CN106549934B - 网络设备安全系统 - Google Patents

Abstract

本发明适用于网络设备技术领域，提供一种网络设备安全系统，包括：第一硬件架构，用于运行第一操作系统，以及识别并运行适用于第一操作系统的软件；第二硬件架构，用于运行第二操作系统，以及识别并运行适用于第二操作系统的软件；第三硬件架构，用于运行专用系统软件，并为第一硬件架构和第二硬件架构以及网络可信设备提供可信数据传输通道；其中，第一硬件架构和第二硬件架构分别至少包括一个应用处理器和与应用处理器连接的存储设备；第一操作系统和第二操作系统在同一网络设备中相应的硬件架构中运行。上述网络设备安全系统能够防止恶意软件等外部攻击手段利用操作系统可能存在的安全漏洞窃取第一硬件架构中的数据信息。

Description

网络设备安全系统

技术领域

本发明属于网络设备技术领域，尤其涉及一种网络设备安全系统。

背景技术

在网络设备中，由于现有的操作系统可能存在的安全漏洞，导致难以防止恶意软件等外部攻击手段控制外部设备中的敏感设备以及窃取敏感数据。为防范这些外部攻击，网络设备系统通常采用一种称为软件沙箱(Sandbox)的技术，即建立一种按照安全策略建立软件的执行环境，通过为不可信客户程序提供虚拟化的内存、文件系统、网络等资源，使软件沙箱里的不可信程序的恶意行为可以被限制在软件沙箱中，或者在软件沙箱里只允许执行在白名单里规定的有限的API操作。

软件沙箱技术通常是需要结合多种系统安全技术来实现，且软件沙箱技术都不是足够安全的。尽管可以筑建多道防御屏障，如Java沙箱、Linux沙箱等，从而尽可能地将安全风险降低，但这种通过加载自身的驱动来保护底层数据的方式只属于驱动级别的保护，只能够防范在应用层面的恶意软件。如果恶意软件利用操作系统可能存在的安全漏洞而窃取系统权限，使恶意软件从一个普通uid提权到root，就会给系统带来安全风险。

发明内容

有鉴于此，本发明实施例提供了一种网络设备安全系统，以解决现有技术中不能防范具有系统权限的恶意软件，难以保护用户数据信息的问题。

本发明实施例提供了一种网络设备安全系统，包括：

第一硬件架构，用于运行第一操作系统，以及识别并运行适用于所述第一操作系统的软件；

第二硬件架构，用于运行第二操作系统，以及识别并运行适用于所述第二操作系统的软件；

第三硬件架构，用于运行专用系统软件，并为所述第一硬件架构和所述第二硬件架构提供内部数据传输通道，以及为所述第一硬件架构和网络可信设备提供可信数据传输通道；

其中，所述第一硬件架构和所述第二硬件架构分别至少包括一个应用处理器和与所述应用处理器连接的存储设备；所述第一操作系统和所述第二操作系统为相同或不同的网络设备操作系统；所述第一操作系统和所述第二操作系统在同一网络设备中相应的硬件架构中运行，构成各自的软件相互独立运行的硬件沙箱；所述网络可信设备通过外部网络与所述第二硬件架构连接。

优选的，还包括：

设备管理器，与所述第一硬件架构和所述第二硬件架构连接，用于获取所述第一硬件架构的设备连接控制指令，并根据所述设备连接控制指令对通过有线或无线方式连接到所述设备管理器的外部设备进行管理控制。

优选的，所述设备管理器具体用于：根据所述设备连接控制指令使能或禁止所述第一硬件架构对所述外部设备的使用，以及使能或禁止所述第二硬件架构对所述外部设备的使用。

优选的，所述设备管理器通过有线或无线方式与所述外部设备连接；所述外部设备包括所述网络设备所集成的CPU外设和位于所述网络设备外部通过有线或无线连接到所述网络设备的外置设备。

优选的，所述设备管理器设有切断所述内部数据传输通道的开关，该开关为软件开关、硬件开关或软硬件结合的开关。

优选的，所述第一硬件架构有且只有与所述第三硬件架构相连的直接数据通路；所述第一硬件架构和所述第三硬件架构通过第一I/O端口连接；所述第二硬件架构和所述第三硬件架构之间通过第二I/O端口连接，并通过有线网络或无线网络与外部开放网络连接；

