特表 2024-544645 ＵＳＢデバイスと保護対象機器間の通信制御の方法、装置及び電子機器

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-12-03

(54)【発明の名称】ＵＳＢデバイスと保護対象機器間の通信制御の方法、装置及び電子機器

(51)【国際特許分類】

   G06F 21/55 20130101AFI20241126BHJP

   G06F 21/44 20130101ALI20241126BHJP

【ＦＩ】

G06F21/55

G06F21/44

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024532503

(86)(22)【出願日】2022-11-06

(85)【翻訳文提出日】2024-07-24

(86)【国際出願番号】 CN2022130164

(87)【国際公開番号】W WO2023098407

(87)【国際公開日】2023-06-08

(31)【優先権主張番号】202111443682.X

(32)【優先日】2021-11-30

(33)【優先権主張国・地域又は機関】CN

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＪＡＶＡ

(71)【出願人】

【識別番号】520498594

【氏名又は名称】北京博衍思創信息科技有限公司

(74)【代理人】

【識別番号】100130111

【弁理士】

【氏名又は名称】新保 斉

(72)【発明者】

【氏名】張 昊

(72)【発明者】

【氏名】杜 華

(72)【発明者】

【氏名】蔡 鎮河

(57)【要約】

【課題】 ＵＳＢデバイスと保護対象機器間の通信制御の方法、装置及び電子機器を提供すること。
【解決手段】 ＵＳＢデバイスと保護対象機器間の通信制御方法に関する。該方法は、保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用される。このようにして、保護対象機器に外付けするＵＳＢアクセス制御機器を介して保護対象機器のデータを安全に保護することができ、保護対象機器内のデータ漏洩を効果的に防止し、保護対象機器にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器のデータセキュリティを確保でき、例えば、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器はＵＳＢデバイスと保護対象機器間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じてＵＳＢデバイスと保護対象機器間の通信を切断する。
【選択図】 図２

【特許請求の範囲】

【請求項1】

保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用されるＵＳＢデバイスと保護対象機器間の通信制御方法であって、
前記ＵＳＢデバイスが前記ＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、前記ＵＳＢデバイスと前記保護対象機器との間の通信データを監視するステップと、
ＵＳＢプロトコル仕様に従い前記通信データの通信プロトコル種類を決定するステップと、
前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む
ことを特徴とするＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項2】

前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、
前記ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、
前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がバルク転送プロトコルであることを判定するステップとを含む
請求項１に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項3】

前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、
前記通信データの通信プロトコル種類が前記バルク転送プロトコルの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップを含む
請求項２に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項4】

前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、
前記ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、
前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がアイソクロナス転送プロトコルであることを判定するステップとを含む
請求項１に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項5】

前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、
前記通信データの通信プロトコル種類が前記アイソクロナス転送プロトコルの場合、前記通信データのデータフローの方向を確認するステップと、
前記データフローの方向が前記保護対象機器から前記ＵＳＢデバイスへの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む
請求項４に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項6】

前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、
前記ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、
前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がインターラプト転送プロトコルであることを判定するステップとを含む
請求項１に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項7】

前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、
前記通信データの通信プロトコル種類が前記インターラプト転送プロトコルの場合、前記通信データのデータフローの方向を確認するステップと、
前記データフローの方向が前記保護対象機器から前記ＵＳＢデバイスへの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む
請求項６に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項8】

前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、
前記ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、
前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がカスタム転送プロトコルであることを判定するステップとを含む
請求項１に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項9】

前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、
前記通信データの通信プロトコル種類が前記カスタム転送プロトコルの場合、通信データが解析不可能なデータであるかどうかを判定するステップと、
前記通信データが前記解析不可能なデータの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む
請求項８に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項10】

前記ＵＳＢデバイスと前記保護対象機器間の通信が切断されたとき、前記保護対象機器にアラームメッセージを送信するステップをさらに含む
請求項１に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項11】

前記ＵＳＢアクセス制御機器が通電する前に、前記ＵＳＢデバイスと前記保護対象機器とが正常に通信できるように前記ＵＳＢアクセス制御機器に配置されたスイッチを閉じるステップ、又は、
前記ＵＳＢアクセス制御機器が通電した後、前記ＵＳＢアクセス制御機器に配置されたスイッチを開き、前記ＵＳＢデバイスのエニュメレーションメカニズムをトリガーするステップをさらに含む
請求項１に記載のＵＳＢデバイスと保護対象機器間の通信制御方法。

【請求項12】

保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用されるＵＳＢデバイスと保護対象機器間の通信制御装置であって、
前記ＵＳＢデバイスが前記ＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、前記ＵＳＢデバイスと前記保護対象機器との間の通信データを監視するための監視モジュールと、
ＵＳＢプロトコル仕様に従い前記通信データの通信プロトコル種類を決定するための通信プロトコル種類決定モジュールと、
前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するための制御モジュールとを備える
ことを特徴とするＵＳＢデバイスと保護対象機器間の通信制御装置。

【請求項13】

１つ以上のプロセッサと、
１つ以上のプログラムを保存するためのストレージデバイスとを備えた電子機器であって、
前記１つ以上のプログラムが前記１つ以上のプロセッサにより実行された場合、前記１つ以上のプロセッサが、請求項１ないし１１のいずれかに記載の方法を実現する
ことを特徴とする電子機器。

【請求項14】

コンピュータプログラムを保存し、前記プログラムがプロセッサにより実行された場合、請求項１ないし１１のいずれかに記載の方法を実現する
ことを特徴とするコンピュータ読み取り可能な記録媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、機器通信制御の分野に関し、特に、ＵＳＢデバイスと保護対象機器間の通信制御の方法、装置、電子機器及びコンピュータ読み取り可能な記録媒体に関する。

【背景技術】

【0002】

近年、コンピュータ及びネットワーク技術が急速に発展し、ネットワークの普及が大きく進んでおり、人々がネットワークによりもたらされる利便性を益々享受する一方で、人々が生産や生活で使用するコンピュータのデータセキュリティに新たな脅威、例えば一般的な悪意のあるコードの侵入、ウイルス／トロイの木馬感染、ＤＤｏＳ攻撃、ハッカーによる情報窃取、不正アクセスなど、正当なユーザへのなりすまし、データの完全性の破壊、システムの正常な動作の妨害、ネットワークを利用したウイルスの拡散、中間者攻撃などももたらしている。

【0003】

現在、イントラネットのコンピュータネットワークデータセキュリティの問題を解決するには、ブラック／ホワイトリスト、トラフィック制御ソフトウェア、ファイアウォール、ウイルス対策、侵入検知システムなどのネットワークセキュリティ製品をホストにインストールして使用するなど、多くの技術的手段があるが、上記の対策を講じても、様々なネットワークセキュリティインシデントが多発している。

【0004】

また、一部の特殊な機器、例えば特殊なソフトウェア制御を装備したホスト、特定の産業分野のエンジニアリングワークステーション／オペレータステーションの機器の場合、これらのホスト又は機器は、システムの特殊性により、このようなシステムに適したセキュリティ保護ソフトウェアが市場に存在しないか、セキュリティソフトウェアをインストールすることでホストの既存のソフトウェアとの互換性の問題が発生しやすく、さらに性能に影響を与える可能性がある。なお、これらのエンジニアリングワークステーション或いはオペレータステーションのホストの本番稼働後、基本的にオペレーティングシステムがアップグレードされず、セキュリティソフトウェアがインストールされた後でも、往々にしてマルウェア対策ソフトウェアのバージョンや悪意のあるコードライブラリが適時に更新されず、包括的なセキュリティ保護の役割を提供できない。

【0005】

背景技術で開示された上述の情報は、本開示の背景の理解を深めることのみを目的とするため、当業者に既に知られている先行技術を構成しない情報が含まれ得る。

【発明の概要】

【発明が解決しようとする課題】

【0006】

本開示は、上記の事情に鑑みてなされたものであって、保護対象機器に外付けするＵＳＢアクセス制御機器を介して保護対象機器のデータを安全に保護することができるＵＳＢデバイスと保護対象機器間の通信制御の方法、装置、電子機器及びコンピュータ読み取り可能な記録媒体を提供する。

【0007】

本開示のその他の特徴及び利点は、以下の詳細な説明から明らかになる、又は部分的に本開示の実践を通じて知ることができる。

【課題を解決するための手段】

【0008】

本開示の一態様によれば、保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用されるＵＳＢデバイスと保護対象機器間の通信制御方法を提案する。前記方法は、前記ＵＳＢデバイスが前記ＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、前記ＵＳＢデバイスと前記保護対象機器との間の通信データを監視するステップと、ＵＳＢプロトコル仕様に従い前記通信データの通信プロトコル種類を決定するステップと、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む。

【0009】

代替的に、前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がバルク転送プロトコルであることを判定するステップとを含む。

【0010】

代替的に、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、前記通信データの通信プロトコル種類がバルク転送プロトコルの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップを含む。

【0011】

代替的に、前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がアイソクロナス転送プロトコルであることを判定するステップとを含む。

【0012】

代替的に、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、前記通信データの通信プロトコル種類が前記アイソクロナス転送プロトコルの場合、前記通信データのデータフローの方向を確認するステップと、前記データフローの方向が前記保護対象機器から前記ＵＳＢデバイスへの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む。

