《工業(yè)互聯(lián)網(wǎng)安全技術(shù)基礎(chǔ)》課件- 33-加密技術(shù)和身份認(rèn)證

IndustrialInternetsecuritytechnologyfoundation工業(yè)互聯(lián)網(wǎng)安全技術(shù)基礎(chǔ)《工業(yè)互聯(lián)網(wǎng)安全技術(shù)基礎(chǔ)》課程組第4章工控網(wǎng)絡(luò)安全技術(shù)加密技術(shù)和身份認(rèn)證010203工控系統(tǒng)身份認(rèn)證工控訪問(wèn)控制工控傳輸加密機(jī)目錄1.身份認(rèn)證基本概念身份認(rèn)證是指在兩方或多方參與的信息交互中，參與者中的一方對(duì)其余各方（自稱的或未說(shuō)明的）身份的判斷與確認(rèn)，其主要目的是防止偽裝。利用身份認(rèn)證可以將對(duì)資源的訪問(wèn)權(quán)利與特定的身份進(jìn)行連接，因此身份認(rèn)證通常是安全系統(tǒng)中的第一道關(guān)卡，用戶在訪問(wèn)安全系統(tǒng)之前，首先經(jīng)過(guò)身份認(rèn)證系統(tǒng)識(shí)別身份，然后訪問(wèn)監(jiān)控器根據(jù)用戶的身份和授權(quán)數(shù)據(jù)庫(kù)決定用戶是否能夠訪問(wèn)某個(gè)資源。一、身份認(rèn)證1.身份認(rèn)證基本概念身份認(rèn)證協(xié)議的一般模型：一、身份認(rèn)證1.身份認(rèn)證基本概念身份認(rèn)證實(shí)現(xiàn)的一般途徑：基于你所知道的（Whatyouknow）知識(shí)、口令、密碼基于你所擁有的（Whatyouhave）身份證、信用卡、鑰匙、智能卡、令牌等基于你的個(gè)人特征（Whatyouare）指紋，筆跡，聲音，手型，臉型，視網(wǎng)膜，虹膜雙因素、多因素認(rèn)證一、身份認(rèn)證2.傳統(tǒng)常用的身份認(rèn)證技術(shù)/協(xié)議簡(jiǎn)單口令認(rèn)證質(zhì)詢/響應(yīng)認(rèn)證一次性口令認(rèn)證（OTP）Kerberos認(rèn)證基于公鑰證書的身份認(rèn)證基于生物特征的身份認(rèn)證一、身份認(rèn)證3.工控系統(tǒng)身份認(rèn)證必要性身份認(rèn)證是工業(yè)控制系統(tǒng)操作指令安全執(zhí)行的前提，其目的是確認(rèn)操作者身份的合法性，確定該用戶是否具有對(duì)某種資源的訪問(wèn)和使用權(quán)限，從而使工業(yè)控制系統(tǒng)的訪問(wèn)策略、操作行為合規(guī)合法身份認(rèn)證機(jī)制失效，易出現(xiàn)身份冒認(rèn)，非法訪問(wèn)等行為，進(jìn)而對(duì)工業(yè)生產(chǎn)的正常運(yùn)行造成威脅，因此必須建立嚴(yán)格的身份認(rèn)證機(jī)制工業(yè)企業(yè)應(yīng)加強(qiáng)工業(yè)控制系統(tǒng)的安全身份認(rèn)證措施，防止攻擊者假冒合法用戶獲得訪間權(quán)限一、身份認(rèn)證身份冒認(rèn)非法訪問(wèn)系統(tǒng)破壞4.工控PLC互連身份認(rèn)證分類一、身份認(rèn)證簡(jiǎn)易挑戰(zhàn)／應(yīng)答認(rèn)證機(jī)制基于密碼學(xué)的認(rèn)證機(jī)制無(wú)認(rèn)證機(jī)制5.工控系統(tǒng)身份認(rèn)證指南工業(yè)和信息化部關(guān)于印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》（一）在工業(yè)主機(jī)登錄、應(yīng)用服務(wù)資源訪問(wèn)、工業(yè)云平臺(tái)訪問(wèn)等過(guò)程中使用身份認(rèn)證管理。對(duì)于關(guān)鍵設(shè)備、系統(tǒng)和平臺(tái)的訪問(wèn)采用多因素認(rèn)證。一、身份認(rèn)證身份鑒別角色判定權(quán)限分配多因素認(rèn)證關(guān)鍵設(shè)備主機(jī)登錄、應(yīng)用服務(wù)訪問(wèn)、工業(yè)云平臺(tái)訪問(wèn)等5.工控系統(tǒng)身份認(rèn)證指南工業(yè)和信息化部關(guān)于印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》（二）合理分類設(shè)置賬戶權(quán)限，以最小特權(quán)原則分配賬戶權(quán)限。一、身份認(rèn)證依據(jù)崗位設(shè)置不同賬號(hào)工程師賬號(hào)

操作員賬號(hào)…...建立維護(hù)用戶權(quán)限清單及時(shí)更新賬戶權(quán)限定期審計(jì)和清除賬號(hào)權(quán)限5.工控系統(tǒng)身份認(rèn)證指南工業(yè)和信息化部關(guān)于印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》強(qiáng)化工業(yè)控制設(shè)備、SCADA軟件、工業(yè)通信設(shè)備等的登錄賬戶及密碼，避免使用默認(rèn)口令或弱口令，定期更新口令一、身份認(rèn)證遵循信息安全相關(guān)口令設(shè)置規(guī)則設(shè)定不同強(qiáng)度口令定期口令重置更新避免弱口令5.工控系統(tǒng)身份認(rèn)證指南工業(yè)和信息化部關(guān)于印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》（四）加強(qiáng)對(duì)身份認(rèn)證證書信息保護(hù)力度，禁止在不同系統(tǒng)和網(wǎng)絡(luò)環(huán)境下共享。如采用安全介質(zhì)存儲(chǔ)證書信息，對(duì)證書的申請(qǐng)、發(fā)放、傳遞、使用、吊銷等過(guò)程通過(guò)技術(shù)手段嚴(yán)格控制，保證不同系統(tǒng)和網(wǎng)絡(luò)環(huán)境下禁止使用相同的身份認(rèn)證證書信息，減小證書暴露后對(duì)系統(tǒng)和網(wǎng)絡(luò)的影響。同時(shí)禁止證書的跨網(wǎng)共享，即在不同系統(tǒng)和網(wǎng)絡(luò)環(huán)境下禁止共享或傳遞證書信息，以最大限度維護(hù)證書的私密性和安全性，進(jìn)而保證身份認(rèn)證的安全性。一、身份認(rèn)證1.工控訪問(wèn)控制重要性訪問(wèn)控制在信息安全防護(hù)過(guò)程中起到了重要的作用，國(guó)家等保標(biāo)準(zhǔn)規(guī)范《信息安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》(GB/T25070-2010)的四級(jí)要求分別在“安全計(jì)算環(huán)境”和“網(wǎng)絡(luò)區(qū)域邊界”中闡述了訪問(wèn)控制的要求。二、工控訪問(wèn)控制2.訪問(wèn)控制安全策略模型BLP安全策略模型在1973年提出，被證明是完整和有效地解決計(jì)算機(jī)數(shù)據(jù)保密性問(wèn)題的策略模型。BLP是一個(gè)定義多個(gè)級(jí)別的安全策略模型，重點(diǎn)解決數(shù)據(jù)保密性問(wèn)題。BLP模型分別定義了主體和客體安全級(jí)別，然后對(duì)主體和客體的不同級(jí)別定義其安全策略。二、工控訪問(wèn)控制2.訪問(wèn)控制安全策略模型1977年，為了適應(yīng)數(shù)據(jù)的完整性需求產(chǎn)生了Biba安全策略模型，Biba安全策略模型的實(shí)現(xiàn)原理和BLP基本相似，也是將系統(tǒng)中的主體與客體資源劃分成不同的安全級(jí)別，然后定義主體和客體不同級(jí)別的訪問(wèn)控制權(quán)限。Biba的安全策略的模型的基本實(shí)現(xiàn)原理是“上寫下讀”，如下圖所示，詳細(xì)地描述了主體和客體的讀寫訪問(wèn)控制權(quán)限。二、工控訪問(wèn)控制1.支持工控協(xié)議的傳輸加密方法及系統(tǒng)與流程（發(fā)明）本發(fā)明涉及工控?cái)?shù)據(jù)加密技術(shù)領(lǐng)域，尤其是涉及一種支持工控協(xié)議的傳輸加密方法及系統(tǒng)三、工控加密機(jī)2.一種適用于工業(yè)控制系統(tǒng)的加密傳輸方案物聯(lián)網(wǎng)(IoT)、云計(jì)算等信息技術(shù)與工業(yè)控制系統(tǒng)(ICS)的整合，工業(yè)數(shù)據(jù)的安全正面臨著極大風(fēng)險(xiǎn)。為了能在這樣一個(gè)復(fù)雜的分布式環(huán)境中保護(hù)數(shù)據(jù)的機(jī)密性和完整性，該文采用基于屬性的加密(ABE)算法，設(shè)計(jì)一種集數(shù)據(jù)加密、訪問(wèn)控制、解密外包、數(shù)據(jù)驗(yàn)證為一體的通信方案，同時(shí)具有密文長(zhǎng)度恒定的特點(diǎn)[1]