计算机网络的开放性产生了许多安全问题，网络攻击、信息泄漏、网上犯罪层出不穷，而采用以防火墙、网闸为核心的网络边界防御体系只能满足信息化建设的一般性安全需求，却难以解决涉密信息系统等重要网络的保护问题。对于涉密网络的保护，我国历来采用物理断开的方法，国家保密局在《计算机信息系统国际联网保密管理规定》中将涉密信息系统的安全防御要求定格为与任何非涉密信息系统必须“物理断开”。按照国家保密局的要求，如果涉密网需要与国际互联网交换数据，只能采用手工拷贝的方式，除此之外，没有其他可行的办法。

　　但许多政府部门所需的基础数据往往来自互联网。同时为了满足向服务型政府转型的要求，各级政府部门也必须加强对外服务的力度，需要为社会公众提供信息查询、在线审批、请求服务等新型应用。形势要求在保证安全的前提下，积极探索解决涉密网与互联网数据传输问题的方案。

　　为了解决上述问题，需要建设跨网络、跨安全域的数据集成交换平台，将安全保障与数据交换功能有机整合在一起，保障用户在安全的前提下，解决涉密网络与非涉密网络之间的互联问题。

　　需求分析

　　1、从互联网采集信息或发布信息至互联网的用户

　　有很多用户需要从互联网上采集信息或将本单位内部的信息发布在互联网上供其他单位或社会公众获知。为了保护自身网络和应用系统的安全，保证不发生信息泄露安全事件，因此需要采用单向数据传输设备。

　　2、非涉密网向涉密网单向传输的用户

　　根据国家保密局的规定，非涉密网与涉密网进行数据交换时，绝对禁止高等级网络的涉密数据流向低等级网络。因此，非涉密网与涉密网数据交换只能采用单向传输方式。

　　3、保障传输数据的机密性、完整性、不可抵赖性

　　在实现单向数据传输的基础上，还需要符合机密性、完整性、可用性、可审查等安全要求，安全数据交换平台通过加密、签名、过滤、审计等安全功能更好地保证用户数据传输的安全：

　　1)机密性要求，采用加密算法对传输的数据进行加解密。

　　2)完整性要求，采用数字签名保证所传输数据不被篡改和破坏。

　　3)可用性要求，通过格式检查、内容过滤机制，保证所传输数据可用。

　　4)可审查性要求，通过审计能够满足交换行为的可审查。

　　总体框架设计

　　安全数据交换平台整体框架如图1所示。

　　图1 安全数据交换平台整体框架

　　安全数据交换平台是采用分光镜像技术实现的用于单向数据传输的隔离设备，主要用来解决政府部门网络与外部公共网络之间存在的单向数据传输需求。它采用分光镜像的原理，通过分光器将源主机上的数据镜像到目标主机上，最终实现数据的单向传输。

　　安全数据交换平台的安全设备主要由单向网闸和数字签名服务器两部分组成：单向光闸是一种基于分光技术的数据还原装置，它由两台计算机、一个分光器等部分组成，采用分光镜像的原理，通过分光器将源主机上的数据镜像到目标主机上，最终实现数据的单向传输。单向光闸有别于传统单向网闸，它在逻辑上由3台主机构成，即处于外网端的源主机上存在两个不同的光卡逻辑上分离成发送主机和接收主机，光信号由发送主机发送至分光器，而接收主机通过分光器接收一路光信号并还原成数据。

　　数字签名服务器为单向光闸系统提供数字签名、数据加密功能等安全支撑服务，保证数据传输过程中机密性、完整性及不可抵赖性。

　　详细设计

　　1、单向光闸系统

　　单向光闸是一种基于分光技术的数据还原装置，它由两台计算机、一个分光器等部分组成，采用分光镜像的原理，通过分光器将源主机上的数据镜像到目标主机上，最终实现数据的单向传输。

　　如图2所示，单向光闸由源主机、目标主机和分光器构成。分光器是组建光通道网络的一个组件，是一个连接光缆终端设备(OLT)和光接收节点(ONU)的无源设备，它的功能是分发下行数据。分光器带有一个上行光接口和若干个下行光接口，从上行光接口过来的光信号被分配到所有的下行光接口传输出去。

　　图2 分光数据还原系统原理

　　单向光闸的源主机安装在外部网络中，目标主机安装在内部网络中。源主机上有两个光通道网卡，目标主机上有一个光通道网卡;分光器的输入端和源主机的一个光卡(称为发送光卡)的输出端用一条单向光纤连接，使光信号可以从发送网卡的发送端发射到分光器的输入端。

　　源主机的另一个网卡(称为接收光卡)的输入端和分光器的一个分光输出端连接，接收光卡的输出端与发送光卡的输入端相连接。分光器的另一个输出和目标主机上的光通道网卡(称为目标光卡)的输入端一一相连。

　　源主机上运行两个进程：发送进程和接收进程。发送进程通过发送光卡发送数据包，这些数据包被发送光卡转换成光信号，从发送光卡的输出端发出。而这一光信号被分光器分成2束与接收到的光信号相同的光信号，其中一束光信号被源主机的接收光卡接收;另外一束光信号被目标主机的目标光卡接收。

　　发送进程将组装好的数据块通过发送光卡的输出端发送，并检查来自接收进程的重发请求。如果没有重发请求，则按照上述方法继续发送下一个数据块;如果收到重发请求，则重发这一块数据块，发送完重发的数据块后再继续发送待发送的其他数据块。在目标主机上安装有光通道网卡，其接受端与分光器的输出端连接，从而可以收到来自分光器的光信号。这些光信号来自分光器输入的光信号的分光，所以其内容与源主机上发送光卡的输出端发送的内容是一致的。目标主机上的目标接收进程将光通道网卡上接收到的光信号还原为数据块，并组装成与源端一致的数据库记录或数据文件。

　　主要功能

　　单向光闸主要实现数据的单向导人或导出，根据导入导出的数据不同，主要有3种应用功能：静态文件的单向导人、数据库的单向导人、数据恢复。

　　(1)文件单向导入导出

　　静态文件通常是指在物理存储介质(如硬盘、光盘、优盘、软盘等)中创建及使用的文件。这些文件通过FTP、Windows映射等方式可以作为单向光闸导入导出的文件。静态文件单向导入的典型部署场景如图3所示。

　　图3 静态文件单向导入的典型部署

　　通过单向光闸能实现以下文件单向传输：基于FTP服务的静态文件单向导人导出;基于Windows映射的单向导人导出;文本型数据库文件(如mdb、dbf文件)的单向导入导出。