一种基于工业互联网的安全管理方法及系统与流程

本发明涉及工业互联网安全管理技术领域，尤其涉及一种基于工业互联网的安全管理方法及系统。

背景技术：

工业互联网推动当前以“人与人”连接为核心的互联网走向“人-机-物”全面互联，极大扩展了网络空间的边界和功能，也打破了工业控制系统传统的封闭和强调高可靠性的格局。工业互联网的本质和核心是通过工业互联网平台把设备、生产线、工厂、供应商、产品和客户紧密地连接融合起来，可以帮助制造业拉长产业链，形成跨设备、跨系统、跨厂区和跨地区的互联互通，从而提高效率，推动整个制造服务体系智能化，还有利于推动制造业融通发展，实现制造业和服务业之间的跨越发展，使工业经济各种要素资源能够高效共享。

现有的工业互联网平台中，部分平台仅用一个密钥作为用户一切权限的验证令牌(Token)，并且在每次访问平台时以明文方式进行传输，存在严重的安全隐患。当前，主流的工业互联网平台都采用了签名作为用户资源访问的安全认证机制，避免了密钥在网络传输中的泄露风险，然而作为用户权限的密钥一旦泄露仍然会造成较大的安全风险。

因此，现在亟需一种基于工业互联网的安全管理方法及系统来解决上述问题。

技术实现要素：

针对现有技术存在的问题，本发明实施例提供一种基于工业互联网的安全管理方法及系统。

第一方面，本发明实施例提供了一种基于工业互联网的安全管理方法，包括：

获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权；

若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；

若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；

若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

其中，所述获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权，包括：

根据签名算法和鉴权参数，对安全认证请求进行鉴权。

进一步地，所述用户级鉴权参数的数量存在多组，且每组用户级鉴权参数的功能相同。

其中，所述产品级鉴权参数包括：产品设备接入鉴权参数、产品数据查询鉴权参数、产品控制指令鉴权参数和产品数据上传鉴权参数。

其中，所述设备级鉴权参数包括：设备数据查询鉴权参数、设备指令鉴权参数和设备数据上传鉴权参数。

第二方面，本发明实施例提供了一种基于工业互联网的安全管理系统，包括认证请求获取模块、用户级鉴权模块、产品级鉴权模块和设备级鉴权模块，其中：

所述认证请求获取模块，用于获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权；

所述用户级鉴权模块，用于若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；

所述产品级鉴权模块，用于若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；

所述设备级鉴权模块，用于若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

优选地，所述系统还包括：鉴权参数重置模块，用于对所述产品级鉴权参数或所述设备级鉴权参数进行重置。

第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所提供的方法的步骤。

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如第一方面所提供的方法的步骤。

本发明实施例提供的一种基于工业互联网的安全管理方法及系统，通过设置分级鉴权参数，使得在用户级、产品级和设备级的应用场景下，具有相应的鉴权参数，按照最小权限原则，产品层面的操作不会用到用户级的鉴权参数，设备层面的操作不会用到产品级的鉴权参数，大大减小了鉴权参数泄露的风险，增强了工业互联网平台的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的基于工业互联网的安全管理方法的流程示意图；

图2为本发明实施例提供的分级鉴权体系的框架示意图；

图3为本发明实施例提供的基于工业互联网的安全管理系统的结构示意图；

图4为本发明实施例提供的电子设备结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明实施例提供的基于工业互联网的安全管理方法的流程示意图，如图1所示，本发明实施例提供了一种基于工业互联网的安全管理方法，包括：

步骤101，获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权。

在本发明实施例中，用户级用户首先注册账号，生成对应的用户账号，用户级用户根据自身需求，在用户级下设置多种类型的产品，其中，产品可以理解为应用或项目。在每种产品中，在产品中还可以设置多种类型的设备，例如，产品有温室大棚产品，在温室大棚产品下，还包括温度传感器、湿度传感器和光照传感器等多种设备信息，这些设备信息为真实物联网硬件设备在工业互联网上的标识。需要对基于工业互联网上的产品或设备进行操作时，需要对相应的安全认证请求进行鉴权，从而对该安全认证请求下的产品或者设备输入操作指令。

