用于工業(yè)裝置的安全模型的制作方法
【專利說明】用于工業(yè)裝置的安全模型
[0001]本申請(qǐng)為于2011年10月17日提交、申請(qǐng)?zhí)枮?01110323926.0、發(fā)明名稱為“用于工業(yè)裝置的安全模型”的中國專利申請(qǐng)的分案申請(qǐng)。
技術(shù)領(lǐng)域
[0002]本主題公開內(nèi)容涉及一種用于工業(yè)自動(dòng)化環(huán)境的安全模型，更具體地，涉及一種適合于嵌入式工業(yè)自動(dòng)化裝置的可互操作的安全模型。
【背景技術(shù)】
[0003]安全是工業(yè)自動(dòng)化環(huán)境中的重要方面。對(duì)工廠或其它自動(dòng)化環(huán)境內(nèi)的機(jī)器和裝置的訪問應(yīng)該被控制為避免缺乏適當(dāng)?shù)呐嘤?xùn)、權(quán)限或憑證的人與機(jī)器和裝置的未授權(quán)或不適當(dāng)?shù)慕换?。另外，?duì)機(jī)器和裝置的操作應(yīng)當(dāng)被嚴(yán)格控制成為對(duì)于工業(yè)自動(dòng)化環(huán)境具有不同角色的不同人提供不同等級(jí)的許可。為了實(shí)現(xiàn)上述安全特征，當(dāng)訪問工業(yè)自動(dòng)化環(huán)境中的機(jī)器或裝置時(shí)，操作者可以提供指定操作者身份的憑證。一旦憑證被驗(yàn)證，機(jī)器或裝置可以賦予操作者權(quán)力，并且實(shí)現(xiàn)對(duì)基于與操作者相關(guān)聯(lián)的許可的特征的訪問。
[0004]通常，工業(yè)自動(dòng)化環(huán)境采用該環(huán)境內(nèi)的專有安全解決方案。專有安全解決方案不能與外來安全域互操作或信任外來安全域。在無法互操作的情況下，工業(yè)自動(dòng)化環(huán)境存在于安全孤島上。
[0005]在諸如網(wǎng)絡(luò)服務(wù)的其它領(lǐng)域中，涌現(xiàn)了一組標(biāo)準(zhǔn)安全相關(guān)規(guī)范。對(duì)于網(wǎng)絡(luò)服務(wù)，特別地，結(jié)構(gòu)化信息標(biāo)準(zhǔn)促進(jìn)組織(OASIS)已頒布了多種與實(shí)現(xiàn)松散耦合的系統(tǒng)之間的安全特征(例如，認(rèn)證、信任建立)有關(guān)的規(guī)范，諸如WS (網(wǎng)絡(luò)服務(wù))_安全、WS-信任、SAML (安全斷言標(biāo)記語言)等。更具體地，WS-安全是為網(wǎng)絡(luò)服務(wù)中的消息級(jí)安全提供基本構(gòu)架的規(guī)范。WS-信任擴(kuò)展WS-安全，并且提供用于在不同安全域當(dāng)中建立或代理(broker)信任的構(gòu)架。SAML(安全斷言標(biāo)記語言)是用于表示安全聲明或斷言的、基于XML(可擴(kuò)展標(biāo)記語言)的標(biāo)準(zhǔn)。由于上述標(biāo)準(zhǔn)依賴于基于互聯(lián)網(wǎng)的技術(shù)(諸如HTTP、SOAP, XML等)，因此它們旨在用于企業(yè)級(jí)系統(tǒng)(例如，大型網(wǎng)絡(luò)服務(wù)器、大型通用計(jì)算機(jī)等)。然而，這種基于互聯(lián)網(wǎng)的技術(shù)需要大量的資源，并且因而，不適合具有有限處理能力、有限存儲(chǔ)器等的小型嵌入式系統(tǒng)。

【發(fā)明內(nèi)容】

[0006]以下給出了本創(chuàng)新的簡(jiǎn)要概括，以便提供對(duì)本文所述的一些方面的基本理解。該概括不是所公開的主題內(nèi)容的詳盡概述。它不是旨在確定所公開的主題內(nèi)容的關(guān)鍵的或重要的要素，也不旨在限定主題創(chuàng)新的范圍。唯一的目的是以簡(jiǎn)化形式給出所公開的主題內(nèi)容的一些概念，作為稍后給出的更詳細(xì)描述的前序。
[0007]根據(jù)各個(gè)方面，描述了一種安全模型，該安全模型提供與外來安全域的互操作，同時(shí)仍可適合于小型嵌入式裝置。提供了安全令牌服務(wù)，該安全令牌服務(wù)被配置為響應(yīng)于令牌請(qǐng)求而發(fā)出、更新和/或驗(yàn)證安全令牌。根據(jù)協(xié)議緩沖器定義而定義了通信協(xié)議、相應(yīng)的消息結(jié)構(gòu)以及安全令牌。
[0008]根據(jù)第一方面，安全令牌服務(wù)集成在嵌入式裝置內(nèi)。嵌入式裝置可以是工業(yè)自動(dòng)化環(huán)境內(nèi)的工業(yè)自動(dòng)化裝置。裝置內(nèi)的安全令牌服務(wù)可以對(duì)與嵌入式裝置直接接口的用戶進(jìn)行認(rèn)證和授權(quán)。嵌入式裝置包括存儲(chǔ)于其上的賬戶信息，以便于通過安全令牌服務(wù)進(jìn)行認(rèn)證和授權(quán)。
[0009]根據(jù)第二方面，安全令牌服務(wù)集成在網(wǎng)絡(luò)設(shè)施內(nèi)。安全令牌服務(wù)可以經(jīng)由網(wǎng)絡(luò)獲得裝置傳送的令牌請(qǐng)求。網(wǎng)絡(luò)設(shè)施可以包括存儲(chǔ)于其上的賬戶信息，以使得安全令牌服務(wù)能夠基于令牌請(qǐng)求而對(duì)用戶進(jìn)行認(rèn)證和授權(quán)。安全令牌服務(wù)可以發(fā)出安全令牌并且經(jīng)由網(wǎng)絡(luò)將令牌傳送到各個(gè)裝置。
[0010]根據(jù)第三方面，安全令牌服務(wù)可以與網(wǎng)絡(luò)上的網(wǎng)關(guān)裝置相關(guān)聯(lián)。網(wǎng)關(guān)裝置與外部實(shí)體通信，以對(duì)用戶進(jìn)行認(rèn)證和授權(quán)。通信可以基于WS-信任規(guī)范。網(wǎng)關(guān)裝置可以在WS-信任指定的XML表示與協(xié)議緩沖器定義之間對(duì)安全令牌和/或令牌請(qǐng)求進(jìn)行翻譯。
[0011]以下描述和附圖詳細(xì)地闡述了所公開的主題內(nèi)容的特定示例性方面。然而，這些方面僅表示可采用創(chuàng)新原理的多種方式中的一些方式，并且所公開的主題內(nèi)容旨在包括所有這樣的方面及其等同方案。當(dāng)結(jié)合附圖考慮時(shí)，所公開的主題內(nèi)容的其它優(yōu)點(diǎn)和不同特征將從本創(chuàng)新的以下詳細(xì)描述而變得明顯。
【附圖說明】
[0012]圖1示出了根據(jù)各個(gè)方面的、采用安全令牌服務(wù)用于發(fā)出、更新以及驗(yàn)證安全令牌的示例系統(tǒng)的框圖。
[0013]圖2示出了根據(jù)各個(gè)方面的、采用安全令牌服務(wù)用于識(shí)別和認(rèn)證用戶的示例系統(tǒng)的框圖。
[0014]圖3示出了根據(jù)各個(gè)方面的、用于認(rèn)證用戶和發(fā)出安全令牌的示例方法的流程圖。
[0015]圖4示出了根據(jù)一個(gè)或多個(gè)方面的嵌入式裝置的框圖，該嵌入式裝置利用安全令牌服務(wù)來識(shí)別和認(rèn)證該裝置的用戶。