【0013】

代替的に、前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がインターラプト転送プロトコルであることを判定するステップとを含む。

【0014】

代替的に、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、前記通信データの通信プロトコル種類が前記インターラプト転送プロトコルの場合、前記通信データのデータフローの方向を確認するステップと、前記データフローの方向が前記保護対象機器から前記ＵＳＢデバイスへの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む。

【0015】

代替的に、前記ＵＳＢプロトコル仕様に従い、前記通信データの通信プロトコル種類を決定するステップは、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップと、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がカスタム転送プロトコルであることを判定するステップとを含む。

【0016】

代替的に、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するステップは、前記通信データの通信プロトコル種類が前記カスタム転送プロトコルの場合、通信データが解析不可能なデータであるかどうかを判定するステップと、前記通信データが前記解析不可能なデータの場合、前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するステップとを含む。

【0017】

代替的に、前記方法は、前記ＵＳＢデバイスと前記保護対象機器間の通信が切断されたとき、前記保護対象機器に警告メッセージを送信するステップをさらに含む。

【0018】

代替的に、前記方法は、前記ＵＳＢアクセス制御機器が通電する前に、前記ＵＳＢデバイスと前記保護対象機器とが正常に通信できるように前記ＵＳＢアクセス制御機器に配置されたスイッチを閉じるステップ、又は前記ＵＳＢアクセス制御機器が通電した後、前記ＵＳＢアクセス制御機器に配置されたスイッチを開き、前記ＵＳＢデバイスのエニュメレーションメカニズムをトリガーするステップをさらに含む。

【0019】

本開示の一態様によれば、保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用されるＵＳＢデバイスと保護対象機器間の通信制御装置を提案する。前記装置は、前記ＵＳＢデバイスが前記ＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、前記ＵＳＢデバイスと前記保護対象機器との間の通信データを監視するための監視モジュールと、ＵＳＢプロトコル仕様に従い前記通信データの通信プロトコル種類を決定するための通信プロトコル種類決定モジュールと、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器間の通信を切断するための制御モジュールとを備える。

【0020】

本開示の一態様によれば、１つ以上のプロセッサと、１つ以上のプログラムを保存するためのストレージデバイスとを備え、１つ以上のプログラムが１つ以上のプロセッサにより実行された場合、１つ以上のプロセッサが上記の方法を実現する電子機器を提案する。

【0021】

本開示の一態様によれば、コンピュータプログラムを保存し、前記プログラムがプロセッサにより実行された場合、上記の方法を実現するコンピュータ読み取り可能な記録媒体を提案する。

【発明の効果】

【0022】

本開示のＵＳＢデバイスと保護対象機器間の通信制御の方法と装置、電子機器及びコンピュータ読み取り可能な記録媒体によれば、該方法は保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用される。このようにして、保護対象機器に外付けするＵＳＢアクセス制御機器を介して保護対象機器のデータを安全に保護することができ、保護対象機器内のデータ漏洩を効果的に防止し、保護対象機器にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器のデータセキュリティを確保でき、例えば、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器はＵＳＢデバイスと保護対象機器間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じてＵＳＢデバイスと保護対象機器間の通信を切断する。

【0023】

上記の一般的な説明及び後記の詳細な説明は、単なる例示であって、本開示を限定するものではないことが理解される。

【0024】

本開示の上記及びその他の目的、特徴及び利点は、図面を参照しながら例示的な実施形態を詳細に説明することによりさらに明らかになる。以下に描写する図面は、本開示のいくつかの実施形態というのみであり、当業者からすると創造性の活動をしない前提で、これら図面に基づいてその他の図面を得ることができる。

【図面の簡単な説明】

【0025】

【図1】例示的な実施形態によるＵＳＢデバイスアクセス制御システムを示す概略構成図である。

【図2】例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【図3】例示的な実施形態によるＵＳＢアクセス制御機器におけるＵＳＢ通信データ分析モジュールの具体的な配置を示す概略図である。

【図4】他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【図5】他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【図6】他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【図7】他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【図8】例示的な実施形態によるデータ転送モジュールとＵＳＢ通信データ分析モジュールの接続関係を示す概略図である。

【図9】例示的な実施形態によるネットワークバージョンのＵＳＢデバイスアクセス制御システムを示す概略図である。

【図10】例示的な実施形態による管理ワークステーションＡにデプロイされるソフトウェアの概略図である。

【図11】例示的な実施形態によるＵＳＢ登録デバイス内のＵＳＢ通信データ分析モジュールとデータ転送モジュールとの接続関係を示す概略図である。

【図12】例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御装置のブロック図である。

【図13】例示的な実施形態による電子機器のブロック図である。

【図14】例示的な実施形態によるコンピュータ読み取り可能な記録媒体のブロック図である。

【発明を実施するための形態】

【0026】

現在、添付図面を参照しつつ例示的な実施形態を詳細に説明する。ただし、例示的な実施形態は、様々な複数の形式で実装される可能性があり、本開示はここに記載されている例に限定されると解釈されるべきではない。逆に、実装例は、本開示の技術的手段をより包括的かつ完全にするために提供され、例示的な実施形態の技術思想を当業者に包括的に伝える。添付図面の同一符号は、同一又は類似の構成要素を表すため、構成要素の繰り返し説明は省略する。

【0027】

なお、記載された特徴、構造又は特性は、１つ以上の実施形態において任意の適切な方法で組み合わせることができる。多数の具体的な詳細は、本開示の実施形態の完全な理解を提供するために説明される。しかしながら、当業者は、具体的な詳細の内１つ以上がなくても、本開示の技術的手段を実施できる、又は他の方法、コンポーネント、装置、ステップなどが採用できることを認識されよう。他の場合、公知の方法、装置、実現、或いは操作については、本開示の各々の態様を不必要に曖昧にすることを避けるため、詳細な提示や説明はおこなわないこととする。

【0028】

添付図面に示されているブロック図の中には、機能的な実体であり、必ずしも物理的に独立した実体に対応していないものもある。すなわち、これらの機能的な実体は、ソフトウェアの形で実現されてもよいし、１つ以上のハードウェアモジュール又は集積回路で実現されてもよく、異なるネットワーク及び／又はプロセッサ装置及び／又はマイクロコントローラ装置で実現されてもよい。

【0029】

添付図面に示されたフローチャートは、例示にすぎず、必ずしも全ての内容及び操作／ステップを含むわけではなく、また、記載された順序で実行される必要もない。例えば、一部の操作/ステップは分解でき、一部の操作/ステップは合併或いは部分的に合併できるため、実際の実行順序は実際の状況に応じて変更される可能性がある。

【0030】

本明細書では、第１、第２、第３などの用語を使用して様々な構成要素を説明する場合があるが、これらの構成要素はこれらの用語により限定されるべきではないことが理解されるであろう。これらの用語は、ある構成要素を別の構成要素から区別するために使用される。したがって、以下に説明する第１の構成要素は、本開示の概念の教示から逸脱することなく、第２の構成要素と呼ばれることがある。本明細書で使用される場合、「及び／又は」という用語は、関連する列挙された項目のうちいずれか及び１つ以上の全ての組み合わせを含む。

【0031】

添付図面は例示的な実施形態の概略図にすぎず、添付図面内のモジュール又はフローは本開示を実施するために必ずしも必要ではなく、したがって、本開示の保護範囲を限定する意図で用いられるものではないことは、当業者によって理解されるだろう。

【0032】

図１は、例示的な実施形態によるＵＳＢデバイスアクセス制御システムを示す概略構成図である。

【0033】

図１に示すように、ＵＳＢデバイスアクセス制御システム１００は、ＵＳＢアクセス制御機器１１０と、ＵＳＢデバイス１２０と、保護対象機器１３０とを備える。ＵＳＢアクセス制御機器１１０には、ＵＳＢポートＵＡ１及びＵＳＢポートＵＡ２の２つのＵＳＢポートが配置されている。ＵＳＢポートの数は、実際の応用シナリオに応じて増やすことができる。

【0034】

本実施形態において、ＵＳＢアクセス制御機器１１０とＵＳＢデバイス１２０は、ＵＳＢポートＵＡ１を介して接続することができる。ＵＳＢアクセス制御機器１１０と保護対象機器１３０は、ＵＳＢポートＵＡ２を介して接続することができる。ＵＳＢアクセス制御機器１１０は、保護対象機器１３０内のデータを安全に保護するために用いることができる。例えば、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０のＵＳＢポートＵＡ１に差し込まれた場合、ＵＳＢアクセス制御機器１１０はＵＳＢデバイス１２０の記述子に従いＵＳＢデバイス１２０を認証することができる。ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器はＵＳＢデバイスと保護対象機器間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じてＵＳＢデバイスと保護対象機器間の通信を切断する。

【0035】

本実施形態において、ＵＳＢアクセス制御機器１１０は、データ保護機能を備えたセキュリティ機器であり得る。ＵＳＢデバイス１２０は、外部ストレージデバイス、外部ＨＩＤデバイスなどであってもよい。例えば、外部ストレージデバイスは、ＵＳＢフラッシュドライブ、ポータブルストレージデバイスなどであり得る。外部ＨＩＤデバイスは、マウス、キーボード、コントローラなどであってもよい。

