兴唐纵向加密纵向加密装置产品介绍

北京星华永泰科技有限公司北京星华永泰科技有限公司北京兴唐纵向加密装置SJW07-A北京星华永泰科技有限公司研制背景和意义兴唐加密装置是电力二次系统安全防护体系中电力调度数据保密通信的专用密码设备，是电力二次系统安全防护的核心设备。按照《电力系统专用纵向加密认证装置技术规范》的要求设计与研制。该装置位于电力控制系统的内部局域网与电力调度数据网络的路由器之间，为电力通信提供安全可靠的服务。北京星华永泰科技有限公司基本工作原理符合《IP加密认证装置技术规范v2.7.0》的功能要求和设备互联互通要求。协议处理依据业界普遍遵循的IPSec标准，密钥管理采用公私钥体制，采用国家密码管理局批准的密码方案。采用ESP隧道模式，不仅提供基本的数据加解密功能，而且提供数据包完整性认证、IP地址封装屏蔽、安全策略审查等安全功能。IP头数据IP头新IP头原始的数据包加密后的数据包ESP头数据ICV填充加密认证加密认证装置路由器路由器ACDB明传：IPA至IPB密传：IPC至IPD加密认证装置广域网加密隧道北京星华永泰科技有限公司密码机(解密)密码机的工作机制信源(发送者)密码机(加密)信宿(接收者)密钥K加密隧道密钥K证书认证加密技术原理北京星华永泰科技有限公司主要功能IP层通信加密，符合IPSec，密文采用封装安全载荷（ESP）；一对多加密模式，适应所有广域网络，扩展性好，灵活性高；密钥管理采用公私钥体制，符合X.509标准，使用BASE-64编码，由调度证书服务系统一签发；可使用符合《电力系统专用纵向加密认证装置技术规范》要求的证书服务系统下发的数字证书和操作员卡；采用透明网桥模式，不影响原有网络和终端设备的配置，系统扩展性好支持双机热备功能；具有完善的自检、声光组合告警提示，以及自愈功能；具有完备的审计功能；支持本地设置和远程管理，并提供在线软升级和更换密钥的功能；基于Windows图形界面的专用配置管理软件对设备进行各类配置管理工作，界面友好，操作便捷；支持配置备份和恢复、软件升级。北京星华永泰科技有限公司基本工作方式透明网桥方式工作；只需一个IP地址，支持３０位掩码（借用地址）；对密码机进行策略配置后，密码机自动进行双向认证、密钥协商，不需要管理中心的参与；建立加密隧道，局域网用户不需要关心安全加密的技术细节，身份鉴别和信息加密过程始终是透明的，系统将针对IP包自动进行安全加密操作；支持VLANTrunk;支持VLAN与隧道绑定支持双机热备工作方式；支持基于加密隧道的明通功能，根据安全策略，可以对不同的隧道分别设置加密或明传；为故障应急处理，提供安全按钮方式的硬旁路明通；可接受统一的装置管理系统的远程监控和管理。根据IP、端口号、协议等指定安全策略国家电力调度数据网络局域网交换机路由器局域网调度证书服务系统装置管理系统SJW07-A增强型国家电力调度中心网调省调主装置备装置路由器交换机服务器交换机路由器SJW07-A增强型主装置备装置局域网交换机路由器SJW07-A增强型主装置备装置电力专用纵向加密认证装置网调6个省调31个交换机交换机北京星华永泰科技有限公司网络适应性强作为内嵌密码模块的双网口透明网桥设备，对其他主机而言是透明的，只需占用一个IP地址，不影响原有网络拓扑结构，也无须更改网络设备或局域网计算机的设置，它所提供的密通道对局域网内的计算机是透明的，这一特性极大地方便了最终用户。适应802.1QVLAN等网络环境。北京星华永泰科技有限公司功能特点安全性—完善的自主安全防护措施物理锁开机毁钥无论是在带电工作或是不带电的情况下，打开机壳，密钥都会被自动销毁，增强了系统的安全性。安全加固内核修改了协议栈，对于网络数据的处理完全可控。涉及的安全协议全部都是定制的，可以更有效地防御攻击。毁钥告警电源工业电源双电源支持直流电源模块失效告警可在线热替换，不中断业务标准尺寸双算法芯片冗余在密码模块的设计过程中，充分考虑了用户潜在的提速和扩容需求，赋予了密码模块良好的可扩展性，支持两块SSX06算法芯片并行工作，使密码模块处理能力线性增加，可以保证系统平滑地提速和扩容。兼顾性能和灵活性，可根据用户要求选配单芯卡或双芯卡。即使有一块芯片不可用，并不妨碍另一块芯片全速运行。北京星华永泰科技有限公司支持双机热备支持双机热备运行模式，即同一网点的两台纵向加密认证装置互为主备机，在出现链路等故障时，主备机会快速自动切换，保障通信连续性。从所保护的局域网中的通信机到本地接入路由器之间的路径上，任何环节（包括设备或链路出现故障），设备都能正确识别，实现路径切换。软件和关键数据校验软件设计软件设计过程中，始终坚持KISS（KeepItSimple,Stupid!）原则，避免复杂性以增强可靠性。防御性软件设计，有效防止缓冲区溢出。坚持最小权限原则，只允许核心模块拥有超级用户权限。北京星华永泰科技有限公司硬件看门狗硬件故障时能够自动重启，无需人工干预；软件失效监控监控进程负责对密码模块、远程管理进程和密钥同步进程等进行监控，一旦发现异常情况，监控进程将予以审计记录，同时尝试进行修复。失效告警电源失效，声光告警算法芯片失效，声光告警关键部件失效，声光告警网口连接故障，声光告警其他告警北京星华永泰科技有限公司CA根公钥根私钥CA证书Client提交证书请求Server公钥Server.pemClient公钥Client.pem证书请求文件Client公钥Client.pem根签名CServer提交证书请求证书请求文件Server公钥Server.pem根签名S请求文件通过根证书的私钥进行签名生成证书文件留下Client私钥留下Server私钥CA系统及证书签发北京星华永泰科技有限公司根公钥Server私钥根公钥ServerClientClient.pemClient私钥Server.pem把根的公钥和Client.pem导入Server把根的公钥和Server.pem导入Client根公钥Server私钥ServerClient公钥根签名CServer使用根公钥对根签名C进行解密码，判断是否合法继续终止合法不合法根公钥Client私钥ClientServer公钥根签名SClient使用根公钥对根签名S进行解密码，判断是否合法继续终止合法不合法ServerClientClient公钥Server私钥Client私钥Server公钥RNNR生成随机数RClient使用Sercer公钥对R加密，把得到的R*发给ServerServer使用Sercer私钥对加密过的R*进行解密，得到R生成随机数NServer使用Client公钥对N加密，把得到的N*发给ClientClient使用Client私钥对加密过的N*进行解密，得到NR(.通过计算.)N=隧道加密/解密的密钥加密隧道的建立1234北京星华永泰科技有限公司加密装置的配置内容导出证书请求签发证书拓扑分析选择相应的配置方法配置网络设置导入证书添加隧道添加策略明通、密通配置北京星华永泰科技有限公司导出证书请求当密码机处在出厂态和初始态时，采用向导式初始化流程北京星华永泰科技有限公司导出证书请求产生证书请求后，点击按钮“下一步”，弹出“导出设备证书请求”，证书请求采用X.509格式，使用BASE-64编码，后缀为*.pem。北京星华永泰科技有限公司拓扑分析分析本地密码机的接入方式本地保护机的地址范围目的保护机的地址范围目的密码机的接入方式业务数据传输协议业务数据是否明通或密通通信北京星华永泰科技有限公司接入前环境调查注意事项了解接入位置的连接方式也就是路由器与交换机的连接方式，在一般的环境下，我们分为两种情况：1、普通的二层或三层接入2、Trunk封装接入Trunk封装接入了解Trunk上一共跑了多少个Vlan、各Vlan号、各Vlan的掩码位数（如存在30位掩码，加密机只能借用交换机的地址）、业务系统属于那个Vlan、是否使用802.1Q协议封装、传输时Vlan标签有否被剥离（例如Vlan1，多数品牌的交换机的Vlan1都默认为不带标签，所以一般禁止使用Vlan1）。使用哪个厂家的路由器及交换机这里特意提到思科的交换机，目前思科的主流交换机，每开启一个Vlan时都会同时打开一个归属于这个Vlan的生成树，如果遇到30位掩码的Vlan时，在设备接入后，很有可能被生成树检测到IP冲突，从而将交换机的出口端口关闭，这样会使得交换机与上层断开连接。路由器和交换机上有没有配置控制访问列表阻碍设备接入需通往哪里、需通什么业务、对端加密机部署状态北京星华永泰科技有限公司部署方案1－普通二层接入厂站Vlan100:10.10.30.1/28Vlan200:10.20.30.1/28Vlan100:10.10.30.14/28Vlan200:10.20.30.14/28实时加密非实时加密EMS：10.10.30.2-3/28PMU：10.10.30.4/28电量：10.20.30.2/28省调总调实时加密非实时加密实时加密2实时加密1实时非实时网管管理交换机路由器管理中心EMS：10.10.20.11-12（密文）管理中心非实时：10.20.20.11-12（密文）EMS：10.10.10.11-1210.10.10.11-12PMU：10.10.20.13~14（密文）10.10.20.15(明文)北京星华永泰科技有限公司部署方案2－封装接入（两个都不借）厂站TrunkVlan10:10.10.40.1/28Vlan100:10.10.30.1/28TrunkVlan20:10.20.40.1/28Vlan200:10.20.30.1/28Trunk管理Vlan10:10.10.40.2/28业务Vlan100:没地址Trunk管理Vlan20:10.20.40.2/28业务Vlan200:没地址实时加密非实时加密EMS：10.10.30.2-3/28PMU：10.10.30.4/28电量：10.20.30.2/28省调总调实时加密非实时加密实时加密2实时加密1实时非实时网管管理交换机路由器管理中心EMS：10.10.20.11-12（密文）管理中心非实时：10.20.20.11-12（密文）EMS：10.10.10.11-1210.10.10.11-12PMU：10.10.20.13~14（密文）10.10.20.15(明文)北京星华永泰科技有限公司部署方案3－封装接入（一个借一个不借）厂站TrunkVlan10:10.10.40.1/30Vlan100:10.10.30.1/28TrunkVlan20:10.20.40.1/30Vlan200:10.20.30.1/28Trunk管理Vlan10:10.10.40.2/30业务Vlan100:没地址Trunk管理Vlan20:10.20.40.2/30业务Vlan200:没地址实时加密非实时加密EMS：10.10.30.2-3/28PMU：10.10.30.4/28电量：10.20.30.2/28省调总调实时加密非实时加密实时加密2实时加密1实时非实时网管管理交换机路由器管理中心EMS：10.10.20.11-12（密文）管理中心非实时：10.20.20.11-12（密文）EMS：10.10.10.11-1210.10.10.11-12PMU：10.10.20.13~14（密文）10.10.20.15(明文)北京星华永泰科技有限公司部署方案4－封装接入（两个都借）厂站TrunkVlan10:10.10.40.1/30Vlan100:10.10.30.1/30TrunkVlan20:10.20.40.1/30Vlan200:10.20.30.1/30Trunk管理Vlan10:10.10.40.2/30业务Vlan100:10.10.30.2/30Trunk管理Vlan20:10.20.40.2/30业务Vlan200: