工业互联网平台应用商用密码安全接入的研究.pdf

SOFTWARE软 件2023第 44 卷 第 8 期2023 年Vol.44,No.8作者简介：徐海波（1972），男，江苏无锡人，硕士研究生，高级工程师，研究方向：软件测评及密码技术。工业互联网平台应用商用密码安全接入的研究徐海波（北京赛迪软件测评工程技术中心有限公司，北京 100048）摘要：本文介绍了工业互联网接入软件的类型，分析了工业互联网平台应用商用密码实现软件接入安全认证系统的必要性，描述了建设安全接入系统的设计思路，从安全接入密钥管理中心、密钥体系、业务流程、数字证书认证体系及应用安全五个方面详细阐述了设计方法及流程，为工业互联网企业平台软件安全接入分类认证管控提出了解决方案。关键词：工业互联网；商用密码；安全接入中图分类号：TP393 文献标识码：A DOI：10.3969/j.issn.1003-6970.2023.08.021本文著录格式：徐海波.工业互联网平台应用商用密码安全接入的研究J.软件,2023,44(08):092-094+102Research on Secure Access of Business Cipher in Industrial Internet PlatformXU Haibo（CCID Software Testing,Beijing 100048）【Abstract】：This paper introduces the types of industrial Internet access software,analyzes the necessity of industrial Internet platform using business cipher to implement software access security authentication system,describes the design idea of building security access system,and elaborates the design method and process from five aspects of security access key management center,key system,business process,digital certificate authentication system and application security,proposed a solution for the management and control of software security access classification authentication of industrial Internet platform.【Key words】：industrial Internet;business cipher;secure access设计研究与应用0 引言工业互联网接入软件主要分为工业采集软件、工业控制软件、各种工业 App 等工业软件和 SaaS 服务。各类工业软件对于数据的安全性、时效性、交互频率等各不相同，如工业采集软件需实时发送各类状态数据，工业控制软件下达指令的实时性要求，及工业 App 对所涉及业务数据敏感信息的安全性等。因此对工业互联网接入软件分类识别，能有效提高工业互联网平台软件安全接入的可用性、安全性。1 安全认证接入管理系统工业互联网的信息安全事关国计民生，要做到工业互联网的“保真、保密、保全”，就必须完成工业互联网平台软件接入的商用密码安全认证接入体系建设。伴随着工业互联网的广泛应用，其网络安全问题日益突出。基于商用密码算法的应用，可以有效保护数据传输过程中的机密性和完整性。当重要数据在传输时，通过密码技术加密，就能够有效保护数据被监听截获，信息也不会泄漏，保护数据的机密性；通过密码技术对数据生成消息鉴别码（MAC），一旦数据被篡改，通过MAC 可以很容易发现，从而保护数据的完整性1。通过基于商用密码技术的数字证书认证体系，为工业互联网平台软件接入签发数字证书。数字证书可作为工业互联网平台软件安全接入的身份认证凭证，实现基于商用密码技术的身份认证功能。数字证书也能对关键数据和日志进行签名，实现数据和日志防抵赖和防篡改。1.1 安全接入密钥管理中心设计密钥管理中采用基于 Spring Cloud 微服务设计，具有高内聚、低耦合标准化接口、可重用服务等特点。密钥管理中心支持基于商用密码算法的密码应用体系，通过数据加解密、签名验签、随机数生成、安全传输密钥，以及敏感数据加密存储、访问控制等技术手段为工业互联网平台软件安全接入提供基础支撑，主要包括数字证93徐海波：工业互联网平台应用商用密码安全接入的研究书管理、日志/系统管理、密码设备管理、密钥管理、密码运算服务等功能。根据项目整体规划，密钥管理中心分为核心密钥管理中心和云端密钥管理中心。核心密钥管理中心依托于服务器密码机，为工业互联网、接入设备、接入工业信息系统等提供数据传输加密、数据存储加密、数据完整性校验、日志完整性校验、重要配置参数加密、身份认证、接入软件端密钥下发及管理等功能2。密钥管理中心通过服务器密码机使用合规的密钥管理和密码运算，通过 CA 为平台自身和软件接入提供数字证书签发服务。平台通过接口为接入软件、控制软件、工业信息系统提供相关功能。通过接口与安全增强服务组件完成与接入软件数据交互和身份认证功能。云端密钥管理中心依托于云密码机，运行于云平台虚拟服务器，为工业互联网平台、接入软件提供数据传输加密、数据存储加密、数据完整性校验、日志完整性校验、重要配置参数加密、身份认证等功能。（1）运算服务。密钥安全管理中心运算服务主要功能模块包括：机密性接口、完整性接口、身份认证、日志审计等功能。1）机密性接口：通过对外提供的数据加解密接口，为管理平台提供加解密服务，根据工业互联网平台软件安全接入的加密运算需求，将数据明文传送到核心加密平台，核心加密平台将会调取运算所需的工作密钥，进行数据加解密操作，整个传输过程都将有传输密钥（KEK）进行保护，保证链路上数据传输的安全性。2）完整性接口：通过对外提供的数据完整性校验接口，为工业互联网平台提供数据完整性校验服务，根据工业互联网平台数据完整性校验需求，将校验数据传送到核心加密平台，核心加密平台将会调取运算所需工作密钥，进行数据校验操作，整个传输过程都将有传输密钥（KEK）进行保护，保证链路上数据传输的安全性，从终端考虑接入软件只需考虑数据多元化，并支持核心与云端双端校验机制。3）身份认证：通过 Ukey 等终端设备，验证接入软件所对应数字证书的有效性，识别终端设备后将签名证书返回核心管理中心进行身份认证验签操作，并告知匹配结果是否成功，成功后则注册进核心管理中心完成身份验证服务。4）日志审计：通过核心安全平台对工业互联网软件接入操作都会形成操作日志，并将日志进行签名保存，当审计员进行查阅校对时，将会再次签名进行日志审计工作，完成日志审计服务。（2）管理服务。密钥安全管理中心管理服务主要功能模块包括：密钥管理、证书管理、权限管理等功能。1）密钥管理：根据不同的主体和用途，密钥管理中心保证了密钥全生命周期的安全性，使密钥（除公钥外）不被非授权的访问、使用、泄漏、修改和替换。整个生命周期包括密钥的产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁等环节。2）证书管理：通过 CA 系统对接入软件与核心管理中心申请、更新、注销相关证书，并同步映射到云端管理中心，当需要证书的业务场景出现时，进行证书信息调取，并联合密钥进行相关业务逻辑操作。3）权限管理：根据相关配置文件，进行黑白名单权限控制，形成对接入软件与核心管理中心的权限管理。1.2 密钥体系设计密码应用的安全依赖于密钥体系的安全。在工业互联网平台软件安全接入管理中心密钥体系中，所有的密钥均由核心密钥管理中心生成并下发，并向云端密钥管理中心同步密钥。密码应用的安全性主要体现在密钥安全，核心中心、云端中心、工业互联网平台的密码应用依赖于密码硬件设备，既能符合密钥管理的相关规范，也能满足密钥安全的实际需求。根据业务功能不同，密钥管理中心下发不同的密钥，符合密钥具有专用性这一管理要求。非对称密钥只存在于各密码硬件内部，通过密码硬件接口提供申请数字证书、签名/验签、非对称加密/解密等功能3。对称密钥根据其功能可划分为管理密钥和工作密钥两大类。（1）管理密钥包括：1）LMK（本地主密钥）：每个平台的 LMK 都是独立的；LMK 由密码硬件生成，存储于密码硬件内部，只用于对其他密钥的存储加密，保证其他密钥的存储安全；2）KEK（密钥加密密钥）：KEK由工业互联网平台和核心密钥管理中心做密钥协商而来，只用于对业务密钥的传输加密，保证业务密钥的传输安全。（2）工作密钥包括：1）传输密钥：使用 SM4 用于对业务数据做传输加/解密，建议使用CBC模式；2）存储密钥：使用SM4对业务数据做存储加/解密，建议使用CBC模式；3）MAC密钥：使用SM4用于对业务数据生成MAC（消息鉴别码），生成方式建议采用CBC-MAC 模式。（3）密钥库：1）核心密钥库：核心密钥库是密钥体系中所有对称密钥的全集。包括工业互联网平台软件安全接入的工作密钥库、各业务系统的工作密钥库、所有KEK（密钥加密密钥）、历史密钥库；2）云端密钥库：包94软 件第 44 卷 第 8 期SOFTWARE括工业互联网平台软件安全接入的工作密钥库、各业务系统的工作密钥库、与核心平台的 KEK、历史密钥库。1.3 业务流程设计（1）工作密钥下发流程：工业互联网平台软件安全接入的工作密钥由核心密钥管理中心统一生成并下发。因此，设计了一套密钥下发流程用于密钥的安全传输。具有身份认证、抗重放攻击、抗中间人攻击等特性。工业互联网平台软件在初次向核心管理中心申请密钥时，需要先申请 KEK。申请完 KEK 后，工业互联网平台软件可以向中心申请工作密钥。（2）安全通信流程（数据加解密/MAC 校验）由于核心密钥库和云端密钥库存储了工业互联网平台软件的工作密钥，所以任意工业互联网平台软件均可以和核心密钥管理中心或云端密钥管理中心做加密通信。当密钥管理中心向工业互联网平台软件端发送的数据类似，密钥管理中心使用目标软件的密钥生成 MAC并加密数据，工业互联网平台端收到数据后，先解密数据再验证 MAC。数据加密/解密功能用于保护数据的机密性。根据控制系统不同的业务流程，在做加密/解密时首先选择对应的传输密钥或存储密钥。加密/解密使用算法为 SM4。MAC 生成/校验用于保护数据的完整性，使用 SM4对称算法的 CBC 模式进行加密运算，用最后一个密文分组作为 MAC。通过 CBC-MAC 模式保护数据的完整性。（3）身份认证流程：身份认证功能基于 SM2 算法的数字证书实现，主要应用工业互联网平台软件接入密钥下发等重要业务环节。工业互联网平台软件将数字证书提交给密钥管理中心，发起身份验证申请。密钥管理中心校验数字证书的有效性，并从数字证书的 DN 信息里读取工业互联网平台软件身份标识。密钥管理中心读取数字证书里的工业互联网平台软件公钥，用公钥加密一个随机数，发送给工业互联网平台软件。工业互联网平台软件收到公钥加密数据后，用自己的私钥完成解密，获取随机数并发送给密钥管理中心。密钥管理中心对比随机数，一致则身份验证通过。（4）安全审计流程：安全审计基于 SM2 算法的数字证书实现，主要应用于工业互联网平台软件重要日志和重要数据的安全保护。安全审计模块提供数据签名和数据审计两个接口。数据签名应用于工业互联网平台软件生成重要日志或重要数据真实性保护。数据签名使用工业互联网平台软件自己的私钥对数据做签名，保存日志或数据时，签名值一并保存。数据审计应用于审计员验证重要日志或重要数据的真实性。使用工业互联网平台软件的数字证书对数据和签名值做验签操作，确认签名有效，且数据没有被非法更改。确认数据有效后，使用审计员的私钥对数据签名值做签名，表示审计员认可数据真实性。数据签名/验签用于身份认证和安全审计。使用SM2算法和密钥进行运算。其中 SM2 非对称密钥对的公钥和私钥存放在密码硬件中，公钥可导出，私钥不可导出。数据签名/验签使用的散列算法为 SM3。1.4 数字证书认证系统设计数字证书认证（CA）系统是以公钥基础设施（PKI）为核心的，建立在一系列相关安全技术标准之上的通用安全平台4。该平台向上为工业互联网平台软件提供通用开发接口以及多种可快速部署的安全模块，向下封装国家许可 CA 机构的数字证书服务接口，提供各类商用密码设备连接接口，为网络应用提供身份认证、访问控制、数据保密和完整性等全面的安全服务。可协助企业级用户建立符合 PKI 规范的、强健的、广泛适用的、灵活通用的应用安全中心。CA 系统包含 KM 子系统、CA 子系统、RA 子系统、面向应用接口、加密硬件层等主要部分。各部分的组成模块为：（1）KM 子系统：密钥管理系统，管理为用户提供的加密密钥对生成。主要包括 KM 管理终端初始化模块、KM 管理终端权限管理模块、KM 配置模块、KM后台业务服务模块、KM 密钥生成模块。（2）CA 子系统：证书签发子系统，根据用户的签名密钥对、加密密钥对、证书申请信息等内容，签发用户的数字证书。主要包括证书签发服务模块、证书签发服务管理模块、CRL 签发服务模块、CRL 管理模块、签名服务模块、安全策略管理模块、审计/日志管理模块、证书模板管理模块、统计查询模块等。（3）RA 子系统：证书注册子系统，用于对接用户的注册信息，对用户信息进行审核。主要包括 RACA安全通讯模块、RA 管理终端模块、RA 业务终端模块、RA 后台服务模块、RACA 通讯接口模块。（4）面向应用接口：RA 接口模块、用户二次开发接口、统一安全通讯接口、统一报文编码解码接口、统一数据库访问接口。（5）加密硬件层：包括各种类型的加密设备。1.5 应用安全设计密钥管理中心中依附大量应用安全场景，与工业互 下转第102页102软 件第 44 卷 第 8 期SOFTWARE最大限度确保医院通信网络中数据信息的安全性。4 系统测试在通过上述方法完成了该系统的整体设计之后，为验证其实际应用效果，本次研究中，特对其主要应用性能进行了测试。具体测试中，特将该系统与某医院传统的通信网络安全信息化识别系统的识别响应时间及其识别准确率进行了对比。通过系统性能监测设备以及数据分析设备来进行实验数据的提取和分析，以此来确保实验监测质量。在对该系统性能进行测试之前，首先对测试现场的各项条件、测试系统以及各种测试设备进行了全面准备。在所有的准备工作就绪之后，将该医院的传统通信网络安全性信息化识别系统和本次设计的系统共同开启并使其投入运行。在两个系统运行一段时间之后，工作人员会随机以跨平台的形式发布一条信息处理指令，通过监测设备采集两个系统的命令完成情况，再通过数据分析设备对采集到的数据进行处理，使其以参数的形式被记录下来，并将其用作该系统性能测试中的关键数据。本次测试中，共通过 10 组试验来测试该系统和医院传统系统的识别响应时间及其识别准确率。经过试验检测结果发现，本次所设计的系统较传统系统具有更高的识别响应速度以及识别准确率，其 10 次测试中的识别响应时间平均值是 1.06s，传统系统的识别响应时间平均值是 2.68s；该系统的识别准确率平均值是96.37%，传统系统的识别准确率平均值是 83.41%。由此可见，该系统较医院传统通信网络安全信息化识别系统的性能更加优越，将该系统投入医院的通信网络中，可更好地满足其实际的网络信息安全保障需求。5 结语综上所述，在当今的信息化时代中，医院通信网络对于信息数据的安全性具有非常高的要求。为实现跨平台网络数据信息的实时采集、分析和共享，并有效保障各类信息的安全性，就需要对其网络安全信息化识别系统进行科学设计。在此过程中，设计者需结合医院通信网络的应用现状，根据其网络安全信息化识别方面的实际应用需求，通过合理的策略来设计该系统的硬件部分及其软件部分。这样才可以提升该系统的应用性能与应用效果，确保医院通信网络的安全性。参考文献1 刘莉.医院网络信息安全问题及对策研究J.无线互联科技,2022,19(16):160-162.2 臧璆,汪春亮.基于安全等级保护的医院网络安全优化方案实践J.医学信息学杂志,2022,43(3):79-83.3 韩翀.计算机信息技术在现代医院管理中的应用J.信息记录材料,2021,22(8):113-115.4 余佳伟.基于等级保护2.0的医院网络安全建设方案J.长江信息通信,2021,34(1):4-7.5 王佳,张昱.网络优化及通信安全技术分析J.计算机与网络,2020,46(22):53.6 胡红雨.基于等保2.0的医院门户网站网络安全防护实践J.电子技术与软件工程,2020(17):241-242.联网平台软件业务进行高度融合，在工业互联网平台软件接入安全管理、日志审计、监控告警等业务场景中，密钥管理中心起到至关重要的作用。在工业互联网平台软件与密钥管理中心进行相关交互操作时，利用黑白名单机制，将对工业互联网平台软件连入管理中心本身进行首次权限控制，作为是否接入安全管理中心的权限管理，对接密钥管理中心后，将对中心内具体业务接口进行二次权限控制，以保证工业互联网平台软件的细粒度权限划分机制，保证每一个工业互联网平台软件都是单独权限体系，并由安全管理中心统一对权限分配与管理。2 结论在企业接入云平台过程中，通过安全接入系统，能够实现接入软件的类型识别、权限控制等分类认证管控及云端服务安全保障功能，将商用密码与企业软件进行深度集成，实现企业接入云平台的软件安全。参考文献1 魏毅寅,柴旭东.工业互联网:技术与实践(第2版)M.北京:电子工业出版社,2021.2 邢彦辰.数据通信与计算机网络(第3版)M.北京:人民邮电出版社,2020.3 陈雪鸿.工业互联网安全防护与展望M.北京:电子工业出版社,2022.4GM/T 0044.3-2016 SM9 标识密码算法 第3部分:密钥交换协议S.中华人民共和国国家质量监督检验检疫总局,中国国家标准化管理委员会,2016.上接第94页