南京销售科东加密PSTunnel-2000 专业从事纵向加密装置

软件结构

图5?软件结构图
操作系统
采用处理器专用的、代码可控的、经过内核裁减的、实时Linux?作为操作系统。该操作系统取消所有网络功能;取消大部分系统服务,只保留系统稳定运行需要的进程。
报文监听
电力专用纵向加密认证网关作为代理从外网的网络访问包中抽取出数据然后通过内网接口转入内网,完成数据中转。装置将接收网络上的所有报文,将报文提交给上一层,进行过滤分析、检测。
报文综合过滤
在数据中转过程中,电力专用纵向加密认证装置首先对抽取的数据报文的IP地址、端口号、协议等实施综合过滤控制,根据需要进行可信的两个主机间的工作密钥协商及工作密钥交换,在两个主机间建立起一个安全可靠的会话,然后对可以通过上述过滤的报文根据规则确定是禁止通过、直接传输还是加密传输,对需要加密的进行加密,然后对允许通过的报文进行签名后通过内网接口转入内网。有了上述的约束条件,可以保证数据在非安全的通道上安全可靠地传输。
状态检测
状态检测技术:基于电力专用纵向加密认证装置所维护的状态表的内容转发或拒绝数据包的传送,比普通的包过滤有着更好的网络性能和安全性。普通包过滤使用的过滤规则是静态的。而采用状态检测技术的电力专用纵向加密认证装置在运行过程中一直维护着一张状态表,这张表记录了从受保护网络发出的数据包的状态信息,然后电力专用纵向加密认证装置根据状态表内容对返回受保护网络的数据包进行分析判断,这样,只有响应受保护网络请求的数据包才被放行。
报文分类调度
根据不同报文的类型提交给不同的模块处理,如果是需要加解密报文则将该报文提交给报文加密处理模块,如果是协商认证报文则提交给协商认证模块,装置之间进行协商认证处理,如果是配置报文则提交给配置管理模块处理。
配置软件
南京销售科东加密PSTunnel-2000
性能指标
纵向加密装置千兆型:
大并发加密隧道数:≥2048条
明通数据传输效率:≥420Mbps(100条安全策略,1024字节报文长度)
密通数据传输效率:≥140Mbps(50条安全策略,1024字节报文长度)
MTBF:>100000小时(100%负荷)
1000M?LAN环境下,加密隧道协商建立延迟:<1ms(50%数据吞吐量)
数据包转发延迟:<1ms
满负荷数据包丢弃率:0
纵向加密装置百兆增强型:
大并发加密隧道数:≥1024条
明通数据传输效率:≥100Mbps(50条安全策略,1024字节报文长度)
密通数据传输效率:≥50Mbps(50条安全策略,1024字节报文长度)
MTBF:>60000小时(100%负荷)
100M?LAN环境下,加密隧道协商建立延迟:<1ms(50%数据吞吐量)
数据包转发延迟:<1ms
满负荷数据包丢弃率:0
纵向加密装置百兆低端型:
大并发加密隧道数:≥1024条
明通数据传输效率:≥80Mbps(50条安全策略,1024字节报文长度)
密通数据传输效率:≥30Mbps(50条安全策略,1024字节报文长度)
MTBF:>60000小时(100%负荷)
100M?LAN环境下,加密隧道协商建立延迟:<1ms(50%数据吞吐量)
数据包转发延迟:<1ms
满负荷数据包丢弃率:0
纵向加密装置微型:
大并发加密隧道数:≥1024条
明通数据传输效率:≥20Mbps(10条安全策略,1024字节报文长度)
密通数据传输效率:≥4Mbps(10条安全策略,1024字节报文长度)
MTBF:>60000小时(100%负荷)
100M?LAN环境下,加密隧道协商建立延迟:<1ms(50%数据吞吐量)
数据包转发延迟:<5ms
满负荷数据包丢弃率:0
涉密资质
生产资质
按照国家相关规定,在研制开发纵向加密认证装置前,我公司申请并获得了国家密码管理局“国家密码产品定点生产单位”和“国家密码产品定点销售单位”资质认定,并定期接受国家密码管理局和北京市国家密码管理委员会的审查。
加密芯片
按照电力二次系统安全防护方案的相关要求及国调指示精神,电力系统安全防护工作中需要用到电力专用加密算法芯片时,必须使用国家密码管理局指定的密码算法芯片,我公司特向国密局提出配用电力系统专用算法芯片研制电力专用纵向加密认证装置的申请,获得国密局的批准,国家密码管理局批复允许我公司使用的SSX06密码芯片。
加密算法
纵向加密认证装置使用的密码算法包括对称加密算法、非对称算法、散列算法和随机数生成算法,其中的对称算法是经过国密办批复的专为电力系统使用的加密算法。其他算法都是国密办指定的算法。
设备型号
我公司向国密局前身国家密码管理委员会办公室申请开发电力专用网关机、电力专用网络安全隔离设备(反向型),获得国家密码管理委员会办公室批准立项,项目名分别为“SJY99加密网关”?、“SJY100安全隔离装置(反向型)”,并获准在装置中配用电力系统专用算法密码芯片,项目批文号为:国密办字[2004]292号。
技术鉴定
2006年6月,我公司研制的“SJY99加密网关”?、“SJY100安全隔离装置(反向型)”?顺利通过了国家密码管理局组织的产品技术鉴定。鉴定会上包括中国工程院院士周仲义、沈昌祥院士在内的多位专家对设备给予了充分肯定。我们的设备获得对应的国家密码管理局颁发的设备型号证书。
南京销售科东加密PSTunnel-2000
开发的依据和功能规范
国家电网调度中心发布《全国电力二次系统安全防护方案(最新版)》
国家电网调度中心制定《电力系统专用纵向加密认证装置技术规范(最新版)》
中华人民共和国国家标准GB/T?17900-1999?《网络代理服务器的安全技术要求》
《关于维护网络安全和信息安全的决议》,全国人大常委会2000年10月审议通过;
《中华人民共和国计算机信息系统安全保护条例》,国务院1994年发布;
《涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法》,国家保密局1998年发布;
p
《计算机信息网络国际联网安全保护管理办法》,公安部1998年发布;
《计算机信息系统安全保护等级划分准则》(GB?17859-1999),公安部1999年发布;
《电网和电厂计算机监控系统及调度数据网络安全防护规定》,国家经贸委[2002]第30号令;
《电力工业中涉及的国家秘密及具体范围的规定》,电力工业部和国家保密局1996年发布。
GB/T?14598.9-1995??辐射电磁场抗扰度标准
GB/T?14598.10-1996????快速瞬变抗扰度标准
GB/T?14598.13-1998??脉冲群抗扰度标准
GB/T?14598.14-1998??静电放电抗扰度标准
GB/T?17626.5-1999??浪涌(冲击)抗扰度标准
GB/T?17626.6-1998?射频场感应的传导骚扰抗扰度标准
GB/T?11287-2000?机械振动响应标准
《计算机信息网络国际联网安全保护管理办法》,公安部1998年发布;
《计算机信息系统安全保护等级划分准则》(GB?17859-1999),公安部1999年发布;
《电网和电厂计算机监控系统及调度数据网络安全防护规定》,国家经贸委[2002]第30号令;
《电力工业中涉及的国家秘密及具体范围的规定》,电力工业部和国家保密局1996年发布。
GB/T?14598.9-1995??辐射电磁场抗扰度标准
GB/T?14598.10-1996????快速瞬变抗扰度标准
GB/T?14598.13-1998??脉冲群抗扰度标准
GB/T?14598.14-1998??静电放电抗扰度标准
GB/T?17626.5-1999??浪涌(冲击)抗扰度标准
GB/T?17626.6-1998?射频场感应的传导骚扰抗扰度标准
GB/T?11287-2000?机械振动响应标准
参考的安全标准和规范
UL?1950
EN?41003
AS/NZS?3260
AS/NZS?3548?Class?A
CSA?Class?A
FCC?Class?A
EN?60552-2
VCCI(ClassII)
系统结构
硬件结构

图4-4?硬件结构图
硬件平台
南京销售科东加密PSTunnel-2000
硬件功能
千兆设备具有6个网络接口,其中4个10/100/1000M?网络电口(2个光网络接口与2个千兆网络电口复用);另外还具有2个不同功能接口10/100M自适应的网卡,?用于配置和扩展,保证网络传输的高速稳定。
百兆设备共有5个网络接口,采用RJ45型接口,10/100M自适应,2个内网网口,2个外网网口,1个配置口,心跳口与其他网络接口复用。
微型设备具有3个网络接口,10/100M自适应,1个内网网口,1个外网网口,1个配置口,心跳口与其他网络接口复用。
物理锁具。保证加密装置内部安全模块的安全,没有特定的钥匙,不能打开机箱外壳,不能看见“加密认证装置”密码装置内部的结构和安全密码卡的结构。保证“加密认证装置”密码装置的物理安全。
采用USBKey作为该装置的管理人员的“人机卡三方认证”的登录安全介质。
该网关外形为1U标准的机箱;重量为4kg,上架方式为面板前方左右两侧的钢质耳朵。
有蜂鸣器装置作为声音报警装置,一旦系统发生紧急情况,可以由该系统的报警模块出发,作为提示系统管理人员的声音警示。
可以手动解除解除报警蜂鸣器工作的按钮。
面板前后方分别有多个指示灯,分别代表系统电源状态(Power),系统运行(Run),内外网口连接(eth0/?eth1,eth2/eth3),网络连接状态(ACK),外接的系统信息串口状态,报警模块外部接口的状态(Alarm?/?复归),内部处理模块状态,安全加密解密模块等系统关键部件的运行状态。
内置硬件Wacthdog,用以监视系统的运行状态,保证整个硬件电路的安全稳定、可靠。
内置RTC时钟模块,保证系统时间的精准。
采用双电源(微型采用单电源)保证系统供电模块的可靠性;电源交流100V-260V/50HZ。
型号说明
产品型号:PSTunnel-2000G?电力专用纵向加密认证装置——千兆型
产品型号:PSTunnel-2000?电力专用纵向加密认证装置——百兆增强型
产品型号:PSTunnel-2000L?电力专用纵向加密认证装置——百兆低端型
产品型号:PSTunnel-2000M?电力专用纵向加密认证装置——微型
国密局批复型号:SJY99加密网关
产品外观:

图4-6?设备前视图
接口说明