數據單向傳輸方法及系統的製作方法

2023-06-19 10:29:46

數據單向傳輸方法及系統的製作方法
【專利摘要】本發明提供一種數據單向傳輸方法及系統。方法包括：外網終端從外網下載待傳數據包，通過中間層驅動在數據鏈路層對待傳輸數據包進行加密變換得到第一數據包，並通過外網連接將第一數據包發送給中間機，中間機在接收完第一數據包後，將網絡連接從外網連接切換至內網連接，採用中間層驅動對第一數據包進行解密得到待傳數據包，通過內網連接將待傳數據包發給內網伺服器。本發明中間機接收完數據後從外網切換到內網，實現從外網向內網傳輸數據，且外網終端和中間機中均裝有中間層驅動，但未在內網伺服器中安裝中間層驅動，使內網伺服器向中間機發送的數據不能被識別，保證數據從外網向內網傳輸的單向性，中間層驅動對數據進行加密保證數據的安全性。
【專利說明】數據單向傳輸方法及系統

【技術領域】
[0001] 本發明涉及信息安全技術，尤其涉及一種數據單向傳輸方法及系統。

【背景技術】
[0002] 隨著網絡的迅速發展，給人們的生活帶來了很大便捷。網絡已成為人們實現信息 收集處理、加強交流、提高工作生活效率和質量的重要手段。由於網際網路的構成和表現形式 比其它形式的計算機網絡更具開放性和自由性，並且由於其所具有的國際性，使諸如電子 商務、電子現金、數字貨幣、網絡銀行等新業務可W通過它得W實現。
[0003] 同時，信息網絡的普及和網絡中各種潛在的漏洞給我們帶來了新的安全威脅，女口 黑客侵襲、病毒騷擾和系統內部洩密等，頻繁出現的攻擊事件嚴重威脅著網絡中的數據安 全。而重要信息一旦洩漏，必將造成重大的損失。因此為了抵禦安全威脅，政府、軍隊、公司 企業都建立了各自的內部網絡用於辦公和傳遞內部資料，並將其與外部網絡物理隔離。其 次，據研究發現，現在許多的洩密事故都是由於內部人員的管理不善導致信息的失洩密，因 為內部人員有機會接觸到一些核也的敏感信息，造成了敏感信息被竊取的隱患。所W研究 W透明加解密為基礎的單向傳輸系統是很有必要的，在信息系統的低層直接對數據進行了 加解密處理，使得使用者不通過複雜的技術手段無法感知截取信息的內容，保證了信息的 安全性。
[0004] 雖然物理隔離保證了內網的安全性，但是外網數據不能通過網絡傳輸到內網中。 對內網用戶來說，用戶就不能通過網絡從外網獲取到數據，只能依靠光碟等移動介質，使得 從外網向內網傳輸數據的便捷性較差。


【發明內容】

[0005] 本發明提供一種數據單向傳輸方法及系統，用於解決現有技術中內網用戶不能通 過網絡從外網獲取到數據，只能依靠光碟等移動介質，使得從外網向內網傳輸數據的便捷 性較差的問題。
[0006] 為了實現上述目的，本發明提供的一種數據單向傳輸方法，包括：
[0007] 外網終端從外網下載待傳數據包，通過中間層驅動在數據鏈路層對所述待傳輸數 據包進行加密變換得到第一數據包，並通過外網連接將所述第一數據包發送給中間機；
[0008] 所述中間機在接收完所述第一數據包後，將網絡連接從外網連接切換至內網連 接，並採用所述中間層驅動對所述第一數據包進行解密得到所述待傳數據包，通過所述內 網連接將所述待傳數據包轉發給內網伺服器。
[0009] 為了實現上述目的，本發明提供的一種數據單向傳輸系統，包括：
[0010] 外網終端，用於從外網下載待傳數據包，通過中間層驅動在數據鏈路層對所述待 傳輸數據包進行加密變換得到第一數據包，並通過外網連接將所述第一數據包發送給中間 機；
[0011] 所述中間機，用於接收所述第一數據包，在接收完所述第一數據包後，將網絡連接 從外網連接切換至內網連接，並採用所述中間層驅動對所述第一數據包進行解密得到所述 待傳數據包，通過所述內網連接將所述待傳數據包轉發給內網伺服器；
