[发明专利]一种工业控制系统的安全认证方法及设备

说明书

本申请公开了一种工业控制系统的安全认证方法及设备，方法包括：生产管理主机获取其对应的现场设备的特征信息，根据特征信息以及预存的校验码生成算法，离线生成第一校验码；向现场设备发送请求校验指令，并接收来自所述现场设备在线生成并发送的第二校验码；将第一校验码与第二校验码进行比对，得到比对结果，若比对结果一致，则认证成功，并向现场设备发送控制指令，控制指令包括动作指令、密钥，以便现场设备对密钥进行认证，若密钥与现场设备预存的密钥一致，则执行动作指令。通过对现场设备进行初始化认证，可以保证对接到正确的现场设备，同时，本申请可以对通讯中的密钥进行更新，提高了工业控制系统的安全性。

技术领域

本申请涉及工业控制系统安全领域，尤其涉及一种工业控制系统的安全认证方法及设备。

背景技术

工业控制系统(IndustrialControl System，ICS)通常使用ModbusSerial协议进行通信。然而随着网络的普及，ICS也逐渐互联网化，产生了Modbus-TCP协议，即通过Modbus和TCP协议相结合来发送和接收Modbus Serial数据。但由于Modbus协议在设计之初并未考虑安全问题，一旦被攻击，将没有任何抵抗手段，严重影响正常的生产活动，甚至危及人身安全、造成财产损失。

现有的ICS中的现场设备更换率高，而生产管理主机，在向现场设备下达控制指令之前没有初始认证过程，容易发生指令下达出错的情况。同时，在现有技术中，通过将流控制传输协议(SCTP)和Modbus协议结合并附加消息验证码，生成Modbus认证方案，虽然SCTP本身对拒绝服务攻击、中间人攻击具有良好的防御力，但是该认证方案为对称加密认证结构，密钥单一，容易破解，且密钥更新不及时，容易导致重放攻击，难以保证工业控制系统的数据安全，导致生产作业产生难以挽回的损失。

发明内容

为了解决接入互联网的工业控制系统安全性差、易被攻击、无法对现场设备进行初始验证，以及加密通讯中的密钥单一、容易破解且更新不及时的问题，本申请提出了一种工业控制系统的安全认证方法及设备.

第一方面，本申请实施例提出了一种工业控制系统的安全认证。生产管理主机获取其对应的现场设备的特征信息，所述特征信息至少包括以下任意一项或多项：设备的地理位置信息、设备编号，所述特征信息预存在所述生产管理主机中；根据所述特征信息以及预存的校验码生成算法，生成第一校验码，所述第一校验码是离线生成的；向所述现场设备发送请求校验指令，并接收来自所述现场设备发送的第二校验码，所述第二校验码是所述现场设备根据所述特征信息以及所述校验码生成算法在线生成的，所述特征信息以及所述校验码生成算法预存在所述现场设备中；将所述第一校验码与所述第二校验码进行比对，得到比对结果，若所述比对结果一致，则认证成功，并向所述现场设备发送控制指令，所述控制指令包括动作指令、密钥，以便所述现场设备对所述密钥进行认证，若所述密钥与所述现场设备预存的密钥一致，则执行所述动作指令；所述动作指令用于执行对所述现场设备的操作任务。

在一个示例中，向所述现场设备发送控制指令之前，所述方法还包括：所述生产管理主机获取所述现场设备上次执行动作指令的时间与当前时间的时间间隔，若所述时间间隔超出第一时间阈值，则更新密钥，并将更新后的秘钥同步至所述现场设备，其中，所述第一时间阈值预存在所述生产管理主机中。

在一个示例中，所述更新密钥，并将更新后的秘钥同步至所述现场设备，具体包括：所述生产管理主机向所述现场设备发送密钥更新指令；所述现场设备向所述生产管理主机发送第一随机数；所述生产管理主机根据第一哈希函数对所述第一随机数进行哈希计算，将计算结果作为验证数值；随机选取三组三位数，并根据预存的密钥生成算法对所述三组三位数进行处理，得到更新后的密钥；将所述验证数值以及三组三位数，发送至所述现场设备；所述现场设备根据所述第一哈希函数对所述第一随机数进行哈希计算，若计算结果与所述验证数值一致，则根据预存的所述密钥生成算法对所述三组三位数进行处理，得到所述更新后的密钥。