信息在不同网络间单向传输的方法技术

本发明专利技术公开一种基于硬件实现信息在不同网络间单向传输的方法，包括收集服务和单向传输装置，其中单向传输装置包括发送装置、接收装置和连接装置，连接装置把发送装置和所述接收装置单向连接起来；发送装置接入了信息源所在的网络，所述接收装置接入了信息需要流入的网络；在用户进行单向信息传输时，将欲传输的信息发送给所述收集服务；所述收集服务将收到的欲传输信息交给所述发送装置发送；所述发送装置经过所述连接装置，将来自所述收集服务的欲传输信息发送给所述接收装置。为防止无确认的单向传输机制造成信息丢失，本发明专利技术还公开了一种防止信息丢失的流量整形算法和一种使用专用硬件传递确认信息的方法。

【技术实现步骤摘要】

本专利技术涉及网络安全领域，特别涉及一种从硬件上保证信息只能在不同网络间单向传输的方法。
技术介绍
—些对安全有要求的组织经常需要在不同安全等级的网络间进行单向信息传输，比如组织内人员从互联网上下载资料，并存放到内部网使用，或组织外人员将交流文档上传到组织的内部局域网。当前一般采取一次性刻录光盘的方式实现此种单向信息传输，但这给用户带来了很大的不便，且长期而言，光盘的消耗成本很高。还有一些方法通过可信的软件系统来实现信息的单向传输。比如设置一个同时连接内部网和互联网的主机，用户将待单向传输信息发送给此主机，由此主机再将此待传输信息发送到内部网上。这种方式的缺点是:当该主机不可信(如遭受到攻击，或者软件系统本身就不可信)时，内部网的信息就可能通过此主机传输到互联网上。
技术实现思路
针对以上问题，本专利技术提出一种利用单向传输硬件实现，从而无需假设相关软件的可信性，也能保证信息传输的单向性。本专利技术提出一种实现，包括收集服务和单向传输装置，其中所述单向传输装置包括发送装置、接收装置和连接装置，其特征在于，(I)所述连接装置将所述发送装置和所述接收装置连接起来；(2)所述发送装置在物理上不具备从所述连接装置接收数据的能力，或所述接收装置在物理上不具备通过所述连接装置发送数据的能力，或所述连接装置从硬件上不支持将所述接收装置上的信息发送给所述发送装置；(3)所述发送装置接入了信息源所在的网络，所述接收装置接入了信息需要流入的网络；(4)在用户进行单向信息传输时，将欲传输的信息发送给所述收集服务；(5)所述收集服务将收到的欲传输信息交给所述发送装置发送；(6)所述发送装置经过所述连接装置，将来自所述收集服务的欲传输信息发送给所述接收装置。由于所述单向传输装置的数据处理带宽有限，当其输入带宽高于其能处理的带宽时，所述收集服务可能无法立刻满足用户的某些数据单向传输请求。此时所述收集服务可以选择拒绝或推迟响应部分数据单向传输请求(此时会造成用户必须反复尝试提交待传输信息，或者等待所述收集服务认可了数据单向传输请求)，也可以选择先将待单向传输的信息缓冲在存储设备中，并报告用户传输请求已经被认可，然后在所述单向传输装置空闲时，再传输缓冲在存储设备中的待单向传输信息。在本专利技术中，可以有多种方法实现对待单向传输信息的缓冲，比如:方法1:以用户不可见的方式缓冲待单向传输信息所述收集服务包含存储模块、接收子服务、发送子服务；所述接收子服务接收来自于网络的、发送给所述收集服务的信息，并将这些信息写入所述存储模块；所述发送子服务从所述存储模块获取待传输信息，并将这些信息交给所述发送模块发送。此时，所述发送子服务可以采取轮询的方式获知所述存储模块中新放入了待传输的信息，也可以采取“所述接收子服务唤醒”的方式获知所述存储模块中新放入了待传输的?目息O方法2:要求用户主动缓冲待单向传输信息所述收集服务包括存储子服务和发送子服务；用户直接将待单向传输的信息发送给此存储子服务，由此存储子服务进行待单向传输信息的缓冲；所述发送子服务从所述存储子服务获得待传输信息，并将这些信息交给所述发送模块发送。此时，所述发送子服务可以采用如下任意一种方式获知有新的待传输信息:a)轮询所述存储子服务；b)所述存储子服务在缓冲了信息后，通知所述发送子服务；c)用户在确认所述存储子服务完成数据缓冲后，通知所述发送子服务。当所述发送装置的数据输出带宽高于所述接收装置所能处理的最大数据输入带宽时，可能会发生“所述发送装置发送了信息、但所述接收装置并未能成功处理该信息、并造成数据丢失”的情况。本专利技术提出两种方法解决此问题。方法1:采用“流量整形算法”(或流量限制算法)限制数据输出带宽此时，先测试所述单向传输装置在目标应用场景下、数据传输带宽的最大稳态值，以此值为基础，决定所述收集服务所实际使用的最大单向数据传输带宽。所述收集服务采取流量整形算法(如漏桶算法)来防止所述接收装置因输入数据带宽过大而丢失数据。方法2:采用“停止等待协议”限制数据输出带宽此时，本方法包含一个反馈装置。有两种方式运行此“停止等待协议”:方式a 停止等待协议”涉及的两个对等实体是所述发送装置和所述接收装置此方式中，所述发送装置可访问所述反馈装置的输出端，所述接收装置可访问所述反馈装置的输入端；当所述接收装置完成一次数据接收后，向所述反馈装置的输入端发送“接收完成”信号；所述发送装置在获知所述反馈装置指示“已收到所述接收装置发出的接收完成信号”后，认为上一次启动的信息传输操作已完成。方式b 停止等待协议”涉及的两个对等实体是所述接收装置和所述收集服务此方式中，所述收集服务可访问所述反馈装置的输出端，所述接收模块可访问所述反馈装置的输入端；当所述接收装置完成一次数据接收后，向所述反馈装置的输入端发送“接收完成”信号；所述收集服务在获知所述反馈装置指示“已收到所述接收装置发出的接收完成信号”后，认为上一次启动的信息传输操作已完成。无论是方式a还是方式b，在实现上，都可以基于串口通信协议来实现所述反馈装置。此时，所述反馈装置包含串口发送模块、串口接收模块和连接所述串口发送模块与所述串口接收模块的串口连接线；所述串口发送模块的输入为所述反馈装置的输入端；所述串口接收模块的输出为所述反馈装置的输出端。更简单地，无论是方式a还是方式b，所述反馈装置也可以用一根(或两根一一当采用差分方式传递信息时)电平线实现。当所述收集服务(当所述收集服务监测所述反馈装置的状态时)或所述发送装置(当所述发送装置监测所述反馈装置的状态时)监测到电平线的电位由高电位改为低电位、或由低电位改为高电位，就认为所述反馈装置指示“已收到所述接收装置发出的接收完成信号”。最后，有三种方法来构建本专利技术所述的单向传输装置:方法1:去除不必要的数据传输通路此方法可用于基于RS-422协议、SPI协议、以太网、光纤网等传统上通信双方之间存在发送和接收两条信息传送通路的场合。方法I通过去除一个信息传送通路，来实现信息只能单向流动。以基于RS-422协议构建的单向传输装置为例来说明，此时所述发送装置和所述接收装置可以均实现了 RS-422的相关协议，但连接所述发送装置和所述接收装置之间的信号线只包含发送通道和接收通道之一。方法2:去除或禁用相关数据传送功能模块可以采取定制硬件(如FPGA)来构建所述发送装置，使得所述发送装置不具备信息接收功能，或者采取定制硬件GnFPGA)来构建所述接收装置，使得所述接收装置不具备信息发送功能。还可以采取通过对所述发送装置或所述接收装置在硬件上配置的方式，禁止这些装置上的软件启用不必要的功能。方法3:在数据传输通路上增添数据流过滤器还有一种方式是在传统的双工通信链路中添加上过滤硬件，并通过此过滤硬件保证此双工通信链路上只能单向传输信息，比如在USB连接线上加入具有识别USB请求的过滤器，由这个过滤器来保证不符合信息流动方向要求的USB请求不会被对方收到。本专利技术所述方法的最大优点是:无需假设发送装置上的软件和接收装置上的软件是可信的，从而具有最大限度的安全性保证。【附图说明】图1为采用本专利技术实施方式I与变种4的结合时，单向传输装置的组成结构图。当处理器中具有持久存储和临时存储能力时，可以没有图中虚线指示的R本文档来自技高网...

【技术保护点】
一种实现信息在不同网络间单向传输的方法，包括收集服务和单向传输装置，其中所述单向传输装置包括发送装置、接收装置和连接装置，其特征在于，(1)所述连接装置将所述发送装置和所述接收装置连接起来；(2)所述发送装置在物理上不具备从所述连接装置接收数据的能力，或所述接收装置在物理上不具备通过所述连接装置发送数据的能力，或所述连接装置从硬件上不支持将所述接收装置上的信息发送给所述发送装置；(3)所述发送装置接入了信息源所在的网络，所述接收装置接入了信息需要流入的网络；(4)在用户进行单向信息传输时，将欲传输的信息发送给所述收集服务；(5)所述收集服务将收到的欲传输信息交给所述发送装置发送；(6)所述发送装置经过所述连接装置，将来自所述收集服务的欲传输信息发送给所述接收装置。

【技术特征摘要】

【专利技术属性】
技术研发人员：刘晓建，
申请(专利权)人：刘晓建，
类型：发明
国别省市：湖南;43