[發明專利]一種抗隱蔽通道的信息隔離方法及裝置

有效

• 申請號: 201410363940.7
• 申請日: 2014-07-28
• 公開（公告）號: CN104270222B
• 公開（公告）日: 2017-09-12
• 發明（設計）人: 李鳳華;談苗苗;趙甫;李昕;耿魁;劉振權
• 申請（專利權）人: 中國科學院信息工程研究所;北京航天數控系統有限公司
• 主分類號: H04L1/00
• 分類號: H04L1/00;H04L1/06
• 代理公司: 北京安信方達知識產權代理有限公司11262
• 代理人: 李紅爽,栗若木

技術領域

本發明涉及通信領域，尤其涉及一種抗隱蔽通道的信息隔離方法及裝置。

背景技術

隨著計算機和網絡技術的發展，特別是云計算和物聯網技術的快速發展，企業、銀行、學校、政府、軍隊等部門均建立了自己的各種計算機網絡和業務信息系統，各信息系統之間的信息安全交互需求也越發強烈。這些部門既需要高安全的網絡環境，又需要數據交換及資源共享，對信息交互的實時性、可靠性、安全性等方面提出了高的要求。

網絡的開放性使得網絡安全和信息保密成為了一個至關重要的問題。傳統的物理隔離方法通常需要以人工方式(如通過U盤、光盤等介質)將數據從一個網絡導入另一網絡，這種方法效率低、成本高，容易將病毒在不同網絡間擺渡。盡管現在已經有防火墻、安全網關、隔離網閘等基于策略或專有協議的保護來提升網絡環境的安全性，但這些技術手段還存在不足，尤其不能抵抗來自隱蔽通道的攻擊，不足以滿足跨網、跨行業信息系統互聯和數據共享所需的安全要求。

發明內容

本發明要解決的技術問題是在網絡間進行數據交換時如何保證抗隱蔽通道特性及數據傳輸的高可靠性。

為了解決上述問題，本發明提供了一種抗隱蔽通道的網絡隔離通信方法，包括：

將第一網絡和第二網絡通過隔離控制裝置相連；所述隔離控制裝置包括第一接口、第二接口、P個控制單元C_i，P為正整數，i取值為從1到P的整數；所述控制單元包括中間轉發模塊、上行數據緩沖區及下行數據緩沖區；

當所述第一接口收到所述第一網絡發送給所述第二網絡的上行通信數據時，將該上行通信數據拆分為多個作業包，發送給所述控制單元C₁的上行數據緩沖區；當控制單元C_i的上行數據緩沖區里有作業包時，控制單元C_i的中間轉發模塊當i不為P時將該作業包轉發給控制單元C_i+1的上行數據緩沖區，當i為P時將該作業包轉發給所述第二接口；所述第二接口將收到的作業包重組后發送給所述第二網絡；

當所述第二接口收到所述第二網絡發送給所述第一網絡的下行通信數據時，將該下行通信數據拆分為多個作業包，發送給所述控制單元C_P的下行數據緩沖區；當控制單元C_i的下行數據緩沖區里有作業包時，所述控制單元C_i的中間轉發模塊當i不為1時將該作業包轉發給控制單元C_i-1的下行數據緩沖區，當i為1時將該作業包轉發給所述第一接口；所述第一接口將收到的作業包重組后發送給所述第一網絡。

可選地，所述上行數據緩沖區包括：上行輸入緩沖區和上行輸出緩沖區；其中，所述控制單元C₁的上行數據緩沖區為上行輸入緩沖區，所述控制單元C_P的上行數據緩沖區為上行輸出緩沖區；當i不為1和P時，控制單元C_i中包括兩個上行數據緩沖區，一個為上行輸入緩沖區，用于存儲從控制單元C_i-1的上行數據緩沖區轉發來的作業包，另一個為上行輸出緩沖區，用于保存待轉發給控制單元C_i+1的上行數據緩沖區的作業包，所述方法還包括：控制單元C_i的中間轉發模塊將本控制單元的上行輸入緩沖區的作業包轉發給本控制單元的上行輸出緩沖區；

所述下行數據緩沖區包括：下行輸入緩沖區和下行輸出緩沖區；其中，所述控制單元C_P的下行數據緩沖區為下行輸入緩沖區，所述控制單元C₁的下行數據緩沖區為下行輸出緩沖區；當i不為1和P時，控制單元C_i中包括兩個下行數據緩沖區，一個為下行輸入緩沖區，用于保存從控制單元C_i+1的下行數據緩沖區轉發的作業包，另一個為下行輸出緩沖區，用于保存待轉發給控制單元C_i-1的下行數據緩沖區的作業包，所述方法還包括：控制單元C_i的中間轉發模塊將本控制單元的下行輸入緩沖區的作業包轉發給本控制單元的下行輸出緩沖區。

可選地，所述的方法還包括：

當控制單元C_i的中間轉發模塊要將作業包轉發給本控制單元中的上行/下行輸入緩沖區時，先對該作業包進行正確性校驗；校驗通過后存入相應的上行/下行輸入緩沖區；如果校驗沒通過，則申請重傳。

可選地，所述作業包內包含：包控制信息；所述包控制信息包括：作業包序號、狀態標志、網絡連接標識符；