[发明专利]一种双网口硬件网络数据加密系统

权利要求书

1.一种双网口硬件网络数据加密系统，其特征在于，包括加密子系统、密钥交换子系统和认证子系统，所述加密子系统用于实现数据加密点对点传输；所述密钥交换子系统用于根据硬件识别码自动交换加密子系统所需的私钥；所述认证子系统用于识别网络IP报文是否被篡改；

加密子系统、密钥交换子系统、认证子系统设置在一个硬件加密装置中，核心采用FPGA芯片，每个加密装置都具有双网口结构，其中一个加密装置的一端连接工业设备另一端接入工控网络，另一个加密装置的一端连接工控网络另一端接入入侵检测设备，这两个加密装置构成了网络硬件专线的两个节点，一个节点连接工业设备另一个节点连接入侵检测系统；

FPGA芯片外面扩展网络接口和配置接口，配置接口能够将配置信息写入控制寄存器，配置信息能够实现对子系统工作模式、工作状态、MAC控制器工作模式和非对称密钥初始化的操作；

加密子系统所需的加密算法和认证子系统所需的数字签名算法组合在一起通过硬件算法逻辑烧写到FPGA芯片中；

基于FPGA实现的加密子系统，外面扩展网络接口和USB接口；加密子系统包括主状态机、MAC控制器、加密模块、命令解析模块、控制寄存器模块；USB接口不但能接收网络数据，同时还能将配置信息写入控制寄存器，配置信息能够实现对加密子系统的工作模式、工作状态、MAC控制器工作模式和非对称密钥初始化的操作；

USB接口写入FPGA的数据自定义成为一定的帧格式，通过命令解析模块判断出是网络IP报文还是配置信息数据；如果是IP报文数据就将其转发至加密模块，由该模块解析出IP报文数据并且对其进行加密，然后密文数据被写入MAC控制器的发送缓冲区，并通过RJ45网络接口传送到网络上；

基于FPGA实现的认证子系统，外面扩展网络接口和配置接口；认证子系统包括主状态机、MAC控制器、协议解析模块、认证摘要缓存、公钥解密模块、寄存器、数据闸、私钥解密模块；配置接口能够将配置信息写入控制寄存器，配置信息能够实现对认证子系统工作模式、工作状态、MAC控制器工作模式和非对称密钥初始化的操作；

网络接口接收到IP报文数据以后，IP报文先被传入协议解析模块，该模块解析出IP报文数据中的摘要信息并且存入认证摘要缓存；公钥解密模块将通过自身寄存器中存储的公钥对摘要信息进行解密，根据解密信息判断IP报文的完整性以后控制数据闸将IP报文送至私钥解密模块解密；解密后的明文数据会写入MAC控制器的发送缓冲区随后数据通过RJ45网口传送到可信网络上。