CN104135358B - 基于非对称数字签名的配电终端sntp对时方法 - Google Patents

基于非对称数字签名的配电终端sntp对时方法 Download PDF

Info

Publication number
CN104135358B
CN104135358B CN201410258127.3A CN201410258127A CN104135358B CN 104135358 B CN104135358 B CN 104135358B CN 201410258127 A CN201410258127 A CN 201410258127A CN 104135358 B CN104135358 B CN 104135358B
Authority
CN
China
Prior art keywords
clock
digital signature
distribution terminal
message
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201410258127.3A
Other languages
English (en)
Other versions
CN104135358A (zh
Inventor
张志华
吴�琳
张子仲
周捷
刘润苗
周俊
夏燕东
刘明祥
孙淑云
王俊仁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Corp of China SGCC
Nari Technology Co Ltd
Original Assignee
State Grid Corp of China SGCC
Nari Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Corp of China SGCC, Nari Technology Co Ltd filed Critical State Grid Corp of China SGCC
Priority to CN201410258127.3A priority Critical patent/CN104135358B/zh
Publication of CN104135358A publication Critical patent/CN104135358A/zh
Application granted granted Critical
Publication of CN104135358B publication Critical patent/CN104135358B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Landscapes

  • Computer And Data Communications (AREA)
  • Synchronisation In Digital Transmission Systems (AREA)

Abstract

本发明公开了一种基于非对称数字签名的配电终端SNTP对时方法,属电力***自动化领域,包括下列步骤:在符合配电网需求的配电终端基础上,加入SNTP协议进行时钟校核,并使用SM2非对称数字签名算法对***时钟校核的安全性进行防护,保障配电终端实现高精度、高安全性的时钟校核,具有非常重大的实际工程意义。

