PLC信息安全技术研究

PLC信息安全技术研究

金江伟

浙江中控研究院有限公司浙江杭州310053

摘要:信息时代信息安全越来越重要。信息安全技术的发展为信息安全提供了有力保障。本文介绍了信息安全技术的分类以及主要信息安全技术的现状、发展趋势,其中主要介绍了密码学、安全操作系统、网络隔离技术、网络安全行为监管技术、容灾与应急处理技术、身份认证技术及可信计算技术的现状与发展趋势。

关键词:信息安全;技术;现状

1PLC安全可信发展现状

1.1PLC信息安全发展现状

1.1.1工作站防护

鉴于工业应用的特殊性，作为PLC系统重要组成部分的工作站、服务器难以采用传统的杀毒软件等“黑名单”防护方式来应对层出不穷的操作系统漏洞，计算机后门程序、病毒、木马、数据扫描、黑客攻击等多元化的风险及威胁。同时，由于工控系统往往较为独立，一般情况下不与互联网连接，对传统杀毒软件的数据库升级变得非常困难。对工作站的防护一般采用基于“白名单”的主机安全防护软件，用于解决工控系统主机病毒感染、恶意脚本执行、操作系统内核漏洞隐患和应用程序缓冲区溢出攻击等问题。

图1采用白名单机制的工作站防护

但是，工作站防护的策略也存在一定弊端。由于工控系统中的工作站数量较多，分布也比较广泛，任意一台工作站防护失效或者未安装防护系统都将导致整个工控系统的安全防护失效。

1.1.2安全网关

目前安全网关市面上产品较多，如北京的威努特、力控华康、航天天盾等工控安全企业都推出自己的产品，我们公司工业网络安全部门正自研制的“安全盾”，从功能架构上来说，也属于安全网关的一种。使用该产品的优势是无需对PLC进行软、硬件上的更改，直接定制满足其通讯协议的安全网关产品即可实现系统的安全功能。但是，安全网关的使用增加了系统的构建成本，同时由于针对不同的品牌和通讯协议，安全网关都需要进行专门的定制，其产品的稳定性与可靠性较难保证，也为系统的开放性与兼容性带来了相当的屏障。

1.2嵌入式可信PLC发展

根据《基于ARM的TPCM的设计》统计，国外的可信计算开始发展较早，但能足够引起人们重视的是TCPA(现重组为可信计算组织TCG)的出现。1999年，Intel、IBM、HP和微软等著名IT企业发起成立了可信计算平台联盟TCPA(trustedcomputingplatformalliance)。TCPA定义了具有安全存储和加密功能的可信平台模块（TPM），致力于数据安全的可信计算，包括研制密码芯片，特殊的CPU、带有安全功能的主板或操作系统安全内核。TPM实际上是一种SOC（SystemonChip）芯片，它是可信体系的关键部分，是可信计算平台中度量信任链的信任根（可信存储根和可信报告根），能完成平台可靠性、完整性的检测。

根据《TCM在车联网移动终端中的应用》文章指出，我国的第一款自主研发具有TPM功能的可信安全计算机于2004年6月推出，由武汉瑞达信息安全产业股份有限公司研制。

它在系统结构和主要技术路线方面与TCG的规范是一致的，在有些方面有所创新，在有些方面也有差异。该成果获得2006年国家密码科技进步二等奖。这一产品被国家科技部等四部委联合认定为“国家级重点新产品”。目前，已在我国政府、银行、军队等领域得到实际应用。

之后，2005年联想集团的“恒智”芯片和可信计算机相继研制成功。同年，北京兆日公司的TPM芯片也研制成功。此外，方正、同方、浪潮、天融信等公司也都加入了可信计算的行列。武汉大学、北京工业大学、中国科学院软件研究所等高校和研究所也都开展了可信计算的研究。

2课题工作汇总

2.1信息隔离技术

信息隔离技术即采用工业防火墙，将不合法的数据指令隔离，保护PLC系统数据不会被意外的上传、修改于下载。该方案适用于公司现有的全部PLC系列，通过外置防火墙、为工程师站、操作员站安装专用的防护软件，采用白名单机制等等手段来实现。改方案主要通过采购市面上现有的防火墙设备与安全防护软件，根据公司PLC使用的不同的总线协议与组态软件，配置或定制相对应的防护策略，即可实现。使用这种方法，公司现有的PLC系统的软、硬件均无需改动，可以节省大量的研发投入，但是采购外配的防火墙装置需要一定成本。外配防火墙装置与现有PLC组态软件、总线协议的匹配程度需要进一步确定，对PLC原有的功能和性能可能会带来一定影响。然而，这种方案对于公司PLC产品快速获得信息安全相关资质认证来说，是最为方便和低成本的一种解决方案。

2.2可信PLC技术

2.2.1配置软件的访问权限控制

配置软件的访问控制权限可以通过对配置软件的添加访问密码的方式来实现。借鉴市面上如路由器配置界面的访问机制，实现利用用户名密码对配置软件的访问权限控制。但是该方法存在一定安全隐患，一个用户名密码可能会在网络传输中被截获，即使数据在传输前简单加密，也可能被暴力破解；另外由于密码存放在硬件闪存中，一旦闪存被非法访问，密码仍有泄漏可能，本方案参考了互联网应用中的用户名密码保护机制，最大限度的减少了密码泄密的可能，具体步骤如下：

图2配置软件加密流程图

2.2.2硬件锁

本方案采用外置硬件狗的方式，来确保PLC系统仅仅在检测到硬件狗的状态下才可以更新用户程序，修改配置参数，或者必须在检测到硬件狗的情况下才可以正常运行。通过这种方式，确保PLC系统在授权情况下才能更改。硬件秘钥可以借鉴银行U盾或者是一般硬件狗的原理，结合到我公司PLC实际情况，400系列可以支持SD卡、而之前的PAC316支持USB接口，本方案考虑采用SD卡作为硬件钥匙接口，确保PLC系统的安全。由于SD卡仅仅支持存储功能，本身并不具备运算的功能，这里仅仅将SD卡作为一个配置允许或者下载允许的钥匙功能。

结束语

信息安全技术越来越受到大众关注,随着研究的不断深入,许多新技术不断涌现,如PLC信息系统提供了新的发展方向和更好的安全性。只有理解吸收现有技术,及时了解掌握新技术,结合实际制定并完善自身的安全策略,才能不断提高安全系统的防护能力,才能在信息安全的争夺战中先行一步

参考文献:

[1]李璋.浅析网络信息安全技术[J].天津市政工程，2013（1）：37-39.

[2]邓小民.信息安全管理标准及综合应用[J].建材发展导向，2013，11（13）：211-212.

[3]徐正全，徐彦彦.可视媒体信息安全[M].北京：高等教育出版社，2012.