CN111030824A - 工业控制设备的识别***、方法、介质及电子设备 - Google Patents

工业控制设备的识别***、方法、介质及电子设备 Download PDF

Info

Publication number
CN111030824A
CN111030824A CN201911210005.6A CN201911210005A CN111030824A CN 111030824 A CN111030824 A CN 111030824A CN 201911210005 A CN201911210005 A CN 201911210005A CN 111030824 A CN111030824 A CN 111030824A
Authority
CN
China
Prior art keywords
industrial control
certificate
digital signature
equipment
control device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201911210005.6A
Other languages
English (en)
Inventor
史旭明
甘先荣
刘怀贤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Nuclear Power Automation System Engineering Co Ltd
Original Assignee
State Nuclear Power Automation System Engineering Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Nuclear Power Automation System Engineering Co Ltd filed Critical State Nuclear Power Automation System Engineering Co Ltd
Priority to CN201911210005.6A priority Critical patent/CN111030824A/zh
Publication of CN111030824A publication Critical patent/CN111030824A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM]
    • G05B19/4183—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM] characterised by data acquisition, e.g. workpiece identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/64—Self-signed certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Power Engineering (AREA)
  • Manufacturing & Machinery (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

本发明公开了一种工业控制设备的识别***、方法、介质及电子设备，所述识别***包括信息采集模块以及证书生成模块；所述信息采集模块用于采集用于唯一标识所述工业控制设备的硬件信息；所述证书生成模块用于对所述硬件信息进行加密，以生成数字签名证书。本发明可以在设备出厂前利用唯一标识所述工业控制设备的硬件信息生成数字签名证书，并且可以通过该数字签名证书来识别所述工业控制设备的身份或来源，提高了识别的准确性，有效避免了非法设备伪装成合法的设备，保障了工业控制***的信息安全。

Description

工业控制设备的识别***、方法、介质及电子设备
技术领域
本发明设计数字认证领域，具体涉及一种工业控制设备的识别***、方法、介质及电子设备。
背景技术
随着计算机和网络技术的迅猛发展，分布式工业控制***(例如：核电站的控制***、风电场的控制***等)的规模越来越大，结构也日趋复杂，信息安全在分布式控制***中的重要性也越发明显。分布式工业控制***在出厂后，通常由购买该控制***的用户进行维护，用户在使用的过程中，有时会出现私自更换或改变***中各分立设备的情况，更改后的设备可能会造成病毒程序混入整个***，造成重要的运行数据被窃取，给分布式工业控制***运行的安全性造成很大的威胁。
现有技术中，通常只能通过在工业控制设备的表面设置标签或标记来表明设备的来源，在设备出厂以后，这些设备标签或标记很容易被替换或篡改，不能准确验证各类工业控制设备是否为生产厂商的原装设备，给工业控制***中的设备认证带来很大的不便。
发明内容
本发明要解决的技术问题是为了克服现有技术中不能对工业控制设备的来源或身份进行准确识别的缺陷，提供一种工业控制设备的识别***、方法、介质及电子设备。
本发明是通过下述技术方案来解决上述技术问题：
一种工业控制设备的识别***，所述识别***包括信息采集模块以及证书生成模块；
所述信息采集模块用于采集用于唯一标识所述工业控制设备的硬件信息；
所述证书生成模块用于对所述硬件信息进行加密，以生成数字签名证书。
较佳地，所述证书生成模块还用于将所述数字签名证书发送至所述工业控制设备；
所述识别***还包括认证模块，所述认证模块用于在所述工业控制设备启动时，获取所述数字签名证书并对所述数字签名证书进行验证；
若验证通过，则确认所述工业控制设备为可信任设备；
若验证不通过，则确认所述工业控制设备为不可信任设备。
较佳地，所述证书生成模块还根据根证书并结合所述硬件信息生成数字签名证书，并将所述根证书发送至所述认证模块；所述认证模块用于在所述工业控制设备启动时，获取所述数字签名证书并使用所述根证书验证所述数字签名证书是否合法；
和/或，
所述认证***还包括调控模块，当所述工业控制设备确定为不可信任设备时，所述调控模块用于限制所述工业控制设备的功能或停止所述工业控制设备的运行。
较佳地，所述识别***还包括哈希值计算模块，所述哈希值计算模块用于对所述硬件信息进行哈希计算，以生成对应的哈希值，并将所述哈希值发送至所述工业控制设备；当所述数字签名证书通过所述认证模块的验证时，所述认证模块还用于对所述哈希值进行验证；若验证通过，则确认所述工业控制设备为可信任设备；若验证不通过，则确认所述工业控制设备为不可信任设备；
和/或，所述工业控制设备包括工程师站、人机界面站、历史数据服务器、报表服务器、控制器、网络交换机的至少一种。
一种工业控制设备的识别方法，所述识别方法包括：
采集用于唯一标识所述工业控制设备的硬件信息；
对所述硬件信息进行加密，以生成数字签名证书。
较佳地，所述对所述硬件信息进行加密，以生成数字签名证书的步骤之后包括：
将所述数字签名证书发送至所述工业控制设备；
在所述工业控制设备启动时，获取所述数字签名证书并对所述数字签名证书进行验证；
若验证通过，则确认所述工业控制设备为可信任设备；
若验证不通过，则确认所述工业控制设备为不可信任设备。
较佳地，所述对所述硬件信息进行加密，以生成数字签名证书的步骤包括：根据根证书并结合所述硬件信息生成数字签名证书；
所述对所述硬件信息进行加密，以生成数字签名证书的步骤之后包括：保存与所述数字签名证书匹配的所述根证书；
所述获取所述数字签名证书并对所述数字签名证书进行验证的步骤包括：获取所述数字签名证书并使用所述根证书验证所述数字签名证书是否合法；
和/或，
当所述工业控制设备确定为不可信任设备时，限制所述工业控制设备的功能或停止所述工业控制设备的运行。
较佳地，所述将所述数字签名证书发送至所述工业控制设备的步骤之后还包括：
对所述硬件信息进行哈希计算，以生成对应的哈希值，并将所述哈希值发送至所述工业控制设备；当所述数字签名证书通过验证时，对所述哈希值进行验证；若验证通过，则确认所述工业控制设备为可信任设备；若验证不通过，则确认所述工业控制设备为不可信任设备；
和/或，所述工业控制设备包括工程师站、人机界面站、历史数据服务器、报表服务器、控制器、网络交换机的至少一种。
一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行计算机程序时实现前述的工业控制设备的识别方法的步骤。
一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现前述的工业控制设备的识别方法的步骤。
在符合本领域常识的基础上，上述各优选条件，可任意组合，即得本发明各较佳实例。
本发明的积极进步效果在于：本发明提供的工业控制设备的识别***、方法、介质及电子设备在设备出厂前利用唯一标识所述工业控制设备的硬件信息生成数字签名证书，并且可以通过该数字签名证书来识别所述工业控制设备的身份或来源，提高了识别的准确性，有效避免了非法设备伪装成合法的设备，保障了工业控制***的信息安全。
附图说明
图1为本发明实施例1的工业控制设备的识别***的结构框图。
图2为本发明实施例2的工业控制设备的识别***的结构框图。
图3为本发明实施例3的工业控制设备的识别方法的流程图。
图4为本发明实施例4的工业控制设备的识别方法的流程图。
图5是本发明实施例5的实现用于核电站仿真的显示器的监控方法的电子设备的结构示意图。
具体实施方式
下面通过实施例的方式进一步说明本发明，但并不因此将本发明限制在所述的实施例范围之中。
实施例1
本实施例提供一种工业控制设备的识别***，如图1所示，所述识别***1可以包括信息采集模块11以及证书生成模块12；
所述信息采集模块11用于采集用于唯一标识所述工业控制设备的硬件信息。所述硬件信息可以包括但不限于CPU(中央处理器)序列号以及网卡地址。所述工业控制设备包括工程师站、人机界面站、历史数据服务器、报表服务器、控制器、网络交换机的至少一种。所述控制器可以控制阀门、泵、电流、压力以及开关等。
所述证书生成模块12用于对所述硬件信息进行加密，以生成数字签名证书。
具体地，可以通过SM2国密算法或SM3国密算法等对所述硬件信息进行加密。
所述证书生成模块12可以运行于CA(认证)服务器，本实施例中，所述证书生成模块12还用于将所述数字签名证书通过注册代理中心模块发送至所述工业控制设备；所述识别***1还可以包括认证模块13，所述认证模块13可以运行于电子认证服务器，所述认证模块13可以在所述工业控制设备启动时，获取所述数字签名证书并对所述数字签名证书进行验证。
所述证书生成模块12还根据根证书并结合所述硬件信息生成数字签名证书，并将所述根证书发送至所述认证模块13；所述认证模块13用于在所述工业控制设备启动时，获取所述数字签名证书并使用所述根证书验证所述数字签名证书是否合法；若验证通过，则确认所述工业控制设备为可信任设备；若验证不通过，则确认所述工业控制设备为不可信任设备。
优选地，为了保障数字签名证书以及根证书在传输过程中的安全性，可以对生成的数字签名证书以及根证书通过SM2国密算法或SM3国密算法等进行加密，然后存储于光盘内，通过光盘这一数据传递介质将数字签名证书传送给工业控制设备以及将根证书传送给认证模块13。
进一步地，所述认证***1还可以包括调控模块14，当所述工业控制设备确定为不可信任设备时，所述调控模块14用于限制所述工业控制设备的功能或停止所述工业控制设备的运行。
具体地，若所述工业控制设备被识别为可信任的设备，则其具有的功能可以是编辑各种逻辑组态的配置参数、允许增加或减少接入的用户、显示数据、接收/发送数据等，若所述工业控制设备被识别为不可信任的设备，则可以禁止其编辑各种逻辑组态的配置参数、禁止增加或减少接入的用户的权限，只保留显示数据、接收/发送数据的功能。对于安全性要求特别高的场合，也可以停止不可信任的设备的运行，以完全杜绝不可信任设备的高风险操作的可能性。
本实施例中，认证模块13对工业控制设备的身份认证可以设置成定时认证的模式，每隔预设时间，认证模块便会主动与工业控制设备的客户端进行通信，以实现定期监控设备是否是可信任的。
另外，本实施例还可以实现在线认证以及离线认证。所述在线认证是指工业控制设备与其他工业控制设备进行协同工作的过程中，通过其自身具有的客户端与认证模块进行信息交互，完成对工业控制设备的身份识别。所述离线认证是指工业控制设备处于待机状态，并没有与工业控制***中的其他工业控制设备进行协同工作，此时，仍可以通过客户端与认证模块进行信息交互，从而可以完成离线认证。
当电子认证服务器发生故障时，可以持续使用发生故障前最近一次的对工业控制设备的身份认证结论，例如，若电子认证服务器发生故障之前，最近一次的认证过程中，识别出了工业控制设备为可信任设备，随后电子认证服务器发生故障，则可以在工业控制设备的后续使用过程中，默认其为可信任设备，直到电子认证服务器的故障消除并可以再次对工业控制设备进行身份认证为止。
在一个具体应用场景中，例如：对工业控制***中的报表服务器以及阀门控制器进行识别和认证，以确定报表服务器以及阀门控制器是否被篡改或替换。
在上位机(工程师站、人机界面站、历史服务器、报表服务器等)以及控制器出厂前，证书生成模块12利用根证书并分别结合两者各自的硬件信息生成各自对应的数字签名证书，即上位机(工程师站、人机界面站、历史报表服务器等)以及控制器的数字签名证书都与所述根证书相关，也就是说，一个根证书可以对应验证多个工业控制设备中的数字签名证书，从而实现通过一个认证模块13便可以对多个工业控制设备进行认证。
所述根证书可以持有私钥，所述数字签名证书可以持有公钥。所述私钥和公钥相互匹配，即公钥加密之后的数据可以通过私钥来进行解密，私钥加密的数据也同样可以用对应的公钥进行解密。
本实施例中的公钥和私钥之间具体的配合关系以及利用根证书验证数字签名证书的具体方式可以按照国家标准执行，在此不再赘述。
所述数字签名证书在生成后可以分别被发送给上位机(工程师站、人机界面站、历史服务器、报表服务器等)以及控制器各自的客户端，所述根证书在生成后被发送给认证模块13留存。
接下来，在上位机(工程师站、人机界面站、历史服务器、报表服务器等)以及控制器启动时，上位机以及控制器自带的客户端将设备的数字签名证书以及硬件信息发送认证模块13，认证模块13利用根证书以及私钥/公钥对分别解密上位机或者控制器的数字签名证书，若前述的数字签名证书被验证后合法，则认为上位机或者控制器没有被篡改，是可信任的设备；若前述的数字签名证书被验证后不合法，则认为上位机或者控制器非法，现在使用的上位机或者控制器是不可信任的。
若上位机或者控制器被识别为不可信任的设备，可以限制其部分功能或者直接停止其运行，停止其运行后，不影响其它的可信任的上位机或者控制器在***中正常工作。
本实施例提供的工业控制设备的识别***可以在设备出厂前利用唯一标识所述工业控制设备的硬件信息生成数字签名证书，并且可以通过该数字签名证书来识别所述工业控制设备的身份或来源，提高了识别的准确性，有效避免了非法设备伪装成合法的设备，保障了工业控制***的信息安全。
实施例2
本实施例提供了一种工业控制设备的识别***，如图2所示，所述识别***是在实施例1基础上的进一步改进。
为了进一步增强对工业控制设备认证的可信度，可以利用数字签名证书验证以及哈希值(Hash)验证相结合的方式。
具体地，所述识别***1还可以包括哈希值计算模块15，所述哈希值计算模块15用于对所述硬件信息进行哈希计算，以生成对应的哈希值，并将所述哈希值发送至所述工业控制设备；当所述数字签名证书通过所述认证模块13的验证时，所述认证模块13还用于对所述哈希值进行验证；若验证通过，则确认所述工业控制设备为可信任设备；若验证不通过，则确认所述工业控制设备为不可信任设备；
所述认证模块13可以利用哈希函数将硬件设备的硬件信息映射为散列的哈希值，并将该硬件信息对应的哈希值发送给工业控制设备的客户端进行存储。
本实施例中，当数字签名证书认证通过后，认证模块13还可以读取工业控制设备的硬件信息以及工业控制设备的客户端存储的哈希值，认证模块13对其读取的硬件信息单独计算哈希值，并且将其计算的哈希值与工业控制模块的客户端中存储的哈希值进行对比，验证两者是否一致，若一致，则认为工业控制设备未被篡改，是可以信任的设备。若不一致，则认为工业控制设备被篡改，是不可信任的设备。
进一步地，所述识别***1还可以包括发送模块16，所述发送模块16用于将所述识别的结果发送至预先绑定的终端。优选地，识别的结果可以通过事件方式发送，并做好日志记录，供审计使用。
具体地，所述终端可以为任意型号的PC(个人电脑，包括工作站、服务器、台式机、笔记本等)端或嵌入式计算机等，本发明实施例对此不做限制。
本实施例提供的工业控制设备的识别***通过数字签名证书认证以及哈希值验证相结合的方式对工业控制设备进行识别，并且可以将识别的结果及时发送给技术维护运行人员，从而进一步提高了对工业控制设备识别的准确性，提高了整个工业控制***运行的安全系数。
实施例3
本实施例提供一种工业控制设备的识别方法，如图3所示，所述识别方法可以包括如下步骤：
步骤S1：采集用于唯一标识所述工业控制设备的硬件信息。
所述硬件信息可以包括但不限于CPU(中央处理器)序列号以及网卡地址。所述工业控制设备包括工程师站、人机界面站、历史数据服务器、报表服务器、控制器、网络交换机的至少一种。所述控制器可以控制阀门、泵、电流、压力以及开关等。
步骤S2：对所述硬件信息进行加密，以生成数字签名证书。具体地，可以通过SM2国密算法或SM3国密算法等对所述硬件信息进行加密。
进一步地，所述步骤S2之后还可以包括：
步骤S3：将所述数字签名证书发送至所述工业控制设备；
步骤S4：在所述工业控制设备启动时，获取所述数字签名证书并对所述数字签名证书进行验证；
若验证通过，则执行步骤S5：确认所述工业控制设备为可信任设备；
若验证不通过，则执行步骤S6：确认所述工业控制设备为不可信任设备。
本实施例中，所述对所述硬件信息进行加密，以生成数字签名证书的步骤可以包括：根据根证书并结合所述硬件信息生成数字签名证书。
所述对所述硬件信息进行加密，以生成数字签名证书的步骤之后可以包括：保存与所述数字签名证书匹配的所述根证书。
所述获取所述数字签名证书并对所述数字签名证书进行验证的步骤包括：获取所述数字签名证书并使用所述根证书验证所述数字签名证书是否合法。
优选地，为了保障数字签名证书以及根证书在传输过程中的安全性，可以对生成的数字签名证书以及根证书通过SM2国密算法或SM3国密算法等进行加密，然后存储于光盘内，通过光盘这一数据传递介质来传递数字签名证书以及根证书。
当所述工业控制设备确定为不可信任设备时，可以执行步骤S7：限制所述工业控制设备的功能或停止所述工业控制设备的运行。
具体地，若所述工业控制设备被识别为可信任的设备，则其具有的功能可以是编辑各种逻辑组态的配置参数、允许增加或减少接入的用户、显示数据、接收/发送数据等，若所述工业控制设备被识别为不可信任的设备，则可以禁止其编辑各种逻辑组态的配置参数、禁止增加或减少接入的用户的权限，只保留显示数据、接收/发送数据的功能。对于安全性要求特别高的场合，也可以停止不可信任的设备的运行，以完全杜绝不可信任设备执行危险动作的可能性。
本实施例中，对工业控制设备的身份认证可以设置成定时认证的模式，每隔预设时间，便自动验证工业控制设备的身份信息是否被篡改，以实现定期监控设备是否是可信任的。
另外，本实施例还可以实现在线认证以及离线认证。所述在线认证是指工业控制设备与其他工业控制设备进行协同工作的过程中，执行对工业控制设备的身份识别。所述离线认证是指工业控制设备处于待机状态，并没有与***中的其他工业控制设备进行协同工作，此时，仍可以执行工业控制设备的身份识别。
当电子认证服务器发生故障时，可以持续使用发生故障前最近一次的对工业控制设备的身份认证结论，例如，若电子认证服务器发生故障之前，最近一次的认证过程中，识别出了工业控制设备为可信任设备，随后电子认证服务器发生故障，则可以在工业控制设备的后续使用过程中，默认其为可信任设备，直到电子认证服务器的故障消除并可以再次对工业控制设备进行身份认证为止。
在一个具体应用场景中，例如：对工业控制***中的上位机以及控制器进行识别和认证，以确定上位机以及控制器是否被篡改或替换。
在上位机(工程师站、人机界面站、历史服务器、报表服务器等)以及控制器出厂前，可以利用根证书并分别结合两者各自的硬件信息生成各自对应的数字签名证书，即上位机(工程师站、人机界面站、历史报表服务器等)以及控制器的数字签名证书都与所述根证书相关，也就是说，一个根证书可以对应验证多个工业控制设备中的数字签名证书，从而实现通过一个认证模块13便可以对多个工业控制设备进行认证。
所述根证书可以持有私钥，所述数字签名证书可以持有公钥。所述私钥和公钥相互匹配，即公钥加密之后的数据可以通过私钥来进行解密，私钥加密的数据也同样可以用对应的公钥进行解密。
本实施例中的公钥和私钥之间具体的配合关系以及利用根证书验证数字签名证书的具体方式可以按照国家标准执行，在此不再赘述。
所述数字签名证书在生成后可以分别被发送给上位机(工程师站、人机界面站、历史服务器、报表服务器等)以及控制器各自的客户端，所述根证书可以被保存至电子认证服务器以便于后续认证过程使用。
接下来，在上位机(工程师站、人机界面站、历史服务器、报表服务器等)以及控制器启动时，可以利用根证书以及私钥/公钥对分别解密上位机或者控制器的数字签名证书，若前述的数字签名证书被验证后合法，则认为上位机或者控制器没有被篡改，是可信任的设备；若前述的数字签名证书被验证后不合法，则认为上位机或者控制器非法，现在使用的上位机或者控制器是不可信任的。
若上位机或者控制器被识别为不可信任的设备，则可以限制其部分功能或者直接停止其运行，停止其运行后，不影响其它的可信任的上位机或者控制器在***中正常工作。
本实施例提供的工业控制设备的识别方法可以在设备出厂前利用唯一标识所述工业控制设备的硬件信息生成数字签名证书，并且可以通过该数字签名证书来识别所述工业控制设备的身份或来源，提高了识别的准确性，有效避免了非法设备伪装成合法的设备，保障了工业控制***的信息安全。
实施例4
本实施例提供了一种工业控制设备的识别方法，如图4所示，所述识别方法是在实施例3基础上的进一步改进。
较佳地，所述步骤S3之后还可以包括如下步骤：
步骤S8：对所述硬件信息进行哈希计算，以生成对应的哈希值，并将所述哈希值发送至所述工业控制设备；
当所述数字签名证书通过验证时，执行步骤S9：对所述哈希值进行验证；若验证通过，则执行步骤S5：确认所述工业控制设备为可信任设备；若验证不通过，则执行步骤S6：确认所述工业控制设备为不可信任设备。
本实施例中，可以利用哈希函数将硬件设备的硬件信息映射为散列的哈希值，并将该硬件信息对应的哈希值发送给工业控制设备的客户端进行存储。
具体地，当数字签名证书认证通过后，还可以读取工业控制设备的硬件信息以及工业控制设备的客户端存储的哈希值，对读取的硬件信息单独再计算一次哈希值，并且利用再次计算的哈希值与工业控制模块的客户端中存储的哈希值进行对比，验证两者是否一致，若一致，则认为工业控制设备未被篡改，是可以信任的设备。若不一致，则认为工业控制设备被篡改，是不可信任的设备。
进一步地，所述识别方法还可以包括如下步骤：将所述识别的结果发送至预先绑定的终端。
优选地，识别的结果可以通过事件方式发送，并做好日志记录，供审计使用。
具体地，所述终端可以为任意型号的PC(个人电脑，包括工作站、服务器、台式机、笔记本等)端或嵌入式计算机等，本发明实施例对此不做限制。
本实施例提供的工业控制设备的识别方法通过数字签名证书认证以及哈希值验证相结合的方式对工业控制设备进行识别，并且可以将识别的结果及时发送给技术维护运行人员，从而进一步提高了对工业控制设备识别的准确性，提高了整个工业控制***运行的安全系数。
实施例5
本发明还提供一种电子设备，如图5所示，所述电子设备可以包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行计算机程序时实现前述实施例1或实施例2中的工业控制设备的识别方法的步骤。
可以理解的是，图5所示的电子设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图5所示，电子设备2可以以通用计算设备的形式表现，例如：其可以为服务器设备。电子设备2的组件可以包括但不限于：上述至少一个处理器3、上述至少一个存储器4、连接不同***组件(包括存储器4和处理器3)的总线5。
所述总线5可以包括数据总线、地址总线和控制总线。
所述存储器4可以包括易失性存储器，例如随机存取存储器(RAM)41和/或高速缓存存储器42，还可以进一步包括只读存储器(ROM)43。
所述存储器4还可以包括具有一组(至少一个)程序模块44的程序工具45(或实用工具)，这样的程序模块44包括但不限于：操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
所述处理器3通过运行存储在所述存储器4中的计算机程序，从而执行各种功能应用以及数据处理，例如本发明实施例1或实施例2中的工业控制设备的识别方法的步骤。
所述电子设备2也可以与一个或多个外部设备6(例如键盘、指向设备等)通信。这种通信可以通过输入/输出(I/O)接口7进行。并且，模型生成的电子设备2还可以通过网络适配器8与一个或者多个网络(例如局域网LAN，广域网WAN和/或公共网络)通信。
如图5所示，网络适配器8可以通过总线5与模型生成的电子设备2的其它模块通信。本领域技术人员应当明白，尽管图中未示出，可以结合模型生成的电子设备2使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID(磁盘阵列)***、磁带驱动器以及数据备份存储***等。
需要说明的是，尽管在上文详细描述中提及了电子设备的若干单元/模块或子单元/模块，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多单元/模块的特征和功能可以在一个单元/模块中具体化。反之，上文描述的一个单元/模块的特征和功能可以进一步划分为由多个单元/模块来具体化。
实施例6
本实施例提供了一种计算机可读存储介质，其上存储有计算机程序，程序被处理器执行时实现实施例1或实施例2中的工业控制设备的识别方法的步骤。
其中，计算机可读存储介质可以采用的更具体方式可以包括但不限于：便携式盘、硬盘、随机存取存储器、只读存储器、可擦拭可编程只读存储器、光存储器件、磁存储器件或上述的任意合适的组合。
在可能的实施方式中，本发明还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行实现实施例1或实施例2中的工业控制设备的识别方法的步骤。
其中，可以以一种或多种程序设计语言的任意组合来编写用于执行本发明的程序代码，程序代码可以完全地在用户设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户设备上部分在远程设备上执行或完全在远程设备上执行。
虽然以上描述了本发明的具体实施方式，但是本领域的技术人员应当理解，这仅是举例说明，本发明的保护范围是由所附权利要求书限定的。本领域的技术人员在不背离本发明的原理和实质的前提下，可以对这些实施方式做出多种变更或修改，但这些变更和修改均落入本发明的保护范围。

Claims (10)

1.一种工业控制设备的识别***，其特征在于，所述识别***包括信息采集模块以及证书生成模块；
所述信息采集模块用于采集用于唯一标识所述工业控制设备的硬件信息；
所述证书生成模块用于对所述硬件信息进行加密，以生成数字签名证书。
2.如权利要求1所述的工业控制设备的识别***，其特征在于，所述证书生成模块还用于将所述数字签名证书发送至所述工业控制设备；
所述识别***还包括认证模块，所述认证模块用于在所述工业控制设备启动时，获取所述数字签名证书并对所述数字签名证书进行验证；
若验证通过，则确认所述工业控制设备为可信任设备；
若验证不通过，则确认所述工业控制设备为不可信任设备。
3.如权利要求2所述的工业控制设备的识别***，其特征在于，
所述证书生成模块还根据根证书并结合所述硬件信息生成数字签名证书，并将所述根证书发送至所述认证模块；所述认证模块用于在所述工业控制设备启动时，获取所述数字签名证书并使用所述根证书验证所述数字签名证书是否合法；
和/或，
所述认证***还包括调控模块，当所述工业控制设备确定为不可信任设备时，所述调控模块用于限制所述工业控制设备的功能或停止所述工业控制设备的运行。
4.如权利要求2或3所述的工业控制设备的识别***，其特征在于，
所述识别***还包括哈希值计算模块，所述哈希值计算模块用于对所述硬件信息进行哈希计算，以生成对应的哈希值，并将所述哈希值发送至所述工业控制设备；当所述数字签名证书通过所述认证模块的验证时，所述认证模块还用于对所述哈希值进行验证；若验证通过，则确认所述工业控制设备为可信任设备；若验证不通过，则确认所述工业控制设备为不可信任设备；
和/或，所述工业控制设备包括工程师站、人机界面站、历史数据服务器、报表服务器、控制器、网络交换机的至少一种。
5.一种工业控制设备的识别方法，其特征在于，所述识别方法包括：
采集用于唯一标识所述工业控制设备的硬件信息；
对所述硬件信息进行加密，以生成数字签名证书。
6.如权利要求5所述的工业控制设备的识别方法，其特征在于，所述对所述硬件信息进行加密，以生成数字签名证书的步骤之后包括：
将所述数字签名证书发送至所述工业控制设备；
在所述工业控制设备启动时，获取所述数字签名证书并对所述数字签名证书进行验证；
若验证通过，则确认所述工业控制设备为可信任设备；
若验证不通过，则确认所述工业控制设备为不可信任设备。
7.如权利要求6所述的工业控制设备的识别方法，其特征在于，
所述对所述硬件信息进行加密，以生成数字签名证书的步骤包括：根据根证书并结合所述硬件信息生成数字签名证书；
所述对所述硬件信息进行加密，以生成数字签名证书的步骤之后包括：保存与所述数字签名证书匹配的所述根证书；
所述获取所述数字签名证书并对所述数字签名证书进行验证的步骤包括：获取所述数字签名证书并使用所述根证书验证所述数字签名证书是否合法；
和/或，
当所述工业控制设备确定为不可信任设备时，限制所述工业控制设备的功能或停止所述工业控制设备的运行。
8.如权利要求6或7所述的工业控制设备的识别方法，其特征在于，
所述将所述数字签名证书发送至所述工业控制设备的步骤之后还包括：
对所述硬件信息进行哈希计算，以生成对应的哈希值，并将所述哈希值发送至所述工业控制设备；当所述数字签名证书通过验证时，对所述哈希值进行验证；若验证通过，则确认所述工业控制设备为可信任设备；若验证不通过，则确认所述工业控制设备为不可信任设备；
和/或，所述工业控制设备包括工程师站、人机界面站、历史数据服务器、报表服务器、控制器、网络交换机的至少一种。
9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行计算机程序时实现权利要求5-8任一项所述的工业控制设备的识别方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求5-8任一项所述的工业控制设备的识别方法的步骤。
CN201911210005.6A 2019-11-29 2019-11-29 工业控制设备的识别***、方法、介质及电子设备 Pending CN111030824A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911210005.6A CN111030824A (zh) 2019-11-29 2019-11-29 工业控制设备的识别***、方法、介质及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911210005.6A CN111030824A (zh) 2019-11-29 2019-11-29 工业控制设备的识别***、方法、介质及电子设备

Publications (1)

Publication Number Publication Date
CN111030824A true CN111030824A (zh) 2020-04-17

Family

ID=70207498

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911210005.6A Pending CN111030824A (zh) 2019-11-29 2019-11-29 工业控制设备的识别***、方法、介质及电子设备

Country Status (1)

Country Link
CN (1) CN111030824A (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112394683A (zh) * 2020-11-24 2021-02-23 桂林电子科技大学 一种利用工控***的文件传输方法
CN114040401A (zh) * 2021-11-08 2022-02-11 中国联合网络通信集团有限公司 终端认证方法及***
CN114374522A (zh) * 2022-03-22 2022-04-19 杭州美创科技有限公司 可信设备认证方法、装置、计算机设备及存储介质
CN115865536A (zh) * 2023-03-01 2023-03-28 珠海市鸿瑞信息技术股份有限公司 一种基于人工智能的工控信息安全防御***及方法
EP4203390A1 (en) * 2021-12-27 2023-06-28 Siemens Aktiengesellschaft Method and system for providing access control in an industrial environment

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020026578A1 (en) * 2000-08-22 2002-02-28 International Business Machines Corporation Secure usage of digital certificates and related keys on a security token
US6513116B1 (en) * 1997-05-16 2003-01-28 Liberate Technologies Security information acquisition
FR2898423A1 (fr) * 2006-03-07 2007-09-14 Jean Marc Liotier Procede securise de configuration d'un dispositif de generation de signature electronique.
CN108337093A (zh) * 2017-12-26 2018-07-27 福建联迪商用设备有限公司 Pos设备身份识别方法、pos设备及服务器
CN108366069A (zh) * 2018-02-26 2018-08-03 北京赛博兴安科技有限公司 一种双向认证方法和***

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6513116B1 (en) * 1997-05-16 2003-01-28 Liberate Technologies Security information acquisition
US20020026578A1 (en) * 2000-08-22 2002-02-28 International Business Machines Corporation Secure usage of digital certificates and related keys on a security token
FR2898423A1 (fr) * 2006-03-07 2007-09-14 Jean Marc Liotier Procede securise de configuration d'un dispositif de generation de signature electronique.
CN108337093A (zh) * 2017-12-26 2018-07-27 福建联迪商用设备有限公司 Pos设备身份识别方法、pos设备及服务器
CN108366069A (zh) * 2018-02-26 2018-08-03 北京赛博兴安科技有限公司 一种双向认证方法和***

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112394683A (zh) * 2020-11-24 2021-02-23 桂林电子科技大学 一种利用工控***的文件传输方法
CN112394683B (zh) * 2020-11-24 2022-03-11 桂林电子科技大学 一种利用工控***的文件传输方法
CN114040401A (zh) * 2021-11-08 2022-02-11 中国联合网络通信集团有限公司 终端认证方法及***
CN114040401B (zh) * 2021-11-08 2024-04-12 中国联合网络通信集团有限公司 终端认证方法及***
EP4203390A1 (en) * 2021-12-27 2023-06-28 Siemens Aktiengesellschaft Method and system for providing access control in an industrial environment
WO2023126255A1 (en) * 2021-12-27 2023-07-06 Siemens Aktiengesellschaft Method and system for providing access control in an industrial environment
CN114374522A (zh) * 2022-03-22 2022-04-19 杭州美创科技有限公司 可信设备认证方法、装置、计算机设备及存储介质
CN115865536A (zh) * 2023-03-01 2023-03-28 珠海市鸿瑞信息技术股份有限公司 一种基于人工智能的工控信息安全防御***及方法
CN115865536B (zh) * 2023-03-01 2023-05-23 珠海市鸿瑞信息技术股份有限公司 一种基于人工智能的工控信息安全防御***及方法

Similar Documents

Publication Publication Date Title
CN111030824A (zh) 工业控制设备的识别***、方法、介质及电子设备
EP2660750B1 (en) System and method for securing controllers
CN103221957B (zh) 利用基于硬件的安全引擎的安全软件许可和供应
US10051059B2 (en) Methods and apparatus to control communications of endpoints in an industrial enterprise system based on integrity
CA2935780C (en) Systems and methods with cryptography and tamper resistance software security
US9560523B2 (en) Mobile device authentication
WO2017128720A1 (zh) 基于vtpm对虚拟机进行安全保护的方法及***
CN106790045B (zh) 一种基于云环境分布式虚拟机代理装置及数据完整性保障方法
CN107995148B (zh) 文件防篡改的方法、***、终端和可信云平台
CN110225038B (zh) 用于工业信息安全的方法、装置及***
CN100334519C (zh) 建立可信输入输出通道的方法
CN112968774B (zh) 一种组态存档加密及解密方法、装置存储介质及设备
CN114139176A (zh) 一种基于国密的工业互联网核心数据的保护方法及***
CN114095228A (zh) 基于区块链和边缘计算的物联网数据安全存取方法、***、装置及存储介质
CN114491481B (zh) 一种基于fpga的安全计算方法及装置
CN105357005A (zh) 一种pci/pci-e接口的电力可信计算密码模块
CN111556064B (zh) 基于电力网关的密钥管理方法、装置、介质及终端设备
CN204578548U (zh) 一种usb控制芯片级的usb设备可信认证装置
Zhu et al. A secure robust integrity reporting protocol of trusted computing for remote attestation under fully adaptive party corruptions
CN112825093A (zh) 安全基线检查方法、主机、服务器、电子设备及存储介质
CN117997656B (zh) 一种工控数据全生命周期安全管控***
CN117150575B (zh) 可信工控***操作日志防篡改方法、***、设备及介质
CN104348615A (zh) 一种基于服务器硬件信息与ras算法的加密方法
CN116048585B (zh) 工控安全防护***及其软件更新方法、装置、设备和介质
CN110972141B (zh) 信息验证方法、装置、电子设备及可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20200417