摘要
2017年國務(wù)院印發(fā)《關(guān)于深化“互聯(lián)網(wǎng)+先進(jìn)制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導(dǎo)意見》，意見提出“構(gòu)建網(wǎng)絡(luò)、平臺(tái)、安全三大功能體系，打造人、機(jī)、物全面互聯(lián)的新型網(wǎng)絡(luò)基礎(chǔ)設(shè)施”。網(wǎng)絡(luò)體系是基礎(chǔ)，平臺(tái)體系是核心，安全體系是保障。
“安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進(jìn)”，工業(yè)互聯(lián)網(wǎng)與工業(yè)互聯(lián)網(wǎng)安全要堅(jiān)持“同步規(guī)劃、同步建設(shè)、同步運(yùn)行”。工業(yè)互聯(lián)網(wǎng)安全是工業(yè)互聯(lián)網(wǎng)實(shí)施落地與生態(tài)構(gòu)建的關(guān)鍵。
一
法律法規(guī)
我國陸續(xù)出臺(tái)《網(wǎng)絡(luò)安全法》、《密碼法》及《網(wǎng)絡(luò)安全等級(jí)保護(hù)制度》?！睹艽a法》明確了密碼在網(wǎng)絡(luò)信息安全的支撐保障作用，建立密碼應(yīng)用安全性評(píng)估與等級(jí)保護(hù)聯(lián)動(dòng)的制度?！毒W(wǎng)絡(luò)安全等級(jí)保護(hù)制度》明確了對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施施行等級(jí)保護(hù)制度，從安全通信網(wǎng)絡(luò)、安全計(jì)算環(huán)境、安全建設(shè)管理、安全運(yùn)維管理四個(gè)域?qū)γ艽a技術(shù)與產(chǎn)品提出要求。
未來網(wǎng)絡(luò)安全體系將呈現(xiàn)以國產(chǎn)密碼技術(shù)為核心、多種技術(shù)相互融合的趨勢(shì)，形成以密碼基礎(chǔ)設(shè)施為支撐的新網(wǎng)絡(luò)安全環(huán)境。
二
密碼算法
我國密碼算法分為核心密碼、普通密碼、商用密碼，在工業(yè)互聯(lián)網(wǎng)領(lǐng)域適用于商用密碼，商用密碼是我國密碼體系的重要組成部分，國家先后發(fā)布了以SM系列為核心的密碼體系，形成了PKI體系和IBC標(biāo)識(shí)密碼體系。
圖1：國內(nèi)外密碼算法對(duì)比
密碼技術(shù)如何在工業(yè)互聯(lián)網(wǎng)中應(yīng)用？在工業(yè)互聯(lián)網(wǎng)整體架構(gòu)中，工業(yè)互聯(lián)網(wǎng)對(duì)國產(chǎn)密碼技術(shù)提出了哪些挑戰(zhàn)？
三
工業(yè)互聯(lián)網(wǎng)特征
工業(yè)互聯(lián)網(wǎng)是一種“云-網(wǎng)-端”的架構(gòu)：云——工業(yè)互聯(lián)網(wǎng)云平臺(tái)，比如航天云網(wǎng)，涉及平臺(tái)安全、應(yīng)用安全、數(shù)據(jù)安全；網(wǎng)——通訊網(wǎng)絡(luò)，比如5G，涉及網(wǎng)絡(luò)安全；端——智能工廠，包括現(xiàn)場(chǎng)級(jí)、車間級(jí)、企業(yè)級(jí)，涉及設(shè)備安全、控制安全及數(shù)據(jù)安全。
圖2：工業(yè)互聯(lián)網(wǎng)安全防護(hù)體系
設(shè)備聯(lián)網(wǎng)、數(shù)據(jù)上云，工業(yè)互聯(lián)網(wǎng)具有五大特征：
第一，風(fēng)險(xiǎn)來源多。海量工業(yè)設(shè)備、系統(tǒng)、軟件接入工業(yè)互聯(lián)網(wǎng)，設(shè)備系統(tǒng)差異大。
第二，協(xié)議多。工業(yè)控制協(xié)議多達(dá)千余種，且大多缺少安全機(jī)制，不適應(yīng)工業(yè)互聯(lián)網(wǎng)環(huán)境下的泛在互聯(lián)。
第三，數(shù)據(jù)流向多。數(shù)據(jù)流動(dòng)方向、路徑復(fù)雜，數(shù)據(jù)種類和保護(hù)需求多樣，數(shù)據(jù)防護(hù)難度大。
第四，網(wǎng)絡(luò)復(fù)雜。工業(yè)互聯(lián)網(wǎng)貫穿企業(yè)控制網(wǎng)、管理網(wǎng)、公共互聯(lián)網(wǎng)，網(wǎng)絡(luò)架構(gòu)復(fù)雜。
第五，安全后果嚴(yán)重。在工業(yè)互聯(lián)網(wǎng)中，網(wǎng)絡(luò)安全事件的后果不是單一企業(yè)的經(jīng)濟(jì)損失，極容易擴(kuò)散至整個(gè)生態(tài)鏈，造成安全生產(chǎn)事故，人員傷亡！
在工業(yè)互聯(lián)網(wǎng)參與實(shí)體方面，工業(yè)互聯(lián)網(wǎng)是信息物理系統(tǒng)，接入對(duì)象種類更多，人、機(jī)、物全面互聯(lián)。碳基身份與硅基身份交叉融合，用戶角色多，相互間關(guān)聯(lián)緊密，跨領(lǐng)域、跨系統(tǒng)的信息交互、協(xié)同操作繁瑣。工業(yè)互聯(lián)網(wǎng)存在以下幾種認(rèn)證行為：人-人認(rèn)證、人-機(jī)認(rèn)證、人-物認(rèn)證、物-物認(rèn)證、物-機(jī)認(rèn)證、機(jī)-機(jī)認(rèn)證。身份安全是工業(yè)互聯(lián)網(wǎng)安全主動(dòng)防御的重點(diǎn)，需要遵循最小特權(quán)原則、最小泄露原則與多級(jí)安全策略原則。
在工業(yè)互聯(lián)網(wǎng)防護(hù)目標(biāo)方面，工業(yè)互聯(lián)網(wǎng)實(shí)現(xiàn)了IT與OT一體化，安全威脅從虛擬世界帶到物理世界。信息安全防護(hù)目標(biāo)由IT中的機(jī)密性-完整性-可用性轉(zhuǎn)變?yōu)榭刂?可用性-完整性-機(jī)密性，在IIoT中應(yīng)優(yōu)先保護(hù)工廠、人員和過程。
工業(yè)互聯(lián)網(wǎng)安全由封閉網(wǎng)絡(luò)的工業(yè)控制系統(tǒng)信息安全向云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等多種技術(shù)融合泛在互聯(lián)的開放式網(wǎng)絡(luò)安全遞進(jìn)，傳統(tǒng)網(wǎng)絡(luò)安全與新興網(wǎng)絡(luò)安全交織滲透。
四
密碼挑戰(zhàn)與創(chuàng)新
工業(yè)互聯(lián)網(wǎng)中，海量設(shè)備接入、海量數(shù)據(jù)匯集，接入對(duì)象種類更多、數(shù)據(jù)安全責(zé)任主體更復(fù)雜；工業(yè)設(shè)備通信和計(jì)算資源有限、設(shè)備總量大、并具有突發(fā)性的網(wǎng)絡(luò)接入特征。在設(shè)備、網(wǎng)絡(luò)、工控、應(yīng)用、數(shù)據(jù)等方面均面臨多元、復(fù)雜的安全威脅，安全形勢(shì)更加嚴(yán)峻、技術(shù)風(fēng)險(xiǎn)更加復(fù)雜、破壞后果更加嚴(yán)重、管理挑戰(zhàn)更加艱巨，需要引入新的技術(shù)模式。這就要求更細(xì)粒度、更靈活、更高效、更輕量級(jí)的密碼技術(shù)！
工業(yè)互聯(lián)網(wǎng)的防護(hù)目標(biāo)、參與角色等防護(hù)要求，PKI/CA表現(xiàn)出一定的局限性。新一代密碼技術(shù)體系需要滿足一下幾點(diǎn)：無證書，管理簡(jiǎn)單；無中心查詢，支持海量用戶；降低通訊帶寬，低時(shí)延；計(jì)算效率高，終端普適性強(qiáng)；跨域認(rèn)證，實(shí)現(xiàn)互聯(lián)互通；支持雙密鑰體制，滿足強(qiáng)簽名要求。
圖3：工業(yè)互聯(lián)網(wǎng)防護(hù)目標(biāo)
五
基于密碼技術(shù)的工業(yè)互聯(lián)網(wǎng)安全防護(hù)
以數(shù)字證書管理為核心的PKI公鑰體系在IIoT應(yīng)用層可以解決人與平臺(tái)的認(rèn)證安全問題，滿足靜態(tài)認(rèn)證的管理需求。而對(duì)于IIoT的設(shè)備層、邊緣層，密碼體制需要滿足去中心化的碳基、硅基多維認(rèn)證，設(shè)備受限等苛刻要求。同時(shí)滿足計(jì)算能力、存儲(chǔ)能力、通信能力和并發(fā)要求，密碼算法要求有更低的計(jì)算復(fù)雜度、更短的公鑰信息和數(shù)字簽名信息。
