電力專用加密認(rèn)證裝置

1、珠海市鴻瑞軟件技術(shù)有限公司珠海市鴻瑞軟件技術(shù)有限公司興唐縱向加密裝置珠海市鴻瑞軟件技術(shù)有限公司珠海市鴻瑞軟件技術(shù)有限公司研制背景和意義l興唐加密裝置是電力二次系統(tǒng)安全防護(hù)體系中電力興唐加密裝置是電力二次系統(tǒng)安全防護(hù)體系中電力調(diào)度數(shù)據(jù)保密通信的專用密碼設(shè)備，是電力二次系調(diào)度數(shù)據(jù)保密通信的專用密碼設(shè)備，是電力二次系統(tǒng)安全防護(hù)的核心設(shè)備。統(tǒng)安全防護(hù)的核心設(shè)備。l按照按照電力系統(tǒng)專用縱向加密認(rèn)證裝置技術(shù)規(guī)范電力系統(tǒng)專用縱向加密認(rèn)證裝置技術(shù)規(guī)范的要求設(shè)計(jì)與研制。的要求設(shè)計(jì)與研制。l該裝置位于電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度該裝置位于電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的路由器之間，為電力通信提供

2、安全可靠數(shù)據(jù)網(wǎng)絡(luò)的路由器之間，為電力通信提供安全可靠的服務(wù)。的服務(wù)。珠海市鴻瑞軟件技術(shù)有限公司基本工作原理n符合符合IP加密認(rèn)證裝置技術(shù)規(guī)范加密認(rèn)證裝置技術(shù)規(guī)范v2.7.0的功能要求和設(shè)備互的功能要求和設(shè)備互聯(lián)互通要求。聯(lián)互通要求。n協(xié)議處理依據(jù)業(yè)界普遍遵循的協(xié)議處理依據(jù)業(yè)界普遍遵循的IPSec標(biāo)準(zhǔn)，密鑰管理采用公私標(biāo)準(zhǔn)，密鑰管理采用公私鑰體制，采用國家密碼管理局批準(zhǔn)的密碼方案。鑰體制，采用國家密碼管理局批準(zhǔn)的密碼方案。 n采用采用ESP隧道模式，不僅提供基本的數(shù)據(jù)加解密功能，而且隧道模式，不僅提供基本的數(shù)據(jù)加解密功能，而且提供數(shù)據(jù)包完整性認(rèn)證、提供數(shù)據(jù)包完整性認(rèn)證、IP地址封裝屏蔽、安全策略

3、審查等地址封裝屏蔽、安全策略審查等安全功能。安全功能。珠海市鴻瑞軟件技術(shù)有限公司密碼機(jī)(解密)l密碼機(jī)的工作機(jī)制密碼機(jī)的工作機(jī)制信源(發(fā)送者)密碼機(jī)(加密)信宿(接收者) 密鑰K加密隧道密鑰K 證書認(rèn)證加密技術(shù)原理珠海市鴻瑞軟件技術(shù)有限公司主要功能lIP層通信加密，符合層通信加密，符合IPSec，密文采用封裝安全載荷（，密文采用封裝安全載荷（ESP）；）；l一對多加密模式，適應(yīng)所有廣域網(wǎng)絡(luò)，擴(kuò)展性好，靈活性高；一對多加密模式，適應(yīng)所有廣域網(wǎng)絡(luò)，擴(kuò)展性好，靈活性高；l密鑰管理采用公私鑰體制，符合密鑰管理采用公私鑰體制，符合X.509標(biāo)準(zhǔn)，使用標(biāo)準(zhǔn)，使用BASE-64編碼，由調(diào)度證編碼，由調(diào)度證書

