[发明专利]一种ModbusTCP协议安全增强方法及系统

说明书

本发明涉及一种ModbusTCP协议安全增强方法及系统，本发明在ModbusTCP协议中使用HMAC算法为工控系统通信数据同时提供身份认证和完整性保护，采用加解密速度比非对称加密算法更快的SM4分组密码算法为工控系统通信数据提供机密性，采用时间戳加随机数并结合随机数集合表更细粒度的防止重放攻击；本发明在保证了可用性的前提下，全面提高了使用ModbusTCP协议的工业控制系统安全性。

技术领域

本发明属于工业控制系统信息安全领域里的ModbusTCP通信协议技术领域，具体涉及一种ModbusTCP协议安全增强方法及系统。

背景技术

工业控制系统已经被广泛地运用到制造、交通、水利、电力、航空航天等各个领域，与我国经济的命脉紧密的联系在一起。随着工业以太网、工业互联网等技术的发展以及信息技术(IT)、运营技术(OT)的深入融合，工业控制系统与互联网的联接也日益频繁，企业为提高经济效益，做到决策精准化、科学化，需要掌握生产现场的实时数据并及时送至云平台进行大数据分析。这导致了原本处于封闭状态的工业控制系统暴露在互联网当中，意味着工业控制系统遭到黑客攻击的几率大幅度增加。

ModbusTCP协议作为一种通用型工业以太网协议，具有开放、简单、高效的特点，在西门子、罗克韦尔、施耐德、和三菱等众多国内外工控厂商生产的工控设备中广泛使用，并广泛应用于智能制造、能源、化工、水务等众多行业领域。同样，ModbusTCP协议也存在机密性、完整性保护缺失、缺乏身份认证等固有问题，导致采用此协议的设备存在较大安全隐患。据统计，在2020年，国内监测到的针对工控协议的攻击中，针对Modbus协议的攻击次数排名第二位。因此有必要针对ModbusTCP协议的安全缺陷从协议和机制两个层面进行安全增强设计，增加工业控制系统抵御风险的能力。

针对ModbusTCP协议中存在的安全问题，相关领域的研究人员也给出了相应的设计与解决方案。这些方案主要存在以下四点不足：第一，有些方案针对ModbusTCP协议中存在的安全问题的防护措施不全面；第二，有些方案对ModbusTCP协议进行全面防护后，使得ModbusTCP协议传输效率明显下降，降低了系统可用性；第三，有些方案基于硬件模块对ModbusTCP协议进行改改进，花费开销较大，导致工业控制系统升级比较困难。第四，有些方案采用国外加解密技术，对于我国信息安全存在潜在的威胁。

发明内容：

针对现有技术的不足，本发明提供了一种ModbusTCP协议安全增强方法；

本发明旨在解决工业控制信息安全领域中ModbusTCP协议缺乏身份认证、完整性检查、数据加解密的缺陷，同时又要保证系统可用性，目的是全面提高ModbusTCP协议应用于工业控制系统的安全性。

本发明使用HMAC-SM3算法同时实现通信双方的双向认证及完整性保护；采用SM4分组密码算法对通信数据进行加密；引入时间戳加随机数结合随机数集合表更细粒度的防止重放攻击。

本发明还提供了一种ModbusTCP协议安全增强系统。

术语解释：

1、逆转法，假设U服从[0，1]区间上的均匀分布，令X＝F-1(U)，则X的累计分布函数(CDF)为F。该方法原理简单、编程方便、适用性广。

2、SM4对称密钥K，是随机生成的长度为16字节的十六进制数据。

3、HMAC算法，是一种利用密码学中的散列函数来进行消息认证的一种机制，可以提供消息完整性认证和身份认证。

4、SM3散列函数，是我国采用的密码散列函数标准，可以将任意长度的消息压缩成固定长度的摘要

5、SM4分组密码算法，是我国自主研发的对称加密算法，用于消息的加解密。

本发明的技术方案为：