CN111770092A - 一种数控***网络安全架构和安全通信方法及*** - Google Patents

一种数控***网络安全架构和安全通信方法及*** Download PDF

Info

Publication number
CN111770092A
CN111770092A CN202010604468.7A CN202010604468A CN111770092A CN 111770092 A CN111770092 A CN 111770092A CN 202010604468 A CN202010604468 A CN 202010604468A CN 111770092 A CN111770092 A CN 111770092A
Authority
CN
China
Prior art keywords
host
server
information
numerical control
random number
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010604468.7A
Other languages
English (en)
Other versions
CN111770092B (zh
Inventor
路松峰
潘国阳
汤学明
吴俊军
崔永泉
朱建新
向文
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huazhong University of Science and Technology
Original Assignee
Huazhong University of Science and Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huazhong University of Science and Technology filed Critical Huazhong University of Science and Technology
Priority to CN202010604468.7A priority Critical patent/CN111770092B/zh
Publication of CN111770092A publication Critical patent/CN111770092A/zh
Application granted granted Critical
Publication of CN111770092B publication Critical patent/CN111770092B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H04L67/125—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks involving control of end-device applications over a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于数控自动化***与网络信息安全技术领域，公开了一种数控***网络安全架构和安全通信方法及***，包括应用通信主机申请注册，注册服务器对申请注册的主机进行认证；应用通信主机在本地生成非对称加密的公钥和私钥；主机本地保存私钥；服务器根据主机名称获得目标主机的身份标识，根据主机身份标识动态确定当前可用的IP地址；服务器与应用通信主机确定通信双方的合法性，协商生成安全会话加密密钥参数；***与应用通信主机基于生成的安全会话加密密钥进行对称加密、封装，进行信息交互；同时双方对接受的数据进行解密并解封，实现数据传输。在本发明下，数控***在处在公有网络环境下也能保证通信数据的机密性、一致性和完整性。

