基于國產(chǎn)標識密碼算法的身份認證技術(shù)在油田工業(yè)控制系統(tǒng)的應(yīng)用

李偉

摘要：依據(jù)油田工業(yè)控制系統(tǒng)的實際情況，采用基于標識密碼技術(shù)進行身份認證，能夠較好的兼顧系統(tǒng)的安全性和易用性。本方案基于標識管理系統(tǒng)，結(jié)合標識密碼機進行整體系統(tǒng)的密鑰生成、分發(fā)以及統(tǒng)一的密鑰管理設(shè)計，并搭建一套原型系統(tǒng)，對基于標識密碼技術(shù)的身份認證方案進行了驗證，實現(xiàn)油田工業(yè)控制系統(tǒng)對終端的身份認證。

關(guān)鍵詞：工業(yè)控制系統(tǒng);標識密碼;身份認證

1???? 引言

根據(jù)目前的油田工業(yè)控制系統(tǒng)的實際應(yīng)用情況，使用口令密碼、生物身份識別技術(shù)、傳統(tǒng)PKI體系部署管理等方式會造成系統(tǒng)安全性較低、大部分終端不滿足條件以及架構(gòu)形式過于復雜等缺陷。采用基于標識密碼技術(shù)進行身份認證，可以很好的兼顧系統(tǒng)易用性和安全性，而入網(wǎng)過程是進行身份認證的合適時機，故本方案基于標識管理系統(tǒng)，結(jié)合符合國家標準的標識密碼機進行整體系統(tǒng)的密鑰生成、分發(fā)以及統(tǒng)一的密鑰管理設(shè)計，并基于該過程建立安全傳輸通道，進行訪問控制，完成油田工業(yè)控制系統(tǒng)中基于標識密碼技術(shù)的身份認證方案。同時，部署搭建一套原型系統(tǒng)進行軟件開發(fā)，以驗證身份認證系統(tǒng)的效果和性能，試驗結(jié)果表明可以滿足油田工業(yè)控制系統(tǒng)實際需要，保證了對終端的身份認證安全。

2???? 身份認證技術(shù)介紹

身份認證技術(shù)是能夠?qū)π畔⒌氖瞻l(fā)方進行真實身份鑒別的技術(shù)，其基本思想是同構(gòu)驗證被認證對象的屬性來達到被認證對象是否真實有效的目的。用以識別、驗證網(wǎng)絡(luò)信息系統(tǒng)中用戶身份的合法性和真實性和抗抵賴性[1]。常見的身份認證方法有：基于口令識別身份方法;基于智能卡、令牌的鑒別方法;基于PKI數(shù)字證書的鑒別方法;基于生物特征的鑒別方法等。其中，口令認證是最常用的方式，具有靜態(tài)口令和動態(tài)口令兩種方式;令牌、智能卡是一種內(nèi)置集成電路芯片，用來保存與用戶身份相關(guān)的資料數(shù)據(jù);數(shù)字證書是利用可信第三方來證明用戶的身份;生物特征認證則以人體生物特征為依據(jù)，采用計算機的強大功能和網(wǎng)絡(luò)技術(shù)進行圖像處理、分類和模式識別，其具有唯一性、可靠性和穩(wěn)定性。

2.1? 新型生物身份認證技術(shù)

生物身份認證技術(shù)，主要是人體特征。新型身份認證技術(shù)不同于傳統(tǒng)的生物身份認證，其以使用者大量日常行為為基礎(chǔ)來判定使用者身份的一種認證技術(shù)。身份認證安全系統(tǒng)就對使用者的行為習慣進行跟蹤記錄，建立起使用者行為身份模型，當使用者的行為與系統(tǒng)模型不匹配時，安全系統(tǒng)能及時發(fā)現(xiàn)，并發(fā)出警報甚至終止當前使用者的權(quán)限。

2.2? IBE身份認證技術(shù)

IBE身份認證技術(shù)是將使用者現(xiàn)有公開的一些數(shù)字資源作為公鑰加密的方式。IBE不需要使用者獲取第三方的公鑰證書，能夠直接使用對方的數(shù)字標識已完成身份信息加密，這種方式降低了身份認證的步驟，為使用者提供了極大的便利。IBE加密基于橢圓曲線離散對數(shù)，使用橢圓曲線加密算法，使獲得的密鑰更安全且長度更短。減少了對公鑰證書的依賴，簡化了身份認證的步驟，不只方便了使用者，也減輕了服務(wù)器為密碼運算的壓力[2]。

2.4國產(chǎn)標識密碼技術(shù)的身份認證

SM9是我國最新發(fā)布的標識密碼算法，即IBC體系算法。IBC體系是在傳統(tǒng)的PKI體系基礎(chǔ)上發(fā)展而來，由以色列密碼學家沙米爾在1984年提出，2006年我國頒發(fā)算法型號SM9，2017年，我國SM2與SM9數(shù)字簽名算法成為ISO/IEC國際標準[3]。在IBC體系中，通過每個人的唯一標識結(jié)合主密鑰和公共參數(shù)就可以為每個用戶創(chuàng)建唯一的私鑰，管理員只需要管理主密鑰、公共參數(shù)即可，極大地簡化了密鑰的管理，IBC體系中的密鑰管理只包括密鑰產(chǎn)生和密鑰更新。因此，IBC體系除了PKI體系的技術(shù)優(yōu)點外，主要解決了在具體安全應(yīng)用中PKI體系需要大量交換數(shù)字證書的問題，使安全應(yīng)用更加易于使用和部署[4]。

