儲(chǔ)i3000-156x50（2）.jpg)
到處都是Wi-Fi，在我們的家里、辦公室里、甚至在工廠環(huán)境里?，F(xiàn)在它成了通訊的支柱，在大多數(shù)與以太網(wǎng)通訊有關(guān)的方面已經(jīng)取代了傳統(tǒng)的有線以太網(wǎng)。由于其費(fèi)率更低、性能更高以及安全性更好，在很多情況下也取代了基于手機(jī)的通訊。
盡管Wi-Fi無(wú)處不在，可是看起來(lái)很少人真的了解它是如何工作的，或者如何提供安全的通訊。這種情況在過(guò)程工廠里表現(xiàn)得更為明顯。為什么會(huì)出現(xiàn)這種狀況？無(wú)線技術(shù)在為你帶來(lái)工作便利的同時(shí)，你是否對(duì)它進(jìn)行了足夠的保護(hù)？
Wi-Fi的歷史
嚴(yán)格來(lái)講，Wi-Fi是一種使用IEEE 802.11標(biāo)準(zhǔn)的無(wú)線局域網(wǎng)(LAN)，這個(gè)特定的名稱(chēng)屬于Wi-Fi聯(lián)盟。IEEE(電氣和電子工程師協(xié)會(huì))在1999年出版了802.11b標(biāo)準(zhǔn)，首次提供了以相對(duì)較快的（至少是在當(dāng)時(shí)）1到2 Mbps的速度進(jìn)行無(wú)線數(shù)據(jù)傳輸?shù)臋C(jī)制。它就很快得到了廣泛的應(yīng)用，因?yàn)榻^大多數(shù)過(guò)去的數(shù)據(jù)連接都是有線方式。
在Wi-Fi出現(xiàn)之前，無(wú)線通訊通常是基于專(zhuān)有的模擬無(wú)線電協(xié)議的，速度很慢，只能以0.0096Mbps的速度通訊，這意味著Wi-Fi要快100多倍。不僅如此，老的系統(tǒng)幾乎沒(méi)有嵌入的數(shù)據(jù)完整性協(xié)議，這需要用戶增加這些功能。
對(duì)于工業(yè)應(yīng)用場(chǎng)合，盡管終端設(shè)備基本上仍然在使用專(zhuān)有的串口協(xié)議，但Wi-Fi創(chuàng)造了實(shí)施復(fù)雜的高速通訊的可能性。早期，安全對(duì)于無(wú)線通訊來(lái)說(shuō)還算不上一個(gè)大問(wèn)題。當(dāng)時(shí)的無(wú)線通訊都是使用Modbus遠(yuǎn)程終端設(shè)備(RTU)或者類(lèi)似的產(chǎn)品來(lái)進(jìn)行的。盡管黑客可能想要通過(guò)擾亂控制系統(tǒng)來(lái)證明其價(jià)值，但結(jié)果可能是幾乎沒(méi)有值得竊取的數(shù)據(jù)。
■ 這是一個(gè)你可能看到的安裝在你的工廠里面的典型工業(yè)路由器。還是它已經(jīng)在那工作了多少年嗎？它能為你的網(wǎng)絡(luò)安全提供足夠的保護(hù)嗎？圖片來(lái)源：Moxa
技術(shù)進(jìn)步
隨著個(gè)人計(jì)算機(jī)和其他信息科技在工業(yè)自動(dòng)化領(lǐng)域變得越來(lái)越常見(jiàn)，以太網(wǎng)正推動(dòng)著工廠的科技進(jìn)步。以太網(wǎng)使用的傳輸控制協(xié)議/互聯(lián)網(wǎng)協(xié)議（TCP/IP）變成了標(biāo)準(zhǔn)，不過(guò)在其之上仍然具有專(zhuān)有工業(yè)協(xié)議，例如EtherNet/IP，Modbus TCP/IP，Profinet等其他協(xié)議。這些與傳統(tǒng)的IT網(wǎng)絡(luò)很像，企業(yè)級(jí)別的網(wǎng)絡(luò)與工業(yè)網(wǎng)絡(luò)的連接變得越來(lái)越緊密，將原來(lái)的自動(dòng)化信息孤島連接起來(lái)，創(chuàng)造一個(gè)直接從低級(jí)別現(xiàn)場(chǎng)設(shè)備到商業(yè)網(wǎng)絡(luò)的連接路徑。
現(xiàn)在從工業(yè)網(wǎng)絡(luò)里竊取數(shù)據(jù)更加容易了，因?yàn)楹诳蛡兛梢允褂迷贗T網(wǎng)絡(luò)中學(xué)到的相同的手段。不過(guò)慶幸的是，在絕大多數(shù)情況下沒(méi)有什么值得竊取的。黑客們確實(shí)認(rèn)識(shí)到工業(yè)網(wǎng)絡(luò)經(jīng)常沒(méi)有企業(yè)IT網(wǎng)絡(luò)那么安全。他們可以使用已經(jīng)建立的相同渠道將生產(chǎn)制造數(shù)據(jù)轉(zhuǎn)移到管理級(jí)IT系統(tǒng)，而且這樣的轉(zhuǎn)移通常做起來(lái)很簡(jiǎn)單。
將Wi-Fi引入工廠
過(guò)去，在大多數(shù)工業(yè)環(huán)境下，Wi-Fi常因?yàn)橐鉀Q特定的應(yīng)用問(wèn)題而開(kāi)始被采用。一般來(lái)說(shuō)，它們以前只是在接線不可行或太昂貴的情況下的點(diǎn)到點(diǎn)通訊。因?yàn)樾碌目萍技夹g(shù)更經(jīng)濟(jì)更容易使用，因此取代了老的專(zhuān)有系統(tǒng)。盡管在進(jìn)行網(wǎng)絡(luò)掃描時(shí)可能發(fā)現(xiàn)無(wú)線網(wǎng)絡(luò)已經(jīng)在可用的網(wǎng)絡(luò)連接清單之列，企業(yè)的IT人員通常對(duì)于發(fā)生了什么并沒(méi)有概念。
早期的Wi-Fi網(wǎng)絡(luò)已經(jīng)對(duì)安全有了規(guī)定，不過(guò)通常的默認(rèn)值是設(shè)置網(wǎng)絡(luò)不受保護(hù)，這樣可以避免輸密碼的麻煩。在2003年以前，系統(tǒng)采用的是有線等效保密（WEP）協(xié)議，它是包含在最初的IEEE 802.11標(biāo)準(zhǔn)中的且目標(biāo)是消費(fèi)者市場(chǎng)。
對(duì)于家用網(wǎng)絡(luò)，將鄰居們屏蔽在網(wǎng)絡(luò)之外也許就足夠了，可是突破家用網(wǎng)絡(luò)的工具很快就出現(xiàn)了。到2003年，使用臨時(shí)密鑰完整性協(xié)議(TKIP)的Wi-Fi保護(hù)接入（WPA）出現(xiàn)了。如果使用高級(jí)加密標(biāo)準(zhǔn)(AES)代替TKIP會(huì)好得多，這又是另一種提高。不過(guò)，不久以后，這些也一樣會(huì)被突破。
在2006年，通過(guò)引入WPA2，大體上解決了易受攻擊的問(wèn)題。它使用AES和計(jì)數(shù)器模式密碼塊鏈消息完整碼協(xié)議（CCMP）來(lái)代替TKIP。盡管要突破這個(gè)保護(hù)需要大量的時(shí)間和努力，對(duì)大多數(shù)黑客來(lái)說(shuō)不可行，但是這也證明它仍可能被突破。
草率的安全實(shí)踐
也許在技術(shù)上WPA2解決了黑客的問(wèn)題，但是實(shí)際情況也不都是這樣。大多數(shù)Wi-Fi路由器按規(guī)定具有向后兼容，因此一位用戶可以使用過(guò)去的某一項(xiàng)技術(shù)來(lái)進(jìn)行安全設(shè)置的配置。
甚至在惡劣的工廠環(huán)境下，一部高質(zhì)量的工業(yè)增強(qiáng)型路由器也可以工作很多年，因此今天發(fā)現(xiàn)2002年安裝的硬件還在工作的情況也很常見(jiàn)。不幸的是，一部運(yùn)行12年之久的路由器意味著只能提供一種安全設(shè)置，即WEP，因?yàn)楫?dāng)它被建造的時(shí)候只有這一種設(shè)置可以用。
許多在工廠里安裝這個(gè)硬件的人是維護(hù)人員，而不是IT部門(mén)。他們安裝一部新的路由器并設(shè)置其WEP來(lái)與現(xiàn)有硬件相匹配，并沒(méi)有意識(shí)到在安全功能方面的差別。安全就是安全，對(duì)吧？網(wǎng)絡(luò)在可用的網(wǎng)絡(luò)列表中顯示為安全，那么我們就是被保護(hù)的，對(duì)吧？
有一些無(wú)線連接甚至都不是公司安裝的。在工廠里工作的服務(wù)人員可能將一臺(tái)無(wú)線路由器連接到PLC或者以太網(wǎng)網(wǎng)絡(luò)上，來(lái)幫助解決故障診斷的問(wèn)題。具有很強(qiáng)的安全文化的公司是禁止做這樣的事情的，可是在很多公司里這是一種常見(jiàn)做法。
一位認(rèn)真負(fù)責(zé)的技術(shù)員會(huì)確保在工作結(jié)束時(shí)將設(shè)備移除，可是如果一臺(tái)設(shè)備被留下了，很少有技術(shù)人員會(huì)付出特別的努力來(lái)取回它。工作結(jié)束很久以后該設(shè)備可能還保留在現(xiàn)場(chǎng)，并且一直保持著不安全的連接。如果一位黑客發(fā)現(xiàn)這個(gè)小型的有漏洞的網(wǎng)絡(luò)，上面的做法就為其提供了一種新的入侵途徑，有可能由此入侵整個(gè)公司的IT基礎(chǔ)設(shè)施。
為什么安全如此重要？
一位想要侵入一家公司網(wǎng)絡(luò)的黑客會(huì)選擇阻力最小的路徑。例如，在一個(gè)過(guò)程工廠里，主要的目標(biāo)是沒(méi)有安全防護(hù)或者防護(hù)水平最低的無(wú)線網(wǎng)絡(luò)。對(duì)于黑客來(lái)說(shuō)最能限制他們的是距離工廠足夠近才能獲取無(wú)線電信號(hào)。由于大多數(shù)的信號(hào)發(fā)生器都是在圍墻界限以內(nèi)工作的，這也許會(huì)不方便，但并不足以能成為黑客們的阻礙。
如果一位黑客只能進(jìn)入一個(gè)被隔離的工廠網(wǎng)絡(luò)，潛在的損害程度應(yīng)該還是有限的。 更加嚴(yán)重的問(wèn)題是成功入侵工廠網(wǎng)絡(luò)為進(jìn)入企業(yè)IT網(wǎng)絡(luò)提供了一條路徑，更多重要的數(shù)據(jù)會(huì)存儲(chǔ)在企業(yè)IT網(wǎng)絡(luò)上。
工廠網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)的連接通常允許數(shù)據(jù)向數(shù)據(jù)鏈的上游傳輸。為了避免辦公室里的人可能會(huì)干預(yù)工廠里的設(shè)置，以及防止黑客通過(guò)企業(yè)網(wǎng)絡(luò)對(duì)工廠發(fā)動(dòng)攻擊，向下游的數(shù)據(jù)傳輸通常被限制。不過(guò)有一些公司希望或需要進(jìn)行雙向通訊，例如下載想要的生產(chǎn)操作說(shuō)明等。
