用于工業(yè)裝置的安全模型的制作方法
【專利說明】用于工業(yè)裝置的安全模型
[0001]本申請為于2011年10月17日提交、申請?zhí)枮?01110323926.0、發(fā)明名稱為“用于工業(yè)裝置的安全模型”的中國專利申請的分案申請。
技術(shù)領域
[0002]本主題公開內(nèi)容涉及一種用于工業(yè)自動化環(huán)境的安全模型，更具體地，涉及一種適合于嵌入式工業(yè)自動化裝置的可互操作的安全模型。
【背景技術(shù)】
[0003]安全是工業(yè)自動化環(huán)境中的重要方面。對工廠或其它自動化環(huán)境內(nèi)的機器和裝置的訪問應該被控制為避免缺乏適當?shù)呐嘤?、?quán)限或憑證的人與機器和裝置的未授權(quán)或不適當?shù)慕换?。另外，對機器和裝置的操作應當被嚴格控制成為對于工業(yè)自動化環(huán)境具有不同角色的不同人提供不同等級的許可。為了實現(xiàn)上述安全特征，當訪問工業(yè)自動化環(huán)境中的機器或裝置時，操作者可以提供指定操作者身份的憑證。一旦憑證被驗證，機器或裝置可以賦予操作者權(quán)力，并且實現(xiàn)對基于與操作者相關聯(lián)的許可的特征的訪問。
[0004]通常，工業(yè)自動化環(huán)境采用該環(huán)境內(nèi)的專有安全解決方案。專有安全解決方案不能與外來安全域互操作或信任外來安全域。在無法互操作的情況下，工業(yè)自動化環(huán)境存在于安全孤島上。
[0005]在諸如網(wǎng)絡服務的其它領域中，涌現(xiàn)了一組標準安全相關規(guī)范。對于網(wǎng)絡服務，特別地，結(jié)構(gòu)化信息標準促進組織(OASIS)已頒布了多種與實現(xiàn)松散耦合的系統(tǒng)之間的安全特征(例如，認證、信任建立)有關的規(guī)范，諸如WS (網(wǎng)絡服務)_安全、WS-信任、SAML (安全斷言標記語言)等。更具體地，WS-安全是為網(wǎng)絡服務中的消息級安全提供基本構(gòu)架的規(guī)范。WS-信任擴展WS-安全，并且提供用于在不同安全域當中建立或代理(broker)信任的構(gòu)架。SAML(安全斷言標記語言)是用于表示安全聲明或斷言的、基于XML(可擴展標記語言)的標準。由于上述標準依賴于基于互聯(lián)網(wǎng)的技術(shù)(諸如HTTP、SOAP, XML等)，因此它們旨在用于企業(yè)級系統(tǒng)(例如，大型網(wǎng)絡服務器、大型通用計算機等)。然而，這種基于互聯(lián)網(wǎng)的技術(shù)需要大量的資源，并且因而，不適合具有有限處理能力、有限存儲器等的小型嵌入式系統(tǒng)。

【發(fā)明內(nèi)容】

[0006]以下給出了本創(chuàng)新的簡要概括，以便提供對本文所述的一些方面的基本理解。該概括不是所公開的主題內(nèi)容的詳盡概述。它不是旨在確定所公開的主題內(nèi)容的關鍵的或重要的要素，也不旨在限定主題創(chuàng)新的范圍。唯一的目的是以簡化形式給出所公開的主題內(nèi)容的一些概念，作為稍后給出的更詳細描述的前序。
[0007]根據(jù)各個方面，描述了一種安全模型，該安全模型提供與外來安全域的互操作，同時仍可適合于小型嵌入式裝置。提供了安全令牌服務，該安全令牌服務被配置為響應于令牌請求而發(fā)出、更新和/或驗證安全令牌。根據(jù)協(xié)議緩沖器定義而定義了通信協(xié)議、相應的消息結(jié)構(gòu)以及安全令牌。
[0008]根據(jù)第一方面，安全令牌服務集成在嵌入式裝置內(nèi)。嵌入式裝置可以是工業(yè)自動化環(huán)境內(nèi)的工業(yè)自動化裝置。裝置內(nèi)的安全令牌服務可以對與嵌入式裝置直接接口的用戶進行認證和授權(quán)。嵌入式裝置包括存儲于其上的賬戶信息，以便于通過安全令牌服務進行認證和授權(quán)。