Description

基于非对称数字签名的配电终端SNTP对时方法
技术领域
本发明涉及一种基于非对称数字签名的配电终端SNTP对时方法,属于电力***及其自动化领域。
背景技术
随着配电自动化建设的推进,为了进行快速故障隔离及非故障区域恢复供电,缩短因故障造成的停电时间,保障供电的稳定性及可靠性,提高供电质量,越来越多的诸如智能分布式FA等更加智能化的功能正在配电自动化***进行推广和应用,这就要求配电自动化***各设备之间需要进行相互配合及联动,使得配电自动化设备之间的相互通信及交流越来越密切。而***各设备之间的相互配合完成相关的智能化功能必须建立在各参与设备均具有统一、精确的时标***的基础上,所有设备响应及动作方案必须以精确可靠的时标作为基础,因此,传统诸如IEC60870-5-104、IEC60870-5-101等配电自动化***常用规约所定义的时钟校核方法在授时精度及授时的安全性上均已无法满足配电自动化***智能化的要求。因此,使用授时精度的授时协议及研究能够保障授时安全的授时***安全防护方法在今后的配电自动化的建设过程中就显得尤为重要。
发明内容
本发明的目的在于解决配电自动化终端的授时精度及其安全防护问题。
为了实现上述目的,本发明所采用的技术方案为:
基于非对称数字签名的配电终端SNTP对时方法,包括以下步骤:
1)在配电终端进行SNTP协议的开发,使配电终端具备SNTP客户端功能,所述SNTP协议的开发是指在配电终端配置向时钟服务器请求对时的控制模块和对时钟服务器报文进行解析的解析模块,并配置数字签名验证模块,所述数字签名验证模块配置供客户端调用的数字签名验证接口;
2)在时钟服务器上配置数字签名模块,所述数字签名模块配置供时钟服务器调用的数字签名接口;
3)将非对称数字签名的私钥安装于时钟服务器,公钥安装于配电终端的本地时钟客户端;
4)配电终端的本地时钟客户端首先设置报文头,然后获取本地时刻Orig_T,组装成报文,然后通过控制模块向时钟服务器发送对时请求报文;
5)时钟服务器收到本地时钟客户端请求报文后,首先解析出Orig_T,并获取时钟服务器本地的时钟Recv_T;然后按照本地状态设置报文头,形成Tran_T为0的待签名报文,再将待签名报文,时钟服务器的私钥及时钟服务器描述ID,作为数字签名接口的输入,由时钟服务器调用数字签名接口,经数字签名模块按照SM2数字签名算法产生数字签名;
6)以时钟服务器当前时标填充待签名报文中的Tran_T,再将形成的数字签名数据附加在待签名报文后,形成复合报文,并发送至本地时钟客户端;
7)本地时钟客户端收到时钟服务器的复合报文后,首先获取配电终端本地的时钟Dest_T,通过解析模块在复合报文中解析出Orig_T、Recv_T及Tran_T并保存,然后将原复合报文中Tran_T置0,得到新的报文;
8)本地时钟客户端将所述步骤7)得到的新的报文的非数字签名数据作为待验证签名,加上配电终端服务器上的公钥及时钟服务器描述ID一起作为数字签名验证接口的输入,由本地时钟客户端调用数字签名验证接口,经数字签名验证模块进行布尔运算,使数字签名验证接口将返回一个成功与否的布尔值:1或者0,从而验证所述步骤7)接收到的复合报文的安全性,若返回0则验证失败,客户端拒绝本次时钟校核指令;若返回1则认证成功,客户端计算出本地时钟与时钟服务器时钟的偏差,对本地时钟***进行修正。
前述的步骤1)的数字签名验证模块用于进行布尔运算,验证复合报文是否是由真实可靠的时钟服务器发出。
前述的步骤2)的数字签名模块采用SM2数字签名算法计算数字签名。
前述的步骤8)时钟偏差t的计算方法为:
t=((Recv_T-Orig_T)+(Tran_T-Dest_T))/2。
前述的智能配电终端CPU硬件采用基于linux、vxworks操作***的DSP实现。
前述的数字签名数据的长度为64字节。
本发明实现配电终端具有非对称数字签名安全防护的高精度对时,过程简单,对时精度高,数字签名的验证过程计算量小,运算速度快,安全性好;并且本发明对CPU硬件的处理能力要求低,可采用低成本、低处理能力的CPU硬件平台实现,在基于操作***平台上进行应用;同时本发明利用SM2非对称数字签名技术在传统SNTP对时报文后面附加数字签名用于对授时服务器的可靠性进行验证,保障了配电自动化***授时安全。
附图说明
图1为本发明的配电终端SNTP对时过程示意图;
图2为本发明SNTP对时协议单向认证示意图;
图3为本发明带数字签名的SNTP复合报文结构;
图4为本发明配电终端时钟校核流程图。
具体实施方式
现结合附图和具体实施方式对本发明作进一步详细说明。
