電力專用加密認證裝置

1、珠海市鴻瑞軟件技術有限公司珠海市鴻瑞軟件技術有限公司興唐縱向加密裝置珠海市鴻瑞軟件技術有限公司珠海市鴻瑞軟件技術有限公司研制背景和意義l興唐加密裝置是電力二次系統(tǒng)安全防護體系中電力興唐加密裝置是電力二次系統(tǒng)安全防護體系中電力調(diào)度數(shù)據(jù)保密通信的專用密碼設備，是電力二次系調(diào)度數(shù)據(jù)保密通信的專用密碼設備，是電力二次系統(tǒng)安全防護的核心設備。統(tǒng)安全防護的核心設備。l按照按照電力系統(tǒng)專用縱向加密認證裝置技術規(guī)范電力系統(tǒng)專用縱向加密認證裝置技術規(guī)范的要求設計與研制。的要求設計與研制。l該裝置位于電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度該裝置位于電力控制系統(tǒng)的內(nèi)部局域網(wǎng)與電力調(diào)度數(shù)據(jù)網(wǎng)絡的路由器之間，為電力通信提供

2、安全可靠數(shù)據(jù)網(wǎng)絡的路由器之間，為電力通信提供安全可靠的服務。的服務。珠海市鴻瑞軟件技術有限公司基本工作原理n符合符合IP加密認證裝置技術規(guī)范加密認證裝置技術規(guī)范v2.7.0的功能要求和設備互的功能要求和設備互聯(lián)互通要求。聯(lián)互通要求。n協(xié)議處理依據(jù)業(yè)界普遍遵循的協(xié)議處理依據(jù)業(yè)界普遍遵循的IPSec標準，密鑰管理采用公私標準，密鑰管理采用公私鑰體制，采用國家密碼管理局批準的密碼方案。鑰體制，采用國家密碼管理局批準的密碼方案。 n采用采用ESP隧道模式，不僅提供基本的數(shù)據(jù)加解密功能，而且隧道模式，不僅提供基本的數(shù)據(jù)加解密功能，而且提供數(shù)據(jù)包完整性認證、提供數(shù)據(jù)包完整性認證、IP地址封裝屏蔽、安全策略

3、審查等地址封裝屏蔽、安全策略審查等安全功能。安全功能。珠海市鴻瑞軟件技術有限公司密碼機(解密)l密碼機的工作機制密碼機的工作機制信源(發(fā)送者)密碼機(加密)信宿(接收者) 密鑰K加密隧道密鑰K 證書認證加密技術原理珠海市鴻瑞軟件技術有限公司主要功能lIP層通信加密，符合層通信加密，符合IPSec，密文采用封裝安全載荷（，密文采用封裝安全載荷（ESP）；）；l一對多加密模式，適應所有廣域網(wǎng)絡，擴展性好，靈活性高；一對多加密模式，適應所有廣域網(wǎng)絡，擴展性好，靈活性高；l密鑰管理采用公私鑰體制，符合密鑰管理采用公私鑰體制，符合X.509標準，使用標準，使用BASE-64編碼，由調(diào)度證編碼，由調(diào)度證書

4、服務系統(tǒng)一簽發(fā)；書服務系統(tǒng)一簽發(fā)；l可使用符合可使用符合電力系統(tǒng)專用縱向加密認證裝置技術規(guī)范電力系統(tǒng)專用縱向加密認證裝置技術規(guī)范要求的證書服務要求的證書服務系統(tǒng)下發(fā)的數(shù)字證書和操作員卡；系統(tǒng)下發(fā)的數(shù)字證書和操作員卡；l采用透明網(wǎng)橋模式，不影響原有網(wǎng)絡和終端設備的配置，系統(tǒng)擴展性好采用透明網(wǎng)橋模式，不影響原有網(wǎng)絡和終端設備的配置，系統(tǒng)擴展性好l支持雙機熱備功能；支持雙機熱備功能；l具有完善的自檢、聲光組合告警提示，以及自愈功能；具有完善的自檢、聲光組合告警提示，以及自愈功能；l具有完備的審計功能；具有完備的審計功能；l支持本地設置和遠程管理，并提供在線軟升級和更換密鑰的功能；支持本地設置和遠程管

5、理，并提供在線軟升級和更換密鑰的功能；l基于基于Windows圖形界面的專用配置管理軟件對設備進行各類配置管理工作，圖形界面的專用配置管理軟件對設備進行各類配置管理工作，界面友好，操作便捷；界面友好，操作便捷；l支持配置備份和恢復、軟件升級。支持配置備份和恢復、軟件升級。珠海市鴻瑞軟件技術有限公司基本工作方式l透明網(wǎng)橋方式工作；透明網(wǎng)橋方式工作；l只需一個只需一個IP地址，支持位掩碼（借地址，支持位掩碼（借用地址）；用地址）；l對密碼機進行策略配置后，密碼機自動對密碼機進行策略配置后，密碼機自動進行雙向認證、密鑰協(xié)商，不需要管理進行雙向認證、密鑰協(xié)商，不需要管理中心的參與；中心的參與；l建立加

6、密隧道，局域網(wǎng)用戶不需要關心建立加密隧道，局域網(wǎng)用戶不需要關心安全加密的技術細節(jié)，身份鑒別和信息安全加密的技術細節(jié)，身份鑒別和信息加密過程始終是透明的，系統(tǒng)將針對加密過程始終是透明的，系統(tǒng)將針對IP包自動進行安全加密操作；包自動進行安全加密操作；l支持支持VLAN Trunk;支持支持VLAN與隧道綁定與隧道綁定l支持雙機熱備工作方式；支持雙機熱備工作方式；l支持基于加密隧道的明通功能，根據(jù)安支持基于加密隧道的明通功能，根據(jù)安全策略，可以對不同的隧道分別設置加全策略，可以對不同的隧道分別設置加密或明傳；密或明傳；l為故障應急處理，提供安全按鈕方式的為故障應急處理，提供安全按鈕方式的硬旁路明通；

7、硬旁路明通；l可接受統(tǒng)一的裝置管理系統(tǒng)的遠程監(jiān)控可接受統(tǒng)一的裝置管理系統(tǒng)的遠程監(jiān)控和管理。和管理。l根據(jù)根據(jù)IP、端口號、協(xié)議等指定安全策略、端口號、協(xié)議等指定安全策略珠海市鴻瑞軟件技術有限公司l網(wǎng)絡適應性強網(wǎng)絡適應性強作為內(nèi)嵌密碼模塊的雙網(wǎng)口透明網(wǎng)橋設備，對其作為內(nèi)嵌密碼模塊的雙網(wǎng)口透明網(wǎng)橋設備，對其他主機而言是透明的，只需占用一個他主機而言是透明的，只需占用一個IPIP地址，不地址，不影響原有網(wǎng)絡拓撲結構，也無須更改網(wǎng)絡設備或影響原有網(wǎng)絡拓撲結構，也無須更改網(wǎng)絡設備或局域網(wǎng)計算機的設置，它所提供的密通道對局域局域網(wǎng)計算機的設置，它所提供的密通道對局域網(wǎng)內(nèi)的計算機是透明的，這一特性極大地方便

8、了網(wǎng)內(nèi)的計算機是透明的，這一特性極大地方便了最終用戶。最終用戶。 適應適應802.1Q VLAN802.1Q VLAN等網(wǎng)絡環(huán)境。等網(wǎng)絡環(huán)境。珠海市鴻瑞軟件技術有限公司功能特點安全性安全性完善的自主安全防護措施完善的自主安全防護措施物理鎖物理鎖開機毀鑰開機毀鑰l無論是在帶電工作或是不帶電的情況下，打開機殼，密鑰都會被自動銷毀，增強了系統(tǒng)的安全無論是在帶電工作或是不帶電的情況下，打開機殼，密鑰都會被自動銷毀，增強了系統(tǒng)的安全性。性。安全加固內(nèi)核安全加固內(nèi)核l修改了協(xié)議棧，對于網(wǎng)絡數(shù)據(jù)的處理完全可控。涉及的安全協(xié)議全部都是定制的，可以更有效修改了協(xié)議棧，對于網(wǎng)絡數(shù)據(jù)的處理完全可控。涉及的安全協(xié)議全

