1 概述
1.1 背景
在互联网时代的发展下，现如今已经快速跨入了物联网时代。而物联网就是“物物相连的互联网”。物联网的核心和基础仍然是互联网，是通过互联网进行延伸和扩展后的网络，因此，网络安全防护的形势依然严峻异常。任何能够连接互联网的设备都潜藏着安全漏洞，而且随着物联网的设备增加，会造就大量的僵尸网络存在，以此为黑客攻击提供了便捷有利的条件。
运用和推广物联网技术，一方面能够将社会运行效率和经济运行效率显著提高，另一方面也会对公民隐私保护和信息安全提出严峻的挑战。所以，加强物联网网络安全防护势在必行，应该做到未雨绸缪、趋利避害，力争让物联网真正成为一个可信任、安全、开放的网络。
1.2 技术思路
- 在物联网感知设备端，提供物联网安全模块，将其串接在网络中，对物联网感知设备的数据进行加密，从源头保障数据安全；
- 在物联网管理平台的出入口出，配置物联网安全网关，提供物联网通信数据的加解密功能，并能够对物联网管理平台的网络进行安全防护；
- 在物联网管理平台的网络中，部署密钥管理系统，科学、安全地解决各类终端、各级系统之间的密钥产生与分发、身份认证等安全需求。
2 系统架构
物联网安全传输系统，主要由物联网安全模块、物联网安全网关和密钥管理服务器三部分组成。其主要组成结构如下图所示：
安全模块，串接在临近物联网感知设备的网络中，能够对感知设备的通信数据进行加密，并保护感知设备不收非法攻击的侵害，亦能防止感知设备被非法替换。
物联网安全网关，部署于物联网管理平台的网络边界处，对进出流量进行加密和解密，并可防止非法流量通过。
密钥管理服务器，部署于物联网管理平台的内部网络中，对安全网关和安全模块提供密钥管理功能，包括初始密钥的生成，密钥的分发、更新、归档，以及基于密钥的身份认证等功能。
3 功能与性能
3.1 主要功能
| 功能模块 | 功能描述 |
| 密码算法 | 支持国产标准SM2、SM3、SM4密码算法；
支持国际标准AES、SHA1、SHA2系列算法； 支持基于SM2、SM3算法的密钥管理与身份认证。 |
| 数据加密 | 采用国密标准协议格式进行数据的加密传输；
支持物联网业务数据、控制数据、管理数据的加密传输； 支持加密数据的抗重放攻击； 支持加密密钥的自动协商； 支持路由模式和透明模式两种接入模式。 |
| 攻击防护 | 具备硬件绑定功能，防止物联网感知设备和通信数据被非法替换；
仅允许已授权终端访问感知设备和物联网管理平台； 支持对不同终端的管理和访问权限进行控制； 支持包过滤功能，支持基于源IP地址、目标IP地址、源端口、目标端口、协议类型实现网络数据包过滤； 具备针对SYN FLOOD、PING FLOOD、TCP FLOOD、UDP FLOOD等攻击的防护功能。 |
| 身份认证 | 支持基于国密SM2、SM3算法的密钥管理与身份认证；
支持签名密钥和加密密钥的双密钥认证，提升系统整体安全性； 未经认证的摄像头、安全模块、安全网关，无法接入系统进行正常工作。 |
| 安全与易用性 | 支持NAT网络环境；
支持静态路由和策略路由； 支持多因素身份认证； 支持IP-MAC地址绑定； 系统具有基本的自防护功能，并采用安全增强的操作系统。 |
| 配置管理 | 支持Web界面管理和终端命令行管理；
支持多种时间同步方式； 支持常用命令调试工具； 支持系统资源监控； 支持系统升级、配置备份与还原、恢复出厂等功能。 |
| 日志管理 | 支持记录用户操作日志、系统日志和安全日志；
支持实时记录系统的用户状态与加密通信状态，并提供数据库查询方式； 支持SYSLOG日志格式，支持向日志服务器传送日志信息。 |
3.2 性能参数
安全模块的主要性能参数如下：
| 编号 | 型号 | 最高吞吐率 |
| 1 | M1010 | 15~20Mbps |
安全网关的主要性能参数如下：
| 编号 | 型号 | 最高吞吐率 |
| 1 | GW2010 | 100Mbps |
| 2 | GW2020 | 200Mbps |
| 3 | GW2040 | 400Mbps |
密钥管理服务器的主要性能参数如下：
| 编号 | 型号 | 支持的密钥对数量 |
| 1 | KMS3010 | 200 |
| 2 | KMS3020 | 500 |
3.3 其他参数
| 名称 | 安全模块 | 安全网关
密钥管理服务器 |
| 接口 | 2个100Mbps自适应以太网接口；
1个电源接口。 |
5个100/1000Mbps自适应以太网接口；
1个100/1000Mbps自适应以太网管理接口； 1个RJ45串口； 1个USB接口； 1个电源接口。 |
| 可靠性 | MTBF>2 万小时。 | MTBF>2 万小时。 |
| 电气特性 | 工作电压：5V±25％；
功耗：<8W。 |
工作电压：220V±25％、50HZ；
功耗：<80W。 |
| 环境参数 | 工作温度：-20℃~50℃；
存储温度：-30℃～60℃。 |
工作温度：-5℃~50℃；
存储温度：-15℃～60℃。 |
4 系统特点
（1）终端适应性强，部署灵活
支持各种不同的物联网感知、采集设备，提供轻量级的物联网安全模块，可采用透明方式轻松接入网络，部署简单、灵活。
（2）无感知加密传输，无需改变原有网络结构
物联网安全模块和安全网关，均支持透明方式接入网络，可对物联网通信数据进行无感知加密解密，且无需改变现有网络结构，即可实现对整个物联网系统的加密和安全防护。
（3）支持国密算法和国密标准，兼容国际算法
系统中的安全加密传输，支持国密的SM2、SM3、SM4等算法，并采用符合国密标准的身份认证、密钥管理、加密解决方案，保证整个系统的合规性和安全性。同时，兼容国际标准的AES、SHA1、SHA2等国际算法，能满足各种应用场景的不同需求。
5 典型应用
物联网安全传输系统，可用于视频监控网络、视频会议、交通信号控制等系统中。下面以视频监控系统为例，采用物联网安全传输系统，对视频监控网络的摄像机、视频管理中心和网络通信进行安全防护与加固。
物联网安全传输系统，一般需结合用户现有的视频监控网络情况进行部署。系统支持在同一局域网内、不同网络之间（类似互联网），采用透明模式和路由模式部署。不同网络环境中的常见部署方式如下：
- 透明模式部署
常见的视频监控网络结构如下图所示：
图中，视频服务器位于172.168.1.0/24网段，摄像机处于192.168.1.0/24网段，两个网段采用路由器连接。视频服务器和摄像机可以相互访问。
针对以上用户的网络拓扑情况，现提出采用透明模式部署的安全传输解决方案，其网络部署图如下图所示：
在该部署模式中，安全网关透明串接在视频管理中心路由器的左侧，需分配一个192.168.1.0/24网段的独立IP地址，用于设备管理、密钥管理和身份认证；安全模块透明串接在摄像头后的网络中，并需分配与摄像头相同网段的独立IP地址，该IP地址用于安全模块的设备管理、密钥管理和身份认证；在视频管理中心，还需要部署密钥管理服务器，用于视频安全系统的密钥管理与身份认证。
采用透明模式的适应性较强，不需要改变用户的现有网络结构，支持摄像机和视频服务器位于同一局域、不同网段的局域网或互联网，也支持NAT网络等多种网络环境，可对视频数据进行无感知加密解密，实现对整个视频系统的加密和安全防护。
- 路由模式部署
采用路由模式部署时，摄像机和视频服务器在不同的网段中，安全网关部署于两个网络的边界处。常见的路由模式部署结构，如下图所示：
图中，安全网关采用路由模式接入网络，具备网络路由器的功能，其左右两侧需要分配两个不同网段的IP地址，分别为192.168.1.0/24网段和172.16.1.0/24网段；密钥管理服务器位于视频管理中心的172.16.1.0/24网段中。
路由模式是一种比较简单、常见的部署模式，安全网关位于不同网段的网络边界处，替代了传统路由器的位置，在用户新建视频监控网络，或者原有视频监控网络就是路由模式时，部署较为方便。