工業(yè)互聯網平臺是工業(yè)互聯網體系的核心要素，平臺下連設備、上連應用，其本質是在傳統云平臺的基礎上疊加物聯網、大數據、人工智能等新興技術。當前工業(yè)互聯網平臺的安全威脅復雜多樣，工業(yè)互聯網平臺安全系數較低，存在平臺受攻擊面大、攻擊手段多樣化等問題，平臺的網絡安全、設備和控制的接入安全、應用安全以及數據安全等均面臨較大的挑戰(zhàn)。據中國工業(yè)互聯網產業(yè)聯盟調查數據顯示，在2019年，60%以上的主流工業(yè)互聯網平臺都遭遇網絡安全攻擊事件，其中主要是病毒攻擊、DDoS攻擊和數據庫注入攻擊等。

當前我國工業(yè)互聯網平臺面臨的安全威脅大體可分為幾個方面：

一是網絡安全。由于云計算的網絡邊界比較模糊，使得基于邊界的網絡安全技術變得不適用，而且安全認證機制、訪問控制手段等安全防護力度不足，網絡易受到黑客的APT攻擊、拒絕服務攻擊等，導致辦公內網、工廠內外網、標識解析系統、邊緣計算設備等之間信道的隱私數據泄露。

二是接入安全。邊緣計算的安全防護能力薄弱，如果虛擬化技術安全防范不足，將導致上層系統面臨巨大的安全風險。設備在接入工業(yè)互聯網平臺時，如果不使用密碼手段進行身份鑒別，則不能確保數據來源于真實的設備。同時也需要對運維用戶和工業(yè)App接入進行身份鑒別與訪問控制。

三是數據安全。工業(yè)互聯網平臺匯集和處理大量的敏感數據、隱私數據等，從數據的采集、傳輸、存儲、交換、處理、使用到銷毀的全生命流程都面臨竊聽、篡改的威脅。

針對上述安全問題，傳統的安全防護技術已不能滿足工業(yè)互聯網平臺的需求。密碼技術是保護網絡安全的核心技術和基礎支撐，可通過采用商用密碼算法、密碼硬件產品、密碼軟件模塊、密碼服務、可信計算等手段實現工業(yè)互聯網平臺的接入認證、身份鑒別、訪問控制、通信安全，以及數據的真實性、機密性和完整性保護，通過部署工業(yè)互聯網平臺密碼解決方案，構建縱深防御整體密碼應用體系，確保工業(yè)互聯網平臺的根本安全。

工業(yè)互聯網平臺的典型密碼應用

通過對工業(yè)互聯網平臺的網絡和通信、設備和計算、應用和數據等方面的密碼應用，建設以密碼為核心的云安全保障體系。工業(yè)互聯網平臺密碼應用主要包括密碼基礎設施、通用密碼服務、密碼管理以及邊緣層、IaaS層、PaaS層、SaaS層的密碼應用。

密碼基礎設施層是工業(yè)互聯網平臺密碼應用的基礎支撐。工業(yè)互聯網云密碼服務資源池是利用云密碼設備建設的密碼硬件資源池，支持虛擬化部署，即在多臺物理密碼設備的基礎上云化成密碼資源池，統一管理密碼資源集群，向應用按需提供密碼計算資源和存儲資源服務，在提供基于SM2/3/4/9的國密算法加解密、簽名驗簽、密碼雜湊算法的密碼功能服務的同時提高資源利用率。

通用密碼服務主要包括數字證書系統、密鑰管理系統、隨機數生成器和時間戳等通用性服務。數字證書系統提供數字證書CA、RA的密碼安全服務；密鑰管理系統負責密鑰全生命周期的管理；隨機數生成器根據密碼算法的設定，生成特定長度的隨機數；時間戳是使用數字簽名技術產生的數據，可驗證這段數據在產生后是否經過篡改。通用密碼服務主要是方便IaaS、PaaS、SaaS層典型密碼應用的調用。

密碼管理主要是對密碼服務、密鑰以及訪問控制的管理。云密碼服務系統位于云的硬件環(huán)境中，用戶只能通過遠程管理的方式登錄云密碼服務管理界面。在密鑰的管理上，由于工業(yè)互聯網平臺用戶數量多、數據量大且種類繁多，不同用戶和類型的數據需要不同的密鑰，根據不同等級的安全要求，提供多層次的密鑰隔離機制。訪問控制是云密碼服務接入的關鍵，通過集成證書認證、OAuth認證、OpenID等認證形態(tài)提供多種模式的訪問控制。

在邊緣層，通過部署SSL VPN和IPSec VPN安全網關等，對通信網絡進行安全認證，實現設備的接入認證和用戶的身份鑒別，同時對邊緣采集和處理的數據進行機密性和完整性保護，防止敏感數據泄露或被非授權篡改。

在IaaS層，服務形式一般包括計算資源、存儲資源、網絡資源等，租戶租用的資源相對獨立，且與具體業(yè)務數據無關，所以在IaaS層的密碼應用主要集中在租戶的數據和虛擬機鏡像的加密保護以及用戶的身份鑒別。

在PaaS層，目前常見的服務包括數據庫服務、對象存儲服務、地圖服務、電子合同等，各租戶可根據應用場景的密碼應用需求通過云密碼接入適配中間件進行按需對接使用，主要進行數據加解密、安全認證、授權管理以及協同簽名等密碼應用。

在SaaS層，密碼應用需求可以歸納為用戶安全接入、身份認證、關鍵業(yè)務防抵賴和工業(yè)敏感數據的安全存儲等。比如在敏感的工業(yè)應用程序中，應采用密碼技術提供數據原發(fā)證據和數據接收證據，實現數據原發(fā)行為的抗抵賴和數據接收行為的抗抵賴。

工業(yè)互聯網平臺密碼應用如何發(fā)展

目前我國的工業(yè)互聯網平臺正處于發(fā)展建設階段，而工業(yè)互聯網平臺密碼應用還處于緩慢的起步階段，尤其是國產密碼的使用率較低，市場上與工業(yè)互聯網平臺適配的密碼產品種類較少，定制化的工業(yè)互聯網密碼服務欠缺。因此，為了從根本上保障工業(yè)互聯網平臺安全，布局商用密碼應用，筆者提出以下建議：

加大工業(yè)互聯網密碼應用的監(jiān)管和投入力度。國家應圍繞工業(yè)互聯網平臺的安全需求，繼續(xù)加大對工業(yè)互聯網平臺密碼應用的支持力度，從專項支持、試點示范等方面著力推進工業(yè)互聯網平臺密碼應用。國家應監(jiān)督企業(yè)在建設工業(yè)互聯網平臺時優(yōu)先部署商用密碼算法、產品和服務，進行商用密碼應用安全性評估，確保工業(yè)互聯網平臺密碼應用合規(guī)有效。

建立完善的工業(yè)互聯網密碼標準體系。目前我國的工業(yè)互聯網安全相關標準較少，工業(yè)互聯網密碼相關標準極度匱乏。為了有序推進工業(yè)互聯網產業(yè)發(fā)展，我國應加快搭建包括工業(yè)企業(yè)、商用密碼企業(yè)和研究機構在內的跨領域組織，制定工業(yè)互聯網密碼應用相關的技術標準和行業(yè)標準，促進智能制造、能源等行業(yè)的密碼應用，并且鼓勵制定行之有效的團體標準。

加強工業(yè)互聯網密碼應用的技術攻關。工業(yè)互聯網平臺對虛擬化、保留數據格式加密、同態(tài)加密、輕量級密碼等技術提出了較高的要求，相關企業(yè)和科研機構應加強對上述密碼技術的研究和落地。為了適應云環(huán)境的密碼應用，密碼企業(yè)需研發(fā)與工業(yè)互聯網平臺相適配的密碼產品，提供一體化的工業(yè)互聯網平臺密碼服務，同時可建設密碼安全態(tài)勢感知平臺，從全局視角提升對密碼應用安全的感知。
編輯：hfy