【0036】

図２は、例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。該方法は、保護対象機器とインターフェースを介して接続されるＵＳＢアクセス制御機器に応用される。

【0037】

図２に示すように、ＵＳＢデバイスと保護対象機器間の通信制御方法は、ステップＳ２１０～ステップＳ２３０を含み得る。

【0038】

ステップＳ２１０において、前記ＵＳＢデバイスが前記ＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、前記ＵＳＢデバイスと前記保護対象機器との間の通信データを監視する。

【0039】

ステップＳ２２０において、ＵＳＢプロトコル仕様に従い前記通信データの通信プロトコル種類を決定する。

【0040】

ステップＳ２３０において、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断する。

【0041】

該方法は、保護対象機器に外付けするＵＳＢアクセス制御機器を介して保護対象機器のデータを安全に保護することができ、保護対象機器内のデータ漏洩を効果的に防止し、保護対象機器にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器のデータセキュリティを確保でき、例えば、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器はＵＳＢデバイスと保護対象機器間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じてＵＳＢデバイスと保護対象機器間の通信を切断する。

【0042】

本発明のいくつかの実施形態において、ＵＳＢデバイスと保護対象機器間の通信データの通信プロトコル種類は、バルク転送プロトコル、アイソクロナス転送プロトコル、インターラプト転送プロトコル、カスタム転送プロトコルのうちのいずれか又は複数を含み得る。

【0043】

本発明のいくつかの実施形態において、各通通信プロトコル種類は、Ｓｅｔｕｐトランザクション、ＩＮトランザクション、ＯＵＴトランザクションを含むことができる。全てのトランザクションのトークンパケットは、ＵＳＢホスト（例えば保護対象機器）から発行される。ＵＳＢデバイスの通信データ分析及び異常防止の基本原則は、データの入力が緩くデータの出力が厳しく、すなわちＵＳＢデバイスアクセス許可に基づき保護対象機器に流入する通信データに通信プロトコル種類を限定することである。例えばバルク転送が禁止され、アイソクロナス転送はＩＮトランザクション（つまりＵＳＢデバイスから保護対象機器へ）のみが許可され、インターラプト転送はＩＮトランザクションを実行でき、ＯＵＴトランザクションはデータ転送の方向（つまりＵＳＢデバイスから保護対象機器へのデータ転送が許可され、保護対象機器からＵＳＢデバイスへのデータ転送は禁止される）を判断する必要がある。

【0044】

本発明のいくつかの実施形態において、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれている場合、ＵＳＢデバイスを認証する必要があり、ＵＳＢデバイスが認証に成功した後、ＵＳＢデバイスと保護対象機器とが通信できるようになる。ＵＳＢデバイスの認証プロセスは次の通りであり得、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれている場合、ＵＳＢデバイスの記述子を取得し、ＵＳＢデバイスの記述子とＵＳＢデバイスの登録情報とを比較し、ＵＳＢデバイスの記述子がＵＳＢデバイスの登録情報と同じである場合、ＵＳＢデバイスと前記保護対象機器とが通信できるように、ＵＳＢアクセス制御機器に配置されたスイッチを閉じる。また、ＵＳＢデバイスが前記保護対象機器と通信する時、ＵＳＢデバイスの記述子を取得し続け、ＵＳＢデバイスの記述子とＵＳＢデバイスの登録情報とを比較し、ＵＳＢデバイスの記述子がＵＳＢデバイスの登録情報と異なる場合、ＵＳＢアクセス制御機器に配置されたスイッチを開く。

【0045】

図３を参照すると、ＵＳＢアクセス制御機器１１０は、インターフェース制御モジュールと、システム制御モジュールとを備え得る。インターフェース制御モジュールは、ＵＳＢポートＵＡ１、ＵＳＢポートＵＡ２、ＵＳＢポートＵＢの３つのＵＳＢポートを有する。ＵＳＢポートＵＡ１とＵＳＢポートＵＡ２は、外部インターフェースで、ＵＳＢポートＵＢは内部インターフェースである。外部インターフェースＵＡ２は、保護対象機器１３０の対応するＵＳＢポートＵＣに接続される。外部インターフェースＵＡ１は、１つ以上のＵＳＢデバイス１２０の接続のために用いられる。システム制御モジュールにはＵＳＢポートＵＤである内部インターフェースがある。システム制御モジュールのＵＤは、インターフェース制御モジュールのＵＢに電気的に接続され、インターフェース制御モジュール上の外部インターフェースＵＡ１に接続された外部機器のセキュリティ認証を制御するために用いられる。

【0046】

本実施形態において、インターフェース制御モジュール内に２つのＵＳＢ通信データ分析モジュール及び２つのスイッチも配置されている。図３に示すように、ＵＳＢ通信データ分析モジュールの一端は外部インターフェースＵＡ１に接続され、他端はスイッチの一端に接続され、スイッチの他端は内部インターフェースＵＢに接続される。別のＵＳＢ通信データ分析モジュールの一端は、外部インターフェースＵＡ１に接続され、他端はスイッチの一端に接続され、スイッチの他端は外部インターフェースＵＡ２に接続される。このようにＵＳＢ通信データ分析モジュールは、直列に接続され、インターフェース制御モジュールの外部インターフェースと保護対象機器のＵＳＢポートとの接続をバイパスし、直接接続パス内のＵＳＢデバイスの記述子及び／又は通信データをリアルタイムで監視し、ＵＳＢ通信データ分析モジュールはＵＳＢプロトコル解析に基づいて実現され、ＵＳＢデバイスの記述子及び／又は通信データを分析するために用いられる。例えば、外部インターフェースＵＡ１と内部インターフェースＵＢとの間のＵＳＢ通信データ分析モジュールは、ＵＳＢデバイス１２０の記述子タを分析するために用いられる。外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールは、ＵＳＢデバイス１２０の記述子、及びＵＳＢデバイス１２０と保護対象機器１３０との間の通信データを分析するために用いられる。

【0047】

以下では、図４～図７の実施形態を通じて、通信プロトコル種類に従いＵＳＢデバイスと保護対象機器間の通信を制御する方法を詳細に説明する。

【0048】

図４は、他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【0049】

図４に示すように、上記ステップＳ２２０は、ステップＳ４１０及びステップＳ４２０を含み得る。

【0050】

ステップＳ４１０において、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得する。

【0051】

ステップＳ４２０において、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がバルク転送プロトコルであることを判定する。

【0052】

本発明のいくつかの実施形態において、ＵＳＢデバイスと保護対象機器間の通信データの通信プロトコル種類がバルク転送プロトコルの場合、ＵＳＢデバイスと保護対象機器間の通信を切断することで、保護対象機器内のデータを安全に適時保護することができる。

【0053】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じると、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できるようになり、このとき、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０と保護対象機器１３０との間の通信データの通信プロトコル種類をリアルタイムで検出し、通信プロトコル種類がバルク転送プロトコルであることを監視した場合、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開き、このとき、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できない。この方式により保護対象機器内のデータを安全かつリアルタイムで保護することができる。

【0054】

図５は、他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【0055】

図５に示すように、上記ステップＳ２２０は、ステップＳ５１０及びステップＳ５２０を含み得る。

【0056】

ステップＳ５１０において、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得する。

【0057】

ステップＳ５２０において、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がアイソクロナス転送プロトコルであることを判定する。

【0058】

本発明のいくつかの実施形態において、ＵＳＢデバイスと保護対象機器との間の通信データの通信プロトコル種類がアイソクロナス転送プロトコルの場合、通信データのデータフローの方向を確認し、該データフローの方向が保護対象機器からＵＳＢデバイスへの場合、ＵＳＢデバイスと保護対象機器間の通信を切断することで、保護対象機器内のデータを安全に適時保護することができる。

【0059】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じると、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できるようになり、このとき、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０と保護対象機器１３０との間の通信データの通信プロトコル種類をリアルタイムで検出し、通信プロトコル種類がアイソクロナス転送プロトコルであることを監視した場合、該通信データのデータ方向を判断し、該データフローの方向が保護対象機器１３０からＵＳＢデバイス１２０への場合、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開き、このとき、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できない。この方式により保護対象機器内のデータを安全かつリアルタイムで保護することができる。

【0060】

図６は、他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【0061】

図６に示すように、上記ステップＳ２２０は、ステップＳ６１０及びステップＳ６２０を含み得る。

【0062】

ステップＳ６１０において、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得する。

【0063】

ステップＳ６２０において、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がインターラプト転送プロトコルであることを判定する。

【0064】

本発明のいくつかの実施形態において、ＵＳＢデバイスと保護対象機器との間の通信データの通信プロトコル種類がインターラプト転送プロトコルの場合、通信データのデータフローの方向を確認し、該データフローの方向が保護対象機器からＵＳＢデバイスへの場合、ＵＳＢデバイスと保護対象機器間の通信を切断することで、保護対象機器内のデータを安全に適時保護することができる。