9、部都是定制的，可以更有效地防御攻擊。地防御攻擊。l毀鑰告警毀鑰告警電源電源l工業(yè)電源工業(yè)電源l雙電源雙電源l支持直流電源模塊支持直流電源模塊l失效告警失效告警l可在線熱替換，不中斷業(yè)務可在線熱替換，不中斷業(yè)務l標準尺寸標準尺寸雙算法芯片冗余雙算法芯片冗余l(xiāng)在密碼模塊的設計過程中，充分考慮了用戶潛在的提速和擴容需求，賦予了密碼模塊良好的可擴展在密碼模塊的設計過程中，充分考慮了用戶潛在的提速和擴容需求，賦予了密碼模塊良好的可擴展性，支持兩塊性，支持兩塊SSX06算法芯片并行工作，使密碼模塊處理能力線性增加，可以保證系統(tǒng)平滑地提速算法芯片并行工作，使密碼模塊處理能力線性增加，可以保證系統(tǒng)平滑地提速和

10、擴容。兼顧性能和靈活性，可根據(jù)用戶要求選配單芯卡或雙芯卡。即使有一塊芯片不可用，并不和擴容。兼顧性能和靈活性，可根據(jù)用戶要求選配單芯卡或雙芯卡。即使有一塊芯片不可用，并不妨礙另一塊芯片全速運行。妨礙另一塊芯片全速運行。珠海市鴻瑞軟件技術有限公司支持雙機熱備支持雙機熱備l支持雙機熱備運行模式，即同一網(wǎng)點的兩臺縱向加密支持雙機熱備運行模式，即同一網(wǎng)點的兩臺縱向加密認證裝置互為主備機，在出現(xiàn)鏈路等故障時，主備機認證裝置互為主備機，在出現(xiàn)鏈路等故障時，主備機會快速自動切換，保障通信連續(xù)性。從所保護的局域會快速自動切換，保障通信連續(xù)性。從所保護的局域網(wǎng)中的通信機到本地接入路由器之間的路徑上，任何網(wǎng)中的通

11、信機到本地接入路由器之間的路徑上，任何環(huán)節(jié)（包括設備或鏈路出現(xiàn)故障），設備都能正確識環(huán)節(jié)（包括設備或鏈路出現(xiàn)故障），設備都能正確識別，實現(xiàn)路徑切換。別，實現(xiàn)路徑切換。軟件和關鍵數(shù)據(jù)校驗軟件和關鍵數(shù)據(jù)校驗軟件設計軟件設計l軟件設計過程中，始終堅持軟件設計過程中，始終堅持KISS（Keep It Simple, Stupid!）原則，避免復雜性以增強可靠性。）原則，避免復雜性以增強可靠性。l防御性軟件設計，有效防止緩沖區(qū)溢出。防御性軟件設計，有效防止緩沖區(qū)溢出。l堅持最小權限原則，只允許核心模塊擁有超級用戶權堅持最小權限原則，只允許核心模塊擁有超級用戶權限。限。珠海市鴻瑞軟件技術有限公司硬件看門狗

12、硬件看門狗l硬件故障時能夠自動重啟，無需人工干預；硬件故障時能夠自動重啟，無需人工干預；軟件失效監(jiān)控軟件失效監(jiān)控l監(jiān)控進程負責對密碼模塊、遠程管理進程和密鑰同步進監(jiān)控進程負責對密碼模塊、遠程管理進程和密鑰同步進程等進行監(jiān)控，一旦發(fā)現(xiàn)異常情況，監(jiān)控進程將予以審程等進行監(jiān)控，一旦發(fā)現(xiàn)異常情況，監(jiān)控進程將予以審計記錄，同時嘗試進行修復。計記錄，同時嘗試進行修復。失效告警失效告警l電源失效，聲光告警電源失效，聲光告警l算法芯片失效，聲光告警算法芯片失效，聲光告警l關鍵部件失效，聲光告警關鍵部件失效，聲光告警l網(wǎng)口連接故障，聲光告警網(wǎng)口連接故障，聲光告警l其他告警其他告警珠海市鴻瑞軟件技術有限公司CA系

13、統(tǒng)及證書簽發(fā)珠海市鴻瑞軟件技術有限公司加密隧道的建立珠海市鴻瑞軟件技術有限公司加密裝置的配置內(nèi)容n導出證書請求導出證書請求n簽發(fā)證書簽發(fā)證書n拓撲分析拓撲分析n選擇相應的配置方法選擇相應的配置方法n配置網(wǎng)絡設置配置網(wǎng)絡設置n導入證書導入證書n添加隧道添加隧道n添加策略添加策略n明通、密通配置明通、密通配置珠海市鴻瑞軟件技術有限公司導出證書請求n當密碼機處在出廠態(tài)和初始態(tài)時，采用向?qū)匠跏籍斆艽a機處在出廠態(tài)和初始態(tài)時，采用向?qū)匠跏蓟鞒袒鞒讨楹Ｊ续櫲疖浖夹g有限公司導出證書請求n產(chǎn)生證書請求后，點擊按鈕產(chǎn)生證書請求后，點擊按鈕“下一步下一步”，彈出，彈出“導導出設備證書請求出設備證書請求”，

14、證書請求采用，證書請求采用X.509格式，使用格式，使用BASE-64編碼，后綴為編碼，后綴為*.pem。珠海市鴻瑞軟件技術有限公司拓撲分析n分析本地密碼機的接入方式分析本地密碼機的接入方式n本地保護機的地址范圍本地保護機的地址范圍n目的保護機的地址范圍目的保護機的地址范圍n目的密碼機的接入方式目的密碼機的接入方式n業(yè)務數(shù)據(jù)傳輸協(xié)議業(yè)務數(shù)據(jù)傳輸協(xié)議n業(yè)務數(shù)據(jù)是否明通或密通通信業(yè)務數(shù)據(jù)是否明通或密通通信珠海市鴻瑞軟件技術有限公司接入前環(huán)境調(diào)查注意事項l了解接入位置的連接方式了解接入位置的連接方式也就是路由器與交換機的連接方式，在一般的環(huán)境下，我們分為也就是路由器與交換機的連接方式，在一般的環(huán)境下

15、，我們分為兩種情況：兩種情況：1、普通的二層或三層接入、普通的二層或三層接入2、Trunk封裝接入封裝接入lTrunk封裝接入封裝接入了解了解Trunk上一共跑了多少個上一共跑了多少個Vlan、各、各Vlan號、各號、各Vlan的掩碼位的掩碼位數(shù)（如存在數(shù)（如存在30位掩碼，加密機只能借用交換機的地址）、業(yè)務系統(tǒng)屬位掩碼，加密機只能借用交換機的地址）、業(yè)務系統(tǒng)屬于那個于那個Vlan、是否使用、是否使用802.1Q協(xié)議封裝、傳輸時協(xié)議封裝、傳輸時Vlan標簽有否被剝離標簽有否被剝離（例如（例如Vlan 1，多數(shù)品牌的交換機的，多數(shù)品牌的交換機的Vlan 1都默認為不帶標簽，所以都默認為不帶標簽，

16、所以一般禁止使用一般禁止使用Vlan 1）。）。l使用哪個廠家的路由器及交換機使用哪個廠家的路由器及交換機這里特意提到思科的交換機，目前思科的主流交換機，每開啟一這里特意提到思科的交換機，目前思科的主流交換機，每開啟一個個Vlan時都會同時打開一個歸屬于這個時都會同時打開一個歸屬于這個Vlan的生成樹，如果遇到的生成樹，如果遇到30位位掩碼的掩碼的Vlan時，在設備接入后，很有可能被生成樹檢測到時，在設備接入后，很有可能被生成樹檢測到IP沖突，從沖突，從而將交換機的出口端口關閉，這樣會使得交換機與上層斷開連接。而將交換機的出口端口關閉，這樣會使得交換機與上層斷開連接。l路由器和交換機上有沒有配

17、置控制訪問列表阻礙設備接入路由器和交換機上有沒有配置控制訪問列表阻礙設備接入l需通往哪里、需通什么業(yè)務、對端加密機部署狀態(tài)需通往哪里、需通什么業(yè)務、對端加密機部署狀態(tài)珠海市鴻瑞軟件技術有限公司部署方案1普通二層接入珠海市鴻瑞軟件技術有限公司部署方案2封裝接入（兩個都不借）珠海市鴻瑞軟件技術有限公司部署方案3封裝接入（一個借一個不借）珠海市鴻瑞軟件技術有限公司部署方案4封裝接入（兩個都借）珠海市鴻瑞軟件技術有限公司各環(huán)境歸總及配置細節(jié)與區(qū)別l一、普通的二層或三層接入一、普通的二層或三層接入只配一個只配一個IP地址，最多再配下路由，不需要陪地址，最多再配下路由，不需要陪Vlan及及MAC。l二、二

18、、Trunk封裝接入（這里假設封裝接入（這里假設Trunk上跑了兩個上跑了兩個Vlan）1、兩個都不借用地址（兩個、兩個都不借用地址（兩個Vlan都不為都不為30位掩碼）：位掩碼）：IP設置為業(yè)務設置為業(yè)務Vlan的地址，的地址，不啟用虛擬不啟用虛擬IP；配置；配置VLAN，啟用，啟用VLAN，裝置屬于業(yè)務，裝置屬于業(yè)務VLAN，不啟用，不啟用ARP，交換機交換機IP不設置；不配不設置；不配MAC。2、一個借一個不借（其中一個、一個借一個不借（其中一個Vlan為為30位掩碼）：位掩碼）： IP設置為業(yè)務設置為業(yè)務Vlan的地址，的地址，啟用虛擬啟用虛擬IP；配置；配置VLAN，啟用，啟用VLA

19、N，裝置屬于業(yè)務，裝置屬于業(yè)務VLAN，非借用地址，非借用地址VLAN（一般為業(yè)務（一般為業(yè)務Vlan）啟用）啟用ARP；配置；配置MAC，路由器，路由器MAC綁業(yè)務綁業(yè)務VLAN網(wǎng)網(wǎng)關關MAC，交換機，交換機MAC綁加密機的綁加密機的MAC。3、兩個都借（兩個、兩個都借（兩個Vlan都為都為30位掩碼）位掩碼） ： IP設置為業(yè)務設置為業(yè)務Vlan的地址，啟用虛擬的地址，啟用虛擬IP；配置；配置VLAN，啟用，啟用VLAN，裝置屬于業(yè)務，裝置屬于業(yè)務VLAN，不啟用，不啟用ARP；配置；配置MAC，路由器路由器MAC綁業(yè)務綁業(yè)務VLAN網(wǎng)關網(wǎng)關MAC，交換機，交換機MAC綁業(yè)務綁業(yè)務VLAN的的MAC。珠海市鴻瑞軟件技術有限公司兩個都不借配置細節(jié)1IP設置為業(yè)設置為業(yè)務務Vlan的地的地址，不啟用址，不啟用虛擬虛擬IP。珠海市鴻瑞軟件技術有限公司兩個都不借配置細節(jié)2配置配置VLAN，啟用啟用VLAN，裝置屬于裝置屬于業(yè)務業(yè)務VLAN，不啟用不啟用ARP，交換機交換機IP不設置。不設置。珠海市鴻瑞軟件技術有限公司一個借一個不借配置細節(jié)1 IP設置為設置為業(yè)務業(yè)務Vlan的地址，的地址，啟用虛擬啟用虛擬IP。珠海市鴻瑞軟件技術有限公司一個借一個不借配置細節(jié)2 配置配置VLAN，啟用啟用VLAN，裝置屬裝置屬于業(yè)務于業(yè)務VLAN，非借用非借用地址地址VLAN（一般（一般為