[0012] 所述內網伺服器，用於接收所述中間機通過所述內網連接發送的所述待傳數據 包。
[0013] 本發明提供的數據單向傳輸方法及系統，外網終端從外網下載待傳數據包，通過 中間層驅動在數據鏈路層對所述待傳輸數據包進行加密變換得到第一數據包，並通過外網 連接將所述第一數據包發送給中間機；所述中間機在接收完所述第一數據包後，將網絡連 接從外網連接切換至內網連接，並採用所述中間層驅動對所述第一數據包進行解密得到所 述待傳數據包，通過所述內網連接將所述待傳數據包發給內網伺服器。本發明中在中間機 接收完外網數據包後將網絡從外網切換到內網中，使得實現了從外網向內網傳輸數據，並 且在外網終端和中間機中分別裝有中間層驅動，而並未在內網伺服器中安裝中間層驅動， 使得內網伺服器向中間機發送的數據不能被傳輸，從而保證了數據從外網向內網傳輸的單 向性，而且在該單向傳輸過程中通過中間層驅動對數據包進行對稱加密，保證了數據的安 全性。

【專利附圖】

【附圖說明】
[0014] 圖1為本發明實施例一提供的一種數據單向傳輸方法的流程示意圖；
[0015] 圖2為本發明實施例二提供的一種數據單向傳輸方法的流程示意圖；
[0016] 圖3為本發明實施例H提供的一種數據單向傳輸方法的流程示意圖；
[0017] 圖4為本發明實施例四提供的一種數據單向傳輸方法的流程示意圖；
[0018] 圖5為本發明實施例四提供的一種外網終端驗證自身運行環境安全性的具體過 程7]^意圖；
[0019] 圖6為本發明實施例五提供的一種數據單向傳輸方法的流程示意圖；
[0020] 圖7為本發明實施例六提供的一種數據單向傳輸方法的流程示意圖；
[0021] 圖8為本實施例六提供的一種網線開關的實現結構；
[0022] 圖9為本實施例六中提供的網線開關的原理圖；
[0023] 圖10為本發明實施例走提供的一種數據單向傳輸方法的流程示意圖；
[0024] 圖11為本發明實施例八提供的一種數據單向傳輸系統的結構示意圖；
[0025] 圖12為本發明實施例九提供的一種數據單向傳輸系統的結構示意圖；
[0026] 圖13為本發明實施例十提供的一種數據單向傳輸系統的結構示意圖。

【具體實施方式】
[0027] 為使本發明實施例的目的、技術方案和優點更加清楚，下面將結合本發明實施例 中的附圖，對本發明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例是 本發明一部分實施例，而不是全部的實施例。
[0028] 實施例一
[0029] 圖1為本發明實施例一提供的一種數據單向傳輸方法的流程示意圖，如圖1所示， 該數據單向傳輸方法包括W下步驟：
[0030] 101、外網終端從外網下載待傳數據包，通過中間層驅動在數據鏈路層對所述待傳 輸數據包進行加密變換得到第一數據包，並通過外網連接將所述第一數據包發送給中間 機。
[0031] 具體地，本實施例中，外網終端中安裝有中間層驅動，其中，該中間層驅動可W為 網絡驅動接 口規範（Network Driver Interface Specification,簡稱 NDIS)。
[0032] 外網終端能夠從外網下載待傳數據包，將待傳數據包提交給NDIS中間層驅動， 通過該NDIS中間層驅動在數據鏈路層對該待傳數據包進行加密變換得到第一數據包。本 實施例中，外網終端此時與中間機通過外網連接進行連接。在獲取到第一數據包後，外網終 端通過外網連接將第一數據包發送給中間機。
[0033] 其中，待傳數據包通過W太峽進行傳輸，NDIS中間層驅動對W太峽中除峽頭、峽尾 及網際網路協議（Internet Protocol,簡稱I巧頭W外的數據進行加密變換。通過該NDIS中 間層驅動加密變換後，就破壞了峽內原有正常協議，此時的W太峽能通過路由器或者網卡 傳輸到中間機，但是此時的中間機的作業系統如果不對第一數據包繼續對稱解密，直接對 第一數據包進行操作，就會被作業系統作為錯誤數據包進行丟棄。
[0034] 102、所述中間機在接收完所述第一數據包後，將網絡連接從外網連接切換至內網 連接，並採用所述中間層驅動對所述第一數據包進行解密得到所述待傳數據包，通過所述 內網連接將所述待傳數據包發給內網伺服器。
[00巧]具體地，在外網終端對待傳數據包進行加密變換得到第一數據包後，通過外網 網線將第一數據包發送給中間機。其中，外網終端通過用戶數據報協議扣ser化tagram Protocol, UD巧向中間機發送第一數據包。由於UDP是無連接的傳輸協議，限制了第一數 據包的最大長度，外網終端需要對第一數據包進行分割和編號，然後將分割後的第一數據 包按照編號順序發送給中間機。中間機在接收完畢第一數據包的所有分組後，再根據編號 進行組合得到第一數據包。
[0036] 進一步地，在接收完第一數據包後，中間機為了向內網發送待傳數據包，需要控制 將網絡連接從外網連接切換到內網連接。本實施例中，在外網線與內網線之間設置一個網 線開關，當中間機在確定接收完第一數據包後，向網線開關發送一個控制指令，通過該控制 指令指示網線開關從外網連接切換到內網連接。例如，當前網絡連接為外網連接時，此時網 線開關的開關與外網網線連接，在中間機向網線開關發送控制指令後，網線開關將開關與 內網網線連接，該樣網絡連接就切換到內網連接。而當前網絡連接為內網連接時，此時網線 開關的開關與內網網線連接，在中間機向網線開關發送控制指令後，網線開關將開關與外 網網線連接，該樣網絡連接就切換到外網連接。
[0037] -般在未接收完第一數據包之前，如果中間機就直接向內網伺服器發包則會導 致丟包現象的發生。為了避免出現丟包現象，W及實現中間機的自動轉發功能，本實施例中 增加定時延轉發的功能，當中間機接收完傳入的第一數據包後，中間機就會開始計時。若在 預設時長內未從外網終端接收到數據，中間機就向網線開關發送控制指令，使網線開關的 開關從外網網線處撥向到內網網線處，使該網線開關與內網網線連接，將網絡連接切換到 內網連接。此時中間機就與內網連接，通過內網連接將數據包發送給內網伺服器。若在等 待期間有數據傳入則停止計時。在接收完畢數據後又重新開始計時，並重複上面的過程。 [003引由於本實施例中間機接收到的第一數據包是由外網終端通過NDIS中間層驅動加 密變換得到的，為了向內網伺服器發送待傳數據包，中間機需要對第一數據包進行解密。具 體地，中間機中安裝有NDIS中間層驅動，通過該NDIS中間層驅動對第一數據包進行對稱解 密得到待傳數據包。
[0039] 進一步地，在對第一數據包進行解密後，中間機可W將由外網終端發送進來的待 傳數據包發送給內網伺服器。在中間機發送完畢待傳數據包後，可W再向網線開關發送一 個控制指令，將網線開關回切到外網網線上。為了降低丟包率、考慮發送時延W及內部接收 模塊的性能，本實施例中，將中間機向內網伺服器發送數據的速度設置為3(K)k/s。
[0040] 在網線開關切換到內網後，中間機就可W通過內網連接向內網伺服器發送待傳數 據包。本實施例中，內網伺服器中未安裝中間層驅動，如NDIS中間層驅動，當內網伺服器向 中間機發送數據包時，由於內網伺服器未對數據包進行中間層驅動的加密，當數據包到達 中間機之後，中間機採用中間層驅動對數據包進行解密，導致從內網伺服器處接收到的數 據包混亂，中間機就不能向外網終端傳輸內網的數據，保證了數據的單向性及安全性。
[0041] 本實施例提供的數據單向傳輸方法，通過外網終端從外網下載待傳數據包，通過 中間層驅動在數據鏈路層對所述待傳輸數據包加密變換得到第一數據包，並將所述第一數 據包發送給中間機，在接收完所述第一數據包後，所述中間機控制將網絡連接從外網連接 切換至內網連接，並採用所述中間層驅動對所述第一數據包進行解密得到所述待傳數據 包，通過所述內網連接將所述待傳數據發給內網伺服器。本實施例中在中間機接收完外網 數據包後將網絡從外網切換到內網中，使得實現了從外網向內網傳輸數據，並且在外網終 端和中間機中分別裝有中間層驅動，而並未在內網伺服器中安裝中間層驅動，使得內網服 務器向中間機發送的數據不能被傳輸，從而保證了數據從外網向內網傳輸的單向性，而且 在該單向傳輸過程中通過中間層驅動對數據包進行對稱加密，保證了數據的安全性。
[004引 實施例二
[0043] 圖2為本發明實施例二提供的一種數據單向傳輸方法的流程示意圖。在上述實施 例一的基礎之上，外網終端向中間機傳輸數據包的過程包括W下步驟：
[0044] 10 la、外網終端獲取待傳數據包。
[0045] 10化、外網終端分配包描述符mypacket。
[0046] 101c、外網終端分配內存 pPacketContent。
[0047] lOld、外網終端將待傳數據包存入pPacketContent。
[0048] lOle、外網終端檢測待傳數據包是否為地址解析協議ARP包。
[0049] 如果判斷結果為是，執行步驟lOli，否則，執行步驟lOlf。
[0050] low、外網終端檢測待傳數據包是否為IP包。
[0051] 如果判斷結果為是，執行步驟lOlg，否則，執行步驟101a。
[0052] lOlg、外網終端判斷是否需要對待傳數據包進行NDIS加密。
[0053] 如果判斷結果為是，執行步驟10比，否則，執行步驟lOli。
[0054] 10比、外網終端採用NDIS對待傳數據包加密得到第一數據包。
[00巧]lOli、外網終端分配緩衝區myBuffer。
[0056] lOli、外網終端將mypacket鏈入第一數據包。
[0057] 101k、外網終端將第一數據包發送給中間機。
[0058] 具體地，微軟在完全集成的驅動程序開發系統(Windows Driver Kit,簡稱WDK)中 提供了一個中間層驅動原始碼範例化sst虹U。化sst虹U提供了中間層驅動程序的總體框 架。它工作在網絡層和媒體接入控制層之間，實現了對網絡數據包的底層截獲，不過其只是 插入到網卡和上層協議中間，未做任何工作。本實施例中，在化sst虹U基礎上進行了修改， 採取包截獲重構造的方式W實現數據包的發送加密。
[0059] 在化ive巧ntry初始化函數中初始化了位於中間層驅動上邊界的Minipcxrt設備， 並向NDIS庫註冊了一組MinipodXxx函數指針。在驅動中註冊MPSendPackets函數。待 傳數據包在進入網卡前，會直接被MPSendPackets截獲，通過該個函數對待傳數據包進行 重構。
[0060] 首先調用NdisDprAllocatePacket函數分配包描述符My化cket。若分配成功， 則調用NdisAllocateMemoryWithTag分配內存pPacketContent用來存放原待傳數據包的 內容。調用NdisZeroMemoir將分配的內存空間清零。然後用NdisQueryPacket查詢原待 傳數據包的信息；Packe為內存中的物理塊數，BufferCount為有多少個NDIS_BUFFER包， NdisBuffer為返回的第一個包，Total化cketLength為總共的包數據的長度。再循環調 用NdisQueryBufferSafe函數和NdisMoveMemoiT函數遍歷包緩衝區同時將包中的數據 複製到pPacketContent中。在取得原待傳數據包的全部數據後對包中數據進行檢測，若 pPacketContent[12] = = 8&&P化cketContent[13] = = 6 則待傳數據包是，將該 ARP 包 直接發送給外網終端分配的緩衝區myBuffer中。在判斷出待傳數據包不是ARP包後，若 pPacketContent [12] == 8&&P化cketContent [13] == 0,則外網終端可 W判斷待傳數據 包為IP包。進一步地，外網終端判斷上層應用程式是否設置為加密，若加密則執行如下代 碼。其中如下代碼採用C#語言編寫，本領域技術人員應該知道此處僅為示例，程式語言不 能作為限制本發明的條件。
[0061]

【權利要求】
1. 一種數據單向傳輸方法，其特徵在於，包括： 外網終端從外網下載待傳數據包，通過中間層驅動在數據鏈路層對所述待傳輸數據包 進行加密變換得到第一數據包，並通過外網連接將所述第一數據包發送給中間機； 所述中間機接收所述第一數據包後，將網絡連接從外網連接切換至內網連接，並採用 所述中間層驅動對所述第一數據包進行解密得到所述待傳數據包，通過所述內網連接將所 述待傳數據包轉發給內網伺服器。
2. 根據權利要求1所述的數據單向傳輸方法，其特徵在於，所述外網終端通過中間層 驅動在數據鏈路層對所述待傳數據包進行加密變換得到第一數據包之前，還包括： 所述外網終端對所述待傳數據包進行高級加密標準AES加密； 所述中間機通過所述內網連接將所述待傳數據包轉發給內網伺服器之後，還包括： 所述內網伺服器對所述待傳數據包進行AES混亂解密。
3. 根據權利要求2所述的數據單向傳輸方法，其特徵在於，所述外網終端從外網下載 待傳數據包之後，還包括： 所述外網終端獲取當前運行的硬碟的序列號； 所述外網終端通過所述序列號判斷自身的運行環境是否安全； 如果判斷結果為否，所述外網終端停止運行。
4. 根據權利要求3所述的數據單向傳輸方法，其特徵在於，所述中間機在接收完所述 第一數據後，將網絡連接從外網連接切換至內網連接，包括： 如果在預設時長內未從所述外網終端接收到數據，所述中間機判斷所述第一數據包接 收完成； 所述中間機向網線開關發送控制指令，指示所述網線開關從所述外網連接切換到所述 內網連接。
5. 根據權利要求1-4任一項所述的數據單向傳輸方法，其特徵在於，所述外網終端通 過外網連接將所述第一數據包發送給中間機，包括： 所述外網終端將所述第一數據包進行分組和編號； 所述外網終端通過外網連接將所述第一數據包的分組按照所述編號的順序發送給所 述中間機； 所述中間機在接收完所有分組後按照所述編號將分組進行組合得到所述第一數據包。
6. 根據權利要求1-4任一項所述的數據單向傳輸方法，其特徵在於，所述中間機控制 將網絡連接從外網連接切換至內網連接之前，還包括： 所述中間機獲取正在運行的進程，將所述正在運行的進程與預存白名單中可信進程比 較； 如果所述可信進程不包括所述正在運行的進程，所述中間機將停止運行所述正在運行 的進程。
7. 根據權利要求3所述的數據單向傳輸方法，其特徵在於，所述外網終端通過所述序 列號判斷自身的運行環境是否安全，包括： 所述外網終端獲取所述序列號的消息摘要算法MD5值； 所述外網終端將所述MD5值與預存的授權的硬碟序列號的MD5值進行比較； 如果所述MD5值與所有授權的硬碟序列號的MD5值均不相同，所述外網終端判定自身 的運行環境不安全。
8. 根據權利要求1-4任一項所述的數據單向傳輸方法，其特徵在於，所述中間機通過 所述內網連接將所述待傳數據包轉發給內網伺服器之後，包括： 所述中間機將網絡連接從內網連接回切至外網連接。
9. 一種數據單向傳輸系統，其特徵在於，包括： 外網終端，用於從外網下載待傳數據包，通過中間層驅動在數據鏈路層對所述待傳輸 數據包進行加密變換得到第一數據包，並通過外網連接將所述第一數據包發送給中間機； 所述中間機，用於接收所述第一數據包，在接收完所述第一數據包後，將網絡連接從外 網連接切換至內網連接，並採用所述中間層驅動對所述第一數據包進行解密得到所述待傳 數據包，通過所述內網連接將所述待傳數據包轉發給內網伺服器； 所述內網伺服器，用於接收所述中間機通過所述內網連接發送的所述待傳數據包。
10. 根據權利要求9所述的數據單向傳輸系統，其特徵在於， 所述外網終端包括： 下載模塊，用於從外網下載待傳數據包； 加密模塊，用於通過中間層驅動在數據鏈路層對所述待傳輸數據包進行加密變換得到 第一數據包； 發送模塊，用於通過外網連接將所述第一數據包發送給中間機； 所述中間機包括： 第一接收模塊，用於接收所述發送模塊發送的所述第一數據包； 切換模塊，用於在接收完所述第一數據包後，將網絡連接從外網連接切換至內網連 接； 解密模塊，用於採用所述中間層驅動對所述第一數據包進行解密得到所述待傳數據 包； 轉發模塊，用於通過所述內網連接將所述待傳數據包轉發給內網伺服器。 所述內網伺服器包括： 第二接收模塊，用於接收所述轉發模塊通過所述內網連接發送的所述待傳數據包。
11. 根據權利要求10所述的數據單向傳輸系統，其特徵在於，所述加密模塊，還用於在 通過中間層驅動在數據鏈路層對所述待傳數據包進行加密變換得到第一數據包之前，對所 述待傳數據包進行高級加密標準AES加密； 所述內網伺服器還包括：AES解密模塊，用於對從所述轉發模塊接收到的所述待傳數 據包進行AES混亂解密。
12. 根據權利要求11所述的數據單向傳輸系統，其特徵在於，所述外網終端還包括：第 一驗證模塊，用於在從外網下載待傳數據包之後，獲取當前運行的硬碟的序列號，通過所述 序列號判斷自身的運行環境是否安全，如果判斷結果為否，停止運行所述外網終端。
13. 根據權利要求12所述的數據單向傳輸系統，其特徵在於，所述中間機還包括：網線 開關，用於根據所述切換模塊發送的控制指令在外網和內網之間切換； 所述切換模塊，具體用於如果在預設時長內未從所述外網終端接收到數據，判斷所述 第一數據包接收完成，向所述網線開關發送控制指令，指示所述網線開關從所述外網連接 切換到所述內網連接。
14. 根據權利要求10-13任一項所述的數據單向傳輸系統，其特徵在於，所述發送模 塊，具體用於將所述第一數據包進行分組和編號，通過外網連接將所述第一數據包的分組 按照所述編號的順序發送給所述第一接收模塊； 所述第一接收模塊，還用於在接收完所有分組後按照所述編號將分組進行組合得到所 述第一數據包。
15. 根據權利要求10-13任一項所述的數據單向傳輸系統，其特徵在於，所述中間機還 包括：第二驗證模塊，用於在所述切換模塊控制將網絡連接從外網連接切換至內網連接之 前，獲取正在運行的進程，將所述正在運行的進程與預存白名單中可信進程比較，如果所述 可信進程不包括所述正在運行的進程，則停止運行所述正在運行的進程。
16. 根據權利要求12所述的數據單向傳輸系統，其特徵在於，所述第一驗證模塊，具體 用於獲取所述序列號的消息摘要算法MD5值，將所述MD5值與預存的授權的硬碟序列號的 MD5值進行比較，如果所述MD5值與所有授權的硬碟序列號的MD5值均不相同，判定自身的 運行環境不安全。
17. 根據權利要求10-13任一項所述的數據單向傳輸系統，其特徵在於，所述切換模 塊，還用於在所述轉發模塊通過所述內網連接將所述待傳數據包發給內網伺服器之後，將 網絡連接從內網連接回切至外網連接。
【文檔編號】H04L29/06GK104486289SQ201410601381
【公開日】2015年4月1日 申請日期:2014年10月30日 優先權日:2014年10月30日
【發明者】寇廣, 湯光明, 孫怡峰, 常朝穩, 和志鴻, 韋大偉, 張玉臣, 胡志強, 王碩, 林楠, 閆少閣, 吳果 申請人:中國人民解放軍信息工程大學