[0009]根據(jù)第二方面，安全令牌服務集成在網(wǎng)絡設施內(nèi)。安全令牌服務可以經(jīng)由網(wǎng)絡獲得裝置傳送的令牌請求。網(wǎng)絡設施可以包括存儲于其上的賬戶信息，以使得安全令牌服務能夠基于令牌請求而對用戶進行認證和授權(quán)。安全令牌服務可以發(fā)出安全令牌并且經(jīng)由網(wǎng)絡將令牌傳送到各個裝置。
[0010]根據(jù)第三方面，安全令牌服務可以與網(wǎng)絡上的網(wǎng)關裝置相關聯(lián)。網(wǎng)關裝置與外部實體通信，以對用戶進行認證和授權(quán)。通信可以基于WS-信任規(guī)范。網(wǎng)關裝置可以在WS-信任指定的XML表示與協(xié)議緩沖器定義之間對安全令牌和/或令牌請求進行翻譯。
[0011]以下描述和附圖詳細地闡述了所公開的主題內(nèi)容的特定示例性方面。然而，這些方面僅表示可采用創(chuàng)新原理的多種方式中的一些方式，并且所公開的主題內(nèi)容旨在包括所有這樣的方面及其等同方案。當結(jié)合附圖考慮時，所公開的主題內(nèi)容的其它優(yōu)點和不同特征將從本創(chuàng)新的以下詳細描述而變得明顯。
【附圖說明】
[0012]圖1示出了根據(jù)各個方面的、采用安全令牌服務用于發(fā)出、更新以及驗證安全令牌的示例系統(tǒng)的框圖。
[0013]圖2示出了根據(jù)各個方面的、采用安全令牌服務用于識別和認證用戶的示例系統(tǒng)的框圖。
[0014]圖3示出了根據(jù)各個方面的、用于認證用戶和發(fā)出安全令牌的示例方法的流程圖。
[0015]圖4示出了根據(jù)一個或多個方面的嵌入式裝置的框圖，該嵌入式裝置利用安全令牌服務來識別和認證該裝置的用戶。
[0016]圖5示出了根據(jù)各個方面的、包括網(wǎng)絡設施的示例系統(tǒng)的框圖，該網(wǎng)絡設施提供安全令牌的發(fā)出、更新和驗證。
[0017]圖6示出了根據(jù)一個或多個方面的、包括網(wǎng)關到外部身份提供者的示例系統(tǒng)的框圖。
[0018]圖7示出了根據(jù)各個方面的、包括網(wǎng)關到與外部身份提供者交互的安全服務器的示例系統(tǒng)的框圖。
[0019]圖8示出了根據(jù)各個方面的、用于與外來安全域橋接的示例方法的流程圖。
[0020]圖9示出了根據(jù)一方面的示例性計算環(huán)境的示意框圖。
[0021]圖10示出了可操作用于執(zhí)行所公開的方面的計算機的框圖。
【具體實施方式】
[0022]現(xiàn)在參照附圖描述各個方面，其中相同的附圖標記始終用于表示相同的元件。在以下描述中，為了說明目的，闡述了大量具體的細節(jié)，以提供對一個或多個方面的透徹理解。然而，明顯的是，可以在沒有這些具體細節(jié)的情況下來實踐這些方面。在其它實例中，以框圖形式示出了公知的結(jié)構(gòu)和裝置，以便于描述這些方面。
[0023]首先參照圖1，示出了根據(jù)一方面的示例性系統(tǒng)100。系統(tǒng)100被配置為利用安全令牌來便于用戶的識別、認證和授權(quán)。在一方面，安全令牌包括指定各種信息的一組聲明或斷言。例如，安全令牌可以包括名稱、角色、授權(quán)碼、名稱被認證的表示、認證時間、許可動作列表、密鑰信息等。然而，從以下描述應理解，安全令牌可以包括除上述限定信息之外的附加信息。