【0065】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じると、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できるようになり、このとき、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０と保護対象機器１３０との間の通信データの通信プロトコル種類をリアルタイムで検出し、通信プロトコル種類がインターラプト転送プロトコルであることを監視した場合、該通信データのデータ方向を判断し、該データフローの方向が保護対象機器１３０からＵＳＢデバイス１２０への場合、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開き、このとき、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できない。この方式により保護対象機器内のデータを安全かつリアルタイムで保護することができる。

【0066】

図７は、他の例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御方法を示すフローチャートである。

【0067】

図７に示すように、上記ステップＳ２２０は、ステップＳ７１０及びステップＳ７２０を含み得る。

【0068】

ステップＳ７１０において、ＵＳＢプロトコル仕様に従い前記通信データから通信プロトコル情報を取得するステップ。

【0069】

ステップＳ７２０において、前記通信プロトコル情報に基づいて前記通信データの通信プロトコル種類がカスタム転送プロトコルであることを判定する。

【0070】

本発明のいくつかの実施形態において、ＵＳＢデバイスと保護対象機器との間の通信データの通信プロトコル種類がカスタム転送プロトコルの場合、通信データが解析不可能なデータであるかどうかを判定し、前記通信データが前記解析不可能なデータの場合、ＵＳＢデバイスと保護対象機器間の通信を切断することで、保護対象機器内のデータを安全に適時保護することができる。

【0071】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じると、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できるようになり、このとき、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０と保護対象機器１３０との間の通信データの通信プロトコル種類をリアルタイムで検出し、通信プロトコル種類がカスタム転送プロトコルであることを監視した場合、該通信データが解析不可能なデータであるかどうかを判断し、前記通信データが前記解析不可能なデータの場合、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開き、このとき、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できない。この方式により保護対象機器内のデータを安全かつリアルタイムで保護することができる。

【0072】

前述の実施形態によれば、該方法は、ＵＳＢデバイスと保護対象機器間の通信が切断されたとき、保護対象機器に警告メッセージを送信するステップをさらに含む。図３を参照すると、ＵＳＢアクセス制御機器１１０が外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開いたとき、保護対象機器１３０の責任者に注意を促するため、保護対象機器１３０に警告メッセージを送信する。

【0073】

前述の実施形態によれば、該方法は、ＵＳＢアクセス制御機器１１０が通電する前に、ＵＳＢデバイス１２０と保護対象機器１３０とが正常に通信できるようにＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じるステップ、又はＵＳＢアクセス制御機器１１０が通電した後、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開き、ＵＳＢデバイス１２０のエニュメレーションメカニズムをトリガーするステップをさらに含む。図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０に差し込まれ、かつＵＳＢアクセス制御機器１１０が通電する前に、ＵＳＢデバイス１２０と保護対象機器１３０とが正常に通信できるようにＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じることで、ＵＳＢアクセス制御機器１１０の電源断時バイパス機能を実現する。逆に、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０に差し込まれ、かつＵＳＢアクセス制御機器１１０が通電したとき、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開き、ＵＳＢデバイス１２０のエニュメレーションメカニズムをトリガーし、すなわちＵＳＢデバイス１２０を認証する。

【0074】

以下の実施形態を通じてＵＳＢデバイスのエニュメレーションメカニズム、すなわちＵＳＢデバイスの認証プロセスを詳細に説明する。

【0075】

図３を参照すると、ＵＳＢデバイス１２０が直接接続された外部インターフェースＵＡ１に差し込まれ、保護対象機器のＵＳＢポートＵＣに接続し、差し込まれたＵＳＢデバイス１２０が通電され、ＵＳＢ仕様によれば、デバイス認識プロセス、すなわち、ＵＳＢデバイス１２０のエニュメレーションプロセスに入る。例えば、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれた場合、ＵＳＢアクセス制御機器１１０の内部インターフェースＵＢと外部インターフェースＵＡ１との間のスイッチが閉じられ、このとき、システム制御モジュールは両者間のＵＳＢ通信データ分析モジュールを制御してＵＳＢデバイス１２０の記述子を取得し、ＵＳＢデバイス１２０の記述子と該ＵＳＢデバイス１２０の登録情報とを比較することができる。ＵＳＢデバイス１２０の記述子が該ＵＳＢデバイス１２０の登録情報と同じである場合、ＵＳＢデバイス１２０と保護対象機器１３０とが通信できるように、ＵＳＢアクセス制御機器１１０に配置されたスイッチ（例えば外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチ）を閉じる。このとき、ＵＳＢデバイス１２０は認証に成功し、ＵＳＢデバイス１２０と保護対象機器１３０は、通信データを介して通信することができ、両者は通信中にＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールを介してＵＳＢデバイス１２０と保護対象機器１３０との間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じて両者間の通信を制御し、例えばＵＳＢデバイス１２０と保護対象機器１３０間の通信を切断することで、保護対象機器１３０に外付けするＵＳＢアクセス制御機器１１０を介して保護対象機器１３０のデータを安全に保護することができ、保護対象機器１３０内のデータ漏洩を効果的に防止し、保護対象機器１３０にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器１３０のデータセキュリティを確保できる。

【0076】

また、本発明の実施形態において、ＵＳＢデバイス１２０が保護対象機器１３０と通信する時、ＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールにより該ＵＳＢデバイス１２０の記述子を取得し続け、ＵＳＢデバイス１２０の記述子と該ＵＳＢデバイス１２０の登録情報とを比較し続ける必要がある。ＵＳＢデバイス１２０の記述子がＵＳＢデバイス１２０の登録情報と異なる場合、ＵＳＢアクセス制御機器に配置されたスイッチ（例えば外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチ）を開き、このとき、ＵＳＢデバイス１２０と保護対象機器１３０は通信できないため、保護対象機器１３０のデータを安全に保護することもできる。

【0077】

具体的には、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０のＵＡ１に差し込まれた後、ＵＳＢアクセス制御機器１１０の内部接続を介して保護対象機器１３０上の対応するＵＳＢポートに接続され、差し込まれたＵＳＢデバイス１２０は通電され、ＵＳＢ仕様によれば、デバイス認識プロセス、すなわち、ＵＳＢデバイス１２０の最初のエニュメレーションプロセスに入る。最初のエニュメレーションが成功した後も、ＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０と保護対象機器１３０との間の通信データをリアルタイムで取得し続ける必要があり、メイン制御基板上で動作するＵＳＢ通信データ分析モジュールはＵＳＢデバイス１２０と保護対象機器１３０との間の通信データをリアルタイムで分析し、エニュメレーションプロセス内の記述子（例えば、ベンダーＩＤ、製品識別子（ＰＩＤ）及びシリアル番号情報、構成数、現在の構成の識別、構成でサポートされているインターフェースの数、インターフェース番号、インターフェースクラス、インターフェースサブクラス、インターフェースプロトコルなどである）を抽出して、登録情報と比較・照合し、不一致があると発見された場合、ＵＳＢデバイス１２０と保護対象機器１３０との間の通信を切断し、警告メッセージが送信される。

【0078】

本発明のいくつかの実施形態において、上記ＵＳＢデバイス１２０の記述子は、デバイス記述子、構成記述子、インターフェース記述子、ＨＩＤ記述子のうちのいずれか又は複数を含み得る。

【0079】

ＵＳＢプロトコル仕様によれば、１つのＵＳＢデバイス１２０はデバイス記述子を１つだけ有し、デバイス記述子には次の表１が含まれる。

【0080】

【表1】

【0081】

ＵＳＢプロトコル仕様によれば、ＵＳＢデバイス１２０は、少なくとも１つ以上の構成記述子を有することができ、上記デバイス記述子の最後の項目ｂＮｕｍＣｏｎｆｉｇｕｒａｔｉｏｎｓでは構成記述子の数を限定する。例えばＵＳＢデバイス１２０が現在構成の１つを選択し、構成記述子情報は表２に示す通りであり、ｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅは現在の構成の識別子である。

【0082】

【表2】

【0083】

上記のインターフェース記述子は、上記現在の構成におけるインターフェースの状況を表すために使用できる。例えば、単機能ＵＳＢデバイス１２０は、１つのインターフェース、例えばＵＳＢフラッシュドライブを有する。複合機能ＵＳＢデバイス１２０は、複数のインターフェース、例えばマウスとキーボードが一体となった複合デバイスを有し、１つのインターフェースが１つの機能に対応する。ＵＳＢデバイス１２０は複数の構成を持つことができるが、現在選択できる構成は１つだけである。デバイス記述子のデバイスタイプｂＤｅｖｉｃｅＣｌａｓｓが０の場合、つまりインターフェース記述子がクラスを識別するために使用されることを示し、このときインターフェースクラス、インターフェースサブクラス、インターフェースプロトコルを用いてＵＳＢデバイス１２０のこの機能が属するクラスを説明する。

【0084】

本発明のいくつかの実施形態において、上記ＵＳＢデバイスの記述子を取得することは、Ｇｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ制御パケットをＵＳＢデバイスに送信するステップと、ＵＳＢデバイスがＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ制御パケットに従い決定したデバイス記述子を受信するステップとをさらに含み得る。このようにして、ＵＳＢアクセス制御機器が、該ＵＳＢデバイスのデバイス記述子を迅速に取得できるように、ＵＳＢコマンド（例えばＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ制御パケット）をＵＳＢデバイスに送信することによって、該ＵＳＢデバイスのデバイス記述子の取得を要求できる。

【0085】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、システム制御モジュールは、内部インターフェースＵＢと外部インターフェースＵＡ１との間のＵＳＢ通信データ分析モジュールを制御して、ＵＳＢデバイス１２０のデバイス記述子を取得し、デバイス記述子に基づきＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じるか、または開くかを決定する。具体的には、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、内部インターフェースＵＢと外部インターフェースＵＡ１との間のＵＳＢ通信データ分析モジュールを介してＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ制御パケットを該ＵＳＢデバイス１２０に送信し、該ＵＳＢデバイス１２０は該制御パケットに基づきデバイス記述子をＵＳＢ通信データ分析モジュールに返し、例えばデバイス記述子内のｂＤｅｖｉｃｅＣｌａｓｓ、ｂＤｅｖｉｃｅＳｕｂＣｌａｓｓ、ｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌ、ｂＬｅｎｇｔｈ、ｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅ、及びｂＳｔｒｉｎｇなどを返す。この場合、ＵＳＢ通信データ分析モジュールは、事前に取得した該ＵＳＢデバイス１２０の登録情報に基づき現在取得したデバイス記述子と比較し、この方式でＵＳＢデバイス１２０の最初のエニュメレーションを実行できる。

【0086】

例えば、ＵＳＢデバイス１２０の記述子とＵＳＢデバイス１２０の登録情報とを比較するステップは、デバイス記述子内のｂＤｅｖｉｃｅＣｌａｓｓと登録情報内のｂＤｅｖｉｃｅＣｌａｓｓが同じかどうかを比較するステップと、デバイス記述子内のｂＤｅｖｉｃｅＳｕｂＣｌａｓｓと登録情報内のｂＤｅｖｉｃｅＳｕｂＣｌａｓｓが同じかどうかを比較するステップと、デバイス記述子内のｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌと登録情報内のｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌが同じかどうかを比較するステップと、デバイス記述子内のｂＬｅｎｇｔｈと登録情報内のｂＬｅｎｇｔｈが同じかどうかを比較するステップと、デバイス記述子内のｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅと登録情報中ｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅが同じかどうかを比較するステップと、デバイス記述子内のｂＳｔｒｉｎｇと登録情報内のｂＳｔｒｉｎｇが同じかどうかを比較するステップとを含む。

【0087】

本発明のいくつかの実施形態において、デバイス記述子内のｂＤｅｖｉｃｅＣｌａｓｓ、ｂＤｅｖｉｃｅＳｕｂＣｌａｓｓ、ｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌ、ｂＬｅｎｇｔｈ、ｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅ、及びｂＳｔｒｉｎｇが登録情報内のｂＤｅｖｉｃｅＣｌａｓｓ、ｂＤｅｖｉｃｅＳｕｂＣｌａｓｓ、ｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌ、ｂＬｅｎｇｔｈ、ｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅ、及びｂＳｔｒｉｎｇと一致する場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じる。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じる。

【0088】

本発明のいくつかの実施形態において、デバイス記述子内のｂＤｅｖｉｃｅＣｌａｓｓ、ｂＤｅｖｉｃｅＳｕｂＣｌａｓｓ、ｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌ、ｂＬｅｎｇｔｈ、ｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅ、及びｂＳｔｒｉｎｇが登録情報内のｂＤｅｖｉｃｅＣｌａｓｓ、ｂＤｅｖｉｃｅＳｕｂＣｌａｓｓ、ｂＤｅｖｉｃｅＰｒｏｔｏｃｏｌ、ｂＬｅｎｇｔｈ、ｂＤｅｓｃｒｉｐｔｏｒＴｙｐｅ、及びｂＳｔｒｉｎｇのいずれかと異なる場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開く。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開く。ＵＳＢデバイス１２０の記述子内のデバイス記述子と登録情報内のデバイス記述子が異なり、かつＵＳＢアクセス制御機器１１０内のスイッチ自体が開状態である場合、このとき、開状態のままで保持しておくことに留意されたい。

【0089】

本発明のいくつかの実施形態において、上記ＵＳＢデバイスの記述子を取得することは、Ｇｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケットを前記ＵＳＢデバイスに送信するステップと、前記ＵＳＢデバイスが前記Ｇｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケットに従い決定した構成記述子を受信するステップとをさらに含み得る。このようにして、ＵＳＢアクセス制御機器が、該ＵＳＢデバイスの構成記述子を迅速に取得できるように、ＵＳＢコマンド（例えばＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケット）をＵＳＢデバイスに送信することによって、該ＵＳＢデバイスの構成記述子の取得を要求できる。

【0090】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、システム制御モジュールは、内部インターフェースＵＢと外部インターフェースＵＡ１との間のＵＳＢ通信データ分析モジュールを制御して、ＵＳＢデバイス１２０の構成記述子を取得し、構成記述子に基づきＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じるか、または開くかを決定する。具体的には、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、内部インターフェースＵＢと外部インターフェースＵＡ１との間のＵＳＢ通信データ分析モジュールを介してＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケットを該ＵＳＢデバイス１２０に送信し、該ＵＳＢデバイス１２０は該制御パケットに基づき構成記述子をＵＳＢ通信データ分析モジュールに返し、例えば構成記述子内のｂＮｕｍＩｎｔｅｒｆａｃｅｓ、ｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅ、及びｗＴｏｔａｌＬｅｎｇｔｈなどを返す。この場合、ＵＳＢ通信データ分析モジュールは、事前に取得した該ＵＳＢデバイス１２０の登録情報に基づき現在取得した構成記述子と比較し、この方式でＵＳＢデバイス１２０の最初のエニュメレーションを実行できる。

【0091】

例えば、ＵＳＢデバイス１２０の記述子とＵＳＢデバイス１２０の登録情報とを比較するステップは、構成記述子内のｂＮｕｍｌｎｔｅｒｆａｃｅｓと登録情報内のｂＮｕｍｌｎｔｅｒｆａｃｅｓが同じかどうかを比較するステップと、構成記述子内のｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅと登録情報内のｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅが同じかどうかを比較するステップと、構成記述子内のｗＴｏｔａｌＬｅｎｇｔｈと登録情報内のｗＴｏｔａｌＬｅｎｇｔｈが同じかどうかを比較するステップとを含む。

【0092】

本発明のいくつかの実施形態において、構成記述子内のｂＮｕｍｌｎｔｅｒｆａｃｅｓ、ｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅ、及びｗＴｏｔａｌＬｅｎｇｔｈが登録情報内のｂＮｕｍｌｎｔｅｒｆａｃｅｓ、ｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅ、及びｗＴｏｔａｌＬｅｎｇｔｈｌと一致する場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じる。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じる。

【0093】

本発明のいくつかの実施形態において、構成記述子内のｂＮｕｍＩｎｔｅｒｆａｃｅｓ、ｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅ、及びｗＴｏｔａｌＬｅｎｇｔｈが登録情報内のｂＮｕｍｌｎｔｅｒｆａｃｅｓ、ｂＣｏｎｆｉｇｕｒａｔｉｏｎＶａｌｕｅ、及びｗＴｏｔａｌＬｅｎｇｔｈのいずれかと異なる場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開く。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開く。ＵＳＢデバイス１２０の記述子内の構成記述子と登録情報内の構成記述子が異なり、かつＵＳＢアクセス制御機器１１０内のスイッチ自体が開状態である場合、このとき、開状態のままで保持しておくことに留意されたい。

【0094】

本発明のいくつかの実施形態において、上記ＵＳＢデバイスの記述子を取得することは、Ｇｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケットを前記ＵＳＢデバイスに送信するステップと、前記ＵＳＢデバイスが前記Ｇｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケットに従い決定したインターフェース記述子を受信するステップをさらに含み得る。このようにして、ＵＳＢアクセス制御機器が、該ＵＳＢデバイスのインターフェース記述子を迅速に取得できるように、ＵＳＢコマンド（例えばＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケット）をＵＳＢデバイスに送信することによって、該ＵＳＢデバイスのインターフェース記述子の取得を要求できる。

【0095】

図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、システム制御モジュールは、内部インターフェースＵＢと外部インターフェースＵＡ１との間のＵＳＢ通信データ分析モジュールを制御して、ＵＳＢデバイス１２０のインターフェース記述子を取得し、インターフェース記述子に基づきＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じるか、または開くかを決定する。具体的には、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、内部インターフェースＵＢと外部インターフェースＵＡ１との間のＵＳＢ通信データ分析モジュールを介してＧｅｔ＿Ｄｅｓｃｒｉｐｔｏｒ＿Ｃｏｎｆｉｇｕｒａｔｉｏｎ制御パケットを該ＵＳＢデバイス１２０に送信し、該ＵＳＢデバイス１２０は該制御パケットに基づきインターフェース記述子をＵＳＢ通信データ分析モジュールに返し、例えばインターフェース記述子内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒ、ｂｌｎｔｅｒｆａｃｅＣｌａｓｓ、ｂＤｅｖｉｃｅＳｕｂＣｌａｓｓ、及びｂＩｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌなどを返す。この場合、ＵＳＢ通信データ分析モジュールは、事前に取得した該ＵＳＢデバイス１２０の登録情報に基づき現在取得したインターフェース記述子と比較し、この方式でＵＳＢデバイス１２０の最初のエニュメレーションを実行できる。

【0096】

例えば、ＵＳＢデバイス１２０の記述子とＵＳＢデバイス１２０の登録情報とを比較するステップは、インターフェース記述子内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒと登録情報内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒが同じかどうかを比較するステップと、インターフェース記述子内のｂｌｎｔｅｒｆａｃｅＣｌａｓｓと登録情報内のｂｌｎｔｅｒｆａｃｅＣｌａｓｓが同じかどうかを比較するステップと、インターフェース記述子内のｂｌｎｔｅｒｆａｃｅＳｕｂＣｌａｓｓと登録情報内のｂｌｎｔｅｒｆａｃｅＳｕｂＣｌａｓｓが同じかどうかを比較するステップと、インターフェース記述子内のｂｌｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌと登録情報内のｂｌｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌが同じかどうかを比較するステップとを含む。

【0097】

本発明のいくつかの実施形態において、ＵＳＢデバイス１２０の記述子がＵＳＢデバイス１２０の登録情報と同じである場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じるステップは、インターフェース記述子内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒ、ｂｌｎｔｅｒｆａｃｅＣｌａｓｓ、ｂｌｎｔｅｒｆａｃｅＳｕｂＣｌａｓｓ、及びｂｌｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌが登録情報内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒ、ｂｌｎｔｅｒｆａｃｅＣｌａｓｓ、ｂｌｎｔｅｒｆａｃｅＳｕｂＣｌａｓｓ、及びｂｌｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌと一致する場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じるステップを含む。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じる。

【0098】

本発明のいくつかの実施形態において、ＵＳＢデバイス１２０の記述子がＵＳＢデバイス１２０の登録情報と異なる場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開くステップは、インターフェース記述子内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒ、ｂｌｎｔｅｒｆａｃｅＣｌａｓｓ、ｂｌｎｔｅｒｆａｃｅＳｕｂＣｌａｓｓ、及びｂｌｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌが登録情報内のｂｌｎｔｅｒｆａｃｅＮｕｍｂｅｒ、ｂｌｎｔｅｒｆａｃｅＣｌａｓｓ、ｂｌｎｔｅｒｆａｃｅＳｕｂＣｌａｓｓ、及びｂｌｎｔｅｒｆａｃｅＰｒｏｔｏｃｏｌのいずれかと異なる場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開くステップを含む。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開く。ＵＳＢデバイス１２０の記述子内のインターフェース記述子と登録情報内のインターフェース記述子が異なり、かつＵＳＢアクセス制御機器１１０内のスイッチ自体が開状態である場合、このとき、開状態のままで保持しておくことに留意されたい。

【0099】

上記実施形態は、ＵＳＢデバイスの記述子がデバイス記述子、又は構成記述子、或いはインターフェース記述子であり得ることを説明する。本発明内のＵＳＢデバイスの記述子には、デバイス記述子、構成記述子、及びインターフェース記述子が含まれてもよい。図３を参照すると、ＵＳＢデバイス１２０がＵＳＢアクセス制御機器１１０の外部インターフェースＵＡ１に差し込まれたとき、ＵＳＢアクセス制御機器１１０内の外部インターフェースＵＡ１と内部インターフェースＵＢとの間のＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０のデバイス記述子、構成記述子、及びインターフェース記述子を取得する。例えばＵＳＢコマンドをＵＳＢデバイス１２０に送信し、該ＵＳＢデバイス１２０は対応するＵＳＢコマンドに従いデバイス記述子、構成記述子、及びインターフェース記述子を返す。そしてＵＳＢ通信データ分析モジュールは、ＵＳＢデバイス１２０の登録情報内のデバイス記述子、構成記述子、及びインターフェース記述子に基づきデバイス記述子、構成記述子、及びインターフェース記述子と比較し、すなわちＵＳＢデバイス１２０の最初のエニュメレーションを実行する。ＵＳＢデバイス１２０の記述子内のデバイス記述子、構成記述子、及びインターフェース記述子が登録情報内のデバイス記述子、構成記述子、及びインターフェース記述子と一致する場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じる。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じる。逆に、ＵＳＢデバイス１２０の記述子内のデバイス記述子、構成記述子、及びインターフェース記述子が登録情報内のデバイス記述子、構成記述子、及びインターフェース記述子のいずれかと異なる場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開く。例えば、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開く。ＵＳＢデバイス１２０の記述子内のデバイス記述子、構成記述子、及びインターフェース記述子と登録情報内のデバイス記述子、構成記述子、及びインターフェース記述子が異なり、かつＵＳＢアクセス制御機器１１０内のスイッチ自体が開状態である場合、このとき、開状態のままで保持しておくことに留意されたい。

【0100】

上記実施形態の技術的手段に基づくと、ＵＳＢデバイス１２０がＨＩＤデバイス、すなわちヒューマンインターフェースデバイスＨｕｍａｎ Ｉｎｔｅｒｆａｃｅ Ｄｅｖｉｃｅｓ（ＨＩＤ）である場合、該ＵＳＢデバイス１２０の記述子は上記のデバイス記述子、構成記述子、及びインターフェース記述子を含む以外に、ＨＩＤ記述子も含み得る。ＵＳＢデバイス１２０の記述子内のデバイス記述子、構成記述子、インターフェース記述子及びＨＩＤ記述子が登録情報内のデバイス記述子、構成記述子、インターフェース記述子及びＨＩＤ記述子と一致する場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを閉じる。逆に、ＵＳＢデバイス１２０の記述子内のデバイス記述子、構成記述子、インターフェース記述子及びＨＩＤ記述子が登録情報内のデバイス記述子、構成記述子、インターフェース記述子及びＨＩＤ記述子のいずれかと異なる場合、ＵＳＢアクセス制御機器１１０に配置されたスイッチを開く。ＵＳＢデバイス１２０の記述子内のデバイス記述子、構成記述子、及びインターフェース記述子と登録情報内のデバイス記述子、構成記述子、及びインターフェース記述子が異なり、かつＵＳＢアクセス制御機器１１０内のスイッチ自体が開状態である場合、このとき、開状態のままで保持しておくことに留意されたい。

【0101】

図３を参照すると、ＵＳＢデバイス１２０の最初のエニュメレーションが成功した後、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じ、このとき、ＵＳＢデバイス１２０は保護対象機器１３０と通信することができる。しかしながら、ユーザは、ＵＳＢデバイス１２０の使用中に、隠しストレージ領域を開く、ストレージ機能を有効にするなど、ＵＳＢデバイス１２０の隠し機能を通じてＵＳＢデバイス１２０の機能を変更する可能性があるため、このような操作により、ＵＳＢデバイス１２０の記述子が変更され、このとき、ＵＳＢデバイス１２０の再度エニュメレーションをトリガーし、ユーザが使用中にＵＳＢデバイス１２０の他の機能を開くことができないようにするため、ＵＳＢ通信データ分析モジュールはＵＡ１とＵＡ２との間のＵＳＢ通信データをリアルタイムで分析し、ＵＳＢデバイス１２０が認証に成功した後、ＵＳＢデバイス１２０の使用中に再度エニュメレーション情報が見つかった場合、ＵＡ１とＵＡ２との間の通信が切断され、アラートがトリガーされる。例えば、ＵＳＢデバイス１２０の最初のエニュメレーションが成功した後、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを閉じ、このとき、ＵＳＢデバイス１２０は保護対象機器１３０と通信することができる。両者間の通信中に、ＵＳＢアクセス制御機器１１０における外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のＵＳＢ通信データ分析モジュールによりＵＳＢデバイス１２０の記述子をリアルタイムで取得する必要がある。ＵＳＢデバイス１２０の記述子が変更されたことを監視した場合、外部インターフェースＵＡ１と外部インターフェースＵＡ２との間のスイッチを開き、そしてＵＳＢデバイスを再度エニュメレーションする。これにより、ユーザが実際の使用中にＵＳＢデバイス１２０のストレージ又は無許可の機能をオンにしてデータセキュリティ監視を回避することで、保護対象機器１３０上でデータ漏洩を引き起こすことを防止することができる。保護対象機器１３０の保護を強化することができる。

【0102】

本発明が提供する方法により、保護対象機器１３０の各々インターフェースの引き継ぎを実現することができ、保護対象機器１３０のＵＳＢインターフェース又はシリアルポートを使用するデバイスが外付け端末保護デバイス（すなわちＵＳＢアクセス制御機器１１０）を通じて完了できることが確保されるため、保護対象機器１３０にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器１３０のＵＳＢインターフェース又はシリアルポートを保護する目的を達成することができる。例えば、ＵＳＢデバイス１２０を使用する場合、ＵＳＢアクセス制御機器１１０はＵＳＢデバイス１２０の記述子情報と該ＵＳＢデバイス１２０の登録情報とを比較し、比較結果が異なる場合、ＵＳＢデバイス１２０のアクセスが禁止され、該ＵＳＢデバイス１２０の使用を中止する。

【0103】

図３を参照すると、ＵＳＢアクセス制御機器１１０内のＵＳＢ通信データ分析モジュールは、ユーザが差し込んだＵＳＢデバイス１２０と保護対象機器１３０及びＵＳＢデバイス１２０とＵＳＢアクセス制御機器１１０内のシステム制御モジュールとの間に直列に接続することができる。図８を参照すると、データ転送モジュールを介して通信データ転送を実現することにより、ＵＳＢ通信データ分析モジュールはユーザが差し込んだＵＳＢデバイス１２０と保護対象機器１３０及びＵＳＢアクセス制御機器１１０内のシステム制御モジュールとの間をバイパスすることができる。ユーザが差し込んだＵＳＢデバイス１２０と保護対象機器１３０との間には、スイッチ、例えばプログラム制御電子スイッチがあり、制御プログラムによりユーザが差し込んだＵＳＢデバイス１２０と保護対象機器１３０との間の接続・非接続を制御することができる。ＵＳＢアクセス制御機器１１０は、ネットワークポートを介してコントロールセンターに接続して一元管理を実現することもでき、コントロールセンターなしで単独で動作することもできる。

【0104】

図９を参照すると、ＵＳＢデバイスは使用前に登録、すなわちデバイスの認証が必要である。従来のデバイス認証は、ＵＳＢデバイスのベンダーＩＤ（ＶＩＤ）、製品識別子（ＰＩＤ）及びシリアル番号情報のみを対象としていたが、ベンダーＩＤ、製品識別子（ＰＩＤ）及びシリアル番号情報は改ざんされる可能性があるため、これらの登録はユーザがＵＳＢデバイスを使用して登録レビューに合格し、ＵＳＢデバイスのファームウェア情報を変更して、悪意のあるＵＳＢデバイスのベンダーＩＤ、製品識別子（ＰＩＤ）及びシリアル番号を正規のＵＳＢ登録デバイス情報と一致させることを防止することはできない。上述の状況について、本発明内の登録プロセスはＵＳＢデバイスの記述子情報を取得し、ＵＳＢデバイスのアクセスモードを確認し、対応するドライバをロードすることである。ＵＳＢ記述子には、デバイス記述子、構成記述子、インターフェース記述子、エンドポイント記述子、文字列記述子が含まれ、ＨＩＤデバイスにはＨＩＤ記述子、レポート記述子、物理記述子なの３つの記述子なども含まれる。

【0105】

具体的には、ＵＳＢデバイスがＵＳＢアクセス制御機器Ｄ、Ｆに差し込まれる前に、ＵＳＢ登録デバイスＣのＵＳＢ登録ポートＵＡに差し込み登録認証を行う必要がある。ＵＳＢ登録デバイスＣと管理ワークステーションＢは、ＵＳＢポートを介して接続する。例えばＵＳＢデバイスがＵＳＢ登録デバイスＣに差し込まれたとき、ＵＳＢ登録デバイスＣ内のＵＳＢ通信データ分析モジュールを通じて該ＵＳＢデバイスの記述子、すなわち登録情報を取得でき、ＵＳＢプロトコル仕様に従いＵＳＢデバイスの記述子を検証できる。そしてＵＳＢ通信ポートを介して検証に成功したＵＳＢデバイスの記述子を管理ワークステーションＢに送信する。管理ワークステーションＢは、ネットワークを介してＵＳＢデバイスの登録情報を管理サーバＡに報告することができるため、管理サーバＡはＵＳＢデバイスの登録情報を一元管理することができる。ＵＳＢデバイスがＵＳＢアクセス制御機器Ｄ、Ｆに差し込まれたとき、管理サーバＡに対してＵＳＢデバイスの登録情報の取得を要求することができるため、ＵＳＢデバイスがＵＳＢアクセス制御機器Ｄ、Ｆに差し込まれた後、ＵＳＢデバイスの登録情報とＵＳＢデバイスの記述子とを比較することができる。一致していれば、ＵＳＢデバイスと保護対象機器Ｇ、Ｅとが通信できることになり、逆に不一致であれば、ＵＳＢデバイスと保護対象機器Ｇ、Ｅとが通信できなくなることがある。

【0106】

本発明の実施形態において、ＵＳＢデバイスの登録認証は、ソフトウェア又はハードウェアの方式で実現することができる。図９は、ハードウェア方式によるＵＳＢデバイスの登録認証の実現を示している。例えばＵＳＢ登録デバイスＣと管理ワークステーションＢとの間の連携によりＵＳＢデバイスの登録認証を実現する。図１０は、管理ワークステーションＢがインストールされたソフトウェアによるＵＳＢデバイスの登録認証の実現を示している。例えばユーザがＵＳＢデバイスを管理ワークステーションのＵＳＢポートに差し込み、管理ワークステーションＢ内のＵＳＢデバイス登録モジュール及びＵＳＢ通信データ分析モジュールを介してＵＳＢデバイスの登録認証を実現する。

【0107】

ＵＳＢデバイスの登録認証時、登録ソフトウェア又はハードウェアはＵＳＢデバイスのデバイス記述子、構成記述子、インターフェース記述子などの情報を読み取り、現在使用されているＵＳＢデバイス構成記述子に基づき現在のＵＳＢインターフェース記述子情報を記録する。該情報には、ベンダーＩＤ、製品識別子（ＰＩＤ）及びシリアル番号情報、構成数、現在の構成の識別子、構成記述子がサポートするインターフェース数、インターフェース番号、インターフェースクラス、インターフェースサブクラス、インターフェースプロトコルなどが含まれ、これらの情報に基づきＵＳＢデバイス正規品マークとして一意の識別子を生成する。

【0108】

ＵＳＢデバイスがヒューマンインターフェースデバイスＨｕｍａｎ Ｉｎｔｅｒｆａｃｅ Ｄｅｖｉｃｅｓ（ＨＩＤ）の場合、現在ＨＩＤデバイス類の攻撃行が多いことに鑑み、登録ソフトウェア又はハードウェアはＨＩＤデバイスのＨＩＤ記述子情報をさらに収集する。ＵＳＢプロトコル仕様に従い、ＨＩＤデバイスのタイプ定義をインターフェース記述子内に入れ、ＵＳＢのデバイス記述子及び構成記述子内にはＨＩＤデバイスの情報は含まれない。

【0109】

図９及び図１１を参照すると、ＵＳＢ通信データ分析モジュールは、直接接続方法でＵＳＢ登録ポートとＵＳＢ通信ポートとの間を接続、或いはデータ転送モジュールを用いてＵＳＢ登録ポートとＵＳＢ通信ポートとの間の通信回線にバイパス接続を実現できる。。

【0110】

上述の実施形態を実現するためのステップの全部又は一部が、ＣＰＵにより実行されるコンピュータプログラムとして実現されることは、当業者によって理解されるだろう。該コンピュータプログラムがＣＰＵにより実行されたとき、本開示により提供される上述の方法により限定される上述の機能を実行する。プログラムは、コンピュータ読み取り可能な記録媒体に保存でき、該記録媒体は読み取り専用メモリ、磁気ディスク又は光ディスクなどであり得る。

【0111】

なお、上述の図面は、本開示の例示的な実施形態による方法に含まれる処理を概略的に示しているだけであり、限定することを意図したものではないことに留意されたい。上述の図面に示される処理は、これらの処理の時間的順序を示すものや制限するものではないことは容易に理解される。また、これらの処理は、例えば複数のモジュールで同期的又は非同期的に実行されてもよいことも容易に理解できる。

【0112】

下記は、本開示の装置の実施形態であり、本開示の方法の実施形態を実施するために用いることができる。本開示の装置の実施形態に開示されていない詳細については、本開示の方法の実施形態を参照されたい。

【0113】

図１２は、例示的な実施形態によるＵＳＢデバイスと保護対象機器間の通信制御装置のブロック図である。

【0114】

図１２に示すように、ＵＳＢデバイスと保護対象機器間の通信制御装置２００は、監視モジュール２１０と、通信プロトコル種類決定モジュール２２０と、制御モジュール２３０とを備える。

【0115】

具体的には、監視モジュール２１０は、前記ＵＳＢデバイスと前記保護対象機器との間の通信データを監視するために用いられる。

【0116】

通信プロトコル種類決定モジュール２２０は、ＵＳＢプロトコル仕様に従い前記通信データの通信プロトコル種類を決定するために用いられる。

【0117】

制御モジュール２３０は、前記通信データの通信プロトコル種類に応じて前記ＵＳＢデバイスと前記保護対象機器との間の通信を切断するために用いられる。

【0118】

該ＵＳＢデバイスと保護対象機器間の通信制御装置２００は、保護対象機器に外付けするＵＳＢアクセス制御機器を介して保護対象機器のデータを安全に保護することができ、保護対象機器内のデータ漏洩を効果的に防止し、保護対象機器にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器のデータセキュリティを確保でき、例えば、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器はＵＳＢデバイスと保護対象機器間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じてＵＳＢデバイスと保護対象機器間の通信を切断する。

【0119】

本発明の一実施形態によれば、該ＵＳＢデバイスと保護対象機器間の通信制御装置２００は、上記実施形態で説明したＵＳＢデバイスと保護対象機器間の通信制御方法を実現するために使用することができる。

【0120】

図１３は、例示的な実施形態による電子機器のブロック図である。

【0121】

以下、図１３を参照して、本開示の実施形態による電子機器３００を説明する。図１３に示す電子機器３００は一例に過ぎず、本開示の実施形態の機能及び使用範囲を限定するものではない。

【0122】

図１３に示すように、電子機器３００は、汎用コンピューティングデバイスの形態で具体化される。電子機器３００のコンポーネントは、少なくとも１つの処理装置３１０、少なくとも１つの記憶ユニット３２０、異なるシステムコンポーネント（記憶ユニット３２０及び処理装置３１０を含む）を接続するバス３３０、及び表示ユニット３４０などを含むが、これらに限定されない。

【0123】

前記記憶ユニットは、プログラムコードを記憶し、前記処理装置３１０が本明細書内の本開示の様々な例示的な実施形態によるステップを実行できるように、前記プログラムコードは前記処理装置３１０により実行されることができる。例えば処理装置３１０は、図２～図６に示されるステップを実行することができる。

【0124】

前記記憶ユニット３２０は、揮発性メモリの形態の読み取り可能な媒体、例えばランダムアクセスメモリ（ＲＡＭ）３２０１及び／又はキャッシュメモリ３２０２を含み得、読み取り専用メモリ（ＲＯＭ）３２０３を含んでもよい。

【0125】

前記記憶ユニット３２０は、一組（少なくとも１つ）のプログラムモジュール３２０５を有するプログラム／ユーティリティ３２０４も含んでもよく、このようなプログラムモジュール３２０５はオペレーティングシステム、１つ以上のアプリケーションプログラム、他のプログラムモジュール及びプログラムデータを含むがこれらに限定されない。これらの例の各々又はいくつかの組み合わせには、ネットワーク環境の実現が含まれる場合がある。

【0126】

バス３３０は、いくつかのタイプのバス構造のうちの１つ以上を表すことができ、これにはメモリバス又はメモリコントローラ、周辺バス、グラフィックスアクセラレーションポート、処理装置或いは様々なバス構造のいずれかを使用するローカルバスが含まれる。

【0127】

電子機器３００は、１つ以上の外部機器３００（例えばキーボード、ポインティングデバイス、ブルートゥース（登録商標）デバイスなど）と通信することもできるため、ユーザが該電子機器３００と対話する機器と通信でき、及び／又は該電子機器３００が１つ以上の他のコンピューティングデバイスと通信できる任意の機器（例えばルータ、モデムなど）と通信できるようになる。この通信は、入力／出力（Ｉ／Ｏ）インターフェース３５０を介して行われてもよい。電子機器３００は、ネットワークアダプタ３６０を介して１つ以上のネットワーク（例えばローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）及び／又はインターネットなどの公衆ネットワーク）と通信することもできる。ネットワークアダプタ３６０は、バス３３０を介して電子機器３００の他のモジュールと通信することができる。図には示されていないが、マイクロコード、デバイスドライバ、冗長処理装置、外部ディスクドライブアレイ、ＲＡＩＤシステム、テープドライブ、及びデータバックアップストレージシステムなどを含むが、これらに限定されない、他のハードウェア及び／又はソフトウェアモジュールが電子機器３００と併せて使用され得ることは明白であろう。

【0128】

以上の実施形態の説明を通じて、当業者は、ここで説明される例示的な実施形態がソフトウェアにより実現可能であること、或いはソフトウェアと必要なハードウェアとの組み合わせにより実現可能であることを容易に理解することができる。したがって、図１４に示すように、本開示の実施形態による技術的手段は、ソフトウェア製品の形態で具現化することができ、該ソフトウェア製品はコンピューティングデバイス(パソコン、サーバ、或いはネットワーク機器などであり得る）が本開示の実施形態による上記の方法を実行するように、不揮発性記憶媒体（ＣＤ－ＲＯＭ、ＵＳＢフラッシュドライブ、ポータブルストレージデバイスなどであり得る）若しくはネットワーク上に保存できる（いくつかの命令を含む）。

【0129】

前記ソフトウェア製品は、１つ以上の読み取り可能な媒体の任意の組み合わせが使用されてよい。読み取り可能な媒体は、読み取り可能な信号媒体又は読み取り可能な記録媒体であってもよい。読み取り可能な記録媒体は、例えば、電気的、磁気的、光学的、電磁気的、赤外線、或いは半導体のシステム、装置若しくはデバイス、又はこれらの任意の組み合わせであってもよいが、これらに限定されるものではない。読み取り可能な記録媒体のより具体的な例（非網羅的なリスト）としては、１つ以上の導線を有する電気的接続、ポータブルディスク、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能なプログラマブル読み取り専用メモリ（ＥＰＲＯＭ又はフラッシュメモリ）、光ファイバ、ポータブルコンパクトなディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、光記憶装置、磁気記憶装置、若しくはこれらの任意の適切な組み合わせが挙げられる。

【0130】

前記コンピュータ読み取り可能な記録媒体は、ベースバンド内又は搬送波の一部として伝播されるデータ信号を含んでもよく、中にコンピュータ読み取り可能なプログラムコードがロードされている。このような伝播されるデータ信号は、様々な形式を用いてもよく、電磁信号、光信号、又はこれらの任意の適切な組み合わせを含むが、これらに限定されない。読み取り可能な記録媒体は、読み取り可能な記録媒体以外の任意の読み取り可能な媒体であってもよく、該読み取り可能な媒体は、命令実行システム、装置、又はデバイスに使用され、或いはそれを結合して使用されるプログラムを、送信、伝播、若しくは伝送することができる。読み取り可能な記録媒体に含まれるプログラムコードは、任意の適切な媒体で伝送されることができ、無線、電線、光ケーブル、ＲＦなど、又はこれらの任意の適切な組み合わせを含むがこれらに限定されない。

【0131】

１種以上のプログラミング言語の任意の組み合わせで本開示の操作を実行するためのコンピュータプログラムコードを作成することができ、前記プログラミング言語は例えばＪａｖａ、Ｃ＋＋などのオブジェクト指向プログラミング言語を含み、さらに例えば「Ｃ」言語又は類似するプログラミング言語などの一般的なプロセス式プログラミング言語を含む。プログラムコードは完全にユーザコンピューティングデバイス上で実行されてもよいし、一部はユーザコンピューティングデバイス上で実行されてもよいし、１つの独立したソフトウェアパッケージとして実行されてもよいし、一部はユーザコンピューティングデバイスで、一部は遠隔コンピューティングデバイスで実行されてもよいし、若しくは完全に遠隔コンピューティングデバイス又はサーバで実行されてもよい。遠隔コンピューティングデバイスに関する状況において、遠隔コンピューティングデバイスはローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介して、ユーザコンピューティングデバイスに接続されてもよいし、或いは、外部コンピュータに接続されてもよい（例えばインターネットサービスプロバイダを利用してインターネットを介して接続される）。

【0132】

上記のコンピュータ読み取り可能な記録媒体は、１つ以上のプログラムをロードし、上記の１つ以上のプログラムがデバイスにより実行されたとき、該コンピュータ読み取り可能な記録媒体は、次の機能を実現でき、すなわち保護対象機器に外付けするＵＳＢアクセス制御機器を介して保護対象機器のデータを安全に保護することができ、保護対象機器内のデータ漏洩を効果的に防止し、保護対象機器にセキュリティ対策ソフトウェアをインストールしなくても、保護対象機器のデータセキュリティを確保でき、例えば、ＵＳＢデバイスがＵＳＢアクセス制御機器に差し込まれ、認証に成功した後、ＵＳＢアクセス制御機器はＵＳＢデバイスと保護対象機器間の通信データを監視し、ＵＳＢプロトコル仕様に従い両者間通信データの通信プロトコル種類を決定し、次に通信データの通信プロトコル種類に応じてＵＳＢデバイスと保護対象機器間の通信を切断する。

【0133】

当業者は、上述のモジュールが実施形態の説明に従い装置内に分散され得ること、又は本実施形態とのみ異なる１つ以上の装置内で適宜変更され得ることが理解されるであろう。上記の実施形態のモジュールは、１つのモジュールに統合することも、さらに複数のサブモジュールに分割することもできる。

【0134】

以上の実施形態の説明を通じて、当業者は、ここで説明される例示的な実施形態がソフトウェアにより実現可能であること、或いはソフトウェアと必要なハードウェアとの組み合わせにより実現可能であることを容易に理解することができる。したがって、本開示の実施形態による技術的手段は、ソフトウェア製品の形態で具現化することができ、該ソフトウェア製品はコンピューティングデバイス(パソコン、サーバ、或いはネットワーク機器などであり得る）が本開示の実施形態による方法を実行するように、不揮発性記憶媒体（ＣＤ－ＲＯＭ、ＵＳＢフラッシュドライブ、ポータブルストレージデバイスなどであり得る）若しくはネットワーク上に保存できる（いくつかの命令を含む）。

【0135】

以上、本開示の例示的な実施形態を具体的に示し説明した。本開示は、本明細書に記載される構造、配置方法、或いは実現方法の詳細に限定されず、むしろ、本開示は、添付の特許請求の範囲の精神及び範囲内に含まれる様々な修正及び均等な配置をカバーすることを意図していることが理解される。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【国際調査報告】