本发明通过利用SNTP简单网络对时协议作为配电自动化终端的高精度对时协议,按照本协议规定的算法来实现对配电终端本地时钟的修正,使其与时钟服务器时钟保持一致,同时为了保证授时的安全性,防止配电终端时钟被恶意篡改,影响配电自动化***的安全运行,采用基于非对称数字签名技术的SM2算法对授时报文进行安全防护,配电终端在收到***时钟同步命令后首先提取数字签名并验证指令发出方的身份可靠性,身份验证成功方能进行本地时钟的修正。
如图4所示,基于非对称数字签名的配电终端SNTP对时方法,包括下列步骤:
首先在配电终端进行SNTP协议的开发,使配电终端具备SNTP客户端功能,即在配电终端配置向时钟服务器请求时钟的控制模块和对时钟服务器报文进行解析的解析模块,并配置数字签名验证模块,数字签名验证模块用于进行布尔运算,验证复合报文是否是由真实可靠的时钟服务器发出,并且数字签名验证模块配置供客户端调用的数字签名验证接口。
然后在时钟服务器上配置数字签名模块,数字签名模块采用SM2数字签名算法计算数字签名,并且数字签名模块配置供时钟服务器调用的数字签名接口。
将非对称数字签名的私钥安装于时钟服务器,公钥安装于配电终端的本地时钟客户端。
如图1所示,配电终端的本地时钟客户端首先设置报文头,然后获取本地时刻Orig_T,组装成报文,然后通过控制模块向时钟服务器发送对时请求报文;
时钟服务器收到本地时钟客户端请求报文后,首先解析出Orig_T,并获取时钟服务器本地的时钟Recv_T;然后按照本地状态设置报文头,形成Tran_T为0的待签名报文,再将待签名报文,时钟服务器的私钥及时钟服务器描述ID作为数字签名接口的输入,由时钟服务器调用数字签名接口,数字签名模块按照SM2数字签名算法产生数字签名;
以时钟服务器当前时标填充待签名报文中的Tran_T,再将形成的数字签名数据附加在待签名报文后,形成复合报文,并发送至本地时钟客户端;
本地时钟客户端收到时钟服务器的复合报文,首先获取客户端本地的时钟Dest_T,通过解析模块在复合报文中解析出Orig_T、Recv_T及Tran_T并保存然后将原复合报文中Tran_T置0,得到新的报文;
本地时钟客户端将上步得到的新的报文的非数字签名数据作为待验证签名,待验证签名加上配电终端本地服务器上的公钥及时钟服务器描述ID一起作为数字签名验证接口的输入,由本地时钟客户端调用数字签名验证接口,经数字签名验证模块进行布尔运算,数字签名验证接口将返回一个成功与否的布尔值:1或者0,从而验证接收到的复合报文的安全性,若返回0则验证失败,则可能是有人冒充***授时服务器企图对时钟进行非法篡改或者其它攻击,本地客户端应拒绝本次时钟校核指令;若返回1则认证成功,说明时钟校核指令安全可靠,客户端计算出本地时钟与服务器时钟的偏差即可对本地时钟***进行修正,以达到时钟同步的目的。
本地时钟客户端收到时钟服务器复合报文后,可以简单的计算出传输延时d和时钟偏差t,其计算方法为:
d=(Dest_T-Orig_T)–(Recv_T-Tran_T)
t=((Recv_T-Orig_T)+(Tran_T-Dest_T))/2
根据以上计算可知,本地时钟客户端与时钟服务器的时间偏差只与Recv_T、Orig_T差值及Tran_T、Dest_T差值有关,而与时钟服务器处理数据所需时间或者响应延时Recv_T、Tran_T这两个时间的差值无关,因此本地时钟客户端客户端只需要在本地时钟的基础上按照偏差t对本地时钟进行修正即可实现本地时钟的校准。
为了保证协议版本的兼容性及通用性,本发明使用SM2非对称数字签名对SNTP授时协议进行防护时依然采用原有对时协议报文格式及传输模式,只将原来的按照对称加密算法产生的安全认证数据区替换成SM2数字签名数据,且只考虑由时钟服务器到配电终端的单向认证方式,对本地时钟客户端到时钟服务器端的时钟请求报文不进行安全防护。如图2所示。
图3是具备非对称数字签名的SNTP时钟校核复合报文示意图,根据V3版本的SNTP对时协议,其原始对时协议报文格式如表1所示,
表1原始对时协议报文格式
闰秒、版本号及服务器模式 liVnMode 1字节长度
服务器工作的级别 Stratum 1字节长度
数据包的最大时间间隔 Poll 1字节长度
***时钟的精确性 precision 1字节长度
主时钟参考源的总往返延迟 rootDelay 4字节长度
主时钟参考源的误差 rootDispersion 4字节长度
时钟参考源的标记 referenceID 4字节长度
***时钟最后一次校准时间 Refe_T 8字节长度
客户向服务器发起请求时间 Orig_T 8字节长度
服务器收到客户请求时间 Recv_T 8字节长度
服务器向客户发时间戳时间 Tran_T 8字节长度
数字签名数据 Authenticator 64字节长度
其中Authenticator为数字签名数据,本发明采用256位长度的数字签名进行防护,即整个数字签名数据的长度为64字节,最后形成如图3所示的带数字签名的SNTP复合报文。
