CN103490895A - 一种应用国密算法的工业控制身份认证方法及装置 - Google Patents
一种应用国密算法的工业控制身份认证方法及装置 Download PDFInfo
- Publication number
- CN103490895A CN103490895A CN201310413249.0A CN201310413249A CN103490895A CN 103490895 A CN103490895 A CN 103490895A CN 201310413249 A CN201310413249 A CN 201310413249A CN 103490895 A CN103490895 A CN 103490895A
- Authority
- CN
- China
- Prior art keywords
- authentication
- data
- module
- safety
- read
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000004422 calculation algorithm Methods 0.000 title claims abstract description 240
- 238000000034 method Methods 0.000 title claims abstract description 38
- 238000012986 modification Methods 0.000 claims abstract description 266
- 230000004048 modification Effects 0.000 claims abstract description 266
- 238000013475 authorization Methods 0.000 claims abstract description 23
- 238000005259 measurement Methods 0.000 claims description 45
- 230000006378 damage Effects 0.000 claims description 19
- 238000001514 detection method Methods 0.000 claims description 18
- 238000001914 filtration Methods 0.000 claims description 16
- 238000003860 storage Methods 0.000 claims description 16
- 230000006870 function Effects 0.000 claims description 13
- 238000011084 recovery Methods 0.000 claims description 11
- 238000006243 chemical reaction Methods 0.000 claims description 9
- 230000009545 invasion Effects 0.000 claims description 7
- 238000012544 monitoring process Methods 0.000 claims description 5
- 238000004886 process control Methods 0.000 claims description 5
- 230000009467 reduction Effects 0.000 claims description 5
- 238000012790 confirmation Methods 0.000 claims description 2
- 230000003993 interaction Effects 0.000 claims description 2
- 238000012545 processing Methods 0.000 claims description 2
- 238000007726 management method Methods 0.000 description 340
- 238000005516 engineering process Methods 0.000 description 15
- 241000700605 Viruses Species 0.000 description 12
- 238000012795 verification Methods 0.000 description 7
- 238000011160 research Methods 0.000 description 5
- 241001269238 Data Species 0.000 description 4
- 238000013461 design Methods 0.000 description 4
- 239000000203 mixture Substances 0.000 description 3
- 238000004458 analytical method Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 238000009776 industrial production Methods 0.000 description 2
- 238000004519 manufacturing process Methods 0.000 description 2
- 230000008520 organization Effects 0.000 description 2
- 239000000725 suspension Substances 0.000 description 2
- XLYOFNOQVPJJNP-UHFFFAOYSA-N water Substances O XLYOFNOQVPJJNP-UHFFFAOYSA-N 0.000 description 2
- 238000013459 approach Methods 0.000 description 1
- 238000012550 audit Methods 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000000052 comparative effect Effects 0.000 description 1
- 238000010586 diagram Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000004927 fusion Effects 0.000 description 1
- 230000008676 import Effects 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 230000014759 maintenance of location Effects 0.000 description 1
- 230000035800 maturation Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000005192 partition Methods 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000008569 process Effects 0.000 description 1
- 230000001681 protective effect Effects 0.000 description 1
- 238000004088 simulation Methods 0.000 description 1
- 238000005728 strengthening Methods 0.000 description 1
- 239000002699 waste material Substances 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/44—Program or device authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Storage Device Security (AREA)
Abstract
一种应用国密算法的工业控制身份认证方法及装置，涉及工业控制安全领域。本发明由包含TCM安全芯片、操作***、身份认证授权管理***、工业防火墙、外网接口、内网接口和BIOS的身份认证授权管理服务器和包含CPU、保密存储器、芯片操作***的国密串口身份认证终端组成。本发明通过国密算法SM1、SM2、SM3的组合应用实现身份认证授权管理服务器的可信运行和只读访问终端、配置修改终端、安全管理终端的不同权限授权和三种国密串口身份认证终端通过外网访问工业控制***的权限实现方法。本发明可以有效并严格管理工业控制***与外部网络的边界，用以满足我国工控***安全的需要，本发明具有安全可靠，快速推广，维护简便，运营费用低廉，普遍适用的特点。
Description
技术领域
本发明涉及工业控制安全领域，尤其是解决高速工业以太环网和自动化平台软件整合的工业控制***与外部网络和其他***连接的边界安全问题。
背景技术
中华人民共和国工业和信息化部于2011年10月发布《关于加强工业控制***信息安全管理的通知》，该《通知》指出数据采集与监控SCADA、分布式控制***DCS、过程控制***PCS、可编程逻辑控制器PLC和远程终端RTU等工业控制***广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。一旦工业控制***信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患。随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制***产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制***扩散，工业控制***信息安全问题日益突出。
工业控制***又称ICS，一方面，敌对政府、恐怖组织、商业间谍、内部不法人员、外部非法入侵者等对***虎视眈眈。国家关键基础所依赖的很多重要信息***从技术特征上讲是ICS，而不是传统上我们熟悉的TCP／IP网络，其安全是国家经济稳定运行的关键，是信息战中敌方的重点攻击目标，攻击后果极其严重。另一方面，***复杂性、人为事故、操作失误、设备故障和自然灾害等也会对ICS造成破坏。在现代计算机和网络技术融合进ICS后，传统ICP／IP网络上常见的安全问题已经纷纷出现在ICS之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响工作效率、浪费***资源，而且还是病毒、木马等恶意代码进入***的主要原因和途径。
目前计算机病毒、各种网络攻击等新特点层出不穷，工业控制***面临着安全新挑战，而国内大部分工业自动化***的网络层采取了一些传统安全防护措施，诸如防火墙、防毒墙、网络入侵防御、VPN等安全设备纷纷安装在工业控制***ICS网关的位置。然而国内成熟的安全网关产品所采用的底层算法和操作***全部来自于国外厂商，也有的工业控制***直接采购国外的网关设备，例如加拿大Tofino公司的安全网闸和美国Industrial Defender公司的安全防护网络就占据了国内工业控制安全网关产品的很大市场份额。
然而2010年发生的“震网”病毒事件和2013年6月爆出的棱镜门事件告诉我们两个事实，第一个事实是国外厂商生产的软件和硬件大都留有后门或者具有向他国情报部门泄露信息的程序；第二个事实是所谓的“影响工业控制安全的病毒”并非是我们所熟悉的互联网“计算机病毒”，“影响工业控制安全的病毒”从互联网“计算机病毒”的角度分析往往不带有攻击性，没有一般“计算机病毒”所具有的病毒特征，属于正常的计算机数据，但是对于工业控制***来说“影响工业控制安全的病毒”是正常指令被错误的场景执行了错误的执行次数，从而造成整个工业控制***遭受巨大的不可挽回的损失。
我国工业控制***ICS的最大弊端在于，工业控制***本身的核心技术是掌握在诸如ABB、西门子、施耐德等大型跨国企业手中，如果工业控制***的安全边界网关同样使用国外进口的产品和技术，将使我国的基础工业完全暴露在外国情报部门的掌控之中，一旦爆发战争，整个国家的工业体系将受到严重摧毁。
现有技术中与本发明类似的国内发明专利有冶金自动化研究设计院申请的专利2012100085049工业控制网络安全防护方法及***，该发明由前方主机、后方主机、安全控制主机组成工业控制网络安全防护***，通过TPM模块保护主机本身的操作***和应用程序，由于TPM模块是国外的技术体系，在工业控制方面等同于对主机本身的操作***和应用程序面对国外情报部门的时候失去保护作用。并且申请号为2012100085049的专利技术对于安全控制主机的主要功能是通过入侵检测、端口控制、IP地址过滤等防火墙和入侵检测技术来对工业控制***进行隔离，这种隔离方法更加适用于普通计算机网络的安全防护。对于工业控制***真正起到破坏作用的攻击指令不具有病毒特征和攻击特征，是正常的指令在错误的环境执行错误的次数，因此冶金自动化研究设计院申请的专利2012100085049工业控制网络安全防护方法及***具有不够完善的设计。冶金自动化研究设计院申请的专利2012100085049工业控制网络安全防护方法及***，通过模拟工业控制***运行来进行工业控制***指令分析从而达到防护的方法可以说是一种创新思想，但是在工业控制***的核心技术被诸如ABB、西门子、施耐德等大型跨国企业手中掌握的情况下，模拟程序如何建立是一个很大的问题，外国厂商的核心技术重来没有对使用方公开过，因此仿真***以中国现有的技术水平无法建立，就算要建立仿真***，也需要由国外厂商执行，这种执行结果仍然使安全性丧失。本发明通过完善身份认证的角度，使用国产TCM模块保护身份认证主机和操作***及应用程序，通过国密算法严格的对外部访问请求和外部数据进行身份识别可以彻底杜绝信息泄露与外部攻击，并且本发明内置工业防火墙模块，可以进一步保证了平台的实用性和不间断工作能力，内置工业防火墙的主要作用是防止由于TCM模块保护功能遇到外部攻击自动断网导致频繁断网的问题。
本发明涉及TPM安全芯片和TCM安全芯片。所谓TPM安全芯片，是指符合TPM标准的安全芯片，它能有效地保护PC，防止非法用户访问。TPM标准由可信赖计算组织（Trusted Computing Group，TCG）制定。尽管TCG是非营利性机构，TPM的技术也是开放的，但由于掌握核心技术的仍是Microsoft、Intel、IBM等国际巨头，因此采用TPM标准的安全设备会使国家信息安全面临巨大威胁。以密码算法为突破口，依据嵌入芯片技术，完全采用我国自主研发的密码算法和引擎，来构建一个安全芯片，我们称之为可信密码模块（Trusted Cryptography Module，TCM）。TCM由长城、中兴、联想、同方、方正、兆日等十二家厂商联合推出，得到国家密码管理局的大力支持，TCM安全芯片在***平台中的作用是为***平台和软件提供基础的安全服务，建立更为安全可靠的***平台环境。
本发明涉及国密算法SM1、SM2、SM3。国密 SM1 算法是由国家密码管理局编制的一种商用密码分组标准对称算法。该算法是国家密码管理部门审批的 SM1 分组密码算法 , 分组长度和密钥长度都为 128 比特，该算法不公开，仅以 IP 核的形式存在于芯片中。SM2为国家密码管理局公布的公钥算法，其加密强度为256位。SM2算法本质上是一种椭圆曲线算法（ECC），属于非对称加解密算法，在细节上，SM2算法规定了签名、验证、密钥交换等具体细节。SM3，密码杂凑算法，杂凑值长度为32字节。
发明内容
针对上述现有技术中存在的问题，本发明的目的是提供一种应用国密算法的工业控制身份认证方法及装置，本发明应用我国自主研发的TCM安全芯片保护身份认证服务器的操作***和身份认证授权管理***以及内置工业防火墙模块，本发明应用我国自主发明的国密算法SM1，SM2，SM3组成真正自主知识产权的身份认证授权管理***，用严格的身份认证授权管理***将工业控制***与外部网络和其他***的连接管理起来。本发明主要用途有以下四点，第一点工业控制***的任何信息在没有收到具有外部访问权限并通过身份认证的用户请求的情况下都无法到达外部网络和其他***；第二点当具有外部访问权限的用户通过身份认证读取工业控制***的任何信息时，工业控制***的任何信息均通过国密算法加密然后送达到有读取请求的并通过身份认证的授权用户，这种通过国密算法加密的信息在没有所对应密钥的情况下无法解读；第三点一切来自工业控制***外部的数据首先进行身份认证，不具有***授权身份的数据直接丢弃；第四点当操作人员修改工业控制***配置乃至工业控制***控制工序的情况下，本发明要求首先判别操作人员是否具有修改权限，当操作人员具有修改权限本发明要求由安全管理人员向***提交修改授权信息后才能够进行工业控制***的***配置和控制工序的修改，缺乏任何条件均无法向工业控制***传送来自外部网络和其他***的任何数据。本法明用以满足我国广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行的工业控制***与外部网络和其他***连接的边界安全问题，不仅具有广泛的市场而且是我国工业控制安全大环境的必要组成部分。
为实现上述发明的目的，本发明的技术方案以如下方式实现：
一种应用国密算法的工业控制身份认证方法及装置由身份认证授权管理服务器和国密串口身份认证终端两部分组成。由TCM安全芯片、操作***、身份认证授权管理***、工业防火墙、外网接口、内网接口和BIOS组成身份认证授权管理服务器；由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作***组成国密串口身份认证终端。TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成；操作***采用Linux内核；身份认证授权管理***由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成；工业防火墙由IP地址过滤器，端口控制器，入侵检测器组成； TCM安全芯片的密码算法模块包括SM1算法引擎、SM2算法引擎、SM3算法引擎。
上述发明一种应用国密算法的工业控制身份认证方法及装置的主要步骤为：
1）身份认证授权管理服务器可信平台构建
身份认证授权管理服务器首次启动，由TCM安全芯片的SM3算法引擎分别计算BIOS、操作***、身份认证授权管理***和工业防火墙的杂凑值，并将BIOS杂凑值、操作***杂凑值、身份认证授权管理***杂凑值和工业防火墙杂凑值存储于数据保密存储模块，之后由TCM安全芯片的SM1算法引擎分别用身份认证授权管理服务器各组成***的杂凑值的前128比特作为各组成***的加密密钥，分别将各组成***加密存储于身份认证授权管理服务器硬盘，生成工业防火墙备份数据、身份认证授权管理***备份数据、操作***备份数据、BIOS备份数据。
2）身份认证授权管理服务器可信平台运行
身份认证授权管理服务器运行中，通过身份认证授权管理服务器外网接口的外网数据依次通过工业防火墙的IP地址过滤器、端口控制器、入侵检测器生成通过防火墙的外部数据，通过防火墙的外部数据到达身份证授权管理***后，身份认证授权管理***通知TCM安全芯片的完整性报告模块调用SM3算法引擎先后对工业防火墙、身份认证授权管理***、操作***、BIOS进行杂凑值计算，生成工业防火墙运行中杂凑值、身份认证授权管理***运行中杂凑值、操作***运行中杂凑值、BIOS运行中杂凑值并且将生成的各组成***运行中杂凑值与各组成***存在数据保密存储模块中的杂凑值比较，当比较结果为不同时，重启身份认证授权管理服务器并且通过SM1算法引擎使用各组成***的加密密钥作为解密密钥，对存储在身份认证授权管理服务器硬盘的各组成***备份数据进行解密复原，各组成***此处特指组成身份认证授权管理服务器的工业防火墙、身份认证授权管理***、操作***和BIOS。
3）身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权
由身份认证授权管理***的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成安全管理公钥、安全管理私钥、安全管理椭圆曲线参数，由身份认证授权管理***的角色权限定义器生成包含包括身份证号码、权限类型、所管辖的设备列表的安全管理员的身份信息，由身份认证信息生成器将安全管理公钥、安全管理椭圆曲线参数、安全管理员的身份信息组成安全管理证书，由身份认证信息生成器将安全管理证书存储于TCM安全芯片的数据保密存储模块并将安全管理证书、安全管理私钥、安全管理公钥、安全管理椭圆曲线参数通过身份认证授权管理服务器串口发送给国密串口身份认证终端，国密串口身份认证终端收到身份认证信息生成器发来的数据由芯片操作***将安全管理证书、安全管理私钥、安全管理公钥、安全管理椭圆曲线参数存储于保密存储器。
4）身份认证授权管理服务器对国密串口身份认证终端进行只读许可授权
方法与身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权相同，不同处在于将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理员的身份信息、安全管理证书替换为只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读许可使用者身份信息、只读权限证书，只读许可使用者的身份信息包括身份证号码、权限类型、允许只读访问的设备列表。
5）身份认证授权管理服务器对国密串口身份认证终端进行配置修改许可授权
方法与身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权相同，不同处在于将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理员的身份信息、安全管理证书替换为配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改使用者身份信息、配置修改权限证书，配置修改使用者的身份信息包括身份证号码、权限类型、允许进行配置修改的设备列表。
6）只读访问终端从外网访问工业控制网络的步骤
①由只读访问终端的芯片操作***调用CPU的SM2算法引擎对只读访问终端通过外网访问工业控制网络的数据进行数字签名，生成经只读访问终端签名的外网数据；经只读访问终端签名的外网数据通过身份认证授权管理服务器的外网接口和工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用只读权限证书对经过只读访问终端签名的外网数据进行签名验证，通过身份验证的经只读访问终端签名的外网数据由协议转换器转换成工控协议的只读外网数据后送达到工控指令集，工控指令集判定工控协议的只读外网数据属于状态查询指令时，将工控协议的只读外网数据通过内网接口送达工业控制***，工控协议的只读外网数据不属于状态查询指令时丢弃该数据。
②工业控制***返回的工控协议的只读内网数据经内网接口传送给身份认证授权管理***的协议转换器进行协议转换，生成返回的只读内网数据，由身份认证授权管理***的身份认证信息生成器调用TCM安全芯片的SM2算法使用只读访问公钥，加密返回的只读内网数据，生成公钥加密的返回的只读内网数据，并通过身份认证授权管理服务器的外网接口传送给通过外网访问的只读访问终端的芯片操作***。
③由只读访问终端的芯片操作***调用CPU的SM2算法引擎，使用只读访问私钥，对公钥加密的返回的只读内网数据进行私钥解密，并将解密还原的返回的只读内网数据存储于保密存储器，由芯片操作***读取保密存储器中的返回的只读内网数据发送给显示***。
7）配置修改终端从外网访问工业控制网络的步骤
①由配置修改终端的芯片操作***调用CPU的SM2算法引擎对配置修改终端通过外网访问工业控制网络的数据进行数字签名，生成经配置修改终端签名的外网数据；经配置修改终端签名的外网数据通过身份认证授权管理服务器的外网接口和工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用配置修改权限证书对经过配置修改终端签名的外网数据进行签名验证，通过身份验证的经配置修改终端签名的外网数据由协议转换器转换成工控协议的配置修改外网数据后送达到工控指令集，工控指令集判定工控协议的配置修改外网数据属于配置修改指令时，向操作***发出需要安全管理授权的信息，并将工控协议的配置修改外网数据涉及的工控设备编号和所做的配置修改项组合成配置修改说明存储于TCM安全芯片的数据保密存储模块中；当工控协议的配置修改外网数据不属于配置修改指令时，工控指令集丢弃工控协议的配置修改外网数据。
②由操作***查询TCM安全芯片4的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明已经更新为经安全管理授权的配置修改说明时，操作***向身份认证授权管理***的工控指令集发出已授权通知，工控指令集接到已授权通知将工控协议的配置修改外网数据发送给身份认证授权管理服务器的内网接口，内网接口将工控协议的配置修改外网数据发送到工业控制***；操作***查询TCM安全芯片的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明尚未更新为经安全管理授权的配置修改说明时，即数据保密存储模块向操作***返回配置修改说明尚未授权信息时，操作***向身份认证授权管理***的工控指令集发出未授权通知，工控指令集接到未授权通知将工控协议的配置修改外网数据发送给TCM安全芯片的数据保密存储模块存储。
8）安全管理终端从外网访问工业控制网络的步骤
①由安全管理终端的芯片操作***调用CPU的SM2算法引擎对安全管理终端通过外网访问工业控制网络的数据进行数字签名，生成经安全管理终端签名的外网数据；经安全管理终端签名的外网数据通过身份认证授权管理服务器的外网接口和工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用安全管理证书对经过安全管理终端签名的外网数据进行签名验证，通过身份验证的经安全管理终端签名的外网数据由身份认证信息生成器送达TCM安全芯片的平台身份验证模块。
②平台身份验证模块根据经安全管理终端签名的外网数据检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块调用TCM安全芯片的密码算法模块的SM2算法引擎，使用安全管理公钥对配置修改说明进行公钥加密，生成公钥加密的配置修改说明。
③平台身份验证模块将公钥加密的配置修改说明通过外网接口传送到安全管理终端的芯片操作***，安全管理终端的芯片操作***将公钥加密的配置修改说明存储到安全管理终端的保密存储器。
9）安全管理员对配置修改说明授权
①安全管理员访问配置修改说明的步骤首先由安全管理终端的芯片操作***从保密存储器读取公钥加密的配置修改说明和安全管理私钥，然后由芯片操作***调用CPU的SM2算法引擎使用安全管理私钥对公钥加密的配置修改说明进行私钥解密，还原成配置修改说明并发送到显示***，同时芯片操作***从保密存储器读取安全管理证书，并从安全管理证书中分离出所管辖的设备列表。
②安全管理员对配置修改说明进行授权操作，安全管理终端的芯片操作***调用安全管理终端的CPU的SM2算法引擎，安全管理终端的芯片操作***读取存储于安全管理终端的保密存储器中的安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理权限证书，使用SM2算法引擎对配置修改说明进行数字签名，生成经安全管理授权的配置修改说明并发送给身份认证授权管理服务器的外网接口。
③经安全管理授权的配置修改说明通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用安全管理权限证书对经安全管理授权的配置修改说明进行身份验证。
④通过身份验证的经安全管理授权的配置修改说明由身份认证授权管理***的身份认证信息生成器发送到TCM安全芯片的平台身份验证模块，平台身份验证模块根据经安全管理授权的配置修改说明检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块将配置修改说明替换为相应的经安全管理授权的配置修改说明。
上述的一种应用国密算法的工业控制身份认证方法及装置，其结构特征是由身份认证授权管理服务器和国密串口身份认证终端两部分组成，国密串口身份认证终端具有安全管理终端、只读访问终端、配置修改终端三种类型；身份认证授权管理服务器由TCM安全芯片、操作***、身份认证授权管理***、工业防火墙、外网接口、内网接口和BIOS组成；国密串口身份认证终端由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作***组成；身份认证授权管理服务器的TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成，主要完成身份认证授权管理服务器可信根的建立，保证身份认证授权管理服务器各模块完整性，当身份认证授权管理服务器的模块被攻击时及时进行安全恢复，同时TCM安全芯片的密码算法模块还具有SM1算法引擎、SM2算法引擎、SM3算法引擎，身份认证授权管理服务器其他模块可以调用密码算法模块中的国产密码算法引擎完成数据签名、身份验证、加密解密功能，TCM安全芯片的数据保密存储模块用来存储身份认证授权管理服务器各个模块生成的需要保密的信息，包括但不限于身份证书、公钥、私钥、椭圆曲线参数、配置修改说明、经安全管理授权的配置修改说明；身份认证授权管理服务器的操作***采用Linux内核主要完成身份认证授权管理服务器各模块间的数据调度，保证身份认证授权管理服务器各模块稳定运行；身份认证授权管理服务器的身份认证授权管理***由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成，角色权限定义器主要完成只读访问权限和允许只读访问的设备列表对应关系建立，配置修改权限和允许进行配置修改的设备列表对应关系建立，安全管理权限和所管辖的设备列表对应关系建立，身份认证信息生成器主要完成身份认证证书的生成、身份认证证书的确认工作，协议转换器主要完成将访问数据从TCP/IP协议转换成工业控制***所使用的协议，工控指令集主要完成经过协议转换后形成的工控协议的数据进行类型划分的工作，主要有状态查询指令和配置修改指令两种类型，工控指令甄别不同类型的工控协议数据发起不同的数据传递流程；身份认证授权管理服务器的工业防火墙模块主要进行外网访问数据的IP地址过滤、端口过滤、入侵检测过滤工作；身份认证授权管理服务器的外网接口主要负责与外部TCP/IP网络连接并传递数据；身份认证授权管理服务器的内网接口主要负责与工业控制***连接并传递数据；身份认证授权管理服务器的BOIS主要负责身份认证授权管理服务器启动所需硬件设备驱动加载；国密串口身份认证终端的CPU主要包含SM1算法引擎、SM2算法引擎、SM3算法引擎，完成向芯片操作***提供算法支持的功能；国密串口身份认证终端的保密存储器主要完成身份认证信息和私钥的存储，同时也提供与身份认证授权管理服务器交互信息的保密存储功能；国密串口身份认证终端的芯片操作***主要完成通过调用CPU的国密算法引擎完成外发数据的数字签名功能和对收到的数据进行私钥解密处理功能。
上述的一种应用国密算法的工业控制身份认证方法及装置，其特征在于由TCM安全芯片建立可信根用以保护身份认证授权管理服务器的可信运行，当身份认证授权管理服务器的任何一个模块受到攻击而改变时，身份认证授权管理服务器将重新启动并由TCM安全芯片对***受到攻击的模块进行安全恢复；同时为了降低***受到攻击的可能性，身份认证授权管理服务器受到的任何来自TCP/IP网络的数据首先经过工业防火墙进行IP地址过滤、端口过滤、入侵检测过滤，以规避大部分来自TCP/IP网络环境的攻击手段，以确保身份认证授权管理服务器安全稳定的运行。
上述的一种应用国密算法的工业控制身份认证方法及装置，其特征在于通过工业防火墙的外网数据首先经过国密算法的基于数字签名的身份认证，通过身份认证的数据由协议转换器转换成工业控制网络的专用协议，生成工控协议的外网数据，工控协议的外网数据通过工控指令集进行状态查询指令和配置修改指令的归类划分，属于状态查询指令的工控协议的外网数据通过内网接口发送给工业控制***，属于配置修改指令的工控协议的外网数据先进行保密存储，同时将配置修改说明进行保密存储，由安全管理员通过安全管理终端登录并读取配置修改说明，对可以做修改的配置修改项目进行授权并且更新存储于TCM安全芯片数据保密存储模块中的配置修改说明为经安全管理授权的配置修改说明，由工控指令集模块查询TCM安全芯片数据保密存储模块中的经安全管理授权的配置修改说明，将与经安全管理授权的配置修改说明相对应的工控协议的外网数据通过内网接口传送给工业控制***，以上工控指令集针对两种不同类型的工控协议的外网数据发起的不同的数据流转过程达到只读访问控制和配置修改访问控制的不同权限控制，实际应用中如果要求的权限种类更为复杂，均可以通过在工控指令集将指令划分类型，不同类型的指令发起不同数据流转流程来实现，本特征不能解释为对本发明的限制。
本发明由于采用了上述的一种应用国密算法的工业控制身份认证方法及装置，为工业控制***通过TCP/IP网络从外网的只读访问和配置修改访问提供了一种基于国密算法的安全管理***，通过国密算法的身份认证信息生成器对只读访问终端、配置修改终端、安全管理终端进行授权，只读访问终端、配置修改终端、安全管理终端也是由支持国密算法的CPU和保密存储器及芯片操作***组成，对与身份认证授权管理服务器的通信数据进行内部计算和保密存储，同时通过身份认证管理***的工控指令集实现对只读访问和配置修改访问的区别控制，通过安全管理终端实现对配置修改指令的审核，针对我国不掌握工业控制***核心技术的现状和工业控制***受到攻击的主要方式提出了一种可靠的可信的工业控制身份认证技术。一种应用国密算法的工业控制身份认证方法及装置有利于我国在不掌握工业控制***核心技术的前提下提升工业控制***与外部网络进行数据传递的安全性，既可以防范非法数据攻击也可以避免敌对势力情报部门通过正常指令攻击工业控制***，还可以避免信息泄露，真正实现工业控制***的边界安全，对我国工业生产运行和国家经济安全具有重大意义。本发明具有安全可靠，快速推广，维护简便，运营费用低廉，普遍适用的特点。
下面结合附图和具体实施方式对本发明作进一步说明。
附图说明
图1为本发明的原理结构图
图2为本发明的BIOS杂凑值生成和BIOS备份流程图
图3为本发明的操作***杂凑值生成和操作***备份流程图
图4为本发明的身份认证授权管理***杂凑值生成和身份认证授权管理***备份流程图
图5为本发明的工业防火墙杂凑值生成和工业防火墙备份流程图
图6为本发明的外网数据经工业防火墙过滤流程图
图7为本发明的工业防火墙完整性验证流程图
图8为本发明的工业防火墙可信恢复流程图
图9为本发明的身份认证授权管理***完整性验证流程图
图10为本发明的身份认证授权管理***可信恢复流程图
图11为本发明的操作***完整性验证流程图
图12为本发明的操作***可信恢复流程图
图13为本发明的BIOS完整性验证流程图
图14为本发明的BIOS可信恢复流程图
图15为本发明的安全管理终端授权流程图
图16为本发明的只读访问终端授权流程图
图17为本发明的配置修改终端授权流程图
图18为本发明的只读访问终端通过外网访问身份认证授权管理服务器的流程图
图19为本发明的工业控制***返回数据回传只读访问终端流程图
图20为本发明的配置修改终端通过外网访问身份认证授权管理服务器的流程图
图21为本发明的工控协议的配置修改外网数据经安全管理授权后送达工业控制***的流程图
图22为本发明的工控协议的配置修改外网数据尚未经安全管理授权存储于数据保密存储模块的流程图
图23为本发明的安全管理终端通过外网访问身份认证授权管理服务器的流程图
图24为本发明的配置修改说明被安全管理终端访问的流程图
图25为本发明的对配置修改说明进行安全管理授权的流程图
图26为本发明的配置修改说明被替换为经安全管理授权的配置修改说明的流程图。
具体实施方式
参看图1至图26，实现本发明的一种应用国密算法的工业控制身份认证方法及装置由身份认证授权管理服务器A和国密串口身份认证终端B两部分组成。由TCM安全芯片4、操作***3、身份认证授权管理***2、工业防火墙1、外网接口9、内网接口10和BIOS8组成身份认证授权管理服务器A；由包含SM1算法引擎510、SM2算法引擎520、SM3算法引擎530的CPU5、保密存储器6、芯片操作***7组成国密串口身份认证终端B。TCM安全芯片4由密码算法模块410、数据保密存储模块420、完整性度量模块430、完整性报告模块440、平台身份验证模块450组成；操作***3采用Linux内核；身份认证授权管理***2由身份认证信息生成器210、角色权限定义器220、工控指令集230、协议转换器240组成；工业防火墙1由IP地址过滤器110，端口控制器120，入侵检测器130组成； TCM安全芯片的密码算法模块包括SM1算法引擎411、SM2算法引擎412、SM3算法引擎413。
上述发明一种应用国密算法的工业控制身份认证方法及装置的主要步骤为：
1）身份认证授权管理服务器可信平台构建
①身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎411计算BIOS杂凑值801，并将BIOS杂凑值801存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将BIOS杂凑值801的前128比特作为BIOS备份密钥802对BIOS8进行SM1算法的加密备份，BIOS备份数据803存储于身份认证授权管理服务器A的硬盘。
②身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算操作***杂凑值301，并将操作***杂凑值301存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将操作***杂凑值301的前128比特作为操作***备份密钥302对操作***3进行SM1算法的加密备份，操作***备份数据303存储于身份认证授权管理服务器A的硬盘。
③身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算身份认证授权管理***杂凑值201，并将身份认证授权管理***杂凑值201存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将身份认证授权管理***杂凑值201的前128比特作为身份认证授权管理***备份密钥202对身份认证授权管理***2进行SM1算法的加密备份，身份认证授权管理***备份数据203存储于身份认证授权管理服务器A的硬盘。
④身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算工业防火墙杂凑值101，并将工业防火墙杂凑值101存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将工业防火墙杂凑值101的前128比特作为工业防火墙备份密钥102对工业防火墙1进行SM1算法的加密备份，工业防火墙备份数据103存储于身份认证授权管理服务器的硬盘。
2）身份认证授权管理服务器可信平台运行
①由身份认证授权管理服务器A的工业防火墙1的IP地址过滤器110对来自身份认证授权管理服务器A的外网接口9的数据进行IP地址过滤，根据IP地址白名单进行数据过滤，来自IP地址白名单以外的IP地址的外网数据901直接丢弃，来自IP地址白名单内的IP地址的外网数据111发送给工业防火墙1的端口控制器120进行端口过滤。
②由身份认证授权管理服务器A的工业防火墙1的端口控制器120对来自IP地址白名单内的IP地址的外网数据进行端口过滤，由身份认证授权管理服务器A的身份认证授权管理***2指定工作端口208，并将工作端口208信息传递给工业防火墙1的端口控制器120，端口控制器120根据工作端口208信息进行外网数据过滤，访问非工作端口的外网数据全部丢弃，访问工作端口的外网数据发送给工业防火墙1的入侵检测器130。
③由身份认证授权管理服务器A的工业防火墙1的入侵检测器130根据事先制定的入侵特征库对通过工业防火墙1的端口控制器120的外网数据进行入侵检测，对符合入侵特征库的入侵特征的外网数据直接丢弃，对不符合入侵特征库的入侵特征的外网数据发送给身份认证授权管理服务器A的身份认证授权管理***2。
④通过身份认证授权管理服务器A的工业防火墙1的IP地址过滤器110、端口控制器120、入侵检测器130的三重过滤的数据命名为通过防火墙的外部数据131，通过防火墙的外部数据131到达身份认证授权管理服务器A的身份认证授权管理***2后，由身份认证授权管理***2通知TCM安全芯片4的完整性报告模块440，TCM安全芯片4的完整性报告模块440执行以下序列操作：
1.TCM安全芯片4的完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算工业防火墙运行中杂凑值104，
2.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的工业防火墙杂凑值101，
3.由完整性报告模块440将工业防火墙运行中杂凑值104与工业防火墙杂凑值101做数据对比，
4.当工业防火墙运行中杂凑值104不等于工业防火墙杂凑值101时完整性报告模块440向操作***3作出防火墙损坏报告105，操作***3收到防火墙损坏报告105重启身份认证授权管理服务器A，同时操作***3通知TCM安全芯片4的完整性度量模块430从工业防火墙备份数据103中恢复工业防火墙1，
5.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量模块430，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的工业防火墙杂凑值101的前128比特作为工业防火墙备份密钥102，完整性度量模块430使用工业防火墙备份密钥102通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的工业防火墙备份数据103中对工业防火墙1进行恢复，
6.当工业防火墙运行中杂凑值104等于工业防火墙杂凑值101时，完整性报告模块440向操作***3发出防火墙正常报告106，完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算身份认证授权管理***运行中杂凑值204，
7.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的身份认证授权管理***杂凑值201，
8.由完整性报告模块440将身份认证授权管理***运行中杂凑值204与身份认证授权管理***杂凑值201做数据对比，
9.当身份认证授权管理***运行中杂凑值204不等于身份认证授权管理***杂凑值201时完整性报告模块440向操作***3作出身份认证授权管理***损坏报告205，操作***3收到身份认证授权管理***损坏报告205重启身份认证授权管理服务器A，同时操作***3通知TCM安全芯片4的完整性度量模块430从身份认证授权管理***备份数据203中恢复身份认证授权管理***2，
10.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量模块430，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的身份认证授权管理***杂凑值201的前128比特作为身份认证授权管理***备份密钥202，完整性度量模块430使用身份认证授权管理***备份密钥202通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的身份认证授权管理***备份数据203中对身份认证授权管理***2进行恢复，
11.当身份认证授权管理***运行中杂凑值204等于身份认证授权管理***杂凑值201时，完整性报告模块440向操作***3发出身份认证授权管理***正常报告206，完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算操作***运行中杂凑值304，
12.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的操作***杂凑值301，
13.由完整性报告模块440将操作***运行中杂凑值304与操作***杂凑值301做数据对比，
14.当操作***运行中杂凑值304不等于操作***杂凑值301时完整性报告模块440向操作***3作出操作***损坏报告305，操作***3收到操作***损坏报告305重启身份认证授权管理服务器A，同时操作***3通知TCM安全芯片4的完整性度量模块430从操作***备份数据303中恢复操作***3，
15.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量430模块，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的操作***杂凑值301的前128比特作为操作***备份密钥302，完整性度量模块430使用操作***备份密钥302通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的操作***备份数据303中对操作***3进行恢复，
16.当操作***运行中杂凑值304等于操作***杂凑值301时，完整性报告模块440向操作***3发出操作***正常报告306，完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算BIOS运行中杂凑值804，
17.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的BIOS杂凑值801，
18.由完整性报告模块440将BIOS运行中杂凑值804与BIOS杂凑值801做数据对比，
19.当BIOS运行中杂凑值804不等于BIOS杂凑值801时完整性报告模块440向操作***3作出BIOS损坏报告805，操作***3收到BIOS损坏报告805重启身份认证授权管理服务器A，同时操作***3通知TCM安全芯片4的完整性度量模块430从BIOS备份数据803中恢复BIOS8，
20.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量模块430，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的BIOS杂凑值801的前128比特作为BIOS备份密钥802，完整性度量模块430使用BIOS备份密钥802通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的BIOS备份数据803中对BIOS8进行恢复，
21.当BIOS运行中杂凑值804等于BIOS杂凑值801时，完整性报告模块440向操作***3发出BIOS正常报告806，完整性报告模块440重复执行本序列步骤的1.到21.。
3）身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权
①将一个国密串口身份认证终端B通过串口连接到身份认证授权管理服务器A，第一次运行身份认证授权管理***2，身份认证授权管理***2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412生成一组安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213。
②由身份认证授权管理***2的角色权限定义器220记录安全管理员的身份信息221，安全管理员身份信息包括身份证号码、权限类型、所管辖的设备列表。
③由身份认证授权管理***2的身份认证信息生成器210将安全管理公钥211、安全管理员的身份信息221、安全管理椭圆曲线参数213组合成安全管理证书214，并且将安全管理证书214传送给TCM安全芯片4的平台身份验证模块450，并由平台身份验证模块450将安全管理证书214存储于TCM安全芯片4的数据保密存储模块420中。
④由身份认证授权管理***2的身份认证信息生成器210将安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理证书214发送给国密串口身份认证终端B的芯片操作***7，国密串口身份认证终端B的芯片操作***7将安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理证书214存储到国密串口身份认证终端B的保密存储器6中，完成以上步骤的国密串口身份认证终端B称为安全管理终端B。
4）身份认证授权管理服务器对国密串口身份认证终端进行只读许可授权
①将一个国密串口身份认证终端B通过串口连接到身份认证授权管理服务器A，运行身份认证授权管理***2，身份认证授权管理***2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412生成一组只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253。
②由身份认证授权管理***2的角色权限定义器220记录只读许可使用者的身份信息222，只读许可使用者的身份信息包括身份证号码、权限类型、允许只读访问的设备列表。
③由身份认证授权管理***2的身份认证信息生成器210将只读访问公钥251、只读许可使用者的身份信息222、只读访问椭圆曲线参数253组合成只读权限证书254，并且将只读权限证书254传送给TCM安全芯片4的平台身份验证模块450，并由平台身份验证模块450将只读权限证书254存储于TCM安全芯片4的数据保密存储模块420中。
④由身份认证授权管理***2的身份认证信息生成器210将只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253、只读权限证书254发送给国密串口身份认证终端B的芯片操作***7，国密串口身份认证终端B的芯片操作***7将只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253、只读权限证书254存储到国密串口身份认证终端B的保密存储器6中，完成以上步骤的国密串口身份认证终端B称为只读访问终端B。
5）身份认证授权管理服务器对国密串口身份认证终端进行配置修改许可授权
①将一个国密串口身份认证终端B通过串口连接到身份认证授权管理服务器A，运行身份认证授权管理***2，身份认证授权管理***2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412生成一组配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数263。
②由身份认证授权管理***2的角色权限定义器220记录配置修改使用者的身份信息223，配置修改使用者的身份信息包括身份证号码、权限类型、允许进行配置修改的设备列表。
③由身份认证授权管理***2的身份认证信息生成器210将配置修改公钥261、配置修改使用者的身份信息223、配置修改椭圆曲线参数263组合成配置修改权限证书264，并且将配置修改权限证书264传送给TCM安全芯片4的平台身份验证模块450，并由平台身份验证模块450将配置修改权限证书264存储于TCM安全芯片4的数据保密存储模块420中。
④由身份认证授权管理***2的身份认证信息生成器210将配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数263、配置修改权限证书264发送给国密串口身份认证终端B的芯片操作***7，国密串口身份认证终端B的芯片操作***7将配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数S63、配置修改权限证书264存储到国密串口身份认证终端B的保密存储器6中，完成以上步骤的国密串口身份认证终端B称为配置修改终端B。
6）只读访问终端从外网访问工业控制网络的步骤
①将只读访问终端B用串口连接到外网计算机终端，只读访问终端B通过外网计算机的TCP/IP网络向身份认证授权管理服务器A发出访问工业控制网络的数据701，只读访问终端B的芯片操作***7调用只读访问终端CPU5的SM2算法引擎520，使用存储于只读访问终端B的保密存储器6中的只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253、只读权限证书254，对访问工业控制网络的数据701进行数字签名，生成经只读访问终端签名的外网数据521。
②经只读访问终端签名的外网数据521通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理***2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的只读权限证书254，身份认证信息生成器210通过只读权限证书254和SM2算法引擎412对经只读访问终端签名的外网数据521进行身份验证。
③通过身份验证的经只读访问终端签名的外网数据522由身份认证授权管理***2的协议转换器240进行协议转换，生成工控协议的只读外网数据523。
④由身份认证授权管理***2的协议转换器240读取存储于TCM安全芯片4的只读权限证书254，协议转换器240从只读权限证书254中分离出允许只读访问的设备列表，当工控协议的只读外网数据访问的设备包含在允许只读访问的设备列表中时，协议转换器240将工控协议的只读外网数据523发送给身份认证授权管理***2的工控指令集230；当工控协议的只读外网数据523访问的设备不包含在允许只读访问的设备列表中时，协议转换器240丢弃工控协议的只读外网数据523。
⑤工控协议的只读外网数据523传送给工控指令集230，工控指令集230存储着整个工业控制***各个数据采集与监控（SCADA）、分布式控制***（DCS）、过程控制***（PCS）、可编程逻辑控制器（PLC）的状态查询指令和配置修改指令，当工控协议的只读外网数据523属于状态查询指令时，工控指令集230将工控协议的只读外网数据523通过身份认证授权管理服务器A内网接口10传送给工业控制***；当工控协议的只读外网数据523不属于状态查询指令时，工控指令集丢弃工控协议的只读外网数据523。
⑥工业控制***返回的工控协议的只读内网数据101经由身份认证授权管理服务器A内网接口10传送给身份认证授权管理***2的协议转换器240进行协议转换，生成返回的只读内网数据102。
⑦身份认证授权管理***2的协议转换器240将返回的只读内网数据102发送给身份认证授权管理***2的身份认证信息生成器210，由身份认证信息生成器210读取存储在TCM安全芯片4的数据保密存储模块420的只读权限证书254并从只读权限证书254分离出只读访问公钥251。
⑧由身份认证授权管理***2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412，使用只读访问公钥251对返回的只读内网数据102进行公钥加密，生成公钥加密的返回的只读内网数据103，并将公钥加密的返回的只读内网数据103通过身份认证授权管理服务器A的外网接口9传送给通过外网访问的只读访问终端B的芯片操作***7。
⑨由只读访问终端B的芯片操作***7调用CPU5的SM2算法引擎520，读取存储于只读访问终端B的保密存储器6的只读访问私钥，对公钥加密的返回的只读内网数据103进行私钥解密，并将解密还原的返回的只读内网数据102存储于保密存储器6。
⑩由只读访问终端B的芯片操作***7将存储于保密存储器6的返回的只读内网数据102发送给显示***进行显示。
7）配置修改终端从外网访问工业控制网络的步骤
①将配置修改终端B用串口连接到外网计算机终端，配置修改终端B通过外网计算机的TCP/IP网络向身份认证授权管理服务器A发出访问工业控制网络的数据701，配置修改终端B的芯片操作***7调用配置修改终端BCPU5的SM2算法引擎520，使用存储于配置修改终端B的保密存储器6中的配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数263、配置修改权限证书264，对访问工业控制网络的数据701进行数字签名，生成经配置修改终端签名的外网数据524。
②经配置修改终端签名的外网数据524通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理***2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的配置修改权限证书264，身份认证信息生成器210通过配置修改权限证书264和SM2算法引擎412对经配置修改终端签名的外网数据524进行身份验证。
③通过身份验证的经配置修改终端签名的外网数据525由身份认证授权管理***2的协议转换器240进行协议转换，生成工控协议的配置修改外网数据526。
④由身份认证授权管理***2的协议转换器240读取存储于TCM安全芯片4的配置修改权限证书264，协议转换器240从配置修改权限证书264中分离出允许进行配置修改的设备列表，当工控协议的配置修改外网数据526访问的设备包含在允许进行配置修改的设备列表中时，协议转换器240将工控协议的配置修改外网数据526发送给身份认证授权管理***A的工控指令集230；当工控协议的配置修改外网数据526访问的设备不包含在允许进行配置修改的设备列表中时，协议转换器240丢弃工控协议的配置修改外网数据526。
⑤工控协议的配置修改外网数据526传送给工控指令集230，工控指令集230存储着整个工业控制***各个数据采集与监控SCADA、分布式控制***DCS、过程控制***PCS、可编程逻辑控制器PLC和远程终端RTU的状态查询指令和配置修改指令，当工控协议的配置修改外网数据526属于配置修改指令时，工控指令集230将需要安全管理授权527的信息发送给身份认证授权管理服务器A的操作***3，工控指令集230将工控协议的配置修改外网数据526涉及的工控设备编号和所做的配置修改项组合成配置修改说明231存储于TCM安全芯片4的数据保密存储模块420中；当工控协议的配置修改外网数据526不属于配置修改指令时，工控指令集230丢弃工控协议的配置修改外网数据526。
⑥身份认证授权管理服务器B的操作***3收到工控指令集230发送来的需要安全管理授权527的信息，操作***3查询TCM安全芯片4的数据保密存储模块420，当数据保密存储模块420中所存储的配置修改说明231已经更新为经安全管理授权的配置修改说明232时，操作***3向身份认证授权管理***2的工控指令集230发出已授权通知233，工控指令集230接到已授权通知233将工控协议的配置修改外网数据526发送给身份认证授权管理服务器A的内网接口10，内网接口10将工控协议的配置修改外网数据526发送到工业控制***；操作***3查询TCM安全芯片4的数据保密存储模块420，当数据保密存储模块420中所存储的配置修改说明231尚未更新为经安全管理授权的配置修改说明232时，即数据保密存储模块420向操作***3返回配置修改说明尚未授权234信息时，操作***3向身份认证授权管理***2的工控指令集230发出未授权通知235，工控指令集230接到未授权通知235将工控协议的配置修改外网数据526发送给TCM安全芯片4的数据保密存储模块420存储。
8）安全管理终端从外网访问工业控制网络的步骤
①将安全管理终端B用串口连接到外网计算机终端，安全管理终端B通过外网计算机的TCP/IP网络向身份认证授权管理服务器A发出访问工业控制网络的数据701，安全管理终端B的芯片操作***7调用安全管理终端B的CPU5的SM2算法引擎520，使用存储于安全管理终端B的保密存储器6中的安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理权限证书214，对访问工业控制网络的数据701进行数字签名，生成经安全管理终端签名的外网数据528。
②经安全管理终端签名的外网数据528通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理***2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的安全管理权限证书214，身份认证信息生成器210通过安全管理权限证书214和SM2算法引擎412对经安全管理终端签名的外网数据528进行身份验证。
③通过身份验证的经安全管理终端签名的外网数据529由身份认证授权管理***2的身份认证信息生成器210发送到TCM安全芯片4的平台身份验证模块450，平台身份验证模块450根据经安全管理终端签名的外网数据528检索TCM安全芯片4的数据保密存储模块420中存储的配置修改说明231，平台身份验证模块450调用TCM安全芯片4的密码算法模块410的SM2算法引擎412，平台身份验证模块450读取数据保密存储模块420中存储的安全管理权限证书214并分离出安全管理公钥211，平台身份验证模块450使用SM2算法引擎412和安全管理公钥211对配置修改说明231进行公钥加密，生成公钥加密的配置修改说明541。
④平台身份验证模块450将公钥加密的配置修改说明541传送给身份认证授权管理服务器A的外网接口9，公钥加密的配置修改说明541经由外网接口9传送到安全管理终端B的芯片操作***7。
⑤安全管理终端B的芯片操作***7将公钥加密的配置修改说明541存储到安全管理终端B的保密存储器6。
9）安全管理员对配置修改说明授权
①安全管理员访问配置修改说明的步骤首先由安全管理终端B的芯片操作***7从保密存储器6读取公钥加密的配置修改说明541和安全管理私钥212，然后由芯片操作***7调用CPU5的SM2算法引擎520使用安全管理私钥212对公钥加密的配置修改说明541进行私钥解密，还原成配置修改说明231并发送到显示***，同时芯片操作***7从保密存储器6读取安全管理证书214，并从安全管理证书214中分离出所管辖的设备列表。
②安全管理员对配置修改说明231进行授权操作，安全管理终端B的芯片操作***7调用安全管理终端B的CPU5的SM2算法引擎520，使用存储于安全管理终端B的保密存储器6中的安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理权限证书214，对配置修改说明231进行数字签名，生成经安全管理授权的配置修改说明232并发送给身份认证授权管理服务器A的外网接口9。
③经安全管理授权的配置修改说明232通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理***2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的安全管理权限证书214，身份认证信息生成器210通过安全管理权限证书214和SM2算法引擎412对经安全管理授权的配置修改说明232进行身份验证。
④通过身份验证的经安全管理授权的配置修改说明542由身份认证授权管理***2的身份认证信息生成器210发送到TCM安全芯片4的平台身份验证模块450，平台身份验证模块450根据经安全管理授权的配置修改说明232检索TCM安全芯片4的数据保密存储模块420中存储的配置修改说明231，平台身份验证模块450将配置修改说明231替换为相应的经安全管理授权的配置修改说明232。
Claims (4)
1.一种应用国密算法的工业控制身份认证方法及装置由身份认证授权管理服务器和国密串口身份认证终端两部分组成；由TCM安全芯片、操作***、身份认证授权管理***、工业防火墙、外网接口、内网接口和BIOS组成身份认证授权管理服务器；由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作***组成国密串口身份认证终端；TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成；操作***采用Linux内核；身份认证授权管理***由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成；工业防火墙由IP地址过滤器，端口控制器，入侵检测器组成； TCM安全芯片的密码算法模块包括SM1算法引擎、SM2算法引擎、SM3算法引擎；
上述发明一种应用国密算法的工业控制身份认证方法及装置的主要步骤为：
1）身份认证授权管理务器可信平台构建
①身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算BIOS杂凑值，并将BIOS杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将BIOS杂凑值的前128比特作为BIOS备份密钥对BIOS进行SM1算法的加密备份，BIOS备份数据存储于身份认证授权管理服务器的硬盘；
②身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算操作***杂凑值，并将操作***杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将操作***杂凑值的前128比特作为操作***备份密钥对操作***进行SM1算法的加密备份，操作***备份数据存储于身份认证授权管理服务器的硬盘；
③身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算身份认证授权管理***杂凑值，并将身份认证授权管理***杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将身份认证授权管理***杂凑值的前128比特作为身份认证授权管理***备份密钥对身份认证授权管理***进行SM1算法的加密备份，身份认证授权管理***备份数据存储于身份认证授权管理服务器的硬盘；
④身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算工业防火墙杂凑值，并将工业防火墙杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将工业防火墙杂凑值的前128比特作为工业防火墙备份密钥对工业防火墙进行SM1算法的加密备份，工业防火墙备份数据存储于身份认证授权管理服务器的硬盘；
2）身份认证授权管理服务器可信平台运行
①由身份认证授权管理服务器的工业防火墙的IP地址过滤器对来自身份认证授权管理服务器的外网接口的数据进行IP地址过滤，根据IP地址白名单进行数据过滤，来自IP地址白名单以外的IP地址的外网数据直接丢弃，来自IP地址白名单内的IP地址的外网数据发送给工业防火墙的端口控制器进行端口过滤；
②由身份认证授权管理服务器的工业防火墙的端口控制器对来自IP地址白名单内的IP地址的外网数据进行端口过滤，由身份认证授权管理服务器的身份认证授权管理***指定工作端口，并将工作端口信息传递给工业防火墙的端口控制器，端口控制器根据工作端口信息进行外网数据过滤，访问非工作端口的外网数据全部丢弃，访问工作端口的外网数据发送给工业防火墙的入侵检测器；
③由身份认证授权管理服务器的工业防火墙的入侵检测器根据事先制定的入侵特征库对通过工业防火墙的端口控制器的外网数据进行入侵检测，对符合入侵特征库的入侵特征的外网数据直接丢弃，对不符合入侵特征库的入侵特征的外网数据发送给身份认证授权管理服务器的身份认证授权管理***；
④通过身份认证授权管理服务器的工业防火墙的IP地址过滤器、端口控制器、入侵检测器的三重过滤的外网数据命名为通过防火墙的外部数据，通过防火墙的外部数据到达身份认证授权管理服务器的身份认证授权管理***后，由身份认证授权管理***通知TCM安全芯片的完整性报告模块，TCM安全芯片的完整性报告模块执行以下序列操作：
1.TCM安全芯片的完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算工业防火墙运行中杂凑值，
2.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的工业防火墙杂凑值，
3.由完整性报告模块将工业防火墙运行中杂凑值与工业防火墙杂凑值做数据对比，
4.当工业防火墙运行中杂凑值不等于工业防火墙杂凑值时完整性报告模块向操作***作出防火墙损坏报告，操作***收到防火墙损坏报告重启身份认证授权管理服务器，同时操作***通知TCM安全芯片的完整性度量模块从工业防火墙备份数据中恢复工业防火墙，
5.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的工业防火墙杂凑值的前128比特作为工业防火墙备份密钥，完整性度量模块使用工业防火墙备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的工业防火墙备份数据中对工业防火墙进行恢复，
6.当工业防火墙运行中杂凑值等于工业防火墙杂凑值时，完整性报告模块向操作***发出防火墙正常报告，完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算身份认证授权管理***运行中杂凑值，
7.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的身份认证授权管理***杂凑值，
8.由完整性报告模块将身份认证授权管理***运行中杂凑值与身份认证授权管理***杂凑值做数据对比，
9.当身份认证授权管理***运行中杂凑值不等于身份认证授权管理***杂凑值时完整性报告模块向操作***作出身份认证授权管理***损坏报告，操作***收到身份认证授权管理***损坏报告重启身份认证授权管理服务器，同时操作***通知TCM安全芯片的完整性度量模块从身份认证授权管理***备份数据中恢复身份认证授权管理***，
10.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的身份认证授权管理***杂凑值的前128比特作为身份认证授权管理***备份密钥，完整性度量模块使用身份认证授权管理***备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的身份认证授权管理***备份数据中对身份认证授权管理***进行恢复，
11.当身份认证授权管理***运行中杂凑值等于身份认证授权管理***杂凑值时，完整性报告模块向操作***发出身份认证授权管理***正常报告，完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算操作***运行中杂凑值，
12.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的操作***杂凑值，
13.由完整性报告模块将操作***运行中杂凑值与操作***杂凑值做数据对比，
14.当操作***运行中杂凑值不等于操作***杂凑值时完整性报告模块向操作***作出操作***损坏报告，操作***收到操作***损坏报告重启身份认证授权管理服务器，同时操作***通知TCM安全芯片的完整性度量模块从操作***备份数据中恢复操作***，
15.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的操作***杂凑值的前128比特作为操作***备份密钥，完整性度量模块使用操作***备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的操作***备份数据中对操作***进行恢复，
16.当操作***运行中杂凑值等于操作***杂凑值时，完整性报告模块向操作***发出操作***正常报告，完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算BIOS运行中杂凑值，
17.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的BIOS杂凑值，
18.由完整性报告模块将BIOS运行中杂凑值与BIOS杂凑值做数据对比，
19.当BIOS运行中杂凑值不等于BIOS杂凑值时完整性报告模块向操作***作出BIOS损坏报告，操作***收到BIOS损坏报告重启身份认证授权管理服务器，同时操作***通知TCM安全芯片的完整性度量模块从BIOS备份数据中恢复BIOS，
20.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的BIOS杂凑值的前128比特作为BIOS备份密钥，完整性度量模块使用BIOS备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的BIOS备份数据中对BIOS进行恢复，
21.当BIOS运行中杂凑值等于BIOS杂凑值时，完整性报告模块向操作***发出BIOS正常报告，完整性报告模块重复执行本序列步骤的1.到21.；
3）身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权
①将一个国密串口身份认证终端通过串口连接到身份认证授权管理服务器，第一次运行身份认证授权管理***，身份认证授权管理***的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成一组安全管理公钥、安全管理私钥、安全管理椭圆曲线参数；
②由身份认证授权管理***的角色权限定义器记录安全管理员的身份信息，身份信息包括身份证号码、权限类型、所管辖的设备列表；
③由身份认证授权管理***的身份认证信息生成器将安全管理公钥、安全管理员的身份信息、安全管理椭圆曲线参数组合成安全管理证书，并且将安全管理证书传送给TCM安全芯片的平台身份验证模块，并由平台身份验证模块将安全管理证书存储于TCM安全芯片的数据保密存储模块中；
④由身份认证授权管理***的身份认证信息生成器将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书发送给国密串口身份认证终端的芯片操作***，国密串口身份认证终端的芯片操作***将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书存储到国密串口身份认证终端的保密存储器中，完成以上步骤的国密串口身份认证终端称为安全管理终端；
4）身份认证授权管理服务器对国密串口身份认证终端进行只读许可授权
①将一个国密串口身份认证终端通过串口连接到身份认证授权管理服务器，运行身份认证授权管理***，身份认证授权管理***的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成一组只读访问公钥、只读访问私钥、只读访问椭圆曲线参数；
②由身份认证授权管理***的角色权限定义器记录只读许可使用者的身份信息，身份信息包括身份证号码、权限类型、允许只读访问的设备列表；
③由身份认证授权管理***的身份认证信息生成器将只读访问公钥、只读许可使用者的身份信息、只读访问椭圆曲线参数组合成只读权限证书，并且将只读权限证书传送给TCM安全芯片的平台身份验证模块，并由平台身份验证模块将只读权限证书存储于TCM安全芯片的数据保密存储模块中；
④由身份认证授权管理***的身份认证信息生成器将只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书发送给国密串口身份认证终端的芯片操作***，国密串口身份认证终端的芯片操作***将只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书存储到国密串口身份认证终端的保密存储器中，完成以上步骤的国密串口身份认证终端称为只读访问终端；
5）身份认证授权管理服务器对国密串口身份认证终端进行配置修改许可授权
①将一个国密串口身份认证终端通过串口连接到身份认证授权管理服务器，运行身份认证授权管理***，身份认证授权管理***的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成一组配置修改公钥、配置修改私钥、配置修改椭圆曲线参数；
②由身份认证授权管理***的角色权限定义器记录配置修改使用者的身份信息，身份信息包括身份证号码、权限类型、允许进行配置修改的设备列表；
③由身份认证授权管理***的身份认证信息生成器将配置修改公钥、配置修改使用者的身份信息、配置修改椭圆曲线参数组合成配置修改权限证书，并且将配置修改权限证书传送给TCM安全芯片的平台身份验证模块，并由平台身份验证模块将配置修改权限证书存储于TCM安全芯片的数据保密存储模块中；
④由身份认证授权管理***的身份认证信息生成器将配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书发送给国密串口身份认证终端的芯片操作***，国密串口身份认证终端的芯片操作***将配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书存储到国密串口身份认证终端的保密存储器中，完成以上步骤的国密串口身份认证终端称为配置修改终端；
6）只读访问终端从外网访问工业控制网络的步骤
①将只读访问终端用串口连接到外网计算机终端，只读访问终端通过外网计算机的TCP/IP网络向身份认证授权管理服务器发出访问工业控制网络的数据，只读访问终端的芯片操作***调用只读访问终端CPU的SM2算法引擎，只读访问终端的芯片操作***读取存储于只读访问终端的保密存储器中的只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书，只读访问终端的芯片操作***使用SM2算法引擎和只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书对访问工业控制网络的数据进行数字签名，生成经只读访问终端签名的外网数据；
②经只读访问终端签名的外网数据通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的只读权限证书，身份认证信息生成器通过只读权限证书和SM2算法引擎对经只读访问终端签名的外网数据进行身份验证；
③通过身份验证的经只读访问终端签名的外网数据由身份认证授权管理***的协议转换器进行协议转换，生成工控协议的只读外网数据；
④由身份认证授权管理***的协议转换器读取存储于TCM安全芯片的只读权限证书，协议转换器从只读权限证书中分离出允许只读访问的设备列表，当工控协议的只读外网数据访问的设备包含在允许只读访问的设备列表中时，协议转换器将工控协议的只读外网数据发送给身份认证授权管理***的工控指令集；当工控协议的只读外网数据访问的设备不包含在允许只读访问的设备列表中时，协议转换器丢弃工控协议的只读外网数据；
⑤工控协议的只读外网数据传送给工控指令集，工控指令集存储着整个工业控制***各个数据采集与监控（SCADA）、分布式控制***（DCS）、过程控制***（PCS）、可编程逻辑控制器（PLC）的状态查询指令和配置修改指令，当工控协议的只读外网数据属于状态查询指令时，工控指令集将工控协议的只读外网数据通过身份认证授权管理服务器内网接口传送给工业控制***；当工控协议的只读外网数据不属于状态查询指令时，工控指令集丢弃工控协议的只读外网数据；
⑥工业控制***返回的工控协议的只读内网数据经由身份认证授权管理服务器内网接口传送给身份认证授权管理***的协议转换器进行协议转换，生成返回的只读内网数据；
⑦身份认证授权管理***的协议转换器将返回的只读内网数据发送给身份认证授权管理***的身份认证信息生成器，由身份认证信息生成器读取存储在TCM安全芯片的数据保密存储模块的只读权限证书并从只读权限证书分离出只读访问公钥；
⑧由身份认证授权管理***的身份认证信息生成器调用TCM安全芯片的SM2算法引擎，使用只读访问公钥对返回的只读内网数据进行公钥加密，生成公钥加密的返回的只读内网数据，并将公钥加密的返回的只读内网数据通过身份认证授权管理服务器的外网接口传送给通过外网访问的只读访问终端的芯片操作***；
⑨由只读访问终端的芯片操作***调用CPU的SM2算法引擎，读取存储于只读访问终端的保密存储器的只读访问私钥，对公钥加密的返回的只读内网数据进行私钥解密，并将解密还原的返回的只读内网数据存储于保密存储器；
⑩由只读访问终端的芯片操作***将存储于保密存储器的返回的只读内网数据发送给显示***进行显示；
7）配置修改终端从外网访问工业控制网络的步骤
①将配置修改终端用串口连接到外网计算机终端，配置修改终端通过外网计算机的TCP/IP网络向身份认证授权管理服务器发出访问工业控制网络的数据，配置修改终端的芯片操作***调用配置修改终端CPU的SM2算法引擎，配置修改终端的芯片操作***读取存储于配置修改终端的保密存储器中的配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书，配置修改终端的芯片操作***使用SM2算法引擎和配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书对访问工业控制网络的数据进行数字签名，生成经配置修改终端签名的外网数据；
②经配置修改终端签名的外网数据通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的配置修改权限证书，身份认证信息生成器通过配置修改权限证书和SM2算法引擎对经配置修改终端签名的外网数据进行身份验证；
③通过身份验证的经配置修改终端签名的外网数据由身份认证授权管理***的协议转换器进行协议转换，生成工控协议的配置修改外网数据；
④由身份认证授权管理***的协议转换器读取存储于TCM安全芯片的配置修改权限证书，协议转换器从配置修改权限证书中分离出允许进行配置修改的设备列表，当工控协议的配置修改外网数据访问的设备包含在允许进行配置修改的设备列表中时，协议转换器将工控协议的配置修改外网数据发送给身份认证授权管理***的工控指令集；当工控协议的配置修改外网数据访问的设备不包含在允许进行配置修改的设备列表中时，协议转换器丢弃工控协议的配置修改外网数据；
⑤工控协议的配置修改外网数据传送给工控指令集，工控指令集存储着整个工业控制***各个数据采集与监控SCADA、分布式控制***DCS、过程控制***PCS、可编程逻辑控制器PLC和远程终端RTU的状态查询指令和配置修改指令，当工控协议的配置修改外网数据属于配置修改指令时，工控指令集将需要安全管理授权的信息发送给身份认证授权管理服务器的操作***，工控指令集将工控协议的配置修改外网数据涉及的工控设备编号和所做的配置修改项组合成配置修改说明存储于TCM安全芯片的数据保密存储模块中；当工控协议的配置修改外网数据不属于配置修改指令时，工控指令集丢弃工控协议的配置修改外网数据；
⑥身份认证授权管理服务器的操作***收到工控指令集发送来的需要安全管理授权的信息，操作***查询TCM安全芯片的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明已经更新为经安全管理授权的配置修改说明时，操作***向身份认证授权管理***的工控指令集发出已授权通知，工控指令集接到已授权通知将工控协议的配置修改外网数据发送给身份认证授权管理服务器的内网接口，内网接口将工控协议的配置修改外网数据发送到工业控制***；操作***查询TCM安全芯片的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明尚未更新为经安全管理授权的配置修改说明时，操作***向身份认证授权管理***的工控指令集发出未授权通知，工控指令集接到未授权通知将工控协议的配置修改外网数据发送给TCM安全芯片的数据保密存储模块存储；
8）安全管理终端从外网访问工业控制网络的步骤
①将安全管理终端用串口连接到外网计算机终端，安全管理终端通过外网计算机的TCP/IP网络向身份认证授权管理服务器发出访问工业控制网络的数据，安全管理终端的芯片操作***调用安全管理终端CPU的SM2算法引擎，安全管理终端的芯片操作***读取存储于安全管理终端的保密存储器中的安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理权限证书，安全管理终端的芯片操作***使用SM2算法引擎和安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理权限证书对访问工业控制网络的数据进行数字签名，生成经安全管理终端签名的外网数据；
②经安全管理终端签名的外网数据通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的安全管理权限证书，身份认证信息生成器通过安全管理权限证书和SM2算法引擎对经安全管理终端签名的外网数据进行身份验证；
③通过身份验证的经安全管理终端签名的外网数据由身份认证授权管理***的身份认证信息生成器发送到TCM安全芯片的平台身份验证模块，平台身份验证模块根据经安全管理终端签名的外网数据检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块调用TCM安全芯片的密码算法模块的SM2算法引擎，平台身份验证模块读取数据保密存储模块中存储的安全管理权限证书并分离出安全管理公钥，平台身份验证模块使用SM2算法引擎和安全管理公钥对配置修改说明进行公钥加密，生成公钥加密的配置修改说明；
④平台身份验证模块将公钥加密的配置修改说明传送给身份认证授权管理服务器的外网接口，公钥加密的配置修改说明经由外网接口传送到安全管理终端的芯片操作***；
⑤安全管理终端的芯片操作***将公钥加密的配置修改说明存储到安全管理终端的保密存储器；
9）安全管理员对配置修改说明授权
①安全管理员访问配置修改说明的步骤首先由安全管理终端的芯片操作***从保密存储器读取公钥加密的配置修改说明和安全管理私钥，然后由芯片操作***调用CPU的SM2算法引擎使用安全管理私钥对公钥加密的配置修改说明进行私钥解密，还原成配置修改说明并发送到显示***，同时芯片操作***从保密存储器读取安全管理证书，并从安全管理证书中分离出所管辖的设备列表；
②安全管理员对配置修改说明进行授权操作，安全管理终端的芯片操作***调用安全管理终端CPU的SM2算法引擎，安全管理终端的芯片操作***读取存储于安全管理终端的保密存储器中的安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理权限证书，安全管理终端的芯片操作***使用SM2算法引擎和安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理权限证书对配置修改说明进行数字签名，生成经安全管理授权的配置修改说明并发送给身份认证授权管理服务器的外网接口；
③经安全管理授权的配置修改说明通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理***的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的安全管理权限证书，身份认证信息生成器通过安全管理权限证书和SM2算法引擎对经安全管理授权的配置修改说明进行身份验证；
④通过身份验证的经安全管理授权的配置修改说明由身份认证授权管理***的身份认证信息生成器发送到TCM安全芯片的平台身份验证模块，平台身份验证模块根据经安全管理授权的配置修改说明检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块将配置修改说明替换为相应的经安全管理授权的配置修改说明。
2.根据权利要求1所述的一种应用国密算法的工业控制身份认证方法及装置，其结构特征是由身份认证授权管理服务器和国密串口身份认证终端两部分组成，国密串口身份认证终端具有安全管理终端、只读访问终端、配置修改终端三种类型；身份认证授权管理服务器由TCM安全芯片、操作***、身份认证授权管理***、工业防火墙、外网接口、内网接口和BIOS组成；国密串口身份认证终端由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作***组成；身份认证授权管理服务器的TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成，主要完成身份认证授权管理服务器可信根的建立，保证身份认证授权管理服务器各模块完整性，当身份认证授权管理服务器的模块被攻击时及时进行安全恢复，同时TCM安全芯片的密码算法模块还具有SM1算法引擎、SM2算法引擎、SM3算法引擎，身份认证授权管理服务器其他模块可以调用密码算法模块中的国产密码算法引擎完成数据签名、身份验证、加密解密功能，TCM安全芯片的数据保密存储模块用来存储身份认证授权管理服务器各个模块生成的需要保密的信息，包括但不限于身份证书、公钥、私钥、椭圆曲线参数、配置修改说明、经安全管理授权的配置修改说明；身份认证授权管理服务器的操作***采用Linux内核主要完成身份认证授权管理服务器各模块间的数据调度，保证身份认证授权管理服务器各模块稳定运行；身份认证授权管理服务器的身份认证授权管理***由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成，角色权限定义器主要完成只读访问权限和允许只读访问的设备列表对应关系建立，配置修改权限和允许进行配置修改的设备列表对应关系建立，安全管理权限和所管辖的设备列表对应关系建立，身份认证信息生成器主要完成身份认证证书的生成、身份认证证书的确认工作，协议转换器主要完成将访问数据从TCP/IP协议转换成工业控制***所使用的协议，工控指令集主要完成经过协议转换后形成的工控协议的数据进行类型划分的工作，主要有状态查询指令和配置修改指令两种类型，工控指令甄别不同类型的工控协议数据发起不同的数据传递流程；身份认证授权管理服务器的工业防火墙模块主要进行外网访问数据的IP地址过滤、端口过滤、入侵检测过滤工作；身份认证授权管理服务器的外网接口主要负责与外部TCP/IP网络连接并传递数据；身份认证授权管理服务器的内网接口主要负责与工业控制***连接并传递数据；身份认证授权管理服务器的BOIS主要负责身份认证授权管理服务器启动所需硬件设备驱动加载；国密串口身份认证终端的CPU主要包含SM1算法引擎、SM2算法引擎、SM3算法引擎，完成向芯片操作***提供算法支持的功能；国密串口身份认证终端的保密存储器主要完成身份认证信息和私钥的存储，同时也提供与身份认证授权管理服务器交互信息的保密存储功能；国密串口身份认证终端的芯片操作***主要完成通过调用CPU的国密算法引擎完成外发数据的数字签名功能和对收到的数据进行私钥解密处理功能。
3.根据权利要求1所述的一种应用国密算法的工业控制身份认证方法及装置，其特征在于由TCM安全芯片建立可信根用以保护身份认证授权管理服务器的可信运行，当身份认证授权管理服务器的任何一个模块受到攻击而改变时，身份认证授权管理服务器将重新启动并由TCM安全芯片对***受到攻击的模块进行安全恢复；同时为了降低***受到攻击的可能性，身份认证授权管理服务器受到的任何来自TCP/IP网络的数据首先经过工业防火墙进行IP地址过滤、端口过滤、入侵检测过滤，以规避大部分来自TCP/IP网络环境的攻击手段，以确保身份认证授权管理服务器安全稳定的运行。
4.一种应用国密算法的工业控制身份认证方法及装置，其特征在于通过工业防火墙的外网数据首先经过国密算法的基于数字签名的身份认证，通过身份认证的数据由协议转换器转换成工业控制网络的专用协议，生成工控协议的外网数据，工控协议的外网数据通过工控指令集进行状态查询指令和配置修改指令的归类划分，属于状态查询指令的工控协议的外网数据通过内网接口发送给工业控制***，属于配置修改指令的工控协议的外网数据先进行保密存储，同时将配置修改说明进行保密存储，由安全管理员通过安全管理终端登录并读取配置修改说明，对可以做修改的配置修改项目进行授权并且更新存储于TCM安全芯片数据保密存储模块中的配置修改说明为经安全管理授权的配置修改说明，由工控指令集模块查询TCM安全芯片数据保密存储模块中的经安全管理授权的配置修改说明，将与经安全管理授权的配置修改说明相对应的工控协议的外网数据通过内网接口传送给工业控制***，以上工控指令集针对两种不同类型的工控协议的外网数据发起的不同的数据流转过程达到只读访问控制和配置修改访问控制的不同权限控制，实际应用中如果要求的权限种类更为复杂，均可以通过在工控指令集将指令划分类型，不同类型的指令发起不同数据流转流程来实现，本特征不能解释为对本发明的限制。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310413249.0A CN103490895B (zh) | 2013-09-12 | 2013-09-12 | 一种应用国密算法的工业控制身份认证方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201310413249.0A CN103490895B (zh) | 2013-09-12 | 2013-09-12 | 一种应用国密算法的工业控制身份认证方法及装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN103490895A true CN103490895A (zh) | 2014-01-01 |
| CN103490895B CN103490895B (zh) | 2016-09-14 |
Family
ID=49830869
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201310413249.0A Expired - Fee Related CN103490895B (zh) | 2013-09-12 | 2013-09-12 | 一种应用国密算法的工业控制身份认证方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN103490895B (zh) |
Cited By (56)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104079408A (zh) * | 2014-05-30 | 2014-10-01 | 国家电网公司 | 一种工业控制***中增强通信安全性的方法 |
| CN104158816A (zh) * | 2014-08-25 | 2014-11-19 | 中国科学院声学研究所 | 认证方法、装置和服务器 |
| CN104539573A (zh) * | 2014-10-30 | 2015-04-22 | 北京科技大学 | 一种基于嵌入式***的工业安全网关的通信方法及装置 |
| CN105100044A (zh) * | 2014-05-09 | 2015-11-25 | 通用电气公司 | 用于可控装置访问的***和方法 |
| CN105117655A (zh) * | 2015-07-31 | 2015-12-02 | 成都亿信标准认证集团有限公司 | 保密性好的项目存储服务器 |
| CN105302055A (zh) * | 2015-11-09 | 2016-02-03 | 北京工业大学 | 一种工业控制***中可编程逻辑控制器的安全监控***及方法 |
| CN105357005A (zh) * | 2015-11-16 | 2016-02-24 | 国网智能电网研究院 | 一种pci/pci-e接口的电力可信计算密码模块 |
| WO2016036491A1 (en) * | 2014-09-04 | 2016-03-10 | Intel Corporation | Sm3 hash algorithm acceleration processors, methods, systems, and instructions |
| CN105471901A (zh) * | 2015-12-30 | 2016-04-06 | 北京华大智宝电子***有限公司 | 一种工业信息安全认证*** |
| CN105681353A (zh) * | 2016-03-22 | 2016-06-15 | 浙江宇视科技有限公司 | 防御端口扫描入侵的方法及装置 |
| CN105721489A (zh) * | 2016-03-16 | 2016-06-29 | 四川长虹电器股份有限公司 | 基于数字证书对ip白名单中的ip认证方法与*** |
| CN105930732A (zh) * | 2016-04-12 | 2016-09-07 | 中国电子科技集团公司第五十四研究所 | 一种适合vpx设备业务板卡的可信启动方法 |
| CN105959249A (zh) * | 2015-09-11 | 2016-09-21 | 天地融科技股份有限公司 | 电子设备的管理方法及*** |
| CN106027466A (zh) * | 2016-01-21 | 2016-10-12 | 李明 | 一种身份证云认证***及读卡*** |
| CN106161036A (zh) * | 2016-08-18 | 2016-11-23 | 福建联迪商用设备有限公司 | 一种授信的终端状态转换方法和*** |
| CN106302518A (zh) * | 2016-09-13 | 2017-01-04 | 西安莫贝克半导体科技有限公司 | 一种软硬件结合的网络防火墙 |
| CN106506470A (zh) * | 2016-10-31 | 2017-03-15 | 大唐高鸿信安（浙江）信息科技有限公司 | 网络数据安全传输方法 |
| CN106773941A (zh) * | 2016-12-12 | 2017-05-31 | 中国航天***工程有限公司 | 基于国家密码高性能芯片的安全采集远程终端单元 |
| CN106778215A (zh) * | 2016-11-18 | 2017-05-31 | 广州普惠创新金融信息服务有限公司 | 一种交易***的账号管理方法、装置及*** |
| CN107124277A (zh) * | 2016-02-25 | 2017-09-01 | 上海传真通信设备技术研究所有限公司 | 一种基于国家商用密码算法的硬拷贝控制*** |
| CN107403098A (zh) * | 2017-06-13 | 2017-11-28 | 北京溢思得瑞智能科技研究院有限公司 | 可信工业控制计算机启动阶段的主动安全防护方法及可信工业控制计算机 |
| CN107666541A (zh) * | 2016-07-29 | 2018-02-06 | 汪风珍 | 一种实现号码安全和隐私保护的方法 |
| CN107733878A (zh) * | 2017-09-29 | 2018-02-23 | 国网甘肃省电力公司电力科学研究院 | 一种工业控制***的安全防护装置 |
| US9912481B2 (en) | 2014-03-27 | 2018-03-06 | Intel Corporation | Method and apparatus for efficiently executing hash operations |
| CN108023979A (zh) * | 2017-11-30 | 2018-05-11 | 公安部第三研究所 | 安全强固的便携操作终端及*** |
| US10038550B2 (en) | 2013-08-08 | 2018-07-31 | Intel Corporation | Instruction and logic to provide a secure cipher hash round functionality |
| CN108375946A (zh) * | 2018-03-22 | 2018-08-07 | 北京奔驰汽车有限公司 | 一种信息安全监控装置和工业控制*** |
| US10148428B2 (en) | 2012-12-29 | 2018-12-04 | Intel Corporation | Instruction and logic to provide SIMD secure hashing round slice functionality |
| CN109255231A (zh) * | 2018-09-28 | 2019-01-22 | 山东超越数控电子股份有限公司 | 一种基于可信计算的加密硬盘密钥保护***及方法 |
| WO2019028572A1 (zh) * | 2017-08-09 | 2019-02-14 | 深圳市志合创伟信息技术有限公司 | 一种plc可信自动配置方法、装置及计算机可读存储介质 |
| CN109564603A (zh) * | 2016-06-02 | 2019-04-02 | 哈勃股份有限公司 | 用于安全地更改工业控制***中的多路复用器的网络配置设置的***和方法 |
| CN109725612A (zh) * | 2018-12-17 | 2019-05-07 | 深圳市中行建设工程顾问有限公司 | 一种水电站灌浆集中智能监测*** |
| CN109802963A (zh) * | 2019-01-17 | 2019-05-24 | 四川长虹电器股份有限公司 | 一种通过数据质量防火墙验证数据的方法 |
| CN109918948A (zh) * | 2019-01-23 | 2019-06-21 | 西安邮电大学 | 基于国密算法sm3的apk完整性校验方法、计算机程序 |
| CN110138737A (zh) * | 2019-04-15 | 2019-08-16 | 深圳市纽创信安科技开发有限公司 | 权限控制方法、权限控制设备、用户设备及*** |
| CN110456740A (zh) * | 2018-05-04 | 2019-11-15 | 施耐德电器工业公司 | 一种用于设置用于社交网络的远程终端单元的方法 |
| US10503510B2 (en) | 2013-12-27 | 2019-12-10 | Intel Corporation | SM3 hash function message expansion processors, methods, systems, and instructions |
| CN110663027A (zh) * | 2017-06-16 | 2020-01-07 | 国际商业机器公司 | 使用硬件保护操作***配置 |
| CN110733535A (zh) * | 2019-09-29 | 2020-01-31 | 卡斯柯信号有限公司 | 基于国产加密技术的轨道交通信号***的运行及恢复方法 |
| CN110765449A (zh) * | 2019-10-25 | 2020-02-07 | 山东超越数控电子股份有限公司 | 一种基于安全芯片的身份认证的方法、设备及介质 |
| US10592245B2 (en) | 2014-09-26 | 2020-03-17 | Intel Corporation | Instructions and logic to provide SIMD SM3 cryptographic hashing functionality |
| CN111049657A (zh) * | 2019-12-10 | 2020-04-21 | 成都理工大学 | 一种can总线网络设备节点访问权限管理方法及*** |
| CN111245616A (zh) * | 2020-03-10 | 2020-06-05 | 北京百度网讯科技有限公司 | 网络通信的认证方法、装置、设备及存储介质 |
| US20200374700A1 (en) * | 2018-02-09 | 2020-11-26 | Intel Corporation | Trusted iot device configuration and onboarding |
| CN112087417A (zh) * | 2020-07-22 | 2020-12-15 | 深圳奇迹智慧网络有限公司 | 终端权限控制方法、装置、计算机设备和存储介质 |
| CN112104661A (zh) * | 2020-09-18 | 2020-12-18 | 北京珞安科技有限责任公司 | 一种工控设备防火墙的动态控制方法及*** |
| CN112182551A (zh) * | 2020-12-01 | 2021-01-05 | 中国航空油料集团有限公司 | Plc设备身份认证***和plc设备身份认证方法 |
| CN112532612A (zh) * | 2020-11-25 | 2021-03-19 | 中国大唐集团科学技术研究院有限公司 | 一种工业控制网络安全防护*** |
| CN112731897A (zh) * | 2021-04-06 | 2021-04-30 | 浙江中控技术股份有限公司 | 一种基于隧道加解密的工业控制***通信方法及*** |
| CN113242216A (zh) * | 2021-04-23 | 2021-08-10 | 长春理工大学光电信息学院 | 一种基于国产商用密码算法的可信网络摄像机 |
| CN113259129A (zh) * | 2021-06-21 | 2021-08-13 | 天津市中环电子计算机有限公司 | 一种具有安全加密功能的工控机*** |
| CN114265546A (zh) * | 2020-09-16 | 2022-04-01 | 昆达电脑科技(昆山)有限公司 | 伺服装置及伺服*** |
| CN114499891A (zh) * | 2022-03-21 | 2022-05-13 | 宁夏凯信特信息科技有限公司 | 一种签名服务器***以及签名验证方法 |
| CN114978709A (zh) * | 2022-05-24 | 2022-08-30 | 成都市第三人民医院 | 一种面向医疗应用的轻量级统一安全认证***及方法 |
| CN114996724A (zh) * | 2022-04-25 | 2022-09-02 | 麒麟软件有限公司 | 一种基于国密算法模块的安全操作*** |
| CN116248416A (zh) * | 2023-05-11 | 2023-06-09 | 深圳竹云科技股份有限公司 | 一种身份认证的方法、装置、计算机设备 |
Citations (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101034991A (zh) * | 2007-04-06 | 2007-09-12 | 中兴通讯股份有限公司 | 安全引导***及方法、代码签名构造方法及认证方法 |
| CN101090336A (zh) * | 2007-07-12 | 2007-12-19 | 中兴通讯股份有限公司 | 一种网络设备的命令行接口权限分级方法 |
| US20080082449A1 (en) * | 2006-09-29 | 2008-04-03 | Rockwell Automation Technologies, Inc. | Authentication for licensing in an embedded system |
| CN101969438A (zh) * | 2010-10-25 | 2011-02-09 | 胡祥义 | 一种物联网的设备认证、数据完整和保密传输实现方法 |
| US20110093096A1 (en) * | 2008-04-17 | 2011-04-21 | Jens Sachs | Method for operating a safety control and automation network having such a safety control |
| CN102420690A (zh) * | 2010-09-28 | 2012-04-18 | 上海可鲁***软件有限公司 | 一种工业控制***中身份与权限的融合认证方法及*** |
| US20130010965A1 (en) * | 2010-03-17 | 2013-01-10 | Rainer Falk | Method and device for providing at least one secure cryptographic key |
| CN202856781U (zh) * | 2012-08-29 | 2013-04-03 | 广东电网公司电力科学研究院 | 一种工业控制***主站安全防护装置 |
-
2013
- 2013-09-12 CN CN201310413249.0A patent/CN103490895B/zh not_active Expired - Fee Related
Patent Citations (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20080082449A1 (en) * | 2006-09-29 | 2008-04-03 | Rockwell Automation Technologies, Inc. | Authentication for licensing in an embedded system |
| CN101034991A (zh) * | 2007-04-06 | 2007-09-12 | 中兴通讯股份有限公司 | 安全引导***及方法、代码签名构造方法及认证方法 |
| CN101090336A (zh) * | 2007-07-12 | 2007-12-19 | 中兴通讯股份有限公司 | 一种网络设备的命令行接口权限分级方法 |
| US20110093096A1 (en) * | 2008-04-17 | 2011-04-21 | Jens Sachs | Method for operating a safety control and automation network having such a safety control |
| US20130010965A1 (en) * | 2010-03-17 | 2013-01-10 | Rainer Falk | Method and device for providing at least one secure cryptographic key |
| CN102420690A (zh) * | 2010-09-28 | 2012-04-18 | 上海可鲁***软件有限公司 | 一种工业控制***中身份与权限的融合认证方法及*** |
| CN101969438A (zh) * | 2010-10-25 | 2011-02-09 | 胡祥义 | 一种物联网的设备认证、数据完整和保密传输实现方法 |
| CN202856781U (zh) * | 2012-08-29 | 2013-04-03 | 广东电网公司电力科学研究院 | 一种工业控制***主站安全防护装置 |
Cited By (88)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10686591B2 (en) | 2012-12-29 | 2020-06-16 | Intel Corporation | Instruction and logic to provide SIMD secure hashing round slice functionality |
| US10148428B2 (en) | 2012-12-29 | 2018-12-04 | Intel Corporation | Instruction and logic to provide SIMD secure hashing round slice functionality |
| US10038550B2 (en) | 2013-08-08 | 2018-07-31 | Intel Corporation | Instruction and logic to provide a secure cipher hash round functionality |
| US10503510B2 (en) | 2013-12-27 | 2019-12-10 | Intel Corporation | SM3 hash function message expansion processors, methods, systems, and instructions |
| US9912481B2 (en) | 2014-03-27 | 2018-03-06 | Intel Corporation | Method and apparatus for efficiently executing hash operations |
| CN105100044A (zh) * | 2014-05-09 | 2015-11-25 | 通用电气公司 | 用于可控装置访问的***和方法 |
| CN104079408A (zh) * | 2014-05-30 | 2014-10-01 | 国家电网公司 | 一种工业控制***中增强通信安全性的方法 |
| CN104079408B (zh) * | 2014-05-30 | 2018-01-19 | 国家电网公司 | 一种工业控制***中增强通信安全性的方法 |
| CN104158816A (zh) * | 2014-08-25 | 2014-11-19 | 中国科学院声学研究所 | 认证方法、装置和服务器 |
| US9317719B2 (en) | 2014-09-04 | 2016-04-19 | Intel Corporation | SM3 hash algorithm acceleration processors, methods, systems, and instructions |
| US11128443B2 (en) | 2014-09-04 | 2021-09-21 | Intel Corporation | SM3 hash algorithm acceleration processors, methods, systems, and instructions |
| US9979538B2 (en) | 2014-09-04 | 2018-05-22 | Intel Corporation | SM3 hash algorithm acceleration processors, methods, systems, and instructions |
| WO2016036491A1 (en) * | 2014-09-04 | 2016-03-10 | Intel Corporation | Sm3 hash algorithm acceleration processors, methods, systems, and instructions |
| US10623175B2 (en) | 2014-09-04 | 2020-04-14 | Intel Corporation | SM3 hash algorithm acceleration processors, methods, systems, and instructions |
| US11075746B2 (en) | 2014-09-04 | 2021-07-27 | Intel Corporation | SM3 hash algorithm acceleration processors, methods, systems, and instructions |
| US10592245B2 (en) | 2014-09-26 | 2020-03-17 | Intel Corporation | Instructions and logic to provide SIMD SM3 cryptographic hashing functionality |
| CN104539573B (zh) * | 2014-10-30 | 2018-07-27 | 北京科技大学 | 一种基于嵌入式***的工业安全网关的通信方法及装置 |
| CN104539573A (zh) * | 2014-10-30 | 2015-04-22 | 北京科技大学 | 一种基于嵌入式***的工业安全网关的通信方法及装置 |
| CN105117655A (zh) * | 2015-07-31 | 2015-12-02 | 成都亿信标准认证集团有限公司 | 保密性好的项目存储服务器 |
| CN105959249B (zh) * | 2015-09-11 | 2019-03-29 | 天地融科技股份有限公司 | 电子设备的管理方法及*** |
| CN105959249A (zh) * | 2015-09-11 | 2016-09-21 | 天地融科技股份有限公司 | 电子设备的管理方法及*** |
| CN105302055B (zh) * | 2015-11-09 | 2018-08-14 | 北京工业大学 | 一种工业控制***中可编程逻辑控制器的安全监控***及方法 |
| CN105302055A (zh) * | 2015-11-09 | 2016-02-03 | 北京工业大学 | 一种工业控制***中可编程逻辑控制器的安全监控***及方法 |
| CN105357005A (zh) * | 2015-11-16 | 2016-02-24 | 国网智能电网研究院 | 一种pci/pci-e接口的电力可信计算密码模块 |
| CN105471901A (zh) * | 2015-12-30 | 2016-04-06 | 北京华大智宝电子***有限公司 | 一种工业信息安全认证*** |
| CN106027466A (zh) * | 2016-01-21 | 2016-10-12 | 李明 | 一种身份证云认证***及读卡*** |
| CN106027466B (zh) * | 2016-01-21 | 2019-04-05 | 李明 | 一种身份证云认证***及读卡*** |
| CN107124277B (zh) * | 2016-02-25 | 2023-08-11 | 上海航天智能装备有限公司 | 一种基于国家商用密码算法的硬拷贝控制*** |
| CN107124277A (zh) * | 2016-02-25 | 2017-09-01 | 上海传真通信设备技术研究所有限公司 | 一种基于国家商用密码算法的硬拷贝控制*** |
| CN105721489A (zh) * | 2016-03-16 | 2016-06-29 | 四川长虹电器股份有限公司 | 基于数字证书对ip白名单中的ip认证方法与*** |
| CN105681353B (zh) * | 2016-03-22 | 2019-06-11 | 浙江宇视科技有限公司 | 防御端口扫描入侵的方法及装置 |
| CN105681353A (zh) * | 2016-03-22 | 2016-06-15 | 浙江宇视科技有限公司 | 防御端口扫描入侵的方法及装置 |
| CN105930732A (zh) * | 2016-04-12 | 2016-09-07 | 中国电子科技集团公司第五十四研究所 | 一种适合vpx设备业务板卡的可信启动方法 |
| CN105930732B (zh) * | 2016-04-12 | 2018-11-06 | 中国电子科技集团公司第五十四研究所 | 一种适合vpx设备业务板卡的可信启动方法 |
| CN109564603A (zh) * | 2016-06-02 | 2019-04-02 | 哈勃股份有限公司 | 用于安全地更改工业控制***中的多路复用器的网络配置设置的***和方法 |
| CN109564603B (zh) * | 2016-06-02 | 2022-04-08 | 哈勃股份有限公司 | 用于安全地更改工业控制***中的多路复用器的网络配置设置的***和方法 |
| CN107666541B8 (zh) * | 2016-07-29 | 2020-09-25 | 张家界航空工业职业技术学院 | 一种实现号码安全和隐私保护的方法 |
| CN107666541B (zh) * | 2016-07-29 | 2020-04-03 | 汪风珍 | 一种实现号码安全和隐私保护的方法 |
| CN107666541A (zh) * | 2016-07-29 | 2018-02-06 | 汪风珍 | 一种实现号码安全和隐私保护的方法 |
| CN106161036A (zh) * | 2016-08-18 | 2016-11-23 | 福建联迪商用设备有限公司 | 一种授信的终端状态转换方法和*** |
| CN106161036B (zh) * | 2016-08-18 | 2019-04-23 | 福建联迪商用设备有限公司 | 一种授信的终端状态转换方法和*** |
| CN106302518A (zh) * | 2016-09-13 | 2017-01-04 | 西安莫贝克半导体科技有限公司 | 一种软硬件结合的网络防火墙 |
| CN106302518B (zh) * | 2016-09-13 | 2019-10-29 | 西安莫贝克半导体科技有限公司 | 一种软硬件结合的网络防火墙 |
| CN106506470A (zh) * | 2016-10-31 | 2017-03-15 | 大唐高鸿信安（浙江）信息科技有限公司 | 网络数据安全传输方法 |
| CN106506470B (zh) * | 2016-10-31 | 2018-07-27 | 大唐高鸿信安（浙江）信息科技有限公司 | 网络数据安全传输方法 |
| CN106778215A (zh) * | 2016-11-18 | 2017-05-31 | 广州普惠创新金融信息服务有限公司 | 一种交易***的账号管理方法、装置及*** |
| CN106773941A (zh) * | 2016-12-12 | 2017-05-31 | 中国航天***工程有限公司 | 基于国家密码高性能芯片的安全采集远程终端单元 |
| CN107403098A (zh) * | 2017-06-13 | 2017-11-28 | 北京溢思得瑞智能科技研究院有限公司 | 可信工业控制计算机启动阶段的主动安全防护方法及可信工业控制计算机 |
| CN110663027B (zh) * | 2017-06-16 | 2023-05-16 | 国际商业机器公司 | 用于安全地启动计算***的方法和*** |
| CN110663027A (zh) * | 2017-06-16 | 2020-01-07 | 国际商业机器公司 | 使用硬件保护操作***配置 |
| WO2019028572A1 (zh) * | 2017-08-09 | 2019-02-14 | 深圳市志合创伟信息技术有限公司 | 一种plc可信自动配置方法、装置及计算机可读存储介质 |
| CN107733878B (zh) * | 2017-09-29 | 2023-06-27 | 国网甘肃省电力公司电力科学研究院 | 一种工业控制***的安全防护装置 |
| CN107733878A (zh) * | 2017-09-29 | 2018-02-23 | 国网甘肃省电力公司电力科学研究院 | 一种工业控制***的安全防护装置 |
| CN108023979A (zh) * | 2017-11-30 | 2018-05-11 | 公安部第三研究所 | 安全强固的便携操作终端及*** |
| US11683685B2 (en) * | 2018-02-09 | 2023-06-20 | Intel Corporation | Trusted IoT device configuration and onboarding |
| US20200374700A1 (en) * | 2018-02-09 | 2020-11-26 | Intel Corporation | Trusted iot device configuration and onboarding |
| CN108375946A (zh) * | 2018-03-22 | 2018-08-07 | 北京奔驰汽车有限公司 | 一种信息安全监控装置和工业控制*** |
| CN110456740A (zh) * | 2018-05-04 | 2019-11-15 | 施耐德电器工业公司 | 一种用于设置用于社交网络的远程终端单元的方法 |
| CN109255231A (zh) * | 2018-09-28 | 2019-01-22 | 山东超越数控电子股份有限公司 | 一种基于可信计算的加密硬盘密钥保护***及方法 |
| CN109725612A (zh) * | 2018-12-17 | 2019-05-07 | 深圳市中行建设工程顾问有限公司 | 一种水电站灌浆集中智能监测*** |
| CN109802963A (zh) * | 2019-01-17 | 2019-05-24 | 四川长虹电器股份有限公司 | 一种通过数据质量防火墙验证数据的方法 |
| CN109918948A (zh) * | 2019-01-23 | 2019-06-21 | 西安邮电大学 | 基于国密算法sm3的apk完整性校验方法、计算机程序 |
| CN110138737A (zh) * | 2019-04-15 | 2019-08-16 | 深圳市纽创信安科技开发有限公司 | 权限控制方法、权限控制设备、用户设备及*** |
| CN110138737B (zh) * | 2019-04-15 | 2021-10-15 | 深圳市纽创信安科技开发有限公司 | 权限控制方法、权限控制设备、用户设备及*** |
| CN110733535A (zh) * | 2019-09-29 | 2020-01-31 | 卡斯柯信号有限公司 | 基于国产加密技术的轨道交通信号***的运行及恢复方法 |
| CN110765449A (zh) * | 2019-10-25 | 2020-02-07 | 山东超越数控电子股份有限公司 | 一种基于安全芯片的身份认证的方法、设备及介质 |
| CN111049657A (zh) * | 2019-12-10 | 2020-04-21 | 成都理工大学 | 一种can总线网络设备节点访问权限管理方法及*** |
| CN111245616A (zh) * | 2020-03-10 | 2020-06-05 | 北京百度网讯科技有限公司 | 网络通信的认证方法、装置、设备及存储介质 |
| CN112087417B (zh) * | 2020-07-22 | 2022-10-21 | 深圳奇迹智慧网络有限公司 | 终端权限控制方法、装置、计算机设备和存储介质 |
| CN112087417A (zh) * | 2020-07-22 | 2020-12-15 | 深圳奇迹智慧网络有限公司 | 终端权限控制方法、装置、计算机设备和存储介质 |
| CN114265546A (zh) * | 2020-09-16 | 2022-04-01 | 昆达电脑科技(昆山)有限公司 | 伺服装置及伺服*** |
| CN112104661B (zh) * | 2020-09-18 | 2022-10-21 | 北京珞安科技有限责任公司 | 一种工控设备防火墙的动态控制方法及*** |
| CN112104661A (zh) * | 2020-09-18 | 2020-12-18 | 北京珞安科技有限责任公司 | 一种工控设备防火墙的动态控制方法及*** |
| CN112532612A (zh) * | 2020-11-25 | 2021-03-19 | 中国大唐集团科学技术研究院有限公司 | 一种工业控制网络安全防护*** |
| CN112182551A (zh) * | 2020-12-01 | 2021-01-05 | 中国航空油料集团有限公司 | Plc设备身份认证***和plc设备身份认证方法 |
| CN112182551B (zh) * | 2020-12-01 | 2021-03-16 | 中国航空油料集团有限公司 | Plc设备身份认证***和plc设备身份认证方法 |
| CN112731897A (zh) * | 2021-04-06 | 2021-04-30 | 浙江中控技术股份有限公司 | 一种基于隧道加解密的工业控制***通信方法及*** |
| CN113242216A (zh) * | 2021-04-23 | 2021-08-10 | 长春理工大学光电信息学院 | 一种基于国产商用密码算法的可信网络摄像机 |
| CN113259129B (zh) * | 2021-06-21 | 2021-09-24 | 天津市中环电子计算机有限公司 | 一种具有安全加密功能的工控机*** |
| CN113259129A (zh) * | 2021-06-21 | 2021-08-13 | 天津市中环电子计算机有限公司 | 一种具有安全加密功能的工控机*** |
| CN114499891A (zh) * | 2022-03-21 | 2022-05-13 | 宁夏凯信特信息科技有限公司 | 一种签名服务器***以及签名验证方法 |
| CN114499891B (zh) * | 2022-03-21 | 2024-05-31 | 宁夏凯信特信息科技有限公司 | 一种签名服务器***以及签名验证方法 |
| CN114996724A (zh) * | 2022-04-25 | 2022-09-02 | 麒麟软件有限公司 | 一种基于国密算法模块的安全操作*** |
| CN114996724B (zh) * | 2022-04-25 | 2024-05-03 | 麒麟软件有限公司 | 一种基于国密算法模块的安全操作*** |
| CN114978709B (zh) * | 2022-05-24 | 2023-06-27 | 成都市第三人民医院 | 一种面向医疗应用的轻量级统一安全认证方法 |
| CN114978709A (zh) * | 2022-05-24 | 2022-08-30 | 成都市第三人民医院 | 一种面向医疗应用的轻量级统一安全认证***及方法 |
| CN116248416A (zh) * | 2023-05-11 | 2023-06-09 | 深圳竹云科技股份有限公司 | 一种身份认证的方法、装置、计算机设备 |
| CN116248416B (zh) * | 2023-05-11 | 2023-07-28 | 深圳竹云科技股份有限公司 | 一种身份认证的方法、装置、计算机设备 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN103490895B (zh) | 2016-09-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN103490895B (zh) | 一种应用国密算法的工业控制身份认证方法及装置 | |
| CN109995796B (zh) | 工控***终端安全防护方法 | |
| Kobara | Cyber physical security for industrial control systems and IoT | |
| CN109976239B (zh) | 工控***终端安全防护*** | |
| US9298917B2 (en) | Enhanced security SCADA systems and methods | |
| CN101098224B (zh) | 对数据文件动态加解密的方法 | |
| CN104573549A (zh) | 一种可信的数据库机密性保护方法及*** | |
| WO2023123530A1 (zh) | 一种基于可信计算的工控防御方法与*** | |
| CN106022169A (zh) | 一种基于zynq小型密码机的加密保护方法及实现该方法的装置 | |
| CN101833620A (zh) | 一种基于自定义安全jdbc驱动的数据库防护方法 | |
| CN105610837A (zh) | 用于scada***主站与从站间身份认证的方法及*** | |
| CN105471901A (zh) | 一种工业信息安全认证*** | |
| CN117040896A (zh) | 一种物联网管理方法及物联网管理平台 | |
| CN205584238U (zh) | 一种网络数据加密器 | |
| Sepúlveda et al. | Efficient and flexible NoC-based group communication for secure MPSoCs | |
| Jingran et al. | Research and implementation of secure industrial communication protocols | |
| Katulić et al. | Protecting modbus/TCP-based industrial automation and control systems using message authentication codes | |
| Peng | Research on the Technology of Computer Network Security Protection | |
| CN103379103A (zh) | 线性与加密解密的硬件实现方法 | |
| CN112532612A (zh) | 一种工业控制网络安全防护*** | |
| Patel et al. | Security hazards attacks and its prevention techniques in cloud computing: A detail review | |
| Ozturk et al. | SCADA security: challenges and solutions | |
| Tzokatziou et al. | Exploiting SCADA vulnerabilities using a human interface device | |
| Varadharajan et al. | Techniques for Enhancing Security in Industrial Control Systems | |
| McKay | Best practices in automation security |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| ASS | Succession or assignment of patent right |
Owner name: LI YAN Free format text: FORMER OWNER: BEIJING STRONGER INFORMATION TECHNOLOGY CO., LTD. Effective date: 20150513 |
|
| C41 | Transfer of patent application or patent right or utility model | ||
| TA01 | Transfer of patent application right |
Effective date of registration: 20150513 Address after: 100070 Beijing, Chuang-tzu, Fengtai District, South Korea, two Li, building 1, No. 9, No. 13 Applicant after: Li Yan Address before: 100036 Beijing city Haidian District Cuiwei Road No. 12, the new Hualian International room 5A01 unit 1 Applicant before: Bei Jingsi village lattice Science and Technology Ltd. |
|
| C41 | Transfer of patent application or patent right or utility model | ||
| TA01 | Transfer of patent application right |
Effective date of registration: 20160818 Address after: 100084, No. 8, building CB101-053, building 1, Zhongguancun East Road, Haidian District, Beijing Applicant after: Tiger energy technology (Beijing) Co., Ltd. Address before: 100070 Beijing, Chuang-tzu, Fengtai District, South Korea, two Li, building 1, No. 9, No. 13 Applicant before: Li Yan |
|
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| CF01 | Termination of patent right due to non-payment of annual fee | ||
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20160914 Termination date: 20190912 |