专利名称：一种安全网络间传输数据的方法和资料处理机的制作方法
技术领域：
本发明涉及网络通信技术领域，特别涉及一种安全网络间传输数据的方法和资料处理机。
背景技术：
网络隔离(Network Isolation)是处于安全考虑，将两个或两个以上可路由的网络通过不可路由的协议进行数据交换而达到隔离目的。由于其原理是在网内采用可路由协议完成数据交换，在网间采用不可路由协议完成数据交换。通常将实施了网络隔离的网络成为安全网络。许多机构都会有多处办公地点的情况，如果办公地点的保密要求较高，则在各办公地点的网络都会与外部网络进行网络隔离，但这样在多个办公地点之间进行数据交换将是很麻烦的事情。例如，对于保密要求较高的软件外包业务，发包公司和外包公司的网络都会设置网络隔离。为了防止泄密，在各安全网络中，将所有电脑网线和电脑、交换机连接的接口都被锁定，交换机锁在专用机柜中，交换机的输出型外设接口都被封闭，安全网络的出口设置安全锁，这样所有数据都无法与外界网络交换，保证数据安全。但在安全网络间的总会有数据交换的需求，通常采用移动存储器将要交换的数据从一个安全网络移动到另一个安全网络。现有的解决方式如图1所示，安全专员对发包网络中待发送的数据文件进行加密，打开电脑的安全锁后，导出数据到移动存储器；将该移动存储器带到外包网络中连接外包网络的电脑，安全专员打开外包网络中的安全锁，从移动存储器导出数据文件，并对数据文件进行解密。由于上述安全网络间的数据传输过程必须有安全专员接入，实现麻烦，人力成本高，且安全性依赖于安全专员的忠诚度。
发明内容
有鉴于此，本发明提供了一种在安全网络间传输数据的方法和资料处理机，以便于无需人工接入来实现安全网络间的数据安全传输。一种安全网络间传输数据的方法，进行数据交换的两个安全网络中分别设置有资料处理机，所述资料处理机具有连接移动存储器的接口以及接收来自合法用户数据的接口，且所述资料处理机之间同步所述合法用户对应的密钥；该方法包括所述资料处理机利用合法用户对应的密钥，将来自所述合法用户的数据进行加密后存入移动存储器；所述资料处理机利用所述合法用户对应的密钥，将从所述移动存储器读取的数据进行解密后发送给所述合法用户。一种资料处理机，所述资料处理机为移动存储器提供连接接口，所述资料处理机包括网络接口单元、加解密单元和存储器接口单元；所述网络接口单元，用于接收来自合法用户的数据；将所述加解密单元解密后的数据发送给所述合法用户；
所述加解密单元，用于利用所述合法用户对应的密钥，将所述来自合法用户的数据进行加密；利用所述合法用户对应的密钥，将所述存储器接口单元提供的数据进行解密；所述存储器接口单元，用于将所述加解密单元加密后的数据存入移动存储器；从所述移动存储器读取数据，将读取的数据提供给所述加解密单元。由以上技术方案可以看出，本发明通过在各安全网络中设置资料处理机，通过该资料处理机利用合法用户对应的密钥对合法用户上传的数据进行自动加密后存入移动存储器，或者从移动存储器读取数据后，利用合法用户对应的密钥对数据进行自动解密后提供给合法用户。也就是说，本发明中由资料处理机完成针对合法用户的数据自动加解密，完全不需要打开机柜的安全锁，也不许安全专员手工在用户终端处对数据进行加解密，从而避免了人为介入，节省了人力成本且保证了隔离网络的安全。
图1为现有安全网络间传输数据的方法示意图；图2为安全网络中的资料处理机连接示意图；图3为两个安全网络之间的数据交换架构示意图；图4为从用户终端1上传数据至移动存储器的流程示意图；图5为从移动存储器下载数据至用户终端2的流程示意图；图6为本发明实施例提供的一种密文格式示意图；图7为本发明实施例提供的另一种密文格式示意图；图8为本发明提供的资料处理机的结构示意图。
具体实施例方式为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。本发明提供的方法主要包括在进行数据交换的两个安全网络中分别设置资料处理机，该资料处理机具有连接移动存储器的接口以及接收来自合法用户数据的接口，且所述资料处理机之间同步所述合法用户对应的密钥；资料处理机利用合法用户对应的密钥， 将来自合法用户的数据进行加密后存入移动存储器；利用合法用户对应的密钥将从移动存储器读取的数据进行解密后发送给合法用户。下面通过具体的实施例对上述方法进行详细描述。在本发明中通过在各安全网络中设置资料处理机，该资料处理机具备连接网络设备的网络接口和连接移动存储器的连接接口，其中，连接网络设备的网络接口可以为以太网接口、令牌环接口等；连接移动存储器的连接接口可以为USB接口或IEEE1394接口等。如图2所示，该资料处理机可以部署在加了安全锁的机柜中，通过网线与交换机相连，移动存储器连接线延长到机柜外部，以便连接移动存储器，该资料处理机主要提供数据加解密和数据输入输出功能，在后续将具体描述。如果需要在两个安全网络之间进行数据交换，假设如图3所示，在安全网络1中设置资料处理机1，在安全网络2中设置资料处理机2，通过移动存储器将安全网络1中的数据携带至安全网络2中，下面以将安全网络1中的数据交换至安全网络2为例对具体的过程进行描述。图4为从用户终端1上传数据至移动存储器的流程示意图，如图4所示，该流程可以包括以下步骤步骤401 用户终端1按照资料处理机1的IP地址，采用预先申请的账号登录资料处理机1。各安全网络中的资料处理机可以在安全网络中公开自己的IP地址供用户终端登录。用户终端可以采用多种方式登录资料处理机，例如，Web登录、FTP方式登录、TELNET方式登录等等。另外，用户可以预先申请资料处理机的账号，申请账号成功的用户为合法用户，在资料处理机上维护各账号以及各账号对应的密钥。当用户终端1要进行跨安全网络的数据交换时，首先采用预先申请的账号登录资料处理机1，资料处理机1确定该账号是预先申请的合法用户的账号后，允许该用户终端1登录。步骤402 用户终端1向资料处理机1发送数据。用户终端1可以通过连接的交换机向资料处理1发送数据，该数据是明文数据。步骤403 资料处理机1利用与登录账号对应的密钥，对来自用户终端1的数据进行加密。在资料处理机1上维护有各账号对应的密钥，当接收到来自用户终端1的数据后， 首先确定用户终端1登录所采用的账号，确定该账号对应的密钥，利用该密钥对数据进行加密。需要说明的是，资料处理机1上维护的各账号对应的密钥可以定期进行更新，只要保证资料处理机1和资料处理机2上各账户的密钥同步即可。例如，在新的安全网络建设初期，可以在总部预先将两台资料处理机连接，设置密钥同步以及密钥更新同步，然后将资料处理机送到指定安全网络。也可以将资料处理机定期送至总部进行密钥同步，也可以设置密钥按照预设的策略进行定期更新。步骤404 资料处理机1将加密后的数据存入移动存储器。至此安全网络1中的数据上传过程结束，可以看出，上述过程完全不需要打开机柜的安全锁，也不需要安全专员手工在用户终端处将数据进行加密，即不需要安全专员的人为介入。图5为从移动存储器下载数据至用户终端2的流程示意图，如图5所示，该流程可以包括以下步骤步骤501 用户终端2按照资料处理机2的IP地址，采用预先申请的账号登录资料处理机2。本步骤中，用户终端2登录资料处理机2的方式与步骤401中的方式相同，此处不再赘述。需要说明的是，如果用户要想下载用户终端1在安全网络1中上传的数据，则需要采用在安全网络1中上传数据时登录使用的账号来登录资料处理机2，否则，无法在步骤 506中正常解密数据。步骤502 资料处理机2将获取移动存储器的数据列表。步骤503 资料处理机2将获取的数据列表提供给用户终端2。步骤502和步骤503是可选步骤，用户终端如果知道要下载的数据信息，也可以直接将要下载的数据信息提供给资料处理机2，而无需获取数据列表。步骤504 用户终端2根据数据列表，确定需要下载的数据，将需要下载的数据信息发送给资料处理机2。步骤505 资料处理机从移动存储器中读取要下载的数据。步骤506 资料处理机按照登录账号对应的密钥解密读取的数据。资料处理机按照用户登录的账号对应的密钥对读取的数据进行自动解密后，得到明文数据，然后通过步骤507发送给用户终端2。步骤507 将解密后的数据发送给用户终端2。至此，安全网络2中的数据下载过程结束，用户就可以将资料加密后带到外部网络，由于此时的移动存储器中数据是加密的，因此是安全的，必须通过合法用户才能够读取移动存储器中的数据。该过程完全不需要打开机柜的安全锁，也不需要安全专员手工在用户终端处将数据进行解密。通过图4和图5所示的流程结合，即可实现安全网络1至安全网络2的数据交换。安全网络2至安全网络1的数据交换流程与上述过程相同，不再赘述。本发明中，资料处理机在进行加解密时可以采用多种加解密算法，例如数据加密标准(DES)算法、3DES算法、国际数据加密算法(IDEA)、数字签名算法、基于数论非对称性 (RSA)算法、高级加密标准(AES)算法、摘要算法(MD5)、新型椭圆曲线算法(ECC)等。本发明并不对具体的加解密算法进行限制，在资料处理机中预先配置各账户使用的加解密算法。以3DES加解密算法为例，对数据进行加密后的密文格式可以如图6所示，其中， 标记(FLAG)字段中为该数据的源地址或目的地址信息，例如，当源地址为发包公司、目的地址为外包公司时，FLAG为1。密钥A为加密采用的密钥，假设长度为X字节，密钥A的生成过程为当需要加密某数据时，首先生成X字节长度的RC4密钥B，然后使用预先定义的 3DES密钥C对密钥B进行加密，生成密钥A。填充长度(Pad Length)字段为随机字符的长度，随机字符字段为填充的随机字符，用于提高安全度。密文字段是将明文数据采用密钥B 进行加密后得到的数据。还有一种处理方式，是将X字节长度的密钥B与Y字节的I^d Length字段联合成为长度X+Y字节的字符串D，然后使用密钥C对字符串D进行加密，形成X+Y字节的密钥E， 通过密钥B对明文数据进行加密形成密文。此时的密文格式可以如图7所示。以上是对本发明所提供的方法进行的详细描述，下面对本发明所提供的系统和资料处理机进行描述。本发明所提供的系统可以包括移动存储器、设置在第一安全网络中的第一资料处理机以及设置在第二安全网络中的第二资料处理机。其结构可以参见图3。第一资料处理机，用于利用合法用户对应的密钥，将来自该合法用户的数据进行加密后存入移动存储器。第二资料处理机，用于利用该合法用户对应的密钥，将从移动存储器读取的数据进行解密后发送给合法用户。其中，第一资料处理机和第二资料处理机同步合法用户对应的密钥。图8为本发明提供的资料处理机的结构示意图，该资料处理机为移动存储器提供连接接口，如图8所示，资料处理机可以具体包括网络接口单元801、加解密单元802和存储器接口单元803。
网络接口单元801，用于接收来自合法用户的数据；将加解密单元802解密后的数据发送给合法用户。加解密单元802，用于利用合法用户对应的密钥，将来自合法用户的数据进行加密；利用合法用户对应的密钥，将存储器接口单元803提供的数据进行解密。存储器接口单元803，用于将加解密单元802加密后的数据存入移动存储器；从移动存储器读取数据，将读取的数据提供给加解密单元802。更进一步地，该资料处理机还可以包括用户管理单元804，用于确定用户是否成功登录该资料处理机，如果是，则确定该用户为合法用户，否则确定该用户为非法用户。此时，加解密单元802确定成功登录该资料处理机所使用的账号对应的密钥为合法用户对应的密钥。另外，加解密单元802还可以用于定期更新合法用户对应的密钥。上述资料处理机部署在加了安全锁的机柜中，连接移动存储器的连接线延长到机柜外部。另外，本发明提供的资料处理机可以独立设置，也可以设置在其它网络设备中，例如设置以软件的形式设置在路由器中，并可以直接利用路由器具备的网络接口和USB接由以上描述可以看出，本发明通过在各安全网络中设置资料处理机，通过该资料处理机利用合法用户对应的密钥对合法用户上传的数据进行自动加密后存入移动存储器， 或者从移动存储器读取数据后，利用合法用户对应的密钥对数据进行自动解密后提供给合法用户。也就是说，本发明中由资料处理机完成针对合法用户的数据自动加解密，完全不需要打开机柜的安全锁，也不许安全专员手工在用户终端处对数据进行加解密，从而避免了人为介入，节省了人力成本且保证了隔离网络的安全。以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。
权利要求
1.一种安全网络间传输数据的方法，其特征在于，进行数据交换的两个安全网络中分别设置有资料处理机，所述资料处理机具有连接移动存储器的接口以及接收来自合法用户数据的接口，且所述资料处理机之间同步所述合法用户对应的密钥；该方法包括所述资料处理机利用合法用户对应的密钥，将来自所述合法用户的数据进行加密后存入移动存储器；所述资料处理机利用所述合法用户对应的密钥，将从所述移动存储器读取的数据进行解密后发送给所述合法用户。
2.根据权利要求1所述的方法，其特征在于，所述资料处理机利用合法用户对应的密钥，将来自所述合法用户的数据进行加密后存入移动存储器具体包括Al、所述合法用户采用预先申请的账号登录所述资料处理机；A2、所述合法用户登录成功后，向所述资料处理机发送数据；A3、所述资料处理机利用与所述账号对应的密钥，对来自所述合法用户的数据进行加密后，存入所述移动存储器。
3.根据权利要求1所述的方法，其特征在于，所述资料处理机利用所述合法用户对应的密钥，将从所述移动存储器读取的数据进行解密后发送给所述合法用户具体包括Bi、所述合法用户采用预先申请的账号登录所述资料处理机；B2、所述合法用户登录成功后，将需要下载的数据信息发送给所述资料处理机；B3、所述资料处理机从所述移动存储器中读取需要下载的数据；B4、所述资料处理机按照所述账号对应的密钥解密读取的数据，将解密后的数据发送给所述合法用户。
4.根据权利要求2或3所述的方法，其特征在于，进行数据交换的两个安全网络中设置的资料处理机之间定期同步更新所述账号对应的密钥。
5.根据权利要求1、2或3所述的方法，其特征在于，所述资料处理机部署在加了安全锁的机柜中，连接移动存储器的连接线延长到所述机柜外部。
6.一种资料处理机，其特征在于，所述资料处理机为移动存储器提供连接接口，所述资料处理机包括网络接口单元、加解密单元和存储器接口单元；所述网络接口单元，用于接收来自合法用户的数据；将所述加解密单元解密后的数据发送给所述合法用户；所述加解密单元，用于利用所述合法用户对应的密钥，将所述来自合法用户的数据进行加密；利用所述合法用户对应的密钥，将所述存储器接口单元提供的数据进行解密；所述存储器接口单元，用于将所述加解密单元加密后的数据存入移动存储器；从所述移动存储器读取数据，将读取的数据提供给所述加解密单元。
7.根据权利要求6所述的资料处理机，其特征在于，该资料处理机还包括用户管理单元，用于确定用户是否成功登录该资料处理机，如果是，则确定该用户为合法用户，否则确定该用户为非法用户；所述加解密单元确定成功登录该资料处理机所使用的账号对应的密钥为所述合法用户对应的密钥。
8.根据权利要求6或7所述的资料处理机，其特征在于，所述加解密单元还用于定期更新所述合法用户对应的密钥。
9.根据权利要求6或7所述的资料处理机，其特征在于，所述资料处理机部署在加了安全锁的机柜中，连接移动存储器的连接线延长到所述机柜外部。
10.根据权利要求6或7所述的资料处理机，其特征在于，所述资料处理机设置在路由器中。
全文摘要
本发明提供了一种安全网络间传输数据的方法和资料处理机，进行数据交换的两个安全网络中分别设置有资料处理机，所述资料处理机具有连接移动存储器的接口以及接收来自合法用户数据的接口，且所述资料处理机之间同步所述合法用户对应的密钥；所述资料处理机利用合法用户对应的密钥，将来自所述合法用户的数据进行加密后存入移动存储器；所述资料处理机利用所述合法用户对应的密钥，将从所述移动存储器读取的数据进行解密后发送给所述合法用户。本发明能够避免人为介入，节省了人力成本且保证了隔离网络的安全。
文档编号H04L29/06GK102244649SQ20101017535
公开日2011年11月16日 申请日期2010年5月12日 优先权日2010年5月12日
发明者刘炜刚 申请人:杭州华三通信技术有限公司