求功能簡單、性能穩定，因此USB轉發器采用TI公司的TUSB1106，既滿足設計的要求，也不存在資源浪費。該芯片的詳細介紹見參考文獻。其中VP0、VM0引腳由CPLD驅動。VP、VM和RCV輸人到CPLD中。TUSB1106和CPLD的接口電路如圖2所示。
2 CPLD中的讀寫控制電路
CPLD中的讀寫控制電路包括時鐘提取、包識別、不歸零解碼、狀態控制、CBW包識別和數據流控制等模塊，如圖3所示。時鐘提取部分見參考文獻，包識別和不歸零解碼部分見參考文獻。下面詳細介紹狀態控制、CBW包識別和數據流控制3個模塊。
2．1 狀態控制模塊
因為IJSB總線是半雙工的，所以CPLD要控制總線數據的方向，即通過OE信號來控制TUSB1106是接收總線數據還是驅動總線。總線上所有的傳輸事務都始于令牌包。令牌包由主機發送，指明本次事務處理過程的含義，包括數據的傳輸方向、設備的地址及端點號等信息。
在本模塊中，通過對PID的檢測可得到每個包的種類，控制狀態機在初始狀態、主機發送數據、設備發送數據、主機發送握手包和設備發送握手包等幾個狀態間跳轉，從而控制其他模塊的狀態。下面為狀態機的部分代碼：
可以看出，當令牌包是OUT包(PID為8'hE1)或SETUP包(PID為8'h2D)時，數據包由主機發往設備，握手包由設備返回給主機；如果令牌包是IN包(PID為8'h69)時，則數據包由設備發給主機，握手包由主機返回給設備。在全速模式下，只可能有4種令牌包，除了這3種包外就只可能是SOF包，而該包沒有后續的數據包和握手包，因此狀態機仍為初始狀態。如果一次傳輸事務出錯，沒有數據包或握手包，則主機和設備會通過超時來判斷是否出錯，而不會持續等待。在CPLD中，超時信號和系統復位信號相與之后作為本模塊的復位信號。
2．2 CBW包識別和數據流控制模塊
USB Mass Storage Device在完成枚舉之后就進入到僅批量傳輸模式。在僅批量傳輸協議中數據傳輸分為命令、數據和狀態3個階段。主機發送的命令被封裝成CBW(Command Block Wrapper)包在命令階段發送，以定義要操作的命令以及要傳輸的數據方向和長度。CBW的前4個字節是標志位，第15個字節是操作代碼。
在本設計中，借助序列識別的思想識別出寫命令的CBW，并在接下來的數據階段將標志位CBW_flag置位為0，使數據流控制模塊截斷從主機發往設備的數據包。下面為狀態機的部分代碼：
可以看出，只有在檢測到CBW包中的寫命令(操作代碼是8h2A和8hAA)時才將CBW_flg置0，其余狀態都為1。
數據流控制模塊完成的工作比較簡單，主要有3個：
①在系統復位有效或失效時控制轉發器模擬拔下或插入的過程；
②根據當前的傳輸方向提取總線數據以供分析；
③cbw_flg無效時，將上游端口的VP和VM直接賦值給下游端口的VP0
和VM0，同樣將下游端口的VP和VM賦給上游端口的VP0和VM0，否則將上游端口的VM強制置0，使傳輸過程失敗以阻止數據從主機向普通存儲設備傳送數據。
3 實驗結果
控制器完全不干涉主機和安全USB存儲設備間的數據傳輸。而將普通USB存儲設備通過控制器接到PC機上時，能正常完成除寫之外的所有操作。當向USB存儲設備中寫入數據(包括新建、粘貼、刪除、寫入和修改文件)時，系統彈出圖4所示的對話框，操作無法完成。
結語
本文針對信息安全系統設計了一種對USB存儲設備的讀寫控制器。該控制器包括一個與主機連接的上游端口，以及安全存儲設備專用和普通存儲設備通用兩種下游端口。
對安全存儲設備使用的硬件接口進行異化，以防止普通存儲設備通過該口接入；普通存儲設備采用普通的USB A型口連接。
控制器不干預主機和安全存儲設備的數據交換，能夠破壞PC機寫入普通存儲設備上的數據包，從而防止了PC機上的數據通過普通存儲設備外泄。