CN107181716A - 一种基于国家商用密码算法的网络安全通信系统及方法 - Google Patents

一种基于国家商用密码算法的网络安全通信系统及方法 Download PDF

Info

Publication number
CN107181716A
CN107181716A CN201610135687.9A CN201610135687A CN107181716A CN 107181716 A CN107181716 A CN 107181716A CN 201610135687 A CN201610135687 A CN 201610135687A CN 107181716 A CN107181716 A CN 107181716A
Authority
CN
China
Prior art keywords
state
close
ipsec
bags
bag
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610135687.9A
Other languages
English (en)
Inventor
许小青
杜宇中
李伟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Aerospace Intelligent Equipment Co ltd
Original Assignee
Shanghai Fax Communication Technology Research Institute Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Fax Communication Technology Research Institute Co Ltd filed Critical Shanghai Fax Communication Technology Research Institute Co Ltd
Priority to CN201610135687.9A priority Critical patent/CN107181716A/zh
Publication of CN107181716A publication Critical patent/CN107181716A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0485—Networking architectures for enhanced packet encryption processing, e.g. offloading of IPsec packet processing or efficient security association look-up
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3249—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using RSA or related signature schemes, e.g. Rabin scheme

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种基于国家商用密码算法的网络安全通信系统及方法，包括：国密IPsec驱动模块，嵌入TCP/IP协议处理模块，位于网络层的IPsec协议处理与网络接口层之间，对于外发的IP包和来自网络的ESP包，按过滤规则表进行拦截；国密算法硬件模块，用于实现国家商用密码算法；国密应用模块，分别连接国密IPsec驱动模块和国密算法硬件模块，通过IKE协商过程建立通信双方的IPsec信道和SA，并通过ESP包安全通信过程基于SA进行接收ESP包解密和发送IP包加密。与现有技术相比，本发明实现支持国家商用密码算法的IPsec安全网络通信，具有通信安全性高、生产成本低、实用性强、易于推广应用等优点。

Description

一种基于国家商用密码算法的网络安全通信系统及方法
技术领域
本发明涉及信息安全通信技术领域，尤其是涉及一种基于国家商用密码算法的网络安全通信系统及方法。
背景技术
中国在信息安全行业里起步较晚，由于“先入为主”的观念，目前仍有许多用户在使用国外的网络安全设备。这些设备长期以来都是沿用3DES、SHA-1、RSA等国际通用的加密算法体系及相关标准，可以说用户的信息安全是掌握在国外科技公司的手中。而近年来，国际著名厂商的设备频频曝光各类安全漏洞及威胁事件，越来越多的国际通用密码算法屡屡传出被破解、存在后门等传闻，让人对其安全性产生怀疑。以国际上最为位著名的RSA密码算法为例，中国的三大运营商及不少银行、制造业企业都是它的客户。但就是这样一家世界知名的密码技术企业，却被曝出与美国国家安全局达成协议，被要求在部分加密技术中放置后门。这给中国的用户敲响了警钟——自主可控、安全可信的国产化改造势在必行。
为从根本上摆脱对国外加密技术和设备的过度依赖，国家密码管理局发布了SM1、SM2、SM3、SM4等一系列国家商用密码算法，从加密算法层面推动信息科技的“安全可控”。
IPSec VPN是一种广泛采用的安全远程接入技术，提供公用和专用网络的端对端加密和验证服务。IPsec提供了以下的安全服务：
1、数据机密性(Confidentiality)：IPsec发送方在通过网络传输包前对包进行加密。
2、数据完整性(Data Integrity)：IPsec接收方对发送方发送来的包进行认证，以确保数据在传输过程中没有被篡改。
3、数据来源认证(Data Authentication)：IPsec在接收端可以认证发送IPsec报文的发送端是否合法。
4、防重放(Anti-Replay)：IPsec接收方可检测并拒绝接收过时或重复的报文。
尽管IPsec具有以上这些安全性能，但这些安全性能是由密码算法的安全性来保证的。为了充分发挥IPsec的安全性能，达到安全可控，必须采用国内自有的密码算法。
IPsec是第三层安全协议，windows系统中是由在协议栈的内核部分实现，不方便在其基础上增加国家商用密码算法。也正是由于在内核中实现，与windows版本依赖性太强，更不易实现跨版本的设计。
SM1对称分组密码算法是一种算法非公开的密码算法，只能通过硬件IP来实现，即密码算法只能由硬件模块实现，更加增加了实现难度。为满足100M网络的加/解密速度，现有的实现方案成本高，不利于大规模推广应用，严重阻碍了国家商用密码算法在网络安全方面的普及应用。
发明内容
本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种基于国家商用密码算法的网络安全通信系统及方法，实现支持国家商用密码算法的IPsec安全网络通信，具有通信安全性高、生产成本低、实用性强、易于推广应用等优点。
本发明的目的可以通过以下技术方案来实现：
一种基于国家商用密码算法的网络安全通信系统包括：
国密IPsec驱动模块，嵌入TCP/IP协议处理模块，位于网络层的IPsec协议处理与网络接口层之间，对于外发的IP包，在IPsec协议处理之后按过滤规则表进行拦截，获得向通信对方IP地址外发的IP包，对于来自网络的ESP包，在IPsec协议处理之前按过滤规则表进行拦截，获得来自通信对方IP地址的ESP包，所述过滤规则表包括通信对方IP地址；
国密算法硬件模块，用于实现包含SM1算法、SM2算法、SM3算法和SM4算法的国家商用密码算法；
国密应用模块，分别连接国密IPsec驱动模块和国密算法硬件模块，通过IKE协商过程建立通信双方的IPsec信道和SA(Security Association，安全关联)，并通过ESP包安全通信过程基于SA进行接收ESP包解析、解密和发送IP包加密、组包，ESP包安全通信过程具体为：
对于来自通信对方IP地址的ESP包，国密应用模块利用国密算法硬件模块对来自通信对方IP地址的ESP包进行解密后得到明文IP包，该明文IP包经国密IPsec驱动模块进入IPsec协议处理，对于向通信对方IP地址外发的IP包，国密应用模块利用国密算法硬件模块对向通信对方IP地址外发的IP包进行加密后得到密文ESP包，该密文ESP包经国密IPsec驱动模块和网络接口层发送到网络上。
还包括连接国密应用模块的安全策略配置模块，所述安全策略配置模块用于添加、编辑或删除安全策略配置文件，所述安全策略配置文件包括支持IKE协商过程的第一配置参数、支持ESP包安全通信过程的第二配置参数和远端IP地址，所述国密应用模块读取安全策略配置文件，根据第一配置参数设置IKE协商过程的加解密算法，根据第二配置参数设置ESP包安全通信过程的加解密算法，并将远端IP地址设置为通信对方IP地址后发送给国密IPsec驱动模块，国密IPsec驱动模块将接收到的通信对方IP地址添加到过滤规则表中。
所述第一配置参数设置IKE协商过程的对称分组密码算法为SM1算法或SM4算法，密码杂凑算法为SM3算法，公钥算法为SM2算法。
所述第二配置参数设置ESP包安全通信过程的对称加密算法为SM1算法或SM4算法，密码杂凑算法为SM3算法。
所述国密IPsec驱动模块内嵌有用于支持不同windows系统运行环境的驱动单元，所述驱动单元包含不同windows系统对应的NDIS版本的驱动程序，当国密IPsec驱动模块嵌入TCP/IP协议处理模块后，国密IPsec驱动模块通过驱动单元识别出当前windows系统并安装对应的NDIS版本的驱动程序。
所述国密IPsec驱动模块通过第一回调函数向国密应用模块传输来自通信对方IP地址的ESP包或向通信对方IP地址外发的IP包，所述第一回调函数的内容包括待处理包缓冲区、待处理包长度、包处理后缓冲区和包标识，所述待处理包缓冲区和包处理后缓冲区均由国密IPsec驱动模块分配，并在国密应用模块处理后由国密IPsec驱动模块释放，对于来自通信对方IP地址的ESP包，待处理包缓冲区和包处理后缓冲区指向相同的缓冲区地址，对于向通信对方IP地址外发的IP包，待处理包缓冲区指向的缓冲区地址和包处理后缓冲区指向的缓冲区地址存在设定的偏置量，所述包标识指向包处理后缓冲区的缓冲区地址；
所述国密应用模块通过第二回调函数向国密IPsec驱动模块发送处理后的明文IP包或密文ESP包，所述第二回调函数的内容包括包标识、包处理后缓冲区和包处理后长度。
当包处理后长度的值为零时，表示国密应用模块检测到包错误或者IPsec信道未建立，此时国密IPsec驱动模块抛弃该包，释放包标识指向的缓冲区地址；当包处理后长度的值为非零时，表示国密应用模块检测到包正常，此时国密IPsec驱动模块将返回的明文IP包发送到IPsec协议处理或者将返回的密文ESP包经网络接口层发送到网络上，并释放包标识指向的缓冲区地址。
所述IKE协商过程的消息仅在国密IPsec驱动模块和国密应用模块中处理，其中：
向通信对方发出IKE协商的消息流程为：国密应用模块生成用于IKE协商的UDP包，该UDP包经国密IPsec驱动模块和网络接口层直接发送到网络上；
接收通信对方发出的IKE协商的消息流程为：国密IPsec驱动模块按过滤规则拦截到通信对方发出的UDP包后转发给国密应用模块，国密应用模块利用国密算法硬件模块处理通信对方发出的UDP包。
一种利用如上述系统的基于国家商用密码算法的网络安全通信方法，用于实现第一通信装置和第二通信装置之间的网络安全通信，所述第一通信装置和第二通信装置内均分别设有国密IPsec驱动模块、国密算法硬件模块和国密应用模块，第一通信装置上与第二通信装置之间通信过程为：
1)第一通信装置和第二通信装置分别在各自的过滤规则表中增加对方的IP地址；
2)第一通信装置和第二通信装置通过IKE协商过程建立通信双方的IPsec信道和SA；
3)第一通信装置和第二通信装置通过ESP包安全通信过程进行数据传输。
与现有技术相比，本发明具有以下优点：
