工業控制系統商用密碼應用研究分析

周睿康，黃晶晶，李鈺嘉，劉碩

（中國電子技術標準化研究院，北京 100007）

0 引言

當前，新一代信息技術被廣泛應用于工業領域，全球制造業發展逐步轉向數字化、網絡化和智能化。在此背景下，復雜多元的網絡環境使工業控制系統面臨著迥異以往的嚴峻挑戰。本文系統分析了工業領域重點行業工控系統密碼應用情況和存在的問題，結合國家政策標準要求，從設備安全、主機安全、網絡邊界安全、軟件安全、數據安全等方面明確了商用密碼的應用要點，并提出了密碼應用有效性檢驗方法。

1 工控領域商用密碼應用加速啟動

在工業自動化發展的歷史進程中，實時性、可靠性一直是工業控制系統設計研發和集成應用的重中之重。但對于身份認證、數據加密、信息完整性度量等基于密碼技術的安全措施，工業控制系統往往鮮有涉及。研究顯示[1]，2010年伊朗核設施遭震網病毒攻擊、2016年烏克蘭電力系統運行中斷，以及2019年挪威鋁業感染勒索病毒等重大工控安全事件的主要原因均為涉事企業工業控制系統未采取安全認證、加密和度量等必要安全防護策略。密碼應用已成為企業工控安全技術防護體系建設的短板。

1.1 美國啟動工控領域密碼應用

2020年，全球工控安全的整體形勢依然十分嚴峻。據德勤公司2020年保護關鍵信息基礎設施調查報告顯示，新式勒索病毒（NotPetya）在全球肆虐，已造成超過10億美元的經濟損失。為應對工控安全威脅，2020年1月美國防部發布網絡安全成熟度模型認證（CMMC）文件，指導關鍵信息基礎設施運營者利用密碼技術開展身份鑒別、安全認證和數據加密，強化工控安全防護能力。美國國家標準與技術研究院（NIST）依托信息技術實驗室（ITL），一方面開發了《智能電網網絡安全框架概要》等關鍵信息基礎設施安全解決方案；另一方面，支撐美商務部研發了密碼應用系列標準（FIPS 140），加強關鍵信息基礎設施領域的密碼保障。

2021年5月，美東部輸油管道公司遭遇勒索病毒攻擊，企業油料運輸管網停擺，美國東部海岸地區油料缺口達到45%，影響了近5000萬美國人[2]。隨即，美國宣布進入國家緊急狀態。6月，NIST發布《控制系統網絡安全實踐指引》，從戰略、政策、標準等方面，為美國工業企業提供了加固工業控制系統安全防護的指導手冊，并遵循網絡安全風險評估、風險管理、風險消減的原則提供了相應作業指導文件。目前，美國國家標準《工業控制系統安全指南》（SP 800-82）正在進行相應的更新，計劃2021年底前完成相關修訂工作正式發布。美國能源、交通等關鍵領域工控安全防護和密碼應用體系初步形成。

1.2 我國工控密碼應用步伐加快

我國高度重視工控安全和密碼應用工作。近年來，中央辦公廳、國務院辦公廳陸續印發了《關于加強重要領域國產密碼應用的指導意見》《金融和重要領域密碼應用與創新發展工作規劃（2018-2022年）》等重要文件，提出運用商用密碼手段加強重要工業控制系統安全防護，提升工業領域網絡安全綜合保障能力。2019年《中華人民共和國密碼法》正式發布實施，明確了使用商用密碼對關鍵信息基礎設施進行保護的有關要求。2021年《關鍵信息基礎設施安全保護條例》正式印發，明確要求密碼管理等部門依法開展關鍵信息基礎設施網絡安全檢查工作。

國家相關主管部門積極推動政策法規落地，工業和信息化部制定并發布《工業控制系統信息安全防護指南》等政策文件，加快推動產業鏈上下游開展聯合攻關和適配應用，積極組織骨干企業研發應用商用密碼的工控產品，提升工業控制系統本質安全能力，探索工業領域密碼應用方案和推廣路徑。全國信息安全標準化技術委員會（SAC TC 260）積極組織開展工控安全國家標準體系建設，從安全分級、安全要求、安全實施、安全測評等方面建立了工控安全標準體系框架[3]（如圖1所示），正式發布國家標準23項，報批稿2項，送審稿1項，征求意見稿1項。其中，《信息安全技術 工業控制系統安全控制應用指南》（GB/T 32919-2016）《工業控制系統風險評估實施指南》（GB/T 36466-2018）等國家標準，對身份鑒別、接入認證、邊界防護等提出了明確技術要求，推動密碼應用與工業控制系統融合應用。

圖1 工控安全標準體系

2 工控商用密碼應用亟待向縱深發力

2021年3月，工業和信息化部和國家密碼管理局指導建立了工業和信息化部商用密碼應用產業促進聯盟，涵蓋了石化、汽車、軌道交通、船舶、冶金等重點領域的頭部企業。通過對聯盟成員調研，發現雖然目前工控領域商用密碼應用工作扎實推進，但企業在信息加密傳輸、數據加密存儲、設備身份認證等方面仍存在密碼應用實際需要，密碼應用的意識、能力和投入力度等與安全防護需求仍存在一定差距，亟需拓展工控領域商用密碼應用的技術深度。

第一，政策標準供給缺乏。為落實《中華人民共和國密碼法》要求，全國信息安全標準化技術委員會和全國密碼行業標準化技術委員會積極組織力量，研制了一系列密碼技術國家標準、行業標準，但工控領域的密碼應用規范尚存空缺。在涉及關鍵信息基礎設施的重要工業應用場景中，缺少相應政策標準指導企業開展同步規劃、同步建設和同步運行。特別是針對工業控制系統可靠性、實時性、可用性要求，缺乏更具針對性研究，工業控制系統與商用密碼應用在工藝、業務的全面融合上缺乏標準指導。

第二，技術攻關能力薄弱。工業控制系統的密碼應用與計算、存儲、通信等資源開銷緊密相關，在開發和改造過程中，由于工業控制系統算力有限、架構復雜、協議多樣，業務實時性、穩定性很難得到保證。支持國產商用密碼、具備安全可信功能的可編程邏輯控制器（PLC）、分布式控制系統（DCS）等工業控制產品目前尚處攻關試用階段，成熟的技術產品供給能力有待進一步完善，產品與服務的大規模產業化應用亟待進一步加強。

第三，密碼應用路徑不明。目前，工業控制領域商用密碼的應用開發和技術改造仍處于政策驅動階段，工業自動化廠商出于研發成本和技術能力限制，主動使用商用密碼解決網絡安全問題的意愿不強。此外，產業化應用規模受限，導致企業研發成本難以拉低，產品價格與傳動工業自動化設備相比沒有市場競爭優勢。密碼應用供需兩側的對接、合作、交流平臺存在空缺，密碼應用的行業實施路徑尚不清晰，成熟可用、成本可控的應用示范案例有待開發。

3 工控與商用密碼融合應用的路徑

為了促使上述問題更好的解決，推動商用密碼在工業控制領域進行融合應用，以密碼促進工業控制系統安全防護能力提升，本文根據《工業控制系統信息安全防護指南》的11項防護要點，結合《信息安全技術 工業控制系統安全控制應用指南》（GB/T 32919-2016）[4]《信息安全技術 工業控制系統信息安全防護能力成熟度》（報批稿）等國家標準規范，研究提出了工控領域商用密碼融合應用方向。

3.1 工控商用密碼應用的結合點

根據IEC 62443系列標準，典型工控安全防護體系架構貫穿工業企業的各網絡層級[5]。安全防護要點包括設備安全、主機安全、網絡邊界安全、軟件安全、數據安全等，商用密碼的應用應與上述工控安全防護的要點深入結合，形成統一的解決方案。

（1）工業設備安全。在工業設備安全防護工作中，控制設備安全、現場測控設備安全與存儲媒體保護等3個方面可以與密碼應用相結合。一是控制設備和現場測控設備在使用身份鑒別、訪問控制策略的基礎上，還應通過內置安全嵌入功能，實現控制系統基于商密的安全可信。二是存儲媒體可采用基于公鑰密碼理論的PKI安全架構，完成接入認證和媒介管理，確保接入外設的安全性、可控性。

（2）工業網絡邊界防護。工業網絡邊界防護是保障企業生產網絡安全性的重要基礎，包含了網絡邊界防護、遠程訪問安全、身份認證等主要手段，是商用密碼與工業控制系統結合的要點。一是網絡邊界防護，在生產網與辦公網之間直接接入安全防護設備實現網絡邊界防護的基礎上，可在邊界防護設備上基于密碼加入相應校驗策略，開展接入設備可信校驗。二是遠程訪問安全方面，可以利用商用密碼技術來保護遠程訪問會話的機密性和完整性，防止信息在網絡傳輸過程中被竊聽和篡改。三是身份認證機制方面，應在工業主機登錄、應用服務資源訪問、工業云平臺訪問等過程中，使用口令加密、數字證書、生物指紋等身份認證管理技術，強化網絡邊界的安全防護。

（3）工業控制軟件安全。控制軟件安全主要包括安全配置、配置變更、賬戶管理、口令保護和安全審計等，其中賬戶管理、口令保護和安全審計是密碼應用的重要切入點。一是賬戶管理方面，利用商用密碼簽名時間戳功能，可實現工業控制系統管理賬戶的接入時間審核。二是口令保護方面，采用商用密碼進行用戶口令的加密存儲、傳輸，才能確保用戶敏感信息的保密性要求。三是安全審計方面，審計日志的存儲、災備以及傳輸，必須利用密碼功能完成完整性校驗、加密保護和簽名驗簽，確保審計日志的完整性、可靠性、抗抵賴性。

（4）工業數據安全。數據安全主要分為數據的分類分級管理、差異化防護、數據的備份與恢復，以及測試數據的保護等。一是分類分級管理方面，商密應用可以解決重要數據的完整性校驗和加密存放，還可以通過簽名機制形成數字標識。二是差異化防護中，對動態傳輸的重要工業數據要進行加密傳輸，或使用VPN等方式進行保護；對靜態存儲的重要工業數據進行加密存儲或隔離保護，確保靜態存儲的工業數據不被非法訪問、刪除、修改。三是建立備份數據存儲安全防護機制，采用數據加密、訪問控制等手段，確保備份數據安全。

3.2 工控密碼應用有效性檢驗方法

在實驗環境下，構建支持國產商用密碼的典型工業控制系統仿真測試環境，可對商用密碼應用有效性進行檢測評估。如表1所示，通過密碼應用協議檢測、商密算法功能檢測、敏感信息管理能力檢測、密鑰管理能力檢測、身份認證檢測、數據傳輸機密性和完整性檢測等方法，能夠對工業設備安全、工業網絡邊界安全、工業控制軟件安全、工業數據安全等提出的商用密碼應用有效性進行驗證。

表1 商密應用有效性檢驗方法

如圖2～4所示，本文利用數據機密性校驗工具、密碼設備接口測試工具、協議抓包分析工具，對工控商用密碼應用有效性進行了檢測，證明了應用路徑與核驗方法的可行性和可操作性。

圖2 數據機密性校驗工具

圖3 密碼設備接口測試工具

圖4 協議抓包分析工具

4 結語

本文根據當前工控領域商用密碼研究現狀和存在問題，結合工控安全相應國家政策和標準，從工業設備安全、工業網絡邊界安全、工業控制軟件安全、工業數據安全等方面提出了工控領域密碼應用的路徑，并通過密碼應用協議檢測、商密算法功能檢測、敏感信息管理能力檢測、密鑰管理能力檢測、身份認證檢測、數據傳輸機密性和完整性檢測等方法，檢驗了路徑有效性，為工控系統與商用密碼的融合應用提供了參考借鑒。