关于现有双网隔离计算机安全隐患的分析及应对措施

　　【摘要】以隔离卡为代表的现有双网隔离计算机由于架构本身的缺陷，存在严重的安全和泄密隐患，继续应用在要求较高的重要机构，必然会对信息安全造成重大威胁。针对其安全隐患，文章提出了一种完全物理隔离，双主机独立工作的双网计算机架构，并建议了一些安全计算机必备的安全防护功能，如指纹识别加电（注）、适时人脸比对验证、内外网网口异型化设计、数据的单向传递、被盗后数据自毁等。通过这些方法有效地提高了计算机终端的安全等级。
　　【关键词】安全；计算机；内网；外网；物理隔离
　　1引言
　　随着计算机的普遍应用及双网办公的迫切需求，以切换器和隔离卡为代表的双网隔离计算机方案得到了一定程度的应用。但是由于架构本身的缺陷，现有安全隔离计算机产品存在严重的安全和泄密隐患，如果继续应用在党政军等重要机构，必然会对我国信息安全造成重大威胁。
　　在此，我们将近期的双网隔离计算机领域研究成果呈现出来。它对现有安全隔离计算机产品的历史和特点进行了简单的介绍，针对其安全隐患进行了初步的分析，并给出了一些应对措施的建议。希望能为新的双网隔离计算机检测标准献计献策，以便早日为国家信息安全提供更可靠的计算机产品。
　　2现有安全隔离计算机产品的安全隐患
　　为了实现内部网络和互联网的安全隔离和双网办公，人们在不同的技术领域分别采用了不同的方法。
　　在网络传输技术方面，以防火墙为核心的网络边界防御体系只能够满足网络信息交换的一般性安全需求，为此有关机构开发了隔离网闸为代表的安全隔离与信息交换技术，这类技术可以阻止通过普通网络协议进行的信息，但是对于针对网闸工作方式的特定攻击难以防范，因此，必须在在计算机终端方面进一步加强安全防范。
　　在计算机终端方面，有的机构使用两台独立的计算机分别进行内外网进行工作，也有的机构使用基于隔离卡技术的双网隔离计算机。这里着重分析计算机终端方面相关产品的缺陷。
　　2.1网络接口方式的缺陷
　　现有内外网机的网线插头和插座都采用普通的RJ45接口标准，因此内外网机的网线可能会被误插，会直接导致内网主机内的机密数据通过网线泄露到外网，或者外网的病毒或木马程序通过网线进入内网主机及网络。
　　2.2两台独立的内外网计算机的缺陷
　　有些机构采取了"简单物理隔离"的办法，即使用两台独立的电脑分别联接内外网进行工作。但这种方式既增加了物理空间和成本，又不方便使用。为此，人们又采用了双主机加键盘鼠标显示器切换器的方法，这种方案虽然在一定程度上方便了使用，但是仍然存在显著缺点。
　　1）使用了键盘/鼠标切换器（KVM），而市场上相当一部分切换器配备USB接口，可以识别并使用U盘。这样如果在插上U盘的情况下进行切换，即在物理隔离的两个主机系统间建立了共享存储器，破坏了隔离，可能直接导致内网主机内的机密数据通过共享的U盘泄露到外网，或者外网主机内的病毒或木马程序通过共享的U盘进入内网主机及网络。
　　2）内外网机采用标准USB接口，用于数据传递的U盘也可能会被误插，同样存在泄密的可能。
　　3）内外网主机缺乏统一的防护系统，不便对用户的操作进行纪录和回溯。
　　4）需要两套独立的主机和电源，增加了物理空间、能耗和成本。
　　2.3隔离卡的缺陷
　　为了解决这些问题，隔离卡技术应运而生，主要原理是在计算机上使用一套CPU主板等主要部件，配备两套硬盘等存储设备，分别分配给内网和外网使用。利用隔离卡上的电子开关或电源开关，实现内网和外网的切换和隔离。这样虽然实现了利用一套CPU和主板等主要部件来进行内外网的分时工作，但是存在如下显著缺陷。
　　1）隔离卡本身存在物理失效的可能，导致内外网信息隔离失败。
　　2）内外网共享外网等外部存储设备，导致内外网信息隔离失败。
　　3）内外网共享CPU和主板，它们内嵌存储部件，如CPU内的缓存，主板上的显存，主板上的闪存。前两者是易失性存储器，后者是非易失性存储器。对于非断电切换的第三代隔离卡，这三者都构成了内外网间的隐蔽信道。对于断电或重启切换的第三代隔离卡，非易失性存储器也构成了内外网间的隐蔽信道，不满足国家对物理隔离相关标准的要求，这在《GBT20279-2006，信息安全技术网络和终端设备隔高部件安全技术要求》中关于访问授权与拒绝的章节中有详细描述。
　　4）由于内外网使用同一CPU和主板，内网和外网的操作系统必须在同样的CPU架构下工作。
　　5）某一时刻只有内网或者外网在工作，而不能同时工作。
　　纵健羽等在第十八届全国信息保密学术会议（IS2008）上发表了《安全隔离计算机保密管理探讨》，详细分析了上述缺陷1）和2）的隐患，这里不再赘述。
　　缺陷3）由于较为隐蔽，一般用户不易察觉从而不加防备。专业的计算机工程师或黑客可以编写程序读取用户在内网工作中涉及的关键数据，写入CPU和主板上的存储器，当检测到用户切换到外网或互联网时，从存储器中读出并通过外网或互联网发送出去。由此可见，这个隐蔽的缺陷可能造成严重的信息泄密事件。此外，在某些高保密要求的应用场合，内网主机要求使用国产CPU和操作系统，缺陷4）导致基于隔离卡的计算机在这些场合不能使用。缺陷5）导致内外网主机不能同时执行操作，例如用户就不能在外网主机上进行资料下载的同时在内网主机上进行的科学计算，这样就大大降低了计算机的使用便利性。
　　3一机双网物理隔离计算机解决方案
　　为了解决现有双网计算机产品的诸多缺陷，实现彻底的物理隔离，我们建议采用一种具有高安全防护性能的一机双网物理隔离计算机方案，整体框图如图1所示。
　　内网机：主要用于连接办公网，选用基于X86或国产CPU（如龙芯）的计算机，可以配备具备自毁功能的涉密硬盘。外网机：主要用于连接互联网，选用基于X86架构的通用计算机。
　　安全防护系统：对一机双网物理隔离计算机提供多方位的保护和电源控制，包含内外网物理隔离、单向数据传递、机箱破拆检测、人脸适时比对、指纹认证、涉密硬盘自毁、卫星定位及远程管理等功能模块。
　　4一机双网物理隔离计算机应具备的安全功能