无线网络制造系统的信息安全研究

杨延清，任祖平

YANG Yan-qing, REN Zu-ping

（东南大学 工业发展与培训中心，南京 211189）

0 引言

制造环境伴随着网络经济时代的到来发生了根本性的变化，其面对的是全球性的市场、资源、技术和人力的竞争。开放的国际市场使消费者的可选择性扩大到全球范围内，而个性化和多样化的消费需求使得市场快速多变，无法捉摸，客户化、小批量、多品种、快速交货的生产要求不断增加。各种新技术的涌现及其应用更是加剧了市场的快速变化。市场的动态多变性迫使制造企业改变策略，时间被提升为首要因素。为适应动态变化的全球市场，制造业的竞争将会是柔性和响应速度的竞争，而以快速响应市场需求和提高企业（企业群体）竞争力为主要目标的网络化制造正好满足企业的要求而被得到广泛的推广应用。

实现网络化制造对信息技术和网络技术的应用有更高的要求，由于互联网络的开放性和通信协议的安全缺陷，以及网络环境中数据信息存储、访问与处理的分布性特点，网络化制造系统的数据信息很容易泄露和被破坏，因此加强对网络化制造系统信息安全就更为迫切。

实际上，保障信息安全不但需要参考网络安全的各项标准以形成合理的评估准则，更重要的是必须明确网络制造系统的框架体系、安全防范的层次结构和系统设计的基本原则，分析网络系统的各个不安全环节，找到安全漏洞，做到有的放矢。本文针对东南大学机电综合工程训练中心网络化制造实验室的实际情况，提出了一种适用于网络化制造系统的信息安全体系。

1 网络化制造系统的信息安全问题

要找出网络化制造系统的信息安全问题，首先是了解网络化制造系统的网络拓扑结构，然后根据网络框架找出可能存在的安全漏洞。

1.1 网络化制造系统的网络拓扑结构

东南大学机电综合工程训练中心网络制造实验室采用了基于无线以太网的DNC通讯技术，利用工业以太网的抗干扰性能强的特点，保证了信息传输的稳定性、实时性，且易于与管理层的集成。具体结构如图1所示。

图1 中心的网络拓扑结构

系统采用“总线+星型”的拓扑结构，主干网采用总线结构，易于组成冗余环网，车间层采用星型结构，避免了某一台设备的故障影响其他设备。车间内部通过串口转换器智能终端将机床的RS232口转换为以太网络的RJ45口，并对每台数控设备分配IP组建成一个无线局域网络，然后通过无线AP与DNC主服务器及外部Internet连接。车间内部建立无线局域网络，省去了布线的繁琐工作。这样可以使得车间内数控设备的布局更加灵活，同时还可以增加系统的可扩展性能。而数据信息的传输采用的是模块化的CAXA网络DNC，同时采用CAXA协同管理完成数据信息的管理。

1.2 信息安全问题分析

通过研究网络制造系统的网络拓扑结构，信息安全问题需要考虑以下两个方面的内容：1）数据管理过程中的安全问题；2）数据传输过程中的问题即网络安全的问题。

数据管理过程中的安全问题主要表现在非授权人员的访问、修改；而网络安全问题主要表现在车间无线局域网的安全上，因为主干网络一般都是采用的网络布线的方式，网线采用的是屏蔽线，其受干扰的程度较小。故此处主要考虑车间无线局域网的安全问题。无线局域网要考虑的安全威胁有以下几种：

1）有线网络存在的安全隐患；

2）非授权的存取数据；

3）信息没有加密或者加密很弱，易被窃取；

4）网络易被拒绝服务攻击和干扰；

5）用户以设置无线网卡为P2P模式与外部员工连接。

由于无线网络只是在传输方式上与有线网络存在区别，所以经常会有安全隐患，如恶意攻击、非授权访问等。因此，用户必须加强常规式的安全措施。另外，在无线网络中每个AP覆盖的范围都存在通向整个网络的入口，这个入口并不像有线网络那样具有约束性，因此，未授权用户可以在AP覆盖范围内进入网络。

2 无线局域网络的安全技术及策略

由以上分析可知，无线局域网络会受到大量的安全风险和安全问题的困扰，其中主要包括网络用户的进攻、未授权用户的侵入和病毒的攻击。针对这些问题，除了必须安装与定期更新防毒软件和侵入侦测软件外，还需要以下几种安全技术：

