（计算机软件与理论专业论文）网络终端安全结构研究与设计.pdf

网络终端安全结构研究与设计 摘要 当今互联网正面临一个严重的问题：开放性和安全性。隐私或者敏感数据，例 如信用卡信息、登录账号和密码等，很容易在没有经过授权的情况下被网络黑客盗 窃。 本文提出一种新型的网络终端安全结构，该安全结构可以降低传统的冯诺伊 曼结构易受攻击的特性，目的是在此基础上构建一种低成本的、免入侵、保障信息 安全的网络终端。提出的新型的网络终端安全结构包含单个c p u 和两条总线安全 区域总线和非安全区域总线，仅非安全区域总线连接i n t e r n e t 相关设备，用来存储 隐私或者敏感数据的设备均只连接到安全区域总线，安全区域总线和非安全区域总 线在物理上是完全隔离的。与i n t e r n e t 相关的应用仅运行在非安全区域，无法访问 任何连接到安全区域总线上的资源。基于这样的安全结构构建的网络终端，能够有 效的保证存储在安全区域的隐私或者敏感数据在i n t e r n e t 环境下的安全。 在提出的网络终端安全结构中，仅使用一个c p u ，可以有效的控制生产成本，从 而使其广泛应用成为可能。为了保证有效的控$ i c p u 和两条的连接，确保同一时刻仅 有一条总线连接c p u ，实现两条总线的物理隔离，同时能够提供两条总线之间的基本 通信需求，本文设计了一个总线桥接器来解决这些问题。 本文还探讨了两个区域之间的数据交换机制，由此提出相应的解决方案。该解 决方案采用共享数据内存作为两个区域的数据交换c a c h e ，通过一个由总线桥接器控 制的交叉开关控制共享数据内存和两条总线的动态连接来完成。 由于两个区域的执行环境是完全不同的，因此由总线桥接器进行工作区域切换 时可能会中断c p u 的正常执行，打乱执行逻辑。为了避免此问题，通过引入共享程序 ( 指令) 内存，将所有与工作区域切换相关的程序存放在此共享程序内存中，从而 可以有效地解决此问题。 最后，本文给出一个安全结构网络终端的最小系统设计和实现，从而验证了设 计的可行性和合理性。 关键词：安全结构；网络终端；单c p u ；双总线；总线桥接器 r e s e a r c ha n dd e s i g no fs e c u r ea r c h i t e c t u r eo fn e t w o r kc l i e n t a b s t r a c t i n t e r n e ti sf a c i n gas e r i o u sp r o b l e m ：o p e na n ds e c u r i t y p r i v a t eo rs e n s i t i v ed a t a s u c ha sc r e d i tc a r di n f o r m a t i o n ，l o g i na c c o u n ta n dp a s s w o r d ，a n de t c ，i se a s i l yt h e f t w i t h o u ta u t h o r i z a t i o nb yi n t e m e th a c k e r s i nt h i sp a p e r , w ep r o p o s ean e ws e c u r ea r c h i t e c t u r eo fn e t w o r kc l i e n t ( s a n c ) t h i s n e wa r c h i t e c t u r ei sa i m e dt ob u i l dak i n do fl o w c o s ti n t r u s i o n f r e en e t w o r kc l i e n ta n d r e d u c ev u l n e r a b i l i t yo fn e u m a n nm o d e l i ti s c o m p r i s e do fs i n g l ec p ua n dt w o p h y s i c a l l yi s o l a t e ds y s t e mb u s e s ，s e c u r ea n dn o n - s e c u r e o n l yn o n s e c u r eb u sh a si n t e r n e t i n t e r f a c e s ，s u c ha sm a c p h y d e v i c e s ，s t o r i n gp r i v a t eo rs e n s i t i v ed a t a ，c a no n l yb e a c c e s s e dt h r o u g hs e c u r eb u s i n t e r n e tr e l a t e da p p l i c a t i o n s ，w h i c ha r er u n n i n go nt h e n o n - s e c u r eb u s ，h a v en oo p p o r t u n i t yt oa c c e s sr e s o u r c e so nt