一种基于IPSec协议的5G透明加密通信模组的制作方法

本发明涉及一种5g网络通讯透明传输加密系统和技术。

背景技术：

1、在5g无线通讯领域，各种通讯终端设备(如：cpe、5g路由器、工业iot设备、智能小车、无人机等)都会大量使用通用5g通信模组。而随着无线网络攻击等安全威胁不断增大，为了保障通讯终端设备网络传输的安全性，越来越多的行业和应用场景亟需对5g通讯数据进行加密。

2、ipsec安全协议是一种国际通用的网络加密标准，在网络传输加密系统中使用极为广泛。ipsec协议主要包含两部分：ike协议(用于通讯握手、认证和加密隧道创建)和esp协议(用于对应用数据流量进行加密)。由于5g终端设备形态各种各样，需要对每一种终端的硬件和软件系统进行改造，并在设备操作系统中部署运行ipsec安全服务软件且在内核态编译运行专用协议栈代码，涉及到不同cpu架构/指令集、os发行版、开发语言、存储器类型、驱动程序等等，特别是需要重新编译操作系统内核，这个过程将耗费大量开发人力成本，且很难在多种不同终端设备中保证兼容性和稳定性，在大量实际项目中严重阻碍了信息系统安全改造的推进效率。

技术实现思路

1、针对现有5g通讯加密技术存在的各项不足，本发明提供了一种全新的5g透明加密通信模组，与标准5g通信模组对外提供的接口和通讯协议完全一致，做到了软硬件系统的完全兼容。使用时仅需将通讯终端设备上原有的通用5g通讯模组拔掉，替换为5g透明加密通信模组，即可立即实现5g终端设备的ipsec协议网络传输加密，且无需担心不同设备类型间的兼容性，省去了传统方式安全改造带来的大量人力物力的消耗。。

2、为实现上述目的，本模组提供如下技术方案：

3、一种基于ipsec协议的5g透明加密通信模组，其特征在于：模组包含内部的嵌入式操作系统，以及一个与外部通讯终端设备相连接的模组通讯接口，以及模组工作时所依赖的一个通过sim卡接口连接到通讯终端设备的具备安全芯片的sim卡；在模组嵌入式操作系统中运行了一套应用层ipsec服务程序和一个内核态ipsec协议栈模块；

4、5g透明加密通信模组上电后开始工作，启动嵌入式操作系统，运行应用层ipsec服务程序，启动内核态ipsec协议栈模块；

5、应用层ipsec服务程序通过软件接口调用具备安全芯片的sim卡中的安全芯片，实现ipsec安全协议中ike阶段所需要的数字签名和加密/解密等密码算法功能，实现与远端ipsec网关设备完成身份认证并建立ipsec加密隧道；在这个过程中，5g透明加密通信模组是通过模组通讯接口与外部通讯终端设备连接，并再通过sim卡接口与所属具备安全芯片的sim卡连接；

6、应用层ipsec服务程序完成ike阶段身份认证并建立加密隧道后，根据路由配置信息，嵌入式操作系统的协议栈会自动把符合路由规则的所有5g网络流量送入内核态ipsec协议栈模块，内核态ipsec协议栈模块使用esp协议对网络流量进行加密和封装，再通过5g通讯链路发送出去；在这个过程中，对数据进行esp协议加密也是调用所述具备安全芯片的sim卡中的安全芯片完成的；

7、远端ipsec网关设备收到加密后的网络数据，根据ipsec协议相关流程进行解密，并将解密后的数据传送到正确的通讯设备节点；

8、通过以上流程，5g通讯终端设备在无需对软硬件系统进行开发改造的情况下，实现了使用ipsec协议对5g通讯网络数据进行透明加密保护的功能。

9、根据一个优选的实施方式，所述基于ipsec协议的5g透明加密通信模组，其特征在于，5g透明加密通信模组工作时所依赖的安全芯片，不是位于一个通过sim卡接口连接到通讯终端设备的具备安全芯片的sim卡中，而是直接嵌入到5g透明加密通信模组内部的硬件电路中，应用层ipsec服务程序和内核态ipsec协议栈模块能够通过软件接口直接调用安全芯片提供的密码功能；或者安全芯片是位于一个通过usb/sd接口连接到通讯终端设备的具备安全芯片的密码模块中，应用层ipsec服务程序和内核态ipsec协议栈模块能够通过软件接口直接调用所述密码模块提供的密码功能。

10、综上所述，本发明与现有技术相比具有以下有益效果：

11、(1).无需对各种各样的5g通讯终端设备做任何硬件电路上的改造，或针对其操作系统、内核代码、软件服务、接口和协议等做任何改造，节省大量开发人力成本；

12、(2).任何能够兼容通用5g通讯模组的设备，理论上插上本发明所述5g透明加密通信模组，均能够正常适配工作，实现5g无线网络数据的自动ipsec协议加密保护，节省大量适配成本；

13、(3).本发明所述5g透明加密通信模组，能够通过灵活配置路由信息，实现对指定特征的数据流量进行加密，以及对其他数据流量不进行加密(仍然走原有标准的5g信道，通道不收影响)，从而实现灵活的流量管控。

14、(4).相比ssl协议的安全保护，ipsec协议支持udp封装，能够在网络质量较差的环境中仍然保持视频等数据较为实时的传送，比ssl(基于tcp)协议更具容错性优势。

技术特征：

1.一种基于ipsec协议的5g透明加密通信模组，其特征在于：模组包含内部的嵌入式操作系统，以及一个与外部通讯终端设备相连接的模组通讯接口，以及模组工作时所依赖的一个通过sim卡接口连接到通讯终端设备的具备安全芯片的sim卡；在模组嵌入式操作系统中运行了一套应用层ipsec服务程序和一个内核态ipsec协议栈模块；

2.根据权利要求1所述的基于ipsec协议的5g透明加密通信模组，其特征在于所述5g透明加密通信模组工作时所依赖的安全芯片，不是位于一个通过sim卡接口连接到通讯终端设备的具备安全芯片的sim卡中，而是直接嵌入到5g透明加密通信模组内部的硬件电路中；所述应用层ipsec服务程序和所述内核态ipsec协议栈模块能够通过软件接口直接调用所述安全芯片提供的密码功能；或者安全芯片是位于一个通过usb/sd接口连接到通讯终端设备的具备安全芯片的密码模块中，所述应用层ipsec服务程序和内核态ipsec协议栈模块能够通过软件接口直接调用所述密码模块提供的密码功能。

技术总结本发明公开了一种基于IPSec协议的5G透明加密通信模组。在5G无线通讯领域，各种通讯终端设备会大量使用通用5G通信模组。而随着无线网络攻击等安全威胁不断增大，为了保障通讯终端设备网络传输的安全性，越来越多的行业和应用场景亟需对5G通讯数据进行加密，而IPSec安全协议是最常用的方案之一。按照传统改造方案，需要对每一种通讯终端设备进行软硬件改造，并在设备操作系统中部署运行IPSec安全服务且在内核态编译运行专用协议栈代码，这个过程耗费大量人力物力，且很难在多种不同终端设备中保证兼容性和稳定性。本发明实现的5G透明加密通信模组，与标准5G通信模组接口和基本使用方法完全一致，仅需将原有5G通讯模组替换掉，即可立即实现5G终端设备的IPSec网络传输加密，且无需担心不同设备类型间的兼容性，省去了传统方式安全改造带来的大量人力物力的消耗。技术研发人员：张建国,付晓峰,王赛受保护的技术使用者：北京国领科技有限公司技术研发日：技术公布日：2024/7/23