背景介绍

随着信息化发展的全面加速，网络安全问题日益突出，网络安全威胁来源广泛、形式复杂。传统网络构架存在安全隐患，网络上以明文方式传输的数据可以被任意的监听、篡改。 这不但会造成重要信息的泄露，还会给企业日常生产与业务活动构成严重威胁。另一方面，国家对信息安全的合规性要求逐渐加强，关键基础设施行业纷纷构建以密码技术为支撑的“自主、 安全、可控”保障体系，从而有利保障国家安全和企业安全。

在企业核心网络密码应用方面，因传统密码产品存在技术瓶颈，性能无法满足带宽要求，大兴企业核心网络的接口带宽非常高，受其高性能网络吞吐的限制，常规的算法实现很难解决性能 上的问题。功能无法实现业务需求，随着用户业务多元化发展，分布式计算、电子邮件、文件传输、语音、视频会议等业务需要时时在总部与分支机构间运行，重要数据需要进行加密传输， 传统产品无法支持灵活的加密策略及组播加密等业务需求。传统方式部署难度大、投资成本高(采购、实施、运维)，传统意义的IPSec点对点的协商密钥解决方案不能满足大型复杂网络部署 需求，涉及异地部署的成本会非常高。

需求分析

安全风险

大型企业在数据传输环节,虽采用了专线连接，但由于数据以明文方式传输，网络安全威胁来源广泛、形式复杂，数据存在泄露及篡改风险。

性能需求

大型企业核心网络的接口带宽非常高,需要满足高性能网络吞吐的要求，算法实现需要解决性能上的问题。

合规需求

根据国家等级保护及密码应用安全政策的合规性要求，需要采用密码技术保证通信过程中敏感信息数据字段或整个报文的机密性以及数据的完整性，通信双方身份真实性及核心密 钥集中管理需求;通信双方身份真实性及核心密钥集中管理需求。

功能需求

结合用户实际应用场景，需要研发一款高性能加密模块，可以直接嵌入到现有的核心交换机、路由器等通信设备中，实现重要数据的加密传输，加密传输方式需要支持灵活的加密策 略及组播加密等功能需求。

方案设计

方案设计通过在主干线路核心级交换机产品上嵌入高性能加密模块，在交换机产品中实现基于商用密码算法的加解密功能。同时根据网络特点，采用GDOI组密钥管理机制实现任 意节点间的加密通讯，实现数据中心间网络数据传输加密需求，实现商用密码技术与网络产品深度融合。

方案中核心加密组件由高速加密模块及GDOI密钥管理系统组成，主要采用国密标准的SM2、SM3以及SM4算法作为加密套件，高速加密模块采用可编程逻辑部件技术实现，双向加解 密性能高达40Gbps;GDOI密钥管理系统采用GDOI协议创建分组密钥管理模型，将业务加密密钥及加密策略采用集中分发模式进行管理，降低网络加密的复杂度，有效提高网络管理的工作效率。 该方案不依赖隧道的加密技术，仅对报文内容加密，对加密节点之外的网络透明，不改变网络架构，适应已有拓扑。部署逻辑示意图如下:

方案特色

应用理念创新设计

产品设计及应用理念创新性较强，技术上突破传统密码产品的设计格局，将交换设备与加密模块跨界融合，在用户原有核心交换机产品上实现基于国密算法的加解密功能。

密码算法等效特换

密码算法等效替换，实现对GDOI协议的国产化，采用商用密码算法替换原有国际算法，实现了商用密码在核心技术上的等效替换。

超高性能算法实现

加密模块采用高性能可编程逻辑器件，实现了自主知识产权的高效加解密，双向加解密性能高达40Gbps，处于行业绝对领先地位。

现有网络平滑接入

现有网络平滑接入，对原有的系统使用模式、组网方式不需做任何改变，保护既有投资，加密策略灵活定制，满足不同业务系统数据加密需求。