CN116633576A - 安全可信NC-Link代理器、控制方法、设备及终端 - Google Patents

安全可信NC-Link代理器、控制方法、设备及终端 Download PDF

Info

Publication number
CN116633576A
CN116633576A CN202310030193.4A CN202310030193A CN116633576A CN 116633576 A CN116633576 A CN 116633576A CN 202310030193 A CN202310030193 A CN 202310030193A CN 116633576 A CN116633576 A CN 116633576A
Authority
CN
China
Prior art keywords
trusted
key
user
link
identity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310030193.4A
Other languages
English (en)
Inventor
崔永泉
王玉婷
徐博宇
罗吉
汤学明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huazhong University of Science and Technology
Original Assignee
Huazhong University of Science and Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huazhong University of Science and Technology filed Critical Huazhong University of Science and Technology
Priority to CN202310030193.4A priority Critical patent/CN116633576A/zh
Publication of CN116633576A publication Critical patent/CN116633576A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
    • H04L67/1004—Server selection for load balancing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1095—Replication or mirroring of data, e.g. scheduling or transport for data synchronisation between network nodes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/26—Special purpose or proprietary protocols or architectures
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于通信技术领域，公开了一种安全可信NC‑Link代理器、控制方法、设备及终端，将NC‑Link协议与国密算法融合，实现NC‑Link数控通信代理器，进行身份认证并提供传输加密和完整性保护；将NC‑Link协议与属性访问控制融合，通过将身份&属性证书嵌入NC‑Link，实现数控系统上下行操作的权限控制；通过NC‑Link代理器的消息路由和桥接提供分布式部署方案；通过定制安全策略实现代理器的可信网络连接和主动免疫功能。本发明支持可信互操作的数控装备互联互通协议，基于国密算法实现NC‑Link协议安全加固，安全可信技术与数控系统有机融合，利用NC‑Link代理器服务器实现分布式部署。