在油田工業(yè)控制系統(tǒng)中，結(jié)合標識密碼技術(shù)能夠很好的解決傳統(tǒng)認證方案所帶來的問題，是目前工控系統(tǒng)信息安全方案設(shè)計中較為普遍的選擇。

3???? 基于標識密碼的油田工業(yè)控制系統(tǒng)身份認證方案

3.1? 方案架構(gòu)

在服務(wù)端部署標識密碼機、標識管理平臺和安全接入系統(tǒng)的服務(wù)器端，標識密碼機采用支持國密SM9算法的高性能密碼機，標識管理平臺根據(jù)工控系統(tǒng)需要進行設(shè)計開發(fā)，負責完成整個系統(tǒng)的密鑰進行生成、分發(fā)、管理等操作。安全接入網(wǎng)關(guān)服務(wù)器基于標識密碼技術(shù)進行設(shè)計，對終端進行身份認證并提供安全接入服務(wù)。各終端通過集成安全中間件獲得身份認證和安全接入的能力。通過基于SM9標識密碼技術(shù)的身份認證、密鑰協(xié)商、數(shù)據(jù)加解密，保障系統(tǒng)的安全。

3.2? 實現(xiàn)功能

本方案可實現(xiàn)工控終端與服務(wù)端之間的身份認證、通訊加密、安全組網(wǎng)等。由于基于標識的密碼體系通過標識即可得出公鑰，不再依賴預(yù)存大量證書和第三方權(quán)威機構(gòu)來驗證公鑰，還可以實現(xiàn)兩個終端設(shè)備之間離線的身份認證，提升了現(xiàn)場檢修時的便利性和安全性。采用基于標識密碼技術(shù)的安全傳輸協(xié)議，在工控終端與服務(wù)端采集設(shè)備之間建立專用網(wǎng)絡(luò)連接，利用數(shù)字簽名技術(shù)確認雙方身份正確，使用國密密鑰交換協(xié)議進行對稱算法會話密鑰協(xié)商，實現(xiàn)業(yè)務(wù)數(shù)據(jù)的加密安全傳輸。還可支持終端間的離線認證。

3.3? 基于標識密碼技術(shù)的身份認證系統(tǒng)原型設(shè)計與開發(fā)

為了驗證油田工業(yè)控制系統(tǒng)中基于標識密碼技術(shù)的身份認證方案，按上文所述方案進行軟件開發(fā)，部署搭建一套原型系統(tǒng)，以驗證身份認證系統(tǒng)的效果和性能是否可以滿足實際需要。

3.3.1????? 開發(fā)成果

基于linux系統(tǒng)研發(fā)了標識管理平臺軟件，通過與標識密碼機交互，調(diào)用標識密碼機應(yīng)用接口完成標識密碼系統(tǒng)的初始化、標識私鑰的生成等操作;對外提供密鑰安全下載等功能;提供Web管理頁面讓管理者對系統(tǒng)內(nèi)的密鑰進行統(tǒng)一管理，對終端可按照所屬片區(qū)、礦井、組織單位等進行統(tǒng)一管理。并對密鑰分發(fā)、終端接入、系統(tǒng)管理等操作進行詳細的日志記錄，提供安全審計功能。

3.3.2????? 實現(xiàn)效果

在服務(wù)端部署了一套原型系統(tǒng)并在各類終端進行了安全中間件的集成后，對系統(tǒng)功能進行了測試。終端可以與服務(wù)端實現(xiàn)基于標識密碼算法的身份認證并建立起安全傳輸通道，服務(wù)端安全接入網(wǎng)關(guān)每秒可完成約8000余次新建連接請求，并可進行水平擴容，性能已可以滿足當前一般工控系統(tǒng)的需要。

4???? 結(jié)論

采用基于安全傳輸協(xié)議的云安全接入技術(shù)來實現(xiàn)專用網(wǎng)絡(luò)加密傳輸，通過基于標識密碼算法、高效的傳輸層安全協(xié)議，利用TCP、UDP的傳輸機制，對TCP會話、鏈路協(xié)議、IP數(shù)據(jù)、UDP報文的保護后傳遞。采用多框架密鑰交換協(xié)議和基于標識的密碼技術(shù)，結(jié)合網(wǎng)絡(luò)封包代理、截獲技術(shù)，實現(xiàn)遠程訪問用戶的身份認證和遠程數(shù)據(jù)的加密傳輸。

針對油田工業(yè)控制系統(tǒng)終端的實際情況，開發(fā)了三種安全中間件，分別為安全模組、安全密碼中間件、安全接入設(shè)備三種類型，安全模組為硬件模組，內(nèi)置安全芯片和通訊模組，實現(xiàn)密鑰的安全存儲、密碼運算和與服務(wù)端建立安全通道，對外提供API接口，適用于可集成硬件的終端，安全性最高。安全密碼中間件為軟件開發(fā)包，適配各類系統(tǒng)，內(nèi)置算法庫，終端集成庫文件后，通過功能接口實現(xiàn)密碼功能，適用于具備軟件集成條件的終端。安全接入設(shè)備為小型設(shè)備，通過數(shù)據(jù)攔截和重定向技術(shù)，對終端實現(xiàn)透明傳輸，并與服務(wù)端進行身份認證建立安全傳輸通道，適用于集成能力低的終端。

參考文獻：

[1]?? 袁峰，程朝輝.SM9標識密碼算法綜述[J].信息安全研究，2016，2（11）：1008-1027.

[2]?? 胡杰.SM9密鑰管理機制研究[D].華中科技大學，2019.