CN103490895B - 一种应用国密算法的工业控制身份认证方法及装置 - Google Patents

Abstract

一种应用国密算法的工业控制身份认证方法及装置，涉及工业控制安全领域。本发明由包含TCM安全芯片、操作系统、身份认证授权管理系统、工业防火墙、外网接口、内网接口和BIOS的身份认证授权管理服务器和包含CPU、保密存储器、芯片操作系统的国密串口身份认证终端组成。本发明通过国密算法SM1、SM2、SM3的组合应用实现身份认证授权管理服务器的可信运行和只读访问终端、配置修改终端、安全管理终端的不同权限授权和三种国密串口身份认证终端通过外网访问工业控制系统的权限实现方法。本发明可以有效并严格管理工业控制系统与外部网络的边界，用以满足我国工控系统安全的需要，本发明具有安全可靠，快速推广，维护简便，运营费用低廉，普遍适用的特点。

Description

一种应用国密算法的工业控制身份认证方法及装置

技术领域

本发明涉及工业控制安全领域，尤其是解决高速工业以太环网和自动化平台软件整合的工业控制系统与外部网络和其他系统连接的边界安全问题。

背景技术

中华人民共和国工业和信息化部于2011年10月发布《关于加强工业控制系统信息安全管理的通知》，该《通知》指出数据采集与监控SCADA、分布式控制系统DCS、过程控制系统PCS、可编程逻辑控制器PLC和远程终端RTU等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。一旦工业控制系统信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患。随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。

工业控制系统又称ICS，一方面，敌对政府、恐怖组织、商业间谍、内部不法人员、外部非法入侵者等对系统虎视眈眈。国家关键基础所依赖的很多重要信息系统从技术特征上讲是ICS，而不是传统上我们熟悉的TCP／IP网络，其安全是国家经济稳定运行的关键，是信息战中敌方的重点攻击目标，攻击后果极其严重。另一方面，系统复杂性、人为事故、操作失误、设备故障和自然灾害等也会对ICS造成破坏。在现代计算机和网络技术融合进ICS后，传统ICP／IP网络上常见的安全问题已经纷纷出现在ICS之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响工作效率、浪费系统资源，而且还是病毒、木马等恶意代码进入系统的主要原因和途径。

目前计算机病毒、各种网络攻击等新特点层出不穷，工业控制系统面临着安全新挑战，而国内大部分工业自动化系统的网络层采取了一些传统安全防护措施，诸如防火墙、防毒墙、网络入侵防御、VPN等安全设备纷纷安装在工业控制系统ICS网关的位置。然而国内成熟的安全网关产品所采用的底层算法和操作系统全部来自于国外厂商，也有的工业控制系统直接采购国外的网关设备，例如加拿大Tofino公司的安全网闸和美国Industrial Defender公司的安全防护网络就占据了国内工业控制安全网关产品的很大市场份额。

然而2010年发生的“震网”病毒事件和2013年6月爆出的棱镜门事件告诉我们两个事实，第一个事实是国外厂商生产的软件和硬件大都留有后门或者具有向他国情报部门泄露信息的程序；第二个事实是所谓的“影响工业控制安全的病毒”并非是我们所熟悉的互联网“计算机病毒”，“影响工业控制安全的病毒”从互联网“计算机病毒”的角度分析往往不带有攻击性，没有一般“计算机病毒”所具有的病毒特征，属于正常的计算机数据，但是对于工业控制系统来说“影响工业控制安全的病毒”是正常指令被错误的场景执行了错误的执行次数，从而造成整个工业控制系统遭受巨大的不可挽回的损失。

我国工业控制系统ICS的最大弊端在于，工业控制系统本身的核心技术是掌握在诸如ABB、西门子、施耐德等大型跨国企业手中，如果工业控制系统的安全边界网关同样使用国外进口的产品和技术，将使我国的基础工业完全暴露在外国情报部门的掌控之中，一旦爆发战争，整个国家的工业体系将受到严重摧毁。

现有技术中与本发明类似的国内发明专利有冶金自动化研究设计院申请的专利2012100085049工业控制网络安全防护方法及系统，该发明由前方主机、后方主机、安全控制主机组成工业控制网络安全防护系统，通过TPM模块保护主机本身的操作系统和应用程序，由于TPM模块是国外的技术体系，在工业控制方面等同于对主机本身的操作系统和应用程序面对国外情报部门的时候失去保护作用。并且申请号为2012100085049的专利技术对于安全控制主机的主要功能是通过入侵检测、端口控制、IP地址过滤等防火墙和入侵检测技术来对工业控制系统进行隔离，这种隔离方法更加适用于普通计算机网络的安全防护。对于工业控制系统真正起到破坏作用的攻击指令不具有病毒特征和攻击特征，是正常的指令在错误的环境执行错误的次数，因此冶金自动化研究设计院申请的专利2012100085049工业控制网络安全防护方法及系统具有不够完善的设计。冶金自动化研究设计院申请的专利2012100085049工业控制网络安全防护方法及系统，通过模拟工业控制系统运行来进行工业控制系统指令分析从而达到防护的方法可以说是一种创新思想，但是在工业控制系统的核心技术被诸如ABB、西门子、施耐德等大型跨国企业手中掌握的情况下，模拟程序如何建立是一个很大的问题，外国厂商的核心技术重来没有对使用方公开过，因此仿真系统以中国现有的技术水平无法建立，就算要建立仿真系统，也需要由国外厂商执行，这种执行结果仍然使安全性丧失。本发明通过完善身份认证的角度，使用国产TCM模块保护身份认证主机和操作系统及应用程序，通过国密算法严格的对外部访问请求和外部数据进行身份识别可以彻底杜绝信息泄露与外部攻击，并且本发明内置工业防火墙模块，可以进一步保证了平台的实用性和不间断工作能力，内置工业防火墙的主要作用是防止由于TCM模块保护功能遇到外部攻击自动断网导致频繁断网的问题。

本发明涉及TPM安全芯片和TCM安全芯片。所谓TPM安全芯片，是指符合TPM标准的安全芯片，它能有效地保护PC，防止非法用户访问。TPM标准由可信赖计算组织（Trusted Computing Group，TCG）制定。尽管TCG是非营利性机构，TPM的技术也是开放的，但由于掌握核心技术的仍是Microsoft、Intel、IBM等国际巨头，因此采用TPM标准的安全设备会使国家信息安全面临巨大威胁。以密码算法为突破口，依据嵌入芯片技术，完全采用我国自主研发的密码算法和引擎，来构建一个安全芯片，我们称之为可信密码模块（Trusted Cryptography Module，TCM）。TCM由长城、中兴、联想、同方、方正、兆日等十二家厂商联合推出，得到国家密码管理局的大力支持，TCM安全芯片在系统平台中的作用是为系统平台和软件提供基础的安全服务，建立更为安全可靠的系统平台环境。

本发明涉及国密算法SM1、SM2、SM3。国密 SM1 算法是由国家密码管理局编制的一种商用密码分组标准对称算法。该算法是国家密码管理部门审批的 SM1 分组密码算法 , 分组长度和密钥长度都为 128 比特，该算法不公开，仅以 IP 核的形式存在于芯片中。SM2为国家密码管理局公布的公钥算法，其加密强度为256位。SM2算法本质上是一种椭圆曲线算法（ECC），属于非对称加解密算法，在细节上，SM2算法规定了签名、验证、密钥交换等具体细节。SM3，密码杂凑算法，杂凑值长度为32字节。

发明内容

针对上述现有技术中存在的问题，本发明的目的是提供一种应用国密算法的工业控制身份认证方法及装置，本发明应用我国自主研发的TCM安全芯片保护身份认证服务器的操作系统和身份认证授权管理系统以及内置工业防火墙模块，本发明应用我国自主发明的国密算法SM1，SM2，SM3组成真正自主知识产权的身份认证授权管理系统，用严格的身份认证授权管理系统将工业控制系统与外部网络和其他系统的连接管理起来。本发明主要用途有以下四点，第一点工业控制系统的任何信息在没有收到具有外部访问权限并通过身份认证的用户请求的情况下都无法到达外部网络和其他系统；第二点当具有外部访问权限的用户通过身份认证读取工业控制系统的任何信息时，工业控制系统的任何信息均通过国密算法加密然后送达到有读取请求的并通过身份认证的授权用户，这种通过国密算法加密的信息在没有所对应密钥的情况下无法解读；第三点一切来自工业控制系统外部的数据首先进行身份认证，不具有系统授权身份的数据直接丢弃；第四点当操作人员修改工业控制系统配置乃至工业控制系统控制工序的情况下，本发明要求首先判别操作人员是否具有修改权限，当操作人员具有修改权限本发明要求由安全管理人员向系统提交修改授权信息后才能够进行工业控制系统的系统配置和控制工序的修改，缺乏任何条件均无法向工业控制系统传送来自外部网络和其他系统的任何数据。本法明用以满足我国广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行的工业控制系统与外部网络和其他系统连接的边界安全问题，不仅具有广泛的市场而且是我国工业控制安全大环境的必要组成部分。

为实现上述发明的目的，本发明的技术方案以如下方式实现：

一种应用国密算法的工业控制身份认证方法及装置由身份认证授权管理服务器和国密串口身份认证终端两部分组成。由TCM安全芯片、操作系统、身份认证授权管理系统、工业防火墙、外网接口、内网接口和BIOS组成身份认证授权管理服务器；由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作系统组成国密串口身份认证终端。TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成；操作系统采用Linux内核；身份认证授权管理系统由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成；工业防火墙由IP地址过滤器，端口控制器，入侵检测器组成； TCM安全芯片的密码算法模块包括SM1算法引擎、SM2算法引擎、SM3算法引擎。

上述发明一种应用国密算法的工业控制身份认证方法及装置的主要步骤为：

1）身份认证授权管理服务器可信平台构建

身份认证授权管理服务器首次启动，由TCM安全芯片的SM3算法引擎分别计算BIOS、操作系统、身份认证授权管理系统和工业防火墙的杂凑值，并将BIOS杂凑值、操作系统杂凑值、身份认证授权管理系统杂凑值和工业防火墙杂凑值存储于数据保密存储模块，之后由TCM安全芯片的SM1算法引擎分别用身份认证授权管理服务器各组成系统的杂凑值的前128比特作为各组成系统的加密密钥，分别将各组成系统加密存储于身份认证授权管理服务器硬盘，生成工业防火墙备份数据、身份认证授权管理系统备份数据、操作系统备份数据、BIOS备份数据。

2）身份认证授权管理服务器可信平台运行

身份认证授权管理服务器运行中，通过身份认证授权管理服务器外网接口的外网数据依次通过工业防火墙的IP地址过滤器、端口控制器、入侵检测器生成通过防火墙的外部数据，通过防火墙的外部数据到达身份证授权管理系统后，身份认证授权管理系统通知TCM安全芯片的完整性报告模块调用SM3算法引擎先后对工业防火墙、身份认证授权管理系统、操作系统、BIOS进行杂凑值计算，生成工业防火墙运行中杂凑值、身份认证授权管理系统运行中杂凑值、操作系统运行中杂凑值、BIOS运行中杂凑值并且将生成的各组成系统运行中杂凑值与各组成系统存在数据保密存储模块中的杂凑值比较，当比较结果为不同时，重启身份认证授权管理服务器并且通过SM1算法引擎使用各组成系统的加密密钥作为解密密钥，对存储在身份认证授权管理服务器硬盘的各组成系统备份数据进行解密复原，各组成系统此处特指组成身份认证授权管理服务器的工业防火墙、身份认证授权管理系统、操作系统和BIOS。

3）身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权

由身份认证授权管理系统的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成安全管理公钥、安全管理私钥、安全管理椭圆曲线参数，由身份认证授权管理系统的角色权限定义器生成包含包括身份证号码、权限类型、所管辖的设备列表的安全管理员的身份信息，由身份认证信息生成器将安全管理公钥、安全管理椭圆曲线参数、安全管理员的身份信息组成安全管理证书，由身份认证信息生成器将安全管理证书存储于TCM安全芯片的数据保密存储模块并将安全管理证书、安全管理私钥、安全管理公钥、安全管理椭圆曲线参数通过身份认证授权管理服务器串口发送给国密串口身份认证终端，国密串口身份认证终端收到身份认证信息生成器发来的数据由芯片操作系统将安全管理证书、安全管理私钥、安全管理公钥、安全管理椭圆曲线参数存储于保密存储器。

4）身份认证授权管理服务器对国密串口身份认证终端进行只读许可授权

方法与身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权相同，不同处在于将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理员的身份信息、安全管理证书替换为只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读许可使用者身份信息、只读权限证书，只读许可使用者的身份信息包括身份证号码、权限类型、允许只读访问的设备列表。

5）身份认证授权管理服务器对国密串口身份认证终端进行配置修改许可授权

方法与身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权相同，不同处在于将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理员的身份信息、安全管理证书替换为配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改使用者身份信息、配置修改权限证书，配置修改使用者的身份信息包括身份证号码、权限类型、允许进行配置修改的设备列表。

6）只读访问终端从外网访问工业控制网络的步骤

①由只读访问终端的芯片操作系统调用CPU的SM2算法引擎对只读访问终端通过外网访问工业控制网络的数据进行数字签名，生成经只读访问终端签名的外网数据；经只读访问终端签名的外网数据通过身份认证授权管理服务器的外网接口和工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用只读权限证书对经过只读访问终端签名的外网数据进行签名验证，通过身份验证的经只读访问终端签名的外网数据由协议转换器转换成工控协议的只读外网数据后送达到工控指令集，工控指令集判定工控协议的只读外网数据属于状态查询指令时，将工控协议的只读外网数据通过内网接口送达工业控制系统，工控协议的只读外网数据不属于状态查询指令时丢弃该数据。

②工业控制系统返回的工控协议的只读内网数据经内网接口传送给身份认证授权管理系统的协议转换器进行协议转换，生成返回的只读内网数据，由身份认证授权管理系统的身份认证信息生成器调用TCM安全芯片的SM2算法使用只读访问公钥，加密返回的只读内网数据，生成公钥加密的返回的只读内网数据，并通过身份认证授权管理服务器的外网接口传送给通过外网访问的只读访问终端的芯片操作系统。

③由只读访问终端的芯片操作系统调用CPU的SM2算法引擎，使用只读访问私钥，对公钥加密的返回的只读内网数据进行私钥解密，并将解密还原的返回的只读内网数据存储于保密存储器，由芯片操作系统读取保密存储器中的返回的只读内网数据发送给显示系统。

7）配置修改终端从外网访问工业控制网络的步骤

①由配置修改终端的芯片操作系统调用CPU的SM2算法引擎对配置修改终端通过外网访问工业控制网络的数据进行数字签名，生成经配置修改终端签名的外网数据；经配置修改终端签名的外网数据通过身份认证授权管理服务器的外网接口和工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用配置修改权限证书对经过配置修改终端签名的外网数据进行签名验证，通过身份验证的经配置修改终端签名的外网数据由协议转换器转换成工控协议的配置修改外网数据后送达到工控指令集，工控指令集判定工控协议的配置修改外网数据属于配置修改指令时，向操作系统发出需要安全管理授权的信息，并将工控协议的配置修改外网数据涉及的工控设备编号和所做的配置修改项组合成配置修改说明存储于TCM安全芯片的数据保密存储模块中；当工控协议的配置修改外网数据不属于配置修改指令时，工控指令集丢弃工控协议的配置修改外网数据。

②由操作系统查询TCM安全芯片4的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明已经更新为经安全管理授权的配置修改说明时，操作系统向身份认证授权管理系统的工控指令集发出已授权通知，工控指令集接到已授权通知将工控协议的配置修改外网数据发送给身份认证授权管理服务器的内网接口，内网接口将工控协议的配置修改外网数据发送到工业控制系统；操作系统查询TCM安全芯片的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明尚未更新为经安全管理授权的配置修改说明时，即数据保密存储模块向操作系统返回配置修改说明尚未授权信息时，操作系统向身份认证授权管理系统的工控指令集发出未授权通知，工控指令集接到未授权通知将工控协议的配置修改外网数据发送给TCM安全芯片的数据保密存储模块存储。

8）安全管理终端从外网访问工业控制网络的步骤

①由安全管理终端的芯片操作系统调用CPU的SM2算法引擎对安全管理终端通过外网访问工业控制网络的数据进行数字签名，生成经安全管理终端签名的外网数据；经安全管理终端签名的外网数据通过身份认证授权管理服务器的外网接口和工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用安全管理证书对经过安全管理终端签名的外网数据进行签名验证，通过身份验证的经安全管理终端签名的外网数据由身份认证信息生成器送达TCM安全芯片的平台身份验证模块。

②平台身份验证模块根据经安全管理终端签名的外网数据检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块调用TCM安全芯片的密码算法模块的SM2算法引擎，使用安全管理公钥对配置修改说明进行公钥加密，生成公钥加密的配置修改说明。

③平台身份验证模块将公钥加密的配置修改说明通过外网接口传送到安全管理终端的芯片操作系统，安全管理终端的芯片操作系统将公钥加密的配置修改说明存储到安全管理终端的保密存储器。

9）安全管理员对配置修改说明授权

①安全管理员访问配置修改说明的步骤首先由安全管理终端的芯片操作系统从保密存储器读取公钥加密的配置修改说明和安全管理私钥，然后由芯片操作系统调用CPU的SM2算法引擎使用安全管理私钥对公钥加密的配置修改说明进行私钥解密，还原成配置修改说明并发送到显示系统，同时芯片操作系统从保密存储器读取安全管理证书，并从安全管理证书中分离出所管辖的设备列表。

②安全管理员对配置修改说明进行授权操作，安全管理终端的芯片操作系统调用安全管理终端的CPU的SM2算法引擎，安全管理终端的芯片操作系统读取存储于安全管理终端的保密存储器中的安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理权限证书，使用SM2算法引擎对配置修改说明进行数字签名，生成经安全管理授权的配置修改说明并发送给身份认证授权管理服务器的外网接口。

③经安全管理授权的配置修改说明通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎使用安全管理权限证书对经安全管理授权的配置修改说明进行身份验证。

④通过身份验证的经安全管理授权的配置修改说明由身份认证授权管理系统的身份认证信息生成器发送到TCM安全芯片的平台身份验证模块，平台身份验证模块根据经安全管理授权的配置修改说明检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块将配置修改说明替换为相应的经安全管理授权的配置修改说明。

上述的一种应用国密算法的工业控制身份认证方法及装置，其结构特征是由身份认证授权管理服务器和国密串口身份认证终端两部分组成，国密串口身份认证终端具有安全管理终端、只读访问终端、配置修改终端三种类型；身份认证授权管理服务器由TCM安全芯片、操作系统、身份认证授权管理系统、工业防火墙、外网接口、内网接口和BIOS组成；国密串口身份认证终端由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作系统组成；身份认证授权管理服务器的TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成，主要完成身份认证授权管理服务器可信根的建立，保证身份认证授权管理服务器各模块完整性，当身份认证授权管理服务器的模块被攻击时及时进行安全恢复，同时TCM安全芯片的密码算法模块还具有SM1算法引擎、SM2算法引擎、SM3算法引擎，身份认证授权管理服务器其他模块可以调用密码算法模块中的国产密码算法引擎完成数据签名、身份验证、加密解密功能，TCM安全芯片的数据保密存储模块用来存储身份认证授权管理服务器各个模块生成的需要保密的信息，包括但不限于身份证书、公钥、私钥、椭圆曲线参数、配置修改说明、经安全管理授权的配置修改说明；身份认证授权管理服务器的操作系统采用Linux内核主要完成身份认证授权管理服务器各模块间的数据调度，保证身份认证授权管理服务器各模块稳定运行；身份认证授权管理服务器的身份认证授权管理系统由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成，角色权限定义器主要完成只读访问权限和允许只读访问的设备列表对应关系建立，配置修改权限和允许进行配置修改的设备列表对应关系建立，安全管理权限和所管辖的设备列表对应关系建立，身份认证信息生成器主要完成身份认证证书的生成、身份认证证书的确认工作，协议转换器主要完成将访问数据从TCP/IP协议转换成工业控制系统所使用的协议，工控指令集主要完成经过协议转换后形成的工控协议的数据进行类型划分的工作，主要有状态查询指令和配置修改指令两种类型，工控指令甄别不同类型的工控协议数据发起不同的数据传递流程；身份认证授权管理服务器的工业防火墙模块主要进行外网访问数据的IP地址过滤、端口过滤、入侵检测过滤工作；身份认证授权管理服务器的外网接口主要负责与外部TCP/IP网络连接并传递数据；身份认证授权管理服务器的内网接口主要负责与工业控制系统连接并传递数据；身份认证授权管理服务器的BOIS主要负责身份认证授权管理服务器启动所需硬件设备驱动加载；国密串口身份认证终端的CPU主要包含SM1算法引擎、SM2算法引擎、SM3算法引擎，完成向芯片操作系统提供算法支持的功能；国密串口身份认证终端的保密存储器主要完成身份认证信息和私钥的存储，同时也提供与身份认证授权管理服务器交互信息的保密存储功能；国密串口身份认证终端的芯片操作系统主要完成通过调用CPU的国密算法引擎完成外发数据的数字签名功能和对收到的数据进行私钥解密处理功能。

上述的一种应用国密算法的工业控制身份认证方法及装置，其特征在于由TCM安全芯片建立可信根用以保护身份认证授权管理服务器的可信运行，当身份认证授权管理服务器的任何一个模块受到攻击而改变时，身份认证授权管理服务器将重新启动并由TCM安全芯片对系统受到攻击的模块进行安全恢复；同时为了降低系统受到攻击的可能性，身份认证授权管理服务器受到的任何来自TCP/IP网络的数据首先经过工业防火墙进行IP地址过滤、端口过滤、入侵检测过滤，以规避大部分来自TCP/IP网络环境的攻击手段，以确保身份认证授权管理服务器安全稳定的运行。

上述的一种应用国密算法的工业控制身份认证方法及装置，其特征在于通过工业防火墙的外网数据首先经过国密算法的基于数字签名的身份认证，通过身份认证的数据由协议转换器转换成工业控制网络的专用协议，生成工控协议的外网数据，工控协议的外网数据通过工控指令集进行状态查询指令和配置修改指令的归类划分，属于状态查询指令的工控协议的外网数据通过内网接口发送给工业控制系统，属于配置修改指令的工控协议的外网数据先进行保密存储，同时将配置修改说明进行保密存储，由安全管理员通过安全管理终端登录并读取配置修改说明，对可以做修改的配置修改项目进行授权并且更新存储于TCM安全芯片数据保密存储模块中的配置修改说明为经安全管理授权的配置修改说明，由工控指令集模块查询TCM安全芯片数据保密存储模块中的经安全管理授权的配置修改说明，将与经安全管理授权的配置修改说明相对应的工控协议的外网数据通过内网接口传送给工业控制系统，以上工控指令集针对两种不同类型的工控协议的外网数据发起的不同的数据流转过程达到只读访问控制和配置修改访问控制的不同权限控制，实际应用中如果要求的权限种类更为复杂，均可以通过在工控指令集将指令划分类型，不同类型的指令发起不同数据流转流程来实现，本特征不能解释为对本发明的限制。

本发明由于采用了上述的一种应用国密算法的工业控制身份认证方法及装置，为工业控制系统通过TCP/IP网络从外网的只读访问和配置修改访问提供了一种基于国密算法的安全管理系统，通过国密算法的身份认证信息生成器对只读访问终端、配置修改终端、安全管理终端进行授权，只读访问终端、配置修改终端、安全管理终端也是由支持国密算法的CPU和保密存储器及芯片操作系统组成，对与身份认证授权管理服务器的通信数据进行内部计算和保密存储，同时通过身份认证管理系统的工控指令集实现对只读访问和配置修改访问的区别控制，通过安全管理终端实现对配置修改指令的审核，针对我国不掌握工业控制系统核心技术的现状和工业控制系统受到攻击的主要方式提出了一种可靠的可信的工业控制身份认证技术。一种应用国密算法的工业控制身份认证方法及装置有利于我国在不掌握工业控制系统核心技术的前提下提升工业控制系统与外部网络进行数据传递的安全性，既可以防范非法数据攻击也可以避免敌对势力情报部门通过正常指令攻击工业控制系统，还可以避免信息泄露，真正实现工业控制系统的边界安全，对我国工业生产运行和国家经济安全具有重大意义。本发明具有安全可靠，快速推广，维护简便，运营费用低廉，普遍适用的特点。

下面结合附图和具体实施方式对本发明作进一步说明。

附图说明

图1为本发明的原理结构图

图2为本发明的BIOS杂凑值生成和BIOS备份流程图

图3为本发明的操作系统杂凑值生成和操作系统备份流程图

图4为本发明的身份认证授权管理系统杂凑值生成和身份认证授权管理系统备份流程图

图5为本发明的工业防火墙杂凑值生成和工业防火墙备份流程图

图6为本发明的外网数据经工业防火墙过滤流程图

图7为本发明的工业防火墙完整性验证流程图

图8为本发明的工业防火墙可信恢复流程图

图9为本发明的身份认证授权管理系统完整性验证流程图

图10为本发明的身份认证授权管理系统可信恢复流程图

图11为本发明的操作系统完整性验证流程图

图12为本发明的操作系统可信恢复流程图

图13为本发明的BIOS完整性验证流程图

图14为本发明的BIOS可信恢复流程图

图15为本发明的安全管理终端授权流程图

图16为本发明的只读访问终端授权流程图

图17为本发明的配置修改终端授权流程图

图18为本发明的只读访问终端通过外网访问身份认证授权管理服务器的流程图

图19为本发明的工业控制系统返回数据回传只读访问终端流程图

图20为本发明的配置修改终端通过外网访问身份认证授权管理服务器的流程图

图21为本发明的工控协议的配置修改外网数据经安全管理授权后送达工业控制系统的流程图

图22为本发明的工控协议的配置修改外网数据尚未经安全管理授权存储于数据保密存储模块的流程图

图23为本发明的安全管理终端通过外网访问身份认证授权管理服务器的流程图

图24为本发明的配置修改说明被安全管理终端访问的流程图

图25为本发明的对配置修改说明进行安全管理授权的流程图

图26为本发明的配置修改说明被替换为经安全管理授权的配置修改说明的流程图。

具体实施方式

参看图1至图26，实现本发明的一种应用国密算法的工业控制身份认证方法及装置由身份认证授权管理服务器A和国密串口身份认证终端B两部分组成。由TCM安全芯片4、操作系统3、身份认证授权管理系统2、工业防火墙1、外网接口9、内网接口10和BIOS8组成身份认证授权管理服务器A；由包含SM1算法引擎510、SM2算法引擎520、SM3算法引擎530的CPU5、保密存储器6、芯片操作系统7组成国密串口身份认证终端B。TCM安全芯片4由密码算法模块410、数据保密存储模块420、完整性度量模块430、完整性报告模块440、平台身份验证模块450组成；操作系统3采用Linux内核；身份认证授权管理系统2由身份认证信息生成器210、角色权限定义器220、工控指令集230、协议转换器240组成；工业防火墙1由IP地址过滤器110，端口控制器120，入侵检测器130组成； TCM安全芯片的密码算法模块包括SM1算法引擎411、SM2算法引擎412、SM3算法引擎413。

上述发明一种应用国密算法的工业控制身份认证方法及装置的主要步骤为：

1）身份认证授权管理服务器可信平台构建

①身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算BIOS杂凑值801，并将BIOS杂凑值801存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将BIOS杂凑值801的前128比特作为BIOS备份密钥802对BIOS8进行SM1算法的加密备份，BIOS备份数据803存储于身份认证授权管理服务器A的硬盘。

②身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算操作系统杂凑值301，并将操作系统杂凑值301存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将操作系统杂凑值301的前128比特作为操作系统备份密钥302对操作系统3进行SM1算法的加密备份，操作系统备份数据303存储于身份认证授权管理服务器A的硬盘。

③身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算身份认证授权管理系统杂凑值201，并将身份认证授权管理系统杂凑值201存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将身份认证授权管理系统杂凑值201的前128比特作为身份认证授权管理系统备份密钥202对身份认证授权管理系统2进行SM1算法的加密备份，身份认证授权管理系统备份数据203存储于身份认证授权管理服务器A的硬盘。

④身份认证授权管理服务器A首次加电运行，由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算工业防火墙杂凑值101，并将工业防火墙杂凑值101存储于TCM安全芯片4的数据保密存储模块420，同时由TCM安全芯片4的完整性度量模块430调用TCM安全芯片4密码算法模块410中的SM1算法引擎411将工业防火墙杂凑值101的前128比特作为工业防火墙备份密钥102对工业防火墙1进行SM1算法的加密备份，工业防火墙备份数据103存储于身份认证授权管理服务器的硬盘。

2）身份认证授权管理服务器可信平台运行

①由身份认证授权管理服务器A的工业防火墙1的IP地址过滤器110对来自身份认证授权管理服务器A的外网接口9的数据进行IP地址过滤，根据IP地址白名单进行数据过滤，来自IP地址白名单以外的IP地址的外网数据901直接丢弃，来自IP地址白名单内的IP地址的外网数据111发送给工业防火墙1的端口控制器120进行端口过滤。

②由身份认证授权管理服务器A的工业防火墙1的端口控制器120对来自IP地址白名单内的IP地址的外网数据进行端口过滤，由身份认证授权管理服务器A的身份认证授权管理系统2指定工作端口208，并将工作端口208信息传递给工业防火墙1的端口控制器120，端口控制器120根据工作端口208信息进行外网数据过滤，访问非工作端口的外网数据全部丢弃，访问工作端口的外网数据发送给工业防火墙1的入侵检测器130。

③由身份认证授权管理服务器A的工业防火墙1的入侵检测器130根据事先制定的入侵特征库对通过工业防火墙1的端口控制器120的外网数据进行入侵检测，对符合入侵特征库的入侵特征的外网数据直接丢弃，对不符合入侵特征库的入侵特征的外网数据发送给身份认证授权管理服务器A的身份认证授权管理系统2。

④通过身份认证授权管理服务器A的工业防火墙1的IP地址过滤器110、端口控制器120、入侵检测器130的三重过滤的数据命名为通过防火墙的外部数据131，通过防火墙的外部数据131到达身份认证授权管理服务器A的身份认证授权管理系统2后，由身份认证授权管理系统2通知TCM安全芯片4的完整性报告模块440，TCM安全芯片4的完整性报告模块440执行以下序列操作：

1.TCM安全芯片4的完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算工业防火墙运行中杂凑值104，

2.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的工业防火墙杂凑值101，

3.由完整性报告模块440将工业防火墙运行中杂凑值104与工业防火墙杂凑值101做数据对比，

4.当工业防火墙运行中杂凑值104不等于工业防火墙杂凑值101时完整性报告模块440向操作系统3作出防火墙损坏报告105，操作系统3收到防火墙损坏报告105重启身份认证授权管理服务器A，同时操作系统3通知TCM安全芯片4的完整性度量模块430从工业防火墙备份数据103中恢复工业防火墙1，

5.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量模块430，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的工业防火墙杂凑值101的前128比特作为工业防火墙备份密钥102，完整性度量模块430使用工业防火墙备份密钥102通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的工业防火墙备份数据103中对工业防火墙1进行恢复，

6.当工业防火墙运行中杂凑值104等于工业防火墙杂凑值101时，完整性报告模块440向操作系统3发出防火墙正常报告106，完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算身份认证授权管理系统运行中杂凑值204，

7.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的身份认证授权管理系统杂凑值201，

8.由完整性报告模块440将身份认证授权管理系统运行中杂凑值204与身份认证授权管理系统杂凑值201做数据对比，

9.当身份认证授权管理系统运行中杂凑值204不等于身份认证授权管理系统杂凑值201时完整性报告模块440向操作系统3作出身份认证授权管理系统损坏报告205，操作系统3收到身份认证授权管理系统损坏报告205重启身份认证授权管理服务器A，同时操作系统3通知TCM安全芯片4的完整性度量模块430从身份认证授权管理系统备份数据203中恢复身份认证授权管理系统2，

10.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量模块430，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的身份认证授权管理系统杂凑值201的前128比特作为身份认证授权管理系统备份密钥202，完整性度量模块430使用身份认证授权管理系统备份密钥202通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的身份认证授权管理系统备份数据203中对身份认证授权管理系统2进行恢复，

11.当身份认证授权管理系统运行中杂凑值204等于身份认证授权管理系统杂凑值201时，完整性报告模块440向操作系统3发出身份认证授权管理系统正常报告206，完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算操作系统运行中杂凑值304，

12.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的操作系统杂凑值301，

13.由完整性报告模块440将操作系统运行中杂凑值304与操作系统杂凑值301做数据对比，

14.当操作系统运行中杂凑值304不等于操作系统杂凑值301时完整性报告模块440向操作系统3作出操作系统损坏报告305，操作系统3收到操作系统损坏报告305重启身份认证授权管理服务器A，同时操作系统3通知TCM安全芯片4的完整性度量模块430从操作系统备份数据303中恢复操作系统3，

15.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量430模块，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的操作系统杂凑值301的前128比特作为操作系统备份密钥302，完整性度量模块430使用操作系统备份密钥302通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的操作系统备份数据303中对操作系统3进行恢复，

16.当操作系统运行中杂凑值304等于操作系统杂凑值301时，完整性报告模块440向操作系统3发出操作系统正常报告306，完整性报告模块440调用TCM安全芯片4密码算法模块410中的SM3算法引擎413计算BIOS运行中杂凑值804，

17.由完整性报告模块440调用存储在TCM安全芯片4的数据保密存储模块420中的BIOS杂凑值801，

18.由完整性报告模块440将BIOS运行中杂凑值804与BIOS杂凑值801做数据对比，

19.当BIOS运行中杂凑值804不等于BIOS杂凑值801时完整性报告模块440向操作系统3作出BIOS损坏报告805，操作系统3收到BIOS损坏报告805重启身份认证授权管理服务器A，同时操作系统3通知TCM安全芯片4的完整性度量模块430从BIOS备份数据803中恢复BIOS8，

20.身份认证授权管理服务器A重启首先启动TCM安全芯片4，TCM安全芯片4的完整性度量模块430，调用TCM安全芯片4密码算法模块410中的SM1算法引擎411并读取数据保密存储模块420中存储的BIOS杂凑值801的前128比特作为BIOS备份密钥802，完整性度量模块430使用BIOS备份密钥802通过调用SM1算法引擎411的方法从存储于身份认证授权管理服务器A的BIOS备份数据803中对BIOS8进行恢复，

21.当BIOS运行中杂凑值804等于BIOS杂凑值801时，完整性报告模块440向操作系统3发出BIOS正常报告806，完整性报告模块440重复执行本序列步骤的1.到21.。

3）身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权

①将一个国密串口身份认证终端B通过串口连接到身份认证授权管理服务器A，第一次运行身份认证授权管理系统2，身份认证授权管理系统2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412生成一组安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213。

②由身份认证授权管理系统2的角色权限定义器220记录安全管理员的身份信息221，安全管理员身份信息包括身份证号码、权限类型、所管辖的设备列表。

③由身份认证授权管理系统2的身份认证信息生成器210将安全管理公钥211、安全管理员的身份信息221、安全管理椭圆曲线参数213组合成安全管理证书214，并且将安全管理证书214传送给TCM安全芯片4的平台身份验证模块450，并由平台身份验证模块450将安全管理证书214存储于TCM安全芯片4的数据保密存储模块420中。

④由身份认证授权管理系统2的身份认证信息生成器210将安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理证书214发送给国密串口身份认证终端B的芯片操作系统7，国密串口身份认证终端B的芯片操作系统7将安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理证书214存储到国密串口身份认证终端B的保密存储器6中，完成以上步骤的国密串口身份认证终端B称为安全管理终端B。

4）身份认证授权管理服务器对国密串口身份认证终端进行只读许可授权

①将一个国密串口身份认证终端B通过串口连接到身份认证授权管理服务器A，运行身份认证授权管理系统2，身份认证授权管理系统2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412生成一组只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253。

②由身份认证授权管理系统2的角色权限定义器220记录只读许可使用者的身份信息222，只读许可使用者的身份信息包括身份证号码、权限类型、允许只读访问的设备列表。

③由身份认证授权管理系统2的身份认证信息生成器210将只读访问公钥251、只读许可使用者的身份信息222、只读访问椭圆曲线参数253组合成只读权限证书254，并且将只读权限证书254传送给TCM安全芯片4的平台身份验证模块450，并由平台身份验证模块450将只读权限证书254存储于TCM安全芯片4的数据保密存储模块420中。

④由身份认证授权管理系统2的身份认证信息生成器210将只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253、只读权限证书254发送给国密串口身份认证终端B的芯片操作系统7，国密串口身份认证终端B的芯片操作系统7将只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253、只读权限证书254存储到国密串口身份认证终端B的保密存储器6中，完成以上步骤的国密串口身份认证终端B称为只读访问终端B。