圖4：PKI/CA認(rèn)證體系
基于國產(chǎn)密碼技術(shù)，奧聯(lián)自主研制了一種新的密碼系統(tǒng)——《基于標(biāo)準(zhǔn)算法的高效無證書密碼系統(tǒng)ECS》，并于2019年12月通過了國家密碼管理局安全性論證。ECS密碼系統(tǒng)無需證書系統(tǒng)管理公鑰，能夠提供簡(jiǎn)潔的密鑰管理、極低的帶寬和存儲(chǔ)開銷、高效密碼算法實(shí)現(xiàn)、同時(shí)支持強(qiáng)不可抵賴的身份認(rèn)證能力，非常適用工業(yè)互聯(lián)網(wǎng)領(lǐng)域。對(duì)標(biāo)國際上類似方案，ECS密碼系統(tǒng)具有安全性更高、公鑰計(jì)算速度更快等特點(diǎn)。
ECS采用標(biāo)識(shí)認(rèn)證機(jī)制，去中心化，支持離線認(rèn)證，無需使用數(shù)字證書，免去證書管理的負(fù)擔(dān)，用戶私鑰是用戶自己掌握，滿足電子簽名法的強(qiáng)簽名要求，不用計(jì)算線性對(duì)，運(yùn)算效率高。
圖5：無證書標(biāo)識(shí)密碼體系
從工業(yè)互聯(lián)網(wǎng)防護(hù)對(duì)象視角來說，密碼技術(shù)主要應(yīng)用于設(shè)備、控制、網(wǎng)絡(luò)、應(yīng)用、數(shù)據(jù)五個(gè)方面。
設(shè)備安全主要面向工廠內(nèi)的智能元器件、成套的智能終端等智能設(shè)備安全，以及智能產(chǎn)品安全，具體包括軟件及硬件，主要保障設(shè)備接入認(rèn)證、數(shù)據(jù)來源、設(shè)備控制性等方面，同時(shí)可以采用密碼芯片、密碼軟件模塊、可信計(jì)算等解決固件審計(jì)安全、身份鑒別、訪問控制，保障數(shù)據(jù)來源可靠及安全性。
控制安全主要涉及控制協(xié)議安全、控制軟件安全，控制功能安全，采用密碼技術(shù)主要解決可信身份認(rèn)證、確?？刂葡到y(tǒng)數(shù)據(jù)來源合法性、完整性及可靠性?？刂茀f(xié)議采用密碼技術(shù)，訪問控制采用基于標(biāo)識(shí)的密碼技術(shù)和ECS算法，建立基于角色的訪問控制、基于策略的訪問控制和基于可信度量的訪問控制。傳輸加密，我們采用國密優(yōu)化的新一代安全傳輸協(xié)議NTLS技術(shù)保障通信雙方不被第三方非法竊取篡改。
網(wǎng)絡(luò)安全面向智能工廠內(nèi)部、外部以及標(biāo)識(shí)解析系統(tǒng)等方面，密碼技術(shù)可以保障網(wǎng)絡(luò)的接入認(rèn)證、通信安全，采用標(biāo)識(shí)認(rèn)證技術(shù)和ECS算法實(shí)現(xiàn)接入設(shè)備與標(biāo)識(shí)節(jié)點(diǎn)的合法接入和合法連接，形成可信的網(wǎng)絡(luò)接入機(jī)制。通信安全，采用多種密碼算法形成數(shù)據(jù)加密、數(shù)字簽名和密鑰協(xié)商協(xié)議，保障整個(gè)通信的加密和簽名驗(yàn)簽，保障數(shù)據(jù)的完整性、機(jī)密性和可用性，
應(yīng)用安全包括工業(yè)互聯(lián)網(wǎng)平臺(tái)及工業(yè)應(yīng)用程序安全，密碼技術(shù)主要用于數(shù)據(jù)泄露篡改丟失權(quán)限控制異常，保障接入設(shè)備安全和數(shù)據(jù)安全，涉及整個(gè)業(yè)務(wù)生成的生產(chǎn)環(huán)境。
數(shù)據(jù)安全包括數(shù)據(jù)產(chǎn)生、采集、處理、傳輸、存儲(chǔ)、使用各個(gè)環(huán)節(jié)，涉及企業(yè)知識(shí)產(chǎn)權(quán)和商業(yè)秘密，可采用基于標(biāo)識(shí)的數(shù)據(jù)加密、接入認(rèn)證、訪問控制、數(shù)據(jù)脫敏等多種安全防護(hù)措施，覆蓋數(shù)據(jù)收集、傳輸、存儲(chǔ)、處理等環(huán)節(jié)的各個(gè)周期。在數(shù)據(jù)采集階段，采用數(shù)字簽名和數(shù)據(jù)加密技術(shù)保障數(shù)據(jù)來源可信、完整性和機(jī)密性；數(shù)據(jù)安全傳輸，根據(jù)不同的數(shù)據(jù)類型，不同業(yè)務(wù)場(chǎng)景，我們應(yīng)采用SSL、TLS、NTLS保障數(shù)據(jù)傳輸?shù)臋C(jī)密性、完整性和可用性；傳輸存儲(chǔ)，應(yīng)采用基于密碼技術(shù)的訪問控制、避免接入節(jié)點(diǎn)的非法訪問接入、可根據(jù)數(shù)據(jù)敏感度采用分級(jí)的方式進(jìn)行加密存儲(chǔ)，比如采用保留格式加密，讓第三方無法對(duì)客戶的信息進(jìn)行非法的解密；數(shù)據(jù)備份與恢復(fù)，應(yīng)對(duì)備份數(shù)據(jù)加密，防止數(shù)據(jù)泄露；在數(shù)據(jù)使用處理方面，可基于密碼技術(shù)，通過對(duì)用戶角色、策略、行為等進(jìn)行判定，對(duì)數(shù)據(jù)處理授權(quán)、進(jìn)行脫敏。
六
實(shí)踐及案例
工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析平臺(tái)整體建設(shè)方案
工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析是工業(yè)互聯(lián)網(wǎng)的重要網(wǎng)絡(luò)基礎(chǔ)設(shè)施，為工業(yè)設(shè)備、機(jī)器、物料、零部件和產(chǎn)品提供編碼、注冊(cè)與解析服務(wù)。我國積極布局標(biāo)識(shí)解析全球根節(jié)點(diǎn)、輔根節(jié)點(diǎn)、國家頂級(jí)節(jié)點(diǎn)、行業(yè)節(jié)點(diǎn)、二級(jí)節(jié)點(diǎn)等建設(shè)，高度重視工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析安全。
以某行政區(qū)標(biāo)識(shí)解析二級(jí)節(jié)點(diǎn)建設(shè)項(xiàng)目為例，該行政區(qū)工業(yè)互聯(lián)網(wǎng)具有工業(yè)全要素、全產(chǎn)業(yè)鏈、全價(jià)值鏈全面連接的需求，通過標(biāo)識(shí)解析節(jié)點(diǎn)建設(shè)有效實(shí)現(xiàn)了轄區(qū)企業(yè)資源調(diào)度優(yōu)化和精準(zhǔn)決策，大幅提升產(chǎn)能效率。
圖6：工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析二級(jí)節(jié)點(diǎn)建設(shè)架構(gòu)圖
建設(shè)方案遵循國務(wù)院、工信部相關(guān)文件精神，遵循公安部等級(jí)保護(hù)2.0和國家密碼管理局信息系統(tǒng)密碼應(yīng)用要求等標(biāo)準(zhǔn)，圍繞工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析安全技術(shù)及設(shè)備工程化需求，基于密碼技術(shù)為工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析構(gòu)建安全體系，保障工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析應(yīng)用的安全運(yùn)行。
標(biāo)識(shí)解析節(jié)點(diǎn)建設(shè)，通過與國家頂級(jí)節(jié)點(diǎn)、國際根節(jié)點(diǎn)對(duì)接，與工業(yè)互聯(lián)網(wǎng)平臺(tái)、工業(yè)企業(yè)信息系統(tǒng)、企業(yè)節(jié)點(diǎn)進(jìn)行交互，促進(jìn)供應(yīng)鏈管理、重要產(chǎn)品追溯、產(chǎn)品全生命周期管理等應(yīng)用，提供統(tǒng)一元數(shù)據(jù)標(biāo)準(zhǔn)、資源信息鏈認(rèn)證、系統(tǒng)間的認(rèn)證與數(shù)據(jù)共享等支撐功能。