Description

一种数控***网络安全架构和安全通信方法及***
技术领域
本发明属于数控自动化***与网络信息安全技术领域，尤其涉及一种数控***网络安全架构和安全通信方法及***。
背景技术
目前，工业上，数控机床是一种高精度、高效率的自动化机床，配备多工位刀塔或动力刀塔，具有广泛的加工工艺性能，在复杂零件的批量生产中发挥了良好的经济效果。数控***作为机床的“大脑”成为工业控制***的重要组成部分，正面临工业病毒和网络攻击，信息安全问题日益严重，一旦数控***遭受到攻击就可能瘫痪甚至造成信息泄露，直接影响到国家军工安全。我国目前急需简历数控机床信息安全应对措施，转型升级为新一代智能化数控***刻不容缓，大力发展自主知识产业，以国产化替代方式来提高核心竞争力、风险防范能力以及可持续发展能力。
数控***作为数控机床的核心，发展趋势主要包括向高速、高精度、高可靠性方向发展；向多轴联动、复合化方向发展；向智能化、柔性化、网络化方向发展；向开放式数控***发展等。
军工制造业作为我国制造业的重要组成部分，在国防工业领域有着至关重要的作用。目前，军工制造企业大量应用了DCS、PCS、PLC、IED，数控机床和柔性制造单元等工业控制***，拥有大量的国家秘密，因此军工制造企业应更加重视工业控制***的网络安全问题。
军工制造业信息安全直接影响到国家基础设施的安全，对生产过程中关键信息和指令的篡改不仅影响正常生产过程，还会对机器运行造成危害，进而导致生产安全危害。数控***的信息安全，一方面要防止干扰和非法渗透对数控***造成影响；另一方面，要求对生产过程中包含的大量敏感信息进行保护。由于两化融合的不断发展使得原本独立封闭的数控生产网络接入企业管理网络和互联网，也带来了自网络层面的危险。
数控领域进口设备占据主导地位。目前使用的主流数控设备，其核心***大部分是国外广家产品，特别是高端CNC数控机床控制***和DNC数控整体联网解决方案，从而导致数控***自身安全难以保证，复杂的数控***所包含的软件代码量级巨大，其中可能存在***设计漏洞和预留后门等安全隐患。
在数控协议安全上，多数数控机床控制***使用明文方式传输和管理加工代码，这样容易导致未加密的加工代码被非法获取，并通过专用软件对加工物品进行还原，导致制造数据泄密。
同样数控设备的升级维护严重依赖生产和供应厂商，很多设备允许通过网络远程控制，***缺少有效的用户身份认证和访问控制等安全机制，设备的升级维护过程行为不可控，存在巨大的中间人攻击等安全风险。
数控***网络的边界扩大将导致更多的网络攻击。两化融化的不断发展使得原本独立封闭的数控生产网络接入企业管理网络和互联网，网络边界扩大必然导致网络攻击事件的不断发生。
从军工行业现状看，各集团企业基本具有可单网防护、静态防护和局域防护的能力，能够防范已知网络攻击，但信息安全总体水平不高，与信息化建设的加速发展不相协调，企业工控***安全考虑不全，还满足于性能质量和操作方面。
根据《信息安全技术数控网络安全技术要求》标准草案中将安全技术要求分为网络安全技术要求、设备安全技术要求、应用安全技术要求、数据安全技术要求及集中管控技术要求。
网络安全技术要求从网络架构、数控网络与管理网络以及数控网络内部不同安全区域之间的边界防护、访问控制、入侵防范、安全审计以及数控网络中无线网络的使用控制等方面做出了网络规定。
设备安全技术要求对数控网络中控制计算机上的操作***、服务器上的操作***、数据库***、数控设备上数控***的操作***以及数控网络中的网络设备从身份鉴别、访问控制、入侵防范、资源控制、恶意代码防范、安全审计等方面做出了规定。
面对新的信息技术环境和国内外安全环境，根据国防工业的现状，需要加快推进建设“自主可控”的国防工业信息安全保障体系，形成以技术手段建设为基础，以强化等级保护为主的主要途径，以国产软硬件规模化应用为关键，以法规标准建设为保证的体系架构。
智能化数控***的用途之一就是进行国防军工设备的加工和制造，因此开展满足国防工业信息安全要求的数控***网络通讯技术研究就显得十分必要。
通过上述分析，现有技术存在的问题及缺陷为：现有数控***和应用终端无法保证在公网环境中信息传输的安全。传统安全防护措施往往只有单项认证，并没有数控***和主机的双项认证，并且各类安全防护措施也会影响数控网络与外部网络的交互，甚至会影响数控***的正常使用。
解决以上问题及缺陷的意义为：数控***因为其应用场景不同，执行功能不同，存在较大差异。尤其我国国防工业控制***多为装备制造设备，具有多样性、较精细、结构复杂等特点，因此在不同数控***上搭建信息通讯***，不仅需要实现设备和主机间的信息安全传递，更应该复杂多变，适应更多的现场数控***环境，满足国防工业需求。
数控***中通讯技术的首要难点是满足数据的高度保密。国防工业中拥有大量高安全感等级信息数控机床，一旦与外界公网进行联系，黑客可使用各种手段对数控***进行攻击，导致***故障和瘫痪，甚至可以窃取到数控***的生产资料。任何具有一定能力的机械工程师一旦获得数控***中交互的数据都可以还原其加工的零件。采用现有主流的信息通讯技术都存在一定的安全风险，因此要设计一种新的数控***的数据通讯协议方案。
通信技术的其次难点是满足可用性和低延迟性。实现不同数控***上的信息通讯***可划清信息化进程和工业化进程结合的边界，做到数控机床和控制主机之间的安全隔离。信息通讯中有着互联网的使用，互联网对于信息的传递存在一定的延迟，会影响到***的性能。并且在国防工业中需要满足数据的高机密性，会不断对交互的数据进行加密和解密，这又会加重信息延迟的问题，影响远程控制机床生产的效率，并出现数控***不稳定的情况，因此数据加密所带来的延时问题必须维持在可接受范围内。
保障数控***信息在公网中安全传输的重大意义是实现数控机床的远程控制生产，提升数控机床的生产效率。生产者可以借助数控***内部的信息网络，随时随地地实现对生产的数控机床进行远程操作和监控，帮助生产者掌握所有数控机床的运行状态，尤其是一些生产环境十分恶劣的机床车间，技术人员可以使用远程通信技术在一个拥有良好环境的中央控制室里完成各种危险操作。专业人士可以在不接触数控机床的情况下，实现对数控机床高级别的控制，包括生产的启动、中止和维护等等。数控机床现场可以减少工作人员值守，减少数控车间的生产成本。中央控制室使用远程通信技术收集数控机床运行的各项参数并进行分析，对出现问题的数控机床做到早发现早维护，降低数控机床的故障率，提高数控机床的利用率。
发明内容
针对现有技术存在的问题，本发明提供了一种数控***网络安全架构和安全通信方法及***。
本发明是这样实现的，一种数控***网络安全架构和安全通信方法，所述数控***网络安全架构和安全通信方法包括：
步骤一，应用通信主机申请注册，注册服务器对申请注册的主机进行认证；应用通信主机在本地生成非对称加密的公钥和私钥；主机本地保存私钥；服务器根据主机名称获得目标主机的身份标识，根据主机身份标识动态确定当前可用的IP地址；
步骤二，服务器与应用通信主机通过主机注册检查、身份签名确认、双端认证，确定通信双方的合法性，协商生成安全会话加密密钥参数；
步骤三，***与应用通信主机基于生成的安全会话加密密钥进行对称加密、封装，进行信息交互；同时双方对接受的数据进行解密并解封，实现数据传输；
步骤四，服务器定时扫描已注册主机，并获取存活状态、通信服务质量和应用安全漏洞及其他相关信息；服务器对于长期没有反馈信息或者多次反馈错误信息的主机进行主机注销，断开所有服务器与主机的通信，停止主机维护并释放主机相关的所有资源。
进一步，步骤一中，所述应用通信主机申请注册，注册服务器对申请注册的主机进行认证包括：
(1)应用通信主机生成自己的公钥，发送主机信息给注册服务器；
(2)注册服务器收到主机信息后进行反欺骗分析，对主机包的地址及端口的正确性进行验证，同时进行反向验证；
(3)主机收到验证信息后，向服务器回复验证信息，并发送主机的公钥；
(4)反欺骗验证通过后，注册服务器记录用户信息和用户公钥，并发送自己的数字证书，主机收到数字证书后，向数字认证中心进行认证；
(5)主机确认是服务器的数字证书后解码，进行完整性验证，得到信息摘要，并与数字签名解码后得到的信息摘要进行对比；
(6)摘要验证通过后主机解码数字证书获得服务器的公钥。
进一步，步骤二中，所述安全会话加密密钥参数协商生成方法包括：
1)应用通信主机基于首次注册获取注册服务器的公钥，注册服务器获取相关主机信息和对应的主机公钥；
2)主机生成随机数R1，通过主机自己的私钥进行非对称加密，得到R11；加上主机信息UD，UD+R11使用服务器公钥进行加密后，上传给服务器；
3)服务器用私钥解密后得到主机信息UD和随机数R1的密文R11；通过主机信息UD查询出主机公钥，通过公钥解密R1的密文得到随机数R1的明文；
4)服务器生成随机数R2，通过服务器自己的私钥分别加密随机数R1和随机数R2，得到R12和R22；附加服务器相关信息SD，SD+R12+R22使用主机公钥进行非对称加密后，回传给主机；
5)主机用私钥解密后得到服务器信息SD，随机数R1的密文R12和随机数R2的密文R22；通过服务器的公钥解密R12和R22，得到随机数R1的明文和随机数R2的明文；对比此时的随机数R1和之前生成的随机数R1验证服务器和中间网络信息传输的正确性；
6)主机再次用自己的私钥加密随机数R2，得到R21；R21使用服务器公钥加密后，上传给服务器；
7)服务器用私钥解密后得到随机数的密文R21；通过主机公钥再次解密后得到随机数R2的明文；对比此时的随机数R2和之前服务器生成的随机数R2来验证主机和中间网络信息传输的正确性；
8)基于步骤1)至步骤7)，主机和服务器协商好会话密钥参数，并将随机数R1的hash值和随机数R2的hash值取异或，生成最后的对称加密密钥KEY；
进一步，所述对称加密密钥KEY计算公式如下：
Key＝H(R1)|H(R2)，其中H()代表hash运算。
进一步，所述数控***网络安全架构和安全通信方法还包括：
根据联网认证过程中产生的安全会话参数随机数R1和随机数R2，生成加密密钥、建立和维护VPN隧道，对应用层发送的数据实施ESP封装；对接收的数据进行解封；提供端到端的数据传输安全保障。
本发明的另一目的在于提供一种实施所述数控***网络安全架构和安全通信方法的数控***网络安全架构和安全通信***，所述数控***网络安全架构和安全通信***包括：
数据应用层、数据代理层和数据适配器层；
数据应用层，包括数据存储模块、数据处理模块、数据分析模块、数据消费模块；用于进行数据存储、处理、分析、消费；
数据代理层，用于在数控加工现场进行数据收集、缓存、中转和访问隔离；
数据适配层，包括多种机床数据适配器；用于利用统一数据访问接口；
所述数控***从数据应用层至数控机床物理层，各层间逻辑隔离，通过应用代理实现通信以及网络路由转发，代理与代理之间、代理与服务器之间采用数控***安全通信协议，用于保证端到端的通信安全。
进一步，所述数控***网络安全架构和安全通信***还包括：
数字签名证书颁发机构CA即服务平台，用于为注册服务器生成数字签名证书，提供私钥给注册服务器，提供公钥给每一台应用终端的应用通信主机；同时用于证书的安全分发，管理和撤销；
注册服务器，用于对申请注册的应用通信主机进行认证；定时扫描已经注册的主机，获取存活状态、通信服务质量、应用安全漏洞及其他信息，并每隔一段时间与主机重新协商新的会话密钥；同时用于定期发送信息确认主机状态，对于连续三次没有回复或者回复错误验证信息的主机将强制断开连接；
应用终端，用于在本地生成非对称加密的公钥和私钥；同时用于在本地保存私钥；
所述公钥替代传统的IP地址作为应用通信主机身份标识。
本发明的另一目的在于提供一种接收用户输入程序存储介质，所存储的计算机程序使电子设备执行所述数控***网络安全架构和安全通信方法。
本发明的另一目的在于提供一种存储在计算机可读介质上的计算机程序产品，包括计算机可读程序，供于电子装置上执行时，提供用户输入接口以实施所述数控***网络安全架构和安全通信方法。
结合上述的所有技术方案，本发明所具备的优点及积极效果为：
本发明在数控***的网络环境下，构建了一个高效安全的数控网络安全架构，并提出其安全通信协议。本发明改进了传统的数控网络***，加入双端认证技术，改进主机身份认证协议。在本发明下，数控***在处在公有网络环境下也能保证通信数据的机密性、一致性和完整性。
