一种数据交换方法、系统、设备、介质和产品与流程

本申请涉及网络安全，尤其涉及一种数据交换方法、系统、设备、介质和产品。

背景技术：

1、网络隔离在构建安全边界的同时阻断跨网数据交换的直接路径，在同一主机上以虚拟化方式划分网络域时，各虚拟域间的数据需经宿主机的虚拟交换机或内存等组件进行中转，普通虚拟机内存对宿主机特权软件完全可见，中转数据既易被窥探、窃听而丧失机密性，又可能被篡改，进而隔离的安全性下降，为弥补安全缺陷引入的摆渡与串行检查机制又进一步降低传输效率。由此，如何在保证网络隔离安全的前提下提高跨网数据交换效率，成为本领域技术人员亟需解决的问题。

技术实现思路

1、本申请提供了一种数据交换方法、系统、设备、介质和产品，以至少解决相关技术中网络隔离需要中转且中转数据对宿主机特权软件完全可见导致的数据窃听、篡改的安全性下降以及传输效率较低的问题。

2、本申请提供了一种数据交换方法，应用于经第一网卡连接第一网络的第一可信执行环境侧，与连接第二网络的第二可信执行环境侧建立认证关系；方法包括：

3、获取认证关系对应的密钥；

4、在第一可信执行环境侧发起读操作时，第一可信执行环境侧利用密钥对读取请求进行加密和校验处理，得到加密读请求及与读取请求的校验基准信息关联的多重校验凭证，并存入共享存储区域；获取到由第二可信执行环境侧响应加密读请求，且存入至共享存储区域的响应数据时，基于校验基准信息和多重校验凭证验证响应数据，得到明文形式的读取数据；

5、在第一可信执行环境侧发起写操作时，第一可信执行环境侧利用密钥对写入请求及写入数据进行加密和签名生成处理，得到加密写入信息和签名凭证，并分别存入共享存储区域和不可变存储区域，以供第二可信执行环境侧解密并验证后写入。

6、本申请还提供了一种数据交换方法，应用于经第二网卡连接第二网络的第二可信执行环境侧，与经第一网卡连接第一网络的第一可信执行环境侧建立认证关系；方法包括：

7、获取认证关系的密钥；

8、在由第一可信执行环境侧发起读操作时，第二可信执行环境侧从共享存储区域中获取由第一可信执行环境侧存入的加密读请求，利用密钥对加密读请求进行解密得到读取请求；根据读取请求确定读取数据，利用密钥对读取数据进行加密和校验处理，得到加密读取数据及与读取请求的校验基准信息关联的多重校验凭证，并作为响应加密读请求的响应数据存入共享存储区域，以供第一可信执行环境侧基于校验基准信息和多重校验凭证验证响应数据，得到明文形式的读取数据；

9、在由第一可信执行环境侧发起写操作时，从共享存储区域中获取由第一可信执行环境侧存入的加密写入信息并利用密钥对加密写入信息进行解密得到写入请求；由第一可信执行环境侧利用密钥对写入请求及写入数据进行签名生成处理，且存入至不可变区域中的签名凭证对解密得到的写入请求及写入数据进行验证，并在验证通过后执行写入。

10、本申请还提供了一种数据交换系统，包括部署于服务器的第一可信执行环境侧和第二可信执行环境侧，第一可信执行环境侧经第一网卡连接第一网络，第二可信执行环境侧经第二网卡连接第二网络，二者建立认证关系；

11、第一可信执行环境侧，用于执行如上述的数据交换方法的步骤；

12、第二可信执行环境侧，用于执行如上述的数据交换方法的步骤以完成读写操作对应的数据交换。

13、本申请还提供了一种电子设备，包括：

14、存储器，用于存储计算机程序；处理器，用于执行计算机程序时实现上述任一种数据交换方法的步骤。

15、本申请还提供了一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，其中，计算机程序被处理器执行时实现上述任一种数据交换方法的步骤。

16、本申请还提供了一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现上述任一种数据交换方法的步骤。

17、通过本申请，首先，第一、第二可信执行环境侧分别经过各自网卡接入相互隔离的网络，使得网络域划分不依托对宿主机特权软件透明的普通虚拟机，可以通过两个可信执行环境侧建立的认证关系下的密钥以进行后续的加密传输，防止特权软件的窥探和篡改，也开辟一条经过认证的交换通道，使得跨网数据交换不需要绕行摆渡等间接路径，实现直接连接。其次，在第一可信执行环境侧发起读操作时，读取请求以加密的方式进入，读取请求在跨网交换过程中通过加密的方式保证请求的机密性，防止窃听。同时进行校验处理来生成与校验基准信息关联的多重校验凭证，来保障实时请求数据的完整性和真实性，防止篡改的同时也抵御重放攻击，即使攻击者能够接触共享存储区域，也无法解密请求内容或伪造合法请求。请求经共享存储区域在两个可信执行环境侧间直接交换，省去虚拟交换机中转与网闸摆渡等环节，显著缩短跨网路径。再次，获取由第二可信执行环境侧响应加密读请求，且存入至共享存储区域的响应数据时必须先通过校验基准信息和多重校验凭证的验证，途中被篡改、伪造或重放的响应均无法通过。验证与解密均在第一可信执行环境侧内部完成，明文形式的读取数据自始至终不出可信边界，且验证内嵌于接收流程就地完成，不再依赖额外的串行检查机制。最后，在第一可信执行环境侧发起写操作时，写方向的数据同样以密文形式经共享存储区域直连传递，与读方向共同构成全程密文的双向交换通道，特权软件在任一方向均无明文可窥。签名凭证存入不可变存储区域，对数据自高安全域流向低安全域这一场景实现可追溯，以密文传输加签名凭证的存证，相比于常规方案中占用传输路径的摆渡和串行检查，不会成为传输效率的负担。直至第二可信执行环境侧解密验证后再进行写入，保证写入数据的安全性和完整性的同时，不需要引入第三方检查，实现跨网直连的同时，也提高传输效率。

18、由于第一可信执行环境侧和第二可信执行环境侧分别经各自网卡接入相互隔离的网络并建立认证关系、利用密钥对读写双向的请求及数据进行全程加密，使得跨网数据在共享存储中转全程保持密文状态，将响应数据的完整性验证内置于可信执行环境侧的接收流程中就地完成，响应数据必须基于校验基准信息和多重校验凭证验证通过后方可解密，篡改、伪造或重放的响应均无法通过，明文形式的读取数据自始至终不出可信边界，写操作中通过签名生成处理生成签名凭证并独立存入不可变存储区域，实现安全监管与数据交换的并行执行，因此，可以解决常规的网络隔离需要中转且完全可见导致的数据窃听、篡改的安全性下降和传输效率较低技术问题，达到在保证网络隔离安全的前提下，通过可信执行环境侧之间的直连交换通道与全程密文传输机制，有效提高跨网数据交换的效率，无需引入第三方检查设备即可实现安全、高效、可追溯的跨网数据交换的技术效果。

1.一种数据交换方法，其特征在于，应用于经第一网卡连接第一网络的第一可信执行环境侧，与连接第二网络的第二可信执行环境侧建立认证关系；所述方法包括：

2.根据权利要求1所述的数据交换方法，其特征在于，所述多重校验凭证至少包括第一校验凭证和第二校验凭证；所述第一可信执行环境侧利用密钥对读取请求进行加密和校验处理，得到加密读请求及与所述读取请求的校验基准信息关联的多重校验凭证，包括：

3.根据权利要求2所述的数据交换方法，其特征在于，所述校验基准信息至少包括待读取数据的属性信息和挑战信息；所述属性信息至少包括读取地址、数据长度和数据更新时间的一种或者多种；所述第一校验凭证的确定过程，包括：

4.根据权利要求3所述的数据交换方法，其特征在于，基于校验基准信息和多重校验凭证验证所述响应数据，得到明文形式的读取数据，包括：

5.根据权利要求4所述的数据交换方法，其特征在于，复算比对过程，具体包括：

6.根据权利要求1所述的数据交换方法，其特征在于，所述第一可信执行环境侧利用密钥对写入请求及写入数据进行加密和签名生成处理，得到加密写入信息和签名凭证，包括：

7.根据权利要求6所述的数据交换方法，其特征在于，基于所述写入请求和所述写入数据进行签名生成处理得到第三校验凭证和数字签名，包括：

8.根据权利要求6所述的数据交换方法，其特征在于，供第二可信执行环境侧解密并验证后写入，包括：

9.根据权利要求8所述的数据交换方法，其特征在于，所述第二可信执行环境侧基于所述签名凭证对明文形式的写入数据进行签名验证处理，包括：

10.根据权利要求1所述的数据交换方法，其特征在于，在所述第一可信执行环境侧与所述第二可信执行环境侧建立所述认证关系之前，还包括：

11.根据权利要求1所述的数据交换方法，其特征在于，所述方法还包括：

12.根据权利要求1所述的数据交换方法，其特征在于，在得到明文形式的读取数据之后，所述方法还包括：

13.根据权利要求1所述的数据交换方法，其特征在于，所述方法还包括：

14.根据权利要求1所述的数据交换方法，其特征在于，在基于校验基准信息和多重校验凭证验证所述响应数据之后，在得到明文形式的读取数据之前，所述方法还包括：

15.一种数据交换方法，其特征在于，应用于经第二网卡连接第二网络的第二可信执行环境侧，与经第一网卡连接第一网络的第一可信执行环境侧建立认证关系；所述方法包括：

16.一种数据交换系统，其特征在于，包括部署于服务器的第一可信执行环境侧和第二可信执行环境侧，所述第一可信执行环境侧经第一网卡连接第一网络，所述第二可信执行环境侧经第二网卡连接第二网络，二者建立认证关系；

17.根据权利要求16所述的数据交换系统，其特征在于，所述数据交换系统还包括加速设备；所述加速设备包括用于互连所述第一可信执行环境侧的第一加速设备和用于互连所述第二可信执行环境侧的第二加速设备；

18.一种电子设备，其特征在于，包括：

19.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被处理器执行时实现如权利要求1至15任一项所述数据交换方法的步骤。

20.一种计算机程序产品，包括计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至15任一项所述数据交换方法的步骤。