基于USB-Key认证电子保密柜系统设计

刘 勇，慕晓蕾，魏 玮

（1.河北省科学院应用数学研究所河北石家庄050081；2.河北工业大学天津 300401）

保密柜是存放重要物品和文件的常用办公设备，在各部门的文档和设备管理工作中发挥了重要作用。随着世情、国情、党情发生深刻变化，各级党政机关对保密工作的要求不断深化、规范，涉密部门对保密柜的使用管理提出了更高的要求。传统的保险柜大多为机械式结构，只是在其柜门开关结构上采用更为复杂的锁芯技术，这种保险柜结构单一、管理独立[1]，不能分辨开锁人特征，上级部门对保密柜的使用、状态和开启方式不具备管理基础。在一些重要保密部门，为了最大限度的保证保密柜中物品安全取用，采取的是集中管理的模式，所有重要物品统一交由上级部门管理，下级部门如需取用，需派专人专门前往上级单位，这样的管理方式既耗时又耗力[2]。随着信息化进程和工作节奏速度的加快，集中统一管理的模式受到极大的挑战。

基于以上原因，研发电子保密柜系统是非常必要的。本文针对以上问题设计了一个基于USB-Key身份认证开柜的电子保密柜系统，该系统基于计算机网络和嵌入式系统，应用微处理技术、数据加密技术、数据库技术、数字证书认证技术配合国密局审核通过的商用密码硬件设备和批准认可的密码算法，完成电子保密柜的身份认证开柜和远程管控，保证电子保密柜开启或关闭的安全性，使用者身份的真实性、不可伪造性和不可抵赖性。该系统的实现对电子保密柜集中在线管理的适用性、安全性、整体性和实时性等方面具有重要意义。

1 身份认证技术

身份认证技术的基础是信息安全，其目的是为了保护用户的合法权益，通过PKI、数字证书、USBKey等各种手段来检测用户的身份[3]。本文涉及的电子保密柜系统，首先需要解决的就是用户身份如何被识别和认证的问题。对于一个使用者，要想开启电子保密柜必须通过身份认证，根据用户权限不同，系统会控制哪些资源能够被访问。

身份认证是指系统对登录用户身份进行验证的过程，验证用户的身份是否合法，是否具有访问及使用某种资源的权限[4]。它一般经常用来在通信时确定身份，当需要验证的属性真实有效时，我们就认为本次通信是安全、可靠的。验证方式即可以是指口令、数字签名等数据型的特征信息，也可是指指纹、声音、视网膜等用户的生理特征信息[5]。身份认证方式在各领域的应用最为广泛的主要有5种：用户名密码认证、IC卡认证、动态口令卡认证、USB-Key认证和生物特征认证[6]。实际应用中，人们通常会将这些认证方式互相配合使用以便我们的系统更为安全、可靠[7]。

1）用户名与密码认证方式

用户名与密码的认证方式使用简单，应用广泛，容易被客户接受，对于一般的身份认证需求也已经能够满足。主要缺陷是单因子认证其安全性依赖于口令的保密性，口令一般较短且是静态数据，容易猜测，且易被攻击。由于是单向的系统来认证用户，容易被攻击者伪装系统骗取或采用窥探、字典攻击、穷举尝试、网络数据流窃听、重放攻击等获取用户口令[8]。

2）智能卡（IC卡）认证方式

智能卡（IC卡）认证是通过智能卡和读写设备双方同时对相同随机数进行某种相同的加密运算，然后判断双方运算结果的一致性来对智能卡的合法性进行验证[9]。由于常用算法3DES被破解，攻击者可采用此算法断电方式穷举尝试破解，导致此种方式身份认证安全性降低[10]。

3）动态口令认证技术

动态口令即不断变化的口令，其变化来源于产生口令的运算因子是变化的[11]。安全性有很大的提高，但是用户每次登录时都需要通过键盘输入一长串无规律的密码，而且每次都变化，一旦输错就要重新操作，降低了工作效率。如果客户端与服务器端的时间或次数不能保持良好的同步，就可能发生合法用户无法登录的问题。同时，没有数字签名技术，无法保证业务的不可抵赖性。

4）USB-Key认证技术

该项认证技术使用USB-Key[12]作为数字证书载体，采用软硬件结合的方式进行身份认证。USBKey大小与U盘相似，采用USB通讯接口，它内置单片机或智能卡芯片，可存储用户的密钥或数字证书，利用USB Key内置的密码算法实现对用户身份的认证，可以实现强身份认证，支持单向/双向认证模式，安全性高[13]。采用基于PKI体系的身份认证方式，使用USB-Key作为证书载体，确保证书无法被复制，从而确保证书的唯一性，对用户的密钥提供高强度安全保护。

5）生物特征认证技术

生物特征一般是指人的生理特征或是行为特征。其中生理特征如指纹、人脸、虹膜、掌纹、声音等，行为特征主要有步态、签名和击键等[14]。认证过程采用自动技术测量人的生理或行为特征，并将这些特征与数据库的模板数据进行比对，从而完成认证[15]。从理论上说，生物特征认证是最可靠的身份认证方式，因为每个人的生物特征都不会完全相同，采用这一特征来标识每个人的身份，几乎不可能被仿冒。但是，该认证将用户的生物特征与个人绑定，如果用户该部分生物特征收损，就可能造成用户无法登录。而且由于生物认证技术的复杂度高，研发和应用成本高，所以没能成为身份识别技术的主流，无法广泛推广应用。

2 电子保密柜功能设计

1）电子保密柜设计以太网络接口，支持IEEE802.3标准以太网协议，支持局域网部署和广域网部署，按照不同权限对电子保密柜进行分级管理。通过网络，系统中心可对电子保密柜进行远程程序更新。

2）电子保密柜设计电子控制锁具。电子控制锁具提供USB接口，硬件电路具有验证数字证书功能，进行电子控制锁具的身份识别。

3）电子保密柜设计单人开柜、多人开柜、授权开柜、远程开柜和应急开柜多种组合开柜方式。网络断开情况下，操作日志临时记录在本地保密柜中，网络恢复连接后，自动提交并保存到服务器。

4）电子保密柜设计断电、断网、非正常开柜和开柜超时报警功能。系统通过管理中心和终端保密柜的声音、灯光和文字提示等多种报警方式，及时提醒管理人员了解保密柜状况，尽快采取措施排除问题。

5）电子保密柜采用多种供电方式。通常情况，电子保密柜通过POE供电。当出现意外断电时，系统可自动切换至内部蓄电池供电模式，内部供电充电模块提供自我充电及过充保护功能。如果断电时间较长，内部蓄电池供电不足时，根据实际情况采用外接应急干电池组的方式为系统供电。

6）电子保密柜提供软重启和硬重启按钮，系统启动时间低于3S。同时，提供备用键盘和键盘接口，提高系统可靠性。

3 系统硬件设计

针对电子保密柜运行需要达到的可靠、稳定和安全性要求，本文提出基于ARM Cortex-M4的STM32F407芯片和NuttX实时操作系统的电子保密柜控制系统。该系统充分发挥了ARM微处理器标准兼容、核心任务管理、模块化设计及高度可配置的优点和实时操作系统NuttX的多复杂任务程序控制优点。相比初代产品，具有集成度更高、稳定性更强、运算速度更快的优点。硬件设计如图1所示。

图1 硬件支撑平台设计示意图

STM32F407芯片具有最高168 MHz频率，高达1 MB的闪存（Flash），以及以太网MAC和照相机接口，具有动态功耗调整功能，能够在运行模式下和从Flash存储器执行时实现低至238 μA/MHz的电流消耗，非常适用于本文中电子保密柜需要的可靠、稳定和安全性要求。该主控芯片具备多个高精度定时器和多种通信接口，满足电子保密柜对光感、震动、位移和锁具状态传感器的采集要求。NuttX实时操作系统主要遵循Posix和ANSI标准，强调标准兼容和小型封装，高度可配置性和扩展性能良好，采用核心任务管理、模块化设计和完全可抢占式内核非常适用于电子保密柜的可靠运行和管控的实现。

3.1 身份认证的硬件设计

系统采用冀科安全锁作为身份认证介质，通过STM32F407主控芯片将冀科安全锁通讯协议封装成CBW（Command Block Wrapper）和 CSW（Command Status Wrapper）数据包，通过USB底层标准协议进行处理，实现身份认证。

3.2 实现过程

系统设计开柜身份认证功能。首先将冀科安全锁初始化，再将使用者与冀科安全锁关联，同时安全锁中存储的数字证书与保密柜绑定，使用者需要使用绑定的安全锁开启保密柜。

1）开柜用户插入USB-Key，输入密码并按#号结束，提出开柜请求；

2）系统收到开柜请求，发出指令要求验证用户身份，通过指令请求读取保存在USB-Key中的数字证书即RSA公钥，将证书与存储在系统中允许开柜的证书进行对比，确认该USB-Key是否具备开柜权限；

3）系统发出指令验证用户PIN码，通过后向USB-Key发送随机数N1；

4）USB-Key通过私钥加密随机数N1生成密文，将此密文发回系统用对应的公钥进行解密，还原随机数进行比对，如果验证成功，则身份认证通过，允许下一步操作，否则验证失败，退出验证。

电子保密柜对所有的验证开柜过程均生成日志记录，通过网络发送给中心数据库。身份认证过程如图2所示。

4 系统软件设计

4.1 系统设计

该系统设计基于标准规范体系、安全保障体系、组织管理体系和运行维护体系，通过基础设施、数据资源、系统支撑及中间件和应用层实现应用整合。

基于USB-Key认证电子保密柜系统的用户包括系统管理员、管理员和电子保密柜使用者，通过证书管理子系统、保密柜控制管理子系统和系统管理子系统提供管理平台和电子保密柜客户端所需的服务。网络通信及安全设备、服务器和数据存储设备作为数据传输载体、服务载体和数据存储载体完成数据与信息的流转和交互，通过与系统支撑及中间件配合为平台运行提供支持。

图2 数字签名方法进行身份认证

4.2 软件管理平台设计

1）证书管理子系统

证书管理中心按照《证书认证系统密码及其相关安全技术规范》要求，完成根证书（也是本机构证书）的制作和生命周期内的加密证书密钥对、用户签名证书密钥对的全过程管理功能，包括生成、存储、分发、撤销、更新以及安全管理等[16-19]。密钥对由CA中心和冀科安全锁生成，签名证书直接存储在Key中，保证其唯一性，不会被再次复制。另外，安全锁中存储使用者的基本信息。

USB-Key由系统管理员完成证书的签发，管理员对安全锁和使用者的操作以日志形式详细记录，并对关键数据定时备份。证书管理子系统组成框图如图3所示。

2）保密柜控制管理子系统

保密柜控制管理子系统基于密码和证书验证服务，主要设计功能包括电子保密柜的开柜管理（单、多人认证开柜，远程认证开柜、授权认证开柜、应急开柜等）、电子保密柜的初始化设置、存储物品管理、电子保密柜状态及运行状态信息。保密柜控制管理子系统框图如图4所示。

图3 证书管理子系统组成框图

图4 保密柜控制管理子系统框图

为了保证离线保密柜在特殊情况下能够开启使用，系统设计了动态口令应急开柜。采用HOTP（HMAC-base On-Time Password）即事件同步的一次性动态密码。口令共有11位，包含电子保密柜编号，开柜次数和校验值。口令由开柜人员向具有应急开柜权限的管理员申请获取，口令在规定时间内一次有效。HOTP工作原理：

