国密算法在工业互联网安全中的应用

摘 要 随着工业化与信息化的不断深入融合 工业互联网已成为网络空间的重要部分 因此提升互联网安全显得尤为重要 而密码技术的应用可以很好地保障工业信息安全 在工业互联网平台的身份认证 账户管理 数据传输与保护等方面发挥着重要作用 深入研究国密算法在工业互联网中的应用 有助于提高我国网络空间安全防护能力 文章首先阐述了国密算法在工业互联网中的应用与挑战 而后具体分析了国产密码技术在工业互联网平台中的应用 并结合密码技术在工业互联网中的安全性问题 最后设计了一种建立在国密算法基础上的安全身份认证协议 并分析了该协议的安全特性 旨在进一步发挥国密算法的优势 提高工业互联网的安全性

关键词 工业互联网 国密算法 互联网安全 应用 认证协议

中图法分类号tn918   文献标识码a

１ 引言

现代社会经济飞速发展，促使工业经济与信息技术深度融合，形成工业互联网新兴业态，进而促使人、物、机等全面互联。目前，在工业互联网不断发展下，作为工业信息安全的重要保障，密码技术发挥其优势，可以進一步推进工业互联网网络体系、平台体系、网络安全防护体系建设。目前，我国的国产商用密码算法基本已形成一套较为完整的体系，其中ＺＵＣ 法的自主设计得到了广泛应用。此外，还有ＳＭ４ 分组密码算法、ＳＭ３ 密码杂凑算法、ＳＭ２／ ＳＭ９ 数字签名算法、ＳＭ９ 标识加密算法等也通过国际认证，成为国际标准。２ 国密算法在工业互联网安全中的应用与挑战

２．１ 应用现状

国密算法在工业互联网安全领域中的应用主要体现在账户管理、身份认证、数据安全、访问控制等方面，其涵盖认证协议、电子签名、通信协议等技术。通过使用ＳＭ３ 杂凑算法计算消息摘要，能够提高各类数据完整性；使用对称密码算法和解密数据可以提高相关数据保密性，如ＳＭ１，ＳＭ４，ＳＭ７，ＺＵＣ 序列等［１］ ；可以借助非对称密码算法（如ＳＭ２，ＳＭ９）获取相应的消息签名，以确保数据的不可否认性。除此之外，我国很多企业也自行研发了数据加密类产品，如国密加密芯片、云服务器密码机、ＶＰＮ 设备、加密硬盘、服务器密码机等。

２．２ 面临的挑战

随着工业互联网不断发展，国产密码的应用也面临诸多挑战，主要体现在以下几个方面。（１）由于我国针对密码技术的研究起步较晚，导致集成国密算法相关产品非常少，再加上商用密码检测机构数量有限，造成产品认证周期、成本增加，最终导致集成国产密码相关产品落后于其他国家，这在很大程度上直接降低了国内企业研发产品集成国密算法的自主积极性，进而制约了国产密码技术的进一步发展。（２）目前的产品结构主要以双芯片结构为主，实际应用效率较低［２］ 。在双芯片结构中，由于待处理数据经过两个芯片的传输，不仅降低了产品计算与运行效率，同时也容易产生数据泄露风险。（３）当前的工业信息系统，是以Ｂ／ Ｓ 架构为主，并且数据传输安全性是依靠国际ＳＳＬ／ ＴＬＳ 协议来实现。虽然目前市场上已经出现了一些支持国密算法的浏览器，如密信等，但绝大部分企业前期建设的信息系统并不具备此支持功能，若对其改造，则存在很大难度，会造成信息无法依托国产ＳＳＬ／ ＴＬＳ 协议完成传输。

