加密模块
基于FPGA的加密解密模块设计与实现
基于FPGA的加密解密模块设计与实现随着信息技术的不断发展，数据加密已经成为了保护信息安全的重要手段。
尤其是在金融、军事等领域，数据加密已成为不可或缺的技术手段。
而加密解密的关键技术就是密码算法。
在密码算法中，对称密码算法是最常用的一种算法，然而，对称密码算法的密钥管理和密钥分发一直以来都存在着许多问题，为此，研究人员提出了一种基于FPGA的加密解密模块设计方案，可以有效解决这些问题。
FPGA是一种具有可编程性的半导体器件，它具有高度的可重构性，可以通过编程来实现特定的功能，因此被广泛应用于各种领域。
而基于FPGA的加密解密模块，采用硬件实现加密解密算法，相比采用软件实现的加密解密算法，具有更高的安全性和更快的速度。
1.加密解密模块的概述加密解密模块是实现对称密码算法的关键部分，它可以将明文转化为密文，或将密文转化为明文。
在实现加密解密模块时，需要选择合适的对称算法，并通过硬件电路来实现对称算法的加密解密操作。
常用的对称密码算法有DES、3DES、AES等。
在加密解密模块的设计中，需要对输入和输出进行格式化，并为加密解密算法提供必要的控制信号。
可以使用状态机来实现控制信号的发生，并使用计数器来计算加密解密操作的步数。
同时，在硬件电路中，需要将需要加密或解密的数据存储到寄存器中，使用多路选择器来选择需要进行加密解密的数据块，并在每一次执行加密解密操作时，更新控制信号和数据块。
2.基于FPGA的加密解密模块的设计方案基于FPGA的加密解密模块由输入接口、加密解密核心、控制器和输出接口等模块构成。
其中，输入接口用于将需要加密或解密的数据输入到加密解密核心中，控制器用于控制加密解密操作的流程，输出接口用于输出加密或解密的结果。
在加密解密核心中，可以选择采用现有的对称算法IP核，例如AES IP核、DES IP核等，也可以自己实现对称算法电路。
同时，可以采用先进的乘加器单元、查找表、寄存器等硬件电路元素来优化算法电路。
密码模块的分类
密码模块的分类密码模块主要根据其实现方式和所在环境的不同进行分类，以下是几种常见的密码模块类型：1. 硬件密码模块（Hardware Cryptographic Module, HCM）：- 这种模块通常以专用集成电路（ASIC）、可编程逻辑器件（FPGA）或安全元件（如智能卡芯片、TPM芯片）的形式存在，其加密算法的实现固化在硬件内部，安全性较高，难以被篡改或攻击。
2. 软件密码模块（Software Cryptographic Module, SCM）：- 软件密码模块是运行在通用操作系统（例如Linux、Windows 等）上的软件程序集合，它们实现各种密码操作。
由于软件环境易于修改，此类模块的安全性相较于硬件密码模块可能较弱，需要依赖于操作系统提供的安全机制以及自身的软件设计与实施来增强安全性。
3. 固件密码模块（Firmware Cryptographic Module）：- 固件密码模块是嵌入在设备非易失性存储器中的加密算法实现，它介于硬件和软件之间，不易像软件那样随意更改，但又可以通过更新固件来升级或改变功能。
4. 混合软件密码模块（Hybrid Software Cryptographic Module）：- 混合软件密码模块结合了硬件加速和软件实现的优点，部分关键操作在专用硬件上执行以提高速度和安全性，而其他非核心部分则通过软件完成。
5. 混合固件密码模块（Hybrid Firmware Cryptographic Module）：- 这类模块可能将一部分加密操作固话在硬件固件中，同时另一部分使用可更新的固件代码或者配合软件组件共同完成密码运算任务。
每种类型的密码模块都需要遵循特定的安全标准和评估准则，确保密码服务的安全性和可靠性。
ndec模块简介
模块简介
NDEC（Network Data Encryption Card，网络数据加密卡）是网络数据加密模块的简称。NDEC支持IPSec协议，通过硬件加速IP数据包的加密处理，为路由器提供了高性能、高可靠性的加密特性。
当插入NDEC模块时，路由器主板完成IP包路由转发处理并实现含有加密特性的VPN，由加密卡完成其中的加密工作。
模块外观
NDEC模块外观如下图所示：
图1NDEC模块外观
模块口属性
表1NDEC模块属性
属性
描述
支持的协议
IPSec
支持IPSec并发连接最大数量
2k
硬件实现算法
密钥算法（DES、3DES、AES、QC5、Blowfish、Cast-128、SkipJack）
验证算法（MD5、SHA-1散列算法）
密钥交换算法（DH）
压缩算法（LZS/Deflate）
模块连接电缆
无。
国密算法信息安全加密模块
6
应用案例
加密摄像视频远程传输
加密模块 内置加密模块 的摄像头
视频服务器
加密视频播放终端
远端摄像头和视频播放终端通过调用加 密模块的加解密接口，实现传输前摄像 视频的加密，和播放前的解密。
7
应用领域
高速流加密领域 加密摄像头 加密VPN PKI应用
加密专用网络
本地文件加密
8
9
ห้องสมุดไป่ตู้
加密模块
——基于SSX1019芯片的数据加密产品
1
产品简介
加密模块开发平台主要为二次 开发客户提供丰富的算法接口、存 储接口等，使客户无需关注硬件驱 动和电路设计，即可迅速完成安全 产品或方案的开发。
2
功能概述
USB2.0 标准 通道管 理 SCSI协议 通信
随机数 获取
功能 概述
设备ID 管理 320KB存 储空间 划分国 际版和 国密版
支持并提示为国密版
设定的算法和密钥记忆管理接口
4
组件支持
提供Linux系统下的演示demo及使用文档 提供Windows下的演示demo及使用文档 提供Linux系统下的SDK及说明文档 提供Windows系统下的SDK及说明文档
5
产品特点
丰富的算法接口 • 提供多种国际、国密对称、非对称以及哈希算法。
方便的算法管理
• 掉电前可在通道里面保存密钥和设定好的算法，上电选通通道即可立即使用。 完善的数据存储接口
• 320KB存储空间，支持最小512字节存储单元。
真实随机数发生源 • 采用国密局批准的物理噪声源。 成熟的硬件设备 • 采用国密认证的SSX1019芯片作为主控，外观如同U盘一样。 即插即用 • 免驱动安装，像使用U盘一样简单。
硬件加密芯片加密模块解决方案
加密模块v1.0
1
Company Logo
功能
• USB2.0通信接口调用加解密功能
通过大容量存储设备类协议完整复杂的加解密 操作，使用加密模块像使用u盘一样简单。
• 支持多种国密和国际算法 • 随机数获取
采用国密局批准的物理噪声源。
2
Company Logo
已经实现的功能
1、已经实现的算法包括：SM1 SM2 SM3 SM4 MD5 DES 3DES SHA1 SHA256 RSA
2、已经实现的功能包括：获取随机数、获取固件版本号、 获取硬件id、写入硬件id
3、可以设置的功能：SM1 SM4 DES 3DES 密钥设置 加密 方式设置
SM1
SM4 DES SM2 RSA MD5 SHA1 SHA256 SM3
密钥链模式 下发数据模式 密钥链模式
32位 256bit
加密 解密 加密 解密 加密 解密 加密 解密 签名 验证 签名 验证
100Mbps 100Mbps 50Mbps 50Mbps 50Mbps 50Mbps 72Mbps 72Mbps 6.34次/秒 4次/秒 32次/秒 31次/秒 351K/秒 67K/秒 51.7K/秒 157.6K/秒
API、Demo、使用文档等 Windows 代码、linux代码
• 稳定性
测试：USB信号 长期工作的稳定性
• 烧固件
需要的硬件
9
Company Logo
6
Company Logo
加密模块的作用
• 将芯片由专用芯片转换为通过标准SCSI协议访
问的功能黑盒子。
SM3算法在硬件加密模块中的实现与应用
31、选择开发工具：常用的FPGA开发工具包括Xilinx Vivado、Intel Quartus等。这些工具提供了设计、仿真、编译、调试等一系列功能，可以帮助 开发者快速实现硬件设计。
311、测试与验证
为了确保基于FPGA的软件无线电硬件平台的正确性和可靠性，需要进行严格 的测试和验证。
