一種基於可信計算增強配電網絡通信安全的方法

2023-10-22 09:10:37

一種基於可信計算增強配電網絡通信安全的方法
【專利摘要】本發明涉及一種基於可信計算增強配電網絡通信安全的方法，所述方法包括（1）建立基於可信計算安全增強的通信協議模型；（2）設置模型中電力可信計算晶片ETM；（3）構建基於可信計算安全增強的配電網絡通信協議。本發明不需要晶片屬主管理功能，複雜的授權協議等管理得以簡化，更著重實用性。同時，其密鑰的公鑰操作、完整性驗證等操作都是在ETM內部完成；不僅能保證通信數據傳輸的安全，還能在通信前對終端身份和狀態進行認證，有效避免惡意終端獲取通信數據。
【專利說明】一種基於可信計算增強配電網絡通信安全的方法【技術領域】
[0001]本發明屬於電力系統安全領域，具體講涉及一種基於可信計算增強配電網絡通信安全的方法。
【背景技術】
[0002]智能電網是當前全球電力工業關注的熱點，引領了電網的未來發展方向。基於公網的智能電網系統包含系統主站、通信網絡和終端三層。使用公共網絡傳輸包括電力二次系統在內的智能電網業務數據時，主要面臨兩個方面的風險:一是系統主站邊界遭到來自公網的信息安全攻擊，二是數據在公網中傳輸時受到攻擊。同時，智能電網業務系統中存在大量基於單片機或嵌入式作業系統的設備，支持網絡接入和訪問，部分系統的終端設備放置在開放環境中，缺少有效的物理訪問控制。以上這些特點都導致基於公網的智能電網系統容易遭受攻擊。
[0003]在智能電網中，信息傳輸主要有兩種方式:無線網絡傳輸和有線網絡傳輸。無線網絡的傳輸安全性主要依靠802.11保護接入協議(WPA)。有線網絡在傳輸信息時面臨的威脅比較多樣性，常見攻擊手段有口令猜測、身份假冒、報文重放、報文篡改、特洛伊木馬、中間人攻擊等，安全性主要依靠防火牆技術、虛擬專用網(VPN)技術、安全套接層(SSL)技術和公鑰基礎設施(PKI)獲得。其中安全套接層(SSL)技術提供的安全機制可以保證應用層數據在智能電網傳輸中不被竊聽、偽造和竄改。基於SSL協議，國內外存在多種不同的解決方案來確保數據傳輸的安全性。SSLVPN是目前業界一種解決遠程用戶訪問公司數據最簡單、最安全的解決 技術，它基本上不受接入位置的限制，能遍歷所NAT設備、基於代理的防火牆和狀態檢測防火牆。另外還可以採用軟體配置、代理機制或SSL開發包等方案實現用SSL協議加強電力系統網絡應用的安全性。
[0004]可信計算技術提供基於硬體的終端安全保護，對於智能電網配電網絡而言，可以有效保證配電終端以及系統主站在通信時的身份與狀態認證，進一步保證通信數據不會傳遞給惡意終端，保障數據安全，是一種很好的增強網絡通信安全的解決方案。可信計算技術是在國際可信計算組織TCG (Trusted Computing Group)的推動下發展起來的。TCG推出了一系列可信計算規範，通過這些規範定義了可信計算及其功能。TCG提出的可信計算思想是在終端嵌入硬體晶片可信平臺模塊TPM (Trusted Platform Module)來保護終端安全，將TPM視為終端信任根為終端提供安全功能支持。隨後，我國也推出了我國自主安全晶片TCM (Trusted Cryptography Module), TCM完全米用我國自主研發的密碼算法，並且國家密碼管理局於2007年發布了針對TCM的相關可信計算規範。
[0005]基於可信計算晶片TPM/TCM可以硬體唯一標識終端平臺身份，用於在終端進行網絡通信時進行身份認證，以確保交互終端的正確性。同時，基於TPM/TCM晶片的完整性度量能力及安全存儲能力，可以實時記錄終端完整性狀態，一方面可以用於保證終端自身啟動運行的安全性，另一方面可以在網絡通信時向對方證明自身的運行狀態，以確保交互終端狀態的正確性。
【發明內容】

[0006]針對現有技術的不足，本發明提供一種基於可信計算增強配電網絡通信安全的方法，提出了適合公網的智能電網系統的安全增強的通信協議，一種基於可信計算技術與SSL/TLS協議的配電網絡通信安全增強方案，該方法以IEC60870 - 5 - 104電力通信協議為例，基於可信計算技術與SSL/TLS協議對該通信協議進行了安全擴展，給出了配電網絡通信安全增強方案，為配電網絡通信提供特別的保護。
[0007]本發明的目的是採用下述技術方案實現的:
[0008]一種基於可信計算增強配電網絡通信安全的方法，其改進之處在於，所述方法包括
[0009]( I)建立基於可信計算安全增強的通信協議模型；
[0010](2)設置模型中電力可信計算晶片ETM;