1）服务集标识符（Service Set ID，SSID）。通过对多个无线接入点设置不同的SSID,并要求客户端出示正确的SSID才能访问AP，这样就可以允许不同群组的用户接入，并对资源访问的权限进行区别限制。

2）物理地址（Media Access Controller,MAC）过滤。由于每个无线工作站的网卡都有唯一的物理地址，因此可以在AP中手动维护一组允许访问的MAC地址列表，实现物理地址过滤。

3）有线等效保密（Wired Equivalent Protection, WEP）。在数据链路层采用RC4对称加密技术，用户的监听以及非法用户的访问。它需要管理员预先在客户端和接入点AP中配置共享的WEP密钥（静态WEP密钥）。使用这个密钥在一方对数据进行加密，另一方使用相同的共享密钥对接收到的密文进行解密。如果客户端使用接入点AP中配置的那些WEP密钥以外的密钥加密数据，并将加密后的密文发给AP，AP将拒绝该客户端访问网络。WEP提供了40位（有时也称为64位）和128位长度的密钥机制，但是它仍然存在许多缺陷，例如一个服务区内的所有用户都共享有同一个密钥，一个用户丢失或者泄露密钥将使整个网络不安全。而且由于WEP加密有一定的安全缺陷，可以在较短的时间内被破解。

4）Wi-Fi受保护访问（Wireless Fidelity Protected Access）技术。针对WEP技术的安全缺陷，IEEE802.11i工作组曾提出了WEP2、ESN（Enhanced Security Network）协议以解决WEP的问题。WEP2将IV（RC4算法中的初始向量24bit）的长度增加到128bit，大大减少了重复使用的概率。ESN方案采用了密钥管理系统和更安全的认证机制。这些就构成了TKIP（Temporal Key Integrity protocol）加密算法和IEEE802.1x认证协议方案。基于以上两种理论基础，Wi-Fi联盟公布了无线网络安全解决方案WPA。TKIP算法在RC4算法的基础上进行改进，实现了动态密钥更新，还增加了一个IV的杂凑函数和一个新的消息完整性校验算法，极大地提高了加密安全强度。

5）端口访问控制技术（802.1x）。该技术也是用于无线局域网的一种增强型网络安全解决方案。当无线工作站与AP关联后，是否可以使用AP的服务取决于802.1x的认证结果。如果认证通过，则AP为用户打开这个逻辑端口，否则不允许用户上网。802.1x除提供端口访问控制能力之外，还提供基于用户的认证系统及计费，特别适合无线接入解决方案。

6）虚拟专用网络（Virtual Private Network,VPN）。VPN是指在一个公共IP网络平台上通过隧道以及加密技术，保证专用数据的网络安全性，它不属于802.11标准定义；但是用户可以借助VPN来抵抗无线网络的不安全因素，同时还可以提供基于Radius的用户认证以及计费。

3 应用实例

根据以上的分析，针对东南大学网络化制造实验室的实际情况，本文分别针对数据管理和数据传输采取了不同的安全体系。

3.1 数据管理安全体系

数据管理要想实现其安全性，主要方法是实现不同用户权限的分配管理。具体方法有以下三种：

1）用户管理。按照企业人员情况建立用户登陆系统的名称、密码及备注描述信息。只有系统中已经开具的用户才可以登陆该系统。

2）角色管理。按照企业行政或技术职位建立一套企业适用的角色，并给各角色设立操作权限。不同的人分配不同的角色，即具有不同的权限。

3）设置产品/机床相关人员。即以产品/机床划分人员的权限。如果某人对产品/机床不具有参与权，该人进入系统后将无法从产品结构树中看到该产品/机床。

3.2 数据传输安全体系

数据传输的安全保障主要是解决其传输介质安全、客户端过滤、数据加密、布局设置等方面的问题，具体如下：

1）RS232线路属于一种技术比较落后的通信方式，其抗干扰能力较差。目前使用RS232通信的设备由于此类原因的限制，其传输速度远远无法和以太网络相比。大多数车间电器设备会产生大量的电磁波，尤其是具有数控电加工设备的车间，此种现象非常严重，导致RS232线路通信的不稳定。系统将传统的长RS232线路缩短到最小，取代为抗干扰性能很好的以太网络。大大减少了通信线路上受到干扰的机会。使系统数据传输的稳定性得到保证。

2）利用AP访问列表功能。正如每个网卡都有一个世界上唯一的MAC地址一样，无线AP也都有一个属于自己的唯一的MAC地址，在采用WDS网桥模式时，利用无线AP的支持访问列表功能，设定允许或拒绝的MAC地址，可以精确限制哪些工作站可以连接到无线网络节点，而那些不在访问列表中的工作站，则无权或有权访问无线网络，D-Link的MAC过滤设定界面如图2所示。

图2 无线AP中访问列表的建立

3）利用无线网络安全协议WEP和WPA进行加密。即有线等效保密（WEP，Wired Equivalent Privacy）和“Wi-Fi受保护的访问”（WPA，Wi-Fi Protected Access）。WEP加密用来防止IEEE802.11网络受到未授权用户的访问，例如偷听（捕获无线网络通信）。利用自动无线网络配置，可以指定进入网络时用于身份验证的网络密钥，也可以指定使用哪个网络密码来对通过该网络传输的数据进行加密。启用数据加密时，生成秘密的共享加密密钥，并由源台和目标台来改变帧位，因而可避免泄漏给偷听者。在IEEE802.11下，可用多达4个密钥（密钥索引值为0、1、2和3）配置无线站。具体如图3所示。对于WPA，加密是使用“临时性密钥完整性协议（TKIP）”来完成的，该协议使用更强的加密算法代替了WEP。与WEP不同，TKIP为每次身份验证提供惟一起始单播加密密钥的确定，以及为每个帧提供单播加密密钥的同步变更。由于TKIP密钥是自动确定的，因此不需要为WPA配置一个加密密钥。

图3 WEP密钥配置

4）修改SSID并禁止SSID广播。在默认状态下，无线网络节点的生产商会利用SSID（初始化字符串）来检验企图登录无线网络节点的连接请求，一旦检验通过，即可顺利连接到无线网络。由于同一厂商的产品使用相同的SSID名称，从而给那些恶意攻击提供了入侵的便利。一旦他们使用通用的初始化字符串来连接无线网络时，就很容易成功建立一条非授权链接，从而给无线网络的安全带来威胁。因此，在初次安装好无线局域网时，必须及时登录到无线网络节点的管理页面，修改默认的SSID初始化字符串。如图4所示。并且在条件允许的前提下，取消SSID的网络广播，从而将被恶意入侵的机会降到最低。此外，修改无线AP的SSID名称后，也必须在工作站的无线网络属性中作相应的设置，从而保持与无线AP的一致。需要注意的是，所用无线AP的SSID必须保持相同。

图4 修改默认的SSID

5）禁用DHCP服务。如果启用无线AP的DHCP，那么黑客将能自动获取IP地址信息，从而轻松地接入到无线网络。如果禁用无线AP的DHCP功能，那么黑客将不得不猜测和破译IP地址、子网掩码、默认网关等一切所需的TCP/IP参数。为此我们采用静态IP地址分配。

6）合适放置无线AP和天线。由于无线AP是有线信号和无线信号的转换“枢纽”，无线AP中的天线位置不但能够决定无线局域网的信号传输速度、通信信号强弱，而且还能影响无线网络的通信安全。因此将无线AP摆放在一个合适的位置是非常有必要的。另外，在放置天线之前，一定要先搞清楚无线信号的覆盖范围有多大。然后依据范围大小，将天线放置到其他用户无法“触及”的位置处。

4 结论

本文借助东南大学机电综合工程训练中心网络化制造实验室的硬件条件实施了本安全体系，实践证明利用该安全体系，对无线网络制造平台中各种加工程序及系统参数的管理及传输具有较好的保护作用。

[1]陈应春,顾寄南,等.网络化制造的网络安全策略[J].机械设计与制造,2007(2)：176-178.

[2]张海防,邵泽波,等.面向网络化制造的信息安全体系的研究与应用[J].吉林化工学院学报,2006.23(4)：52-55.

[3]Haralambos Mouratidis, Paolo Giorgini, Gordon Man-sona,When security meets software engineering：a case of modeling secure information systems [J].Journal of International Entrepreneurship,2004,(12)：35-40.

[4]王路炯,李爱平,等.ASP模式的网络化制造安全体系[J].中国机械工程,2007,18(3)：300-303.

[5]Dr.Cyrus Peikari Seth Fogie,周靖,等译.无线网络安全[M].北京：电子工业出版社,2004.