步骤102，若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；

步骤103，若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；

步骤104，若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

在本发明实施例中，用户级鉴权参数具有最大的权限，然后依次为产品级鉴权参数和设备级鉴权参数，并且每一级的鉴权参数都是相互独立的，按照最小权限原则，产品级的操作不会用到用户级的鉴权参数，设备级的操作不会用到产品级的鉴权参数，例如，某项目总负责人发送用户级安全认证请求，并通过用户级鉴权参数进行鉴权，从而获取最高的权限，此时，项目总负责人可以访问和操作账号下所有产品和设备；当产品级开发人员或产品负责人需要对产品进行操作时，只需要通过产品级鉴权参数对产品级安全认证请求进行鉴权，即可操作相应的产品，而不会使用到用户级鉴权参数，从而减少安全参数的泄露。相应地，设备负责人只需要通过设备级鉴权参数对设备级安全认证请求进行鉴权，而不会使用到产品级鉴权参数。

本发明实施例提供的一种基于工业互联网的安全管理方法，通过设置分级鉴权参数，使得在用户级、产品级和设备级的应用场景下，具有相应的鉴权参数，按照最小权限原则，产品层面的操作不会用到用户级的鉴权参数，设备层面的操作不会用到产品级的鉴权参数，大大减小了鉴权参数泄露的风险，增强了工业互联网平台的安全性。

在上述实施例的基础上，所述获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权，包括：

根据签名算法和鉴权参数，对安全认证请求进行鉴权。

在本发明实施例中，根据签名算法和不同级别下的鉴权参数，对相应的安全认证请求进行鉴权，从而避免鉴权参数在网络中直接进行传输。具体地，在用户端(和工业互联网平台端都持有相应的鉴权参数，用户端首先将请求参数及数据，根据相应的鉴权参数设置密钥，计算HMACSHA1值作为签名，并将请求参数、数据和签名一并发给工业互联网平台。工业互联网平台采用相同的方式计算签名，如果和用户端提交的签名一致，则鉴权通过。另外，计算签名时引入时间戳和随机字符串，可以防止重放攻击。需要说明的是，在本发明实施例中，用户端表示用户级、产品级或设备级下的用户终端，不同鉴权级别下的用户通过操作各自的用户终端进行鉴权。

在上述实施例的基础上，所述用户级鉴权参数的数量存在多组，且每组用户级鉴权参数的功能相同。

图2为本发明实施例提供的分级鉴权体系的框架示意图，可参考图2所示，在本发明实施例中，用户级鉴权(userAuthKey/userAuthSecret)具有最大的权限，可以操作该用户下的所有产品以及所有设备的数据和配置，每个用户都有自己的鉴权参数。在本发明实施例中，用户鉴权参数可以有多组，每一组的功能都是一样的。当用户注册成功后，会自动生成一组用户鉴权参数，并可添加或删除用户鉴权参数(至少要保留一组)。需要说明的是，在本发明实施例中，由于用户级的鉴权信息权限非常大，用户需要通过终端产品进行验证才可进行查看，例如，用户需要通过移动终端(手机或平板电脑等)短信或邮箱验证才可查看。

具体地，在本发明实施例中，在某个工业互联网平台的开发过程中，可以设置多组用户级鉴权参数，将其中的一组或几组交给应用开发者，等到应用正式上线时，用新的用户级鉴权参数替换应用开发阶段的用户级鉴权参数，并在工业互联网平台上删除旧的用户级鉴权参数，达到回收开发者手中权限的目的，最大限度保证权限可控。此外，若某组用户鉴权参数泄露，用户也可以删除该用户级鉴权参数，消除安全风险。

在上述实施例的基础上，所述产品级鉴权参数包括：产品设备接入鉴权参数、产品数据查询鉴权参数、产品控制指令鉴权参数和产品数据上传鉴权参数。

在本发明实施例中，可参考图2所示，当产品级安全认证请求通过鉴权之后，获取产品级权限，以用于操作对应产品下的所有设备与设备自主接入。在本发明实施例中，当产品级用户在工业互联网平台上创建一个产品时，会自动为该产品生成相应的鉴权参数，按功能分为四类：

接入(accessKey/accessSecret)，即产品设备接入鉴权参数，主要在设备通过消息队列遥测传输协议(Message Queuing Telemetry Transport，简称MQTT)接入时，或者通过应用程序编程接口(Application Programming Interface，简称API)创建设备时，使用该鉴权参数。

查询(queryKey/querySecret)，即产品数据查询鉴权参数，通过API查询该产品下的数据时，使用该鉴权参数。

命令(cmdKey/cmdSecret)，即产品控制指令鉴权参数，通过API给该产品下的设备下发送控制命令时，使用该鉴权参数。

上报(uploadKey/uploadSecret)，即产品数据上传鉴权参数，通过API以某个设备的身份上传数据时，或者新增和更新设备档案时使用该鉴权参数。

进一步地，在本发明实施例中，可以在设备批量生产时置入统一的产品级鉴权参数，当设备连接工业互联网平台启动后，工业互联网平台可自动创建设备标识，从而避免手工导入产品下大量的设备信息。由于接入设备时仅用到accessKey/accessSecret，即使泄露，攻击者也只能接入新设备，而不能控制存量设备、查询存量设备的数据，安全风险大幅降低。除此之外，任意一组产品级鉴权参数泄露都只影响某个权限，如查询(queryKey/querySecret)参数泄露只影响设备数据的查询，攻击者不能接入设备、给设备发送命令或上传数据。而且，在本发明实施例中，在产品级鉴权参数对外使用之后，也可以对产品级鉴权参数进行重置，进一步提高工业互联网平台的安全性。

在上述实施例的基础上，所述设备级鉴权参数包括：设备数据查询鉴权参数、设备指令鉴权参数和设备数据上传鉴权参数。

在本发明实施例中，当设备级安全认证请求鉴权通过之后，获取设备级权限，授权对象为单个设备，每个设备都有对应的设备级鉴权参数，当设备在工业互联网平台上初次创建时，会自动生成该设备的鉴权参数，并且，设备级鉴权参数也可以进行重置，从而提高安全性。其中，设备级鉴权参数分为三类：

查询(queryToken)，即设备数据查询鉴权参数，用于查询该设备下的数据。

命令(cmdToken)，即设备指令鉴权参数，用于对该设备下发命令。

上报(uploadToken)，即设备数据上传鉴权参数，用于该设备向工业互联网平台上传数据。

此外，在本发明实施例中，还包括用于加解密用的密钥(deviceSecret)，主要用于在设备数据在传输时进行加解密。

图3为本发明实施例提供的基于工业互联网的安全管理系统的结构示意图，如图3所示，本发明实施例提供了一种基于工业互联网的安全管理系统，包括认证请求获取模301、用户级鉴权模块302、产品级鉴权模块303和设备级鉴权模块304，其中，所述认证请求获取模块301用于获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权；所述用户级鉴权模块302用于若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；所述产品级鉴权模块303用于若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；所述设备级鉴权模块304用于若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

本发明实施例提供的一种基于工业互联网的安全管理系统，通过设置分级鉴权参数，使得在用户级、产品级和设备级的应用场景下，具有相应的鉴权参数，按照最小权限原则，产品层面的操作不会用到用户级的鉴权参数，设备层面的操作不会用到产品级的鉴权参数，大大减小了鉴权参数泄露的风险，增强了工业互联网平台的安全性。

在上述实施例的基础上，所述系统还包括：鉴权参数重置模块，用于对所述产品级鉴权参数或所述设备级鉴权参数进行重置。

本发明实施例提供的系统是用于执行上述各方法实施例的，具体流程和详细内容请参照上述实施例，此处不再赘述。

图4为本发明实施例提供的电子设备结构示意图，如图4所示，该电子设备可以包括：处理器(Processor)401、通信接口(Communications Interface)402、存储器(Memory)403和通信总线404，其中，处理器401，通信接口402，存储器403通过通信总线404完成相互间的通信。处理器401可以调用存储器403中的逻辑指令，以执行如下方法：获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权；若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

此外，上述的存储器403中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本发明实施例公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权；若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

本发明实施例提供一种非暂态计算机可读存储介质，该非暂态计算机可读存储介质存储服务器指令，该计算机指令使计算机执行上述实施例所提供的基于工业互联网的安全管理方法，例如包括：获取安全认证请求，以用于根据鉴权参数对所述安全认证请求进行鉴权；若所述安全认证请求是用户级安全认证请求时，根据用户级鉴权参数，对所述用户级安全认证请求进行鉴权，若鉴权通过，则允许用户访问和操作该用户的所有产品和设备；若所述安全认证请求是产品级安全认证请求时，根据产品级鉴权参数，对所述产品级安全认证请求进行鉴权，若鉴权通过，则允许产品级用户访问和操作对应产品的所有设备；若所述安全认证请求是设备级安全认证请求时，根据设备级鉴权参数，对所述设备级安全认证请求进行鉴权，若鉴权通过，则允许设备级用户访问和操作对应的设备。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。