智能制造網(wǎng)APP
智能制造網(wǎng)手機(jī)站
智能制造網(wǎng)小程序
智能制造網(wǎng)官微
智能制造網(wǎng)服務(wù)號
分布式身份認(rèn)證系統(tǒng)是針對工業(yè)控制系統(tǒng)業(yè)務(wù)優(yōu)先的高可用、實(shí)時(shí)性要求，運(yùn)行在工業(yè)互聯(lián)網(wǎng)環(huán)境（例如工業(yè)環(huán)網(wǎng)），為ICS工業(yè)控制系統(tǒng)提供身份認(rèn)證服務(wù)的系統(tǒng)。分布式身份認(rèn)證系統(tǒng)融合公鑰密碼、網(wǎng)絡(luò)冗余架構(gòu)和本地認(rèn)證技術(shù)，能夠提供設(shè)備入網(wǎng)接入認(rèn)證、用戶操作員認(rèn)證、設(shè)備通訊認(rèn)證等身份認(rèn)證服務(wù)。
一、需求概述
傳統(tǒng)PKI信任體系是中心化的，通常由集中的認(rèn)證設(shè)備提供身份認(rèn)證信任服務(wù)，在工業(yè)互聯(lián)網(wǎng)環(huán)境（例如工業(yè)環(huán)網(wǎng)），網(wǎng)絡(luò)以及業(yè)務(wù)架構(gòu)多采用分布式多冗余架構(gòu)設(shè)計(jì)，集中的認(rèn)證網(wǎng)關(guān)無法適用工業(yè)控制系統(tǒng)高可用性要求，因此要求采用去中心化認(rèn)證的架構(gòu)，認(rèn)證過程不依賴于集中的認(rèn)證中心。
分布式身份認(rèn)證系統(tǒng)是針對工業(yè)控制系統(tǒng)業(yè)務(wù)優(yōu)先的高可用、實(shí)時(shí)性要求，運(yùn)行在工業(yè)互聯(lián)網(wǎng)環(huán)境（例如工業(yè)環(huán)網(wǎng)），為ICS工業(yè)控制系統(tǒng)提供身份認(rèn)證服務(wù)的系統(tǒng)。分布式身份認(rèn)證系統(tǒng)融合公鑰密碼、網(wǎng)絡(luò)冗余架構(gòu)和本地認(rèn)證技術(shù)，能夠提供設(shè)備入網(wǎng)接入認(rèn)證、用戶操作員認(rèn)證、設(shè)備通訊認(rèn)證等身份認(rèn)證服務(wù)。
二、功能價(jià)值
分布式身份認(rèn)證系統(tǒng)包括：
1)CA證書認(rèn)證服務(wù)器：負(fù)責(zé)用戶、設(shè)備數(shù)字證書簽發(fā)功能，部署在本部。
2)二級本地證書管理服務(wù)器：提供工控站本地設(shè)備證書目錄存儲及查詢服務(wù)，以及設(shè)備證書安全分發(fā)、證書恢復(fù)等。內(nèi)置PCIE加密卡。
3)證書認(rèn)證代理軟件：運(yùn)行在環(huán)網(wǎng)設(shè)備終端本地，負(fù)責(zé)本地私鑰保護(hù)存儲、以及本地可信證書列表的更新管理。
為了避免因?yàn)榧猩矸菡J(rèn)證服務(wù)器單點(diǎn)故障導(dǎo)致控制設(shè)備無法使用的問題，采用了如下設(shè)計(jì)思路。
1)認(rèn)證過程采用公鑰證書體制。為工業(yè)控制網(wǎng)絡(luò)中每一個(gè)設(shè)備生成一個(gè)設(shè)備標(biāo)識證書，在證書擴(kuò)展字段中記錄設(shè)備的序列號等硬件信息，認(rèn)證過程中需對硬件標(biāo)識進(jìn)行驗(yàn)證。設(shè)備私鑰以軟件或硬件模塊的形式保存到終端設(shè)備中。
2)采用分布式認(rèn)證方式。設(shè)備認(rèn)證過程不依賴集中的身份認(rèn)證服務(wù)器，而是采用設(shè)備本地可信證書庫的方式來實(shí)現(xiàn)對于證書持有者的驗(yàn)證,本地可信證書庫通過二級證書服務(wù)中心設(shè)備進(jìn)行定期動(dòng)態(tài)維護(hù)。
3)認(rèn)證觸發(fā)節(jié)點(diǎn)采用動(dòng)態(tài)選舉機(jī)制。設(shè)備接入認(rèn)證過程由在設(shè)備接入環(huán)網(wǎng)后觸發(fā)，觸發(fā)主機(jī)采用“動(dòng)態(tài)選舉機(jī)制”，保證當(dāng)前只有一臺認(rèn)證節(jié)點(diǎn)和新入網(wǎng)的設(shè)備發(fā)起接入驗(yàn)證。
4)設(shè)備的接入認(rèn)證采用告警機(jī)制，而非阻斷方式。設(shè)備接入環(huán)網(wǎng)未認(rèn)證通過時(shí)，允許以明文方式廣播通信，但是會在監(jiān)控程序觸發(fā)“未認(rèn)證”的持續(xù)告警狀態(tài)，未認(rèn)證狀態(tài)的設(shè)備，可以根據(jù)業(yè)務(wù)軟件的策略，限制其部分功能使用。
- 安全認(rèn)證
- 應(yīng)用系統(tǒng)單點(diǎn)登錄
- 組織和用戶管理
- 用戶目錄
- 管理
- 審計(jì)管理
- 自助服務(wù)
統(tǒng)一身份認(rèn)證系統(tǒng)主要包括多種認(rèn)證方式、單點(diǎn)登錄、管理、用戶管理、日志設(shè)計(jì)等功能。說明如下：
用戶要訪問應(yīng)用系統(tǒng)之前，先要到統(tǒng)一身份認(rèn)證系統(tǒng)上進(jìn)行身份驗(yàn)證，通過驗(yàn)證之后，用戶才有權(quán)限訪問內(nèi)部的應(yīng)用系統(tǒng)，這樣極大的減少了企業(yè)內(nèi)部各系統(tǒng)之間相互獨(dú)立認(rèn)證而引發(fā)的各種安全隱患。
系統(tǒng)需支持靜態(tài)口令校驗(yàn)、數(shù)字證書、圖片檢驗(yàn)碼、手機(jī)短信、二維碼登錄等認(rèn)證方式，并可以擴(kuò)展指紋、人臉、指靜脈等多種認(rèn)證方式，需具備對多種認(rèn)證手段的接入和管理能力，并支持對各類認(rèn)證手段進(jìn)行封裝，對外統(tǒng)一發(fā)布認(rèn)證服務(wù)
用戶只需登錄一次就可訪問其所有有權(quán)訪問的系統(tǒng)。通過統(tǒng)一身份認(rèn)證系統(tǒng)的認(rèn)證后，即可訪問其有權(quán)限的所有應(yīng)用系統(tǒng)，用戶無需再輸入原有系統(tǒng)的登錄密碼。
簡化了用戶的登錄過程，而且也無需再記憶大量的密碼，方便用戶對系統(tǒng)的訪問。統(tǒng)一身份認(rèn)證系統(tǒng)支持基于SAML、token令牌、表單代填等多種單點(diǎn)登錄集成方式。
系統(tǒng)支持對于統(tǒng)一認(rèn)證內(nèi)組織機(jī)構(gòu)及用戶的集中管理，能夠?qū)崿F(xiàn)用戶和組織機(jī)構(gòu)樹的增加，刪除，修改，查詢操作。支持不同機(jī)構(gòu)數(shù)據(jù)的分級管理。
系統(tǒng)支持標(biāo)準(zhǔn)的LDAP目錄發(fā)布功能，能夠?qū)⒂脩艉徒M織機(jī)構(gòu)數(shù)據(jù)發(fā)布到LDAP目錄上，建立統(tǒng)一的用戶數(shù)據(jù)來源，并提供標(biāo)準(zhǔn)接口供第三方應(yīng)用進(jìn)行訪問，可實(shí)現(xiàn)替換微軟AD目錄。
系統(tǒng)能夠提供多維度的權(quán)限管理功能。支持基于應(yīng)用/角色進(jìn)行入口級，支持基于角色實(shí)現(xiàn)策略?？蓪τ脩暨M(jìn)行分級管理，設(shè)定不同級別的系統(tǒng)管理員，本級的管理員只能管理本級的用戶，并為用戶分配權(quán)限，不能管理其他組的用戶。
系統(tǒng)管理員實(shí)時(shí)監(jiān)測用戶對企業(yè)各應(yīng)用系統(tǒng)的訪問狀態(tài)，及時(shí)發(fā)現(xiàn)非法訪問事件，對系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)控審計(jì)，增強(qiáng)系統(tǒng)可維護(hù)性。例如：用戶操作信息、用戶登錄登出信息、用戶管理信息、管理信息等統(tǒng)計(jì)報(bào)告。
提供用戶自助服務(wù)功能，支持用戶自助進(jìn)行修改密碼、應(yīng)用查看、個(gè)人信息維護(hù)等操作。
圖 工業(yè)控制網(wǎng)絡(luò)密碼安全設(shè)備拓?fù)鋱D
- =============內(nèi)容區(qū)4==============
