CN103139058A - 一种物联网安全接入网关 - Google Patents

Abstract

本发明公开了一种物联网安全接入网关,该网关在硬件层采用2+1的三部件架构，即外主机、隔离交换部件、内主机；本发明采用基于硬件的FPGA卡作为隔离交换部件，实现网络的隔离和数据的安全、快速交换，并通过内、外主机上的软件层实现设备认证、访问控制、协议解析、数据安全检查、数据摆渡服务和审计服务，使得上述服务的行为可追溯；本发明的优点是能够满足物联网感知终端采集的数据安全导入到核心网内的相关要求，防止通过安全防护比较薄弱的感知层网络向核心网络发起网络攻击、木马病毒传播和拒绝服务攻击，保证了感知网络和核心网络在网络隔离的情况下，实现数据安全交换，在安全得到保障的前提下，满足物联网的实际应用。

Description

一种物联网安全接入网关

技术领域

本发明涉及一种物联网安全接入网关,属于网络信息交换与安全隔离技术领域。

背景技术

目前，传统的安全接入网关主要针对互联网、局域网中实现用户针对特定资源的信息交换、访问控制和行为审计；针对大型网络存在边界不清、安全风险高、纵深防御不足等问题，传统的防火墙等安全防护技术已难支撑，而网闸等设备又面临着成本高，难以适应传感层多协议设备的接入要求、工程实施复杂等问题。并且传统的网关大多是针对TCP协议、大数据包，不能针对小包进行优化的。而针对物联网感知数据多为UDP协议、64字节以下的小包居多的情况，功能单一的传统网关已无法进行相应处理。

目前，物联网的发展不可避免的伴生着物联网安全问题。物联网感知层的各种业务感知节点和汇聚设备组成感知网络；基于现有的通信网络进行数据传输的网络层和借助网络层进行通信、数据处理、应用的应用层组成核心网络。感知层网络由于其自身技术特点安全防护能力差，安全级别相对于核心网络来说相对较低。物联网安全问题中除了解决各层次中面临的问题以外，不同安全级别的网络之间在保障网络隔离的情况下，如何完成数据的安全交换也是当前存在的技术难题。

发明内容

本发明的目的在于提供一种能够克服上述技术问题的物联网安全接入网关，用于解决物联网中感知层网络与核心网络之间在网络隔离的情况下，实现业务数据和控制指令的安全交换。

本发明在保证网络隔离的情况下，实现物联网感知网络与核心网络之间的数据安全、快速交换，满足了物联网传感层安全接入的多协议复杂性要求，实现了物联网等大型复杂网络的安全边界控制，体现了“区域防范、纵深防御”以及最小授权的安全原则；以软件能够配置的设备组织形式满足了低成本的要求。本发明在支持大数据包的同时，改进了FPGA编程设计，采用有限状态机模型改造FPGA程序，使之能够适应物联网数据传输与信息交换的需要。针对不同的前端感知设备采用不同的身份认证方式，包括USM方式、Agent方式和IP/MAC绑定方式。

本发明综合采用了多种技术，如协议解析、协议检测、内核防护，数据快速摆渡、前端设备认证和数据流向控制等技术；主要包括：

1)传感网络协议库技术；

目前中国物联网行业没有形成统一的标准，各个企业、行业在实施物联网项目时，都针对本企业或者行业的需求特征，设计和采用自身需要的物联网产品。因此，物联网传感层协议是五花八门的。

物联网安全接入网关必须正确理解和识别各种传感网协议，需要从无到有逐步收集各类物联网产品通信协议，并通过抓包分析、技术交流等各种方式形成知识库，并最终设计开发一个物联网协议的特征库，使得网关在接收物联网数据时可以识别和理解上述协议，支持主流物联网传感设备接入，使其具有较强的适用性。

2)协议转换技术；

在建立物联网协议库后，通过接入网关，将这些不同的协议通过规一化手段转换成核心层标准的应用层协议和统一的数据、信令，从而实现核心层和传感层协议均可以识别的信令和控制指令传递。

3)协议过滤技术；

物联网安全接入网关在物联网协议库的基础上，提供对接入数据的协议过滤，针对不同产品的私有协议，对照协议库进行白名单式的过滤，保证接入数据的合法性和正确性。

4)数据高速摆渡技术；

当前物联网数据与传统网络数据传输有其自身的特点，表现在UDP协议较多，64字节以下的小包居多的情况。UDP协议以速度快的优势非常适合物联网使用，并且物联网上传输的绝大多数都是小于64字节的小包。而有别于传统网络中传输的512或者1024字节的大包。

5)前端感知设备的设备身份认证技术；

由于物联网所采用的前端感知设备种类众多，而且绝大多数是嵌入式设备。因此传统局域网内的设备认证模式并不适用于物联网。

本发明采用多种设备认证模式混合的模式来实现前端感知设备的身份认证，如针对前端感知设备是服务器或者工控机的情况，采用AGENT模式，安装软件进行认证；针对前端感知设备是嵌入式设备但支持SNMP协议可网管的情况，本发明采用基于SNMPv3的模式进行用户名/口令认证；针对不可网管的设备，本发明采用IP/MAC地址绑定的方式进行设备认证。

6)核心网与传感网的边界控制与安全隔离技术；

本发明在传感网的设备中也进行了的相应的设备认证，因此在核心网与传感网间进行网络边界控制并进行安全隔离，能够阻止通过传感网引入的不安全因素。

7)网关操作系统内核加固技术；

本发明采用安全操作系统所要求的双因素身份认证登录、最小权限控制、强制访问控制等手段。所述双因素身份认证要求用户采用合法的数字证书，并且输入正确的用户口令才能登录操作系统，最小权限控制保证用户权限分配的合理性。强制访问控制控制只有指定的用户才有权启停网关的各项服务和进程，使用网关的应用文件夹，尽可能缩小超级用户和系统管理员的权限。

本发明包括硬件结构和软件架构，本发明的硬件结构采用2+1的三部件架构，即包括外主机、隔离交换部件、内主机；所述隔离交换部件采用基于可编程门阵列集成电路（FPGA芯片）开发的双通道隔离交换卡，实现网络的隔离和数据的安全、快速交换，内、外主机通过部署其上的软件层实现身份认证、访问控制、协议解析、数据安全检查和日志审计，使得上述服务的行为可追溯。

本发明的软件架构包括：

身份认证模块；

访问控制模块；

协议解析模块；

数据安全检查模块；

数据摆渡模块；

日志审计模块；

管理配置模块，用于提供方便的B/S架构的用户接口进行配置管理控制；

身份认证模块；所述身份认证模块用于前端感知设备的身份认证和用于执行管理配置模块

任何操作之前必须先经过管理员身份鉴别。

本发明的外主机、内主机提供物联网节点的接入控制和数据接入服务，隔离交换部件采用基于可编程门阵列集成电路（FPGA芯片）开发的双通道隔离交换卡（包括PCI和PCI-E两种接口），实现协议解析、数据摆渡、接入数据流向控制等功能。本发明的外主机、内主机为网关设备提供统一的配置管理界面，实现接入业务的配置、安全策略下发、白名单维护等功能。

所述身份认证模块包括登陆网关用户身份认证和感知节点接入设备认证。

所述登陆网关用户身份认证采用双因素方式，即用户名/口令加数字证书，采用数字证书作为身份认证介质。

所述感知节点接入设备认证用于实现前部件对物联网的感知节点或数据汇集节点进行身份确认，判别是否是合法接入节点，包括感知设备（如网络摄像头、RFID读写器等）的设备认证或接入服务器（如GPS定位接入服务器等）的设备认证。

