基于國(guó)產(chǎn)標(biāo)識(shí)密碼算法的身份認(rèn)證技術(shù)在油田工業(yè)控制系統(tǒng)的應(yīng)用

李偉

摘要：依據(jù)油田工業(yè)控制系統(tǒng)的實(shí)際情況，采用基于標(biāo)識(shí)密碼技術(shù)進(jìn)行身份認(rèn)證，能夠較好的兼顧系統(tǒng)的安全性和易用性。本方案基于標(biāo)識(shí)管理系統(tǒng)，結(jié)合標(biāo)識(shí)密碼機(jī)進(jìn)行整體系統(tǒng)的密鑰生成、分發(fā)以及統(tǒng)一的密鑰管理設(shè)計(jì)，并搭建一套原型系統(tǒng)，對(duì)基于標(biāo)識(shí)密碼技術(shù)的身份認(rèn)證方案進(jìn)行了驗(yàn)證，實(shí)現(xiàn)油田工業(yè)控制系統(tǒng)對(duì)終端的身份認(rèn)證。

關(guān)鍵詞：工業(yè)控制系統(tǒng);標(biāo)識(shí)密碼;身份認(rèn)證

1???? 引言

根據(jù)目前的油田工業(yè)控制系統(tǒng)的實(shí)際應(yīng)用情況，使用口令密碼、生物身份識(shí)別技術(shù)、傳統(tǒng)PKI體系部署管理等方式會(huì)造成系統(tǒng)安全性較低、大部分終端不滿足條件以及架構(gòu)形式過(guò)于復(fù)雜等缺陷。采用基于標(biāo)識(shí)密碼技術(shù)進(jìn)行身份認(rèn)證，可以很好的兼顧系統(tǒng)易用性和安全性，而入網(wǎng)過(guò)程是進(jìn)行身份認(rèn)證的合適時(shí)機(jī)，故本方案基于標(biāo)識(shí)管理系統(tǒng)，結(jié)合符合國(guó)家標(biāo)準(zhǔn)的標(biāo)識(shí)密碼機(jī)進(jìn)行整體系統(tǒng)的密鑰生成、分發(fā)以及統(tǒng)一的密鑰管理設(shè)計(jì)，并基于該過(guò)程建立安全傳輸通道，進(jìn)行訪問(wèn)控制，完成油田工業(yè)控制系統(tǒng)中基于標(biāo)識(shí)密碼技術(shù)的身份認(rèn)證方案。同時(shí)，部署搭建一套原型系統(tǒng)進(jìn)行軟件開(kāi)發(fā)，以驗(yàn)證身份認(rèn)證系統(tǒng)的效果和性能，試驗(yàn)結(jié)果表明可以滿足油田工業(yè)控制系統(tǒng)實(shí)際需要，保證了對(duì)終端的身份認(rèn)證安全。

2???? 身份認(rèn)證技術(shù)介紹

身份認(rèn)證技術(shù)是能夠?qū)π畔⒌氖瞻l(fā)方進(jìn)行真實(shí)身份鑒別的技術(shù)，其基本思想是同構(gòu)驗(yàn)證被認(rèn)證對(duì)象的屬性來(lái)達(dá)到被認(rèn)證對(duì)象是否真實(shí)有效的目的。用以識(shí)別、驗(yàn)證網(wǎng)絡(luò)信息系統(tǒng)中用戶身份的合法性和真實(shí)性和抗抵賴(lài)性[1]。常見(jiàn)的身份認(rèn)證方法有：基于口令識(shí)別身份方法;基于智能卡、令牌的鑒別方法;基于PKI數(shù)字證書(shū)的鑒別方法;基于生物特征的鑒別方法等。其中，口令認(rèn)證是最常用的方式，具有靜態(tài)口令和動(dòng)態(tài)口令兩種方式;令牌、智能卡是一種內(nèi)置集成電路芯片，用來(lái)保存與用戶身份相關(guān)的資料數(shù)據(jù);數(shù)字證書(shū)是利用可信第三方來(lái)證明用戶的身份;生物特征認(rèn)證則以人體生物特征為依據(jù)，采用計(jì)算機(jī)的強(qiáng)大功能和網(wǎng)絡(luò)技術(shù)進(jìn)行圖像處理、分類(lèi)和模式識(shí)別，其具有唯一性、可靠性和穩(wěn)定性。

2.1? 新型生物身份認(rèn)證技術(shù)

生物身份認(rèn)證技術(shù)，主要是人體特征。新型身份認(rèn)證技術(shù)不同于傳統(tǒng)的生物身份認(rèn)證，其以使用者大量日常行為為基礎(chǔ)來(lái)判定使用者身份的一種認(rèn)證技術(shù)。身份認(rèn)證安全系統(tǒng)就對(duì)使用者的行為習(xí)慣進(jìn)行跟蹤記錄，建立起使用者行為身份模型，當(dāng)使用者的行為與系統(tǒng)模型不匹配時(shí)，安全系統(tǒng)能及時(shí)發(fā)現(xiàn)，并發(fā)出警報(bào)甚至終止當(dāng)前使用者的權(quán)限。

2.2? IBE身份認(rèn)證技術(shù)

IBE身份認(rèn)證技術(shù)是將使用者現(xiàn)有公開(kāi)的一些數(shù)字資源作為公鑰加密的方式。IBE不需要使用者獲取第三方的公鑰證書(shū)，能夠直接使用對(duì)方的數(shù)字標(biāo)識(shí)已完成身份信息加密，這種方式降低了身份認(rèn)證的步驟，為使用者提供了極大的便利。IBE加密基于橢圓曲線離散對(duì)數(shù)，使用橢圓曲線加密算法，使獲得的密鑰更安全且長(zhǎng)度更短。減少了對(duì)公鑰證書(shū)的依賴(lài)，簡(jiǎn)化了身份認(rèn)證的步驟，不只方便了使用者，也減輕了服務(wù)器為密碼運(yùn)算的壓力[2]。

2.4國(guó)產(chǎn)標(biāo)識(shí)密碼技術(shù)的身份認(rèn)證

SM9是我國(guó)最新發(fā)布的標(biāo)識(shí)密碼算法，即IBC體系算法。IBC體系是在傳統(tǒng)的PKI體系基礎(chǔ)上發(fā)展而來(lái)，由以色列密碼學(xué)家沙米爾在1984年提出，2006年我國(guó)頒發(fā)算法型號(hào)SM9，2017年，我國(guó)SM2與SM9數(shù)字簽名算法成為ISO/IEC國(guó)際標(biāo)準(zhǔn)[3]。在IBC體系中，通過(guò)每個(gè)人的唯一標(biāo)識(shí)結(jié)合主密鑰和公共參數(shù)就可以為每個(gè)用戶創(chuàng)建唯一的私鑰，管理員只需要管理主密鑰、公共參數(shù)即可，極大地簡(jiǎn)化了密鑰的管理，IBC體系中的密鑰管理只包括密鑰產(chǎn)生和密鑰更新。因此，IBC體系除了PKI體系的技術(shù)優(yōu)點(diǎn)外，主要解決了在具體安全應(yīng)用中PKI體系需要大量交換數(shù)字證書(shū)的問(wèn)題，使安全應(yīng)用更加易于使用和部署[4]。

在油田工業(yè)控制系統(tǒng)中，結(jié)合標(biāo)識(shí)密碼技術(shù)能夠很好的解決傳統(tǒng)認(rèn)證方案所帶來(lái)的問(wèn)題，是目前工控系統(tǒng)信息安全方案設(shè)計(jì)中較為普遍的選擇。

3???? 基于標(biāo)識(shí)密碼的油田工業(yè)控制系統(tǒng)身份認(rèn)證方案

3.1? 方案架構(gòu)

在服務(wù)端部署標(biāo)識(shí)密碼機(jī)、標(biāo)識(shí)管理平臺(tái)和安全接入系統(tǒng)的服務(wù)器端，標(biāo)識(shí)密碼機(jī)采用支持國(guó)密SM9算法的高性能密碼機(jī)，標(biāo)識(shí)管理平臺(tái)根據(jù)工控系統(tǒng)需要進(jìn)行設(shè)計(jì)開(kāi)發(fā)，負(fù)責(zé)完成整個(gè)系統(tǒng)的密鑰進(jìn)行生成、分發(fā)、管理等操作。安全接入網(wǎng)關(guān)服務(wù)器基于標(biāo)識(shí)密碼技術(shù)進(jìn)行設(shè)計(jì)，對(duì)終端進(jìn)行身份認(rèn)證并提供安全接入服務(wù)。各終端通過(guò)集成安全中間件獲得身份認(rèn)證和安全接入的能力。通過(guò)基于SM9標(biāo)識(shí)密碼技術(shù)的身份認(rèn)證、密鑰協(xié)商、數(shù)據(jù)加解密，保障系統(tǒng)的安全。

3.2? 實(shí)現(xiàn)功能

本方案可實(shí)現(xiàn)工控終端與服務(wù)端之間的身份認(rèn)證、通訊加密、安全組網(wǎng)等。由于基于標(biāo)識(shí)的密碼體系通過(guò)標(biāo)識(shí)即可得出公鑰，不再依賴(lài)預(yù)存大量證書(shū)和第三方權(quán)威機(jī)構(gòu)來(lái)驗(yàn)證公鑰，還可以實(shí)現(xiàn)兩個(gè)終端設(shè)備之間離線的身份認(rèn)證，提升了現(xiàn)場(chǎng)檢修時(shí)的便利性和安全性。采用基于標(biāo)識(shí)密碼技術(shù)的安全傳輸協(xié)議，在工控終端與服務(wù)端采集設(shè)備之間建立專(zhuān)用網(wǎng)絡(luò)連接，利用數(shù)字簽名技術(shù)確認(rèn)雙方身份正確，使用國(guó)密密鑰交換協(xié)議進(jìn)行對(duì)稱(chēng)算法會(huì)話密鑰協(xié)商，實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)的加密安全傳輸。還可支持終端間的離線認(rèn)證。

3.3? 基于標(biāo)識(shí)密碼技術(shù)的身份認(rèn)證系統(tǒng)原型設(shè)計(jì)與開(kāi)發(fā)

為了驗(yàn)證油田工業(yè)控制系統(tǒng)中基于標(biāo)識(shí)密碼技術(shù)的身份認(rèn)證方案，按上文所述方案進(jìn)行軟件開(kāi)發(fā)，部署搭建一套原型系統(tǒng)，以驗(yàn)證身份認(rèn)證系統(tǒng)的效果和性能是否可以滿足實(shí)際需要。

3.3.1????? 開(kāi)發(fā)成果

基于linux系統(tǒng)研發(fā)了標(biāo)識(shí)管理平臺(tái)軟件，通過(guò)與標(biāo)識(shí)密碼機(jī)交互，調(diào)用標(biāo)識(shí)密碼機(jī)應(yīng)用接口完成標(biāo)識(shí)密碼系統(tǒng)的初始化、標(biāo)識(shí)私鑰的生成等操作;對(duì)外提供密鑰安全下載等功能;提供Web管理頁(yè)面讓管理者對(duì)系統(tǒng)內(nèi)的密鑰進(jìn)行統(tǒng)一管理，對(duì)終端可按照所屬片區(qū)、礦井、組織單位等進(jìn)行統(tǒng)一管理。并對(duì)密鑰分發(fā)、終端接入、系統(tǒng)管理等操作進(jìn)行詳細(xì)的日志記錄，提供安全審計(jì)功能。

3.3.2????? 實(shí)現(xiàn)效果

在服務(wù)端部署了一套原型系統(tǒng)并在各類(lèi)終端進(jìn)行了安全中間件的集成后，對(duì)系統(tǒng)功能進(jìn)行了測(cè)試。終端可以與服務(wù)端實(shí)現(xiàn)基于標(biāo)識(shí)密碼算法的身份認(rèn)證并建立起安全傳輸通道，服務(wù)端安全接入網(wǎng)關(guān)每秒可完成約8000余次新建連接請(qǐng)求，并可進(jìn)行水平擴(kuò)容，性能已可以滿足當(dāng)前一般工控系統(tǒng)的需要。

4???? 結(jié)論

采用基于安全傳輸協(xié)議的云安全接入技術(shù)來(lái)實(shí)現(xiàn)專(zhuān)用網(wǎng)絡(luò)加密傳輸，通過(guò)基于標(biāo)識(shí)密碼算法、高效的傳輸層安全協(xié)議，利用TCP、UDP的傳輸機(jī)制，對(duì)TCP會(huì)話、鏈路協(xié)議、IP數(shù)據(jù)、UDP報(bào)文的保護(hù)后傳遞。采用多框架密鑰交換協(xié)議和基于標(biāo)識(shí)的密碼技術(shù)，結(jié)合網(wǎng)絡(luò)封包代理、截獲技術(shù)，實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)用戶的身份認(rèn)證和遠(yuǎn)程數(shù)據(jù)的加密傳輸。

針對(duì)油田工業(yè)控制系統(tǒng)終端的實(shí)際情況，開(kāi)發(fā)了三種安全中間件，分別為安全模組、安全密碼中間件、安全接入設(shè)備三種類(lèi)型，安全模組為硬件模組，內(nèi)置安全芯片和通訊模組，實(shí)現(xiàn)密鑰的安全存儲(chǔ)、密碼運(yùn)算和與服務(wù)端建立安全通道，對(duì)外提供API接口，適用于可集成硬件的終端，安全性最高。安全密碼中間件為軟件開(kāi)發(fā)包，適配各類(lèi)系統(tǒng)，內(nèi)置算法庫(kù)，終端集成庫(kù)文件后，通過(guò)功能接口實(shí)現(xiàn)密碼功能，適用于具備軟件集成條件的終端。安全接入設(shè)備為小型設(shè)備，通過(guò)數(shù)據(jù)攔截和重定向技術(shù)，對(duì)終端實(shí)現(xiàn)透明傳輸，并與服務(wù)端進(jìn)行身份認(rèn)證建立安全傳輸通道，適用于集成能力低的終端。

參考文獻(xiàn)：

[1]?? 袁峰，程朝輝.SM9標(biāo)識(shí)密碼算法綜述[J].信息安全研究，2016，2（11）：1008-1027.

[2]?? 胡杰.SM9密鑰管理機(jī)制研究[D].華中科技大學(xué)，2019.