专利名称：一种云制造环境下的信息安全管控方法
技术领域：
本发明涉及一种云制造环境下的信息安全管控方法，具体是指通过多层安全通信协议，密码技术及基于公钥基础设施PKI建立云制造模式下面向用户协同的信息安全交互和共享的方法。该发明属于分布式制造系统信息集成技术领域。
背景技术：
随着信息技术和计算机网络技术的迅速发展，出现了一批跨企业、跨区域甚至跨国界的协作型加工制造业，并已逐渐成为我国制造业的重要组成部分之一。但由于缺乏有效的资源共享服务平台和协作支持手段，广大制造业企业，特别是量大面广的中小制造业企业，其外协加工资源的选择和利用大都局限于某几个熟知的企业或某几个区域，大量有富余生产能力和更适合企业的外协加工资源对于企业来说，还是一个未知资源而未得到充分利用。因此，如何在更大范围有效发现和优化利用外部社会制造资源，以提高企业生产制造能力，是当前广大制造业企业实施外协加工迫切需要解决的重要问题之一。针对以上问题，李伯虎等提出了一种基于云计算服务模式的网络化制造新模
式-云制造(Cloud Manufacturing, CMfg)。云制造模式的提出，为求解复杂制造问题、制
造与服务资源共享及开展大规模协同制造提供了可能，为制造企业更广泛和更优化地选择和利用外协加工资源提供了一条更好的思路。在云制造服务环境下，分散和广泛的外协加工资源按照一定的标准规范进行虚拟化描述和注册发布，通过公共的云制造服务平台，供不同需求的企业发现、匹配和按需选用，从而实现云制造服务环境下分散外协加工资源的集中使用以及集中的外协加工资源分散服务。在云制造环境下，用户需要通过Internet进行大量的信息交互，实现企业间的商务协同、设计协同、制造协同和供应链协同。由于缺乏可靠的信息安全管控方法，严重制约了云制造的推广和发展。云制造资源呈现跨域性、大规模性、异构性、自治性、动态性和开放性等特点，使得传统封闭环境下的安全技术已不能满足其需要并面临不同的挑战。其次，企业信息安全研究主要集中在对单一系统、单一技术的研究方面，缺乏对云制造服务平台整体安全问题的系统考虑，难以满足云制造服务过程的技术信息安全需求。云制造系统集中处理大量用户的数据和应用，因而更容易吸引恶意的攻击和偷窃。这些攻击有些是通过网络进行的，有些甚至可能是通过物理攻击的，云制造系统面临新的安全挑战。其一，用户繁多带来得安全问题。这里要考虑到不同用户之间的相互影响，如何做到相互隔离，需要通过技术手段防止用户有意或无意的“越狱”行为。另外，由于用户的程序是运行在数据中心之内的，因此还要预防恶意用户从云制造系统内部发起攻击；其二，采用第三方平台带来的安全问题。由于数据存放在第三方平台上的，因此一个非常现实的问题是服务提供商管理人员的权限设置问题，这需要通过技术手段和管理流程一起配合来应付；其三，服务的连续性问题。由于对信息的依赖程度高，使得安全问题的“水桶效益”更为明显，“单点故障”问题导致的云服务中断将会影响云制造系统中所有用户的业务，需要整体规划和系统考虑安全问题。因此，云制造系统的建立，急需寻求一种多层的、系统的、深度防御的信息安全管控方法。有鉴于此，将基于公钥基础设施PKI体系运用到云制造系统中，虽然现在很多云计算平台还不支持证书操作，如Goole的APP Engine不支持证书登录的方式。但当云计算得到广泛使用，并应用在高安全性领域时，PKI体系仍然是最安全最稳健的选择。
发明内容
目的本发明涉及一种云制造环境下的信息安全管控方法，即一种可以实现信息安全传输、共享以及使用的方法。本发明综合考虑云制造系统的高稳定性、高可用性、可信任性、动态性等安全需求，提出了基于安全网际协议(IPSec)、安全套接层协议(SSL)、S/MIME,PEM, SSH等多层次的安全通信协议及基于公钥基础设施(PKI)系统的安全管控架构。通过网络层和传输层的虚拟专用网技术(VPN)、数字信封、密码算法等实现技术和方法，实现云制造协作业务中的技术信息文件的安全管控，为用户开展云制造模式下的商务协同、 设计协同、制造协同和供应链协同提供了全面的安全保障。技术方案一种云制造环境下的信息安全管控方法，即针对云制造信息的跨域性、大规模性、异构性、自治性、动态性和开放性等特点，分别从网络层、传输层和应用层确保网络通信安全，通过PKI系统的数据加密、数字签名和数字信封技术确保技术信息共享、传输、使用的安全。该方法具体包括以下步骤
步骤I)通过安全路由、完善的防火墙设计、入侵检测系统(Intrusion DetectionSystems, IDS)并及时更新系统漏洞，动态确保云制造系统网络服务层的安全；
步骤2)建立完善的公钥基础设施(PKI)，由证书签发机构CA为用户和网络层协议(IPSec)、传输层协议(SSL)、应用层协议(如S/MME、PEM、SSH等)服务器颁发证书；建立基于网络层协议(IPSec)、传输层协议(SSL)的虚拟专用网(VPN)，实现云内部以及云与云之间的网络安全接入以及技术信息安全传输和共享；
步骤3)为步骤2)中的公钥基础设施(PKI)的CA结构采用混合信任模型，根据信任模型的信任链路为用户和服务器颁发证书；根据密钥生成协议随机生成会话密钥SK，对称加密技术信息，并利用X. 509证书获得公钥非对称加密会话密钥SK形成数字信封，用来保护技术信息文件和会话密钥SK的安全。通过数字证书和数字信封实现用户认证和签名加密，实现用户与云之间的技术信息安全传输、共享以及使用，并通过日志管理协议审计跟踪技术信息的传输过程。步骤4)用户通过USB-Key存储密钥和证书，云服务器通过智能芯片存储密钥和证书，通过设立PIN码实现“双因子认证”，即必须同时获得存储介质和PIN码才能获得密钥和数字证书，确保密钥和证书不能被非法者获取；
1.进一步，所述网络服务层的安全通过采用2个包过滤路由器，建立一个隔离的子网，子网内接入堡垒主机，监听并过滤网络上流入流出的IP包；通过网络入口处部署入侵检测系统动态保护整个网络；通过扫描网络设备发现漏洞并进行修补，更新升级操作系统，并做好防病毒工作等；
2.进一步，所述公钥基础设施(PKI)组成包括认证机构CA，注册机构RA，证书发布系统，PKI应用，PKI策略等。用户先到RA登记，由RA验证用户的真实身份，然后汇集到CA处，由CA统一签发证书，为用户和认证服务器签发一对公钥和私钥。采用证书管理公钥，数字证书把用户的公钥和其他一些标识信息绑定在一起，遵循X. 509标准，并公开供用户查询和下载；采用USB-Key和智能芯片存储私钥，用于数字签名和身份认证，私钥损坏和丢失时可以通过PKI证书管理系统的密钥备份与恢复模块和证书撤销模块进行恢复和挂失；
3.进一步，所述网络层的IPSec安全协议，主要目的是防止IP造假，主要提供针对网络层(IP层)通道内所有封包进行三种安全服务，服务包括
Al.确认性确认所收到的封包确实是由报头文件中所描述的IP地址所送出，而非造假。此外，还需确认信息内容的完整性，以确保封包在传送的过程中没有遭到篡改；
A2.机密性避免传送的封包遭通信双方之外的第三者窥知；
A3.密钥管理采用自动密钥管理方式，帮助用户安全的协议出所需要的秘密密钥，并将密钥安全的传送给用户。 4.进一步，所述传输层协议(SSL)是基于WEB应用的安全协议，SSL协议包括月艮务器认证、客户认证(可选)、SSL链路上的数据完整性和保密性。提供了浏览器至服务器间一个经过认证和加解密的通信渠道，防止一些敏感信息在网络间传输是遭到窃取或篡改，并可以保护所浏览的网页，提供三种安全服务，服务包括
BI.数据传送的机密性采用DES对称加密技术来确保数据在传输时的机密性；
B2.数据传送的完整性采用MD5或SHA-I哈希函数(Hash Function)来运算出所要传送数据的信息验证码，利用信息验证码的对比可知所接收到的数据是否完整；
B3.身份验证机制采用RSA非对称密码机制，配合PKI数字证书验证来确认信息发送者的身份。5.进一步，所述应用层协议工作在网络层协议和传输层协议之上，可以根据不同的安全需求使用应用层安全协议。比如说SSH协议提供身份认证和数据完整性保护，提供对用户账号口令的机密性保护，为FTP、SMTP等各种应用层协议提供安全屏障；S/MIME和PEM协议可以提供安全电子邮件服务，可以实现保密性、身份认证与数据完整性、防抵赖性3个方面的安全服务；应用层的安全主要是用密码学技术确保技术信息文件传输、共享到使用的安全；
6.进一步，所述混合信任模型(桥接信任结构)是综合层次、网状、信任列表等不同信任模型的一种整合结构，是一个多样性和差异性而又能实现互信互通的CA体系，符合云制造资源异构性、动态性、跨域性等特点。具体内容包括
Dl.公有云CA (60八)，作为PKI域信任传递的桥梁，与各个不同形式的私有云信任域进行交叉认证，它不是整个信任关系的起止点，各个私有云有自己的根信任源。GCA可以根据每一个私有云主CA (SCA)的实际情况，确定交叉认证的信任担保等级，确定对方证书策略的等级，从而确定SCA在整个PKI体系中的信任地位，其主要功能包括
为各个SCA颁发交叉认证证书；
建立各个私有云信任域证书策略与GCA证书策略之间的映射关系；
维护GCA所颁发的证书，更新交叉认证证书；
发布交叉认证证书黑名单(CRL列表)。D2.桥CA (GCA)和各个信任域根CA (SCA)双向对等连接。私有云信任域可能是层次信任结构，那么它的根CA就与GCA桥接，进行互操作；私有云信任域可能是网状信任结构，那么它们中的一个与GCA连接，进行互操作；SCA也可能是一个独立的CA。D3.由私有云SCA产生下一级CA的证书或进行同级的交叉认证，分级颁发，用户最终获得数字证书，数字证书遵循X. 509标准。7.进一步，所述用户认证是指用户端和云服务端实现双向身份认证，允许或拒绝登录。具体步骤包括
Fl.用户端发出请求连接信息给云服务器，云服务端返回一个随机数R1，并保留Rl ；F2.用户用私钥对Rl进行数字签名，并产生一个随机数R2，将Rl的签名值、用户数字证书和R2 —并发送给云服务端，本地保留R2 ；
F3.云服务器收到数据后，先检查该数字证书的签名、有效期，若证书有效，则通过用户数字证书获得公钥并解密Rl签名值进行用户身份验证； F4.云服务端用私钥对R2进行数字签名，然后将R2签名值和服务器数字证书发送用
户；
F5.用户收到数据后，先检查该数字证书的签名、有效期，若证书有效，则通过用户数字证书获得公钥并解密R2签名值进行云服务器身份验证；
F6.通过双向身份认证后，在角色权限范围内，用户可以与服务资源(SeaS、laaS、PeaS)进行交互。8.进一步，所述数字信封技术，具体步骤包括
Gl.用户将技术信息明文进行MD5或SHA-I哈希函数(Hash Function)运算，产生一段固定长度的数字摘要I ;
G2.用户用自己的私钥对数字摘要I加密，形成数字签名，附在发送信息原文后面；
G3.随机数发生器产生一个随机数，密钥生成模块利用随机数随机产生一把对称会话密钥SK ；
G4.用会话密钥SK的对称加密算法DES来对技术信息文件、数字签名和数字证书做加密，得到密文；G5.发送方通过接收方的数字证书获得公钥，并用此公钥的非对称加密算法RSA来对会话密钥SK进行加密，得到数字信封，用来安全传递DES中所用的会话密钥SK ；G6.接收方收到密文和数字信封后，用自己的私钥解密数字信封，获得会话密钥SK，并用SK解密密文，得到技术信息文件、数字签名和发送方的数字证书；
G7.接收方通过发送方的数字证书获得公钥信息，解密数字签名文件，获得数字摘要
I ;
G8.接收方对解密后的信息文件再一次进行MD5或SHA-I哈希函数(Hash Function)运算，得到数字摘要2，通过对比数字摘要I和数字摘要2是否相同，若一致，说明信息没有被破坏或篡改，否则丢弃该文件。9.进一步，所述用户端的USB-Key存储有密钥种子库、算法库、数字证书和用户私钥；服务端的智能芯片存储有加密的密钥种子库，算法库和服务器私钥，用固定密钥K对各个用户的密钥种子库分别加密成密文，每个云用户都与一个加密的密钥种子库一一对应；
10.进一步，所述密钥生成协议通过组合密钥生成算法随机生成会话密钥，具体步骤包
括
Hl.用户端的USB-Key设备中，产生一个随机数，由随机数对一组密钥种子数据进行选取产生对称会话密钥SK ；
H2.服务端的智能芯片则根据数字证书的用户标识信息，在密钥种子数据库中定位密钥种子密文，同时，产生一个随机数，云服务器调用存储密钥K解密密钥种子生产明文，由随机数对一组密钥种子数据进行 选取产生对称会话密钥SK ；
H3、会话密钥SK用于技术信息文件的加密，随机产生使得每一次的会话密钥SK都不同。11.进一步，所述日志管理协议用于记录用户登录及技术信息文件调用操作。登录参数记录在登录日志数据库里，参数包括用户标识、用于身份认证的随机数、登录时间等；操作参数记录在操作日志数据库里，操作包括浏览文件、修改、拷贝文件、发送或打印文件等，参数包括云用户或云制造平台管理人员的标识、文件名、随机数、数字签名和客户机的IP地址等；
12.进一步，所述USB-Key都具有硬件PIN码保护，用户只有同时取得了USB-Key和用户PIN码，才可以登录系统。USB-Key内置CPU或智能芯片，通过算法调用模块调用DES、RSA、HASH算法等实现数据加解密和签名、数据摘要，所有运算都在USB-Key内完成，保证了用户密钥不会出现在计算机内存中，从而杜绝了用户密钥被黑客截取的可能性；
13.进一步，所述用户分为普通用户和高级用户，普通用户所持USB-Key里不包含数字证书。普通用户通过密钥生成协议随机选取密钥种子库产生一组对称密钥SKl作为认证密钥，随机选取产生一组对称密钥SK2作为签名密钥和加密密钥。由于每一组对称密钥只与一个随机数对应，每个云用户都与一个加密的密钥种子库一一对应，解决了对称密钥更新维护的难题；由于不需要数字证书，避开了申请证书的复杂程序；由于只采用对称加密算法，可以进行快速进行身份认证和签名加密，提高信息安全传输、共享和使用的效率，但这种方法安全等级不够高。高级用户通过数字证书进行身份验证和签名加密，安全等级较闻。优点及功效本发明以网络安全协议设计、密码技术和基于公钥基础设施PKI为基础，通过基于多层协议的虚拟专用网VPN、数字信封、技术信息的签名加密等实现技术与方法，为云内部网络之间，云与云之间、用户与云之间开展云制造模式下的商务协同、设计协同、制造协同和供应链协同等提供了全面的安全保障，涵盖了云制造的Intranet、Extranet和Internet,综合管控技术信息文件存储、传递到使用的各个环节；利用密钥生产协议随机产生的会话密钥SK对技术信息文件进行对称加密，并通过PKI数字证书获得接收方公钥对会话密钥SK非对称加密形成数字信封，用来保护技术信息文件和会话密钥的安全；使用USB-Key和智能芯片存储数字证书、私钥信息以及会话密钥种子库，所有运算都在物理存储介质中实现，并且USB-Key具有硬件PIN码保护，只有持有人才能对数字证书进行操作，用户密钥的安全性得到了保障；本发明结合了网络安全协议IPSec和SSL的优点，综合了 DES和RSA的长处，具有保密性强、效率高、部署灵活等特点，可广泛应用于云制造系统和其他网络化制造系统中。
本发明有如下附图
图I示出了信息安全管控系统的结构示意2示出了基于网络安全协议的VPN部署图 图3示出了 CA桥接信任模型 图4示出了密钥存储介质硬件结构示意图 图5示出了信息安全管控系统过程示意图。
具体实施例方式为了使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。本发明是通过基于安全网际协议(IPSec)、安全套接层协议(SSL)、S/MIME, PEM、SSH等多层协议建立安全隧道VPN,实现云制造系统Intranet、Extranet和Internet的网络安全接入；通过基于公钥基础设施PKI系统颁发X. 509数字证书，并采用数字信封技术 保护会话密钥SK，可实现用户和云服务端的双向身份认证、数字签名、技术信息加密等。保证信息传输、共享到使用全过程的保密性、完整性、不可否认性、可用性和可控性，如图I所
/Jn οI.所述网络层安全网际协议(IPSec)要求通信双方先协议出一把共同的秘密密钥，然后用这把秘密密钥算出信息所对应的验证码MAC，再将MAC放在确认性应用报文里供接收方验证。秘密密钥的产生采用Diffie-Hellman算法,并利用Cookies来协助,Cookies可视为一个64位的随机数值；
IPSec处理过程由管理者配置安全策略库(SPDB )，SPDB指向安全关联数据库(SADB )。以三元组(安全参数索引SPI，目的IP地址，安全协议标识符号)为选择符查询安全策略库(SPDB)，决定对数据采取的安全策略(比如对数据是接收、转发还是丢弃);被SPDB接收的数据传给安全关联数据库(SADB)，SADB决定具体采用的安全措施，如加密算法、数据分发长度、密钥长度等。2.所述传输层安全套接层协议(SSL)，包括SSLv2、SSLv3、TLSvl以及SSL和TLS协议的其他各种版本，位于TCP/IP协议与各种应用层协议之间，为远程接入提供安全支持。版本在3. O以上的IE或Netscape浏览器均可支持SSL，用于WEB浏览器与服务器之间的身份认证和加密数据传输。SSL协议可分为两层
SSL记录协议(SSL Record Protocol):它建立在可靠的传输协议(如TCP)之上，为高层协议提供分片、压缩、信息验证码MAC、加密、封装服务；
SSL握手协议(SSL Handshake Protocol):它建立在SSL记录协议之上,用于在实际的数据传输开始前，通讯双方进行身份认证(X. 509数字证书)、协商加密算法(DES和RSA)、交换会话密钥SK (随机生成)等。在申请人的中国发明专利申请200710063793. I提出的基于SSL协议的远程安全接入方法系统包括安全连接器、Internet公网和安全交换机,安全交换机部署Internet公网上，安全连接器部署在内网或内网边界。所述安全交换机接收来自安全连接器的数据转发给另外一个已经连接的安全连接器，构成“安全交换模式”。该方法在本发明中全文引用。3.建立基于IPSec协议的VPN通道，它是一种Intranet VPN(云内部VPN)，用来连接云总部和各分支机构，使得云Intranet拥有与专用网络相同的策略，包括安全、服务质量(QoS)、可靠性和可管理性。建立基于SSL协议的VPN通道，它是一种Extranet VPN (云扩展VPN)，将用户、云资源、合作伙伴连接到云Intranet，实现云与云之间信息安全传输和共享，并可实现细粒化的访问控制；SSL VPN也是一种Access VPN (远程访问VPN)，使得远程办公人员和终端用户简易、安全的接入目的网络中的各种应用程序和资源。通过这些灵活的接入方式让移动用户、远程用户或分支机构安全的接入云内部网络中，如图2所示。4.所述应用层协议工作在网络层协议和传输层协议之上，可以根据不同的安全需求使用不同应用层安全协议，本发明不做规定。应用层的安全主要是利用PKI系统和密码学技术实现信息传输、共享到使用的安全。5.所述PKI系统，系统包括认证机构CA，注册机构RA，证书发布系统，PKI应用，PKI策略等。数字证书由证书颁发机构CA签名颁发，由证书服务器生成，并由注册机构RA提交给证书库，供用户下载和验证身份。数字证书遵循X. 509标准，证书结构包括版本号、证书序列号、签名算法标识符、颁发者名称、有效期、主体名称(拥有与证书所对应的私钥主体)、主体公钥信息、颁发者唯一标识符、主体唯一标识符。PKI系统提供了密钥管理机制，对 密钥的生成，存储、分发、使用、备份/恢复、更新，撤销及销毁等过程做出了详细规定，解决了密钥安全管理问题。6. PKI系统CA结构采用桥接信任模型，如图3所示。公有云CA (GCA)为桥CA中心，向各个私有云签发证书(SCA)并维护其CRL列表。YCA是子CA，它们是从属于层次结构的下层CA，有的层次浅，就形成“刷子状”，有的可能就从属于一个主CA和一个子CA。SSCA是在网状信任结构中的对等CA，其中的一个称为主CA，与GCA进行桥接。桥接认证对将多个CA连接起来，成为一个可信任的统一体；交叉认证对使得多个CA的根CA互相签发根证书，这样不同PKI信任域中的终端用户沿着不同的认证链路检验认证到根时，就能达到互相信任的目的。在桥接模式中，增加一个信任域，只需桥CA与这个信任域的根CA互相签发交叉证书，其余信任域无须作任何改动。鉴于云制造系统的覆盖规模和分部情况，PKI系统部署时结构选择两级CA多RA的结构。在总部设置根CA,负责全网和总部直属机构的认证；各分部设置二级CA,负责分部机关、所属支部及管辖单位的认证。总部、分部和支部均设置RA，负责提供各级管辖区内的注册服务，RA分担了 CA的部分任务，管理也更为方便。7. PKI系统的关键是数字证书、用户私钥和密钥种子库的安全存储，本发明用户端通过USB-Key进行存储，云服务端通过智能芯片进行存储，其硬件结构如图4所示。USB-Key端主要包括文件管理模块、算法调度模块、密钥生产模块，云服务端主要包括文件共享模块、算法调度模块、签名加密模块、用户认证模块、日志管理模块。云服务端智能芯片通过一个固定的对称密钥K将全体云用户的密钥种子数据分别加密成密文，每个云用户都与一个加密的密钥种子库和数字证书一一对应。其中，每一个USB-Key都具有硬件PIN码保护，硬件和PIN码构成了使用USB-Key的两个必要因素，用户只有同时获得USB-Key和PIN码才可用登录云制造系统。用户认证之前，用户将USB-Key插入计算机终端，通过客户端浏览器输入云服务器地址，系统将提示输入PIN码打开USB-Key，用户端自动与云服务端的用户认证模块进行交互认证，为实现单点登录，USB-Key拔出前一直处于开启状态。其中，用户认证模块对用户的身份进行认证，可实现单向身份认证或双向身份认证，允许或拒绝登录。双向身份认证的具体步骤包括:Al.用户端发出请求连接信息给云服务器，云服务端返回一个随机数R1，并保留Rl ；A2.用户用私钥对Rl进行数字签名，并产生一个随机数R2，将Rl的签名值、用户数字证书和R2 —并发送给云服务端，本地保留R2 ；A3.云服务器收到数据后，先检查该数字证书的签名、有效期，若证书有效，则通过用户数字证书获得公钥并解密Rl签名值进行用户身份验证；A4.云服务端用私钥对R2进行数字签名，然后将R2签名值和服务器数字证书发送用户；A5.用户收到数据后，先检查该数字证书的签名、有效期，若证书有效，则通过用户数字证书获得公钥并解密R2签名值进行云服务器身份验证；A6.通过双向身份认证后，在角色权限范围内，用户可以与服务资源(SeaS、laaS、PeaS)进行交互。其中，签名加密模块包括数字签名和数据加密。