[0011](3)構建基於可信計算安全增強的配電網絡通信協議。
[0012]優選的，所述步驟(I)包括在IEC60870-5-104規約中引入SSL/TLS協議和可信計算晶片ETM，兼容現有電力通信協議構建基於可信計算安全增強的通信協議模型。
[0013]優選的，所述步驟(2)包括設置電力通信協議安全增強的電力可信計算晶片ETM，用於支持通信協議中對終端身份和狀態的認證。
[0014]優選的，所述步驟(3)包括通過擴展握手協議在SSL/TLS協議中調用ETM晶片，在兼容SSL/TLS協議的基礎上實現對終端身份和狀態的認證。
[0015]進一步地，所述握手協議包括身份證書鏈消息、完整性驗證消息和交換密鑰消息。
[0016]進一步地，所述身份證書鏈消息包括電力系統CA系統頒發的證書鏈；
[0017]所述配電終端部署為網省單位，證書鏈的第一個證書為基於ETM的終端身份證書，第二個為電力系統2級CA證書，第三個為電力系統根CA證書；通過所述電力系統根CA證書驗證2級CA證書，通過2級CA證書驗證終端身份證書；
[0018]所述配電終端部署為地市級單位，證書鏈的第一個證書為終端身份證書，第二個為電力系統3級CA證書，第三個為2級CA證書，第四個為電力系統根CA證書；通過所述電力系統根CA證書驗證2級CA證書，通過2級CA證書驗證3級CA證書，通過3級CA證書驗證終端身份證書。
[0019]進一步地，所述完整性驗證消息包括配電終端ETM中的PCR的值以及基於ETM終端身份密鑰的私鑰對該PCR的籤名。
[0020]進一步地，所述配電終端將其ETM中PCR做hash運算，通過ETM的身份密鑰私鑰對該運算結果進行籤名一併發至電力系統主站。
[0021]進一步地，所述交換密鑰消息採用SSL/TLS協議的交換密鑰消息模式。
[0022]與現有技術比，本發明的有益效果為:
[0023]1、在IEC60870-5-104的網絡參考模型中引入了可信計算增強的SSL/TLS協議，與高層應用協議和底層網絡協議無關，無需對其數據結構、內容進行改動，可以方便地集成到智能電網配電網絡中；
[0024]2、ETM具有精簡的命令集，沒有用戶的概念，不需要晶片屬主管理功能，複雜的授權協議等管理得以簡化，更著重實用性。同時，其密鑰的公鑰操作、完整性驗證等操作都是在ETM內部完成；
[0025]3、在SSL/TLS協議中調用ETM擴展原有協議，不僅能保證通信數據傳輸的安全，還能在通信前對終端身份和狀態進行認證，有效避免惡意終端獲取通信數據。
【專利附圖】

【附圖說明】
[0026]圖1為本發明提供的一種基於可信計算增強配電網絡通信安全示意圖。
[0027]圖2為本發明提供的基於ETM擴展的握手協議消息流示意圖。
【具體實施方式】
[0028]下面結合附圖對本發明的【具體實施方式】作進一步的詳細說明。
[0029]本發明一種基於可信計算增強配電網絡通信安全的方法，具體如下:
[0030]( I)建立基於可信計算安全增強的通信協議模型
[0031]在智能電網電力通信規約中，IEC60870-5-104是採用TCP/IP協議實現的網絡訪問。基於可信計算技術，結合現有網絡通信協議SSL/TLS的優勢對IEC60870-5-104協議進行改進，能有效增強現有電力通信網絡安全。
[0032]改進後的IEC60870-5-104網絡參考模型如附圖1所示。SSL/TLS協議本就是架構在TCP/IP協議與應用層之間的，在IEC60870-5-104的網絡參考模型中引入SSL/TLS協議，同時在SSL/TLS協議增加對可信計算遠程證明功能的調用，即可實現對IEC60870-5-104協議的安全性增強，不僅增強了網絡傳輸數據的安全，同時還實現了對電力系統中系統主站對終端的身份認證和狀態認證，進一步保證電力數據的安全。
[0033](2)設置電力可信計算晶片ETM功能
[0034]在SSL/TLS協議中調用可信計算身份認證、狀態認證功能，則首先必須在電力系統配電終端嵌入可信計算安全晶片。當前的現有可信計算安全晶片主要是面向PC終端的，有國際可信計算組織TCG定義的可信平臺模塊TPM以及我國自主定義生產的可信密碼模塊TCM。由於電力行業設備與傳統的PC和伺服器的特點並不相同，所以TPM、TCM安全晶片並不能直接引入至電力配電終端。
[0035]電力可信計算安全晶片為電力可信模塊ETM，採用的密碼算法與國產安全晶片TCM相同。ETM與TCM不同的是，一方面在於命令集的精簡，表現在ETM沒有用戶的概念，即不需要晶片屬主管理功能；密鑰個數及功能使用有限，無需繁瑣的密鑰管理等功能；複雜的授權協議等管理得以簡化，更著重實用性。另一方面考慮到ETM的特殊使用場景，與TCM不同，密鑰的公鑰操作、完整性驗證等操作都是在ETM內部完成。
