3. 安全威胁与风险分析

无线仪表把测量值从现场变送器经无线信道送到网关，再进入控制系统。与传统 4-20mA 硬线不同，这条链路上任何具备射频收发的设备都可能成为攻击者。要设计有效的密钥管理方案，必须先建立清晰的威胁模型：攻击者是谁、能接触哪些接口、能造成什么后果。本节围绕窃听、篡改、重放、拒绝服务、中间人五类典型威胁展开，并给出可落地的风险评估方法。

一、无线仪表的攻击面构成

无线仪表的攻击面可拆为四层：物理层（射频接口、调试口、电池仓）、链路层（跳频、时隙、MAC 地址）、网络层（路由、网关接入）、应用层（测量数据、配置参数、密钥）。攻击者可能位于射频覆盖范围内，也可能通过网关侧的网络接入。理解攻击面是威胁建模的起点。

二、五类威胁的作用机理

窃听是最基础的威胁。无线信号在开放空间传播，攻击者只需一台软件无线电即可捕获报文。若测量值或密钥以明文传输，攻击者可直接读取工艺参数，甚至推断生产状态。窃听属于被动攻击，不改变数据流，因此难以通过流量异常发现。

篡改针对数据完整性。攻击者截获报文后修改测量值或控制指令，再转发给接收方。例如把温度值从 120℃ 改为 80℃，可能触发错误的联锁判断。篡改通常需要攻击者掌握报文格式和校验方式。

重放是篡改的变种：攻击者录制一段合法报文，在稍后时间重复发送。若协议没有时间戳、序列号或随机数等新鲜性机制，接收方会把它当作新数据。重放可造成阀门反复动作、报警误触发等后果。

拒绝服务通过干扰射频、洪泛报文或耗尽电池，使仪表或网关无法正常通信。无线仪表多靠电池供电，持续接收无效报文会加速耗电，导致仪表提前失效。

中间人攻击是危害最大的一类。攻击者在仪表与网关之间建立两条独立链路，分别与双方完成认证，再转发或修改数据。若密钥协商过程缺乏双向身份认证，攻击者可替换会话密钥，长期窃取和篡改数据。

三、风险评估方法

风险评估的目标是把威胁按优先级排序，指导密钥管理资源的分配。推荐采用“资产—威胁—脆弱性—影响—可能性”五要素法，并用风险矩阵量化。

1. 资产识别：列出测量数据、控制指令、密钥、配置参数、设备可用性等资产。
2. 威胁映射：将五类威胁与资产对应，判断哪些资产暴露在哪些威胁下。
3. 脆弱性分析：检查是否使用明文传输、是否缺少新鲜性校验、密钥是否硬编码、认证是否单向。
4. 影响评估：从安全、生产、合规三个维度评估后果严重度。
5. 可能性评估：结合攻击者能力、射频覆盖、物理防护等判断发生概率。
6. 风险定级：风险值 = 影响 × 可能性，按高、中、低分级并制定处置措施。

四、场景案例：某化工厂无线温度仪表

某化工厂在反应釜区部署了 20 台 WirelessHART 温度仪表，网关接入 DCS。初期配置中，仪表与网关之间仅使用网络密钥进行加密，但未启用消息认证码，且密钥由出厂默认值统一写入。一次安全评估中，评估人员用软件无线电在厂区外围捕获报文，发现测量值可被解析，且重放旧报文后 DCS 显示温度异常波动。

评估发现：
1. 网络密钥为出厂默认值，未在投运时更换
2. 报文无消息认证码，完整性无法验证
3. 无序列号/时间戳，重放报文被接受
4. 网关仅认证仪表，未反向认证网关
风险结论：窃听（高）、篡改（高）、重放（中）、中间人（高）
整改建议：
- 投运时逐台更换唯一网络密钥
- 启用消息认证码（MIC）
- 启用序列号与时间戳校验
- 部署双向认证与密钥确认流程

五、复盘与改进方向

威胁分析不是一次性工作。仪表固件升级、网关更换、网络拓扑调整都会改变攻击面。建议每季度复核一次风险矩阵，重点检查密钥是否仍为默认值、认证是否双向、新鲜性机制是否生效。只有把威胁模型与密钥管理策略绑定，才能让无线仪表在开放射频环境中保持可信。