5）身份认证授权管理服务器对国密串口身份认证终端进行配置修改许可授权

①将一个国密串口身份认证终端B通过串口连接到身份认证授权管理服务器A，运行身份认证授权管理系统2，身份认证授权管理系统2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412生成一组配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数263。

②由身份认证授权管理系统2的角色权限定义器220记录配置修改使用者的身份信息223，配置修改使用者的身份信息包括身份证号码、权限类型、允许进行配置修改的设备列表。

③由身份认证授权管理系统2的身份认证信息生成器210将配置修改公钥261、配置修改使用者的身份信息223、配置修改椭圆曲线参数263组合成配置修改权限证书264，并且将配置修改权限证书264传送给TCM安全芯片4的平台身份验证模块450，并由平台身份验证模块450将配置修改权限证书264存储于TCM安全芯片4的数据保密存储模块420中。

④由身份认证授权管理系统2的身份认证信息生成器210将配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数263、配置修改权限证书264发送给国密串口身份认证终端B的芯片操作系统7，国密串口身份认证终端B的芯片操作系统7将配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数S63、配置修改权限证书264存储到国密串口身份认证终端B的保密存储器6中，完成以上步骤的国密串口身份认证终端B称为配置修改终端B。

6）只读访问终端从外网访问工业控制网络的步骤

①将只读访问终端B用串口连接到外网计算机终端，只读访问终端B通过外网计算机的TCP/IP网络向身份认证授权管理服务器A发出访问工业控制网络的数据701，只读访问终端B的芯片操作系统7调用只读访问终端CPU5的SM2算法引擎520，使用存储于只读访问终端B的保密存储器6中的只读访问公钥251、只读访问私钥252、只读访问椭圆曲线参数253、只读权限证书254，对访问工业控制网络的数据701进行数字签名，生成经只读访问终端签名的外网数据521。

②经只读访问终端签名的外网数据521通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理系统2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的只读权限证书254，身份认证信息生成器210通过只读权限证书254和SM2算法引擎412对经只读访问终端签名的外网数据521进行身份验证。

③通过身份验证的经只读访问终端签名的外网数据522由身份认证授权管理系统2的协议转换器240进行协议转换，生成工控协议的只读外网数据523。

④由身份认证授权管理系统2的协议转换器240读取存储于TCM安全芯片4的只读权限证书254，协议转换器240从只读权限证书254中分离出允许只读访问的设备列表，当工控协议的只读外网数据访问的设备包含在允许只读访问的设备列表中时，协议转换器240将工控协议的只读外网数据523发送给身份认证授权管理系统2的工控指令集230；当工控协议的只读外网数据523访问的设备不包含在允许只读访问的设备列表中时，协议转换器240丢弃工控协议的只读外网数据523。

⑤工控协议的只读外网数据523传送给工控指令集230，工控指令集230存储着整个工业控制系统各个数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）的状态查询指令和配置修改指令，当工控协议的只读外网数据523属于状态查询指令时，工控指令集230将工控协议的只读外网数据523通过身份认证授权管理服务器A内网接口10传送给工业控制系统；当工控协议的只读外网数据523不属于状态查询指令时，工控指令集丢弃工控协议的只读外网数据523。

⑥工业控制系统返回的工控协议的只读内网数据101经由身份认证授权管理服务器A内网接口10传送给身份认证授权管理系统2的协议转换器240进行协议转换，生成返回的只读内网数据102。

⑦身份认证授权管理系统2的协议转换器240将返回的只读内网数据102发送给身份认证授权管理系统2的身份认证信息生成器210，由身份认证信息生成器210读取存储在TCM安全芯片4的数据保密存储模块420的只读权限证书254并从只读权限证书254分离出只读访问公钥251。

⑧由身份认证授权管理系统2的身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412，使用只读访问公钥251对返回的只读内网数据102进行公钥加密，生成公钥加密的返回的只读内网数据103，并将公钥加密的返回的只读内网数据103通过身份认证授权管理服务器A的外网接口9传送给通过外网访问的只读访问终端B的芯片操作系统7。

⑨由只读访问终端B的芯片操作系统7调用CPU5的SM2算法引擎520，读取存储于只读访问终端B的保密存储器6的只读访问私钥，对公钥加密的返回的只读内网数据103进行私钥解密，并将解密还原的返回的只读内网数据102存储于保密存储器6。

⑩由只读访问终端B的芯片操作系统7将存储于保密存储器6的返回的只读内网数据102发送给显示系统进行显示。

7）配置修改终端从外网访问工业控制网络的步骤

①将配置修改终端B用串口连接到外网计算机终端，配置修改终端B通过外网计算机的TCP/IP网络向身份认证授权管理服务器A发出访问工业控制网络的数据701，配置修改终端B的芯片操作系统7调用配置修改终端BCPU5的SM2算法引擎520，使用存储于配置修改终端B的保密存储器6中的配置修改公钥261、配置修改私钥262、配置修改椭圆曲线参数263、配置修改权限证书264，对访问工业控制网络的数据701进行数字签名，生成经配置修改终端签名的外网数据524。

②经配置修改终端签名的外网数据524通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理系统2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的配置修改权限证书264，身份认证信息生成器210通过配置修改权限证书264和SM2算法引擎412对经配置修改终端签名的外网数据524进行身份验证。

③通过身份验证的经配置修改终端签名的外网数据525由身份认证授权管理系统2的协议转换器240进行协议转换，生成工控协议的配置修改外网数据526。

④由身份认证授权管理系统2的协议转换器240读取存储于TCM安全芯片4的配置修改权限证书264，协议转换器240从配置修改权限证书264中分离出允许进行配置修改的设备列表，当工控协议的配置修改外网数据526访问的设备包含在允许进行配置修改的设备列表中时，协议转换器240将工控协议的配置修改外网数据526发送给身份认证授权管理系统A的工控指令集230；当工控协议的配置修改外网数据526访问的设备不包含在允许进行配置修改的设备列表中时，协议转换器240丢弃工控协议的配置修改外网数据526。

⑤工控协议的配置修改外网数据526传送给工控指令集230，工控指令集230存储着整个工业控制系统各个数据采集与监控SCADA、分布式控制系统DCS、过程控制系统PCS、可编程逻辑控制器PLC和远程终端RTU的状态查询指令和配置修改指令，当工控协议的配置修改外网数据526属于配置修改指令时，工控指令集230将需要安全管理授权527的信息发送给身份认证授权管理服务器A的操作系统3，工控指令集230将工控协议的配置修改外网数据526涉及的工控设备编号和所做的配置修改项组合成配置修改说明231存储于TCM安全芯片4的数据保密存储模块420中；当工控协议的配置修改外网数据526不属于配置修改指令时，工控指令集230丢弃工控协议的配置修改外网数据526。

⑥身份认证授权管理服务器B的操作系统3收到工控指令集230发送来的需要安全管理授权527的信息，操作系统3查询TCM安全芯片4的数据保密存储模块420，当数据保密存储模块420中所存储的配置修改说明231已经更新为经安全管理授权的配置修改说明232时，操作系统3向身份认证授权管理系统2的工控指令集230发出已授权通知233，工控指令集230接到已授权通知233将工控协议的配置修改外网数据526发送给身份认证授权管理服务器A的内网接口10，内网接口10将工控协议的配置修改外网数据526发送到工业控制系统；操作系统3查询TCM安全芯片4的数据保密存储模块420，当数据保密存储模块420中所存储的配置修改说明231尚未更新为经安全管理授权的配置修改说明232时，即数据保密存储模块420向操作系统3返回配置修改说明尚未授权234信息时，操作系统3向身份认证授权管理系统2的工控指令集230发出未授权通知235，工控指令集230接到未授权通知235将工控协议的配置修改外网数据526发送给TCM安全芯片4的数据保密存储模块420存储。

8）安全管理终端从外网访问工业控制网络的步骤

①将安全管理终端B用串口连接到外网计算机终端，安全管理终端B通过外网计算机的TCP/IP网络向身份认证授权管理服务器A发出访问工业控制网络的数据701，安全管理终端B的芯片操作系统7调用安全管理终端B的CPU5的SM2算法引擎520，使用存储于安全管理终端B的保密存储器6中的安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理权限证书214，对访问工业控制网络的数据701进行数字签名，生成经安全管理终端签名的外网数据528。

②经安全管理终端签名的外网数据528通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理系统2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的安全管理权限证书214，身份认证信息生成器210通过安全管理权限证书214和SM2算法引擎412对经安全管理终端签名的外网数据528进行身份验证。

③通过身份验证的经安全管理终端签名的外网数据529由身份认证授权管理系统2的身份认证信息生成器210发送到TCM安全芯片4的平台身份验证模块450，平台身份验证模块450根据经安全管理终端签名的外网数据528检索TCM安全芯片4的数据保密存储模块420中存储的配置修改说明231，平台身份验证模块450调用TCM安全芯片4的密码算法模块410的SM2算法引擎412，平台身份验证模块450读取数据保密存储模块420中存储的安全管理权限证书214并分离出安全管理公钥211，平台身份验证模块450使用SM2算法引擎412和安全管理公钥211对配置修改说明231进行公钥加密，生成公钥加密的配置修改说明541。

④平台身份验证模块450将公钥加密的配置修改说明541传送给身份认证授权管理服务器A的外网接口9，公钥加密的配置修改说明541经由外网接口9传送到安全管理终端B的芯片操作系统7。

⑤安全管理终端B的芯片操作系统7将公钥加密的配置修改说明541存储到安全管理终端B的保密存储器6。

9）安全管理员对配置修改说明授权

①安全管理员访问配置修改说明的步骤首先由安全管理终端B的芯片操作系统7从保密存储器6读取公钥加密的配置修改说明541和安全管理私钥212，然后由芯片操作系统7调用CPU5的SM2算法引擎520使用安全管理私钥212对公钥加密的配置修改说明541进行私钥解密，还原成配置修改说明231并发送到显示系统，同时芯片操作系统7从保密存储器6读取安全管理证书214，并从安全管理证书214中分离出所管辖的设备列表。

②安全管理员对配置修改说明231进行授权操作，安全管理终端B的芯片操作系统7调用安全管理终端B的CPU5的SM2算法引擎520，使用存储于安全管理终端B的保密存储器6中的安全管理公钥211、安全管理私钥212、安全管理椭圆曲线参数213、安全管理权限证书214，对配置修改说明231进行数字签名，生成经安全管理授权的配置修改说明232并发送给身份认证授权管理服务器A的外网接口9。

③经安全管理授权的配置修改说明232通过身份认证授权管理服务器A的外网接口9之后通过工业防火墙1到达身份认证授权管理系统2的身份认证信息生成器210，身份认证信息生成器210调用TCM安全芯片4的SM2算法引擎412并且读取TCM安全芯片4的数据保密存储模块420中的安全管理权限证书214，身份认证信息生成器210通过安全管理权限证书214和SM2算法引擎412对经安全管理授权的配置修改说明232进行身份验证。

④通过身份验证的经安全管理授权的配置修改说明542由身份认证授权管理系统2的身份认证信息生成器210发送到TCM安全芯片4的平台身份验证模块450，平台身份验证模块450根据经安全管理授权的配置修改说明232检索TCM安全芯片4的数据保密存储模块420中存储的配置修改说明231，平台身份验证模块450将配置修改说明231替换为相应的经安全管理授权的配置修改说明232。

Claims (4)

1.一种应用国密算法的工业控制身份认证方法，其特征在于，所述方法由应用国密算法的工业控制身份认证装置执行，所述装置由身份认证授权管理服务器和国密串口身份认证终端两部分组成；由TCM安全芯片、操作系统、身份认证授权管理系统、工业防火墙、外网接口、内网接口和BIOS组成身份认证授权管理服务器；由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作系统组成国密串口身份认证终端；TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成；操作系统采用Linux内核；身份认证授权管理系统由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成；工业防火墙由IP地址过滤器，端口控制器，入侵检测器组成； TCM安全芯片的密码算法模块包括SM1算法引擎、SM2算法引擎、SM3算法引擎；

所述应用国密算法的工业控制身份认证方法的步骤为：

1）身份认证授权管理服务器可信平台构建

①身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算BIOS杂凑值，并将BIOS杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将BIOS杂凑值的前128比特作为BIOS备份密钥对BIOS进行SM1算法的加密备份，BIOS备份数据存储于身份认证授权管理服务器的硬盘；

②身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算操作系统杂凑值，并将操作系统杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将操作系统杂凑值的前128比特作为操作系统备份密钥对操作系统进行SM1算法的加密备份，操作系统备份数据存储于身份认证授权管理服务器的硬盘；

③身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算身份认证授权管理系统杂凑值，并将身份认证授权管理系统杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将身份认证授权管理系统杂凑值的前128比特作为身份认证授权管理系统备份密钥对身份认证授权管理系统进行SM1算法的加密备份，身份认证授权管理系统备份数据存储于身份认证授权管理服务器的硬盘；

④身份认证授权管理服务器首次加电运行，由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算工业防火墙杂凑值，并将工业防火墙杂凑值存储于TCM安全芯片的数据保密存储模块，同时由TCM安全芯片的完整性度量模块调用TCM安全芯片密码算法模块中的SM1算法引擎将工业防火墙杂凑值的前128比特作为工业防火墙备份密钥对工业防火墙进行SM1算法的加密备份，工业防火墙备份数据存储于身份认证授权管理服务器的硬盘；

2）身份认证授权管理服务器可信平台运行

①由身份认证授权管理服务器的工业防火墙的IP地址过滤器对来自身份认证授权管理服务器的外网接口的数据进行IP地址过滤，根据IP地址白名单进行数据过滤，来自IP地址白名单以外的IP地址的外网数据直接丢弃，来自IP地址白名单内的IP地址的外网数据发送给工业防火墙的端口控制器进行端口过滤；

②由身份认证授权管理服务器的工业防火墙的端口控制器对来自IP地址白名单内的IP地址的外网数据进行端口过滤，由身份认证授权管理服务器的身份认证授权管理系统指定工作端口，并将工作端口信息传递给工业防火墙的端口控制器，端口控制器根据工作端口信息进行外网数据过滤，访问非工作端口的外网数据全部丢弃，访问工作端口的外网数据发送给工业防火墙的入侵检测器；

③由身份认证授权管理服务器的工业防火墙的入侵检测器根据事先制定的入侵特征库对通过工业防火墙的端口控制器的外网数据进行入侵检测，对符合入侵特征库的入侵特征的外网数据直接丢弃，对不符合入侵特征库的入侵特征的外网数据发送给身份认证授权管理服务器的身份认证授权管理系统；

④通过身份认证授权管理服务器的工业防火墙的IP地址过滤器、端口控制器、入侵检测器的三重过滤的外网数据命名为通过防火墙的外部数据，通过防火墙的外部数据到达身份认证授权管理服务器的身份认证授权管理系统后，由身份认证授权管理系统通知TCM安全芯片的完整性报告模块，TCM安全芯片的完整性报告模块执行以下序列操作：

a.TCM安全芯片的完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算工业防火墙运行中杂凑值，

b.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的工业防火墙杂凑值，

c.由完整性报告模块将工业防火墙运行中杂凑值与工业防火墙杂凑值做数据对比，

d.当工业防火墙运行中杂凑值不等于工业防火墙杂凑值时完整性报告模块向操作系统作出防火墙损坏报告，操作系统收到防火墙损坏报告重启身份认证授权管理服务器，同时操作系统通知TCM安全芯片的完整性度量模块从工业防火墙备份数据中恢复工业防火墙，

e.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的工业防火墙杂凑值的前128比特作为工业防火墙备份密钥，完整性度量模块使用工业防火墙备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的工业防火墙备份数据中对工业防火墙进行恢复，

f.当工业防火墙运行中杂凑值等于工业防火墙杂凑值时，完整性报告模块向操作系统发出防火墙正常报告，完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算身份认证授权管理系统运行中杂凑值，

g.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的身份认证授权管理系统杂凑值，

h.由完整性报告模块将身份认证授权管理系统运行中杂凑值与身份认证授权管理系统杂凑值做数据对比，

i.当身份认证授权管理系统运行中杂凑值不等于身份认证授权管理系统杂凑值时完整性报告模块向操作系统作出身份认证授权管理系统损坏报告，操作系统收到身份认证授权管理系统损坏报告重启身份认证授权管理服务器，同时操作系统通知TCM安全芯片的完整性度量模块从身份认证授权管理系统备份数据中恢复身份认证授权管理系统，

j.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的身份认证授权管理系统杂凑值的前128比特作为身份认证授权管理系统备份密钥，完整性度量模块使用身份认证授权管理系统备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的身份认证授权管理系统备份数据中对身份认证授权管理系统进行恢复，

k.当身份认证授权管理系统运行中杂凑值等于身份认证授权管理系统杂凑值时，完整性报告模块向操作系统发出身份认证授权管理系统正常报告，完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算操作系统运行中杂凑值，

l.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的操作系统杂凑值，

m.由完整性报告模块将操作系统运行中杂凑值与操作系统杂凑值做数据对比，

n.当操作系统运行中杂凑值不等于操作系统杂凑值时完整性报告模块向操作系统作出操作系统损坏报告，操作系统收到操作系统损坏报告重启身份认证授权管理服务器，同时操作系统通知TCM安全芯片的完整性度量模块从操作系统备份数据中恢复操作系统，

o.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的操作系统杂凑值的前128比特作为操作系统备份密钥，完整性度量模块使用操作系统备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的操作系统备份数据中对操作系统进行恢复，

p.当操作系统运行中杂凑值等于操作系统杂凑值时，完整性报告模块向操作系统发出操作系统正常报告，完整性报告模块调用TCM安全芯片密码算法模块中的SM3算法引擎计算BIOS运行中杂凑值，

q.由完整性报告模块调用存储在TCM安全芯片的数据保密存储模块中的BIOS杂凑值，

r.由完整性报告模块将BIOS运行中杂凑值与BIOS杂凑值做数据对比，

s.当BIOS运行中杂凑值不等于BIOS杂凑值时完整性报告模块向操作系统作出BIOS损坏报告，操作系统收到BIOS损坏报告重启身份认证授权管理服务器，同时操作系统通知TCM安全芯片的完整性度量模块从BIOS备份数据中恢复BIOS，

t.身份认证授权管理服务器重启首先启动TCM安全芯片，TCM安全芯片的完整性度量模块，调用TCM安全芯片密码算法模块中的SM1算法引擎并读取数据保密存储模块中存储的BIOS杂凑值的前128比特作为BIOS备份密钥，完整性度量模块使用BIOS备份密钥通过调用SM1算法引擎的方法从存储于身份认证授权管理服务器的BIOS备份数据中对BIOS进行恢复，

u.当BIOS运行中杂凑值等于BIOS杂凑值时，完整性报告模块向操作系统发出BIOS正常报告，完整性报告模块重复执行本序列步骤的a.到u.；

3）身份认证授权管理服务器对国密串口身份认证终端进行安全管理授权

①将一个国密串口身份认证终端通过串口连接到身份认证授权管理服务器，第一次运行身份认证授权管理系统，身份认证授权管理系统的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成一组安全管理公钥、安全管理私钥、安全管理椭圆曲线参数；

②由身份认证授权管理系统的角色权限定义器记录安全管理员的身份信息，身份信息包括身份证号码、权限类型、所管辖的设备列表；

③由身份认证授权管理系统的身份认证信息生成器将安全管理公钥、安全管理员的身份信息、安全管理椭圆曲线参数组合成安全管理证书，并且将安全管理证书传送给TCM安全芯片的平台身份验证模块，并由平台身份验证模块将安全管理证书存储于TCM安全芯片的数据保密存储模块中；

④由身份认证授权管理系统的身份认证信息生成器将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书发送给国密串口身份认证终端的芯片操作系统，国密串口身份认证终端的芯片操作系统将安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书存储到国密串口身份认证终端的保密存储器中，完成以上步骤的国密串口身份认证终端称为安全管理终端；

4）身份认证授权管理服务器对国密串口身份认证终端进行只读许可授权

①将一个国密串口身份认证终端通过串口连接到身份认证授权管理服务器，运行身份认证授权管理系统，身份认证授权管理系统的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成一组只读访问公钥、只读访问私钥、只读访问椭圆曲线参数；

②由身份认证授权管理系统的角色权限定义器记录只读许可使用者的身份信息，身份信息包括身份证号码、权限类型、允许只读访问的设备列表；

③由身份认证授权管理系统的身份认证信息生成器将只读访问公钥、只读许可使用者的身份信息、只读访问椭圆曲线参数组合成只读权限证书，并且将只读权限证书传送给TCM安全芯片的平台身份验证模块，并由平台身份验证模块将只读权限证书存储于TCM安全芯片的数据保密存储模块中；

④由身份认证授权管理系统的身份认证信息生成器将只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书发送给国密串口身份认证终端的芯片操作系统，国密串口身份认证终端的芯片操作系统将只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书存储到国密串口身份认证终端的保密存储器中，完成以上步骤的国密串口身份认证终端称为只读访问终端；

5）身份认证授权管理服务器对国密串口身份认证终端进行配置修改许可授权

①将一个国密串口身份认证终端通过串口连接到身份认证授权管理服务器，运行身份认证授权管理系统，身份认证授权管理系统的身份认证信息生成器调用TCM安全芯片的SM2算法引擎生成一组配置修改公钥、配置修改私钥、配置修改椭圆曲线参数；

②由身份认证授权管理系统的角色权限定义器记录配置修改使用者的身份信息，身份信息包括身份证号码、权限类型、允许进行配置修改的设备列表；

③由身份认证授权管理系统的身份认证信息生成器将配置修改公钥、配置修改使用者的身份信息、配置修改椭圆曲线参数组合成配置修改权限证书，并且将配置修改权限证书传送给TCM安全芯片的平台身份验证模块，并由平台身份验证模块将配置修改权限证书存储于TCM安全芯片的数据保密存储模块中；

④由身份认证授权管理系统的身份认证信息生成器将配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书发送给国密串口身份认证终端的芯片操作系统，国密串口身份认证终端的芯片操作系统将配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书存储到国密串口身份认证终端的保密存储器中，完成以上步骤的国密串口身份认证终端称为配置修改终端；

6）只读访问终端从外网访问工业控制网络的步骤

①将只读访问终端用串口连接到外网计算机终端，只读访问终端通过外网计算机的TCP/IP网络向身份认证授权管理服务器发出访问工业控制网络的数据，只读访问终端的芯片操作系统调用只读访问终端CPU的SM2算法引擎，只读访问终端的芯片操作系统读取存储于只读访问终端的保密存储器中的只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书，只读访问终端的芯片操作系统使用SM2算法引擎和只读访问公钥、只读访问私钥、只读访问椭圆曲线参数、只读权限证书对访问工业控制网络的数据进行数字签名，生成经只读访问终端签名的外网数据；

②经只读访问终端签名的外网数据通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的只读权限证书，身份认证信息生成器通过只读权限证书和SM2算法引擎对经只读访问终端签名的外网数据进行身份验证；

③通过身份验证的经只读访问终端签名的外网数据由身份认证授权管理系统的协议转换器进行协议转换，生成工控协议的只读外网数据；

④由身份认证授权管理系统的协议转换器读取存储于TCM安全芯片的只读权限证书，协议转换器从只读权限证书中分离出允许只读访问的设备列表，当工控协议的只读外网数据访问的设备包含在允许只读访问的设备列表中时，协议转换器将工控协议的只读外网数据发送给身份认证授权管理系统的工控指令集；当工控协议的只读外网数据访问的设备不包含在允许只读访问的设备列表中时，协议转换器丢弃工控协议的只读外网数据；

⑤工控协议的只读外网数据传送给工控指令集，工控指令集存储着整个工业控制系统各个数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）的状态查询指令和配置修改指令，当工控协议的只读外网数据属于状态查询指令时，工控指令集将工控协议的只读外网数据通过身份认证授权管理服务器内网接口传送给工业控制系统；当工控协议的只读外网数据不属于状态查询指令时，工控指令集丢弃工控协议的只读外网数据；

⑥工业控制系统返回的工控协议的只读内网数据经由身份认证授权管理服务器内网接口传送给身份认证授权管理系统的协议转换器进行协议转换，生成返回的只读内网数据；

⑦身份认证授权管理系统的协议转换器将返回的只读内网数据发送给身份认证授权管理系统的身份认证信息生成器，由身份认证信息生成器读取存储在TCM安全芯片的数据保密存储模块的只读权限证书并从只读权限证书分离出只读访问公钥；

⑧由身份认证授权管理系统的身份认证信息生成器调用TCM安全芯片的SM2算法引擎，使用只读访问公钥对返回的只读内网数据进行公钥加密，生成公钥加密的返回的只读内网数据，并将公钥加密的返回的只读内网数据通过身份认证授权管理服务器的外网接口传送给通过外网访问的只读访问终端的芯片操作系统；

⑨由只读访问终端的芯片操作系统调用CPU的SM2算法引擎，读取存储于只读访问终端的保密存储器的只读访问私钥，对公钥加密的返回的只读内网数据进行私钥解密，并将解密还原的返回的只读内网数据存储于保密存储器；

⑩由只读访问终端的芯片操作系统将存储于保密存储器的返回的只读内网数据发送给显示系统进行显示；

7）配置修改终端从外网访问工业控制网络的步骤

①将配置修改终端用串口连接到外网计算机终端，配置修改终端通过外网计算机的TCP/IP网络向身份认证授权管理服务器发出访问工业控制网络的数据，配置修改终端的芯片操作系统调用配置修改终端CPU的SM2算法引擎，配置修改终端的芯片操作系统读取存储于配置修改终端的保密存储器中的配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书，配置修改终端的芯片操作系统使用SM2算法引擎和配置修改公钥、配置修改私钥、配置修改椭圆曲线参数、配置修改权限证书对访问工业控制网络的数据进行数字签名，生成经配置修改终端签名的外网数据；

②经配置修改终端签名的外网数据通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的配置修改权限证书，身份认证信息生成器通过配置修改权限证书和SM2算法引擎对经配置修改终端签名的外网数据进行身份验证；

③通过身份验证的经配置修改终端签名的外网数据由身份认证授权管理系统的协议转换器进行协议转换，生成工控协议的配置修改外网数据；

④由身份认证授权管理系统的协议转换器读取存储于TCM安全芯片的配置修改权限证书，协议转换器从配置修改权限证书中分离出允许进行配置修改的设备列表，当工控协议的配置修改外网数据访问的设备包含在允许进行配置修改的设备列表中时，协议转换器将工控协议的配置修改外网数据发送给身份认证授权管理系统的工控指令集；当工控协议的配置修改外网数据访问的设备不包含在允许进行配置修改的设备列表中时，协议转换器丢弃工控协议的配置修改外网数据；

⑤工控协议的配置修改外网数据传送给工控指令集，工控指令集存储着整个工业控制系统各个数据采集与监控SCADA、分布式控制系统DCS、过程控制系统PCS、可编程逻辑控制器PLC和远程终端RTU的状态查询指令和配置修改指令，当工控协议的配置修改外网数据属于配置修改指令时，工控指令集将需要安全管理授权的信息发送给身份认证授权管理服务器的操作系统，工控指令集将工控协议的配置修改外网数据涉及的工控设备编号和所做的配置修改项组合成配置修改说明存储于TCM安全芯片的数据保密存储模块中；当工控协议的配置修改外网数据不属于配置修改指令时，工控指令集丢弃工控协议的配置修改外网数据；