[0036]與PC終端運行環境不同，電力配電終端環境比較單一，只有少量應用程式，在配電終端置入安全晶片ETM，在終端啟動時ETM中的PCR將實時記錄啟動代碼、作業系統(若該配電終端配有作業系統)及相應應用程式的完整性值。同時，利用電力系統的現有CA系統，基於配電終端ETM的身份密鑰為終端頒發身份證書。架構在IEC60870-5-104協議中的SSL/TLS協議，通過調用ETM的身份密鑰對PCR記錄的終端完整性值籤名，並將該籤名隨同身份證書一併發送給通信方，以此證明終端身份、狀態。而通信方通過對其身份證書、PCR完整性值的驗證來完成身份和狀態認證，其中對PCR完整性值的驗證主要依賴於電力系統CA系統為PCR完整性參考值頒發的證書。[0037](3)構建基於可信計算安全增強的配電網絡通信協議
[0038]在配電網絡通信協議IEC60870-5-104中融合SSL/TLS協議及可信計算技術，可以有效增強其安全性。在IEC60870-5-104的TCP/TP協議層之上增加SSL/TLS協議層，無需對其數據結構、內容進行改動，關鍵還在於在SSL/TLS層對電力安全晶片ETM的調用。
[0039]ETM在SSL/TLS層的調用與在SSL/TLS層調用安全晶片TPM/TCM類似，實際也是擴展其原有的握手協議，使其支持終端身份及狀態認證。對於完整的擴展握手過程而言，首先是身份驗證，接著是完整性值驗證，最後交換共享密鑰。在電力配電終端與系統主站首次協商即將建立通信會話之前，上述握手過程已經完成。
[0040]握手協議消息流參見附圖2。在開始握手過程之前，配電終端已經配置有電力安全晶片ETM，同時電力系統CA系統已為其頒發了終端身份證書，並存儲於ETM晶片內部。如果該終端身份證書是由電力系統CA系統的2級CA即省調CA頒發的，則電力系統根CA證書及2級CA證書也將隨同身份證書一併存於ETM晶片內部；如果該終端身份證書是由電力系統CA系統的3級CA及地市CA頒發，則除了電力系統根CA證書、2級CA證書，3級CA證書也要隨身份證書一併存入ETM晶片內部。
[0041]握手協議中，主要涉及三類消息流:
[0042]I)身份證書鏈消息
[0043]該消息中包含一個依託電力系統CA系統頒發的證書鏈。若該配電終端部署在網省單位，則該證書鏈的第一個證書是基於ETM的終端身份證書，第二個是電力系統2級CA證書，第三個是電力系統根CA證書，由於系統主站信任電力系統根CA，所以通過根CA證書驗證2級CA證書，再通過2級CA證書驗證終端身份證書，即可確認該配電終端的身份證書是可信的。若該配電終端部署在地市級單位，則相比前者其證書鏈要多一級，即第一個證書是終端身份證書，第二個是電力系統3級CA證書,第二個是2級CA證書，第四個是電力系統根CA證書，同樣的，系統主站通過根CA證書驗證2級CA證書，再通過2級CA證書驗證3級CA證書，最後通過3級CA證書驗證終端身份證書，從而確認配電終端身份證書的可信性。基於該終端身份證書，系統主站可以確定欲與其通信的配電終端是基於安全晶片ETM的，並且能知道其ETM以及終端平臺的概要信息。
[0044]依賴於身份證書鏈對配電終端身份的驗證，從而確定接下來的消息結構決定是否繼續對終端完整性進行驗證。
[0045]2)完整性驗證消息
[0046]該消息描述了配電終端的終端詳細信息，主要包括配電終端ETM中的PCR的值以及基於ETM終端身份密鑰的私鑰對該PCR的籤名。
[0047]配電終端將其ETM中PCR記錄的所有完整性值發送給系統主站，主要包括:
[0048]PCR [0] =hash (關鍵寄存器)；
[0049]PCR[l]=hash(位於固定地址的運行空間代碼)；
[0050]PCR[2]=hash(Bootloader)；
[0051]PCR[3]=hash (OS Kernel)；
[0052]PCR [4] =hash (應用程式)。
[0053]將PCR的值連接重新做hash運算，然後用ETM的身份密鑰私鑰對該運算結果進行籤名一併發給系統主站。該計算過程直接調用ETM命令ETM_Quote即可完成。[0054]PCR值及籤名結果傳遞到系統主站，該PCR值即反映了配電終端從啟動代碼到應用程式的全面狀態。基於系統主站之前驗證的終端身份證書，即可對終端發過來的籤名進行驗證，一旦驗證成功則系統主站就可以信任配電終端發送的描述其完整性狀態的PCR值是真實的，從而可以用來判定終端狀態是否可信。
