基於國產（chǎn）密碼算（suàn）法的數控係統安全（quán）解決方案-刀具網（wǎng）-數控機床市場網（wǎng）

您現在的位置：數控係（xì）統（tǒng）網> 技術前沿>基於國產密碼算法的數（shù）控（kòng）係統安全解決方案

基於國（guó）產密（mì）碼算法的數控係統安全解決方案

2020-9-3 來源：中國電子科技網絡信息安全有限公司作者（zhě）：鄒大均黃（huáng）沾

摘要：通過對（duì）數控（kòng）係統的現狀分（fèn）析、安全風險分析（xī），提出一種基於國產密碼算法的數控係統（tǒng）安全解決方案。方案從終端（duān）防護、網絡（luò）防護、數據防護和密碼技術等諸多方麵，對數控係統中的設備、網絡和數據的安（ān）全防控進行全方位闡述，通過（guò）對五個安全防護場（chǎng）景的梳理，深入淺出地描繪出當（dāng）前數控係統存在的安全問題（tí），引出基於（yú）國產密碼算法應用的重要性，同時強調要根據數控係統業務的（de）實際情況，優化安全防護手段，降低成本，以易於工程部署和用戶操作。

關鍵（jiàn）詞：數控係統；數（shù）控機床；安全防護；國產密碼算法

0 引言

自（zì）“震網”病毒事件爆（bào）發和美國發布“國家網絡空間安全戰略”政策後，工業控製係統安全（quán）引起（qǐ）了我國的高度重視，並把工業控（kòng）製係統的安全提到了國家安全戰略（luè）的高度。工業和信息化（huà）部發布了《關於加（jiā）強工業控製係統信息安（ān）全管（guǎn）理的通知》（工（gōng）信部協〔2011〕451 號），強調加強工業信息安全的重要性、緊迫性（xìng），並明確了重點領域工業控製（zhì）係統信息安全的管（guǎn）理要求。2015 年 5 月 8 日，國務院正式發布《中國製造 2025》強國戰略綱領。“中國製造2025”[1]是在（zài）新的國際國內環境（jìng）下，我國立足於國際（jì）產業變革大（dà）勢，做出的全麵提升中國製造業發展質量和水平的重大戰略（luè）部（bù）署。它（tā）的主攻方（fāng）向是智能製造，而智能製（zhì）造的核心（xīn）是數（shù）控係（xì）統。數控係統信息化主要（yào）表現在研製生產係統集成化，產品開（kāi）發數字化、並行化，產（chǎn）品研製生產敏（mǐn）捷化，企業管理集成（chéng）信息化（huà）四個方麵。數控係（xì）統信息化對於各領域製造（zào）業提高勞（láo）動生產率、降低（dī）成本、縮短研製（zhì）周期、快速響應市場變化、提（tí）高產品質量和客（kè）戶滿意程度、全麵提升競爭能力（lì）具有重要作用。但是，數控係統固有安全漏洞和聯網後的開放性（xìng），使其麵臨的信息安全威脅持續擴大[2]。

數控（kòng）係統一旦遭到破壞，將導致數控機床乃至整（zhěng）個（gè）生產線停機，給企業（yè）造成重大損失。目前，國內（nèi）多（duō）數控係統特別是中高端數（shù）控係統均（jun1）采用國外產品和技術。然而，國外產品（pǐn）和技（jì）術（shù）對國內用戶（hù）采用（yòng）封閉措施，導致（zhì）關鍵基礎設施安全題（tí）受製於（yú）人。此外，以“震網”為代（dài）表的工業網絡攻擊和入侵屢見不鮮，帶（dài）來巨大的損失，也給智能製造敲響了警鍾。可見，實（shí）現自主可控的數控係統，

智能製造才（cái）能持續發展。因此，基於國產密碼算法的數控係統安全解決方案研究尤（yóu）為迫切（qiē）和重要。

1 、數控係統的現狀分析

數控係統的（de）核心硬（yìng）件（jiàn）設備包括數控機（jī）床、DNC服務（wù）器、操作員站、可編程邏輯（jí）控製（zhì）器（PLC）和交換（huàn）設備等。除數控機床和 PLC，其他（tā）硬件設備與通用信息係統中的硬件設備（bèi）並無太大差異。數控係統的核心（xīn）軟件包括（kuò）數控機床（chuáng）係統及控製程序、主機操作係統（如 Linux、Windows 操作係統等）和應用軟件等。

數控加工（gōng）製造企業的科研辦（bàn）公網與生產工（gōng）控網大多互聯，網絡內部根據業務需（xū）求劃分了多個安全域，安全域通過交換機直接（jiē）接入公（gōng）司的科研辦公網（wǎng），中間未實施安（ān）全防護隔離措施。安全域內部、安（ān）全域之間可（kě）直接互訪，無網絡訪問審計記錄。典型的網絡拓撲如圖 1 所示。

圖 1 網（wǎng）絡拓撲

數控係（xì）統業務根據需求主要分為兩類，一類是加工生產 NC 代碼的數據傳（chuán）遞，一類是數控機床狀態信（xìn）息的收集和顯示（shì）。DNC 服務器負責存儲重要（yào）的NC 代碼數據和生產狀態數據。操作（zuò）員站（zhàn）對 DNC 服務器上的數據（jù）進行操作，而數控機（jī）床從 DNC 服務器上獲取數據，並傳遞狀態給 DNC 服務器。整體生產業務實時（shí）性要求不（bú）高，生產終（zhōng）端設備（bèi）的硬軟件資源有限。具（jù）體業務數據流如圖 2 所示。

圖 2 業務流

2 、數控係統的風險（xiǎn）分析

通過數控（kòng）係統用（yòng）戶的現（xiàn）場訪談（tán）、調研問卷、實地考察和技術檢查等方式，完成了數控係統的安全風險分析（xī），得出以下幾個重要的風險點。

數控業務網（wǎng）絡的（de）安全風險。生（shēng）產車間的網絡缺少監控手段，無法對攻擊行為實時報警；網絡上的業務由於缺乏訪問控製，存在誤操作、跨權（quán）限操作、易於被攻擊等情況，導致存在生產異常的安全風險（xiǎn）。數控數據的安全風險。沒有專業安全（quán）防護的DNC 服務器上的重要數據未加（jiā）密也未數字簽名，存在被篡改、被破壞的安全（quán）風險；數（shù）據傳輸過程中未（wèi）使用加密手段，導致數據易被竊取的安全風險。

3 、數控係統的安全解決方案

結合數控係統用戶的實際需求和現（xiàn）實生產環境的風險分析，為實現對數控係統的（de）全方位安全防護（hù），提出以終端防護和數（shù）據防護為核心，輔以網絡防護並應用國產密（mì）碼技（jì）術的整體安全解決方案。

3.1 終端防護

數控係統現場的接入終端主要有（yǒu）數控機床（chuáng）、操作員（yuán）站、DNC 服務器等主機或設備，如圖 3 所示（shì）。數控機床（chuáng）的係統軟件是固化的，無法安裝第三方（fāng）防護軟件，而其餘主機或者服務器（qì）則需要安裝（zhuāng）主機監控軟件，從操作上禁用非法外（wài）來介質，同時數控機床在內的（de）所有終端設備的（de）多餘外（wài）設接口都應（yīng）該被封禁，包括 USB 口、串口、網口等，應從物理上禁（jìn）止非法接入。

圖 3 終端防（fáng）護

主機監控軟件除了禁止非法介質的接入，還需（xū）要記錄對（duì）主機的（de）所有操作（zuò）。有條件的（de）用戶可以在（zài）數控係統網絡（luò）中加入專用的日誌服務器存儲這些記錄，用於分析和（hé）審計。

數控（kòng）機床作為數控係（xì）統中最特殊的終（zhōng）端設備，其安全防護與一（yī）般的（de）網絡終端在身份（fèn）認證、數字簽（qiān）名等技術處理上存在較大差異。對這類終端的防護需要加（jiā）入專用的防護裝置，方案後續章節將對此防護裝置進行詳細闡述。

由於目前大多數控（kòng）係統為國外產品和技術，若（ruò）要全麵實現自主可控，短時間內沒法實現。這是一個漸進的過程（chéng），需要逐步實現。因此，接入數控終端的身（shēn）份認證技術使用的密碼算法，本方案建議使（shǐ）用國產密碼算法來替代通用密碼算法，在身份認證和數據加密技術方麵首先實現自主可控。

3.2 網絡防護

終端防（fáng）護中提及的專用防護裝置，主要（yào）用於終端特別是數控機床的專用（yòng）防護上（shàng），並不能替代（dài）工業以太網中的工業（yè）防火牆、工業隔離（lí）網（wǎng）關的作用。因此，在重要的網絡節點仍需部署必要的防護網關，用以保護數控係統（tǒng）網絡。

同（tóng）時，通（tōng）過網絡訪問數控機床或者（zhě）數（shù）控機床通過網（wǎng）絡訪問 DNC 服務器，都需要通過在防護裝置上進（jìn）行身份認證，取得授權後方可進行網絡交互。這（zhè）裏需要解決由誰在哪個位置上使用什麽樣的終端對目標進行訪問的問題。

3.3 數據防護

對於存儲（chǔ）重要數（shù）控加工文件、設（shè）計文件的 DNC服（fú）務器的保（bǎo）護（hù），除了一般主機的保護外，還需要加入（rù）額外的技術，用以保護服務器（qì）上數據的存儲和傳輸。重（chóng）要保護區域內所有（yǒu）數據文件都需（xū）要進行加密或者數字簽名，這需（xū）要（yào）根據業務的實時性、生產（chǎn）環境的軟硬件資源、是（shì）否具備密鑰管理能（néng）力等情況而定，從而（ér）優（yōu）化安全防護手段，降低成本，易於（yú）工程部署和用（yòng）戶操作。

數控機床生產運行的狀態數據同樣重要，需要在（zài）安全的網絡信道中傳輸並（bìng）加以安全存儲（chǔ）。若數控係統網絡需要跨公網，則還（hái）需要 VPN技術（shù）的支持，以防數（shù）據（jù）在（zài）公網上被竊取和篡（cuàn）改（gǎi）。而（ér）以上在（zài）數據存儲和傳輸過程中使用的密碼算法，同樣需要（yào）使用國產（chǎn）密碼算法。

3.4 密碼技術

隨著全球範圍內密碼技術的發展和計算能（néng）力的提（tí）升，現有普遍采用的國際通用密碼算法（fǎ）已不（bú）滿足（zú）當前（qián）和今後應用的安全需（xū）求。目前，各國都在進行算法（fǎ）升級或遷（qiān）移。

信息安全是國家安全的關鍵（jiàn）環節。為確保密（mì）碼算（suàn）法的自主可控，降（jiàng）低敏感信（xìn）息泄露和信息係統遭受攻擊的風險，國（guó）家密碼管理局製定並發布（bù）了具有自主知識產權和高安全強度的國產密碼算法、密碼算法使用等（děng）相關標準，基本建成了國產密碼應用基礎設施並提供服務（wù）。目前，國產密碼產業鏈已經成熟[3]。

智能製造（zào）麵臨（lín）著信息（xī）安全問題日益嚴重的局麵，因此推進國產密碼算法應用具有（yǒu）重要的現實意義（yì）。目前（qián），我國自（zì）主研發的常用國（guó）產（chǎn）商用密碼算法有以下幾種。

SM1 算法。該算法（fǎ）是由國家密碼管理局編製的一（yī）種（zhǒng）商用密碼分組標（biāo）準對稱（chēng）算法，分組長度和密鑰長度均為（wéi） 128 位，算法的安全保密強度和相關（guān）軟硬件實現性能與 AES 算法相當。目前，該算（suàn）法尚未公開，僅以 IP 和的形式存在於芯片中。

SM2 算法。該算法是一種基（jī）於 ECC 算法的非對稱密鑰算法，加密強度為 256 位，安（ān）全（quán）性與目前使用的 RSA1024 相比具有明顯優勢。

SM3 算法。該算法也叫密碼雜湊（còu）算法，屬於哈希（摘要）算法的（de）一種（zhǒng），雜湊值為 256 位，和 SM2算法一起被公布。

SM4 算法。該算法為對稱加密算法，隨 WAPI標準一起（qǐ）被發布，加密強度為 128 位。

除了以上 4 種密碼算法，國產（chǎn）商用密（mì）碼算法還包括 SSF33、SM7、祖衝之密碼等對稱算法和 SM9非對稱算法。國產商用密碼的（de）應用領域十分廣泛，主要用於對不涉及（jí）國家秘密（mì）內容但又具有敏感性的內部信息、行政事務信（xìn）息（xī）、經濟信息等進行加密保護，如各種（zhǒng）安全認證、網上銀行、數字簽名等。

4 、數控（kòng）機床專用（yòng）安全防護（hù）裝置

4.1 需求

數控機床是數字控製機床（Computer Numerical Control Machine Tools）的簡稱，是一種裝有程序控製（zhì）係（xì）統（tǒng）的（de）自動化機床。該控製係統能夠邏輯地處具有控製編碼或其他符（fú）號指令規定的程序，並將其譯碼，用代（dài）碼化的數字表示，通過信息載體輸入（rù）數控裝置。然（rán）後（hòu），經運算處理，由（yóu）數控（kòng）裝置發（fā）出各種控製信號控製機床的動作，按（àn）圖紙要求（qiú）的形狀和尺寸（cùn），自動加工零件（jiàn）。

作為（wéi）數控係統中最特殊的終端，數控機床與其他設備（如 DNC 服務器、操作員站等）的安全防護存在較大差異，主要在於以下幾點（diǎn）：

（1）數控機床控製係統無法安裝主機監控軟、件（jiàn）或（huò）者（zhě）類似的安全（quán）防護軟件，從而無法對機床操作人員（yuán）的身份進行管控，也無法審計操作行（háng）為，且無法控（kòng）製和審計外設接口（如 USB 口、串口、網口）操作行為和數（shù）據交互；

（2）數控機床無法進行身份認證和鑒別；

（3）數控機床無法主動識別對端 DNC 服務器的合法性；

（4）數控機（jī）床無法驗證數控加工文（wén）件的合法（fǎ）性和完整性。

基於數控機床與其他設備在（zài）安全防護上的差異分析，得出數控機床的安全防護需要加入專用的安全防護裝置（zhì），用以（yǐ）確保數控機床在外設（shè）接入、身份鑒（jiàn）別、數據交互等諸多方麵得到（dào）相應的保護和（hé）管控。數（shù）控機（jī）床必需的外設接口需要接入到這種防護裝置上，機床操作、廠家維修等人員操作數（shù）控機床必須通（tōng）過在專用防護（hù）裝置上（shàng）經過嚴格的身份認證[4]（口令（lìng）、指紋或者虹膜等）授權後才能正常接入，從而有權上傳或下載數（shù）據，而（ér）這些動（dòng）作也都會被專用安全防護裝置記錄（lù），用於事後審計。

4.2 關鍵技術

數控（kòng）機床專用安全防護裝置作為數控機床的安全屏障，需要（yào）具備以下關鍵技術。

（1）身（shēn）份（fèn）認證與授權身份認（rèn）證（zhèng）解決“你是誰”“你是否合法”的問題，授權解決“你能幹什（shí）麽”的（de）問題。

（2）行為控製與記錄行（háng）為控製解決“你能訪問哪（nǎ）些地方”“你具體能做（zuò）什麽（me）事”的問題，記錄解決的是（shì）“你幹了些什麽”的問題。

（3）數據（jù）驗（yàn）證與保護數據驗證解決數據破壞和篡改的問題，保護（hù）解決的是數據知悉範圍的問題。除了以上技術要求外，防護裝置在數控文件（NC代碼、圖形文件等）的脫敏與檢測、數控（kòng）代碼（mǎ）的細粒度控製、網（wǎng）絡典型攻擊防禦等諸多方麵（miàn），對數控機（jī）床乃至整（zhěng）個數控係統都起著至關重要的作用。

4.3 防護方案

在詳（xiáng）述防護方案前，借（jiè）用網絡（luò）搜索信息簡單介（jiè）紹以下（xià）幾個概念：身（shēn）份認證、數字簽名、IP 地址欺騙和 MAC 地（dì）址欺騙。

身份認證即身份驗證或身份鑒別（bié），是指（zhǐ）在計算機及計算機網絡係統中確認操作者身份的（de）過程，從而確定該用戶是否具有對某種資源的訪問和使用（yòng）權（quán）限，進而使計算（suàn）機和網絡係統的（de）訪問策略能夠可（kě）靠、有效執行，防止攻擊者假冒合法用戶獲得資源的訪問權限，保證（zhèng）係統和數據（jù）的安（ān）全以及授權訪問者的合法利益。

數字簽名即公約數字簽名或電子簽章，是一種類似寫（xiě）在紙上的普通（tōng）物理簽名（míng），但使用了公鑰加密領域的技術實現，可（kě）用於鑒別數（shù）字信（xìn）息（xī），即隻有信息的發送者才能產生的別人無（wú）法偽造的（de）一段數（shù）字（zì）