1)本发明通过国密IPsec驱动模块和国密应用模块将国密算法硬件模块的国家商用密码算法应用到IPSec安全网络通信中，克服了IPsec的基础上不方便增加国家商用密码算法以及国密算法硬件模块应用不便的困难，由国密IPsec驱动模块实现负责规则匹配、网络包提取、缓存区分配/释放功能，由国密应用模块实现SA协商、ESP包生成/ESP包解析、加密/解密、HMAC验算等数据处理，从而实现利用国内自有的密码算法充分发挥IPSec的安全性能的目标，达到安全可控。
2)本发明中国密IPsec驱动模块内设有驱动单元，安装时能自动识别出windows系统版本，依据识别出的windows系统版本来安装windows系统对应的NDIS版本的驱动程序，从而使得本发明系统能在windowsXP到windows8所有版本的x86、x64系统上运行，实用性强。
3)为了实现通信装置原系统内置的IPsec安全功能和本发明的IPsec安全功能共存，将安全策略文件单独存储于安全策略配置模块中，方便策略项添加、编辑及删除。
4)IPsec的安全性完全处决于对称加密算法、HMAC算法及非对称加密算法的密码强度及实现安全性，本发明中对称加密算法采用SM1或SM4分组密码算法，HMAC算法采用SM3密码杂凑算法，非对称加密算法采用SM2椭圆曲线公钥密码算法，对称加密算法、HMAC算法及非对称加密算法都在国密算法硬件模块由硬件逻辑实现，进一步增加了算法的安全性。
5)本发明中国密IPsec驱动模块和国密应用模块之间通过回调函数实现数据包交互，在ESP安全通信过程，只进行了一次缓冲区的分配/释放操作，不再重新分配缓存区，避免了数据块的多次复制，加快处理速度。
6)本发明中IKE协商过程中的消息只由国密应用模块和国密IPsec驱动模块处理，不会进入协议栈的上层，也不会涉及其它应用模块，减少了被窃取的路径，有效地保证了IKE协商过程的安全性。
7)本发明国密算法硬件模块的加/解密速度达100Mbps，满足100M网络的加/解密速度，相比现有的实现方案，成本低，有利于大规模推广应用，便于实现国家商用密码算法在网络安全方面的普及应用。
附图说明
图1为本发明中网络安全通信系统结构示意图；
图2为本发明中网络安全通信系统数据传输示意图；
图3为实施例中国密应用模块和国密算法硬件模块的硬件结构连接示意图；
图4为ESP包安全通信过程中国密IPsec驱动模块分配缓冲区的结构示意图；
其中，(4a)为对网络上接收到的ESP包分配的缓冲区示意图，(4b)为对要发送到网络上的ESP包分配的缓冲区示意图。
图中：1、国密IPsec驱动模块，2、国密应用模块，3、国密算法硬件模块，4、TCP/IP协议处理模块，41、网络接口层，42、网络层，43、传输层，44、应用层，5、PCIeX1插槽，6、PCIeX1转USB芯片，7、微处理器，8、国密安全芯片。
具体实施方式
下面结合附图和具体实施例对本发明进行详细说明。本实施例以本发明技术方案为前提进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。
本发明提出一种经济型、windows操作系统下、支持国家商用密码算法和IPsec协议的网络安全通信系统，如图1所示，该系统包括工作在User-Mode模式下的国密应用模块2、工作在Kernel-Mode模式下的国密IPsec驱动模块1以及实现国家商用密码算法(包括SM1算法、SM2算法、SM3算法和SM4算法)的国密算法硬件模块3，国密IPsec驱动模块1嵌入TCP/IP协议处理模块4，位于网络层42的IPsec协议处理与网络接口层41之间，国密应用模块2分别连接国密IPsec驱动模块1和国密算法硬件模块3，TCP/IP协议处理模块4由应用层44、传输层43、网络层42和网络接口层41构成。
国密IPsec驱动模块1是一个内核层模块，作为NDIS过滤驱动插入到windows的TCP/IP协议栈中，其逻辑位置是处于windows内置IPsec协议处理模块的下层。其功能是：
1)对于外发的IP包，按过滤规则表执行目的地址匹配，过滤规则表包括通信对方IP地址，若与过滤规则表中的地址项匹配，则获得向通信对方IP地址外发的IP包，把该IP包发送给国密应用模块2，由国密应用模块2进行ESP封包处理后送回到国密IPsec驱动模块1，并由国密IPsec驱动模块1发送到网络上；若目的地址与规则表中没有地址项匹配，则直接把该IP包发送到网络上；
2)对于来自网络的ESP包，在windows内置IPsec协议处理之前实现拦截，与过滤规则表中IP地址进行匹配，满足匹配项，则获得来自通信对方IP地址的ESP包，把该ESP包发送给国密应用模块2进行进一步处理，否则，送回TCP/IP协议栈，由TCP/IP协议栈的上层继续处理。
国密IPsec驱动模块1内嵌有用于支持不同windows系统运行环境的驱动单元，驱动单元包含不同windows系统对应的NDIS版本的驱动程序，当国密IPsec驱动模块1嵌入TCP/IP协议处理模块4后，国密IPsec驱动模块1通过驱动单元识别出当前windows系统并安装对应的NDIS版本的驱动程序，则国密IPsec驱动模块1安装时能自动识别出windows系统版本，依据识别出的windows系统版本来安装windows系统对应的NDIS版本的驱动程序，使得网络安全通信系统应用于PC机上时，能在PC机的windowsXP到windows8所有版本的x86、x64系统上运行。
国密应用模块2是一个windows User-Mode软件模块，实现IPsec协议的全过程，包括SA协商、ESP包生成/ESP包解析、加密/解密、HMAC验算等。其主要包括以下三个功能：
1)安全策略配置
安全策略以文本文件形式存放于单独的安全策略配置文件中，安全策略配置文件存储于连接国密应用模块2的安全策略配置模块，方便策略项添加、编辑及删除。安全策略文件包含支持IKE协商过程的第一配置参数(如：对称密码算法、密码杂凑算法、公钥算法、会话密钥更新周期、重认证周期等)、支持ESP包安全通信过程的第二配置参数(如：对称密码算法、密码杂凑算法等)、鉴权方式、远端IP地址等。
在国密应用模块2启动时会自动读取安全策略文件以导入安全策略，具体为：国密应用模块2启动运行后，首先读取安全策略配置文件，基于配置文件来配置SA协商、ESP相关参数，包括：根据第一配置参数设置IKE协商过程的加解密算法和根据第二配置参数设置ESP包安全通信过程的加解密算法，并且，把读取的远端IP地址设置为通信对方IP地址通过IP地址命令传送到国密IPsec驱动模块1，国密IPsec驱动模块1把这些远端IP地址加入到过滤规则列表中。
国密应用模块2运行过程中，可以通过命令行工具来导入更改的安全策略配置文件以实现安全策略更改功能，即可以通过其他指令直接向国密IPsec驱动模块1添加/删除过滤规则项。
为实现windows内置的IPsec安全功能和本发明的IPsec安全功能共存，windows内部的安全功能配置不能包含安全策略文件中所列举的远端IP地址。
2)调用国密商用密码算法
IPsec协议是一个工业标准网络安全协议，为IP网络通信提供透明的安全服务，通过对称加密算法来保证传输数据的安全保密性，通过HMAC算法来保证数据包的完整性及防篡改，通过非对称加密算法来实现数据源验证。IPsec的安全性完全处决于对称加密算法、HMAC算法及非对称加密算法的密码强度及实现安全性。IETF标准的IPsec都是采用国外标准的对称加密算法(3DES、AES等)、HMAC算法(SHA-1等)及非对称加密算法(DH、RSA等)，存在安全风险及后门风险。为避免上述风险，本发明系统基于国家密码管理局的“IPsec VPN技术规范”(GM/T0022-2014)来实现IPsec功能，对称加密算法采用SM1或SM4分组密码算法，HMAC算法采用SM3密码杂凑算法，非对称加密算法采用SM2椭圆曲线公钥密码算法。对称加密算法、HMAC算法及非对称加密算法都在国密算法硬件模块3由硬件逻辑实现，进一步增加了算法的安全性。对应安全策略配置文件的设置：第一配置参数设置IKE协商过程的对称分组密码算法为SM1算法或SM4算法，密码杂凑算法为SM3算法，公钥算法为SM2算法；第二配置参数设置ESP包安全通信过程的对称加密算法为SM1算法或SM4算法，密码杂凑算法为SM3算法。
3)IKE密钥协商及SA协商过程
IPsec信道由国密应用模块2来创建，IPsec通信过程可以分为两部分：IKE协商阶段的IKE协商过程和ESP通信阶段的ESP包安全通信过程，国密IPsec驱动模块1把过滤规则匹配的收、发网络包都转发到国密应用模块2，国密应用模块2首先要判断对应的IPsec信道是否已经建立(SA是否存在)，若已建立，则按已有IPsec信道通信；若还没有建立，则通过IKE协商过程建立IPsec信道，然后，再进行通信。
IKE协商阶段建立IPsec安全信道，IKE协商过程划分为两个子阶段：主模式(main mode)子阶段和快速模式(quick mode)子阶段。主模式子阶段中需要交换六组消息，快速模式子阶段中需要交换三组消息。IKE协商过程中的消息只由国密应用模块2和国密IPsec驱动模块1处理，不会进入协议栈的上层，也不会涉及其它应用模块。
本机系统发出的IKE消息流程是：
由国密应用模块2生成消息UDP包，通过国密应用模块2与国密IPsec驱动模块1之间的数据发送接口发送到国密IPsec驱动模块1，国密IPsec驱动模块1直接经过网络接口层41把该UDP包外发到网络上。
IKE消息接收流程如下：
<1>国密IPsec驱动模块1拦截到接收方向的网络包后，检查上层协议为UDP，且端口号为500或4500，则判断为IKE协商包；
<2>把该网络包的源IP地址与规则表中的IP地址进行匹配，若匹配上，则通过国密应用模块2与国密IPsec驱动模块1之间的数据接收接口发送给国密应用模块2进行处理；
<3>国密应用模块2处理完成后，释放该IP包占用的缓存区。
4)只需分配一次缓存区的ESP包安全通信过程
IPsec信道建立后，后续的ESP安全通信阶段所有要处理的数据包都来自国密IPsec驱动模块1监测到的并匹配规则的收、发网络包，国密应用模块2通过libusbKAPI控制国密算法硬件模块3采用SM1/SM4国家商用密码算法实现IPsec的对称加/解密，采用SM3密码杂凑算法实现IPsec的HMAC验算，如图2所示，对于来自通信对方IP地址的ESP包，国密应用模块2利用国密算法硬件模块3对来自通信对方IP地址的ESP包进行解密后得到明文IP包，该明文IP包经国密IPsec驱动模块1进入IPsec协议处理，对于向通信对方IP地址外发的IP包，国密应用模块2利用国密算法硬件模块3对向通信对方IP地址外发的IP包进行加密后得到密文ESP包，该密文ESP包经国密IPsec驱动模块1和网络接口层41发送到网络上。
ESP包安全通信过程中，收、发两个方向的都是由国密IPsec驱动模块1截获协议栈中的网络包，分配好缓存区，并把这些包传送到国密应用模块2，则国密应用模块2对网络包变换处理过程中不再重新分配缓存区，而是仅利用国密IPsec驱动模块1所分配的缓存区完成整个包变换过程(发送方向，由IP包生成ESP包；接收方向，由ESP包还原成IP包)，避免了数据块的多次复制，加快处理速度。国密应用模块2处理完成的ESP包(或IP包)仍然在原缓冲区中，回送给国密IPsec驱动模块1，国密IPsec驱动模块1依据包的传输方向把这些包外发到网络上或送入到协议栈；完成包转送后，释放了包所占用的缓冲区，即整个处理过程中只进行了一次缓冲区的分配/释放操作。
综上，在网络安全通信系统中，国密IPsec驱动模块1负责规则匹配、网络包提取、缓存区分配/释放功能；国密应用模块2负责网络包的变换处理功能，处理后的网络包再全部回送回国密IPsec驱动模块1；国密算法硬件模块3提供国家商用密码算法支持。
将网络安全通信系统应用到PC机上分别得到第一通信装置和第二通信装置，则第一通信装置和第二通信装置之间网络通信过程为：
1)第一通信装置和第二通信装置分别在各自的过滤规则表中增加对方的IP地址；
2)第一通信装置和第二通信装置通过IKE协商过程建立通信双方的IPsec信道和SA；
3)第一通信装置和第二通信装置通过ESP包安全通信过程进行数据传输。
如图3所示，国密算法硬件模块3是一个硬件密码卡，由硬件逻辑高速实现SM1、SM2、SM3、SM4国家商用密码算法及硬件随机数生成，可采用通用型国密安全芯片8，例如：TF32A09等国密安全芯片8；国密应用模块2可采用微处理器7，微处理器7要求内置高速USB接口，内置Flash等程序存储器及RAM等数据存储器，具有数据、地址、控制等总线信号；微处理器7通过PCIeX1转USB芯片6插在PC机的PCIeX1插槽5上，PCIeX1转USB芯片6实现PCIeX1接口与USB接口之间的功能转换，PCIeX1转USB芯片6可采用货架式的通用芯片，国密安全芯片8与微处理器7之间通过总线通信，以实现加/解密数据的高速交互。由于都是规模化量产芯片，网络安全通信系统可以做到低成本，适用于大规模推广应用。国密算法硬件模块3的加/解密速度达100Mbps，以适应100M网络的传输速度需求。
国密算法硬件模块3通过国密应用模块2插入PC机后，借用PC机上的PCIeX1物理插槽实现逻辑的USB接口功能，国密应用模块2与国密算法硬件模块3的逻辑USB接口的设备类型采用大容量存储器(Mass Storage Class)类型，windows识别其为大容量存储器设备(MSD)，安装开源的libusbK驱动，使国密算法硬件模块3能够由windows的User-Mode应用程序直接操作，实现了windows版本无关性，国密应用模块2通过专用的APDU指令来控制国密算法硬件模块3实现IPsec的SM1/SM4对称加/解密，HMAC计算的SM3密码杂凑计算/验算、非对称加/解密的SM2签名验算工作。
国密IPsec驱动模块1与国密应用模块2之间的数据包交互是通过回调函数的方法来实现的。具体如下：
1)国密IPsec驱动模块1通过第一回调函数向国密应用模块2传输来自通信对方IP地址的ESP包或向通信对方IP地址外发的IP包，第一回调函数的内容包括待处理包缓冲区、待处理包长度、包处理后缓冲区和包标识，则第一回调函数可表示为：
typedef int(*P_PACKET_CALLBACK)(unsigned char*pInData,unsigned intnSize,unsigned char*pOutData,unsigned int pktid)；
其中：
pInData表示待处理包缓冲区；
nSize表示待处理包长度；
pOutData表示包处理后的缓冲区；
pktid表示包标识。
待处理包缓冲区和包处理后缓冲区均由国密IPsec驱动模块1分配，并在国密应用模块2处理后由国密IPsec驱动模块1释放，包标识指向包处理后缓冲区的缓冲区地址。国密IPsec驱动模块1初始分配一个全长缓存区，然后依据IP包的收发方向设置pInData和pOutData的偏置量。
对于来自通信对方IP地址的ESP包，国密应用模块2执行的处理是变换为IP包，其长度会短于ESP包，因此，待处理包缓冲区和包处理后缓冲区指向相同的缓冲区地址，如图(4a)所示。
对于向通信对方IP地址外发的IP包，国密应用模块2执行的处理是把IP包变换成ESP包，其长度要大于原IP包，并且，在原包的头部要增加内容，则待处理包缓冲区指向的缓冲区地址和包处理后缓冲区指向的缓冲区地址存在设定的偏置量。如图(4b)所示，国密IPsec驱动模块1采用下面的方式来分配缓存：
A、分配一个(IP包长+128)的缓存区pbuf；
B、把IP包放到偏移128字节处，即：pInData的头指针＝pbuf+128；
C、pOutData设置为pbuf，即：pOutData的头指针＝pbuf。
国密应用模块2对包进行变换处理时，从pInData中读取数据进行处理，把处理好的数据写入到pOutData中。
2)国密应用模块2通过第二回调函数向国密IPsec驱动模块1发送处理后的明文IP包或密文ESP包，第二回调函数的内容包括包标识、包处理后缓冲区和包处理后长度，则第二回调函数可表示为：
发送方向的回调函数：bool CommitSendData(unsigned int pktid，unsigned char*pOutData,unsigned int nSizes)；
接收方向的回调函数：bool CommitRecvData(unsigned int pktid，unsigned char*pOutData,unsigned int nSizes)；
其中：
pktid表示包标识，复制P_PACKET_CALLBACK回调函数的pktid；
pOutData表示应用处理后的包缓存区，与P_PACKET_CALLBACK回调函数的pOutData相同；
nSizes表示应用处理后包的长度。当nSizes＝0时，表明应用程序检测到包错误或IPsec链路还没建立，应用要求抛弃该包。国密IPsec驱动模块1只需释放缓存区，而无包需要回送到协议栈上。
CommitSendData()函数实现如下功能：
检查nSizes是否为0，若为0，表明该网络包异常，抛弃该包，释放pktid指定的缓存区；
若nSizes不为0，则把pOutData处长度为nSizes的网络包发送到网络上，发送完成后，释放pktid指定的缓存区。
CommitRecvData()函数实现如下功能：
检查nSizes是否为0，若为0，表明该网络包异常，抛弃该包，释放pktid指定的缓存区；
若nSizes不为0，则把pOutData处长度为nSizes的IP包回送到协议栈中由协议栈的上层继续处理该IP包，回送完成后，释放pktid指定的缓存区。
实际应用时，设PC机A的IP地址为192.168.18.88，PC机B的IP地址为192.168.18.77，该两个PC机之间的网络通信都需要通过国密算法的IPsec安全信道进行保护。实施过程如下：
<1>两个PC机上都要插上国密算法硬件模块3，安装好libusbK驱动；
<2>两个PC机上都安装好国密IPsec驱动模块1；
<3>编辑安全策略配置文件，设置IKE协商安全参数的对称分组密码算法为SM1，密码杂凑算法为SM3，公钥算法为SM2；设置ESP安全参数的对称分组密码算法为SM1，密码杂凑算法为SM3；远端IP地址分别设置为对方的IP地址；
<4>双方都运行国密应用模块2，国密IPsec驱动模块1的过滤规则表中分别增加了一个对方IP地址项；
<5>PC机A上的一个应用程序需要与PC机B上的一个应用程序通信，PC机A内的信息包按图2所示的发送网络数据流方向通过协议栈以IP包结构进入国密IPsec驱动模块1，下面以PC机A内处理过程为例进行说明，PC机B内处理过程同理；
<6>PC机A内的国密IPsec驱动模块1把该IP包内的目的IP地址(192.168.18.77)与过滤规则表进行匹配，过滤规则表中有192.168.18.77地址项，匹配成功；
<7>则PC机A内的国密IPsec驱动模块1把该IP包发送到国密应用模块2；
<8>PC机A内的国密应用模块2检查该IP包的目的IP地址是否已存在SA，若存在，则进入步骤<10>，不存在，则执行步骤<9>；
<9>启动IKE协商过程，建立SA后进入步骤<10>；
<10>PC机A内的国密应用模块2设置国密算法硬件模块3为SM1加密模式，加密密钥为SA的加密会话密钥，对IP包数据进行加密；
<11>PC机A内的国密应用模块2在密文数据前部添加上ESP头，国密应用模块2设置国密算法硬件模块3为SM3杂凑计算模式，密钥为SA的杂凑会话密钥，对ESP头及密文数据进行杂凑计算；
<12>PC机A内的国密应用模块2依据上述数据构建ESP包，由CommitSendData()函数发送到国密IPsec驱动模块1，国密IPsec驱动模块1把该ESP包发送到网络上；
<13>PC机A接收PC机B发出的ESP包按图2中所示接收网络数据流的方向送入到PC机A内的国密IPsec驱动模块1，国密IPsec驱动模块1把该ESP包的源地址(192.168.18.77)与过滤规则表进行匹配，过滤规则表中有192.168.18.77地址项，匹配成功，国密IPsec驱动模块1把该ESP包发送到国密应用模块2；
<14>PC机A内的国密应用模块2检查该网络包的协议类型为ESP，则该网络包执行ESP解析处理；
<15>PC机A内的国密应用模块2设置国密算法硬件模块3为SM3杂凑计算模式，密钥为SA的杂凑会话密钥，对ESP头及密文数据进行杂凑计算，计算结果与ESP包中ESP认证数据比较以验证ESP的完整性；
<16>PC机A内的国密应用模块2设置国密算法硬件模块3为SM1解密模式，解密密钥为SA的加密会话密钥，对ESP包的密文部分进行解密；
<17>PC机A内的国密应用模块2依据解密后的明文恢复为原协议的IP包；
<18>PC机A内的国密应用模块2由CommitRecvData()函数发送到国密IPsec驱动模块1，国密IPsec驱动模块1把该IP包送回到协议栈中，该IP包最后送至PC机内的应用；
<19>重复<10>～<18>之间的步骤，直到通信结束或会话密钥更新。
其中，步骤<9>具体包括以下步骤：
<91>PC机A内的国密应用模块2生成主模式消息1的UDP协议的IP包，由CommitSendData()函数发送到国密IPsec驱动模块1，国密IPsec驱动模块1把该IP包发送到网络上；
<92>PC机A接收PC机B发出的主模式消息2的UDP协议的IP包，送入到PC机A内的国密IPsec驱动模块1，国密IPsec驱动模块1把该IP包的源地址(192.168.18.77)与过滤规则表进行匹配，过滤规则表中有192.168.18.77地址项，匹配成功；
<93>PC机A内的国密IPsec驱动模块1把该IP包发送到国密应用模块2；
<94>PC机A内的国密应用模块2检查该IP包的协议类型为UDP，并且，端口号为500或4500，则由IKE协商过程处理；
<95>PC机A内的国密应用模块2识别该IP包为主模式消息2，则保存该消息携带的公钥签名证书CERT_sig_r及公钥加密证书CERT_enc_r；
<96>PC机A内的国密应用模块2从国密算法硬件模块3得到随机数，并由随机数生成临时密钥Ski；
<97>PC机A内的国密应用模块2设置国密算法硬件模块3为SM1加密模式，加密密钥为Ski，分别对Ni及IDi进行加密；
<98>PC机A内的国密应用模块2设置国密算法硬件模块3为SM2加密模式，加密密钥是从CERT_enc_r证书中得到的公钥pub_r，对Ski加密；
<99>PC机A内的国密应用模块2设置国密算法硬件模块3为SM2签名模式，签名私钥是priv_i，并进行签名；
<910>PC机A内的国密应用模块2依据上述的加密数据、签名数据及签名证书CERT_sig_i、加密证书CERT_enc_i生成主模式消息3，主模式消息3经过国密IPsec驱动模块1发向PC机B；
<911>PC机A接收PC机B发出的主模式消息4的UDP协议的IP包，送入到PC机A内的国密IPsec驱动模块1，与步骤<92>、<93>、<94>相同的方式到达国密应用模块2的IKE协商过程；
<912>PC机A内的国密应用模块2识别该IP包为主模式消息4，国密应用模块2设置国密算法硬件模块3为SM2解密模式，解密密钥为解密出Skr；
<913>PC机A内的国密应用模块2设置国密算法硬件模块3为SM1解密模式，解密密钥为Skr，分别解密出Nr、IDr；
<914>PC机A内的国密应用模块2设置国密算法硬件模块3为SM2签名验算模式，签名共钥是签名证书CERT_sig_r的公钥pub_r，并进行验算；
<915>采用上述同样方法处理主模式的其余消息及快速模式消息，最终建立IPsec信道，创建SA，进入步骤<10>。

Claims (9)

1.一种基于国家商用密码算法的网络安全通信系统，其特征在于，包括：
国密IPsec驱动模块(1)，嵌入TCP/IP协议处理模块(4)，位于网络层(42)的IPsec协议处理与网络接口层(41)之间，对于外发的IP包，在IPsec协议处理之后按过滤规则表进行拦截，获得向通信对方IP地址外发的IP包，对于来自网络的ESP包，在IPsec协议处理之前按过滤规则表进行拦截，获得来自通信对方IP地址的ESP包，所述过滤规则表包括通信对方IP地址；
国密算法硬件模块(3)，用于实现包含SM1算法、SM2算法、SM3算法和SM4算法的国家商用密码算法；
国密应用模块(2)，分别连接国密IPsec驱动模块(1)和国密算法硬件模块(3)，通过IKE协商过程建立通信双方的IPsec信道和SA，并通过ESP包安全通信过程基于SA进行接收ESP包解析、解密和发送IP包加密、组包，ESP包安全通信过程具体为：
对于来自通信对方IP地址的ESP包，国密应用模块(2)利用国密算法硬件模块(3)对来自通信对方IP地址的ESP包进行解密后得到明文IP包，该明文IP包经国密IPsec驱动模块(1)进入IPsec协议处理，对于向通信对方IP地址外发的IP包，国密应用模块(2)利用国密算法硬件模块(3)对向通信对方IP地址外发的IP包进行加密后得到密文ESP包，该密文ESP包经国密IPsec驱动模块(1)和网络接口层(41)发送到网络上。
2.根据权利要求1所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，还包括连接国密应用模块(2)的安全策略配置模块，所述安全策略配置模块用于添加、编辑或删除安全策略配置文件，所述安全策略配置文件包括支持IKE协商过程的第一配置参数、支持ESP包安全通信过程的第二配置参数和远端IP地址，所述国密应用模块(2)读取安全策略配置文件，根据第一配置参数设置IKE协商过程的加解密算法，根据第二配置参数设置ESP包安全通信过程的加解密算法，并将远端IP地址设置为通信对方IP地址后发送给国密IPsec驱动模块(1)，国密IPsec驱动模块(1)将接收到的通信对方IP地址添加到过滤规则表中。
3.根据权利要求2所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，所述第一配置参数设置IKE协商过程的对称分组密码算法为SM1算法或SM4算法，密码杂凑算法为SM3算法，公钥算法为SM2算法。
4.根据权利要求2所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，所述第二配置参数设置ESP包安全通信过程的对称加密算法为SM1算法或SM4算法，密码杂凑算法为SM3算法。
5.根据权利要求1所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，所述国密IPsec驱动模块(1)内嵌有用于支持不同windows系统运行环境的驱动单元，所述驱动单元包含不同windows系统对应的NDIS版本的驱动程序，当国密IPsec驱动模块(1)嵌入TCP/IP协议处理模块(4)后，国密IPsec驱动模块(1)通过驱动单元识别出当前windows系统并安装对应的NDIS版本的驱动程序。
6.根据权利要求1所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，所述国密IPsec驱动模块(1)通过第一回调函数向国密应用模块(2)传输来自通信对方IP地址的ESP包或向通信对方IP地址外发的IP包，所述第一回调函数的内容包括待处理包缓冲区、待处理包长度、包处理后缓冲区和包标识，所述待处理包缓冲区和包处理后缓冲区均由国密IPsec驱动模块(1)分配，并在国密应用模块(2)处理后由国密IPsec驱动模块(1)释放，对于来自通信对方IP地址的ESP包，待处理包缓冲区和包处理后缓冲区指向相同的缓冲区地址，对于向通信对方IP地址外发的IP包，待处理包缓冲区指向的缓冲区地址和包处理后缓冲区指向的缓冲区地址存在设定的偏置量，所述包标识指向包处理后缓冲区的缓冲区地址；
所述国密应用模块(2)通过第二回调函数向国密IPsec驱动模块(1)发送处理后的明文IP包或密文ESP包，所述第二回调函数的内容包括包标识、包处理后缓冲区和包处理后长度。
7.根据权利要求6所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，当包处理后长度的值为零时，表示国密应用模块(2)检测到包错误或者IPsec信道未建立，此时国密IPsec驱动模块(1)抛弃该包，释放包标识指向的缓冲区地址；当包处理后长度的值为非零时，表示国密应用模块(2)检测到包正常，此时国密IPsec驱动模块(1)将返回的明文IP包发送到IPsec协议处理或者将返回的密文ESP包经网络接口层(41)发送到网络上，并释放包标识指向的缓冲区地址。
8.根据权利要求1所述的一种基于国家商用密码算法的网络安全通信系统，其特征在于，所述IKE协商过程的消息仅在国密IPsec驱动模块(1)和国密应用模块(2)中处理，其中：
向通信对方发出IKE协商的消息流程为：国密应用模块(2)生成用于IKE协商的UDP包，该UDP包经国密IPsec驱动模块(1)和网络接口层(41)直接发送到网络上；
接收通信对方发出的IKE协商的消息流程为：国密IPsec驱动模块(1)按过滤规则拦截到通信对方发出的UDP包后转发给国密应用模块(2)，国密应用模块(2)利用国密算法硬件模块(3)处理通信对方发出的UDP包。
9.一种利用如权利要求1所述系统的基于国家商用密码算法的网络安全通信方法，用于实现第一通信装置和第二通信装置之间的网络安全通信，其特征在于，所述第一通信装置和第二通信装置内均分别设有国密IPsec驱动模块(1)、国密算法硬件模块(3)和国密应用模块(2)，第一通信装置上与第二通信装置之间通信过程为：
1)第一通信装置和第二通信装置分别在各自的过滤规则表中增加对方的IP地址；
2)第一通信装置和第二通信装置通过IKE协商过程建立通信双方的IPsec信道和SA；
3)第一通信装置和第二通信装置通过ESP包安全通信过程进行数据传输。
CN201610135687.9A 2016-03-10 2016-03-10 一种基于国家商用密码算法的网络安全通信系统及方法 Pending CN107181716A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610135687.9A CN107181716A (zh) 2016-03-10 2016-03-10 一种基于国家商用密码算法的网络安全通信系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610135687.9A CN107181716A (zh) 2016-03-10 2016-03-10 一种基于国家商用密码算法的网络安全通信系统及方法

Publications (1)

Publication Number Publication Date
CN107181716A true CN107181716A (zh) 2017-09-19

Family

ID=59830247

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610135687.9A Pending CN107181716A (zh) 2016-03-10 2016-03-10 一种基于国家商用密码算法的网络安全通信系统及方法

Country Status (1)

Country Link
CN (1) CN107181716A (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107645513A (zh) * 2017-10-24 2018-01-30 哈尔滨工业大学（威海） 一种IPsec内容审计装置及方法
CN109344639A (zh) * 2018-10-30 2019-02-15 南方电网科学研究院有限责任公司 一种配网自动化双重防护安全芯片、数据传输方法及设备
CN110381067A (zh) * 2019-07-24 2019-10-25 北京视界云天科技有限公司 Ip包加密方法、解密方法及其装置
CN110401532A (zh) * 2019-08-08 2019-11-01 昆高新芯微电子(江苏)有限公司 一种基于国密算法的以太网数据加解密处理方法
CN110597751A (zh) * 2019-08-30 2019-12-20 北京三未信安科技发展有限公司 一种pci密码卡访问方法、系统、存储介质及计算机设备
CN112733175A (zh) * 2021-01-22 2021-04-30 浪潮思科网络科技有限公司 一种基于esp协议的数据加密方法及设备
CN113992432A (zh) * 2021-12-24 2022-01-28 南京中孚信息技术有限公司 消息处理方法、消息总线系统、计算机设备及存储介质
CN114390027A (zh) * 2022-03-24 2022-04-22 恒生电子股份有限公司 一种网络通信方法、装置、设备及介质
CN117254976A (zh) * 2023-11-15 2023-12-19 杭州海康威视数字技术股份有限公司 基于VPP的国标IPsec VPN实现方法、装置、系统及电子设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040225895A1 (en) * 2003-05-05 2004-11-11 Lucent Technologies Inc. Method and apparatus for providing adaptive VPN to enable different security levels in virtual private networks (VPNs)
US20080104693A1 (en) * 2006-09-29 2008-05-01 Mcalister Donald Transporting keys between security protocols
CN102347870A (zh) * 2010-07-29 2012-02-08 中国电信股份有限公司 一种流量安全检测方法、设备和系统
CN104468309A (zh) * 2014-10-31 2015-03-25 成都卫士通信息产业股份有限公司 一种低速smp与高速密码卡的高效适配方法
CN104468519A (zh) * 2014-11-12 2015-03-25 成都卫士通信息产业股份有限公司 一种嵌入式电力安全防护终端加密装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040225895A1 (en) * 2003-05-05 2004-11-11 Lucent Technologies Inc. Method and apparatus for providing adaptive VPN to enable different security levels in virtual private networks (VPNs)
US20080104693A1 (en) * 2006-09-29 2008-05-01 Mcalister Donald Transporting keys between security protocols
CN102347870A (zh) * 2010-07-29 2012-02-08 中国电信股份有限公司 一种流量安全检测方法、设备和系统
CN104468309A (zh) * 2014-10-31 2015-03-25 成都卫士通信息产业股份有限公司 一种低速smp与高速密码卡的高效适配方法
CN104468519A (zh) * 2014-11-12 2015-03-25 成都卫士通信息产业股份有限公司 一种嵌入式电力安全防护终端加密装置

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
JEAN PAUL DEGABRIELE ,等: "On the (in)security of IPsec in MAC-then-encrypt configurations", 《CCS \'10: PROCEEDINGS OF THE 17TH ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY》 *
张朕荣: "一种将国密算法添加至Openswan的方法", 《现代计算机(专业版)》 *
张朕荣: "一种将国密算法添加至Openswan的方法", 《现代计算机(专业版)》, no. 06, 25 February 2015 (2015-02-25), pages 2 *

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107645513A (zh) * 2017-10-24 2018-01-30 哈尔滨工业大学（威海） 一种IPsec内容审计装置及方法
CN109344639A (zh) * 2018-10-30 2019-02-15 南方电网科学研究院有限责任公司 一种配网自动化双重防护安全芯片、数据传输方法及设备
CN110381067A (zh) * 2019-07-24 2019-10-25 北京视界云天科技有限公司 Ip包加密方法、解密方法及其装置
CN110381067B (zh) * 2019-07-24 2022-02-08 北京视界云天科技有限公司 Ip包加密方法、解密方法及其装置
CN110401532A (zh) * 2019-08-08 2019-11-01 昆高新芯微电子(江苏)有限公司 一种基于国密算法的以太网数据加解密处理方法
CN110597751A (zh) * 2019-08-30 2019-12-20 北京三未信安科技发展有限公司 一种pci密码卡访问方法、系统、存储介质及计算机设备
CN112733175A (zh) * 2021-01-22 2021-04-30 浪潮思科网络科技有限公司 一种基于esp协议的数据加密方法及设备
CN113992432A (zh) * 2021-12-24 2022-01-28 南京中孚信息技术有限公司 消息处理方法、消息总线系统、计算机设备及存储介质
CN114390027A (zh) * 2022-03-24 2022-04-22 恒生电子股份有限公司 一种网络通信方法、装置、设备及介质
CN117254976A (zh) * 2023-11-15 2023-12-19 杭州海康威视数字技术股份有限公司 基于VPP的国标IPsec VPN实现方法、装置、系统及电子设备
CN117254976B (zh) * 2023-11-15 2024-03-19 杭州海康威视数字技术股份有限公司 基于VPP的国标IPsec VPN实现方法、装置、系统及电子设备

Similar Documents

Publication Publication Date Title
CN107181716A (zh) 一种基于国家商用密码算法的网络安全通信系统及方法
CN100594690C (zh) 一种安全网关中进行安全策略统一处理的方法及装置
CN102882789B (zh) 一种数据报文处理方法、系统及设备
CN105763557B (zh) 交换芯片或np与cpu协同完成报文ipsec加密的方法与系统
CN104023013B (zh) 数据传输方法、服务端和客户端
CN1949765B (zh) 获得被管设备的ssh主机公开密钥的方法和系统
CN102118426B (zh) 网络安全支付终端及其网络安全支付方法
CN101834840A (zh) 具有业务可视性的用于端到端网络安全性的高效密钥推导
CN103729940A (zh) 一种终端主密钥tmk安全下载方法及系统
CN104579679B (zh) 用于农配网通信设备的无线公网数据转发方法
CN110753344B (zh) 基于NB-IoT的智能表安全接入系统
CN106357690B (zh) 一种数据传输方法、数据发送装置及数据接收装置
CN102685119A (zh) 数据发送/接收方法及装置、传输方法及系统、服务器
TW202121868A (zh) 資料的加解密方法、裝置、存儲介質及加密文件
CN104901803A (zh) 一种基于cpk标识认证技术的数据交互安全保护方法
CN110430178A (zh) 一种用于网络安全系统防护的安全芯片及使用该芯片的网络安全系统
CN107249002B (zh) 一种提高智能电能表安全性的方法、系统及装置
CN103269301A (zh) 桌面型IPSecVPN密码机及组网方法
CN113709119B (zh) 一种密码安全网关、系统及使用方法
CN101179470A (zh) 一种基于双协议vpn的实现方法
CN103684759A (zh) 一种终端数据加密方法和装置
CN112804265B (zh) 一种单向网闸接口电路、方法及可读存储介质
KR20140091221A (ko) 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법
CN102970134A (zh) 将硬件密码设备的算法用于pkcs#7数据封装的方法及系统
CN205510107U (zh) 一种网络安全通信装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right

Effective date of registration: 20180329

Address after: 201112 No. 3286, Ting Lou Road, Shanghai, Minhang District

Applicant after: Shanghai Aerospace Intelligent Equipment Co.,Ltd.

Address before: 200233 Tianlin Road, Shanghai, 128-2 No.

Applicant before: SHANGHAI FAX COMMUNICATION EQUIPMENT TECHNOLOGY RESEARCH INSTITUTE CO.,LTD.

TA01 Transfer of patent application right
AD01 Patent right deemed abandoned

Effective date of abandoning: 20240319

AD01 Patent right deemed abandoned