【摘 要】基于ARM9平台，设计并实现了一种移动互联网环境下的应急多网接入信息安全网关系统。该系统基于TPM和TMP规划移动互联网络安全体系结构，可以确保移动互联网络与专用通信网互通的可信应用，解决了基于3G/4G移动通信和云计算技术的应急行业信息平台的安全性问题。为应急通信专网用户提供了可靠安全的应用保障平台。
【关键词】应急通信 TPM安全平台 多网融合 TPM安全芯片
1 引言
应急通信系统主要是应对各种重大的突发事件，因此应急通信系统的安全性往往关乎广大人民群众的生命和财产安危。结合可信技术，研发具有自主知识产权的多网融合安全网关系统，对于保障国家安全和人民生命财产安全都具有非常积极的理论和现实意义。
本项目来源于2013年度财政部信息安全专项项目《自主可控的宽带应急通信与指挥关键技术研究、系统研制和示范应用》中的子项目《基于应急通信系统的多网融合信息安全网关》。
2 系统概述
基于应急通信系统的多网融合信息安全网关是一种移动互联网环境下的应急多网接入信息安全网关系统。该系统基于TPM和TMP规划移动互联网络安全体系结构，支持可信移动IP平台以及可信移动IP平台下的安全路由、安全组播技术。该系统的整体网络拓扑结构如图1所示：
图1 系统总体拓扑图
该系统可以确保移动互联网络与专用通信网互通的可信应用，解决基于3G/4G移动通信和云计算技术的应急行业信息平台的安全性问题。为应急通信专网用户提供可靠安全的应用保障平台。其主要功能是实现多网信息融合，同时实现基于可信的安全IP平台的安全互联互通。其组件和接口如图2所示：
图2 多网融合安全信息网关组件和接口
3 系统软硬件设计
3.1 系统硬件设计
基于应急通信系统的多网融合信息安全网关的前端设备的核心处理器采用ARM9系列的三星S3C2440芯片。另外，其主要电路还包括TPM安全芯片控制系统、LPC接口转换系统、无线模块、存储系统、时钟系统、串行通信接口（多扩展便于其他串口设备接入）、以太网、USB接口和其他电路系统[1]。
TPM安全芯片的数据、命令控制都是通过LPC总线完成的，所以需要设计LPC接口模块来完成安全芯片和中央处理器的通信。另外，根据产品密级要求的不同，选择不同的国内自主产权的安全平台。安全网关的通信模块也是采用我国自主研发的芯片。上述通信模块在开发过程中使用了配套的开发工具，实现安全数据传输、Internet网络与网关系统通信。
该系统前端设备的内部各模块结构示意图如图3所示：
图3 系统前端设备的内部结构示意图
3.2 系统软件设计
应急通信系统多网融合信息安全网关系统作为一个完整的系统，它的软件系统包含了两大部分：第一，网关终端设备中的各类嵌入式软件；第二，网关可信管理服务器上运行的系统综合管理平台。
（1）网关终端嵌入式软件设计
网关终端以Linux2.6.32作为开发平台，进行操作系统、文件系统的裁剪和移植，并且进行相关驱动和上层应用的设计。系统在裁剪移植过程中，包含Bootloader引导加载程序、Linux系统移植、工具链移植、内核移植、应用程序移植。相关驱动包含芯片接口驱动程序、TD-LTE/WCDMA驱动程序、10/100Base-T接口驱动。上层应用重点在于安全芯片与核心处理器的数据通信可靠性及其吞吐能力，吞吐量对于网关系统的整体安全有着至关重要的影响。在上层应用上安全路由选择、安全组播、多网络信息互传都是其关键技术。
本系统安全芯片需提供密钥安全生成、身份存储、密钥存储机制。若有用户需要使用，安全芯片首先需要接收到内密钥的授权信息，收到消息后芯片分2步进行操作。首先，利用保存在芯片内部的内密钥加密；其次，利用保存在芯片内部的平台完整性度量值对数据进行加密。经过这2步操作得到封闭的数据块，然后将此封闭数据块通过通信协议发送到主处理器。而在使用时需要对封闭的数据块进行解密，安全芯片首先应该得到发进来的封闭数据块和存储密钥的授权信息。安全芯片得到这2个信息后，先用内密钥对密封的数据块解密，然后比对平台完整性度量值的正确性。正确则解密成功，平台完整性度量值有偏差则解密失败。经过这样的内外双重保证，又具有内密钥不出安全芯片的机制确保平台安全，该平台上的数据只能在合法授权的基础上才能查看或者接入，而非法接入者根本无法进入系统。表1给出了安全芯片与主处理器数据交换的过程。
表1 安全芯片与主处理器数据通信过程
Fun1（）//主函数
{
send（用户信息）；
Recv（该用户封闭数据块）；
Return Recv（）；
}
Fun3（）//用户加密模块
{
send（Fun1（））；
if（得到授权）
进入系统；
else
fail；
} Fun2（）//安全芯片接口
{
接收用户信息；
生成授权信息；
if（授权信息）
{
内密钥加密算法；
平台完整性值估算算法；
生成封闭数据块；
}
}
Fun4（）//解密模块
{
if（解密成功）；
授权；
else
fail；
}
（2）网关可信管理服务器上运行的系统综合安全管理平台设计 网关综合安全管理平台是一个集数据收集、数据处理、数据分析、安全接入的综合管理系统。本系统功能包含资产管理、拓扑管理、事件管理、机房管理、安全态势、安全策略、系统管理、统一管理、报表管理、采集管理等。
网关综合安全管理平台需要采集代理服务器单独部署、单独管理，从而实现系统的多级分布式部署，同时在综合安全管理平台提供采集管理页面登陆入口。本平台支持多协议、可扩展的采集功能。
网关综合安全管理平台通过多种技术、手段收集和整合各类数据，通过实时并联分析能够快速做出各类职能响应，对接入环境进行全方位监控。
1）逻辑结构
系统综合安全管理平台逻辑结构图如图4所示：
图4 系统综合安全管理平台逻辑结构图
2）功能分类
网关综合安全管理平台按功能分为2类：中心子系统和采集子系统。
中心子系统又分为平台登录、资产管理、拓扑管理、事件管理、机房管理、安全策略管理、系统管理、统一管理、报表管理。
采集子系统分为平台登录、运行状况、原始数据、任务管理、系统设置。
值得一提的是在中心子系统和采集子系统中多包含平台登录功能，但是侧重点不同。中心子系统的平台登录实现注销当前登录、编辑个人信息、设置系统时间的功能。采集子系统的平台登录中设置了3种角色来登录系统，分别为系统管理员、安全审计员、用户管理员，不同角色分别有不同的权限。在采集子系统的平台登录中还需实现注销系统功能，可以对现有系统实现注销。
4 结束语
基于应急通信系统的多网融合信息安全网关系统实现了具有可信安全平台、支撑多种网络互连互通的网关。将多种网络和平台安全相结合，拓展了网关的应用范围，接入该网络的数据在可信通路上传输，网络的安全性得到了根本性保证。通过这些方式保证在应急通信的应用中网络的安全通畅。与其他系统相比较，本系统综合优势明显，其开发周期快、传输速率高并且开发成本相对低廉。作为纽带以及安全的边界，本系统成功筑起了一个融合多种网络的安全信息世界。
参考文献：
[3] 何德辉，赵丽敏，林耀荣. 嵌入式安全芯片AT98SC008CT的应用[J]. 金卡工程， 2006（9）： 32-34.
[5] 韩军. 信息安全芯片的防御攻击技术研究[D]. 上海： 复旦大学， 2006.★