h ep h y s i c a l l yi s o l a t e ds e c u r e b u s n e t w o r kc l i e n t sb a s e do n o u rs e c u r ea r c h i t e c t u r ec a ne n s u r ep r i v a t eo rs e n s i t i v ed a t a ， s t o r e do nd e v i c e sc o n n e c t e dt ot h es e c u r eb u s ，a v o i db e i n gt h e f tt h r o u g ht h ei n t e m e t o u rs e c u r ea r c h i t e c t u r eu s e so n l yo n ec p ua n dc a ne f f i c i e n t l yc o n t r o lt h ec o s t t o c o n t r o lt h ec o n n e c t i o nb e t w e e nc p ua n dt w os y s t e mb u s e s ，e n s u r eo n l yo n eb u sc a nb e c o n n e c t e dt oc p ua tt h es a m et i m e ，p h y s i c a l l yi s o l a t et w os y s t e mb u s e sa n ds u p p l y c o m m u n i c a t i o nm e c h a n i s m ，ab u sb r i d g ei sd e s i g n e d w eh a v ea l s os t u d i e dd a t ae x c h a n g em e c h a n i s m sb e t w e e nt w oa r e a s s h a r e dd a t a m e m o r y , a l s ok n o w na sc a c h e ，a n dac o m p o n e n tc a l l e ds w i t c ha r ep r e s e n t e dt or e s o l v e t h i sp r o b l e m e n v i r o n m e n ti st o t a l l yd i f f e r e n tb e t w e e nt w oa r e a s ，s os w i t c h i n gw o r k i n ga r e am a y i n t e r r u p tt h en o r m a le x e c u t i o no fc p ua n dd i s o r d e rt h ep r o c e s sl o g i c t oa v o i dt h i s p r o b l e m ，s h a r e di n s t r u c t i o nm e m o r yi si n t r o d u c e da n da l lp r o g r a m sr e l a t e dt os w i t c h w o r k i n ga r e ai sl o c a t e di ni t f i n a l l y , w ep r e s e n tam i n i m a ls y s t e md e s i g na n di m p l e m e n t a t i o no fn e t w o r kc l i e n t b a s e do ns a n ca n di th a sv e r i f i e di t sf e a s i b i l i t y k e y w o r d s ：s e c u r ea r c h i t e c t u r e ；n e t w o r ke f i e n t ；s i n g l ec p u ；d u a lb u s ；b u sb r i d g e 青岛大学硕十论文 学位论文独创性声明 本人声明，所呈交的学位论文系本人在导师指导下独立完成的研究成果。文中 依法引用他人的成果，均已做出明确标注或得到许可。论文内容未包含法律意义上 己属于他人的任何形式的研究成果，也不包含本人已用于其他学位申请的论文或成 果。 本人如违反上述声明，愿意承担由此引发的一切责任和后果。 论文作者签名： 门先寸1 日期：，卯哗，月b 日 学位论文知识产权权属声明 善谶i 刁彗荔燕翼驰 i i 引言 1研究目的和意义 引言 随着网络技术的发展，信息化建设的推进，网络终端因价格低廉、维护简单， 得到广泛应用。但其功能简单，往往难以满足某些领域的要求。如：在农业信息化 建设中，尽管各类农业信息平台日渐完善，但基于这些平台的如农户为主体的农产 品交易及农村远程教育等应用，因网络终端的处理能力、通信安全等限制，难以推 广，因此出现了对具有一定计算和存储能力的智能网络终端的需求。 受村级局域网、农民平均收入和对网络终端维护能力的限制，这类智能网络终 端在保证基本功能的同时，要提供有效的维护机制，保持低成本。 目前网络终端大致可划为虚拟终端和可独立工作两种模式。 虚拟终端模式存在下列问题对服务器有较大依赖性。由于其自身缺乏计算功能， 使得主要计算工作集中于服务器端，导致终端对服务器有较大依赖性，增加了服务 器的负载；由于软件和数据都存储于服务器，终端缺乏存储功能，致使终端需要实 时地与服务器交互，进行资源的索取和存储，增加了对带宽及传输速度等网络环境 的要求；这类网络终端往往面向专业应用领域，提供有限的功能，缺乏可扩展性， 限制了在其它领域的应用，难以支持用户的特定需求。 可独立工作模式通过增加本地存储功能，一定程度上缓解了虚拟终端模式的缺 陷，但是由于引入了本地存储增加了面临网络入侵的风险。 随着计算机技术的迅速发展，网络正在越来越多的融入到社会的各个方面。但 在受益的同时，也正受到日益严重的安全性威胁。大量敏感信息通过公用通信设施 和计算机网络进行传输，信息安全问题已成为当前需要解决的迫切问题。 计算机网络尤其是i n t e m e t 具有开放性、互联性、连接方式的多样性及终端分布 的不均匀性，网络通讯协议、操作系统本身的安全漏洞，再加上人为的疏忽，致使网 络易受计算机病毒、黑客或恶意软件的侵害。存储在计算机中的敏感信息( 例如密 钥、信用卡、银行账户、网络账户、以及个人隐私信息等) 容易在用户不知情的情 况下被黑客或者恶意软件窃取。 另外受农民对计算机安全维护能力的限制，智能网络终端在保证基本功能的同 时，必须提供可靠的安全保障。 本课题作为国家“8 6 3 ”计划安全结构智能网络终端技术专项的子课题，针对上 述完全性问题，提出一种新型的基于单c p u 、双总线的网络终端安全结构【l 】，该安 全结构具有防止网络入侵、保障信息安全的特点，并且已经申请中国发明专利【2 】。 青岛人学硕士学位论文 2国内外研究动态分析 1 9 9 5 年，o r a c l e 公司的c e o 拉里艾利森提出了网络p c 的概念，即网络终端。 1 9 9 6 年i b m 等五家公司在旧金山发布了网络终端的第一版参考规范网络终端参 考简要特征。同年l o 月，m i c r o s o f t 与i n t e l 联合发表了与网络终端类似的名为n e t p c 的全新计算机平台计划。 本节首先介绍国内外网络终端的发展现状，分析了其存在的安全问题。针对安 全问题，对当前的网络安全技术进行了详细的国内外研究动态分析。 网络终端研究动态分析 目前，在国外，w y s e ( w y s et e c h n o l o g y ) 公司是国际瘦型计算机的最大厂商。 美国市场研究机构i d c 的t c ( n c ) 市场调查报告显示，w y s e 以5 2 的全球市场占 有率连续五年处于世界领先位置。w y s e 公司的具有系列网络终端产品【3 1 ，具体可 分为： “简单型”产品为w y s eb l a z e r 系列：包括具有基本配置的w i n t e r m1 2 0 0 l e ；标 准配置的w i n t e r ml1 2 5 s e 。 “功能型”产品为w i n d o w sc e 系列，包括具有基本配置的w i n t e r m3 2 3 5 l e ； 标准配置的w i n t e r m3 1 2 5 s e 和w i n t e r m3 1 5 0 s e ；可扩展配置的w i n t e r m3 4 5 5 x l ； 集成型配置的w i n t e r m3 6 5 0 x e 。 “适配型”产品为w i n d o w sx p e 系列，包括具有基本配置的w i n t e n n9 2 3 5 l e ； 标准配置的w i n t e r m9 1 5 0 s e ；可扩展配置的w i n t e r m9 4 1 g x l ，w i n t e r m9 4 5 0 x e 和 w i n t e r m9 4 5 5 x l ；集成型配置的w i n t e r m9 6 5 0 x e 。 i b m 公司是全球第二大网络终端生产商。它的产品分为c a p i oo n e 和e o n 两大 系列【4 】；c a p i oo n e 系列包括：c a p i oo n e w i t hl i n u x ，c a p i oo n ew i t hl i n u xe x p a n d e d ， c a p i oo n e w i t hw i n d o w sc e 等。e o n 系列包括e o ne l0 0w i t hl i n u x ，e o ne l0 0w i t h l i n u xe x p a n d e d ，e o ne 1 0 0w i n d o w sc e ，e o ne 1 0 0w i n d o w sx p e ，e o ne 1 0 0w i n d o w s x p ee x p a n d e d 等。 s u n ( s u nm i c r o s y s t e m s ，i n c ) 公司也是较大的网络终端生产商之一。它生产的网 络终端产品系列【5 】有：s u nr a y1 ，s u nr a yl g ，s u nr a y1 0 0 ，s u nr a y1 5 0 ，s u nr a y1 7 0 。 国外产品一般具有如下特点： ( 1 ) 工作模式单一：国外n c 一般采用终端的工作模式，所有计算都在服务器上进 行，本地负责输入和输出。 ( 2 ) 服务端要求高：以s u n 的r a y 系列为例，它要求服务器采用基于u l t r as p a r c 的 c p u ，其上的操作系统为s o l a r i s8 9 并要运行s u nr a ys e r v e r 软件。 2 引言 ( 3 ) 专业化，个性化：国外n c 一般支持会话功能，用户登录服务器时，服务器会 自动恢复上一次的会话；支持智能卡方式登录；高分辨率支；c d 质量的音频 支持等。 国外发达国家目前对n c 的研究生产等主要向专业化、个性化方向发展，产品 的应用领域主要是特殊行业需求或单一功能需求，当然这导致n c 产品经济上的合 理性，但这不是他们的主要目的，因为国外的经济技术实力较强，对低配置的网络 终端需求不明显，技术上也不需要通过网络终端进行创新、突破，采用相关的瘦终 端产品完全能够满足市场需要。 在国内也有许多生产商在进行n c 的研究工作，同时也研制了自己的产品。 福建实达电脑设备公司的s t a r nc 6 0 0 系列、n c 6 0 1 0 系列和n c 6 0 2 0 系列【6 】， 采用实达通用嵌入式l i n u x 操作系统，支持微软公司的r d p v 5 2 协议及c i t r i x 公司 的i c a 协议，连接w i n d o w s2 0 0 0 及w i n d o w s2 0 0 3 终端服务器，支持x 协议，可 连接l i n u x 服务器，可扩展t e l n e t 应用，通过t e l n e t 连接u n i x 主机，可扩展j a v a 应用，支持j 2 e e 构架。 联想集团的网锐系列【7 】，包括网锐1 2 1 0 ，网锐2 1 1 0 ，网锐2 1 2 0 ，网锐2 1 4 0 。这 些产品支持r d p 协议连接w i n d o w s 终端服务器，如w i n d o w s2 0 0 3 2 0 0 0 n ts e r v e r ： 同时也支持x 协议连接l i n u x ，u n i x 终端服务器。 神州数码控股有限公司也有多个网络终端产品系列【8 1 。主要有： d n c 一7 6 0 0 7 2 0 0 ，d n c 一3 0 0 0 w , d n c 一3 0 0 0 l ，d n c 2 4 0 0 2 4 0 0 d ，d n c 一2 0 0 0 210 0 ，支持 r d p 或i c a 协议与终端服务器连接。 重庆中恩网络终端有限公司的中恩n c p s 系列【9 1 ；中恩n c t 系列；中恩n c p v 系列；中恩n c s 系列等。 迄今为止的n c 主要具有如下特点： ( 1 ) 服务器要求较灵活：服务器一般使用l i n u x 和w i n d o w s 2 0 0 0 操作系统，根据整个 系统的负载可采用从普通p c 机到专用服务器。 ( 2 ) 专业化，个性化服务较少：国内n c 一般都是通用型的n c ( 3 ) 拥有相当的自主知识产权：硬件方面多自行设计主板，并使用国产 c p u ( a r c a 1 ，ar c a 2 ，龙芯，v i a 等) 。操作系统方面多采用自主研发的嵌 入式l i n u x 。 综合上述厂商的网络终端特点，目前网络终端可划分为两种工作模式： ( 1 ) 虚终端模式 典型的虚终端模式在网络终端上运行一个虚终端客户程序，通过远程桌面协议 ( r d p ) 访问终端服务器。常见的远程桌面协议有微软的r d p ，c i t r i x 的i c a 等。 网络终端一旦登录终端后，所有计算都运行于服务器上，本地退化为一个只负责输 3 青岛大学硕士学位论文 入和输出的终端。 这种模式对n c 要求极低。客户端的存储，计算等功能全部转移到了服务器端， 客户端只需极少的资源就可以运行，这就大大降低了网络终端的成本。同时也降低 了网络终端上软件的复杂性，其上基本不需要任何维护和升级。这种模式因为所有 的存储，计算功能都在服务器端，整个系统对服务器的计算能力要求非常高而且依 赖性很强，一旦服务器出了问题，将使整个系统瘫痪。同时，受其客户端没有计算 能力的影响，这种模式在对本地外部设备支持方面支持较少。此外，这种模式对在 需要大量计算资源和网络带宽的流媒体服务支持也不令人满意。不但传输的图像质 量较差，同时又大量占用服务器的c p u 资源，使其负载迅速上升。 ( 2 ) 可独立工作模式 这种模式在网络终端上装有嵌入式操作系统，利用b s ，c s 等模式访问服务器 上的资源。这种模式，对整个系统的资源采取了一种折中的划分方法。因此，这种 模式具有较大的灵活性和可伸缩性。可以根据需要，在网络终端上部署恰当的计算 和存储资源，从而降低了对服务器的要求，也扩展了网络终端的应用范围，使整个 系统更容易在特定应用中达到最优。这种模式在本地有一定的软件和数据，因此不 能完全避免升级和维护，增加了网络终端的维护成本，降低了网络终端的安全性。 网络安全研究动态分析 近年来，网络安全问题已经成为研究热点。病毒扫描技术和防火墙技术1 0 m 】， 各类入侵检测技术1 3 。5 1 ，软硬件加密技术【1 6 - 1 7 】，网络终端设备中植入t p m ( t r u s t e d p l a t f o r mm o d u l e ，可信平台模块) 安全芯片【1 8 】，这些技术在一定程度上缓解了安全 问题，但是都存在不同程度局限性： ( 1 ) 病毒扫描技术的滞后和无法预知的缺陷，无法及时应对计算机病毒、黑客 或恶意软件的攻击。 ( 2 ) 入侵检测技术发展的不成熟、智能化程度不高， 在当前还无法得到广发的 应用。 ( 3 ) 软硬件加密技术由于对密钥的高度依赖性以及性能和响应速度要求，使得 其应用受到很大的局限性。 ( 4 ) t p m 安全芯片在信息安全中体现的作用在于群体效应，即企业内部网络中， 绝大多数网络终端设备均采用t p m 技术，并且在使用过程中终端用户的的 确确开启了此项功能。只有这样，这个网络则成为一个建立了信用体系的 网络，其终端设备的可信赖性将有很大提高。但是当前要建立这样一种体 系十分困难。 魏传瑾，李清宝掣1 9 】提出一种网络终端数据安全交换系统，其思想是将p c 虚拟 4 引言 为两台电脑，将硬盘划分为安全区和公共区，由网络监测检测模块来控制联网时对 硬盘安全区进行保护，从而实现“虚拟”的物理隔离，如图l 所示。但是网络检测 技术本身的不成熟和非真正意义上的物理隔离，很难保证安全区的绝对安全。 图1 网络终端数据安全交换系统 很多学者开始从安全计算机结构着手从事研究。l a r g m a n 等【2 0 】提出一种并发的、 快速隔离、访问受限的计算环境，可以防止病毒或者设备毁坏造成的数据丢失，该 方法需要识别出不可信内容，并且将其存储在用户逻辑环境中。但是一个很大的挑 战是如何确定哪些内容是可信的，哪些是不可信的，就现在的技术而言很难实现。 a n d e r s o n 在论文1 2 l j 中提出在输a 输出设备和总线之间使用一种可以移除的可信网 关来保证安全的文件的传输，但是很难确定一种机制来控制对敏感数据的授权访 问，另外“锁”一旦失窃，可信网关便无法保证敏感数据的安全。 现在的网络终端大多采用冯诺伊曼体系结构【2 2 】( 如图2 ) ，黑客一旦利用系统 漏洞侵入并获得总线的控制权，很容易获取存储在该总线上设备的信息。现有的很 多方法可以从不同的方面减少信息丢失的风险，然而受到冯诺伊曼体系结构的限 制，很难从根本上解决信息安全问题。 图2 冯- 诺伊曼体系结构和哈佛体系结构 s h u a n g b a ow a n g 和f e n g j i n gs h a o 等1 2 3 j 针对当前基于冯诺伊曼体系结构的物理 弱点和i n t e r n e t 易受侵入的特点，提出一种基于双c p u 、双总线的免入侵安全体系 结构，如图3 。该方法将计算机划分为红区( 易受侵入区域) 和绿区( 安全区域) ， 两个区域在物理上完全断开，红区和绿区仅通过b c ( b u sc o n t r o l l e r ) 高速缓存s 1 通 信、通过s w ( s w i t c h ) 共享的键盘、鼠标等非存储i o 设备，这样用于保存敏感信息 的内存、硬盘等设备对于绿区来说是完全隔离的，从而保证其绝对的安全性。但是 其设计上需要两个c p u 以及相关的计算资源，必然增加了现有计算机的成本，不 青岛人学硕十学位论文 适合低成本的网络终端应用。 绿区 甲匝孕呷冒s t o r a g e 臣固 蹿啐脑 卤j r a m r o m 卤l 圃 图3s h u a n g b a ow a n g 和f e n g ji n gs h a o 等提出的免入侵安全体系结构 3创新点和主要工作 本课题作为国家“8 6 3 ”计划安全结构智能网络终端技术专项的子课题，针对当 前智能网络终端的安全性问题，通过提出一种防止网络入侵、保障信息安全的网络 终端安全结构。本文重点从安全结构和安全网络终端硬件设计方面进行研究工作。 具体创新如下： 1 ) 针对网络终端所面临的安全问题以及基于冯诺伊曼体系结构的物理弱点和 i n t e r n e t 易受侵入的特点，在前期s h u a n b a ow a n g 、f e n g j i n gs h a o 等的研究基础上， 提出一种基于单c p u 双总线的网络终端安全结构，该安全结构能够防止网络入侵、 保障信息安全，在保证高度信息安全前提下，降低网络终端成本。 2 ) 为解决单c p u 和两条总线之问的连接切换、保证两条总线之问的物理隔离提 出并设计了总线桥接器i p 核。 3 ) 为实现两个区域之间的数据交换，提出采用共享数据内存作为c a c h e 、由交 叉开关和总线桥接器控制的实现方案。 4 ) 针对区域切换可能中断c p u 的正常执行、甚至打乱系统执行逻辑的问题，提出 增加共享程序内存的解决方案，使得区域切换程序均在共享程序内存执行，从而避 免了物理切换对c p u 执行逻辑的影响。 5 ) 采用s o p c 技术，给出了基于该网络终端安全结构的网络终端的最小系统设 计，设计的合理性和可行性得到验证。 6 引言 4论文结构 引言：介绍了本文的研究目的和意义，讨论了网络终端当前的国内外研究动态 以及存在的安全性问题，并对就安全领域的研究现状作了详细的国内外研究动态分 析。本文工作的创新之处即提出一种新型的基于单c p u 、双总线的网络终端安全结 构，并给出了一个最小系统的设计和实现。 第一章：提出了一种新型的基于单c p u 、双总线的网络终端安全结构，并给出 了安全结构网络终端的硬件系统设计。 第二章：给出了安全结构网络终端中的关键部件设计方法，并着重介绍了核心 部件总线桥接器i p 核的设计，并给出了其具体实现和功能仿真验证。 第三章：构建了一个基于本文提出的安全结构的网络终端最小系统，从而验证 了本设计方案的可行性。 结论：对本文所做的工作进行了总结，阐述当前存在的问题，讨论了进一步研 究的方向。 7 青岛大学硕士学位论文 第一章安全结构与硬件系统设计 本章首先提出了一种基于单c p u 双总线的网络终端安全结构，并作了详细的介 绍。在此基础上给出了基于该安全结构的网络终端的硬件系统设计方案，就其中的 主要部件功能作了详细说明。 1 1 安全结构 针对现在网络终端的安全性问题，采用基于单c p u 双总线的网络终端安全结构 ( 如图1 1 ) ，能够有效地防止网络入侵，保障信息安全，可对已知或者未知的网络 入侵提供强大的抵御能力，解决网络终端的信息安全问题，同时采用单个c p u 可 以大大降低网络终端成本，有利于网络终端产品的推广应用。 图1 1 基于单c p u 双总线的网络终端安全结构 该安全结构包括： 1 带有独立系统总线的两个区域，总线a 位于安全区域和总线b 位于非安全 区域； 2 网络设备仅连接到非安全区域一条总线( 总线b ) 上； 3 总线桥接器( b u sb r i d g e ) 通过约定机制控制c p u 和两条总线的连接； 4 主要的( 受保护的) 存储器仅连接到安全区域的总线( 总线a ) 上； 5 共享设备连接到共享总线( 通常为外围总线) ，通过交叉开关和总线a 或总 线b 连接，主要包括基本输入输出设备、内外数据交换c a c h e 等。 r 第一章安全结构与硬件系统设计 采用两条独立的总线，分别服务于本地与网络访问操作，基于这一新的系统结 构，i n t e r a c t 网络通信组件用一条分离的系统总线与网络终端中的其它部分分离，在 网络终端中，除了i n t e r n e t 网络之外的所有组件属于同一条系统总线( 内部总线) ， i n t e m e t 网络接口属于另一分离的系统总线( 外部总线) 。这两条系统总线问的数据 交换通过总线桥接器( b u sb r i d g e ) 控制的共享总线完成，由网络终端操作者发出命 令。这样，存储设备中的数据仅能被网络终端操作者存取。换句话说，用户数据是 与外部网络物理隔离的，因此即使入侵通过外部网络非法进入，用户数据也不能被获 取。 内部总线和外部总线之间如要通信或者共享设备，可以通过一条共享总线( 外 围总线) 实现，由总线桥接器控制该共享总线在同一时刻仅和一条系统总线相连。 连接在该共享总线的设备可以是键盘、鼠标、显示器等输入输出设备以及 r a m r o m 、f l a s h 等，可根据需要灵活增减。 网络接口可以作为输入输出设备加到系统总线上，并将其与其它硬件接口分离 开来。工作原理：系统既把网络和其它部分分离开，又保证数据仍然可以通过网络 传送。 通常网络终端处于安全区域的状态中，在此执行所有的计算工作。根据网络的 访问需求( 如当需要数据传送时) ，通过总线桥接器动态进行区域间的切换。在非 安全区域中，所有数据交换通过共享总线上的高速内存作为c a c h e ，由总线桥接器 和交叉开关控制完成。数据交换开始时须由网络终端操作者或o s 控制授权，交换 过程完全自动。 从外部网络方面看，这个免入侵、信息和数据安全网的网络终端系统包含c p u 、 外存，网络接口( 以太网或无线的) 和共享总线上的设备( 共享r o m l r a m 、f l a s h 、 输入输出设备，如显示器、键盘和鼠标等) 。因为非安全区域仅仅处理网络通讯，网 络入侵者所能接触到的只是共享总线上相应设备中的数据，而不可能访问到主存储 器( 受保护的) 上的数据。 总线桥接器位于c p u 和两条总线之间，其主要功能包括： 1 切换工作区域，即切换c p u 与总线( 总线a 或总线b ) 的连接，由网络终端 操作者或者操作系统发出总线切换命令； 2 产生e n 使能信号给交叉丌关，使共享设备连接到相应的系统总线( 总线a 或总线b ) ； 3 保证两条总线物理上完全隔离，保证当工作在非安全区域时，网络相关程 序无法访问安全区域中总线a 上的任何资源； 4 保证网络相关程序在非安全区域运行，敏感数据存储在安全区域存储设备 q 青岛人学硕士学位论文 上。 交叉开关由e n 使能信号控制同一时刻仅能有和一条总线( 总线a 或总线b ) 和共 享设备连接，通过交叉开关即可在两条总线之间共享设备，又可以保证两条总线在 物理上的隔离。总线桥接器根据当前网络终端所处的工作区域，向交叉开关提供e n 使能信号。 1 2 硬件系统设计 基于体积及成本方面的考虑，安全结构网络终端的硬件有单片、单板或多板三 种实现方案。本设计采用的是单板实现方案，如图1 2 ，其中c p u 、部分内存、总 线互连模块、外围设备控制器或者接口集成在单一芯片f p g ac y c l o n e l i e p 2 c 3 5 f 6 7 2 2 4 】上。在功能层上，安全结构网络终端s o p c ( 可编程片上系统) 包含 一个处理器软核、内存、d m a 控制器及外围设备接口。根据需要，i o 接口芯片可 以嵌入在安全结构网络终端f p g a 内，也可以作为一个外部芯片放在安全结构网络 终端硬件板上。大多数网络终端接口包括以太( 如4 口以太交换) 、m o d e m 、u s b d e v i c e 、u s bh o s t 、基本i o 设备等。 图1 2 安全结构网络终端系统板示意图 安全结构网络终端硬件系统框图如图1 3 以及主要信号互连如图1 4 。主要包括： 1 ) n i o s l i 处理器【2 5 1 ( n i o s l ic p u ) 及a v a l o n 总线【2 6 1 模f 央( a v a l o nb u sm o d u l e ) 。 l o 第一章安全结构与硬件系统设计 本设计采用a l t e r a 公司提供的n i o s l i f 快速型处理器软内核，以实现最大性能。该 内核针对性能要求较高的应用以及代码和数量较大的应用进行了优化，例如运行完 整操作系统的应用。n i o si i f 内核在2 0 0 m h z 时性能可达到2 5 0 d m i p s ，与a r m 9 内核性能相当。n i o s l i 嵌入式设计套件支持该内核，可以通过s o p cb u i l d e r l 2 7 1 工具 将n i o s l i fj j l 入系统，并且由a l t e r a 公司扩展的基于e c l i p s e 的n i o s l ii d e 提供强大 的软件系统开发支持。 n i o si i 处理器作为主设备可以直接控制共享设备，对于安全区域和非安全区域 从设备的控制需要通过总线桥接器完成。由总线桥接器保证任意时刻n i o s l i 处理器 仅能控制当前工作区域中的从设备，从而确保内部数据不被外部区域的程序通过非 法途径访问。 图1 3 安全结构网络终端硬件系统框图 青岛人学硕士学位论文 图1 4 安全结构网络终端硬件系统主要信号互连 a v a l o n 总线模块由各类控制、地址和数据信号、地址译码以及数据通道多路复 1 2 第一章安全结构与硬件系统设计 用( m u x ) 和仲裁逻辑( a r b i t r a t o r ) 等组成，主要用于连接片内处理器和外设，以构 成可编程片上系统( s o p c ) 。它描述了主从设备间的端口连接关系，以及设备间通 信的时序关系。a l t e r a 公司提供大量符合a v a l o n 总线规范的i p 核，可以和n i o s i i 处理器通过a v a l o n 总线模块无缝互联。另外，a l t e r a 公司开发的s o p cb u i l d e r 工具 对a v a l o n 总线模块开发提供强大的支持，系统用户不需要关心总线与外设的具体连 接，大大简化了设计，降低系统开发成本。 2 ) 共享从设备 共享从设备主要包括片内指令内存( i n s t r u c t i o nm e m o r y ) 、片内数据内存( d a t a m e m o r y ) 、总线桥接器从端口( a v a 2 d a v ab r i d g e 的s l a v ep o r t ) 、c o m m o nf l a s h 接 口( c o m m o nf l a s hi n t e r f a c e ) 以及其它外围设备控制器( o t h e rp e r i p h e r a lc o n t r o l l e r ) 。 片内指令内存用于存储内外区域切换程序段。经调研发现基于现有的处理器结 构以及操作系统设计，这种设计是必需的。如图1 5 所示，如果内外区域分别存储 区域切换程序，其实际执行流程将与我们期望的执行流程不同，从而无法实现区域 切换功能。 图1 5 内外区域分别存储区域切换程序时执行流程 片内数据内存用于内外区域通信。 片内指令内存和片内数据内存可以利用f p g a 芯片中内嵌的内存模块。a l t e r a 的c y c l o n e l i 芯片中内嵌1 0 5 个m 4 kr a m ( 4 k b i tr a m ) 块，可以实现真正双端 口、简单双端口和单端口的r a m ，并且支持移位寄存器和r o m 方式，配置灵活。 总线桥接器作为一个从设备( c o n t r o ls l a v e ) 连接到n i o s i i 处理器上，其主要 功能如下： 1 3 青岛人学硕士学位论文 n i o s l i 处理器通过总线桥接器从端口( c o n t r o ls l a v e ) 写区域切换命令字，控制 命令字分初始化、通信( 请求、完成) 、切换工作区域三种模式。 n i o s l i 处理器通过总线桥接器从端口( c o n t r o ls l a v e ) 读状态字，状态字包括当 前工作区域、区域切换模式。 总线桥接器作为一个桥接从设备( s l a v e ) 连接到n i o s i i 处理器，主要是接收共 享区域主设备发给安全区域从设备或者非安全区域从设备的地址、控制信号；发送 安全区域从设备或者非安全区域从设备的数据信号、响应信号给共享区域主设备。 总线桥接器作为主设备分别连接到安全区域从设备( a v a1m a s t e r ) 和非安全区 域从设备( a v a2m a s t e r ) 。任何时刻，总线桥接器保证n i o s i i 处理器仅能控制当前 工作区域中的从设备。 c o m m o nf l a s h 接口用于连接片外c o m m o n 闪存，存放系统引导程序。 其它外围设备控制器用于连接内外区域共享用外围设备，主要包括基本i o 设 备、u s b 设备、u s b 主机等，在具体设计的各个阶段可以根据需要随时增删。 3 ) 安全区域主从设备 主要包括总线桥接器主端口( a v alm a s t e r ) 、d m a 控制器( d m ac o n t r o l l e r ) 、 i d e 控制器( i d ec o n t r o l l e r ) 、s d r a m 控制器( s d r a mc o n t r o l l e r ) 以及扩展外围设 备控制器( e x t e n d e dp e r i p h e r a l ) 。 总线桥接器主端口保证仅当用户切换到该区域时，n i o s l i 处理器才能控制安全 区域从设备。 i d e 控制器用于连接片外硬盘i d e 接口，连接的i d e 硬盘用于存储用户本地数 据，包括系统和应用程序数据、用户数据等。 s d r a m 控制器用于连接片外r a m ，作为安全区域工作时程序、数据存储空问。 扩展外围设备控制器用于连接安全区域工作时需要的外围设备，可以根据需要 随时增删，并预留接口和扩展插槽，供制版完成后扩展用。 4 ) 非安全区域主从设备 主要包括总线桥接器主端口( a v a2m a s t e r ) 、d m a 控制器( d m ac o n t r o l l e r ) 、 以太网接1 3 ( e t h e m e ti n t e r f a c e ) 、s d r a m 控制器( s d r a mc o n t r o l l e r ) 以及扩展外围 设备控制器( e x t e n d e dp e r i p h e r a l ) 。 总线桥接器主端口保证仅当用户切换到该区域时，n i o s l i 处理器才能控制非安 全区域从设备。 1 4 第一章安全结构与硬件系统设计 以太网接口连接片外以太网卡( e t h e m e tm a c p h y ) ，用户在该区域可以通过太 网卡与i n t e r n e t 连接。 s d r a m 控制器用于连接片外r a m ，作为非安全区域工作时程序、数据存储空 间。 扩展外围设备控制器用于连接非安全区域工作时需要的外围设备，可以根据需 要随时增删，并预留接口和扩展插槽，供制版完成后扩展用。 5 ) 系统加电配置模块。 如图1 6 ，f p g a 一般采用r a m 工艺，掉点丢失，需要在系统加电时对f p g a 进行配置。配置f p g a 有三种方法。主动方式、被动方式和j t a g 方式。j t a g 方 式在线配置掉电丢失，用于在线调试。主动方式，采用a l t e r a 专用的串行配置芯片 ( e p c s l ，e p c s 4 ，e p c s l 6 或者e p c s 6 4 ) ，由f p g a 主动发起将串行配置芯片内容 加载，自动配置f p g a ，永久运行。被动方式，利用微处理器、c p l d 、a l t e r a 的增 强型配置芯片( e p c 4 ，e p c 8 ，或者e p c i 6 ) 等发起控制配置过程，f p g a 处于被动 状态，由其他设备发起控制配置过程。 计u算s机a接并l【=j=酱-i_ e p c s 盗誓一 图1 6f p 6 a 配置过程 a l t e r a 的串行配置芯片是业界成本最低的配置芯片。这些器件在设计上提高效 率，以最小的成本实现了高级功能，能够提供在系统可编程( i s p ) 以及重新编程功能， 和其他配置方案相比具有明显的优势。在价格敏感的大批量应用中，a l t e r a 的串行 配置器件是c y c l o n e 系列f p g a 理想的配置器件。a l t e r a 的串行配置芯片使f p g a 和配置芯片能够以最低的价格实现完整的可编程芯片系统( s o p c ) 解决方案。i s p 和 闪存访问等高级功能降低了成本，减小了面积，同时提高了性能。此外，a l t e r a q u a r t u s i i 设计软件对于该芯片的提供了强大的设计支持。串行配置芯片配置f p g a 过程如图1 7 。 1 5 青岛人学硕十学位论文 图1 7 串行配置芯片配置f p g a 过程 本设计在系统开发调试阶段采用j t a g 方式，最终制版时采用串行配置芯片 (