CN112347440A

CN112347440A - 一种工控设备的用户访问权限分置系统及其使用方法

Info

Publication number: CN112347440A
Application number: CN202011268500.5A
Authority: CN
Inventors: 李欣; 李元正; 李永成
Original assignee: Beijing Guotai Netcom Technology Co ltd
Current assignee: Beijing Guotai Netcom Technology Co ltd
Priority date: 2020-11-13
Filing date: 2020-11-13
Publication date: 2021-02-09
Anticipated expiration: 2040-11-13
Also published as: CN112347440B

Abstract

一种工控设备的用户访问权限分置系统，包括设置在工控设备上的智能卡生成模块、用户名和密码生成模块、第一认证模块、第一交互模块和设置在客户主机中的第二认证模块和第二交互模块，通过本发明的系统，形成五种权限管理，即设备管理员、用户管理员、安全员、审计员和操作员权限管理，在所述工控设备出厂时配置设备管理员智能卡，由设备管理员生成用户管理员智能卡、安全员智能卡、审计员智能卡和操作员智能卡，这五种权限相互排斥，避免了超级用户的产生，同时在登录系统时采用双因子认证，达到安全可靠、不可抵赖、操作有据的效果。

Description

一种工控设备的用户访问权限分置系统及其使用方法

技术领域

本发明涉及工业控制领域，尤其涉及一种工控设备的用户访问权限分置系统及其使用方法。

背景技术

我国成千上万台工控系统服务主机应用于各大型企业，再加上几百万台终端控制服务器，在控制系统中对控制设备的访问几乎没有做权限分解和互斥限制，基本都是超级用户可以访问任何资源，执行任何控制，风险非常巨大。工业控制系统本身在信息安全方面起步较晚，技术还不成熟，在工控设备上增加安全通信、安全访问功能又相对较复杂一些，因此发展缓慢。一方面是由于工控系统相对独立，注重应用功能的实现，而对安全的需求没有引起足够重视；另一方面是安全通信范围较广，不仅要求通信加密，还要求通信双方互相认证，这与工业控制的实时性、可靠性和集散控制的要求有部分冲突，必须增加资源来解决这些矛盾。

当前工控领域在信息安全方面应用的安全设备基本是基于中控室主机的保护以及网络的保护，成型的产品有工业防火墙、漏扫设备、网监设备、工业网闸、入侵检测等设备，这些产品做了访问权限规划，有三权分立的设计，也有四权分立的设计，各厂家的设计各不相同。

基于分权的安全智能卡集成系统是“三权分立”安全管理的典型应用，它基于先进的智能卡安全技术，把身份认证和其它有关的安全功能进行有效的集成，为应用安全提供工作平台，增强信息系统中原有的各种应用服务的安全功能。

在现有技术中广泛采用智能卡安全集成系统，通过“三权分立”的安全管理建立严格的身份认证机制。对于所有接触该系统的人员，按其职责设定其访问系统的最小权限，并且按照分级管理原则，严格管理内部用户账号和密码，进入系统内部必须通过严格的身份确认，防止非法占用、冒用合法用户账号和密码。具体实现用户身份认证时，可以通过服务器CA证书与IC 卡相结合实现。CA 证书用来认证服务器的身份，IC 卡用来认证企业用户的身份等等。

然而，现有的三权分立管理机制存在诸多其不足之处，诸如：

1.智能卡双口令身份认证虽然更安全，避免口令攻击造成系统风险，但是目前存在智能卡丢失无法自行补办，以及密码忘记如何重置密码的问题。

2.用户身份与智能卡绑定，虽然方便登录但是丢失智能卡后，被别人拿到实际上也存在风险。就像捡到身份证和银行卡到银行取钱一样。

另外，现有的工控进行维护操作时，要在工控设备上插入智能卡，然后远程登录，如图1所示，这种方式的不足是：工控设备中用于连接智能卡的接口很少，导致能同时登录工控设备的用户很少。而且对于边缘设备来说，有时候边缘采集设备的工作环境恶劣（如核辐射环境），不适合直接对设备进行操作。

发明内容

为了解决现有技术中存在的技术问题，本发明旨在提供一种针对工业控制设备在现场应用的各角色用户访问权限的分置系统，包括设置在工控设备上的智能卡生成模块、用户名和密码生成模块、第一认证模块、第一交互模块和设置在客户主机中的第二认证模块和第二交互模块；其中，

智能卡生成模块，用于读取设备管理员智能卡的信息，接收第一交互模块接收的客户命令生成角色智能卡；

用户名和密码生成模块，用于接收第一交互模块接收的客户命令生成或修改所述角色智能卡的用户名和密码；

第一认证模块，用于与第二认证模块通信，并对第二认证模块传送的认证信息进行判断，并向第一交互模块发送角色信息；

第一交互模块，用于接收第一认证模块发送的角色信息，然后获取相应的功能模块，从而与第二交互模块交互；

第二认证模块，用于读取角色智能卡的信息，接收用户名和密码，然后将认证信息发送给第一交互模块，认证信息包括客户主机地址、用户名和密码以及角色智能卡的信息；

第二交互模块，用于与第一交互模块交互，接收客户命令或向客户呈现结果。

进一步的，所述角色为用户管理员、安全员、审计员和/或操作员，所述智能卡的信息包括角色特征信息和证书，所述角色特征信息包括智能卡的角色特征，所述证书包括允许登录的工控设备的信息。

进一步的，所述系统还包括设置在工控设备上的解密智能卡生成模块，用于为用户管理员生成解密智能卡。

进一步的，所述系统还包括设置在工控设备上的解密模块，用于读取解密智能卡的信息，从第一交互模块接收解密命令，从第一认证模块接收仅密码错误信息，然后对用户管理员智能卡的用户密码解密或重置，并通过第一交互模块和第二交互模块呈现给客户。

进一步的，在所述第一认证模块中，接收第二认证模块发送的认证信息，根据认证信息中角色特征信息和证书以及用户名和密码，进行身份认证和口令认证；如果认证通过，则向第一交互模块发送角色信息；如果用户管理员智能卡认证通过但用户为用户管理员并且密码错误，则向解密模块发送仅用户管理员密码错误信息。

根据本发明的另一方面，提出一种工控设备的用户访问权限分置系统的使用方法，包括：

在工控设备上插入设备管理员智能卡，第二交互模块接收客户命令，并将所述客户命令发送给第一交互模块和智能卡生成模块，由智能卡生成模块生成用户管理员智能卡、安全员智能卡、审计员智能卡和操作员智能卡；

在客户主机上插入用户管理员智能卡，用户名和密码生成模块通过第一交互模块和第二交互模块接收客户命令，为安全员智能卡、审计员智能卡和操作员智能卡生成用户名和密码。

进一步的，所述智能卡包含角色特征信息和证书，所述角色特征信息包含智能卡的角色特征，所述证书包含允许登录的工控设备；将智能卡的角色信息和证书以及对应的用户名、密码保存在数据库中，以在认证用户的时候使用。

进一步的，所述使用方法还包括：

在客户主机上插入用户管理员智能卡，在工控设备上插入解密智能卡；

解密智能卡生成模块通过第一交互模块、第二交互模块接收客户命令，并且还收到第一认证模块传送的用户为用户管理员信息后，生成解密key，并将用户管理员和解密key写入解密智能卡。

进一步的，所述方法还包括：

解密模块通过第一交互模块、第二交互模块接收客户命令，并且还收到第一认证模块传送的仅用户管理员密码错误信息后，对所述用户管理员的用户密码解密或重置。

通过本发明，能够形成五种权限管理即设备管理员、用户管理员、安全员、审计员和操作员权限管理的一种工控设备的用户分权和认证方法，这五种权限相互排斥，避免了超级用户的产生，同时在登录系统的方式上实现了创新，达到安全可靠、不可抵赖、操作有据的效果。

附图说明

图1为现有认证结构示意图；

图2为本发明一个实施例的用户访问权限分置系统的结构示意图；

图3为本发明一个实施例的用户访问权限分置系统的使用方法流程示意图；

图4为本发明一个实施例的认证结构示意图。

具体实施方式

下面结合附图和具体实施例对本发明提供的一种工控设备的用户访问权限分置系统及其使用方法进行详细描述。

在以下的描述中，对于本领域内的普通技术人员而言，可以仅仅利用本发明的一些或者全部结构或者流程来实施本发明。为了解释的明确性而言，阐述了特定的数目、配置和顺序，但是很明显，在没有这些特定细节的情况下也可以实施本发明。在其他情况下，为了不混淆本发明，对于一些众所周知的特征将不再进行详细阐述。

本发明提供一种工控设备的用户访问权限分置系统，如图2所示，包括设置在工控设备上的智能卡生成模块、用户名和密码生成模块、第一认证模块、第一交互模块和设置在客户主机中的第二认证模块和第二交互模块；其中，

智能卡生成模块，用于读取设备管理员智能卡的信息，接收第一交互模块接收的客户命令生成角色智能卡；用户名和密码生成模块，用于接收第一交互模块接收的客户命令生成或修改所述角色智能卡的用户名和密码；第一认证模块，用于与第二认证模块通信，并对第二认证模块传送的认证信息进行判断，并向第一交互模块发送角色信息；第一交互模块，用于接收第一认证模块发送的角色信息，然后获取相应的功能模块，从而与第二交互模块交互；第二认证模块，用于读取角色智能卡的信息，接收用户名和密码，然后将认证信息发送给第一交互模块，认证信息包括客户主机地址、用户名和密码以及角色智能卡的信息；第二交互模块，用于与第一交互模块交互，接收客户命令或向客户呈现结果。

智能卡生成模块，用于读取插入工控设备的设备管理员智能卡的信息，生成角色智能卡，即用户管理员智能卡、安全员智能卡、审计员智能卡和/或操作员智能卡。这些角色智能卡，都存储相应的角色特征信息（如角色、功能模块、id等）和认证的证书，角色特征信息包括智能卡的角色特征，所述证书包括允许登录的工控设备的信息。角色特征信息用于确定智能卡对应的角色的登录身份特征，认证证书用于确定允许其登录哪个工控设备。智能卡的生成技术属于现有技术，不再多叙。同样，下面描述中提及的具体的认证、信息的生成等也属于现有技术，不再描述。

在一个实施例中，设备管理员没有口令和密码，在工控设备上插入设备管理员智能卡，智能卡生成模块就能读取其数据，然后通过第一交互模块和第二交互模块传送的客户命令来生成其他角色的智能卡，用户管理员智能卡只生成一个，其他角色智能卡可以生成多个。智能卡可存储多台工控设备的证书信息，可登录多台工控采集边缘计算设备。

用户名和密码生成模块，可以设置在工控设备中，当接收到第一认证模块发送来角色信息时，在角色信息为当前用户为用户管理员时（此时，在客户主机上插有用户管理员智能卡，用户管理员用户和密码均正确），用户名和密码生成模块通过第一交互模块和第二交互模块接收客户命令，为安全员、审计员、操作员角色生成用户名和密码。

第一认证模块和第二认证模块可以无线或有线通信。第二认证模块读取客户主机上插入的各角色智能卡的信息（如角色、功能模块、id等），还接收客户输入的相应角色的用户名、密码，然后将这些认证信息发送给第一认证模块。第一认证模块，通过对比数据库中保存的认证信息等技术手段进行认证。认证结果可以有通过、不通过、仅用户管理员用户密码错误等信息。该信息会发送给第一交互模块、用户名和密码生成模块和后面要描述的解密模块等。如果认证通过，第一认证模块向第一交互模块发送认证通过、角色等信息，然后第一交互根据角色信息确定相应的功能模块，并与第二交互模块进行交互，也就是和客户进行交互。通过这种方式，智能卡插入的位置后移到客户主机，可以让多角色多用户同时登录工控设备，而无需工控设备有很多物理接口才能满足多角色多用户的同时登录需求。同理，也可以在现有的工控设备上直接安装相应的模块进行多角色多用户的认证，而无需改造工控设备的硬件。

第一认证模块，可以设置在工控设备上，收到第二认证模块发出的认证请求信息后，首先进行身份认证，通过证书查验是否合法的角色智能卡，如果是向客户显示登录界面，让客户输入用户名和密码；然后第二认证模块将包含用户名和密码信息的认证请求信息再次发送给第一认证模块，第一认证模块检验经过加密和解密过程查验用户名和密码是否正确（即口令认证）。当智能卡认证和查验用户名和密码均通过时客户才能登录工控设备。这样的双因子认证，智能卡不与工控设备的用户名、密码绑定，仅与工控设备身份认证绑定，要想智能卡登录工控设备，就需要在智能卡写入身份认证信息。各角色拥有智能卡，但是没有用户名、密码，则无法登录；拥有用户名、密码的用户，但是没有智能卡，照样无法登录。设备管理员可以生成智能卡，但是不知道用户名密码，无法登录。这样的认证方式，保证了拥有智能卡和登录口令的用户才是系统真实合法的用户，克服了只有口令作为登录凭证的弊端，也克服了由于工作失误丢失智能卡带来的风险。

为了安全，智能卡生成模块、用户名和密码生成模块和第一认证模块均可以设置在工控设备的主机中。

在一个实施例中，系统还包括设置在工控设备上的解密智能卡生成模块，用于为用户管理员生成解密智能卡，还包括设置在工控设备上的解密模块，用于读取解密智能卡的信息，从第一交互模块接收解密命令，从第一认证模块接收仅密码错误信息（即身份认证通过但口令认证时密码错误），然后对用户管理员智能卡的用户密码解密或重置，并通过第一交互模块和第二交互模块呈现给客户。

解密智能卡生成模块，通过第二交互模块和第一交互模块接收客户命令，并且接收到第一认证模块传送的用户管理员认证成功（认证成功包括身份认证成功、口令认证成功）信息后，能够为用户管理员生成解密key，并将该key和用户管理员、工控设备信息写入解密智能卡。解密智能卡可以用于用户管理员密码丢失的情况下找回密码。

解密模块接收读取解密智能卡的信息，即判断解密智能卡是否插入工控设备，如果登录的工控设备没有插入解密智能卡，通过第一交互模块和第二交互模块向客户返回登录失败的信息；如果工控设备插有解密智能卡，并且接收到第一认证模块发送的仅用户管理员用户名密码错误（即用户管理员身份认证成功，用户名正确但密码错误）信息，则根据第二交互模块和第一交互模块接收的客户命令初始化用户管理员密码。解密密码的生成采用现有技术，这里不再描述。解密智能卡是针对能够和工控设备互相认证的用户管理员智能卡登录的用户密码而设计的。一次可生成多个解密智能卡，分别由别的部门保存或自己保存。每台工控设备仅有一个用户管理员智能卡可以被登录。工控设备对用户管理员智能卡身份号码作记录，不允许两个用户管理员智能卡同时存在。解密智能卡可以存放不同工控设备的解密密钥和设备信息。

在一个实施例中，工控设备可以为工控采集边缘计算设备。

智能卡可存储多台工控设备的证书信息，可登录多台工控设备。

各角色用户登录工控设备需要登录主机上插入智能卡，并输入用户名、密码后才能登录。设备管理员可以生成智能卡，但是没有其他身份的用户名和密码，无法以其他身份登录工控设备；同样用户管理员角色能够创建其他三个用户的用户名和初始化密码，但是没有其他三个用户身份的智能卡，无法以别人的身份登录工控设备；同样其他三个用户角色仅拥有自己的智能卡和用户名、密码，无法以别人的身份登录工控设备用户管理员智能卡，从而有效避免了超级管理员的形成。

根据本发明的另一方面，提出一种工控设备的用户访问权限分置系统的使用方法，如图3所示，包括：

在工控设备上插入设备管理员智能卡，第二交互模块接收客户命令，并将所述客户命令发送给第一交互模块和智能卡生成模块，由智能卡生成模块生成用户管理员智能卡、安全员智能卡、审计员智能卡和操作员智能卡；如果用户管理员智能卡丢失，则通过设备管理员再次生成，生成后的用户管理员智能卡再次写入认证证书。

在客户主机上插入用户管理员智能卡，用户名和密码生成模块通过第一交互模块和第二交互模块接收客户命令，为用户管理员智能卡、安全员智能卡、审计员智能卡和操作员智能卡生成用户名和密码。如果安全员、审计员和操作员忘记密码，则由用户管理员重置。

智能卡写入的信息包含角色特征信息和证书，所述角色特征信息包含智能卡的角色特征，所述证书包含允许登录的工控设备；将智能卡的角色信息和证书以及对应的用户名、密码保存在数据库中，以在认证用户的时候使用。

在一个实施例中，使用方法还包括：在客户主机上插入用户管理员智能卡，在工控设备上插入解密智能卡；

在另一个实施例中，使用方法还包括：

具体来说，当用户管理员智能卡插入客户主机，以错误的密码登录后，如果登录的工控设备没有插入解密智能卡，返回登录失败的信息；如果登录的工控设备插有解密智能卡，返回用户是否要初始化密码的提示信息，如果用户忘记密码就选择“是”，告知所述工控设备，完成初始化密码的功能，解密智能卡由用户管理员登录后，执行解密智能卡生成模块的功能，写入解密密码和工控设备信息。

在使用时，在设备出厂时配置设备管理员智能卡数量为2-3个，用户管理员智能卡只生成一个，其他角色智能卡生成一个或多个。

用户管理员智能卡、安全员智能卡、审计员智能卡和操作员智能卡插入用户主机上，再加上用户名、口令，共两种认证方式共同认证。

由于智能卡不与工控设备的用户名、密码绑定，仅与工控设备的身份认证绑定，只有在智能卡写入身份认证信息后才允许智能卡登录工控设备，因此好处是进行双因子认证后，确定插入智能卡的主机是合法的登录主机，拥有用户名和密码的用户才是真正的授权用户，双因子验证进一步确认用户的合法性。

在一个实施例中，用户管理员角色首次以默认用户名admin，密码admin登录系统，登录后修改密码，并生成安全员、审计员、操作员用户名和初始密码，安全员、审计员和操作员使用智能卡和用户管理创建的用户名和密码登录工控设备。

在一个实施例中，用户管理员登录系统后，一次可生成多个解密智能卡，分别由不同的部门保存或自己保存，每台工控设备仅有一个用户管理员智能卡即可登录，所述工控设备对用户管理员智能卡身份号码作记录，禁止两个用户管理员智能卡同时存在，解密智能卡可以存放不同工控设备的解密密钥和设备信息。

根据本发明，用户角色有4种，分别是用户管理员、操作员、安全员和审计员。还有一种特殊角色是设备管理员，设备管理员不允许远程访问，仅通过现场操作实现权限互斥。削弱了系统管理员的权限，防止了超级用户的出现。而且，在系统配置和操作权限上有更合理的分配。智能卡可登录多台工控采集边缘计算设备打破原有安全设计的瓶颈，带来管理的集约化和方便性。根据本发明，同一台工控采集边缘计算设备可以生成多个解密key，同样一个解密key可以解密多台工控采集边缘计算设备的用户名密码；根据本发明，解密key的解密过程简单直接，解密key与边缘计算设备关联。

综上，根据具体实施方式对本发明做出了详细的说明，本领域技术人员懂得，根据本发明的教导，在其基础上能够做出各种修饰和变更，只要不脱离本发明的宗旨和精神，这些修饰和变更均应落入本发明的保护范畴之内，本发明的保护范围由所附权利要求书限定。

Claims

1.一种工控设备的用户访问权限分置系统，其特征在于，所述系统包括设置在工控设备上的智能卡生成模块、用户名和密码生成模块、第一认证模块、第一交互模块和设置在客户主机中的第二认证模块和第二交互模块；其中，

2.根据权利要求1所述的系统，其特征在于，所述角色为用户管理员、安全员、审计员和/或操作员，所述智能卡的信息包括角色特征信息和证书，所述角色特征信息包括智能卡的角色特征，所述证书包括允许登录的工控设备的信息。

3.根据权利要求2所述的系统，其特征在于，所述系统还包括设置在工控设备上的解密智能卡生成模块，用于为用户管理员生成解密智能卡。

4.根据权利要求3所述的系统，其特征在于，所述系统还包括设置在工控设备上的解密模块，用于读取解密智能卡的信息，从第一交互模块接收解密命令，从第一认证模块接收仅密码错误信息，然后对用户管理员智能卡的用户密码解密或重置，并通过第一交互模块和第二交互模块呈现给客户。

5.根据权利要求1所述的系统，其特征在于，在所述第一认证模块中，接收第二认证模块发送的认证信息，根据认证信息中角色特征信息和证书以及用户名和密码，进行身份认证和口令认证；如果认证通过，则向第一交互模块发送角色信息；如果用户管理员身份认证通过但用户为用户管理员并且密码错误，则向解密模块发送仅用户管理员密码错误信息。

6.一种工控设备的用户访问权限分置系统的使用方法，其特征在于，所述方法包括：

7.根据权利要求6所述的方法，其特征在于，所述智能卡包含角色特征信息和证书，所述角色特征信息包含智能卡的角色特征，所述证书包含允许登录的工控设备；将智能卡的角色信息和证书以及对应的用户名、密码保存在数据库中，以在认证用户的时候使用。

8.根据权利要求6所述的使用方法，其特征在于，所述使用方法还包括：

9.根据权利要求8所述的使用方法，其特征在于，所述方法还包括：

解密模块通过第一交互模块、第二交互模块接收客户命令，并且收到第一认证模块传送的仅用户管理员密码错误信息后，对所述用户管理员的用户密码解密或重置。