HOTP（K，C）=Truncate（HMAC-SHA-1（K，C））

电子保密柜和中心服务器事先协商好一个密钥K，用于一次性密码的生成过程。此外，电子保密柜和中心服务器各有一个计数器C，并且事先将计数值同步。而Truncate是为了获得一个符合HTOP要求的值。动态口令开柜流程如图5所示。

3）系统管理子系统

系统管理子系统基于密码和证书验证服务，主要设计功能包括用户信息管理、单位信息管理、USB-Key挂失、区域信息管理、各种日志信息的查询和审计。组成框图如图6所示。

5 结 论

该系统基于计算机网络，通过将数字证书认证技术与嵌入式系统相结合，实现电子保密柜的开启认证和网络远程管控，具有可靠、安全、智能化的特点。通过该系统的设计与实现，可满足多个行业或部门在保密柜使用及管控上的要求，提高工作效率，保证对重要物品和保密柜可管、可控的客观需求。

图5 动态口令开柜流程图

图6 系统管理子系统组成框图

由于客观条件和时间上的限制，本系统还有进一步需要完善和深入研究的地方。比如对于存储物品的自动记录以及与监控系统、环境采集系统的联动报警等方面都有待进一步提高。

保密柜作为日常工作中存储重要文件和物品的载体，其认证开柜的过程是否安全可靠，管理是否方便直观对众多管理部门将产生直接影响。随着数字认证技术和计算机技术的不断发展，市场的需求日益增加，对电子保密柜的管理和控制是不断改进和发展的一个重要研究方向。

参考文献：

[1]刘义才.RFID技术在分布式集中控制保密柜中的应用[J].物联网技术，2012（10）:26-28.

[2]林娜.远程智能保险柜系统的设计与实现[D].郑州：郑州大学，2011.

[3]汪涛.基于USB Key的远程身份认证系统的设计与实现[D].武汉：武汉科技大学，2012.

[4]王帅，常朝稳，魏彦芬.基于云计算的USB Key身份认证方案[J].计算机应用研究，2014，31（7）：2130-2134.

[5]李楠.基于用户行为特征的智能终端安全认证研究[D].西安：西安电子科技大学，2014.

[6]张鑫.USB Key在PKI体系中的应用研究[J].软件导刊，2013，12（3）:39-41.

[7]马蕾，杨洪雪，朱青松.基于改进身份认证协议的单点登录系统研究[J].微电子学与计算机，2012，29（7）:182-183.

[8]杨桓.基于USB KEY的身份认证技术的相关研究[J].软件导刊，2011（3）:154-156.

[9]付青琴，昂正全，徐平江.一种改进的智能卡认证方法的实现[J].计算机工程与科学，2014，36（1）:94-98.

[10]张利华，沈友进.基于ECC和指纹USB Key的身份认证协议[J].华东交通大学学报，2014，31（2）：95-98.

[11]赵铭伟，于晓晨.一种在不安全信道上的动态口令远程用户认证方案[J].计算机应用与软件，2015，32（10）:320-323.

[12]Cao Z，Wang Y．Researching and implementing identity authentication mechanism based on USBKEY[J].JisuanjiYingyongyu Ruanjian，2011，28（2）:284-286.

[13]马伟强.我国网上银行身份认证技术分析[J].计算机安全，2012（3）:50-52．

[14]张宁，臧亚丽，田捷.生物特征与密码技术的融合—一种新的安全身份认证方案[J].密码学报，2015，2（2）:159-176.

[15]赵秀萍.生物特征识别技术发展综述［J］.刑事技术，2011（6）:44-48.

[16]杨宇.基于PKI身份认证系统的研究和实现[D].成都：电子科技大学，2009.

[17]胡晓晔.统一身份认证系统用户信息远程调用与管理[J].西安工业大学学报，2015（9）：715-719.

[18]张娟荣，屈昕鹏.基于ARM的空调远程控制系统设计[J].自动化与仪器仪表，2017（10）：99-100.

[19]马蓉，李云红，王晨昊，等.基于ARM的远程智能环境监控系统设计[J].西安工程大学学报，201（3）：346-350.