CN105100044A - 用于可控装置访问的系统和方法 - Google Patents

用于可控装置访问的系统和方法 Download PDF

Info

Publication number
CN105100044A
CN105100044A CN201510231453.XA CN201510231453A CN105100044A CN 105100044 A CN105100044 A CN 105100044A CN 201510231453 A CN201510231453 A CN 201510231453A CN 105100044 A CN105100044 A CN 105100044A
Authority
CN
China
Prior art keywords
certificate
industrial system
access
system device
security strategy
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201510231453.XA
Other languages
English (en)
Inventor
D.萨诺斯
A.L.乔拉卡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
General Electric Co
Original Assignee
General Electric Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=53180551&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=CN105100044(A) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by General Electric Co filed Critical General Electric Co
Publication of CN105100044A publication Critical patent/CN105100044A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN

Abstract

本发明题为用于可控装置访问的系统和方法。工业环境包括工业系统装置。工业系统装置包括处理器，其接收描述工业系统装置的一个或多个访问限制的安全策略的证书，并且对工业系统装置实现安全策略。相应地，对装置的访问可以是基于要在装置上完成的特定工作可定制的，从而提供更适当的装置访问。此外，安全策略证书可提供给装置而无需依靠“常通”的基于服务器的系统，从而引起用于访问装置的更少故障点。

Description

用于可控装置访问的系统和方法
技术领域
本文所公开的主题涉及电子装置访问。具体来说，本文所公开的实施例涉及用于提供对这些装置的可控访问的系统和方法。
背景技术
变电站是较大电力站的子站或支站，其可生成、传送和/或分配电力。变电站可执行诸如将高压变换成低压或者将低压变换成高压、将电力从输电系统传递到配电系统以及从发电厂(例如涡轮机驱动发电系统、风力田等)收集电力以传递到输电系统之类的功能。因此，变电站一般可包括可配置设备，其提供与变电站中的过程相关的数据。例如，生成、传输和/或分配可包括智能电子装置(IED)分配自动化装置、智能计量表或其他基于处理器的设备。对这些装置的配置和数据集合功能的访问在传统上是本地过程，其中用户访问这些装置上的小键盘和/或经由直接串行连接来访问装置。相应地，保护包含这些装置的物理驻地时常被看作是关于对这些装置的访问的充分保护。
随时间推移，当公用事业系统装置变得越来越复杂和智能时，这些装置与公用事业系统中的其他装置之间的网络通信已经增加。然而，这些新通信功能性可带来增加的暴露，使得只依靠驻地安全性可能不太有效。此外，基于驻地的安全性没有提供访问的装置特定的定制。
发明内容
下面概述其范围与最初要求保护的本发明相称的某些实施例。这些实施例不是意在限制要求保护的本发明的范围，这些实施例而是仅预计提供本发明的可能形式的概述。实际上，本发明可包含可与下面提出的实施例相似或不同的多种形式。
在第一实施例中，工业环境包括工业系统装置。工业系统装置包括处理器，其接收描述工业系统装置的一个或多个访问限制的安全策略的证书，并且对工业系统装置实现安全策略。
在第二实施例中，一种方法包括：确定特定工业系统装置的一个或多个基于任务的访问权限；生成包含一个或多个基于工作的访问权限的机器可读定义的数字证书；以及采用与特定工业系统装置中存储的公钥对应的私钥来签署数字证书。
在第三实施例中，一种有形非暂时机器可读介质包括执行下列步骤的机器可读指令：接收采用私钥所签署的证书；从工业系统装置中检索公钥；以及至少基于私钥和公钥来确定证书的有效性。如果证书是无效的，则指令丢弃该证书。如果证书是有效的，则指令：确定证书中定义的安全策略；以及对工业系统装置实现安全策略。
技术方案1：一种工业系统，包括：
工业系统装置，包括：
　　处理器，配置成：
　　　　接收包含描述所述工业系统装置的一个或多个访问限制的安全策略的证书；以及
　　　　对所述工业系统装置实现所述安全策略。
技术方案2：如技术方案1所述的工业系统，其中，所述安全策略包括基于对所述工业系统装置要完成的工作来描述所述工业系统装置的一个或多个基于工作的访问限制的基于工作的安全策略。
技术方案3：如技术方案1所述的工业系统，其中：
所述工业系统装置包括存储公钥的处理器可读存储器；
所述证书采用私钥来签署；以及
所述处理器配置成：
　　基于所述私钥和所述公钥来验证所述证书；
　　当所述证书被验证时，实现所述安全策略；以及
　　当所述证书没有被验证时，不实现所述安全策略。
技术方案4：如技术方案1所述的工业系统，其中，所述工业环境包括：
一个或多个处理器实现的管理工具，配置成：
　　访问所述工业系统装置的数据；
　　编辑所述工业系统装置的配置设定；或者
　　它们两者；
其中所述访问、所述编辑或者两者服从所述安全策略。
技术方案5：如技术方案1所述的工业系统，包括处理器实现的访问控制系统，其配置成：
确定要在所述工业系统装置上完成的工作；以及
基于要在所述工业系统装置上完成的所述工作来定义所述安全策略。
技术方案6：如技术方案5所述的工业系统，包括处理器实现的证书机构，其配置成：
从所述访问控制系统接收所述安全策略；
基于所述接收的安全策略来生成所述证书；以及
采用私钥来签署所述证书。
技术方案7：如技术方案6所述的工业系统，其中，所述证书机构配置成将采用所述私钥所签署的所述证书提供给一个或多个处理器实现的管理工具，其配置成访问所述工业系统装置的数据、编辑所述工业系统装置的配置设定或者它们两者。
技术方案8：如技术方案7所述的工业系统，其中，一个或多个处理器实现的管理工具配置成在尝试访问所述工业系统装置的数据、编辑所述工业系统装置的配置设定或者它们两者之前将采用所述私钥所签署的所述证书提供给所述工业系统装置。
技术方案9：如技术方案6所述的工业系统，其中，所述证书机构配置成将采用所述私钥所签署的所述证书提供给所述工业系统装置，而无需首先将所述证书提供给另一个基于处理器的系统。
技术方案10：如技术方案1所述的工业系统，其中，所述证书经过加密，以及所述工业系统装置的所述处理器配置成仅在所述证书经过解密之后才对所述工业系统装置实现所述安全策略。
技术方案11：如技术方案10所述的工业系统，其中，所述工业系统的至少一个组件配置成基于解密密钥、生物测定数据、密码或者它们的任何组合来对所述证书进行解密。
技术方案12：一种方法，包括：
确定特定工业系统装置的一个或多个基于工作的访问权限；
生成包含所述一个或多个基于工作的访问权限的机器可读定义的数字证书；以及
采用与所述特定工业系统装置上存储的公钥对应的私钥来签署所述数字证书。
技术方案13：如技术方案12所述的方法，包括：
在签署所述数字证书之后，直接地或者经过中间基于处理器的系统间接地将所述数字证书提供给所述特定工业系统装置。
技术方案14：如技术方案12所述的方法，其中，所述基于工作的访问权限包括暂时访问权限。
技术方案15：如技术方案12所述的方法，其中，所述数字证书包括X.509证书或XML证书或者它们两者。
技术方案16：一种有形非暂时机器可读介质，包括执行下列步骤的机器可读指令：
接收采用私钥所签署的证书；
从工业系统装置检索公钥；
