大連理工計(jì)算機(jī)控制工程有限公司

1、,具有信息安全功能的控制系統(tǒng)展望,,北京和利時(shí)系統(tǒng)工程有限公司技術(shù)中心 王弢,2015年12月10日,主要內(nèi)容,1,2,3,3,4,現(xiàn)有的方案,現(xiàn)有的工業(yè)控制系統(tǒng)防護(hù)主要體現(xiàn)在外加安全組件，均屬于被動(dòng)防御。,我們的目標(biāo),基于主動(dòng)防御理念的具有信息安全功能的工業(yè)控制系統(tǒng),我們的目標(biāo),防御未授權(quán)訪問；,防御非法的系統(tǒng)篡改；,防御通信數(shù)據(jù)被篡改、重放、截獲。,。。。,目前的探索,部分控制系統(tǒng)

2、廠商采用的具有信息安全功能的通信協(xié)議,1. 控制器的防御,部分控制系統(tǒng)廠商所做的工作,控制器基于賬號口令等簡單方式的身份鑒別,,支持HTTPS安全協(xié)議進(jìn)行遠(yuǎn)程診斷,支持FTPS安全協(xié)議進(jìn)行加密文件傳送,,,目前的探索,部分關(guān)鍵信息的密文存儲,支持SNMP v3協(xié)議進(jìn)行網(wǎng)絡(luò)管理,2. 基于網(wǎng)絡(luò)設(shè)備的防御,使用交換機(jī)實(shí)現(xiàn)進(jìn)行接入名單控制、設(shè)備認(rèn)證,使用交換機(jī)進(jìn)行編程控制,,,部分控制系統(tǒng)廠商所做的工作,使用交換機(jī)實(shí)現(xiàn)數(shù)據(jù)加密等安全功能，如S

3、SH、SNMPv3和HTTPS等,目前的探索,部分工控系統(tǒng)采用的主動(dòng)防御技術(shù),證書管控平臺,上位機(jī)信息安全單元,下位機(jī)信息安全單元,密鑰管理服務(wù)器,可信PLC,展望,證書管控平臺,部分工控系統(tǒng)采用的主動(dòng)防御技術(shù)：數(shù)字證書,證書管控平臺對于控制系統(tǒng)為離線過程。,RA中心位于用戶現(xiàn)場，進(jìn)行數(shù)字證書請求生成，管理，下發(fā)的工作。,,根CA中心處理RA發(fā)出的證書請求并生成證書，下發(fā)至RA中心（加密的遠(yuǎn)程傳輸）。,展望,部分工控系統(tǒng)采用的主動(dòng)防御技

4、術(shù)：對稱與非對稱加密,展望,工程師站通信,建立安全通道后的通信均為密文。,通過數(shù)字證書首先驗(yàn)證合法身份，并通過非對稱加密方式3次協(xié)商通信對稱密鑰。,安全的工程師站采用安全級別較高的“挑戰(zhàn)應(yīng)答式”通信方式，使用握手機(jī)制建立安全通道，使用隨機(jī)對稱密鑰加密通信數(shù)據(jù)充分保證數(shù)據(jù)安全。,部分工控系統(tǒng)采用的主動(dòng)防御技術(shù)：對稱與非對稱加密,展望,操作員站通信,實(shí)際加密通信的對稱密鑰由存儲的密鑰“種子”和隨機(jī)生成的隨機(jī)數(shù)共同組成。,密鑰“種子”由密鑰服

5、務(wù)器管理并保證每條通信鏈的種子是唯一的。,操作員站通信機(jī)制采用密鑰服務(wù)器下發(fā)給各個(gè)通信鏈上的設(shè)備密鑰“種子”，通信過程由密鑰“種子”加隨機(jī)數(shù)雜揉生成唯一對稱密鑰的方式進(jìn)行密文通信。,展望,部分工控系統(tǒng)采用的主動(dòng)防御技術(shù)：對稱與非對稱加密,部分工控系統(tǒng)采用的主動(dòng)防御技術(shù)：對稱與非對稱加密,主控部分可為傳統(tǒng)控制器也可以使用更安全的可信PLC。,為保障下發(fā)的密鑰安全，對稱密鑰相關(guān)的下發(fā)均使用非對稱加密算法并配合數(shù)字證書驗(yàn)證合法身份。,密鑰服務(wù)

6、器管理數(shù)據(jù)加密所需要的對稱密鑰種子，種子文件用來生成唯一的對稱密鑰保障數(shù)據(jù)安全。,展望,操作員站的秘鑰管理,,技術(shù)難點(diǎn)：工業(yè)應(yīng)用具有高實(shí)時(shí)性的特點(diǎn)，要求傳輸達(dá)到幾個(gè)毫秒，對于數(shù)據(jù)加解密的運(yùn)算能力要求較高。,實(shí)現(xiàn)加解密、隨機(jī)數(shù)發(fā)生器、密鑰存儲器、算法加速器等子模塊功能。,安全通信模塊采用常規(guī)接口作為控制器的加密通信模塊與控制器連接并完成加解密數(shù)據(jù)傳輸。,,,,,部分工控系統(tǒng)采用的主動(dòng)防御技術(shù)：對稱與非對稱加密,展望,安全通信模塊,部分工控