CN111901360A - 一种适用于内网数据安全访问的控制系统 - Google Patents

Abstract

一种适用于内网数据安全访问的控制系统，包括系统启动安全认证子系统和内网连接安全认证子系统。系统启动安全认证子系统解决了终端设备在启动阶段遇到的安全问题，用引导程序自环加密防止其被篡改，设置硬盘读写权限对内网数据隔离存储，终端设备多次启动失败时由数据安全控制芯片执行本地敏感数据擦除；内网连接安全认证子系统解决了终端设备与内网连接时遇到的安全问题，用终端设备固定密钥建立加密数据通道，同步内网访问白名单审计终端设备行为，当审计多次未通过时，由内网网关发出远程敏感数据擦除指令。本发明给出了上述系统的具体逻辑流程和实践策略，可用于对内网数据安全要求高，且要求终端设备具有一定数据保护能力的机构组织中。

Description

一种适用于内网数据安全访问的控制系统

技术领域

本发明属于网络安全技术领域，特别涉及一种适用于内网数据安全访问的控制系统。

背景技术

网络信息技术的发展正在孕育新的工业和技术革命，但也带来巨大的安全风险。黑客对智能汽车、智能家居设备的入侵事件也屡屡发生，Mirai僵尸网络及变种在全球范围已控制上千万的智能摄像头和智能路由器。

目前，内外网物理隔离是最常采用的网络安全防卫模式。但这种模式无法根据安全等级进行保护。由于移动办公已经成为日常工作模式，政府、医疗、金融等并非最高安全等级的部门与行业，必须要在外部访问单位的业务内网处理日常业务，需求量巨大。鉴于内网的高安全性要求，常用的安全网关、VPN等网络安全技术无法保证内外网访问的安全。

发明内容

为了克服上述现有技术的缺点，从根本上快速解决和缓解上述网络安全问题，本发明的目的在于提供一种适用于内网数据安全访问的控制系统(在本发明中，也可简称为内网访问系统)，从网络通信技术的底层设计做起，对终端设备(在本发明中，也可简称为终端)的系统启动安全和内网连接安全进行了保护，一方面保护数据资源免于非授权访问、篡改，另一方面，建立物理硬件级安全通信专用通道，实现数据和通道两个方面的硬件级策略化安全隔离，在增加系统安全性的同时，极大地提高数据处理效率，策略化的安全隔离，规避了以易用性为代价的简单物理隔离。

为了实现上述目的，本发明采用的技术方案是：

一种适用于内网数据安全访问的控制系统，部署在终端设备中，用于实现终端设备对内网资源的安全访问，以保护内网数据安全，其特征在于，包括：

系统启动安全认证子系统，由引导程序自环加密模块、内外网数据隔离模块和敏感数据擦除模块一构成；

内网连接安全认证子系统，由加密网络通道构架模块、终端行为审计模块和敏感数据擦除模块二构成；

其中：

引导程序自环加密模块用于判断终端设备的所述控制系统的引导程序是否被进行了修改；

内外网数据隔离模块用于对内外网数据进行隔离存储；

敏感数据擦除模块一用于在终端设备多次启动失败后自动擦除本地敏感数据；

加密网络通道构架模块用于利用组合秘钥同内网网关建立加密网络通道；

终端行为审计模块用于同步内网访问白名单对终端设备行为进行审计；

敏感数据擦除模块二用于在终端设备多次违反行为审计或发生丢失时自动擦除本地敏感数据。

所述引导程序自环加密模块中，终端设备的所述控制系统启动一个由代码A，代码B和代码C构成的引导程序，代码A，代码B和代码C代码依次执行，完成所述控制系统的引导过程，其中：

代码A为明文代码，直接加载至终端设备引导区的内存中执行，完成终端设备状态的自检和代码B与代码C的解密、执行操作；

代码B为密文代码，使用用户口令key1和代码C存储的秘钥key2进行解密，解密后加载入终端设备引导区的内存中执行，完成终端设备的所述控制系统启动的主体逻辑流程；

代码C为密文代码，使用用户口令key1和代码B的Md5码key3进行解密，解密后加载入终端设备引导区的内存中执行，完成终端设备的所述控制系统启动状态的检测，防止错误的读写权限设置；

终端设备中，所述控制系统启动的具体流程为：通过引导程序自环加密模块，首先执行代码A，然后使用用户口令key1和代码B的Md5码key3对代码C进行解密，进而使用用户口令key1和代码C存储的秘钥key2对代码B进行解密，最后依次执行代码B和代码C完成所述控制系统的启动。

所述代码B的密文代码的MD5码被用作代码C密文代码解密秘钥的一部分，若代码B被修改则，则其密文代码的MD5码也将会被修改，即，仅在代码B未被修改的情况下，整个引导程序才会被顺利解码。

所述加密网络通道的建立过程如下：

在终端设备进行内网访问时，所述控制系统屏蔽终端设备与外网的连接通道，仅建立终端设备与内网网络之间的单对单通信的加密网络通道，且终端设备地址与内网网关均设定固定IP地址和固定端口，在终端设备向内网网关申请建立加密网络通道时，内网访问系统使用用户口令key1和引导程序中内置的内网访问秘钥key4作为身份认证信息的组合秘钥，向内网网关申请，若申请成功，则通道建立成功，否则通道建立失败，其中：内网访问秘钥key4与每个终端设备绑定，用户与终端设备匹配才能申请成功，防止不同用户混用终端设备导致信息泄漏。

所述内外网数据隔离模块通过设置硬盘的读写权限对内外网数据进行隔离存储，其中，终端设备中含有A类硬盘和B类硬盘，A类硬盘负责存储非内网数据，B类硬盘负责存储内网数据，在终端设备进行外网访问时，所述控制系统将终端设备的A类硬盘设置为可读写，B类硬盘设置为不可见，防止B类硬盘中的内网数据泄密到外网中，在终端设备进行内网访问时，所述控制系统将终端设备的A类硬盘设置为只读，B类硬盘设置可读写，防止内网数据写入到A类硬盘中造成泄密。

所述敏感数据擦除模块一和敏感数据擦除模块二，使用数据安全控制芯片接收本地或远程的敏感数据擦除指令，对终端设备存储内网敏感数据的硬盘进行数据擦除，其中：

本地敏感数据擦除指令，在终端设备的所述控制系统多次无法正常引导时本地触发，该指令由数据安全控制芯片发出并执行；远程敏感数据擦除指令，在内网网关检测到终端设备行为审计异常或终端设备丢失时远程触发，该指令由内网网关发出，并由数据安全控制芯片执行；

数据安全控制芯片在执行敏感数据擦除指令时，将使用数据安全控制芯片对B类硬盘中的内网数据进行擦除，所述敏感数据擦除是终端设备在硬件层面直接对B类硬盘进行格式化，擦除存储于其中的内网敏感数据，保证信息数据的绝对安全性。

所述数据安全控制芯片是一种用于网络安全系统防护的安全芯片，通过固定物理电路实现敏感数据擦除指令，包括：数据安全部分，提供安全的加解密算法以及交互协议，主要包括加解密算法控制引擎、授权计数器、真随机数生成器、唯一序列号以及安全EEPROM；网络安全部分，包括网络白名单过滤模块和网络数据处理模块，加解密算法控制引擎包含：私钥安全存储，以支持私钥ECDH操作和ECDSA签名认证；主流的国密以及商用密码加解密算法，对数据流进行高速加密与还原，以适应不同场景安全需要；芯片安全管理供能，对芯片上可读写ROM进行管理，允许专用设备写入，允许远程擦除但不允许读取。其结构在中国专利201910683114.3中有详细描述。

本发明还提供了基于所述适用于内网数据安全访问的控制系统的控制方法，包括：

系统启动安全认证，在启动时使用引导程序自环加密的方式防止引导程序被修改，并设置内外网数据进行隔离存储，当终端设备的所述控制系统多次启动失败后则会由数据安全控制芯片自动执行本地敏感数据擦除指令；

内网连接安全认证，在建立加密数据通道时使用用户口令和数据安全控制芯片中存储的秘钥key4进行身份认证；若通道建立成功，则同步内网访问白名单对终端设备行为进行终端设备身份审计；当终端设备的所述控制系统多次违反终端设备行为审计或发生丢失时，则由内网网关发出远程敏感数据擦除指令。

与现有技术相比，本发明的有益效果是：

1、自环加密认证：本发明中系统启动安全认证子系统提出自环加密认证的方法。其使用三段独立的明文代码和加密代码，互相验证形成闭环，保证终端设备无法被修改，提升了内网访问认证的安全性。

2、加密数据通道：本发明对在进行内网访问时，内网访问系统将屏蔽终端设备与外网的连接通道，仅建立基于终端设备硬件加密的与内网网络之间的单对单通信的加密网络通道，且终端设备地址与内网网关均设定固定IP地址和固定端口。在设备向内网网关申请建立加密网络通道时，内网访问系统使用用户口令和引导程序中基于硬件层面内置的内网访问秘钥作为身份认证信息的组合秘钥向内网网关申请建立通道，防止终端设备被黑客篡改。

3、远程擦除：本发明内网连接安全认证子系统具有远程擦除终端设备敏感数据的特点。当终端设备无法与内网建立安全连接或无法通过终端设备审计时，网关会对终端设备数据安全控制芯片发送远程敏感数据擦除指令，擦除存储于其中的内网敏感数据，保证信息数据的绝对安全性。

附图说明

图1为本发明系统整体结构图。

图2为本发明系统启动安全认证子系统中的引导程序自环加密模块流程图。

图3为本发明系统启动安全认证子系统中的内外网数据隔离模块流程图。

图4为本发明系统启动安全认证子系统中的本地敏感数据擦除模块流程图。

图5为本发明内网连接安全认证子系统中的加密数据通道构建模块流程图。

图6为本发明内网连接安全认证子系统中的终端行为审计模块流程图。

图7为本发明内网连接安全认证子系统中的终端设备远程安全数据擦除模块流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面结合附图和实施例详细说明本发明的实施方式。

参考图1，本发明一种适用于内网数据安全访问的控制系统，主要用于实现终端设备对内网数据的安全访问，包括：

1、系统启动安全认证子系统

系统启动安全认证子系统主要实现不同网络环境下终端设备访问内网时的安全控制，解决终端设备在终端设备系统启动阶段遇到的安全问题，包括引导程序自环加密模块、内外网数据隔离模块和本地敏感数据擦除模块，在启动时使用引导程序自环加密的方式防止引导程序被修改，并设置内外网数据进行隔离存储，当终端设备系统多次启动失败后则会由数据安全控制芯片自动执行本地敏感数据擦除指令。即，其支持对终端设备的启动安全认证、数据隔离存储保护以及敏感数据擦除等安全功能。具体地：

1.1引导程序自环加密模块主要实现终端设备启动时的用户身份安全认证。参考图2，引导程序自环加密模块判断内网访问系统的引导程序是否被进行了修改。终端设备启动时，需对与终端设备使用者进行认证，认证通过方可启动。

引导程序自环加密模块的引导程序由代码A，代码B和代码C构成。三段代码依次执行，完成系统的引导过程。

代码A为明文程序，直接加载至内存中执行，将完成终端设备状态的自检和代码B与代码C的解密、执行等操作。

代码B为密文程序，使用用户口令(key1，由管理员分配给合法用户)和代码C存储的秘钥(key2，由特定硬件设备，如烧录设备，在硬件层面中设定专用唯一的身份ID)进行解密。解密后加载入内存中执行，将完成系统启动的主体逻辑流程。

代码C为密文程序，使用用户口令key1和代码B的MD5码(key3，计算代码B的MD5码得到)进行解密。解密后加载入内存中执行，将完成系统启动状态的检测，主要防止错误的读写权限设置。

具体的内网访问系统启动流程：系统将首先执行代码A，然后使用用户口令key1和代码B的Md5码key3对代码C进行解密，进而使用用户口令key1和代码C存储的秘钥key2对代码B进行解密，最后依次执行代码B和代码C完成系统的启动。

1.2内外网数据隔离模块主要实现终端设备中的内网数据的单独隔离存储，防止数据泄露到外网环境。通过对不同类别的硬盘设置不同的读写权限实现内网数据与外网数据的隔离。

参考图3，终端设备中含有A类硬盘和B类硬盘。A类硬盘负责存储非内网数据，B类硬盘负责存储内网数据。在进行外网访问时，内网访问系统将A类硬盘设置为可读写，B类硬盘设置为不可见，防止B类硬盘中的内网数据泄密到外网中。在进行内网访问时，内网访问系统将A类硬盘设置为只读，B类硬盘设置可读写，防止内网数据写入到A类硬盘中造成泄密。

1.3本地敏感数据擦除模块主要实现安全认证失败时，及时执行数据擦除指令，清除终端设备中的敏感数据。参考图4，系统启动安全认证子系统多次无法正常启动系统后，数据安全控制芯片会对B类硬盘中的内网数据进行擦除。所述敏感数据擦除是终端设备在硬件层面直接对专用内存和B类硬盘进行格式化，擦除存储于其中的内网敏感数据，保证信息数据的绝对安全性，其中擦除指令由数据安全控制芯片执行。

2、内网连接安全认证子系统

内网连接安全认证子系统，解决终端设备与内网连接时遇到的安全问题，包括由加密网络通道构架模块、终端行为审计模块和远程敏感数据擦除模块，在建立加密数据通道时使用用户口令和数据安全控制芯片中存储的固定密钥进行身份认证；若通道建立成功，则同步内网访问白名单对终端设备行为进行终端设备身份审计；当终端设备系统多次违反终端设备行为审计或发生丢失时，则由内网网关发出远程敏感数据擦除指令，即其用于实现对终端设备进行加密网络通道构建、行为审计以及远程擦除等安全功能。具体地：

2.1加密网络通道构建模块主要实现内网网关对连入终端设备的身份识别和访问权限认证。在进行内网访问时，控制系统将屏蔽终端设备与外网的连接通道，仅建立终端设备与内网网络之间的单对单通信的加密网络通道，且终端设备地址与内网网关均设定固定IP地址和固定端口。在设备向内网网关申请建立加密网络通道时，内网访问系统使用用户口令(key1)和引导程序中内置的内网访问秘钥(key4，由特定硬件设备，如烧录设备，在硬件层面中设定专用唯一的身份ID)作为身份认证信息的组合秘钥向内网网关申请，若申请成功则通道建立成功，否则通道建立失败。

可以通过非对称加密算法获取存储在终端设备的组合秘钥(可视为终端设备的身份ID)。参考图5，具体地，当终端设备申请连入内网时：1)终端设备首先向内网网关发送一段包含该终端设备专有私钥加密后的的身份ID的密文和该手机公钥标签的明文。2)内网网关根据公钥明文确定的公钥对身份ID密文进行解密，并与子系统内存储的该公钥的对应终端设备身份ID进行比较。确认终端设备身份ID无误后，内网网关使用该终端设备公钥加密一个随机数发送至终端设备；3)终端设备收到内网网关发送的随机数密文后，使用终端设备存储的私钥进行解密，并将随机数加一后用私钥加密发送给网关安全访问子系统。4)内网网关确认随机数无误后，建立与该终端设备的链接。

2.2终端行为审计模块主要实现对终端设备的行为进行审核，限制流量出入和转发。内网连接安全认证子系统会与内网网关同步一份访问白名单，用以确定终端设备对内网数据的访问权限。

参考图6，终端设备与内网网关建立加密网络通道后，会从内网网关同步一份终端设备访问白名单。当数据安全控制芯片检测到终端设备访问白名单之外的内网数据时，会拒绝此次访问操作。当终端设备绕过数据安全控制芯片，访问白名单之外的内网数据时，内网网关会根据网关中存储的该终端设备的访问白名单，对非法访问进行拒绝。

2.3终端设备远程安全数据擦除模块，该模块接受内网网关的远程敏感数据擦除指令，执行数据擦除操作。

参考图7，在网络通道建立后，需要对该终端设备的安全情况进行认证，若内网网关检测到已丢失终端设备或终端设备多次绕过数据安全控制芯片的白名单进行非法访问后，会对终端设备数据安全控制芯片发送远程铭感数据擦除指令。该指令将在硬件层面直接对专用内存和B类硬盘进行格式化，擦除存储于其中的内网敏感数据，杜绝安全泄密事件，保证信息数据的绝对安全性，其中擦除指令由数据安全控制芯片执行。

本发明给出了上述系统的具体逻辑流程和实践策略，可用于对内网数据安全要求高，且要求终端设备具有一定数据保护能力的机构组织中。

Claims (8)

1.一种适用于内网数据安全访问的控制系统，部署在终端设备中，用于实现终端设备对内网资源的安全访问，以保护内网数据安全，其特征在于，包括：

系统启动安全认证子系统，由引导程序自环加密模块、内外网数据隔离模块和敏感数据擦除模块一构成；

内网连接安全认证子系统，由加密网络通道构架模块、终端行为审计模块和敏感数据擦除模块二构成；

其中：

引导程序自环加密模块用于判断终端设备的所述控制系统的引导程序是否被进行了修改；

内外网数据隔离模块用于对内外网数据进行隔离存储；

敏感数据擦除模块一用于在终端设备多次启动失败后自动擦除本地敏感数据；

加密网络通道构架模块用于利用组合秘钥同内网网关建立加密网络通道；

终端行为审计模块用于同步内网访问白名单对终端设备行为进行审计；

敏感数据擦除模块二用于在终端设备多次违反行为审计或发生丢失时自动擦除本地敏感数据。

2.根据权利要求1所述适用于内网数据安全访问的控制系统，其特征在于，所述引导程序自环加密模块中，终端设备的所述控制系统启动一个由代码A，代码B和代码C构成的引导程序，代码A，代码B和代码C代码依次执行，完成所述控制系统的引导过程，其中：

代码A为明文代码，直接加载至终端设备引导区的内存中执行，完成终端设备状态的自检和代码B与代码C的解密、执行操作；

代码B为密文代码，使用用户口令key1和代码C存储的秘钥key2进行解密，解密后加载入终端设备引导区的内存中执行，完成终端设备的所述控制系统启动的主体逻辑流程；

代码C为密文代码，使用用户口令key1和代码B的Md5码key3进行解密，解密后加载入终端设备引导区的内存中执行，完成终端设备的所述控制系统启动状态的检测，防止错误的读写权限设置；

终端设备中，所述控制系统启动的具体流程为：通过引导程序自环加密模块，首先执行代码A，然后使用用户口令key1和代码B的Md5码key3对代码C进行解密，进而使用用户口令key1和代码C存储的秘钥key2对代码B进行解密，最后依次执行代码B和代码C完成所述控制系统的启动。

3.根据权利要求2所述适用于内网数据安全访问的控制系统，其特征在于，所述代码B的密文代码的MD5码被用作代码C密文代码解密秘钥的一部分，若代码B被修改则，则其密文代码的MD5码也将会被修改，即，仅在代码B未被修改的情况下，整个引导程序才会被顺利解码。

4.根据权利要求1所述适用于内网数据安全访问的控制系统，其特征在于，所述加密网络通道的建立过程如下：

在终端设备进行内网访问时，所述控制系统屏蔽终端设备与外网的连接通道，仅建立终端设备与内网网络之间的单对单通信的加密网络通道，且终端设备地址与内网网关均设定固定IP地址和固定端口，在终端设备向内网网关申请建立加密网络通道时，内网访问系统使用用户口令key1和引导程序中内置的内网访问秘钥key4作为身份认证信息的组合秘钥，向内网网关申请，若申请成功，则通道建立成功，否则通道建立失败，其中：内网访问秘钥key4与每个终端设备绑定，用户与终端设备匹配才能申请成功，防止不同用户混用终端设备导致信息泄漏。

5.根据权利要求1所述适用于内网数据安全访问的控制系统，其特征在于，所述内外网数据隔离模块通过设置硬盘的读写权限对内外网数据进行隔离存储，其中，终端设备中含有A类硬盘和B类硬盘，A类硬盘负责存储非内网数据，B类硬盘负责存储内网数据，在终端设备进行外网访问时，所述控制系统将终端设备的A类硬盘设置为可读写，B类硬盘设置为不可见，防止B类硬盘中的内网数据泄密到外网中，在终端设备进行内网访问时，所述控制系统将终端设备的A类硬盘设置为只读，B类硬盘设置可读写，防止内网数据写入到A类硬盘中造成泄密。

6.根据权利要求5所述适用于内网数据安全访问的控制系统，其特征在于，所述敏感数据擦除模块一和敏感数据擦除模块二，使用数据安全控制芯片接收本地或远程的敏感数据擦除指令，对终端设备存储内网敏感数据的硬盘进行数据擦除，其中：

本地敏感数据擦除指令，在终端设备的所述控制系统多次无法正常引导时本地触发，该指令由数据安全控制芯片发出并执行；远程敏感数据擦除指令，在内网网关检测到终端设备行为审计异常或终端设备丢失时远程触发，该指令由内网网关发出，并由数据安全控制芯片执行；

数据安全控制芯片在执行敏感数据擦除指令时，将使用数据安全控制芯片对B类硬盘中的内网数据进行擦除，所述敏感数据擦除是终端设备在硬件层面直接对B类硬盘进行格式化，擦除存储于其中的内网敏感数据，保证信息数据的绝对安全性。

7.根据权利要求6所述适用于内网数据安全访问的控制系统，其特征在于，所述数据安全控制芯片是一种用于网络安全系统防护的安全芯片，通过固定物理电路实现敏感数据擦除指令，包括：数据安全部分，提供安全的加解密算法以及交互协议，主要包括加解密算法控制引擎、授权计数器、真随机数生成器、唯一序列号以及安全EEPROM；网络安全部分，包括网络白名单过滤模块和网络数据处理模块，加解密算法控制引擎包含：私钥安全存储，以支持私钥ECDH操作和ECDSA签名认证；主流的国密以及商用密码加解密算法，对数据流进行高速加密与还原，以适应不同场景安全需要；芯片安全管理供能，对芯片上可读写ROM进行管理，允许专用设备写入，允许远程擦除但不允许读取。

8.基于权利要求1所述适用于内网数据安全访问的控制系统的控制方法，其特征在于，包括：

系统启动安全认证，在启动时使用引导程序自环加密的方式防止引导程序被修改，并设置内外网数据进行隔离存储，当终端设备的所述控制系统多次启动失败后则会由数据安全控制芯片自动执行本地敏感数据擦除指令；

内网连接安全认证，在建立加密数据通道时使用用户口令和数据安全控制芯片中存储的秘钥key4进行身份认证；若通道建立成功，则同步内网访问白名单对终端设备行为进行终端设备身份审计；当终端设备的所述控制系统多次违反终端设备行为审计或发生丢失时，则由内网网关发出远程敏感数据擦除指令。

Images