其中，所述第一I/O端口包括串行接口、并行接口中的至少一种，所述第二I/O端口包括串行接口、并行接口中的至少一种。

优选的，所述第三硬件架构还用于：对所述第二硬件架构或所述网络可信设备发送来的与所述第一硬件架构进行数据交换的请求进行鉴权和认证，并在鉴权和认证成功后，开启所述第二硬件架构与所述第一硬件架构之间的数据交换，或所述网络可信设备与所述第一硬件架构之间的数据交换。

优选的，所述第三硬件架构包括：

数据加密解密模块，用于对所述第一硬件架构的输出数据进行加密，以及对输入所述第一硬件架构的数据进行解密。

优选的，所述第一硬件架构和所述第二硬件架构之间为主从关系；所述第一硬件架构能够控制所述第二硬件架构的上电、系统管理、重启和关闭。

优选的，所述网络设备为物联网中控设备、智能家居中控设备、智能交通系统、智能工控系统、移动办公设备、手持智能网络设备、智能穿戴设备和头戴式显示器中的一种。

本发明实施例相对于现有技术的有益效果：第一硬件架构构成了一个可信的高安全计算空间(或硬件沙箱)，第二硬件架构构成了一个开放灵活的计算空间(或硬件沙箱)，相互构成两个硬件物理隔离的操作系统运行环境，第三硬件架构为所述第一硬件架构和所述第二硬件架构提供内部数据传输通道，所述网络设备安全系统从硬件架构上保证运行在第二硬件架构的操作系统运行环境中的恶意软件无法窃取第一硬件架构的任何数据信息，解决在现有网络设备操作系统中，恶意软件等外部攻击手段利用操作系统可能存在的安全漏洞窃取第一硬件架构中的数据信息的问题；加之在同一设备上可以运行不同操作系统的程序，能够拓宽网络设备的应用范围，使一些专有软件可以继续运行，也有利于对一些安全有特殊要求的应用进行定制，使之运行在与开放操作系统环境中的软件完全隔离的专有操作系统环境中。进一步的，设备管理器执行第一硬件架构的设备连接控制指令，使得容易被恶意软件利用采集用户数据的敏感设备(如MIC/CAMERA/GPS/通信模块等)需要经所述第一硬件架构授权后才能被第一硬件架构或第二硬件架构使用，有利于进一步提高网络设备的安全性和可靠性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是现有技术中网络设备软件沙箱的实现示意图；

图2是本发明实施例一提供的网络设备安全系统的结构框图；

图3是本发明实施例提供的设备管理器实现方法示意图；

图4是本发明实施例提供的通过第三硬件架构建立网络通道的流程图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、技术之类的具体细节，以便透彻理解本发明实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的系统、装置、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

参考图1，现有网络设备系统通常采用的一种称为软件沙箱(Sandbox)的技术，用于提高系统安全性的架构图。系统通过为不可信客户程序提供虚拟化的内存、文件系统、网络等资源，使沙箱里的不同的APP(Application，应用程序)限制在各自的沙箱中，或者在沙箱里只允许执行在白名单里规定的有限的API(Application Program Interface，应用程序接口)操作。每一个程序对应到APP自己的一个虚拟化的内存、文件系统、网络等资源，就好比是这个APP的沙箱。很容易看到，如果恶意软件能够利用操作系统可能存在的安全漏洞(如Linux的0-day漏洞)而窃取了系统的root权限，使自己从一个普通uid提权到root，就能以很快的速度突破Linux沙箱，随心所欲地窃取用户隐私数据。

实施例一：

图2示出了本发明实施例一提供的网络设备安全系统的结构框图。参照图2，该装置包括第一硬件架构101、第二硬件架构102和第三硬件架构103。具体的，第一硬件架构101，用于运行第一操作系统，以及识别并运行适用于所述第一操作系统的软件。第二硬件架构102，用于运行第二操作系统，以及识别并运行适用于第二操作系统的软件。第三硬件架构103，用于运行专用系统，并为所述第一硬件架构101和所述第二硬件架构102提供内部数据传输通道，以及为所述第一硬件架构和网络可信设备提供可信数据传输通道。

