CN103269348A - 跨网段的数据安全交换装置及交换方法 - Google Patents

Abstract

本发明公开一种跨网段的数据安全交换装置，不同网段的主机与主机之间，通过多条USB线缆设备，实现了点对点的数据通信管道，以非TCP/IP协议的方式，实现数据的安全交换。本发明的优点是杜绝现有的网络协议，特别是TCP/IP协议；完全私有的协议，以安全的方式进行数据的传输；数据进行过滤和校验，只有经过验证安全的数据，才能进行数据传输。

Description

跨网段的数据安全交换装置及交换方法

技术领域

本发明涉及一种数据交换方法，特别涉及一种跨网段的数据安全交换装置。

背景技术

随着互联网的普及应用，随着人们的工作、生活的逐步信息网络化，信息网络安全问题以其几何级增长的爆发和日益严重的后果，让人们切身感受到时时刻刻的威胁。近年来大规模的网络安全事件接连发生，互联网上蠕虫、拒绝服务攻击、网络欺诈等新的攻击手段层出不穷，导致的泄密、数据破坏、业务无法正常进行等事件屡屡发生，甚至导致世界性的互联网瘫痪，造成的经济损失无法估计。

目前，国内多数政府机关和军队的涉密网，都进行了与外部互联网络的“物理隔绝”，除此之外还有许多重要机构，如金融、电力、电信、医疗、交通等的业务网络，也都对“物理隔绝”有越来越多的需求。但是，网络隔绝使内外网之间无法进行信息交流，形成“信息孤岛”，阻碍了“电子政务”和行业信息化的发展。

造成网络不安全的主要因素是在协议、系统及数据库等设计上存在缺陷。网络互连一般采用TCP/IP协议，它是一个工业标准的协议簇，但该协议簇在制订之初，对安全问题并没有考虑太多，协议中存在很多的安全漏洞。对于操作系统，由于目前使用的计算机网络操作系统在本身结构设计和代码设计时偏重于考虑系统的使用方便性，导致了系统在远程访问、权限控制和口令管理等许多方面存在安全漏洞。同样，数据库管理系统也存在权限管理、数据安全性和远程访问等许多方面问题，在数据库或应用程序中能够预先安置从事情报收集、受控激发的破坏程序。

由此可见，要保证安全，首先必须拒绝网络，拒绝TCP/IP协议、进行数据的共享，不能通过现有的网络方式进行传输。任何形式的开放网络系统、端口和协议，都可能被一些另有图谋的黑客利用进行数据窃取，进行网络攻击，进行病毒传播。因此，要保证网络信息的安全，必须进行内网和外网的彻底网络隔绝。

在进行数据传输，数据共享的同时，必须确保数据不能携带不良的信息和病毒代码，必须确保只有希望共享的数据，才进行数据的共享，任何不必要的数据和信息，都不会通过这种方式，进行扩散和传播出去，以实现信息的安全。要做到这个，所以必须对共享的数据进行信息的过滤。

目前实现数据安全共享的代表技术是防火墙及防火墙一体化技术。网络防火墙是一种用来加强网络之间访问控制，防止外网用户以非法手段入侵内网，访问内网资源，保护内网操作环境的特殊网络互联设备。它对网络之间传输的数据包按照一定的安全策略进行验证，以决定是否允许网络间的通信，并监视网络运行状态。但是防火墙也存在着大量的安全漏洞，现有的防火墙一般都是采用开放源代码的操作系统进行编程，代码本身并不具备足够的安全性。因此，他人也能够通过获取相应的代码，利用其本身的漏洞，对防火墙进行攻击。采用防火墙技术实现内外网隔离是不安全的。

另外，由于这方面的迫切需求，市场上出现了一种“网闸”技术。“网闸”也是一种防火墙，它本身是通过对信息进行解析、还原、扫描、过滤等一系列的处理，实现安全防范。同时，它与其它防火墙最大的不同点在于通过一种“高速开关”的快速切换，实现数据的交换。然而，“网闸”毕竟还是一种防火墙，不能隔断内外的网络通讯，IP地址是可访问的。黑客一样可以采用木马等手段，实现攻击和资料的窃取。

所以，只要不拒绝网络，无论用怎样的方法，只要网络本身的通路还在，网络访问的应用也存在，必然的，病毒和攻击只要符合网络限制的条件，夹杂在正常的应用之中，还是能够顺利地通过防火墙实现攻击的，仅仅限制和过滤是不够的。

综上所述，需要一种既没有网络，又能进行数据交换的方法，实现数据的安全共享。

为了保证信息交换的安全性，为了实现内网和外网的数据共享，传统的方法是在外网和内网中分别配置一台专用的机器，安装杀毒软件和防火墙，并做好一切可能的安全防范，由专人负责进行内外网之间的数据交换。

这不仅效率低下，而且缺乏信息安全交流的保证，极易由于人为的失误，造成重大的系统损失。同时，由于无法自动、快捷地完成数据交换，也极大地限制了网络的应用能力，影响了工作的正常开展。

发明内容

本发明所要解决的技术问题是要提供一种杜绝现有的网络协议，特别是TCP/IP协议，安全且自动传输数据的跨网段的数据安全交换装置及交换方法。

为了解决以上的技术问题，本发明提供了一种跨网段的数据安全交换装置，不同网段的主机与主机之间，通过多条USB线缆设备，实现了点对点的数据通信管道，以非TCP/IP协议的方式，实现数据的安全交换。

所述USB线缆设备包含USB控制CPU芯片及RAM存储器，其两端包含读取和写入的数据端口。

所述内网的主机设有多个USB线缆设备的接口，主机包含文件系统服务的嵌入式系统。

所述主机包含文件系统服务的嵌入式系统，该系统分四层：物理链路层、传输协议层、文件传输层和安全检测层。

所述物理链路层，是实现硬件的检测和初始化，保证硬件的连接和使用。

所述传输协议层，是通过物理链路层获取硬件信息，以一个可靠的协议，实现主机双方的信息交换。

所述文件传输层，是按照传输协议层的规范，通过传输协议层，按照配置文件的设置，把文件在一个主机分拆打包，传送到另一台主机，在设定的目录中，还原成完全一样的文件。

所述安全检测层包括三种级别的安全验证，按照扩展名进行文件的类型验证，确定这种类型的文件是否有可能携带病毒或者不安全的内容，有可能携带病毒或者木马的文件进行特征扫描。

所述的跨网段的数据安全交换方法，其工作步骤如下：

⑴内网主机的某个端点通过USB线缆设备与外网的设备连接，内网主机分配唯一地址给外网的设备；

⑵内网主机的驱动程序对该端点执行数据发送或接收，调用API函数，由API函数将请求提交给驱动程序；

⑶驱动程序将用户的请求引导到指定的USB端点通信管道上，用户请求提交到了USB总线驱动程序；

⑷USB总线驱动程序把请求分解成多个事务，将这些事务送往总线；

上述事务包括每一个事务的源和目的地址。

⑸USB总线上的信息流以每毫秒一帧数据的形式流动，总线驱动程序把安排好的多个事务封装在一个帧中。

所述USB线缆设备采用批量传输数据，写端点写入，读端点读取，批量传输数据自带纠错功能，以错误检测和重试方式保证内网主机与外设之间的数据无错传输。

本发明是在USB数据传送协仪的基础上，又封装文件传送协议。是点对点的数据交换，其核心是：对于USB数据传输线的一端的写端口写入数据，可以从另一端的读端口读到数据，那么，两台主机通过与USB数据传输线的各自端口的访问，经过USB数据传输线，自动从一端写端口到另一端读端口的数据传输，就实现了两台主机之间的数据通讯。

本发明的优越功效在于：

1）杜绝现有的网络协议，特别是TCP/IP协议；

2）完全私有的协议，以安全的方式进行数据的传输；

3）数据进行过滤和校验，只有经过验证安全的数据，才能进行数据传输；

4）数据传输保证足够的带宽；

5）数据传输具有足够的稳定性和可靠性。

附图说明

图1为本发明USB数据传输总体框架示意图；

图2为本发明USB数据传送协议的示意图；

图中标号说明

1—内网的设备；                         2—外网的设备；

3—USB线缆设备。

具体实施方式

请参阅附图所示，对本发明作进一步的描述。

USB是采用多个外设共享一条外设总线，其关键是各外设与主机的接口特征（电气特征和机械特征）及传输信息的标准化和规范化。USB采用串行的方式传输数据，改变了主机与外设连接方式的混乱状态，使外设和主机之间的接口统一化，设置简单化，也增加了主机可连接外设的数量，并且提供更高的传输效率。

USB传输类型有四种：控制型传输（Control Transfer）、中断型传输（Interrupt Transfer）、批量型传输（Bulk Transfer）和实时型传输（Isochronous Transfer）。每种传送方式对应特定的端点和特定的方式来实现数据传输。本发明采用批量型传输。

批量传输可发送大量的数据而不会阻塞总线，因为这种传输会为其它类型的传输而延迟，并且等待总线可用时再传输。

每种传送方式对应特定的USB端点，本发明使用USB线缆设备进行批量传送时，采用写端点写入，采用读端点读取。由于批量传输具有本身的纠错功能，能以错误检测和重试方式保证主机和功能设备部件之间的数据无错发送，同时，批量传输也使用数据循环位来确保没有数据丢失。

如图1所示，本发明提供了一种跨网段的数据安全交换装置，不同网段的主机1与主机2之间，通过多条USB线缆设备3，实现了点对点的数据通信管道，以非TCP/IP协议的方式，实现数据的安全交换。

所述USB线缆设备3包含USB控制CPU芯片及RAM存储器，其两端包含读取和写入的数据端口。

所述内网的主机1设有多个USB线缆设备3的接口，主机包含文件系统服务的嵌入式系统。

USB接口是以令牌包为主（Token-based）的总线协议，而且PC主机掌握这个总线的主控权。由于USB不占用任何PC的中断向量或是输入/输出的资源，因此USB有着一套严谨的协议以达到与外围设备通信的目的。

如图2所示，显示了内网的主机如何与设备执行通信协议。从图2中可以看出USB总线上执行通信协议的基本单位是最下层的数据域。几个不同形式的数据域位可以组合成一个封包，而由一个或几个不同形式的封包又可组成一个数据交易（Transaction）。因此，对高速设备而言，在1ms的帧内可能包含各个设备所提出的数据交易，这些数据交易可能涵盖于不同客户端的驱动程序所启动的输出/输入要求封包（IO Request Packet，IRP）中，图中只显示了2个客户端的驱动程序。

1)  数据域位格式

不同的令牌包类型，含有不同数量与类型的数据域。USB的串行传输是先送出最低位LSB，然后再依次送出，直到最高位MSB为止。

同步顺序（Synchronization Sequence, SYNC）数据域：SYNC字段由8位组成，每一个数据封包的前导是用来产生同步作用的；因此，数值是固定的，为00000001。

包标识符（Packet Identifier, PID）数据域：PID字段是紧随在SYNC字段后面，用来表示数据封包的类型。PID字段是由一个4位的辨别符栏（PID3-PID0）以及一个互为补码的检查栏（PID7-PID4）所组成的。

地址（Address，ADDR）数据域：ADDR数据域是由7个位所组成的，用来寻址最多的127个外围设备。当然每一个设备须对应一个唯一的地址，每当新的外围设备刚连接到USB接口时，就会拥有默认的地址0，其后再赋予新的地址。

端点（Endpoint，ENDP）数据域：ENDP数据域是由4个位所组成的，通过这4个位，最多可寻址出32个端点。这个ENDP数据域仅用在IN、OUT与SETUP令牌包中。而对于慢速的设备可支持端点0与以及高达7个端点1作为中断传输模式，而全速设备则可以拥有16个输出端点。

循环冗余校验（Cycle Redundancy Checks, CRC）数据域：CRC是错误检测字段，一种错误检测技术。由于数据传输时，有时候会发生错误，因此CRC可根据数据算出一个校验值，然后依此判断数据的正确性。根据不同的封包类型，CRC数据域由不同数目的位所组成。其中，数据封包采用CRC16的数据域（16个位），而其余的封包类型则采用CRC5的数据域（5个位）。

Data数据域：仅存于Data封包内，根据不同的传输类型，拥有不同的字节大小，从0-1023（实时型传输）。

帧号（Frame Number）数据域：仅存于SOF封包中，帧号码数据域是由11个位所组成。

2)  封包格式

各种数据域可以组成执行USB的通信协议所需要的各种封包类型，一般有以下几种封包类型：

令牌（Token）包：由于USB的数据交易是由PC主机端所启动的，所以在每个数据交易中，必须以下列5个数据域所组合而成的令牌包为开始，执行通信协议的前导工作。令牌包数据域组成结构如表1所示。

数据（Data）封包：在USB接口中，主机执行了总线的管理，以及设备对主机所提出的要求命令做出响应的动作。如表2所示列出了由4个数据域所组成的数据封包。

握手信号（Handshake）封包：在这个握手信号封包中，仅包含一个PID数据域，握手信号封包数据域组成结构如表3所示。

它含有ACK握手信号封包、NAK握手信号封包和STALL握手信号封包3种PID类型。当设备已收到主机要执行取得设备描述符的命令时，以握手封包回应。如果设备已准备接收，以ACK握手信号封包响应；若尚未就绪，使用NAK握手信号封包响应；若发生错误而停滞，使用STALL握手信号封包响应。

3）数据交易格式

根据上述不同的封包组合与搭配就可以执行各种各样的数据交易，但最重要的是数据交易的格式必须与4种传输类型相互配合。因为，不同的传输类型就会执行不同的数据交易。其中，除了实时传输外，控制传输、中断传输和大量传输都以下列的三个阶段来组成一个数据交易的动作，如表4所示。

若以取得设备描述符（Get_Descriptor）为例来说明，可以将三个封包组合在一起，形成一个完整的数据交易，如表5所示。

实时传输只包含如下的两个阶段，如表6所示。

4）输出入要求封包（IRP）

若一个客户端驱动程序要对某个端点执行传输工作时，就会呼叫USB驱动程序，并启动与执行这个传输工作，即输入/输出要求封包。由于USB总线是由所连接的设备共同分享的，因此通常一个设备无法在一个1.0ms帧就将数据传递完毕。再加上传输工作可能包含了大量的数据，因此需要将一个传输工作分割成多个数据交易，并在一段较长的时间内执行完毕。

每个USB线缆设备都可以有一个或者多个配置，而每个配置都包含有一个或者更多的接口，接口指定了软件应该怎么访问硬件。

设备的接口包含一个或者多个端点（endpoint），端点作为通信管道(pipe)的一个终点，分四种类型：批量(Bulk)，控制(Control)，中断(Interrupt)和同步(Isochronous)。

系统一般默认初始化USB，将端点0作为输入端点，同时也将端点0作为输出端点，一旦设备接上并且加电，再收到一个总线复位命令，端点0是可以访问了。低速设备可以有3个端点，高速设备最多可以有15个端点。

如图2所示，主机包含文件系统服务的嵌入式系统，该系统分四层：物理链路层、传输协议层、文件传输层和安全检测层。

物理链路层主要是系统实现硬件的检测和初始化，保证系统硬件的连接和使用。

传输协议层，主要是通过物理链路层获取的硬件信息，以一个可靠的协议，实现主机双方的信息交换。保证跟物理链路层的及时信息交互；保证主机跟USB数据传输线缆的稳定数据访问；保证USB数据传输线一端在进行特定的写操作的时候，另一端一定会进行合适的读取操作，不会造成USB数据传输设备的数据过载和数据溢出；保证主机双方在进行信息交换的时候，能明白双方的意图。

文件传输层，主要是按照传输协议层的规范，通过传输协议层，按照配置文件的设置，把文件在一个主机分拆打包，传送到另一台主机，在设定的目录中，还原成完全一样的文件。实现双方主机的设定的目录和文件的同步。

安全检测层，主要分三种级别的安全验证。首先，对于每一个传送的文件，按照扩展名进行文件的类型验证，文件的扩展名是否跟它的内容相符，假如扩展名和文件内容不符的文件，会给阻挡在文件传输的范围之外。其次，确定这种类型的文件，是否有可能携带病毒或者不安全的内容，假如这种类型的文件不可能携带病毒的，那么文件可以放心的传输。最后，假如这种类型的文件，有可能携带病毒或者木马，那么需要对于这个文件进行特征扫描，以保证内网的网络安全。

本发明主要是为了保证数据安全和网络安全的前提下的数据交换。实现了处于内、外网络的主机之间的特定目录文件进行同步更新，实现了数据的共享；避免了所有网络的攻击和病毒的传播，通过对于传输的文件进行格式的限制、格式的校验和病毒的过滤，确保数据本身的安全。

整个数据传输过程中，只有设备读写操作，而且USB端口具有独享性，中间的每个文件、命令甚至字符的传送完全控制在自己的系统中，不受操作系统的干预；同时，通讯管道是点对点的交互，协议具有前后关联、应答的严密性，再加上过滤，数据验证的过程，完全杜绝了数据携带不安全代码，加载或插入攻击代码的可能性，保证了系统的安全，实现了数据的共享。

Claims (10)

1.一种跨网段的数据安全交换装置，其特征在于：不同网段的主机与主机之间，通过多条USB线缆设备，实现了点对点的数据通信管道，以非TCP/IP协议的方式，实现数据的安全交换。

2.根据权利要求1所述的跨网段的数据安全交换装置，其特征在于：所述USB线缆设备包含USB控制CPU芯片及RAM存储器，其两端包含读取和写入的数据端口。

3.根据权利要求1所述的跨网段的数据安全交换装置，其特征在于：所述内网的主机设有多个USB线缆设备的接口。

4.根据权利要求1所述的跨网段的数据安全交换装置，其特征在于：所述主机包含文件系统服务的嵌入式系统，该系统分四层：物理链路层、传输协议层、文件传输层和安全检测层。

5.根据权利要求4所述的跨网段的数据安全交换装置，其特征在于：所述物理链路层，是实现硬件的检测和初始化，保证硬件的连接和使用。

6.根据权利要求4所述的跨网段的数据安全交换装置，其特征在于：所述传输协议层，是通过物理链路层获取硬件信息，以一个可靠的协议，实现主机双方的信息交换。

7.根据权利要求4所述的跨网段的数据安全交换装置，其特征在于：所述文件传输层，是按照传输协议层的规范，通过传输协议层，按照配置文件的设置，把文件在一个主机分拆打包，传送到另一台主机，在设定的目录中，还原成完全一样的文件。

8.根据权利要求4所述的跨网段的数据安全交换装置，其特征在于：所述安全检测层包括三种级别的安全验证，按照扩展名进行文件的类型验证，确定这种类型的文件是否有可能携带病毒或者不安全的内容，有可能携带病毒或者木马的文件进行特征扫描。

9.根据权利要求1所述的跨网段的数据安全交换装置的数据交换方法，其工作步骤如下：

⑴内网主机的某个端点通过USB线缆设备与外网的设备连接，内网主机分配唯一地址给外网的设备；

⑵内网主机的驱动程序对该端点执行数据发送或接收，调用API函数，由API函数将请求提交给驱动程序；

⑶驱动程序将用户的请求引导到指定的USB端点通信管道上，用户请求提交到了USB总线驱动程序；

⑷USB总线驱动程序把请求分解成多个事务，将这些事务送往总线；

  上述事务包括每一个事务的源和目的地址；

⑸USB总线上的信息流以每毫秒一帧数据的形式流动，总线驱动程序把安排好的多个事务封装在一个帧中。

10.根据权利要求9所述的跨网段的数据安全交换方法，其特征在于：所述USB线缆设备采用批量传输数据，写端点写入，读端点读取，批量传输数据自带纠错功能，以错误检测和重试方式保证内网主机与外设之间的数据无错传输。

Images