专利名称：一种采用非网络方式隔离数据的密码装置及其方法
技术领域：
本发明涉及一种密码装置，尤其是涉及一种采用非网络方式隔离数据的密码装置。本发明还涉及一种基于所述密码装置的非网络方式隔离数据的方法。
背景技术：
近年来，网络安全问题日益突出，黑客入侵以及网络攻击现象日益增多，而随着计算机网络技术的不断普及，公众使用计算机的次数越来越多，特别是公用信息基础设施建设推动了政府、企业日益依赖各种信息系统，一些涉及国计民生的业务、系统受到了前所未有的安全挑战，如维基解密网站泄漏了大量政府的机密信息；花旗集团受黑客攻击导致36多万的客户账户信息被窃取；CSDN网站被攻击导致600余万用户资料被泄 漏等。这些事故充分说明网络安全对国家、政府和企业的重要性。国家、政府、企业的信息系统涉及到国家的安全、企业机密及公民的切身利益，其数据的安全性、准确性必须得到充分的保障。为了加强信息系统的安全保护，国家、政府、企业大量使用专网、局域网、VPN等技术进行防护，起到了良好的效果。由于国家、政府、企业的信息系统大多和互联网有数据交互，特别是现有的信息系统大部分采用总部一分支(即主站一终端)的工作模式，在主站和终端之间的通信链路存在数据易窃听泄漏、终端用户易冒充、易受重放攻击等安全风险，给国家、政府、企业的信息系统构成了极大的威胁，因此必须对使用网络的信息系统进行安全保护。信息系统的主站和终端之间一般通过网络方式连接，主站和终端存在网络连接关系，为黑客的入侵提供了通道，为此本专利提出一种密码装置的非网络方式隔离数据处理方法，通过非网络方式隔离切断黑客网络入侵的通道，切实保护信息系统的安全，本发明中的非网络方式隔离数据处理方法的实现载体为密码装置。到目前为止(2011年12月29号)，国家知识产权局(http //www. sipo. gov. cn/)的技术发明专利和实用新型专利中尚未检索到“非网络方式隔离数据处理方法”相关的发明专利。
发明内容
本发明所要解决的第一个技术问题，就是提供一种采用非网络方式隔离数据的密
码装置。本发明所要解决的第二个技术问题，就是提供一种基于上述的密码装置采用非网络方式隔离数据的处理方法。通过所述的密码装置和非网络方式隔离数据的处理方法，本发明可实现信息系统的非网络方式隔离，消除信息系统易入侵，特别是易受网络攻击等安全隐患，切断黑客攻击的通道，防止黑客入侵导致的安全事故。解决上述第一个技术问题，本发明采用的技术方案是一种采用非网络方式隔离数据的密码装置，其特征是包括内网主机和外网主机，所述的内网主机和外网主机通过串口、并口或者其它自定义私有总线协议非网络方式连接，所述的内网主机和信息系统内部的主机相连,并主要负责数据的加解密。所述的密码装置除非网络方式隔离的功能以外，还具有加解密等功能。其采用非对称密码算法实现通信双方身份认证及会话密钥的协商；采用对称密码算法实现业务数据的加解密。从装置的安全性考虑，将在内网主机上实现数据的加解密功能，设备密钥、会话密钥不出现在外网主机，防止外网主机被劫持以后，密钥被窃取。也即，在上述基础上，本发明还可以作如下的改进I)密码装置设有加解密模块并部署在内网主机；2)密码装置设有的设备私钥保存在内网主机的非易失存储区，这样不会因为设备掉电而丢失；
3)密码装置会话密钥动态协商产生并保存在内网主机的易失存储区，会话密钥在通信结束、连接端口断开、设备断电情况下自动销毁；4)外网主机根据会话密钥更新触发条件发起会话密钥更新请求，内网主机生成会话密钥，外网主机调用内网主机的密码运算服务对会话密钥进行安全性处理。上述第二个技术问题的解决，本发明采用的技术方案是一种基于所述的装置采用非网络方式隔离数据的处理方法对进入信息系统的数据采用以下步骤SI外网主机对数据进行网络层过滤；S2外网主机对网络层过滤后的数据进行网络层(三层)剥离，去掉数据包的IP头等信息，提取出数据包的四层及以上的信息；S3外网主机将剥离后的数据包的四层及以上的信息通过串口、并口或者自定义私有协议的非网络方式发送到内网主机；S4内网主机对外网主机发送的数据包的四层及以上的信息进行数据源验证和审查，；S5内网主机对接收到的数据包的四层及以上的信息进行解密；S6内网主机根据解密结果判断数据包的四层及以上的信息的合法性S7内网主机将解密后合法的数据发送给内网主机；对出信息系统的数据采用以下步骤SI内网主机对信息系统需要发送的数据进行网络层加密；S2内网主机将网络层加密的数据发送给外网主机；S3外网主机将网络层加密的数据发送出去。(对出信息系统的数据亦可以不加密，采用内网主机发送至外网主机，外网主机发送至外网的处理方式)有益效果本发明通过所述的装置和非网络方式隔离数据的处理方法，可实现信息系统的非网络方式隔离，消除信息系统易入侵，特别是易受网络攻击等安全隐患，切断黑客攻击的通道，防止黑客入侵导致的安全事故。本发明非网络方式隔离数据处理方法的装置可以用于电力系统、电子政务系统、金融系统等使用主站-终端模式的信息系统中，具有很强的实用性。
下面结合附图和具体实施方式
