说实话，工业系统里的暗号秘密，远比这随意得多，也致命得多。从Modbus到PROFIBUS，从HMI到SCADA，到处都是这种不成文的“规矩”，搞得好像只要是接在串口线上的设备，就可以拿裤腰带勒住一样。😅
✅ 机器间的“黑话”
我第一次见真实的暗号秘密被用在设备通信上，是在一个污水处理项目的调试现场。西门子的PLC要跟国产的变频器对话，厂家给了张表，上面密密麻麻写着寄存器地址，每个地址后面还跟了一串十六进制。我问，这是什么？他说，这是它们俩的“暗号”——变频器只有在收到正确的心跳包之后，才允许启动电机。心跳包里必须带上当天日期的某种哈希。对，就是这么原始的做法，但那会儿Modbus TCP还不太支持加密，工程师只好自己糊一层。
这种土法炼钢式的暗号秘密，在中小型工厂里遍地都是。有时候是CRC校验码故意写错几位，有时候是功能码反过来用，总之就是让外人不明就里。可问题来了——这些“暗号”一旦写死在程序里，过两年连自己人都看不懂了。上周我处理一个老版本的WINCC项目，打开画面一看，所有按钮的权限控制居然是用脚本拼凑出的口令验证，口令居然是动态生成的……我真想给当年的自己一锤子。🔨
❗ 密码簿贴在柜门上
更让人头大的，是那些“公开的暗号秘密”。千万别高估一线人员的耐心，你去车间转一圈，至少有一半的HMI屏保密码是1234，或者干脆没设。有一次我帮一个注塑厂排查网络延迟，随手打开一台边缘网关的配置页，用户名admin，密码admin，直接进去了……里面整条产线的工艺参数一览无余。
我知道你想问，这么搞安全吗？当然不。但现实是，连他们车间主任都告诉我：“设复杂密码？半夜设备停了，操作工再输错三次把账户锁了，谁半夜来解锁？”于是暗号秘密就变成了公开的秘密——密码就写在HMI旁边的便签纸上，或者干脆用记号笔写在机柜玻璃上。😮💨
问：工业设备的默认密码风险到底有多大？
答：大到离谱。前年有家汽车配件厂，就因为一台带网口的注塑机被扫到公网，黑客用默认密码进去后横向移动，把整个MES服务器都加密了。赎金要了三十个比特币。查到最后，入口就是设备上那个永远没改过的“1111”。所以千万别觉得工业暗号是小事，它可能是整个OT网络唯一的屏障。
问：那为什么不干脆用企业级的加密方案？
答：说得轻巧。很多工业设备是跑在低功耗嵌入式系统上的，连SSL握手都可能撑爆CPU。而且大部分老旧设备根本不支持固件更新，只能用一些奇技淫巧来凑合。说白了，暗号秘密很多时候是不得已而为之。
💡 玩点花活儿
不过话说回来，也不是所有土办法都该被嫌弃。我见过最精彩的一次，是某半导体厂的工程师把车间的门禁系统和生产的Recipe绑定在一起——进不同的区域，要刷不同的卡，同时要在门禁键盘上输入当天变动的四位代码，而这个代码其实是某个工艺参数的校验和。这样一来，不但管住了人，还顺便校验了配方有没有被篡改。这套暗号秘密虽然简陋，但确实管用，而且完全基于本地逻辑，不依赖网络。
这给我们的启发是：暗号秘密不一定非要用复杂的加密算法，但一定要跟工艺深度绑定。比如把操作口令藏在一串看似正常的寄存器变动里，或者利用设备自带的序列号做一个简单的双向认证。这些点子，教科书上不会写，全靠现场经验堆出来。所以，如果你正在为一个老旧的自动化产线头疼，不妨从工艺本身出发，自己设计一套只有你们产线看得懂的“黑话”。
问：如何给工业网络设置暗号才足够安全？
答：如果是新建项目，尽量走标准的工业安全协议，比如OPC UA加上证书认证，哪怕麻烦点。但如果是旧设备改造，记住三个原则：一，尽量别直接用默认端口号，换个高位端口；二，口令必须动态生成，最好跟实际的物理信号挂钩，比如温度、压力值；三，永远留一条物理断网的硬开关，真出事了，拉闸最直接。
还有，把修改暗号的过程写成文档，别只记在脑子里。我就吃过亏——帮客户改了套PLC的密码，三年后客户打电话来说忘了，我也早不记得了，最后只能强制刷机，丢了不少数据。所以，暗号秘密的管理比暗号本身重要得多。
写到这儿，忽然想起前阵子去一个新材料工厂，他们的工程师在车间每个重要节点都贴了二维码，扫进去不是普通的信息，而是一个经过AES加密的字符串，只有用他们自己开发的解码App才能看到当前的工艺提示。这算不算是一种现代的“暗号”？也许未来某天，暗号秘密会彻底电子化，但骨子里，它们仍是人和机器之间的一种默契。嗯，还有点浪漫。
