跨網(wǎng)絡(luò)安全數(shù)據(jù)通信模式范文

本站小編為你精心準(zhǔn)備了跨網(wǎng)絡(luò)安全數(shù)據(jù)通信模式參考范文，愿這些范文能點燃您思維的火花，激發(fā)您的寫作靈感。歡迎深入閱讀并收藏。

在兩個通訊服務(wù)器之間實現(xiàn)通訊，首先需要在服務(wù)器之間建立相應(yīng)的連接，通過自定義的通訊協(xié)議在兩臺服務(wù)器之間進行數(shù)據(jù)交互。由于只是針對特定的業(yè)務(wù)，為了保障數(shù)據(jù)交互的安全，在PCI接口硬件之間所采用的交互協(xié)議要盡可能簡單并帶有嚴格的數(shù)據(jù)加密保護措施，對數(shù)據(jù)通訊服務(wù)器實行接收指令的限定，通過特定的指令返回相應(yīng)的數(shù)據(jù)處理結(jié)果。在數(shù)據(jù)處理服務(wù)端定義相應(yīng)的指令集用于接收固定的指令，再針對特定的指令返回處理結(jié)果。對于非法的指令直接丟棄。基于PCI接口連接的數(shù)據(jù)交互原理，見圖1。該交互方式實現(xiàn)了物理隔離網(wǎng)絡(luò)之間的通訊，在最大限度地提高通訊效率的前提下，保證了物理隔離網(wǎng)絡(luò)之間的安全性。在安全保障方面，通過硬件的方式實現(xiàn)傳輸加密；非標(biāo)準(zhǔn)協(xié)議握手驗證和加密通訊在不同操作系統(tǒng)是通過操作系統(tǒng)本身的權(quán)限控制機制，限制客戶端與服務(wù)器端的訪問權(quán)限。

1硬件準(zhǔn)備

硬件端主要由PCI總線接口芯片CH365、USB接口芯片CH375、邏輯控制芯片ATF16V8B組成。其中，CH365是一種32位轉(zhuǎn)8位、數(shù)據(jù)傳輸速率可達7Mbit的計算機PCI（或PCI-E）總線接口芯片；CH375是一個具有8位數(shù)據(jù)總線和讀、寫、片選控制線以及中斷輸出的USB總線通用接口芯片，并且里面帶有2個可用于數(shù)據(jù)交換的64字節(jié)收發(fā)雙向緩沖區(qū)；ATF16V8B是可寫入控制邏輯的控制芯片。硬件通信原理，見圖2。由圖2可見，驅(qū)動軟件通過PCI總線向CH365芯片發(fā)起64字節(jié)的數(shù)據(jù)傳輸請求，并通過ATF16V8B芯片知CH375芯片并查詢相應(yīng)狀態(tài)直到當(dāng)CH375芯片可寫時，CH365芯片向CH375芯片寫完數(shù)據(jù)并產(chǎn)生中斷告知CH375芯片；CH375芯片收到此中斷信號，則通過USB協(xié)議向?qū)Ψ降目òl(fā)送待傳輸?shù)?4字節(jié)數(shù)據(jù)。對方的CH375芯片收到數(shù)據(jù)后將數(shù)據(jù)存放在64字節(jié)接收緩沖區(qū)，同時向ATF16V8B芯片發(fā)出中斷信號并等待CH365芯片接收數(shù)據(jù)，待數(shù)據(jù)接收完畢后關(guān)閉中斷信號。由于CH375芯片具有2個64字節(jié)緩沖區(qū)，可以將2個緩沖區(qū)分別設(shè)置為接收緩沖區(qū)和發(fā)送緩沖區(qū)，由此構(gòu)成數(shù)據(jù)收發(fā)的全雙工鏈路。

2通訊協(xié)議

2.1通訊鏈路的建立通信卡雖然不建立標(biāo)準(zhǔn)的TCP/IP鏈接，但是為了保證數(shù)據(jù)收發(fā)的同步，建立鏈接時仍然使用類似于TCP/IP的“3次握手”協(xié)議和“4次分手”協(xié)議。所謂的“3握手”就是對每次發(fā)送的數(shù)據(jù)量怎樣跟蹤、協(xié)商，使數(shù)據(jù)段的發(fā)送和接收同步；當(dāng)數(shù)據(jù)發(fā)送、接收完畢后何時撤消聯(lián)系，并建立虛擬連接。為了提供可靠的傳送信息，TCP在發(fā)送新的數(shù)據(jù)之前，以特定的順序號將數(shù)據(jù)打包并傳送給目標(biāo)機。TCP總是用于發(fā)送大批量數(shù)據(jù)。當(dāng)應(yīng)用程序在收到數(shù)據(jù)后做出確認時也要用到TCP。握手時序通信原理，見圖3。第1次握手：建立連接時，A端發(fā)送syn包（syn=j）到B端，并進入SYN_SEND狀態(tài)，等待B端確認。第2次握手：B端收到syn包，必須確認A端的SYN（ack=j+1），同時自己也發(fā)送一個SYN包（syn=k），即SYN+ACK包，此時服務(wù)器進入SYN_RECV狀態(tài)。第3次握手：A端收到B端的SYN+ACK包，向B端發(fā)送確認包ACK（ack=k+1），此包發(fā)送完畢，A端和B端進入ESTABLISHED狀態(tài)，完成3次握手。由于TCP連接是全雙工的，因此每個方向都必須單獨進行關(guān)閉。這個原則是當(dāng)一方完成數(shù)據(jù)發(fā)送任務(wù)后就發(fā)送1個FIN來終止這個方向的連接；收到1個FIN只意味著這一方向上沒有數(shù)據(jù)流動。1個TCP連接在收到1個FIN后仍能發(fā)送數(shù)據(jù)，首先進行關(guān)閉的一方將執(zhí)行主動關(guān)閉，而另一方執(zhí)行被動關(guān)閉。

2.2數(shù)據(jù)幀格式通訊卡采用有限數(shù)據(jù)通信模式，即數(shù)據(jù)服務(wù)器所能接收的指令事先定義并保存在相應(yīng)的請求指令集。數(shù)據(jù)處理服務(wù)器端接收到的數(shù)據(jù)首先需要進行解密，再進行有效性判斷，不符合的數(shù)據(jù)一律被認為是無效數(shù)據(jù)（丟棄）；對于符合指令處理程序的數(shù)據(jù)，根據(jù)指令的要求加密后返回給客戶端。這樣，即使黑客掌握通信協(xié)議向PCI硬件卡發(fā)送的信息，也無法進行正確的加密、解密，其指令也是數(shù)據(jù)處理服務(wù)器不認可的。CH375芯片里面帶有2個可用于數(shù)據(jù)交換的64字節(jié)收發(fā)雙向緩沖區(qū)，在通信協(xié)議設(shè)計時，協(xié)議的幀頭固定占用4個字節(jié)，幀數(shù)據(jù)區(qū)占用60個字節(jié)。4個字節(jié)的幀頭又分為握手區(qū)和指令區(qū)，第1個字節(jié)用來存放上位機的通訊信道和握手協(xié)議信號；第2~4這3個字節(jié)用來存放具體的通訊指令。第1字節(jié)握手區(qū)的8bit又分為兩部分。第一部分為前3bit，用來存放通訊信道，支持23=8種通訊信道，即已配對的1套通信卡可以支持上位機8種通訊程序；第二部分為剩下的5個bit，用于存放握手協(xié)議和分手協(xié)議的應(yīng)答信號，協(xié)議支持25=32種協(xié)議握手信號。指令區(qū)3個字節(jié)的字長支持224=1703936種有效性通信指令。內(nèi)部通信指令還可區(qū)分為控制指令和數(shù)據(jù)傳輸指令。控制指令占用第3字節(jié)，包含3次握手和4次分手指令集合，最多可以達到28=256種指令；數(shù)據(jù)傳輸指令共同占用第2、3字節(jié)，包括數(shù)據(jù)傳輸開始、數(shù)據(jù)幀中傳輸、丟棄指令、數(shù)據(jù)重發(fā)、數(shù)據(jù)結(jié)束等指令。指令集支持216=65536種指令。為了保證通信卡的通用性，協(xié)議保留第1字節(jié)給上位機自行定義。上位機用戶可以根據(jù)具體的應(yīng)用自行定義指令格式，指令集數(shù)量支持224-216-28=16777216-65536-256=16711424種指令。幀數(shù)據(jù)區(qū)由緩沖區(qū)的第4字節(jié)和其他59個字節(jié)組成，其中第4字節(jié)的低4位組成的最大可表示64數(shù)值、代表59個字節(jié)的數(shù)據(jù)長度。高4位組成的最大可表示64數(shù)值、表示數(shù)據(jù)傳輸?shù)募用軜?biāo)準(zhǔn)（數(shù)據(jù)加密標(biāo)準(zhǔn)涉及通信卡通信安全，此處不展開說明）。由此構(gòu)成的幀格式示意圖，見圖4。

3通信端配置

在準(zhǔn)備好硬件與定義相應(yīng)的通訊協(xié)議后，基于不同的操作系統(tǒng)還要進行相應(yīng)權(quán)限分配的設(shè)置。本通訊方式在數(shù)據(jù)傳輸時，在請求客戶端服務(wù)器與數(shù)據(jù)處理服務(wù)器間并沒有相應(yīng)的標(biāo)準(zhǔn)協(xié)議，而是分別在兩個服務(wù)器的操作系統(tǒng)中定義了通訊雙方所能夠訪問的目錄。該目錄通過操作系統(tǒng)用戶的權(quán)限來設(shè)定，只具備讀、寫的功能，并限定存儲文件類型為文本類型。這樣的限定將會極大降低服務(wù)器間傳遞惡意程序的可能性，從而提高服務(wù)器的安全性。

4通訊設(shè)備的使用

經(jīng)過硬件、通訊協(xié)議以及通訊兩端之間的安全配置后，只需在通訊的服務(wù)器上安裝相應(yīng)的上位機驅(qū)動程序，并進行簡單的配置，即可為通訊的雙方提供相應(yīng)的安全數(shù)據(jù)通訊。在數(shù)據(jù)處理服務(wù)端，需要配置可接收的指令集，并設(shè)置接收數(shù)據(jù)的加密機制。當(dāng)請求客戶端發(fā)起正確加密的指令后，服務(wù)器通過監(jiān)控指定目錄接收的指令，從數(shù)據(jù)庫或者其他存儲介質(zhì)中獲取到處理的結(jié)果數(shù)據(jù)，并通過加密的方式傳輸?shù)秸埱罂蛻舳恕Ｕ埱罂蛻舳私邮盏降臄?shù)據(jù)同樣放在指定的目錄下，請求客戶端通過將返回的數(shù)據(jù)格式與相應(yīng)的發(fā)送請求進行匹配，形成相應(yīng)的結(jié)果數(shù)據(jù)，返回給最終用戶。由于通訊卡內(nèi)部CH365數(shù)據(jù)傳輸速率可達7Mbit并且采用全雙工通信鏈路，去除協(xié)議包的數(shù)據(jù)流量損耗，實際的通信速率可以達到6.4Mbit。在給醫(yī)保、農(nóng)保和互聯(lián)網(wǎng)提供查詢應(yīng)用時，其速率已和普通互聯(lián)網(wǎng)接入的下行帶寬相當(dāng)。在實際使用中，應(yīng)用程序并未有明顯的網(wǎng)絡(luò)隔離中斷等待。對用戶和黑客也實現(xiàn)了網(wǎng)絡(luò)透明，讓惡意程序無法進入可信端竊取和破壞數(shù)據(jù)，實現(xiàn)理想的隔離，使數(shù)據(jù)高速率、安全地進行通信。

5結(jié)語

本文提出了一種利用PCI接口作為多個網(wǎng)絡(luò)之間物理隔離方案的通訊機制，使通訊雙方在同一機房實現(xiàn)交互數(shù)據(jù)量小、并發(fā)量不大的單鏈路多信道業(yè)務(wù)通訊。在本文中涉及到的硬件、軟件配置，并不需要很高的成本，只是利用了最基本的服務(wù)器的已有接口，并配合簡單的傳輸配件，即可組成1個便捷的跨網(wǎng)絡(luò)安全數(shù)據(jù)傳輸設(shè)備。該機制從硬件層面、軟件層面都對物理隔離網(wǎng)絡(luò)之間的數(shù)據(jù)通訊設(shè)置了相應(yīng)的安全保障，能夠?qū)崿F(xiàn)物理隔離網(wǎng)絡(luò)之間高效率、實時、安全的數(shù)據(jù)交換，并減少了病毒傳輸?shù)目赡苄裕谔囟ǖ臉I(yè)務(wù)方面有較強的可用性。

作者：吳雅云莊紹燕洪瑞安單位：中國人民解放軍第一八零醫(yī)院信息科軟件研發(fā)室