日本在线www-日本在线播放一区-日本在线不卡免费视频一区-日本在线不卡视频-成人影院久久久久久影院-成人影院一区二区三区

★南京訊石數(shù)據(jù)科技有限公司牛毅

★國家電網(wǎng)信產(chǎn)集團北京中電飛華通信有限公司周游

摘要：本文分析了當前工控生產(chǎn)網(wǎng)絡(luò)的安全現(xiàn)狀和需求，指出了在工業(yè)制造、能源生產(chǎn)過程中，其生產(chǎn)現(xiàn)場的復(fù)雜性和特殊性對數(shù)據(jù)進行安全防護所面臨的問題；通過對傳統(tǒng)的安全認證技術(shù)進行分析，提出了與PKICA認證技術(shù)密碼同源的無證書IPK標識公鑰技術(shù)；通過兩種技術(shù)對比，基于IPK技術(shù)對工控網(wǎng)縱向防御實現(xiàn)即插即用，在滿足工控應(yīng)用效能的基礎(chǔ)上，對現(xiàn)有網(wǎng)絡(luò)部署無須進行更改，無須增加IP，也無須對接入設(shè)備和系統(tǒng)實施改造，完全滿足復(fù)雜的工業(yè)生產(chǎn)場景。通過IPK即插即用安全終端快速實現(xiàn)工控網(wǎng)絡(luò)的縱向安全防御，保證生產(chǎn)數(shù)據(jù)的加密傳輸、業(yè)務(wù)指令的安全加固、源數(shù)據(jù)的安全可信；進一步的，用戶方可以靈活便捷地自主生產(chǎn)、簽發(fā)、管理密鑰，安全不再依賴設(shè)備廠家，真正實現(xiàn)工業(yè)生產(chǎn)數(shù)據(jù)安全的自主可控。

關(guān)鍵詞：即插即用；縱向防御；標識公鑰；效能評估

1 引言

隨著物聯(lián)網(wǎng)技術(shù)在工業(yè)生產(chǎn)中的應(yīng)用和推廣，安全隱患問題也變得日益突出。近年來，國家相繼出臺了各類安全法律、法規(guī)和技術(shù)標準，工業(yè)生產(chǎn)基礎(chǔ)設(shè)施安全已上升至國家安全戰(zhàn)略的高度。工業(yè)生產(chǎn)的過程中會形成各種數(shù)據(jù)，幾乎涵蓋了工業(yè)生產(chǎn)、制造過程的所有核心資料，這些數(shù)據(jù)不僅是企業(yè)生產(chǎn)制造的核心數(shù)據(jù)，同時也是我國工業(yè)生產(chǎn)行業(yè)的關(guān)鍵數(shù)據(jù)。這些數(shù)據(jù)一旦被非法采集或截取，將會完全脫離企業(yè)用戶的自身控制，給企業(yè)乃至國家埋下安全隱患。因此，必須保證工業(yè)制造、能源生產(chǎn)行業(yè)關(guān)鍵數(shù)據(jù)的安全，為數(shù)據(jù)建立安全防御。

目前，我國工業(yè)生產(chǎn)網(wǎng)絡(luò)的安全防護大多是在網(wǎng)絡(luò)邊界及安全域出口設(shè)置防火墻、網(wǎng)閘等安全防護設(shè)備，可以基本實現(xiàn)對生產(chǎn)網(wǎng)絡(luò)的橫向防護，但對于接入生產(chǎn)網(wǎng)絡(luò)的各類監(jiān)控設(shè)備、業(yè)務(wù)系統(tǒng)來講，工控網(wǎng)絡(luò)的縱向防護嚴重缺失。工業(yè)生產(chǎn)數(shù)據(jù)通常通過工控系統(tǒng)實現(xiàn)監(jiān)控采集，一方面，通過監(jiān)控設(shè)備采集的數(shù)據(jù)大部分都是明文發(fā)送，另一方面，SCADA系統(tǒng)發(fā)送監(jiān)控設(shè)備的指令和參數(shù)也缺少安全防護，一旦遭遇黑客攻擊發(fā)生泄露，通過這些數(shù)據(jù)可以對企業(yè)的工業(yè)生產(chǎn)過程做出統(tǒng)計分析，甚至可以通過對監(jiān)控系統(tǒng)數(shù)據(jù)的分析，對相關(guān)操作指令和參數(shù)進行修改，產(chǎn)生不可估量的嚴重后果。尤其對于我國能源生產(chǎn)安全來講，數(shù)據(jù)泄露將可能造成不可估量的損失。

2 工控網(wǎng)絡(luò)安全現(xiàn)狀與需求

由于歷史原因，工業(yè)生產(chǎn)用戶的網(wǎng)絡(luò)安全防護意識較弱，同時生產(chǎn)設(shè)備和系統(tǒng)中還會使用國外的產(chǎn)品或技術(shù)，本身就存在一定的安全隱患。另外，在已形成規(guī)模的工控生產(chǎn)網(wǎng)絡(luò)中，對已經(jīng)上線的工控設(shè)備或系統(tǒng)進行安全改造很難實現(xiàn)。所以，安全防護需要采用對現(xiàn)有應(yīng)用不產(chǎn)生影響、部署靈活、簡單快速、運維成本低的方式進行。

對于新建的工控網(wǎng)絡(luò)應(yīng)用，設(shè)備廠家提供的產(chǎn)品雖然都已經(jīng)增加了安全功能，但產(chǎn)品應(yīng)用的核心密鑰大多都是由產(chǎn)品提供商完成設(shè)置，作為安全核心的密鑰掌握在第三方手中，偏離了安全需要自主可控的核心，這也使得生產(chǎn)企業(yè)無法真正實現(xiàn)對自身數(shù)據(jù)的安全自主可控。

在工業(yè)制造、能源生產(chǎn)過程中，生產(chǎn)現(xiàn)場具有一定的復(fù)雜性和特殊性，要對生產(chǎn)數(shù)據(jù)實現(xiàn)安全防護還會面臨如下問題：

（1）工業(yè)生產(chǎn)具有數(shù)據(jù)傳輸?shù)膶崟r性，且具有應(yīng)用時延要求，安全的加入不能影響到現(xiàn)有應(yīng)用效率，須實現(xiàn)安全運算的低時延、低功耗。

（2）工業(yè)生產(chǎn)環(huán)境復(fù)雜，安全改造盡量不對原有系統(tǒng)和網(wǎng)絡(luò)進行改變，同時，不能造成后續(xù)過高的維護成本。須實現(xiàn)安全改造成本低且易維護。

（3）數(shù)據(jù)是企業(yè)的核心數(shù)字資產(chǎn)，數(shù)據(jù)安全的核心必須掌控在企業(yè)自己手中，企業(yè)不能依靠第三方，必須實現(xiàn)對數(shù)據(jù)安全的自主可控。

（4）工業(yè)生產(chǎn)現(xiàn)場應(yīng)用與傳統(tǒng)的互聯(lián)網(wǎng)應(yīng)用不同，密鑰的安全非常重要，還須防止由于密鑰中心被入侵或泄露導(dǎo)致整個安全防護體系失效帶來的巨大風(fēng)險。

要實現(xiàn)工業(yè)生產(chǎn)數(shù)據(jù)的安全防護，一方面不能依托國外的產(chǎn)品技術(shù)，必須采用我國自主的算法與產(chǎn)品技術(shù)。另一方面，還需要從根本上徹底擺脫傳統(tǒng)的，由產(chǎn)品提供商提供核心密鑰的方式改為：設(shè)備廠商只提供產(chǎn)品安全功能，而產(chǎn)品的核心密鑰必須由企業(yè)自己生產(chǎn)、簽發(fā)和管控。只有這樣，才可以真正實現(xiàn)工業(yè)生產(chǎn)數(shù)據(jù)的安全、自主、可控。

3 工控網(wǎng)縱向安全防御技術(shù)實現(xiàn)

3.1 傳統(tǒng)安全防御技術(shù)的不足

傳統(tǒng)的安全防御技術(shù)體系一般都采用PKI證書方式，安全認證基于中心化實現(xiàn)。而面對工控生產(chǎn)的縱向防護要求與特征，在滿足工控系統(tǒng)運行效率要求的條件下，PKI證書的中心化認證方式可能會存在不足，尤其在窄帶通信、海量設(shè)備接入以及終端運算資源比較緊張的情況下，可能會導(dǎo)致認證效率低下、運算量大、中心密鑰管理復(fù)雜，無法滿足安全應(yīng)用需求等問題。另外，從成本投入的角度，證書密鑰中心的建設(shè)成本也比較高，不能很好地滿足對工控網(wǎng)絡(luò)的縱深安全防護要求。

另外，從實際的生產(chǎn)環(huán)境考慮，工控網(wǎng)絡(luò)中接入了大量的終端設(shè)備，所有終端的密鑰都部署于密鑰中心，接入的設(shè)備越多，管理的復(fù)雜度也會越大，而且，所有密鑰集中于中心，一旦出現(xiàn)泄露，將導(dǎo)致整個安全防護體系的崩塌。所以，中心認證方式對于工控生產(chǎn)網(wǎng)絡(luò)來講，存在一定的安全隱患與不足。一方面要避免中心化密鑰存儲帶來的管理復(fù)雜度與安全風(fēng)險，另一方面，由于終端部署于遠程，需要保證終端密鑰使用的一次一密，即使終端密鑰被破解也只能是獲取一次傳輸數(shù)據(jù)，對整個生產(chǎn)數(shù)據(jù)不會形成任何影響。只有這樣，才可以更好地實現(xiàn)工控生產(chǎn)網(wǎng)絡(luò)的縱深防御。