３ 国产密码技术在工业互联网平台中的应用

３．１ 认证与鉴别

在工业互联网平台中，任何层次都涉及认证和鉴别。由于海量设备接入工业互联网平台边缘，如果仅使用黑名单，只能对系统已有记忆的设备威胁进行抵御，而无法准确识别出未知设备威胁。对此，应当制定白名单机制，通过身份认证和鉴别，有效把控接入设备和用户，以提高安全性。在白名单机制作用下，系统会自动对设备、用户的身份进行识别，只有符合要求的才可以接入工业互联网平台，并完成数据传输。而在ＩａａＳ层，可以鉴别服务器用户的身份，登录用户的身份认证与鉴别则是在ＰａａＳ 层、ＳａａＳ 层完成［３］ 。相比之下，ＳＭ２ 椭圆曲线公钥密码算法可以快速生成密钥，具有极强的安全性，在身份认证、鉴别中凸显出较大优势。由此可见，将ＳＭ２ 算法应用到边缘设备身份认证与鉴别中，可以很好地保证设备接入的安全性。

３．２ 账户管理

工业互联网平台的应用需要对设备和用户账户进行管理。而这一过程中的账号与口令安全程度，会直接影响到用户对平台的使用，若账户信息被泄露、窃取，则必然会降低用户对平台的信任，直接影响平台业务的进一步扩大，所以工业互联网平台企业必须高度重视账户加密管理。应用国产加密算法能够加密存储账户、用户，即便是信息被盗取，也可以保证账户信息无法被他人解密，有利于保障用户账户的安全性。

３．３ 通信保护

为使工业互联网平台更好地服务制造业，实现智能化、信息化、网络化发展，需要提高通信保密性、完整性、篡改性。例如，在ＰａａＳ 层挖掘、分析数据过程中，需要确保原始数据的完整性，同时保证隐私数据的保密性，对此，必须保证数据在通信过程的安全性［４］ 。普通数据保护主要应用ＡＥＳ，ＲＳＡ，ＭＤＳ，ＥＧＣ等国际密码算法对工业互联网平台相关工业数据实施关联规则挖掘等分析手段，以形成具有重要数据的微服务组件，此时若发生数据泄露，则必然会严重影响国家安全，甚至带来不可估量的损失。若引入国外密码算法，则会产生较大风险，主要是因为国外密码算法较为脆弱，并且国外密码算法容易被恶意嵌入远程木马等危险程序。因此，为保证通信安全，我国必须加强密码技术的自主研发，充分发挥国产密码技术在平台中的应用价值。比如，将ＳＭ１，ＳＭ２，ＳＭ３ 等国产密码算法应用到工业互联网平台通信中，能够更好地保证该平台在数据通信过程中获得安全、可靠、可控的保护。

４ 密码技术在工业互联网中的安全性分析

４．１ 密码应用服务安全性不足

目前，仍有一些工业控制系统在使用不安全的密码算法，以及提供不安全密码服务，如ＳＨＡ?０，ＳＨＡ?１，ＭＤ４，ＭＤ５，ＤＥＳ，ＲＣ２，ＲＳＡ?５１２，ＲＳＡ?１０２４，ＳＫＩＰＪＡＣＫ等密码算法，这些算法极易被破解，对此，国家已经明确给予警示。但部分系统运营者、开发者，为了达到节约成本、节省资源的目的，在开发工作中并未重视密码技术，甚至存在有意规避使用密码产品的情况，直接降低了系统信息安全性、真实性、完整性，造成整个信息系统缺乏安全性保障。

４．２ 协议安全机制较为匮乏

工业互联网包含大量的工业控制协议，可安全机制并不完善，不能满足工业互联网系统中各参与组件间的连接需求。通常情况下，在设计中，工控通信协议与规约更加注重通信的可用性、实时性，并未重视其安全性，具体表现在未设置完善的授权、认证、加密__等安全保护措施。若工控系统无线通信协议缺乏安全机制，则容易被盗取、窃听，进而增加了欺骗性攻击的概率。

４．３ 密码技术自主可控性较差

若要提高工业互联网网络的安全自主可控性，最为重要的就是具备高质量的密码算法与技术产品。但就目前我国互联网信息技术实际发展情况看，由于长期依赖西方发达国家技术体系，导致我国工业信息化建设“信息孤岛”问题尤为突出。我国在研究密码算法方面，整体能力与研究基础较为薄弱，导致密码技术研究工作起步晚，和发达国家相比，存在很大差距。

