基于国产标识密码算法的身份认证技术在油田工业控制系统的应用

李伟

摘要：依据油田工业控制系统的实际情况，采用基于标识密码技术进行身份认证，能够较好的兼顾系统的安全性和易用性。本方案基于标识管理系统，结合标识密码机进行整体系统的密钥生成、分发以及统一的密钥管理设计，并搭建一套原型系统，对基于标识密码技术的身份认证方案进行了验证，实现油田工业控制系统对终端的身份认证。

关键词：工业控制系统;标识密码;身份认证

1     引言

根據目前的油田工业控制系统的实际应用情况，使用口令密码、生物身份识别技术、传统PKI体系部署管理等方式会造成系统安全性较低、大部分终端不满足条件以及架构形式过于复杂等缺陷。采用基于标识密码技术进行身份认证，可以很好的兼顾系统易用性和安全性，而入网过程是进行身份认证的合适时机，故本方案基于标识管理系统，结合符合国家标准的标识密码机进行整体系统的密钥生成、分发以及统一的密钥管理设计，并基于该过程建立安全传输通道，进行访问控制，完成油田工业控制系统中基于标识密码技术的身份认证方案。同时，部署搭建一套原型系统进行软件开发，以验证身份认证系统的效果和性能，试验结果表明可以满足油田工业控制系统实际需要，保证了对终端的身份认证安全。

2     身份认证技术介绍

身份认证技术是能够对信息的收发方进行真实身份鉴别的技术，其基本思想是同构验证被认证对象的属性来达到被认证对象是否真实有效的目的。用以识别、验证网络信息系统中用户身份的合法性和真实性和抗抵赖性[1]。常见的身份认证方法有：基于口令识别身份方法;基于智能卡、令牌的鉴别方法;基于PKI数字证书的鉴别方法;基于生物特征的鉴别方法等。其中，口令认证是最常用的方式，具有静态口令和动态口令两种方式;令牌、智能卡是一种内置集成电路芯片，用来保存与用户身份相关的资料数据;数字证书是利用可信第三方来证明用户的身份;生物特征认证则以人体生物特征为依据，采用计算机的强大功能和网络技术进行图像处理、分类和模式识别，其具有唯一性、可靠性和稳定性。

2.1  新型生物身份认证技术

生物身份认证技术，主要是人体特征。新型身份认证技术不同于传统的生物身份认证，其以使用者大量日常行为为基础来判定使用者身份的一种认证技术。身份认证安全系统就对使用者的行为习惯进行跟踪记录，建立起使用者行为身份模型，当使用者的行为与系统模型不匹配时，安全系统能及时发现，并发出警报甚至终止当前使用者的权限。

2.2  IBE身份认证技术

IBE身份认证技术是将使用者现有公开的一些数字资源作为公钥加密的方式。IBE不需要使用者获取第三方的公钥证书，能够直接使用对方的数字标识已完成身份信息加密，这种方式降低了身份认证的步骤，为使用者提供了极大的便利。IBE加密基于椭圆曲线离散对数，使用椭圆曲线加密算法，使获得的密钥更安全且长度更短。减少了对公钥证书的依赖，简化了身份认证的步骤，不只方便了使用者，也减轻了服务器为密码运算的压力[2]。

2.4国产标识密码技术的身份认证

SM9是我国最新发布的标识密码算法，即IBC体系算法。IBC体系是在传统的PKI体系基础上发展而来，由以色列密码学家沙米尔在1984年提出，2006年我国颁发算法型号SM9，2017年，我国SM2与SM9数字签名算法成为ISO/IEC国际标准[3]。在IBC体系中，通过每个人的唯一标识结合主密钥和公共参数就可以为每个用户创建唯一的私钥，管理员只需要管理主密钥、公共参数即可，极大地简化了密钥的管理，IBC体系中的密钥管理只包括密钥产生和密钥更新。因此，IBC体系除了PKI体系的技术优点外，主要解决了在具体安全应用中PKI体系需要大量交换数字证书的问题，使安全应用更加易于使用和部署[4]。

在油田工业控制系统中，结合标识密码技术能够很好的解决传统认证方案所带来的问题，是目前工控系统信息安全方案设计中较为普遍的选择。

3     基于标识密码的油田工业控制系统身份认证方案

3.1  方案架构

在服务端部署标识密码机、标识管理平台和安全接入系统的服务器端，标识密码机采用支持国密SM9算法的高性能密码机，标识管理平台根据工控系统需要进行设计开发，负责完成整个系统的密钥进行生成、分发、管理等操作。安全接入网关服务器基于标识密码技术进行设计，对终端进行身份认证并提供安全接入服务。各终端通过集成安全中间件获得身份认证和安全接入的能力。通过基于SM9标识密码技术的身份认证、密钥协商、数据加解密，保障系统的安全。

3.2  实现功能

本方案可实现工控终端与服务端之间的身份认证、通讯加密、安全组网等。由于基于标识的密码体系通过标识即可得出公钥，不再依赖预存大量证书和第三方权威机构来验证公钥，还可以实现两个终端设备之间离线的身份认证，提升了现场检修时的便利性和安全性。采用基于标识密码技术的安全传输协议，在工控终端与服务端采集设备之间建立专用网络连接，利用数字签名技术确认双方身份正确，使用国密密钥交换协议进行对称算法会话密钥协商，实现业务数据的加密安全传输。还可支持终端间的离线认证。

3.3  基于标识密码技术的身份认证系统原型设计与开发

为了验证油田工业控制系统中基于标识密码技术的身份认证方案，按上文所述方案进行软件开发，部署搭建一套原型系统，以验证身份认证系统的效果和性能是否可以满足实际需要。

3.3.1      开发成果

基于linux系统研发了标识管理平台软件，通过与标识密码机交互，调用标识密码机应用接口完成标识密码系统的初始化、标识私钥的生成等操作;对外提供密钥安全下载等功能;提供Web管理页面让管理者对系统内的密钥进行统一管理，对终端可按照所属片区、矿井、组织单位等进行统一管理。并对密钥分发、终端接入、系统管理等操作进行详细的日志记录，提供安全审计功能。

3.3.2      实现效果

在服务端部署了一套原型系统并在各类终端进行了安全中间件的集成后，对系统功能进行了测试。终端可以与服务端实现基于标识密码算法的身份认证并建立起安全传输通道，服务端安全接入网关每秒可完成约8000余次新建连接请求，并可进行水平扩容，性能已可以满足当前一般工控系统的需要。

4     结论

采用基于安全传输协议的云安全接入技术来实现专用网络加密传输，通过基于标识密码算法、高效的传输层安全协议，利用TCP、UDP的传输机制，对TCP会话、链路协议、IP数据、UDP报文的保护后传递。采用多框架密钥交换协议和基于标识的密码技术，结合网络封包代理、截获技术，实现远程访问用户的身份认证和远程数据的加密传输。

针对油田工业控制系统终端的实际情况，开发了三种安全中间件，分别为安全模组、安全密码中间件、安全接入设备三种类型，安全模组为硬件模组，内置安全芯片和通讯模组，实现密钥的安全存储、密码运算和与服务端建立安全通道，对外提供API接口，适用于可集成硬件的终端，安全性最高。安全密码中间件为软件开发包，适配各类系统，内置算法库，终端集成库文件后，通过功能接口实现密码功能，适用于具备软件集成条件的终端。安全接入设备为小型设备，通过数据拦截和重定向技术，对终端实现透明传输，并与服务端进行身份认证建立安全传输通道，适用于集成能力低的终端。

参考文献：

[1]   袁峰，程朝辉.SM9标识密码算法综述[J].信息安全研究，2016，2（11）：1008-1027.

[2]   胡杰.SM9密钥管理机制研究[D].华中科技大学，2019.