CN208400132U - 一种多域安全访问终端 - Google Patents

Abstract

本实用新型涉及一种多域安全访问终端。所述多域安全访问终端与统一身份认证系统、云服务器相连，且所述终端包括接口模块、检测模块、认证模块、加密芯片、转码存储单元。所述检测模块与所述接口模块相连，以对所述终端接入互联网的行为进行检测。所述认证模块与所述统一身份认证系统相连，且所述认证模块基于USBKey并通过数字证书对用户身份进行认证。所述转码存储单元与所述加密芯片相连，以对所述终端内置的存储进行硬件级别的转码，且所述转码的算法与所述终端唯一标识相对应。本实用新型实施例的终端设备提升了安全等级，可用于计算机领域。

Description

一种多域安全访问终端

技术领域

本实用新型涉及计算机领域，尤其涉及终端。

背景技术

终端安全是企事业单位信息技术安全体系建设的重要内容。病毒、蠕虫和间谍软件等网络安全问题，极大地威胁和损害终端用户的利益。为了解决这一问题，很多企事业单位都制定了终端安全策略，然而目前仍旧没有一种绝对安全并可完全隔离网络威胁的终端设备。

因此，提升终端的安全等级，使其免于受到网络病毒侵入显得尤为重要。

实用新型内容

本实用新型提供了一种多域安全访问终端，提高了终端设备的安全等级。

第一方面，本实用新型实施例提供了一种多域安全访问终端。所述多域安全访问终端与统一身份认证系统、云服务器相连，且所述终端包括接口模块、检测模块、认证模块、加密芯片、转码存储单元。所述检测模块与所述接口模块相连，以对所述终端接入互联网的行为进行检测。所述认证模块与所述统一身份认证系统相连，且所述认证模块基于USBKey并通过数字证书对用户身份进行认证。所述转码存储单元与所述加密芯片相连，以对所述终端内置的存储进行硬件级别的转码，且所述转码的算法与所述终端唯一标识相对应。

在一个示例中，所述终端包括发送模块。所述接口模块与采集设备相连，以便所述终端调用所述采集设备对应的接口，以采集用户信息。所述终端与多域隔离切换器相连，以便所述发送模块将所述采集的用户信息经所述隔离切换器发送至所述终端对应的云服务器，以便所述云服务器对所述用户信息进行鉴权验证。

在一个示例中，所述加密芯片包括主板、CPU、内存、Bios固件中的一个或多个。

在一个示例中，，所述终端还包括端口管控模块，所述端口管控模块与所述接口模块连接，以实现对所述终端的外设的管控。

在一个示例中，所述终端包括安全操作系统；所述安全操作系统对所述终端的内置存储封装了访问接口，以禁止写入程序。

在一个示例中，所述终端与云服务器相连，并通过所述云服务器将所述终端与用户数据分离，且虚拟桌面和用户数据在所述云服务器存储和处理；且由所述服务器传输到所述终端的是桌面屏幕图像和用户输入输出的指令响应，无用户数据。

在一个示例中，所述终端包括审计模块；且所述审计模块与所述认证模块相连，以便在接收到来自所述认证模块的身份认证信息之后，将所述身份认证信息进行审计以及上报。

在一个示例中，所述终端还与接入网关、虚拟机分别相连；且所述云服务器、接入网关、虚拟机分别存储所述终端的日志记录。

在一个示例中，所述终端还包括桌面协议模块、审计模块、端口管控模块。所述桌面协议模块通过XTTC2.INTF.SW.001外部接口与安全桌面虚拟化平台相连，且采用自主可控的HDP协议，作为桌面接入、桌面管道传输协议。所述审计模块通过XTTC2.INTF.SW.002外部接口与审计事件采集中心相连，且所述XTTC2.INTF.SW.002接口采用sys log机制。所述检测模块通过XTTC2.INTF.SW.003外部接口与外联上报中心相连，以上报非法互联网用户行为。所述端口管控模块通过XTTC2.INTF.SW.007内部接口与外设驱动相连，以提供对所述终端的外设的管控。

在一个示例中，所述接口模块提供1个百/千兆自适应以太网口。

本实用新型实施例的多域安全访问终端支持虚拟桌面呈现功能和域选择功能，能够通过多域隔离切换器完成虚拟桌面协议交互。本实用新型的多域安全访问终端采用安全裁剪加固的操作系统，提供了安全终端运行环境。并且本实用新型的多域安全访问终端内嵌传输防护模块，支持与网络边界防护设备建立传输加密通道。

附图说明

图1是本实用新型实施例提供的多域安全访问终端的系统组成框图；

图2是本实用新型实施例提供的一种多域安全访问终端的逻辑架构图；

图3是本实用新型实施例提供的一种用户登录示意图；

图4是本实用新型实施例提供的统一交换系统使用场景示意图。

具体实施方式

下面通过附图和实施例，对本实用新型的技术方案做进一步的详细描述。

图1是本实用新型提供的多域安全访问终端系统框图。

该多域安全访问终端包括安全操作系统、桌面协议模块、端口管控模块、外联检测模块、身份认证模块、审计模块、加密芯片、计算资源模块、接口模块、转码存储单元、封闭机壳组成。其中，该多域安全访问终端的硬件封闭机壳通常是金属封闭外壳。

该多域安全访问终端提供1个百/千兆自适应以太网口，能够通过多域隔离切换器完成虚拟桌面协议交互。该多域安全访问终端具备4个USB接口，能够连接USB键盘、鼠标、USB-KEY、存储、打印机、扫描仪等。

该多域安全访问终端电源为220V交流供电，可采用国产CPU、Bios固件等。本实用新型的用户数据不在多域安全访问终端本地留存，因此，本实用新型的多域安全访问终端可禁止本地使用USB存储设备。

图1中，安全操作系统通过对国产操作系统自主安全裁剪并对加固而成。安全操作系统对终端的内置存储封装访问接口，可有效避免系统文件被破坏。本实用新型的多域安全访问终端不提供安装软件的途径，用户或者第三方人员，无法自行安装任何软件，可有效防止病毒软件、漏洞利用软件和其他恶意软件造成的安全问题。

本实用新型的多域安全访问终端的身份认证模块、端口管控模块、外联检测模块、审计模块，为用户提供安全可靠的桌面接入运行环境。

桌面协议模块实现桌面协议，用于与安全桌面虚拟化服务平台配合完成提供用户桌面的显示输出，以及键盘鼠标输入，双向音视频能力。

图2是本实用新型实施例提供的多域安全访问终端逻辑架构图。图2中，该多域安全访问终端包括审计模块、管理程序模块、外联检测模块、端口管控模块、身份认证模块、桌面协议模块、密码服务接口、外设驱动、USBKey驱动、设备重定向驱动。

本实用新型的多域安全访问终端的计算资源模块包括主板、CPU、内存、存储等(图1未示意出)。本实用新型的多域安全访问终端的芯片是加密芯片，可采用国产CPU、Bios固件等。接口模块提供与USB、视频、音频等信息输出，包括设备外设驱动、外联检测模块等。转码存储单元根据硬件转码信息将多域安全访问终端与其内置存储双向绑定。限制BIOS仅从内置存储引导系统，引导前会验证硬件转码信息和内置存储的绑定关系。本实用新型的多域安全访问终端能够有效防止数据被篡改，保证本地系统安全。

表1是本实用新型的多域安全访问终端硬件模块功能表。

表1

表2是本实用新型的多域安全访问终端接口表。

表2

本实用新型的多域安全访问终端的安全操作系统经过定制裁剪的国产操作系统而成，为应用软件模块提供安全的运行环境。

本实用新型的多域安全访问终端阻止非法用户接入。

本实用新型的多域安全访问终端可采用USBKey双因素认证方式，非法用户即使窃取密码，没有硬件的USBKey也无法接入。

本实用新型的多域安全访问终端出厂或部署时可导入特定的证书，多域安全访问终端与接入网关可实现双向认证，恶意的终端(如市面上可截屏、存储可写的终端)无法接入安全云。

本实用新型的多域安全访问终端的安全操作系统禁止用户写入程序，可防止恶意代码驻留。

本实用新型的多域安全访问终端不在本地留存数据，用户数据统一于安全云服务端存储。

具体地，安全云系统将多域安全访问终端与用户数据分离，虚拟桌面和用户数据在服务端后台集中存储和处理，传输到终端的仅是桌面屏幕图像和用户输入输出(键盘、鼠标)指令响应，无用户数据，且对数据传输加密。

对本实用新型的多域安全访问终端的外设、虚拟机重定向的外设(如USB口、并口等)精细化控制(如禁止外设、外设只读)，进而保证数据无法拷出。

本实用新型的多域安全访问终端无直接可写存储，屏幕信息亦无法拷屏。

针对于接入安全云的多域安全访问终端用户，在安全云的接入网关、认证系统和虚拟机端均带有完善的日志记录，便于追查责任事故。

图3是本实用新型用户登录示意图。

已经通过统一身份认证系统注册的用户，该用户对应的多域安全访问终端连接采集设备及多域隔离切换器，以接入需要访问的网络，以实现网络实名制认证。已经通过统一身份认证系统注册的用户对应的终端，得到统一身份认证系统发送的认证介质。安全管理员提前配置多域安全访问终端与云桌面服务器连接的网络信息。用户登陆多域安全访问终端，并将认证介质插入采集设备，终端调用设备采集接口，采集用户信息。多域安全访问终端将用户基础信息及用户信息发送至用户身份管理系统服务平台，并等待户身份管理系统服务平台返回认证结果。多域安全访问终端获取用户票据后，与相应云桌面服务器连通，并通过云桌面服务器访问业务系统。

当想用户从A区切换至B区时，切换过程如下：用户需提前在B区的统一身份认证系统注册为合法用户；多域安全访问终端需提前在B区合法配置相应的网络注册信息，并在B区云终端服务器注册；当用户完成A区工作，切换到B区的时候首先退出A区应用，返回到业务统一访问门户，点击要切换的B区应用；多域安全访问终端调用设备采集接口，采集用户信息；并经多域隔离切换器送往B区云终端服务器，经鉴权验证后，访问应用。

图4是本实用新型实施例提供的统一网络接入系统使用场景示意图。

统一网络接入系统和统一认证系统可以协同工作，对于统一网络接入系统的安全终端发起认证时，其部署场景如下：多域安全访问终端必须使用UKEY类设备，完成设备口令登录，获得设备内证书序列号；使用证书序列号生成本地票据；将本地票据发送给隔离交换设备，隔离交换设备部署在网络边界处；隔离交换设备在连通物理网络后，首先将收到的票据发送给AS系统进行验证；AS系统根据证书序列号查找对应的用户，判断其状态和授权策略；如果验证成功，继续处理后续流程；如果验证失败，切断物理连接。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本实用新型的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述的具体实施方式，对本实用新型的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本实用新型的具体实施方式而已，并不用于限定本实用新型的保护范围，凡在本实用新型的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本实用新型的保护范围之内。

Claims (10)

1.一种多域安全访问终端，其特征在于，所述多域安全访问终端与统一身份认证系统、云服务器相连，且所述终端包括接口模块、检测模块、认证模块、加密芯片、转码存储单元；

所述检测模块与所述接口模块相连，以对所述终端接入互联网的行为进行检测；

所述认证模块与所述统一身份认证系统相连，且所述认证模块基于USBKey并通过数字证书对用户身份进行认证；

所述转码存储单元与所述加密芯片相连，以对所述终端内置的存储进行硬件级别的转码，且所述转码的算法与所述终端唯一标识相对应。

2.根据权利要求1所述的终端，其特征在于，所述终端包括发送模块；

所述接口模块与采集设备相连，以便所述终端调用所述采集设备对应的接口，以采集用户信息；

所述终端与多域隔离切换器相连，以便所述发送模块将所述采集的用户信息经所述隔离切换器发送至所述终端对应的云服务器，以便所述云服务器对所述用户信息进行鉴权验证。

3.根据权利要求1所述的终端，其特征在于，所述加密芯片包括主板、CPU、内存、Bios固件中的一个或多个。

4.根据权利要求1所述的终端，其特征在于，所述终端还包括端口管控模块，所述端口管控模块与所述接口模块连接，以实现对所述终端的外设的管控。

5.根据权利要求1所述的终端，其特征在于，所述终端包括安全操作系统；所述安全操作系统对所述终端的内置存储封装了访问接口，以禁止写入程序。

6.根据权利要求1所述的终端，其特征在于，所述终端与云服务器相连，并通过所述云服务器将所述终端与用户数据分离，且虚拟桌面和用户数据在所述云服务器存储和处理；且由所述服务器传输到所述终端的是桌面屏幕图像和用户输入输出的指令响应，无用户数据。

7.根据权利要求1所述的终端，其特征在于，所述终端包括审计模块；且所述审计模块与所述认证模块相连，以便在接收到来自所述认证模块的身份认证信息之后，将所述身份认证信息进行审计以及上报。

8.根据权利要求1所述的终端，其特征在于，所述终端还与接入网关、虚拟机分别相连；且所述云服务器、接入网关、虚拟机分别存储所述终端的日志记录。

9.根据权利要求1所述的终端，其特征在于，所述终端还包括桌面协议模块、审计模块、端口管控模块；

所述桌面协议模块通过XTTC2.INTF.SW.001外部接口与安全桌面虚拟化平台相连，且采用自主可控的HDP协议，作为桌面接入、桌面管道传输协议；

所述审计模块通过XTTC2.INTF.SW.002外部接口与审计事件采集中心相连，且所述XTTC2.INTF.SW.002接口采用syslog机制；

所述检测模块通过XTTC2.INTF.SW.003外部接口与外联上报中心相连，以上报非法互联网用户行为；

所述端口管控模块通过XTTC2.INTF.SW.007内部接口与外设驱动相连，以提供对所述终端的外设的管控。

10.根据权利要求1所述的终端，其特征在于，所述接口模块提供1个百/千兆自适应以太网口。