一种基于双单向隔离网闸的边界访问控制方法技术

本发明专利技术公开了一种基于双单向隔离网闸的边界访问控制方法，本发明专利技术采用了基于双单向隔离网闸的边界访问控制模式来实现信息的双向交换，通过保证两条单向传输通道的独立、隔离来控制高密级信息不会由高等级安全域流向低等级安全域，并有效屏蔽了基于双向网络协议的恶意攻击，提高了安全域边界的防护能力；通过加入信息源的身份可信认证和数据加密技术，引入了信息发送源的身份认证信息，并通过身份信息对传输的应用数据进行加密，只有判断信息的来源可信后，才能对应用数据进行还原处理，如果信息源的身份可信认证未通过，则不会解密相关数据，在应用层面加入可信认证、内容检测等安全机制提高了安全域间信息传输的可信性和保密性，提高了系统的抗风险能力。

【技术实现步骤摘要】
一种基于双单向隔离网闸的边界访问控制方法
本专利技术涉及一种基于双单向隔离网闸的边界访问控制方法，属于光单向隔离技术和信息源的身份可信验证
，光单向隔离技术主要用于不同等级安全域之间的边界隔离防护和信息单向传输，而在光单向隔离技术中引入信息源的身份可信验证技术主要用于安全域间数据的可信交换。
技术介绍
面对信息化的迅速发展和日益猖獗的网络攻击发展态势，如何解决网络的安全隔离与数据的安全交换，已成为普遍关心的问题。为满足日益增长的网络安全需求，安全厂商不断发布新产品和研发新技术，先后诞生了防火墙、双向隔离网闸和光单向隔离网闸等网络边界防护产品。光单向隔离网闸采用了光单向性的传输技术，提供了无数据信息反馈信号的单向数据通道，光单向隔离网闸能够保证信息的单向传输。由于涉密信息系统的保密要求中，要求高密级网络中的高密级数据不能流向低密级网络，但低密级网络的低密级数据可以流向高密级网络，对数据单向流动提出要求。对于此类场景，光单向隔离网闸能够完全满足要求，但是在现实生活中，许多可信网络与不可信网络之间均存在着信息双向交互的应用需求，如何在保证信息保密性的前提下，满足信息的双向可信交换？目前对于不同安全域之间隔离防护措施主要有采用防火墙和采用双向隔离网闸方式。就协议而言，防火墙采用通用的TCP/IP协议，能增强内部网络的安全性，通过双向最小授权原则可加强网络边界的安全防护，但防火墙安全策略配置有误或防火墙设备本身存在漏洞，将可能导致内部网络边界从外部被突破，整个内部网络将受到威胁；再者，防火墙是基于软件的逻辑隔离，对于黑客和内部用户而言是可能被操纵的，无法满足政府、军工企业等重要部门和敏感单位对数据安全的要求。而双向隔离网闸采用私有协议进行数据传输，能够抵御基于协议的攻击，提高了网络的安全性，双向隔离网闸的重点是完全割断内外网之间网络协议的直接连通，采用裸数据转发机制，保护内部网络和主机的安全，但是双向隔离网闸只有一条信息传输通道，且允许信息的双向流动，只要存在信息传输，就存在创建隐蔽通道的可能性。
技术实现思路
本专利技术解决问题的是：克服现有技术的不足，提供了一种基于双单向隔离网闸的边界访问控制方法，克服了现有边界控制模式下不同等级安全域之间互联产生的安全问题，本专利技术能够屏蔽基于双向协议的网络攻击行为，并建立了不同安全域之间信息传输的互信机制，保障了安全域之间信息交换的安全可靠性。本专利技术的技术解决方案是：一种基于双单向隔离网闸的边界访问控制方法，步骤如下：（A）建立由应用服务器A、同步服务器B、认证服务器S1、票据授权服务器T1、应用服务器B、同步服务器A、认证服务器S2、票据授权服务器T2和两个单向隔离网闸组成的边界访问控制系统，其中应用服务器A、同步服务器B、认证服务器S1和票据授权服务器T1组成不可信安全域，应用服务器B、同步服务器A、认证服务器S2和票据授权服务器T2组成可信安全域，不可信安全域与可信安全域之间通过两个单向隔离网闸相连接；（B）当外到内单向隔离网闸的外端机检测到不可信安全域有数据发送请求时，具体的控制方法为：（1）外到内单向隔离网闸的外端机接收应用服务器A中的应用数据和身份信息；（2）外端机向认证服务器S1发送应用服务器A身份信息的认证请求；（3）认证服务器S1对身份信息的认证请求进行答复并向外端机返回会话密钥和信任凭证构成的认证信息；（4）外端机根据会话密钥和应用服务器A的身份信息生成应用服务器A的身份认证符，并利用应用服务器A的身份认证符和信任凭证对应用数据加密，外端机将应用服务器A的身份认证符、信任凭证和加密后的应用数据发送至内端机；（5）内端机将应用服务器A的身份认证符和信任凭证发送至票据授权服务器T2；（6）票据授权服务器T2先后解密信任凭证和应用服务器A的身份认证符，分别获得应用服务器A的身份信息，然后对从信任凭证和身份认证符中解密得到的身份信息进行比对验证，验证通过后，票据授权服务器T2向内端机反馈验证通过信息，如果验证未通过，内端机终止对应用数据的同步；（7）内端机利用应用服务器A的身份认证符和信任凭证对应用数据进行解密，内端机将解密后的应用数据发送至同步服务器A。（C）当内到外单向隔离网闸的外端机检测到可信安全域有数据发送请求时，具体的控制方法为：（8）内到外单向隔离网闸的外端机接收应用服务器B中的应用数据和身份信息；（9）外端机向认证服务器S2发送应用服务器B身份信息的认证请求；（10）认证服务器S2对身份信息的认证请求进行答复并向外端机返回会话密钥和信任凭证构成的认证信息；（11）外端机根据会话密钥和应用服务器B的身份信息生成应用服务器B的身份认证符，并利用应用服务器B的身份认证符和信任凭证对应用数据加密，外端机将应用服务器B的身份认证符、信任凭证和加密后的应用数据发送至内端机；（12）内端机将应用服务器B的身份认证符和信任凭证发送至票据授权服务器T1；（13）票据授权服务器T1先后解密信任凭证和应用服务器B的身份认证符，分别获得应用服务器B的身份信息，然后对从信任凭证和身份认证符中得到的身份信息进行比对验证，验证通过后，票据授权服务器T1向内端机反馈验证通过信息，如果验证未通过，内端机终止对应用数据的同步；（14）内端机利用应用服务器B的身份认证符和信任凭证对应用数据进行解密，内端机将解密后的应用数据发送至同步服务器B。所述外到内单向隔离网闸或内到外单向隔离网闸的工作过程如下：（1）当不可信安全域与可信安全域之间需要进行数据同步时，外到内单向隔离网闸或内到外单向隔离网闸外端机中的同步模块接收应用服务器的身份信息以及应用数据；（2）同步模块接收完应用数据和应用服务器的身份信息后，外端机的内容审查模块对应用数据进行安全检查，如果安全检查未通过，则终止信息交换，否则进入步骤（3）；（3）外端机的信任请求模块向认证服务器发送认证请求对应用服务器的身份信息进行认证，认证服务器针对应用服务器身份信息的认证请求进行答复并向信任请求模块返回会话密钥和信任凭证构成的认证信息；（4）信任请求模块向发送模块发送会话密钥和信任凭证，发送模块根据会话密钥和应用服务器的身份信息生成应用服务器的身份认证符，发送模块再利用应用服务器的身份认证符和信任凭证对应用数据进行加密；（5）发送模块将应用服务器的身份认证符、信任凭证和加密后的应用数据采用私有协议封装成静态文件同步至内端机；（6）内端机的接收模块将静态文件中应用服务器的身份认证符和信任凭证解析出来发送给内端机的验证模块；（7）内端机的验证模块将应用服务器的身份认证符和信任凭证发送给票据授权服务器，票据授权服务器先后解密信任凭证和应用服务器的身份认证符，分别获得应用服务器的身份信息，票据授权服务器对从信任凭证和身份认证符中解密得到的身份信息进行比对验证，若未通过验证，则终止信息交换，否则票据授权服务器向内端机的验证模块返回验证通过信息，然后进入步骤（8）；（8）内端机的数据处理模块根据应用服务器的身份认证符和信任凭证将应用数据进行解密；（9）内端机的同步模块将解密后的应用数据发送至同步服务器。本专利技术与现有技术相比的有益效果为：目前基于单向隔离网闸的信息传输方式缺少对发送方身份的可信认证，无法有效的对数据来源的可信程度进行甄别。本专利技术采本文档来自技高网...

【技术保护点】
一种基于双单向隔离网闸的边界访问控制方法，其特征在于步骤如下：（A）建立由应用服务器A、同步服务器B、认证服务器S1、票据授权服务器T1、应用服务器B、同步服务器A、认证服务器S2、票据授权服务器T2和两个单向隔离网闸组成的边界访问控制系统，其中应用服务器A、同步服务器B、认证服务器S1和票据授权服务器T1组成不可信安全域，应用服务器B、同步服务器A、认证服务器S2和票据授权服务器T2组成可信安全域，不可信安全域与可信安全域之间通过两个单向隔离网闸相连接；（B）当外到内单向隔离网闸的外端机检测到不可信安全域有数据发送请求时，具体的控制方法为：（1）外到内单向隔离网闸的外端机接收应用服务器A中的应用数据和身份信息；（2）外端机向认证服务器S1发送应用服务器A身份信息的认证请求；（3）认证服务器S1对身份信息的认证请求进行答复并向外端机返回会话密钥和信任凭证构成的认证信息；（4）外端机根据会话密钥和应用服务器A的身份信息生成应用服务器A的身份认证符，并利用应用服务器A的身份认证符和信任凭证对应用数据加密，外端机将应用服务器A的身份认证符、信任凭证和加密后的应用数据发送至内端机；（5）内端机将应用服务器A的身份认证符和信任凭证发送至票据授权服务器T2；（6）票据授权服务器T2先后解密信任凭证和应用服务器A的身份认证符，分别获得应用服务器A的身份信息，然后对从信任凭证和身份认证符中解密得到的身份信息进行比对验证，验证通过后，票据授权服务器T2向内端机反馈验证通过信息，如果验证未通过，内端机终止对应用数据的同步；（7）内端机利用应用服务器A的身份认证符和信任凭证对应用数据进行解密，内端机将解密后的应用数据发送至同步服务器A。（C）当内到外单向隔离网闸的外端机检测到可信安全域有数据发送请求时，具体的控制方法为：（8）内到外单向隔离网闸的外端机接收应用服务器B中的应用数据和身份信息；（9）外端机向认证服务器S2发送应用服务器B身份信息的认证请求；（10）认证服务器S2对身份信息的认证请求进行答复并向外端机返回会话密钥和信任凭证构成的认证信息；（11）外端机根据会话密钥和应用服务器B的身份信息生成应用服务器B的身份认证符，并利用应用服务器B的身份认证符和信任凭证对应用数据加密，外端机将应用服务器B的身份认证符、信任凭证和加密后的应用数据发送至内端机；（12）内端机将应用服务器B的身份认证符和信任凭证发送至票据授权服务器T1；（13）票据授权服务器T1先后解密信任凭证和应用服务器B的身份认证符，分别获得应用服务器B的身份信息，然后对从信任凭证和身份认证符中得到的身份信息进行比对验证，验证通过后，票据授权服务器T1向内端机反馈验证通过信息，如果验证未通过，内端机终止对应用数据的同步；（14）内端机利用应用服务器B的身份认证符和信任凭证对应用数据进行解密，内端机将解密后的应用数据发送至同步服务器B。...

【技术特征摘要】
1.一种基于双单向隔离网闸的边界访问控制方法，其特征在于步骤如下：(A)建立由应用服务器A、同步服务器B、认证服务器S1、票据授权服务器T1、应用服务器B、同步服务器A、认证服务器S2、票据授权服务器T2和两个单向隔离网闸组成的边界访问控制系统，其中应用服务器A、同步服务器B、认证服务器S1和票据授权服务器T1组成不可信安全域，应用服务器B、同步服务器A、认证服务器S2和票据授权服务器T2组成可信安全域，不可信安全域与可信安全域之间通过两个单向隔离网闸相连接；(B)当外到内单向隔离网闸的外端机检测到不可信安全域有数据发送请求时，具体的控制方法为：(1)外到内单向隔离网闸的外端机接收应用服务器A中的应用数据和身份信息；(2)外端机向认证服务器S1发送应用服务器A身份信息的认证请求；(3)认证服务器S1对身份信息的认证请求进行答复并向外端机返回会话密钥和信任凭证构成的认证信息，所述信任凭证包括应用服务器A的身份信息和会话密钥，且采用票据授权服务器TGS密钥对其进行加密，只有票据授权服务器TGS才能解密；(4)外端机根据会话密钥和应用服务器A的身份信息生成应用服务器A的身份认证符，并利用应用服务器A的身份认证符和信任凭证对应用数据加密，外端机将应用服务器A的身份认证符、信任凭证和加密后的应用数据发送至内端机；(5)内端机将应用服务器A的身份认证符和信任凭证发送至票据授权服务器T2；(6)票据授权服务器T2采用TGS密钥对信任凭证进行解密处理，得到会话密钥，再用会话密钥解密身份认证符得到应用服务器A的身份信息，然后对从信任凭证和身份认证符中解密得到的身份信息进行比对验证，验证通过后，票据授权服务器T2向内端机反馈验证通过信息，如果验证未通过，内端机终止对应用数据的同步；(7)内端机利用应用服务器A的身份认证符和信任凭证对应用数据进行解密，内端机将解密后的应用数据发送至同步服务器A；(C)当内到外单向隔离网闸的外端机检测到可信安全域有数据发送请求时，具体的控制方法为：(8)内到外单向隔离网闸的外端机接收应用服务器B中的应用数据和身份信息；(9)外端机向认证服务器S2发送应用服务器B身份信息的认证请求；(10)认证服务器S2对身份信息的认证请求进行答复并向外端机返回会话密钥和信任凭证构成的认证信息；所述信任凭证包括应用服务器B的身份信息和会话密钥，且采用票据授权服务器TGS密钥对其进行加密，只有票据授权服务器TGS才能解密；(11)外端机根据会话密钥和应用服务器B的身份信息生成应用服务器B的身...

【专利技术属性】
技术研发人员：张文涛，艾伟，赵斌，杨海，
申请(专利权)人：北京信息控制研究所，
类型：发明
国别省市：