工业互联网平台的典型密码应用

工业互联网平台是工业互联网体系的核心要素，平台下连设备、上连应用，其本质是在传统云平台的基础上叠加物联网、大数据、人工智能等新兴技术。当前工业互联网平台的安全威胁复杂多样，工业互联网平台安全系数较低，存在平台受攻击面大、攻击手段多样化等问题，平台的网络安全、设备和控制的接入安全、应用安全以及数据安全等均面临较大的挑战。据中国工业互联网产业联盟调查数据显示，在2019年，60%以上的主流工业互联网平台都遭遇网络安全攻击事件，其中主要是病毒攻击、DDoS攻击和数据库注入攻击等。

当前我国工业互联网平台面临的安全威胁大体可分为几个方面：

一是网络安全。由于云计算的网络边界比较模糊，使得基于边界的网络安全技术变得不适用，而且安全认证机制、访问控制手段等安全防护力度不足，网络易受到黑客的APT攻击、拒绝服务攻击等，导致办公内网、工厂内外网、标识解析系统、边缘计算设备等之间信道的隐私数据泄露。

二是接入安全。边缘计算的安全防护能力薄弱，如果虚拟化技术安全防范不足，将导致上层系统面临巨大的安全风险。设备在接入工业互联网平台时，如果不使用密码手段进行身份鉴别，则不能确保数据来源于真实的设备。同时也需要对运维用户和工业App接入进行身份鉴别与访问控制。

三是数据安全。工业互联网平台汇集和处理大量的敏感数据、隐私数据等，从数据的采集、传输、存储、交换、处理、使用到销毁的全生命流程都面临窃听、篡改的威胁。

针对上述安全问题，传统的安全防护技术已不能满足工业互联网平台的需求。密码技术是保护网络安全的核心技术和基础支撑，可通过采用商用密码算法、密码硬件产品、密码软件模块、密码服务、可信计算等手段实现工业互联网平台的接入认证、身份鉴别、访问控制、通信安全，以及数据的真实性、机密性和完整性保护，通过部署工业互联网平台密码解决方案，构建纵深防御整体密码应用体系，确保工业互联网平台的根本安全。

工业互联网平台的典型密码应用

通过对工业互联网平台的网络和通信、设备和计算、应用和数据等方面的密码应用，建设以密码为核心的云安全保障体系。工业互联网平台密码应用主要包括密码基础设施、通用密码服务、密码管理以及边缘层、IaaS层、PaaS层、SaaS层的密码应用。

密码基础设施层是工业互联网平台密码应用的基础支撑。工业互联网云密码服务资源池是利用云密码设备建设的密码硬件资源池，支持虚拟化部署，即在多台物理密码设备的基础上云化成密码资源池，统一管理密码资源集群，向应用按需提供密码计算资源和存储资源服务，在提供基于SM2/3/4/9的国密算法加解密、签名验签、密码杂凑算法的密码功能服务的同时提高资源利用率。

通用密码服务主要包括数字证书系统、密钥管理系统、随机数生成器和时间戳等通用性服务。数字证书系统提供数字证书CA、RA的密码安全服务；密钥管理系统负责密钥全生命周期的管理；随机数生成器根据密码算法的设定，生成特定长度的随机数；时间戳是使用数字签名技术产生的数据，可验证这段数据在产生后是否经过篡改。通用密码服务主要是方便IaaS、PaaS、SaaS层典型密码应用的调用。

密码管理主要是对密码服务、密钥以及访问控制的管理。云密码服务系统位于云的硬件环境中，用户只能通过远程管理的方式登录云密码服务管理界面。在密钥的管理上，由于工业互联网平台用户数量多、数据量大且种类繁多，不同用户和类型的数据需要不同的密钥，根据不同等级的安全要求，提供多层次的密钥隔离机制。访问控制是云密码服务接入的关键，通过集成证书认证、OAuth认证、OpenID等认证形态提供多种模式的访问控制。

在边缘层，通过部署SSL VPN和IPSec VPN安全网关等，对通信网络进行安全认证，实现设备的接入认证和用户的身份鉴别，同时对边缘采集和处理的数据进行机密性和完整性保护，防止敏感数据泄露或被非授权篡改。

在IaaS层，服务形式一般包括计算资源、存储资源、网络资源等，租户租用的资源相对独立，且与具体业务数据无关，所以在IaaS层的密码应用主要集中在租户的数据和虚拟机镜像的加密保护以及用户的身份鉴别。

在PaaS层，目前常见的服务包括数据库服务、对象存储服务、地图服务、电子合同等，各租户可根据应用场景的密码应用需求通过云密码接入适配中间件进行按需对接使用，主要进行数据加解密、安全认证、授权管理以及协同签名等密码应用。

在SaaS层，密码应用需求可以归纳为用户安全接入、身份认证、关键业务防抵赖和工业敏感数据的安全存储等。比如在敏感的工业应用程序中，应采用密码技术提供数据原发证据和数据接收证据，实现数据原发行为的抗抵赖和数据接收行为的抗抵赖。

工业互联网平台密码应用如何发展

目前我国的工业互联网平台正处于发展建设阶段，而工业互联网平台密码应用还处于缓慢的起步阶段，尤其是国产密码的使用率较低，市场上与工业互联网平台适配的密码产品种类较少，定制化的工业互联网密码服务欠缺。因此，为了从根本上保障工业互联网平台安全，布局商用密码应用，笔者提出以下建议：

加大工业互联网密码应用的监管和投入力度。国家应围绕工业互联网平台的安全需求，继续加大对工业互联网平台密码应用的支持力度，从专项支持、试点示范等方面着力推进工业互联网平台密码应用。国家应监督企业在建设工业互联网平台时优先部署商用密码算法、产品和服务，进行商用密码应用安全性评估，确保工业互联网平台密码应用合规有效。

建立完善的工业互联网密码标准体系。目前我国的工业互联网安全相关标准较少，工业互联网密码相关标准极度匮乏。为了有序推进工业互联网产业发展，我国应加快搭建包括工业企业、商用密码企业和研究机构在内的跨领域组织，制定工业互联网密码应用相关的技术标准和行业标准，促进智能制造、能源等行业的密码应用，并且鼓励制定行之有效的团体标准。

加强工业互联网密码应用的技术攻关。工业互联网平台对虚拟化、保留数据格式加密、同态加密、轻量级密码等技术提出了较高的要求，相关企业和科研机构应加强对上述密码技术的研究和落地。为了适应云环境的密码应用，密码企业需研发与工业互联网平台相适配的密码产品，提供一体化的工业互联网平台密码服务，同时可建设密码安全态势感知平台，从全局视角提升对密码应用安全的感知。
编辑：hfy