内外网物理隔离技术

1、内外网物理隔离彻底解决方案2007年08月11日 星期六 下午 09:20网络物理隔离卡是为个人电脑、局域网（又称内网）用户利用原有的一台电脑通过物理隔离接入互联网（又称外网）。网络物理隔离的作用是使网络之间无连接的物理途径，内网的信息不可能外泄；内网的系统亦不可能受到攻击，外网的病毒、邮件“炸弹”、操作系统、CPU等“后门”问题，隐私问题，密码被破，或通用密钥等一切来自互联网不安全的因素都可完全克服。为实现网络的物理隔离，本公司提出了引入二个硬盘，使一个硬盘同时仅对应接入一个网络，而与另外一个硬盘和网络是完全物理隔离的，简单、可靠、可信、内置式的专利设计思想，已获得国家专利（专利号：ZL 0

2、0 2 27034.X），该项专利技术已在国家重要部门使用，反应良好。本物理隔离卡适用于政府机关、金融机构、部队、企业单位、个人等需接入互联网而又需要保护本地操作系统，保护本地数据资源的一切个人电脑。随着计算机网络及国际互联网的应用飞速发展，使我们进入了前所未有的时代。用一台计算机可知天下事，政府的各部门、各企业均已采用先进的互联网技术建立自己的内部办公网或企业管理网。但由于公众网（INTRENET）的开放性，使得网络安全受到严重的威胁，自己的计算机或计算机网络系统会遭到一些别有用心的人破坏或感染病毒，泄密情况严重。据不完全统计，全球计算机网络由于遭受到非法攻击而造成的直接经济损失高达百亿美元

3、以上。因此各国政府或各企业对网络的安全高度重视，甚至规定内部办公网络计算机不准与公众网（INTERNET）互联。但这样众多公司内部的局域网用户就无法查询公众网上丰富的信息资源和使用便捷的电子邮件服务，使资源造成了很大的浪费。与此同时，一大批开发网络防火墙、加密软件的企业应运而生。但根据现有的技术背景，核心的硬件产品（例PIII CPU）、操作系统（例WINDOWS98）、网络产品等技术均掌握在外国人手中，即使有再严密的加密软件和防火墙都有被攻破的可能，因此而造成泄密和经济损失。基于上述原因，广州市图文科技有限公司为实现网络的物理隔离，提出了简单、可靠、内置式的完全物理隔离的专利设计思想。推出了

4、图文网络物理隔离卡。（已申报国家专利，受理号：00227034.X）确保内部网络及内部资源不受外界通过公众网窃取数据和攻击，真正做到简单、可靠、可信、安全，可无忧地使用电脑。-网络物理隔离卡与其它网络安全方法的比较一配置两台电脑，分别接 可靠，符合国家有关 上内部局域网和公众网网络安全的规定1 使用不方便。2 投资成本巨大、浪费资源。3 网络设置复杂、维护难度大。4 占用更多的办公空间。二采用代理服务器和防火墙技术不可靠、不符合国家有关网络安全隔离的规定1 投资成本大。2 即使是我国自主开发的防火墙产品，只要CPU、操作系统是国外，安全程度亦难以保证。三网络安全隔离计算机可靠、符合国家有关网络

5、安全隔离的规定1 重新购置该计算机，增加投资。2 单位现有的计算机造成浪费。3 一套机箱内二套设备, 技术上不合理。4 兼容机性能不稳定,价格高。四图文网络物理隔离卡 采用符合国家规定的物理隔离法，安全可 靠1 在原有的设备上引入，不需增 加太多的投资。2 不需重新购买电脑设备，不占用原有的办公空间。3 纯硬件设计，操作使用简单、安全、可靠。-应用范围1 一台计算机上公众网（Internet）A组运行原有的操作系统软件； B组硬盘用于上Internet，运行B组硬盘时，只需把电话线接入MODEM，即可调试上Internet网。A组硬盘的操作系统和数据就可免受到来自网上的各种攻击。2 一台计算机

6、上内部网用网络数据线连接物理隔离卡与计算机的网卡，A组硬盘是个人资料或需保护的数据；B组硬盘用于上公司内部网，当运行B组硬盘时，把局域网的终端接口插入物理隔离卡的B网输入插座，即可连接上公司的内部网；A组硬盘的操作系统和数据就可达到安全隔离的目的。3 一台计算机上内部网和拨号公众网A组硬盘用于上公司的内部网（内网），B组硬盘用于上公众网（外网）。用网络数据线连接物理隔离卡与计算机的网卡，运行A组硬盘时，把内部网的终端接口插入物理隔离卡的A网输入插座，即可接通上公司内部的局域网；运行B组硬盘时，只需把电话线接入MODEM，即可拨号上外网。这样内网与外网的硬盘之间的操作系统和数据互不干扰，从而达到

7、安全隔离的目的。4 一台计算机上两个网络公司有两个内部局域网(或一个内部网、一个外部网)，A组硬盘上A网，B组硬盘上B网，数据资源不可交叉共享的。用网络数据线连接物理隔离卡与计算机的网卡，运行A组硬盘，把A网的终端接口插入物理隔离卡的A网输入插座，即可接通上A网；运行B组硬盘时，把B网的终端接口插入物理隔离卡的B网输入插座，即可接通上B网。这样A组与B组的硬盘之间的操作系统和数据资源不可交叉共享的，从而达到安全隔离的目的。四、问题问：互联网数据或邮件要下载到内网，或内网的数据要发送到外网怎么解决？ 答：网络物理隔离就是不能轻易实现此操作。确要实现此操作，可有三种方法：a 通过机内软盘驱动器，即

8、磁盘的交换或加120M软驱。此方法受容量限制。b 在内网统一一个交换硬盘，要交换的数据放在此硬盘，经审查才允许接入内网。c 在单机上再增加一个硬盘，作数据盘用，确要交换的就先存放在此硬盘上。-网络提示软件的功能在物理隔离卡的“网络提示”软件中，除网络提示和控制屏幕保护外，增加了“软盘提示”功能。其中，是否安装了软盘驱动器在“关于程序说明”中提示；当驱动器中有软盘时，用对话框提示“驱动器中有未明软盘，为了安全和保密，需要检查软盘的使用情况”，并且必须按“确定”后才能继续执行；当驱动器中没软盘时不出“提示对话框”。 另外，不论处在“内网”状态还是“外网”状态，每次电脑启动和关机时，都自动检查BIO

9、S和CMOS数据是否被修改；当设置了“定时”显示网络信息时，程序将按设置的时间“定时”检查电脑BIOS和CMOS是否被修改。-防止BIOS病毒破坏的问题、因所有“病毒程序”驻留的载体是硬盘，由于内外网物理隔离，不会因采用“物理隔离卡”使内网硬盘驻留“病毒程序”，因此内网硬盘没驻留“病毒程序”时，同一台电脑的BIOS诱发不了病毒发作的。由于电脑运行机制的原因，病毒程序不能驻留在BIOS内。、防电脑病毒是电脑发展的一个大课题，因此内外网硬盘必须不断更新社会上最先进的防病毒软件。另外，解决好内网的管理问题是一种最有效的防病毒措施。、基于VxD技术的CIH病毒破坏BIOS，使不少主板厂家采用双BIOS

10、技术，虽然第一块BIOS芯片损坏时，第二块BIOS能立即工作并修复第一块BIOS芯片中的数据，但为何不能防止病毒破坏第一块BIOS芯片呢？原因是为了升级BIOS而不对BIOS芯片进行写保护。 、为了彻底解决病毒破坏BIOS的问题，基于用户是不能随便升级BIOS的原因，购买“图文网络安全物理隔离卡”时配套一个绝对保护BIOS的“防写座”。安装方法：将主板上的BIOS芯片取出，插入“防写座”的DIP32插座上，将“防写座”插入主板上原BIOS芯片的位置。不是FLASH ROM和EEPROM芯片的BIOS不必安装“防写座”。、绝对保护BIOS的“防写座”的基本原理：BIOS芯片为32脚的DIP封装芯

11、片，其中32脚是芯片电源，31脚是写入允许脚WE#，只有当WE#脚从高电平变成低电平时，一个字节的数据才能写入到芯片中去。因此，只要拨出BIOS芯片，将31脚向外侧扳平，重新将芯片插入插座，把一个10K电阻的一端接到芯片的31脚，另一端连接+5V电源，使WE#脚一直处于高电平，即只处于读的状态。从而，不论是病毒还是误操作，都绝不会对BIOS芯片内的数据进行改写。为了操作方便，根据此原理图文公司生产一种绝对保护BIOS的“防写座”，作为“图文网络物理隔离卡”的配件，提供用户使用。、绝对保护BIOS的DIY方法：在电子配件商店购买一个与BIOS管脚一致的集成块插座。查阅BIOS芯片的资料，将买来的

12、集成块插座上的“写入电压”脚、“写入允许”脚用大头针挑出不用。将BIOS芯片取下，插在处理过的集成块插座上，然后一起插在BIOS原来的插座上。安装时注意芯片和插座的方向。将来BIOS升级时，先将BIOS芯片取下，再将买来的那一个集成块插座取下，然后将BIOS块插入原来的插座内，运行升级程序；升级完成后再执行步骤。、不同网络采用不同的BIOS德邦RD2000系统组件，实现双BIOS的实质是在主板原BIOS芯片的基础上，另行配备一片备份的BIOS ROM芯片，提供一条带连接线的控制开关，切换二者以决定由谁为哪个网工作。全套系统组件与DIP（PLCC）IC大小相同，安装后，高度只增加7mm；开关线可

13、直接连接到物理隔离卡的切换开关上，适用所有BIOS为DIP或PLCC封装的主机板及周边设备。详细资料参见“BIOS专页”网站（-图文网络物理隔离卡的详细介绍随着信息与工作的联系越来越密切，各单位内部网络（简称内网）的电脑或单机电脑接入国际互联网（简称外网）将越来越多，如何万无一失地保证内部网的安全显得非常重要，本文提出内网电脑接入互联网安全问题的彻底解决方案-图文安全物理隔离卡方案。 目前，一方面，互联网的关键技术，尤其是电脑CPU技术、操作系统软件等都掌握在外国人手里；另一方面，使用互联网面对的是全球各种各样的人，内网电脑接入互联网面临的安全问题非常严重，被黑客攻击、隐私问题、通用钥匙、网上

14、失密、数据被改、邮件炸弹、各类病毒、电脑的瘫痪等等仅是其中的一小部分，更多的是不知名的、还未被揭露出来的或还没有出现的问题。所有这些不安全的因素，不但威胁到互联网的发展，更重要的是威胁到已建立起来的机关单位或企业的内部网运作，直接威胁正常业务工作。黑客袭击、病毒传染使计算机用户忧心仲仲，它为网络安全敲响了警钟，也极大地推动了网络安全产业的蓬勃发展。据估计，2000年全球信息安全市场将达到500亿美元，10年内将达到1000亿2000亿美元，甚至更高的规模。基于以上情况，为了维护网络的安全，本文提出并实现了此问题的彻底解决方案，使内网能彻底杜绝互联网不安全的因素，且成本极低，有普遍的推广意义。计

15、算机的发明，使我们的工作能从枯燥乏味的手工计算中解脱出来，例如：银行系统、单位财务系统、工程设计。而当今一个部门上不上互联网这个问题，就象中国要不要改革开放一样，答案很简单，闭关自守肯定是没有出路的，计算机信息系统亦是一样。内网仅有若干个服务器和数据库资料，资源有限；而接入互联网，服务器和数据库数以千万计，资源是海量的，包罗万象。所以，我国政府明确地提出2000年政府上网年，公务员必须学会使用互联网，必须了解世界上最新最广泛的知识。接入互联网这是世界潮流所趋，美国已提出实行电子政府（）,彻底改变数百年来政府的运作模式，这说明世界的未来肯定要走互联网的道路，我们也不例外，

16、内网的电脑肯定要上互联网。现在所有问题的关键是我们怎么从技术上、从管理制度上彻底解决其上网的安全问题，怎样才能避免掉进陷阱（核心技术不在你手，没有彻底安全的防护措施，盲目跟进，绝对是一个陷阱）。目前解决接入互联网的安全问题，主要有以下几个方面：一、防火墙这是最普遍使用的技术，亦是一种单网安全防范技术。但此项技术存在的问题：一是核心技术在别人手上，当然有可能出现意外；二是仍有被攻击的可能，只是时间及技术上的问题，总有一天或最关键的时刻被攻破，导致电脑瘫痪，损失将是惨重的，这已有触目惊心的例子。所以，这不是一种彻底解决的方案。国家早已意识到这个问题，今年一月份颁布的计算机信息系统联网保密管理规定第

17、二章保密制度切从实际出发第六条已明确规定“涉国家秘密的计算机信息系统，不得直接或间接地与国际互联网其他公共信息网络相联接，必须实行物理隔离。”羊城晚报月日的头版公告了这一规定要求。我们亦认为只有网络物理隔离的方案，才是彻底解决安全问题的方案。二、物理隔离目前常用的方法有以下几种：1、使用2台电脑。这也是最简单的方法，一台上互联网，一台上内网，2台电脑放在一张或二张办公桌上，或另设一间上网办公室，此无疑增加一倍的成本和办公面积，使用不方便。这样，不能达到充分利用计算机资源，提高办公效率的目的，不可能普遍使用。 2、使用网络安全隔离计算机。这是国内推出的一款专用计算机，在机箱内集中了2套主板、2套

18、网卡、2套硬盘及切换装置。除了价格偏高外，存在三个问题：一是从技术上讲，机内电源功率有限，驱动套硬件不符合设计标准；二是兼容机质量始终难敌著名的品牌机。三是使用此电脑，就要淘汰原有的办公电脑，是一种不经济的方法。 3、其他各种类型的安全卡、保护卡或软件的方法。首先，基于一个硬盘的方案，由于是以一个物理数据载体的，我 们认为所有这一类都不是网络物理隔离的方案。其二，即使使用了2个硬盘，但能通过软件切换，或通过键盘切换；在使用中能通过总线、内存进行切换，或2个硬盘还能直接交换数据的，我们认为黑客同样有可能通过软件，仿真键盘操作，进行数据交换，故不应是真正的网络物理隔离。只能讲是安全卡、隔离卡或安全

19、网关，并且这些卡的价格都在1000元以上。因实现这些功能确实需要比较复杂的技术，我们也做过这方面的尝试，认为安全问题的解决不够彻底，不符合国家规定的网络物理隔离的要求。4、另一种物理隔离的办法是使用硬盘活动支盘架，我们认为硬盘支盘架能实现真正的物理隔离，而网络线要使用人工切换，对不熟计算机的人而言，此操作不方便，难以推广使用。另外还可以用Setup软件设置，选择其中的一个硬盘。我们认为凡是使用软件，或通过键盘可进行设置的方法都不是真正的物理隔离。本文提出的图文网络物理隔离卡，是真正意义上的网络物理隔离。利用一个手动物理开关，使同一时刻，仅有一组物理数据载体（物理数据载体指IDE或SISC硬盘、

20、1.44软驱、光驱、各类驱动器）是起作用的，另一组物理数据载体是绝对不可能被选择，绝对不可能被读写数据。原理很简单，即同一时刻只有一个物理数据载体(例硬盘)是通电的，另一个是没有通电的。由于没有供给+12V 、+5V的电流，硬盘的马达及硬盘内的IC不可能工作，硬盘内的数据当然就不可能被读写，网络线亦是同时只能选择一条，选互联网断开内网线，选内网线断开互联网接入线。同一时间内，一个数据载体仅对应一条网络线，而与另一组数据载体及其网络线是物理隔离的。从而保证网络之间的安全物理隔离,达到国家规定的物理隔离的要求,已通过公安部第三研究所技术鉴定，领取了公安部颁发的计算机信息系统安全专用产品销售许可证，

21、获得了中国国家信息安全测评中心的认证书。本产品二个特别说明的部分；1为什么主要是通过对硬盘的电源控制而不通过硬盘线的切换，因现在硬盘技术发展很快，各类型的总线不断升级，从Ultra33到Ultra66 ，甚至 Fast ATA等，此外还有软驱线，SISC硬盘线需要处理。我们做过试验，总线的逻辑切换，因速度问题，读写数据方向选择难以有理想的解决方案，并且价格不可能降低，适应能力差的特点，没有推广普及的意义。另外，作为计算机的安全产品，还要考虑到安全的因素，即本产品损坏时或误操作时，是否还能起到安全物理隔离的作用。本物理隔离卡通电使用过程中，拔动选择物理开关，或产品电路本身万一出现问题时，仍能保证

22、其网络安全物理隔离的作用，而多数总线的安全卡或隔离卡可能难以做到或有可能冲乱硬盘的数据。2本物理隔离卡较之其他产品有不便的地方，就是同机的两个硬盘不能直接交换数据，即互联网的数据不方便交换到内网，内网的数据不方便交换到互联网。我们认为，真正物理隔离都是不方便交换数据的，例如：使用二台电脑或活动硬盘方案就是不方便交换的。再考虑深一层的物理隔离意义，能轻易交换就不是物理隔离。设想一下，内网数据能轻易发往互联网，互联网数据又能轻易进入内网，这已经失去物理隔离的意义。以下提供二个单位的例子说明本产品的使用情况：一、广州市X X局X X处：原有Compaq机、联想机及兼容机40台，已联网运行办公自动化及

23、建立了单位内部信息库。因工作需要必须接入公众网，包括国际互联网和省市政府网，原计划建设的方案：1、再增加40台电脑，价值约40万，但因办公地方不够，只能取消。2、考虑到办公地方不够，拟购置安全隔离计算机40台，单价17000元，预算需人民币68万元，试用一、二台后发现不尽人意，而原有的品牌机要淘汰受到非议。3、选购图文网络物理隔离卡，单机增加一个硬盘和一个隔离卡的成本为2000元，40台机只需增加8.0万，较之第2方案节省60多万。40台机全部安装物理隔离卡，从而彻底隔离了内网与外网，达到安全物理隔离的目的，并且不多占用办公地方，原有的品牌机还能继续使用，用户非常满意。在双网的情况下，每台机增

24、加一块图文网络物理隔离卡和一个硬盘，使个硬盘分别对应条接口网络线，经专人检查和调试，并用封条封好机器；在WIN98的开机画面上，将内部网与外部网设置成不同的画面，内部网设置深黑色背景，“我的电脑”改名为“我的内部网络”，内部网用内部IP地址及用户名（内置在内网硬盘中，用户开机时不必输入）；外网设置成蓝天白云，“我的电脑”改名为“我的互联网”，外部网用外部IP地址及外部用户名。1.44软驱、光驱接入内部网时是不通电的，即不能从内部网通过1.44软驱或光驱读写数据，网络上设一公用硬盘，指定网络管理员管理，所有要发出或收入的信息首先经检查是否有病毒，是否合乎要求，才能转入或转出内部网，从而保证单位计算机的资料不失密及系统不被病毒的入侵，从技术上保证原有的内网系统安全运行。使用近一年，运行情况良好，工作人员上内网、上互联网都放心，符合国家规定的安全物理隔离的要求，日常维护的工作亦相对减少。二、广东省XX 局财务处：原有方正、联想共20台，连网的财务系统已正常运作近10年，因工作要求，需要与地方局通过互联网交换数据，亦需要与全局的内部网络联网，了解办公信息及通过此访问互联网。因涉及的部门多，地方分散，经常担心数据