[发明专利]一种可信网络接入方法和系统

权利要求书

1.一种可信网络接入系统，其特征在于：采用垂直式的信息流处理架构，包括垂直解耦式的数据平面和防御平面，在数据平面上，通过接口形式进行网络包整流和传输功能调用，实现网络包的收发；在防御平面上，实现网络包的加解密、完整性认证、密钥管理的安全功能；而数据平面和防御平面相交的部分通过不可修改的方式实现于操作系统之下、计算环境的底层，用以完成网络包的加解密和完整性操作；

不可修改的方式为硬件模块方式；

数据平面包括依次连接的网络包收发模块、硬件加密认证模块和数据整流模块，其中网络包收发模块与外网双向连接，数据整流模块与内网双向连接；防御平面包括硬件加密认证模块、与硬件加密认证模块双向连接的密码管理模块；

网络包收发模块包括与外网双向连接的第一外部网络接口、与第一外部网络接口单向连接的配置部件、与第一外部网络接口双向连接的第一内部网络接口，第一内部网络接口连接硬件加密认证模块；

硬件加密认证模块包括与网络包收发模块的第一内部网络接口双向连接的第二外部网络接口、与第二外部网络接口双向连接的包处理部件、与包处理部件分别双向连接的第二通信接口和第二内部网络接口，第二通信接口双向连接密码管理模块，第二通信接口同时单向连接第二内部网络接口，第二内部网络接口双向连接数据整流模块；

密码管理模块包括与硬件加密认证模块的第二通信接口连接的第三通信接口、与第三通信接口双向连接的密码管理部件和隧道协商部件，密码管理部件和隧道协商部件之间也双向连接；

数据整流模块包括与硬件加密认证模块的第二内部网络接口双向连接的第三外部网络接口、与第三外部网络接口双向连接的网络包整流部件、与网络包整流部件双向连接的第三内部网络接口和IP地址映射部件，其中第三外部网络接口包括单向IP映射接口和数据包传输接口，单向IP映射接口与硬件加密认证模块的第二内部网络接口和IP地址映射部件单向连接，数据包传输接口与硬件加密认证模块的第二内部网络接口和网络包整流部件双向连接。

2.根据权利要求1所述的一种可信网络接入系统，其特征在于：网络包收发模块的第一外部网络接口包括有线网络接口和无线网络接口，有线网络接口和无线网络接口均与外网和第一内部网络接口双向连接、并均与配置部件单向连接；

硬件加密认证模块的包处理部件包括依次连接的网络包解析组件、包策略组件、加解密组件、完整性保护/认证组件，其中网络包解析组件与第二外部网络接口、第二内部网络接口、第二通信接口、加解密组件分别连接，包策略组件分别双向连接第二内部网络接口和第二通信接口，完整性保护/认证组件分别连接包策略组件和第二外部网络接口。

3.根据权利要求2所述的一种可信网络接入系统，其特征在于：网络包收发模块收发的网络包基于UDP协议，该基于UDP协议的网络包包括IP报头、UDP报头、安全参数索引SPI、序列号SeqNum、初始化向量IV、载荷 Payload、完整性校验值ICV。

4.一种可信网络接入方法，其特征在于：利用了上述权利要求3所述的系统，应用于成对使用的安全边界设备上，接入过程为：根据降维防御原则，通过硬件加密认证模块将外网与安全边界设备操作系统进行隔离，将网络包的认证加密功能部署于安全边界设备操作系统之前，阻止攻击者对安全边界设备的攻击；通过建立认证加密隧道，将数据平面和防御平面进行硬件解耦，实现对接入网络数据包的认证和机密性保护。