|
ODVA宣布，CIP Security（EtherNet/IP的網(wǎng)絡(luò)安全擴(kuò)展）新增了用戶級(jí)別認(rèn)證。之前發(fā)布的CIP Security規(guī)范含有關(guān)鍵安全屬性，包括一組設(shè)備的廣泛信任域、數(shù)據(jù)保密性、設(shè)備認(rèn)證、設(shè)備標(biāo)識(shí)和設(shè)備完整性。CIPSecurity現(xiàn)新增了按用戶和角色劃分的狹義信任域，同時(shí)改進(jìn)了包括用戶在內(nèi)的設(shè)備標(biāo)識(shí)和用戶認(rèn)證。 隨著IT和OT在工業(yè)自動(dòng)化中的融合，控制工程師、IT管理員和維護(hù)操作員安全訪問(wèn)和修改設(shè)備參數(shù)的能力變得越來(lái)越重要。設(shè)備級(jí)安全性是IIoT的基本要求，它可以保護(hù)關(guān)鍵資產(chǎn)和人員免受潛在危害，同時(shí)避免日益嚴(yán)重的財(cái)務(wù)損失。為了滿足這一要求，完備的CIP Security用戶認(rèn)證配置文件（CIP Security User Authentication Profile）將通過(guò)明確定義的角色，以及本地和中央用戶認(rèn)證的基本授權(quán)，為用戶級(jí)認(rèn)證提供固定用戶訪問(wèn)策略。CIP Security通過(guò)設(shè)備或中央服務(wù)器進(jìn)行認(rèn)證的能力不僅使得小型、簡(jiǎn)單的系統(tǒng)變得更簡(jiǎn)潔，還能讓大型復(fù)雜的安裝變得更高效。 CIP Security已包含強(qiáng)大、可靠且開(kāi)放的安全技術(shù)，如TLS（安全傳輸層協(xié)議）和DTLS（數(shù)據(jù)-包傳輸層安全性協(xié)議）；用于提供安全的EtherNet/IP通信， hash或HMAC（密鑰相關(guān)的散列消息認(rèn)證碼）傳輸?shù)募用軈f(xié)議，為EtherNet/IP通信提供數(shù)據(jù)完整性和消息認(rèn)證；以及作為對(duì)消息或信息進(jìn)行編碼的加密方式，以防止未經(jīng)授權(quán)的一方讀取或查看EtherNet/IP數(shù)據(jù)。新的CIP用戶認(rèn)證配置文件為應(yīng)用層的CIP通信提供了用戶級(jí)認(rèn)證。將來(lái)，CIP Security或?qū)⒗肅IP授權(quán)配置文件來(lái)增強(qiáng)CIP功能，以提供更多安全屬性，如通用、靈活的授權(quán)，其中訪問(wèn)策略可基于用戶或系統(tǒng)的任何屬性，并有可能擴(kuò)展CIP Security以支持其他非EtherNet/IP網(wǎng)絡(luò)。 新的用戶認(rèn)證配置文件利用了多種開(kāi)放、通用、無(wú)處不在在的技術(shù)，包括OAuth 2.0和OpenID Connect（加密保護(hù)的基于令牌的用戶認(rèn)證），作為身份認(rèn)證、用戶名和密碼證明的JSON Web令牌（JWT），以及已有的可為用戶和設(shè)備提供加密安全身份的X.509證書(shū)。它使用由目標(biāo)機(jī)在用戶提交有效JWT時(shí)生成的加密的用戶認(rèn)證會(huì)話ID，在認(rèn)證事件和用戶發(fā)送的CIP通信消息之間進(jìn)行映射。用戶認(rèn)證會(huì)話ID由CIP Security保密性配置文件的密碼套件加密, 通過(guò)(D)TLS 和EtherNet/IP進(jìn)行傳輸。 EtherNet/IP系統(tǒng)體系結(jié)構(gòu)特殊興趣小組（SIG）副主席Jack Visoky表示:“用戶認(rèn)證是CIP Security發(fā)展的關(guān)鍵步驟之一，CIP Security是整個(gè)EtherNet/IP工業(yè)通信生態(tài)系統(tǒng)的一部分及關(guān)鍵的網(wǎng)絡(luò)擴(kuò)展。作為深度防御方法的一部分，CIP Security旨在有效地威懾正在尋找破壞工廠運(yùn)營(yíng)目標(biāo)的惡意網(wǎng)絡(luò)攻擊者�！� ODVA總裁兼執(zhí)行董事Al Beydoun博士說(shuō)：”由于基礎(chǔ)設(shè)施和自動(dòng)化系統(tǒng)的互聯(lián)，為保護(hù)全球重要投資和重要產(chǎn)品生產(chǎn)免受惡意網(wǎng)絡(luò)安全攻擊, CIP Security比以往任何時(shí)候都更重要。ODVA將繼續(xù)投資CIP Security和EtherNet/IP的未來(lái)開(kāi)發(fā)，以確保最終用戶免受不良行為者造成的物質(zhì)和財(cái)務(wù)損失�！� 通過(guò)此次更新，CIP Security現(xiàn)在可提供更強(qiáng)大的設(shè)備級(jí)安全性，通過(guò)按用戶和角色劃分的狹義信任域，以及改進(jìn)的包括用戶在內(nèi)的設(shè)備標(biāo)識(shí)和固定用戶認(rèn)證。ODVA將繼續(xù)致力于確保CIP Security處于設(shè)備防御的最前沿，以最好地保護(hù)關(guān)鍵的工業(yè)自動(dòng)化資產(chǎn)，并確保實(shí)現(xiàn)IIoT和工業(yè)4.0的承諾。請(qǐng)?jiān)L問(wèn)odva.org，以獲取含CIPSecurity在內(nèi)的最新版EtherNet/IP規(guī)范。 |