4、功能测试：通过模拟各种通信场景，对硬件平台的各个模块进行功能测 试，确保各模块能够正常工作。
1、硬件平台设计
基于FPGA的软件无线电硬件平台主要包括以下几个部分：
1、高速数据接口：由于SDR需要处理大量的数据，因此需要高带宽的数据接 口来支持数据的传输。常见的接口包括USB 3.0、PCI Express等。这些接口可 以通过FPGA进行配置，以满足不同的数据传输需求。
2、数字信号处理（DSP）模块：这部分主要负责信号的数字化处理，包括模 拟信号到数字信号的转换、数字信号的滤波、解调等操作。FPGA由于其并行处理 能力强的特点，特别适合于进行数字信号处理。
本次演示将探讨杂凑算法SM3SHA256SHA3的硬件设计与实现。在信息安全领 域，杂凑算法是不可或缺的一部分，它们用于数据的完整性验证和身份认证等多 种应用场景。其中，SM3是一种国家密码局发布的国家密码算法，而SHA-256和 SHA-3则是美国国家安全局（NSA）发布的一系列安全杂凑算法中的两种。
5、可编程性设计：为了方便升级和维护，硬件设计应支持可编程性，以便 于实现新版本的杂凑算法。
五、结论
本次演示对杂凑算法SM3SHA256SHA3的硬件设计与实现进行了探讨。在信息 安全领域，杂凑算法在数据的完整性验证和身份认证等方面具有重要作用。对于 这些算法的硬件实现，需要充分考虑并行处理、低功耗设计、硬件优化、安全性 考虑以及可编程性设计等因素。通过合理的设计和实现，可以满足各种应用场景 中对数据安全性的需求。
密码模块的24个分类
密码模块的24个分类
密码模块的分类方式有很多，以下是其中一些常见的分类：
古典密码与现代密码：古典密码以字符为基本加密单元，现代密码则以信息块为基本加密单元。
算法保密与密钥保密：算法保密应用于军事领域，而密钥保密则应用于现代加密领域。
对称密码与非对称密码：对称密码采用单钥密码（私钥密码），加密和解密使用相同的秘钥；非对称密码采用双钥密码（公钥密码），加密和解密使用不同的秘钥。
分组密码与流密码：分组密码对明文分为固定长度的组，用同一秘钥、算法对各个组进行加密；流密码则指加密时每次只加密一位或一个字节明文。
散列函数：用于验证数据的完整性。
数字签名：主要针对以数字的形式存储消息进行处理。
硬件模块、软件模块、固件模块、混合软件模块、混合固件模块等：根据实现方式的不同进行分类。
以上信息仅供参考，如有需要，建议咨询专业人士。
安全产品模块
安全产品模块
安全产品模块是指在软件、硬件或网络系统中，用于检测、防御和应对各种安全威胁和攻击的功能和工具。
安全产品模块可以是独立的软件或硬件设备，也可以是系统内置的功能。
以下是一些常见的安全产品模块：
1. 防火墙：防火墙是一种用于保护计算机网络安全的设备或软件模块。
它通过检测和过滤网络数据包，控制网络流量的进出，以阻止未经授权的访问和攻击。
2. 入侵检测系统（IDS）：入侵检测系统是一种用于监测网络
中的异常活动和攻击的安全产品模块。
它可以通过分析网络流量、检测异常行为模式和注册入侵行为的特征等方式来发现并报告潜在的攻击。
3. 入侵防御系统（IPS）：入侵防御系统是一种用于监测和阻
止网络攻击的安全产品模块。
它可以主动地对攻击行为进行响应和阻止，并且可以自动阻止或限制攻击者的访问。
4. 反病毒软件：反病毒软件是一种用于检测、阻止和删除计算机病毒和恶意软件的安全产品模块。
它可以实时监测系统，扫描文件和程序，识别并清除潜在的威胁。
5. 加密模块：加密模块是一种用于对数据进行加密和解密的安全产品模块。
通过使用特定的加密算法和密钥，加密模块可以保护数据的机密性和完整性，以防止未经授权的访问和篡改。
6. 身份认证模块：身份认证模块是一种用于验证用户身份的安全产品模块。
它可以通过密码、指纹、智能卡等方式来验证用户的身份，以确保只有经过授权的用户才能访问系统或资源。
以上仅是一些常见的安全产品模块，随着技术的不断发展和安全威胁的变化，还会出现更多新的安全产品模块。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ISU-208N/G