串。這段數字串同時也是對信息發送者發送信息真實性（xìng）的有效證明。

IP 地址欺騙是（shì）指（zhǐ）行動產生的 IP 數據包為偽造的源 IP 地址，以（yǐ）便（biàn）冒充其他係（xì）統或發件人的身份。MAC 地址欺騙與 IP 地（dì）址欺騙的原理基本一致，隻是欺騙的具體（tǐ）過程有所差別。

數控係統中最核心的終端是數（shù）控機床，而最重要（yào）的數（shù）據存儲於 DNC 服務器。因此，數控機床與DNC 服務器之（zhī）間的（de）數據交互，是（shì）整個數控係統安全（quán）防護最關鍵的一環。為了便於分析數控（kòng）機床專用安全防護裝置在安防方麵的重要作用，假設數控（kòng）機床和 DNC 服務器上的數據受到保護而（ér）不被任何攻擊篡改和破壞，所有攻擊（jī）來（lái）源於網絡。簡化數控網絡拓撲，加入攻擊環節，如圖 4 所示。

圖 4 簡化拓撲

（1）場景一

防護裝置尚未部署，數控機床完全暴露於網絡。攻擊機采用任（rèn）何欺騙手段都能將數控機床向 DNC服務器發起的數據交互請求轉移到攻擊機自（zì）身，造成數控機床使用非法來源的數據或（huò）者使用被篡（cuàn）改過的數據，致使數控機床運行異常。

（2）場景二

防護裝置（zhì）部署於數控網絡與數控（kòng）機床（chuáng）之間，並配置了相應的訪問控製策略，甚至（zhì）配置了 IP/MAC地址綁（bǎng）定策略。攻（gōng）擊機同時采用 IP 地址欺騙策略和 MAC 地址欺騙策略，將自身在網絡上完全偽造成 DNC 服務器，以繞開防護裝置的防禦，響應來（lái）自數（shù）控機床的數據交互請求，下發非法數據或篡改合（hé）法（fǎ）數據（jù），致使數控機床運行異常。

（3）場景三

在場（chǎng）景二的基礎上，防護裝置加入身（shēn）份認證策略，即隻有通過身份認證（zhèng）的終端才能正常通（tōng）過防護裝置進行（háng）數據（jù）交互。

傳統的身份認證是基於訪問發起者的認證，保護的（de）是被訪問者即服（fú）務器。而數控機床專用安全防護裝置保護的（de）是訪（fǎng）問的發起者——數控機床不被欺騙，發現其獲取的數據是否被篡改，阻止不（bú）應知悉者知悉，同時數控機床自身無法進行身份認證和鑒別。

因此，鑒於數控係統（tǒng）的特殊性（xìng），本方案（àn）建設性地提出基於受訪者的認證，即數控（kòng）機床隻（zhī）能訪問通過身份認證後的 DNC 服務器，從而確保數控機床訪問的DNC服務器是合法終端，獲取的是（shì）合法數據，狀態數據上傳（chuán）的是合（hé）法服務器。

不幸的是，此種場景對於攻（gōng）擊者來說仍然有機可乘。假設攻擊機（jī）無法獲取合法的身份信息，從而無法使數控機床主動向其發起（qǐ）數據交互請求。盡管如此，攻擊機仍然可以在合法的 DNC 服務器通過身（shēn）份認證後采用欺騙（piàn）手段，實現前文提及的攻擊。

（4）場景四

通過對場景三的分析發現，配合身（shēn）份認證的訪問控（kòng）製（zhì）同樣不能解決所有（yǒu）問題。在場景三的攻擊環境下，若能在交互（hù）數據中加入數字簽名技術，通過防護（hù）裝置對數據（jù）進行簽（qiān）名或驗（yàn）簽，那麽非法（fǎ）數據（jù）或被篡改數據就能被防護裝置發現，從而這（zhè）些數據無法到達數控（kòng）機床，針對數控（kòng）機（jī）床（chuáng）的攻擊也就無（wú）從實現。

（5）場景五

根據場景四中的防護方案部署防護裝置，雖然（rán）能夠有效針對數控機（jī）床的網（wǎng）絡攻擊（jī），但並不能阻止攻擊機獲取重（chóng）要的數控數據和機床狀態（tài）信息。這裏，數據加密技術能夠有效（xiào）防止數據外泄，嚴格控製數據知悉範圍。

數控機床（chuáng）專用安全防護裝置可以（yǐ）記錄所有的網絡（luò）行為，發現攻擊立即告警，發現異常數據交互立即告警，並通知管理員調整防護策（cè）略，盡（jìn）早發現攻擊源，把危害控製到（dào）最小。

機床操作人（rén）員、廠家維修人員（yuán）通過 USB 口（kǒu）、串口與數控機床（chuáng）進行（háng）數據交互，在應用場景上雖然與網（wǎng）絡交互不同，但兩種外（wài）設數據交互同（tóng）樣需要通過防護裝置進行數據轉（zhuǎn）發。因此，以上提及的所（suǒ）有安全防護（hù）技術同樣適（shì）用（yòng）。

數控機床專用安全防護裝置通過訪問（wèn）控製與身份認證、數（shù）字（zì）簽名和數據（jù）加密等技術的有機結（jié）合，形成了（le）一套（tào）完（wán）整的應對局部網絡攻擊的安全防（fáng）護方案。

身份認證、數字簽名和數據加密等技術（shù）都涉及（jí）國產密碼應用，需要一套完整的國產密碼應（yīng）用基礎設施（如公共密鑰基礎設（shè）施 PKI、密鑰管理基礎設施 KMI 等）才能實現，而這必然帶來安全防護的成本壓力。因此，需要根據不同數控網絡的實際情況，結合防護裝置（zhì）的行為記錄能力，部署不同安全級別（bié）的防護網絡（luò）。

4.4 國產密碼算法應用

4.4.1 基於（yú）國產密碼算法的身份認（rèn）證應用

用戶通（tōng）過防護（hù）裝置訪（fǎng）問、接入數（shù）控機床時，需要應用基於用戶的身份（fèn）認證；DNC 服務器（qì）與防護裝置間建立加密信（xìn）道時，需（xū）要（yào）應用基於設備的身份認（rèn）證。認證（zhèng）的需求不同，采用的認證技術也不同。根據不（bú）同的安全級別，可以采用不同的身份認證技術或者多種技術（shù）的組合，如數字證書認證（zhèng）技術、生物信息認證技術、口令（lìng）和消息（xī）反饋認證技術和智能卡認證技（jì）術等。

綜合安全性、易用（yòng）性和成本（běn）等因素的考慮，防護裝置可采用口令與智能（néng）卡雙因子身份認證技術，並結合國產密碼算（suàn）法數字證書認證技術即 SM2 證書技術。需要選擇支持 SM2 證書的智能卡（kǎ），認證設備（如 DNC 服務器、維修用的筆記本電（diàn）腦等）或防護裝置能夠通過這種智能卡（kǎ）完成身份認證。口令通過使（shǐ）用 SM3 算法（fǎ）進行哈希後，將同智能卡 SM2 公鑰證書經過 SM1 算法加密後（hòu）在網絡中傳輸，然後（hòu）在防護裝置上進行解密和驗證後完成身份認（rèn）證（zhèng）。

4.4.2 基於國產密（mì）碼算（suàn）法（fǎ）的簽名與驗簽應（yīng）用

身份認證中，SM2 證（zhèng）書的簽名（míng） / 驗簽已（yǐ）經涉及到國產密碼算（suàn）法的簽名與驗簽應用，而本章主要討論國產密（mì）碼算法在數控機床與（yǔ） DNC 服務器之間傳輸（shū）重要數控文件（jiàn）時的應用。

智能卡除了存儲 SM2 證書（shū）用於身份認證外，還可利用它對傳輸於網絡中的數控（kòng）文件（jiàn）進行簽名。DNC 服務器將數控文件進行數字（zì）簽名存（cún）儲，數控機（jī）床獲取數控文件的同時也會獲取簽名信息。這些信息會經過防護裝置的（de）驗簽判斷文件的合法性，並確保文件沒有被（bèi）惡意破壞或篡（cuàn）改，保證數控文件的完（wán）整性和可（kě）用性（xìng）。這樣的安全加固（gù）簡單、實用、易於部署，不會對原有數控網絡的拓撲造成任何（hé）影響，隻要文件驗證通過，則數控生產、企業管理都不會受到多餘（yú）的阻礙。

4.4.3 基於國產密碼算法的信道加解密應用

在存在跨網絡管理和生產（chǎn）需求的數控網絡（luò）或（huò）數（shù）控網絡易於被攻擊（jī）者接（jiē）入的（de）環境中，對有線信道傳輸的重要數據的加密保護成為必（bì）然。由於在網絡搭建、部署上得天獨厚的優勢，無線網絡在數控環境的應用也（yě）是存在（zài）的，但無線網絡的安全性（xìng）相（xiàng）對於有線網（wǎng）絡更具（jù）有挑戰。因此（cǐ），無論數控網絡在有線信道和無線信道上都有對數（shù）據進行（háng）加密保護的需求（qiú），此時國產（chǎn）密碼技術（shù）的應用順理成章，如 IPSec VPN、SSLVPN 和應用層加密處理等。

在存在信道加（jiā）密需求的數控網（wǎng）絡中，防護裝置可以安裝支持國產密碼算法的智能卡（kǎ）或加密卡對加密數據進行解密。數據的加（jiā）密則是通過 DNC 服務器上的智（zhì）能卡或者加密卡完成的。兩者可以通過支持國產密碼（mǎ）算法的 IPSec VPN 或者 SSLVPN 建立加密信道，由（yóu）防護裝置將數據解（jiě）密後（hòu）再（zài）以明文方式轉發給數（shù）控機床。對於數控機床來說，整個加（jiā）解密過程是透明的（de）。

4.4.4 基於國產密碼算法的數據加解密應用

數控（kòng）網絡並非惡意攻擊的唯一切入點，主機攻擊、管理漏洞造成的物理攻擊等都會造成重要數據的丟（diū）失與破（pò）壞，且網絡攻擊的最終目標除了破壞正常（cháng）的網絡運行外，就（jiù）是（shì）獲取重要數據，因此數據（jù）保護（hù）非常關鍵。數（shù）控環境中數據（jù）的國密技術應用很大一部分困難在於無法與（yǔ）控製設備（如 PLC、數控機床等）共享加（jiā）密數據。若加密數據經解（jiě）密後在網絡中傳輸，必然存在信息泄露的可能。數控機床專（zhuān）用安全防護裝置的引入能（néng）很容易解決這個問題。這裏提（tí）及的數據加（jiā）密可（kě）采用 SM1 等對稱加密算法，DNC服務器上的所（suǒ）有明文數控文件都（dōu）需要進行加密處理後再存儲，新接收的文件必須默認為密文。文（wén）件傳（chuán）輸至防護裝置，由防護裝置解密後轉發給數控機床；反之，防（fáng）護裝置對數控機床上傳的（de）文件進行加密（mì）後轉發（fā）給 DNC 服務器進行存儲（chǔ），保證（zhèng）數據的機密性。

4.4.5 基於國產（chǎn）密碼算法的數控設備安全（quán）升級

在國產數（shù）控設備（如 PLC[5]、數（shù）控機床等）中，加入安全、加密功能，使（shǐ）得這些設備自身具有網絡安全和（hé）數據加解密（mì）功（gōng）能。還有一種升級需要應用到國產密碼算法——設備（bèi）軟件升（shēng）級，如數控機床專用安全防護裝置自身係統升級時使用的升（shēng）級鏡像，要通（tōng）過國產（chǎn）密碼算法進行簽名，升級過程中需要對導入的升級包進行驗（yàn）簽，以確（què）保防（fáng）護裝置（zhì）所用升（shēng）級鏡像未（wèi）被非法篡改。

5 、結語

本文適（shì）時提出基於國（guó）產密碼算法的數控係統安全解決方案，不僅拓展了國（guó）產密碼（mǎ）算法的應用領域（yù），而且（qiě）開闊了數控係（xì）統整體安全防護、數控機床專用安全防護的技術思路（lù）。後期還可（kě）以基於數控機床的數控程序存儲裝置、計算機控製（zhì）主機、可編程邏輯控製器（PLC）等核心組件（jiàn）上加入安全（quán）模塊，強化數控係統核心組成部分的（de）自身安全防護，進（jìn）一步提升係（xì）統安全性。

投稿箱：
如果您有機床行業、企業相關新聞稿件發（fā）表，或進行（háng）資訊合作，歡迎聯係（xì）本網編輯部，郵箱：skjcsc@vip.sina.com

更多相關（guān）信息

名企推薦

業界（jiè）視點

| 更（gèng）多

行業數據

| 更（gèng）多

博文（wén）選萃（cuì）

| 更多