下面通过具体实施例对本发明方法的过程进行说明。
安全防护所需要的相关参数如下:
时钟服务器描述ID:SNTP Server
签名私钥数据(十六进制):717374510A39B816C89DA53C5B674A13F98AF03D35F6C23F F4DB3147EEFE9F03
验签公钥数据(十六进制):BCE1191B83A08F8A9F94C974D5E8ED080613CC54C85CC55A20030C86CC9803867B24525D67DC59F25B885282CBDDDD70DE82575A1F6136D44339E83F5DEAD063
1)本地时钟客户端首先设置报文头,即设置LiVnMod位为0x1B,其中闰秒标志Li设置为0,版本号Vn设置位3,工作模式Mod设置为3,其余字节为0,然后获取本地时刻Orig_T,组装成报文,然后通过控制模块向时钟服务器发送对时请求报文(十六进制):
1B000000000000000000000000000000000000000000000000000000000000000000000000000000D6F608BA00000000
2)时钟服务器应答过程实例
时钟服务器在收到上述客户端请求报文后,首先解析出Orig_T,并获取时钟服务器本地的时钟Recv_T,然后按照本地状态设置报文头,即设置LiVnMod位为0x1C,其中闰秒标志Li设置为0,版本号Vn设置位3,工作模式Mod设置为4;服务器工作的级别Stratum字节按照实际设置;数据包的最大时间间隔PollInterval设置为244;然后填上客户端发送时间Orig_T及服务器收到请求的时间Recv_T,形成Tran_T为0的待签名报文(即原始请求报文)如下:
1C0300F400000000000000004C434F4C D6F608BA088601C0D6F608BA00000000D6F608BA088601C00000000000000000(十六进制)
再将待签名报文,时钟服务器的私钥及时钟服务器描述ID,作为数字签名接口的输入,由时钟服务器调用数字签名接口,经数字签名模块按照SM2数字签名算法产生数字签名如下:
7a45857015d66e71f454a310f324cd26fb8da7803c23dcb54e2c3a93a9850ca5b1299cbcc134f8609b403aea17706d023d84e986d1d2ea54f33b089df6aec7ab(十六进制)
最后以时钟服务器当前时标填充原始请求报文中的Tran_T,再将形成的数字签名数据附加在原始请求报文后即形成复合报文如下,并发送到本地时钟客户端:
1c0300f400000000000000004c434f4c d6f608ba088601C0d6f608ba00000000d6f608ba088601c0d6f608ba088601c07a45857015d66e71f454a310f324cd26fb8da7803c23dcb54e2c3a93a9850ca5b1299cbcc134f8609b403aea17706d023d84e986d1d2ea54f33b089df6aec7ab(十六进制)
3)客户端处理过程实例
本地时钟客户端收到时钟服务器答复的复合报文后,首先获取客户端本地的时钟Dest_T,通过解析模块在复合报文中解析出Orig_T、Recv_T及Tran_T并保存,然后将原复合报文中Tran_T置0,得到新的报文:
1c0300f400000000000000004c434f4c d6f608ba088601C0d6f608ba00000000d6f608ba088601c0d6f608ba088601c0000000000000000007a45857015d66e71f454a310f324cd26fb8da7803c23dcb54e2c3a93a9850ca5b1299cbcc134f8609b403aea17706d023d84e986d1d2ea54f33b089df6aec7ab(十六进制)
然后将报文中非数字签名部分:1c0300f400000000000000004c434f4cd6f608ba088601C0d6f608ba00000000d6f608ba088601c0d6f608ba088601c000000000000000000作为待验签名,加上公钥数据及时钟服务器描述ID一起作为数字签名验证接口的输入,由本地时钟客户端调用数字签名验证接口,经数字签名验证模块进行布尔运算,使数字签名验证接口将返回一个成功与否的布尔值:1或者0,验证接收到的复合报文是否是由真实可靠的。若认证成功,则计算时钟偏差,对本地时钟***进行修正。

Claims (6)

1.基于非对称数字签名的配电终端SNTP对时方法,其特征在于,包括以下步骤:
1)在配电终端进行SNTP协议的开发,使配电终端具备SNTP客户端功能,所述SNTP协议的开发是指在配电终端配置向时钟服务器请求对时的控制模块和对时钟服务器报文进行解析的解析模块,并配置数字签名验证模块,所述数字签名验证模块配置供客户端调用的数字签名验证接口;
2)在时钟服务器上配置数字签名模块,所述数字签名模块配置供时钟服务器调用的数字签名接口;
3)将非对称数字签名的私钥安装于时钟服务器,公钥安装于配电终端的本地时钟客户端;
4)配电终端的本地时钟客户端首先设置报文头,然后获取本地时刻Orig_T,组装成报文,然后通过控制模块向时钟服务器发送对时请求报文;
5)时钟服务器收到本地时钟客户端请求报文后,首先解析出Orig_T,并获取时钟服务器本地的时钟Recv_T;然后按照本地状态设置报文头,形成Tran_T为0的待签名报文,Tran_T为时钟服务器向本地时钟客户端发时间戳时间,再将待签名报文,时钟服务器的私钥及时钟服务器描述ID,作为数字签名接口的输入,由时钟服务器调用数字签名接口,经数字签名模块按照SM2数字签名算法产生数字签名;
6)以时钟服务器当前时标填充待签名报文中的Tran_T,再将形成的数字签名数据附加在待签名报文后,形成复合报文,并发送至本地时钟客户端;
7)本地时钟客户端收到时钟服务器的复合报文后,首先获取配电终端本地的时钟Dest_T,通过解析模块在复合报文中解析出Orig_T、Recv_T及Tran_T并保存,然后将原复合报文中Tran_T置0,得到新的报文;
8)本地时钟客户端将所述步骤7)得到的新的报文的非数字签名数据作为待验证签名,加上配电终端服务器上的公钥及时钟服务器描述ID一起作为数字签名验证接口的输入,由本地时钟客户端调用数字签名验证接口,经数字签名验证模块进行布尔运算,使数字签名验证接口将返回一个成功与否的布尔值:1或者0,从而验证所述步骤7)接收到的复合报文的安全性,若返回0则验证失败,客户端拒绝本次时钟校核指令;若返回1则认证成功,客户端计算出本地时钟与时钟服务器时钟的偏差,对本地时钟***进行修正。
2.根据权利要求1所述的基于非对称数字签名的配电终端SNTP对时方法,其特征在于,所述步骤1)的数字签名验证模块用于进行布尔运算,验证复合报文是否是由真实可靠的时钟服务器发出。
3.根据权利要求1所述的基于非对称数字签名的配电终端SNTP对时方法,其特征在于,所述步骤2)的数字签名模块采用SM2数字签名算法计算数字签名。
4.根据权利要求1所述的基于非对称数字签名的配电终端SNTP对时方法,其特征在于,所述步骤8)时钟偏差t的计算方法为:
t=((Recv_T-Orig_T)+(Tran_T-Dest_T))/2。
5.根据权利要求1所述的基于非对称数字签名的配电终端SNTP对时方法,其特征在于,所述配电终端CPU硬件采用基于linux、vxworks操作***的DSP实现。
6.根据权利要求1所述的基于非对称数字签名的配电终端SNTP对时方法,其特征在于,所述数字签名数据的长度为64字节。
CN201410258127.3A 2014-06-11 2014-06-11 基于非对称数字签名的配电终端sntp对时方法 Active CN104135358B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410258127.3A CN104135358B (zh) 2014-06-11 2014-06-11 基于非对称数字签名的配电终端sntp对时方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410258127.3A CN104135358B (zh) 2014-06-11 2014-06-11 基于非对称数字签名的配电终端sntp对时方法

Publications (2)

Publication Number Publication Date
CN104135358A CN104135358A (zh) 2014-11-05
CN104135358B true CN104135358B (zh) 2017-04-12

Family

ID=51807893

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410258127.3A Active CN104135358B (zh) 2014-06-11 2014-06-11 基于非对称数字签名的配电终端sntp对时方法

Country Status (1)

Country Link
CN (1) CN104135358B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104618109B (zh) * 2014-12-31 2018-04-27 国家电网公司 一种基于数字签名的电力终端数据安全传输方法
CN105467827B (zh) * 2015-12-08 2018-01-19 广西电网有限责任公司电力科学研究院 一种基于集中器的非对称时钟的校正方法及***
CN111107169B (zh) * 2020-02-10 2020-10-02 中国人民解放军32021部队 一种基于web浏览器的时间管理方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103368742A (zh) * 2013-07-02 2013-10-23 国电南瑞科技股份有限公司 基于非对称数字签名认证的智能配电终端安全防护方法
CN103684733A (zh) * 2013-09-28 2014-03-26 国家电网公司 一种时钟同步对时的自动校验方法及其专用设备

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103368742A (zh) * 2013-07-02 2013-10-23 国电南瑞科技股份有限公司 基于非对称数字签名认证的智能配电终端安全防护方法
CN103684733A (zh) * 2013-09-28 2014-03-26 国家电网公司 一种时钟同步对时的自动校验方法及其专用设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
《非对称数字签名技术在配电自动化***的应用》;张志华,周捷,丁可;《计算机技术及其应用》;20120331;全文 *

Also Published As

Publication number Publication date
CN104135358A (zh) 2014-11-05

Similar Documents

Publication Publication Date Title
CN107395312B (zh) 一种安全网络时间同步方法及装置
CN110267270B (zh) 一种变电站内传感器终端接入边缘网关身份认证方法
US10396995B2 (en) Method of providing a hash value for a piece of data, electronic device and computer program
EP2590356A1 (en) Method, device and system for authenticating gateway, node and server
US11849052B2 (en) Certificate in blockchain network, storage medium, and computer device
US20120260088A1 (en) Method and device for securely transmitting data
CN103621126A (zh) 提供机器到机器服务的方法和装置
CN106576043A (zh) 病毒式可分配可信消息传送
CN113079215B (zh) 一种基于区块链的配电物联网无线安全接入方法
CN103259768A (zh) 一种消息认证方法、***和装置
CN108270572B (zh) 一种基于位置和口令的密钥交换协议
CN104135358B (zh) 基于非对称数字签名的配电终端sntp对时方法
WO2023236551A1 (zh) 一种面向蜂窝基站的去中心化可信接入方法
Sani et al. A universally composable key exchange protocol for advanced metering infrastructure in the energy Internet
CN113254972A (zh) 一种基于区块链的信息安全管理方法
CN102891850A (zh) IPSec隧道更新防重放参数的方法
CN104079408A (zh) 一种工业控制***中增强通信安全性的方法
CN103327020A (zh) 一种基于区域划分的安全接入方法和***
CN112422223B (zh) 基于tcp/ip的对时装置、对时方法及时标监测***
CN108924161A (zh) 一种交易数据加密通信方法及***
CN109039841A (zh) 加入级联组网的方法、装置及刀箱
CN101814987B (zh) 一种节点间密钥的建立方法及***
CN205051736U (zh) 一种安全高效卫星数据传输***
CN112564919A (zh) 一种身份认证方法、设备及计算机可读存储介质
CN107172016B (zh) 安全信任处理方法及装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant