CN103401880A - 一种自动登录的工业控制系统及控制方法 - Google Patents

Abstract

本发明公开一种自动登录工业控制系统的方法和控制系统，包括：登录终端LC、操作站OS、验证代理单元VPP、服务器Server，在整个登录过程中，不出现用户名、密码等关键信息，可以避免信息泄露，提高安全性。同时也省去操作员经常手工输入各种信息进行登录的麻烦。登录终端、操作员站和服务器之间的所有信息都通过两次加密和完整性验证，每次通信的私钥动态改变，公共密钥也定期更新，并使用多种加密算法，安全性高。登录终端能够对操作员的合法性进行验证，防止非法、非授权的使用。使用同时具有身份标识和加密狗两种功能的登录终端，操作人员不用记忆用户名和密码信息，直接使用登录终端即可登录服务器，通过操作站的认证。

Description

一种自动登录的工业控制系统及控制方法

技术领域

本发明涉及工业控制系统，尤其是工业控制系统的登录技术。

背景技术

工业控制系统中，操作人员使用操作站进行操作。一般提供登录界面，操作人员需要手工输入用户名和密码才能登录。当登录另一操作站时，用户也必须进行同样的手工输入操作。这种登录方式操作繁琐。同时，每个操作人员都要管理自己的用户名和密码。在使用时，1）容易被黑客软件、键盘监视软件等获取密码；2）容易被他人窥探；3）网络传输容易被截获，明文信息可以直接被获取到，对于加密性不高的信息，也容易被破译，所以存在安全漏洞。为此，本发明提供一种自动登录方法，在提升安全性的同时，也增强系统易用性。

发明内容

本发明针对现有技术存在的用户使用不方便以及不安全的缺陷，将身份标识和加密狗结合在一起。提供一种自动登录方法，省去操作人员频繁输入用户名、密码等操作，方便易用。信息传输采用多种加密算法的组合，并以时间为基础随机选择加密算法和密钥，公钥和私钥同时使用，提供两次加密，提高安全性。同时应用完整性算法，保证信息传输的完整性。各组成部分之间互相鉴别，杜绝发生伪装的情况。

本发明解决上述技术问题的技术方案是，提出一种工业控制系统自动登录方法，包括，登录终端LC通过串口USB接口连接操作员站OS计算机；OS的运行验证代理VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对VPP转发数据包进行解密，并通过验证码检验数据包的完整性，如果数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对收到原始响应数据进行解密，使用指定的加密方法和加密密钥解密得到LCID，VPP验证LCID是否合法，OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用原始登录请求数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，Server为OS生成唯一的随机会话SessionID，并将该SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server根据有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP根据验证码进行解密得到SessionID、有效期，使用该SessionID，请求Server的服务。

Server收到来自OS的登录请求，通过完整性验证后，使用OS指定的加密方法和加密密钥进行解密，得到SessionID和请求命令，进一步使用SessionID、OS的IP地址和MAC地址进行验证，若验证通过则提供服务，并返回正响应，若验证未通过则拒绝服务，返回负响应。

其中，原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码，使用公共加密算法和公共密钥对原始响应数据进行加密后发送给OS。原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID、根据原始登录请求数据包中加密密钥、IP地址、MAC地址、LCID采用该加密方法获得的验证码。登录终端在IC卡、智能卡、以及智能手机内置的SIM卡或NFC卡上实现加密算法。

本发明还提出一种工业控制网络自动登录系统，包括：登录终端LC、操作站OS计算机、验证代理单元VPP、服务器Server。LC通过USB接口连接OS计算机；OS的VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对数据包进行解密，并通过验证码检验数据包的完整性，如果数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对原始响应数据进行解密，使用指定的加密方法和加密密钥解密得到LCID，VPP验证LCID是否合法，OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，Server为OS生成唯一的随机会话SessionID，并将SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server根据有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP根据验证码进行解密得到SessionID、有效期，使用该SessionID，请求Server的服务。

本发明自动完成登录，不需人为干预。在整个登录过程中，不出现用户名、密码等关键信息，可以避免信息泄露，提高安全性。同时也省去操作员经常手工输入各种信息进行登录的麻烦。登录终端（LC）、操作员站（OS）和服务器（Server）之间的所有信息都通过两次加密和完整性验证，每次通信的私钥动态改变，公共密钥也定期更新，并使用多种加密算法，安全性非常高。登录终端（LC）、操作员站（OS）和服务器（Server）之间互相会进行合法性验证，能够识别出各种伪装。登录终端（LC）能够对操作员的合法性进行验证，防止非法、非授权的使用。使用同时具有身份标识和加密狗两种功能的登录终端，操作人员不用记忆用户名和密码信息，直接使用登录终端即可登录服务器，通过操作站的认证。方便易用。本发明可以应用于工业控制系统中。同时也能够应用于BS/CS架构的各种系统中。

附图说明

图1本发明系统结构示意图；

图2本发明登录服务流程示意图。

具体实施方式

图1所示为本发明系统结构示意图。本系统结构包括登录终端（LC）、操作员站（OS）和服务器（Server）三部分。LC可以是一种便携设备，由操作员持有，LC可表示操作员有效身份的一种凭证，还可作为使用操作员站的加密狗。LC可以设计为U盘、加密狗、U盾、卡片等形状方便携带。也可以直接使用智能手机，使用智能手机的SIM卡、NFC卡、手机号码等作为ID，LC包含微处理器、非易失存储器、IC卡（或智能卡）等，实现了Server要求的各种加密算法，根据指定的密钥可以使用加密算法进行加密和解密操作。在自动登录到Server时，登录终端连接到OS，验证操作员站具有合法的身份，启动OS进行各项操作。防止非授权、非法的操作员的使用。

所有的监控操作都通过OS发出。因为各种操作对控制系统非常重要，不当的操作可能会带来严重的后果。因此必须要保证是经过授权的合法用户才能够进行各种操作。LC作为使用OS的加密狗，连接到OS，并通过VPP的验证后进行各种操作。如果要用到Server提供的服务，OS必须首先登录到Server，经过Server验证授权后才能进行。

在登录时，LC连接到OS，OS中的VPP负责自动登录的操作控制。通过登录并获得Server的授权后，能够通过OS访问Server提供的各项服务，服务器（Server）是为OS提供服务的计算机。OS请求使用Server提供的各种服务，OS需要得到Server的身份、权限验证后，才能够使用这些服务。OS使用LC作为身份证明，通过VPP向Server进行登录。该登录过程由VPP自动完成，不需要操作员输入密码等信息。Server、OS和LC之间进行通信时，都通过公共加密算法和公共密钥进行加密，公共加密算法和公共密钥由Server负责管理。在操作员申领LC时，Server将初始公共加密算法和公共密钥预先写入到LC中，VPP中附带有初始的公共加密算法和公共密钥。使用初始的公共加密算法和公共密钥与Server进行加密通信，LC申请公共加密算法和公共密钥，并从Server获取合法的LCID（用于判断连接到OS的LC是否合法）。在正常使用过程中，Server定期更新公共加密算法和公共密钥，以保证系统的安全。

LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对数据包进行解密，并通过验证码检验数据包的完整性，如果数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对原始响应数据进行解密，使用指定的加密方法和加密密钥解密得到LCID，VPP验证LCID是否合法，OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，Server为OS生成唯一的随机会话SessionID，并将SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server根据有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP根据验证码进行解密得到SessionID、有效期，使用该SessionID，请求Server的服务。

LC登录服务器包括如下步骤：

步骤①：登录终端（LC）身份验证。系统对登录终端进行身份验证，只有通过登录终端的验证，操作员才能够使用登录终端进行后续的操作。

步骤②：登录终端通过USB、蓝牙、WIFI等方式连接到操作站（OS）。OS运行验证代理（VPP），VPP检测到LC之后，向LC发送读ID请求。该读ID请求数据包由加密方法、加密密钥、读ID命令和验证码4个部分组成。其中，读ID命令采用其加密方法和加密密钥进行加密，根据加密方法、加密密钥、读ID命令计算获取验证码。将原始读ID请求数据包通过公共加密算法和公共密钥进行加密形成读ID请求数据包，并发送给LC。

步骤③：LC接收到来自VPP的读ID请求数据包之后，使用公共加密算法和公共密钥对读ID请求数据进行解密，得到VPP传过来的原始读ID请求数据包。通过得到的验证码检验数据包的完整性。如果是完整的，则对读ID命令进行处理。获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据。原始响应数据包括4个部分：加密方法、加密密钥、ID和验证码，其中，通过加密方法和加密密钥进行加密获得ID，根据加密方法、加密密钥、及其ID计算得到相关验证码。使用公共加密算法和公共密钥对原始响应数据进行加密后发送给OS。

步骤④：OS收到LC的响应数据后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用指定的加密方法和加密密钥解密得到LC的标识ID（LCID）。获取到LCID 后，VPP验证LCID是否是合法的。完成对LCID的验证后，OS再以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密，并形成原始登录请求数据包。原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID和原始登录请求数据包验证码。其中，该原始登录请求数据包验证码由加密方法、加密密钥、IP地址、MAC地址、LCID计算获取。IP地址、MAC地址、LCID均通过加密方法和加密密钥进行加密。OS将原始登录请求数据包使用公共加密算法和公共密钥进行加密，并发送给Server。以此请求登录。

步骤⑤：Server收到VPP的登录请求后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用数据包中指定的加密方法和加密密钥解密得到LCID。Server查询LCID具有的身份和权限，如果合法则接受登录，为OS生成独一无二的随机的会话标记（SessionID）。Server将SessionID与LCID、操作站的IP地址、MAC地址绑定起来，并指定SessionID的有效期。Server根据时间选用新的随机的加密算法和加密密钥，并将SessionID、有效期进行加密生成验证码，再返回给VPP。VPP收到Server的返回后，解密后得到SessionID、有效期，标记已经登录成功。使用该SessionID，请求Server的服务。至此，自动登录完毕。

登录后使用服务的步骤如图2所示。

步骤①：OS使用SessionID向Server请求服务。原始请求数据包包括：加密方法、加密密钥、SessionID、OS的IP地址、OS的MAC地址、请求命令和验证码，OS根据本地时间从服务器随机选取加密方法和加密密钥。用选取的加密方法和加密密钥进行加密后获得SessionID和请求命令，并计算得到验证码。原始请求数据包经过OS使用公共加密算法和公共密钥进行加密，形成请求数据包并发送给Server。

步骤②：Server收到来自OS的请求后，使用公共加密算法和公共密钥进行解密，验证数据包的完整性。完整性验证通过后，使用OS指定的加密方法和加密密钥进行解密，得到SessionID和请求命令。进一步使用SessionID、OS的IP地址和MAC地址进行验证。若验证通过，则根据请求命令提供服务，并返回正响应。若验证未通过，则拒绝服务，返回负响应。返回的响应也通过公共加密算法和公共密钥进行加密。

步骤③：OS接收Server的响应，解密并根据返回的结果进行响应的处理。操作员首先通过登录终端身份验证。验证的具体实现方式可以为：登录终端包括一组DIP开关，操作员拨动DIP开关，通过DIP开关输入一组二进制数，登录终端验证输入身份是否正确。登录终端还可采用指纹识别。操作员事先将指纹信息存储在登录终端中。在验证时，登录终端采集指纹，并进行验证。计算机、智能手机等设备通过USB、蓝牙等通信方式，将密码发送给登录终端，由登录终端进行验证。登录终端可通过以下的通信方式之一与操作站连接：USB，蓝牙，WIFI，RS232串口。

登录终端可以在已有设备上实现：在IC卡、智能卡的基础上添加微处理器、存储器，在智能手机等设备上，以内置的SIM卡或NFC卡为基础实现各种加密算法。

通过以下之一的现有完整性算法实现完整性校验：CRC16，CRC32，MD5。也可以采用私有方法实现。加密方法可通过现有成熟的加密算法的一种或几种的组合来实现。如可为：DES算法，3DES算法，TDEA算法，Blowfish算法，RC5算法，IDEA算法，RSA，Elgamal，背包算法，Rabin，D-H，ECC，也可以通过采用私有的加密算法。

以下举例说明自动登录的实现：

步骤①：如登录终端（LC）的使用密码设为0x03。操作员拨动8位DIP开关，最低两位置为ON，其他置为OFF，形成字节0x03，输入密码与设置的密码符合，LC通过操作员身份验证允许进行后续的操作。

步骤②：LC通过USB接口连接OS计算机。OS中的VPP自动检测到LC，向LC发送读ID请求。该请求中包含：加密方法、加密密钥、读ID命令和验证码4个部分。读ID请求数据包通过服务器（Server）指定的公共加密算法和公共密钥进行加密。

步骤③：LC接收到来自VPP的读ID请求后，使用公共加密算法和公共密钥对数据进行解密，得到VPP转发的数据包。使用加密方法、加密密钥对数据包进行解密。通过验证码检验数据包的完整性。如果验数据包完整，则对读ID命令进行处理，获取存储在只读、非易失存储器中的ID。然后使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据。原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码。最后使用公共加密算法和公共密钥对原始响应数据进行加密后，发送给OS。

步骤④：OS收到LC的响应数据后，使用公共加密算法和公共密钥进行解密。

进行完整性校验，进一步使用指定的加密方法和加密密钥解密得到LC的ID（LCID）。获取LCID 后VPP验证是否合法，完成对LCID的验证。OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密，并形成原始登录请求数据包。原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID、根据原始登录请求数据包中加密密钥、IP地址、MAC地址、LCID采用该加密方法获得的验证码。IP地址、MAC地址、LCID均通过加密方法和加密密钥进行加密。OS将原始登录请求数据包使用公共加密算法和公共密钥进行加密，并发送给Server。以此请求登录。

步骤⑤：Server收到VPP的登录请求后，使用公共加密算法和公共密钥进行解密。并进行完整性校验，进一步使用数据包中指定的加密方法和加密密钥解密得到LCID。Server查询LCID具有的身份和权限，如果合法则接受登录，并为OS生成唯一的随机会话ID（SessionID）。Server将SessionID与LCID、操作站IP地址、MAC地址绑定，并指定SessionID的有效期。Server根据时间选择新的随机的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，再返回给VPP。VPP收到Server的返回后，进行解密得到SessionID、有效期，标记已经登录成功。然后使用该SessionID，请求Server的服务。完成自动登录。

Claims (10)

1.一种工业控制系统自动登录方法，其特征在于，登录终端LC通过USB接口连接操作站OS；OS的VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，如果转发数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据发送给OS；OS使用公共加密算法和公共密钥对收到的原始响应数据进行解密得到LCID，VPP通过验证码验证LCID；OS在当前时间随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，并使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用数据包中指定的加密方法和加密密钥对加密的原始登录请求数据包解密得到LCID，Server为OS生成唯一的随机会话标记SessionID，并将SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期；Server在有效期内随机选择新的加密算法和加密密钥对SessionID、有效期进行加密生成验证码返回给VPP，VPP对验证码进行解密得到SessionID、有效期，在有效期内LC使用该SessionID请求Server的服务。

2.根据权利要求1所述的方法，其特征在于，原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码；原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID、根据原始登录请求数据包中加密密钥、IP地址、MAC地址、LCID采用该加密方法获得的验证码。

3.根据权利要求1所述的方法，其特征在于，Server将初始公共加密算法和公共密钥预先写入到LC中，使用初始的公共加密算法和公共密钥与Server进行加密通信，LC申请公共加密算法和公共密钥，并从Server获取合法的LCID。

4.根据权利要求1所述的方法，其特征在于，登录终端在IC卡、智能卡、以及智能手机内置的SIM卡或NFC卡上实现加密算法。

5.根据权利要求1所述的方法，其特征在于，Server收到来自OS的登录请求，通过完整性验证后，使用OS指定的加密方法和加密密钥进行解密，得到SessionID和请求命令，进一步使用SessionID、OS的IP地址和MAC地址进行验证，若验证通过则提供服务，并返回正响应，若验证未通过则拒绝服务，返回负响应。

6.一种工业控制网络自动登录系统，包括：登录终端LC、操作站OS、验证代理单元VPP、服务器Server，其特征在于，LC通过USB接口连接OS；VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对转发数据包进行解密，如果数据包完整，则获取存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对收到的原始响应数据进行解密得到LCID，VPP通过验证码验证LCID，OS在当前时间随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，为OS生成唯一的随机会话SessionID，并将SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server在有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP进行解密得到SessionID、有效期，在有效期内LC使用该SessionID请求Server的服务。

7.根据权利要求6所述的系统，其特征在于，原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码；原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID、根据原始登录请求数据包中加密密钥、IP地址、MAC地址、LCID采用该加密方法获得的验证码。

8.根据权利要求6所述的系统，其特征在于，Server将初始公共加密算法和公共密钥预先写入到LC中，使用初始的公共加密算法和公共密钥与Server进行加密通信，LC申请公共加密算法和公共密钥，并从Server获取合法的LCID。

9.根据权利要求6所述的系统，其特征在于，登录终端在IC卡、智能卡、以及智能手机内置的SIM卡或NFC卡上实现加密算法。

10.根据权利要求6所述的系统，其特征在于，登录终端包括一组DIP开关，通过DIP开关输入一组二进制数作为登录终端输入身份验证码。

Images