至少基于所述私钥和所述公钥来确定所述证书的有效性；
如果所述证书无效，则忽略所述证书；以及
如果所述证书有效，则：
　　确定所述证书中的安全策略；以及
　　对所述工业系统装置实现所述安全策略。
技术方案17：如技术方案16所述的机器可读介质，包括执行下列步骤的机器可读指令：
接收所述证书，其中所述证书经过加密；以及
在确定所述证书的所述有效性之前，对所述证书进行解密。
技术方案18：如技术方案16所述的机器可读介质，包括执行下列步骤的机器可读指令：
接收密码、生物测定数据或者它们两者；
确定所述密码、生物测定数据或者它们两者的有效性；以及
仅当所述密码、生物测定数据或者它们两者有效时，才实现所述安全策略。
技术方案19：如技术方案16所述的机器可读介质，其中，所述安全策略包括基于工作的安全策略。
技术方案20：如技术方案16所述的机器可读介质，其中，所述证书包括符合X.509标准的证书、XML证书或者它们两者。
附图说明
通过参照附图阅读以下详细描述，将会更好地了解本发明的这些及其他特征、方面和优点，附图中，相似标号在附图中通篇表示相似部件，附图包括：
图1是示出按照本方式的一实施例的电力输送系统的框图；
图2是示出按照本方式的一实施例、用于生成装置安全证书的过程的流程图；
图3是示出按照本方式的一实施例、用于准予对装置的访问的过程的流程图；
图4是示出按照本方式的一实施例、采用图2和图3的过程的系统的框图；以及
图5是示出按照本方式的一实施例、采用图2和图3的过程的备选系统的框图。
具体实施方式
下面将描述本发明的一个或多个具体实施例。在提供这些实施例的简要描述的过程中，本说明书中可能没有描述实际实现的所有特征。应当理解，在任何这种实际实现的开发中，如同任何工程或设计项目中那样，必须进行许多实现特定的判定以便实现开发人员的特定目标，例如符合系统相关和业务相关限制，这些限制可对每个实现而改变。此外，应当理解，这种开发工作可能是复杂且费时的，但仍然是获益于本公开的技术人员进行的设计、制作和制造的日常事务。
在介绍本发明的各个实施例的元件时，限定词“一”、“一个”、“该”和“所述”预计表示存在元件的一个或多个。术语“包含”、“包括”和“具有”预计包含在内，并且表示可存在除了列示元件之外的附加元件。虽然本文所使用的描述提到电力网、电力生成、传输和/或分配系统中的使用，但并不是意在这种限制。此外，虽然论述可具体参照智能电子装置(IED)，但是本文所述的系统和方法并不是意在只局限于这类IED中的使用。
当前实施例涉及用于控制对工业环境中、例如在变电站、在电力网设施等的装置的访问的系统和方法。这些工业环境可采用基于处理器的(“智能”)装置，其是可配置的，或者可收集和/或处理数据(例如，来自工业传感器输出的数据等)。这类装置可包括例如：IED，其是基于处理器的装置，可用来执行任务和/或监测变电站的某些方面(例如继电器、远程终端单元等)；分配自动化装置，例如基于处理器的开关装置、电压控制器和电容器；智能计量表(例如，智能公用事业计量表，例如电表、煤气表、水表等)，其是基于处理器的消费公用事业计量表；等等。由于从这些装置的配置和数据检索的敏感性质，可期望为这些装置定义和提供可定制访问策略。以下实施例描述在无需使用“常通”集中访问服务器/服务的情况下提供对这些工业环境的可定制访问策略的系统和方法。通过消除对这些集中访问服务器/服务的依靠，可增强系统的可靠性。例如，在依靠这类服务器/服务的系统中，系统可能在服务器/服务正确运行时仅认证/提供对装置的访问。相应地，保证增加的系统冗余度，从而引起增加的信息技术(IT)工作负荷和成本。通过使用本文所述的系统和方法，这个工作负荷和成本可降低。
此外，本文所述的系统和方法描述基于工作的访问策略定制以及基于时间的访问策略定制。通过增加访问策略的定制功能性，可覆盖与装置访问有关的增加数量的使用情况。相应地，可增强安全性和管理功能。
作为介绍，图1示出按照本文所述的访问控制系统和方法所设计的公用事业系统10。系统10可以是例如较大电力公用事业系统的子站或支站，其可生成、传送和/或分配电力。系统10可执行的功能的一部分包括将高压变换成低压或者将低压变换成高压、将电力从输电系统传递到配电系统以及从发电厂(例如，燃气涡轮发电机系统、蒸汽涡轮发电机系统、水力涡轮发电机系统、风力涡轮发电机系统、例如风力田，太阳能系统等)收集电力以传递到输电系统。
如上所述，系统10可一般包括一个或多个基于处理器的装置12，其可包括分配自动化装置（DAD）14、智能计量表（SM）16、IED18(例如继电器、间隔控制器、计量表、远程终端单元、数字故障记录器、事件记录器序列和通信装置(例如路由器和交换机))和/或任何其他基于处理器的装置。智能计量表16可包括多中智能公用事业计量表，例如电表、煤气表、水表或者它们的任何组合。
装置12可包括处理器20、存储器22以及到其他系统、组件和/或装置的通信链路24，如图1所示。此外，装置12在一些情况下可具有用户接口26(例如，板载小键盘显示器和/或用于用户交互的触摸屏)和/或配置设定28(其可对装置12来修改)。
如上所述，可期望为一个或多个装置12提供机器可解释访问策略(例如，有形非暂时机器可读介质上存储的机器可解释访问规则)。访问规则可支配提供给系统10的访问规定。例如，可期望基于要由系统10中的执行者所执行的特定工作来实现对装置12的一个或多个的特定特征/数据的访问。在所提供的示例中，执行者30可负责维护IED18，而不是分配自动化装置14或智能计量表16。如本文所述，可提供对装置12的基于工作的访问。相应地，执行者30可被准予对IED18的访问，同时被限制对分配自动化装置14和/或智能计量表16的访问。因为执行者30负责维护IED18，所以向执行者30提供对用户接口26的访问和/或修改IED18的配置设定。
在一些实施例中，可期望限制对装置12的配置的访问。在所提供示例中，执行者32可负责操作但不修改装置12的一个或多个。相应地，执行者32的基于工作的访问策略(例如，由装置12可解释的访问规则)可使执行者32能够访问一个或多个装置12的用户接口26和/或数据，同时限制(或者部分限制)对装置12的配置设定28的访问。
此外，在一些实施例中，基于工作的活动可以是暂时的。在一个示例中，执行者34的任务可以是故障排除和/或修复IED18。因为这个任务是暂时的(即，一旦解决则将结束)，所以用户34的基于工作的访问可以是短暂的，表示访问可对于有限的时长。暂时任务的短暂访问通过减少不需要它的工作的永久访问，来提供附加安全性。
装置12可使用多种方法来访问和/或配置。例如，装置12可使用装置12上板载的用户接口26来访问和/或配置。此外，多个管理工具36可用来访问数据和/或配置装置12。例如，管理工具36可包括计算机，其从计算机可读介质运行计算机可读指令。这些指令可使执行者(例如执行者30、32和/或34)能够访问数据和/或配置装置12。
为了提供上述访问策略，一个或多个安全策略38(例如详述访问限制的数字证书)可提供给装置12。这些安全策略可定义执行者(例如执行者30、32和/或34)是否正执行工作，其中准予基于工作的访问。如下面将更详细论述，这些安全策略38可在使用之前、在装置12来认证，使得不需要集中和/或“常通”认证服务。相应地，可遇到认证失败的降低。
与用户/密码认证相比，证书(例如按照X.509标准所生成的证书和/或XML证书)可具有针对网络攻击的更大保护。现在来看安全策略38的创建和使用的论述，图2示出按照本方式的一实施例、用于生成装置安全证书的过程50的流程图。为了创建证书，可确定对完成工作是有用的访问权限(框52)。例如，如果暂时配置维护工作将要完成，则对应访问权限可定义对暂时时间周期(例如1小时、5小时、10天、1个月、1年等)的访问。此外，这种类型的工作的访问定义可提供特定访问区域，例如对用户接口26的访问、对配置设定28的完全集合的访问和/或对配置设定28的子集的访问。访问定义可定义特定装置12(例如，其中执行工作的装置12)，或者可应用于环境10中的装置12的每个。一旦确定/定义基于工作的访问权限，则包含安全策略38的证书按照这些权限来生成(框54)。证书采用与由装置12(其中准予访问)可访问的公钥对应的私钥来签署(框56)。
已经论述了安全策略证书的创建，图3是示出按照本方式的一实施例、用于准予对装置(例如图1的装置12)的访问的过程70的流程图。首先，将通过私钥所签署的证书(例如按照图2的过程50所生成的证书)提供给装置12，其中将要实现安全策略(框72)。许多不同的传输方法可用来向装置12提供证书。例如，在一个实施例中，装置12(或者向装置12提供证书的中间装置)可包括超文本传输协议(HTTP)客户端，其可接收证书。在一个实施例中，装置12(或者向装置12提供证书的中间装置)可包括电子邮件客户端，其经由电子邮件交换来接收证书。在一些实施例中，存储证书的传递装置可在物理上耦合到装置12，其中证书从传递装置传递给装置12。对于附加安全层，可在接受来自传递装置的证书之前校验唯一标识符(UID)和/或消息认证码(MAC)。MAC可以是用来认证消息的算法。MAC可基于带密钥密码哈希(例如HMAC-SHA-256)，其中密钥基于用户密码和密钥推导函数(例如PBKDFv2或脚本)来生成。
通过与证书的私钥签名结合使用公钥，将证书验证为来自合法(例如经授权)源(框74)。例如，不对称密钥密码可用来验证证书。在一个实施例中，证书签名和/或有效载荷(例如安全策略数据)使用随装置12所嵌入的公钥来分析/解密。相应地，签名检测算法可确定证书是否来自经验证源和/或应当被信任/使用。
基于证书是否有效的确定(框76)，证书被忽视(框78)或者用来准予对装置12的访问(框80)。相应地，当用来准予对装置12的访问时，基于工作的访问策略可对装置12来实现，以控制对数据的访问和/或编辑装置12的配置设定。
图4是示出按照本方式的一实施例、采用图2和图3的过程、按照安全策略证书经由与证书生成计算机分离的处理计算机来提供给装置12(例如IED18)的系统100的框图。在系统100中，计算机102可包括访问控制模块104和/或证书机构106。访问控制模块104可确定对系统100中的特定工作是有用的访问权限。在一些实施例中，访问控制模块104可以是服务票务系统的一部分，其创建特定工作的服务票据。在系统中创建工作时，可确定对工作的完成是有用的特定访问权限。
一旦访问控制模块104确定有用访问权限，证书机构106可生成证书108。证书108可使用与装置12的公钥关联的私钥110来签署。证书签名可实现关于安全策略证书108来自经授权证书机构106的验证。
在图4的实施例中，将采用私钥110所签署的证书108提供给辅助计算机系统/计算机系统存储装置114，其可包括可存储证书108的有形非暂时计算机可读存储装置（CRL）116。在一些实施例中，辅助计算机系统/计算机系统存储装置114可在通信上与装置112进行接口118。相应地，将证书108存储在辅助计算机系统/计算机系统存储装置114的存储装置116中会是便利的。例如，在一个实施例中，辅助计算机系统/计算机系统存储装置114可包含管理工具36的一个或多个。因为这些管理工具36访问数据和/或用来编辑配置设定(例如图1的配置设定28)，所以将后续传送给装置12的证书108存储在辅助计算机系统/计算机系统存储装置114会是有益的。
在接收证书108之后，辅助计算机系统/计算机系统存储装置114可经由通信接口118将证书传送给装置12。辅助计算机系统/计算机系统存储装置114可在期望访问装置12时和/或在期望访问装置12之前发送这个证书。例如，在一些实施例中，辅助计算机系统/计算机系统存储装置114可在从计算机102接收时提供证书108。在一些实施例中，辅助计算机系统/计算机系统存储装置114可在预期访问时(例如在经由管理工具36来尝试对装置12的访问时)提供证书108。
在接收私密签署的证书108时，装置12可使用在装置12所存储的公钥112来验证证书108来自有效源并且将是被信任的。在确定证书108将被信任时，装置12可按照证书108中提供的安全策略来提供访问。
在一些实施例中，一个或多个证书撤消列表(CRL)116可用来修改对暂时访问和/或基于状态的访问的证书定义访问。一般来说，CRL提供已经撤消并且不再应当被信任的证书的列表。相应地，CRL在实现暂时访问(例如对12小时的访问、从2月1日至3月1日的访问、早晨10点与下午12点之间的访问等)和/或基于状态的访问(例如访问)中可以是有用的。例如，一旦达到暂时访问和基于状态的访问的阈值，则证书可添加到CRL116(其可以是装置12本地的和/或可被提供或者至少具有外部实体(例如证书机构106)所提供的条目)。一旦在CRL116上，证书可以不再被信任，从而引起去除对系统的访问。
相应地，对装置12的访问可以是基于要在装置12上完成的特定工作可定制的，从而提供更适当的装置12访问。此外，安全策略证书可提供给装置12而无需依靠“常通”的基于服务器的系统，从而引起用于访问装置12的更少故障点。
在一些实施例中，可期望直接从证书机构108的主机(例如计算机102)提供安全策略证书108。图5是示出按照本方式的一实施例、采用图2和图3的过程的备选系统130的框图。
在图5的实施例中，计算机102可包括访问控制模块104和/或证书机构106。访问控制模块104可确定对系统100中的特定工作是有用的访问权限。在一些实施例中，访问控制模块104可以是服务票务系统的一部分，其创建特定工作的服务票据。在系统中创建工作时，可确定对工作的完成是有用的特定访问权限。
一旦访问控制模块104确定有用访问权限，证书机构106可生成证书108。证书108可使用与装置12的公钥关联的私钥110来签署。证书签名可实现关于安全策略证书108来自经授权证书机构106的验证。
在图5的实施例中，私有签署的证书(例如，采用私钥110所签署的证书108)直接提供给(一个或多个)装置12，其中要实现访问策略。与图4的实施例相对照，不需要辅助计算机系统/计算机系统存储装置来传播私有签署证书。计算机102而是可经由网络132将证书导向(一个或多个)装置12。在一些实施例中，证书108可使用加密密钥来加密，如锁定134所示。相应地，例如生物测定数据、密码、个人标识号、基于带密钥密码哈希(例如，基于哈希的消息认证码HMAC-SHA-256)所生成的消息认证码(MAC)等的安全/解密数据136可用来添加附加安全层。例如，这个安全/解密数据136可用来生成与解密证书108对应的解密(例如，经由密码和密钥推导函数，例如脚本或者基于密码的密钥推导函数2(PBKDFv2))。当使用MAC时，可在证实证书供使用之前，在证书108中验证MAC。
在接收私有签署的证书108时，(一个或多个)装置12可使用在装置12所存储的公钥112来验证证书108来自有效源并且将是被信任的。在确定证书108将被信任时，装置12可按照证书108中提供的安全策略来提供访问。
管理工具36可经由通信通路138来尝试访问(一个或多个)装置12的数据和/或编辑配置设定(例如图1的配置设定28)。但是，(一个或多个)装置12可阻止访问，直到证书108经过解密和/或访问符合证书108中所述的策略。例如，如果证书108规定管理工具36能够访问数据但是不编辑(一个或多个)装置12的配置设定，则管理工具36编辑(一个或多个)装置12的配置设定的任何尝试将被阻止。此外，在证书108经过加密的一些实施例中，如果管理工具36没有提供正确解密数据136，则证书108将不会被解密，并且(一个或多个)装置12将不允许管理工具36的任何访问或编辑能力。
相应地，对装置12的访问可以是基于要在装置12上完成的特定工作可定制的，从而提供更适当的装置12访问。例如，访问可基于下列项来定制：维护任务、数据读取任务、重新配置任务等。此外，安全策略证书可提供给装置12而无需依靠“常通”的基于服务器的系统，从而引起用于访问装置12的更少故障点。
所公开实施例的技术效果包括对提供装置特定定制访问策略是有用的工业环境系统和方法。例如，当前实施例生成访问证书，其可用来向特定工业装置提供短暂访问、基于工作的访问等。因此，能够实现许多个别化访问情况，从而产生工业装置的更好安全性。此外，这些定制访问策略可按照不依靠“常通”服务和/或服务器的自动化和分散方式来分配。因此，这些系统和方法的使用可引起访问策略的减少配置时间和/或集中系统的信息技术需要的减少的费用、时间和人力。本说明书中的技术效果和技术问题是示范性而不是限制性的。应当注意，说明书中所述的实施例可具有其他技术效果，并且能够解决其他技术问题。
本书面描述使用包括最佳模式的示例来公开本发明，并且还使本领域的技术人员能够实施本发明，包括制作和使用任何装置或系统，以及执行任何结合方法。本发明的专利范围由权利要求书来定义，并且可包括本领域的技术人员想到的其他示例。如果这类其他示例具有与权利要求的文字语言完全相同的结构单元，或者如果它们包括具有与权利要求的文字语言的非实质差异的等效结构单元，则预计它们落入权利要求的范围之内。

Claims (10)

1.一种工业系统，包括：
工业系统装置，包括：
　　处理器，配置成：
　　　　接收包含描述所述工业系统装置的一个或多个访问限制的安全策略的证书；以及
　　　　对所述工业系统装置实现所述安全策略。
2.如权利要求1所述的工业系统，其中，所述安全策略包括基于对所述工业系统装置要完成的工作来描述所述工业系统装置的一个或多个基于工作的访问限制的基于工作的安全策略。
3.如权利要求1所述的工业系统，其中：
所述工业系统装置包括存储公钥的处理器可读存储器；
所述证书采用私钥来签署；以及
所述处理器配置成：
　　基于所述私钥和所述公钥来验证所述证书；
　　当所述证书被验证时，实现所述安全策略；以及
　　当所述证书没有被验证时，不实现所述安全策略。
4.如权利要求1所述的工业系统，其中，所述工业环境包括：
一个或多个处理器实现的管理工具，配置成：
　　访问所述工业系统装置的数据；
　　编辑所述工业系统装置的配置设定；或者
　　它们两者；
其中所述访问、所述编辑或者两者服从所述安全策略。
5.如权利要求1所述的工业系统，包括处理器实现的访问控制系统，其配置成：
确定要在所述工业系统装置上完成的工作；以及
基于要在所述工业系统装置上完成的所述工作来定义所述安全策略。
6.如权利要求5所述的工业系统，包括处理器实现的证书机构，其配置成：
从所述访问控制系统接收所述安全策略；
基于所述接收的安全策略来生成所述证书；以及
采用私钥来签署所述证书。
7.如权利要求6所述的工业系统，其中，所述证书机构配置成将采用所述私钥所签署的所述证书提供给一个或多个处理器实现的管理工具，其配置成访问所述工业系统装置的数据、编辑所述工业系统装置的配置设定或者它们两者。
8.如权利要求7所述的工业系统，其中，一个或多个处理器实现的管理工具配置成在尝试访问所述工业系统装置的数据、编辑所述工业系统装置的配置设定或者它们两者之前将采用所述私钥所签署的所述证书提供给所述工业系统装置。
9.如权利要求6所述的工业系统，其中，所述证书机构配置成将采用所述私钥所签署的所述证书提供给所述工业系统装置，而无需首先将所述证书提供给另一个基于处理器的系统。
10.如权利要求1所述的工业系统，其中，所述证书经过加密，以及所述工业系统装置的所述处理器配置成仅在所述证书经过解密之后才对所述工业系统装置实现所述安全策略。
CN201510231453.XA 2014-05-09 2015-05-08 用于可控装置访问的系统和方法 Pending CN105100044A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US14/274,330 US20150324589A1 (en) 2014-05-09 2014-05-09 System and method for controlled device access
US14/274330 2014-05-09

Publications (1)

Publication Number Publication Date
CN105100044A true CN105100044A (zh) 2015-11-25

Family

ID=53180551

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510231453.XA Pending CN105100044A (zh) 2014-05-09 2015-05-08 用于可控装置访问的系统和方法

Country Status (6)

Country Link
US (1) US20150324589A1 (zh)
EP (1) EP2942922B1 (zh)
JP (1) JP2015215896A (zh)
CN (1) CN105100044A (zh)
BR (1) BR102015010584A2 (zh)
CA (1) CA2891024A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107291055A (zh) * 2016-04-13 2017-10-24 洛克威尔自动控制技术股份有限公司 装置专用加密内容保护

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102015200209A1 (de) * 2015-01-09 2016-07-14 Wobben Properties Gmbh Verfahren zum Autorisieren für Steuerzugriffe auf Windenergieanlagen sowie Schnittstelle von Windenergieanlagen und Zertifizierungsstelle
EP3214511B1 (de) 2016-03-04 2018-05-09 Siemens Aktiengesellschaft Kontrollierte bereitstellung von steuerungsdaten
JP7004667B2 (ja) * 2016-04-25 2022-01-21 インタートラスト テクノロジーズ コーポレイション データ管理システムおよび方法
JP6719079B2 (ja) * 2016-05-31 2020-07-08 パナソニックＩｐマネジメント株式会社 情報機器、データ処理システム、データ処理方法およびコンピュータプログラム
EP3276879B1 (de) * 2016-07-26 2020-06-17 Siemens Aktiengesellschaft Verfahren zum betreiben einer anordnung, die eine unterstation und zumindest ein daran angeschlossenes endgerät umfasst
US10204226B2 (en) 2016-12-07 2019-02-12 General Electric Company Feature and boundary tuning for threat detection in industrial asset control system
DE102017118313A1 (de) * 2017-08-11 2019-02-14 M & H Inprocess Messtechnik Gmbh Messsystem-Set
EP3509004A1 (en) * 2018-01-03 2019-07-10 Siemens Aktiengesellschaft Adaption of mac policies in industrial devices
EP3660794B1 (de) * 2018-11-28 2023-09-06 Siemens Aktiengesellschaft Verfahren und einrichtung zum schützen einer technischen anlage
US10848481B1 (en) * 2019-05-17 2020-11-24 The Florida International University Board Of Trustees Systems and methods for revocation management in an AMI network
FR3115646B1 (fr) * 2020-10-28 2023-09-29 Accumulateurs Fixes Procédé de sécurisation du fonctionnement d’un système industriel et dispositifs associés
EP4187846A1 (de) * 2021-11-30 2023-05-31 Siemens Aktiengesellschaft Steuerung eines zugriffs auf ein gerät

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7314169B1 (en) * 2004-09-29 2008-01-01 Rockwell Automation Technologies, Inc. Device that issues authority for automation systems by issuing an encrypted time pass
CN101321064A (zh) * 2008-07-17 2008-12-10 上海众恒信息产业有限公司 一种基于数字证书技术的信息系统的访问控制方法及装置
CN103490895A (zh) * 2013-09-12 2014-01-01 北京斯庄格科技有限公司 一种应用国密算法的工业控制身份认证方法及装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7073174B2 (en) 2001-06-05 2006-07-04 Hewlett-Packard Development Company, L.P. Use of job tickets to secure resource access
EP1436682B1 (en) 2001-06-15 2015-09-02 Link Us All, Llc System and method for specifying security, privacy, and access control to information used by others
US20050229004A1 (en) 2004-03-31 2005-10-13 Callaghan David M Digital rights management system and method
DE102005015919B4 (de) 2004-04-08 2008-10-16 Symmedia Gmbh Zugriffsverfahren auf Device Server eines Maschinennetzwerkes
US20080148046A1 (en) * 2006-12-07 2008-06-19 Bryan Glancey Real-Time Checking of Online Digital Certificates
DE102007046079A1 (de) 2007-09-26 2009-04-02 Siemens Ag Verfahren zur Herstellung einer sicheren Verbindung von einem Service Techniker zu einer von einem Störfall betroffenen Komponente einer ferndiagnostizierbaren und/oder fernwartbaren Automatisierungs-Umgebung
US8505078B2 (en) * 2008-12-28 2013-08-06 Qualcomm Incorporated Apparatus and methods for providing authorized device access
DE102009058516A1 (de) 2009-12-16 2011-06-22 Siemens Aktiengesellschaft, 80333 Vorrichtung und Verfahren zum Gewähren von Zugriffsrechten auf eine Wartungsfunktionalität
AU2011224641B2 (en) 2010-03-08 2014-10-09 VMware LLC Task-based access control in a virtualization environment
GB2487049A (en) 2011-01-04 2012-07-11 Vestas Wind Sys As Remote and local authentication of user for local access to computer system
US8863299B2 (en) * 2012-01-06 2014-10-14 Mobile Iron, Inc. Secure virtual file management system
DE102013202339A1 (de) 2013-02-13 2014-08-14 Siemens Aktiengesellschaft Vorrichtung und Verfahren zum Verwalten von Zugangscodes

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7314169B1 (en) * 2004-09-29 2008-01-01 Rockwell Automation Technologies, Inc. Device that issues authority for automation systems by issuing an encrypted time pass
CN101321064A (zh) * 2008-07-17 2008-12-10 上海众恒信息产业有限公司 一种基于数字证书技术的信息系统的访问控制方法及装置
CN103490895A (zh) * 2013-09-12 2014-01-01 北京斯庄格科技有限公司 一种应用国密算法的工业控制身份认证方法及装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107291055A (zh) * 2016-04-13 2017-10-24 洛克威尔自动控制技术股份有限公司 装置专用加密内容保护

Also Published As

Publication number Publication date
EP2942922A1 (en) 2015-11-11
EP2942922B1 (en) 2020-04-22
BR102015010584A2 (pt) 2018-03-06
JP2015215896A (ja) 2015-12-03
US20150324589A1 (en) 2015-11-12
CA2891024A1 (en) 2015-11-09

Similar Documents

Publication Publication Date Title
CN105100044A (zh) 用于可控装置访问的系统和方法
US20210084051A1 (en) Operator action authentication in an industrial control system
Sridhar et al. Cyber–physical system security for the electric power grid
Petrlic A privacy-preserving concept for smart grids
CN102111265A (zh) 一种电力系统采集终端的安全芯片加密方法
EP2966520A2 (en) Operator action authentication in an industrial control system
CN103168458A (zh) 用于防操纵的密钥管理的方法
CN111435390A (zh) 一种配电终端运维工具安全防护方法
CN106603488A (zh) 一种基于电网统计数据搜索方法的安全系统
CN109743174A (zh) 电力监测安全管控系统程序更新的监管方法
CN109981568A (zh) 一种基于双通道身份认证的变电站远方操作安全防护方法
CN109450925B (zh) 用于电力二次系统运维的用户权限验证方法、装置及电子设备
CN111435389A (zh) 一种配电终端运维工具安全防护系统
KR101491553B1 (ko) 인증서 기반의 dms를 이용한 안전한 스마트그리드 통신 시스템 및 방법
Sinha et al. Cyber physical defense framework for distributed smart grid applications
Marksteiner Reasoning on adopting OPC UA for an IoT-enhanced smart energy system from a security perspective
CN111385282B (zh) 用于检验风力发电设备的模块的完整性的方法和装置
Falk et al. Using managed certificate whitelisting as a basis for internet of things security in industrial automation applications
Wang Smart grid, automation, and scada systems security
Dong et al. A review on cybersecurity in smart local energy systems: Requirements, challenges, and standards
KR20150047850A (ko) 풍력 발전 관리 시스템 및 관리 방법
Salpekar Protecting smart grid and advanced metering infrastructure
Seo Towards the advanced security architecture for Microgrid systems and applications
Zhen et al. Cyber-physical system for smart grid applications
Limbasiya et al. Attacks on authentication and authorization models in smart grid

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20151125

RJ01 Rejection of invention patent application after publication