５ 安全身份認证协议设计

通过上文分析密码技术在工业互联网中的安全性可知，若要进一步推动我国工业互联网发展，则必须高度重视国内研制自主创新技术的提升，对此，本文设计了一种基于国产密码算法的工业互联网安全身份认证协议，该协议在对双方进行身份认证时，只需借助ＳＭ３，ＳＭ４ 算法，便可实现数据的保密性、完整性。在实际设计时，可以细化为３ 个阶段，包括初始化阶段、注册阶段、认证阶段，具体分析如下。

５．１ 初始化阶段

在接入终端与网络前，认证服务器（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｅｒｖｅｒ， ＡＳ）会在安全通道作用下，将密钥发送给系统的接入点（Ａｃｃｅｓｓ Ｐｏｉｎｔｓ， ＡＰ）和物联网终端。

５．２ 系统初始化

在系统初始化过程中，通过输入安全参数ｋ，认证服务器执行密钥生成算法，为网络终端和接入点创建密钥对。

５．３ 认证协议

当系统处于正常运行状态下，认证服务器会定期广播物联网终端Ｕｓｅｒ 的列表信息，其中包含ＩＤ、认证参数Ａ。若使用者加入网络，则会先由ＡＰ 负责进行认证，确认无误后，才可以与业务网建立有效通信。

６ 协议安全性分析

６．１ 双向认证

在认证过程中，对于Ｕｓｅｒ 身份信息的验证，主要由ＡＰ 借助Ｕｓｅｒ 身份ＩＤ、密钥参数完成。与此同时，Ｕｓｅｒ 利用系统公开的公钥ＰＫ，同时对ＡＰ 合法性实施有效验证，从而使整个认证过程达到了双向性。

６．２ 用户撤销

认证服务器和系统接入点均对系统终端ＩＤ 列表进行了维护，若要撤除某个终端的接入权限，则相关人员可以在认证服务器上进行撤销操作即可，同时将更新后的列表发送给系统接入点，以快速撤销用户。

６．３ 前向安全性

在系统终端提出认证申请后，认证消息会加入时间节点认证，即便是同个终端在不同时间发出的认证，系统接入点每次生成的认证参数也不一样。所以，即使系统接入点、Ｕｓｅｒ 密钥参数发生泄露情况，同样也无法计算出上一次使用过的会话密钥，进而提高了系统安全性。

６．４ 抵抗攻击

由于在认证过程配置了时间节点认证，因此双方在每次认证过程中，会将随机数作为认证参数，这种方式能够很大程度上抵抗重放攻击，进而提高安全性。

６．５ 用户匿名性

由于越来越多的用户注重自身隐私，因此在身份认证方案中，必须保证身份可以匿名。如果攻击者获取到用户、服务器之间的沟通消息，一旦知晓用户身份，便可搜集大量信息。而在安全身份认证协议的作用下，攻击者不会从任何窃取的认证消息中发现用户的身份。由于攻击者不知道密钥，无法得知用户身份，因此能够实现用户匿名性，保证了用户信息的安全性。

７ 结束语

本文基于国密算法设计了一种安全身份认证协议，利用该协议的双向认证及ＳＭ３、ＳＭ４ 国密算法的优势，提高数据的完整性、保密性。同时，通过该协议实践发现，除了双向认证之外，其还具有用户匿名性等安全特性，进而有助于提高工业互联网终端身份识别的安全性。

参考文献：

［１］ 李露，谢映宏，李蔚凡，等．基于国密算法的配电网终端通信安全架构研究［Ｊ］．浙江电力，２０２２，４１（１２）：７９?８７．

［２］ 庄仁峰，庄严，蒋周良，等．国密算法技术与超级ＳＩＭ 卡融合技术的研究与应用［Ｊ］．电信工程技术与标准化，２０２２，３５（１２）：１２?１５．

［３］ 李雪伟，刘知一．基于ＳＭ２／ ＳＭ３ 国密算法的数字电影发行密钥实现方法［Ｊ］．现代电影技术，２０２２（８）：１９?２５．

［４］ 黄丹丹，张正，刘佳欣．基于国密算法的Ｋｅｒｂｅｒｏｓ 身份认证协议改进与分析［Ｊ］．金陵科技学院学报，２０２２，３８（２）：１?８．

作者简介：

林素标（１９７４'82`—），