CN103338112A

CN103338112A - 一种数据单向导入方法及***

Info

Publication number: CN103338112A
Application number: CN2013103025311A
Authority: CN
Inventors: 冯维淼; 张萌; 黄伟庆; 张珠君; 刘浩; 杨文�
Original assignee: Institute of Information Engineering of CAS
Current assignee: Institute of Information Engineering of CAS
Priority date: 2013-07-15
Filing date: 2013-07-15
Publication date: 2013-10-02

Abstract

本发明涉及一种数据单向导入方法及***，在发送端与接收端之间的传输层采用UDP通信协议；发送端读取移动存储介质中的数据，依据其类型进行数据拆分并封装成数据包，并将封装成的数据包通过光纤传输通道发送给接收端；接收端按照所述数据包中的数据类型进行文件的还原重组。该***的发送端包括单向通信模块、外端导入模块和内端导出模块。本发明采用基于光纤传输通道的发送机制，在物理层和应用层两个方面确保了信息流动的单向性，***部署简单，使用方便，稳定性与可靠性高。

Description

一种数据单向导入方法及***

技术领域

本发明属于信息安全技术领域，具体涉及一种数据单向导入方法及***，用于将低密级移动存储介质中的数据单导入到涉密计算机等高密级***中，实现安全隔离与信息交换。

背景技术

随着信息技术的发展，计算机的使用越来越普遍。但同时也带来信息安全的威胁，就我国目前的信息安全保密技术水平而言，将涉密***物理隔离不失为一个好的解决方案。但物理隔离在解决信息安全的同时，也带来信息交换的困难。

计算机安全保密的BLP模型规定：低密级的数据可以被写入到高密级***中，但高密级的数据不能被写入到低密级的***中（不上读、不下写）。因此在将U盘等低密级移动存储介质中的数据导入到涉密计算机等高密级***中时，需防止涉密数据“回流”到移动存储介质中。

单向导入属于安全隔离与信息交换技术，在国外也称AirGap或Gap技术。该技术在物理隔离的***间建立“逻辑连接”，在完成信息交换的同时保证“安全隔离”。安全隔离与信息交换首先需要把安全区域与非安全区域划开，当然最好的方式就是在“城市”周围挖“护城河”，然后再建几个可以控制的“吊桥”，保持与城外的互通。数据交换技术的发展就是研究“桥”上的防护技术。目前数据交换有如下几种技术：

1）修桥策略：业务协议直接通过，数据不重组，对速度影响小，安全性弱。

防火墙FW：网络层的过滤；

多重安全网关：从网络层到应用层的过滤，多重关卡策略。

2）渡船策略：业务协议不直接通过，数据要重组，安全性好。

网闸：协议落地，安全检测依赖于现有安全技术；

交换网络：建立交换缓冲区，立体化安全监控与防护。

3）人工策略：不做物理连接，人工用移动介质交换数据（光盘拷贝），安全性好。

不同的业务网络根据自己的安全需求，可以选择不同的数据交换技术，主要是看数据交换的量大小、实时性要求、业务服务方式的要求。表1对几种交换技术进行了比较。

表1.几种交换技术的比较

目前多数单向导入设备是***级的应用，部署复杂，价格昂贵，使用繁琐。在信息化条件下，保密与信息共享的矛盾日益突出，涉密网与非涉密网之间的信息交换需求较大，迫切需要桌面级的单向导入产品实现安全的单向数据传输。

发明内容

本发明针对上述问题，提出并实现了一种数据单向导入方法及***，通过一种高效可靠的传输机制，在物理层和应用层两个方面确保了信息流动的单向性。

本发明采用的技术方案如下：

一种数据单向导入方法，其包括：

发送端与接收端之间的传输层采用UDP通信协议；

发送端读取移动存储介质中的数据，依据其类型进行数据拆分并封装成数据包，并将封装成的数据包通过光纤传输通道发送给接收端；

接收端按照所述数据包中的数据类型进行文件的还原重组。

进一步地，所述发送端按照移动存储介质里的文件路径结构采用深度优先算法遍历文件与文件夹，遍历途经节点时依据其类型进行数据拆分并封包发送。

进一步地，所述数据包的内容包括：数据类型、序号码、当前传输文件的大小或者是包的序号、数据部分和校验码；所述数据包的类型包括：控制类型数据包、数据类型数据包、纠错类型数据包。

进一步地，所述数据包的长度不小于UDP数据报的可用最大长度，且小于64K。

进一步地，在传输过程中检测数据类型数据包和控制类型数据包的丢失。

进一步地，数据包在接收端的接收与处理在两个线程内执行，线程之间采用命名管道通信。

一种数据单向导入***，包括发送端与接收端，所述发送端与所述接收端之间的传输层采用UDP通信协议；所述发送端读取移动存储介质中的数据，依据其类型进行数据拆分并封装成数据包，并将封装成的数据包通过光纤传输通道发送给接收端；所述接收端按照所述数据包中的数据类型进行文件的还原重组。

进一步地，所述发送端包括：

单向通信模块，采用光纤作为传输通道，用于实现数据的单向导入功能；

外端导入模块，其一端与移动存储介质相连，另一端与单向通信模块相连，负责读取移动存储介质中的文件，并传输至单向通信模块；

内端导出模块，其一端与单向通信模块相连，另一端与接收端（如涉密计算机）相连，负责接收单向通信模块输出的数据，并转发至接收端。

进一步地，所述外端导入模块通过USB接口与所述移动存储介质相连。

进一步地，所述接收端的软件实现包括网络设置、状态监控、数据接收和用户界面四个部分，分别采用线程实现。

本发明提出并实现了一种单向导入机制，并给出了***的软硬件实现，为用户的日常办公提供了一种简单快捷的数据单向导入服务。本***规模轻巧，具有成本低、使用简便、稳定性与可靠性高等优点，具有实用价值。具体来说，其优势如下：

1）采用基于光纤传输通道的发送机制，在物理层面上保证了无反馈信息，保证了物理通道的绝对单向性；

2）通过自定义的通信消息格式，提高了传输效率且提供了可靠的数据校验机制；高效的传输协议和算法提高了***的稳定性和传输效率，有效避免由于隐藏信息“双向传输”带来的泄密风险；

3）应用于桌面级***，硬件成本低廉，***部署简单，使用方便，提供数据自动导入、重新导入功能，基于USB，支持热插拔；

4）针对桌面操作***，兼容Windows、Linux。

附图说明

图1是实施例中数据包格式示意图。

图2是实施例中MAC帧的结构示意图。

图3是实施例中目录树的遍历示意图。

图4是实施例中传输状态转换图。

图5是实施例中文件内的异常示意图。

图6是实施例中文件锁的使用与判断过程示意图。

图7是实施例中发送端的硬件逻辑结构图。

图8是实施例中线程间的组件关系示意图。

图9是实施例中软件实现的用户界面示意图。

具体实施方式

下面通过具体实施例和附图，对本发明做详细的说明。首先简要描述数据包传输的格式和协议，然后分别从发送端与接收端两方面说明***实现的算法，最后结合前面描述的算法给出具体实现方式。

1.数据包传输

***分为发送端与接收端两部分，其中发送端自动读取移动存储介质中的数据，拆分封装后发送给接收端。接收端按照下述数据包格式中的数据类型进行还原重组文件。两者间传输层的通信采用UDP协议。

1.1数据包格式

如图1所示，通信数据包的格式主要包括以下四部分。

1）数据类型（uiFrameType）：数据部分的标识，是逻辑判断的依据，不同数据类型对应不同的处理方式。

2）序号码（uLID）：附加消息，依据数据类型的不同，具有特定的值。可以是当前传输文件的大小或者是包的序号。当数据类型为文件名时，此数据代表文件大小；当数据类型为文件数据时，此数据代表数据包的序号。

3）数据部分(ucData[])：其值具有多种类型含义，最重要的有文件名和文件数据。

4）校验码（uBCC）：与ucData数组元素类型相同，用于对数据部分进行校验。

1.2传输协议

由于数据包的流动是单向的，无法建立带有反馈的通信连接，因此数据的传输采用UDP协议。数据包的大小会影响传输的速度和可靠性，为保证传输质量，数据包长度应不小于UDP数据报的可用最大长度，且小于64K（UDP协议要求包小于64K）。

基于以太网（Ethernet）物理特性，链路层的MTU（最大传输单元）为1500字节。去掉IP与UDP数据报首部的28字节（20+8byte），可用UDP数据报的数据区最大长度为1472字节。图2是MAC帧的结构示意图。

当数据包长度超过1472字节时，发送端IP层需要进行分片(fragmentation)。接收端IP层重组分片并还原UDP数据报，这些额外的操作会导致丢包率的上升。因此，本实施例定义数据包长度为1472字节(与UDP数据报可用最大长度相同)。在后文将通过理论和实验详细分析验证数据包长度对***性能的影响。

2.算法实现

2.1发送端

上述数据包是发送端与接收端通信的最小逻辑单元。发送端对移动存储介质中的文件按路径结构进行遍历，再按照一定的顺序把文件和文件路径发送给接收端。

2.1.1数据包类型

发送端发送的数据包有以下三种类型：

·控制类型数据包

TaskStart、TaskEnd：一次任务传输的开始和结束。

FileName、FileEnd：一次文件传输的开始和结束。

·数据类型数据包

DirName：文件的相对路径名。

Data：文件内容。

·纠错类型数据包

VerifyPassWord：任务开始时验证字段，保证接入硬件与此次传输的合法性。

UDiskFileMountFalse：标签代表U盘文件不可识别或者U盘为空。

2.1.2数据校验

在数据包中加入校验位可以检测数据部分的完整性与准确性，由于复杂的校验算法会增加***时间开销，这里采用了一种简单的异或校验法（block check character），即把数据和一个指定的初始值（通常是全0）异或一次，最后的结果作为校验值。实现方式为：定义校验初始值为R₀，ucDATA的数据字段值为R₁，R₂，R₃.....R_k(1≤k≤DATASIZE)，依次将R_k与R₀进行异或（R_k xor R₀），得出的最终值填充到uBCC字段。

接收方计算后对比校验值判断该数据包的传输是否发生错误。这种校验方式提供了校验能力，但因为物理单向的限制，未提供纠错功能。

2.1.3消息发送

一次完整的数据单向导入任务分为以下两步：

(1)按照移动存储介质里的文件路径结构，深度优先（Depth-First Traversal）地遍历文件与文件夹。

(2)遍历途经节点时，依据其类型进行数据拆分并封包发送。

以图3为例，根据发送文件的存放路径，构建文件目录树。按照深度优先算法，首先访问节点A。A的类型是文件路径，填充数据包后发送。接着访问节点D，P，Q等，最后访问节点M。当节点类型为文件且文件长度小于ucData字段最大值时可直接封装进数据包；当其长度大于ucData字段最大值时，需要先进行分片。以文件M为例，设其大小为s，数据包格式的ucData字段最大值为DATASIZE。设s mod DATASIZE商为k余数为j，即s=DATASIZE*k+j。文件数据将会分割成k+1片进行发送，前k片数据区的大小为DATASIZE，第k+1片的大小为j。遍历中途经的节点填充数据包的方式如表2所示。

表2.数据填充方式

一次正确的传输任务，传输状态的转换是固定的，如图4所示。未知的状态转换证明传输过程中发生了异常，下一节中详细说明如何分析异常类型和发生原因。具体的状态转换表如表3所示。

