2020工业互联网标识解析安全白皮书.pdf

工业互联网标识解析 安全白皮书（2020） 工业互联网安全系列研究报告 国家工业信息安全发展研究中心 CHINA INDUSTRIAL CONTROL SYSTEMS CYBER EMERGENCY RESPONSE TEAM 工业信息安全产业发展联盟 National Industrial Security Industry Alliance 版权申明 本白皮书版权属于国家工业信息安全发展研究中心和工 业信息安全产业发展联盟，并受法律保护。转载、摘编或利用 其它方式使用本白皮书文字或观点的，应注明“来源：国家工 业信息安全发展研究中心和工业信息安全产业发展联盟”。 违反上述声明者，将追究其相关法律责任。 国家工业信息安全发展研究中心（工业和信息化部电子 第一研究所）简称国家工信安全中心，是工业和信息化部直 属事业单位，是我国工业领域国家级信息安全研究与推进机 构。为加快推进工业信息安全技术研发和保障能力建设，更 好地推动工业信息安全事业发展，国家工信安全中心于2018 年9月成立保障技术所。 自成立以来，保障技术所始终坚持贯彻落实总体国家安 全观，以护航制造强国和网络强国建设为重点，围绕新一代 信息技术与制造业融合带来的安全需求，以“风险可发现、可 防范、可处置”为保障目标，面向工业控制系统、工业互联网、 工业云、工业大数据、新一代信息技术等领域开展核心安全 技术攻关，2018年以来承担40余个工控安全、工业互联网安 全专项和重大课题，构建保障技术平台和专业技术力量，有 力支撑主管部门完成工控安全、工业互联网安全等相关监督 指导工作，帮助工业互联网企业提升安全保障能力。保障技 术所建立了扎实的技术与服务能力，包括工业信息安全技术 保障平台建设、工业信息安全实验室建设支撑、工业互联网 安全技术服务与咨询、工业互联网数据安全监测与防护、工 业数据安全交换共享、工业互联网标识解析建设与安全认 证、标准研究与对标评估、安全评估评测等。 序 国家工业 信息 安全发展研究 中心 保障技术所联合业界单位，推出了工业互联网平台安 全工业互联网边缘计算安全工业互联网标识解析安 全工业互联网数据安全等系列白皮书，可为业界开展工 业互联网安全相关工作提供参考。由于成稿仓促，加之水平 有限，报告中难免有疏漏和错误之处，恳请批评指正。在此 对于给予白皮书编制和发布等提供指导、支持、帮助的单位 和个人一并表达感谢。 编写组 2020年12月 工业互联网标识解析是工业互联网的重要网络基础设 施，为工业设备、机器、物料、零部件和产品提供编码、注册与 解析服务，并通过标识实现对异主、异地、异构信息的互联互 通、安全共享及智能关联，是实现工业互联网快速发展的重要 基石。我国高度重视工业互联网标识解析自主可控发展，积极 建设国际根节点、国家顶级节点与二级节点。国家陆续印发国 务院关于深化“互联网+先进制造业”发展工业互联网的指导 意见、工业互联网发展行动计划（2018-2020年）、工业 互联网网络建设及推广指南等系列文件指导工业互联网标 识解析建设，并同步强调安全保障能力，2019年工信部发布 关于加强工业互联网安全工作的指导意见，要求标识解析 系统的建设运营单位同步加强安全防护技术能力建设，确保 标识解析系统安全运行。 随着工业互联网的快速发展，工业互联网标识数量将数 以千亿计，并发解析请求可达千万量级，如此大量级的标识解 析服务需求对安全保障能力提出了非常高的要求，标识解析 安全是工业互联网安全的重要建设内容。为了保证工业互联网 的稳定运行，标识解析系统中的数据在传递过程中需提供完 整性和一致性保护，对于敏感数据，还需提供机密性和隐私 性保护，对于标识解析系统数据的更新，还需具备数据源认证 能力以及对标识解析数据的访问控制能力。亟需综合各类安 全技术对标识解析的开放式架构与协议进行加固改造，加强 白皮书编写说明 国家工业 信息 安全发展研究 中心 对工业互联网标识解析服务节点的规模化跨域认证和标识数 据、服务的信息保护，支持工业互联网标识解析业务单位身份 管理、访问控制、安全认证、安全防护功能以及保障工业互联 网标识解析节点批量接入认证能力。实现对标识的隐私保护、 源认证、可查询性、数据完整性校验、密钥管理等能力，支持对 标识解析请求端的基于身份、属性等方式的细粒度访问控制 等能力，提升标识解析的安全性。 在这样的背景下，国家工业信息安全发展研究中心会同工 业信息安全产业发展联盟组织编写了工业互联网标识解析 安全白皮书（2020），希望提高业界对工业互联网标识解析 安全风险及相关防护技术的重视和共识，以推动工业互联网 标识解析安全发展，为工业互联网健康发展保驾护航。 白皮书主要分为五个部分。第一部分为概述，主要介绍典 型的标识解析技术、工业互联网标识解析的政策支持情况以 及整体建设情况。第二部分介绍了工业互联网标识解析安全 现状及建设意义。第三部分描述了工业互联网标识解析的安 全特征和安全挑战。第四部分提出了工业互联网标识解析安 全框架，以标识解析流程为主线，从防护对象、安全角色、脆 弱性与威胁、防护措施以及安全管理等视角进行介绍，此框架 全面梳理了工业互联网标识解析安全的各方面内容，可对安全 保障能力建设提供参考。第五部分分析了工业互联网标识解 析安全所涉及的关键技术。第六部分对工业互联网标识解析 安全进行了展望。 编写组 主编：主编：陈雪鸿、李俊 编写单位和成员：编写单位和成员： 国家工业信息安全发展研究中心国家工业信息安全发展研究中心 杭州海康威视数字技术股份有限公司 杭州海康威视数字技术股份有限公司王滨、王星 中国科学院信息工程研究所 中国科学院信息工程研究所熊刚、苟高鹏 深圳奥联信息安全技术有限公司 深圳奥联信息安全技术有限公司程朝辉、蔡先勇 广州大学 广州大学殷丽华、李超 亚信科技（成都）有限公司 亚信科技（成都）有限公司刘东红、吴天飞 奇安信集团 奇安信集团王 弢 、崔君荣 北京电子科技学院 北京电子科技学院姚栋、阎亚龙、赵洪 北京三未信安科技发展有限公司 北京三未信安科技发展有限公司高志权、高嵩 北京炼石网络技术有限公司 北京炼石网络技术有限公司白小勇、岳小杰 航天信息股份有限公司 航天信息股份有限公司宁红宙、王永宝 任子行网络技术股份有限公司 任子行网络技术股份有限公司沈智杰 鹏城实验室 鹏城实验室乔延臣 王冲华、余果、周昊、樊 佩茹、林晨、李红飞、刘 东东、张雪莹、李耀兵、 杨帅锋、王允成、江浩、 张莹 国家工业 信息 安全发展研究 中心 哈尔滨工业大学（威海） 哈尔滨工业大学（威海）王佰玲、刘扬 威海天之卫网络空间安全科技有限公司 威海天之卫网络空间安全科技有限公司刘红日、孙云霄 北京天融信网络安全技术有限公司 北京天融信网络安全技术有限公司张超 北京亚鸿世纪科技发展有限公司 北京亚鸿世纪科技发展有限公司古元 大唐微电子技术有限公司 大唐微电子技术有限公司王勇、贾小勇 阿里云计算有限公司 阿里云计算有限公司郑景鑫、宋林健 北京邮电大学 北京邮电大学谢人超、黄韬 北京交通大学 北京交通大学陶耀东 中国电子科技网络信息安全有限公司 中国电子科技网络信息安全有限公司滕斌、曹国江 北京天地和兴科技有限公司 北京天地和兴科技有限公司宋晓龙 中国移动通信集团山东有限公司威海分公司 中国移动通信集团山东有限公司威海分公司战明明、姜成恒 杭州安恒信息技术股份有限公司 杭州安恒信息技术股份有限公司冀宗玉 博智安全科技股份有限公司 博智安全科技股份有限公司傅涛、郑轶 中国电子技术标准化研究院 中国电子技术标准化研究院陈勇、刘小慧 一、工业互联网标识解析概述 （一）工业互联网标识解析体系架构 （二）典型标识解析技术 （三）我国工业互联网标识解析政策支持情况 （四）我国工业互联网标识解析整体建设情况 （五）研究内容和范畴 二、工业互联网标识解析安全现状与建设意义 （一）主流标识解析框架安全防护能力分析 （二）工业互联网标识解析安全保障能力建设意义 三、工业互联网标识解析安全需求特征和挑战 （一）工业互联网标识解析安全需求特征 （二）工业互联网标识解析安全挑战 四、工业互联网标识解析安全框架 （一）业务流程视角 （二）防护对象视角 （三）安全角色视角 （四）脆弱性与威胁视角 （五）防护措施视角 （六）安全管理视角 1 12 17 26 1 3 7 9 10 13 15 18 22 27 27 29 30 35 41 目录 CONTENTS 国家工业 信息 安全发展研究 中心 五、工业互联网标识解析安全关键技术 （一）标识解析建设安全 （二）标识解析国密融合 （三）标识解析安全接入 （四）标识解析访问控制 （五）标识解析数据治理 （六）标识解析威胁检测 （七）标识解析网络测量 （八）标识解析监测审计 （九）标识解析安全编排 （十）标识解析安全代理 （十一）标识解析云化安全 六、工业互联网标识解析安全发展展望 （一）围绕安全运营、顶层设计、政策指导、标准引领等 方面建立健全工业互联网标识解析安全管理机制 （二）从完整性、健壮性、服务质量等方面加快提升工业 互联网标识解析安全评估能力 （三）着眼统一整体与各层细节等角度建设工业互联网 标识解析安全风险监测体系 （四）着力安全技术新应用、新技术赋能标识解析安全、 标识解析助力工业互联网安全等方向推进工业互联网 标识解析安全技术创新 （五）从人才培养、产业链协同、生态创新等方面促进工 业互联网标识解析安全产业创新发展 43 44 45 45 47 47 49 49 50 51 51 52 53 53 54 55 55 57 工业互联网标识解析安全白皮书（2020 ） 一、工业互联网标识解析概述 工业互联网标识解析是工业互联网实现全要素互联互工业互联网标识解析是工业互联网实现全要素互联互 通的重要网络基础设施，通的重要网络基础设施，为工业设备、机器、零部件和产品 提供编码、注册与解析服务，是平台、网络、设备、控制、数据 等工业互联网关键要素实现协同的“纽带”。类似域名解析系 统DNS之于互联网，工业互联网标识解析是工业互联网的神 经中枢，是整个网络互联互通、资源调度、生产协调的重要基 础设施。然而，工业互联网的发展对标识解析提出更高的要 求。一方面标识的对象更为广阔。随着工业互联网的发展，需 要标识的对象已从以往的域名，延伸到一个身份、一个零部 件、一个产品、一个作品、一个交易、一个服务等更为具体、 更为广阔的对象。另一方面信息的管理更为复杂多变。由于工 业互联网中对象的多样性，使得标识相对应的信息结构更加 复杂多变，因此标识层的信息管理需要扩展以支持数据安全 交互与安全共享。 | 1 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） （ 一 ）工 业 互 联 网 标 识 解 析 体 系 架 构 目前全球存在多种标识解析技术，我国工业互联网 标识解析体系采用以DOA技术为核心、兼容Handle、 OID、Ecode、GS1等主流标识技术的融合型方案，其架构由 国际根节点、国家顶级节点、二级节点、企业节点和递归节点等 要素组成。其中，国际根节点国际根节点是指标识解析体系的最高层级 服务节点，一方面不限于特定国家或地区提供面向全球范围 公共的根层级的标识服务，另一方面面向国内不同层级节点 提供数据同步与注册解析等服务。国家顶级节点国家顶级节点是指一个国 家或地区内部的顶级节点，其与国际根节点及二级节点连接， 面向全国范围提供顶级标识解析服务。二级节点二级节点是面向特定 行业或者多个行业提供标识服务的公共节点，负责为工业企 业分配标识编码及提供标识注册、标识解析、标识数据服务 等，其分为行业二级节点和综合类二级节点两种类型。企业节企业节 点点是指一个企业内部的标识服务节点，能够面向特定企业提 供标识注册、标识解析服务、标识数据服务等，并与二级节 点连接。递归节点递归节点指标识解析体系的关键性入口设施，负责 对标识解析过程中的解析数据进行缓存等操作，减小解析 数据处理量，提高解析服务效率。我国工业互联网标识解析 整体架构如下图1所示。 2 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） （ 二 ）典 型 标 识 解 析 技 术 目前，国内外现存多种标识解析技术，根据其演进方式 可分为DNS域名解析技术、基于改良路径的标识解析技术、 基于革新路径的标识解析技术三类。 1.DNS域名解析技术域名解析技术 DNS标识解析是一种分布式网络目录服务，主要用于将 服务器名称和IP地址进行关联，实现域名与IP地址的相互转 换。域名系统定义了网络设备的命名语法和规范，以利于通 过名称委派域名权限，通过使用DNS的命名方式来为遍布全 球的网络设备分配域名。 国际根节点 企业 节点 企业 节点 企业 节点 企业 节点 国家顶级节点 标识解析数据与应用 Handle 根节点 Ecode 根节点 DNS 根节点 OID 根节点 递归节点 二级节点 二级节点 工业APP 工业互联网平台 企业信息系统 图 1. 工业互联网标识解析体系架构 | 3 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） DNS采用层次树状命名方法，不同层次之间用点“.”分 隔：主机名.次级域名.顶级域名.根域名，每一个域名服务器 只对域名体系中的一部分进行管辖，采用递归或迭代的查 询方式提供解析服务，广泛应用于Web和电子邮件等应用之 中。域名与地址管理机构ICANN具有域名系统管理、IP地 址分配、协议参数配置以及主服务器系统管理等职能，现由 IANA和其他实体与美国政府约定管理。中国互联网络信息 中心CNNIC是我国域名注册管理机构和域名根服务器运行 机构，负责运行和管理国家顶级域名、中文域名系统，提 供域名注册、域名解析和WHOIS查询等服务。 2.基于改良路径的标识解析技术基于改良路径的标识解析技术 基于改良路径的标识解析技术通过对现有DNS架构进 行扩充，以DNS上层应用的形式提供工业互联网标识解析服 务。典型的架构包括：对象标识符（Object Identier，OID） 技术、产品电子代码（Electronic Product Code，EPC）技 术、物联网统一标识（Entity code for IOT，Ecode）技术等。 OID标识解析由ISO/IEC与ITU-T国际标准化组织于 上世纪80年代联合提出，采用分层树形结构，其编码由一 系列数字、字符或符号组成，层数无限制，支持对用户、网络 服务及其它物理或逻辑对象等进行唯一命名。其解析系统 采用递归解析方式，需依托DNS，通过域名与名称权威指针 （Naming Authority Pointer，NAPTR）记录完成解析操 4 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 作。在安全方面，解析客户端可以选择是否使用DNSSEC，目 前未提供其它安全保障方案。OID技术已在信息安全、医疗 卫生、网络管理等领域有应用实践。 EPC技术于1999年由美国麻省理工学院Auto-ID中心 （现为EPCglobal，属于GS1组织）首次提出，EPC标签数据 标准（TDS）规定了其数据格式与编码方案。EPC解析系统采 用迭代解析方式，同样依托DNS，通过NAPTR记录完成解 析。EPC系统主要从EPC、EPC标签和读取器、服务发现、网 络信息四个方面增强其安全性。EPCglobal在中国的分支机 构由中国物品编码中心负责成立，为国际EPCglobal系统成员 提供服务，负责制定EPC物联网标准以及EPC码在中国的分 配与管理。 Ecode技术由中国物品编码中心主导、中国自主研发，编 码为层次编码结构，由多段数字组成，可用于标识物联网对 象。采用迭代解析方式，依托DNS，通过NAPTR记录提供 解析服务。在安全方面，除使用DNS安全增强外，Ecode编 码中含校验码。目前，该标识技术已在产品追溯查询、防伪验 证、产品营销等领域有应用实践。 总体而言，基于改良路径的系统便于实现且部署较快， 仅需在现有的DNS架构上进行扩展便可提供解析服务。但将 其应用于工业互联网场景会使得大量请求涌入DNS服务，可 能导致DNS系统过载，对DNS系统的正常运行造成影响。 | 5 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 3.基于革新路径的标识解析技术基于革新路径的标识解析技术 基于革新路径的标识解析技术不依托于DNS，而是 直接基于TCP协议或UDP协议进行服务的新型标识技术， 如数字对象标识解析技术（DOA/Handle）、泛在识别技术 （Ubiquitous ID，UID)。 DOA/Handle技术是基于数字对象理念的下一代 全球分布式标识服务与数据管理体系框架，由互联网之 父Robert Kahn于1994年提出，目前由DONA基金会维 护。Handle标识解析体系能够为网络中的数字对象提供永 久标识、动态链接和数据安全治理等基础服务。Handle具 有全球唯一两段式结构码，即全球统一管理的Handle前 缀和自定义编码（后缀），这两部分用“/”分隔，其可兼容 OID、Ecode、GS1、DNS、UID等标识技术。Handle具有 独立解析体系，标识解析系统由国际并联根节点（GHR）、 辅根节点（ARS）、行业节点（LHS1）、下级的各授权节点 （LHSn）、缓存/递归解析服务节点等组成，可作为现有互联 网的扩展、并与其完全兼容，从Handle编码解析到信息所 在服务器或设备的IP地址，最后解析到具体信息。在安全方 面，Handle具有部分内嵌的安全机制，能够自主管理信息、 访问权限及用户身份等，保证信息的安全与可控，具备用户 数据主权保护能力，不依赖于任何平台、系统、数据库。目前 中国部署有自主可控的全球Handle根节点及下级节点网络体 6 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 系，由国家工业信息安全发展研究中心（CIC）牵头的“MPA 中国联合体”全权负责管理和运营，Handle技术在国内已经 成功应用在产品溯源、供应链管理、智慧城市、工业互联网等 领域。 UID技术通过泛在标识编码（ucode）标识客观实体、 空间、地址、概念等物理或逻辑对象，并通过关系模型为 ucode间建立关联。命名空间采用分层结构进行管理，由顶级 域和二级域两层组成，每个编码长度固定，由版本、顶级域 代码、类代码、二级域代码和标识码5个字段组成。ucode采 用递归解析方式，其解析系统由关系数据库节点、关系数据 库前端、关系词汇引擎和信息服务4个核心组件组成。该技术 主要应用于日本实时操作系统内核项目，为场所和物品植入 的IC电子标签分配唯一的标识编码。 基于革新路径的系统一方面弥补了现有DNS技术安全 设计上的部分缺陷，另一方面其服务较为轻便，更契合工业 互联网场景。然而革新路径难以利用现有基础设施，需重新 部署，所以建设成本较高、周期较长。 （三）我国工业互联网标识解析政策支持情况 工业互联网标识解析体系建设是我国工业互联网建 设的重要任务，我国积极推进标识解析国际根节点、辅根 节点、国家顶级节点、二级节点建设，同时高度重视安全保 障能力建设。2017年，国务院发布关于深化“互联网+先 | 7 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 进制造业”发展工业互联网的指导意见将“推进标识解 析体系建设”列为主要任务之一，提出“加强工业互联网标 识解析体系顶层设计，制定整体架构”，“构建标识解析 服务体系，支持各级标识解析节点和公共递归解析节点建 设”，明确指出“重点突破标识解析系统安全”。各地方也 将标识解析体系建设作为落实工业互联网创新发展战略、 加快数字化转型的重要抓手。2018年，工业和信息化部设 立了工业互联网专项工作组并印发工业互联网发展行动 计划（2018-2020年）提出以供给侧结构性改革为主线， 以全面支撑制造强国和网络强国建设为目标，着力建设先 进网络基础设施，打造标识解析体系，发展工业互联网平 台体系，同步提升安全保障能力，突破核心技术。2019年1 月，工信部发布工业互联网网络建设及推广指南提出在 2020年初步构建工业互联网标识解析体系，建设一批面向 行业或区域的标识解析二级节点以及公共递归节点，制定 并完善标识注册和解析等管理办法，标识注册量超过20 亿。2019年8月，工信部等十部门发布加强工业互联网安 全工作指导意见，要求标识解析系统的建设运营单位同步 加强安全防护技术能力建设，确保标识解析系统的安全运 行；地方通信管理局监管本行政区域内标识解析系统、公 共工业互联网平台等的安全工作。2019年12月工信部发布 工业互联网企业网络安全分类分级指南（试行）将工业 8 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 互联网企业分为三类，其中标识解析系统建设运营机构是主 要的工业互联网基础设施运营企业。2020年3月工信部发布 关于推动工业互联网加快发展的通知将增强完善工业互 联网标识体系作为加快新型基础设施建设的四大方向之一， 将标识解析等新技术的应用纳入企业上云政策支持范围。 （四）我国工业互联网标识解析整体建设情况 根节点建设方面，根节点建设方面，2014年，国家工业信息安全发展研究 中心-北京中数创新-北京西恩多纳（CIC-CDI-CHC）联合 体成为首个全球MPA（Handle标识解析全球根节点所在国 家管理机构），可自主行使Handle资源顶级管理权限，负责 推进部署中国的Handle全球根节点管理、建设、运营和应用 推广等工作。我国同步推进基于Handle、OID等多种标识解 析技术的工业互联网标识解析国际根节点建设。2019年10 月，DONA理事会2019年会和第六届国际根节点MPA协调 组会议在北京召开，来自美国、中国、德国、英国、沙特和ITU （国际电信联盟）等的各国MPA代表出席，从会议了解，其 他MPA国家的标识解析应用到工业互联网的较少，与其他国 家相比，我国工业互联网标识解析建设起步较早，推广应用 度最高。 顶级节点建设方面，顶级节点建设方面，2018年底，北京、上海、广州、 武汉、重庆等地市政府与相关单位签署合作协议，共同 推动工业互联网标识解析体系顶级节点建设工作，融合 | 9 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） Handle、DNS、OID、Ecode等多种标识解析方案，并同步开 展了多个典型行业二级节点和行业应用示范。2019年10月由 国家工业信息安全发展研究中心主办的国际DOA技术应用 论坛在北京召开，论坛开幕式上举行了“工业互联网根顶对 接和Handle二级节点启动建设仪式”，标志Handle标识解析 国际根节点与国家顶级节点的对接国际根节点与国家顶级节点的对接迈向新的阶段。目前，五个 国家顶级节点与Handle国际根节点、OID国际标识体系等已 经实现互联互通，可与国际工业互联网标识解析体系接轨。 二级节点与企业节点方面，二级节点与企业节点方面，截至2020年10月，我国已上线 运行工业互联网标识解析二级节点75个，覆盖航天装备、建 筑材料、食品、装备制造、工业配件、船舶制造、定制家居等 20多个行业以及综合行业，标识注册量突破73亿，接入企业 超过6500家，工业互联网标识解析生态初显。国家工业信息 安全发展研究中心连续两年对Handle服务节点状况进行应用 及安全状况评估，监测数据显示，2020年初我国Handle运行 节点达172个，同比去年年初增加5倍。 （ 五 ）研 究 内 容 和 范 畴 本白皮书立足工业互联网标识解析在海量数据管理、服 务质量保障、跨域访问管控、多标识体系兼容、安全机制扩 展等方面的安全需求特征，分析当前标识解析面临的安全挑 战。以标识解析业务流程视角为主线，从防护对象、安全角 10 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 色、脆弱性与威胁、防护措施以及安全管理等视角出发，明 确防护对象，厘清安全角色，针对架构、协议、身份、数据、 运营、应用六个方面分析工业互联网标识解析体系脆弱性与 威胁，梳理安全防护措施，提出工业互联网标识解析安全 框架。最后，针对工业互联网标识解析安全现状及面临的风 险，汇编总结标识解析安全关键技术，展望标识解析安全发 展路径。 | 11 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 二、工业互联网标识解析安全现状 与建设意义 工业互联网推动当前以“人与人”连接为核心的互联网 走向“人-机-物”全面互联，极大扩展了网络空间的边界和功 能，打破了工业控制系统传统的封闭格局，使工业互联网控制 层、设备层、网络层、标识解析层、平台层等安全问题大量暴 露出来，线上线下安全风险交织叠加放大，给安全防护能力 建设带来了新的挑战。 国家工业信息安全发展研究中心发布的2019年工业信 息安全态势展望报告显示，目前网络安全风险不断向工业领 域转移，安全形势愈加复杂，风险日益加大，工业互联网正 在成为网络安全的主战场。作为工业互联网的关键“纽带”， 标识解析也将成为攻击的重点目标。DNS因其应用时间久、 应用规模广，是当前标识体系安全事件频发的主要对象。工 业互联网标识解析体系正处于高速发展，类似DNS之于互联 网，工业互联网标识解析是工业互联网重要信息基础设施， 其受攻击的影响范围更广，需保障其安全性。接连发生的乌 克兰停电事件、美国Dyn公司域名系统瘫痪事件及“永恒之 蓝”病毒肆虐全球已经为我们敲响警钟。 12 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） （一）主流标识解析框架安全防护能力分析 1.DNS安全防护能力分析安全防护能力分析 DNS协议在设计之初并未考虑太多安全因素，导致DNS 服务的安全性在互联网环境日益复杂的当今备受挑战，面临 劫持、隐私泄露、缓存投毒、中间人攻击、反射攻击等风险。 当前提出多种安全协议增强DNS安全。DNSSEC使用签 名技术保证DNS报文完整性和真实性，作用于递归服务器 与各级权威服务器之间。DoT和DoH对报文进行加密传输， 作用于客户端与递归服务器之间，通过代理的方式将客户端 的产生的DNS流量进行加密。根据IETF标准RFC7830，通 过DNS数据填充，防止根据固定大小的DNS查询应答来推 测DNS内容的隐私窃听。针对DNS协议无状态的特性，RFC 7873中提出了DNS Cookie技术，在DNS查询之前交换了 Cookie，可以抵御常见的拒绝服务、放大、伪造和缓存投毒 攻击。当前DNS增强协议未得到广泛应用，且增强的DNS协当前增强协议未得到广泛应用，且增强的协 议仍存在安全挑战。议仍存在安全挑战。 2.基于改良路径的标识解析安全防护能力分析基于改良路径的标识解析安全防护能力分析 首先，基于改良路径的标识解析服务需要依托DNS提 供，所以DNS系统本身的故障会导致其服务失败。其次，此 类标识解析系统继承了DNS系统存在的已有安全问题，包括 架构脆弱、易被缓存投毒、单点故障、负载过重和易被特殊 权力机构绑架等。另外，其安全保障主要依赖于DNSSEC， | 13 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 在数据源身份鉴别与完整性保护能力有所提升，但难以兼顾 可用性，且仍存在数据泄露风险。此外，此类标识解析体系 高度依赖DNS，大规模应用后会给现有DNS基础设施带来 压力。 3.基于革新路径的标识解析安全防护能力分析基于革新路径的标识解析安全防护能力分析 DOA/Handle技术体系可不依赖于DNS服务，定义权限 认证机制，支持数据、访问权限、用户身份等自主管理，保证 身份安全、数据安全与行为安全，具备较高的安全性与可靠 性，具体体现在以下三方面：一是管理员与权限设计，为每个 Handle标识设置一个或多个管理员，任何管理操作只能由拥 有权限的Handle管理员执行，并在响应请求前进行身份验证 与权限认证。二是客户端身份安全与操作合法，客户端发起 解析和管理请求均需进行身份验证，Handle服务器会根据 权限对客户端进行差异化解析，只响应客户端权限范围内的 管理请求。三是服务器身份安全，客户端可以要求Handle服 务器使用私钥对其响应进行签名，从而验证服务器身份。 UID体系从物理标签安全、接入与访问控制、通信安全、 资源管理、安全更新等方面采取措施，加强其安全防护能力。 基于革新路径的标识解析体系能够较好地满足工业互 联网标识解析在安全等方面的核心需求，但是在海量标识数在海量标识数 据治理、多主体身份认证、细粒度权限管控以及全流程安全据治理、多主体身份认证、细粒度权限管控以及全流程安全 等方面仍需加强。等方面仍需加强。 14 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） （二）工业互联网标识解析安全保障能力建设意义 工业互联网作为新一代信息技术与制造业深度融合的 产物，日益成为新工业革命的关键支撑和深化“互联网+先进 制造业”的重要基石，对未来工业发展产生全方位、深层次、 革命性影响。作为工业互联网的重要网络基础设施，保障工 业互联网标识解析安全具有重要意义。 1.标识解析安全是工业互联网安全的重要基础标识解析安全是工业互联网安全的重要基础 工业互联网标识解析能够支撑工业数据流通和信息交 互，支持工业互联网中设备、人、物料等的全生命周期管理， 是打破信息孤岛、实现数据互操作、挖掘海量数据的基础。 标识解析安全是工业互联网健康发展的前提和保障，一旦 标识解析体系遭入侵或攻击，波及范围不仅是单个企业，更 可延伸至其他工业互联网关键要素乃至整个工业互联网生 态。做好标识解析安全保障工作是确保工业互联网应用生是确保工业互联网应用生 态、工业互联网关键要素等安全的重要保证。态、工业互联网关键要素等安全的重要保证。 2.可支撑提升工业互联网整体安全防护水平可支撑提升工业互联网整体安全防护水平 标识解析体系可助力工业互联网安全保障能力建设。标识解析体系可助力工业互联网安全保障能力建设。随 着工业互联网标识解析的普及应用，在保障标识解析自身安 全的同时，标识的不可篡改、不可伪造、全球唯一等安全属性 优势逐渐凸显，标识可在数据可信采集、统一身份认证、安全 接入认证、密码基础设施服务、恶意行为分析等方面赋能工 | 15 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 业互联网安全保障能力建设。构建标识解析体系安全可推动构建标识解析体系安全可推动 工业互联网安全保障能力建设。工业互联网安全保障能力建设。标识解析安全建设可作为应 用示范，推动工业互联网整体安全建设，推行标识解析安全 管理机制及技术标准可带动工业互联网整体安全管理与技 术创新，标识解析安全体系构建有利于加快产业应用协调发 展。 3.有助于推动工业互联网信息技术创新发展有助于推动工业互联网信息技术创新发展 标识解析体系安全构建有利于提高工业互联网核心技 术抗冲击能力，有利于把握工业互联网持续发展主动性，推 动工业互联网其他核心技术在此基础上建立独立自主研发生 态，提升工业互联网整体关键技术自主能力，摆脱技术的依 赖性，提升我国工业互联网核心信息技术创新发展水平。 16 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 三、工业互联网标识解析安全需求 特征和挑战 工业互联网标识解析作为工业互联网数据交换与共享的 重要基础，在海量数据管理、服务质量、多标识体系兼容等多 方面具备其独有的需求特征，标识解析所特有的业务流程和 实现架构也为安全需求的实现提出了新的挑战（如图2）。 图 2. 工业互联网标识解析安全需求特征与挑战 | 17 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） （一）工业互联网标识解析安全需求特征 工业互联网标识解析是工业互联网的重要基础设施，类 似DNS服务器，是攻击者的重要目标。与消费互联网和传统 物联网不同，工业互联网的通信主体多样、对安全性要求更 高，为了支撑标识解析安全防护能力，标识解析安全需要满 足以下十大需求特征： 特征1：支持海量数据管理特征：支持海量数据管理 工业互联网中标识解析包含海量工业设备、资源产生的 海量标识数据，是传统互联网域名解析体系的百万倍甚至更 大量级。需要提供多粒度、多权限的海量标识数据管理、轻 量级的数据加密存储、高性能的数据安全检索、标识数据安 全分类分级与隐私保护等能力。 特征2：保障高并发请求服务质量特征：保障高并发请求服务质量 工业互联网标识解析系统面向的用户广泛，在同一时间 解析系统可能面对数以万计的标识解析请求，在解析的过程 中需要保证数据的一致性，支持标识数据同时期的更新、修 改、删除操作，保证高并发下稳定、可信的查询服务质量。需 要提供标识数据的安全同步机制，实现数据的安全更新，并 根据应用场景动态调整安全策略，降低安全保障机制对业务 质量的影响。 18 | 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 特征3：同时保障高可靠与低延时特征：同时保障高可靠与低延时 工业互联网区别于传统消费互联网的一大重要特征是 低延时，工业互联网的超时响应甚至未响应可能会影响生产 安全甚至生命安全。需要提供低开销的身份验证和数据安 全传输机制，并针对解析服务需求进行差异化服务，在保证 标识解析服务低延时响应的同时保障服务的高可靠性。 特征4：需兼容多种标识体系特征：需兼容多种标识体系 当前工业互联网标识解析体系中兼容了多个标识解析体 系，如DNS、Handle、OID等，需要协调各技术体系的安全防 护能力，消除体系中的安全短板，实现兼容的安全、协同的安 全、整体的安全。需要提供兼容不同标识协议的统一安全防 护框架，依据不同的协议标准和服务需求，进行安全服务的 灵活编排和动态部署，实现跨协议兼容的安全认证和统一认 证，满足兼容系统的整体安全需求。 特征5：支持广阔的标识对象管理特征：支持广阔的标识对象管理 随着工业互联网的发展，需要标识的对象已从以往的域 名，延伸到一个身份、一个零部件、一个交易、一个服务等更 为具体、更为广阔的对象。需要提供标识身份验证和身份伪 造监测、异构对象的权限访问控制、异常行为分析和操作行 为审计等功能，对多类型的标识对象进行身份和权限的管 理。 | 19 国家工业信息安全发展研究中心工业信息安全产业发展联盟 国家工业 信息 安全发展研究 中心 工业互联网标识解析安全白皮书（2020 ） 特征6：共管共治的治理机制特征：共管共治的治理机制 作为