[0055]PCR完整性參考值被用於判定配電終端狀態是否可信，將接收到PCR值與參考值進行比較，如果相同則認為終端狀態可信。為此，在建立握手協議之前，系統主站需要存儲這些完整性參考值。PCR完整性參考值是以證書的形式由電力系統CA系統發布，跟終端身份證書一樣，根據系統主站的部署位置不同，可獲取由2級CA或者3級CA發布的完整性參考值證書。系統主站在獲取完整性參考值證書之後，也需要通過電力系統根CA證書、2級CA證書、3級證書，上級證書驗證下級的方式，驗證完整性參考值證書的可信性。一旦驗證通過，即可比照該參考值對配電終端的PCR值進行可信判定。
[0056]3)交換密鑰消息
[0057]握手協議中仍然採取原有的SSL/TLS協議的交換密鑰消息模式。這是由於雖然在配電終端配置了 ETM晶片，但是ETM晶片不影響SSL/TLS協議產生交換密鑰。
[0058]最後應當說明的是:以上實施例僅用以說明本發明的技術方案而非對其限制，儘管參照上述實施例對本發明進行了詳細的說明，所屬領域的普通技術人員應當理解:依然可以對本發明的【具體實施方式】進行修改或者等同替換，而未脫離本發明精神和範圍的任何修改或者等同替換，其均應涵蓋在本發明的權利要求範圍當中。
【權利要求】
1.一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述方法包括 (1)建立基於可信計算安全增強的通信協議模型； (2)設置模型中電力可信計算晶片ETM； (3)構建基於可信計算安全增強的配電網絡通信協議。
2.如權利要求1所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述步驟(I)包括在IEC60870-5-104規約中引入SSL/TLS協議和可信計算晶片ETM，兼容現有電力通信協議構建基於可信計算安全增強的通信協議模型。
3.如權利要求1所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述步驟(2)包括設置電力通信協議安全增強的電力可信計算晶片ETM，用於支持通信協議中對終端身份和狀態的認證。
4.如權利要求1所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述步驟(3)包括通過擴展握手協議在SSL/TLS協議中調用ETM晶片，在兼容SSL/TLS協議的基礎上實現對終端身份和狀態的認證。
5.如權利要求4所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述握手協議包括身份證書鏈消息、完整性驗證消息和交換密鑰消息。
6.如權利要求5所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述身份證書鏈消息包括電力系統CA系統頒發的證書鏈； 所述配電終端部署為網省單位，證書鏈的第一個證書為基於ETM的終端身份證書，第二個為電力系統2級CA證書，第三個為電力系統根CA證書；通過所述電力系統根CA證書驗證2級CA證書，通過2級CA證書驗證終端身份證書； 所述配電終端部署為地市級單位，證書鏈的第一個證書為終端身份證書，第二個為電力系統3級CA證書，第三個為2級CA證書，第四個為電力系統根CA證書；通過所述電力系統根CA證書驗證2級CA證書，通過2級CA證書驗證3級CA證書，通過3級CA證書驗證終端身份證書。
7.如權利要求5所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述完整性驗證消息包括配電終端ETM中的PCR的值以及基於ETM終端身份密鑰的私鑰對該PCR的籤名。
8.如權利要求7所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述配電終端將其ETM中PCR做hash運算，通過ETM的身份密鑰私鑰對該運算結果進行籤名一併發至電力系統主站。
9.如權利要求5所述的一種基於可信計算增強配電網絡通信安全的方法，其特徵在於，所述交換密鑰消息採用SSL/TLS協議的交換密鑰消息模式。
【文檔編號】H04L29/06GK103684793SQ201310728106
【公開日】2014年3月26日 申請日期:2013年12月25日 優先權日:2013年12月25日
【發明者】徐震, 於愛民, 汪丹, 楊溢學, 王志皓, 趙保華 申請人:國家電網公司, 中國電力科學研究院, 中國科學院信息工程研究所, 國網遼寧省電力有限公司