[发明专利]一种安全接入网关及工业设备通信管理方法

说明书

本发明实施例提供了一种安全接入网关及工业设备通信管理方法，涉及通信技术领域。安全接入网关包括证书管理模块，接收到外部设备的证书申请请求时，对外部设备进行身份验证，当验证通过时为外部设备申请数字证书；身份认证模块，接收到外部设备的接入请求时，对携带的数字证书进行验证；票据管理模块，接收到数字证书验证通过的消息时，生成访问票据并返回给外部设备；访问控制模块，接收到外部设备的访问请求时，对携带的访问票据以及API进行验证，当验证通过时向工业设备发送API执行请求，并返回执行结果。本发明使用票据访问，显著提升了身份认证与访问控制效率，且对外部设备的身份与访问API进行严格检查，保障了认证安全。

技术领域

本发明涉及通信技术领域，尤其涉及一种安全接入网关及工业设备通信管理方法。

背景技术

工业互联网作为新一代信息技术与制造业深度融合的产物，通过对人、机、物的全面互联，构建起全要素、全产业链、全价值链全面连接的新型生产制造和服务体系，是数字化转型的实现途径，是实现新旧动能转换的关键力量。工业互联网作为“新基建”的七大领域之一，其重要性上升到一个新的高度。

工业互联网是工业数字化转型的承载与外在表现。工业互联网的核心原理是：数据驱动物理系统与数字空间互联协同。数据是工业互联网的灵魂，呈现出自下而上从设备层、边缘层到企业层、产业层的南北向流动与每个层次内部的东西向流动之特点。网络互联、系统互通数据加速流动的同时，也产生了若干数据安全风险。

工业互联网平台的安全风险。目前典型的工业互联网平台自下而上依次包括设备层、边缘层、企业层和产业层，随着设备入网以及产业协同日益频繁，安全威胁也逐步增长，设备层安全威胁主要表现在：用户非法登录现场设备，外部设备非法接入工控网络，指令被篡改、重放等安全威胁，并且这些安全威胁会以OT（Operational Technology，运营技术）网络为跳板进一步蔓延到IT（Information Technology，信息技术）网络。

目前工业互联网场景中，外部设备与内网工业设备通信时，多采用数字证书认证和用户名口令认证方式对外网设备进行认证。但现有技术中由于数字证书认证机制问题，导致认证效率很低、延时长，影响业务操作。而用户名口令认证方式容易被冒用，安全隐患极大，攻击者可以采用观察、拦截、试探等多种方式，获取用户名口令，假冒用户请求数据。

发明内容

本发明提供一种安全接入网关及工业设备通信管理方法，解决现有技术中外部设备与内网工业设备通信认证方式存在效率低、安全性差的问题。

在本发明实施的第一方面，提供了一种安全接入网关，包括：

证书管理模块，用于接收到工业互联网外部设备上传的证书申请请求时，对所述外部设备进行身份验证，当所述外部设备身份验证通过时，为所述外部设备申请数字证书，并将获得的数字证书返回给所述外部设备；

身份认证模块，用于接收到外部设备上传的接入请求时，对所述接入请求中携带的数字证书进行验证，当所述接入请求中携带的数字证书验证通过时，将验证通过的消息发送给票据管理模块；

票据管理模块，用于接收到所述身份认证模块发送的验证通过的消息时，为所述外部设备生成访问票据，并将所述访问票据返回给所述外部设备；

访问控制模块，用于接收到外部设备上传的访问工业互联网内部设备的应用程序接口API的访问请求时，对所述访问请求中携带的访问票据以及API信息进行验证，当所述访问请求中携带的访问票据以及API信息均验证通过时，向访问的工业互联网内部设备发送API执行请求，并将API执行结果返回给所述外部设备。

优选的，所述证书申请请求中携带有外部设备的设备信息以及待访问的API信息；