一种密码安全网关、系统及使用方法技术方案

本发明专利技术公开了一种密码安全网关、系统及使用方法，所述密码安全网关包括接口模块、网络协议处理模块和密码安全模块，所述接口模块包括至少一个USB接口和两个以太网接口，用于与终端设备相连；所述网络协议处理模块包括TCP/IP协议和SSL协议；所述密码安全模块包括加密算法，与所述网络协议处理模块共同建立基于SSL协议安全管理通道和安全通信通道；所述安全管理通道接收并处理外部管理实体发出的管理命令，并控制安全通信通道的建立和关闭；所述安全通信通道用于实现终端设备与后台业务机的数据传输和控制。本发明专利技术能够为工业终端设备提供完备的密码安全功能。备提供完备的密码安全功能。备提供完备的密码安全功能。

【技术实现步骤摘要】
一种密码安全网关、系统及使用方法


[0001]本专利技术具体涉及一种密码安全网关、系统及使用方法。

技术介绍

[0002]随着工业系统智能化、联网化发展，针对工业系统的安全攻击快速增长。工业系统的安全攻击会损坏设备、造成人员、环境危害，亟待建立安全防护体系。密码算法是信息安全的核心，利用密码技术对工业系统进行安全防护，能够为工业系统建立内生、完备的安全防护。工业终端设备是工业系统的边界节点，具有计算资源少、系统紧凑、功能封闭的特点。在工业终端设备实现密码安全防护，一种方法是在设备内部集成密码安全功能，但需要对设备进行彻底改造，代价高，而且不适用于已部署工业终端；一种是在设备外部前置IPSec等嵌入式VPN设备，但VPN只能提供通道加密，功能有限，无法实现如系统更新安全、关键命令安全等密码安全功能。
[0003]工业系统包括现场执行设备、现场控制设备和工程师站/操作员站等业务上位机，这三类设备的资源、技术体系不同，所以相应的安全防护方法也不同。安全防护方法包括了地址过滤、流程控制、VPN等常规网络边界防护方法，但这些方法基于逻辑控制机制，严密性和完备性不足，容易被破解。密码是信息安全的基因，我国已经形成了SM系列密码算法(SM2/SM3/SM4)，能够重构并形成科学严谨的信息安全技术体系。
[0004]工业终端设备包括了现场执行设备和现场控制设备，是工业系统的边界节点，具有计算资源少、系统紧凑、功能封闭的特点。在工业终端设备实现密码安全防护，一种方法是在设备内部集成密码安全功能，但需要对设备进行彻底改造，代价高，而且不适用于已部署工业终端；一种是在设备外部前置IPSec/SSL等嵌入式VPN设备，但VPN只能提供通道加密，功能有限，针对所有数据的保护机制都是一样的，功能有限，无法针对如系统更新、关键操作命令等，提供增强的密码安全功能。
[0005]在工业终端设备外部前置IPSec/SSL等嵌入式VPN设备的方案中，工业终端设备通过接口和VPN设备相连，工业终端设备封闭其他接口，工业终端设备的对外通信都需要先通过VPN设备转发。VPN设备通常两个组成一对，记为A端和B端，A端和B端之间形成数据的通信通道保护。具体步骤如下：
[0006](1)A端和B端的VPN设备中预置密钥、IP地址和端口；A端前置到工业终端设备前面，作为通信客户端；B端设备部署到通信后台，作为通信服务端；
[0007](2)A端设备上电后，根据预置的B端设备的IP地址和端口，连接到B端，建立IPsec层或SSL的安全通道；
[0008](3)发往工业终端设备的数据，经过B端设备时，由B端设备在IP层或TCP层加密后，然后发送到A端；
[0009](4)A端设备收到密码保护的数据，解密后转发给工业终端设备；
[0010](5)工业终端设备发往后台的数据，经过A端设备时，由A端设备在IP层或TCP层加密后，然后发送到B端；
[0011](6)B端设备收到密码保护的数据，解密后转发给业务后台。
[0012]现有工业终端设备的外置安全防护，采用前置IPSec/SSL等嵌入式VPN设备的方案，由于VPN只能提供通信通道加密保护，针对所有数据的保护机制都是一样的，功能有限，无法针对如系统更新、关键操作命令等，提供增强的密码安全功能。另外，现有IPSec/SSL等嵌入式VPN设备，使用了RSA、AES等国外的算法，不符合我国密码算法应用的规定。

技术实现思路

[0013]针对上述问题，本专利技术提出一种密码安全网关、系统及使用方法，能够为工业终端设备提供完备的密码安全功能。
[0014]为了实现上述技术目的，达到上述技术效果，本专利技术通过以下技术方案实现：
[0015]第一方面，本专利技术提供了一种密码安全网关，包括：
[0016]接口模块，包括至少一个USB接口和两个以太网接口，用于与终端设备相连；
[0017]网络协议处理模块，包括TCP/IP协议和SSL协议；
[0018]密码安全模块，包括加密算法，与所述网络协议处理模块共同建立基于SSL协议安全管理通道和安全通信通道；所述安全管理通道接收并处理外部管理实体发出的管理命令，并控制安全通信通道的建立和关闭；所述安全通信通道用于实现终端设备与后台业务机的数据传输和控制。
[0019]可选地，所述安全管理通道和安全通信通道均是基于网络协议处理模块中预先设定的IP地址和端口，以及密码安全模块中的加密算法建立获得。
[0020]可选地，所述安全管理通道用于连接到指定的外部管理实体，接收外部管理实体发送的管理命令，下发控制命令至安全通信通道，控制安全通信通道的建立和关闭。
[0021]可选地，所述安全通信通道由安全管理通道控制建立和关闭，用于连接工业终端设备和后台业务，建立网络连接，并传输数据。
[0022]可选地，所述安全管理通道和安全通信通道使用不同的密钥。
[0023]可选地，所述加密算法为SM系列国密算法。
[0024]第二方面，本专利技术提供了一种密码安全系统，包括：
[0025]第一方面中任一项所述的密码安全网关；
[0026]外部管理实体，与所述密码安全网关相连，向所述密码安全网关发送管理命令；
[0027]后台业务机和终端设备，二者均与所述密码安全网关相连，所述密码安全网关基于接受到的管理命令控制后台业务机与终端设备之间的数据传输及控制。
[0028]可选地，所述后台业务机将管理命令及其附属数据发给外部管理实体；
[0029]所述外部管理实体对接收到的数据进行预处理，并构造一个操作授权Token；所述操作授权Token是一个签名值，由{命令ID，数据包Hash值}作为输入字段，使用外部管理实体的私钥计算获得；
[0030]所述外部管理实体通过安全管理通道下发操作授权Token到密码安全模块，密码安全模块使用预置的外部管理实体的公钥验证授权Token，通过后准备接收后续数据包，否则返回失败；
[0031]所述外部管理实体通过安全管理通道下发数据包到所述密码安全模块，所述密码安全模块计算数据包的Hash值，并对数据包中的签名进行验证，通过后，从数据包中恢复出
管理命令及其附属数据；
[0032]所述密码安全网关将恢复出的管理命令及其附属数据，转发给终端设备；
[0033]所述终端设备执行接收到的管理命令，完成后台业务机对终端设备控制。
[0034]第三方面，本专利技术提供了一种第一方面中任一项所述的密码安全网关的使用方法，其特征在于，包括：
[0035]利用所述接口模块与终端设备相连；
[0036]利用所述密码安全模块与网络协议处理模块共同建立基于SSL协议安全管理通道和安全通信通道；
[0037]利用所述安全管理通道接收并处理外部管理实体发出的管理命令，并控制安全通信通道的建立和关闭；
[0038]利用所述安全通信通道实现终端设备与后台业务机的数据传输和控制。<本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种密码安全网关，其特征在于，包括：接口模块，包括至少一个USB接口和两个以太网接口，用于与终端设备相连；网络协议处理模块，包括TCP/IP协议和SSL协议；密码安全模块，包括加密算法，与所述网络协议处理模块共同建立基于SSL协议安全管理通道和安全通信通道；所述安全管理通道接收并处理外部管理实体发出的管理命令，并控制安全通信通道的建立和关闭；所述安全通信通道用于实现终端设备与后台业务机的数据传输和控制。2.根据权利要求1所述的一种密码安全网关，其特征在于：所述安全管理通道和安全通信通道均是基于网络协议处理模块中预先设定的IP地址和端口，以及密码安全模块中的加密算法建立获得。3.根据权利要求1所述的一种密码安全网关，其特征在于：所述安全管理通道用于连接到指定的外部管理实体，接收外部管理实体发送的管理命令，下发控制命令至安全通信通道，控制安全通信通道的建立和关闭。4.根据权利要求1所述的一种密码安全网关，其特征在于：所述安全通信通道由安全管理通道控制建立和关闭，用于连接工业终端设备和后台业务，建立网络连接，并传输数据。5.根据权利要求1所述的一种密码安全网关，其特征在于：所述安全管理通道和安全通信通道使用不同的密钥。6.根据权利要求1所述的一种密码安全网关，其特征在于：所述加密算法为SM系列国密算法。7.一种密码安全系统，其特征在于，包括：权利要求1
‑
6中任一项所述的密码安全网关；外部管理实体，与所述密码安全网关相连，向所述密码安全网关发送管理命令；后台...

【专利技术属性】
技术研发人员：江楠，刘雪梅，汤敏杰，田叶，兰先登，
申请(专利权)人：南京华盾电力信息安全测评有限公司，
类型：发明
国别省市：