[發明專利]一種工業控制系統的安全認證方法及設備

有效

• 申請號: 202011495047.1
• 申請日: 2020-12-17
• 公開（公告）號: CN112650172B
• 公開（公告）日: 2021-08-20
• 發明（設計）人: 趙慧奇;李峰;張儉鋒;王紹密;和希文
• 申請（專利權）人: 山東云天安全技術有限公司
• 主分類號: G05B19/418
• 分類號: G05B19/418
• 代理公司: 濟南千慧專利事務所(普通合伙企業) 37232
• 代理人: 趙長林

本申請公開了一種工業控制系統的安全認證方法及設備，方法包括：生產管理主機獲取其對應的現場設備的特征信息，根據特征信息以及預存的校驗碼生成算法，離線生成第一校驗碼；向現場設備發送請求校驗指令，并接收來自所述現場設備在線生成并發送的第二校驗碼；將第一校驗碼與第二校驗碼進行比對，得到比對結果，若比對結果一致，則認證成功，并向現場設備發送控制指令，控制指令包括動作指令、密鑰，以便現場設備對密鑰進行認證，若密鑰與現場設備預存的密鑰一致，則執行動作指令。通過對現場設備進行初始化認證，可以保證對接到正確的現場設備，同時，本申請可以對通訊中的密鑰進行更新，提高了工業控制系統的安全性。

技術領域

本申請涉及工業控制系統安全領域，尤其涉及一種工業控制系統的安全認證方法及設備。

背景技術

工業控制系統(IndustrialControl System，ICS)通常使用ModbusSerial協議進行通信。然而隨著網絡的普及，ICS也逐漸互聯網化，產生了Modbus-TCP協議，即通過Modbus和TCP協議相結合來發送和接收Modbus Serial數據。但由于Modbus協議在設計之初并未考慮安全問題，一旦被攻擊，將沒有任何抵抗手段，嚴重影響正常的生產活動，甚至危及人身安全、造成財產損失。

現有的ICS中的現場設備更換率高，而生產管理主機，在向現場設備下達控制指令之前沒有初始認證過程，容易發生指令下達出錯的情況。同時，在現有技術中，通過將流控制傳輸協議(SCTP)和Modbus協議結合并附加消息驗證碼，生成Modbus認證方案，雖然SCTP本身對拒絕服務攻擊、中間人攻擊具有良好的防御力，但是該認證方案為對稱加密認證結構，密鑰單一，容易破解，且密鑰更新不及時，容易導致重放攻擊，難以保證工業控制系統的數據安全，導致生產作業產生難以挽回的損失。

發明內容

為了解決接入互聯網的工業控制系統安全性差、易被攻擊、無法對現場設備進行初始驗證，以及加密通訊中的密鑰單一、容易破解且更新不及時的問題，本申請提出了一種工業控制系統的安全認證方法及設備.

第一方面，本申請實施例提出了一種工業控制系統的安全認證。生產管理主機獲取其對應的現場設備的特征信息，所述特征信息至少包括以下任意一項或多項：設備的地理位置信息、設備編號，所述特征信息預存在所述生產管理主機中；根據所述特征信息以及預存的校驗碼生成算法，生成第一校驗碼，所述第一校驗碼是離線生成的；向所述現場設備發送請求校驗指令，并接收來自所述現場設備發送的第二校驗碼，所述第二校驗碼是所述現場設備根據所述特征信息以及所述校驗碼生成算法在線生成的，所述特征信息以及所述校驗碼生成算法預存在所述現場設備中；將所述第一校驗碼與所述第二校驗碼進行比對，得到比對結果，若所述比對結果一致，則認證成功，并向所述現場設備發送控制指令，所述控制指令包括動作指令、密鑰，以便所述現場設備對所述密鑰進行認證，若所述密鑰與所述現場設備預存的密鑰一致，則執行所述動作指令；所述動作指令用于執行對所述現場設備的操作任務。

在一個示例中，向所述現場設備發送控制指令之前，所述方法還包括：所述生產管理主機獲取所述現場設備上次執行動作指令的時間與當前時間的時間間隔，若所述時間間隔超出第一時間閾值，則更新密鑰，并將更新后的秘鑰同步至所述現場設備，其中，所述第一時間閾值預存在所述生產管理主機中。

在一個示例中，所述更新密鑰，并將更新后的秘鑰同步至所述現場設備，具體包括：所述生產管理主機向所述現場設備發送密鑰更新指令；所述現場設備向所述生產管理主機發送第一隨機數；所述生產管理主機根據第一哈希函數對所述第一隨機數進行哈希計算，將計算結果作為驗證數值；隨機選取三組三位數，并根據預存的密鑰生成算法對所述三組三位數進行處理，得到更新后的密鑰；將所述驗證數值以及三組三位數，發送至所述現場設備；所述現場設備根據所述第一哈希函數對所述第一隨機數進行哈希計算，若計算結果與所述驗證數值一致，則根據預存的所述密鑰生成算法對所述三組三位數進行處理，得到所述更新后的密鑰。