表3.合法状态转换

2.2接收端

接收端收到来自发送端的数据包后，依据其类型采用相应的处理方式。收到数据包的类型与序号应符合传输状态转换顺序。

2.2.1数据还原

控制包与数据包是传输过程中主要的数据类型，其处理方式如表4所示：

表4.不同数据类型处理方式

2.2.2异常处理

文件被分割为多个数据包发送，数据包越多丢包的可能性越高。UDP协议具有不可靠性，一个数据包的丢失会造成整个文件的传输失败。

传输中的异常主要包括两种情况：

(1)文件内的异常。即部分Data类型数据包丢失，参照前文给出的状态转换图4，数据包中的uLID字段具有连续性。接收端收到的uLID值从1开始递增，若当前收到的uLID值为k，则下一个数据包的uLID值为k+1，若不连续则发生了异常，该文件已经收到的数据包将被删除，该文件的后续数据包将被忽略，如图5所示。

文件传输完毕时（收到FileEnd类型数据包），判断收到的数据包总数是否符合预期，若少于应收到的数量，则发生了文件内的数据包丢失。

(2)文件间的异常。为了检测控制类型数据包的丢失，接收端程序维护着一个用于标识传输过程的“文件锁”。其初始状态为unLock，当某个文件开始传输时会先改变其状态为Lock，结束传输时恢复其状态为unLock。

若上一个文件的FileEnd数据包丢失，则文件锁的状态无法重置。接收端获得下一个文件的FileStart数据包后，通过判断文件锁状态，可以检测到上一个文件的传输发生了异常。

若当前文件的FileStart数据包丢失，则文件锁的状态为uLock。接收端获得Data数据包后，通过判断文件锁状态，可以检测到当前文件句柄未能正确创建。

当接收端收到FileEnd数据包时，若文件锁状态为uLock，则当前文件的FileStart数据包丢失，文件句柄未能创建，文件数据没有写入，当前文件传输失败。文件锁的使用与判断过程如图6所示。

在传输过程中，两种判断方式相互配合，用来检测数据型和控制型包的丢失。当两种丢包方式同时发生时，实际的检测过程更为复杂，这里只是简要描述了单一情况下的判断流程。

3.***的具体实现方式

按照前文定义的消息格式和传输机制分别在Linux操作***上实现了***原型。发送端软硬件***运行在嵌入式Linux操作***上；接收端分别运行于Linux***的桌面计算机上。本实施例着重介绍***的软件实现。

3.1***硬件设计

***只有发送端涉及硬件电路设计，发送端的硬件逻辑结构如图7所示，具体包括以下模块：

1.单向通信模块

单向通信模块是多功能导入***的核心部件，用来实现数据的单向导入功能。该部件采用光纤作为传输通道，由于光的单向传输特性，保证了物理通道的绝对单向。

2.外端导入模块

该模块通过USB接口直接与移动存储介质相连，负责读取移动存储介质中的文件，并通过单向通信模块导入到涉密计算机中。外端导入模块一端与移动存储介质相连，另一端与单向通信模块相连。

3.内端导出模块

内端导出模块一端与单向通信模块相连，另一端与涉密计算机相连。该模块负责接收外端导入模块通过单向通信模块传输的数据，并将接收到的数据转发给涉密计算机。

3.2发送端软件设计

发送端导入设备启动后会读取配置文件，按照配置模式进行初始化。当USB端口检测到U盘***时，开始发送数据包。

程序的功能实现主要包括以下几个模块：

(1)文件与文件夹遍历。依据2.1.3节给出的模型，搜索发送目录下的数据。

(2)数据包封装与发送。搜索发送目录的过程中，依据数据类型填充数据包格式中各个字段的值，填充方式如2.1.3节所示，封装后发送给接收端。

(3)生成校验码。发送端按照ucData字段的内容生成校验码附加到数据包的末端。校验码的生成与计算方式如2.1.2节所示。

(4)用户设置。通过专用程序对发送端的发送模式进行设置，如修改数据包的大小与发送间隔，设置发送方式为单次或循环等。

3.3接收端软件设计

接收端程序接收文件并与用户进行交互，实时显示接收状态。

主要功能分为四个部分，分别使用线程实现。图8为线程之间的组件关系示意图，下面分别进行说明：

(1)网络设置。

程序启动时需要对USB网卡进行初始化，设置其IP、网关等信息。程序定时检测网卡是否保持连接状态，且参数设置正常。如图8中线程1所示。

(2)状态监控。

本线程实时监控传输状态，使用计数器统计接收的数据包数量，计算接收速度、剩余时间等传输信息。当接收到的数据包类型不满足前文描述的状态转换图或长时间未收到应收数据包，***判断异常类型并给出相应提示。如图8中线程2所示。

(3)数据接收。

本线程建立基于UDP协议的Socket，并从Socket缓存中读取数据，依据数据包类型还原文件。该模块分为两个线程，第一个不断读数据写入到缓存中，第二个从缓存中读数据然后进行相应磁盘操作。

考虑到写磁盘占用的CPU时间较长，若数据包接收与处理在一个线程内串行执行，会造成磁盘缓存溢出而发生丢包。数据包的接收与处理在两个线程内执行，如图8中线程3和线程5所示。线程之间采用命名管道通信，能较好的规避因处理不及时导致的丢包问题。

命名管道又被称为FIFO（first-in,first-out），是一种特殊的设备文件，严格遵循先进先出的原则，写入FIFO的数据将被添加在结尾位置，读取FIFO中的数据时会从开始处返回数据。虽然它以文件形式存在，但写入FIFO的数据是由Linux内核传递和存储的，并没有直接写入到文件***中，具有易于维护与处理速度快等优点。

(4)用户界面。如图8中线程4所示，该线程实时显示程序的运行状态，当前正在传输的文件及其大小，传输速度，完成所需的剩余时间；显示每个文件的处理结果，成功或失败等；提供用户操作，通过UI可以自行设置文件存储位置，同名文件的保存方式（覆盖或重命名）等，图9是软件实现的用户界面示意图。

综上所述，四个部分并发执行时互相通信，相互协调的完成接收端的功能。线程的阻塞与唤醒依靠它们之间通信的消息。

尽管为说明目的公开了本发明的具体实施例和附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims

1.一种数据单向导入方法，其特征在于：

发送端与接收端之间的传输层采用UDP通信协议；

接收端按照所述数据包中的数据类型进行文件的还原重组。

2.如权利要求1所述的方法，其特征在于：所述发送端按照移动存储介质里的文件路径结构采用深度优先算法遍历文件与文件夹，遍历途经节点时依据其类型进行数据拆分并封包发送。

3.如权利要求1所述的方法，其特征在于：所述数据包的内容包括：数据类型、序号码、当前传输文件的大小或者是包的序号、数据部分和校验码；所述数据包的类型包括：控制类型数据包、数据类型数据包、纠错类型数据包。

4.如权利要求1所述的方法，其特征在于：所述数据包的长度不小于UDP数据报的可用最大长度，且小于64K。

5.如权利要求1所述的方法，其特征在于：在传输过程中检测数据类型数据包和控制类型数据包的丢失。

6.如权利要求1所述的方法，其特征在于：数据包在接收端的接收与处理在两个线程内执行，线程之间采用命名管道通信。

7.一种数据单向导入***，包括发送端与接收端，其特征在于：所述发送端与所述接收端之间的传输层采用UDP通信协议；所述发送端读取移动存储介质中的数据，依据其类型进行数据拆分并封装成数据包，并将封装成的数据包通过光纤传输通道发送给接收端；所述接收端按照所述数据包中的数据类型进行文件的还原重组。

8.如权利要求7所述的***，其特征在于，所述发送端包括：

内端导出模块，其一端与单向通信模块相连，另一端与接收端相连，负责接收单向通信模块输出的数据，并转发至接收端。

9.如权利要求7或8所述的***，其特征在于：所述外端导入模块通过USB接口与所述移动存储介质相连。

10.如权利要求7或8所述的***，其特征在于：所述接收端的软件实现包括网络设置、状态监控、数据接收和用户界面四个部分，分别采用线程实现。