物理隔離技術(shù)在信息安全上的應(yīng)用及實(shí)現(xiàn)

張立志

摘 要 Internet的普及極大地推動了信息化的發(fā)展，但由此帶來的安全問題也十分突出。在網(wǎng)絡(luò)信息安全的重要性日益凸現(xiàn)的現(xiàn)實(shí)環(huán)境下，如何做好網(wǎng)絡(luò)信息安全工作已成為一個重要的研究課題。物理隔離技術(shù)在此背景下應(yīng)運(yùn)而生。物理隔離目前常見的實(shí)現(xiàn)方式以隔離卡和隔離集線器為主，實(shí)現(xiàn)多個網(wǎng)絡(luò)的真正物理隔離。物理隔離作為一種更徹底、更安全的網(wǎng)絡(luò)安全技術(shù)，在保密性要求較高的網(wǎng)絡(luò)中得到了較廣泛的應(yīng)用。

關(guān)鍵詞 網(wǎng)絡(luò)安全 物理隔離 信息安全

中圖分類號：TP393 文獻(xiàn)標(biāo)識碼：A

在當(dāng)今，網(wǎng)絡(luò)應(yīng)用蓬勃發(fā)展，Internet逐漸融入到社會的各個方面，網(wǎng)絡(luò)用戶成分越來越復(fù)雜，由此帶來的安全問題也十分突出，而物理隔斷技術(shù)的發(fā)展為徹底斬?cái)嗑W(wǎng)上黑手提供可能。

1物理隔離的提出

互聯(lián)網(wǎng)的方便快捷使我們的工作效率得到了極大地提高，但與此同時(shí)，我們也正受到日益嚴(yán)重的來自網(wǎng)絡(luò)的安全威脅，諸如數(shù)據(jù)竊賊、黑客侵襲、病毒騷擾，甚至系統(tǒng)內(nèi)部的泄密者。互聯(lián)網(wǎng)的安全性能對我們在進(jìn)行網(wǎng)絡(luò)互聯(lián)時(shí)如何保護(hù)國家、公司秘密提出了挑戰(zhàn)。盡管我們廣泛地使用各種復(fù)雜的軟件技術(shù)，如防火墻、代理服務(wù)器、侵襲探測器、通道控制機(jī)制等等，但是由于這些技術(shù)都是基于軟件的保護(hù)，是一種邏輯機(jī)制，這對于邏輯實(shí)體（即黑客和內(nèi)部用戶）而言是可能被操縱的。由于這些技術(shù)復(fù)雜性與有限性，無法提供高度數(shù)據(jù)安全要求，所以提出了物理隔離技術(shù)，它主要是基于這樣的思想：如果不存在與網(wǎng)絡(luò)的物理連接，網(wǎng)絡(luò)安全威脅便受到了真正的限制。

2物理隔離在安全上的三點(diǎn)要求

（1）在物理傳導(dǎo)上使內(nèi)外網(wǎng)絡(luò)隔斷，確保外部網(wǎng)不能通過網(wǎng)絡(luò)連接而侵入內(nèi)部；同時(shí)防止內(nèi)部網(wǎng)信息通過網(wǎng)絡(luò)連接泄漏到外部網(wǎng)。

（2）在物理輻射上隔斷內(nèi)部網(wǎng)與外部網(wǎng)，確保內(nèi)部網(wǎng)信息不會通過電磁輻射或耦合方式泄漏到外部網(wǎng)。

（3）在物理存儲上隔斷兩個網(wǎng)絡(luò)環(huán)境，對于斷電后會遺失信息的部件，如內(nèi)存、處理器等暫存部分，要在網(wǎng)絡(luò)轉(zhuǎn)換時(shí)作清除處理，防止殘留信息出網(wǎng)；對于斷電非遺失性設(shè)備如磁帶機(jī)、硬盤等存儲設(shè)備，內(nèi)部網(wǎng)與外部網(wǎng)信息要分開存儲。

3物理隔離的實(shí)現(xiàn)

3.1單主板安全隔離計(jì)算機(jī)

這種方案適合小型的單網(wǎng)結(jié)構(gòu)的局域網(wǎng)，其核心技術(shù)是雙硬盤技術(shù)，將內(nèi)外網(wǎng)絡(luò)轉(zhuǎn)換功能做入BIOS中，并將插槽也分為內(nèi)網(wǎng)和外網(wǎng)，使用更方便，也更安全。單主板安全隔離計(jì)算機(jī)，它是采用徹底實(shí)現(xiàn)內(nèi)外網(wǎng)物理隔離的個人計(jì)算機(jī)，并且由于這種安全電腦是在較低層的BIOS上開發(fā)的，處理器、主板、外設(shè)的升級不會給電腦帶來什么“不兼容”的影響。它很好地解決了接入網(wǎng)絡(luò)后局域網(wǎng)信息安全、系統(tǒng)安全、操作安全和環(huán)境安全等問題，徹底實(shí)現(xiàn)了網(wǎng)絡(luò)物理隔離。安全計(jì)算機(jī)在傳統(tǒng)Pc主板結(jié)構(gòu)上形成兩個物理隔離的網(wǎng)絡(luò)終端接入環(huán)境，分別對應(yīng)于Internet和內(nèi)部局域網(wǎng)，保證局域網(wǎng)信息不會被互聯(lián)網(wǎng)上的黑客和病毒破壞。主板BIOS控制由網(wǎng)卡和硬盤成的網(wǎng)絡(luò)接入和信息存儲環(huán)境各自獨(dú)立，并只能在相應(yīng)的網(wǎng)絡(luò)環(huán)境下工作，不可能在一種網(wǎng)絡(luò)環(huán)境下使用另一環(huán)境才使用的設(shè)備。BIOS還提供所有涉及信息發(fā)送和輸出設(shè)備的控制，包括：對軟驅(qū)、光驅(qū)提供限制功能等。

3.2雙網(wǎng)解決方案

這種方案適合中大型機(jī)構(gòu)的局域網(wǎng)布局。在這里網(wǎng)絡(luò)分為內(nèi)部網(wǎng)和外部公共網(wǎng)，其中公共網(wǎng)通過集中出口連接Internet（視需要也要安裝防火墻、入侵檢測及防病毒等措施），部分計(jì)算機(jī)需要能夠接入兩個網(wǎng)絡(luò)，但同時(shí)又要保證內(nèi)外網(wǎng)的完全物理隔離。

實(shí)現(xiàn)如下圖所示：

3.3隔離卡技術(shù)

網(wǎng)絡(luò)安全隔離卡，其功能是以物理方式將一臺Pc虛擬為兩部電腦，實(shí)現(xiàn)工作站的雙重狀態(tài)，既可在安全狀態(tài)，又可在公共狀態(tài)，兩種狀態(tài)是完全隔離的，從而使一部工作站可在完全安全狀態(tài)下連接內(nèi)外網(wǎng)。啟動外網(wǎng)時(shí)關(guān)閉內(nèi)網(wǎng)硬盤，啟動內(nèi)網(wǎng)時(shí)關(guān)閉外網(wǎng)硬盤，使兩個網(wǎng)絡(luò)和硬盤物理隔離，也不僅用于兩個網(wǎng)絡(luò)物理隔離的情況，也可用于個人資料要保密又要上互聯(lián)網(wǎng)的個人計(jì)算機(jī)情況。網(wǎng)絡(luò)安全隔離卡是被設(shè)置在Pc中最低的物理層上，通過卡上一邊的IDE總線連接主板，另一邊連接IDE硬盤，內(nèi)、外網(wǎng)的連接均須通過網(wǎng)絡(luò)安全隔離卡，PC機(jī)硬盤被物理分隔成為兩個區(qū)域，在IDE總線物理層上，在任何時(shí)候，數(shù)據(jù)只能通往一個分區(qū)。在安全狀態(tài)時(shí)，主機(jī)只能使用硬盤的安全區(qū)與內(nèi)部網(wǎng)連接，而此時(shí)外部網(wǎng)的連接是斷開的，且硬盤的公共區(qū)的通道是封閉的。在公共狀態(tài)時(shí)，主機(jī)只能使用硬盤的公共區(qū)與外部網(wǎng)連接，此時(shí)與內(nèi)部網(wǎng)是斷開的，且硬盤安全區(qū)也是被封閉的。當(dāng)兩種狀態(tài)轉(zhuǎn)換時(shí)，是通過鼠標(biāo)點(diǎn)擊操作系統(tǒng)上的切換鍵，即進(jìn)入一個熱啟動過程。切換時(shí)，系統(tǒng)通過硬件重啟信號重新啟動，這樣Pc內(nèi)存的所有數(shù)據(jù)就被消除，兩個狀態(tài)分別是有獨(dú)立的操作系統(tǒng)，并獨(dú)立引導(dǎo)，兩種硬盤分區(qū)不會同時(shí)激活。為了保證安全，兩個分區(qū)不能直接交換數(shù)據(jù)，用戶可以通過一個獨(dú)特的設(shè)計(jì)，來安全方便地實(shí)現(xiàn)數(shù)據(jù)交換。即在兩個分區(qū)以外，網(wǎng)絡(luò)安全隔離在硬盤上另外設(shè)置了一個功能區(qū)，該功能區(qū)在Pc處于不同的狀態(tài)下轉(zhuǎn)換，即在兩種狀態(tài)下功能區(qū)均表現(xiàn)為硬盤的D盤，各個分區(qū)可以通過功能區(qū)作為一個過渡區(qū)來交換數(shù)據(jù)。當(dāng)然根據(jù)用戶需要，也可創(chuàng)建單向的安全通道，即數(shù)據(jù)只能從公共區(qū)向安全區(qū)轉(zhuǎn)移，但不能逆向轉(zhuǎn)移，從而保證安全區(qū)的數(shù)據(jù)安全。

4物理安全隔離技術(shù)的不足

在目前，網(wǎng)絡(luò)安全對于整個網(wǎng)絡(luò)的發(fā)展來說應(yīng)該還是個大難題，雖然保證安全的方法很多，防火墻、防病毒產(chǎn)品等等，但是就目前的技術(shù)來講，還沒有哪一種或者哪一些技術(shù)能夠很好地解決，所以通過物理隔離來實(shí)現(xiàn)物理安全應(yīng)該說還是一個行之有效的方法，但是這種方法也不是最好的，很大程序上來說它只是技術(shù)發(fā)展過程中的一個權(quán)宜之策，因?yàn)檫@種方法在給人們帶來安全的同時(shí)，也帶來的很多的不便，比如簡單的隔離帶來的內(nèi)網(wǎng)訪問外部網(wǎng)的權(quán)限問題等。

5結(jié)束語

網(wǎng)絡(luò)安全是未來的網(wǎng)絡(luò)信息建設(shè)的重要基礎(chǔ)。一般來說，安全性越高，其實(shí)現(xiàn)就越復(fù)雜，費(fèi)用也相應(yīng)的越高，所以需要對網(wǎng)絡(luò)中需保護(hù)的信息和數(shù)據(jù)進(jìn)行詳細(xì)的經(jīng)濟(jì)性評估，決定投資強(qiáng)度。企業(yè)的網(wǎng)絡(luò)安全工作可以根據(jù)本企業(yè)的主營方向來決定建設(shè)自己的網(wǎng)絡(luò)安全服務(wù)隊(duì)伍還是購買市場上的服務(wù)。網(wǎng)絡(luò)安全的技術(shù)研究在國內(nèi)起步較晚，雖然目前許多網(wǎng)絡(luò)專家開始注意并研究相關(guān)的技術(shù)，但是總體來說網(wǎng)絡(luò)安全技術(shù)的專門人才還比較缺乏。因此多數(shù)網(wǎng)絡(luò)的建設(shè)者和運(yùn)行者并不擁有相應(yīng)的技術(shù)力量。我們認(rèn)為制定適當(dāng)完備的網(wǎng)絡(luò)安全策略是實(shí)現(xiàn)網(wǎng)絡(luò)安全的前提，高水平的網(wǎng)絡(luò)安全技術(shù)隊(duì)伍是保證，嚴(yán)格的管理與落實(shí)是關(guān)鍵。

參考文獻(xiàn)[1] 禹曉慶.網(wǎng)絡(luò)物理隔離安全防御技術(shù).中國電子出，2000，（6）：59.

[2] 林中. 網(wǎng)絡(luò)安全隔離技術(shù)淺析.福建建設(shè)科技，2002，（3）：33-34.

[3] 張震.網(wǎng)絡(luò)隔離的技術(shù)分析與安全模型的應(yīng)用.微型機(jī)與應(yīng)用，2002，（11）：33-34.

[4] 譚浩強(qiáng).C 程序設(shè)計(jì).北京：清華大學(xué)出版社，1995.157-267.

[5] 許海燕， 付炎.嵌入式系統(tǒng)技術(shù)與應(yīng)用.北京： 機(jī)械工業(yè)出版社， 2002.64-99.