[發明專利]語義完整的TCP連接隔離與控制方法和系統

無效

• 申請號: 200810037823.6
• 申請日: 2008-05-22
• 公開（公告）號: CN101286978A
• 公開（公告）日: 2008-10-15
• 發明（設計）人: 李建華;訾小超;姚立紅;潘理
• 申請（專利權）人: 上海交通大學;上海鵬越驚虹信息技術發展有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/56;H04L1/16
• 代理公司: 上海交達專利事務所
• 代理人: 王錫麟;王桂忠

技術領域

本發明涉及一種網絡信息安全技術領域的方法和系統，具體是一種語義完整的TCP連接隔離與控制方法和系統。

背景技術

隨著信息技術和網絡互聯技術的發展，網絡與信息安全問題日益突出。由于網絡攻擊方法和黑客技術不斷提高和發展，普通網絡安全產品無法滿足重要網絡和數據的安全需求。對于金融、政府和科研機構等對網絡安全有高等級要求的用戶，它們往往是建立一個專用內部網絡，和公網之間采用物理或邏輯隔離。這就給不同信任域之間的信息交換帶來了不便，各種隔離技術應運而生。

物理隔離技術(GAP技術)最早由美國、以色列提出，該技術利用專用硬件使兩個網絡在不連通的情況下實現數據安全傳輸和資源共享，已被美國、以色列等的軍政、航天、金融等要害部門以及其它電子政務網絡廣泛采用。

國外有Whale公司的e-Gap系統、Spearhead公司的NetGAP等，國內有北京天行網安的天行安全隔離網閘(Topwalk-GAP)，北京京泰的京泰安全信息交流系統(安全網閘)。Whale公司將e-Gap系統定位為應用層的防護設備，該產品通過隔離服務器、數據暫存區、隔離開關(Air?Gap?Switch)，并結合應用層安全控制來達到整體安全。它集成了加密技術、授權認證、PKI、HTTP鏡像、規則過濾、Air?Gap(空氣隔離)等技術構成軟硬一體化安全平臺。Spearhead公司的NetGAP直接連接兩個網絡。通過插在PCI槽的安全電路板與LVDS總線一起實現了“Reflective?GAP”技術，每個安全電路板包含一對雙開關結構，雙開關結構確保了在兩個網絡之間鏈路層隔斷。數據包從外網傳至內網需要經歷會話終止、剝離數據、編碼、惡意代碼掃描、傳輸恢復、會話再生等過程，確保內網的安全性。由于NetGAP對外部與內部服務器的會話請求進行規則過濾后重組，所以出現過安全漏洞，如過濾規則可被特殊編碼攻擊代碼繞過漏洞，外部黑客可通過特殊URL組合穿過NetGAP拒絕規則而訪問內部Web服務器。

TCP連接容易導致很大的安全問題，很多網絡攻擊，如序列號攻擊等，都是針對TCP連接的攻擊。因此，幾乎所有的網絡隔離技術和系統，都不允許TCP連接直接穿透所連接的內網和外網。經研究和分析發現，TCP連接能夠在內外網間得到阻斷，但是TCP連接的語義完整性無法得到保證。具體原因如下：

要實現網絡隔離，需要存在兩個網絡處理單元(這里分別稱為內網處理單元、外網處理單元)。假定由內網的一個客戶端向外網的服務器發起一個TCP連接，原有網絡隔離系統幾乎都使用如下方法進行TCP連接的隔離與控制：內網處理單元先代替外網服務器和內網的客戶端通過三次握手過程完成TCP連接的建立，然后網絡隔離系統基于內網客戶端和所連接的外網服務器的各種特征判斷是否應該支持該服務器和客戶端的信息交換，如果能夠進行信息交換，則內網處理單元將客戶端信息和所連接的服務器信息通過對應的隔離交換技術傳輸到外網處理單元，外網處理單元模擬客戶端向外網服務器發起TCP連接請求，連接建立后，就可以進行相應的數據隔離和信息交換了。

從上述的TCP連接的隔離和數據交換的過程中可以看出，如果客戶端發起TCP連接最終能夠形成數據隔離交換通路，TCP連接的語義完整性就沒有問題。如果最終的TCP連接沒有形成對應的隔離交換通路，則TCP連接的語義完整性就不能得到保證。假如外網服務器目前處于關機狀態，外網處理單元代替客戶端向外網服務器不能完成三次握手過程，也不能成功建立起TCP連接。這時候，外網處理單元只能告知內網處理單元對服務器連接失敗，這時候內網處理單元只能關閉與客戶端已經建立起來的TCP連接，或者通過超時等機制自動關閉TCP連接。這樣對內網的客戶端而言，它不能理解為何TCP連接已經成功建立，又要被“服務器”主動關閉，如果是服務器關閉，TCP握手過程就應該不能成功，而現在握手過程成功后，還沒有進行信息傳遞就已經關閉了。這就是語義完整性，也就是說這種TCP連接隔離與控制方法會破壞TCP連接的完整性。

發明內容

本發明針對現有技術中存在的上述不足，提供一種語義完整的TCP連接隔離與控制方法和系統，使其既可實現TCP連接的安全隔離，也能保證TCP連接語義完整的網絡安全隔離系統。本發明解決了上述網絡安全隔離系統不能保證TCP連接語義完整性的不足，能夠支持各種基于TCP協議的網絡應用，對客戶端呈現出連接和數據交換許可一致的TCP連接特征，即如果能夠建立TCP連接，就能完成基于TCP的數據交換。

本發明是通過如下技術方案實現的：