配电终端加密模块
技术使用说明书
V2.1
特别提示
尊敬的客户：
衷心感谢您选用本公司的产品！
我们承诺在保证产品性能及品质的同时，将竭诚为您提供完善的技术服务。
为了让您更好地使用本产品，请在设备到货后仔细阅读以下提示内容，并在安装前阅读说明书全文。
工程供货配电终端加密模块，现场接线时，请查看随机的《端子接口定义图》图纸，具体配置以随机图纸为准。
在装置通电运行之前，应仔细检查接线是否正确。
装置接地线柱应可靠地经多股铜导线接到接地网上去，以避免装置外壳带电对人身造成伤害，并使装置的抗浪涌干扰电路正常的发挥作用。
智昊不断地对其产品进行改进完善，由于技术的不断进步及国网产品标准的不断更新，与实际产品可能存在差异。
欢迎您对本公司的产品提出宝贵意
见。
◆包装箱有无损坏；
◆设备外表有无明显的破裂或损坏；
◆产品上的设备名称、型号是否与订货相符；
◆装箱清单所列物品、随机文件是否齐全及与实物相符。
本说明书包含的所有内容均受版权法的保护，未经广州市智昊电气技术有限公司的书面授权，任何组织和个人不得以任何形式或手段对整个说明书和部分内容进行复制和转载。
目录
1 产品概述 (4)
1.1产品特点 (4)
2主要功能 (5)
2.1 基本功能 (5)
2.2访问控制 (6)
2.3状态监视 (6)
2.4程序升级 (6)
2.5日志功能 (6)
2.6无线通信功能 (7)
3 技术参数 (7)
3.1 ISU-208N技术参数 (7)
3.2 ISU-208G技术参数 (9)
4结构形式及接口说明 (11)
4.1外形结构与尺寸 (11)
4.2指示灯与接口定义 (11)
4.2.1 指示灯定义说明 (11)
4.2.2 接口定义说明 (12)
5管理维护工具 (13)
1 产品概述
ISU-208N/G是针对配电自动化终端信息安全升级改造自主研发的终端通信硬加密单元系列产品。
主要应用于配电终端的通信加固升级场合，采用内嵌安全芯片、4G全网通通讯模块设计理念，满足配电站所终端（DTU）和配电馈线终端（FTU）的通信安全升级要求。
支持数据标准化解析封装、通信服务控制管理、双向身份认证、数据加密保护、终端证书管理等功能，可实现终端与主站之间的数据，满足国网配电自动化系统标准通信协议（101/104）及信息安全防护要求的配电终端通信加密模块。
支持移动、联通、电信的2G/3G/4G全频段无线通信。
针对不同的安装方式，加密模块分为2种类型，即外置式ISU-208N与嵌入式ISU-208G。
其外形结构效果分别如下图1所示：
ISU-208N ISU-208G
图1 模块结构效果图
1.1产品特点
即插即用、坚固耐用，便于批量生产和批量测试，满足配电终端安全防护升级要求，可与DTU/FTU/TTU配套使用。
支持嵌入式安装方式或外置模块式安装方式，采用网络通信时，具备与终端IP、MAC绑定功能。
产品通过了2017年国家电网公司开展的配电终端设备信息安全相关测试与验证。
采用模块化、可扩展、低功耗功能、高度集成、配置灵活、免维护的设计标准，适应复杂运行环境，支持嵌入式安装方式或模块式安装方式，具有高可靠性和稳定性。
支持101、104通信规约识别功能，且报文封装格式满足《国网配电终端安全
报文定义》，与终端的交互满足《国网配电终端安全防护实施方案》。
通信介质与规约多样化，满足国网配电自动化系统标准通信协议（101/104）及信息安全防护要求。
适用于国内各种配电自动化终端。
支持数据标准化解析封装、通信服务控制管理、双向身份认证、数据加密保护、终端证书管理等功能。
内嵌了标准的101/104通信协议及配电终端安全芯片，对上对下具有统一的接口，与配电终端采用标准化简易协议，简单易用，可简化配电自动化设备厂商在规约与信息安全方面开发工作量，减少现场投运及维护工作量。
具备运行工况就地指示功能，方便运行调试；
软件采用嵌入式实时操作系统linux平台，模块化系统结构，性能稳定可靠，增添功能、升级方便；
支持自诊断、自恢复功能，重要芯片等可以进行自诊断，异常时能上送报警信息，软件异常时能自动复位；
全部采用工业级元器件、所有与外界的连接均做到了充分的电气隔离，并内置抗雷击保护电路和电源滤波器，专业的EMC 设计。
2主要功能
2.1 基本功能
(1)具有身份认证和数据加解密功能；满足《国网配电自动化系统网络安全防护方
案》相关要求；采用配电专用安全芯片实现对终端密钥的存储、管理以及密码运算,利用基于数字证书的认证技术，实现终端和主站/网关之间的双向身份鉴别,利用基于对称密码算法的数据加密和消息认证技术，实现配电业务数据的保密性和完整性保护。
(2)具有协议过滤功能；具备对IEC101、IEC104规约解析功能，对协议层的字段
定义进行检查，仅允许101/104格式报文通过。
具备对通信业务协议及端口控制功能，禁止所有与业务通信不相关的所有协议及端口（只允许开放2404上送端口及开放必要的SSH服务通信端口）。
(3)具有链路中断检测及网络状态同步功能；终端网络状态与加密模块网络状态应
保持一致。
(4)具有本地运维功能；支持包括导出证书请求文件、参数配置等本地运维功能，
满足《国网配电终端安全防护实施方案》提出的与运维工具单向认证的功能；
内置配电终端信息安全芯片，对主站支持双通信，与配电终端单元采用串口或以太网口方式通信。
(5)配有硬件看门狗，可实时监控程序运行状态，异常时自动复位，同时具备通信
中断自动重连功能。
(6)支持《国网配电终端证书管理工具应用方案》相关操作。
(7)对设备CPU、内存、存储空间等系统资源使用状态及主要功能模块运行状态进
行监测。
(8)具有一定的监测攻击事件的能力。
2.2访问控制
根据配置主站IP、终端IP、端口等策略信息，控制网络访问权限，过滤非法IP。
2.3状态监视
(1)具有电源指示灯和设备运行工况指示灯；
(2)具有通信连接状态监视功能，具备通信状态指示灯；
(3)具备通信通道监视功能，可监视网口，串口上下行数据；
(4)具备通信协议监控功能，满足101、104通信规约识别与控制。
2.4程序升级
(1)模块可通过运维串口进行程序升级。
升级时模块采用基于数字证书的单向身份
认证技术对升级设备进行认证；
(2)模块支持对要升级的程序进行合法性验证（验证程序检测机构的签名正确性），
验证正确后，才可以进行程序包升级；
2.5日志功能
加密模块支持运行状态日志记录及循环存储（≥256条）功能，日志信息类型
包含装置上电/重启记录、与主站和配电终端的连接建立与断开记录、通信确认超时/报文错误等通信过程异常记录、加密模块内部自检记录、装置参数修改记录、软件版本升级记录等。
2.6无线通信功能
模块内置4G全网通通讯模块（7模），支持移动、联通、电信的2G/3G/4G全频段无线通信，可实现终端与主站之间无线数据通信。
3 技术参数
3.1 ISU-208N技术参数
3.2 ISU-208G技术参数
4结构形式及接口说明
4.1外形结构与尺寸
ISU-208N（小型）采用小巧设计思路，方便安装于空间有限的应用场景中，具有电源以及若干个通信状态指示灯、2*RJ45以太网接口、3.81MM串口接口端子、1*RJ45维护调试口、工作电源接口等。
外形结构尺寸如下图所示：
ISU-208N 外形结构尺寸图
ISU-208G 采用小巧裸板式设计思路，方便安装于罩式FTU中，具有电源以及若干个通信状态指示灯、8P接口插座等。
外形结构尺寸如下图所示：
ISU-208G 外形结构尺寸图
ISU-208G 外形结构尺寸图
4.2指示灯与接口定义
4.2.1 指示灯定义说明
单元指示灯定义分别如表4.2.1、4.2.2。
表4.2.1 ISU-208N指示灯定义
表4.2.2 ISU-208G 指示灯定义
4.2.2 接口定义说明
单元接口定义分别如表4.2.3、4.2.4。
表4.2.3 ISU-208N接口定义
表4.2.4 ISU-208G接口定义
5管理维护工具
ISU-208N/G在正常使用前，需要进行一系列的参数的配置，以满足不同应用场景的需要。
参数配置可通过上位机进行操作。
当您获取到管理工具的软件包之后，按照正常的应用安装方式进行安装即可。
具体软件的使用详见《加密单元管理维护工具使用手册V1.0》。