[0016]圖5示出了根據(jù)各個(gè)方面的、包括網(wǎng)絡(luò)設(shè)施的示例系統(tǒng)的框圖，該網(wǎng)絡(luò)設(shè)施提供安全令牌的發(fā)出、更新和驗(yàn)證。
[0017]圖6示出了根據(jù)一個(gè)或多個(gè)方面的、包括網(wǎng)關(guān)到外部身份提供者的示例系統(tǒng)的框圖。
[0018]圖7示出了根據(jù)各個(gè)方面的、包括網(wǎng)關(guān)到與外部身份提供者交互的安全服務(wù)器的示例系統(tǒng)的框圖。
[0019]圖8示出了根據(jù)各個(gè)方面的、用于與外來安全域橋接的示例方法的流程圖。
[0020]圖9示出了根據(jù)一方面的示例性計(jì)算環(huán)境的示意框圖。
[0021]圖10示出了可操作用于執(zhí)行所公開的方面的計(jì)算機(jī)的框圖。
【具體實(shí)施方式】
[0022]現(xiàn)在參照附圖描述各個(gè)方面，其中相同的附圖標(biāo)記始終用于表示相同的元件。在以下描述中，為了說明目的，闡述了大量具體的細(xì)節(jié)，以提供對(duì)一個(gè)或多個(gè)方面的透徹理解。然而，明顯的是，可以在沒有這些具體細(xì)節(jié)的情況下來實(shí)踐這些方面。在其它實(shí)例中，以框圖形式示出了公知的結(jié)構(gòu)和裝置，以便于描述這些方面。
[0023]首先參照?qǐng)D1，示出了根據(jù)一方面的示例性系統(tǒng)100。系統(tǒng)100被配置為利用安全令牌來便于用戶的識(shí)別、認(rèn)證和授權(quán)。在一方面，安全令牌包括指定各種信息的一組聲明或斷言。例如，安全令牌可以包括名稱、角色、授權(quán)碼、名稱被認(rèn)證的表示、認(rèn)證時(shí)間、許可動(dòng)作列表、密鑰信息等。然而，從以下描述應(yīng)理解，安全令牌可以包括除上述限定信息之外的附加信息。
[0024]系統(tǒng)100被配置為提供用戶的認(rèn)證、授權(quán)等的委托，并且可以包括請(qǐng)求者110，請(qǐng)求者110被配置為從安全設(shè)備120獲得安全令牌。請(qǐng)求者110可以是被配置為與用戶(未示出)交互的實(shí)體。請(qǐng)求者I1可以采用安全設(shè)備120對(duì)用戶進(jìn)行認(rèn)證。根據(jù)一個(gè)示例，其中系統(tǒng)100布置在工業(yè)自動(dòng)化環(huán)境內(nèi)，請(qǐng)求者110可以是工業(yè)自動(dòng)化裝置或工具，諸如但不限于控制器(例如，可編程自動(dòng)化控制器(PAC)、可編程邏輯控制器(PLC)等)、人機(jī)接口(HMI)、工業(yè)機(jī)器等。
[0025]請(qǐng)求者110從期望訪問請(qǐng)求者110提供的一些功能的用戶獲得憑證信息。憑證信息可以是用戶名/密碼對(duì)、安全令牌、Kerberos票據(jù)等。請(qǐng)求者110向安全設(shè)備120發(fā)出包括至少一部分憑證信息的令牌請(qǐng)求130。作為響應(yīng)，安全設(shè)備120可以將安全令牌140提供到請(qǐng)求者110。安全令牌140至少可以表示憑證信息是否是認(rèn)證的。根據(jù)另外的方面，安全令牌140可以包括用戶的屬性、用戶被授權(quán)執(zhí)行的許可動(dòng)作、用戶的角色、用戶的身份等。
[0026]請(qǐng)求者110和安全設(shè)備120可以利用協(xié)議緩沖器來實(shí)現(xiàn)和傳遞令牌請(qǐng)求130和安全令牌140。協(xié)議緩沖器是語言中性、平臺(tái)中性的可擴(kuò)展機(jī)制，用以對(duì)用于通信協(xié)議的結(jié)構(gòu)化數(shù)據(jù)進(jìn)行串行化。一個(gè)或多個(gè)協(xié)議消息可以被定義為指定如何構(gòu)造信息。每個(gè)協(xié)議消息可以包括分別具有名稱和值類型的一組名稱-值對(duì)。各種類型可以包括數(shù)字(例如，整數(shù)或浮點(diǎn)值)、布爾值、串、原始字節(jié)等。另外，值類型還可以包括其它協(xié)議消息。因此，協(xié)議緩沖器使得能夠分級(jí)地構(gòu)造信息。
[0027]—旦定義了協(xié)議消息，定義可以運(yùn)行通過協(xié)議緩沖器編譯器，以自動(dòng)生成數(shù)據(jù)訪問機(jī)制以及串行化/解串化機(jī)制。串行化/解串化機(jī)制被配置為將協(xié)議消息對(duì)象(例如，填充有實(shí)際數(shù)據(jù)的協(xié)議消息的對(duì)象實(shí)例)轉(zhuǎn)換成協(xié)議緩沖器(例如，原始字節(jié))，并且將協(xié)議緩沖器轉(zhuǎn)換成協(xié)議消息對(duì)象。數(shù)據(jù)訪問機(jī)制有利于根據(jù)協(xié)議消息的結(jié)構(gòu)，取回和設(shè)置與特定名稱-值對(duì)、協(xié)議消息對(duì)象相關(guān)聯(lián)的值。
[0028]通過協(xié)議緩沖器，可以創(chuàng)建定義令牌請(qǐng)求130的結(jié)構(gòu)的協(xié)議消息。與令牌請(qǐng)求130對(duì)應(yīng)的協(xié)議消息可以被編譯，以生成請(qǐng)求者110和安全設(shè)備120可采用的數(shù)據(jù)訪問機(jī)制和串行化/解串化機(jī)制。類似地，可以提供定義安全令牌140的結(jié)構(gòu)的協(xié)議消息，并且可以對(duì)該協(xié)議消息進(jìn)行編譯，以生成相應(yīng)的數(shù)據(jù)訪問機(jī)制和串行化/解串化機(jī)制。
[0029]除了用于信息(例如，協(xié)議消息)的結(jié)構(gòu)之外，協(xié)議緩沖器實(shí)現(xiàn)了服務(wù)的定義。例如，可以建立利用定義的協(xié)議消息(諸如令牌請(qǐng)求協(xié)議消息和安全令牌協(xié)議消息)的服務(wù)。服務(wù)定義可以被編譯，以生成可以被實(shí)現(xiàn)為遠(yuǎn)程過程呼叫或其它通信協(xié)議的一部分的抽象接口，以在多個(gè)實(shí)體之間交換信息。
[0030]利用用于令牌請(qǐng)求130和安全令牌140的服務(wù)定義和/或協(xié)議消息，請(qǐng)求者110可以例示(instantiate)令牌請(qǐng)求協(xié)議消息對(duì)象，并且用諸如憑證信息的信息來填充該對(duì)象。令牌請(qǐng)求協(xié)議消息對(duì)象可以被串行化為一系列原始字節(jié)，以生成令牌請(qǐng)求130。請(qǐng)求者110可以經(jīng)由遠(yuǎn)程過程呼叫或其它通信協(xié)議而將令牌請(qǐng)求130傳遞到安全設(shè)備120。
[0031]安全設(shè)備120可以接收作為一系列原始字節(jié)的令牌請(qǐng)求130。在一方面，安全設(shè)備120可以包括協(xié)議緩沖器部件122