专利名称：硬盘内分区间隔离卡的制作方法
技术领域：
本实用新型涉及一种内外网隔离和数据交换装置，尤其是能使网络作为一个统一的整体，最大限度地阻止非法指令在内外网系统之间的传递的装置。属计算机信息安全领域。
背景技术：
目前，计算机安全领域的技术措施可分为两大类，一类是基于“特征库”的，如防病毒软件；一类是基于“堵漏洞”的，如防火墙、网闸、隔离卡等。两者均未能最大限度地阻止非法指令在内外网系统之间的传递。这是因为，非法指令在内外网系统之间的传递途径有两种，一种是通过内外网主CPU之间的直接通信传递，如各种各层通信协议；一种是通过在内外网交换的应用层数据信息中嵌入可执行代码传递，如嵌入在文件或数据块中可被正常程序加载执行的程序代码。所以，不论是与内外网存在通信连接的网闸等硬件产品，还是难于提取可执行代码“特征库”的软件产品，都难以证明不存在安全隐患。而只用于单机且不具备数据交换功能的工作站隔离产品，只是在软件层次上的逻辑隔离而非物理隔离，或者是在双硬盘间实现物理切换却使切换装置过于复杂，而且由于被切换的硬盘数据线数多速高，容易存在隐患。另外，计算机既已组成为网络，网络作为一个统一的整体，应当在各个主要部位同时采取安全措施，缺一不可，目前各自分立的产品难以满足网络安全的需要。
发明内容
为了克服现有的产品不能最大限度地阻止非法指令在内外网系统之间传递的不足，本实用新型提供一种内外网隔离和数据交换装置，该装置不仅在工作站上实现了内外网物理隔离，而且在网络间切断了非法指令在内外网系统之间的传递途径，使网络作为一个统一的整体，能最大限度地阻上非法指令在内外网系统之间的传递。
本实用新型解决其技术问题所采用的技术方案是内外网隔离和数据交换装置，连接内外网络，包括内外网综合隔离和数据交换装置，包括网络间隔离和数据交换装置、双硬盘工作站硬盘间隔离装置、单硬盘工作站硬盘内分区间隔离装置、网线隔离装置四个有机组成部分，四者之间通过计算机标准接口和网线相连。所说通过计算机标准接口和网线相连，是指未在网络中引入特殊的硬件设备和操作系统，不改变网络结构，这与公知的产品要在网络中引入特殊的硬件设备和操作系统不同，因此本实用新型也就具有了安全原理容易证明，成本低，容易实现的优越性。
内外网隔离和数据交换装置，包括双硬盘工作站硬盘间隔离装置，一个开关分别连接一个硬盘的电源线和另一个硬盘的电源线或者一个开关分别连接一个硬盘的数据线和另一个硬盘的数据线，开关的公共端对应连接工作站硬盘电源的电源线或工作站硬盘接口的数据线。
内外网隔离和数据交换装置，包括网线隔离装置，一个开关分别连接内网网线的数据发送线或接收线，开关的公共端对应连接工作站网络接口的数据发送线或接收线。
实际上，双硬盘工作站硬盘间隔离装置、网线隔离装置可集成于一组内外网选择联动开关，开关1分别连接硬盘1的一根电源线和硬盘2的一根电源线或者开关1分别连接硬盘1的一根数据线和硬盘2的一根数据线，开关2分别连接内网网线的一根数据发送线和外网网线的一根数据发送线，开关3分别连接内网网线的一根数据接收线和外网网线的一根数据接收线，开关1至开关3的公共端分别对应连接工作站硬盘电源的一根电源线或工作站硬盘接口的一根数据线、工作站网络接口的一根数据发送线、工作站网络接口的一根数据接收线。目前乙太网线只用第1、2、3、6四根线通信，1对发送(TX+和TX-)，1对接收(RX+和RX-)，所以只需用开关控制一根数据发送线和一根数据接收线，即可控制乙太网线的通信。最近两年来生产的主流计算机，都可同时接两个MAST(主)硬盘当其中一个MAST硬盘加电而另一个MAST硬盘断电时，从加电的一个MAST硬盘启动计算机，这正是通过开关控制两个硬盘的一根电源线实现隔离的基础。同时，由于早期生产的计算机不支持两个MAST(主)硬盘同时在线(数据线)时，从一个MAST硬盘启动计算机，即使另一个MAST硬盘不加电，因此公知的隔离产品，采用了复杂的断开所有硬盘数据线的技术，但是实际上，只要断开硬盘数据线中的一根(如，第23根IOW-)即可，这正是通过开关控制两个硬盘的一根数据线实现隔离的基础。这样，双硬盘工作站硬盘间隔离装置只需3组双掷开关即可实现内外物理隔离，结构大大简化，非常容易实现(例如，只通过1只3刀双掷钮子开关即可实现，当然使用电动开关则容易实现智能化)。
内外网隔离和数据交换装置，包括单硬盘工作站硬盘内分区间隔离装置，它包括硬盘内分区间隔离卡或软件隔离装置，隔离卡对计算机系统总线或硬盘接口总线上的指令进行译码。软件隔离装置，包括存有隔离软件的存储介质、被隔离软件控制的硬盘，二者通过计算机标准接口物理相连，通过隔离软件执行指令控制硬盘操作逻辑相连。隔离软件在计算机加电后优先获得CPU控制权，根据硬盘本身要求的指令输入条件首先向硬盘发出控制指令，发出硬盘本身要求的参数和命令。
隔离卡根据内外网选择联动开关的状态对计算机系统总线或硬盘接口总线上的指令进行译码，含有硬盘地址译码、地址表示方式译码、硬盘读写命令译码。隔离卡输入连接计算机控制硬盘的接口(例如计算机系统总线、ATA硬盘接口总线)，输出通过一个三态开关串接在ATA硬盘接口和硬盘之间，内外网选择联动开关中连接网线的与双硬盘工作站硬盘间隔离装置一样。当计算机通过一组寄存器向硬盘发送访问指令时，隔离卡中的寄存器将指令中的硬盘地址、地址表示方式、硬盘读写命令、48位地址标志(3F6控制寄存器的高位D7为1)等分别进行译码，判断出计算机将要对硬盘的哪个区域进行何种操作，放过当前允许的指令，阻止不允许的指令。实际工作中，将内外网系统分别安装在硬盘的不同分区中，计算机启动时做出内外网启动选择，隔离卡据此判断指令的合法性，实现内外网物理隔离的目的。
软件隔离装置，包括内外网选择联动开关、存有隔离软件的存储介质、含有至少两个分区的硬盘，三者分别通过计算机标准IO端口接口、标准存储介质接口、标准硬盘接口物理相连，三者分别通过隔离软件执行开关量读入指令、启动引导计算机指令、控制硬盘操作隔离指令逻辑相连。内外网选择联动开关中连接网线的与双硬盘工作站硬盘间隔离装置一样，其中有1只开关分别连接+5V和接地，其公共端连接LPT(并行口)的1个输入位(如，第10脚D3)。隔离软件的存储介质，可以是能启动计算机的各种标准存储介质(如；软盘、硬盘、网卡启动芯片、包括系统BIOS芯片)，只要在系统BIOS启动计算机之后或同时优先接管计算机控制权即可。隔离软件在计算机加电后优先获得CPU控制权，读入内外网选择联动开关状态开关量(如，并口3F9的D3状态)，根据硬盘本身要求的指令输入条件(如，设置最大地址指令及最大地址冻结锁定指令要求开机后第一次的输入有效)首先向硬盘发出控制指令(如，设置最大地址指令、最大地址冻结锁定指令)，发出硬盘本身要求的参数和命令(如，设置最大地址指令要求提供硬盘LBA各位地址，并要求紧接在读最大地址指令之后)。隔离软件获得CPU控制权后，首先从并口3F9的D3(并口第10脚)读入开关状态。根据内外网选择开关处在启动内网状态或处在启动外网状态，判断哪个主分区(分别存有内网系统、外网系统)启动。向硬盘发出SET MAX ADDRESS(设置最大地址)指令，硬盘执行该指令后，对超过设置的最大地址的区域的读写操作指令将不在执行。从而保护该区域中的硬盘分区，进而保护该分区中的系统和数据。向硬盘发出SET MAX FREEZE LOCK(设置最大地址冻结锁定)指令，硬盘执行该指令后，将禁止SET MAX ADDRESS指令直到下一个机器加电周期。从而使上条指令刚刚设置的保护区域不能被其他软件所更改，进而保护其中的内网系统与其他区域中的外网系统物理隔离。
内外网隔离和数据交换装置，包括网络间隔离和数据交换装置，它包括隔离计算机和共享数据盘，隔离计算机通过共享数据盘与内网进行物理连接，隔离计算机通过另外的共享数据盘与外网进行物理连接，隔离计算机和共享数据盘之间通过传输接口物理相连。隔离计算机在共享数据盘之间交换纯文本类的数据信息。
隔离计算机只通过一个共享数据盘与内网进行物理连接，隔离计算机只通过另一个共享数据盘与外网进行物理连接，隔离计算机和每个共享数据盘之间只通过传输接口(如，USB接口)物理相连。所述隔离计算机是普通的工作站计算机，配有普通的硬盘和操作系统，共享数据盘是普通的硬盘、尤盘等数据存储介质，隔离计算机配置为不能从共享数据盘启动引导系统，隔离计算机只通过传输协议读写共享数据盘上的数据，共享数据盘只存放隔离计算机与内外网的交换信息。隔离计算机与内(外)网计算机分时接通共享数据盘，独立读写共享数据盘，在内外网之间交换应用层数据信息。由于隔离计算机与内(外)网计算机都没有通信层物理连接，也没有主CPU之间的直接通信传递，因此，非法指令在内外网系统之间的传递途经之一，通过内外网主CPU之间的直接通信协议传递途经被切断。隔离计算机只在两个共享数据盘之间交换纯文本类的数据信息，该数据信息不含可被正常程序加载执行的程序代码。例如在WINDOWS操作系统下，扩展名为TXT的文本文件或者只含特殊格式文本数据的文本类文件(如XML文件)或者存储介质上的区域数据块，都不含有正常程序包括操作系统可以加载执行的程序代码，因为只有可被执行的程序文件、含有可执行程序代码的某些文档文件(如，含有宏的WORD文件)、存放在存储介质特殊部位的可引导计算机的程序代码数据块(如，硬盘主引导记录)才能被正常程序加载执行。所谓正常程序，是指隔离计算机和内网计算机正常工作中使用的合法规范的应用程序，因为理论上，非正常程序可以随意解释一个文件或数据，它总可能将被交换的信息解释构造为计算机可执行的代码，从而破坏内外网的有效隔离。因此，任何安全措施都是以隔离计算机和内网计算机安装运行正常程序为前提的。作为一个原则，隔离计算机和内网计算机不应当使用来历不明的软件。因此，非法指令在内外网系统之间的传递途经之二，通过在内外网交换的应用层数据信息中嵌入可执行代码的传递途经也被切断。
本实用新型的有益效果是，可以在工作站上实现内外网物理隔离，在网络间切断非法指令在内外网系统之间的传递途径，使网络作为一个统一的整体，能最大限度地阻止非法指令在内外网系统之间的传递。采用元件少，结构简单，采用常规软件，实现容易。
以下结合附图和实施例对本实用新型进一步说明。
图1是单硬盘工作站硬盘内分区间隔离装置实施例电路原理逻辑图。
图2是双硬盘工作站硬盘间隔离装置实施例结构图。
图3是本实用新型的整体结构示意图。
图4是网络间隔离和数据交换装置实施例结构图。
具体实施方式
在图1中，隔离卡输入连接计算机ATA硬盘接口总线(ATACS1-、ATACSO-、ATADAO、ATADA1、ATADA2)，输出通过一个三态开关(U15)串接在ATA硬盘接口和硬盘之间，开关(S20)有1只开关分别连接+5V和接地，其公共端连接LPT(并行口)的1个输入位(第10脚D3)。单硬盘内分区间隔离卡拦截译码硬盘指令。硬盘分为3个分区，分区1的LBA地址为0000至FFFF，分区2的LBA地址为010000至04FFFF，分区3的LBA地址为050000至最大地址，分区1为逻辑C盘，分区2为逻辑D盘，分区3为逻辑E盘，C盘安装内外网引导部分，D盘安装外网系统，E盘安装内网系统，C盘只读。当开关(S20)打在内(外)网时，计算机只能访问硬盘上的内(外)网。隔离软件向硬盘发出设置最大地址、设置最大地址冻结锁定指令。(隔离软件及注释清单附后)在图2中，4刀双掷开关(S21)的开关1分别连接硬盘1的一根电源线(DEV1VCC)和硬盘2的一根电源线(DEV2VCC)或者开关1分别连接硬盘1的一根数据线(DEV1IOW-)和硬盘2的一根数据线(DEV2IOW-)，开关2分别连接内网网线的一根数据发送线(NEITX+(-))和外网网线的一根数据发送线(WAITX+(-))，开关3分别连接内网网线的一根数据接收线(NEIRX+(-))和外网网线的一根数据接收线(WAIRX+(-))，开关1至开关3的公共端分别对应连接工作站硬盘电源的一根电源线(PCVCC)或工作站硬盘接口的一根数据线(ATAIOW-)、工作站网络接口的一根数据发送线(NEITX+(-))、工作站网络接口的一根数据接收线(NEIRX+(-))。
在图3中，隔离计算机及网络间隔离和数据交换装置与外网计算机和内网计算机只通过传输接口物理相连，双硬盘工作站及双硬盘工作站硬盘间隔离装置与单硬盘工作站及单硬盘工作站硬盘内分区间隔离装置通过乙太网接口相连。
在图4中，网络间隔离和数据交换装置，只通过共享数据盘2与内网进行物理连接，只通过共享数据盘1与外网进行物理连接，隔离计算机和每个共享数据盘之间只通过传输接口(USB接口)物理相连。隔离计算机与内(外)网计算机通过停用(启用)USB接口盘软件分时接通共享数据盘，独立读写共享数据盘，只交换纯文本类(扩展名为TXT的文本文件)的数据信息。(停用(启用)USB接口盘软件及注释附后)隔离软件及注释清单a100mov ax，0201mov bx，200mov cx，0001mov dx，0080int 13；将硬盘主引导记录读入内存200cmp ah，0jnz 100int 3g＝100a200JMP 03A0NOPa3a0MOV AX，0203MOV BX，0600MOV CX，0003MOV DX，0000INT 13；将存储在A盘第3个扇区上的控制程序读入内存0600cmp ah，0JNZ 03A0JMP 0000:0600；读A盘成功转控制程序a600cli；关闭中断mov dx，3f9in al，dx；从并口3F9的DX(并口第10脚)读入开关状态。内外网选择开关处在启动内网状态，DX接地，读入的数据第3位是0；内外网选择开关处在启动外网状态，DX接+5V，读入的数据第3位是1。
test al，04；判断读入的数据第3位是否为1jz 635；是0直接转从主分区3(存有内网系统)启动，否则从主分区1(存有外网系统)启动。
mov bp，7c00mov al，80mov[bp+1be]，al；将主分区1设为活动分区，活动分区才能启动计算机
mov al，0mov [bp+1de]，al；将主分区3设为非活动分区mov al，[bp+1c2]and al，0fmov [bp+1c2]，al；将主分区1设为可见分区mov al，[bp+1d2]and al，0fmov[bp+1d2]，al；将分区2设为可见分区call660；调用硬盘区域保护子程序；向硬盘发出SET MAX ADDRESS(设置最大地址)指令，硬盘执行该指令后，对超过设置的最大地址的区域的读写操作指令将不在执行。从而保护该区域中的硬盘分区，进而保护该分区中的系统和数据。
call 700；调用硬盘区域保护子程序向硬盘发出SET MAX FREEZE LOCK(设置最大地址冻结锁定)指令，硬盘执行该指令后，将禁止SET MAX ADDRESS指令直到下一个机器加电周期。从而使上条指令刚刚设置的保护区域不能被其他软件所更改，进而保护其中的内网系统与其他区域中的外网系统物理隔离。
Jmp 658；跳至打开中断mov bp，7c00mov al，80mov [bp+1de]，al；将主分区3设为活动分区mov al，0mov [bp+1be]，al；将主分区1设为非活动分区mov al，[bp+1c2]or al，10mov[bp+1c2]，al；将主分区1设为隐含分区。隐含分区操作系统不可见，可根据实际工作需要选择该项。
mov al，[bp+1d2]or al，10mov[bp+1d2]，al；将分区2设为隐含分区。可根据实际工作需要选择该项。
sti；打开中断nopXOR AX，AX；回到原来的C盘主引导记录第一条指令MOV SS，AXJMP 00007C04；跳到原来的C盘主引导记录在内存中的位置a680mov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 683；查询硬盘状态寄存器，忙(第7位BSY为1)则继续查询
mov dx，1f6mov al，e0out dx，al；设置硬盘地址表示方式为LBA(第6位LBA为1)mov dx，1f7mov al，f8out dx，al；向硬盘发出READ NATIVE MAX ADDRESS命令mov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 699mov dx，1f6mov al，e5out dx，al；设置硬盘地址表示方式为LBA(第6位LBA为1)；SET MAX LBA(27:24)向硬盘Device(设备)寄存器写LBA高4位地址(27:24)(对应寄存器第0--3位)，所设地址数值要根据实际硬盘容量和分区情况来定。具体数值来源硬盘分区表，即内网系统所在的第3主分区的分区表项中该分区起始LBA地址，从该分区表项偏移地址+08开始分别表示LBA(0:7)、LBA(8:15)、LBA(16:23)和LBA(27:24)(该字节低4位表示LBA(27:24))，存储在硬盘主引导记录偏移地址1D6开始的4个字节中。(也可通过软件自动读取分区表设置硬盘地址。)mov dx，1f5mov al，0out dx，al；SET MAX LBA(23:16)向硬盘LBA High(LBA高位)寄存器写LBA高位地址mov dx，1f4mov al，0out dx，al；SET MAX LBA(15:08)mov dx，1f3mov al，0out dx，al；SET MAX LBA(07:00)mov dx，1f2mov al，0out dx，almov dx，1f7MOV AL，f9OUT DX，AL；向硬盘发出SET MAX命令mov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 6C7
reta700mov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 703mov dx，3f6mov al，0aout dx，al；禁止中断，用PIO方式向硬盘发送数据(PASSWORD)mov dx，1f1MOV AL，01OUT DX，ALmov dx，1f6MOV AL，e0OUT DX，ALmov dx，1f7MOV AL，f9OUT DX，ALmov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 725mov cx，100mov dx，1f0mov ax，0out dx，axmov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 739loop 72F；硬盘发送PASSWORDmov dx，1f1MOV AL，04OUT DX，AL
mov dx，1f6MOV AL，e0OUT DX，ALmov dx，1f7MOV AL，f9OUT DX，AL；向硬盘发出SET MAX FREEZE LOCK命令mov dx，1f7IN AL，DXAND AL，80CMP AL，0JnZ 757reta100mov ax，0303mov bx，200mov cx，0001mov dx，0000int 13将内存200开始的代码存储在A盘前3个扇区cmp ah，0jnz 100int3g＝100q；在DOS命令下执行如下命令DEBUG<BOOT.TXT即可得到存有隔离软件的软盘(BOOT.TXT为本隔离软件清单去掉注释后生成的文件)停用USB接口盘软件及注释(VB开发环境)ReturnValue＝Shel1(″devmgmt.msc″，4)’加载设备管理程序AppActivate ReturnValue’激活设备管理程序.
SendKeys″{tab}{down}*13{right}{down}{down}％ad％{f4}″，True’模拟键盘输入启用USB接口盘软件及注释ReturnValue＝Shell(″devmgmt.msc″，4)AppActivate ReturnValueSendKeys″{tab}{down}*13{right}{down}{down}％ae％{f4}″，True
权利要求1.硬盘内分区间隔离卡.其特征是隔离卡对计算机硬盘接口总线上的指令进行译码，含有硬盘地址译码、地址表示方式译码、硬盘读写命令译码，隔离卡输入连接计算机控制硬盘的ATA硬盘接口总线接口，输出通过一个三态开关串接在ATA硬盘接口和硬盘之间。
专利摘要本实用新型涉及一种内外网隔离和数据交换装置，能使网络作为一个统一的整体，最大限度地阻止非法指令在内外网系统之间的传递的装置。属计算机信息安全领域。包括网络间隔离和数据交换装置、双硬盘工作站硬盘间隔离装置、单硬盘工作站硬盘内分区间隔离装置、网线隔离装置四个有机组成部分，四者之间通过计算机标准接口和网线相连。双硬盘工作站硬盘间隔离装置，通过一组内外网选择联动开关切换硬盘一根电源线或一根数据线。单硬盘内分区间隔离卡拦截译码硬盘指令。隔离软件向硬盘发出设置最大地址、设置最大地址冻结锁定指令。网络间隔离和数据交换装置，与内外网只通过传输接口物理相连，只交换纯文本类的数据信息。
文档编号G06F12/14GK2869998SQ20052012896
公开日2007年2月14日 申请日期2004年10月18日 优先权日2004年10月18日
发明者肖勇 申请人:肖勇