面向工业互联网的传输网络安全研究

◆陈礼波 宋明泽

面向工业互联网的传输网络安全研究

◆陈礼波 宋明泽

（中讯邮电咨询设计院有限公司 北京 100000）

工业领域互联网实际传输期间，需对所有传输节点、端至端、链路等实施有效控制及加密处理，以更好地维护网络安全。鉴于此，本文主要围绕着工业领域互联网传输的网络安全开展深入的研究和探讨，期望可以为后续更多技术专家和学者对此类课题的实践研究提供有价值的指导或者参考。

互联网；工业；网络安全；传输

工业领域互联网信息数据，若想确保互联互通得以实现，便需依靠着网络传输才可具体实现，这对于工业领域互联网实施网络传输整个过程安全要求相对较高，需制定相应安全传输机制，注重身份鉴别及有效认证，做好数据传输的有效加密处理等。因而，综合分析工业领域互联网传输的网络安全，有着一定的现实意义和价值。

1 身份鉴别及认证

1.1 在传输两端的主体和传输节点层面

工业领域互联网中，RTU、IED、智能化摄像头等属于不可信的终端节点，增加工控网络风险系数。身份认证层面管理之下，工业领域应用场景内含服务资源、工控主机登录服务装置、PaaS云平台访问等，而访问工业装置、云平台、业务系统均选定多因素的认证。在一定程度上，身份认证需通信各方互相鉴别好各自的身份之后才可通信，确保各方数字身份、物理身份处于一致性状态。工业应用专项系统内，身份认证需和企业内部业务流程配合好，避免通信遭到非法攻击。分类设置好账户权限，依照着最小特权基本原则，分配好账户权限。针对工业通信专用装置、工控装置、PLC的控制软件、CS软件、SCADA软件等这些登录账户、密码等，均选定强口令，默认口令及弱口令均不可取，务必定期更新口令，且需防止不同网络系统共享身份认证相关证书。工业场景内，身份验证常用因素类型以固有特征、拥有物、知识等为主。知识，即用户可证明自己所知晓信息资料，如访问的ID号、装置登录密码、口令、业务流程具体细节各个层面；拥有物，即用户自身拥有着可证明身份物理装置，如手机短信的验证码、数字签名的证书、身份验证的APP、RFID的阅读器、主机启动的U盾等；所谓固有特征，即生物特征，内含控制指令相应语音、门禁系统内视网膜、HMI上机位启动指纹等；口令认证，属于工业场景下较为常用手段[1]。请求的认证方需有ID，且认证者所在用户信息数据库内该ID务必有唯一性特点。为务必口令安全，传输期间切勿截获或者篡改操作。系统管理者应熟悉用户口令，向认证者发出口令认证相关信息请求前期，务必对认证方实际真实性予以有效确认，以双向认证手段实施；数字签名，也属于工业场景认证常用手段，以公钥加密计算方法为基础，通信各方并不需要借助网络实施口令及身份秘密相关信息传输，向认证者请求严重数字的签名即可实现。

1.2 在多因素层面

工业实际应用场景当中，单因素式认证作用薄弱，多因素的认证极具安全特性，用户可提供多项身份的确认证据，用户所提供验证因素若较为精准，网络系统方便可授予访问权限，实现双因素有效认证。工业应用期间，需注重多因素的身份验证潜在不足及风险问题。一是，可能会有验证因素丢失层面问题。工业领域中，主机启动期间U盾丢失这一问题相对较为常见，需以手机短信的验证码实现有效验证，通常会有移动网联络不畅、手机没电等问题产生。若某因素被多账户所认证，丢失因素，则账户务必重新恢复；二是，因素丢失，恢复选项便捷性和多因素的认证冲突现象突出。多因素实际验证期间若丢失因素，恢复期间用户及攻击者会陷入困境之中。但若多因素的认证未提供相应恢复项，则其很可能永远无法实现正常登录；三是，多因素的验证，其为攻击者对正常用户实施登录操作起到供给作用，重新配置或者反过来合理设置多因素的身份认证，则用户登录难度系数必然增加。

传输链路所在节点，需将独立私钥、公钥、数字证书等部署好，鉴别及认证身份。重要装置层面，需借助安全芯片完成认证操作。如质询和应答层面安全认证，被认证一方务必有密钥。同时，对称加密式密钥，属于通信各方的共享密钥、公钥加密的密钥，为被认证方所私有的密钥。若泄露了密钥，认证方式必然失效。对称，可以安全芯片来实施密码及密钥的高强度保护。以安全认证的芯片，实现共享密钥有效性安全认证。应当积极引入SHA认证形式、RSA公钥的加密计算分析方法，并配置好EEPROM存储装置、认证证书、密钥等，构成PKI认证专项体系基本要素[2]。

2 安全加密和密钥管理

2.1 在传输协议层面

工业领域互联网当中，网络传输的协议加密，需着重考虑工业现场装置有着十分有限计算分析能力、较高网络的实时特性塔器，通信加密需着重考虑加解密所致额外的延迟及计算量产生。一是，以HTTPS为基础实施网络传输。HTTP及HTTPS都属于OSI基础模型内传输层的协议。HTTP是明文传输，其通信双方之间交互和网络传输都并未予以认证加密处理，网络传输实操过程信息极易被篡改、窃听、劫持等。HTTP传输期间，攻击者在服务器内恶意嵌入网址，并发放至用户HTTP的数据包内，用户操作界面便会有恶意的网址链接出现。TCP/IP所附加SSL/TLS、HTTP的应用层当中，加解密处理传输数据得以实现，对网络传输提供安全保证。服务端和客户端的信息传输经SSL/TLS实现加密处理，实现密文数据有效传输。证书当中公钥及时传输至客户端，而客户端TLS经证书解析，实施公钥自身有效性验证，若有效，便可借助此密钥加密处理所生成的随机参数值，传输至服务端，由服务端予以解密处理，各方均可借助催记参数值，确保通信的加解密操作得以实现[3]。传输节点SSL/TLS实施协议加密，攻击者却还可于客户端实施数据包截取，对传输协议及内容实施分析，故需加密处理好该部分传输数据信息内容。由于非对称性加密会生成于大素数当中，计算、分割等操作所消耗资源相对较多，需先以DSA/DAA、RSA等这些公钥算法，对后期对称加密的密钥实施加密处理，网络后期传输则需引入3DES、RC4、AES相应对称性加密计算分析方式。针对哈希算法，则应选定SHA256、SHAI，MD5并不建议选用，主要是因为风险系数高。攻击者虽并无直接实施API调用操作，实施数据化伪造操作，但模拟装装置运行当中公业运用系统程序等当中伪造数据资料供给手段十分有效，务必加密处理好该部分数据内容，客户端实施数据采集，再经网络传输，保证可实现互联网完整化网络传输操作；二是，在多种协议的硬软件加密层面。工业领域通信协议内加入VPV加密的通信形式，以SSTP、GRE、OPENVPN、IPSec等加密协议完成加密传输操作。加密通信期间，加密硬件及软件均可。在一定程度上，加密软件需以操作系统所处运行环境为基础，计算期间所需占用的嵌入形式微控制系统及其处理装置资源实施加解密处理，以免业务系统特性降低后出错或者遭到攻击；加密硬件，需以定制IC为基础，不会有性能损失产生，围绕IC可实施封装物理相关攻击防范处理。工业领域不同运用场景之下，选定加密不同算法，如借助智能化终端的配件验证，以ECC163类型椭圆曲线的加密计算分析方法为主，现场智能化装置许可权限管理相关验证，均可以SHA256、ECC256等加密算法为基础。部分IC模块，可提供编程简单系统功能、级别较高安全性能，如运行固件优化更新的安全保护、密钥的安全存储、加密通信、身份安全分组等等。以可信标准化系统平台模块为基础，保证加密复杂特性得以提升，大量签名和密钥可实现安全存储，物理读取及保护所存储数据信息。加密传输和阿安全存储工艺网络相关信息内容，确保密钥管理专项机制得以完善化，实现应用、分发、优化更新、销毁这一全过程化安全监管。

2.2 在密钥管理层面

在传统信息化系统内密码Kerckhoffs设计适用于工业领域互联网系统环境当中，以密钥系统自身安全特性为基础实现密钥保护，并非属于密码保护。密钥，其需通信各方提前约定好，结合所指定协议予以定期更换处理。故工业环境当中，密钥保护及安全监管较为关键。下列为工业领域互联网密钥管理层面设计原则：一是，在密文存储层面。密码装置除非是极具安全性，否则切勿明文实施密钥存储。工业控制层面，以密钥人工分配较为常见，需注意的是密钥严禁实施明文存储、传递及把控[4]。可以密钥的分量形式，若干信任关系实现实体的共同监管；二是，注重密钥有效分离。各个通信实体相互间，切勿选定有密切关联或者是相同密钥，防止通信实体潜在的安全通信层面问题，对其他实体整体通信安全产生威胁。

3 结语

从总体上来说，明确要求加密传输及签名验签、身份鉴别及验证，安全区域相互间网络传输的接口规范需制定出来。选定HTTPS协议，并以HTTP为基本的通信机制，借助SSL/TLS，加密处理所传输工业信息数据包，对网络服务装置实施身份认证，以密钥的分量形式，若干信任关系实现实体的共同监管，并注重密钥有效分离，便于实现数据信息完整化传输，更好地保护隐私。

[1]于盟，赵冉. 工业互联网领域网络安全服务的思考[J]. 中国信息安全，2020，30（010）：401-403.

[2]张子扬，韦素萍. 5G网络中工业互联网安全问题研究[J]. 中国新通信，2019，21（007）：141-142.

[3]淮文军，王峰，陈夏裕，等. 工业互联网环境下水务工控系统网络安全防护研究[J]. 电脑编程技巧与维护，2019，20（001）：157-158.

[4]崔光耀. 工业互联网日益成为网络安全主战场[J]. 中国信息安全，2019，14（006）：522-523.