本发明从应用端到下层数控***之间，实施纵深防御策略，逐层实施网络控制，实现层间逻辑隔离，不允许跨层直接通信；层与层之间的数据流转不提供网络路由直接转发，必须由应用代理或业务服务器负责，代理或服务器之间采用数控***安全通信协议提供端到端的通信安全保障，保证了信息交互以及数据传输的安全性。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图做简单的介绍，显而易见地，下面所描述的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的数控***网络安全架构和安全通信方法流程图。
图2是本发明实施例提供的通信主机注册认证方法流程图。
图3是本发明实施例提供的安全会话加密密钥参数协商生成方法流程图。
图4是本发明实施例提供的数控***网络整体架构示意图。
图5是本发明实施例提供的数控***网络实体架构示意图。
图6是本发明实施例提供的数控***网络安全通信技术架构示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种数控***网络安全架构和安全的双端验证通信方法。双端验证通信方法不同于传统的单项验证通信交互，而是规定通信双方必须单独验证一次对方的安全性，已保证双方身份的合法性。
下面结合附图对本发明作详细的描述。
如图1所示，本发明实施例提供的数控***网络安全架构和安全通信方法包括：
S101，应用通信主机申请注册，注册服务器对申请注册的主机进行认证；应用通信主机在本地生成非对称加密的公钥和私钥；主机本地保存私钥；服务器根据主机名称获得目标主机的身份标识，根据主机身份标识动态确定当前可用的IP地址；
S102，服务器与应用通信主机通过主机注册检查、身份签名确认、双端认证，确定通信双方的合法性，协商生成安全会话加密密钥参数；
S103，***与应用通信主机基于生成的安全会话加密密钥进行对称加密、封装，进行信息交互；同时双方对接受的数据进行解密并解封，实现数据传输；
S104，服务器定时扫描已注册主机，并获取存活状态、通信服务质量和应用安全漏洞及其他相关信息；服务器对于长期没有反馈信息或者多次反馈错误信息的主机进行主机注销，断开所有服务器与主机的通信，停止主机维护并释放主机相关的所有资源。
如图2所示，步骤S101中，本发明实施例提供的应用通信主机申请注册，注册服务器对申请注册的主机进行认证包括：
S201，应用通信主机生成自己的公钥，发送主机信息给注册服务器；
S202，注册服务器收到主机信息后进行反欺骗分析，对主机包的地址及端口的正确性进行验证，同时进行反向验证；
S203，主机收到验证信息后，向服务器回复验证信息，并发送主机的公钥；
S204，反欺骗验证通过后，注册服务器记录用户信息和用户公钥，并发送自己的数字证书，主机收到数字证书后，向数字认证中心进行认证；
S205，主机确认是服务器的数字证书后解码，进行完整性验证，得到信息摘要，并与数字签名解码后得到的信息摘要进行对比；
S206，摘要验证通过后主机解码数字证书获得服务器的公钥。
如图3所示，步骤S102中，本发明实施例提供的安全会话加密密钥参数协商生成方法包括：
S301，应用通信主机基于首次注册获取注册服务器的公钥，注册服务器获取相关主机信息和对应的主机公钥；
S302，主机生成随机数R1，通过主机自己的私钥进行非对称加密，得到R11；加上主机信息UD，UD+R11使用服务器公钥进行加密后，上传给服务器；
S303，服务器用私钥解密后得到主机信息UD和随机数R1的密文R11；通过主机信息UD查询出主机公钥，通过公钥解密R1的密文得到随机数R1的明文；
S304，服务器生成随机数R2，通过服务器自己的私钥分别加密随机数R1和随机数R2，得到R12和R22；附加服务器相关信息SD，SD+R12+R22使用主机公钥进行非对称加密后，回传给主机；
S305，主机用私钥解密后得到服务器信息SD，随机数R1的密文R12和随机数R2的密文R22；通过服务器的公钥解密R12和R22，得到随机数R1的明文和随机数R2的明文；对比此时的随机数R1和之前生成的随机数R1验证服务器和中间网络信息传输的正确性；
S306，主机再次用自己的私钥加密随机数R2，得到R21；R21使用服务器公钥加密后，上传给服务器；
S307，服务器用私钥解密后得到随机数的密文R21；通过主机公钥再次解密后得到随机数R2的明文；对比此时的随机数R2和之前服务器生成的随机数R2来验证主机和中间网络信息传输的正确性；
S308，基于步骤S301至步骤S307主机和服务器协商好会话密钥参数，并将随机数R1的hash值和随机数R2的hash值取异或，生成最后的对称加密密钥KEY。
本发明实施例提供的对称加密密钥KEY计算公式如下：
Key＝H(R1)|H(R2)，其中H()代表hash运算。
本发明实施例提供的数控***网络安全架构和安全通信方法还包括：
根据联网认证过程中产生的安全会话参数随机数R1和随机数R2，生成加密密钥、建立和维护VPN隧道，对应用层发送的数据实施ESP封装；对接收的数据进行解封；提供端到端的数据传输安全保障。
如图4至图6所示，本发明实施例提供的数控***网络安全架构和安全通信***包括：
数据应用层、数据代理层和数据适配器层；
数据应用层，包括数据存储模块、数据处理模块、数据分析模块、数据消费模块；用于进行数据存储、处理、分析、消费；
数据代理层，用于在数控加工现场进行数据收集、缓存、中转和访问隔离；
数据适配层，包括多种机床数据适配器；用于利用统一数据访问接口；
所述数控***从数据应用层至数控机床物理层，各层间逻辑隔离，通过应用代理实现通信以及网络路由转发，代理与代理之间、代理与服务器之间采用数控***安全通信协议，用于保证端到端的通信安全。
本发明实施例提供的述数控***网络安全架构和安全通信***还包括：
数字签名证书颁发机构CA即服务平台，用于为注册服务器生成数字签名证书，提供私钥给注册服务器，提供公钥给每一台应用终端的应用通信主机；同时用于证书的安全分发，管理和撤销；
注册服务器，用于对申请注册的应用通信主机进行认证；定时扫描已经注册的主机，获取存活状态、通信服务质量、应用安全漏洞及其他信息，并每隔一段时间与主机重新协商新的会话密钥；同时用于定期发送信息确认主机状态，对于连续三次没有回复或者回复错误验证信息的主机将强制断开连接；
应用终端，用于在本地生成非对称加密的公钥和私钥；同时用于在本地保存私钥；
所述公钥替代传统的IP地址作为应用通信主机身份标识。
下面结合具体实施例对本发明的技术方案作进一步说明。
实施例：
首先构造适合数控***的网络架构模型，围绕满足国防工业数控联网通信安全要求、求、满足大数据、高频次、软实时数据采集的业务需求、满足设备动态管理、实现数据格式统一以及支持移动设备安全互联，适用于未来的5G通信网络等联网要求。采用多层架构模型，根据承担的业务功能划分分为数据应用层、数据代理层和数据适配器层。数据应用层：涵盖数据存储、数据处理、数据分析、数据消费等诸多应用。数据代理层：采用数据代理设备作为联网的中间层，在加工现场起到对数据的收集、缓存、中转、访问控制隔离等用途。数据适配层：由各种机床数据适配器组成，用以统一数控***数据访问接口。数控***厂家必须根据自身设备的情况，开发对应的数据采集单元和数据格式转换模块。从应用端到下层数控***之间，实施纵深防御策略，逐层实施网络控制，实现层间逻辑隔离，不允许跨层直接通信；层与层之间的数据流转不提供网络路由直接转发，必须由应用代理或业务服务器负责，代理或服务器之间采用数控***安全通信协议提供端到端的通信安全保障。
主机首次向数控***服务器发起联网：
1)数控***提供服务平台作为数字签名证书颁发机构(CA)。
2)CA为数控***注册服务器生成数字签名证书，其中提供私钥给注册服务器，提供公钥给每一台应用通信主机。证书颁发机构中心主要用于证书的安全分发，管理和撤销。
3)应用通信主机的注册在环境初始化期间自动执行，注册服务器会对申请注册的主机进行认证。数控***中其他服务器会拒绝一切未经过注册的主机的联网申请。
4)应用通信主机在本地生成非对称加密的公钥和私钥。主机本地保存私钥，并采用公钥作为主机身份标识，利用主机身份标识来替代传统的IP地址。
5)服务器根据主机名称获得目标主机的身份标识，根据主机身份标识动态确定当前可用的IP地址，为网络层通信寻址提供支撑。
6)数控网络中服务器与应用通信主机必须经过主机注册检查，身份签名确认，双端认证等多道关卡，最终确定通信双方的合法性，协商产生安全会话加密密钥参数。
5)数控***与应用通信主机交互信息都使用安全会话密钥进行对称加密并封装，对接受的数据进行解密并解封。保证端到端的数据传输的信息安全。
6)数控网络中的注册服务器集成网络注册功能和安全检测功能，服务器将定时扫描已经注册的主机，并获取其存活状态、通信服务质量和应用安全漏洞等信息。
7)服务器对于长期没有反馈信息或者多次反馈错误信息的主机进行主机注销操作，断开所有服务器与主机的通信，不再维护并释放主机相关的所有资源。
应用通信主机与服务器协商安全会话密钥参数步骤：
1)应用通信主机生成自己的公钥，发送主机信息UD给注册服务器。
2)注册服务器收到主机信息后进行反欺骗分析，对主机包的地址及端口的正确性进行验证，同时进行反向验证。
3)主机收到验证信息后，向服务器回复验证信息，并发送主机的公钥。
4)反欺骗验证通过后，注册服务器记录用户信息和用户公钥，并发送自己的数字证书，主机收到数字证书后，向数字认证中心CA进行认证。
5)主机确认是服务器的数字证书后解码，进行完整性验证，得到信息摘要，并与数字签名解码后得到的信息摘要进行对比。
6)摘要验证通过后主机解码数字证书获得服务器的公钥。
7)主机发起联网请求，服务器发现请求并回复请求。
8)主机生成随机数R1，通过主机自己的私钥进行非对称加密，得到R11。加上主机信息UD。(UD+R11)使用服务器公钥进行加密后，上传给服务器。
9)服务器用私钥解密后得到主机信息UD和随机数R1的密文R11。通过主机信息UD查询出主机公钥，通过公钥解密R1的密文得到随机数R1的明文。
10)服务器生成随机数R2，通过服务器自己的私钥分别加密随机数R1和随机数R2，得到R12和R22。附加服务器相关信息SD。(SD+R12+R22)使用主机公钥进行非对称加密后，回传给主机。
11)主机用私钥解密后得到服务器信息SD，随机数R1的密文R12和随机数R2的密文R22。通过服务器的公钥解密R12和R22，得到随机数R1的明文和随机数R2的明文。对比此时的随机数R1和之前生成的随机数R1来验证服务器和中间网络信息传输的正确性。
12)主机再次用自己的私钥加密随机数R2，得到R21。(R21)使用服务器公钥加密后，上传给服务器。
13)服务器用私钥解密后得到随机数的密文R21。通过主机公钥再次解密后得到随机数R2的明文。对比此时的随机数R2和之前服务器生成的随机数R2来验证主机和中间网络信息传输的正确性。
14)通过以上步骤后，主机和服务器已协商好会话密钥参数，并将随机数R1的hash值和随机数R2的hash值取异或，生成最后的对称加密密钥KEY。
Key＝H(R1)|H(R2)，其中H()代表hash运算。
根据联网认证过程中产生的安全会话参数随机数R1和随机数R2，生成加密密钥、建立和维护VPN隧道，对应用层发送的数据实施ESP封装；对接收的数据进行解封。提供端到端的数据传输安全保障。
同时注册服务器集成网络管理功能和安全检测功能，将定时扫描已经注册的主机，获取其存活状态、通信服务质量、应用安全漏洞等信息。每隔一段时间服务器会和主机重新协商新的会话密钥。服务器定期发送信息以确认主机的状态，对于连续三次没有回复或者回复错误验证信息的主机将强制断开连接。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的硬件平台的方式来实现，当然也可以全部通过硬件来实施。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种数控***网络安全架构和安全通信方法，其特征在于，所述数控***网络安全架构和安全通信方法包括：
步骤一，应用通信主机申请注册，注册服务器对申请注册的主机进行认证；应用通信主机在本地生成非对称加密的公钥和私钥；主机本地保存私钥；服务器根据主机名称获得目标主机的身份标识，根据主机身份标识动态确定当前可用的IP地址；
步骤二，服务器与应用通信主机通过主机注册检查、身份签名确认、双端认证，确定通信双方的合法性，协商生成安全会话加密密钥参数；
步骤三，***与应用通信主机基于生成的安全会话加密密钥进行对称加密、封装，进行信息交互；同时双方对接受的数据进行解密并解封，实现数据传输；
步骤四，服务器定时扫描已注册主机，并获取存活状态、通信服务质量和应用安全漏洞及其他相关信息；服务器对于长期没有反馈信息或者多次反馈错误信息的主机进行主机注销，断开所有服务器与主机的通信，停止主机维护并释放主机相关的所有资源。
2.如权利要求1所述数控***网络安全架构和安全通信方法，其特征在于，步骤一中，所述应用通信主机申请注册，注册服务器对申请注册的主机进行认证包括：
(1)应用通信主机生成自己的公钥，发送主机信息给注册服务器；
(2)注册服务器收到主机信息后进行反欺骗分析，对主机包的地址及端口的正确性进行验证，同时进行反向验证；
(3)主机收到验证信息后，向服务器回复验证信息，并发送主机的公钥；
(4)反欺骗验证通过后，注册服务器记录用户信息和用户公钥，并发送自己的数字证书，主机收到数字证书后，向数字认证中心进行认证；
(5)主机确认是服务器的数字证书后解码，进行完整性验证，得到信息摘要，并与数字签名解码后得到的信息摘要进行对比；
(6)摘要验证通过后主机解码数字证书获得服务器的公钥。
3.如权利要求1所述数控***网络安全架构和安全通信方法，其特征在于，步骤二中，所述安全会话加密密钥参数协商生成方法包括：
1)应用通信主机基于首次注册获取注册服务器的公钥，注册服务器获取相关主机信息和对应的主机公钥；
2)主机生成随机数R1，通过主机自己的私钥进行非对称加密，得到R11；加上主机信息UD，UD+R11使用服务器公钥进行加密后，上传给服务器；
3)服务器用私钥解密后得到主机信息UD和随机数R1的密文R11；通过主机信息UD查询出主机公钥，通过公钥解密R1的密文得到随机数R1的明文；
4)服务器生成随机数R2，通过服务器自己的私钥分别加密随机数R1和随机数R2，得到R12和R22；附加服务器相关信息SD，SD+R12+R22使用主机公钥进行非对称加密后，回传给主机；
5)主机用私钥解密后得到服务器信息SD，随机数R1的密文R12和随机数R2的密文R22；通过服务器的公钥解密R12和R22，得到随机数R1的明文和随机数R2的明文；对比此时的随机数R1和之前生成的随机数R1验证服务器和中间网络信息传输的正确性；
6)主机再次用自己的私钥加密随机数R2，得到R21；R21使用服务器公钥加密后，上传给服务器；
7)服务器用私钥解密后得到随机数的密文R21；通过主机公钥再次解密后得到随机数R2的明文；对比此时的随机数R2和之前服务器生成的随机数R2来验证主机和中间网络信息传输的正确性；
8)基于步骤1)至步骤7)，主机和服务器协商好会话密钥参数，并将随机数R1的hash值和随机数R2的hash值取异或，生成最后的对称加密密钥KEY。
4.如权利要求3所述数控***网络安全架构和安全通信方法，其特征在于，所述对称加密密钥KEY计算公式如下：
Key＝H(R1)|H(R2)，其中H()代表hash运算。
5.如权利要求1所述数控***网络安全架构和安全通信方法，其特征在于，所述数控***网络安全架构和安全通信方法还包括：
根据联网认证过程中产生的安全会话参数随机数R1和随机数R2，生成加密密钥、建立和维护VPN隧道，对应用层发送的数据实施ESP封装；对接收的数据进行解封；提供端到端的数据传输安全保障。
6.一种实施如权利要求1-5所述数控***网络安全架构和安全通信方法的数控***网络安全架构和安全通信***，其特征在于，所述数控***网络安全架构和安全通信***包括：
数据应用层、数据代理层和数据适配器层；
数据应用层，包括数据存储模块、数据处理模块、数据分析模块、数据消费模块；用于进行数据存储、处理、分析、消费；
数据代理层，用于在数控加工现场进行数据收集、缓存、中转和访问隔离；
数据适配层，包括多种机床数据适配器；用于利用统一数据访问接口。
7.如权利要求6所述数控***网络安全架构和安全通信***，其特征在于，所述数控***从数据应用层至数控机床物理层，各层间逻辑隔离，通过应用代理实现通信以及网络路由转发，代理与代理之间、代理与服务器之间采用数控***安全通信协议，用于保证端到端的通信安全。
8.如权利要求6所述数控***网络安全架构和安全通信***，其特征在于，所述数控***网络安全架构和安全通信***还包括：
数字签名证书颁发机构CA即服务平台，用于为注册服务器生成数字签名证书，提供私钥给注册服务器，提供公钥给每一台应用终端的应用通信主机；同时用于证书的安全分发，管理和撤销；
注册服务器，用于对申请注册的应用通信主机进行认证；定时扫描已经注册的主机，获取存活状态、通信服务质量、应用安全漏洞及其他信息，并每隔一段时间与主机重新协商新的会话密钥；同时用于定期发送信息确认主机状态，对于连续三次没有回复或者回复错误验证信息的主机将强制断开连接；
应用终端，用于在本地生成非对称加密的公钥和私钥；同时用于在本地保存私钥；
所述公钥替代传统的IP地址作为应用通信主机身份标识。
9.一种接收用户输入程序存储介质，所存储的计算机程序使电子设备执行权利要求1-5所述数控***网络安全架构和安全通信方法。
10.一种存储在计算机可读介质上的计算机程序产品，包括计算机可读程序，供于电子装置上执行时，提供用户输入接口以实施如权利要求1-5所述数控***网络安全架构和安全通信方法。
CN202010604468.7A 2020-06-29 2020-06-29 一种数控***网络安全架构和安全通信方法及*** Active CN111770092B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010604468.7A CN111770092B (zh) 2020-06-29 2020-06-29 一种数控***网络安全架构和安全通信方法及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010604468.7A CN111770092B (zh) 2020-06-29 2020-06-29 一种数控***网络安全架构和安全通信方法及***

Publications (2)

Publication Number Publication Date
CN111770092A true CN111770092A (zh) 2020-10-13
CN111770092B CN111770092B (zh) 2021-06-29

Family

ID=72723025

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010604468.7A Active CN111770092B (zh) 2020-06-29 2020-06-29 一种数控***网络安全架构和安全通信方法及***

Country Status (1)

Country Link
CN (1) CN111770092B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112394683A (zh) * 2020-11-24 2021-02-23 桂林电子科技大学 一种利用工控***的文件传输方法
CN112615935A (zh) * 2020-12-25 2021-04-06 武汉华中数控股份有限公司 一种终端设备联网参考模型及其交互方法
CN112637128A (zh) * 2020-11-25 2021-04-09 四川新网银行股份有限公司 一种数据中心主机的身份互信方法及***
CN113411190A (zh) * 2021-08-20 2021-09-17 北京数业专攻科技有限公司 密钥部署、数据通信、密钥交换、安全加固方法及***
CN114726652A (zh) * 2022-05-20 2022-07-08 北京网藤科技有限公司 一种基于l7代理的安全设备管理方法及***
CN115296934A (zh) * 2022-10-08 2022-11-04 北京安帝科技有限公司 基于工控网络入侵的信息传输方法、装置、电子设备

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101685301A (zh) * 2009-07-29 2010-03-31 东华大学 复杂工况下数控机床嵌入式状态监控信息适配器及方法
CN102404347A (zh) * 2011-12-28 2012-04-04 南京邮电大学 一种基于公钥基础设施的移动互联网接入认证方法
CN102970299A (zh) * 2012-11-27 2013-03-13 西安电子科技大学 文件安全保护***及其方法
CN103905435A (zh) * 2014-03-14 2014-07-02 北京六间房科技有限公司 一种前端页面与后端服务器通信方法
CN105323062A (zh) * 2014-06-03 2016-02-10 北京收付宝科技有限公司 移动终端数字证书电子签名方法
CN105337977A (zh) * 2015-11-16 2016-02-17 苏州通付盾信息技术有限公司 一种动态双向认证的安全移动通讯架构及其实现方法
CN107919956A (zh) * 2018-01-04 2018-04-17 重庆邮电大学 一种面向物联网云环境下端到端安全保障方法
CN109861813A (zh) * 2019-01-11 2019-06-07 如般量子科技有限公司 基于非对称密钥池的抗量子计算https通信方法和***

