一種網絡安全隔離文件傳輸控制方法
2023-07-22 21:58:41
一種網絡安全隔離文件傳輸控制方法
【專利摘要】本發明提供了一種安全隔離文件傳輸控制方法，具體涉及一種稅務網絡安全隔離系統間文件傳輸控制方法。該系統組成包括外網隔離防火牆，外網控制端,外網發送端，外網接收端，內網發送端,內網接收端，內網控制端和內網隔離防火牆。利用計算機系統、虛擬機系統、隔離防火牆相結合實現了一種較為通用的安全數據傳輸方式，提供了一種通過專有安全協議的控制方法實現安全可靠的正反向數據傳輸，基於數據加密，數字籤名,消息認證碼等安全技術保證消息傳輸過程中的機密性，完整性和抗抵賴，從而在保證內外網絡系統安全的同時又可以提升數據交換的性能，並使整個系統可靠穩定工作。
【專利說明】一種網絡安全隔離文件傳輸控制方法
【技術領域】
[0001]本發明涉及一種網絡安全隔離控制方法，具體涉及一種稅務網絡安全隔離系統間文件傳輸控制方法。適用於在不同保密級別的網絡間傳輸數據，在保證網絡安全的同時，實現文件在不同網絡間的高效傳輸。
【背景技術】
[0002]隔離概念是在為了保護高安全等級網絡環境的情況下產生的，期間經歷了五代隔離技術的變化。第一代隔離技術——完全的隔離:此方法使得網絡處於信息孤島狀態，做到了完全的物理隔離，需要至少兩套網絡和系統，更重要的是信息交流的不便和成本的提高，這樣給維護和使用帶來了極大的不便。第二代隔離技術——硬體卡隔離:在客戶端增加一塊硬體卡，客戶端硬碟或其他存儲設備首先連接到該卡，然後再轉接到主板上，通過該卡能控制客戶端硬碟或其他存儲設備。而在選擇不同的硬碟時，同時選擇了該卡上不同的網絡接口，連接到不同的網絡。但是，這種隔離產品有的仍然需要網絡布線為雙網線結構，產品存在著較大的安全隱患。第三代隔離技術——數據轉播隔離:利用轉播系統分時複製文件的途徑來實現隔離，切換時間非常之久，甚至需要手工完成，不僅明顯地減緩了訪問速度，更不支持常見的網絡應用，失去了網絡存在的意義。第四代隔離技術——空氣開關隔離:它是通過使用單刀雙擲開關，使得內外部網絡分時訪問臨時緩存器來完成數據交換的，但在安全和性能上存在著許多問題。第五代隔離技術——安全通道隔離:此技術通過專用通信硬體和專有安全協議等安全機制，來實現內外部網絡的隔離和數據交換，不僅解決了以前隔離技術存在的問題，並有效地把內外部網絡隔離開來，而且高效地實現了內外網數據的安全交換，透明支持多種網絡應用，成為當前隔離技術的發展方向。
[0003]當前網絡隔離存在以下幾個突出的問題:
[0004](1)網絡隔離在傳輸數據時採用無應答的機制，造成信息或數據完整性不能保證。高、低密級網在網絡隔離條件下同時只有一個與隔離設備進行連接，這樣，「握手」確認的通信協議無法使用，因此就必須在隔離傳輸中採用單向無應答的傳輸機制。這樣雖然保證了數據的安全性，但帶來的問題是接收端無反饋信號，致使用戶無法發現錯誤的、不完整的信息。因此，如何保證信息傳輸時數據的完整性、正確性成為在不同密級網間數據無反饋單向傳輸的關鍵性問題。
[0005](2)在網絡隔離情況下傳輸數據，高密級網與低密級網同時有且只能有一個與隔離設備建立專用協議的連接以達到傳輸數據的目的，這樣並不能保證從低密級網傳入高密級網的數據不會引起高密級系統癱瘓或者使其遭到破壞，因此高密級系統安全問題也是一個亟需解決的問題。
[0006]因此針對網絡隔離提出以下要求:
[0007](1)數據能夠穩定地由低密級網傳輸到高密級網；
[0008](2)數據傳輸速率應達到更高的要求；
[0009](3)保證核心涉密網不受黑客的正面攻擊；
[0010](4)接收的數據在完整性方面達到一定要求。
【發明內容】
[0011]基於第五代網絡隔離技術，本發明的目的在於通過專有安全協議的控制方法實現安全可靠的正反向數據傳輸，從而在保證內外網絡系統安全的同時又可以提升數據交換的性能，並使整個系統可靠穩定工作。
[0012]本發明是通過以下技術方案來實現的:實現本發明目標的技術解決方案為一種網絡安全隔離系統間信息傳輸控制系統，其特徵在於:該系統組成包括外網隔離防火牆，外網控制端，外網發送端，外網接收端，內網發送端，內網接收端，內網控制端和內網隔離防火牆。消息傳輸分為:1、外網向內網發送文件時，外網主機為發送端，內網主機為接收端，消息首先提交到外網控制端，由外網控制端負責把數據提交給內網，進行安全數據傳輸。2、內網向外網發送文件時，外網主機為接收端，內網主機為發送端，消息首先提交到內網控制端，由內網控制端負責把數據提交給外網，進行安全數據傳輸。
[0013]利用上述的數據傳輸系統所實施的數據傳輸方法，其特徵在於:
[0014](1)利用外網隔離防火牆和內網隔離防火牆實現內網和外網的網絡隔離，隔離防火牆只對特定I？地址和協議開放，保證網絡安全；
[0015](2)利用外網控制端和內網控制端實現外網通信終端和內網通信終端的接入認證，只有合法用戶才能使用數據傳輸系統，控制端還實現對傳輸文件的內容檢查，保證內容安全；
[0016](3)利用3/1112協議封裝數據傳輸的消息，可以傳輸文本、圖像、聲音、視頻及其它應用程式的特定數據，提供收條服務，提供如下加密安全服務:認證、完整性保護、鑑定及數據保密等，保證消息傳輸過程中的機密性，完整性和抗抵賴；
[0017](4)利用外網發送端和內網接收端實現外網到內網的單向傳輸，內網發送端和外網接收端實現內網到外網的單向傳輸，配合專有的基於文件的消息封裝格式，實現內網和外網之間的安全的信息交換。
[0018](5)外網發送端和內網接收端為一臺物理機器上的兩個虛擬機，它們之間通過虛擬網卡通信，利用半虛擬化技術通過共享內存建立通信通道來實現虛擬機間的高速通信，外網接收端和內網發送端為一臺物理機器上的兩個虛擬機，通信方式類似。
[0019]優點及效果:
[0020]本發明提供一種網絡隔離系統數據傳輸控制的技術及方法，本技術利用計算機系統、虛擬機系統、隔離防火牆相結合實現了一種較為通用的安全數據傳輸方式，在硬體方面，本發明由計算機、隔離防火牆、伺服器、網絡傳輸設備、數據伺服器等電子設備組成，其重要設備的通訊路徑冗餘配置保障系統可靠性；利用數據加密，數字籤名保證消息傳輸過程中的機密性，完整性和抗抵賴；內外網之間信息交換使用了專有協議保證消息交換的安全。
[0021]本技術的特點:
[0022]1、使用3/1頂2協議封裝消息格式，並提供收條服務，提供如下加密安全服務:認證、完整性保護、鑑定及數據保密等，保證消息傳輸過程中的機密性，完整性和抗抵賴；
[0023]2、外網發送端和內網接收端為一臺物理機器上的兩個虛擬機，它們之間通過虛擬網卡通信，利用半虛擬化技術通過共享內存建立通信通道來實現虛擬機間的高速通信，配合專有通信協議，實現內網和外網之間的高速安全的信息交換。
【專利附圖】
【附圖說明】
[0024]圖1為本發明的網絡架構圖。
[0025]圖2為本發明外網發送端和內網接收端的網絡架構。
[0026]圖3為外網接收端和內網發送端。
[0027]圖4為本發明基於文件傳輸的內網和外網隔離系統間消息傳輸模式。
[0028]圖5為本發明的發送文件流程圖。
【具體實施方式】
[0029]下面結合附圖對本發明做進一步詳細描述:
[0030]圖1是本發明的網絡架構圖，包括外網控制端、外網發送端，外網接收端，內網接收端，內網發送端和內網控制端以及外網隔離防火牆和內網隔離防火牆。
[0031]外網控制端和內網控制端工作在一臺多網口的工控機中，作為核心伺服器，具體負責整個傳輸控制協議的解析執行，並承擔共享文件的存儲和轉發工作，使文件的交互更加可控和聞效。
[0032]圖2是外網發送端和內網接收端的網絡架構，外網發送端和內網接收端為一臺物理伺服器上的兩臺虛擬機，物理機器上安裝多個網卡，其中一個網卡連接外網，一個網卡連接內網，外網發送端虛擬機通過橋接方式綁定外網的網卡，內網接收端虛擬機通過橋接方式綁定內網網卡，兩個虛擬機分別添加第二塊網卡以此^-01117模式連接物理機的同一個虛擬網卡，兩個虛擬機通過該虛擬網卡通信。圖3是外網接收端和內網發送端為一臺物理伺服器上的兩臺虛擬機的網絡結構示意，它們的網絡連接方式和外網發送端和內網接收端類似。外網控制端兩個網口，一個連接到外網防火牆配置I？地址為1？1，能夠和外網終端通信，另外一個連接到外網發送端和外網接收端配置I？地址為1？2。內網控制端兩個網口，一個連接到內網防火牆配置I？地址為1？3，能夠和內網終端通信，另外一個連接到內網發送端和內網接收端配置I？地址為1？4。
[0033]外網防火牆隔離網際網路和外網控制端，外網防火牆配置為只允許通往外網控制端I？地址1？1和指定埠的數據報通行，內網防火牆配置為只允許通往內網控制端I？地址1？3和指定埠的數據通行。
[0034]外網控制端1？2的網口，與外網發送端和外網接收端配置一個內部網絡地址段，各個網口只配置I？地址，沒有網關，設置規則使得外網接收端只能通過1？2發送數據到外網控制端，外網發送端只能發送數據到外網控制端，外網發送端和外網接收端之間不能通^。
[0035]內網控制端1？4的網口，與內網發送端和內網接收端配置另外一個內部網絡地址段，各個網口只配置I？地址，沒有網關，設置規則使得內網接收端只能通過1？4發送數據到內網控制端，內網發送端只能發送數據到內網控制端，內網發送端和內網接收端之間不能通信。
[0036]外網發送端和內網接收端的第二個網絡接口通過000-0=17模式連接到虛擬網卡，設置另外一個網段，設置規則使得內網接收端只能通過這個I？接收來自外網發送端的數據，內網接收端不能發送數據到外網發送端。
[0037]外網接收端和內網發送端的第二個網絡接口通過此「-如匕模式連接到虛擬網卡，設置另外一個網段，設置規則使得外網接收端只能通過這個I？接收來自內網發送端的數據，外網接收端不能發送數據到內網發送端。
[0038]圖4說明了本方案設計的基於文件傳輸的內網和外網隔離系統間消息傳輸模式。發送方，文件處理單元用於文件傳輸之前相關處理，可以提高文件傳輸的安全性和效率性，其工作過程如下:首先將接收到消息按協議規定大小拆分生成多個順序文件，最後添加當前時間標記和一個基於發送方和接收方共享密鑰生成的服八文件，接收方通過共享密鑰可以驗證文件的來源，驗證文件的有效性，按照命名規則重新給每個文件命名。拆分文件命名規則:會話10號+拆分文件總數目+該文件的順序號。然後將拆分後的文件發送緩衝目錄。接收方，文件處理單元用於接收完成後相關操作，根據配置信息文件將拆分文件恢復至原文件。
[0039]腿八生成的方法:設共享密鑰為X，文件數目為II，當前時間為1111168^1卹，各文件設為匕幾，…，？。:
[0040]歷=擬兕叫匕)
[0041]歷=(11)1)1),
[0042]腿八(:=| | 111068仏卹| 11。最後的腿八0即為本次數據發送的認證信息。
[0043]接收方收到後，首先驗證時間是否在允許的誤差內，然後按照相同方法利用它保存的共享密鑰X』進行同樣的運算，比較最後的腿八是否一致，若一致表明發送方身份是正確的。
[0044]為了完成相關的操作和功能，內網和外網通過某種特定格式的報文來完成，報文格式採用3/1頂2的格式進行封裝。報文攜帶命令和文件數據，完成內外網數據的交互。
[0045]控制端主要功能是分析處理內外網接收到的報文，根據報文的命令實現相關的操作，並將操作的結果封裝成協議報文反饋給發送方。分析和處理的機制根據報文的格式而定。
[0046]內網和外網的人機互動模塊分別工作於內外網的主機中，人機互動模塊負責外網用戶與內網系統的交互，位於系統架構的外圍。人機互動模塊主要是提供基於窗口的功能接口，為用戶提供命令輸入界面，方便用戶的操作。
[0047]根據圖5本發明的發送文件流程圖，當外網主機向內網主機請求發送文件時，即由外網主機的人機互動模塊向內網主機的人機互動模塊發送文件，本發明的工作過程如下:
[0048]步驟1、啟動系統各單元，外網控制端為外網部分的文件傳輸管理伺服器，負責對外網用戶端，外網發送端和外網接收端的認證，內網控制端為內網部分的文件傳輸管理伺服器，負責對內網用戶端，內網發送端和內網接收端的認證，認證通過後雙方會協商一個會話密鑰；
[0049]步驟2、發送端用戶首先需要登錄文件傳輸系統，由外網控制端對用戶的身份進行認證，認證通過後可以看到聯繫人列表，認證時和控制端協商一個會話密鑰。
[0050]步驟3、發送端用戶從聯繫人列表中選擇文件的接收者，發送文件或消息，用戶端生成發送消息報文，報文內容包括接收者信息，發送者信息，當前時間信息，消息類型，消息體。消息報文使用用戶的會話密鑰進行保護，消息報文格式使用3/1頂2封裝，消息發送給外網控制端。
[0051]步驟4、外網控制端接收到消息後，驗證消息的合法性，對消息進行安全性檢查(如使用殺毒軟體)，驗證通過後轉發消息到外網發送端，消息使用會話密鑰進行保護；
[0052]步驟5、外網發送端接收消息後，首先使用會話密鑰驗證消息的合法性，通過後進行文件封裝，文件處理單元處理需要傳輸的文件，如果文件的大小超過拆分的閾值，則將文件拆分成多個固定大小的文件，通過文件名規則把各個文件進行編號，使用預先分配的密鑰進行保護生成服/^文件；
[0053]步驟6、文件傳輸:外網發送端主機將拆分後的數據文件，經虛擬網卡通過傳輸給內網接收端主機；
[0054]步驟7、文件合併:內網接收端主機接收數據文件，並根據文件名規則把文件進行合併，重新打包成消息，使用會話密鑰進行保護，並傳送給內網控制端；
[0055]步驟8、消息接收:內網控制端接收到消息後，驗證消息的合法性，對消息進行安全性檢查(如使用殺毒軟體)，通過後轉發消息到接收端，消息使用會話密鑰進行保護。
[0056]步驟9、用戶查看:用戶端接收到消息提醒用戶查看，如果發送端要求提供收條，用戶打開消息時自動發送收條到發送者，收條使用接收者的私鑰籤字證明有效性。
[0057]重複以上步驟，在請求端主機的人機互動模塊中增加任務調度功能的子模塊，可以實現多任務、多用戶的並發發送文件和下載文件。
[0058]請求端主機的人機互動模塊請求下載文件時，如果請求下載外網的文件，直接下載即可，不需要經過網絡隔離系統。如果請求內網的文件，請求端首先向目的聯繫人或者系統共享文件夾(由內網控制端控制)發送文件請求消息，消息的傳輸過程如上所述過程，目的聯繫人或內網控制端接收消息後，根據規則判斷是否允許發送文件，如果允許按照上所述過程把文件發送給請求端:
[0059]內網主機向外網主機請求發送文件和內網主機向外網主機請求下載文件的步驟與外網主機向內網主機請求發送文件和外網主機向內網主機請求下載文件的步驟相同。
[0060]本發明能夠解決單向網絡安全隔離裝置不能交互，數據互通性能差的缺點，可以批量上傳下載文件，上傳下載速度達到網絡隔離裝置的帶寬上限，支持並發，提高被隔離裝置隔離的內外網數據交換效率，本發明支持加密，籤名等安全技術，可以保證消息傳輸過程中的機密性，完整性和抗抵賴性。
【權利要求】
1.一種網絡安全隔離系統間信息傳輸控制系統，其特徵在於:該系統組成包括外網隔離防火牆，外網控制端，外網發送端，外網接收端，內網發送端，內網接收端，內網控制端和內網隔離防火牆；消息傳輸分為#外網向內網發送文件時，外網主機為發送端，內網主機為接收端，消息首先提交到外網控制端，由外網控制端負責把數據提交給內網，進行數據傳輸山.內網向外網發送文件時，外網主機為接收端，內網主機為發送端，消息首先提交到內網控制端，由內網控制端負責把數據提交給外網，進行數據傳輸。
2.根據權利要求1所述的數據傳輸系統所實施的數據傳輸方法，其特徵在於: (1)在外網計算機和外網控制端之間連接有網絡隔離設備；在內網計算機和內網控制端之間連接也設置有網絡隔離設備； (2)在外網控制端和內網控制端實現外網通信終端和內網通信終端的接入認證，控制端實現對傳輸文件的內容檢查，保證內容安全； (4)外網發送端和內網接收端實現外網到內網的單向傳輸，內網發送端和外網接收端實現內網到外網的單向傳輸； (5)外網發送端和內網接收端為一臺物理伺服器上的兩臺虛擬機，物理機器上安裝多個網卡，其中一個網卡連接外網，一個網卡連接內網，外網發送端虛擬機通過橋接方式綁定外網的網卡，內網接收端虛擬機通過橋接方式綁定內網網卡，兩個虛擬機分別添加第二塊網卡以！100-0=17模式連接物理機的同一個虛擬網卡，兩個虛擬機通過該虛擬網卡通信；外網接收端和內網發送端為一臺物理機器上的兩個虛擬機，通信方式類似。
3.根據權利要求1所述的數據傳輸系統所實施的數據傳輸方法，其特徵在於系統利用3/1112協議封裝數據傳輸的消息，傳輸文本、圖像、聲音、視頻及其它應用程式的特定數據。
4.根據權利要求1所述的數據傳輸系統所實施的數據傳輸方法，其特徵在於系統使用基於文件傳輸的內網和外網隔離系統間消息傳輸模式；其工作過程如下:首先將接收到消息按協議規定大小拆分生成多個順序文件，最後添加當前時間標記和一個基於發送方和接收方共享密鑰生成的腿文件，接收方通過共享密鑰可以驗證文件的來源，驗證文件的有效性，按照命名規則重新給每個文件命名；拆分文件命名規則:會話10號+拆分文件總數目+該文件的順序號；然後將拆分後的文件發送緩衝目錄；接收方，文件處理單元用於接收完成後相關操作，根據配置信息文件將拆分文件恢復至原文件。
5.根據權利要求1所述的數據傳輸系統所實施的數據傳輸方法，其特徵在於包括如下步驟: 外網主機向內網主機請求發送文件時，即由外網主機的人機互動模塊向內網主機的人機互動模塊發送文件，步驟如下: 步驟1、啟動系統各單元，外網控制端對外網用戶端，外網發送端和外網接收端的認證，內網控制端對內網用戶端，內網發送端和內網接收端的認證，認證通過後雙方會協商一個會話密鑰； 步驟2、發送端用戶首先需要登錄文件傳輸系統，由外網控制端對用戶的身份進行認證，認證通過後可以看到聯繫人列表； 步驟3、發送端用戶從聯繫人列表中選擇文件的接收者，發送文件或消息，用戶端生成發送消息報文，報文內容包括接收者信息，發送者信息，當前時間信息，消息類型，消息體；消息報文使用用戶的會話密鑰進行保護，消息報文格式使用3/1頂2封裝，消息發送給外網控制端； 步驟4、外網控制端接收到消息後，驗證消息的合法性，對消息進行安全性檢查，驗證通過後轉發消息到外網發送端，消息使用會話密鑰進行保護； 步驟5、外網發送端接收消息後，首先使用會話密鑰驗證消息的合法性，通過後進行文件封裝，文件處理單元處理需要傳輸的文件，如果文件的大小超過拆分的閾值，則將文件拆分成多個固定大小的文件，通過文件名規則把各個文件進行編號，使用預先分配的密鑰進行保護生成HMAC文件； 步驟6、文件傳輸:外網發送端主機將拆分後的數據文件，經虛擬網卡通過傳輸給內網接收端主機； 步驟7、文件合併:內網接收端主機接收數據文件，並根據文件名規則把文件進行合併，重新打包成消息，使用會話密鑰進行保護，並傳送給內網控制端； 步驟8、消息接收:內網控制端接收到消息後，驗證消息的合法性，對消息進行安全性檢查，通過後轉發消息到接收端，消息使用會話密鑰進行保護； 步驟9、用戶查看:用戶端接收到消息提醒用戶查看，如果發送端要求提供收條，用戶打開消息時自動發送收條到發送者，收條使用接收者的私鑰籤字證明有效性； 內網主機向外網主機請求發送文件時，即由內網主機的人機互動模塊向外網主機的人機互動模塊發送文件，步驟如下: 步驟1、啟動系統各單元，外網控制端對外網用戶端，外網發送端和外網接收端的認證，內網控制端對內網用戶端，內網發送端和內網接收端的認證，認證通過後雙方會協商一個會話密鑰； 步驟2、發送端用戶首先需要登錄文件傳輸系統，由內網控制端對用戶的身份進行認證，認證通過後可以看到聯繫人列表； 步驟3、發送端用戶從聯繫人列表中選擇文件的接收者，發送文件或消息，用戶端生成發送消息報文，報文內容包括接收者信息，發送者信息，當前時間信息，消息類型，消息體；消息報文使用用戶的會話密鑰進行保護，消息報文格式使用S/MIME封裝，消息發送給內網控制端； 步驟4、內網控制端接收到消息後，驗證消息的合法性，對消息進行安全性檢查，驗證通過後轉發消息內網發送端，消息使用會話密鑰進行保護； 步驟5、內網發送端接收消息後，首先使用會話密鑰驗證消息的合法性，通過後進行文件封裝，文件處理單元處理需要傳輸的文件，如果文件的大小超過拆分的閾值，則將文件拆分成多個固定大小的文件，通過文件名規則把各個文件進行編號，使用預先分配的密鑰進行保護生成HMAC文件； 步驟6、文件傳輸:內網發送端主機將拆分後的數據文件，經虛擬網卡通過傳輸給外網接收端主機； 步驟7、文件合併:外網接收端主機接收數據文件，並根據文件名規則把文件進行合併，重新打包成消息，使用會話密鑰進行保護，並傳送給外網控制端； 步驟8、消息接收:外網控制端接收到消息後，驗證消息的合法性，對消息進行安全性檢查，通過後轉發消息到接收端，消息使用會話密鑰進行保護； 步驟9、用戶查看:用戶端接收到消息提醒用戶查看，如果發送端要求提供收條，用戶打開消息時自動發送收條到發送者，收條使用接收者的私鑰籤字證明有效性。
【文檔編號】H04L29/06GK104363221SQ201410629644
【公開日】2015年2月18日 申請日期:2014年11月10日 優先權日:2014年11月10日
【發明者】董曉春, 劉培順, 趙長江, 任傳祥, 高繼鵬 申請人:青島微智慧信息有限公司