大多數(shù)企業(yè)的IT團(tuán)隊(duì)會(huì)在IT和工廠網(wǎng)絡(luò)之間設(shè)置隔離，一般是防火墻、隔離區(qū)或指定服務(wù)器，用來(lái)控制在兩個(gè)網(wǎng)絡(luò)之間來(lái)回傳輸?shù)膬?nèi)容。不過(guò)正如前面所提到的，企業(yè)對(duì)于從IT部門(mén)到工廠方向上的數(shù)據(jù)流的關(guān)注相比反方向要多得多。
此外，除非負(fù)責(zé)配置這些系統(tǒng)的人員對(duì)于工業(yè)網(wǎng)絡(luò)和常見(jiàn)的生產(chǎn)制造硬件具有高水平的了解，否則控制數(shù)據(jù)流的規(guī)則很少會(huì)被按照應(yīng)有的方式進(jìn)行配置。所以，如果一個(gè)黑客想要通過(guò)一個(gè)工廠Wi-Fi網(wǎng)絡(luò)入侵到一個(gè)更大的系統(tǒng)，他經(jīng)常需要在物理上足夠接近才能建立通訊。如果他想辦法進(jìn)入到企業(yè)網(wǎng)絡(luò)中并且技術(shù)嫻熟，以致于他可以創(chuàng)建一道“門(mén)”，他就可以在后續(xù)的訪問(wèn)中通過(guò)互聯(lián)網(wǎng)進(jìn)入。
如果IT網(wǎng)絡(luò)的安全監(jiān)控非常嚴(yán)密，無(wú)法創(chuàng)建一個(gè)新的入口，黑客可能不得不在工廠附件安裝一臺(tái)小型設(shè)備用于與Wi-Fi網(wǎng)絡(luò)進(jìn)行通訊，再將信息通過(guò)手機(jī)連接發(fā)送到一個(gè)更加方便的地點(diǎn)。 在任何情況下，有多種方式通過(guò)Wi-Fi網(wǎng)絡(luò)都可以在企業(yè)網(wǎng)絡(luò)內(nèi)部建立一個(gè)更加長(zhǎng)久的據(jù)點(diǎn)。
解決方案是什么？
解決這些安全隱患需要工廠人員對(duì)下面內(nèi)容多加注意。
替換所有2006年以前生產(chǎn)的Wi-Fi路由器。雖然年頭太久的路由器還能正常工作，但是如果它們不支持WPA2安全功能，就應(yīng)該使用最新的設(shè)備替換它們。此外，僅僅看到某個(gè)設(shè)備是在2006年生產(chǎn)的，并不一定保證它支持WPA2功能，因此要先確認(rèn)該產(chǎn)品是否具備這種功能。
使用WPA2安全功能配置所有的網(wǎng)絡(luò)。當(dāng)所有的路由器都配有WPA2功能時(shí)，將其設(shè)置為你的默認(rèn)安全協(xié)議并在所有的路由器上都執(zhí)行它。
使用強(qiáng)密碼。路由器需要設(shè)置密碼，而且必須是有效的密碼。關(guān)鍵的因素是長(zhǎng)度和變化。使用不同類(lèi)型的字符數(shù)越多越好，最少為16個(gè)字符。包括數(shù)字和符號(hào)會(huì)更有幫助，但是字符數(shù)的絕對(duì)數(shù)量才是最重要的。創(chuàng)建短語(yǔ)會(huì)有幫助，例如“MyHouseHasPurpleShutters”有24個(gè)字符，但是也容易記憶和打字。
管理密碼。如果把密碼打印在一張紙條上并貼在路由器上，那這個(gè)密碼毫無(wú)幫助。所有的密碼都應(yīng)該記錄在紙上，并保存在工廠以外的某個(gè)地方。辦公室的負(fù)責(zé)人應(yīng)該將其放在一個(gè)安全的文件柜內(nèi)。當(dāng)知道密碼的員工離開(kāi)公司后，必須立即修改密碼并重新登錄。不要等到一個(gè)更方便的時(shí)間，而是在員工離開(kāi)以后盡快修改。情緒不滿的員工遠(yuǎn)比技術(shù)熟練的黑客更危險(xiǎn)，因?yàn)樗麄冊(cè)敿?xì)了解每個(gè)設(shè)備是如何工作的以及設(shè)備是如何配置的。 可能出現(xiàn)的最壞組合是抱怨的前員工為技術(shù)熟練地黑客提供指導(dǎo)。
上面提到的這些安全措施簡(jiǎn)單有效，不會(huì)為企業(yè)增加太多費(fèi)用，而且可以在不需要IT人員介入的情況下由工廠人員完成。如果負(fù)責(zé)工廠Wi-Fi和其他網(wǎng)絡(luò)的人員可以維持適度水平的安全，他們對(duì)公司將做出重要的貢獻(xiàn)。
如何保護(hù)你的工廠網(wǎng)絡(luò)？
與網(wǎng)絡(luò)安全相關(guān)的一個(gè)常見(jiàn)討論是保護(hù)敏感生產(chǎn)制造數(shù)據(jù)的必要性。如果有些情況下來(lái)自于工廠的信息涉及到飛機(jī)部件的關(guān)鍵CNC程序或者嚴(yán)密戒備的化學(xué)過(guò)程，這些信息是非常有價(jià)值的。
然而，大多數(shù)生產(chǎn)制造運(yùn)行中可以獲得的數(shù)據(jù)沒(méi)什么價(jià)值，不值得竊取，例如反應(yīng)器的溫度或沖壓機(jī)在一個(gè)班次里生產(chǎn)多少個(gè)部件。那么黑客們?yōu)槭裁匆秩牍I(yè)網(wǎng)絡(luò)？
有一些黑客僅僅是為了以一種或另一種方式擾亂生產(chǎn)；關(guān)閉一臺(tái)關(guān)鍵的設(shè)備、從PLC中刪除程序或錯(cuò)開(kāi)一個(gè)閥門(mén)來(lái)制造環(huán)境災(zāi)難。這些都有可能發(fā)生，不過(guò)重要的是要保持這些狀況透明。最壞的情況下，網(wǎng)絡(luò)罪犯會(huì)可能做什么？如果一個(gè)工廠的控制系統(tǒng)的運(yùn)行方式會(huì)帶來(lái)潛在的安全和健康隱患，那說(shuō)明這些系統(tǒng)設(shè)計(jì)得不好，應(yīng)該重新評(píng)估。
這個(gè)結(jié)論看起來(lái)也許讓人覺(jué)得驚訝，不過(guò)如果工作在控制室內(nèi)的操作員或從外面來(lái)的網(wǎng)絡(luò)罪犯可以制造真正危險(xiǎn)的狀況，而安全系統(tǒng)卻無(wú)法將工廠過(guò)渡到一個(gè)安全狀態(tài)，那確實(shí)說(shuō)明該系統(tǒng)存在嚴(yán)重的缺陷。在一個(gè)設(shè)計(jì)正確的控制系統(tǒng)中，黑客可以立即制造問(wèn)題，不過(guò)不會(huì)產(chǎn)生長(zhǎng)遠(yuǎn)的效果。
雖然網(wǎng)絡(luò)攻擊不是每天發(fā)生，但這并不是讓工廠級(jí)別的網(wǎng)絡(luò)不受保護(hù)的借口，尤其是無(wú)線網(wǎng)絡(luò)。一套網(wǎng)絡(luò)安全防御計(jì)劃應(yīng)該反映被保護(hù)對(duì)象的價(jià)值。一套設(shè)計(jì)正確的控制系統(tǒng)的安全防御機(jī)制應(yīng)當(dāng)不能被擾亂，不管是通過(guò)故意的行為還是人為的錯(cuò)誤造成的。（作者：Bruce Billedeaux）
關(guān)注本刊微信訂閱號(hào)