[0024]系統(tǒng)100被配置為提供用戶的認證、授權(quán)等的委托，并且可以包括請求者110，請求者110被配置為從安全設備120獲得安全令牌。請求者110可以是被配置為與用戶(未示出)交互的實體。請求者I1可以采用安全設備120對用戶進行認證。根據(jù)一個示例，其中系統(tǒng)100布置在工業(yè)自動化環(huán)境內(nèi)，請求者110可以是工業(yè)自動化裝置或工具，諸如但不限于控制器(例如，可編程自動化控制器(PAC)、可編程邏輯控制器(PLC)等)、人機接口(HMI)、工業(yè)機器等。
[0025]請求者110從期望訪問請求者110提供的一些功能的用戶獲得憑證信息。憑證信息可以是用戶名/密碼對、安全令牌、Kerberos票據(jù)等。請求者110向安全設備120發(fā)出包括至少一部分憑證信息的令牌請求130。作為響應，安全設備120可以將安全令牌140提供到請求者110。安全令牌140至少可以表示憑證信息是否是認證的。根據(jù)另外的方面，安全令牌140可以包括用戶的屬性、用戶被授權(quán)執(zhí)行的許可動作、用戶的角色、用戶的身份等。
[0026]請求者110和安全設備120可以利用協(xié)議緩沖器來實現(xiàn)和傳遞令牌請求130和安全令牌140。協(xié)議緩沖器是語言中性、平臺中性的可擴展機制，用以對用于通信協(xié)議的結(jié)構(gòu)化數(shù)據(jù)進行串行化。一個或多個協(xié)議消息可以被定義為指定如何構(gòu)造信息。每個協(xié)議消息可以包括分別具有名稱和值類型的一組名稱-值對。各種類型可以包括數(shù)字(例如，整數(shù)或浮點值)、布爾值、串、原始字節(jié)等。另外，值類型還可以包括其它協(xié)議消息。因此，協(xié)議緩沖器使得能夠分級地構(gòu)造信息。
[0027]—旦定義了協(xié)議消息，定義可以運行通過協(xié)議緩沖器編譯器，以自動生成數(shù)據(jù)訪問機制以及串行化/解串化機制。串行化/解串化機制被配置為將協(xié)議消息對象(例如，填充有實際數(shù)據(jù)的協(xié)議消息的對象實例)轉(zhuǎn)換成協(xié)議緩沖器(例如，原始字節(jié))，并且將協(xié)議緩沖器轉(zhuǎn)換成協(xié)議消息對象。數(shù)據(jù)訪問機制有利于根據(jù)協(xié)議消息的結(jié)構(gòu)，取回和設置與特定名稱-值對、協(xié)議消息對象相關聯(lián)的值。
[0028]通過協(xié)議緩沖器，可以創(chuàng)建定義令牌請求130的結(jié)構(gòu)的協(xié)議消息。與令牌請求130對應的協(xié)議消息可以被編譯，以生成請求者110和安全設備120可采用的數(shù)據(jù)訪問機制和串行化/解串化機制。類似地，可以提供定義安全令牌140的結(jié)構(gòu)的協(xié)議消息，并且可以對該協(xié)議消息進行編譯，以生成相應的數(shù)據(jù)訪問機制和串行化/解串化機制。
[0029]除了用于信息(例如，協(xié)議消息)的結(jié)構(gòu)之外，協(xié)議緩沖器實現(xiàn)了服務的定義。例如，可以建立利用定義的協(xié)議消息(諸如令牌請求協(xié)議消息和安全令牌協(xié)議消息)的服務。服務定義可以被編譯，以生成可以被實現(xiàn)為遠程過程呼叫或其它通信協(xié)議的一部分的抽象接口，以在多個實體之間交換信息。
[0030]利用用于令牌請求130和安全令牌140的服務定義和/或協(xié)議消息，請求者110可以例示(instantiate)令牌請求協(xié)議消息對象，并且用諸如憑證信息的信息來填充該對象。令牌請求協(xié)議消息對象可以被串行化為一系列原始字節(jié)，以生成令牌請求130。請求者110可以經(jīng)由遠程過程呼叫或其它通信協(xié)議而將令牌請求130傳遞到安全設備120。
[0031]安全設備120可以接收作為一系列原始字節(jié)的令牌請求130。在一方面，安全設備120可以包括協(xié)議緩沖器部件122