Description

安全可信NC-Link代理器、控制方法、设备及终端
技术领域
本发明属于通信技术领域，尤其涉及一种安全可信NC-Link代理器、控制方法、设备及终端。
背景技术
目前，IEEE将开放式数控系统定义为能够在多种平台上运行，可以和其他系统互操作，并能给用户提供一种统一风格的交互方式。开放式数控系统具有以下基本特征：可互换性，构成系统的各硬件模块、功能软件的选用不受单一供应商的控制，可根据功能、可靠性、性能要求相互替换，不影响系统整体的协调运行；可伸缩性，CNC系统的功能、规模可以灵活设置，方便修改。控制系统的大小(硬件或软件模块)，可根据具体应用增减；可移植性，系统的功能软件与设备无关，各种功能模块运行于不同的控制系统内，即能运行于不同供应商提供的硬件平台上；可扩展性，CNC用户或二次开发者能效地将自己的软件集成到NC系统中，形成自己的专用系统，功能的增减只需功能模块的装卸；可互操作性，通过标准化接口，通信和交互机制，使不同功能模块能以标准的应用程序接口运行于系统平台之上，并获得平等的相互操作能力，协调工作。
随着工业智能化升级的浪潮席卷全球，传统的制造业也发生了根本性改变。从数字制造到智能制造，是制造业发展的必然趋势。在智能制造领域重点的研究方向之一就是数字化车间，而数字化车间的研究核心就是设备间的互联互通。
目前，开放式数控系统中的互联通信技术研究主要集中在互通层和互操作层，这也是解决多源异构大数据融合应用的必然手段。在现有的数控系统互联互通协议中，目前国际上用于异构系统互联互通的标准主要有MT-Connect和OPC-UA两个标准，现有的标准还有umati、NC-Link等。虽然MT-Connect和OPC-UA协议提供了异构系统间互联互通的能力，但是这两种协议都有着或多或少的缺陷。OPC UA协议是典型的互通层通信协议，MT-Connect、umati和NC-Link是可实现互操作的典型通信协议。
MT-Connect协议传输的数据量较大，对网络带宽是一个严峻考验，并且只能用于单向的读取设备状态实现监视功能，无法双向控制。
OPC-UA协议模型定义语言过于复杂，应用起来很不方便。
无论是MT-Connect还是OPC-UA协议，都无法满足高频数据采集的要求，然而，数控机床智能应用需要高频的信号作为其输入，例如振动分析、温度测量与补偿等。所以基于这两种协议的数据采集适配器也都继承了这种不足。
OPC UA是当前使用比较广泛的一个数控系统互联通信协议，为工厂车间和企业之间的数据和信息传递提供一个与平台无关的互操作性标准。通过OPC UA，所有需要的信息在任何时间和任何地点对每个授权的应用、每个授权的人员都可用，这种功能独立于制造厂商的原始应用、编程语言和操作系统。工业4.0环境下的OPC UA，目的不是要取代机械装置内业已普遍使用的确定性通信的手段，而是为不同生产厂商生产的成套装置、机械设备和部件之间提供一种统一的通信方式使数据采集模型化，同时使工厂底层与企业层面之间的通信更加安全、可靠，其已在2017年9月5日正式成为中国推荐性标准。OPC UA技术的主要特点有：访问统一性，将现有的OPC规范(数据访问(DC)、报警和事件(A&E)、历史数据访问(HDA)、命令、复杂数据和对象类型)有效集成，成为如今的OPC UA规范；标准安全模型，OPCUA访问规范明确提出了标准安全模型，这在提高互通性的同时降低了维护和额外配置费用；跨平台性。OPC UA软件的开发不再受限于任何特定的操作平台，可在Windows、Linux、Unix、Mac等平台上实现。
但是，OPC UA在通信实时性上具有局限性，不适用于工业现场级的数据互通。目前，OPC UA正在积极与TSN(time-sensitive networking，时间敏感网络)进行融合，构建“OPC UA over TSN((基于时间敏感网络的工业通信协议))”模式的通信架构，解决OPC UA不能很好地满足对时间敏感的工业应用需求的问题，实现海量设备之间大规模的实时确定性的数据互通。
数控设备互联通信协议MTConnect主要针对制造设备中统一通信接口与标准的问题被提出。该协议允许不同来源的数据进行交流和识别，支持不同数控系统、设备和应用软件之间更广泛的互操作，创造了一种“即插即用”的应用环境。MTConnect标准中的语义模型提供完整描述数据所需的信息，以支撑MTConnect协议的互操作能力：提供用于建模和组织数据的方法，允许软件应用程序轻松“解释”来自各种数据源的数据，从而降低应用程序开发的复杂性和工作量；提供设备相关信息的数据字典，为信息与制造操作之间的关系提供清晰的表示方法，提高设备的数据采集能力，并使软件应用和制造设备能够转向即插即用的环境，以便降低制造软件系统集成的成本，促进工厂设备的互操作性。MTConnect协议提供的不只是一种简单的专用软件或者硬件设备，而是一种开放、可扩展、支持互操作的设备互联通信标准和技术。
自MTConnect协议被推出以来，其跨平台等优势吸引了很多设备厂商纷纷推出支持MTConnect协议的接口，包括西门子、FANUC、Mazak、Heidenhain等。
基于机床数据采集和设备及工艺的监测对通用标准化接口的需求，德国机床制造商协会(VDM)联合德国8家知名机床制造商以及所有主要控制供应商在2017年开发了工业互联通信协议umati。umati协议架设在OPC UA基础之上，是一种面向机床互联通信的通用接口，核心是通过基于通信规范OPC统一架构的信息模型提供一种标准化的语义系统。也就是说，如果设备提供了OPC UA接口，umati可以很容易地将语义与OPC UA的数据节点进行绑定，便捷安全地将机床等设备无缝连接到应用系统或用户端的IT生态系统(生产过程执行系统MES、企业资源计划ERP、云端等)中，实现数据的理解与互操作。对于非标准化的参数和数据接口，umati支持机床生产商和用户的特定扩展，提供的规范在全球范围内具有普遍适用性。
NC-Link协议是由“数控机床互联互通产业联盟”(以下简称“联盟”)研发的具有自主知识产权的数控机床互联通信协议标准。联盟由中国机床工具工业协会牵头，目前成员有武汉华中数控股份有限公司、华中科技大学等22家企事业单位、研究机构与高校，旨在打造中国自主知识产权的机床互联通信标准，提供更加适合数控机床的互联通信协议。NC-Link协议提供标准化接口和标准化数据结构，支持多源异构数据采集、集成和反馈控制，可实现单个数控装备、智能产线和智能工厂的数据交互，以及多个云数据中心之间的互联通信，主要具备以下特点：
(1)独特的数控装备信息模型。NC-Link协议定义的数控装备模型采用JSON树状结构化模型文件，能贴切地反映出机床及其各个功能部件的逻辑关系。JSON具备丰富的数据类型，可完全覆盖数控机床各类信息的描述需求，因此NC-Link信息模型能够描述更多的设备数据，输出更多的设备及生产信息。
(2)支持自定义的组合数据。NC-Link支持以多种标准在数控装备端把同一时间段(或者其他形式对齐方式)产生的一组数据组成一组数据块，在数据块内数据自然对齐，从而大大提高数据传输效率，也为数据的关联分析提供基础。
(3)轻量级数据交换格式。采用弱类型的JSON(Java script notation)进行模型描述与数据传输，带宽压力低，实时性强，决定了NC-Link实时双向控制的特性。
(4)对异构设备或平台高度兼容。NC-Link信息模型具备高灵活性和可扩充性，可以兼容现有的主流工业互联的数据交互协议，包括OPC UA、MTConnect、umati等。
(5)独特的安全性设计。NC-Link协议支持数控装备端到端的安全通信，支持设备与终端的接入安全、权限控制、以及数据传输安全，并在设备端对数据操作权限实施严格的权限控制与身份授权。
相较于国际上已广泛应用的MTConnect和OPC UA协议，NC-Link不仅具备前述协议的技术优势，更为关键的是实现了我国互联通信技术的完全自主可控，可改变我国在数控机床国际市场竞争中的被动局面，加快推动我国智能制造业的发展。目前，NC-Link协议已经进入应用验证阶段，已实现与MTConnect、OPC UA、iport等通信协议的互联互通，支持华中数控、i5、广州数控、科德数控、BECKHOFF、FANUC、SIEMENS等数控系统，应用设备对象可覆盖数控机床、机器人、AGV小车、PLC模块等。例如，iNC Cloud是由武汉华中数控通过NC-Link协议实现的一种工业互联网平台，每天汇聚并处理上亿条数据，采集数控设备中上千个点位信息，涵盖设备状态、报警信息、加工计件、采样数据等各种工况，建立实体装备全生命周期的追溯体系。iNC Cloud平台通过NC-Link协议实现数据开放，为预测性分析、远程故障诊断、工艺参数评估等业务提供数据服务，并通过基于NC-Link协议的反馈控制优化设备生产过程，实现整个数据交互系统的互操作。
网络环境中的认证不是对某个事物的资质审查，而是对事物真实性的确认。简单来说，身份认证就是要确认通信过程中另一端的个体是谁。通常，通信协议都要求通信者把身份信息传输过来，但这种身份信息仅用于识别，不能保证该信息是真实的，因为这个身份信息在传输过程中是可以被恶意篡改的。那么，怎样才能防止身份信息在传输过程中被恶意篡改呢？事实上要完全杜绝恶意篡改是不可能的，特别是在公共网络(如互联网)上传输的信息，而能做的，就是在身份信息被恶意篡改后，接收端可以很容易检测出来。
要识别真伪，首先要“认识”真实的身份。通过网络传递的身份可能是陌生人的身份，如何判断真伪？这里需要阐述一个观点：要识别真伪，必须先有信任。在网络环境下，信任不是对一个人的可靠性认可，而是表明已经掌握了被验证身份者的重要秘密信息，如密钥信息。假设A与B之间有一个得到确信的共享密钥，不管这个共享密钥是怎么建立的，他们之间就建立了相互信任。如果A确信掌握B的公开密钥，也可以说A对B建立了信任，但还不能说明B对A建立了信任。从上述讨论不难看到，在完全没有信任基础的情况下，新的信任是不能通过网络建立的，否则是不可靠的。
身份认证是保证数据安全的重要技术，主要目的是鉴别通信中另一端的真实身份，防止伪造和假冒等情况发生。进行身份认证的技术方法主要是密码学方法，包括使用对称加密算法、公开密钥密码算法、数字签名算法等。
在基于对称加密的身份认证机制中，认证协议需要通过一定的过程实现通信双方的一方或双方都是可信的实体，其中通过对称加密算法进行密钥协商以及身份认证的方案通常包括单向认证和双向认证。单向认证中通常只有发起方A对应答方B进行身份认证，一般的过程为B先对A发送一个挑战报文，A收到该报文后按照事先约定好的机制对数据进行处理并打包发送给B，等待B收到相应报文后检查报文内数据与本地计算数据是否一致并根据次决定后续通信与否。但是上述过程存在一些安全问题，例如如何安全存储对称密钥以及当密钥遭受泄露后如何找到一个安全通道进行共享密钥的更新操作。为解决以上问题，一个比较常见的做法是引入一个第三方秘钥分配机构KDC作为可信方，使其分别与系统中参与认证的节点分享不同的加密密钥。KDC的加入使得通信双方无需提前共享加密密钥，并且在通信过程中可以由KDC生成、管理双方认证使用的密钥，但KDC的可信度是这种方案是否安全的关键。
在基于对称加密算法的身份认证方案当中，对称加密算法的加密与解密运算使用同一密钥这一特点导致一旦共享密钥被第三方攻击者窃取或者截获则可以轻松破解通信会话，如果攻击者长期对网络监听并保存了历史会话则可以使用该通信密钥尝试破解所有之前的流量。这种潜在的隐患导致不得不寻求更安全的密钥协商算法。基于公钥加密算法与保证前向安全的Difie-Hellman密钥交换算法结合的身份认证机制能更好地克服上述缺点，并且电子签名机制保证了数据的不可抵赖性。在基于非对称加密算法的身份认证方案中使用了一个比KDC更安全的第三方可信机构--CA服务器。它以数字证书的形式为系统中的可信节点进行授权，数字证书的相关标准由国际电信联盟电信标准分局定义为X.509标准。
在身份认证方案设计方面，LiF等人提出了一种安全的强双因素身份认证方案，将数字证书存储在智能卡中，只有合法的用户才能释放安全存储的PIN码，获得存储的数字证书及其私钥，该方案进一步完善了PKI的安全认证，并可应用于高端用户或有特殊安全要求的用户的身份认证。Liu Y等人提出了一个互联网可信身份认证系统，将用户名/密码的模式改为网名与密码规则的关系模式，将传统的死密码模式改为动态密码与密码规则的模式，同时建立可信身份库来存储和管理网名和密码规则，从而提高互联网的安全性、可靠性和效率。王彬针对智能终端信息窃取和丢失，威胁用户隐私与生命财产安全的问题，提出了一种在智能终端上加入身份认证功能的方案，该方案改进了SVM多分类算法，提出了多步态下的身份认证算法，并将身份认证方案应用到Android平台，设计开发了身份认证系统。
此外，为改善物联网设备的安全通信和隐私保护问题，有研究者针对物联网中TLS协议使用公钥基础设施(PKI)为通信实体实现身份认证时面临证书管理维护复杂、难以扩展等问题，将基于IBE的密码机制应用于物联网的身份认证，对CSAS认证方案进行改进，提出IBE-VF方案，在网络层为物联网终端设备构建双向身份认证方案，最后将IBE-VF认证方案与网络安全协议TLS的融合，实现了物联网设备进行加密通信前的身份认证。
值得一提的是，现有的身份认证方案大部分使用国际通用的加密算法(DES、SHA-1、RSA)和相关标准。加密算法作为保障信息安全的核心技术，算法本身的安全性也十分重要。国密算法是我国自主开发创新的一系列数据加密处理算法。从SM1-SM4分别实现了对称、不对称、摘要等算法功能。特别适用于嵌入式物联网等相关领域，适用于认证和数据加密解密等功能。当然，默认的前提条件是算法密钥必须保证安全性，因此可以利用硬件加密芯片或可信技术保障算法密钥的安全性。
访问控制技术，指防止对任何资源进行未授权的访问，从而使计算机系统在合法的范围内使用。意指用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用的一种技术，如UniNAC网络准入控制系统的原理就是基于此技术之上。
针对网络中资源数据访问的隐私安全问题，学者们大多采用访问控制机制来防止未被授权的用户试图对数据信息进行访问。现有的访问控制技术主要包括自主访问控制(Discretionary Access Control，DAC)，强制访问控制(Mandatory Access Control，MAC)、基于角色的访问控制，基于属性的访问控制，基于意图的访问控制，基于风险的访问控制，基于世系数据的访问控制，基于敏感的访问控制，基于内容的访问控制，基于行为的访问控制等技术。这些技术的使用方式各有不同。自主访问控制是指文件拥有者有权决定自己的文件被哪些用户所访问及使用。强制访问控制是指主体与客体均被系统标记了固定的安全属性，不可随意更改其访问权限及其它安全属性。基于角色的访问控制是指在系统中设置多种角色，同时角色与客体的访问权限所对应，即系统根据用户的角色分配给该角色所可以访问的客体。基于属性的访问控制(ABAC)指系统为合法用户分配一系列相关属性，通过访问控制策略决定哪些属性可以访问哪些客体。基于属性的访问控制是一种逻辑访问控制模型，它根据条目、操作和相关环境的属性控制对象和对象之间的访问。ABAC首先分别提取用户(主体)、资源(对象)、权限和环境的属性，然后灵活组合这些属性之间的关系，最后将权限管理转化为属性管理，提供了一种细粒度的动态访问管理方法。
李凤华等人于2012年发表《访问控制模型研宂进展及发展趋势》，分别从两个层面对现有的访问控制机制进行了研究，并且提出了细粒度的访问控制方案，并对其未来发展趋势进行了分析。后来，学者们在《Role based Cryptosystem:A New Cryptographic RBACSystem Based on Role-Key Hierarchy》对传统的访问控制方案在物联网环境中可能产生的问题进行了分析，其中Yuan等人在《Attribute based Access Control(ABAC)for WebServices》针对访问控制机制中基于属性的访问控制模型(Attribute based AccessControl，ABAC)进行阐述，对属性和授权结构进行定义，Wu等人在2017年发表的《Cross-Domain Fine-Grained Data Usage Control Service for Industdial Wireless SensorNetwork》还对细粒度跨网跨域访问控制在工业中的应用进行了研究。
在此之后，王浩等人在《物联网中基于受控对象的分布式访问控制》采用一种基于对象的分布式访问控制方案将用户的访问权限直接与要访问的资源进行关联，从而实现有效控制，但方案并未在匿名和跨网跨域方面进行过多阐述。
2009年，Liu等人在《Role based Access Control Model for Distributed Co-operation Environment》提出基于分布式协同操作环境的RBAC模型(Role based AccessControl Model for Distributed Co-operation Environment，RBAC-DC)，文献解决了角色在映射过程中可能存在的安全问题，但并没有阐述角色的层次等细节信息。
沈海波等人在《基于属性的授权和访问控制研究》阐述了基于属性的访问控制模型、框架、相关概念的规范化定义以及ABAC的发展现状。基于属性的访问控制策略包括根据访问策略所在位置的不同分为密钥策略属性基加密机制(Key-PolicyAttribute-BasedEncryption，KP-ABE)和密文策略属性基加密机制(Ciphertext-PolicyAttribute-BasedEncryption，CP-ABE)。在CP-ABE方案中，密文与特定的访问策略相关联，用户私钥则与一组属性有关，即数据拥有者可以任意指定哪些数据可被哪些特定的用户查看。而KP-ABE加密机制原理正好相反，密文与一组属性相联系的，而访问策略用来描述用户信息，只有用户的访问树达到密文的属性数量，才能够解密数据。比起KP-ABE，CP-ABE则更适合处理生活中大部分的数据安全问题。
通过上述分析，现有技术存在的问题及缺陷为：
(1)OPC UA在通信实时性上具有局限性，不适用于工业现场级数据互通；OPC UA与目前广泛应用的工业互联协议MTConnect、umati均非自主可控的协议。同时协议之间不完全兼容，无法有效保障数控装备端到端间、设备与终端间的数据接入安全、传输安全与权限控制安全。协议中使用的基于公钥基础设施为通信实体的身份认证方案面临证书管理维护复杂、难以扩展等问题。
(2)对称加密算法的加密与解密运算使用同一密钥，因此对称加密算法的安全性取决于加密密钥的保存情况，当共享密钥被第三方攻击者窃取或者截获则可轻松破解通信会话，并破解之前所有流量。在密钥分发时，发送方建立安全通道，安全、高效地把密钥送到接收方是对称密码体制的软肋，对称密钥的分发过程往往很烦琐，需要付出较高的代价。密钥量大，难以管理。多端设备在使用对称密码算法进行保密通信时将极大地增加密钥管理的复杂性。此外，对称加密算法难以解决不可否认的问题，通信双方可以否认接受或发送的信息，难以鉴别真假。
(3)传统访问控制方法包括自主访问控制(DAC)、基于身份的访问控制(IBAC)等，主要为集中式设计，存在扩展困难，可靠性差，吞吐量低等缺点。但是工业互联场景中的设备可能属于不同的组织或用户，并且可能具有移动性和有限的性能，这使得集中式访问控制难以满足工业互联网环境中访问控制的要求。此外，在非集中式访问控制中，现有分布式访问控制技术，并未在匿名和跨网跨域方面进行过多阐述，也没有阐述角色的层次等细节信息。
发明内容
针对现有技术存在的问题，本发明提供了一种安全可信NC-Link代理器、控制方法、设备及终端，尤其涉及一种基于国密算法的安全可信NC-Link代理器、控制方法、介质、设备及终端。
本发明是这样实现的，一种安全可信NC-Link代理器控制方法，安全可信NC-Link代理器控制方法包括：将NC-Link协议与国密算法融合，实现NC-Link数控通信代理器，进行身份认证并提供传输加密和完整性保护；将NC-Link协议与属性访问控制融合，通过将身份&属性证书嵌入NC-Link，实现数控系统上下行操作的权限控制；通过NC-Link代理器的消息路由和桥接，提供分布式部署方案；通过定制安全策略，实现代理器的可信网络连接和主动免疫功能。
进一步，安全可信NC-Link代理器控制方法包括以下步骤：
步骤一，基于可信身份&属性证书服务实现身份认证和访问控制；
步骤二，对数控系统通信协议NC-Link进行传输加密及完整性保护。
进一步，步骤一中的身份认证和访问控制的实现包括：
在可信计算3.0网络架构下构建认证协议和访问控制技术，简化身份认证和权限验证流程，提高安全访问效率。身份认证和访问控制功能基于可信身份&属性证书服务。基于X.509标准，利用属性基访问控制的动态策略配置突破身份证书和属性证书生命周期不匹配问题，实现身份证书和属性证书的合并与绑定，简化证书存储和交互次数。结合NC-Link协议，实现对用户、进程、设备主体提供身份&属性证书的申请、审核、签发、发布和注销服务。基于可信计算3.0的TPCM和可信密码服务，实现证书服务中多级密钥管理机制，包括密钥分隔、主密钥派生加密密钥、加密保护数据密钥以及会话密钥能力，形成各级密钥的生命周期保护，实现轻量级的身份&属性证书服务。
属性基加密的思想来源于模糊身份基加密，属性基加密是让密文和密钥与属性集合和访问结构产生关联，当且仅当属性集合满足访问结构的时候，方能解密成功。根据其中两两的对应关系，将属性基加密分为两类，包括密钥策略属性基加密KP-ABE和密文策略属性基加密CP-ABE。
其中，KP-ABE是用户的密钥中蕴含访问结构和/或访问策略，密文中对应系列属性集合，当且仅当密文的属性集合满足用户密钥的访问结构时，用户解密成功；用户是主体，只有特定的密文才能与之匹配，从而解密；
CP-ABE是用户的密钥对应着一系列属性的集合，密文中蕴含着访问结构和/或访问策略，当且仅当用户的属性集合满足密文的访问结构时，用户解密成功；密文是主体，只有特定的密钥才能与之匹配，从而解密；采用CP-ABE，CP-ABE中数据拥有者根据自己的需求，
定义合适的访问结构。
进一步，步骤二中的传输加密及完整性保护包括：
NC-Link代理器与应用系统之间、NC-Link代理器与数控装备之间、可信身份&属性证书服务均基于NC-Link协议进行通信，利用国产密码算法对国产数控系统通信协议NC-Link实施安全加固，生成国密安全通道实现数据传输安全。基于国密TLS的NC-Link数控通信，在保证身份可信的同时，提供通信的保密性和完整性保护。
TLS(Transport Layer Security)是为网络通信提供安全及数据完整性的一种安全协议，TLS在传输层对网络连接进行加密。传统的TLS协议分为两种方式，单向认证和双向认证。单向认证即客户端认证服务器端的身份，确保客户端访问的服务是合法的。双向认证在单向认证的基础上，添加了服务端对客户端的认证，即只有合法的用户才能访问服务。本专利中数据传输采用双向认证进行，确保身份可信性和数据机密性。
目前标准的TLS协议支持的非对称算法为RSA和ECC，对称算法支持为3DES、AES等，这些都是国际上通用的算法，没有使用国标算法，在安全性上存在隐患。GM/T没有单独规范SSL协议的文件，而是在SSL VPN技术规范中定义了国密SSL协议，《中华人民共和国密码行业标准SSL VPN技术规范GM/T 0024-2014》协议中规定了国标的SSL协议，本专利按照此国标规范实现符合国密标准的SSL协议。
TLS协议对通信双方进行身份验证和通信加密，所有信息均加密传输，配备身份证书并具有校验机制。TLS安全通信的本质是根据协商生成的对称加密密钥对后续通信内容进行安全加密，TLS握手用于验证双方及协商通信的加密密钥。TLS协议主要分为记录层协议、密码规格变更协议、报警协议和握手协议，本专利主要改造其中的握手协议，将其中的算法修改为国密标准的算法。采用国密ECDHE协商算法，使用国密的SM2做签名验签，SM3做MAC摘要计算，SM4做对称加密，密钥协商为使用SM2非对称加密。
进一步，密钥协商是在两个用户之间建立共享秘密密钥的协商过程，通过密钥协商确定共享秘密密钥的值。设密钥协商双方为A、B，密钥对分别为(dA，QA)和(dB，QB)，双方获得的密钥数据比特长度为klen，密钥协商协议包括：
第一阶段产生临时密钥对。用户A调用SM2算法产生临时密钥对(PriA，PubA)，将RubA和用户A的用户身份标识IDA发送给用户B；用户B调用SM2算法产生临时密钥对(PriB，PubB)，将PubB和用户B的用户身份标识IDB发送给用户A；临时私钥只在本次握手会话中有效，握手结束后就被释放。
第二阶段计算共享秘密密钥。用户A输入如下参数，得到位长klen的密钥数据：①用户A的公钥；②用户B的公钥；③用户A的临时公钥；④用户A的用户身份标识；⑤用户B的临时公钥；⑥用户B的用户身份标识；⑦用户A的私钥；⑧用户A的临时私钥；⑨需要输出的密钥数据的长度klen。用户B所需的输入参数与用户A的输入参数基本一致，仅需替换私钥与临时私钥为用户B的；非临时公钥和私钥对应国密的加密证书。
本发明的另一目的在于提供一种应用所述的安全可信NC-Link代理器控制方法的安全可信NC-Link代理器，安全可信NC-Link代理器包括：数控装备、适配器、MES应用系统、数控系统、可信计算3.0系统、可信平台控制模块TPCM和国产高速密码服务模块。
其中，NC-Link代理器包括协议数据的路由、转发、设备和应用的安全接入、用户认证和授权，数控装备在与应用层传输数据前须向代理器进行身份认证；
数控装备具备唯一的身份认证信息，包括设备序列号、MAC地址，或其他不可仿制和更改的信息；
可信计算3.0系统包括以自主密码为基础、控制芯片为支柱、双融主板为平台、可信软件为核心、可信连接为纽带、策略管控成体系、安全可信保应用的全新的可信体系框架，用于在网络层面解决可信问题；
可信平台控制模块TPCM作为可信计算3.0系统中主动免疫机制的核心，用于实现对安全可信NC-Link代理器的主动可控。
MES应用系统(制造执行系统，Manufacturing Execution System)为第三方的信息化系统，用于数控车间的实际生产管理。
适配器负责将从数控设备采集到的数据转换为NC-Link协议格式并发送到NC-Link代理器，或者将控制信息转换为设备可识别的信息，从NC-Link代理器发送至数控设备。
基于FPGA的国产高速密码服务模块，包含国密芯片、随机数发生器、密钥存储器、算法加速器等，提供密码调用接口，高速数据加密功能等。
进一步，数控装备向NC-Link代理器发送NC-Link协议的认证请求，NC-Link代理器基于可信身份&属性证书服务响应认证请求，对数控装备进行身份认证；只有通过身份认证的数控装备才能成功接入，并进行信息交互。
可信计算3.0系统采用对称非对称相结合的密码体制作为免疫基因；通过主动度量控制芯片TPCM植入可信源根，在TCM基础上加以信任根控制功能，实现密码与控制相结合；将可信平台控制模块设计为可信计算控制节点，实现可信平台控制模块TPCM对整个平台的主动控制。
可信平台控制模块TPCM是一个集成在可信平台中的硬件模块，是主动免疫可信体系的可信根，用于建立和保障信任源点，提供可信平台控制、完整性度量、安全存储、可信报告以及密码服务的系列可信计算功能。
在可信计算3.0框架下，可信身份&属性证书服务优化设备之间相互访问、用户对设备的访问、用户对应用程序的访问，通过用户/设备的身份获取用户/设备的属性，根据属性访问控制策略来实施细粒度的访问控制；对存在多个应用的数控系统提供单点登录功能，在开放式网络环境下，一次认证全网访问。
本发明的另一目的在于提供一种计算机设备，计算机设备包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的安全可信NC-Link代理器控制方法的步骤。
本发明的另一目的在于提供一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的安全可信NC-Link代理器控制方法的步骤。
本发明的另一目的在于提供一种信息数据处理终端，信息数据处理终端用于实现所述的安全可信NC-Link代理器。
结合上述的技术方案和解决的技术问题，本发明所要保护的技术方案所具备的优点及积极效果为：
第一，针对上述现有技术存在的技术问题以及解决该问题的难度，紧密结合本发明的所要保护的技术方案以及研发过程中结果和数据等，详细、深刻地分析本发明技术方案如何解决的技术问题，解决问题之后带来的一些具备创造性的技术效果。具体描述如下：
身份认证、访问控制和数据安全是开放式数控系统的基本安全需求，本发明需解决面向数控系统主、客体的身份和属性的定义与管理问题，提供身份&属性证书的申请、审核、签发、发布和销毁闭环服务；需解决数控系统各主、客体之间安全认证和细粒度访问控制问题，提供基于身份&属性的安全认证机制和访问控制策略；需对数控系统中本地和远程的关键业务数据提供安全保护，保证数据完整性和保密性。结合可信计算3.0框架，构建基于身份&属性的数控系统密码应用方案和完善的密钥管理机制是开放式数控系统构建安全可信环境必须解决的关键技术问题。由此可知，开放式数控系统目前存在以下问题待解决：
(1)国产安全可信代理器设计
网络化和信息化使得数控系统走向开放，开放的基础是数控装备的互联互通的安全可信。目前我国在数控机床国际市场竞争中属于被动局面，智能制造业发展缓慢。MTConnect、OPC UA、umati等协议在国际上已广泛应用，但目前还未曾有研究者根据国产互联互通协议NC-Link为核心，设计安全可信的代理器。
(2)安全、细粒度访问控制
在数控系统中不可避免的需要解决各主、客体之间安全认证和细粒度访问控制问题。在常见的自主访问控制，强制访问控制等方案中，访问控制的粒度不够细。使用基于属性访问控制(ABAC)通过将各种更丰富的属性信息进行组合形成访问控制条件，从而灵活适应各种资源访问场景。ABAC本质上比传统目录访问控制更适合当今充满威胁的环境，在更需谨慎遵守零信任原则的时代背景下更加能保障安全性。同时主、客体的身份&属性证书也需要使用安全策略保护，如果相关证书或秘钥泄露会对数控系统的安全性造成巨大影响。
(3)传输安全性保护(密文算法，安全可控)
在当前国内数控系统使用的主流通信协议中，基本上会选用国际通用的加密算法(DES、SHA-1、RSA)和相关标准。但是这些被使用加密算法的安全性是无法得到保障的。RSA、ECDSA算法本身没有问题，但很多地方可以做手脚，比如密钥生成算法、随机数生成算法、密码产品的实现等。DES多年来也被怀疑有后门，只是一直没有发现确凿的证据。DES加密过程中一些参数的选取原则，是没有公开的。对于一些工业生产的核心数据，应当尽量规避这种风险。此外，这些加密算法许多都是外国的标准与专利，国外政府可以控制标准、专利的出口使用，因此在选用加密算法保障传输安全时，使用国际通用的加密算法并不是安全和自主可控的。
为解决上述问题，针对开放式数控系统中信息保密、完整、可控等安全需求，本发明主要分析设计安全可信的NC-Link代理器。代理器结合可信计算、属性基加密算法、国密算法等技术，建立轻量级身份&属性证书服务，为可信身份认证和访问控制提供凭据，在国产化的背景下提供安全管控与访问控制功能。此外，本发明通过分析国产化数控系统通信协议NC-Link的安全增强问题，使NC-Link代理器安全可信；代理器在可信计算3.0框架下满足网络身份认证、通信加密功能，能对常用数控应用协议进行安全过滤。
本发明还具有以下优点及积极效果：
创新点1：支持可信互操作的数控装备互联互通协议
网络化和信息化使得数控系统走向开放，开放的基础是数控装备的互联互通的安全可信，目前数控装备互联互通的协议主要包括MTConncet、OPC UA、umati、NC-Link等，本发明提出以国产NC-Link协议为核心的安全可信互联互通技术，并设计代理器。结合可信计算3.0，针对NC-Link代理器设计安全增强机制，实现身份认证、访问控制、传输加密等主流安全能力，最终实现开放式数控系统协议安全和可信互联。
创新点2：基于国密算法的NC-Link协议安全加固
基于可信计算3.0中提供的国产密码算法，将国产化NC-Link协议与国密算法融合，对NC-Link协议进行安全加固，构建国密安全通信信道。实现基于国密算法的NC-Link数控通信代理器，在保证身份可信的同时，提供传输加密和传输完整性保护。同时将NC-Link协议与属性访问控制融合，采用属性基加密，将身份证书与属性证书合二为一，并将身份&属性证书嵌入NC-Link，实现数控系统上下行操作的权限控制。
创新点3：安全可信技术与数控系统的有机融合
通过可信控制模块和密码服务模块与NC-Link代理器、数控系统的融合设计，保证NC-Link代理器节点的安全可信，同时在可信安全和数控系统性能之间达到平衡。首先在数控系统的主机硬件上集成基于可信3.0的可信控制模块和密码服务模块，保证在硬件底层达到可信；然后把可信软件基集成到数控操作系统中，建立数控操作系统的可信运行环境；再对数控系统主机上的数控软件进行安全保护，提供身份认证、访问控制、存储加密、传输加密等安全功能。
创新点4：NC-Link代理器服务器实现分布式部署
为解决NC-Link代理器的消息路由和桥接问题，使用分布式思想部署代理器服务器。各服务器之间定期同步数据，NC-Link代理器服务器之间实现负载均衡，提高并行处理效率，单服务器并发≥1000客户端。同时具备服务容灾能力，在分布式节点故障时自动进行节点切换，提供稳定服务。
第二，把技术方案看做一个整体或者从产品的角度，本发明所要保护的技术方案具备的技术效果和优点，具体描述如下：
网络化和信息化使得数控系统走向开放，开放的基础是数控装备的互联互通的安全可信，目前数控装备互联互通的协议主要包括MTConncet、OPC UA、umati、NC-Link等，本发明结合国密算法与可信计算，以国产NC-Link协议为核心设计基于国密TLS的安全可信NC-LINK代理器，为数控装备安全可信互联互通技术提供新思路。基于可信计算3.0框架下数控系统主、客体身份和属性的定义与管理，融合NC-Link协议与属性访问控制，研制轻量级身份&属性证书服务软硬件系统，实现数控系统上下行操作的权限控制，为数控系统、NC-Link适配器、NC-Link代理器以及应用软件提供证书服务。在网络代理方面，通过融合可信技术、国密算法与NC-Link代理器，保证NC-Link代理器节点的安全可信。同时，本发明针对NC-Link代理器设计安全增强机制，实现身份认证、访问控制、传输加密等主流安全能力，为实现开放式数控系统协议安全和可信互联提供有力支持。
第三，作为本发明的权利要求的创造性辅助证据，还体现在以下几个重要方面：
(1)本发明的技术方案转化后的预期收益和商业价值为：
作为国内首套安全可信数控系统的闭环产品之一，代理器为数控系统本体及开放式网络提供全面的安全可信能力支撑，提高国内数控系统企业的竞争力，综合国内数控系统相关建设投资，每年需求至少1000台套，预期将扩大10亿左右的市场规模。
大幅度减少因恶意攻击、数据窃密造成的经济损失。项目成果可降低安全生产风险，保证稳定运行，同时为保障敏感加工工艺数据提供技术支撑，减少因安全与稳定性问题带来的成本投入。
(2)本发明的技术方案填补了国内外业内技术空白：
本发明推动自主安全可控的数控系统的信息安全行业生态建设。本发明的研究成果及行业应用验证，将增强我国在数控系统信息安全领域的主动权和话语权，推进行业依法安全建设。
(3)本发明的技术方案是否解决了人们一直渴望解决、但始终未能获得成功的技术难题：
以高速、精密、复合智能为特征的高档数控系统是制造航空航天、国防军工等行业各种高精尖装备的战略装备，其产业发展具有重大战略意义。本专利研究开放式数控系统安全可信互联互通的关键技术，研发安全可信的数控系统及配套软硬件成果，形成针对性、有效性、可用性的安全可信数控系统应用工程模板。对提高数控系统安全可信技术水平有重要的科学价值，项目属于跨学科、前瞻性领域的关键技术研究。为解决当前数控系统安全可信架构缺失，开放安全技术不足、适配可信模块匮乏等问题提供思路，具有重要的前瞻性，为保障航天、军工等战略安全生产提供技术支持。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图做简单的介绍，显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的安全可信NC-Link代理器的控制方法流程图；
图2是本发明实施例提供的安全可信NC-Link代理器结构示意图；
图3是本发明实施例提供的可信身份&属性证书服务结构示意图；
图4是本发明实施例提供的密钥协商过程示意图。
图5是本发明实施例提供的网络环境拓扑示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种安全可信NC-Link代理器、控制方法、设备及终端，下面结合附图对本发明作详细的描述。
为了使本领域技术人员充分了解本发明如何具体实现，该部分是对权利要求技术方案进行展开说明的解释说明实施例。
如图1所示，本发明实施例提供的安全可信NC-Link代理器控制方法包括以下步骤：
S101，将NC-Link协议与国密算法融合，实现NC-Link数控通信代理器，进行身份认证并提供传输加密和完整性保护；
S102，将NC-Link协议与属性访问控制融合，通过将身份&属性证书嵌入NC-Link，实现数控系统上下行操作的权限控制；
S103，通过NC-Link代理器的消息路由和桥接提供分布式部署方案，通过定制安全策略实现代理器的可信网络连接和主动免疫功能。
针对开放式数控系统通信协议以国外协议为主的现状，本发明实施例将国产化NC-Link协议与国密算法融合，实现基于国密算法的NC-Link数控通信代理器，在保证身份可信的同时，提供传输加密和传输完整性保护；同时，将NC-Link协议与属性访问控制融合，通过将身份&属性证书嵌入NC-Link，实现数控系统上下行操作的权限控制。本发明实施例通过NC-Link代理器的消息路由和桥接，提供分布式部署方案，提高并行处理效率；在可信计算3.0框架下，解决NC-Link协议代理器的缓存、持久化以及程序自身安全性问题，通过定制安全策略实现代理器的可信网络连接和主动免疫功能。本发明实施例提供的基于国密算法的安全可信NC-Link代理器模型如图2所示。
NC-Link代理器终端在硬件层和系统层分别配置了可信平台控制模块(TPCM，Trusted Platorm Control Module，TPCM)和可信软件基(Trusted Software Base，TSB)，其中TPCM在网络通信中参与可信状态报告生成、身份校验﹑密码协商等工作，通过内置的可信密码模块(Trusted Cryptography Module,TCM)来标识终端的身份，保证交互过程中的数据保密性和安全性，可信软件基主要完成对用户行为的拦截、度量、策略管理等功能。
在传统工控系统协议通信，如Modbus/TCP协议通信过程中，通信数据均采用不加密传输，恶意攻击者可以轻易获取到通信数据并进行解析和篡改等恶意操作，对工业控制系统安全造成严重危害。为了避免该问题，本专利采取加密传输方法，对协议通信数据进行加密操作，使得数据报文在传输过程中为密文传输，解决了协议缺乏机密性保护的问题，保证了数据报文传输过程中的安全性。
通过在终端节点设备上添加国产密码算法模块，使用国产算法SM2/SM3/SM4进行身份认证和数据加密保护，由于在当前的终端节点硬件体系下，国际算法还是主流，需要在这些终端节点设备上添加国产算法的实现。
终端A启动任意一个网络应用,需要与网络中的终端B建立网络连接。可信软件基通过Linux的LSM(Linux安全模块)中的网络钩子点获取到此网络行为，并将网络IP、端口等信息通知可信认证服务程序，可信认证服务程序判断终端的可信状态。如果终端B的可信状态满足条件，则允许连接建立。终端B在收到终端A的网络连接请求后，也采用相同的机制通过可信认证程序判断终端A的可信状态，如果满足条件，则允许终端A接入。
可信计算3.0提出了以自主密码为基础、控制芯片为支柱、双融主板为平台、可信软件为核心、可信连接为纽带、策略管控成体系、安全可信保应用的全新的可信体系框架，在网络层面解决可信问题。TPCM(Trusted Platform Control Module，可信平台控制模块)作为可信计算3.0中主动免疫机制的核心，实现了对整个平台的主动可控。
可信计算3.0采用自主创新的对称非对称相结合的密码体制，作为免疫基因；通过主动度量控制芯片(TPCM)植入可信源根，在TCM基础上加以信任根控制功能，实现密码与控制相结合，将可信平台控制模块设计为可信计算控制节点，实现了TPCM对整个平台的主动控制。TPCM是一个集成在可信平台中的硬件模块，是主动免疫可信体系的可信根，主要用于建立和保障信任源点，提供可信平台控制、完整性度量、安全存储、可信报告以及密码服务等一系列可信计算功能。
作为优选实施例，本发明实施例提供的安全可信NC-Link代理器控制方法，具体包括以下步骤：
1.身份认证和访问控制
身份认证和访问控制功能基于可信身份&属性证书服务，简化身份认证和权限验证流程，提高安全访问效率。基于X.509标准(证书标准规范)，利用属性基访问控制的动态策略配置突破身份证书和属性证书生命周期不匹配问题，实现身份证书和属性证书的合并与绑定，简化证书存储和交互次数。结合NC-Link协议，实现对用户、进程、设备等主体提供身份&属性证书的申请、审核、签发、发布、注销等服务。基于可信计算3.0的TPCM和可信密码服务，实现证书服务中多级密钥管理机制，包括密钥分隔、主密钥派生加密密钥、加密保护数据密钥以及会话密钥等能力，形成各级密钥生命周期保护，实现轻量级的身份&属性证书服务，见图3。
(1)CA证书
CA是证书的签发机构，它是公钥基础设施(Public Key Infrastructure，PKI)的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。
CA拥有一个证书(内含公钥和私钥)。公众用户通过验证CA的签字从而信任CA，任何人都可以得到CA的证书(含公钥)，用以验证它所签发的证书。
如果用户想得到一份属于自己的证书，用户应先向CA提出申请。在CA判明申请者的身份后，便为申请者分配一个公钥，并且CA将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者。
如果一个用户想鉴别另一个证书的真伪，他就用CA的公钥对相应证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。证书实际是由证书签证机关(CA)签发的对用户的公钥的认证。
证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。证书的格式和验证方法普遍遵循X.509国际标准。
(2)证书标准规范X.509
目前使用最广泛的标准为ITU和ISO联合制定的X.509的v3版本规范(RFC5280),其中定义了如下证书信息域：
版本号(Version Number)：规范的版本号，目前为版本3，值为0x2；
序列号(Serial Number)：由CA维护的为它所发的每个证书分配的一的列号，用来追踪和撤销证书。只要拥有签发者信息和序列号，就可以唯一标识一个证书，最大不能过20个字节；
签名算法(Signature Algorithm)：数字签名所采用的算法，如：
①sha256-with-RSA-Encryption
②ccdsa-with-SHA2S6；
颁发者(Issuer)：发证书单位的标识信息，如”C＝CN，ST＝Beijing,L＝Beijing,O＝org.example.com，CN＝ca.org。example.com”；
有效期(Validity):证书的有效期很，包括起止时间。
主体(Subject):证书拥有者的标识信息(Distinguished Name)，如："C＝CN，ST＝Beijing,L＝Beijing,CN＝person.org.example.com”；
主体的公钥信息(SubJect Public Key Info)：所保护的公钥相关的信息：
①公钥算法(Public Key Algorithm)公钥采用的算法；
②主体公钥(Subject Unique Identifier)：公钥的内容。
颁发者唯一号(Issuer Unique Identifier)：代表颁发者的唯一信息，仅2、3版本支持，可选；
主体唯一号(Subject Unique Identifier)：代表拥有证书实体的唯一信息，仅2、3版本支持，可选：
扩展(Extensions，可选):可选的一些扩展。中可能包括：
①Subject Key Identifier：实体的密钥标识符，区分实体的多对密钥；
②Basic Constraints：指明是否属于CA；
③Authority Key Identifier：证书颁发者的公钥标识符；
④CRL Distribution Points:撤销文件的颁发地址；
⑤Key Usage：证书的用途或功能信息。
此外，证书的颁发者还需要对证书内容利用自己的私钥添加签名，以防止别人对证书的内容进行篡改。
(3)身份和属性证书的合并与绑定
身份证书和属性证书的合并与绑定和其他相关功能基于OpenSSL和Mosquitto框架进行开发。OpenSSL支持在扩展部分添加自定义字段，通过加入自定义字段描述实体属性，包括用户、进程、设备等主体。从而实现身份证书和属性证书的合并与绑定。
Mosquitto是一款实现了消息推送协议MQTT v3.1的开源消息代理软件，提供轻量级的，支持可发布/可订阅的消息推送模式，使设备对设备之间的短消息通信变得简单。
MQTT(Message Queuing Telemetry Transport，消息队列遥测传输协议)，是一种基于发布/订阅(publish/subscribe)模式的"轻量级"通讯协议，该协议构建于TCP/IP协议上，于1999年发布。MQTT可以以极少的代码和有限的带宽，为连接远程设备提供实时可靠的消息服务。
在通讯过程中，MQTT协议中有三种身份：发布者(Publish)、代理(Broker)(服务器)、订阅者(Subscribe)。其中，消息的发布者和订阅者都是客户端，消息代理是服务器，消息发布者可以同时是订阅者。
将身份&属性证书嵌入NC-Link，同时使用Mosquitto的发布/订阅模式，订阅者对签发，发布，注销等topic进行订阅，接收到相关消息后结合属性信息进行验证，认证完成后进行服务。
(4)密钥分级管理
密钥的安全管理通常采用层次化的保护方法。密钥管理分层管理机制将密钥分为三层，即本地主密钥、传输中主密钥和工作密钥。
第一层为本地主密钥,它的作用是对所有在本地存放的其它密钥和加密数据进行加密，不同对的本地主密钥用于加密不同的数据或密钥。本地存放的其它密钥和加密数据，都是在主密钥加密之下，因此本地主密钥是最重要的密钥。
第二层为传输密钥(Key-encrypting key)，它的作用是加密在通讯线上需要传递的数据密钥，从而实现数据密钥的自动分配。在本地或共享网络中。不同的两个通讯网点使用不同的传输密钥，从而实现密钥的分工管理，它在本地存放时，处于本地主密钥的加密之下。
第三层为数据加密密钥，它的作用是加密各种不同的数据，从而实现数据的保密，信息的认证，以及数字签名的功能。这些数据密钥在本地存放时，处于本地主密钥的加密之下。
(5)属性基访问控制
属性基加密(ABE)的思想来源于模糊身份基加密(FIBE)，属性基加密的思想是让密文和密钥与属性集合和访问结构产生关联，当且仅当属性集合满足访问结构的时候，方能解密成功。根据这其中两两的对应关系，又可以将属性基加密分为两类，即密钥策略属性基加密(KP-ABE)和密文策略属性基加密(CP-ABE)。
KP-ABE：用户的密钥中蕴含访问结构(访问策略)，密文中对应着一系列属性集合，当且仅当密文的属性集合满足用户密钥的访问结构时，用户才能解密成功。用户是主体，只有特定的密文才能与之匹配，从而解密。
CP-ABE：用户的密钥对应着一系列属性的集合，密文中蕴含着访问结构(策略)，当且仅当用户的属性集合满足密文的访问结构时，用户才能解密成功。密文是主体，只有特定的密钥才能与之匹配，从而解密。本发明主要采用CP-ABE，CP-ABE中数据拥有者可以根据自己的需求，定义合适的访问结构。
NC-Link代理器设计有协议数据的路由、转发、设备和应用的安全接入、用户认证和授权，数控装备在与应用层传输数据之前必须向代理器进行身份认证。数控装备具备唯一的身份认证信息，包括但不限于设备序列号、MAC地址，或其他不可仿制和更改的信息。
数控装备向NC-Link代理器发送NC-Link协议的认证请求，NC-Link代理器基于可信身份&属性证书服务响应认证请求，对数控装备进行身份认证。只有通过身份认证的数控装备才能成功接入，并进行信息交互。
在可信计算3.0框架下，可信身份&属性证书服务优化了设备之间相互访问、用户对设备的访问、用户对应用程序的访问，通过用户/设备的身份获取用户/设备的属性，根据属性访问控制策略来实施细粒度的访问控制，避免越权访问、横向控制等安全问题。对有多个应用的数控系统，为避免多次重复认证，提供单点登录功能，在开放式网络环境下，一次认证全网访问。
2.传输加密及完整性保护
NC-Link代理器与应用系统之间、NC-Link代理器与数控装备之间、可信身份&属性证书服务均基于NC-Link协议进行通信，利用国产密码算法对国产数控系统通信协议NC-Link实施安全加固，生成国密安全通道来实现数据传输安全，保证了数据保密性、数据完整性、数据时效性、数据不可抵赖性。安全通信协议切换成国密算法，不仅出于政策合规需要，更关乎通信基础设施的安全可控。
TLS协议(Transport Layer Security，传输层安全性协议)对通信双方进行身份验证和通信加密，所有信息都是加密传输，配备身份证书并具有校验机制，本发明将标准的TLS通信改造为符合国家密码标准的国密安全通信。TLS安全通信的本质是根据协商生成的对称加密密钥对后续通信内容进行安全加密，本发明对通信消息中的密钥协商部分进行国密化适配。采用国密ECDHE协商算法，使用国密的SM2做签名验签，SM3做MAC摘要计算，SM4做对称加密，密钥协商为使用SM2非对称加密。
密钥协商是在两个用户之间建立一个共享秘密密钥的协商过程，通过这种方式能够确定一个共享秘密密钥的值。设密钥协商双方为A、B，其密钥对分别为(dA，QA)和(dB，QB)，双方需要获得的密钥数据的比特长度为klen，密钥协商协议分为两个阶段。
第一阶段产生临时密钥对。用户A调用SM2算法产生临时密钥对(PriA，PubA)，将RubA和用户A的用户身份标识IDA发送给用户B。用户B调用SM2算法产生临时密钥对(PriB，PubB)，将PubB和用户B的用户身份标识IDB发送给用户A。临时私钥只在本次握手会话中有效，握手结束后就被释放。
第二阶段计算共享秘密密钥。用户A输入如下参数，可以得到位长klen的密钥数据：①用户A的公钥②用户B的公钥③用户A的临时公钥④用户A的用户身份标识⑤用户B的临时公钥⑥用户B的用户身份标识⑦用户A的私钥⑧用户A的临时私钥⑨需要输出的密钥数据的长度klen。用户B所需的输入参数与用户A的输入参数基本一致，仅需替换私钥与临时私钥为用户B的。非临时公钥和私钥对应国密的加密证书，密钥协商过程如图4所示。
为了证明本发明的技术方案的创造性和技术价值，该部分是对权利要求技术方案进行具体产品上或相关技术上，也可以由上述硬件电路和软件的结合例如固件来实现。
本发明实现了NC-Link协议的属性访问控制，发明在身份属性证书中添加自定义属性，例如增加自定义字段sec_level用于定义身份等级信息，增加sec_domain定义身份范畴信息等安全属性，最终用于属性访问控制的规则匹配进程。
本发明实现基于NC-Link协议的身份认证。计算机网络世界中一切信息包括用户的身份信息都是用一组特定的数据来表示的，计算机只能识别用户的数字身份，所有对用户的授权也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应，当前使用的"用户名/口令"的身份认证方式将无法满足审计信息系统安全要求，需要采用更为严密和复杂的用户身份认证体系。本发明采用证书认证的方式解决这个问题，提供了单证书认证和双证书认证两种身份认证方式。
1、单证书认证
用户使用唯一的证书及对应的私钥进行签名和加密操作。签名时：用户A(简称A)使用自己的私钥加密信息的摘要，即签名操作；用户B(简称B)使用A的公钥进行解密，对比该摘要是否正确，若正确，则B就确定了A的身份，即验签成功。加密时：A用B的公钥将信息加密传递给B，B使用自己的私钥解密，进而获得信息。在客户端订阅或发布消息时，需要先提供自己的证书。
2、双证书认证
双证书包括签名证书和加密证书。将加密及签名功能区分，对于订户而言即同时拥有加密及签名双证书。签名时：签名证书仅仅用来验证身份使用，其公钥和私钥均由用户自己产生，并且由自己保管，CA不负责其保管任务。加密时：加密证书在传递加密数据时使用，其私钥和公钥由CA产生，并由CA保管(存根)。在客户端订阅或发布消息时，需要同时提供签名证书和加密证书。
本发明实现基于NC-Link代理器的传输加密功能，为适应复杂的工业互联与数控场景，利用国密算法建立安全通信通道，保障信息的完整性与身份认证。
本发明实现了NC-Link代理器可信网络和主动免疫功能。在NC-Link代理器终端在硬件层和系统层分别配置可信平台控制模块(TPCM，Trusted Platorm Control Module，TPCM)和可信软件基(Trusted Software Base，TSB)，其中TPCM在网络通信中参与可信状态报告生成、身份校验﹑密码协商等工作，通过内置的可信密码模块(Trusted CryptographyModule,TCM)来标识终端的身份，保证交互过程中的数据保密性和安全性，可信软件基主要完成对用户行为的拦截、度量、策略管理等功能。网络环境拓扑实例如图5所示。
本发明实施例在研发或者使用过程中取得了一些积极效果，和现有技术相比的确具备很大的优势，下面内容结合试验过程的数据、图表等进行描述。
经过对NC-Link、MT-Connect与OPC-UA协议进行深入调研与多指标实验，实验验证结果如下表所示。
表1各协议验证指标
协议名 传输方式 数据流向 数据采集难度 备注
OPC-UA 二进制流 双向 困难
MT-Connect XML 单向 中等
NC-Link JSON字符串 双向 简单
NC-Link协议采用了JSON字符串传输，相较于MT-Connect协议的XML传输对网络的带宽要求更小。NC-Link协议采用订阅发布的数据传输方式，数据流向是双向的，而MT-Connect的数据流向是单向的。NC-Link协议有简便的机床模型定义，相较于OPC-UA协议则需要厂家提供数据定义手册，否则就无法进行设备的数据采集工作。NC-Link协议能满足高频数据采集的要求，其他两个协议则不能。
本发明实现了NC-Link协议的属性访问控制，主要通过在身份属性证书中添加自定义属性实现。经过技术调研与实验，属性访问控制与其他主流访问控制的详细信息如表2所示。
表2 NC-Link属性访问控制与其他访问控制比较
/>
可知基于属性访问控制相比其他访问控制手段提供了更加智能的决策手段，更加主动的细粒度安全访问控制，更加适用于工业互联网与数控设备的复杂安全场景。
应当注意，本发明的实施方式可以通过硬件、软件或者软件和硬件的结合来实现。硬件部分可以利用专用逻辑来实现；软件部分可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域的普通技术人员可以理解上述的设备和方法可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本发明的设备及其模块可以由诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合例如固件来实现。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种安全可信NC-Link代理器控制方法，其特征在于，安全可信NC-Link代理器控制方法包括：将NC-Link协议与国密算法融合，实现NC-Link数控通信代理器，进行身份认证并提供传输加密和完整性保护；将NC-Link协议与属性访问控制融合，通过将身份&属性证书嵌入NC-Link，实现数控系统上下行操作的权限控制；通过NC-Link代理器的消息路由和桥接，提供分布式部署方案；通过定制安全策略，实现代理器的可信网络连接和主动免疫功能。
2.如权利要求1所述的安全可信NC-Link代理器控制方法，其特征在于，安全可信NC-Link代理器控制方法包括以下步骤：
步骤一，基于可信身份&属性证书服务实现身份认证和访问控制；
步骤二，对数控系统通信协议NC-Link进行传输加密及完整性保护。
3.如权利要求2所述的安全可信NC-Link代理器控制方法，其特征在于，步骤一中的身份认证和访问控制的实现包括：
身份认证和访问控制功能基于可信身份&属性证书服务；基于X.509标准，利用属性基访问控制的动态策略配置突破身份证书和属性证书生命周期不匹配问题，实现身份证书和属性证书的合并与绑定；结合NC-Link协议，实现对用户、进程、设备主体提供身份&属性证书的申请、审核、签发、发布和注销服务；基于可信计算3.0的TPCM和可信密码服务，实现证书服务中多级密钥管理机制，包括密钥分隔、主密钥派生加密密钥、加密保护数据密钥以及会话密钥能力，形成各级密钥的生命周期保护，实现轻量级的身份&属性证书服务；
属性基加密的思想来源于模糊身份基加密，属性基加密是让密文和密钥与属性集合和访问结构产生关联，当且仅当属性集合满足访问结构的时候，方能解密成功；根据其中两两的对应关系，将属性基加密分为两类，包括密钥策略属性基加密KP-ABE和密文策略属性基加密CP-ABE；
其中，KP-ABE是用户的密钥中蕴含访问结构和/或访问策略，密文中对应系列属性集合，当且仅当密文的属性集合满足用户密钥的访问结构时，用户解密成功；用户是主体，只有特定的密文才能与之匹配，从而解密；
CP-ABE是用户的密钥对应着一系列属性的集合，密文中蕴含着访问结构和/或访问策略，当且仅当用户的属性集合满足密文的访问结构时，用户解密成功；密文是主体，只有特定的密钥才能与之匹配，从而解密；采用CP-ABE，CP-ABE中数据拥有者根据自己的需求，定义合适的访问结构。
4.如权利要求2所述的安全可信NC-Link代理器控制方法，其特征在于，步骤二中的传输加密及完整性保护包括：
NC-Link代理器与应用系统之间、NC-Link代理器与数控装备之间、可信身份&属性证书服务均基于NC-Link协议进行通信，利用国产密码算法对国产数控系统通信协议NC-Link实施安全加固，生成国密安全通道实现数据传输安全；
TLS协议对通信双方进行身份验证和通信加密，所有信息均加密传输，配备身份证书并具有校验机制，并将标准的TLS通信改造为符合国家密码标准的国密安全通信；TLS安全通信的本质是根据协商生成的对称加密密钥对后续通信内容进行安全加密，对通信消息中的密钥协商部分进行国密化适配；采用国密ECDHE协商算法，使用国密的SM2做签名验签，SM3做MAC摘要计算，SM4做对称加密，密钥协商为使用SM2非对称加密。
5.如权利要求4所述的安全可信NC-Link代理器控制方法，其特征在于，密钥协商是在两个用户之间建立共享秘密密钥的协商过程，通过密钥协商确定共享秘密密钥的值；设密钥协商双方为A、B，密钥对分别为(dA，QA)和(dB，QB)，双方获得的密钥数据比特长度为klen，密钥协商协议包括：
第一阶段产生临时密钥对；用户A调用SM2算法产生临时密钥对(PriA，PubA)，将RubA和用户A的用户身份标识IDA发送给用户B；用户B调用SM2算法产生临时密钥对(PriB，PubB)，将PubB和用户B的用户身份标识IDB发送给用户A；临时私钥只在本次握手会话中有效，握手结束后就被释放；
第二阶段计算共享秘密密钥；用户A输入如下参数，得到位长klen的密钥数据：①用户A的公钥；②用户B的公钥；③用户A的临时公钥；④用户A的用户身份标识；⑤用户B的临时公钥；⑥用户B的用户身份标识；⑦用户A的私钥；⑧用户A的临时私钥；⑨需要输出的密钥数据的长度klen；用户B所需的输入参数与用户A的输入参数基本一致，仅需替换私钥与临时私钥为用户B的；非临时公钥和私钥对应国密的加密证书。
6.一种应用如权利要求1～5任意一项所述的安全可信NC-Link代理器控制方法的安全可信NC-Link代理器，其特征在于，安全可信NC-Link代理器包括：数控装备、适配器、MES应用系统、数控系统、可信计算3.0系统、可信平台控制模块TPCM和国产高速密码服务模块；
其中，NC-Link代理器包括协议数据的路由、转发、设备和应用的安全接入、用户认证和授权，数控装备在与应用层传输数据前须向代理器进行身份认证；
数控装备具备唯一的身份认证信息，包括设备序列号、MAC地址，或其他不可仿制和更改的信息；
可信计算3.0系统包括以自主密码为基础、控制芯片为支柱、双融主板为平台、可信软件为核心、可信连接为纽带、策略管控成体系、安全可信保应用的全新的可信体系框架，用于在网络层面解决可信问题；
可信平台控制模块TPCM作为可信计算3.0系统中主动免疫机制的核心，用于实现对安全可信NC-Link代理器的主动可控。
7.如权利要求6所述的安全可信NC-Link代理器，其特征在于，数控装备向NC-Link代理器发送NC-Link协议的认证请求，NC-Link代理器基于可信身份&属性证书服务响应认证请求，对数控装备进行身份认证；只有通过身份认证的数控装备才能成功接入，并进行信息交互；
可信计算3.0系统采用对称非对称相结合的密码体制作为免疫基因；通过主动度量控制芯片TPCM植入可信源根，在TCM基础上加以信任根控制功能，实现密码与控制相结合；将可信平台控制模块设计为可信计算控制节点，实现可信平台控制模块TPCM对整个平台的主动控制；
可信平台控制模块TPCM是一个集成在可信平台中的硬件模块，是主动免疫可信体系的可信根，用于建立和保障信任源点，提供可信平台控制、完整性度量、安全存储、可信报告以及密码服务的系列可信计算功能；
在可信计算3.0框架下，可信身份&属性证书服务优化设备之间相互访问、用户对设备的访问、用户对应用程序的访问，通过用户/设备的身份获取用户/设备的属性，根据属性访问控制策略来实施细粒度的访问控制；对存在多个应用的数控系统提供单点登录功能，在开放式网络环境下，一次认证全网访问。
8.一种计算机设备，其特征在于，计算机设备包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行如权利要求1～5任意一项所述的安全可信NC-Link代理器控制方法的步骤。
9.一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时，使得处理器执行如权利要求1～5任意一项所述的安全可信NC-Link代理器控制方法的步骤。
10.一种信息数据处理终端，其特征在于，信息数据处理终端用于实现如权利要求6～7任意一项所述的安全可信NC-Link代理器。
CN202310030193.4A 2023-01-10 2023-01-10 安全可信NC-Link代理器、控制方法、设备及终端 Pending CN116633576A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310030193.4A CN116633576A (zh) 2023-01-10 2023-01-10 安全可信NC-Link代理器、控制方法、设备及终端

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310030193.4A CN116633576A (zh) 2023-01-10 2023-01-10 安全可信NC-Link代理器、控制方法、设备及终端

Publications (1)

Publication Number Publication Date
CN116633576A true CN116633576A (zh) 2023-08-22

Family

ID=87608633

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310030193.4A Pending CN116633576A (zh) 2023-01-10 2023-01-10 安全可信NC-Link代理器、控制方法、设备及终端

Country Status (1)

Country Link
CN (1) CN116633576A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117093979A (zh) * 2023-10-19 2023-11-21 西安热工研究院有限公司 非网络环境下dcs控制器可信投退方法、系统及介质

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117093979A (zh) * 2023-10-19 2023-11-21 西安热工研究院有限公司 非网络环境下dcs控制器可信投退方法、系统及介质
CN117093979B (zh) * 2023-10-19 2024-01-16 西安热工研究院有限公司 非网络环境下dcs控制器可信投退方法、系统及介质

Similar Documents

Publication Publication Date Title
Da Xu et al. Embedding blockchain technology into IoT for security: A survey
Feng et al. Efficient and secure data sharing for 5G flying drones: A blockchain-enabled approach
Cui et al. A hybrid blockchain-based identity authentication scheme for multi-WSN
US10657261B2 (en) System and method for recording device lifecycle transactions as versioned blocks in a blockchain network using a transaction connector and broker service
US20210377040A1 (en) Trust and identity management systems and methods
US20230007003A1 (en) Systems and methods for organizing devices in a policy hierarchy
Ali et al. xDBAuth: Blockchain based cross domain authentication and authorization framework for Internet of Things
Esposito et al. On security in publish/subscribe services: A survey
Chakrabarti Grid computing security
JP2023500259A (ja) ブロックチェーントランザクションを使用した通信プロトコル
Guo et al. Proposed security mechanism for XMPP-based communications of ISO/IEC/IEEE 21451 sensor networks
Oktian et al. BorderChain: Blockchain-based access control framework for the Internet of Things endpoint
Dramé-Maigné et al. Centralized, distributed, and everything in between: Reviewing access control solutions for the IoT
Zhang et al. Sovereign: Self-contained smart home with data-centric network and security
Xue et al. Research on key technologies of software-defined network based on blockchain
CN109587100A (zh) 一种云计算平台用户认证处理方法及系统
Friesen et al. A comparative evaluation of security mechanisms in DDS, TLS and DTLS
CN116633576A (zh) 安全可信NC-Link代理器、控制方法、设备及终端
Enge et al. An offline mobile access control system based on self-sovereign identity standards
Gupta et al. Evolutionary study of distributed authentication protocols and its integration to UAV-assisted FANET
Dong et al. Anonymous cross-domain authentication scheme for medical PKI system
Dilshan et al. Mschain: blockchain based decentralized certificate transparency for microservices
Kumar et al. Security enforcement using PKI in Semantic Web
Otta et al. Cloud identity and access management solution with blockchain
Lou et al. Blockchain-based privacy-preserving data-sharing framework using proxy re-encryption scheme and interplanetary file system

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination