智能制造網(wǎng)APP
智能制造網(wǎng)手機(jī)站
智能制造網(wǎng)小程序
智能制造網(wǎng)官微
智能制造網(wǎng)服務(wù)號(hào)
1 概述
1.1 背景
在互聯(lián)網(wǎng)時(shí)代的發(fā)展下，現(xiàn)如今已經(jīng)快速跨入了物聯(lián)網(wǎng)時(shí)代。而物聯(lián)網(wǎng)就是“物物相連的互聯(lián)網(wǎng)”。物聯(lián)網(wǎng)的核心和基礎(chǔ)仍然是互聯(lián)網(wǎng)，是通過互聯(lián)網(wǎng)進(jìn)行延伸和擴(kuò)展后的網(wǎng)絡(luò)，因此，網(wǎng)絡(luò)安全防護(hù)的形勢(shì)依然嚴(yán)峻異常。任何能夠連接互聯(lián)網(wǎng)的設(shè)備都潛藏著安全漏洞，而且隨著物聯(lián)網(wǎng)的設(shè)備增加，會(huì)造就大量的僵尸網(wǎng)絡(luò)存在，以此為攻擊提供了便捷有利的條件。
運(yùn)用和推廣物聯(lián)網(wǎng)技術(shù)，一方面能夠?qū)⑸鐣?huì)運(yùn)行效率和經(jīng)濟(jì)運(yùn)行效率顯著提高，另一方面也會(huì)對(duì)公民隱私保護(hù)和信息安全提出嚴(yán)峻的挑戰(zhàn)。所以，加強(qiáng)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全防護(hù)勢(shì)在必行，應(yīng)該做到未雨綢繆、趨利避害，力爭讓物聯(lián)網(wǎng)真正成為一個(gè)可信任、安全、開放的網(wǎng)絡(luò)。
1.2 技術(shù)思路
- 在物聯(lián)網(wǎng)感知設(shè)備端，提供物聯(lián)網(wǎng)安全模塊，將其串接在網(wǎng)絡(luò)中，對(duì)物聯(lián)網(wǎng)感知設(shè)備的數(shù)據(jù)進(jìn)行加密，從源頭保障數(shù)據(jù)安全；
- 在物聯(lián)網(wǎng)管理平臺(tái)的出入口出，配置物聯(lián)網(wǎng)安全網(wǎng)關(guān)，提供物聯(lián)網(wǎng)通信數(shù)據(jù)的加解密功能，并能夠?qū)ξ锫?lián)網(wǎng)管理平臺(tái)的網(wǎng)絡(luò)進(jìn)行安全防護(hù)；
- 在物聯(lián)網(wǎng)管理平臺(tái)的網(wǎng)絡(luò)中，部署密鑰管理系統(tǒng)，科學(xué)、安全地解決各類終端、各級(jí)系統(tǒng)之間的密鑰產(chǎn)生與分發(fā)、身份認(rèn)證等安全需求。
2 系統(tǒng)架構(gòu)
物聯(lián)網(wǎng)安全傳輸系統(tǒng)，主要由物聯(lián)網(wǎng)安全模塊、物聯(lián)網(wǎng)安全網(wǎng)關(guān)和密鑰管理服務(wù)器三部分組成。其主要組成結(jié)構(gòu)如下圖所示：
安全模塊，串接在臨近物聯(lián)網(wǎng)感知設(shè)備的網(wǎng)絡(luò)中，能夠?qū)Ω兄O(shè)備的通信數(shù)據(jù)進(jìn)行加密，并保護(hù)感知設(shè)備不收非法攻擊的侵害，亦能防止感知設(shè)備被非法替換。
物聯(lián)網(wǎng)安全網(wǎng)關(guān)，部署于物聯(lián)網(wǎng)管理平臺(tái)的網(wǎng)絡(luò)邊界處，對(duì)進(jìn)出流量進(jìn)行加密和解密，并可防止非法流量通過。
密鑰管理服務(wù)器，部署于物聯(lián)網(wǎng)管理平臺(tái)的內(nèi)部網(wǎng)絡(luò)中，對(duì)安全網(wǎng)關(guān)和安全模塊提供密鑰管理功能，包括初始密鑰的生成，密鑰的分發(fā)、更新、歸檔，以及基于密鑰的身份認(rèn)證等功能。
3 功能與性能
3.1 主要功能
| 功能模塊 | 功能描述 |
| 密碼算法 | 支持國產(chǎn)標(biāo)準(zhǔn)SM2、SM3、SM4密碼算法； 支持國際標(biāo)準(zhǔn)AES、SHA1、SHA2系列算法； 支持基于SM2、SM3算法的密鑰管理與身份認(rèn)證。 |
| 數(shù)據(jù)加密 | 采用國密標(biāo)準(zhǔn)協(xié)議格式進(jìn)行數(shù)據(jù)的加密傳輸； 支持物聯(lián)網(wǎng)業(yè)務(wù)數(shù)據(jù)、控制數(shù)據(jù)、管理數(shù)據(jù)的加密傳輸； 支持加密數(shù)據(jù)的抗重放攻擊； 支持加密密鑰的自動(dòng)協(xié)商； 支持路由模式和透明模式兩種接入模式。 |
| 攻擊防護(hù) | 具備硬件綁定功能，防止物聯(lián)網(wǎng)感知設(shè)備和通信數(shù)據(jù)被非法替換； 僅允許已終端訪問感知設(shè)備和物聯(lián)網(wǎng)管理平臺(tái)； 支持對(duì)不同終端的管理和訪問權(quán)限進(jìn)行控制； 支持包過濾功能，支持基于源IP地址、目標(biāo)IP地址、源端口、目標(biāo)端口、協(xié)議類型實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)包過濾； 具備針對(duì)SYN FLOOD、PING FLOOD、TCP FLOOD、UDP FLOOD等攻擊的防護(hù)功能。 |
| 身份認(rèn)證 | 支持基于國密SM2、SM3算法的密鑰管理與身份認(rèn)證； 支持簽名密鑰和加密密鑰的雙密鑰認(rèn)證，提升系統(tǒng)整體安全性； 未經(jīng)認(rèn)證的攝像頭、安全模塊、安全網(wǎng)關(guān)，無法接入系統(tǒng)進(jìn)行正常工作。 |
| 安全與易用性 | 支持NAT網(wǎng)絡(luò)環(huán)境； 支持靜態(tài)路由和策略路由； 支持多因素身份認(rèn)證； 支持IP-MAC地址綁定； 系統(tǒng)具有基本的自防護(hù)功能，并采用安全增強(qiáng)的操作系統(tǒng)。 |
| 配置管理 | 支持Web界面管理和終端命令行管理； 支持多種時(shí)間同步方式； 支持常用命令調(diào)試工具； 支持系統(tǒng)資源監(jiān)控； 支持系統(tǒng)升級(jí)、配置備份與還原、恢復(fù)出廠等功能。 |
| 日志管理 | 支持記錄用戶操作日志、系統(tǒng)日志和安全日志； 支持實(shí)時(shí)記錄系統(tǒng)的用戶狀態(tài)與加密通信狀態(tài)，并提供數(shù)據(jù)庫查詢方式； 支持SYSLOG日志格式，支持向日志服務(wù)器傳送日志信息。 |
3.2 性能參數(shù)
安全模塊的主要性能參數(shù)如下：
| 編號(hào) | 型號(hào) | 吞吐率 |
| 1 | M1010 | 15~20Mbps |
安全網(wǎng)關(guān)的主要性能參數(shù)如下：
| 編號(hào) | 型號(hào) | 吞吐率 |
| 1 | GW2010 | 100Mbps |
| 2 | GW2020 | 200Mbps |
| 3 | GW2040 | 400Mbps |
密鑰管理服務(wù)器的主要性能參數(shù)如下：
| 編號(hào) | 型號(hào) | 支持的密鑰對(duì)數(shù)量 |
| 1 | KMS3010 | 200 |
| 2 | KMS3020 | 500 |
3.3 其他參數(shù)
| 名稱 | 安全模塊 | 安全網(wǎng)關(guān) 密鑰管理服務(wù)器 |
| 接口 | 2個(gè)100Mbps自適應(yīng)以太網(wǎng)接口； 1個(gè)電源接口。 | 5個(gè)100/1000Mbps自適應(yīng)以太網(wǎng)接口； 1個(gè)100/1000Mbps自適應(yīng)以太網(wǎng)管理接口； 1個(gè)RJ45串口； 1個(gè)USB接口； 1個(gè)電源接口。 |
| 可靠性 | MTBF>2 萬小時(shí)。 | MTBF>2 萬小時(shí)。 |
| 電氣特性 | 工作電壓：5V±25％； 功耗：<8W。 | 工作電壓：220V±25％、50HZ； 功耗：<80W。 |
| 環(huán)境參數(shù) | 工作溫度：-20℃~50℃； 存儲(chǔ)溫度：-30℃～60℃。 | 工作溫度：-5℃~50℃； 存儲(chǔ)溫度：-15℃～60℃。 |
4 系統(tǒng)特點(diǎn)
（1）終端適應(yīng)性強(qiáng)，部署靈活
支持各種不同的物聯(lián)網(wǎng)感知、采集設(shè)備，提供輕量級(jí)的物聯(lián)網(wǎng)安全模塊，可采用透明方式輕松接入網(wǎng)絡(luò)，部署簡單、靈活。
（2）無感知加密傳輸，無需改變?cè)芯W(wǎng)絡(luò)結(jié)構(gòu)
物聯(lián)網(wǎng)安全模塊和安全網(wǎng)關(guān)，均支持透明方式接入網(wǎng)絡(luò)，可對(duì)物聯(lián)網(wǎng)通信數(shù)據(jù)進(jìn)行無感知加密解密，且無需改變現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，即可實(shí)現(xiàn)對(duì)整個(gè)物聯(lián)網(wǎng)系統(tǒng)的加密和安全防護(hù)。
（3）支持國密算法和國密標(biāo)準(zhǔn)，兼容國際算法
系統(tǒng)中的安全加密傳輸，支持國密的SM2、SM3、SM4等算法，并采用符合國密標(biāo)準(zhǔn)的身份認(rèn)證、密鑰管理、加密解決方案，保證整個(gè)系統(tǒng)的合規(guī)性和安全性。同時(shí)，兼容國際標(biāo)準(zhǔn)的AES、SHA1、SHA2等國際算法，能滿足各種應(yīng)用場(chǎng)景的不同需求。
5 典型應(yīng)用
物聯(lián)網(wǎng)安全傳輸系統(tǒng)，可用于視頻監(jiān)控網(wǎng)絡(luò)、視頻會(huì)議、交通信號(hào)控制等系統(tǒng)中。下面以視頻監(jiān)控系統(tǒng)為例，采用物聯(lián)網(wǎng)安全傳輸系統(tǒng)，對(duì)視頻監(jiān)控網(wǎng)絡(luò)的攝像機(jī)、視頻管理中心和網(wǎng)絡(luò)通信進(jìn)行安全防護(hù)與加固。
物聯(lián)網(wǎng)安全傳輸系統(tǒng)，一般需結(jié)合用戶現(xiàn)有的視頻監(jiān)控網(wǎng)絡(luò)情況進(jìn)行部署。系統(tǒng)支持在同一局域網(wǎng)內(nèi)、不同網(wǎng)絡(luò)之間（類似互聯(lián)網(wǎng)），采用透明模式和路由模式部署。不同網(wǎng)絡(luò)環(huán)境中的常見部署方式如下：
- 透明模式部署
常見的視頻監(jiān)控網(wǎng)絡(luò)結(jié)構(gòu)如下圖所示：
圖中，視頻服務(wù)器位于172.168.1.0/24網(wǎng)段，攝像機(jī)處于192.168.1.0/24網(wǎng)段，兩個(gè)網(wǎng)段采用路由器連接。視頻服務(wù)器和攝像機(jī)可以相互訪問。
針對(duì)以上用戶的網(wǎng)絡(luò)拓?fù)淝闆r，現(xiàn)提出采用透明模式部署的安全傳輸解決方案，其網(wǎng)絡(luò)部署圖如下圖所示：
在該部署模式中，安全網(wǎng)關(guān)透明串接在視頻管理中心路由器的左側(cè)，需分配一個(gè)192.168.1.0/24網(wǎng)段的獨(dú)立IP地址，用于設(shè)備管理、密鑰管理和身份認(rèn)證；安全模塊透明串接在攝像頭后的網(wǎng)絡(luò)中，并需分配與攝像頭相同網(wǎng)段的獨(dú)立IP地址，該IP地址用于安全模塊的設(shè)備管理、密鑰管理和身份認(rèn)證；在視頻管理中心，還需要部署密鑰管理服務(wù)器，用于視頻安全系統(tǒng)的密鑰管理與身份認(rèn)證。
采用透明模式的適應(yīng)性較強(qiáng)，不需要改變用戶的現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，支持?jǐn)z像機(jī)和視頻服務(wù)器位于同一局域、不同網(wǎng)段的局域網(wǎng)或互聯(lián)網(wǎng)，也支持NAT網(wǎng)絡(luò)等多種網(wǎng)絡(luò)環(huán)境，可對(duì)視頻數(shù)據(jù)進(jìn)行無感知加密解密，實(shí)現(xiàn)對(duì)整個(gè)視頻系統(tǒng)的加密和安全防護(hù)。
- 路由模式部署
采用路由模式部署時(shí)，攝像機(jī)和視頻服務(wù)器在不同的網(wǎng)段中，安全網(wǎng)關(guān)部署于兩個(gè)網(wǎng)絡(luò)的邊界處。常見的路由模式部署結(jié)構(gòu)，如下圖所示：
圖中，安全網(wǎng)關(guān)采用路由模式接入網(wǎng)絡(luò)，具備網(wǎng)絡(luò)路由器的功能，其左右兩側(cè)需要分配兩個(gè)不同網(wǎng)段的IP地址，分別為192.168.1.0/24網(wǎng)段和172.16.1.0/24網(wǎng)段；密鑰管理服務(wù)器位于視頻管理中心的172.16.1.0/24網(wǎng)段中。
路由模式是一種比較簡單、常見的部署模式，安全網(wǎng)關(guān)位于不同網(wǎng)段的網(wǎng)絡(luò)邊界處，替代了傳統(tǒng)路由器的位置，在用戶新建視頻監(jiān)控網(wǎng)絡(luò)，或者原有視頻監(jiān)控網(wǎng)絡(luò)就是路由模式時(shí)，部署較為方便。
