[发明专利]一种可信网络接入方法和系统

说明书

本发明涉及一种可信网络接入方法和系统，本发明的系统解决了高安全性、高敏感场景远程可信网络接入问题，在提高了工作效率的同时，有效化解计算平台漏洞和缺陷导致的安全功能被旁路或者安全边界设备被攻破的安全风险，实现对内网资源的高安全保护；本发明的接入方法，有效提高安全边界设备安全性，从而实现对内网资源高安全保护的目的，具有极高的推广应用价值，因此本发明解决了现有安全边界设备由于自身存在安全隐患而造成的可信网络接入并不可信的问题，能够提供可信的网络接入机制。

技术领域

本专利申请属于通信安全技术领域，更具体地说，是涉及一种可信网络接入方法和系统。

背景技术

当前，随着互联网的发展，各种各样的安全边界设备广泛应用于电子政务、电子商务、移动办公等多个领域，为用户、工作人员、分支机构、商业合作伙伴和各类网络设备提供可信的内部网络远程接入通道和安全认证机制。

伴随着安全边界设备的广泛应用，其自身的安全问题也逐渐暴露出来，通过安全边界设备自身的漏洞、后门，攻击者可以非授权地穿过安全边界设备，进入敏感的内部网络，从而导致信息泄漏、信息窃取等事故。

现有的安全边界设备，如防火墙、VPN、网关等，其自身系统是否安全一直是一个复杂的难以被验证的核心关键问题。一方面，安全边界设备所采用的CPU和操作系统具有极高的复杂度，存在有各种各样的软硬件漏洞。另一方面，安全边界设备所采用的CPU、操作系统以及所运行的软件中，存在严重的后门风险。

首先，现代CPU和操作系统，本身的复杂程度已经很高，各种漏洞被不断的曝出。例如，2018年曝出熔断和幽灵漏洞几乎横扫全部CPU，而操作系统的各类零日漏洞更是数不胜数。根据软件工程原理可知，漏洞和代码量有着正比例关系，操作系统的代码量达到亿级数量级，没有漏洞是不可能的事情。现代CPU的复杂程度，已经不亚于操作系统，其晶体管的数量也达到几十亿级，同样面临着各种各样的安全问题。

影响安全边界设备安全性的不仅是漏洞，安全边界设备上所使用的硬件和应用软件还存在各类后门等安全威胁。 “棱镜门”事件曝出思科等公司的安全边界设备预留大量后门，用于监控网络数据。再比如Intel CPU 内部的ME模块，就可以在操作系统无感知的情况下，直接使用网口访问数据，考虑到目前大量的安全边界设备的核心处理器离不开Intel支持的现状，这也给安全边界设备本身的安全性埋下了隐患。安全边界设备通常需要执行密码协议来实现相应的安全功能，而上述密码协议通常由OpenSSL等开源安全软件实现。此类开源安全软件同样存在漏洞和后门等安全风险：例如，开源安全软件在实现密码协议时存在诸如Heartbleed和DROWN等漏洞和后门。

因此，需要对安全边界设备进行特定的保护，防止因为安全边界设备的操作系统或代码本身漏洞导致的安全功能被旁路或者安全边界设备被攻破的安全风险，使其具备更强的安全性，解决高安全性、高敏感场景远程可信网络接入问题，实现对内网资源的高安全保护。

发明内容

本发明需要解决的技术问题是提供一种可信网络接入方法和系统，以解决现有安全边界设备由于自身存在安全隐患而造成的可信网络接入并不可信的问题，能够提供可信的网络接入机制。

为了解决上述问题，本发明所采用的技术方案是：

一种可信网络接入系统，包括采用垂直式的信息流处理架构，包括垂直解耦式的数据平面和防御平面，在数据平面上，通过接口形式进行网络包整流和传输功能调用，实现网络包的收发；在防御平面上，实现网络包的加解密、完整性认证、密钥管理的安全功能；而数据平面和防御平面相交的部分通过不可修改的方式实现于操作系统之下、计算环境的底层，用以完成网络包的加解密和完整性操作。

本发明技术方案的进一步改进在于：不可修改的方式为硬件模块方式的硬件电路，硬件电路直接完成网络包的处理，该硬件电路的实现不依赖于任何第三方的代码，硬件电路结构极为简洁，仅仅不到500行的硬件代码，是整个系统的可信基，极小的代码量非常方便安全性审计，保证了安全根的可信性。