网闸——安全隔离网闸：从第一代走向第二代

安全隔离网闸：从第一代走向第二代

北京盖特佳信息安全技术有限公司技术总监 王献冰

　　安全隔离与信息交换系统，即网闸，是新一代高安全度的企业级信息安全防护设备，它依托安全隔离技术为信息网络提供了更高层次的安全防护能力，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。

　　网闸技术最早起源于以色列，通常在物理隔离的情况下要在外网和内网之间进行数据交换的话，一般是通过磁盘或其他存储设备进行人工的数据交换，而通过自动方式来模拟这种数据交换过程，其实就是网闸的雏形。现今，网闸实际的安全交换过程是先提取出网络包中的应用数据，经安全审查后再完成数据交换，相对于人工的交换而言，整个过程是由软件自动完成的，并且增加了安全审查的过程，从而大大提高了交换效率。但是，由于整个交换过程是持续不断进行的，其实质是在网间形成了一个稳定的数据流，也就意味着在网间存在有逻辑上的连接，尽管网闸有了安全审查的过程，但是仍然不能彻底保证交换数据的安全性，因此，网闸无法满足物理隔离的要求，属于非物理隔离设备。

　　第一代网闸的技术原理是利用单刀双掷开关使得内外网的处理单元分时存取共享存储设备来完成数据交换的，实现了在空气缝隙隔离(Air Gap)情况下的数据交换，安全原理是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全的效果。

　　通过分析可以知道，网闸由于采用了应用层数据提取技术，剥离了网络特性，从而彻底解决了基于网络协议的攻击。但是，由于基于GAP技术的网闸使得内外网共用了存储设备，因此不能够满足物理隔离的要求，而因为受到电子开关切换速度的限制，导致了整体处理性能的低下，带来的后果是较低的吞吐量、较低的并发连接数和较大的交换延迟，也就容易成为网络的瓶颈，再有，存储设备因受到持续快速的通电与断电的影响，导致寿命大大缩短，往往会因失效或损坏而使数据交换过程中断。

　　从另一个角度来看，两个网络之间存在GAP空气缝隙也并不意味着就能够保证安全，比如两个通过无线网卡互联的网络，尽管在物理上是没有连线的，但他们之间和用直接连线是没有什么区别的。因此，判定网间是否存在连接的标准不能单从物理连接上来看，而应该是从逻辑上分析，即不同网络之间在一定时间内无论通过任何设备或任何形式只要能够自动持续地完成数据交换，就属于存在有逻辑上的连接，显然也就不能满足物理隔离要求，因为交换数据的安全性到目前为止没有一种技术能够从根本上得以完全保证，也就是意味着这种数据交换过程存在有安全风险的。

　　第二代网闸正是在吸取了第一代网闸优点的基础上，创造性地利用全新理念的专用交换通道PET（Private Exchange Tunnel）技术，在不降低安全性的前提下能够完成内外网之间高速的数据交换，有效地克服了第一代网闸的弊端，第二代网闸的安全数据交换过程是通过专用硬件通信卡、私有通信协议和加密签名机制来实现的，虽然仍是通过应用层数据提取与安全审查达到杜绝基于协议层的攻击和增强应用层安全效果的，但却提供了比第一代网闸更多的网络应用支持，并且由于其采用的是专用高速硬件通信卡，使得处理能力大大提高，达到第一代网闸的几十倍之多，而私有通信协议和加密签名机制保证了内外处理单元之间数据交换的机密性、完整性和可信性，从而在保证安全性的同时，提供更好的处理性能，能够适应复杂网络对隔离应用的需求。


　　实现安全的信息交换


　　目前国内市场上的网络隔离设备大多是基于主机的，基于主机的网络隔离产品符合国家对内、外网物理隔离的要求，其不同网络之间的信息交换将完全依赖手工操作的方式，以磁盘等为中间介质进行。这种信息交换方式实时性差、效率很低，往往会造成信息传递的阻塞。同时，这种方式对所传递的数据的合法性、安全性没有可靠的技术措施保障，人为因素造成失误的可能性极大，仍然存在网络安全隐患。

　　采用协议转换方式的隔离网闸产品，没有从理论上解释其安全性，以及如何实现物理隔离和网络断开，并且这些产品在实际的使用中也出现了一些安全问题。

　　由中网公司研制开发的安全隔离和信息交换系统（X-Gap），能够较好地解决隔离断开和数据交换的难题。X-Gap 中断了两个网络之间的链路连接、通讯连接、网络连接和应用连接，在保证两个网络完全断开和协议中止的情况下，以非网络方式实现了数据交换。没有任何包、命令和TCP/IP协议（包括UDP和ICMP）可以穿透X-Gap, 它具有高安全、高带宽、高速度、高可用性的优点。此外，由于采用了SCSI技术，背板速率高达5G，开关效率达到纳秒级，彻底解决了速度慢、效率低的问题。除此之外，SCSI控制系统本身具有不可编程的特性和冲突机制，形成简单的开关原理，从而彻底解决了网闸开关的安全性问题。

　　隔离系统被认为是安全性最高的安全设备。它是在保证安全的情况下，尽可能支持信息交换，如果不安全就断开隔离。隔离技术被广泛地应用于专网和公网之间、内网和外网之间，在用户要求进行物理隔离，同时又需要实时地交换数据，解决物理隔离和信息交流的问题时，采用中网X-GAP系列产品则可以实现两网之间必要的“摆渡”，又保证不会有相互入侵的安全问题。（中网通讯网络有限公司总裁 万平国）


　　相关链接


　　安全隔离网闸的应用领域

　　安全网闸适用于政府、军队、公安、银行、工商、航空、电力和电子商务等有高安全级别需求的网络，在电子政务中的典型应用是安装在政务外网和Internet之间或者是在政务内网划分不同的安全域，或者是安装在政务内网和其他不与Internet相连的网络之间。当然网闸也可用来隔离保护主机服务器或专门隔离保护数据库服务器。

　　内外网的安全隔离

　　20世纪90年代以来，各地公安机关结合自己的实际相继建设了旅店住宿管理登记系统，在打击犯罪中发挥了一定的作用。进入90年代末期和新千年，新技术不断涌现，原有系统在多个方面已不能适应新形势的要求，包括技术路线、网络形式、网络安全、信息共享等。特别是如何使流动人口这种社会信息安全进入公安内部网络，实现实时共享，是迫切需要解决的问题。

　　为适应当前社会治安形势，根据国家公安部制定的“金盾工程”（即公安信息化工程）规划，对流动人口要进行全面网络化管理，作为治安综合管理系统的重要组成部分，并要充分利用先进的信息网络技术，重点解决网络安全和实时信息共享问题。北京市作为首都，流动人口数量和网络规模都非常巨大，一般流动人口系统难以满足要求。

　　流动人口系统是为公安机关服务的，网络和系统的安全性是首要考虑的问题。公安部门的信息网络是专用网络，安全性要求高，根据国家有关规定，应与其他网络进行隔离。由于该系统的前端用户是旅店，不可能让其访问公安网络，但信息必须实时进入公安网络。因此，在这样一个社会用户与公安网络之间进行信息交换的大型系统中，如何在保证网络高安全性的前提下进行实时的信息交换是系统设计上需要考虑的核心问题之一，必须使用全新的安全物理隔离技术。

　　安全隔离系统2002年初正式上线运行，在近两年的应用实践中，几次大规模的黑客攻击和蠕虫流行，都没有对安全隔离网闸所保护的内网造成任何安全威胁。（北京市公安局信息通讯处工程师 杨小龙）