3.2 IPK標識公鑰技術(shù)介紹

IPK（IdentityPublicKey）標識公鑰技術(shù)是一種無證書公鑰密碼體制，可實現(xiàn)海量密鑰的管理，與傳統(tǒng)的證書體系相比，IPK具有低功耗、高效率、點對點認證的特性，是一種輕量級密鑰實現(xiàn)技術(shù)或密鑰管理協(xié)議。

3.2.1 終端標識密鑰生成

針對接入工控網(wǎng)絡(luò)的終端，IPK可基于終端標識實現(xiàn)密鑰的快速生產(chǎn)管理。如圖1所示，終端最終使用私鑰生成流程大致為：使用終端標識本地生成終端隨機公鑰UPK，并與密鑰中心隨機公鑰HPK一起通過密鑰中心私鑰矩陣計算生成標識私鑰，并簽發(fā)終端；終端通過終端隨機私鑰usk、密鑰中心隨機私鑰hsk以及標識私鑰進行三方復(fù)合運算，生成終端最終使用私鑰isk。終端最終使用公鑰生成流程大致為：使用終端標識本地生成終端隨機公鑰UPK，并與密鑰中心隨機公鑰HPK，通過密鑰中心的公鑰種矩陣計算生成標識公鑰，并簽發(fā)終端，該標識公鑰與終端隨機公鑰UPK、密鑰中心隨機公鑰HPK共同計算生成終端最終使用公鑰。終端標識密鑰生成過程如圖1所示。

圖1 終端標識密鑰生成過程

3.2.2 IPK技術(shù)與PKICA技術(shù)對比

與傳統(tǒng)的PKICA認證相比，IPK認證效率更高、運算時間短、簽名包長度更短，同時，IPK實現(xiàn)了點對點安全認證，密鑰管理簡單高效，相比PKI技術(shù)，IPK更加適合實現(xiàn)術(shù)對工控生產(chǎn)網(wǎng)絡(luò)實現(xiàn)縱深防御，效率更高，且?guī)缀醪粫た貞?yīng)用造成任何影響，完全滿足工控生產(chǎn)的安防效能要求。

IPK標識認證與PKICA證書認證的比較如表1所示。

表1 IPK與PKI技術(shù)性能比較

3.2.3 IPK實現(xiàn)工控網(wǎng)縱向防御的特點

通過終端標識密鑰生成過程可以看出：IPK標識密鑰的生成全部在終端本地生成，不需要依賴第三方，可實現(xiàn)點對點快速認證。同時，終端最終使用密鑰是由三方參與生成，密鑰中心只是參與因子，終端密鑰更安全。可見，針對工控網(wǎng)絡(luò)縱向安全防護，采用IPK無證書公鑰密碼技術(shù)具有更明顯的優(yōu)勢：

（1）IPK認證無須證書，而是使用終端設(shè)備的標識直接作為公鑰來實現(xiàn)對設(shè)備的身份授權(quán)和認證，運算低功耗、高效率，滿足工控網(wǎng)絡(luò)5G超高帶寬、超可靠低時延以及超大規(guī)模連接的特性，滿足工控設(shè)備窄帶通信與邊緣計算的要求，完全符合工控網(wǎng)絡(luò)縱向安全防護的安全要求。

（2）IPK可實現(xiàn)海量密鑰的簽發(fā)管理，滿足工控網(wǎng)絡(luò)所有接入設(shè)備、系統(tǒng)、應(yīng)用的密鑰簽發(fā)和安全應(yīng)用，還可通過IPK的技術(shù)特性，滿足工控網(wǎng)絡(luò)的安全隔離和互聯(lián)要求。

（3）IPK密鑰中心簽發(fā)密鑰給終端后將不再參與安全應(yīng)用，終端對密鑰進行二次復(fù)核生成最終使用密鑰，密鑰中心無法獲知，且無法推算出終端的最終使用密鑰，密鑰簽發(fā)與使用更安全，杜絕中心被攻擊或密鑰泄露造成安全防御整體崩潰的重大安全事故。

（4）IPK與傳統(tǒng)的PKICA技術(shù)具有相同的密碼基礎(chǔ)與協(xié)議，全部基于國密SM2算法實現(xiàn)安全應(yīng)用，IPK與PKI可輕松實現(xiàn)技術(shù)互通，可滿足工控網(wǎng)絡(luò)云端與感知端安全體系相互融合的需求。

