《一种嵌入式电力安全防护终端加密装置.pdf》由会员分享，可在线阅读，更多相关《一种嵌入式电力安全防护终端加密装置.pdf（9页珍藏版）》请在专利查询网上搜索。
1、(10)申请公布号 (43)申请公布日 (21)申请号 201410637242.1(22)申请日 2014.11.12H04L 29/06(2006.01)H04L 9/32(2006.01)(71)申请人成都卫士通信息产业股份有限公司地址 610041 四川省成都市高新区云华路333号(72)发明人熊毅 袁健 伯广雨 魏程鹏周小川(74)专利代理机构成都九鼎天元知识产权代理有限公司 51214代理人邓世燕(54) 发明名称一种嵌入式电力安全防护终端加密装置(57) 摘要本发明公开了一种嵌入式电力安全防护终端加密装置，包括通过双芯片通讯驱动程序进行通讯和同步的IKE处理器和ESP处理器，IK。
2、E处理器和ESP处理器采用两片商密SOC芯片。应用程序包括：ESP模块、密钥协商程序、SAD模块、SPD模块、初始化程序、PPP拨号程序、网络包过滤程序、TCP协议栈、本地/远程管理系统、证书模块和日志系统。本发明通过双CPU的分工协同工作使得设备具有更高的吞吐量和稳定性；同时采用无操作系统设计，自主实现所需的相关协议栈，从而避免他人利用操作系统相关漏洞来对设备进行攻击的危险；同时按需实现的相关协议栈大大精简了设备的软件，使得设备运行速度相比其他设备有很大的提升。(51)Int.Cl.(19)中华人民共和国国家知识产权局(12)发明专利申请权利要求书1页 说明书5页 附图2页(10)申请公布号。
3、 CN 104468519 A(43)申请公布日 2015.03.25CN 104468519 A1/1页21.一种嵌入式电力安全防护终端加密装置，其特征在于：包括通过双芯片通讯驱动程序进行通讯和同步的IKE处理器和ESP处理器，IKE处理器和ESP处理器采用两片商密SOC芯片，其中：ESP处理器负责网络数据包的ESP封装、网络数据包过滤等高速业务的处理；IKE处理器主要负责密钥协商、设备管理等需要非对称运算耗时比较长的数据处理；进行数据处理的应用程序包括：ESP模块、密钥协商程序、SAD模块、SPD模块、初始化程序、PPP拨号程序、网络包过滤程序、TCP协议栈、本地/远程管理系统、证书模块和。
4、日志系统，其中：(1)ESP模块：运行于ESP处理器中，为IP报文提供机密性、完整性、数据源验证以及抗重播等安全服务；(2)密钥协商程序：运行在IKE处器中，处理密钥协商的两个阶段，完成密钥协商后将生成的密钥和参数通过加密方式发送给ESP处理器；(3)SAD模块：同时运行在IKE处理器和ESP处理器中，用于维护IPSec协议用来保障数据安全的SA记录；(4)SPD模块：同时运行在IKE处理器和ESP处理器中，用于提供轻量级的安全策略维护接口；控制密钥管理和交换的数据包；(5)初始化程序：运行在IKE处理器中，完成设备的IP地址配置、生成设备证书、PPP拨号配置、初始安全策略设置等功能；(6)P。
5、PP拨号程序：运行在IKE处理器中，用于GPRS型终端；(7)网络包过滤程序：运行于ESP处理器中，对进入的网络数据包按设定规则进行过滤；(8)TCP协议栈：在GPRS型终端设备的TCP协议栈运行于IKE处理器中；网口型终端设备的TCP协议栈运行于ESP处理器中；为轻量级的TCP协议栈；(9)本地/远程管理系统：运行于IKE处理器中，完成查看设备状态，更改设备配置以及远程升级等功能；(10)证书模块：运行于IKE处理器中，用于X.509证书解析和验证；(11)日志系统：同时运行于IKE处理器和ESP处理器中，记录系统运行状态，提供流量分析，故障分析等功能。2.根据权利要求1所述的一种嵌入式电力。
6、安全防护终端加密装置，其特征在于：IKE处理器中的SAD模块负责SA建立过程中的状态维护，保存密钥协商程序生成的工作密钥，会话密钥、加密算法、密钥生存期和密钥生存期类型等参数；ESP处理器中的SAD模块负责保存会话密钥、IV、SPI、重放窗口等参数。3.根据权利要求1所述的一种嵌入式电力安全防护终端加密装置，其特征在于：IKE处理器中的SPD模块负责保存初始化系统下发的安全策略；ESP处理器中的SPD模块负责对网络数据包进行规则匹配，选择合适的安全策略。4.根据权利要求1所述的一种嵌入式电力安全防护终端加密装置，其特征在于：所述双芯片通讯驱动程序进行通讯和同步的方式为：两片商密SOC芯片之间通。
7、过SPI方式进行通讯，SPI数据采用加密方式传输；ESP处理器产生的随机数通过双芯片通讯驱动同步到IKE处理器，IKE处理器经过检测后给加密业务使用；当ESP处理器接收到密钥协商包时，通过双芯片通讯驱动发往IKE处理器进行处理，IKE处理器再将处理后的结果由ESP处理器发到线路之上；IKE处理器中密钥协商的结果也由双芯片通讯驱动同步到ESP处理器中。权 利 要 求 书CN 104468519 A1/5页3一种嵌入式电力安全防护终端加密装置技术领域0001 本发明涉及一种嵌入式电力安全防护终端加密装置。背景技术0002 虚拟专用网络(Virtual Private Network，简称VPN)指。
8、的是在公用网络上建立专用网络的技术。其之所以称为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM(异步传输模式、Frame Relay(帧中继)等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。VPN主要采用了隧道技术、加解密技术、密钥管理技术和使用者与设备身份认证技术。0003 网际网路安全协定(Internet Protocol Security，简称IPSec)，是通过对IP协议的分组进行加密和认证来保护IP协。
9、议的网络传输协议族。IPSec由两大部分组成:0004 1)Internet密钥交换协议(Internet Key Exchange Protocol，简称IKE)。0005 2)保护分组流的协议，如：加密安全载荷协议(Encapsulated Security Payload，简称ESP)、认证头协议(Authentication Header，简称AH)等。0006 现有国内的VPN产品主要是在linux操作系统基础上实现了IPSec VPN。由于设备上面需要运行linux操作系统，所以需要较高的硬件配置，从而造成VPN产品的体积较大、成本较高，而性能还不一定高。再加上开源的linux操作。
10、系统自身存在的一些安全漏洞，增加了VPN被他人攻击的危险性。发明内容0007 为了克服现有技术的上述缺点，本发明提供了一种嵌入式电力安全防护终端加密装置，是采用国产双商密SOC芯片架构为硬件支撑，在无操作系统的环境条件下按照国密标准的IPSec VPN规范实现的VPN产品。本产品不仅性能比较高、体积很小，而且成本也很低。最重要的是很好地避免了因为linux等操作系统自身的漏洞等原因造成的产品的不安全因素，大大增加了加密产品的可靠性和安全性。0008 本发明解决其技术问题所采用的技术方案是：一种嵌入式电力安全防护终端加密装置，包括通过双芯片通讯驱动程序进行通讯和同步的IKE处理器和ESP处理器，。
11、IKE处理器和ESP处理器采用两片商密SOC芯片。其中：ESP处理器负责网络数据包的ESP封装、网络数据包过滤等高速业务的处理；IKE处理器主要负责密钥协商、设备管理等需要非对称运算耗时比较长的数据处理；进行数据处理的应用程序包括：ESP模块、密钥协商程序、SAD模块、SPD模块、初始化程序、PPP拨号程序、网络包过滤程序、TCP协议栈、本地/远程管理系统、证书模块和日志系统，其中：0009 (1)ESP模块：运行于ESP处理器中，为IP报文提供机密性、完整性、数据源验证以及抗重播等安全服务；说 明 书CN 104468519 A2/5页40010 (2)密钥协商程序：运行在IKE处器中，处理。
12、密钥协商的两个阶段，完成密钥协商后将生成的密钥和参数通过加密方式发送给ESP处理器；0011 (3)SAD模块：同时运行在IKE处理器和ESP处理器中，用于维护IPSec协议用来保障数据安全的SA记录；0012 (4)SPD模块：同时运行在IKE处理器和ESP处理器中，用于提供轻量级的安全策略维护接口；控制密钥管理和交换的数据包；0013 (5)初始化程序：运行在IKE处理器中，完成设备的IP地址配置、生成设备证书、PPP拨号配置、初始安全策略设置等功能；0014 (6)PPP拨号程序：运行在IKE处理器中，用于GPRS型终端；0015 (7)网络包过滤程序：运行于ESP处理器中，对进入的网络。
13、数据包按设定规则进行过滤；0016 (8)TCP协议栈：在GPRS型终端设备的TCP协议栈运行于IKE处理器中；网口型终端设备的TCP协议栈运行于ESP处理器中；为轻量级的TCP协议栈；0017 (9)本地/远程管理系统：运行于IKE处理器中，完成查看设备状态，更改设备配置以及远程升级等功能；0018 (10)证书模块：运行于IKE处理器中，用于X.509证书解析和验证；0019 (11)日志系统：同时运行于IKE处理器和ESP处理器中，记录系统运行状态，提供流量分析，故障分析等功能。0020 与现有技术相比，本发明的积极效果是：采用国产双商密SOC芯片架构设计，通过双CPU的分工协同工作使得。
14、设备具有更高的吞吐量和稳定性；同时采用无操作系统设计，自主实现所需的相关协议栈，从而避免他人利用操作系统相关漏洞来对设备进行攻击的危险；同时按需实现的相关协议栈大大精简了设备的软件，使得设备运行速度同比其他设备有很大的提升。附图说明0021 本发明将通过例子并参照附图的方式说明，其中：0022 图1是网口型的总体组成框图；0023 图2GPRS型的总体组成框图；0024 图3是本发明的硬件组成逻辑框图；0025 图4是本发明的数据处理流程图。具体实施方式0026 电力安全防护终端加密装置由底层硬件设备、软件系统组成，网口型和GPRS型的总体组成框图分别如图1和图2所示。0027 电力安全防护终。
15、端加密装置的基本设计思想是：采用IKE处理+ESP处理器构架，无操作系统，实时处理网络数据，并遵循国家IPSec VPN技术规范，实现安全的、高性能的接入网关。IKE处理器和ESP处理器均选用国产商密SOC芯片。通过扩展不同的外围接口硬件电路，可以支持但不限于网口、串口、GPRS拨号等多种接口形式,如图3所示。0028 电力安全防护终端加密装置系统采用模块化设计思想，各个模块相互独立，达到说 明 书CN 104468519 A3/5页5系统性能最优和系统扩展性最优。0029 电力安全防护终端加密装置软件系统采用无操作系统的设计，所有代码均为自主开发，有效避免了操作系统和开源代码带来的安全隐患问。
16、题。软件层包含了初始化程序、PPP拨号、密钥协商、ESP程序、日志系统、证书系统等。0030 根据国密局要求，商用密码设备需要用双噪声源来产生随机数。本装置采用双商密SOC芯片的架构，充分利用两片商密芯片内置的噪声源做为随机数发生器，产生两路随机数，省去了外置噪声源芯片。0031 根据IPSec VPN技术规范要求，本装置需要能够进行密钥协商和数据包加密。数据包加密采用ESP协议，密钥协商采用IKE协议。密钥协商时需要多次调用耗时较长的非对称密码运算，此运算会对数据包加密产生影响。本装置利用双商密SOC芯片的架构，将密钥协商与数据包加密分派到不同的芯片上进行处理，这样密钥协商不会对数据包加密带。
17、来的影响。0032 硬件组成0033 电力安全防护终端加密装置基于ESP处理器和IKE处理器，采用双芯片架构、电磁屏蔽和回路耦合等方式设计。0034 ESP处理器和IKE处理器各为一个商密SOC系统，包括处理器单元、异步串行通信接口、通用I/O接口、内部Flash存储器、内部RAM存储器、加密算法引擎、内部看门狗等。电力安全防护终端加密装置硬件平台是以ESP处理器和IKE处理器为核心，扩展串口电平转换模块、网口模块、电源模块、GPRS无线模块等外围电路及元器件构成。由于软件方面采用无操作系统的设计，并辅以商密芯片内部的加密算法引擎和噪声源，能够提供更简化的设计、更好的性能、更低的功耗、更小的印。
18、制板、更小空间和更低的成本，适用于各种配电终端环境，满足现场低功耗、高温、低温、高湿、高盐雾、强电磁干扰辐射等恶劣环境的应用。电力安全防护终端加密装置的硬件构成如图3所示。0035 软件组成0036 软件部分由应用程序、驱动程序两部分组成：0037 一、应用程序：0038 应用程序包括ESP模块、密钥协商程序、SAD模块、SPD模块、初始化程序、PPP拨号程序、网络包过滤程序、TCP协议栈、本地/远程管理系统、证书模块和日志系统。ESP处理器主要负责网络数据包的ESP封装、网络数据包过滤等高速业务的处理。IKE处理器主要负责密钥协商、设备管理等需要非对称运算耗时比较长的数据处理。本装置应用程序。
19、数据处理流程如图4，由于采用了ESP处理器和IKE处理器双芯片架构，外口来的ESP数据包和IKE数据包会发往不同的处理器。当ESP处理器在进行高速的数据包加密业务时，需要非对称运算的低速IKE业务不会对其产生影响。0039 (1)ESP模块0040 ESP协议处理模块作为加密装置的核心业务，为IP报文提供机密性、完整性、数据源验证以及抗重播等安全服务，运行于ESP处理器中。本装置采用双商密SOC芯片架构，密钥协商程序运行于IKE处理器中，在进行密钥协商的同时不会影响到ESP处理器中的数据加密业务。0041 (2)密钥协商程序说 明 书CN 104468519 A4/5页60042 处理密钥协商。
20、的两个阶段，完成密钥协商。密钥协商程序运行在IKE处器中，密钥协商成功后将生成的密钥和参数通过加密方式发送给ESP处理器。密钥协商程序需要进行非对称运算，占用较多的芯片计算资源。为了让密钥协商不影响ESP处理器中的数据包的加密业务，密钥协商程序运行在IKE处理器中。充分利用了本装置的双商密SOC芯片架构优势，将低速密钥协商业务和高速数据包加密业务进行分离，提高数据吞吐率和系统稳定性。0043 (3)SAD模块0044 SAD模块维护IPSec协议用来保障数据安全的SA记录，每个SA都在SAD中有一条记录相对应。SA是两个通信实体经过协商建立起来的安全联盟，是构成IPSec的基础。SA决定了用来。
21、保护数据安全的IPSec协议、模式(隧道模式)、算法及密钥、生存期、抗重播窗口、计数器等。SAD模块同时运行在IKE处理器和ESP处理器中，根据各自处理业务的特点，IKE处理器中的SAD模块负责SA建立过程中的状态维护，保存密钥协商程序生成的工作密钥，会话密钥、加密算法、密钥生存期和密钥生存期类型等参数。ESP处理器中的SAD模块负责保存会话密钥，IV，SPI、重放窗口等参数。0045 (4)SPD模块0046 SPD模块提供轻量级的安全策略维护接口，可以添加和删除安全策略。SPD中的策略项记录对SA(SA束)进行了规定，其字段包含了IPSec协议、模式、算法和嵌套等要求。SPD还控制密钥管理。
22、和交换(如ISAKMP和IKE)的数据包。SPD数据通过本地或远程管理程序设置，并且存储在IKE处理器的内部非易失存储器中。SPD模块同时运行在IKE处理器和ESP处理器中。IKE处理器中的SPD模块负责保存初始化系统下发的安全策略。ESP处理器中的SPD模块负责对网络数据包进行规则匹配，选择合适的安全策略。0047 (5)初始化系统0048 初始化系统完成设备的IP地址配置、生成设备证书、PPP拨号配置、初始安全策略设置等功能。初始化系统只运行在IKE处理器中。0049 (6)PPP拨号程序0050 PPP拨号程序，GPRS型终端使用。PPP拨号程序只运行在IKE处理器中。0051 (7)网。
23、络包过滤程序0052 网络包过滤程序对进入到电力安全防护终端加密装置中的网络数据包按设定规则进行过滤，能够屏蔽掉不满足需求的网络数据包。网络包过滤程序只运行于ESP处理器中。0053 (8)TCP协议栈0054 一个轻量级的TCP协议栈，运行于网口型和GPRS型终端。在GPRS型终端设备的TCP协议栈运行于IKE处理器中。网口型终端设备的TCP协议栈运行于ESP处理器中。0055 (9)本地/远程管理系统0056 本地和远程管理系统完成查看设备状态，更改设备配置以及远程升级等功能。管理系统运行于IKE处理器中。0057 (10)证书模块0058 一个轻量级的证书模块，用于X.509证书解析和验。
24、证。证书解析运行于IKE处理器中。0059 (11)日志系统说 明 书CN 104468519 A5/5页70060 记录系统运行状态，提供流量分析，故障分析等功能。日志系统同时运行于IKE处理器和ESP处理器中。0061 二、设备驱动程序0062 设备驱动程序包括网卡驱动、密码算法驱动、GPRS模块驱动、串口驱动、Flash文件系统驱动和双芯片通讯驱动等。GPRS模块驱动、网卡驱动和串口驱动提供了外部接口的访问能力。通过对不同的外部接口进行组合，本装置可以扩展成功能不同的加密装置，见图3。0063 双芯片通讯驱动负责电力安全防护终端加密装置中双商密SOC芯片间的通讯和同步。两片商密SOC芯片之间通过SPI方式进行通讯，SPI数据采用加密方式传输。ESP处理器产生的随机数通过双芯片通讯驱动同步到IKE处理器，IKE处理器经过检测后给加密业务使用。当ESP处理器接收到密钥协商包时，通过双芯片通讯驱动发往IKE处理器进行处理，IKE处理器再将处理后的结果由ESP处理器发到线路之上。IKE处理器中密钥协商的结果也由双芯片通讯驱动同步到ESP处理器中。说 明 书CN 104468519 A1/2页8图1图2说 明 书 附 图CN 104468519 A2/2页9图3图4说 明 书 附 图CN 104468519 A。