所述感知节点接入设备认证方式提供三种模式，根据实际的感知节点适用性来决定采用哪种模式：

a)AGENT模式；

即由接入网关提供一个AGENT程序，提供给各个感知节点设备的生产厂商，在这些设备的硬件中安装此AGENT程序，通过AGENT的调用，感知节点设备在连接接入网关时，连接信息中带有身份认证信息，接入网关在收到身份认证信息后根据网关中事先设置的记录进行比对，如果比对正确则身份认证成功。并将认证失败的设备加入到阻止列表之中。

b)USM认证方式；

针对已经存在无法改造的感知设备节点，接入网关通过基于用户的安全模型（user-basedsecurity module:USM）。USM是SNMPv3中采用的新的认证模型，其前提是前端感知设备支持SNMPv3可网管。USM提供了有别于传统用户名/口令认证模式中缺少的认证和加密功能。USM引入了用户名和组的概念，能够设置认证和加密功能。认证用于验证报文发送方的合法性，避免非法用户的访问；加密则是对NMS和Agent之间传输的报文进行加密，以免被窃听。通过有无认证和有无加密等功能组合为NMS和Agent之间的通信提供更高的安全性。

SNMP是管理进程（NMS）和代理进程（Agent）之间的通信协议。它规定了在网络环境中对设备进行监视和管理的标准化管理框架、通信的公共语言、相应的安全和访问控制机制。网络管理员使用SNMP功能能够查询设备信息、修改设备的参数值、监控设备状态、自动发现网络故障、生成报告等。通过SNMP协议也能够获得前端感知节点的身份信息。

c)IP/MAC地址绑定

对于不支持SNMP协议的前端感知设备，采用IP/MAC地址绑定的方式对感知设备进行认证。

所述协议解析模块包括协议剥离和重组，其中协议剥离是实现将来自一端网络的数据进行协议解析提取其中的原始数据。协议重组指的是根据对端网络类型，按照一定的协议格式，对完成内容检查的原始数据进行数据重组和协议包装，同时完成相应的地址转换、路由，最后将重组的数据包传入对端网络中，协议解析包括通信协议解析和控制信令解析。

协议解析的具体过程如下：

（1）首先，网关的外部主机将以太网格式剥离，还原TCP/IP数据包，发给IP层；

（2）其次，网关的外部主机，剥离IP协议，转发TCP/UDP包给传输层；

（3）再次，网关的外部主机，剥离TCP/UDP协议。将应用数据转发给第五层；

（4）最后，网关应用层的代理，进行应用协议的剥离，还原为原始数据；

（5）如果一个用户访问新浪网，经过网关剥离后的数据，只有www.sina.com.cn。

不同的应用场合，采用的物联网接入网关不尽相同，需要解析的应用协议也不相同，具体如表1所示：

表1接入网关需要解析的协议

所述数据安全检查模块实现的功能就是协议过滤，所述协议包括数据传输协议和信令控制协议，协议过滤的基础是网关内置物联网协议特征库。

通过协议过滤，用户能够确定传感网所传输的数据和信令是合法的，符合网关所设置的白名单过滤规则，可以接入到核心网。

第一步；设定白名单；

通过系统设定白名单来控制协议过滤的内容，即明确前端感知设备的品牌厂商，确定其采用的那类协议等；

第二步；扫描和分析；

其原理是根据所了解的物联网协议特征库，对于所接受的数据严格进行检查和过滤，符合特征库规则的给予放行，否则就直接阻断；

第三步接入数据流向控制；

在确定接入数据符合协议特征库规则之后，根据白名单所设置的该类接入数据的流向控制规则，确定接入数据流向控制是单向还是双向。

接入数据的流向控制逻辑已经固化在FPGA芯片中，比如传输视频数据的UDP包是单向传输的，而传输信令控制协议的TCP包是双向传输的。

隔离交换部件根据实现设置的规则，确定某类数据包是只写不读，或者某类数据包是又写又读，这样实现的流向控制功能是由硬件底层完成的，用户不能修改。

所述隔离交换部件为保证网络隔离和数据的安全交换采用基于硬件的FPGA隔离卡，所述FPGA隔离卡是感知网络与核心网络之间数据交换的唯一通道，其没有操作系统和应用编程接口，所有的控制逻辑和传输逻辑固化在FPGA芯片中，自主实现数据摆渡。

FPGA隔离卡主要的特点和技术如下：

a)主机侧接口采用PCI-Express标准（V1.1），数据通道宽度为PCI-E×1，保证在该标准下就能实现1Gbit/s的数据通信能力；

b)隔离卡之间采用了自定义的协议引擎，物理上采用SATA电缆线进行连接；

c)采用高速串行传输技术（差分线）在PCB上进行高速布板设计，在PCB设计上保证每对差分线是等长，阻抗控制在100欧；

d)充分利用FPGA的高速吉比特收发器通信能力，采用了CML（CurrentMode Logic）、CDR、线路编码（8B/10B）和预加重等技术，可极大地减小时钟扭曲、信号衰减和线路噪声对接收性能的影响；

e)自定义协议引擎通过与PFGA高速收发器的配合，形成串并、并串收发器电路，采用的技术有编解码、同步、速率匹配等；

f)在FPGA内部设计有64KB的发送缓冲区、64KB的接收缓冲区，从而保证主机驱动能最大程度的发挥数据收发的效能，保证在大量小包的收发情况下，仍然具有一个较好的I/O能力；

g)隔离卡除了纯硬件的设计以外（原理图设计、PCb设计），在软件编程上采用了Verilog语言对FPGA进行编程，同时该隔离卡在硬件设计上还对FPGA用来加载的程序进行加了密处理。

通过对安全检查后的网络数据包进行解析、剥离，还原成原始业务数据，同时在FPGA程序中设定了业务数据传输和信令控制数据传输的不同通道，其中业务数据采用单向传输通道而信令控制数据采用双向传输通道，处理程序固化在FPGA芯片中进行数据分拣。

采用专用安全芯片（FPGA芯片）作为隔离交换部件，其具有如下的特点：

a)硬件独立控制逻辑；

芯片本身具有独立控制逻辑，不受任何软系统控制，数据传输不受任何外部信号和指令控制，前后部件只能负责往指定的交换区存放或读写数据，不对传输过程做其他任何控制；

b)可靠传输；

支持CRC校验，保证数据的可靠传输。系统自动进行CRC校验，当出现CRC校验错时，支持数据重传；

c)双摆渡技术；

通过硬件控制逻辑隔离交换部件。所述外主机、内主机把需要交换的数据写入或者读出制定的交换区，完成一次摆渡，然后隔离交换部件通过硬件控制逻辑断开与所述外主机、内主机的连接，彼此之间建立连接，自动进行协商，实现数据交换，完成二次摆渡。通过双摆渡技术，内外网络永远不会直接连接，并在此基础上实现内外网络的安全隔离。

d)硬件自动协商；

隔离交换部件设计有独立控制硬件逻辑，在实现双摆渡技术中，隔离交换部件自动进行协商，数据传输实现硬件互斥访问，按照分时轮询机制实现对连接的自动、高效的控制，防止信号死锁；

e)专有协议交换；

接入网关只能按照专有的格式进行数据传输。任何数据必须经过分析、过滤，并按照确定的方式进行交换。系统底层实现了专有信息传输，自动完成数据的协议剥离与封装；

f)数据分片重组；

由于实现了协议和数据的分离，系统只会传递静态纯数据，为了实现用户的透明访问，保障任意大小的数据块都能顺利传输，系统底层自动实现了数据文件按照交换区大小进行自动的分片传输，在系统另一侧，自动按照约定的专有协议进行数据重组，从而实现任意数据的交换；

g)实现总线独享，高速流水线操作。无需CPU调度，无需总线竞争和申请，每步操作无需等待，实现高效交换。

h)接入数据的流向控制；

在FPGA程序中，设定了业务数据传输和信令控制数据传输的不同通道，其中业务数据采用单向传输通道而信令控制数据采用双向传输通道，处理程序固化在FPGA芯片中进行数据分拣。

本发明的操作系统安全加固的主要措施是拟采用安全操作系统所要求的管理特权分立、强制访问控制（如主要合法的主体才能访问指定的文件夹或者启停相关进程等）以及内核级安全审计等手段。如下所述：

a)管理特权分立；

现有操作系统中的应用程序继承用户权限，不满足最小权限原则，从而给病毒等恶意程序留下了破坏系统安全的空间。因此网关允许安全管理员规定执行程序权限，使其在满足用户权限访问控制规则的前提下，只拥有正常完成任务的最小权限。以浏览器程序为例，安全管理员可以配置其只能读那些文件或写那些文件，不允许其访问系统内的重要信息、不允许其修改系统内的关键配置文件，那么即使系统被恶意脚本所攻击，重要信息的安全性也不会受到威胁，系统本身的完整性也不会受到破坏。

b)强制访问控制；

现有的操作系统采用自主访问控制模式来限制用户权限，以达到保护系统资源安全的目的。但是在自主访问控制体系中，资源属主可以任意授权，并且权限可以传递，这样不利于信息系统的安全。因此网关增加了强制访问控制机制，由管理中心对系统中的主体（用户、进程）及客体（文件、执行程序、外部设备等）进行安全标识，根据客体类型的不同，分别制定了不同的访问控制规则，从而全方位地保护重要信息，保护信息系统的机密性。

c)内核级安全审计；

审计数据在系统中应得到严格的保护，防止非授权查看，更要防止数据的篡改和删除，对审计配置文件、审计数据文件实施相应的角色控制，以保证只有审计管理员才能访问。

本发明的优点是能够满足物联网感知终端采集的数据安全导入到核心网内的相关要求，防止通过安全防护比较薄弱的感知层网络向核心网络发起网络攻击、木马病毒传播和拒绝服务攻击，保证了感知网络和核心网络在网络隔离的情况下，实现数据安全交换，在安全得到保障的前提下，满足物联网的实际应用。

附图说明

图1是本发明所述一种物联网安全接入网关的有限状态机模型示意图；

图2是本发明所述一种物联网安全接入网关的整体架构示意图；

图3是本发明所述一种物联网安全接入网关的功能示意图；

图4是本发明所述一种物联网安全接入网关的Agent方式的接入设备认证示意图；

图5是本发明所述一种物联网安全接入网关的协议解析示意图；

图6是本发明所述一种物联网安全接入网关的基于安全策略数据处理示意图；

图7是本发明所述一种物联网安全接入网关的管理中心结构示意图；

图8是本发明所述一种物联网安全接入网关的部署图；

图9是本发明所述一种物联网安全接入网关的设备到平台部署实施示意图；

图10是本发明所述一种物联网安全接入网关的系统到平台部署实施示意图。

具体实施方式

下面结合附图和实施例对本发明进行详细描述。如图2所示，本发明包括硬件结构和软件架构，所述硬件结构包括：外主机、隔离交换部件、内主机；所述外主机和所述内主机提供物联网节点的接入控制和数据接入服务；所述软件架构包括：身份认证模块、访问控制模块；协议解析模块；数据安全检查模块；数据摆渡模块；日志审计模块；用于提供方便的B/S用户接口进行配置管理控制的管理配置模块，所述身份认证模块用于前端感知设备的身份认证和执行管理配置模块任何操作之前必须先经过管理员身份鉴别。如图4所示，是本发明的采用Agent方式进行前端感知设备身份认证示意图。

所述隔离交换部件采用基于FPGA芯片开发的双通道隔离交换卡。所述双通道隔离交换卡包括PCI和PCI-E两种接口。

本发明采用有线状态机模型改造FPGA程序，使之能够适应物联网数据传输的需要，具体如图1所示：在利用FPGA进行实时数据格式审查时，首先对允许的数据格式和特征以及禁止的特征采用有限状态机建模，并用FPGA实现与允许格式和特征相对应的状态机。当数据通过FPGA时，数据流在状态机中以流水线方式移动，逐步通过状态机。当数据到达状态机的接收端口时（合法数据），数据被取出，并发送到输出模块。如果数据不符合状态机模型（非法格式或特征），则数据将到达有限状态机的阻截端口，由安全审计报警模块处理，产生阻截和报警操作。

由于整个操作是在状态机中以流水线逐步通过，只需要确定的有限的步骤以流水线方式通过，以完成数据的实时审查，因此能够超高速的完成物联网数据的隔离交换。本发明的功能图如图3所示。

本发明的管理中心向管理用户开发WEB服务，管理员通过HTTPS方式登录管理中心，进行所有的配置操作、审计日志查询等，本发明的管理中心的框架结构如图7所示：

a)用户管理子系统；

主要负责管理员的添加、修改、删除；管理员的访问权限管理（添加、删除允许访问的服务资源）。

b)设备管理子系统；

配置系统允许访问的设备资源情况，包括允许访问的地址（或地址范围）。

c)服务管理子系统；

接入服务的配置管理、服务监控、服务起停等功能。

d)主机管理；

包括主机CPU、内存性能监控、网络配置、集中监控上报配置和其他系统参数配置。

e)集群配置；

主要包括集群节点的管理、双机热备和负载均衡的配置。

f)安全审计；

系统开机日志、管理员操作日志、内网客户端访问审计、告警日志、传输审计等日志信息的查询、备份管理。

本发明的隔离交换部件根据实现设置的规则，确定某类数据包是只写不读，或者某类数据包是又写又读，这样实现的流向控制功能是由硬件底层完成的，用户不能修改。具体检测流程示意图如图6所示的基于安全策略数据处理示意图；图6中实线表示的是业务数据流，虚线表示的是控制信令流以及感知节点的反馈信息流。来自传输网的数据通过传输协议检测和信令控制协议检测，单向传输到核心网中；同样的，来自核心网的控制信令和反馈信息经过同样的检测之后，可以反向传回传感网。图5是本发明的协议解析示意图；

本发明部署在感知网络（传感网）与核心网络之间，实现两个网络之间数据的安全交换，具体如图8所示。

本发明实现了物联网的区域防范，使感知网络的安全风险降至最小。具体实施方案包括两种方式：

第一种，前端（即外主机）接入感知设备，例如摄像头、GPS或者FRID设备，后端（即内主机）接入的是系统平台，感知设备通过汇聚节点后，直接将感知数据通过物联网安全接入网关传入到核心网络的应用平台上；具体部署如图9所示。

第二种，前端（即外主机）接入的为感知设备集成的系统平台，后端（即内主机）接入的是业务应用平台，前端平台将处理后的感知数据通过物联网安全接入网关传入到核心网络的应用平台上；具体部署如图10所示。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明公开的范围内，能够轻易想到的变化或替换，都应涵盖在本发明权利要求的保护范围内。

Claims (6)

1.一种物联网安全接入网关，其特征在于，包括硬件结构和软件架构，所述硬件结构包括：外主机、隔离交换部件、内主机；所述外主机和所述内主机提供物联网节点的接入控制和数据接入服务；

所述软件架构包括：身份认证模块、访问控制模块；协议解析模块；数据安全检查模块；数据摆渡模块；日志审计模块；用于提供方便的B/S模式的用户接口进行配置管理控制的管理配置模块，所述身份认证模块用于前端感知设备的身份认证和用于执行管理配置模块任何操作之前必须先经过管理员身份鉴别。

2.根据权利要求1所述的一种物联网安全接入网关，其特征在于，所述隔离交换部件采用基于FPGA芯片开发的双通道隔离交换卡。

3.根据权利要求2所述的一种物联网安全接入网关，其特征在于，所述双通道隔离交换卡包括PCI和PCI-E两种接口。

4.根据权利要求1所述的一种物联网安全接入网关，其特征在于，所述身份认证模块包括登陆网关身份认证和感知节点接入设备认证。

5.根据权利要求4所述的一种物联网安全接入网关，其特征在于，所述登陆网关身份认证是网关自身的身份认证采用双因素方式，即用户名/口令加数字证书，采用数字证书作为身份认证介质。

6.根据权利要求4所述的一种物联网安全接入网关，其特征在于，所述感知节点接入设备认证用于实现前部件对物联网的感知节点或数据汇集节点进行身份确认，判别是否是合法接入节点。

Images