4 即插即用工控網(wǎng)縱向安全防御

4.1 工控網(wǎng)縱向應(yīng)用的安全風(fēng)險

傳統(tǒng)的工控縱向網(wǎng)絡(luò)一般包括了三部分：遠程采集端、監(jiān)控中心、信息中心。遠程采集端的數(shù)據(jù)發(fā)送至工控SCADA系統(tǒng)，經(jīng)SCADA實時監(jiān)控，形成最終的生產(chǎn)數(shù)據(jù)，一般通過生產(chǎn)內(nèi)網(wǎng)發(fā)送至信息中心數(shù)據(jù)庫進行存儲。在生產(chǎn)數(shù)據(jù)被遠程采集、傳輸、存儲的整個執(zhí)行路徑中，主要存在以下安全風(fēng)險：

（1）遠程終端接入設(shè)備的身份合法問題；

（2）遠程終端上線發(fā)送數(shù)據(jù)的安全傳輸問題；

（3）遠程終端發(fā)送源數(shù)據(jù)的安全可信問題；

（4）SCADA下行指令及核心參數(shù)的安全可靠問題。

4.2 即插即用工控網(wǎng)絡(luò)縱向安全防御護架構(gòu)

即插即用工控網(wǎng)縱向安全防御的整體架構(gòu)示意如圖2所示。

圖2 即插即用工控網(wǎng)縱向安全防御實現(xiàn)框架

即插即用工控網(wǎng)縱向安全防御實現(xiàn)基于IPK標識公鑰密碼技術(shù)。在遠程采集端的終端傳感設(shè)備上串聯(lián)了SEU（即插即用安全終端），SEU可以通過RJ45或RS485接口與已有的終端傳感設(shè)備（圖像、視頻監(jiān)控；RTU、PLC、網(wǎng)關(guān)；數(shù)據(jù)集中器；傳感設(shè)備等）實現(xiàn)鏈接，設(shè)備綁定無須增加新的IP。在監(jiān)控中心SCADA系統(tǒng)前端連接縱向認證加密設(shè)備E-SCE（邊緣安全網(wǎng)關(guān)），生產(chǎn)數(shù)據(jù)上傳及監(jiān)控指令、關(guān)鍵參數(shù)的下發(fā)時，數(shù)據(jù)經(jīng)過SEU、E-SCE即可實現(xiàn)數(shù)據(jù)加密、指令加固以及數(shù)據(jù)源可信。

加入原系統(tǒng)的SEU、E-SCE不會影響原有應(yīng)用，不會增加原有系統(tǒng)的IP管理，通過TUCP（即：終端鑒權(quán)及統(tǒng)一安全管理）對所有設(shè)備進行白名單管理，同時實現(xiàn)設(shè)備密鑰的在線簽發(fā)和管理，保證接入終端的鑒權(quán)及相互間的認證。整個系統(tǒng)的數(shù)據(jù)安全實現(xiàn)簡單、快捷，且后續(xù)維護成本低，完全滿足工業(yè)生產(chǎn)的應(yīng)用場景和應(yīng)用時效要求。

5 總結(jié)

工控生產(chǎn)網(wǎng)絡(luò)的縱向安全防御是工業(yè)生產(chǎn)數(shù)據(jù)安全的核心。隨著我國《數(shù)據(jù)安全法》的實施，對于關(guān)系到我國經(jīng)濟與工業(yè)發(fā)展的生產(chǎn)數(shù)據(jù)安全防護更為重要。工業(yè)生產(chǎn)網(wǎng)絡(luò)的安全防護不僅僅是傳統(tǒng)的橫向防御，更需要加強工控網(wǎng)絡(luò)安全的縱深防御。

本文提供了一種全國產(chǎn)化的IPK標識公鑰技術(shù)，基于國密算法，在滿足工控應(yīng)用的安全效能評估、不改變原有工控應(yīng)用網(wǎng)絡(luò)部署、不增加IP、不改造原有設(shè)備和系統(tǒng)的條件下，加入即插即用安全終端，快速建立工控網(wǎng)絡(luò)的縱向安全防護，同時實現(xiàn)了用戶自主生產(chǎn)簽發(fā)密鑰，讓用戶牢牢把控安全核心，真正實現(xiàn)生產(chǎn)數(shù)據(jù)安全的自主可控。

作者介紹：

牛毅 （1973-），男，山西太原人，高級工程師，學(xué)士，現(xiàn)就職于南京訊石數(shù)據(jù)科技有限公司，長期從事輕量級密鑰技術(shù)的研究與應(yīng)用，主要研究方向為工控網(wǎng)絡(luò)安全、網(wǎng)域安全隔離與互通、衛(wèi)星通信安全、物聯(lián)網(wǎng)安全、終端設(shè)備安全。

周游 （1978-），男，北京人，高級工程師，學(xué)士，現(xiàn)就職于國家電網(wǎng)信產(chǎn)集團北京中電飛華通信有限公司，主要研究方向為電力通信技術(shù)、信息通信安全等相關(guān)技術(shù)研究。

摘自《自動化博覽》2022年10月刊