TWI767673B - 用於單向傳輸的通訊系統及通訊方法 - Google Patents

用於單向傳輸的通訊系統及通訊方法 Download PDF

Info

Publication number
TWI767673B
TWI767673B TW110115317A TW110115317A TWI767673B TW I767673 B TWI767673 B TW I767673B TW 110115317 A TW110115317 A TW 110115317A TW 110115317 A TW110115317 A TW 110115317A TW I767673 B TWI767673 B TW I767673B
Authority
TW
Taiwan
Prior art keywords
server
data packet
processor
programmable logic
data
Prior art date
Application number
TW110115317A
Other languages
English (en)
Other versions
TW202226778A (zh
Inventor
詹元成
許博智
Original Assignee
台灣黑熊網路安全股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 台灣黑熊網路安全股份有限公司 filed Critical 台灣黑熊網路安全股份有限公司
Application granted granted Critical
Publication of TWI767673B publication Critical patent/TWI767673B/zh
Publication of TW202226778A publication Critical patent/TW202226778A/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/1441—Resetting or repowering
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Quality & Reliability (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Power Engineering (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Communication Control (AREA)
  • Electroluminescent Light Sources (AREA)
  • Computer And Data Communications (AREA)

Abstract

本發明提供一種用於單向傳輸的通訊系統及通訊方法。通訊方法包含：藉由伺服器將過濾規則傳輸至可程式化邏輯裝置；藉由伺服器接收訊號且自訊號獲取資料；藉由伺服器封裝資料以產生至少一個資料封包；藉由伺服器將至少一個資料封包傳輸至可程式化邏輯裝置；以及藉由可程式化邏輯裝置根據過濾規則判定是否輸出至少一個資料封包。

Description

用於單向傳輸的通訊系統及通訊方法
本揭露是針對用於單向傳輸的通訊系統及通訊方法。
為了防止安全場域（或OT場域：維運技術站Operation Technology Site）被來自網際網路的電腦病毒或駭客攻擊，單向傳輸技術通常用於在安全場域與非安全場域（或IT場域：資訊技術站）之間執行資料傳輸。單向鏈路可限制訊號的方向，以使得訊號可僅自安全場域傳輸至非安全場域，而訊號不可自非安全場域傳輸至安全場域。然而，即使在安全場域與非安全場域之間實施單向鏈路，安全場域亦並非始終是安全的。舉例而言，安全場域中的裝置易於在韌體升級程序中或在維護週期中受到攻擊。若安全場域中的裝置已經受攻擊，則裝置可將不必要的資訊（諸如惡意病毒）傳輸至非安全場域。因此，如何保護非安全場域中的裝置不受安全場域中的裝置影響是此項技術的另一項重要問題。
因此，本揭露是針對用於單向傳輸的通訊系統及通訊方法。本揭露可防止非安全場域中的裝置受安全場域中的裝置影響。
本發明是針對一種用於單向傳輸的通訊系統。通訊系統包含伺服器及單向鏈路電路。伺服器包含處理器。單向鏈路電路包含可程式化邏輯裝置，其中單向鏈路電路通訊連接至伺服器，其中處理器配置成：將過濾規則傳輸至可程式化邏輯裝置；接收訊號且自所述訊號獲取資料；封裝資料以產生至少一個資料封包；以及將至少一個資料封包傳輸至可程式化邏輯裝置，其中可程式化邏輯裝置配置成：根據過濾規則判定是否輸出至少一個資料封包。
在本發明之一實施例中，處理器藉由對應於公用密鑰的訊息將過濾規則傳輸至可程式化邏輯裝置，其中可程式化邏輯裝置包含：受信任平台模組，其根據對應於公用密鑰的私用密鑰自訊息獲取過濾規則。
在本發明之一實施例中，伺服器更包含：第二可程式化邏輯裝置及監視計時器。第二可程式化邏輯裝置耦接至處理器。監視計時器耦接至第二可程式化邏輯裝置及處理器，其中監視計時器回應於在預配置時間段內未自第二可程式化邏輯裝置接收到命令而重啟處理器使得伺服器重新啟動。
在本發明之一實施例，伺服器更包含主記憶體及儲存媒體。主記憶體耦接至處理器。儲存媒體耦接至處理器，其中儲存媒體儲存內核程式；其中處理器藉由將內核程式加載至主記憶體以啟動伺服器。
在本發明之一實施例，過濾規則與至少一個資料封包的封包格式相關聯。
在本發明之一實施例，封包格式包含專屬標頭，其中專屬標頭包含同步字組及專屬標頭的檢查總和，其中可程式化邏輯裝置藉由根據過濾規則檢查同步字組及檢查總和來判定是否輸出至少一個資料封包。
在本發明之一實施例，專屬標頭更包含以下中的至少一者：系統時戳、資料的雜湊（hash）方法、資料的加密方法、資料的總合大小、至少一個資料封包的資料大小以及至少一個資料封包的序號。
在本發明之一實施例，封包格式為乙太網路（Ethernet）封包格式。
在本發明之一實施例，封包格式更包含：類型長度值訊（type-length-value，TLV）框，其儲存對應於雜湊方法的雜湊值及對應於至少一個資料封包的檔案的目的地檔案名稱中的至少一者。
在本發明之一實施例，伺服器更包含耦接至處理器的收發器，其中處理器經由收發器接收過濾規則。
在本發明之一實施例，伺服器更包含耦接至處理器的收發器，其中處理器經由收發器接收資料。
在本發明之一實施例，訊號對應於雙向協定，其中至少一個資料封包對應於單向協定。
在本發明之一實施例，通訊系統更包含耦接至單向鏈路電路的儲存裝置，其中可程式化邏輯裝置回應於判定不輸出至少一個資料封包而將至少一個資料封包傳輸至儲存裝置。
本發明是針對一種用於單向傳輸的通訊方法。通訊方法包含：藉由伺服器將過濾規則傳輸至可程式化邏輯裝置；藉由伺服器接收訊號且自所述訊號獲取資料；藉由伺服器封裝資料以產生至少一個資料封包；藉由伺服器將至少一個資料封包傳輸至可程式化邏輯裝置；藉由可程式化邏輯裝置根據過濾規則判定是否輸出至少一個資料封包。
鑒於前述內容，本揭露可藉由可過濾資料封包的可程式化邏輯裝置實施單向傳輸通道。不必要的資訊不會自安全場域發送至非安全場域。
為使前述內容更容易理解，如下詳細描述附有附圖之若干實施例。
為了使本揭露更容易理解，下文將若干實施例作為本揭露的實施的實例進行了描述。此外，在適當時，具有相同附圖標記的元件/組件/步驟在圖式及實施例中用於表示相同或類似部分。
圖1示出根據本揭露的實施例的用於單向傳輸的通訊系統10的示意圖。通訊系統10可限制訊號的方向，諸如訊號僅可自OT場域中的至少一個裝置20傳輸至IT場域中的至少一個裝置30。通訊系統10可包含伺服器100及單向鏈路電路200。在一個實施例中，通訊系統10可更包含裝置30，其中裝置30可提供接收伺服器功能，包含解析用於資料完整性功能的專屬標頭、解密以及雜湊。在一個實施例中，通訊系統10可更包含儲存裝置300。單向鏈路電路200可耦接至伺服器100及儲存裝置300。