其中，所述第一硬件架构101和所述第二硬件架构102分别至少包括一个应用处理器和与所述应用处理器连接的存储设备。所述存储设备包括RAM设备和/或ROM设备。所述第一操作系统和所述第二操作系统为相同或不同的网络设备操作系统。所述第一操作系统和所述第二操作系统在同一网络设备中相应的硬件架构中运行，具有独立的运算设备，构成相互独立的硬件沙箱。所述网络可信设备通过外部网络与所述第二硬件架构连接。所述第一操作系统和所述第二操作系统可是单一的操作系统，也可以是双操作系统或各种虚拟化的单个操作系统或多个的操作系统，对此不做限制。例如，第一操作系统包括但不限于Android、iOS以及Windows phone。第二操作系统包括但不限于Android、iOS以及Windowsphone。

优选的，第一操作系统采用专用的操作系统或经过底层加固的开放操作系统，主要用于安全信息处理、安全通信和业务处理。第二操作系统可以选用开放的操作系统。

本实施例中，所述适用于第一操作系统的软件是指运行在第一操作系统运行环境中的程序。适用于第二操作系统的软件是指，运行在第二操作系统运行环境中的程序。

优选的，所述第一硬件架构101和所述第二硬件架构102之间为主从关系。所述第一硬件架构101控制所述第二硬件架构102的上电、系统管理、重启和关闭。具体的，所述第一硬件架构101可以直接控制或通过设备管理器104控制所述第二硬件架构102的上电、系统管理、重启和关闭。

作为一种优选的可实施方式，所述第一硬件架构101有且只有与所述第三硬件架构103相连的直接数据通路。所述第一硬件架构101和所述第三硬件架构103之间通过第一I/O端口连接。所述第二硬件架构102和所述第三硬件架构103之间通过第二I/O端口连接，并通过有线网络或无线网络与外部开放网络连接。其中，所述第一I/O端口包括串行接口、并行接口中的至少一种，所述第二I/O端口包括串行接口、并行接口中的至少一种。

进一步的，所述第三硬件架构103还用于：对所述第二硬件架构102或所述网络可信设备发送来的与所述第一硬件架构101进行数据交换的请求进行鉴权和认证，并在鉴权和认证成功后，开启所述第二硬件架构102与所述第一硬件架构101之间的数据交换，或所述网络可信设备与所述第一硬件架构101之间的数据交换。即，所述第二硬件架构102和所述网络可信设备均需要通过所述第三硬件架构103的鉴权和认证，才能与第一硬件架构101进行数据交换。

优选的，第一硬件架构101还可以包括：数据加密解密模块，用于对所述第一硬件架构101的输出数据进行加密，以及对输入所述第一硬件架构101的数据进行解密。例如，所述第一硬件架构101运行适用于所述第一操作系统的软件时，采用密文的方式，对适用于所述第一操作系统的软件的数据进行加密，并将加密的数据保存在文件或数据库中。所述第一硬件架构101余外部网络进行数据交互时，采用硬件加密的方式，将待发送的数据加密，将接收到的数据解密。

进一步的，网络设备安全系统还可以包括设备管理器104。设备管理器104与所述第一硬件架构101和所述第二硬件架构102连接，用于获取所述第一硬件架构101的设备连接控制指令，并根据所述设备连接控制指令对连接到所述设备管理器104的外部设备进行管理。所述外部设备包括所述网络设备所集成的CPU外设和位于所述网络设备外部通过有线或无线连接到所述网络设备的外置设备。具体的，设备管理器104根据所述设备连接控制指令使能或禁止所述第一硬件架构101对所述外部设备的使用，以及使能或禁止所述第二硬件架构102对所述外部设备的使用。

本实施例中，网络设备可以为物联网中控设备、智能家居中控设备、智能交通系统、智能工控系统、移动办公设备、手持智能网络设备、智能穿戴设备和可移动部署的智能中控设备中的一种。其中，移动办公设备可以包括笔记本电脑等终端。手持智能网络设备可以包括智能手机、平板电脑等终端。智能穿戴设备可以包括智能手边、智能手环、头戴式显示器等终端。可移动部署的智能中控设备可以包括汽车中控设备、船只中控设备和飞机中控设备等。

综上所述，上述网络设备安全系统，第一硬件架构构成了一个可信的高安全计算空间(或硬件沙箱)，第二硬件架构构成了一个开放灵活的计算空间(或硬件沙箱)，相互构成两个硬件物理隔离的操作系统运行环境，第三硬件架构为所述第一硬件架构和所述第二硬件架构提供内部数据传输通道，所述网络设备安全系统从硬件架构上保证运行在第二硬件架构的操作系统运行环境中的恶意软件无法窃取第一硬件架构的任何数据信息，解决在现有网络设备操作系统中，恶意软件等外部攻击手段利用操作系统可能存在的安全漏洞窃取第一硬件架构中的数据信息的问题，而且在同一设备上可以运行不同操作系统的程序，能够拓宽网络设备的应用范围，使一些专有软件可以继续运行，也有利于对一些安全有特殊要求的应用进行定制，使之运行在与开放操作系统环境中的软件完全隔离的专有操作系统环境中。进一步的，设备管理器执行第一硬件架构的设备连接控制指令，使得容易被恶意软件利用采集用户数据的敏感设备(如MIC/CAMERA/GPS/通信模块等)需要经所述第一硬件架构授权后才能被第一硬件架构或第二硬件架构使用，有利于进一步提高网络设备的安全性和可靠性。

实施例二：

图3是本发明实施例提供的设备管理器实现示意图，详述如下：

本实施例中，设备管理器设有切断所述内部数据传输通道的开关。所述开关可以为软件开关、硬件开关或软硬件结合的开关。例如，第一硬件架构可以向设备管理器发送设备连接控制指令，设备管理器根据设备连接控制指令控制所述开关切断第一硬件架构和第二硬件架构的内部数据传输通道，从而进一步提高网络设备的安全性能。又例如，在所述开关为物理开关时，可以通过人工手动拨动所述开关。

设备管理器由第一硬件架构控制，并实时根据第一硬件架构的控制信号，使能/禁止第一硬件架构和/或第二硬件架构的软件使用特定的外部设备。本实施例中，所述外部设备包括所述网络设备所集成的CPU外设和位于所述网络设备外部、通过有线或无线连接到所述网络设备的外置设备。第一硬件架构对设备管理器的控制信号由相关的处理器单元和数字逻辑单元共同生成。

具体的，第一硬件架构接收外部环境参数、用户指令、第一操作系统软件对外部设备的请求和第二操作系统软件对外部设备的请求。第一硬件架构根据接收到的外部环境参数、用户指令、第一操作系统软件对外部设备的请求，生成使能/禁止所述第一硬件架构连接相应的外部设备的设备连接控制指令。第一硬件架构根据接收到的外部环境参数、用户指令、第二操作系统软件对外部设备的请求，生成使能/禁止所述第二硬件架构连接相应的外部设备的设备连接控制指令。

例如，第一硬件架构生成控制第一硬件架构连接外置设备-1和外置设备-n的第一设备连接控制指令。第一硬件架构生成控制第二硬件架构连接外置设备-2的第二设备连接控制指令。设备管理器根据第一设备连接控制指令，控制第一硬件架构连接外置设备-1和外置设备-n。设备管理器根据第二设备连接控制指令，控制第二硬件架构连接外置设备-2。

优选的，设备管理器还设置有硬件开关。通过硬件开关设置确定某特定外部设备是否允许使用，如果不可以使用，则该外部设备总是不能连接到硬件架构上。具体的，该硬件开关直接连接到数字逻辑单元上，如果该硬件开关处于禁止状态，无论处理器输出什么，对应的外部设备都禁止使用。例如，如果网络设备设置有关闭通信模块的硬件开关，那么当该硬件开关处于关闭状态时，网络设备的通信功能就被关闭，也就是通常所说的使设备处于“飞行状态”。

需要说明的是，具有硬件开关的网络设备的设备连接指令通过第一硬件架构的处理器和数字逻辑单元共同生成，其他网络设备的设备连接指令由第一硬件架构的处理器直接生成。

所述硬件开关可以用于产生拨动，通过所述拨动的方向，指示外部设备是否禁止与所述第一硬件架构或所述第二硬件架构连接，或根据所述处理器和所述数字逻辑单元共同生成的设备连接控制指令与所述第一硬件架构或所述第二硬件架构连接。

具体的，所述硬件开关具体用于产生第一个方向的机械拨动，指示出不允许外部设备与所述第一硬件架构或所述第二硬件架构连接。或所述硬件开关具体用于产生第二个方向的机械拨动，指示出外部设备根据所述处理器和所述数字逻辑单元共同生成的设备连接控制指令与所述第一硬件架构或所述第二硬件架构连接。

进一步的，还可以获取外部设备在某些特定时间段/特定地点是否允许使用的信息，例如通过获取外部设备的定位信息可以判断该外部设备是否可以使用或在某段时间内是否可以使用。例如，通过GPS/WIFI/NFC/基站定位信息/二维码扫描信息等方式获取外部设备的定位信息。如果该外部设备在特定地点不可以使用或者在某段时间内不可以使用，则该外部设备总是不可以连接到硬件架构上。

其中，所述外部设备可以包括独占设备和非独占设备。独占设备包括与第一硬件架构对应的独占设备和与第二硬件架构对应的独占设备。与第一硬件架构对应的独占设备包括仅允许第一硬件架构访问的设备，只适用于第一硬件架构专用的设备。只适用于第一硬件架构专用的设备可以通过系统配置在启动项中配备，或通过获取用户在用户界面的指令进行设置。与第二硬件架构对应的独占设备包括仅允许第二硬件架构访问的设备。

另外，非独占设备可以包括敏感设备和普通设备。其中，容易被恶意软件利用采集用户数据的敏感设备(如MIC/CAMERA/GPS/通信模块等)，通常它支持硬件开关强制关闭或通过用户设置来指定，它需要所述第一硬件架构101授权后才能正常运行。普通设备指除敏感设备之外的设备。设备管理器104使得敏感设备需要经所述第一硬件架构101授权后才能被第二硬件架构102使用，有利于提高网络设备的安全性和可靠性。

具体的，敏感设备可以包括定位设备、麦克风、前摄像头、后摄像头、WLAN模块、移动数据网络模块中的至少一种。普通设备可以包括显示屏、触摸屏、喇叭、耳机扬声器、听筒、按键、加速度传感器、压力传感器、温度传感器、光感应器、距离传感器、陀螺仪中的至少一种输入/输出设备。

实施例三：

参照图4，图4示出了通过第三硬件架构建立网络通道的流程图，详述如下：

步骤S401，向所述第三硬件架构发送运行在所述第一操作系统中的软件的网络通道建立请求。

步骤S402，所述第三硬件架构将所述网络通道建立请求发送至所述第二硬件架构。

步骤S403，所述第二硬件架构将网络通道建立请求发送至网络可信设备，并将接收到的由所述网络可信设备发送来的与所述网络通道建立请求对应的网络通道建立成功信息发送至所述第三硬件架构。

本步骤中，第二硬件架构接收到第三硬件架构发送来的网络通道建立请求后，将所述网络通道建立请求发送至网络可信设备。网络可信设备对所述网络通道建立请求进行鉴权，并在鉴权成功后，向第二硬件架构发送网络通道建立成功信息。第二硬件架构将网络通道建立成功信息发送至第三网络硬件架构。

优选的，在第二硬件架构将网络通道建立请求发送至网络可信设备之前，还包括第二硬件架构根据网络通道建立请求进行网络可信设备的识别判定步骤，具体判定过程可以为：

根据预设的网络可信设备列表，判断网络通道建立请求中的目标设备是否为网络可信设备；所述网络可信设备列表包括所有的网络可信设备；网络可信设备为预先设定能够与网络设备的第一硬件架构传输数据的网络设备；

在判定出目标网络设备为网络可信设备时，将网络通道建立请求发送至目标网络设备，此时目标网络设备即为网络可信设备；

在判定出目标网络设备不是网络可信设备时，不将网络通道建立请求发送至目标网络设备。

进一步的，还可以在所述内部数据传输通道中配置网络可信设备列表更新功能，所述网络可信设备列表更新过程可以为：

所述内部数据传输通道读取系统时间和配置的更新时限，判断更新时限是否到达；

在所述更新时限到达时，连接预设的服务器，更新存储的网络可信设备列表。

优选的，网络可信设备接收到网络通道建立请求以后，首先对网络通道建立请求进行鉴权，在鉴权成功后建立网络通道，并向第二硬件架构发送与所述网络通道建立请求对应的网络通道建立成功信息。其中，网络可信设备对网络通道建立请求鉴权的过程可以为：获取预存的软件结合，并将网络通道建立请求对应的软件与预存的软件集合中的软件匹配，若匹配成功则鉴权成功；否则，鉴权失败。

第二硬件架构接收到网络可信设备发送来的网络通道建立成功信息后，将网络通道建立成功信息发送至第三硬件架构。

步骤S404，所述第三硬件架构将所述网络通道建立成功信息发送至所述第一硬件架构。第一硬件架构接收到所述网络通道建立成功信息后，第一操作系统能够通过所述网络通道与所述网络可信设备传输数据。

优选的，在步骤S402之前，还包括：

所述第三硬件架构对所述网络通道建立请求鉴权，并在鉴权成功后，执行步骤S402。若鉴权失败，则不执行S402。通过所述第三硬件架构对所述网络通道建立请求鉴权，能够进一步提高系统的安全性。

本实施例中，所述第三硬件架构对所述网络通道建立请求鉴权具体为：

将所述网络通道建立请求对应的软件与预存受信软件集合中的受信软件匹配，若匹配成功，则为鉴权成功；否则，鉴权失败。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元、模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述系统中单元、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

在本发明所提供的实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明实施例各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (6)

1.一种网络设备安全系统，其特征在于，包括：

第一硬件架构，用于运行第一操作系统，以及识别并运行适用于所述第一操作系统的软件；

第二硬件架构，用于运行第二操作系统，以及识别并运行适用于所述第二操作系统的软件；

第三硬件架构，用于运行专用系统软件，并为所述第一硬件架构和所述第二硬件架构提供内部数据传输通道，以及为所述第一硬件架构和网络可信设备提供可信数据传输通道；所述网络可信设备通过外部网络与所述第二硬件架构连接；

设备管理器，与所述第一硬件架构和所述第二硬件架构连接，用于获取所述第一硬件架构的设备连接控制指令，并根据所述设备连接控制指令对连接到所述设备管理器的外部设备进行管理控制；

其中，所述第一硬件架构和所述第二硬件架构分别至少包括一个应用处理器和与所述应用处理器连接的存储设备；所述第一操作系统和所述第二操作系统为相同或不同的网络设备操作系统；所述第一操作系统和所述第二操作系统在同一网络设备中相应的硬件架构中运行，构成各自的软件相互独立运行的硬件沙箱；

其中，所述第一硬件架构具体用于接收外部环境参数、用户指令、第一操作系统软件对外部设备的请求和第二操作系统软件对外部设备的请求，并根据接收到的外部环境参数、用户指令、第一操作系统软件对外部设备的请求，生成使能/禁止所述第一硬件架构连接相应的外部设备的设备连接控制指令，以及根据接收到的外部环境参数、用户指令、第二操作系统软件对外部设备的请求，生成使能/禁止所述第二硬件架构连接相应的外部设备的设备连接控制指令；

所述设备管理器设有切断所述内部数据传输通道的开关，该开关为软件开关、硬件开关或软件和硬件结合的开关；

所述第三硬件架构还用于：对所述第二硬件架构或所述网络可信设备发送来的与所述第一硬件架构进行数据交换的请求进行鉴权和认证，并在鉴权和认证成功后，开启所述第二硬件架构与所述第一硬件架构之间的数据交换，或所述网络可信设备与所述第一硬件架构之间的数据交换。

2.根据权利要求1所述的网络设备安全系统，其特征在于，所述设备管理器通过有线或无线方式与所述外部设备连接；所述外部设备包括所述网络设备所集成的CPU外设和位于所述网络设备外部通过有线或无线连接到所述网络设备的外部设备。

3.根据权利要求1或2所述的网络设备安全系统，其特征在于，所述第一硬件架构有且只有与所述第三硬件架构相连的直接数据通路；所述第一硬件架构和所述第三硬件架构通过第一I/O端口连接；所述第二硬件架构和所述第三硬件架构之间通过第二I/O端口连接，并通过有线网络或无线网络与外部开放网络连接；

其中，所述第一I/O端口包括串行接口、并行接口中的至少一种，所述第二I/O端口包括串行接口、并行接口中的至少一种。

4.根据权利要求3所述的网络设备安全系统，其特征在于，所述第三硬件架构包括：

数据加密解密模块，用于对所述第一硬件架构的输出数据进行加密，以及对输入所述第一硬件架构的数据进行解密。

5.根据权利要求1所述的网络设备安全系统，其特征在于，所述第一硬件架构和所述第二硬件架构之间为主从关系；所述第一硬件架构能够控制所述第二硬件架构的上电、系统管理、重启和关闭。

6.根据权利要求1所述的网络设备安全系统，其特征在于，所述网络设备为物联网中控设备、智能家居中控设备、智能交通系统、智能工控系统、移动办公设备、手持智能网络设备、智能穿戴设备和头戴式显示器中的一种。

Images