[发明专利]一种工控设备的用户访问权限分置系统及其使用方法

说明书

一种工控设备的用户访问权限分置系统，包括设置在工控设备上的智能卡生成模块、用户名和密码生成模块、第一认证模块、第一交互模块和设置在客户主机中的第二认证模块和第二交互模块，通过本发明的系统，形成五种权限管理，即设备管理员、用户管理员、安全员、审计员和操作员权限管理，在所述工控设备出厂时配置设备管理员智能卡，由设备管理员生成用户管理员智能卡、安全员智能卡、审计员智能卡和操作员智能卡，这五种权限相互排斥，避免了超级用户的产生，同时在登录系统时采用双因子认证，达到安全可靠、不可抵赖、操作有据的效果。

技术领域

本发明涉及工业控制领域，尤其涉及一种工控设备的用户访问权限分置系统及其使用方法。

背景技术

我国成千上万台工控系统服务主机应用于各大型企业，再加上几百万台终端控制服务器，在控制系统中对控制设备的访问几乎没有做权限分解和互斥限制，基本都是超级用户可以访问任何资源，执行任何控制，风险非常巨大。工业控制系统本身在信息安全方面起步较晚，技术还不成熟，在工控设备上增加安全通信、安全访问功能又相对较复杂一些，因此发展缓慢。一方面是由于工控系统相对独立，注重应用功能的实现，而对安全的需求没有引起足够重视；另一方面是安全通信范围较广，不仅要求通信加密，还要求通信双方互相认证，这与工业控制的实时性、可靠性和集散控制的要求有部分冲突，必须增加资源来解决这些矛盾。

当前工控领域在信息安全方面应用的安全设备基本是基于中控室主机的保护以及网络的保护，成型的产品有工业防火墙、漏扫设备、网监设备、工业网闸、入侵检测等设备，这些产品做了访问权限规划，有三权分立的设计，也有四权分立的设计，各厂家的设计各不相同。

基于分权的安全智能卡集成系统是“三权分立”安全管理的典型应用，它基于先进的智能卡安全技术，把身份认证和其它有关的安全功能进行有效的集成，为应用安全提供工作平台，增强信息系统中原有的各种应用服务的安全功能。

在现有技术中广泛采用智能卡安全集成系统，通过“三权分立”的安全管理建立严格的身份认证机制。对于所有接触该系统的人员，按其职责设定其访问系统的最小权限，并且按照分级管理原则，严格管理内部用户账号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户账号和密码。具体实现用户身份认证时，可以通过服务器CA证书与IC 卡相结合实现。CA 证书用来认证服务器的身份，IC 卡用来认证企业用户的身份等等。

然而，现有的三权分立管理机制存在诸多其不足之处，诸如：

1.智能卡双口令身份认证虽然更安全，避免口令攻击造成系统风险，但是目前存在智能卡丢失无法自行补办，以及密码忘记如何重置密码的问题。

2.用户身份与智能卡绑定，虽然方便登录但是丢失智能卡后，被别人拿到实际上也存在风险。就像捡到身份证和银行卡到银行取钱一样。

另外，现有的工控进行维护操作时，要在工控设备上插入智能卡，然后远程登录，如图1所示，这种方式的不足是：工控设备中用于连接智能卡的接口很少，导致能同时登录工控设备的用户很少。而且对于边缘设备来说，有时候边缘采集设备的工作环境恶劣（如核辐射环境），不适合直接对设备进行操作。

发明内容

为了解决现有技术中存在的技术问题，本发明旨在提供一种针对工业控制设备在现场应用的各角色用户访问权限的分置系统，包括设置在工控设备上的智能卡生成模块、用户名和密码生成模块、第一认证模块、第一交互模块和设置在客户主机中的第二认证模块和第二交互模块；其中，

智能卡生成模块，用于读取设备管理员智能卡的信息，接收第一交互模块接收的客户命令生成角色智能卡；

用户名和密码生成模块，用于接收第一交互模块接收的客户命令生成或修改所述角色智能卡的用户名和密码；

第一认证模块，用于与第二认证模块通信，并对第二认证模块传送的认证信息进行判断，并向第一交互模块发送角色信息；