（电力电子与电力传动专业论文）基于fpga的pci高速数据通信卡的研制.pdf

东南人学硕t 学位论文 a b s t r a c t i s o l a t e dg a pt e c h n o l o g yi sak h l do fn e wn 嘶r ks e c l l f i t yp d o d u c tw h i c hi sd e v e l o p c d r c c e n ty e a r s ，i tc a np r o v i d eah u g ef i s s i l r eb 娟v e e n 也eu n 饥l 蜘“h yn e t 、，r ka n d 仃i l s t e d n e t w o r k ，“c a i lr e s i s tm a n yh n d so fa t t a c l 【i n gm e t h o d s ，t l l et e c h n o l o g yu s e di i lg a pa m c l u d e d 西f o l l o w s ：t h er e c o v e r yo fd a 慨b a s y n c h r o n i z a t i o n ，p m t o c o lt r a n s f o 珊i n g ，c i p h e r t e c l l i l o l o g y ，i d s ，f i h e ro fv i m s 锄dk 哪o r d ，i d e n t m c a t i o n 锄da u 如e n t i c a t i o n ，a l l d s 0 o n g a pi sas y s t e mc o m b i n e d 、v i t l l l l 叫啪r ea i l ds o r 咄t 觚dh i 曲一s p e e dc o m m l l i l i c a t i o ni s t l l ec o o fg a ps y s t e mt 0i m p l e m e n td a t ac x c h a l l g cb c t w e c nt l l eu m m s t w o n h yn e t 、o r k 觚d 缸1 l s t e dn c 似。啦w h i c ha 虢c t sm ew h o ks y s t c mc 印a b i l i 够al l i g h s p c c dc o i l l 】m l i l i c a t i o n b o a r d d e s i g n i si m m d u c e di nt 1 1 i s p a p a n d t l l ep r o g 啪o ft h i sb o a r da b o l | 土d a 恤 c o m n l u n i c a t i o n si si l l u m i n a t e di nd e t a i l f i r s to fa l l ，t l l ea n i c l ei i l t r o d u c e st h ep r e s e n t a t i o nd f 珊柳o r k c u r i t y 锄dd “e l o p i i l 饥t o fg a pp 同u c t s s e c o n d l y ， m eo u t l i n co fm eh a r d w 姗 p l a t f o r n l o fg a p i s i n 协d d u c e d t b i r d l y ，t h ea n i c l ep a y sp a n i c 山a ra t t t i o nt 0 t h ef o l l o 丽i l g ：t h ed e s i 印o f h i g h - s p e c d u i l i c a t i o nb o a r d n l ed a bn o wo ft l l eb o a r d ，a n dp c ii n l 耐k em o d u l eb 髂e d o nf p g a ；f 妇l l y ，m er c s u l t so f 也et e s t 吨d 0 t om ed e v i c eu n d e rm ec n v i r 0 呻e mo f 咖d o w sx p i s a n a l y z e dr e s p c c t i v e l y k e y w o r d ： n e t w o r ks e c 嘶砂h i 曲- s p e e dd a t ec o 姗u i l i c a t i o l l s g a pp c ib l l s f p g a l l 东南大学学位论文独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研究 成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发 表或撰写过的研究成果，也不包含为获得东南大学或其它教育机构的学位或证书而使用 过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明 并表示了谢意。 研究生签名： 东南大学学位论文使用授权声明 东南大学、中国科学技术信息研究所、国家图书馆有权保留本人所送交学位论文的 复印件和电子文档，可以采用影印、缩印或其他复制手段保存论文。本人电子文档的内 容和纸质论文的内容相一致。除在保密期内的保密论文外，允许论文被查阅和借阅，可 以公布( 包括刊登) 论文的全部或部分内容。论文的公布( 包括刊登) 授权东南大学研 究生院办理。 研究生签名：导师签名：日期1 酽。r 。 旷| j 第一章绪论 第一章绪论 1 1 引言 近凡年在国内莆f 世界范同内i n t e r n e t 都得剑了突飞猛进的发展，它采_ 1 1 j 的t c p i p 协议成功她 解决了不同硬件平台、软 ，l 平台帚i 不同系统之间的兼容闯题。i n t e 加e t 提供的电子邮件( e 呻i 1 ) 、 远程登陆( t e l n 啪、文件传输( f t p ) ，w w 等服务，极大地方便了人们的信息交换和信息共享， i n t e n l e t 逐渐成为人们日常生活中必不可少的l ：具。同时计算机和互联网的迅猛发展以及应用领域 的不断扩展，电子商务，公共网站、金融电子化、电力通讯、能源管理等新兴产业的不断出现使碍 人类社会对信息网络的依赖科度越来越火。但是随着计算机信息技术与网络技术的迅猛发展， i n t e 丌i e t 所具有的开放性、国际性和自由性在增加应明自由度的同时，开放式网络体系的安全隐患 日益明显的开始暴露山来，各种计算机安全事稍：不断发生。由于网络攻击方式和黑客技术的不断提 高，2 0 0 2 年1 月发布的中国互联网络发展状况统计报告显示，在过去一年中，有超过六成的中国互 联网雨户的计算机曾被入侵过。国家保密局的数据表明防火墙的攻破率高返7 傩据统计，2 0 0 3 年的前1 1 个月中，中国内地计算机用户共受到6 2 3 万次的病毒攻击，其中脚本病毒攻击是2 0 4 万次，占全部病毒攻击的3 3 。木马黑客病毒攻击次数是1 8 9 万次，l i 全部病毒攻击的3 0 蠕虫 病毒攻击次数是7 3 万次i 与全部病毒攻击的1 2 。 照着网络向宽带、无线方向发展，其安全问题的矛盾也进一步突出并激化。比如在宽带网络中， 永久域名地址使黑客攻击更加容易；由于网络传输速度大大提高，黑客可以更迅速地扫描i p 地址， 尝试密码直到进入系统，从而盗窃或捣毁文件。而在无线移动通信领域，由于目前无线网络缺乏严 密的安全措施，开放式w a p 的无线设备在软利二更新或进行其他简单操作时极有可能遭受攻击 严暖的现实让人们清醒的意识剑计算机和网络的发展离不开信息安全技术的保肆，从而使得信 息安全成为研究的一个热门课题。 1 2 网络安全的背景 1 2 1 网络安全面临的威胁特点 恶意代码及黑客攻击手段有三个特点：传播速度快、受害面广和穿透深度深。 ( 1 ) 传播速度 。大型推土机”技术( m a s sr o o t e r ) 是新一代规模性恶意代码所具备的显著功能这些代码不仅 能实现臼我复制，还能臼动攻击内外网上的其它主机，并以这些受害土机为攻击源继续攻击其它网 络和主机。用这些代码设计的多线群繁殖速度极快，一个新蠕虫在一夜之间就可以传播到互联网的 各个角落。 ( 2 ) 受害面 目前，各国能源、交通、金融、化i ：，军事、科技帛i 政府部门等关键领域的信息化程度都有所提 高，这些领域用户的计算机网络，都直接或间接地与i n t e n i e t 有所联系。各种病毒、蠕虫等恶意代 码和各种黑客攻击，通过i n t e r | l e t 为主线，对全球各行业的计算机网络刖户都造成了严重的影响。 ( 3 ) 穿透深度 蠕虫录l 黑客越来越不满足于只攻击在线的网站各种致力于突镀边界防线的攻击方式层出不穷。 一个新的攻击手段，第一批受害对象是那些2 4 小时在线的网站主机羽i 各种网络的边界主机：第二批 受害对象是与i n t e r n e t 联网的。经常收发邮件的个人用户；第三批受害对象就是其它二线内网的工 东南人学硕上学位论文 作站：终极的受害对象很可能会波及到生产网络和关键资产主机。 1 2 2 网络安全攻击种类 攻击是一种利川珏i ；洞( e x p l o i tv u l n e r a b i l i t y ) 进行破坏的行为。它由能够毁坏或者窃取机 构信息或者物质资产的威胁手段来完成。下面是几种典型的攻击类型。 ( 1 ) 恶意代码 比如病毒、特洛伊木马、蠕虫以及网络活动的脚本特洛依术马是一个秘密安装到目标系统上 的具有特殊功能的程序。术马的实质就是一个网络客户机服务器程序，被控制端( 即目标系统) 成为 一台服务器，控制端就是客户机。当目标计算机启动时，木马程序随着启动，然后在某一特定的端 口监听。通过监听端口收剑命令后，木马科序就根据命令在目标计算机上执行一些操作，如传送或 删除文件、窃取口令、重新启动计算机筲。在2 0 0 2 年流行的病毒中蠕虫病毒仍然占据了很大一部分。 通过e 1 n a 订或者网页，甚至在局域网内通过共享文件夹等方式进行传播的蠕虫，感染速度非常快， 借助于互联网可以在短短儿天传播到世界备地。蠕虫发展手段的高明性以及破坏的危害性都使得 计算机网络安全受到的威胁激增。利州程序白动更新存在的缺陷一些主流软件供应商允许用户通过 i n t e r n e t 自动更新他们的软件。通过自动下载最新发布的修复程序和补丁，减少配置安全补丁所耽 误的时间。但是攻击者能够通过威胁厂商w e b 站点的安全性，迫使刚户的请求被定向到攻击者自己 构建的机器上当用户尝试连接剑厂商站点。卜载更新程序时，真1 e 下载的程序却是攻击者的恶意程 序。按照这种方式，攻击者就能利_ i j 软件厂商的白动更新w e b 站点传播自己的恶意代码和蠕虫病毒。 ( 2 ) 嗅探器( s n i f f i n g ) 一种被动的攻击方式。通过对计算机的网络接口截取网上传输的数据报文，从中获得有价值的 信息。在嗅探过程中，将网 设置成混杂模式就可以接收信道中所有的广播信息、用户口令、信用 卡号、电子邮件等机密信息。攻击者只需要接入以太网上的任一节点进行监听，就可以捕获这个以 太网上的所有数据包。通过对这些数据包进行解码、重组分析，就能窃取关键信息，从而会给用户 和系统带来极大的损失 ( 3 ) 缓冲区溢出 晟为常见的一种安全漏洞形式，针对此漏洞的攻击占了远程网络攻击的绝大多数。这种攻击可 使一个匿名的i n t e n l e t _ i j 户有机会获得一台主机的部分或全部的控制权。通过往程序的缓冲区写超 出其长度的内容，造成缓冲区溢出，从而破坏程序的堆栈，使程序转而执行其他的指令。如果这些 指令被放在系统权限的内存中那么一旦这些指令得剑了运行，攻击者就以系统权限控制了系统， 达剑了入侵的目的。 “) 流量分析 因为网络信息系统的所有结点都能访问全网，所以通过对网上信息流的观察和分析就可以推断 出网络上数据的信息，如有无传输、方向、频率等。 ( 5 ) 拒绝服务( d o s ) 和分布式拒绝服务( d d o s ) 利h j 合理的服务请求来山州过多的服务资源。只要服务超载，服务资源就无法响应其他的请求 这些服务资源包括网络带宽，文件系统空间容营开放的进程数等。这种攻击会导致资源的匾乏， 无论计算机的处理速度多么快，内存容量多么大。互联网的速度多么快都无法避免这种攻击带来的 后果。 。 ( 6 ) 欺骗( s p o o f i n g ) 一种发起主动攻击的手段主要目的是掩盖攻击者的真实身份，使攻击者看起来像正常用户或者 嫁祸于其他用户。在没有安全机制的t c p i p 网络中，白下而上的地址标识即姒c 地址、i p 地址、 t c p 端口号都是通过明文传输，而且，对于这些地址标识的修改义出入意外的简单。因此在统一网 2 第一章绪论 段上任何用户所采用的监听和仿冒都是隐藏的危险。 ( 7 ) 后门( b a c k d 0 0 r ) 。 使用一种已知或者过去未知的，而最新发现的访问方法，攻击者能够通过后门获得一个系统或 者网络资源的访问权。有时系统设计员或维护人员会留下一些特征，这种攻击很难被发现，因为通 常将它放在适当位置上的程序员同时也获得了对于系统检查的豁免权。 由此看出，要想建立一个绝对安全的系统是不可能的安全是相对的，我们只能通过一些技术措施 来提高系统的安全性。 1 2 3 网络安全的对策及相关技术 网络安全的对策包括管理对策莆i 技术对策。管理对策需要形成一套完整的、适应于网络环境的 安全管理制度，并且要求管理员认真实施。这些制度包括人员管理制度、保密制度、跟踪审计制度、 系统维护制度、数据备份制度、病毒定期清理制度等：而技术对策则包括基丁密码体制的安全措施和 非密码体制的安全措施，前者包括：身份鉴别技术、数据加密技术等。后者则有防火墙技术、路由选 择、入侵检测技术等。 ( 1 ) 身份认证技术 身份认证是任何一个安全的计算机所必需的组成部分，它是指用户向系统出示自己身份证明的 过程。身份认证必须做到准确无误地将对方辨认出来，同时还应提供双向认证，即互相证明自己的 身份。身份认证是判明和验证通信双方真实身份的重要环境。用户认证机制主要有传统口令机制， s h a d o w 口令机制，采川挑战、应答机制的强_ 【i j 户认证机制和数字签名等。身份认证技术是互联网上 信息安全的第一道屏障。 ( 2 ) 访问控制技术 访问控制阻止非授权用户进入网络，同时防i t 任何对计算机资源和通信资源的非授权访问。它 根据用户的身份赋予其相应的权限，也就是说按事先确定的规则决定何种主体对何种客体具有何种 操作能力。访问控制主要通过注册口令，用户分组控制，文件权限控制三个层次来实现。它一般与 身份认证一起使用，以实现不同安全级别的信息分级管理 ( 3 ) 数据加密技术 数据加密技术是一种最基本的安全技术。目的是保护数据、文件、口令以及其它信息在网上安 全传输。按照收发双方密钥是否相同，可把常用的加密算法分为对称加密( 秘密密钥) 和( 公开密钥) 两种。对称加密算法中，收发双方使用相同的密钥，例如美国的d e s 、欧洲的i d e a 等。对称加密算 法有保密强度高、加密速度快等优点，但其密钥必须通过安全的途径传送，因此密钥的分发是一个 比较复杂的问题。在非对称加密算法中，收发双方使_ i j 的密钥互不相同，而且几乎不可能由加密密 钥推导出解密密钥。比较著名的公开密钥算法有：i c s a ，e c c 、背包密码等，其中以r s a 算法应用最为 广泛。加密技术最终将被集成剑系统和网络中，如在- 卜一代i p v 6 协议中就内置了加密支持。 ( 4 ) 防火墙技术 防火墙是最成熟雨i 基本的一种网络安全防范技术，是一种计算机埂，i ：和软件相结合的技术，是 一个或一组网络设备。它在受保护网与外部网之间构造一个保护层，强制所有出入内外网的数据流 必须通过。通过监测、限制或更改跨越防火堵的数据流尽可能地对外部网络屏蔽有关受保护网络 的信息和结构，从而实现对网络的安全保护。防火墙有很多类型，大致可以分为两类：一类是基于包 过滤型( p a c k e tf i l t e r ) 另一类是基于代理服务( p r o x ys e r v i c e ) 。现在防火墒技术领域广泛采用应 _ h j 层的代理技术为主、网络层包过滤技术为辅的方式构建防火墙系统。 ( 5 ) 入侵检测 对计算机网络或计算机系统中的若干关键点收集信息弗对其进行分析，发现网络或系统中是否 3 东南人学顾i ：学位论文 有违反安全策略的行为或被攻击的迹象。常见的入侵检测系统可分为主机型和网络型。主机型入侵 检测系统往往以系统日志、应川程序日志等作为数据源，保护的一般是所在的系统。网络型入侵检 测系统的数据源则是网络上的数据包，担负着保护整个网段的任务。 ( 6 ) w e b 网站扫描 w e b 站点上运行的c g i ( c o m m o ng a t ei n t e 曜a ) 程序的安全性是网络安全的重要威胁之一，此 外w e b 服务器上运行的其它一些应州程序、w e b 服务器配置的错误，服务器上运行的一些相关服务 以及操作系统存在的漏洞都可能是w e b 站点存在的安全风险。- e b 站点安全扫描软件就是通过检测 操作系统、w e b 服务器的相关服务、c g i 等麻用程序以及w e b 服务器的配置，报告_ e b 站点中的安全 漏洞并给出修补措施。w e b 站点管理员可以根据这些报告对站点的安全漏洞进行修补从而提高b 站点的安全性。 ( 7 ) 系统安全扫描 系统安全扫描技术通过对目标主机的操作系统的配置进行检测，报告其安全漏洞并给出一些建 议或修补措施。与远稃网络安全软件从外部对目标主机的各个端口进行安全扫描不同，系统安全扫 描软件从主机系统内部对操作系统各个方面进行检测，因而很多系统扫描软件都需要其运行者具有 超级州户的权限。系统安全扫描软件通常能够检查潜在的操作系统漏洞、不正确的文件属性和权限 设置、脆弱的用户口令、网络服务配置错误、操作系统底层非授权的更改以及攻击者攻击。 1 3 网络隔离的概念和发展 1 3 1 物理隔离的概念 网络隔离，英文名为n e t w o r ki s 0 1 8 t i o n ，包括物理隔离和协议隔离。网络隔离技术的目标是 确保把有害的攻击隔离，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据 的安全交换。网络隔离技术是在原有安全技术的基础上发展起来的，它弥补了原有安全技术的不足， 突出了自己的优势网络隔离技术是面对新型网络攻击手段的出现和高安全度网络对安全的特殊需 求而产生的全新安全防护防范理念的网络安全技术。网络隔离技术的目标是确保把有害的攻击隔离， 在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。网络隔离技 术是在原有安全技术的基础f ：发展起来的，它弥补了原有安全技术的不足，在安全上达到最高级别。 有多种形式的网络隔离，如物理隔离、协议隔离等。无论采用什么形式的网络隔离，其实质都是要 进行数据或信息的隔离。 网络隔离的核心是物理隔离。物理隔离的一个特征，就是内网与外网永不连接，内网和外网在同 一时间展多只有一个同隔离设备建立非协议的数据连接。物理隔离的原理是：每一次数据交换，物 理隔离都经历了数据的写入、数据读山两个过程：内网与外网( 绒内网与专罔) 永不连接：内网和外网 ( 或内网与专网) 在同一时刻最多只有一个同物理隔离设备建立非t c p i p 协议的数据连接。网络隔离 技术就是利用专用硬件保证两个网络在链路层断开的前提下实现数据安全传输和资源共享。硬件原 理是利_ 咐单刀双掷开关使得内外处理单元分时存取共享存储设备完成数据交换，实现了在空气缝隙 隔离情况下的数据交换。软什原理是通过戍月j 层数据提取与安全审查达到杜绝基于协议层的攻击和 增强应用层安全的效果。 物理隔离的数据传输机制是存储和转发。网络隔离则是在物理隔离的基础上，以物理隔离为平台， 综合和许多现有的技术，包括过滤，认证，日志等技术，实现一个综合的安全平台。 以上我们都知道，互联网是基于t c p i p 米进行通信的。而所有的攻击都可以l e l 纳为对t c p i p 模型的某一层或某儿层的攻击，闪此最直接的办法就是断开所有0 s i 模玳的七层。这样就可以消除 4 第一章耋 论 基于网络各层的攻击。卜面分别对0 s i 模型的各层做讨论。 ( 1 ) 物理层的断开 物理层的断开是网络隔离的一个难点。下面从三方面来讨论这个问题，一是物理层是可以被攻 击的，二是物理介质可能人眼看得见，也可能看不见，三是物理层断开的技术定义。 物理层是可以被攻击的。尤其物理层的逻辑表示是可以被攻击的。对网络层的逻辑表示的攻击 方法主要是欺骗和伪造，因此可以利_ 认证和鉴别的方法来防止欺骗和伪造。这就是常用的i p 和 m a c 地自l 绑定的办法。对 i a c 地址本身直接进行访问控制也是可行的，这就是姒c 防火墙。最后的 办法是把物理层完全断开没有网络功能，因而也就没有来自网络的攻击。物理层的断开是一个复 杂的概念。并不是没有人眼看得见的东西连接就是物理层的断开。如无线，人眼是看不见的，但 物理层是连接的。也不是人眼看得见的尔两有接触就是物理层的连接。如用一个木头把两个计算机 连着，尽管它是一个现实中的物理连接，却不能基于该连接建立一个o s i 模型中的数据链路的连接 因此不是一个0 s i 模型意义上的物理层的连接。从这个意义上讲，要确定它连接是困难的，要确定 它不连接也是困难的。由于空气和真空的普遍性还无法对任何两台计算机确认它们不存在某种现 实中的连接，至少证明是困难的。而空气和真空是可以传播电磁波的。因此。不能简单地给物理层 的断开f 一个定义。从技术上来定义，一个物理层上的断开，应该是不能基于一个物理层的连接， 来完成一个0 s i 模型中的数据链路的建立。我们来检查一下该定义的正确性。无线传输，基于电磁 波这种人眼看不见的物理介质的连接，可以建立一个0 s i 模型中的数据链路的连接，因此不是物理 层的断开。一个术头连接两个计算机，尽管它是一个现实中的连接。却不是严格意义上0 s i 模型中 的物理连接，也无法建立一个0 s i 模型中的数据链路，因此是断开的。 物理层的断开，可能导致0 s i 模型其他层的工作机制失效因此可以减少其他层的攻击。但物 理层的断开，只解决基于物理层的政击，并不暗示可以解决对0 s i 模型其他层的攻击在后面的技 术实现中，我们发现存在一个基于开关的f t p 断点续传的应用的例子，说明物理层断开并不保证可 以消除对其他层的攻击。 ( 2 ) 数据链路层的断开 数据链路是在物理层上建立一个可以进行数据通信的数据链路，是一个通信协议的概念。只要 存在通信协议就可以被攻击。数据链路是可以被攻击的。数据链路的断开，首先必须消除所有建立通 信链路的控制信号，因为这些信号是可以被攻击的。其次每一次的数据传输。是否能够到达或正 确性方面是没有保证的。再次，不能建立一个会话机制。因此，用技术术语米定义，数据链路的断 开是指上一次数据传输与下一次数据传输的相关性的概率为零。因此，没有数据链路的传输数据是 没有可靠性保证的。 数据链路的断开，破坏了通信的基础，也因此消除了基于数据链路的攻击。同上面的道理一样， 看起来数据链路的断开火大降低了对其他层的攻击，但不能摊除。可以想象一下，不可靠的数据广 播和传输，不代表不能正确的传输一次止确的数据，冈此还是存在基丁上层攻击的可能性 ( 3 ) 网络层的断开 网络层的断开，就是剥离所有的i p 协议。因为剥离了i p ，就不会基于i p 包来暴嚣内部的网络 结构就没有真假i p 地址之说，也没有i p 碎片，就消除了所有基于i p 协议的攻击。 ( 4 ) 传输层的断开 传输层的断开，就是剥离t c p 或u d p 协议。因此，消除了基于t c p 或u d p 的攻击 ( 5 ) 会话层的断开 会话层的断开实际上是断开一个应_ i l j 会话的连接，消除了交互式的应用会话。 ( 6 ) 表示层的断开 表示层是刚于保证网络的跨平台戍川。剥离了表示层就消除了跨平台的应用。 ( 7 ) 应用层的断开 应_ i j 层的断开，就是消除或剥离了所有的应用协议。应用层的断开不完全是应用层的代理。有 些应用层的代理只是检查麻_ h j 协议是否符合规范，并不去实现剥离和重组的功能，因此，并没有实 东南人学硕t 学位论文 现应_ 珥】层的断开，只是实现了应用层的检查。 上面介绍了o s i 模型七层的断开的原理。隔离网闸的物理隔离或称网络隔离就是指全部七层的 断开。每一层的断开，尽管降低了其他层铍攻击的概率，但并没有从理论上排除其他层的攻击。有 一些例子表明，断开了某一层， ! i i 样存在对其他层的攻击。隔离网闸必须对o s i 模型的各层全面进 行断开，在断开的基础上，实现文件或数据的4 拷盘 1 3 2 网络隔离技术的发展历程 物理隔离网闸最早出现在美国、以色列等国家的军方，用以解决涉密网络与公共网络连接时的 安全。我国也有庞大的政府涉密网络和军事涉密网络，但是我国的涉密网络与公共网络，特别是与 互联网是无任何关联的独立网络，不存在与互联网的信息交换，也用不着使_ h j 物理隔离网闸解决信 息安全问题。所以，在电子政务、电子商务之前，物理隔离网闸在我国因无市场需求，产品和技术 发展较馒。 近年来，随着我国信息化建设步伐的加快，“电子政务”应运而生，并以前所未有的速度发展。 屯子政务体现在社会生活的各个方面： ：商注册中报、网上报税、网上报荚、基金项目申报等等。电 子政务与国家和个人的利筛密切相关，在我国电子政务系统建设中，外部网络连接着广火民众，内 部网络连接着政府公务员桌面办公系统专网连接着各级政府的信息系统，在外网、内网、专网之 间交换信息是基本要求。如何在保证内网和专网资源安全的前提下，实现从民众到政府的网络畅通、 ，资源共享、方便快捷是电子政务系统建设中必须解决的技术问题。一般采取的方法是在内网与外网 之间实行防火墙的逻辑隔离，在内网与专网之间实行物理隔离。物理隔离网闸成为电子政务信息系 统必须配置的设备，由此开始，物理隔离网闸产品与技术在我国快速兴起，成为我国信息安全产业 发展的一个新的增长点。 物理隔离要求是1 9 9 9 年1 2 月2 7 日国家保密局发布的，国家保密局2 0 0 0 年1 月1 日起颁布实 施的计算机信息系统国际联网保密管理规定第二章保密制度第六条规定：“涉及国家秘密的计算 机信息系统，不得直接或问接地与国际互联网或其他公共信息网络相连接，必须实行物理隔离”在 实行物理隔离之前，网络的信息安全有许多措施，如上文所介绍的在网络中增加防火墙、防病毒系 统，对网络入侵检测、漏洞扫描等。由于这些技术的极端复杂性与有限性，这些在线分析技术无法 提供某些机构( 如军事、政府、金融等) 需要的高度数据安全要求。而且，此类基于软件的保护是一 种逻辑机制，对于逻辑实体( 如黑客技术) 而一言极易被操纵，比如防火墙的攻破率已经高达7 0 9 6 ， 因此涉密网不能把机密数据的安全完全寄托在_ i j 概率来作判断的防护上，必须有一道绝对安全的大 门，保证涉密网的信息不被泄露和破坏。由于物理隔离的某些安全要求天然就能满足。物理隔离因 此就应运而生了。不仅国内涉密网络的安全保密防护非常薄弱，即使是美国军方也分别在上个世纪 8 0 年代和1 9 9 9 年1 1 月两次明确的要求物理隔离。i n t e n e t 前身实际是美国一个军方网，在发现大 量的攻击后，曾经人规模的断开了一些时间。就是说，美国军方的网络的安全技术应该在国际上都 是领先的，可还是离不开物理隔离。我们国家的物理隔离的要求，也是经过国内信息安全专家充分 论证，由国家保密局作山规定经过中央批准实施的。 目前隔离产品的大量出现，也是经历了五代隔离技术不断的实践和理论相结合后得来的。 第一代隔离技术一完全的隔离。此方法使得网络处于信息孤岛状态，做到了完全的物理隔离， 需要至少两套网络和系统，更重要的是信息交流的不便和成本的提高，这样给维护和使用带来了极 人的不便。 第二代隔离技术硬件卡隔离。在客户端增加一块硬件卡，客户端硬盘或其他存储设备首先连接 到该卡，然后再转接到主扳上，通过该夤能控制客户端硬盘或其他存储设备。而在选择不同的硬盘 时，同时选择了该卡上不同的网络接口，连接到不同的网络。但是，这种隔离产品有的仍然需要网 络布线为双网线结栅，产品存在着较人的安全隐患。 6 第一章绪论 第三代隔离技术_ 数据转播隔离。利_ l j 转播系统分时复制文什的途径来实现隔离，切换时间非 常之久，甚至需要手f ：完成，不仅明显地减缓了访问速度更不支持常见的网络应用，失去了网络 存在的意义。 第四代隔离技术一空气开关隔离。它是通过使用单刀叔掷开关，使得内外部网络分时访问l 鼯时 缓存器来完成数据交换的，但在安全和性能上存在有许多问题。 第五代隔离技术一安全通道隔离。此技术通过专用通信硬件和专有安全协议等安全机制，来实 现内外部网络的隔离年| i 数据交换，不仅解决了以前隔离技术存在的问题，井有效地把内外部网络隔 离开来，而且高效地实现了内外网数据的安全交换，透明支持多种网络应用，成为当前隔离技术的 发展方向。 另外，服务器端的物理隔离产品是一种崭新的高级隔离产品，现在国外的产品已经应用，但在 国内还没有较好的产品，它通过复杂的软硬什技术实现了在服务器端的数据过滤和传输任务。其技 术关键还是在同一时刻内外网络没有物理上的数据连通，但义快速分时地处理并传递数据。 1 3 3 网闸技术( g a p ) 介绍 网闸是一种网络隔离技术。在0 s i 七层模型上全面进行网络隔离，同时采用三模块结构在网络 隔离基础上安全实现数据交换网闸从物理层进行网络隔离。消除了数据链路的通信协议，剥离了 t c p i p 协议，剥离了应_ 【 j 协议，在安全交换后再进行协议的恢复和重建。 网闸是基于网络隔离技术市场化的产品，势必具有网络隔离的全部特征。作为项目的要求，我 们主要专注于网闸的硬1 ，i ：设计。所以需要分析底层的断开技术，为自己的设计提供参考 1 3 4 国内外主要的网络隔离产品 鲸鱼 l a l e 公司将e 吒a p 系统定能为应用层的防护设备，该产品通过隔离服务器、数据暂存区、 隔离开关( a i rg a ps - i t c h ) ，并结合应用层安全控制米达到整体安全。它集成了加密技术、授权认 证、p k i ，h 订p 镜像、规则过滤、a i r g a p ( 空气隔离) 等技术构成软硬一体化安全平台。它利用s s l v f n s 技术来实现远程登录，井分别为i 肼的l o t u s 庶用和骼的交换技术设计相席的解决方案。 先锋s p e a r h e a d 公司的n e t g a p 直接连接两个网络。通过插在p c i 槽的安全电路板与l v d s 总线 一起实现了“r e f l e c t i v eg a p ”技术，每个安全电路板包含一对双开荚结构双开关结构确保了在 两个网络之闻链路层隔断。数据包从外网传至内网需要经历会话终l t 、剥离数据、编码、恶意代码 扫描、传输恢复、会话蒋生等过程，确保内网的安全性。由丁n e t g a p 对外部与 部服务器的会话 请求进行规则过滤后重组，所以出现过安全漏洞，如过滤规则可被特殊编码攻击代码绕过漏洞，外 部黑客可以通过特殊u r l 组合穿过n e t g a p 拒绝规则而访问内部w e b 服务器。 国内的类似的有“v i g a p 隔离网闸”系统，v i g a p 隔离网闸的基本原理：数据流经v i g a p 时的过程， 从不可信网络发送数据剑v i g a p 的不可信阿络端计算机，在那里基于t c p i p 的数据包被拆除，然后 裸数据铍通过电子切换开关经过数据缓冲池以硬什数据反射方式传送剑可信网络端计算机，在那里 将己被按照内部格式重新编码的数据块，通过屯子切换开关传送到可信网络端计算机的内存缓冲区 中，再由计算机对数据进处理如可以进行内容审查、病毒检测等项t 作安全数据在这里被重新 加装成t c p i p 数据包，然后将数据包按照其目的地传送到可信两络上。 7 东南人学颀l 学位论文 1 4 本论文的主要内容 本文围绕隔离网闸硬件平台的数据通信夤的设计展开论述，网闸的硬件核心是由全相同的两块 p c i 高速通信 和一块隔离。 构成，因为该p c i 通信卡承载着数据安全通道的任务，所以也是整个 系统的关键。两卡分别采用一块f p g a 芯片作为主控芯片，f p g a 承担了有关数据处理与相关的控制 功能，因此f p g a 是网闸安全扳的核心，即整个硬件平台的核心。本论文重点研究了利用f p g a 实现 控制内外网数据交换，校验，处理，缓存，运送，加密，以及结合p c i 接口芯片s 5 9 3 5 实现的p c i 接 口设计逻辑，p c i 协议是本文研究的重点。f p g a 的所有功能由v e r i l o g 语言编程实现：因此，v e r i l o g 代码设计是本文的研究重点。此外，对于f p g 外嗣电路的设计也有所介绍本设计的f p g a 芯片选 用a l t e r a 公司的a c e xl k 3 0 q c 2 0 8 。软f l ：集成开发环境为a l t e r a 公司的舢a r t u s i i5 o ，f p g a 后端 仿真测试也是使用了q u ”t u s i i5 o ，并在驱动程序下设计了测试软件，对通信 进行了测试，并利 用i x i a 公司i x c h ”i o t 流量分析软件。对数据通信卡的吞吐量霸l 稳定性进行了测试。 第l 章：简单介绍了信息安全领域的现状，网络隔离技术解决的问题，以及本文的研究背景，并对本 文的内容进行了安排雨i 规划。 第2 章：简要介蜊网络隔离器总体的硬件平台羽i 软件平台，指出高速数据通讯在隔离网闸中的地位。 第3 章：详细阐述了网闸数据通信卡的设计，包括设计原理，主要芯片选取，数据流程设计，测试逻辑， 着重叙述了使用f p g a 控制p c i 接口外部逻辑的实现，模块分剂，以及部分v e r i l o g 代码的说明 第4 章：结合p c i 专用接口芯片“s 5 9 3 5 ，详细介绍了数据通信卡的寄存器编程，中断编程和数据的 收发编程。 第5 章：板卡的p c b 设计和信号完整性的分析，设计一条m g 链，对p c b 进行测试。 第6 章：分别w i n d w s s 和l i n u x 系统一f 对通信 扳进行了针对带宽的性能测试：在x 8 6 平台讨论了 l i n u x 环境f 网闸的性能。 第7 章：全文小结 8 第二章高速数据通竹彳e 嘲络隔篱系统中的应用 第二章高速数据通信在网络隔离系统中的 应用 2 1 网络隔离系统总体设计介绍 网络隔离器是一个复杂的软硬结合的系统，整个网络隔离装置也是包含了硬件平台和软件平台 下面大致介绍一。f 网闸的总体架构。 网络隔离器也叫安全隔离网闸，设计理念米游于以上介蜊的物理隔离原理，彻底断开网络0 s i 的七 层连接。通过应爿j | 的网络安全技术、公共密钥技术、可信计算技术及信息安全芯片技术，来实现实际 物理隔离网络的完整运作楼弛。网络管理员可以定制详尽的、高度可控度的应用数据交换规则由内 网处理系统、外网处理系统根据应用数据交换规则，对应用数据内容进行检查及病毒扫描，然后签 名应用数据，界通过物理隔离装置上的签名验证芯片验证麻用数据米i j ；l ，确认具体操作人身份最后 通过物理隔离装置上的高速数据缓存及单刀般掷的电子开关摆渡应h j 数据，完成数据或文件的交换。 在摆渡应用数据的过程中，详细记录了系统的运行日志管理员可咀清楚的追溯网络交换的动作或内 容。如幽2 一l f 一每罔络 刨 = 二二二i j 一璺圈j e 疆 l 应用交接囊一+ 一 i ，蕊椭曩员 东南大学顺j ：学砬论文 2 1 1 硬件构架 图2 1 网闸系统 网络隔离器硬件主要内外网主机系统( 也叫内外网芙) 和隔离控制器，而核心就是隔离控制器，是 实现“物理隔离”关键部件，主要通过它将两个或多个网络进行物理隔离，并实现应用数据的高速摆 渡。其实际硬件是由f p g a 和安全加解密芯片组成的。如2 2 圈 图2 2 网络隔离器硬件架构 物理隔离的实现原理犹如江河摆渡，内部网络，外部网络相当于两岸，内网处理系统、外网处 理系统相当于两岸的码头，应川数据相当予要渡河的人，签名相当于不可冒认的身份证，高速数据 缓存相当于一艘船。 一般分以一f 儿步完成一次摆渡： 1 、内部网络、外部网络的应_ j 数据分别到达内网处理系统、外网处理系统并处理后，如果需要通过 物理隔离控制器摆渡，则签名麻用数据； 2 、安全加解密芯片对应川数据进行硬件签名验证，确认其身份，决定是否能写入高速数据缓存( 上 船) ，如果止确则剥离签名信息，还原成原始应用数据，然后写入高速数据缓存，否则丢弃该应用 数据； 3 、麻用数据写入高速数据缓存完成后，电子开关断开一端的联系，接通另一端处理系统： 4 、另一端处理系统读取应用数据完成后，电子开关断开另一端的联系，接通原来的一端； 5 、摆渡完成。 其中。向外隔离通道与向内隔离通道相互分离，向外隔离通道的电子开关常态时，接通内网处 理系统，向内隔离通道的电子开关常态时，接通外网处理系统。通过电子开关的单刀双掷，隔离控 制器能够保障内网处理系统与外网处理系统同一时刻的物理隔离。 另外，如果简单的通过电子开关和高速缓存米实现隔离交换，在极端情况下，其他非法用户同 样能调j 1 j 隔离控制器驱动，发送一些攻击数据。因此，通过安全加解密芯片，在物理隔离控制器上 l o 茎 第二章 高速数据通信在嘲络隔离系统中的应用 完整的实现了对摆渡数据的签名认证，保障了隔离控制器摆渡数据的不可冒认性，实现了真正意义 上的安全隔离。 2 1 2 软件构架 软件平台要完成的任务就是安全完整的实现纯数据交换，除了内外网的系统外，还包括包括数 据库隔离同步模块、文件隔离同步模块、进挥可信认证模块、安全审计日：基模块。 “纯数据交换技术是终止t c p i p 协议后实现信息安全交换的基础，如果没有“纯数据交换”技术， 内容保密检查，内容过滤、瘸毒扫描等也就无从谈起了。“纯数据交换”的核心技术包括两个方面： 一是协议的还原，以得剑完整应用数据，二是检查应_ i j 数据后协议的再生，模拟正常网络会话。 。纯数据交换”技术在内网处理系统和外弼处理系统上实现的原理如图2 3 ： 图2 - 3 纯数据交换原理图 1 内、外网处理系统 内、外网处理系统是安全网闸的左右人脑，主要负责处理内、外网之闻的网络应用安全单元构成 了完整的内、外网处理及防御系统。它的扫描攻击检测模块、状态机检测模块、协议还原、协议再 生模块不但使内、外网处理系统对环境及应用具有极强的适应性，而且充分最大化了物理隔离网络 的安全特性。 ， 2 文件隔离同步模块 文件隔离同步模块的功能主要将两个或多个物理隔离网络中的文件数据进行自动化的同步交换 并通过专用同步数据接收模块的配合，达到物理隔离网络之间的文件数据实时同步目的。 3 数据库隔离同步模块 是主要将两个或多个物理隔离网络中的数据库进行自动化的同步交换，并通过专用同步数据接 收模块韵配合，达到物理隔离网络之问的数据库按需同步目的。 4 进程可信认证模块 是实现客户端进程级访问控制的关键模块。从组成信息系统的服务器，网络、终端三个层面上 来看，现有的保护手段是逐层递减的，这说明人们往往把过多的注意力放在对服务器和网络的保护 上，而忽略了对终端的保护，这显然是不台理的；首先，终端往往是创建和存放重耍数据的源头： 其次，绝大多数的攻击事件都是从终端发起的。如果信息系统中每一个使用者都是经过认证和授权 的，其操作都是符合规定的，那么就不会产生攻击性的事故，就能保证整个信息系统的安全。 5 安全审计日志模块 东南人学硕。l ：学位论义 是系统的运行日志记录、查询、统计和分析模块。完备的系统及安全审计日志为安全策略的调整， 黑客攻击手段等的分析提供了强有力的依据日，占。管理控制台为审计管理员提供了强大的追溯、分析网 络事件的能力，可以使市计管理员系统的使用情况有一个非常透彻的了解。对内部网络( 涉密网络) 用户 访问网络的任何操作作详尽的查询。对内部或外部网络的攻击事件做深入追踪。 2 2 数据通信卡在网闸硬件平台中的地位 目前流行的网闸殴备隔离系统的设计一般需要三个扳卡，一个隔离卡，两个数据通信卡。两块通 信卡在物理上的构造是一样，一个用于内网系统，一个用于外网系统。通信卡和系统总线相连接， 通信 币i 隔离 之间通信通过专用高速数据总线，比如l v d s 总线，s c s i 总线等。整个网络隔离系 统硬件平台如下图2 4 ， r 外网、 早 隔离控制器 鸾广= _ = i 馐禽i 内同f 肛 嵩主机俐竺毒爿_ 一码pp c i 卡阼i 内商主机l 图2 - 4 网络隔离器的硬件平台 图中，内、外网高速数据通信卡是内、外网处理系统与物理隔离控制器连接通讯而用，高速 数据通信卡一端连接内、外网处理系统总线，另一端连接物理隔离控制器阿专用数据总线。物理隔 离控制器与内、外网处理系统的协同：作主要由高速数据通信卡来完成。高速数据缓存和电子开关 摆渡相当于实现了一个高速的可移动磁盘，用于隔离网络之间的数据或文中i 二交换。 隔离卡的功能是对数据进行缓存。切断数据来路，再进行转发，保证内外网系统，在同一时刻 的不互连，相当丁是一个中转站。当然为了保证数据传递的安全，分别对两端的数据进行加解密， 对数据的校验，这些工作都是由隔离卡来完成的。数据通信卡实际担负了舣机通信中网卡的功能， 但又不同于网卡的功能，还包括了和隔离卡的数据通信部分，更多的是实现数据寄存、缓冲的作用， 协调内外网系统和i o 设备的速度差异。c p u 在与l o 设备进行数据