面向工業(yè)互聯(lián)網(wǎng)的傳輸網(wǎng)絡(luò)安全研究

◆陳禮波 宋明澤

面向工業(yè)互聯(lián)網(wǎng)的傳輸網(wǎng)絡(luò)安全研究

◆陳禮波 宋明澤

（中訊郵電咨詢?cè)O(shè)計(jì)院有限公司 北京 100000）

工業(yè)領(lǐng)域互聯(lián)網(wǎng)實(shí)際傳輸期間，需對(duì)所有傳輸節(jié)點(diǎn)、端至端、鏈路等實(shí)施有效控制及加密處理，以更好地維護(hù)網(wǎng)絡(luò)安全。鑒于此，本文主要圍繞著工業(yè)領(lǐng)域互聯(lián)網(wǎng)傳輸?shù)木W(wǎng)絡(luò)安全開(kāi)展深入的研究和探討，期望可以為后續(xù)更多技術(shù)專家和學(xué)者對(duì)此類課題的實(shí)踐研究提供有價(jià)值的指導(dǎo)或者參考。

互聯(lián)網(wǎng)；工業(yè)；網(wǎng)絡(luò)安全；傳輸

工業(yè)領(lǐng)域互聯(lián)網(wǎng)信息數(shù)據(jù)，若想確保互聯(lián)互通得以實(shí)現(xiàn)，便需依靠著網(wǎng)絡(luò)傳輸才可具體實(shí)現(xiàn)，這對(duì)于工業(yè)領(lǐng)域互聯(lián)網(wǎng)實(shí)施網(wǎng)絡(luò)傳輸整個(gè)過(guò)程安全要求相對(duì)較高，需制定相應(yīng)安全傳輸機(jī)制，注重身份鑒別及有效認(rèn)證，做好數(shù)據(jù)傳輸?shù)挠行Ъ用芴幚淼取Ｒ蚨C合分析工業(yè)領(lǐng)域互聯(lián)網(wǎng)傳輸?shù)木W(wǎng)絡(luò)安全，有著一定的現(xiàn)實(shí)意義和價(jià)值。

1 身份鑒別及認(rèn)證

1.1 在傳輸兩端的主體和傳輸節(jié)點(diǎn)層面

工業(yè)領(lǐng)域互聯(lián)網(wǎng)中，RTU、IED、智能化攝像頭等屬于不可信的終端節(jié)點(diǎn)，增加工控網(wǎng)絡(luò)風(fēng)險(xiǎn)系數(shù)。身份認(rèn)證層面管理之下，工業(yè)領(lǐng)域應(yīng)用場(chǎng)景內(nèi)含服務(wù)資源、工控主機(jī)登錄服務(wù)裝置、PaaS云平臺(tái)訪問(wèn)等，而訪問(wèn)工業(yè)裝置、云平臺(tái)、業(yè)務(wù)系統(tǒng)均選定多因素的認(rèn)證。在一定程度上，身份認(rèn)證需通信各方互相鑒別好各自的身份之后才可通信，確保各方數(shù)字身份、物理身份處于一致性狀態(tài)。工業(yè)應(yīng)用專項(xiàng)系統(tǒng)內(nèi)，身份認(rèn)證需和企業(yè)內(nèi)部業(yè)務(wù)流程配合好，避免通信遭到非法攻擊。分類設(shè)置好賬戶權(quán)限，依照著最小特權(quán)基本原則，分配好賬戶權(quán)限。針對(duì)工業(yè)通信專用裝置、工控裝置、PLC的控制軟件、CS軟件、SCADA軟件等這些登錄賬戶、密碼等，均選定強(qiáng)口令，默認(rèn)口令及弱口令均不可取，務(wù)必定期更新口令，且需防止不同網(wǎng)絡(luò)系統(tǒng)共享身份認(rèn)證相關(guān)證書。工業(yè)場(chǎng)景內(nèi)，身份驗(yàn)證常用因素類型以固有特征、擁有物、知識(shí)等為主。知識(shí)，即用戶可證明自己所知曉信息資料，如訪問(wèn)的ID號(hào)、裝置登錄密碼、口令、業(yè)務(wù)流程具體細(xì)節(jié)各個(gè)層面；擁有物，即用戶自身?yè)碛兄勺C明身份物理裝置，如手機(jī)短信的驗(yàn)證碼、數(shù)字簽名的證書、身份驗(yàn)證的APP、RFID的閱讀器、主機(jī)啟動(dòng)的U盾等；所謂固有特征，即生物特征，內(nèi)含控制指令相應(yīng)語(yǔ)音、門禁系統(tǒng)內(nèi)視網(wǎng)膜、HMI上機(jī)位啟動(dòng)指紋等；口令認(rèn)證，屬于工業(yè)場(chǎng)景下較為常用手段[1]。請(qǐng)求的認(rèn)證方需有ID，且認(rèn)證者所在用戶信息數(shù)據(jù)庫(kù)內(nèi)該ID務(wù)必有唯一性特點(diǎn)。為務(wù)必口令安全，傳輸期間切勿截獲或者篡改操作。系統(tǒng)管理者應(yīng)熟悉用戶口令，向認(rèn)證者發(fā)出口令認(rèn)證相關(guān)信息請(qǐng)求前期，務(wù)必對(duì)認(rèn)證方實(shí)際真實(shí)性予以有效確認(rèn)，以雙向認(rèn)證手段實(shí)施；數(shù)字簽名，也屬于工業(yè)場(chǎng)景認(rèn)證常用手段，以公鑰加密計(jì)算方法為基礎(chǔ)，通信各方并不需要借助網(wǎng)絡(luò)實(shí)施口令及身份秘密相關(guān)信息傳輸，向認(rèn)證者請(qǐng)求嚴(yán)重?cái)?shù)字的簽名即可實(shí)現(xiàn)。

1.2 在多因素層面

工業(yè)實(shí)際應(yīng)用場(chǎng)景當(dāng)中，單因素式認(rèn)證作用薄弱，多因素的認(rèn)證極具安全特性，用戶可提供多項(xiàng)身份的確認(rèn)證據(jù)，用戶所提供驗(yàn)證因素若較為精準(zhǔn)，網(wǎng)絡(luò)系統(tǒng)方便可授予訪問(wèn)權(quán)限，實(shí)現(xiàn)雙因素有效認(rèn)證。工業(yè)應(yīng)用期間，需注重多因素的身份驗(yàn)證潛在不足及風(fēng)險(xiǎn)問(wèn)題。一是，可能會(huì)有驗(yàn)證因素丟失層面問(wèn)題。工業(yè)領(lǐng)域中，主機(jī)啟動(dòng)期間U盾丟失這一問(wèn)題相對(duì)較為常見(jiàn)，需以手機(jī)短信的驗(yàn)證碼實(shí)現(xiàn)有效驗(yàn)證，通常會(huì)有移動(dòng)網(wǎng)聯(lián)絡(luò)不暢、手機(jī)沒(méi)電等問(wèn)題產(chǎn)生。若某因素被多賬戶所認(rèn)證，丟失因素，則賬戶務(wù)必重新恢復(fù)；二是，因素丟失，恢復(fù)選項(xiàng)便捷性和多因素的認(rèn)證沖突現(xiàn)象突出。多因素實(shí)際驗(yàn)證期間若丟失因素，恢復(fù)期間用戶及攻擊者會(huì)陷入困境之中。但若多因素的認(rèn)證未提供相應(yīng)恢復(fù)項(xiàng)，則其很可能永遠(yuǎn)無(wú)法實(shí)現(xiàn)正常登錄；三是，多因素的驗(yàn)證，其為攻擊者對(duì)正常用戶實(shí)施登錄操作起到供給作用，重新配置或者反過(guò)來(lái)合理設(shè)置多因素的身份認(rèn)證，則用戶登錄難度系數(shù)必然增加。

傳輸鏈路所在節(jié)點(diǎn)，需將獨(dú)立私鑰、公鑰、數(shù)字證書等部署好，鑒別及認(rèn)證身份。重要裝置層面，需借助安全芯片完成認(rèn)證操作。如質(zhì)詢和應(yīng)答層面安全認(rèn)證，被認(rèn)證一方務(wù)必有密鑰。同時(shí)，對(duì)稱加密式密鑰，屬于通信各方的共享密鑰、公鑰加密的密鑰，為被認(rèn)證方所私有的密鑰。若泄露了密鑰，認(rèn)證方式必然失效。對(duì)稱，可以安全芯片來(lái)實(shí)施密碼及密鑰的高強(qiáng)度保護(hù)。以安全認(rèn)證的芯片，實(shí)現(xiàn)共享密鑰有效性安全認(rèn)證。應(yīng)當(dāng)積極引入SHA認(rèn)證形式、RSA公鑰的加密計(jì)算分析方法，并配置好EEPROM存儲(chǔ)裝置、認(rèn)證證書、密鑰等，構(gòu)成PKI認(rèn)證專項(xiàng)體系基本要素[2]。

2 安全加密和密鑰管理

2.1 在傳輸協(xié)議層面

工業(yè)領(lǐng)域互聯(lián)網(wǎng)當(dāng)中，網(wǎng)絡(luò)傳輸?shù)膮f(xié)議加密，需著重考慮工業(yè)現(xiàn)場(chǎng)裝置有著十分有限計(jì)算分析能力、較高網(wǎng)絡(luò)的實(shí)時(shí)特性塔器，通信加密需著重考慮加解密所致額外的延遲及計(jì)算量產(chǎn)生。一是，以HTTPS為基礎(chǔ)實(shí)施網(wǎng)絡(luò)傳輸。HTTP及HTTPS都屬于OSI基礎(chǔ)模型內(nèi)傳輸層的協(xié)議。HTTP是明文傳輸，其通信雙方之間交互和網(wǎng)絡(luò)傳輸都并未予以認(rèn)證加密處理，網(wǎng)絡(luò)傳輸實(shí)操過(guò)程信息極易被篡改、竊聽(tīng)、劫持等。HTTP傳輸期間，攻擊者在服務(wù)器內(nèi)惡意嵌入網(wǎng)址，并發(fā)放至用戶HTTP的數(shù)據(jù)包內(nèi)，用戶操作界面便會(huì)有惡意的網(wǎng)址鏈接出現(xiàn)。TCP/IP所附加SSL/TLS、HTTP的應(yīng)用層當(dāng)中，加解密處理傳輸數(shù)據(jù)得以實(shí)現(xiàn)，對(duì)網(wǎng)絡(luò)傳輸提供安全保證。服務(wù)端和客戶端的信息傳輸經(jīng)SSL/TLS實(shí)現(xiàn)加密處理，實(shí)現(xiàn)密文數(shù)據(jù)有效傳輸。證書當(dāng)中公鑰及時(shí)傳輸至客戶端，而客戶端TLS經(jīng)證書解析，實(shí)施公鑰自身有效性驗(yàn)證，若有效，便可借助此密鑰加密處理所生成的隨機(jī)參數(shù)值，傳輸至服務(wù)端，由服務(wù)端予以解密處理，各方均可借助催記參數(shù)值，確保通信的加解密操作得以實(shí)現(xiàn)[3]。傳輸節(jié)點(diǎn)SSL/TLS實(shí)施協(xié)議加密，攻擊者卻還可于客戶端實(shí)施數(shù)據(jù)包截取，對(duì)傳輸協(xié)議及內(nèi)容實(shí)施分析，故需加密處理好該部分傳輸數(shù)據(jù)信息內(nèi)容。由于非對(duì)稱性加密會(huì)生成于大素?cái)?shù)當(dāng)中，計(jì)算、分割等操作所消耗資源相對(duì)較多，需先以DSA/DAA、RSA等這些公鑰算法，對(duì)后期對(duì)稱加密的密鑰實(shí)施加密處理，網(wǎng)絡(luò)后期傳輸則需引入3DES、RC4、AES相應(yīng)對(duì)稱性加密計(jì)算分析方式。針對(duì)哈希算法，則應(yīng)選定SHA256、SHAI，MD5并不建議選用，主要是因?yàn)轱L(fēng)險(xiǎn)系數(shù)高。攻擊者雖并無(wú)直接實(shí)施API調(diào)用操作，實(shí)施數(shù)據(jù)化偽造操作，但模擬裝裝置運(yùn)行當(dāng)中公業(yè)運(yùn)用系統(tǒng)程序等當(dāng)中偽造數(shù)據(jù)資料供給手段十分有效，務(wù)必加密處理好該部分?jǐn)?shù)據(jù)內(nèi)容，客戶端實(shí)施數(shù)據(jù)采集，再經(jīng)網(wǎng)絡(luò)傳輸，保證可實(shí)現(xiàn)互聯(lián)網(wǎng)完整化網(wǎng)絡(luò)傳輸操作；二是，在多種協(xié)議的硬軟件加密層面。工業(yè)領(lǐng)域通信協(xié)議內(nèi)加入VPV加密的通信形式，以SSTP、GRE、OPENVPN、IPSec等加密協(xié)議完成加密傳輸操作。加密通信期間，加密硬件及軟件均可。在一定程度上，加密軟件需以操作系統(tǒng)所處運(yùn)行環(huán)境為基礎(chǔ)，計(jì)算期間所需占用的嵌入形式微控制系統(tǒng)及其處理裝置資源實(shí)施加解密處理，以免業(yè)務(wù)系統(tǒng)特性降低后出錯(cuò)或者遭到攻擊；加密硬件，需以定制IC為基礎(chǔ)，不會(huì)有性能損失產(chǎn)生，圍繞IC可實(shí)施封裝物理相關(guān)攻擊防范處理。工業(yè)領(lǐng)域不同運(yùn)用場(chǎng)景之下，選定加密不同算法，如借助智能化終端的配件驗(yàn)證，以ECC163類型橢圓曲線的加密計(jì)算分析方法為主，現(xiàn)場(chǎng)智能化裝置許可權(quán)限管理相關(guān)驗(yàn)證，均可以SHA256、ECC256等加密算法為基礎(chǔ)。部分IC模塊，可提供編程簡(jiǎn)單系統(tǒng)功能、級(jí)別較高安全性能，如運(yùn)行固件優(yōu)化更新的安全保護(hù)、密鑰的安全存儲(chǔ)、加密通信、身份安全分組等等。以可信標(biāo)準(zhǔn)化系統(tǒng)平臺(tái)模塊為基礎(chǔ)，保證加密復(fù)雜特性得以提升，大量簽名和密鑰可實(shí)現(xiàn)安全存儲(chǔ)，物理讀取及保護(hù)所存儲(chǔ)數(shù)據(jù)信息。加密傳輸和阿安全存儲(chǔ)工藝網(wǎng)絡(luò)相關(guān)信息內(nèi)容，確保密鑰管理專項(xiàng)機(jī)制得以完善化，實(shí)現(xiàn)應(yīng)用、分發(fā)、優(yōu)化更新、銷毀這一全過(guò)程化安全監(jiān)管。

2.2 在密鑰管理層面

在傳統(tǒng)信息化系統(tǒng)內(nèi)密碼Kerckhoffs設(shè)計(jì)適用于工業(yè)領(lǐng)域互聯(lián)網(wǎng)系統(tǒng)環(huán)境當(dāng)中，以密鑰系統(tǒng)自身安全特性為基礎(chǔ)實(shí)現(xiàn)密鑰保護(hù)，并非屬于密碼保護(hù)。密鑰，其需通信各方提前約定好，結(jié)合所指定協(xié)議予以定期更換處理。故工業(yè)環(huán)境當(dāng)中，密鑰保護(hù)及安全監(jiān)管較為關(guān)鍵。下列為工業(yè)領(lǐng)域互聯(lián)網(wǎng)密鑰管理層面設(shè)計(jì)原則：一是，在密文存儲(chǔ)層面。密碼裝置除非是極具安全性，否則切勿明文實(shí)施密鑰存儲(chǔ)。工業(yè)控制層面，以密鑰人工分配較為常見(jiàn)，需注意的是密鑰嚴(yán)禁實(shí)施明文存儲(chǔ)、傳遞及把控[4]。可以密鑰的分量形式，若干信任關(guān)系實(shí)現(xiàn)實(shí)體的共同監(jiān)管；二是，注重密鑰有效分離。各個(gè)通信實(shí)體相互間，切勿選定有密切關(guān)聯(lián)或者是相同密鑰，防止通信實(shí)體潛在的安全通信層面問(wèn)題，對(duì)其他實(shí)體整體通信安全產(chǎn)生威脅。

3 結(jié)語(yǔ)

從總體上來(lái)說(shuō)，明確要求加密傳輸及簽名驗(yàn)簽、身份鑒別及驗(yàn)證，安全區(qū)域相互間網(wǎng)絡(luò)傳輸?shù)慕涌谝?guī)范需制定出來(lái)。選定HTTPS協(xié)議，并以HTTP為基本的通信機(jī)制，借助SSL/TLS，加密處理所傳輸工業(yè)信息數(shù)據(jù)包，對(duì)網(wǎng)絡(luò)服務(wù)裝置實(shí)施身份認(rèn)證，以密鑰的分量形式，若干信任關(guān)系實(shí)現(xiàn)實(shí)體的共同監(jiān)管，并注重密鑰有效分離，便于實(shí)現(xiàn)數(shù)據(jù)信息完整化傳輸，更好地保護(hù)隱私。

[1]于盟，趙冉. 工業(yè)互聯(lián)網(wǎng)領(lǐng)域網(wǎng)絡(luò)安全服務(wù)的思考[J]. 中國(guó)信息安全，2020，30（010）：401-403.

[2]張子揚(yáng)，韋素萍. 5G網(wǎng)絡(luò)中工業(yè)互聯(lián)網(wǎng)安全問(wèn)題研究[J]. 中國(guó)新通信，2019，21（007）：141-142.

[3]淮文軍，王峰，陳夏裕，等. 工業(yè)互聯(lián)網(wǎng)環(huán)境下水務(wù)工控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)研究[J]. 電腦編程技巧與維護(hù)，2019，20（001）：157-158.

[4]崔光耀. 工業(yè)互聯(lián)網(wǎng)日益成為網(wǎng)絡(luò)安全主戰(zhàn)場(chǎng)[J]. 中國(guó)信息安全，2019，14（006）：522-523.