CN106953753B - 一种基于嵌入硬件模块的专用设备可信监管方法 - Google Patents

一种基于嵌入硬件模块的专用设备可信监管方法 Download PDF

Info

Publication number
CN106953753B
CN106953753B CN201710156277.7A CN201710156277A CN106953753B CN 106953753 B CN106953753 B CN 106953753B CN 201710156277 A CN201710156277 A CN 201710156277A CN 106953753 B CN106953753 B CN 106953753B
Authority
CN
China
Prior art keywords
supervision
module
data
equipment
software
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710156277.7A
Other languages
English (en)
Other versions
CN106953753A (zh
Inventor
郝尧
安红章
吴开均
赵越
刘杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
CETC 30 Research Institute
Original Assignee
CETC 30 Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by CETC 30 Research Institute filed Critical CETC 30 Research Institute
Publication of CN106953753A publication Critical patent/CN106953753A/zh
Application granted granted Critical
Publication of CN106953753B publication Critical patent/CN106953753B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/18—Protocol analysers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明公开了一种基于嵌入硬件模块的专用设备可信监管方法，嵌入在被监管设备端的监管模块通过设备存储接口读取设备软件映像，通过网络流传感器采集监管数据，通过监管接口软件模块与设备软件的交互提供扩展监管机制，实现对被监管设备的配置信息和网络流等多方面的使用运行监管。本发明基于嵌入硬件模块实现多种机制保证对设备的运行使用监管的可靠可信。主要优点如下：保证监管信息的可信；保持了监管的独立性；为监管数据的采集提供了标准接口和协作式数据采集扩展；采用可定制的监管设计，可以按监管需求配置设备端监管模块，减少对设备运行的影响。

Description

一种基于嵌入硬件模块的专用设备可信监管方法
技术领域
本发明涉及一种基于嵌入硬件模块的专用设备可信监管方法。
背景技术
当前网络设备、网络安全设备、密码设备等专用设备一般具备网络化的管理手段，允许管理人员对设备进行设备配置、状态监控等远程管理操作，但对设备使用运行监管相对欠缺。而设备错误配置等不当使用是导致安全问题的主要原因之一，对设备的配置、使用、运行等进行监管很有必要。同时，现有网络管理依赖于设备本身提供的远程管理功能，而在一些特殊应用领域，迫切需要在不依赖设备的前提下对设备的使用运行进行网络监管。
发明内容
为了克服现有技术的上述缺点，本发明提供了一种基于嵌入硬件模块的专用设备可信监管方法，主要针对网络设备、网络安全设备、密码设备等专用设备的使用与运行监管，引入独立于专用设备厂商的机制实现对设备使用、运行的可信监管。基于独立的嵌入硬件模块的监管，依赖硬件模块为设备使用运行监管提供独立于设备厂商的信任根，并据此构建监管的信任链，确保监管信息的独立与可信。
本发明解决其技术问题所采用的技术方案是：一种基于嵌入硬件模块的专用设备可信监管方法，嵌入在被监管设备端的监管模块通过读取设备软件映像，通过网络流传感器采集监管数据，通过监管接口软件模块提供与设备软件的交互机制，实现对被监管设备的配置信息监管和网络流监管。
与现有技术相比，本发明的积极效果是：本发明基于嵌入硬件模块实现多种机制保证对设备的运行使用监管的可靠可信。主要优点如下：
1.采用嵌入硬件模块为专用设备的使用运行监管提供可信根，并基于可信根构建监管的信任链，从而保证监管信息的可信；
2.所采用的监管机制不依赖于设备厂商设计的专用硬件和软件，保持了监管的独立性；
3.为监管数据的采集提供了标准接口和协作式数据采集扩展；
4.采用可定制的监管设计，可以按监管需求配置设备端监管模块，减少对设备运行的影响。
附图说明
本发明将通过例子并参照附图的方式说明，其中：
图1为基于嵌入硬件模块的设备监管模型；
图2为设备监管的可信机制；
图3为设备监管协议工作示意图。
具体实施方式
本方法通过嵌入设备的硬件模块为设备使用运行监管提供独立于设备的信任根，监管硬件模块唯一地标识该设备，并独立于设备及其软件提供对设备内部与网络通信流的可编程监管，同时通过标准化的API接口提供对设备(软件)内部的运行的协作式监管。该方法为专用设备的合规性监管、配置监控、网络数据流监管提供可信机制、标准化数据采集机制，并通过监管的定制化支持高效的按需监管。本方法主要应用于特定应用领域专用设备的监管，监管方向设备厂商提出要求，由设备厂商将硬件模块集成到专用设备。
一、基于嵌入硬件模块的设备监管模型
如图1所示，本发明在被监管设备端依托嵌入设备的硬件监管模块采集监管信息，进行监管数据的预处理并与监管***交互实现独立于设备厂商的设备使用运行监管。监管模块中内置可信根，通过迭代式完整性检查，构建覆盖监管数据与处理的信任链，保证监管过程的可信。
监管模块读取设备软件映像并按照专用算法计算其校验值，通过与监管模块内部保存的校验值进行比对，保护设备软件的完整性。
监管模块可采用FPGA实现或SOC芯片实现，实现必须保证其关键数据的安全。监管模块芯片内置不可直接读取的存储，防止外部读取其关键安全数据，或将关键安全数据加密存储在模块中的存储芯片。监管模块的可信根建立在监管模块内部。
监管模块通过独立的网络传感器等独立传感器从设备采集监管数据。网络传感器(由网络芯片实现)从设备网络数据流中提取需要监管的网络数据。
监管模块同时为设备厂商提供SDK形式的监管接口软件模块，提供与设备软件的交互机制。设备厂商可以在软件中调用SDK，将需要报送的数据提交监管模块。该模式中监管信息由设备自身软件提供，在独立式监管之外提供监管信息采集的扩展机制，能够更好的访问设备的内部信息。
(1)设备配置监管
监管模块可以独立地监管设备的配置信息，前提是设备配置信息可以由监管模块直接从存储器读取并解析。监管模块也可以通过监管接口软件与设备自身软件交互读取设备配置信息。
通过监管模块本地检查或上报监管***，可以检查设备的配置参数，确认设备在配置上是否符合安全策略，设备使用是否合规等。
(2)网络流监管
网络流的监管基于网络传感器硬件，在监管模块中进行基本的解析，用于识别网络流使用是否采用了安全策略规定的加密协议等。
监管模块通过专门的管理网口和监管***通信，也可以采用带内管理的方式，利用网络传感器(网络探针)将管理数据流***设备的网络数据流，通过设备自身的网络接口与监管***通信。
二、设备监管的可信机制
本方案实施可信设备监管主要包含可信启动、数据保护和实体身份认证三个方面。
可信启动借鉴可信计算思路，基于监管模块内的可信根，对监管模块自身***和设备软件***进行校验，确保监管模块自身软件与设备软件的完整性。监管模块引导程序基于事先计算的校验值，与启动时读取监管模块自身软件映像数据实时计算的校验值进行比对，在确保其完整性后加载运行。监管模块启动完成后，读取设备软件映像，计算其校验值，比对确定其完整性后，启动设备软件加载。校验值计算可以采用SHA1等算法，也可以根据应用领域采用专用标准算法。
数据保护确保监管信息和监管模块内部运行数据在采集、处理和网络传输中的完整性。存储安全通过物理隔离(保存于芯片内部)和加密存储实现，监管数据网络传输的完整性通过数据加密实现。
实体身份认证确保监管模块与监管***交互时实体身份真实可信。实体身份认证采用基于密码的协议实现，可以采用基于对称密码的密钥管理方案实现，但单独使用对称密码不能实现不可否认性，最好采用基于公私钥的非对称密码方案如基于PKI证书的方案。
三、监管信息采集的扩展
设备监管信息的采集包含独立于设备本身的独立式数据采集和基于与设备软件交互的协作式数据采集两类。
独立式数据采集是指独立于被监管设备自身的处理逻辑，通过特定的传感器，如网络流传感器获取数据。
四、监管协议
设备监管协议包括三个部分：传感器监管协议、监管信息采集协议、监管网络协议。
传感器监管协议处理与网络流传感器等独立于设备自身软件的数据采集传感器的交互。
监管信息采集协议提供与设备软件通过监管接口软件模块交互的标准化机制。
监管网络协议处理与监管***或其代理节点的网络通信，包含身份认证、数据安全传输等功能。
监管设备与监管***之间通过双向认证确保信息源与目的的真实性，避免伪冒监管***引起严重的安全威胁，防止伪冒被管设备导致监管信息失真。认证可以采用对称密码管理的机制，也可以采用基于公钥的证书机制。
监管信息传输通过加密算法确保监管命令与监管数据传输的保密性、完整性等。
监管信息传输支持推拉两种模式，拉模式监管数据传输由监管***发起，监管***向被监管设备的嵌入式硬件模块发送监管命令，监管模块对监管***进行认证后，执行监管命令，并返回监管数据。
推模式监管信息传输由被管设备发起，由被监管设备根据监管配置中的监管策略主动上报监管数据。监管数据必须采用保护机制防止假冒等攻击，如采用加密和消息认证码等。
五、按需监管设计
监管数据的采集、处理、传输必然对监管模块和被监管设备的运行带来相应的开销，因此本方案采用可定制的监管设计。监管模块根据预置的监管配置数据或由设备监管***动态配置生成的监管配置数据，按需进行监管数据的采集，采集结果经监管模块处理后，上报或存储于监管模块备查。

Claims (7)

1.一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：嵌入在被监管设备端的监管模块通过设备存储接口读取设备软件映像，通过网络流传感器采集监管数据，通过监管接口软件模块与设备软件的交互提供扩展监管机制，实现对被监管设备的配置信息和网络流的使用运行监管；所述监管模块的可信机制包括：
(1)可信启动：监管模块引导程序基于事先计算的校验值，与启动时读取监管模块自身软件映像数据实时计算的校验值进行比对，在确保其完整性后加载运行；监管模块启动完成后，读取设备软件映像，计算其校验值，比对确定其完整性后，启动设备软件加载；
(2)数据保护：数据存储安全通过物理隔离和加密存储实现，监管数据网络传输的完整性通过数据加密实现；
(3)实体身份认证：监管模块与监管***交互时的实体身份认证采用基于密码的协议实现。
2.根据权利要求1所述的一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：监管模块直接从存储器读取或者通过监管接口软件与设备自身软件交互读取被监管设备的配置信息。
3.根据权利要求1所述的一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：校验值计算采用SHA1算法，或根据应用领域采用专用标准算法。
4.根据权利要求3所述的一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：监管模块通过传感器监管协议处理与独立于设备自身软件的数据采集传感器的交互；通过监管信息采集协议提供与设备软件通过监管接口软件模块交互的标准化机制；通过监管网络协议处理与监管***或其代理节点的网络通信，包含实体身份认证、监管数据安全传输等功能。
5.根据权利要求4所述的一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：所述实体身份认证采用对称密码管理的机制或基于公钥的证书机制。
6.根据权利要求5所述的一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：监管数据安全传输支持推拉两种模式，拉模式监管数据传输由监管***发起，监管***向监管模块发送监管命令，监管模块对监管***进行认证后，执行监管命令，并返回监管数据；推模式监管数据传输由被监管设备发起，由被监管设备根据监管配置中的监管策略主动上报监管数据，监管数据采用加密和消息认证码保护机制。
7.根据权利要求1所述的一种基于嵌入硬件模块的专用设备可信监管方法，其特征在于：监管模块根据预置的监管配置数据或由设备监管***动态配置生成的监管配置数据，按需进行监管数据的采集，采集结果经监管模块处理后，上报或存储于监管模块备查。
CN201710156277.7A 2016-12-09 2017-03-16 一种基于嵌入硬件模块的专用设备可信监管方法 Active CN106953753B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2016111284082 2016-12-09
CN201611128408 2016-12-09

Publications (2)

Publication Number Publication Date
CN106953753A CN106953753A (zh) 2017-07-14
CN106953753B true CN106953753B (zh) 2019-12-13

Family

ID=59473464

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710156277.7A Active CN106953753B (zh) 2016-12-09 2017-03-16 一种基于嵌入硬件模块的专用设备可信监管方法

Country Status (1)

Country Link
CN (1) CN106953753B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112799914B (zh) * 2021-01-28 2022-08-05 南湖实验室 一种对计算机运行中代码、数据全时段动态监管的方法及***

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101483545A (zh) * 2008-12-31 2009-07-15 中国建设银行股份有限公司 一种金融业务监控方法及***
CN101667034A (zh) * 2009-09-21 2010-03-10 北京航空航天大学 一种易扩展的、支持异构集群的监控***
CN102981084A (zh) * 2012-12-07 2013-03-20 深圳市双合电气股份有限公司 一种电力***变压器综合监控***
CN103118248A (zh) * 2013-02-28 2013-05-22 华为技术有限公司 监控方法、监控代理、监控服务器和***
CN104063300A (zh) * 2014-01-18 2014-09-24 浪潮电子信息产业股份有限公司 一种基于fpga的高端多路服务器监控信息采集装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7702783B2 (en) * 2007-09-12 2010-04-20 International Business Machines Corporation Intelligent performance monitoring of a clustered environment

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101483545A (zh) * 2008-12-31 2009-07-15 中国建设银行股份有限公司 一种金融业务监控方法及***
CN101667034A (zh) * 2009-09-21 2010-03-10 北京航空航天大学 一种易扩展的、支持异构集群的监控***
CN102981084A (zh) * 2012-12-07 2013-03-20 深圳市双合电气股份有限公司 一种电力***变压器综合监控***
CN103118248A (zh) * 2013-02-28 2013-05-22 华为技术有限公司 监控方法、监控代理、监控服务器和***
CN104063300A (zh) * 2014-01-18 2014-09-24 浪潮电子信息产业股份有限公司 一种基于fpga的高端多路服务器监控信息采集装置

Also Published As

Publication number Publication date
CN106953753A (zh) 2017-07-14

Similar Documents

Publication Publication Date Title
CN108965215B (zh) 一种多融合联动响应的动态安全方法与***
Wang et al. Security issues and challenges for cyber physical system
US9954903B2 (en) Industrial network security translator
TWI643508B (zh) 用於物聯網智能設備的智慧路由系統
RU2690887C2 (ru) Модульное устройство управления безопасностью
CN101778099B (zh) 可容忍非信任组件的可信网络接入架构及其接入方法
CN101901318B (zh) 一种可信硬件设备及其使用方法
CN104641375A (zh) 在医疗装置及其远程装置之间安全的通信
CN100358303C (zh) 一种对被管理设备进行监控的方法
US11303453B2 (en) Method for securing communication without management of states
CN108200037B (zh) 一种利用安全设备执行安全操作的方法及***
CN105099705B (zh) 一种基于usb协议的安全通信方法及其***
CN112511494B (zh) 一种适用于电力智能终端设备的安全防护***及方法
CN106292646B (zh) 一种电网控制端数据端口监控***及方法
CN106685775A (zh) 一种智能家电自检式防入侵方法及***
CN102355467A (zh) 基于信任链传递的输变电设备状态监测***安全防护方法
US20200134180A1 (en) Enhanced protections against adversarial machine learning threats utilizing cryptography and hardware assisted monitoring in accelerators
CN112422587B (zh) 身份校验方法、装置、计算机设备及存储介质
CN108337235B (zh) 一种利用安全设备执行安全操作的方法及***
CN114584331A (zh) 一种配电物联网边缘物联代理网络安全防护方法及***
CN106953753B (zh) 一种基于嵌入硬件模块的专用设备可信监管方法
CN113518071B (zh) 一种机器人传感器信息安全增强装置与方法
US20160232361A1 (en) Device and method for safely operating the device
CN112968774B (zh) 一种组态存档加密及解密方法、装置存储介质及设备
CN105812338B (zh) 一种数据访问管控方法及网络管理设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant