南瑞反向型安全隔離產品最全技術白皮書(編輯修改稿)

　

【文章內容簡介】 查，如防病毒和惡意代碼等。見圖 B。圖 B一旦數據完全寫入安全隔離設備的單向安全通道，隔離設備內網側立即中斷與內網的連接，將單向安全通道內的數據推向外網側，外網側收到數據后發起對外網的數據連接，連接建立成功后，進行 TCP/IP 的封裝和應用協議的封裝，并交給外網應用系統，如圖 C 所示。圖 C在硬件控制邏輯電路收到完整的數據交換信號之后，安全隔離設備立即切斷和外網的直接連接。見圖 D。圖 D當外網的應答數據需要傳輸到內網的時候，需要通過隔離裝置的專用反向安全通道進行數據擺渡，傳輸原理與上述相同。硬件控制電路控制反向安全傳輸通道的硬件深度，要求反向回寫的是一個字節的數據，并且為全 0 或者全 1，反向安全傳輸通道會產生硬件溢出，因而該數據是不完整的。隔離裝置的底層硬件驅動程序里面有數據性完整分析功能，也就是說，回寫的數據大于一個字節，并且不是全 0 或者全 1 會丟棄。 通道隔離技術特色（技術特色）南瑞 SysKeeper2022 網絡安全隔離裝置為國內唯一一家采用單向通道隔離技術的專用安全隔離產品，通常的網絡安全隔離技術主要采用 USB、雙端口 RAM 等實現內、外網的數據交換，數據從一端流向另一端的標準做法是打開設備，然后通過寫設備把數據從一端寫入到另一端。如果有一非法侵入，則該侵入可以輕而易舉地突破物理隔離裝置把數據直接寫入到內網中，因為讀寫設備是一種標準的操作，物理隔離并不能起到真正的隔離作用。南瑞 SysKeeper2022 網絡安全隔離裝置采用具有自主知識產權的通道隔離技術（國家知識產權專利號：）在安全隔離的基礎上實現了數據的高速交換。通道隔離技術采用四片 32bit 高速 FIFO 芯片，與雙口 RAM 的讀寫方式不一樣的地方在于，雙口 RAM 的訪問需要一片連續的地址，而 FIFO 只需要一個口地址，我們在 RISC 體系結構的 RC2 空間隨機地取了一個地址加上讀寫控制線作為 FIFO 的譯碼線，而且每臺機器的用來譯碼的地址線是不一樣的，這樣就極大的保證了數據交換的安全性。在數據交換時，兩片 FIFO 芯片用于內網向外網數據的單向傳輸，另外兩片用于反向數據的安全控制，實現內外網數據傳輸的獨立性，有效的保證了數據交換的高效性。 反 向 型 產 品 技 術 原 理 基于數字證書的簽名驗證技術設備證書是 III 區的網關機與 I/II 區的網關機進行數據傳輸的身份證明，是一個經證書認證中心（調度通信中心）數字簽名的包含公開密鑰擁有者信息以及公開密鑰的文件，用于對 III 區的數據信息進行簽名，以保證信息的不可否認性，設備證書格式及證書內容遵循 數字證書標準和電力數字證書規范。反向型網絡安全隔離設備具有基于數字證書的簽名與解簽名功能，保證數據傳輸的不可否認性。專用安全隔離裝置（反向）用于從信息管理大區到生產控制大區的單向數據傳遞，是信息管理大區到生產控制大區的唯一一個數據傳遞途徑。專用安全隔離裝置（反向）集中接收信息管理大區發向生產控制大區的數據，進行簽名驗證、內容過濾、有效性檢查等處理后，轉發給生產控制大區內部的接收程序。具體過程如下：1) 信息管理大區內的數據發送端首先對需要發送的數據簽名，然后發給專用安全隔離裝置（反向） ；2) 專用安全隔離裝置（反向）接收數據后，進行簽名驗證，并對數據進行內容過濾（包含 E 語言格式的檢查） 、有效性檢查等處理；3) 將處理過的數據轉發給生產控制大區內部的接收程序。圖 6 安全隔離裝置（反向）傳輸原理圖 純文本編碼轉換和識別技術根據全國電力系統二次安全防護的要求，III 區發送的文件必需為 E 語言格式的純文本文件，并且數據發送端需要將純文本文件中單字符的 ASCII 碼（非控制字符）轉換為對應的雙字節碼，并能正常顯示。南瑞 SysKeeper－2022 隔離裝置（反向型）提供了專用 API 函數，實現單字符的 ASCII 編碼轉換, 最后得到轉換后的雙字節（對于可顯示字符）編碼文件。SysKeeper2022 反向隔離裝置對收到的數據進行純文本的識別，根據數據包中純文本的各種可能封裝形式進行檢測，如果數據包中數據為合法的純文本，反向隔離裝置都會按照編碼范圍正確的識別，保證進入內網的數據為純文本數據，防止病毒進入內網。 數據內容有效性檢查（技術特色）SysKeeper2022 反向網絡安全隔離裝置配套傳輸軟件支持調用本地病毒查殺引擎對已知病毒進行查殺，通過病毒檢查后的文件，才會由文件發送端軟件發送到內網，保證內網監控系統的安全。通過升級本地殺毒軟件，保證外網發送端病毒查殺能力。在進行反向文件發送的時候，首先指定某一待學習文件（該文件為符合電力安全防護要求的純文本 E 語言文件） ，反向傳輸軟件發送端的學習模塊通過統計其內部的特殊字符的特征值（包括電力計劃文件通用的數據類型、記錄分隔符等） ，形成一個該文件格式的指紋模板，該模板保存至外網文件發送端，如下圖所示。待發送某一文件時，首先計算此文件指紋，然后與已經獲取的指紋模板進行匹配，如果成功則該文件合法，否則提示用戶該文件不合法，寫入日志。通過數據內容有效性檢查，大大提高了反向文件傳輸的安全性。圖 7 數據內容有效性檢查工作原理圖 高速安全數據交換南瑞 SysKeeper2022 網絡安全隔離產品（反向型）采用 Motorola 高性能嵌入式CPU,主頻高達 350MHz。采用獨特的通道隔離技術，保證在安全隔離的條件下實現數據高速交換。在 50 條安全策略，1024 字節報文長度下進行壓力測試，數據交換性能如圖 8 所示。測試環境：內外網網關機（ 內存 80G 硬盤）數據單向加密交換流量為 32Mbps,每秒處理數據包能力為 2900Packets，南瑞SysKeeper2022 系列隔離裝置（反向型）安全數據交換能力比其它品牌隔離裝置快40％以上。南瑞隔離裝置高速的數據交換能力極大的提高了調度中心監控系統數據轉發的實時性，可以滿足現在和今后系統升級的需要。(注：采用硬件專用測試儀器SmartBit 測試，SysKeeper2022 系列隔離裝置數據明文交換能力平均為80Mbps，密文數據交換能力最大可達 40Mbps 左右。)圖 8 高速數據交換流量測試圖 支持電力專用對稱密碼算法進行數據加密在電力反向安全隔離系統中，我們采用 SSX06 算法芯片研發電力專用密碼單元，來完成數據加密、解密、簽名、驗證等任務，從而保證外網向內外傳輸數據的私密性、完整性和不可否認性。加密單元的密鑰存儲器對關鍵密鑰和算法進行安全存儲，私鑰在物理上保證永不出卡。其主要功能為：? 數據加密/解密；? 支持單向散列；? 數字簽名；? 數字驗證；? 對等實體鑒別；? 用戶訪問權限控制。支持的密碼算法主要包括：? 對稱密碼算法：電力專用密碼算法；? 公開密鑰算法