《工业互联网安全技术基础》课件- 33-加密技术和身份认证

IndustrialInternetsecuritytechnologyfoundation工业互联网安全技术基础《工业互联网安全技术基础》课程组第4章工控网络安全技术加密技术和身份认证010203工控系统身份认证工控访问控制工控传输加密机目录1.身份认证基本概念身份认证是指在两方或多方参与的信息交互中，参与者中的一方对其余各方（自称的或未说明的）身份的判断与确认，其主要目的是防止伪装。利用身份认证可以将对资源的访问权利与特定的身份进行连接，因此身份认证通常是安全系统中的第一道关卡，用户在访问安全系统之前，首先经过身份认证系统识别身份，然后访问监控器根据用户的身份和授权数据库决定用户是否能够访问某个资源。一、身份认证1.身份认证基本概念身份认证协议的一般模型：一、身份认证1.身份认证基本概念身份认证实现的一般途径：基于你所知道的（Whatyouknow）知识、口令、密码基于你所拥有的（Whatyouhave）身份证、信用卡、钥匙、智能卡、令牌等基于你的个人特征（Whatyouare）指纹，笔迹，声音，手型，脸型，视网膜，虹膜双因素、多因素认证一、身份认证2.传统常用的身份认证技术/协议简单口令认证质询/响应认证一次性口令认证（OTP）Kerberos认证基于公钥证书的身份认证基于生物特征的身份认证一、身份认证3.工控系统身份认证必要性身份认证是工业控制系统操作指令安全执行的前提，其目的是确认操作者身份的合法性，确定该用户是否具有对某种资源的访问和使用权限，从而使工业控制系统的访问策略、操作行为合规合法身份认证机制失效，易出现身份冒认，非法访问等行为，进而对工业生产的正常运行造成威胁，因此必须建立严格的身份认证机制工业企业应加强工业控制系统的安全身份认证措施，防止攻击者假冒合法用户获得访间权限一、身份认证身份冒认非法访问系统破坏4.工控PLC互连身份认证分类一、身份认证简易挑战／应答认证机制基于密码学的认证机制无认证机制5.工控系统身份认证指南工业和信息化部关于印发《工业控制系统信息安全防护指南》（一）在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。对于关键设备、系统和平台的访问采用多因素认证。一、身份认证身份鉴别角色判定权限分配多因素认证关键设备主机登录、应用服务访问、工业云平台访问等5.工控系统身份认证指南工业和信息化部关于印发《工业控制系统信息安全防护指南》（二）合理分类设置账户权限，以最小特权原则分配账户权限。一、身份认证依据岗位设置不同账号工程师账号

操作员账号…...建立维护用户权限清单及时更新账户权限定期审计和清除账号权限5.工控系统身份认证指南工业和信息化部关于印发《工业控制系统信息安全防护指南》强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码，避免使用默认口令或弱口令，定期更新口令一、身份认证遵循信息安全相关口令设置规则设定不同强度口令定期口令重置更新避免弱口令5.工控系统身份认证指南工业和信息化部关于印发《工业控制系统信息安全防护指南》（四）加强对身份认证证书信息保护力度，禁止在不同系统和网络环境下共享。如采用安全介质存储证书信息，对证书的申请、发放、传递、使用、吊销等过程通过技术手段严格控制，保证不同系统和网络环境下禁止使用相同的身份认证证书信息，减小证书暴露后对系统和网络的影响。同时禁止证书的跨网共享，即在不同系统和网络环境下禁止共享或传递证书信息，以最大限度维护证书的私密性和安全性，进而保证身份认证的安全性。一、身份认证1.工控访问控制重要性访问控制在信息安全防护过程中起到了重要的作用，国家等保标准规范《信息安全等级保护安全设计技术要求》(GB/T25070-2010)的四级要求分别在“安全计算环境”和“网络区域边界”中阐述了访问控制的要求。二、工控访问控制2.访问控制安全策略模型BLP安全策略模型在1973年提出，被证明是完整和有效地解决计算机数据保密性问题的策略模型。BLP是一个定义多个级别的安全策略模型，重点解决数据保密性问题。BLP模型分别定义了主体和客体安全级别，然后对主体和客体的不同级别定义其安全策略。二、工控访问控制2.访问控制安全策略模型1977年，为了适应数据的完整性需求产生了Biba安全策略模型，Biba安全策略模型的实现原理和BLP基本相似，也是将系统中的主体与客体资源划分成不同的安全级别，然后定义主体和客体不同级别的访问控制权限。Biba的安全策略的模型的基本实现原理是“上写下读”，如下图所示，详细地描述了主体和客体的读写访问控制权限。二、工控访问控制1.支持工控协议的传输加密方法及系统与流程（发明）本发明涉及工控数据加密技术领域，尤其是涉及一种支持工控协议的传输加密方法及系统三、工控加密机2.一种适用于工业控制系统的加密传输方案物联网(IoT)、云计算等信息技术与工业控制系统(ICS)的整合，工业数据的安全正面临着极大风险。为了能在这样一个复杂的分布式环境中保护数据的机密性和完整性，该文采用基于属性的加密(ABE)算法，设计一种集数据加密、访问控制、解密外包、数据验证为一体的通信方案，同时具有密文长度恒定的特点[1]