CN103401880B - 一种工业控制网络自动登录的系统及方法 - Google Patents

Abstract

本发明公开一种自动登录工业控制系统的方法和控制系统，包括：登录终端LC、操作站OS、验证代理单元VPP、服务器Server，在整个登录过程中，不出现用户名、密码等关键信息，可以避免信息泄露，提高安全性。同时也省去操作员经常手工输入各种信息进行登录的麻烦。登录终端、操作员站和服务器之间的所有信息都通过两次加密和完整性验证，每次通信的私钥动态改变，公共密钥也定期更新，并使用多种加密算法，安全性高。登录终端能够对操作员的合法性进行验证，防止非法、非授权的使用。使用同时具有身份标识和加密狗两种功能的登录终端，操作人员不用记忆用户名和密码信息，直接使用登录终端即可登录服务器，通过操作站的认证。

Description

一种工业控制网络自动登录的系统及方法

技术领域

本发明涉及工业控制系统，尤其是工业控制系统的登录技术。

背景技术

工业控制系统中，操作人员使用操作站进行操作。一般提供登录界面，操作人员需要手工输入用户名和密码才能登录。当登录另一操作站时，用户也必须进行同样的手工输入操作。这种登录方式操作繁琐。同时，每个操作人员都要管理自己的用户名和密码。在使用时，1）容易被黑客软件、键盘监视软件等获取密码；2）容易被他人窥探；3）网络传输容易被截获，明文信息可以直接被获取到，对于加密性不高的信息，也容易被破译，所以存在安全漏洞。为此，本发明提供一种自动登录方法，在提升安全性的同时，也增强系统易用性。

发明内容

本发明针对现有技术存在的用户使用不方便以及不安全的缺陷，将身份标识和加密狗结合在一起。提供一种自动登录方法，省去操作人员频繁输入用户名、密码等操作，方便易用。信息传输采用多种加密算法的组合，并以时间为基础随机选择加密算法和密钥，公钥和私钥同时使用，提供两次加密，提高安全性。同时应用完整性算法，保证信息传输的完整性。各组成部分之间互相鉴别，杜绝发生伪装的情况。

本发明解决上述技术问题的技术方案是，提出一种工业控制系统自动登录方法，包括，登录终端LC通过串口USB接口连接操作员站OS计算机；OS的运行验证代理VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对VPP转发数据包进行解密，并通过验证码检验数据包的完整性，如果数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对收到原始响应数据进行解密，使用指定的加密方法和加密密钥解密得到LCID，VPP验证LCID是否合法，OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用原始登录请求数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，Server为OS生成唯一的随机会话SessionID，并将该SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server根据有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP根据验证码进行解密得到SessionID、有效期，使用该SessionID，请求Server的服务。

Server收到来自OS的登录请求，通过完整性验证后，使用OS指定的加密方法和加密密钥进行解密，得到SessionID和请求命令，进一步使用SessionID、OS的IP地址和MAC地址进行验证，若验证通过则提供服务，并返回正响应，若验证未通过则拒绝服务，返回负响应。

其中，原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码，使用公共加密算法和公共密钥对原始响应数据进行加密后发送给OS。原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID、根据原始登录请求数据包中加密密钥、IP地址、MAC地址、LCID采用该加密方法获得的验证码。登录终端在IC卡、智能卡、以及智能手机内置的SIM卡或NFC卡上实现加密算法。

本发明还提出一种工业控制网络自动登录系统，包括：登录终端LC、操作站OS计算机、验证代理单元VPP、服务器Server。LC通过USB接口连接OS计算机；OS的VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对数据包进行解密，并通过验证码检验数据包的完整性，如果数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对原始响应数据进行解密，使用指定的加密方法和加密密钥解密得到LCID，VPP验证LCID是否合法，OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，Server为OS生成唯一的随机会话SessionID，并将SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server根据有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP根据验证码进行解密得到SessionID、有效期，使用该SessionID，请求Server的服务。

本发明自动完成登录，不需人为干预。在整个登录过程中，不出现用户名、密码等关键信息，可以避免信息泄露，提高安全性。同时也省去操作员经常手工输入各种信息进行登录的麻烦。登录终端（LC）、操作员站（OS）和服务器（Server）之间的所有信息都通过两次加密和完整性验证，每次通信的私钥动态改变，公共密钥也定期更新，并使用多种加密算法，安全性非常高。登录终端（LC）、操作员站（OS）和服务器（Server）之间互相会进行合法性验证，能够识别出各种伪装。登录终端（LC）能够对操作员的合法性进行验证，防止非法、非授权的使用。使用同时具有身份标识和加密狗两种功能的登录终端，操作人员不用记忆用户名和密码信息，直接使用登录终端即可登录服务器，通过操作站的认证。方便易用。本发明可以应用于工业控制系统中。同时也能够应用于BS/CS架构的各种系统中。

附图说明

图1本发明系统结构示意图；

图2本发明登录服务流程示意图。

具体实施方式

图1所示为本发明系统结构示意图。本系统结构包括登录终端（LC）、操作员站（OS）和服务器（Server）三部分。LC可以是一种便携设备，由操作员持有，LC可表示操作员有效身份的一种凭证，还可作为使用操作员站的加密狗。LC可以设计为U盘、加密狗、U盾、卡片等形状方便携带。也可以直接使用智能手机，使用智能手机的SIM卡、NFC卡、手机号码等作为ID，LC包含微处理器、非易失存储器、IC卡（或智能卡）等，实现了Server要求的各种加密算法，根据指定的密钥可以使用加密算法进行加密和解密操作。在自动登录到Server时，登录终端连接到OS，验证操作员站具有合法的身份，启动OS进行各项操作。防止非授权、非法的操作员的使用。

所有的监控操作都通过OS发出。因为各种操作对控制系统非常重要，不当的操作可能会带来严重的后果。因此必须要保证是经过授权的合法用户才能够进行各种操作。LC作为使用OS的加密狗，连接到OS，并通过VPP的验证后进行各种操作。如果要用到Server提供的服务，OS必须首先登录到Server，经过Server验证授权后才能进行。

在登录时，LC连接到OS，OS中的VPP负责自动登录的操作控制。通过登录并获得Server的授权后，能够通过OS访问Server提供的各项服务，服务器（Server）是为OS提供服务的计算机。OS请求使用Server提供的各种服务，OS需要得到Server的身份、权限验证后，才能够使用这些服务。OS使用LC作为身份证明，通过VPP向Server进行登录。该登录过程由VPP自动完成，不需要操作员输入密码等信息。Server、OS和LC之间进行通信时，都通过公共加密算法和公共密钥进行加密，公共加密算法和公共密钥由Server负责管理。在操作员申领LC时，Server将初始公共加密算法和公共密钥预先写入到LC中，VPP中附带有初始的公共加密算法和公共密钥。使用初始的公共加密算法和公共密钥与Server进行加密通信，LC申请公共加密算法和公共密钥，并从Server获取合法的LCID（用于判断连接到OS的LC是否合法）。在正常使用过程中，Server定期更新公共加密算法和公共密钥，以保证系统的安全。

LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到VPP转发数据包，对数据包进行解密，并通过验证码检验数据包的完整性，如果数据包完整，则获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，发送给OS；OS使用公共加密算法和公共密钥对原始响应数据进行解密，使用指定的加密方法和加密密钥解密得到LCID，VPP验证LCID是否合法，OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密形成原始登录请求数据包，OS使用公共加密算法和公共密钥对原始登录请求数据包进行加密，并发送给Server请求登录；Server使用数据包中指定的加密方法和加密密钥对VPP的登录请求解密得到LCID，Server为OS生成唯一的随机会话SessionID，并将SessionID与LCID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server根据有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给VPP，VPP根据验证码进行解密得到SessionID、有效期，使用该SessionID，请求Server的服务。

LC登录服务器包括如下步骤：

步骤①：登录终端（LC）身份验证。系统对登录终端进行身份验证，只有通过登录终端的验证，操作员才能够使用登录终端进行后续的操作。

步骤②：登录终端通过USB、蓝牙、WIFI等方式连接到操作站（OS）。OS运行验证代理（VPP），VPP检测到LC之后，向LC发送读ID请求。该读ID请求数据包由加密方法、加密密钥、读ID命令和验证码4个部分组成。其中，读ID命令采用其加密方法和加密密钥进行加密，根据加密方法、加密密钥、读ID命令计算获取验证码。将原始读ID请求数据包通过公共加密算法和公共密钥进行加密形成读ID请求数据包，并发送给LC。

步骤③：LC接收到来自VPP的读ID请求数据包之后，使用公共加密算法和公共密钥对读ID请求数据进行解密，得到VPP传过来的原始读ID请求数据包。通过得到的验证码检验数据包的完整性。如果是完整的，则对读ID命令进行处理。获取存储在存储器中的ID，使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据。原始响应数据包括4个部分：加密方法、加密密钥、ID和验证码，其中，通过加密方法和加密密钥进行加密获得ID，根据加密方法、加密密钥、及其ID计算得到相关验证码。使用公共加密算法和公共密钥对原始响应数据进行加密后发送给OS。

步骤④：OS收到LC的响应数据后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用指定的加密方法和加密密钥解密得到LC的标识ID（LCID）。获取到LCID后，VPP验证LCID是否是合法的。完成对LCID的验证后，OS再以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密，并形成原始登录请求数据包。原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID和原始登录请求数据包验证码。其中，该原始登录请求数据包验证码由加密方法、加密密钥、IP地址、MAC地址、LCID计算获取。IP地址、MAC地址、LCID均通过加密方法和加密密钥进行加密。OS将原始登录请求数据包使用公共加密算法和公共密钥进行加密，并发送给Server。以此请求登录。

步骤⑤：Server收到VPP的登录请求后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用数据包中指定的加密方法和加密密钥解密得到LCID。Server查询LCID具有的身份和权限，如果合法则接受登录，为OS生成独一无二的随机的会话标记（SessionID）。Server将SessionID与LCID、操作站的IP地址、MAC地址绑定起来，并指定SessionID的有效期。Server根据时间选用新的随机的加密算法和加密密钥，并将SessionID、有效期进行加密生成验证码，再返回给VPP。VPP收到Server的返回后，解密后得到SessionID、有效期，标记已经登录成功。使用该SessionID，请求Server的服务。至此，自动登录完毕。

登录后使用服务的步骤如图2所示。

步骤①：OS使用SessionID向Server请求服务。原始请求数据包包括：加密方法、加密密钥、SessionID、OS的IP地址、OS的MAC地址、请求命令和验证码，OS根据本地时间从服务器随机选取加密方法和加密密钥。用选取的加密方法和加密密钥进行加密后获得SessionID和请求命令，并计算得到验证码。原始请求数据包经过OS使用公共加密算法和公共密钥进行加密，形成请求数据包并发送给Server。

步骤②：Server收到来自OS的请求后，使用公共加密算法和公共密钥进行解密，验证数据包的完整性。完整性验证通过后，使用OS指定的加密方法和加密密钥进行解密，得到SessionID和请求命令。进一步使用SessionID、OS的IP地址和MAC地址进行验证。若验证通过，则根据请求命令提供服务，并返回正响应。若验证未通过，则拒绝服务，返回负响应。返回的响应也通过公共加密算法和公共密钥进行加密。

步骤③：OS接收Server的响应，解密并根据返回的结果进行响应的处理。操作员首先通过登录终端身份验证。验证的具体实现方式可以为：登录终端包括一组DIP开关，操作员拨动DIP开关，通过DIP开关输入一组二进制数，登录终端验证输入身份是否正确。登录终端还可采用指纹识别。操作员事先将指纹信息存储在登录终端中。在验证时，登录终端采集指纹，并进行验证。计算机、智能手机等设备通过USB、蓝牙等通信方式，将密码发送给登录终端，由登录终端进行验证。登录终端可通过以下的通信方式之一与操作站连接：USB，蓝牙，WIFI，RS232串口。

登录终端可以在已有设备上实现：在IC卡、智能卡的基础上添加微处理器、存储器，在智能手机等设备上，以内置的SIM卡或NFC卡为基础实现各种加密算法。

通过以下之一的现有完整性算法实现完整性校验：CRC16，CRC32，MD5。也可以采用私有方法实现。加密方法可通过现有成熟的加密算法的一种或几种的组合来实现。如可为：DES算法，3DES算法，TDEA算法，Blowfish算法，RC5算法，IDEA算法，RSA，Elgamal，背包算法，Rabin，D-H，ECC，也可以通过采用私有的加密算法。

以下举例说明自动登录的实现：

步骤①：如登录终端（LC）的使用密码设为0x03。操作员拨动8位DIP开关，最低两位置为ON，其他置为OFF，形成字节0x03，输入密码与设置的密码符合，LC通过操作员身份验证允许进行后续的操作。

步骤②：LC通过USB接口连接OS计算机。OS中的VPP自动检测到LC，向LC发送读ID请求。该请求中包含：加密方法、加密密钥、读ID命令和验证码4个部分。读ID请求数据包通过服务器（Server）指定的公共加密算法和公共密钥进行加密。

步骤③：LC接收到来自VPP的读ID请求后，使用公共加密算法和公共密钥对数据进行解密，得到VPP转发的数据包。使用加密方法、加密密钥对数据包进行解密。通过验证码检验数据包的完整性。如果验数据包完整，则对读ID命令进行处理，获取存储在只读、非易失存储器中的ID。然后使用VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据。原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码。最后使用公共加密算法和公共密钥对原始响应数据进行加密后，发送给OS。

步骤④：OS收到LC的响应数据后，使用公共加密算法和公共密钥进行解密。

进行完整性校验，进一步使用指定的加密方法和加密密钥解密得到LC的ID（LCID）。获取LCID后VPP验证是否合法，完成对LCID的验证。OS以当前时间为基础，随机选择加密算法和加密密钥，再对LCID进行加密，并形成原始登录请求数据包。原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、LCID、根据原始登录请求数据包中加密密钥、IP地址、MAC地址、LCID采用该加密方法获得的验证码。IP地址、MAC地址、LCID均通过加密方法和加密密钥进行加密。OS将原始登录请求数据包使用公共加密算法和公共密钥进行加密，并发送给Server。以此请求登录。

步骤⑤：Server收到VPP的登录请求后，使用公共加密算法和公共密钥进行解密。并进行完整性校验，进一步使用数据包中指定的加密方法和加密密钥解密得到LCID。Server查询LCID具有的身份和权限，如果合法则接受登录，并为OS生成唯一的随机会话ID（SessionID）。Server将SessionID与LCID、操作站IP地址、MAC地址绑定，并指定SessionID的有效期。Server根据时间选择新的随机的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，再返回给VPP。VPP收到Server的返回后，进行解密得到SessionID、有效期，标记已经登录成功。然后使用该SessionID，请求Server的服务。完成自动登录。

Claims (10)

1.一种工业控制系统自动登录方法，其特征在于，登录终端LC通过USB接口连接操作站OS；OS的验证代理单元VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到验证代理单元VPP转发数据包，如果转发数据包完整，则获取存储在存储器中的ID，使用验证代理单元VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，使用公共加密算法和公共密钥对原始响应数据进行加密后发送给OS；OS收到LC的响应数据后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用指定的加密方法和加密密钥解密得到LC的标识ID，OS再以当前时间为基础，随机选择加密算法和加密密钥，再对ID进行加密，并形成原始登录请求数据包；OS将原始登录请求数据包使用公共加密算法和公共密钥进行加密，并发送给Server；Server收到验证代理单元VPP的登录请求后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用数据包中指定的加密方法和加密密钥解密得到ID；Server为OS生成唯一的随机会话标记SessionID，并将SessionID与ID、操作站IP地址、MAC地址绑定，指定SessionID的有效期；Server在有效期内随机选择新的加密算法和加密密钥对SessionID、有效期进行加密生成验证码返回给验证代理单元VPP，验证代理单元VPP对验证码进行解密得到SessionID、有效期，在有效期内OS使用该SessionID请求Server的服务。

2.根据权利要求1所述的方法，其特征在于，原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码；原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、ID以及根据原始登录请求数据包中加密密钥、IP地址、MAC地址、ID采用该加密方法获得的验证码。

3.根据权利要求1所述的方法，其特征在于，Server将初始公共加密算法和公共密钥预先写入到LC中，LC使用初始的公共加密算法和公共密钥与Server进行加密通信，LC申请公共加密算法和公共密钥，并从Server获取合法的ID。

4.根据权利要求1所述的方法，其特征在于，登录终端在IC卡、智能卡、以及智能手机内置的SIM卡或NFC卡上实现加密算法。

5.根据权利要求1所述的方法，其特征在于，Server收到来自OS的登录请求，通过完整性验证后，使用OS指定的加密方法和加密密钥进行解密，得到SessionID和请求命令，进一步使用SessionID、OS的IP地址和MAC地址进行验证，若验证通过则提供服务，并返回正响应，若验证未通过则拒绝服务，返回负响应。

6.一种工业控制网络自动登录系统，包括：登录终端LC、操作站OS、验证代理单元VPP、服务器Server，其特征在于，LC通过USB接口连接OS；验证代理单元VPP检测到LC，通过服务器指定的公共加密算法和公共密钥对读ID请求数据包进行加密，并向LC发送加密的读ID请求；LC使用公共加密算法和公共密钥对接收到的加密的读ID请求进行解密，得到验证代理单元VPP转发数据包，对转发数据包进行解密，如果数据包完整，则获取存储在存储器中的ID，使用验证代理单元VPP指定的加密方法、加密密钥对ID进行加密，并形成原始响应数据，使用公共加密算法和公共密钥对原始响应数据进行加密后发送给OS；OS收到LC的响应数据后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用指定的加密方法和加密密钥解密得到LC的标识ID，OS再以当前时间为基础，随机选择加密算法和加密密钥，再对ID进行加密，并形成原始登录请求数据包；OS将原始登录请求数据包使用公共加密算法和公共密钥进行加密，并发送给Server；Server收到验证代理单元VPP的登录请求后，使用公共加密算法和公共密钥进行解密，再进行完整性校验，进一步使用数据包中指定的加密方法和加密密钥解密得到ID；Server为OS生成唯一的随机会话SessionID，并将SessionID与ID、操作站IP地址、MAC地址绑定，指定SessionID的有效期，Server在有效期随机选择新的加密算法和加密密钥，并将SessionID、有效期进行加密，生成验证码，返回给验证代理单元VPP，验证代理单元VPP进行解密得到SessionID、有效期，在有效期内OS使用该SessionID请求Server的服务。

7.根据权利要求6所述的系统，其特征在于，原始响应数据包括：加密方法、加密密钥、采用该加密方法和加密密钥进行加密获得的ID、及其验证码；原始登录请求数据包包括：加密方法、加密密钥、IP地址、MAC地址、ID以及根据原始登录请求数据包中加密密钥、IP地址、MAC地址、ID采用该加密方法获得的验证码。

8.根据权利要求6所述的系统，其特征在于，Server将初始公共加密算法和公共密钥预先写入到LC中，LC使用初始的公共加密算法和公共密钥与Server进行加密通信，LC申请公共加密算法和公共密钥，并从Server获取合法的ID。

9.根据权利要求6所述的系统，其特征在于，登录终端在IC卡、智能卡、以及智能手机内置的SIM卡或NFC卡上实现加密算法。

10.根据权利要求6所述的系统，其特征在于，登录终端包括一组DIP开关，通过DIP开关输入一组二进制数作为登录终端输入身份验证码。