圖2示出根據本揭露的實施例的伺服器100的示意圖。伺服器100可包含處理器110、主記憶體120、儲存媒體130、可程式化邏輯裝置（programmable logic device；PLD）140、監視計時器（watchdog timer）150、收發器160以及實體層（physical layer；PHY）埠170。
處理器110可為例如中央處理單元（central processing unit；CPU）、可程式化微處理器、數位訊號處理器（digital signal processor；DSP）、可程式化控制器、特殊應用積體電路（application specific integrated circuit；ASIC）、圖形處理單元（graphics processing unit；GPU）、PLD或其他類似元件，或其組合。處理器110可耦接至主記憶體120、儲存媒體130、PLD 140、監視計時器150、收發器160以及PHY 170，且可能夠存取及執行儲存於主記憶體120及儲存媒體130中的模組、軟體或各種應用。
主記憶體120或儲存媒體130可包含例如任何類型的固定或可卸除式隨機存取記憶體（random access memory；RAM）、唯讀記憶體（read-only memory；ROM）、快閃記憶體、硬碟驅動機（hard disk drive；HDD）、固態驅動機（solid state drive；SSD）或類似元件或其組合，其配置成記錄可由處理器110執行的多個模組或各種應用。在本實施例中，儲存媒體130可劃分成系統區域131及暫存區域132。系統區域131可儲存諸如Linux的作業系統（operating system；OS）的內核程式，且系統區域是唯讀的。暫存區域132可儲存諸如日誌檔案的暫時資料。
PLD 140可包含例如可程式化陣列邏輯（programmable array logic；PAL）、通用陣列邏輯（generic array logic；GAL）、複雜PLD（CPLD）、場可程式化閘陣列（field programmable gate array；FPGA）或類似元件，或其組合。PLD 140可由處理器110控制且可耦接至監視計時器150。處理器110可在作業系統的指令下存取PLD 140以週期性地傳輸命令（或特殊位址）以將監視計時器150清零。若監視計時器150在預配置計時器時段內未接收到來自PLD 140的命令，則監視計時器150可重啟處理器110以使得伺服器100重新啟動。
收發器160可無線或有線地傳輸或接收訊號。收發器160可為例如配置成基於通用串列匯流排（universal serial bus；USB）、藍牙（Bluetooth）、Wi-Fi、紫蜂（Zigbee）或其他無線傳輸來接收或發送訊號的傳輸或接收硬體裝置，但不限於此。收發器160亦可執行如下操作：低雜訊放大（low noise amplifying；LNA）、阻抗匹配、頻率混合、上下變頻、過濾、放大以及類似操作。
PHY 170可為乙太網路PHY。處理器110可經由PHY 170以通訊連接至單向鏈路電路200。
圖3示出根據本揭露的實施例的單向鏈路電路200的示意圖。單向鏈路電路200可包含PLD 210、PHY 220、PHY 230以及PHY 240。
PLD 210可包含例如PAL、GAL、CPLD、FPGA或類似組件，或其組合。PLD 210可儲存過濾規則211及受信任平台模組（trusted platform module；TPM）212。PLD 210可分別經由PHY 220、PHY 230以及PHY 240以通訊連接至伺服器100、裝置30以及儲存裝置300（或外部裝置）。
裝置30可包含用於運行裝置30的必要組件，其中所述必要組件可包含但不限於處理器單元（例如處理器）、通訊單元（例如通訊晶片及/或收發器）以及儲存單元（例如RAM、ROM、快閃記憶體、HDD或SSD）。
當啟動伺服器100時，儲存於系統區域131中的內核程式可加載至主記憶體120中，且主記憶體120可變成RAM磁碟以起始作業系統。圖4示出根據本揭露的實施例的在主記憶體120中執行的軟體架構的示意圖。上面加載內核程式的主記憶體120可包含多個模組，諸如協定中斷（protocol break）121、乙太網路代理（Ethernet agent）122、內核層123以及驅動層124。
乙太網路代理122可經由驅動層124週期性地將命令傳輸至監視計時器150。PLD 140可將所述命令轉送至監視計時器150。若處理器受到攻擊，則使得監視計時器150無法在預配置時間段內自乙太網路代理122接收命令。監視計時器150可因此重置處理器110以重啟伺服器100，以便保護協定中斷121及乙太網路代理122不被替換或毀壞。由於內核程式保存於唯讀的系統區域131中，故重啟後伺服器100的功能可與原始伺服器100的功能相同。
處理器110可經由收發器160（例如自裝置20）接收訊號。在一個實施例中，所接收訊號可對應於雙向協定，諸如傳輸控制協定（transmission control protocol；TCP）。在一個實施例中，所接收訊號可對應於單向協定，諸如使用者資料包協定（user datagram protocol；UDP）、即時傳送協定（real time transport protocol；RTP）、簡單網路管理協定（simple network management protocol；SNMP）、路由資訊協定（routing information protocol；RIP）或網域名伺服器（domain name server；DNS）查找。協定中斷121可自所接收通訊協定獲取資料，且乙太網路代理122可藉由所接收資料，使用不同的協定封裝資料來產生至少一個資料封包。所述至少一個資料封包的協定可對應於單向協定。亦即，協定中斷121可回應於所接收資料對應於雙向協定而將所接收資料轉換成對應於單向協定的資料封包。乙太網路代理122可根據內核層123使處理器110經由PHY 170將所述至少一個資料封包傳輸至單向鏈路電路200。
所述至少一個資料封包可以如圖5中所展示的封包格式500封裝。圖5示出根據本揭露的實施例的封包格式500的示意圖。封包格式500可對應於諸如UDP的乙太網路封包格式，其中欄位「DA」可包含目的地位址，欄位「SA」可包含源位址，欄位「類型」可包含乙太（Ether）類型（例如0x0800用於IP封包或0x8100用於IEEE 802.1Q），且欄位「CRC」可包含循環冗餘檢查（cyclic redundancy check；CRC）碼。專屬標頭510可配置在封包格式500的有效負載中，其中專屬標頭510可包含同步字組、加密方法（例如，AES加密）、雜湊方法、系統時戳、對應於所述至少一個資料封包的資料的總合大小（亦即傳輸會話層的總合大小）、所述至少一個資料封包的資料大小（亦即封包大小）、所述至少一個資料封包的序號（亦即傳輸會話層的序號）以及專屬標頭510的檢查總和。對應於封包格式500的所有資料封包皆由乙太網路代理122產生。有效負載資料是根據來自專屬標頭510的資訊利用藉由置換專屬標頭510的雜湊函數而產生的密鑰來進行加密。具有微秒精確度的系統時戳保證不同時間內的相同資料分別經加密為不同加密資料。亦即，每一封包可具有其自身專屬密鑰以用於資料加密。
同步字組
系統時戳（微秒）
加密方法
雜湊方法
會話總大小
會話序號
封包大小
檢查總和
表1
專屬標頭510的檢查總和可根據專屬標頭510中除檢查總和本身以外的所有資料來判定。由於特定資料封包的專屬標頭始終不同於另一資料封包的專屬標頭，故特定資料封包的檢查總和始終不同於另一資料封包的檢查總和。
在一個實施例中，至少一個資料封包的封包格式500可更包含類型長度值（type-length-value；TLV）訊框520。TLV訊框520可儲存對應於專屬標頭510中的雜湊方法的雜湊值，且可儲存對應於至少一個資料封包的檔案的目的地檔案名稱。
PLD 210可經由PHY 220接收藉由伺服器100傳輸的至少一個資料封包。在接收至少一個資料封包之後，PLD 210可根據過濾規則211過濾至少一個資料封包。特定而言，PLD 210可根據專屬標頭510及過濾規則211判定是否輸出至少一個資料封包（例如經由PHY 230輸出至裝置30），其中過濾規則211可與封包格式500或專屬標頭510相關聯。在一個實施例中，過濾規則211可更包含IP位址檢查或UDP埠號。PLD 210可藉由至少檢查同步字組及專屬標頭510的檢查總和來判定是否輸出至少一個資料封包。若同步字組與過濾規則211匹配且檢查總和與專屬標頭510的其他欄位（例如表1中除檢查總和本身以外的所有資料）匹配，則PLD 210可判定經由PHY 230輸出至少一個資料封包。若同步字組或檢查總和中的至少一者不正確，則PLD 210可判定丟棄至少一個資料封包或可判定經由PHY 240將至少一個資料封包傳輸至儲存裝置300（或外部裝置）。儲存裝置300可為例如RAM、ROM、快閃記憶體、HDD、SSD或以上組件的組合，但本揭露不限於此。儲存裝置300可儲存自PLD 210接收到的至少一個資料封包以供使用者參考。前述外部裝置可為例如診斷伺服器。PLD 210可將至少一個資料封包傳輸至外部裝置，使得外部裝置可分析錯誤匹配的封包來自或轉至何處。
在一個實施例中，裝置30可自PLD 210接收至少一個資料封包，其中所述至少一個資料封包可包含專屬標頭510。裝置30可解密所述至少一個資料封包以便保留來自所述至少一個資料封包的資料。裝置30可根據來自專屬標頭510的資訊（諸如專屬標頭510中所述的加密方法或雜湊方法）對所述至少一個資料封包進行解密。在一個實施例中，裝置30可將資料的協定自單向協定轉換為雙向協定。舉例而言，裝置30可在將資料傳輸至另一裝置之前將資料的協定自單向協定轉換為雙向協定。
在一個實施例中，PLD 210可自伺服器100獲取過濾規則211。特定而言，伺服器100的處理器110可經由對應於公用密鑰的訊息將過濾規則211傳輸至PLD 210。舉例而言，處理器110可根據公用密鑰產生攜載過濾規則211的訊息。處理器110可經由收發器160接收過濾規則211。舉例而言，處理器110可經由收發器160以通訊連接至輸入裝置（例如具有鍵盤的電腦）。使用者可操作輸入裝置以將過濾規則211傳輸至伺服器100，其中過濾規則211可根據使用者的需求由使用者定義。
PLD 210可經由PHY 220自伺服器100接收攜載過濾規則211的訊息。在接收訊息之後，TPM 212可對訊息進行解碼以便自所述訊息獲取過濾規則211。TPM 212可根據對應於公用密鑰的私用密鑰對訊息進行解碼。公用密鑰及私用密鑰可分別預儲存於伺服器100及PLD 210中。
圖6示出根據本揭露的實施例的用於單向傳輸的通訊方法的流程圖，其中通訊方法可藉由如圖1中所展示的通訊系統100來實施。在步驟S601中，藉由伺服器將過濾規則傳輸至可程式化邏輯裝置。在步驟S602中，藉由伺服器接收訊號且自所述訊號獲取資料。在步驟S603中，藉由伺服器封裝資料以產生至少一個資料封包。在步驟S604中，藉由伺服器將至少一個資料封包傳輸至可程式化邏輯裝置。在步驟S605中，藉由可程式化邏輯裝置根據過濾規則判定是否輸出至少一個資料封包。
總體而言，本揭露可藉由基於可程式化邏輯裝置（諸如FPGA）在安全場域與非安全場域之間實施單向傳輸頻道來防止不必要的資訊被發送至非安全場域。可程式化邏輯裝置可根據與封包格式相關聯的過濾規則來過濾自安全場域發送至非安全場域的資料封包。因此，不符合封包格式的資料封包無法經由單向傳輸頻道發送至非安全場域。另一方面，本揭露提出一種藉由使用硬體設計監視機制來確保軟體程序（諸如乙太網路代理）不被替換的方法。
用於本申請案的所揭露實施例的詳細描述中的元件、動作或指令不應被解釋為對本揭露來說為絕對關鍵或必要的，除非明確地如此描述。又，如本文中所使用，不定冠詞「一（a/an）」中的每一者可包含多於一個項目。若僅預期一個項目，則將使用術語「單一」或類似語言。此外，如本文中所使用，在多個項目及/或多個項目種類的清單之前的術語「中的任一者」意欲包含所述項目及/或所述項目種類（個別地或結合其他項目及/或其他項目種類）「中的任一者」、「的任何組合」、「中的任何多個」及/或「中的多個的任何組合」。此外，如本文中所使用，術語「集合」意欲包含任何數目個項目，包含零個。此外，如本文中所使用，術語「數目」意欲包含任何數目，包含零個。
所屬領域中具通常知識者將顯而易見，可在不脫離本揭露的範疇或精神的情況下，對所揭露實施例作出各種修改及變化。鑒於前述內容，本揭露意欲覆蓋修改及改變，前提為所述修改及改變屬於以下申請專利範圍及其等效物的範疇內。
10:通訊系統 20、30:裝置 100:伺服器 110:處理器 120:主記憶體 121:協定中斷 122:乙太網路代理 123:內核層 124:驅動層 130:儲存媒體 131:系統區域 132:暫存區域 140、210:可程式化邏輯裝置 150:監視計時器 160:收發器 170、220、230、240:實體層 200:單向鏈路電路 211:過濾規則 212:受信任平台模組 300:儲存裝置 500:封包格式 510:專屬標頭 520:類型長度值訊框 S601、S602、S603、S604、S605:步驟
包含隨附圖式以提供本揭露的進一步理解，且所述隨附圖式併入於本說明書中且構成本說明書的一部分。圖式示出本揭露的實施例，且與描述一起用以解釋本揭露的原理。 圖1示出根據本揭露的實施例的用於單向傳輸的通訊系統的示意圖。 圖2示出根據本揭露的實施例的伺服器的示意圖。 圖3示出根據本揭露的實施例的單向鏈路電路的示意圖。 圖4示出根據本揭露的實施例的在主記憶體中執行的軟體架構的示意圖。 圖5示出根據本揭露的實施例的封包格式的示意圖。 圖6示出根據本揭露的實施例的用於單向傳輸的通訊方法的流程圖。
S601、S602、S603、S604、S605:步驟

Claims (13)

  1. 一種用於單向傳輸的通訊系統，包括：伺服器；以及單向鏈路電路，包括可程式化邏輯裝置，其中所述單向鏈路電路通訊連接至所述伺服器，其中所述伺服器包括處理器、耦接至所述處理器的第二可程式化邏輯裝置以及耦接至所述第二可程式化邏輯裝置及所述處理器的監視計時器，其中所述處理器配置成：將過濾規則傳輸至所述可程式化邏輯裝置；接收訊號且自所述訊號獲取資料；封裝所述資料以產生至少一個資料封包；以及將所述至少一個資料封包傳輸至所述可程式化邏輯裝置，其中所述可程式化邏輯裝置配置成：根據所述過濾規則判定是否輸出所述至少一個資料封包，其中所述監視計時器回應於在預配置時間段內未自所述第二可程式化邏輯裝置接收到命令而重啟所述處理器以使得所述伺服器重新啟動。
  2. 如請求項1所述的通訊系統，其中所述處理器藉由對應於公用密鑰的訊息將所述過濾規則傳輸至所述可程式化邏輯裝置，其中所述可程式化邏輯裝置包括：受信任平台模組，根據對應於所述公用密鑰的私用密鑰自所述訊息獲取所述過濾規則。
  3. 如請求項1所述的通訊系統，其中所述伺服器更包括：主記憶體，耦接至所述處理器；以及儲存媒體，耦接至所述處理器，其中所述儲存媒體儲存內核程式；其中所述處理器藉由將所述內核程式加載至所述主記憶體來重啟所述伺服器。
  4. 如請求項1所述的通訊系統，其中所述過濾規則與所述至少一個資料封包的封包格式相關聯。
  5. 如請求項4所述的通訊系統，其中所述封包格式包括專屬標頭，其中所述專屬標頭包括：同步字組及所述專屬標頭的檢查總和，其中所述可程式化邏輯裝置藉由根據所述過濾規則檢查所述同步字組及所述檢查總和來判定是否輸出所述至少一個資料封包。
  6. 如請求項5所述的通訊系統，其中所述專屬標頭更包括以下中的至少一者：系統時戳、所述資料的雜湊方法、所述資料的加密方法、所述資料的總合大小、所述至少一個資料封包的資料大小以及所述至少一個資料封包的序號。
  7. 如請求項6所述的通訊系統，其中所述封包格式為乙太網路封包格式。
  8. 如請求項7所述的通訊系統，其中所述封包格式更包括：類型長度值訊框，儲存對應於所述雜湊方法的雜湊值及對應 於所述至少一個資料封包的檔案的目的地檔案名稱中的至少一者。
  9. 如請求項1所述的通訊系統，其中所述伺服器更包括：收發器，耦接至所述處理器，其中所述處理器經由所述收發器接收所述過濾規則。
  10. 如請求項1所述的通訊系統，其中所述伺服器更包括：收發器，耦接至所述處理器，其中所述處理器經由所述收發器接收所述訊號。
  11. 如請求項1所述的通訊系統，其中所述訊號對應於雙向協定，其中所述至少一個資料封包對應於單向協定。
  12. 如請求項1所述的通訊系統，更包括：儲存裝置，耦接至所述單向鏈路電路，其中所述可程式化邏輯裝置回應於判定不輸出所述至少一個資料封包而將所述至少一個資料封包傳輸至所述儲存裝置。
  13. 一種用於單向傳輸的通訊方法，包括：藉由伺服器將過濾規則傳輸至可程式化邏輯裝置；藉由所述伺服器接收訊號且自所述訊號獲取資料；藉由所述伺服器封裝所述資料以產生至少一個資料封包；藉由所述伺服器將所述至少一個資料封包傳輸至所述可程式化邏輯裝置；藉由所述可程式化邏輯裝置根據所述過濾規則判定是否輸出所述至少一個資料封包；以及 藉由所述伺服器中的監視計時器回應於在預配置時間段內未自所述伺服器中的第二可程式化邏輯裝置接收到命令而重啟所述服器中的處理器以使得所述伺服器重新啟動。
TW110115317A 2020-12-18 2021-04-28 用於單向傳輸的通訊系統及通訊方法 TWI767673B (zh)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US202063127154P 2020-12-18 2020-12-18
US63/127,154 2020-12-18
US17/192,894 2021-03-05
US17/192,894 US11575652B2 (en) 2020-12-18 2021-03-05 Communication system and communication method for one-way transmission

Publications (2)

Publication Number Publication Date
TWI767673B true TWI767673B (zh) 2022-06-11
TW202226778A TW202226778A (zh) 2022-07-01

Family

ID=76137920

Family Applications (1)

Application Number Title Priority Date Filing Date
TW110115317A TWI767673B (zh) 2020-12-18 2021-04-28 用於單向傳輸的通訊系統及通訊方法

Country Status (8)

Country Link
US (1) US11575652B2 (zh)
EP (1) EP4016957B1 (zh)
JP (1) JP2022097356A (zh)
KR (1) KR20220088266A (zh)
CA (1) CA3121352A1 (zh)
DE (1) DE21175846T1 (zh)
ES (1) ES2921204T3 (zh)
TW (1) TWI767673B (zh)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020080771A1 (en) * 2000-12-21 2002-06-27 802 Systems, Inc. Methods and systems using PLD-based network communication protocols
TW201843981A (zh) * 2017-05-07 2018-12-16 美商高通公司 實現非網際網路協定資料通信期的新無線電蜂巢服務品質

Family Cites Families (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5703562A (en) 1996-11-20 1997-12-30 Sandia Corporation Method for transferring data from an unsecured computer to a secured computer
US7003775B2 (en) * 2001-08-17 2006-02-21 Hewlett-Packard Development Company, L.P. Hardware implementation of an application-level watchdog timer
JP3823089B2 (ja) * 2003-01-27 2006-09-20 インターナショナル・ビジネス・マシーンズ・コーポレーション 固定長データ検索装置、及び固定長データ検索方法、及びコンピュータプログラム、並びにコンピュータ読み取り可能な記録媒体
EP1631914B1 (en) 2003-05-19 2012-09-19 Verizon Patent and Licensing Inc. Method and system for providing secure one-way transfer of data
US9762536B2 (en) 2006-06-27 2017-09-12 Waterfall Security Solutions Ltd. One way secure link
US8352450B1 (en) 2007-04-19 2013-01-08 Owl Computing Technologies, Inc. Database update through a one-way data link
US7649452B2 (en) 2007-06-29 2010-01-19 Waterfall Solutions Ltd. Protection of control networks using a one-way link
US7992209B1 (en) 2007-07-19 2011-08-02 Owl Computing Technologies, Inc. Bilateral communication using multiple one-way data links
US8250358B2 (en) 2009-04-01 2012-08-21 Raytheon Company Data diode system
US9521120B2 (en) 2009-04-23 2016-12-13 General Electric Technology Gmbh Method for securely transmitting control data from a secure network
DE102010011022A1 (de) 2010-03-11 2012-02-16 Siemens Aktiengesellschaft Verfahren zur sicheren unidirektionalen Übertragung von Signalen
GB2495018B (en) 2010-07-19 2017-02-22 Owl Computing Tech Inc Secure acknowledgment device for one-way data transfer system
US20130094619A1 (en) * 2011-10-17 2013-04-18 Qualcomm Incorporated Systems and methods for packet detection
US8893253B2 (en) 2011-11-29 2014-11-18 Bayshore Networks, Inc. Firewall apparatus, systems, and methods employing detection of application anomalies
US8646094B2 (en) 2011-12-07 2014-02-04 Owl Computing Technologies, Inc. Method and apparatus for preventing unauthorized access to information stored in a non-volatile memory
US9736121B2 (en) 2012-07-16 2017-08-15 Owl Cyber Defense Solutions, Llc File manifest filter for unidirectional transfer of files
US8776254B1 (en) 2013-01-23 2014-07-08 Owl Computing Technologies, Inc. System and method for the secure unidirectional transfer of software and software updates
US9306953B2 (en) 2013-02-19 2016-04-05 Owl Computing Technologies, Inc. System and method for secure unidirectional transfer of commands to control equipment
US9426124B2 (en) * 2013-04-08 2016-08-23 Solarflare Communications, Inc. Locked down network interface
US20150030027A1 (en) * 2013-07-26 2015-01-29 Lsi Corporation Switch Device With Device-Specified Bridge Domains
US9088558B2 (en) 2013-08-21 2015-07-21 Owl Computing Technologies, Inc. Secure one-way interface for OPC data transfer
US9444914B2 (en) * 2013-09-16 2016-09-13 Annapurna Labs Ltd. Configurable parser and a method for parsing information units
EP2849407B1 (en) 2013-09-17 2016-11-16 FIREGLASS Ltd. Method and system for prevention of malware infections
US8891546B1 (en) 2014-04-27 2014-11-18 Waterfall Security Solutions Ltd. Protocol splitter
GB201410089D0 (en) 2014-06-06 2014-07-23 Bae Systems Plc Secured network bridge
KR101593168B1 (ko) 2014-09-11 2016-02-18 한국전자통신연구원 물리적 단방향 통신 장치 및 방법
DE102014226398A1 (de) 2014-12-18 2016-06-23 Siemens Aktiengesellschaft Verfahren und Vorrichtung zum rückwirkungsfreien Erfassen von Daten
EP3425865B1 (de) 2017-07-05 2019-12-18 Siemens Mobility GmbH Verfahren und vorrichtung zur rückwirkungsfreien unidirektionalen übertragung von daten an einen abgesetzten anwendungsserver
DE102017217432A1 (de) 2017-09-29 2019-04-04 Siemens Mobility GmbH Konzept zum unidirektionalen Übertragen von Daten
IL268485B (en) 2018-08-13 2022-04-01 Waterfall Security Solutions Ltd Automatic security response using one-way links
US20200127974A1 (en) 2018-10-22 2020-04-23 Owl Cyber Defense Solutions, Llc Cross-domain transfer system using shared memory
US10990737B2 (en) 2019-04-23 2021-04-27 Owl Cyber Defense Solutions, Llc Secure one-way network gateway

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020080771A1 (en) * 2000-12-21 2002-06-27 802 Systems, Inc. Methods and systems using PLD-based network communication protocols
TW201843981A (zh) * 2017-05-07 2018-12-16 美商高通公司 實現非網際網路協定資料通信期的新無線電蜂巢服務品質

Also Published As

Publication number Publication date
KR20220088266A (ko) 2022-06-27
DE21175846T1 (de) 2022-08-18
TW202226778A (zh) 2022-07-01
EP4016957A1 (en) 2022-06-22
CA3121352A1 (en) 2022-06-18
US11575652B2 (en) 2023-02-07
JP2022097356A (ja) 2022-06-30
EP4016957B1 (en) 2023-05-10
US20220200961A1 (en) 2022-06-23
ES2921204T1 (es) 2022-08-19
ES2921204T3 (es) 2023-09-20

Similar Documents

Publication Publication Date Title
US10958627B2 (en) Offloading communication security operations to a network interface controller
US9015467B2 (en) Tagging mechanism for data path security processing
EP4014425B1 (en) Secure publish-subscribe communication methods and apparatus
US8224988B2 (en) Network relay method, network relay apparatus, and network relay program
US11930021B2 (en) Unauthorized frame detection device and unauthorized frame detection method
CN108076037B (zh) 用于使用一次性cookie来防御拒绝服务攻击的装置、系统和方法
Gilad et al. Fragmentation considered vulnerable: blindly intercepting and discarding fragments
US20190124055A1 (en) Ethernet security system and method
US20090178104A1 (en) Method and system for a multi-level security association lookup scheme for internet protocol security
US20140101435A1 (en) Encrypted communication apparatus and control method therefor
WO2022257643A1 (zh) 网络传输层数据处理方法、设备及存储介质
WO2015010512A1 (zh) Gre报文的封装方法、解封装方法及对应的装置
TWI767673B (zh) 用於單向傳輸的通訊系統及通訊方法
TWI765687B (zh) 用於單向傳輸的通訊系統及通訊方法
Schoenwaelder et al. Definition of managed objects for ipv6 over low-power wireless personal area networks (6lowpans)
AU2016374990B2 (en) Apparatus and method for forwarding data packets
WO2023272498A1 (zh) 一种报文转发方法、装置、网络节点及存储介质
JP2006165877A (ja) 通信システム、通信方法および通信プログラム
Zhou Internet Engineering Task Force (IETF) J. Schoenwaelder Request for Comments: 7388 A. Sehgal Category: Standards Track Jacobs University
Schoenwaelder et al. RFC 7388: Definition of Managed Objects for IPv6 over Low-Power Wireless Personal Area Networks (6LoWPANs)