TETRA數(shù)字集群系統(tǒng)一直以強(qiáng)大的調(diào)度功能而著稱,作為系統(tǒng)重要組成部分的調(diào)度臺(tái)為調(diào)度員進(jìn)行指揮調(diào)度提供一個(gè)操作平臺(tái),可以極大提高工作效率。設(shè)計(jì)功能豐富、性能可靠、人機(jī)界面良好的調(diào)度臺(tái)軟件對(duì)TETRA系統(tǒng)的開發(fā)與應(yīng)用有重要的意義。為此，我們?cè)O(shè)計(jì)了一款基于TETRA數(shù)字集群系統(tǒng)的調(diào)度臺(tái)加密系統(tǒng)。

一、TETRA數(shù)字集群系統(tǒng)

TETRA數(shù)字集群通信系統(tǒng)是基于數(shù)字時(shí)分多址（TDMA）技術(shù)的專業(yè)移動(dòng)通信系統(tǒng)，可在同一技術(shù)平臺(tái)上提供指揮調(diào)度、數(shù)據(jù)傳輸和電話服務(wù)，它不僅提供多群組的調(diào)度功能，而且還可以提供短數(shù)據(jù)信息服務(wù)、分組數(shù)據(jù)服務(wù)以及數(shù)字化的全雙工移動(dòng)電話服務(wù)。TETRA數(shù)字集群系統(tǒng)還支持功能強(qiáng)大的移動(dòng)臺(tái)脫網(wǎng)直通（DMO）方式，可實(shí)現(xiàn)鑒權(quán)、空中接口加密和端對(duì)端加密。TETRA數(shù)字集群系統(tǒng)同時(shí)還具有虛擬專網(wǎng)功能，可以使一個(gè)物理網(wǎng)絡(luò)為互不相關(guān)的多個(gè)組織機(jī)構(gòu)服務(wù)。TETRA數(shù)字集群系統(tǒng)具有豐富的服務(wù)功能、更高的頻率利用率、高通信質(zhì)量、靈活的組網(wǎng)方式，許多新的應(yīng)用（如車輛定位、圖像傳輸、移動(dòng)互聯(lián)網(wǎng)、數(shù)據(jù)庫(kù)查詢等）都已在TETRA中得到實(shí)現(xiàn)。因此，近兩年TETRA數(shù)字集群系統(tǒng)在歐洲乃至世界得到了快速的發(fā)展。

二、TETRA數(shù)字集群系統(tǒng)端到端安全原理

在TETRA系統(tǒng)中通過采用端到端加密機(jī)制，實(shí)現(xiàn)系統(tǒng)內(nèi)從發(fā)端用戶到收端用戶間信息的全程通信保密。根據(jù)TETRA MoU SFPG組織對(duì)端到端加密機(jī)制實(shí)施的一些建議和要求，TETRA端到端加密系統(tǒng)結(jié)構(gòu)如圖1所示，其中陰影部分用以實(shí)現(xiàn)端到端安全，是端到端加密系統(tǒng)的核心。

TETRA系統(tǒng)為通信終端或調(diào)度臺(tái)提供透明的通信線路和標(biāo)準(zhǔn)的通信接口。端到端的安全通信是通過在TETRA終端或調(diào)度臺(tái)中增加端到端加密模塊來實(shí)現(xiàn)的，它負(fù)責(zé)終端或調(diào)度臺(tái)之間話音及數(shù)據(jù)通信的加密保護(hù)。它采用流密碼算法來完成話音通信的加解密功能；采用分組加密算法為系統(tǒng)中的數(shù)據(jù)通信提供端到端加解密和完整性校驗(yàn)功能。端到端加密密鑰的生成、分配和管理則由端到端密鑰管理中心采用OTAK方式Over The Air Keying)和OOB方式(Out Of Band)來實(shí)現(xiàn)。

三、基于TETRA數(shù)字集群系統(tǒng)的調(diào)度臺(tái)加密系統(tǒng)如何設(shè)計(jì)

1、調(diào)度臺(tái)語(yǔ)音加密技術(shù)

TETRA調(diào)度臺(tái)在整個(gè)TETRA系統(tǒng)中扮演著非常重要的角色，同時(shí)肩負(fù)著通信和管理兩大功能。在通信方面，它可以同時(shí)進(jìn)行多達(dá)16路的群組通信以方便用戶進(jìn)行調(diào)度和監(jiān)聽，也可以針對(duì)某個(gè)用戶進(jìn)行單呼；在管理方面，它負(fù)責(zé)終端參數(shù)配置、通話組劃分與組成員管理等等。因此，要實(shí)現(xiàn)TETRA系統(tǒng)的端到端安全，必須使調(diào)度臺(tái)也具備完善的端到端安全能力。

為表述方便，將IETRA中端到端語(yǔ)音加解密采用的算法稱為EA,其類似一個(gè)流密碼算法。加密時(shí)，加密密鑰(KEY)和初始向量(IV)作為算法EA的兩個(gè)輸入，進(jìn)而生成一個(gè)用于加密的密鑰流，該密鑰流與語(yǔ)音編碼器輸出的明文語(yǔ)音流異或后，得到在系統(tǒng)中傳輸?shù)拿芪牧?。為了接收端能夠同步解密密文流，還必須將生成的同步向量(S.V)注入到密文流中。解密時(shí)，接收端檢測(cè)到同步幀，從中解出SV，用于解密的同步；SV和本地存儲(chǔ)的KEY被輸入到算法EA中，得到用于解密的密鑰流，該密鑰流與傳送過來的密文流異或后得到明文的語(yǔ)音流，發(fā)送給語(yǔ)音編碼器。

2、調(diào)度臺(tái)語(yǔ)音加密的算法

在TETRA調(diào)度臺(tái)語(yǔ)音加密系統(tǒng)中，EA算法采用密鑰長(zhǎng)度為128bits分組大小為64bits的分組算法運(yùn)行4次來實(shí)現(xiàn)。

TETRA系統(tǒng)中每半幀語(yǔ)音數(shù)據(jù)的長(zhǎng)度為137bits同步幀長(zhǎng)度為119bits其中有64bits是同步向量(S.I)。在通信發(fā)起時(shí)，64bits的隨機(jī)初始向量(Iv)被預(yù)先存放在寄存器R中，并以128bits的KEY為密鑰，將采用64bits分組的加密算法運(yùn)行4次，生成256bits的數(shù)據(jù)，其中高192bits作為密鑰流，低64bits作為同步向量8D。Sv與其它一些附加信息，如用于接收方選擇正確的解密密鑰及算法的密鑰編號(hào)與算法編號(hào)、防止重放攻擊的時(shí)間戳、提供完整性保證的校驗(yàn)等，一同封裝為同步幀，發(fā)送給接收端。由于半個(gè)語(yǔ)音幀的長(zhǎng)度只有137bits因此192bits的密鑰流只有高37bits被使用，其余部分將被丟棄。

同步幀的傳輸采用竊取半個(gè)語(yǔ)音數(shù)據(jù)幀的方法，實(shí)踐證明該方法對(duì)話音質(zhì)量的影響可以忽略。如表1所示，Ri代表算法的第i次輸出，Ru是隨機(jī)初始向量Ⅳ，Ri=EA [ri-1]key (i=1,2...n)。在第o、1、3個(gè)半幀發(fā)生同步，該半幀用于傳輸同步幀；其余半幀仍舊用于傳輸語(yǔ)音數(shù)據(jù)。

接收端檢測(cè)到同步幀，取出同步幀中的同步向量(sv)，將其發(fā)送給本地的密鑰流產(chǎn)生器，以完成與發(fā)送端的同步，進(jìn)而完成語(yǔ)音的解密。

實(shí)際應(yīng)用中的EA算法可以采用多種加密算法予以實(shí)現(xiàn)，例如，可以直接采用流密碼算法對(duì)語(yǔ)音進(jìn)行加密，這樣可以簡(jiǎn)化算法的實(shí)現(xiàn)。但是，隨之而來的是如何解決重入問題，即當(dāng)一個(gè)組呼已經(jīng)建立，當(dāng)前的組內(nèi)成員正在通話，這時(shí)如果又有一個(gè)用戶試圖加入組呼，就必須引入流算法重新同步的機(jī)制，以使新到來的用戶也能正常解密。為了提高加密強(qiáng)度，也可以采用128bit分組的加密算法，這樣的加密算法運(yùn)行2次就可以實(shí)現(xiàn)EA算法。由于這時(shí)同步幀的長(zhǎng)度達(dá)到了183bits，超過了半個(gè)語(yǔ)音幀的長(zhǎng)度，必須竊取2個(gè)語(yǔ)音半幀才能完成同步幀的傳輸，會(huì)對(duì)語(yǔ)音質(zhì)量造成一定影響，試驗(yàn)中發(fā)現(xiàn)，在合理安排偷幀頻率的情況下，同樣可以獲得很好的語(yǔ)音質(zhì)量。

3、調(diào)度臺(tái)加密模塊的設(shè)計(jì)與實(shí)現(xiàn)

基于上述原理，我們自主研發(fā)了加密調(diào)度臺(tái)系統(tǒng)，其中的語(yǔ)音加解密處理是通過硬件系統(tǒng)實(shí)現(xiàn)的，其核心是加密模塊。如圖4所示，數(shù)字信號(hào)處理芯片DSP是加密模塊的主控芯片，它接收到語(yǔ)音流后向算法芯片請(qǐng)求密鑰流，并將兩者異或，以完成語(yǔ)音加解密工作；同時(shí)它從PCI接口接收相關(guān)的管理消息，進(jìn)行密鑰、關(guān)聯(lián)表等信息的管理。隨機(jī)數(shù)發(fā)生器為算法芯片提供初始向量(IV)。Flash用于存儲(chǔ)加密模塊的軟件，該軟件在模塊啟動(dòng)時(shí)被加載到DSP芯片的片內(nèi)存儲(chǔ)器中運(yùn)行。RAM用于存儲(chǔ)通信相關(guān)的密鑰、關(guān)聯(lián)表等信息，這些信息在模塊掉電后自行丟失。CPLD負(fù)責(zé)選通Flash和RAM的相關(guān)引腳，以便DSP使用相應(yīng)的存儲(chǔ)空間。加密模塊通過E1接口和PCI接口分別與IETRA交換機(jī)和調(diào)度臺(tái)連接。

4、調(diào)度臺(tái)加密模塊管理接口的設(shè)計(jì)與實(shí)現(xiàn)

加密模塊的管理接口采用COM技術(shù)設(shè)計(jì)與實(shí)現(xiàn)。

EMUser組件是加密模塊客戶端首先建立的COM組件，它包括兩個(gè)接口：ⅢMUser接口，它包括Login和Logout兩個(gè)方法，用于實(shí)現(xiàn)加密調(diào)度臺(tái)用戶的登錄和注銷操作；Wvlobject-Facloy接口，它包括Crea t20 bject方法，用于實(shí)現(xiàn)對(duì)其它組件的訪問。

EMManage組件負(fù)責(zé)管理加密模塊的工作狀態(tài)，它包括IHvIM anager接口，該接口包括StarUp Reset Shutdown三個(gè)方法，分別用于啟動(dòng)、重置、關(guān)閉加密模塊。

EMKeyManager組件負(fù)責(zé)管理加密模塊中的各種密鑰，它包括JEMKe:SM anager接口，該接口包括SelecKey SelKey;D ele~Ke3R UpdakKey方法，分別用于查詢、存入、刪除、更新密鑰信息。

EMA ssoc iatiorix4 anage組件負(fù)責(zé)管理加密模塊中的關(guān)聯(lián)表信息，它包括vIA ssocia tionM anager接口，該接口包括Se lec- rA ssoc ia tiorx SeA ssocia tion,Delete A ssoc ia tion UpdaleA ssoc ia tion方法，分別用于查詢、存入、刪除、更新關(guān)聯(lián)表信息。

EMCGM anager組件負(fù)責(zé)管理加密模塊中的加密組信息，它包括EM CGM anager接口，該接口包括SejecICG SelCG，DeleteCG、UpdakCG方法，分別用于查詢、存入、刪除、更新加密組信息。

admin

收藏 海報(bào)分享