基于嵌入式系統(tǒng)的隔離硬件設(shè)計(jì)

　　Internet的迅猛發(fā)展使信息共享的程度進(jìn)一步提高，因而信息安全的問(wèn)題也日益突出，這時(shí)唯一的解決方法只能是主動(dòng)解決信息安全和網(wǎng)絡(luò)安全問(wèn)題。目前國(guó)內(nèi)外采用最多的、最普遍的網(wǎng)絡(luò)安全措施是使用防火墻類軟件，但是防火墻類軟件本身存在兩大先天缺陷：其一是防火墻隔離的網(wǎng)絡(luò)還是基于TCP/IP協(xié)議來(lái)進(jìn)行信息交換的，而TCP/IP 協(xié)議存在漏洞，它無(wú)法防止協(xié)議本身的漏洞；其二是防火墻的運(yùn)行離不開操作系統(tǒng)，操作系統(tǒng)和防火墻軟件都存在漏洞，因而不能阻止由這些漏洞而引起的網(wǎng)絡(luò)安全問(wèn)題[1]。因此，開發(fā)相應(yīng)的應(yīng)用系統(tǒng)是必要的。本文在對(duì)已有的防火墻技術(shù)及物理隔離技術(shù)進(jìn)行分析的基礎(chǔ)上，提出了帶緩沖區(qū)的雙通道實(shí)時(shí)開關(guān)技術(shù)，通過(guò)該技術(shù)所設(shè)計(jì)出的網(wǎng)絡(luò)隔離器能滿足實(shí)時(shí)數(shù)據(jù)的傳輸，同時(shí)本文提出了一種物理隔離環(huán)境下數(shù)據(jù)安全轉(zhuǎn)發(fā)的技術(shù)構(gòu)思，該方案使得網(wǎng)絡(luò)隔離器有很好的安全性能。

　　2 物理隔離技術(shù)原理

　　2.1  簡(jiǎn)介

　　物理隔離是指內(nèi)部網(wǎng)絡(luò)不得直接或間接地連接外部網(wǎng)絡(luò)即互聯(lián)網(wǎng)[2]。物理隔離技術(shù)通過(guò)中斷內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的連接，不支持TCP/IP 協(xié)議，不依賴于操作系 統(tǒng)，解決了目前網(wǎng)絡(luò)安全存在的根本性問(wèn)題，即由于操作系統(tǒng)漏洞和TCP/IP 協(xié)議漏洞所帶來(lái)的安全問(wèn)題，有效地防止了惡意代碼、病毒以及網(wǎng)絡(luò)入侵的發(fā)生，滿足了網(wǎng)絡(luò)安全的機(jī)密性、完整性、可用性、可控性和可審查性要求。

　　2.2  物理隔離技術(shù)

　　目前，國(guó)內(nèi)外普遍采用的物理隔離技術(shù)有: 單硬盤物理隔離卡和雙主板物理隔離技術(shù)。

　　2.2.1  單硬盤物理隔離卡

　　這種技術(shù)是將計(jì)算機(jī)的單個(gè)硬盤從物理層上分割為公共和安全兩個(gè)分區(qū)，每個(gè)分區(qū)各自安裝一套操作系統(tǒng)。在操作中，用戶工作在安全狀態(tài)和公共狀態(tài)兩個(gè)互相排斥的操作系統(tǒng)環(huán)境下，從而實(shí)現(xiàn)內(nèi)外網(wǎng)的安全隔離。這種技術(shù)的缺點(diǎn)是不能傳輸實(shí)時(shí)數(shù)據(jù)。

　　2.2.2  雙主板物理隔離技術(shù)

　　兩塊主板之間通過(guò)非網(wǎng)絡(luò)方式的一個(gè)雙端口RAM 進(jìn)行數(shù)據(jù)的傳輸，雙端口RAM 分為兩個(gè)區(qū)，第一個(gè)區(qū)是內(nèi)網(wǎng)客戶端向外網(wǎng)服務(wù)器單向傳輸數(shù)據(jù)的通道。第二個(gè)區(qū)是外網(wǎng)客戶端向內(nèi)網(wǎng)服務(wù)器單向傳輸數(shù)據(jù)時(shí)的通道。在平時(shí)內(nèi)外網(wǎng)是斷開的，雙端口RAM處于斷開狀態(tài)。當(dāng)有數(shù)據(jù)要傳輸時(shí)，內(nèi)外網(wǎng)才通過(guò)雙端口RAM 進(jìn)行數(shù)據(jù)傳輸[3]。

　　3  網(wǎng)絡(luò)隔離器技術(shù)原理

　　目前網(wǎng)絡(luò)隔離器的實(shí)時(shí)開關(guān)實(shí)現(xiàn)方式主要有基于SCSI 的開關(guān)技術(shù)和基于總線的開關(guān)技術(shù)兩種。

　　基于總線的實(shí)時(shí)開關(guān)技術(shù)的網(wǎng)絡(luò)隔離器采用雙端口靜態(tài)存儲(chǔ)器（Dual Port SRAM）配合基于獨(dú)立的ARM的控制電路，雙端口各自通過(guò)開關(guān)與獨(dú)立的計(jì)算機(jī)主機(jī)連接,如圖1所示。ARM作為獨(dú)立的控制電路保證雙端口靜態(tài)存儲(chǔ)器的每一端口上存在一個(gè)開關(guān)，且兩個(gè)開關(guān)不能同時(shí)閉合即K1