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101685301A (zh) * 2009-07-29 2010-03-31 东华大学 复杂工况下数控机床嵌入式状态监控信息适配器及方法
CN102404347A (zh) * 2011-12-28 2012-04-04 南京邮电大学 一种基于公钥基础设施的移动互联网接入认证方法
CN102970299A (zh) * 2012-11-27 2013-03-13 西安电子科技大学 文件安全保护***及其方法
CN103905435A (zh) * 2014-03-14 2014-07-02 北京六间房科技有限公司 一种前端页面与后端服务器通信方法
CN105323062A (zh) * 2014-06-03 2016-02-10 北京收付宝科技有限公司 移动终端数字证书电子签名方法
CN105337977A (zh) * 2015-11-16 2016-02-17 苏州通付盾信息技术有限公司 一种动态双向认证的安全移动通讯架构及其实现方法
CN107919956A (zh) * 2018-01-04 2018-04-17 重庆邮电大学 一种面向物联网云环境下端到端安全保障方法
CN109861813A (zh) * 2019-01-11 2019-06-07 如般量子科技有限公司 基于非对称密钥池的抗量子计算https通信方法和***

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112394683A (zh) * 2020-11-24 2021-02-23 桂林电子科技大学 一种利用工控***的文件传输方法
CN112394683B (zh) * 2020-11-24 2022-03-11 桂林电子科技大学 一种利用工控***的文件传输方法
CN112637128A (zh) * 2020-11-25 2021-04-09 四川新网银行股份有限公司 一种数据中心主机的身份互信方法及***
CN112637128B (zh) * 2020-11-25 2022-07-08 四川新网银行股份有限公司 一种数据中心主机的身份互信方法及***
CN112615935A (zh) * 2020-12-25 2021-04-06 武汉华中数控股份有限公司 一种终端设备联网参考模型及其交互方法
CN112615935B (zh) * 2020-12-25 2022-08-05 武汉华中数控股份有限公司 一种终端设备联网参考***及其交互方法
CN113411190A (zh) * 2021-08-20 2021-09-17 北京数业专攻科技有限公司 密钥部署、数据通信、密钥交换、安全加固方法及***
CN114726652A (zh) * 2022-05-20 2022-07-08 北京网藤科技有限公司 一种基于l7代理的安全设备管理方法及***
CN115296934A (zh) * 2022-10-08 2022-11-04 北京安帝科技有限公司 基于工控网络入侵的信息传输方法、装置、电子设备
CN115296934B (zh) * 2022-10-08 2023-01-24 北京安帝科技有限公司 基于工控网络入侵的信息传输方法、装置、电子设备

Also Published As

Publication number Publication date
CN111770092B (zh) 2021-06-29

Similar Documents

Publication Publication Date Title
CN111770092B (zh) 一种数控***网络安全架构和安全通信方法及***
Bird et al. The kryptoknight family of light-weight protocols for authentication and key distribution
CN100581102C (zh) 一种无线传感器网络中数据安全传输的方法
CN105873031B (zh) 基于可信平台的分布式无人机密钥协商方法
Dahlmanns et al. Transparent end-to-end security for publish/subscribe communication in cyber-physical systems
Fang et al. A secure and fine-grained scheme for data security in industrial IoT platforms for smart city
Musa et al. Secure security model implementation for security services and related attacks base on end-to-end, application layer and data link layer security
CN110855707A (zh) 物联网通信管道安全控制***和方法
Müller et al. Challenges and prospects of communication security in real-time ethernet automation systems
Watson et al. Interoperability and security challenges of industry 4.0
Akerberg et al. Exploring security in PROFINET IO
Niemann IT security extensions for PROFINET
CN100349448C (zh) 工业控制网络安全管理***与安全处理方法
Mehner et al. No need to marry to change your name! attacking profinet io automation networks using dcp
CN107493294A (zh) 一种基于非对称加密算法的ocf设备的安全接入与管理控制方法
Wanying et al. The study of security issues for the industrial control systems communication protocols
CN1312880C (zh) 基于tcp/ip的工业控制网络的安全策略实现方法及***
CN111245604B (zh) 一种服务器数据安全交互***
CN100364305C (zh) 工业控制网络的信息安全方法及安全功能块
CN116633576A (zh) 安全可信NC-Link代理器、控制方法、设备及终端
CN112906032B (zh) 基于cp-abe与区块链的文件安全传输方法、***及介质
Weith DLMS/COSEM protocol security evaluation
Saxena et al. Public key cryptography based approach for securing SCADA communications
Glanzer et al. Increasing security and availability in KNX networks
CN113395258A (zh) 工业互联网认证网关测试研制***及其认证流程

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant