基于国密算法的航油工业控制系统安全解决方案

基于国密算法的航油工业掌握系统安全解决方案基于国密算法的航油工业掌握系统安全解决方案内容名目：随着两化深度融合，航油工业掌握系统的自动化运行和集成程度不断提高。航油工业掌握系统的安全以及稳定运行直接关系到人们的生命财产安全和强国建设，一旦消灭安全问题将影响航油供给的稳定性，甚至会给重大经济、人员、环境等涉及国计民生方面造成严峻后果。为了提升航油工业掌握系统安全，通过整理航油供给业务流程，分析航油工业掌握系统的功能与部署，针对梳理的航油工业掌握系统在安全方面存在的风险隐患，基于国产密码算法供给的安全防护功能，提出航油工业掌握系统安全解决方案，以增加系统的安全综合保内容名目：引言航油业务现状分析航油工业掌握系统安全需求分析基于密码技术的应用解决方案国密算法简介密码算法供给的常见安全功能机密性完整性真实性不行否认性基于电子门禁系统的物理访问掌握解决方案基于视频监控系统的环境安全增加解决方案基于工业防火墙的通信网络安全解决方案基于密码技术的PLC固件完整性和真实性解决方案基于动态口令的身份认证解决方案应用数据传输安全４结语正文：正文：０、引 言封闭转向开放，生产过程从自动化转向智能化。此外，工业掌握系统加速渗透，攻击手段简单多样。202374.2电，还有多人被困电梯。20239Kudankulam行。20234EDP高度重视工业掌握系统安全并实行了各种举措。依据《网络安全法》，主管机构公布了一系列法规、政策、战略草公布《关键信息根底设施安全保护条例》，两办202336〔2023—2023〕[2023]4全和经济进展中发挥着重要作用等。航油工业掌握系统的安全和稳定运行直接关系到人们的生命财的稳定性，并给国民经济和生产带来严峻后果。迪亚国家试验室〔SandiaNationalLabs，SNL〕成立数据采集和监视掌握系统〔SupervisoryControlAndDataAcquisition，SCADA〕安全争论中心来争论工控系统安全。2023〔NationalInstituteofNISTSP800-82《工业掌握系统安全指南》。业标准，分析其体系框架和安全技术要求。Tidrea信平台模块TPMModbusTCP、DNP3S7安全性问题。Parvez等人以SCADA基于SCADAAGA12DukaAES、SHA1、HMAC-SHA1、SpeckSimon〕的应用程序，以保障建立牢靠可信的掌握信道。全保障力量。本文组织如下：1的业务流程；2需求；3系统的安全性增加方案；最终，总结全文。１、航油业务现状分析供给的根底。从中转油库中转，然后通过铁路、大路、水上运输或油料管道输送到其通过飞机的专用加油车运输到飞机。自动化掌握系统以及航空加油站加油自动化掌握系统等，如图1。供给地通过铁路、大路、水路或油料管道将供给的航空油料输送到，通过航空加油站、专用的飞机加油车等输送到飞机上。1航油输送示意国沿海码头，然后通过中转运输至各个机场。机场承受的主要运输方式。大路运输投资小，运输敏捷，适合短途运运输一次性容量大、本钱低，但受地理限制较多，主要保障国内沿海机场的用油。管道运输受到天气影响小，本钱低廉，安全牢靠，还可以消退重复装卸，但初期投资大、本钱高，因此管道运输多用于国内大中型机场的短途运输。场油库，具有接收、储存、沉降、加注及油品质量检查等功能。中转油库从铁路、水路、大路或输油管道接收来油，是为机场油库转输油的场所。机场油库为机坪管线加油系统供油和罐式加油车装油。例如，上海虹桥机场和浦东机场的航油供给模式为综合承受油加油或通过航空加油站的加油罐车给机位加油。业务包括使用油库、中转油库、卸油站油库、供给站油库以及中心油库相关的业务。实际的业务角度来看，此类站掌握系统被归类为与管道相关的效劳。其他典型网络拓扑主要包括单一的上位机通过交换机连接PLC，但是在这类拓扑中有可能存在两种状况，即交换机上连接多个PLC或一个PLC。另外，该类拓扑有可能存在上联的办公网，也可以是独立的生产网络。２、航油工业掌握系统安全需求分析系统中使用的协议包括工业掌握协议和常见的TCP/IP式在网络中传递。证和加密机制，且无视了消息完整性验证机制。例如，Modbus没有身份验证机制，只需要合法的ModbusModbus网络协议一般选择EtherNet/IPModbus/TCP航油工业掌握系统的以太网承受了诸如TCP/IP种攻击〔如DDoS〕并收集系统信息供给了可乘之机。航油工业间的基于专用通信协议〔如Modbus、ProfiBus〕的通信，但缺乏协议的数据包，如MODBUS、S7、FINS以及EGD的通信行为。同时，在进展掌握指令或交换相关数据时，承受加密、认证等手整性、真实性和机密性。在航油工业掌握系统层次构造中，顶层的航3因此必需限制在企业网络SCADA份认证和访问掌握。4系统、油库供油自动化系统以及航空加油站加油自动化掌握系统，与企业其他系统〔如企业治理信息系统〕之间应当划分为不同的区域。WAN治理、权限治理等地方也存在缺陷。术的安全保护功能，如身份验证、权限掌握等。航油工业掌握系统使用的操作系统和应用程序正在逐步与IT的ITIT是，IT工控系统效劳连续性产生较大影响。３、基于密码技术的应用解决方案国密算法简介ZUC、分组密码算法SM4、杂凑密码算法SM3SM2和SM9128bits128bits128bits32bitsZUC202393GPP国的ZUCAES、SNOW3G4G标准。SM4128bits128bits，加32加密和解密使用完全一样的构造，解密时只需倒置密钥的挨次。因此，相比AESSM4SM420232023SM3M-D256bitsSHA256SM3SM3202320232023SM2验签和密钥协商功能。SM2256bits与RSASM2及签名速度快等优点。该算法已于20232023年被ISOSM9钥根底设施PKIPKISM92023ISO将SM9密码算法供给的常见安全功能4性、数据的完整性和行为的不行否认性。机密性对称密码算法SM4SM2、SM9的机密性保护。相比之下，SM2SM9；SM4SM2SM9以为SM4SM4Maurer通用统计检测等。完整性数据完整性保护的实现方式一般为SM2、SM9消息鉴别码MACSM4算法的CMAC-SM4、CCM-SM4GMAC-SM4SM3HMAC-SM3。SM3HMAC-SM3MAC保护的机制：消息发送者发送消息，并通过共享密钥计算MAC〔如HMAC-SMMACSM2/SM9SM2/SM9名验证功能，验证收到消息的完整性。真实性SM4和解密，并使用挑战&应答机制来抵抗重放攻击，假设验证者成功解密该消息，则信任消息来自声称者。基于SM2/SM9验证通过，则信任声称者是本人。不行否认性议的证据。基于电子门禁系统的物理访问掌握解决方案电子门禁系统是实现物理访问掌握安全最常见最有效的手段之一。密码行业标准GM/T0036统，规定了系统中使用的密码设备、密码算法、密码协议和密钥治理禁卡等构成。该系统的内部安全保护由每个组件内的密码模块供给，22电子门禁系统组成电子门禁系统的门禁卡和读卡器/后台治理系统中具有内置的安全模1和用于MCU1和用于22第3步：门禁卡内部用存在卡片中的卡密钥 对该随机数用SM4算法做加密运算，并将计算得到的结果 并回发给读卡器。4步：读卡器传送、、4步：读卡器传送、、和到后台治理系统。〔2〕计算门禁卡的卡密钥，即对和〔2〕计算门禁卡的卡密钥，即对和等分散因子以及保存在安全模块中的系统根密钥 ，使用基于SM4的密钥导出函数SM4-KDF算法分散得到门禁卡的卡密钥 ：用此卡密钥计算鉴别信息，即计算：比较鉴别值。假设 ，则对门禁卡的身份鉴别正确，否则鉴别不通过。假设以上鉴别通过，则发出开门信息到门禁执行机构开门，同时产生下一次门禁读卡器用于身份鉴别的随机数，并同 地篡改、删除、替换，电子门禁系统进出记录可以使用消息鉴别码或数字签名技术进展保护〔3.2〕。基于视频监控系统的环境安全增加解决方案增加物理环境安全。国家标准GB351143是ABCA验视频内容是否遭到篡改，到达对视频内容加密保护的目的。BC并且将视频监控系统所使用的密码算法配置为符合相关国家标准和行业标准的密码算法，如SM和密码保护功能的有效性。基于工业防火墙的通信网络安全解决方案供油自动化系统以及航空加油站加油自动化掌握系统到达通信网络安全的边界隔离、边界防护、通信传输安全等需求，中国航油工业防火墙以TCP/IP航油工控系统正常运转。33工业防火墙部署构造证系统实现了用户的认证、授权、记帐功能。认证掌握效劳器支持多持SM防火墙访问系统网络的接入设备，如操作员站等。认证和基于商用密码算法的数据加密。商用密码算法身份认证主要是指通过使用SM2SM2使用SM4〔3.2〕。虚拟专用网承受IPSecVPN/网关两种模式，满足相关的国密技术标准GM/T0022—2023《IPSecVPN了ESPAHKEIPsecVPN化治理，支持协议和端口安全策略配置，支持对选定工业协议加密。OPCModbus/TCPDNP3S7、FF、Profinet/IO、Ethernet/IP、IEC104、IEC61850FINS议进展深度检测。应用层主要侧重于检测连接中使用的特定协议内OPC与MODBUSIPICMPTCP和UDPMACIP最直接的网络安全保障。基于密码技术的PLC固件完整性和真实性解决方案航油工业掌握系统内涉及大量的PLC。这些PLCPLCSM2/SM9MACPLCPLCSM2签名或者使用HMAC-SM3假设签名验证失败或者消息鉴别码的结果不等于之前生成的结果，则验证失败并使PLCSM2签名，也可以包括多个局部签名。需要指出的是，局部签名中的任何一个签名验证失败都应导致PLCPLC包来源的真实性和合法性，可对PLCSM2PLC级，否则丢弃此固件包。基于动态口令的身份认证解决方案子的鉴别技术或多种因子组合的鉴别技术对用户进展身份进展认证，如口令密码、USB-key、动态口令、安全问题、指纹以及虹膜等，且其中一种鉴别技术最好使用密码技术来实现。1min试身份鉴别方案的成功概率不大于百万分之一，1min的成功概率不大于十万分之一。动态口令基于SM4或SM31T、大事因子C、挑战因子Q128bitsID2IDK起作为密码算法输入。假设密码算法选用SM4，则执行加密方案SM4-OTPS。SM4-OTPCBC-MACCBC-MAC承受加法