⑥身份认证授权管理服务器的操作系统收到工控指令集发送来的需要安全管理授权的信息，操作系统查询TCM安全芯片的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明已经更新为经安全管理授权的配置修改说明时，操作系统向身份认证授权管理系统的工控指令集发出已授权通知，工控指令集接到已授权通知将工控协议的配置修改外网数据发送给身份认证授权管理服务器的内网接口，内网接口将工控协议的配置修改外网数据发送到工业控制系统；操作系统查询TCM安全芯片的数据保密存储模块，当数据保密存储模块中所存储的配置修改说明尚未更新为经安全管理授权的配置修改说明时，操作系统向身份认证授权管理系统的工控指令集发出未授权通知，工控指令集接到未授权通知将工控协议的配置修改外网数据发送给TCM安全芯片的数据保密存储模块存储；

8）安全管理终端从外网访问工业控制网络的步骤

①将安全管理终端用串口连接到外网计算机终端，安全管理终端通过外网计算机的TCP/IP网络向身份认证授权管理服务器发出访问工业控制网络的数据，安全管理终端的芯片操作系统调用安全管理终端CPU的SM2算法引擎，安全管理终端的芯片操作系统读取存储于安全管理终端的保密存储器中的安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书，安全管理终端的芯片操作系统使用SM2算法引擎和安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书对访问工业控制网络的数据进行数字签名，生成经安全管理终端签名的外网数据；

②经安全管理终端签名的外网数据通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的安全管理证书，身份认证信息生成器通过安全管理证书和SM2算法引擎对经安全管理终端签名的外网数据进行身份验证；

③通过身份验证的经安全管理终端签名的外网数据由身份认证授权管理系统的身份认证信息生成器发送到TCM安全芯片的平台身份验证模块，平台身份验证模块根据经安全管理终端签名的外网数据检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块调用TCM安全芯片的密码算法模块的SM2算法引擎，平台身份验证模块读取数据保密存储模块中存储的安全管理证书并分离出安全管理公钥，平台身份验证模块使用SM2算法引擎和安全管理公钥对配置修改说明进行公钥加密，生成公钥加密的配置修改说明；

④平台身份验证模块将公钥加密的配置修改说明传送给身份认证授权管理服务器的外网接口，公钥加密的配置修改说明经由外网接口传送到安全管理终端的芯片操作系统；

⑤安全管理终端的芯片操作系统将公钥加密的配置修改说明存储到安全管理终端的保密存储器；

9）安全管理员对配置修改说明授权

①安全管理员访问配置修改说明的步骤首先由安全管理终端的芯片操作系统从保密存储器读取公钥加密的配置修改说明和安全管理私钥，然后由芯片操作系统调用CPU的SM2算法引擎使用安全管理私钥对公钥加密的配置修改说明进行私钥解密，还原成配置修改说明并发送到显示系统，同时芯片操作系统从保密存储器读取安全管理证书，并从安全管理证书中分离出所管辖的设备列表；

②安全管理员对配置修改说明进行授权操作，安全管理终端的芯片操作系统调用安全管理终端CPU的SM2算法引擎，安全管理终端的芯片操作系统读取存储于安全管理终端的保密存储器中的安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书，安全管理终端的芯片操作系统使用SM2算法引擎和安全管理公钥、安全管理私钥、安全管理椭圆曲线参数、安全管理证书对配置修改说明进行数字签名，生成经安全管理授权的配置修改说明并发送给身份认证授权管理服务器的外网接口；

③经安全管理授权的配置修改说明通过身份认证授权管理服务器的外网接口之后通过工业防火墙到达身份认证授权管理系统的身份认证信息生成器，身份认证信息生成器调用TCM安全芯片的SM2算法引擎并且读取TCM安全芯片的数据保密存储模块中的安全管理证书，身份认证信息生成器通过安全管理证书和SM2算法引擎对经安全管理授权的配置修改说明进行身份验证；

④通过身份验证的经安全管理授权的配置修改说明由身份认证授权管理系统的身份认证信息生成器发送到TCM安全芯片的平台身份验证模块，平台身份验证模块根据经安全管理授权的配置修改说明检索TCM安全芯片的数据保密存储模块中存储的配置修改说明，平台身份验证模块将配置修改说明替换为相应的经安全管理授权的配置修改说明。

2.根据权利要求1所述的一种应用国密算法的工业控制身份认证方法，其特征在于由TCM安全芯片建立可信根用以保护身份认证授权管理服务器的可信运行，当身份认证授权管理服务器的任何一个模块受到攻击而改变时，身份认证授权管理服务器将重新启动并由TCM安全芯片对系统受到攻击的模块进行安全恢复；同时为了降低系统受到攻击的可能性，身份认证授权管理服务器受到的任何来自TCP/IP网络的数据首先经过工业防火墙进行IP地址过滤、端口过滤、入侵检测过滤，以规避大部分来自TCP/IP网络环境的攻击手段，以确保身份认证授权管理服务器安全稳定的运行。

3.一种应用国密算法的工业控制身份认证装置，执行如权利要求1所述的应用国密算法的工业控制身份认证方法，其特征在于，所述装置由身份认证授权管理服务器和国密串口身份认证终端两部分组成，国密串口身份认证终端具有安全管理终端、只读访问终端、配置修改终端三种类型；身份认证授权管理服务器由TCM安全芯片、操作系统、身份认证授权管理系统、工业防火墙、外网接口、内网接口和BIOS组成；国密串口身份认证终端由包含SM1算法引擎、SM2算法引擎、SM3算法引擎的CPU、保密存储器、芯片操作系统组成；身份认证授权管理服务器的TCM安全芯片由密码算法模块、数据保密存储模块、完整性度量模块、完整性报告模块、平台身份验证模块组成，完成身份认证授权管理服务器可信根的建立，保证身份认证授权管理服务器各模块完整性，当身份认证授权管理服务器的模块被攻击时及时进行安全恢复，同时TCM安全芯片的密码算法模块还具有SM1算法引擎、SM2算法引擎、SM3算法引擎，身份认证授权管理服务器其他模块可以调用密码算法模块中的国产密码算法引擎完成数据签名、身份验证、加密解密功能，TCM安全芯片的数据保密存储模块用来存储身份认证授权管理服务器各个模块生成的需要保密的信息，包括身份证书、公钥、私钥、椭圆曲线参数、配置修改说明、经安全管理授权的配置修改说明；身份认证授权管理服务器的操作系统采用Linux内核完成身份认证授权管理服务器各模块间的数据调度，保证身份认证授权管理服务器各模块稳定运行；身份认证授权管理服务器的身份认证授权管理系统由身份认证信息生成器、角色权限定义器、工控指令集、协议转换器组成，角色权限定义器完成只读访问权限和允许只读访问的设备列表对应关系建立，配置修改权限和允许进行配置修改的设备列表对应关系建立，安全管理权限和所管辖的设备列表对应关系建立，身份认证信息生成器完成身份认证证书的生成、身份认证证书的确认工作，协议转换器完成将访问数据从TCP/IP协议转换成工业控制系统所使用的协议，工控指令集完成经过协议转换后形成的工控协议的数据进行类型划分的工作，有状态查询指令和配置修改指令两种类型，工控指令甄别不同类型的工控协议数据发起不同的数据传递流程；身份认证授权管理服务器的工业防火墙模块进行外网访问数据的IP地址过滤、端口过滤、入侵检测过滤工作；身份认证授权管理服务器的外网接口负责与外部TCP/IP网络连接并传递数据；身份认证授权管理服务器的内网接口负责与工业控制系统连接并传递数据；身份认证授权管理服务器的BOIS负责身份认证授权管理服务器启动所需硬件设备驱动加载；国密串口身份认证终端的CPU包含SM1算法引擎、SM2算法引擎、SM3算法引擎，完成向芯片操作系统提供算法支持的功能；国密串口身份认证终端的保密存储器完成身份认证信息和私钥的存储，同时也提供与身份认证授权管理服务器交互信息的保密存储功能；国密串口身份认证终端的芯片操作系统完成通过调用CPU的国密算法引擎完成外发数据的数字签名功能和对收到的数据进行私钥解密处理功能。

4.一种应用国密算法的工业控制身份认证方法，其特征在于通过工业防火墙的外网数据首先经过国密算法的基于数字签名的身份认证，通过身份认证的数据由协议转换器转换成工业控制网络的专用协议，生成工控协议的外网数据，工控协议的外网数据通过工控指令集进行状态查询指令和配置修改指令的归类划分，属于状态查询指令的工控协议的外网数据通过内网接口发送给工业控制系统，属于配置修改指令的工控协议的外网数据先进行保密存储，同时将配置修改说明进行保密存储，由安全管理员通过安全管理终端登录并读取配置修改说明，对可以做修改的配置修改项目进行授权并且更新存储于TCM安全芯片数据保密存储模块中的配置修改说明为经安全管理授权的配置修改说明，由工控指令集模块查询TCM安全芯片数据保密存储模块中的经安全管理授权的配置修改说明，将与经安全管理授权的配置修改说明相对应的工控协议的外网数据通过内网接口传送给工业控制系统，以上工控指令集针对两种不同类型的工控协议的外网数据发起的不同的数据流转过程达到只读访问控制和配置修改访问控制的不同权限控制，实际应用中如果要求的权限种类更为复杂，均可以通过在工控指令集将指令划分类型，不同类型的指令发起不同数据流转流程来实现。