对本发明做进一步的详细说明。图I为密码装置非网络方式隔离示意图；图2为非网络方式隔离方法数据处理过程示意图。
具体实施例方式如图I所示，本发明的采用非网络方式隔离数据的密码装置，包括内网主机和外网主机，内网主机和外网主机通过串口、并口或者自定义私有总线协议等其 它非网络方式连接，内网主机和信息系统内部的主机相连,并负责数据的加解密。装置的加解密模块部署在内网主机，私钥保存在内网主机的非易失存储区，这样不会因为设备掉电而丢失，会话密钥动态协商产生并保存在内网主机的易失存储区，会话密钥在通信结束、连接端口断开、设备断电情况下自动销毁，外网主机根据会话密钥更新触发条件发起会话密钥更新请求，内网主机生成会话密钥，外网主机调用内网主机的密码运算服务对会话密钥进行安全性处理。参见图2，基于上述装置采用非网络方式隔离数据的处理方法对进入信息系统的数据采用以下步骤SI外网主机对数据进行网络层过滤；S2外网主机对网络层过滤后的数据进行网络层剥离，去掉数据包的IP头等信息，提取出数据包的四层及以上的信息；S3外网主机将剥离后的数据包的四层及以上的信息通过串口、并口或者自定义私有协议的非网络方式发送到内网主机；S4内网主机对外网主机发送的数据包的四层及以上的信息进行数据源验证和审查，；S5内网主机对接收到的数据包的四层及以上的信息进行解密；S6内网主机根据解密结果判断数据包的四层及以上的信息的合法性S7内网主机将解密后合法的数据发送给信息系统。对出信息系统的数据采用以下步骤SI内网主机对信息系统需要发送的数据进行网络层加密；S2内网主机将网络层加密的数据发送给外网主机；S3外网主机将网络层加密的数据发送出去。(对出信息系统的数据亦可以不加密，采用内网主机发送至外网主机，外网主机发送至外网的处理方式)本发明提出了一种信息系统安全防护方法，有效地切断了网络攻击的通道。内外网主机通过非网络方式相连，有效实现信息系统的安全防护，其设计原则为I)内外网主机的连接方式可以是串口、并口或者自定义私有总线协议等其它非网络方式，但不能是网口 ；2)内外网主机之间的非网络方式隔离设计应该能够有效地防止针对网络设备的网络攻击；
在装置中，非网络方式隔离需对密钥进行有效的保护，其设计原则是I)数据加解密功能需部署在内网主机；2)会话密钥应位于内网主机，会话密钥不出现在外网 主机。
权利要求
1.一种采用非网络方式隔离数据的密码装置，其特征是包括内网主机和外网主机，所述的内网主机和外网主机通过串口、并口或者其它自定义私有总线协议的非网络方式连接，内网主机主要负责数据的加解密。
2.根据权利要求I所述的采用非网络方式隔离数据的密码装置，其特征是 1)密码装置设有加解密模块并部署在内网主机； 2)密码装置设有的设备私钥保存在内网主机的非易失存储区，并设有保护措施，防止任何方式的导出； 3)密码装置的会话密钥动态协商产生并保存在内网主机的易失存储区； 4)外网主机根据会话密钥更新触发条件发起会话密钥更新请求，内网主机生成会话密钥，外网主机调用内网主机的密码运算服务对会话密钥进行安全性处理。
3.一种基于如权利要求I或2所述的密码装置采用非网络方式隔离数据的方法 对进入的数据采用以下步骤 Si外网主机对数据进行网络层过滤； S2外网主机对网络层过滤后的数据进行网络层剥离，提取出数据包的四层及以上的信息； S3外网主机将剥离后的数据包的四层及以上的信息通过串口、并口或者自定义私有协议的非网络方式发送到内网主机； S4内网主机对外网主机发送的数据包的四层及以上的信息进行数据源验证和审查，； S5内网主机对接收到的数据包的四层及以上的信息进行解密； S6内网主机根据解密结果判断数据包的四层及以上的信息的合法性 S7内网主机将解密后合法的数据发送给内网主机； 对出口数据采用以下步骤 SI内网主机对信息系统需要发送的数据进行网络层加密； S2内网主机将网络层加密的数据发送给外网主机； S3外网主机将网络层加密的数据发送出去。
全文摘要
一种采用非网络方式隔离数据的密码装置包括内网主机和外网主机，内网主机和外网主机通过串口、并口或者自定义私有总线协议等其它非网络方式连接，内网主机和信息系统内部的主机相连，并负责数据的加解密。隔离数据的方法S1外网主机对数据包进行网络层过滤；S2外网主机对数据包进行网络层剥离，去掉数据包的IP头等信息；S3外网主机将剥离后的数据通过串口、并口或者自定义私有协议的非网络方式发送到内网主机；S4内网主机对数据进行数据源验证；S5内网主机对接收到的剥离的数据进行解密，解密正确以后发送给内网信息系统。本发明可实现信息系统的非网络方式隔离，降低信息系统主站易被入侵易受网络攻击等安全隐患。
文档编号H04L29/06GK102882850SQ20121032016
公开日2013年1月16日 申请日期2012年9月3日 优先权日2012年9月3日
发明者苏扬, 胡朝辉, 徐展强, 邓大为, 梁智强, 江泽鑫, 梁志宏, 周强峰 申请人:广东电网公司电力科学研究院, 广东省电力调度中心