|
ODVA宣布，CIP Security（EtherNet/IP的網(wǎng)絡(luò)安全擴展）新增了用戶級別認證。之前發(fā)布的CIP Security規(guī)范含有關(guān)鍵安全屬性，包括一組設(shè)備的廣泛信任域、數(shù)據(jù)保密性、設(shè)備認證、設(shè)備標識和設(shè)備完整性。CIPSecurity現(xiàn)新增了按用戶和角色劃分的狹義信任域，同時改進了包括用戶在內(nèi)的設(shè)備標識和用戶認證。 隨著IT和OT在工業(yè)自動化中的融合，控制工程師、IT管理員和維護操作員安全訪問和修改設(shè)備參數(shù)的能力變得越來越重要。設(shè)備級安全性是IIoT的基本要求，它可以保護關(guān)鍵資產(chǎn)和人員免受潛在危害，同時避免日益嚴重的財務(wù)損失。為了滿足這一要求，完備的CIP Security用戶認證配置文件（CIP Security User Authentication Profile）將通過明確定義的角色，以及本地和中央用戶認證的基本授權(quán)，為用戶級認證提供固定用戶訪問策略。CIP Security通過設(shè)備或中央服務(wù)器進行認證的能力不僅使得小型、簡單的系統(tǒng)變得更簡潔，還能讓大型復(fù)雜的安裝變得更高效。 CIP Security已包含強大、可靠且開放的安全技術(shù)，如TLS（安全傳輸層協(xié)議）和DTLS（數(shù)據(jù)-包傳輸層安全性協(xié)議）；用于提供安全的EtherNet/IP通信， hash或HMAC（密鑰相關(guān)的散列消息認證碼）傳輸?shù)募用軈f(xié)議，為EtherNet/IP通信提供數(shù)據(jù)完整性和消息認證；以及作為對消息或信息進行編碼的加密方式，以防止未經(jīng)授權(quán)的一方讀取或查看EtherNet/IP數(shù)據(jù)。新的CIP用戶認證配置文件為應(yīng)用層的CIP通信提供了用戶級認證。將來，CIP Security或?qū)⒗肅IP授權(quán)配置文件來增強CIP功能，以提供更多安全屬性，如通用、靈活的授權(quán)，其中訪問策略可基于用戶或系統(tǒng)的任何屬性，并有可能擴展CIP Security以支持其他非EtherNet/IP網(wǎng)絡(luò)。 新的用戶認證配置文件利用了多種開放、通用、無處不在在的技術(shù)，包括OAuth 2.0和OpenID Connect（加密保護的基于令牌的用戶認證），作為身份認證、用戶名和密碼證明的JSON Web令牌（JWT），以及已有的可為用戶和設(shè)備提供加密安全身份的X.509證書。它使用由目標機在用戶提交有效JWT時生成的加密的用戶認證會話ID，在認證事件和用戶發(fā)送的CIP通信消息之間進行映射。用戶認證會話ID由CIP Security保密性配置文件的密碼套件加密, 通過(D)TLS 和EtherNet/IP進行傳輸。 EtherNet/IP系統(tǒng)體系結(jié)構(gòu)特殊興趣小組（SIG）副主席Jack Visoky表示:“用戶認證是CIP Security發(fā)展的關(guān)鍵步驟之一，CIP Security是整個EtherNet/IP工業(yè)通信生態(tài)系統(tǒng)的一部分及關(guān)鍵的網(wǎng)絡(luò)擴展。作為深度防御方法的一部分，CIP Security旨在有效地威懾正在尋找破壞工廠運營目標的惡意網(wǎng)絡(luò)攻擊者�！� ODVA總裁兼執(zhí)行董事Al Beydoun博士說：”由于基礎(chǔ)設(shè)施和自動化系統(tǒng)的互聯(lián)，為保護全球重要投資和重要產(chǎn)品生產(chǎn)免受惡意網(wǎng)絡(luò)安全攻擊, CIP Security比以往任何時候都更重要。ODVA將繼續(xù)投資CIP Security和EtherNet/IP的未來開發(fā)，以確保最終用戶免受不良行為者造成的物質(zhì)和財務(wù)損失。” 通過此次更新，CIP Security現(xiàn)在可提供更強大的設(shè)備級安全性，通過按用戶和角色劃分的狹義信任域，以及改進的包括用戶在內(nèi)的設(shè)備標識和固定用戶認證。ODVA將繼續(xù)致力于確保CIP Security處于設(shè)備防御的最前沿，以最好地保護關(guān)鍵的工業(yè)自動化資產(chǎn)，并確保實現(xiàn)IIoT和工業(yè)4.0的承諾。請訪問odva.org，以獲取含CIPSecurity在內(nèi)的最新版EtherNet/IP規(guī)范。 |