4、服務(wù)系統(tǒng)一簽發(fā)；書服務(wù)系統(tǒng)一簽發(fā)；l可使用符合可使用符合電力系統(tǒng)專用縱向加密認(rèn)證裝置技術(shù)規(guī)范電力系統(tǒng)專用縱向加密認(rèn)證裝置技術(shù)規(guī)范要求的證書服務(wù)要求的證書服務(wù)系統(tǒng)下發(fā)的數(shù)字證書和操作員卡；系統(tǒng)下發(fā)的數(shù)字證書和操作員卡；l采用透明網(wǎng)橋模式，不影響原有網(wǎng)絡(luò)和終端設(shè)備的配置，系統(tǒng)擴(kuò)展性好采用透明網(wǎng)橋模式，不影響原有網(wǎng)絡(luò)和終端設(shè)備的配置，系統(tǒng)擴(kuò)展性好l支持雙機(jī)熱備功能；支持雙機(jī)熱備功能；l具有完善的自檢、聲光組合告警提示，以及自愈功能；具有完善的自檢、聲光組合告警提示，以及自愈功能；l具有完備的審計(jì)功能；具有完備的審計(jì)功能；l支持本地設(shè)置和遠(yuǎn)程管理，并提供在線軟升級和更換密鑰的功能；支持本地設(shè)置和遠(yuǎn)程管

5、理，并提供在線軟升級和更換密鑰的功能；l基于基于Windows圖形界面的專用配置管理軟件對設(shè)備進(jìn)行各類配置管理工作，圖形界面的專用配置管理軟件對設(shè)備進(jìn)行各類配置管理工作，界面友好，操作便捷；界面友好，操作便捷；l支持配置備份和恢復(fù)、軟件升級。支持配置備份和恢復(fù)、軟件升級。珠海市鴻瑞軟件技術(shù)有限公司基本工作方式l透明網(wǎng)橋方式工作；透明網(wǎng)橋方式工作；l只需一個(gè)只需一個(gè)IP地址，支持位掩碼（借地址，支持位掩碼（借用地址）；用地址）；l對密碼機(jī)進(jìn)行策略配置后，密碼機(jī)自動(dòng)對密碼機(jī)進(jìn)行策略配置后，密碼機(jī)自動(dòng)進(jìn)行雙向認(rèn)證、密鑰協(xié)商，不需要管理進(jìn)行雙向認(rèn)證、密鑰協(xié)商，不需要管理中心的參與；中心的參與；l建立加

6、密隧道，局域網(wǎng)用戶不需要關(guān)心建立加密隧道，局域網(wǎng)用戶不需要關(guān)心安全加密的技術(shù)細(xì)節(jié)，身份鑒別和信息安全加密的技術(shù)細(xì)節(jié)，身份鑒別和信息加密過程始終是透明的，系統(tǒng)將針對加密過程始終是透明的，系統(tǒng)將針對IP包自動(dòng)進(jìn)行安全加密操作；包自動(dòng)進(jìn)行安全加密操作；l支持支持VLAN Trunk;支持支持VLAN與隧道綁定與隧道綁定l支持雙機(jī)熱備工作方式；支持雙機(jī)熱備工作方式；l支持基于加密隧道的明通功能，根據(jù)安支持基于加密隧道的明通功能，根據(jù)安全策略，可以對不同的隧道分別設(shè)置加全策略，可以對不同的隧道分別設(shè)置加密或明傳；密或明傳；l為故障應(yīng)急處理，提供安全按鈕方式的為故障應(yīng)急處理，提供安全按鈕方式的硬旁路明通；

7、硬旁路明通；l可接受統(tǒng)一的裝置管理系統(tǒng)的遠(yuǎn)程監(jiān)控可接受統(tǒng)一的裝置管理系統(tǒng)的遠(yuǎn)程監(jiān)控和管理。和管理。l根據(jù)根據(jù)IP、端口號、協(xié)議等指定安全策略、端口號、協(xié)議等指定安全策略珠海市鴻瑞軟件技術(shù)有限公司l網(wǎng)絡(luò)適應(yīng)性強(qiáng)網(wǎng)絡(luò)適應(yīng)性強(qiáng)作為內(nèi)嵌密碼模塊的雙網(wǎng)口透明網(wǎng)橋設(shè)備，對其作為內(nèi)嵌密碼模塊的雙網(wǎng)口透明網(wǎng)橋設(shè)備，對其他主機(jī)而言是透明的，只需占用一個(gè)他主機(jī)而言是透明的，只需占用一個(gè)IPIP地址，不地址，不影響原有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，也無須更改網(wǎng)絡(luò)設(shè)備或影響原有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，也無須更改網(wǎng)絡(luò)設(shè)備或局域網(wǎng)計(jì)算機(jī)的設(shè)置，它所提供的密通道對局域局域網(wǎng)計(jì)算機(jī)的設(shè)置，它所提供的密通道對局域網(wǎng)內(nèi)的計(jì)算機(jī)是透明的，這一特性極大地方便

8、了網(wǎng)內(nèi)的計(jì)算機(jī)是透明的，這一特性極大地方便了最終用戶。最終用戶。 適應(yīng)適應(yīng)802.1Q VLAN802.1Q VLAN等網(wǎng)絡(luò)環(huán)境。等網(wǎng)絡(luò)環(huán)境。珠海市鴻瑞軟件技術(shù)有限公司功能特點(diǎn)安全性安全性完善的自主安全防護(hù)措施完善的自主安全防護(hù)措施物理鎖物理鎖開機(jī)毀鑰開機(jī)毀鑰l無論是在帶電工作或是不帶電的情況下，打開機(jī)殼，密鑰都會被自動(dòng)銷毀，增強(qiáng)了系統(tǒng)的安全無論是在帶電工作或是不帶電的情況下，打開機(jī)殼，密鑰都會被自動(dòng)銷毀，增強(qiáng)了系統(tǒng)的安全性。性。安全加固內(nèi)核安全加固內(nèi)核l修改了協(xié)議棧，對于網(wǎng)絡(luò)數(shù)據(jù)的處理完全可控。涉及的安全協(xié)議全部都是定制的，可以更有效修改了協(xié)議棧，對于網(wǎng)絡(luò)數(shù)據(jù)的處理完全可控。涉及的安全協(xié)議全

9、部都是定制的，可以更有效地防御攻擊。地防御攻擊。l毀鑰告警毀鑰告警電源電源l工業(yè)電源工業(yè)電源l雙電源雙電源l支持直流電源模塊支持直流電源模塊l失效告警失效告警l可在線熱替換，不中斷業(yè)務(wù)可在線熱替換，不中斷業(yè)務(wù)l標(biāo)準(zhǔn)尺寸標(biāo)準(zhǔn)尺寸雙算法芯片冗余雙算法芯片冗余l(xiāng)在密碼模塊的設(shè)計(jì)過程中，充分考慮了用戶潛在的提速和擴(kuò)容需求，賦予了密碼模塊良好的可擴(kuò)展在密碼模塊的設(shè)計(jì)過程中，充分考慮了用戶潛在的提速和擴(kuò)容需求，賦予了密碼模塊良好的可擴(kuò)展性，支持兩塊性，支持兩塊SSX06算法芯片并行工作，使密碼模塊處理能力線性增加，可以保證系統(tǒng)平滑地提速算法芯片并行工作，使密碼模塊處理能力線性增加，可以保證系統(tǒng)平滑地提速和

10、擴(kuò)容。兼顧性能和靈活性，可根據(jù)用戶要求選配單芯卡或雙芯卡。即使有一塊芯片不可用，并不和擴(kuò)容。兼顧性能和靈活性，可根據(jù)用戶要求選配單芯卡或雙芯卡。即使有一塊芯片不可用，并不妨礙另一塊芯片全速運(yùn)行。妨礙另一塊芯片全速運(yùn)行。珠海市鴻瑞軟件技術(shù)有限公司支持雙機(jī)熱備支持雙機(jī)熱備l支持雙機(jī)熱備運(yùn)行模式，即同一網(wǎng)點(diǎn)的兩臺縱向加密支持雙機(jī)熱備運(yùn)行模式，即同一網(wǎng)點(diǎn)的兩臺縱向加密認(rèn)證裝置互為主備機(jī)，在出現(xiàn)鏈路等故障時(shí)，主備機(jī)認(rèn)證裝置互為主備機(jī)，在出現(xiàn)鏈路等故障時(shí)，主備機(jī)會快速自動(dòng)切換，保障通信連續(xù)性。從所保護(hù)的局域會快速自動(dòng)切換，保障通信連續(xù)性。從所保護(hù)的局域網(wǎng)中的通信機(jī)到本地接入路由器之間的路徑上，任何網(wǎng)中的通

11、信機(jī)到本地接入路由器之間的路徑上，任何環(huán)節(jié)（包括設(shè)備或鏈路出現(xiàn)故障），設(shè)備都能正確識環(huán)節(jié)（包括設(shè)備或鏈路出現(xiàn)故障），設(shè)備都能正確識別，實(shí)現(xiàn)路徑切換。別，實(shí)現(xiàn)路徑切換。軟件和關(guān)鍵數(shù)據(jù)校驗(yàn)軟件和關(guān)鍵數(shù)據(jù)校驗(yàn)軟件設(shè)計(jì)軟件設(shè)計(jì)l軟件設(shè)計(jì)過程中，始終堅(jiān)持軟件設(shè)計(jì)過程中，始終堅(jiān)持KISS（Keep It Simple, Stupid!）原則，避免復(fù)雜性以增強(qiáng)可靠性。）原則，避免復(fù)雜性以增強(qiáng)可靠性。l防御性軟件設(shè)計(jì)，有效防止緩沖區(qū)溢出。防御性軟件設(shè)計(jì)，有效防止緩沖區(qū)溢出。l堅(jiān)持最小權(quán)限原則，只允許核心模塊擁有超級用戶權(quán)堅(jiān)持最小權(quán)限原則，只允許核心模塊擁有超級用戶權(quán)限。限。珠海市鴻瑞軟件技術(shù)有限公司硬件看門狗

12、硬件看門狗l硬件故障時(shí)能夠自動(dòng)重啟，無需人工干預(yù)；硬件故障時(shí)能夠自動(dòng)重啟，無需人工干預(yù)；軟件失效監(jiān)控軟件失效監(jiān)控l監(jiān)控進(jìn)程負(fù)責(zé)對密碼模塊、遠(yuǎn)程管理進(jìn)程和密鑰同步進(jìn)監(jiān)控進(jìn)程負(fù)責(zé)對密碼模塊、遠(yuǎn)程管理進(jìn)程和密鑰同步進(jìn)程等進(jìn)行監(jiān)控，一旦發(fā)現(xiàn)異常情況，監(jiān)控進(jìn)程將予以審程等進(jìn)行監(jiān)控，一旦發(fā)現(xiàn)異常情況，監(jiān)控進(jìn)程將予以審計(jì)記錄，同時(shí)嘗試進(jìn)行修復(fù)。計(jì)記錄，同時(shí)嘗試進(jìn)行修復(fù)。失效告警失效告警l電源失效，聲光告警電源失效，聲光告警l算法芯片失效，聲光告警算法芯片失效，聲光告警l關(guān)鍵部件失效，聲光告警關(guān)鍵部件失效，聲光告警l網(wǎng)口連接故障，聲光告警網(wǎng)口連接故障，聲光告警l其他告警其他告警珠海市鴻瑞軟件技術(shù)有限公司CA系

13、統(tǒng)及證書簽發(fā)珠海市鴻瑞軟件技術(shù)有限公司加密隧道的建立珠海市鴻瑞軟件技術(shù)有限公司加密裝置的配置內(nèi)容n導(dǎo)出證書請求導(dǎo)出證書請求n簽發(fā)證書簽發(fā)證書n拓?fù)浞治鐾負(fù)浞治鰊選擇相應(yīng)的配置方法選擇相應(yīng)的配置方法n配置網(wǎng)絡(luò)設(shè)置配置網(wǎng)絡(luò)設(shè)置n導(dǎo)入證書導(dǎo)入證書n添加隧道添加隧道n添加策略添加策略n明通、密通配置明通、密通配置珠海市鴻瑞軟件技術(shù)有限公司導(dǎo)出證書請求n當(dāng)密碼機(jī)處在出廠態(tài)和初始態(tài)時(shí)，采用向?qū)匠跏籍?dāng)密碼機(jī)處在出廠態(tài)和初始態(tài)時(shí)，采用向?qū)匠跏蓟鞒袒鞒讨楹Ｊ续櫲疖浖夹g(shù)有限公司導(dǎo)出證書請求n產(chǎn)生證書請求后，點(diǎn)擊按鈕產(chǎn)生證書請求后，點(diǎn)擊按鈕“下一步下一步”，彈出，彈出“導(dǎo)導(dǎo)出設(shè)備證書請求出設(shè)備證書請求”，

14、證書請求采用，證書請求采用X.509格式，使用格式，使用BASE-64編碼，后綴為編碼，后綴為*.pem。珠海市鴻瑞軟件技術(shù)有限公司拓?fù)浞治鰊分析本地密碼機(jī)的接入方式分析本地密碼機(jī)的接入方式n本地保護(hù)機(jī)的地址范圍本地保護(hù)機(jī)的地址范圍n目的保護(hù)機(jī)的地址范圍目的保護(hù)機(jī)的地址范圍n目的密碼機(jī)的接入方式目的密碼機(jī)的接入方式n業(yè)務(wù)數(shù)據(jù)傳輸協(xié)議業(yè)務(wù)數(shù)據(jù)傳輸協(xié)議n業(yè)務(wù)數(shù)據(jù)是否明通或密通通信業(yè)務(wù)數(shù)據(jù)是否明通或密通通信珠海市鴻瑞軟件技術(shù)有限公司接入前環(huán)境調(diào)查注意事項(xiàng)l了解接入位置的連接方式了解接入位置的連接方式也就是路由器與交換機(jī)的連接方式，在一般的環(huán)境下，我們分為也就是路由器與交換機(jī)的連接方式，在一般的環(huán)境下

15、，我們分為兩種情況：兩種情況：1、普通的二層或三層接入、普通的二層或三層接入2、Trunk封裝接入封裝接入lTrunk封裝接入封裝接入了解了解Trunk上一共跑了多少個(gè)上一共跑了多少個(gè)Vlan、各、各Vlan號、各號、各Vlan的掩碼位的掩碼位數(shù)（如存在數(shù)（如存在30位掩碼，加密機(jī)只能借用交換機(jī)的地址）、業(yè)務(wù)系統(tǒng)屬位掩碼，加密機(jī)只能借用交換機(jī)的地址）、業(yè)務(wù)系統(tǒng)屬于那個(gè)于那個(gè)Vlan、是否使用、是否使用802.1Q協(xié)議封裝、傳輸時(shí)協(xié)議封裝、傳輸時(shí)Vlan標(biāo)簽有否被剝離標(biāo)簽有否被剝離（例如（例如Vlan 1，多數(shù)品牌的交換機(jī)的，多數(shù)品牌的交換機(jī)的Vlan 1都默認(rèn)為不帶標(biāo)簽，所以都默認(rèn)為不帶標(biāo)簽，

16、所以一般禁止使用一般禁止使用Vlan 1）。）。l使用哪個(gè)廠家的路由器及交換機(jī)使用哪個(gè)廠家的路由器及交換機(jī)這里特意提到思科的交換機(jī)，目前思科的主流交換機(jī)，每開啟一這里特意提到思科的交換機(jī)，目前思科的主流交換機(jī)，每開啟一個(gè)個(gè)Vlan時(shí)都會同時(shí)打開一個(gè)歸屬于這個(gè)時(shí)都會同時(shí)打開一個(gè)歸屬于這個(gè)Vlan的生成樹，如果遇到的生成樹，如果遇到30位位掩碼的掩碼的Vlan時(shí)，在設(shè)備接入后，很有可能被生成樹檢測到時(shí)，在設(shè)備接入后，很有可能被生成樹檢測到IP沖突，從沖突，從而將交換機(jī)的出口端口關(guān)閉，這樣會使得交換機(jī)與上層斷開連接。而將交換機(jī)的出口端口關(guān)閉，這樣會使得交換機(jī)與上層斷開連接。l路由器和交換機(jī)上有沒有配

17、置控制訪問列表阻礙設(shè)備接入路由器和交換機(jī)上有沒有配置控制訪問列表阻礙設(shè)備接入l需通往哪里、需通什么業(yè)務(wù)、對端加密機(jī)部署狀態(tài)需通往哪里、需通什么業(yè)務(wù)、對端加密機(jī)部署狀態(tài)珠海市鴻瑞軟件技術(shù)有限公司部署方案1普通二層接入珠海市鴻瑞軟件技術(shù)有限公司部署方案2封裝接入（兩個(gè)都不借）珠海市鴻瑞軟件技術(shù)有限公司部署方案3封裝接入（一個(gè)借一個(gè)不借）珠海市鴻瑞軟件技術(shù)有限公司部署方案4封裝接入（兩個(gè)都借）珠海市鴻瑞軟件技術(shù)有限公司各環(huán)境歸總及配置細(xì)節(jié)與區(qū)別l一、普通的二層或三層接入一、普通的二層或三層接入只配一個(gè)只配一個(gè)IP地址，最多再配下路由，不需要陪地址，最多再配下路由，不需要陪Vlan及及MAC。l二、二

18、、Trunk封裝接入（這里假設(shè)封裝接入（這里假設(shè)Trunk上跑了兩個(gè)上跑了兩個(gè)Vlan）1、兩個(gè)都不借用地址（兩個(gè)、兩個(gè)都不借用地址（兩個(gè)Vlan都不為都不為30位掩碼）：位掩碼）：IP設(shè)置為業(yè)務(wù)設(shè)置為業(yè)務(wù)Vlan的地址，的地址，不啟用虛擬不啟用虛擬IP；配置；配置VLAN，啟用，啟用VLAN，裝置屬于業(yè)務(wù)，裝置屬于業(yè)務(wù)VLAN，不啟用，不啟用ARP，交換機(jī)交換機(jī)IP不設(shè)置；不配不設(shè)置；不配MAC。2、一個(gè)借一個(gè)不借（其中一個(gè)、一個(gè)借一個(gè)不借（其中一個(gè)Vlan為為30位掩碼）：位掩碼）： IP設(shè)置為業(yè)務(wù)設(shè)置為業(yè)務(wù)Vlan的地址，的地址，啟用虛擬啟用虛擬IP；配置；配置VLAN，啟用，啟用VLA

19、N，裝置屬于業(yè)務(wù)，裝置屬于業(yè)務(wù)VLAN，非借用地址，非借用地址VLAN（一般為業(yè)務(wù)（一般為業(yè)務(wù)Vlan）啟用）啟用ARP；配置；配置MAC，路由器，路由器MAC綁業(yè)務(wù)綁業(yè)務(wù)VLAN網(wǎng)網(wǎng)關(guān)關(guān)MAC，交換機(jī)，交換機(jī)MAC綁加密機(jī)的綁加密機(jī)的MAC。3、兩個(gè)都借（兩個(gè)、兩個(gè)都借（兩個(gè)Vlan都為都為30位掩碼）位掩碼） ： IP設(shè)置為業(yè)務(wù)設(shè)置為業(yè)務(wù)Vlan的地址，啟用虛擬的地址，啟用虛擬IP；配置；配置VLAN，啟用，啟用VLAN，裝置屬于業(yè)務(wù)，裝置屬于業(yè)務(wù)VLAN，不啟用，不啟用ARP；配置；配置MAC，路由器路由器MAC綁業(yè)務(wù)綁業(yè)務(wù)VLAN網(wǎng)關(guān)網(wǎng)關(guān)MAC，交換機(jī)，交換機(jī)MAC綁業(yè)務(wù)綁業(yè)務(wù)VLAN的的MAC。珠海市鴻瑞軟件技術(shù)有限公司兩個(gè)都不借配置細(xì)節(jié)1IP設(shè)置為業(yè)設(shè)置為業(yè)務(wù)務(wù)Vlan的地的地址，不啟用址，不啟用虛擬虛擬IP。珠海市鴻瑞軟件技術(shù)有限公司兩個(gè)都不借配置細(xì)節(jié)2配置配置VLAN，啟用啟用VLAN，裝置屬于裝置屬于業(yè)務(wù)業(yè)務(wù)VLAN，不啟用不啟用ARP，交換機(jī)交換機(jī)IP不設(shè)置。不設(shè)置。珠海市鴻瑞軟件技術(shù)有限公司一個(gè)借一個(gè)不借配置細(xì)節(jié)1 IP設(shè)置為設(shè)置為業(yè)務(wù)業(yè)務(wù)Vlan的地址，的地址，啟用虛擬啟用虛擬IP。珠海市鴻瑞軟件技術(shù)有限公司一個(gè)借一個(gè)不借配置細(xì)節(jié)2 配置配置VLAN，啟用啟用VLAN，裝置屬裝置屬于業(yè)務(wù)于業(yè)務(wù)VLAN，非借用非借用地址地址VLAN（一般（一般為