数字签名是指将技术信息明文进行MD5或SHA-I哈希函数(Hash Function)运算,产生一段固定长度的数字摘要，并用发送方私钥加密数字摘要形成数字签名，接收方可用发送方公钥解密数字签名，得到数字摘要。如果技术信息文件在传输过程中遭到篡改，解密后的技术信息明文经过MD5或SHA-I哈希函数(Hash Function)运算是无法得到相同的数字摘要，从而验证数据完整性和真实性；数 据加密是指利用会话密钥SK对称加密算法(DES)加密技术信息文件，用来安全传递技术信息文件，并用非对称加密算法(RSA)加密会话密钥，用来安全传递会话密钥SK。其中，密钥生产模块通过密钥生产协议随机产生会话密钥SK，具体步骤包括B1.用户端的USB-Key设备中，产生一个随机数，由随机数对一组密钥种子数据进行选取产生对称会话密钥SK ；B2.服务端的智能芯片则根据数字证书的用户标识信息，在密钥种子数据库中定位密钥种子密文，同时，产生一个随机数，云服务器调用存储密钥K解密密钥种子生产明文，由随机数对一组密钥种子数据进行选取产生对称会话密钥SK ;B3、会话密钥SK用于技术信息文件加密，随机产生使得每一次的会话密钥SK都不同。其中，算法调度模块根据需要自动调用RSA (384，512，1024，2048位)算法、DES(56，128位)算法和MD5或SHA-1算法，进行信息文件加密和数字签名。其中，文件管理模块保证了所有运算都在USB-Key或智能芯片内完成，功能包括读/写技术信息文件、读/写数字证书、读/写数字信封、读/写密钥种子库、读/写私钥等。其中，文件共享模块提供技术信息(二维或三维CAD图纸、NC程序等)的安全共享，供合法用户下载使用。用户端上传共享文件，云服务端解密用户上传的密文，得到明文数据技术信息明文和数字签名，首先由智能芯片的用户认证模块解密数字签名进行数据完整性验证；通过验证的文件再由智能芯片的签名加密模块对明文数据进行数字签名并加密成数据密文，并存储在云服务端的数据库中，所有有运算都在智能芯片内完成。需要人机交互时，云服务端把数据密文通过网闸一并摆渡给计算中心前台，供用户下载。网闸能有效阻断病毒的攻击链，大大降低病毒获取和破坏明文文件数据几率。其中，日志管理模块用于记录用户登录及技术信息文件调用操作。登录参数记录在登录日志数据库里，参数包括用户标识、用于身份认证的随机数、登录时间等；操作参数记录在操作日志数据库里，操作包括浏览文件、修改、拷贝文件、发送或打印文件等，参数包括云用户或云制造平台管理人员的标识、文件名、随机数、数字签名和客户机的IP地址等
8.综上所述，系统实现的具体流程如图5所示，步骤包括Cl.用户将技术信息明文进行MD5或SHA-I哈希函数(Hash Function)运算，产生一段固定长度的数字摘要I ;
C2.用户用自己的私钥对数字摘要I加密，形成数字签名，附在发送信息原文后面；
C3.随机数发生器产生一个随机数，密钥生成模块利用随机数随机产生一把对称会话密钥SK ；
C4.用会话密钥SK的对称加密算法DES来对技术信息文件、数字签名和数字证书做加密，得到密文；C5.发送方通过接收方的数字证书获得公钥，并用此公钥的非对称加密算法RSA来对会话密钥SK进行加密，得到数字信封，用来安全传递DES中所用的会话密钥SK ；C6.接收方收到密文和数字信封后，用自己的私钥解密数字信封，获得会话密钥SK，并用SK解密密文，得到技术信息文件、数字签名和发送方的数字证书；
C7.接收方通过发送方的数字证书获得公钥信息，解密数字签名文件，获得数字摘要
I;
C8.接收方对解密后的信息文件再一次进行MD5或SHA-I哈希函数(Hash Function)运算，得到数字摘要2，通过对比数字摘要I和数字摘要2是否相同，若一致，说明信息没有被破坏或篡改，否则丢弃该文件；
以上所述仅为本发明的优选并不用于限制本发明，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术范围之内，则本发明也意图包含这些改动和变型在内。权利要求
1.一种云制造环境下的信息安全管控方法,该方法的特征在于云内部网米用基于网络层的安全网际协议(IPSec)进行信息交互，提供通道级的信息安全防护；云与云之间采用基于传输层的安全套接层协议(SSL)和应用层协议进行信息交互，提供页面级和信息级的安全防护；用户与云之间采用基于公钥基础设施(PKI)实现用户认证、签名加密等，其CA信任模型采用混合信任模型；该方法包括以下步骤 步骤I)通过安全路由、完善的防火墙设计、入侵检测系统(Intrusion DetectionSystems, IDS)并及时更新系统漏洞，动态确保云制造系统网络服务层的安全； 步骤2)建立完善的公钥基础设施(PKI)，由证书签发机构CA为用户和网络层协议(IPSec)、传输层协议(SSL)、应用层协议(如S/MME、PEM、SSH等)服务器颁发证书；建立基于网络层协议(IPSec)、传输层协议(SSL)的虚拟专用网(VPN)，实现云内部以及云与云之间的网络安全接入以及技术信息安全传输和共享； 步骤3)为步骤2)中的公钥基础设施(PKI)的CA结构采用混合信任模型，根据信任模型的信任链路为用户和服务器颁发证书；根据密钥生成协议随机生成会话密钥SK，对称加密技术信息，并利用X. 509证书获得公钥非对称加密会话密钥SK形成数字信封，用来保护技术信息文件和会话密钥SK的安全；通过数字证书和数字信封实现用户认证和签名加密，实现用户与云之间的技术信息安全传输、共享以及使用，并通过日志管理协议审计跟踪技术信息的传输过程； 步骤4)用户通过USB-Key存储密钥和证书，云服务器通过智能芯片存储密钥和证书，通过设立PIN码实现“双因子认证”，即必须同时获得存储介质和PIN码才能获得密钥和数字证书，确保密钥和证书不能被非法者获取。
2.根据权利要求I所述方法，其特征在于步骤2中所说的VPN包括网络层的IPSecVPN和传输层的SSL VPN ；IPSec协议将密码技术应用于网络层，提供点到点数据传输的安全认证、数据加密、访问控制、完整性鉴别等安全服务；IPSec VPN实现云Intranet的安全接入，确保云内部网服务器间、总部和分部间、内网用户间等任何IP网络上的安全通信，确保所有通道内的信息安全，它对于用户和应用程序是透明的，对任何传输层和应用层协议都能为其无缝的提供安全保障；SSL协议是基于WEB应用的安全协议，协议包括服务器认证、客户认证(可选)、SSL链路上的数据完整性和保密性，在端与端之间建立了一个安全通道；SSL VPN,提供云与云之间、用户与云之间的远程安全接入，实现云Extranet安全接入云Intranet，并且，敏感信息(如数字证书和私钥)通过SSL VPN进行传输，防止被第三方截-M-犾。
3.根据权利要求I所述方法，其特征在于步骤2中所说的应用层协议工作在网络层协议和传输层协议之上，可以根据不同的安全需求使用应用层安全协议；比如说SSH协议提供身份认证和数据完整性保护，提供对用户账号口令的机密性保护，为FTP、SMTP等各种应用层协议提供安全屏障；S/MME和PEM协议可以提供安全电子邮件服务，可以实现保密性、身份认证与数据完整性、防抵赖性3个方面的安全服务；应用层的安全主要是以PKI系统为基础，用密码学技术确保技术信息文件传输、共享到使用的安全。
4.根据权利要求I所述方法，其特征在于步骤3中所说的混合信任模型(桥接信任结构)是综合层次、网状、信任列表等不同信任模型的一种整合结构，是一个多样性和差异性而又能实现互信互通的CA体系，符合云制造系统异构性、动态性、跨域性等特点；公有云CA(GCA)为桥CA中心，作为各个不同的信任域进行信任互通的桥梁和担保者，它具有证书机构的基本功能，向各个私有云签发证书(SCA)及维护其CRL列表，设有自己的目录服务器，并负责管理这些交叉认证证书；但它不同于一个根CA不具备信任起点的功能，只具有建立各个私有云信任域间信任关系的功能，各个私有云CA信任域保留原有的信任源，根据自身情况采用网状交叉认证、层次跟CA认证等不同信任链路。
5.根据权利要求I所述方法，其特征在于步骤3中所说的用户认证是指用户和云服务器之间进行双向身份认证，允许或拒绝登录；具体步骤包括 Al.用户端发出请求连接信息给云服务器，云服务端返回一个随机数R1，并保留Rl ；A2.用户用私钥对Rl进行数字签名，并产生一个随机数R2，将Rl的签名值、用户数字证书和R2 —并发送给云服务端，本地保留R2 ； A3.云服务器收到数据后，先检查该数字证书的签名、有效期，若证书有效，则通过用户数字证书获得公钥并解密Rl签名值进行用户身份验证； A4.云服务端用私钥对R2进行数字签名，然后将R2签名值和服务器数字证书发送用户； A5.用户收到数据后，先检查该数字证书的签名、有效期，若证书有 效，则通过用户数字证书获得公钥并解密R2签名值进行云服务器身份验证； A6.通过双向身份认证后，在角色权限范围内，用户可以与服务资源(SeaS、laaS、PeaS)进行交互。
6.根据权利要求I所述方法，其特征在于步骤3中所说的数字信封技术，具体步骤包括 BI.用户将技术信息明文进行MD5或SHA-I哈希函数(Hash Function)运算，产生一段固定长度的数字摘要I ; B2.用户用自己的私钥对数字摘要I加密，形成数字签名，附在发送信息原文后面； B3.随机数发生器产生一个随机数，密钥生成模块利用随机数随机产生一把对称会话密钥SK ；B4.用会话密钥SK的对称加密算法DES来对技术信息文件、数字签名和数字证书做加密，得到密文；B5.发送方通过接收方的数字证书获得公钥，并用此公钥的非对称加密算法RSA来对会话密钥SK进行加密，得到数字信封，用来安全传递DES中所用的会话密钥SK ；B6.接收方收到密文和数字信封后，用自己的私钥解密数字信封，获得会话密钥SK，并用SK解密密文，得到技术信息文件、数字签名和发送方的数字证书； B7.接收方通过发送方的数字证书获得公钥信息，解密数字签名文件，获得数字摘要I ; B8.接收方对解密后的信息文件再一次进行MD5或SHA-I哈希函数(Hash Function)运算，得到数字摘要2，通过对比数字摘要I和数字摘要2是否相同，若一致，说明信息没有被破坏或篡改，否则丢弃该文件。
7.根据权利要求I所述方法，其特征在于步骤3中用户端的USB-Key存储有密钥种子库、算法库、数字证书和用户私钥；服务端的智能芯片存储有加密的密钥种子库，算法库和服务器私钥，用固定密钥K对各个用户的密钥种子库分别加密成密文，每个云用户都与一个加密的密钥种子库一一对应；通过密钥生成协议采用组合密钥生成算法随机生成会话密钥SK，具体步骤包括 Cl.用户端的USB-Key设备中，产生一个随机数，由随机数对一组密钥种子数据进行选取产生对称会话密钥SK ； C2.服务端的智能芯片则根据数字证书的用户标识信息，在密钥种子数据库中定位密钥种子密文，同时，产生一个随机数，云服务器调 用存储密钥K解密密钥种子生产明文，由随机数对一组密钥种子数据进行选取产生对称会话密钥SK ； C3.会话密钥SK用于技术信息文件的加密，随机产生使得每一次的会话密钥SK都不同。
8.根据权利要求I所述方法，其特征在于步骤3中所说的日志管理协议用于记录用户登录及技术信息文件调用操作；登录参数记录在登录日志数据库里，参数包括用户标识、用于身份认证的随机数、登录时间等；操作参数记录在操作日志数据库里，操作包括浏览文件、修改、拷贝文件、发送或打印文件等，参数包括云用户或云制造平台管理人员的标识、文件名、随机数、数字签名和客户机的IP地址等。
9.根据权利要求I所述方法，其特征在于步骤4中所说的USB-Key具有硬件PIN码保护，用户只有同时取得了 USB-Key和用户PIN码，才可以登录系统，USB-Key内置CPU或智能芯片，通过算法调用模块调用DES、RSA、HASH算法等实现数据加解密和签名、数据摘要生成等，所有运算都在USB-Key内完成，保证了用户密钥不会出现在计算机内存中，从而杜绝了用户密钥被黑客截取的可能性。
10.根据权利要求I所述方法，其特征在于步骤4中所说的用户分为普通用户和高级用户，普通用户所持USB-Key里不包含数字证书，普通用户通过密钥生成协议随机选取密钥种子库产生一组对称密钥SKl作为认证密钥，随机选取产生一组对称密钥SK2作为签名密钥和加密密钥，由于每一组对称密钥只与一个随机数对应，每个云用户都与一个加密的密钥种子库一一对应，解决了对称密钥更新维护的难题；由于不需要数字证书，避开了申请证书的复杂程序；由于只采用对称加密算法，可以进行快速进行身份认证和签名加密，提高信息安全传输、共享和使用的效率，但这种方法安全等级不够高，高级用户通过数字证书进行身份验证和签名加密，安全等级较高。
全文摘要
本发明以网络安全协议、密码技术和基于公钥基础设施PKI为基础，通过基于多层协议的虚拟专用网VPN、数字信封、密码算法等实现技术与方法，为云内部网络之间，云与云之间、用户与云之间的信息交互提供了全面的安全保障，涵盖了云制造系统的Intranet、Extranet和Internet，综合管控技术信息文件存储、传递到使用的各个环节；利用密钥生成协议随机产生的会话密钥SK对技术信息文件进行对称加密，并通过PKI数字证书获得接收方公钥对会话密钥SK非对称加密形成数字信封，用来保护技术信息文件和会话密钥SK的安全。本发明具有保密性强、效率高、部署灵活等特点，可广泛应用于云制造系统和其他网络化制造系统中。
文档编号H04L9/30GK102710605SQ20121013968
公开日2012年10月3日 申请日期2012年5月8日 优先权日2012年5月8日
发明者和迪壮, 尹超, 李孝斌, 王明远, 郭晨 申请人:重庆大学