CN105610837B - 用于scada***主站与从站间身份认证的方法及*** - Google Patents

用于scada***主站与从站间身份认证的方法及*** Download PDF

Info

Publication number
CN105610837B
CN105610837B CN201511026877.9A CN201511026877A CN105610837B CN 105610837 B CN105610837 B CN 105610837B CN 201511026877 A CN201511026877 A CN 201511026877A CN 105610837 B CN105610837 B CN 105610837B
Authority
CN
China
Prior art keywords
main website
slave station
symmetric
polynomial
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201511026877.9A
Other languages
English (en)
Other versions
CN105610837A (zh
Inventor
陈秀真
陆越
金波
陈长松
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Jiaotong University
Third Research Institute of the Ministry of Public Security
Original Assignee
Shanghai Jiaotong University
Third Research Institute of the Ministry of Public Security
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Jiaotong University, Third Research Institute of the Ministry of Public Security filed Critical Shanghai Jiaotong University
Priority to CN201511026877.9A priority Critical patent/CN105610837B/zh
Publication of CN105610837A publication Critical patent/CN105610837A/zh
Application granted granted Critical
Publication of CN105610837B publication Critical patent/CN105610837B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明提供的一种用于SCADA***主站与从站间身份认证的方法及***，包括如下步骤：主站A创建服务，产生对称多项式系数aij，从站B根据主站A服务器的IP地址与主站A建立连接，连接建立成功后从站B与主站A共享对称二元多项式参数；主从站均采用通信协议的数据帧作为自身身份标识符IDA与IDB；主站A与从站B交换彼此的身份标识符，并将两者的身份标识符带入对称多项式进行计算；如果f(IDA，IDB)＝f(IDB，IDA)，则主站A与从站B实现双向认证，并计算，扩展得到对称加密密钥KAB。本发明选用对称多项式产生共享密钥，并将之作为对称加密密钥，报文交换过程中选用对称加密算法，降低了计算复杂度。

Description

用于SCADA***主站与从站间身份认证的方法及***
技术领域
本发明涉及的是一种用于SCADA***主从站间的身份认证技术，尤其是一种基于对称多项式加密机制的双向认证技术，具体涉及SCADA***的主从站通信安全的保证。
背景技术
随着信息技术的不断发展，工业的现代化水平与日俱增，工业控制***(IndustryControl System，ICS)被广泛地应用于诸多与国计民生息息相关的行业，诸如冶金、水电供应、油气输送、航空航天、道路交通等，其在社会生产与保障性基础设施建设中发挥着不可替代的作用。典型的SCADA(Supervisory Control and Data Acquisition)***主要用于远程监控和数据采集，综合运用计算机、控制、通信与网络等技术，通过对远程分散测控点采集的数据进行监控与分析，为整个生产过程的调度、管理、故障诊断等操作提供技术和数据支持。通过以太网，整个控制***能够与远程终端设备便捷地相互连接。目前工业控制***的性能、可靠性、灵活性等因素被给予高度关注，但其信息安全问题却没有得到足够重视。
工业化和信息化的深度融合使得标准控制协议的使用越来越广泛，工业控制***的开放性也随之提升，通用的协议、软硬件设备、操作***等已经被广泛应用，这直接导致针对工控***的攻击事件频发，一系列网络安全问题逐渐暴露出来。以“震网病毒”为例，它利用微软Windows操作***与西门子WinCC操作***的漏洞实现对***的直接破坏，黑客能够完全控制远程被感染的主机，使之成为僵尸计算机。“震网病毒”向公共事业机构和控制***发动恶意攻击，各类通信设施、民用和工业基础设施等均暴露在其攻击下，伊朗布什尔核电站也没能幸免，核电站中铀分离机的控制逻辑被恶意修改，导致电动机转速异常而产生了严重的损失。在“震网病毒”事件发生后，世界各地针对工业控制***的攻击事件频频发生，并愈演愈烈，造成了严重的破坏与损失，诸如比“震网病毒”强大20倍的“Flame火焰病毒”肆虐中东地区。针对工业控制***接连不断的攻击事件已经造成严重的后果，这些网络安全问题给工业控制***带来了严峻的挑战，将人们对于工业网络安全的关注推向一个新的高潮。
事实上，很多工业控制网络疏于严格的***管理，可能出现内部人员接入已感染病毒的移动设备或外部人员通过非法手段截获而导致信息泄漏、篡改，从而使一些不法分子有机可乘。SCADA***的信息安全机制并不完善，身份认证环节存在诸多漏洞，很容易暴露给攻击者。攻击者可以通过伪造的用户管理员身份与主站进行通信，非法接入工业控制网络中。攻击者也可以通过入侵主站与从站之间的通信网络，窃取通信内容，影响主从站间正常通信，致使SCADA***中基础设施和工业服务中断，产生严重的破坏。身份认证对于实现SCADA***的安全接入控制而言十分重要，其承担整个安全体系的“门禁”职能，好比整个信息安全体系的第一道大门，对PLC控制设备节点、管理员用户的身份进行核对，保障了使用者物理与数字身份的相互统一。这一环节实现了对***资源的有效保护，防止用户身份被非法冒用，拒绝对敏感数据的非法访问请求。如果体系中的身份认证环节受到挑战，那么体系中其他的防护方案也将难以实现。由于控制环节在工业***中处于至关重要的地位，要求对所有接入对象进行安全认证，包括用户接入和PLC等控制设备接入，SCADA***对于主从站间的通讯认证有着严格的要求。
然而，工业控制***的安全需求不同于传统的Internet，其更加关注***的高可用性、实时性与业务连续性。在紧急情况下，工业控制***需要应急处理程序能够快速响应，以降低由于处理紧急情况时间较长导致的损失。因此，现有的成熟且健壮的密码机制不能直接应用在SCADA***中设备节点身份认证，需要设计轻量级的身份认证机制，以保证控制***应急响应的速度。本发明采用适合SCADA***的轻量级加密机制，保证主从站通信安全，并实现主从站间双向认证的技术体系，实现对***的安全接入访问控制。
经文献检索发现，现有SCADA***的主从站身份认证及通信的安全保障措施有以下几种：
(1)对称加密算法
通信过程中主从站通过通信线路交换信息，入侵者可以通过窃取通信线路的方式，获取主从站的通讯数据，实现对工控***的攻击，故需要在从站和主站的入口和出口处加入加解密功能模块。由于SCADA***对于数据传输过程的效率和安全性都有着极高的要求，因此选取轻量级的加密机制能保证***中断后快速恢复，降低***损失。通过分析对称和非对称两种加密算法的加解密时间，相比之下，对称加密算法复杂度较低，加解密时间较短，且产生的密钥数量较少。因此，对称加密算法被应用到主从站的安全通信领域，以保证***中断后快速恢复，降低***损失。常用的对称加密算法有AES、DES、IDEA算法等。采用对称加密在密钥节点数量与响应时间花费上具有优越性，符合***轻量级加密机制的需求，但对称加密中加解密密钥唯一、密钥的安全性难以得到保证。
(2)密钥更新机制
引入一种新的加密密钥管理方案，采用密钥更新的方式降低密钥泄露风险。主站既是通信的发起者也是会话密钥生成器，可以通过在密钥产生过程中增加会话密钥更新阶段和主密钥更新阶段增强密钥的安全性。主站与从站之间共享的主密钥，在会话密钥更新阶段，主站随机产生会话密钥，用主密钥加密会话密钥，并把加密后的会话密钥传递给相应的从站。从站接收密钥，用主密钥进行解密，并向主站传递确认信息。主密钥更新阶段中，主站和从站接收到彼此加密后的主密钥，分别用会话密钥进行解密，并对主密钥进行更新，使用更新后的主密钥发送新的会话密钥。在主密钥更新阶段中，通过引入赫尔曼椭圆曲线密钥协议，降低了密钥泄露的可能性。密钥更新机制增强了密钥的安全性，但并未实现主从站间的身份认证，攻击者可以通过盗用通信方身份，窃取共享密钥。
(3)与硬件设备结合
通过硬件设备保护通信过程中密钥分配的安全，无需对SCADA节点进行修改，而是采用直接与传统的设备相集成的方式。这种方法是在SCADA***主从站通信环节引入的身份验证，防范攻击者变更消息或冒充通信方身份。该方法操作简单，密钥存储设备可以直接集成到SCADA设备中，兼容性与可移植性十分突出，但更新硬件设备将增加部署成本。
以上研究表明，SCADA***主要选用对称加密算法实现数据的加密传输与解密验证过程，但会话密钥的安全性有待增强，通信双方的身份认证机制有待完善，现有的安全防护机制不能有效阻止用户及设备的非法接入。
发明内容
针对现有技术中的缺陷，本发明的目的是提供一种关注***轻量级加密机制需求的同时，兼顾了密钥的安全性，有效实现了主站与从站间的双向认证的用于SCADA***主站与从站间身份认证的方法及***。
为解决上述技术问题，本发明提供的一种用于SCADA***主站与从站间身份认证的方法，包括如下步骤：
步骤A：主站A创建服务，产生对称多项式系数aij，从站B根据主站A服务器的IP地址与主站A建立连接，连接建立成功后从站B与主站A共享二元对称多项式参数，主站A与从站B均持有完整的二元对称多项式表达式；
步骤B：连接建立完毕后，在应用层选取通信协议，主站A、从站B分别采用通信协议的数据帧作为自身身份标识符IDA、IDB；
步骤C：通信建立完毕后，主站A与从站B交换彼此的身份标识符，主站A、从站B分别将两者的身份标识符带入二元对称多项式进行计算，得到计算结果f(IDA，IDB)、f(IDB，IDA)；
步骤D：主站A与从站B交换彼此二元对称多项式计算结果，如果f(IDA，IDB)＝f(IDB，IDA)，则主站A与从站B实现双向认证，并计算KAB＝f(IDA，IDB)＝f(IDB，IDA)，进入步骤E继续执行；否则，返回步骤B；
步骤E：扩展计算得到加密密钥KAB，使KAB符合AES密钥长度要求，并采用加密算法对主从站间传送的数据内容进行加密。
优选地，所述步骤C中的二元对称多项式为二元t次对称多项式，满足：
其中，二元t次对称多项式定义在有限域GF(q)上，q的取值为大于10k的素数，k为密钥的长度；而且对于任意的i、j，都满足等式aij＝aji；aij表示对称多项式系数；x,y表示两随机变量。
优选地，所述二元t次对称多项式的对称多项式系数aij由主站A在通信建立过程中随机产生。
优选地，所述步骤B中，所述通信协议为Modbus TCP协议。
优选地，所述步骤E中，所述加密算法为AES对称加密算法。
一种***，所述***采用用于SCADA***主站A与从站B间身份认证的方法。
与现有技术相比，本发明的有益效果如下：
1、本发明选用对称多项式产生共享密钥，并将之作为对称加密密钥，报文交换过程中选用对称加密算法，降低了计算复杂度，且整个过程中产生的密钥数量比非对称方式少。符合SCADA***主站A与从站B通信过程中轻量级的密码机制的需求，使得***在应对紧急情况时仍能快速反应。
2、本发明关注***快速响应的同时，兼顾了密钥的安全性。由于传统的对称加密算法加解密使用的密钥相同，因此其安全性不仅受到加密算法本身复杂度的影响，密钥管理的安全性问题也尤为突出。
1)会话密钥保密性增强
在对称多项式加密过程中，通过对称多项式建立了密钥协商阶段使用的会话密钥，其中包含了主站A与从站B两者身份标识信息，有效地防止密钥被窃取。由于在二元t次多项式中，一共需要t+1个元素的值才能实现对于多项式的重构，所以攻击者需要至少截获t+1个成员的节点密钥值才能将多项式重构。由此可见，攻击者即使获取了整个通信***中所有成员的节点密钥值，也无法计算出对称多项式的值，从而保证了会话密钥的安全性。而且通过节点计算的共享密钥是独立的，其他节点无法获取，具有良好的保密性和独立性。
2)主从站双向身份认证
主站A与从站B利用自身身份标识IDA和IDB构建一元一次多项式f(IDA,y)和f(IDB,y)。通过建立会话，主站A、从站B分别计算出KAB＝f(IDA,y)|y＝IDB、KBA＝f(IDB,y)|y＝IDA。主从站交换彼此对称多项式计算结果，并比较KAB与KBA是否相同，完成相互认证与安全会话密钥的建立。在主从站对称多项式值交换过程中，实现了对彼此的身份认证，有效地防止了非法节点冒用，保证了传输消息的完整性和可用性，能有效避免消息被篡改和非法获取，能够较好地满足SCADA***加密机制的要求。
附图说明
通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：
图1为本发明用于SCADA***主站与从站间身份认证的方法主站与从站间身份认证***的整体框架示意图；
图2为本发明用于SCADA***主站与从站间身份认证的方法主从站通信流程示意图；
图3为本发明用于SCADA***主站与从站间身份认证的方法Modbus TCP数据帧示意图；
图4为本发明用于SCADA***主站与从站间身份认证的方法主从站对称多项式示意图。
具体实施方式
下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。
由于SCADA***需要在短时间内处理大量数据，因此轻量级的加密机制能保证***中断后快速恢复，降低***损失。采用对称加密在密钥节点数量与响应时间花费上具有优越性，符合***轻量级加密机制的需求。但由于对称加密过程中使用的加解密密钥唯一，因此会话密钥的安全问题不容忽视，密钥存在泄露的隐患。由此可鉴，通信过程中密钥的保密传输十分重要。本发明通过在对称密钥产生环节引入二元对称多项式进行计算，解决了单一密钥在建立过程中容易泄露的安全问题，并以此保证会话密钥产生过程中的安全性，实现主站与从站的身份认证。
具体地，本发明用于SCADA***主站与从站间身份认证的方法将对称多项式加密的方式引入SCADA***中主站与从站的身份认证。在加密过程中运用分散密钥机制建立认证机制，使用了以身份标识(ID)为基础的密钥机制与对称多项式算法。在基于通信双方身份标识的密钥体系中，会话密钥从通信者唯一身份标识中衍生而来。主从站各自保存一个二元对称多项式，主站在通信建立过程中产生对称多项式系数，并传递给从站，以此保证主从站拥有相同的多项式函数。通信过程中，主从站利用其自身身份标识值计算多项式的值，并交换彼此身份标识值。最终主从站把两者的身份标识值代入对称多项式进行计算，以此共享对称密钥。在此过程中，主从站均能通过使用基于对称多项式的密钥产生机制计算出会话密钥，且由多项式的对称性可知，双方计算结果相同。
如图1所示，根据本发明所提供方法的具体实施过程分为3个主要的阶段，包括主从站建立连接阶段、主从站相互认证并协商密钥阶段和主从站加密通信阶段。为了更加清晰形象地阐述整个SCADA***的主站A与从站B间身份认证的过程，附上相关附图并对其进行说明。
在主从站建立连接阶段，主从站选用Modbus TCP作为应用层通信协议，它是基于TCP/IP网络协议建立，传输层采用TCP通信模式。端口502是Modbus TCP用于连接的专用端口，通过IP地址与端口实现寻址过程，由于TCP是面向连接的可靠通信，其自身包含了校验部分。在整个通信协议中，应用层使用Modbus协议，所以主要使用Master/Slave的通信架构。在数据传输前，首先应该通过使用套接字接口，在客户和主站A之间建立TCP/IP连接，一旦客户和主站A之间的通信连接建立完成，用户与主站A之间就可以进行报文交换与数据传输。Modbus TCP采用Master/Slave的模式进行信息的实时交换，在此模式下，主从站通信过程中主要涉及四种报文类型，即：请求、确认、指示、响应。
具体地，主从站间采用Winsock构建Modbus TCP通信，其中Winsock套接字能够标识通信过程，套接字中涵盖主从站的IP地址、目前链接情况等信息，可以通过协议、地址、端口唯一确定套接字，主从站通过TCP/IP协议在网络中传输符合Modbus协议要求的信息帧。主站A采用并发模式，通过运用独立的线程处理每个从站B的请求，实现了***的高效传输，套接字可以被应用程序请求调用，通过调用套接字实现***资源的按需分配。
连接建立过程中，主站A执行的操作如下：
套接字创建完成后，必须首先对套接字库进行初始化，此时其端口号与IP地址均为空。通过调用bind()绑定套接字地址，实现对于通信端口号(502)和本地IP地址的写入操作，主站A使用listen()函数将套接字模式设置成被动，实现对从站B端发送请求的侦听，主站A通过accept()函数，提取从站B进程发送的链接请求，并调用send()与recv()函数实现信息的收发过程，最终通过close()函数关闭套接字，并利用cleanup()释放***资源。具体地，如图2所示。
从站B与主站A连接过程中执行的操作如下：
首先通过socket()创建套接字，并通过connect()函数向主站A发送连接请求，send()与recv()函数可以实现通信过程中信息的收发。最终通过close()关闭套接字，并利用cleanup()实现***资源的释放。具体地，如图2所示。
通信过程中采用Modbus TCP数据帧作为主从站身份标识，数据帧格式如图3所示。其中，MBAP表示整个Modbus TCP的头部，涵盖了整个数据帧的前7个Byte；事务处理标识符用来表示Modbus请求和响应的相关操作；协议标识符主要表示应用层选取的通信协议，通常取0表示应用层采了用Modbus通信协议，取1则表示其他；长度用来表示从当前字节之开始计算，后续数据量的大小；单元标识符主要用于识别串行链路或其他链接在其他总线上的设备单元；功能码用来指明通信流程中具体执行的指令模式。
由此可见，Modbus TCP数据帧不仅传递了通信信息，而且具有唯一性，能够用来标识主从站身份。因此，本发明使用Modbus TCP数据帧作为IDA与IDB。
在主从站相互认证并协商密钥阶段，主站A与从站B交换身份标识符，并将身份标识符带入多项式进行计算。主站A与从站B交换对称多项式计算结果，如果结果一致，则主站A与从站B实现双向认证，并获得共享的对称多项式的值。主从站对称多项式计算流程如图4所示。
具体地，对称多项式的定义如下：
设f(x1,x2,…,xn)∈P(x1,x2,…,xn)，若对任意的i,j(1≤i,j≤n)有：
f(x1,…,xi,…,xj,…,xn)＝f(x1,…,xj,…,xi,…,xn)
则称该多项式为对称多项式。
下列n个多项式：
σ1＝x1+x2+x3+…+xn；
σ2＝x1x2+x1x3+x1x4+…+xn-1xn；
…
σn＝x1x2x3…xn-1xn；
称为n个未知数x1,x2,…,xn的初等对称多项式。
对称多项式的和、积仍是对称多项式，特别地，初等对称多项式的多项式仍为对称多项式。在一个对称多项式中，交换其中任意两个变量的值，对称多项式的值仍保持不变。
对于二元t次多项式f(x,y)，x、y表示两随机变量，若对任意x、y都满足f(x,y)＝f(y,x)，则称二元多项式f(x,y)为对称二元多项式。二元t次对称多项式满足：
其中，二元t次对称多项式定义在有限域GF(q)上，q的取值为大于10k的素数，k为密钥的长度(例如，密码长度为16位，则q可以取大于1016的大素数)。而且对于任意的i、j，都满足等式aij＝aji。
主从站采用对称多项式建立会话密钥过程如下：
主站A创建服务，产生对称多项式系数aij(a00、a01、a11)，从站B输入服务器的IP地址与主站A进行连接，连接建立成功后从站B与主站A共享对称多项式参数。连接建立完毕后，主站A与从站B交换身份标识符，主从站均采用MODBUS TCP数据帧作为自身身份标识符。主从站将两者的身份标识符带入对称多项式进行计算，得到f(IDA,IDB)与f(IDB,IDA)。主站A与从站B交换对称多项式计算结果，如果f(IDA,IDB)＝f(IDB,IDA)，则主站A与从站B实现双向认证，并获得KAB＝f(IDA,IDB)＝f(IDB,IDA)。将扩展计算得到加密密钥KAB扩展成AES密钥，并采用AES对称加密算法对主从站间传送的数据内容进行加密。
主从站加密通信阶段，把协商所得的对称多项式的值扩展成为128比特，使之符合AES密钥长度标准，最终采用AES算法对主从站间传送的数据内容进行加密传输并解密验证。
具体地，由于AES加密区块固定，且密钥长度固定(本实施例选用128比特)，应首先将对称多项式计算而得的结果进行扩展，使之符合AES加密需求。AES加密主要在一个4×4的“状态矩阵上进行”，通过“Add Round Key、Sub Bytes、Shift Rows、Mix Columns”四个步骤进行加密。AES具有加解密迅速、整体编码密度高的特点，且四个计算环节简洁明了，易于在软硬件上实施，整个过程对存储器的需求也相对较小，符合工业控制***轻量级加密的需求。
本发明还提供一种采用用于SCADA***主站A与从站B间身份认证的方法的***。
以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

Claims (6)

1.一种用于SCADA***主站与从站间身份认证的方法，其特征在于，包括如下步骤：
步骤A：主站A创建服务，产生对称多项式系数aij，从站B根据主站A服务器的IP地址与主站A建立连接，连接建立成功后从站B与主站A共享二元对称多项式参数，主站A与从站B均持有完整的二元对称多项式表达式；
步骤B：连接建立完毕后，在应用层选取通信协议，主站A、从站B分别采用通信协议的数据帧作为自身身份标识符IDA、IDB；
步骤C：通信建立完毕后，主站A与从站B交换彼此的身份标识符，主站A、从站B分别将两者的身份标识符带入二元对称多项式进行计算，得到计算结果f(IDA，IDB)、f(IDB，IDA)；
步骤D：主站A与从站B交换彼此二元对称多项式计算结果，如果f(IDA，IDB)＝f(IDB，IDA)，则主站A与从站B实现双向认证，并计算KAB＝f(IDA，IDB)＝f(IDB，IDA)，进入步骤E继续执行；否则，返回步骤B；
步骤E：扩展计算得到加密密钥KAB，使KAB符合AES密钥长度要求，并采用加密算法对主从站间传送的数据内容进行加密。
2.根据权利要求1所述的用于SCADA***主站与从站间身份认证的方法，其特征在于，所述步骤C中的二元对称多项式为二元t次对称多项式，满足：
其中，二元t次对称多项式定义在有限域GF(q)上，q的取值为大于10k的素数，k为密钥的长度；而且对于任意的i、j，都满足等式aij＝aji；aij表示对称多项式系数；x,y表示两随机变量。
3.根据权利要求2所述的用于SCADA***主站与从站间身份认证的方法，其特征在于，所述二元t次对称多项式的对称多项式系数aij由主站A在通信建立过程中随机产生。
4.根据权利要求1所述的用于SCADA***主站与从站间身份认证的方法，其特征在于，所述步骤B中，所述通信协议为ModbusTCP协议。
5.根据权利要求1所述的用于SCADA***主站与从站间身份认证的方法，其特征在于，所述步骤E中，所述加密算法为AES对称加密算法。
6.一种用于SCADA***主站与从站间身份认证方法的***，其特征在于，所述***采用权利要求1至5任意一项所述的用于SCADA***主站与从站间身份认证的方法。
CN201511026877.9A 2015-12-31 2015-12-31 用于scada***主站与从站间身份认证的方法及*** Active CN105610837B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201511026877.9A CN105610837B (zh) 2015-12-31 2015-12-31 用于scada***主站与从站间身份认证的方法及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201511026877.9A CN105610837B (zh) 2015-12-31 2015-12-31 用于scada***主站与从站间身份认证的方法及***

Publications (2)

Publication Number Publication Date
CN105610837A CN105610837A (zh) 2016-05-25
CN105610837B true CN105610837B (zh) 2018-12-18

Family

ID=55990375

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201511026877.9A Active CN105610837B (zh) 2015-12-31 2015-12-31 用于scada***主站与从站间身份认证的方法及***

Country Status (1)

Country Link
CN (1) CN105610837B (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106301793B (zh) * 2016-09-06 2018-04-10 中国电子技术标准化研究院 一种plc认证和安全通信的方法
CN108965326A (zh) * 2018-08-21 2018-12-07 南京国电南自电网自动化有限公司 一种基于用户身份认证的主子站安全通信控制方法和***
CN111865908B (zh) * 2020-06-08 2022-05-17 杭州电子科技大学 一种基于随机加密策略的资源受限***安全通讯方法
CN112242993B (zh) * 2020-09-02 2022-10-21 海量安全技术有限公司 双向认证方法及***
CN112383916B (zh) * 2020-11-12 2023-06-27 刘中亚 一种基于动态系数对称多项式的密钥管理方法
CN112468493A (zh) * 2020-11-25 2021-03-09 上海电气风电集团股份有限公司 基于现场总线的数据传输方法、身份识别方法及***
CN113093678B (zh) * 2021-04-07 2022-12-20 国能(泉州)热电有限公司 一种电厂dcs***数据处理方法
CN113285946B (zh) * 2021-05-20 2023-08-15 中国联合网络通信集团有限公司 一种设备认证方法及装置
CN113709184B (zh) * 2021-10-08 2023-03-24 天津创发科技有限公司 一种应用于铁路物联网的数据加密方法及其加密***

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105049434A (zh) * 2015-07-21 2015-11-11 中国科学院软件研究所 一种对等网络环境下的身份认证方法与加密通信方法
CN105162797A (zh) * 2015-09-24 2015-12-16 广东工业大学 一种基于视频监控***的双向认证方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9288670B2 (en) * 2013-04-19 2016-03-15 T-Mobile Usa, Inc. Dynamic distribution of authentication sessions

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105049434A (zh) * 2015-07-21 2015-11-11 中国科学院软件研究所 一种对等网络环境下的身份认证方法与加密通信方法
CN105162797A (zh) * 2015-09-24 2015-12-16 广东工业大学 一种基于视频监控***的双向认证方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
《电力SCADA***网络安全技术与方法研究》;罗斌;《信息安全与通信保密》;20140630(第6期);全文 *

Also Published As

Publication number Publication date
CN105610837A (zh) 2016-05-25

Similar Documents

Publication Publication Date Title
CN105610837B (zh) 用于scada***主站与从站间身份认证的方法及***
CN105959111B (zh) 基于云计算和可信计算的信息安全大数据资源访问控制***
CN110336774A (zh) 混合加密解密方法、设备及***
CN111209334A (zh) 基于区块链的电力终端数据安全管理方法
CN107172056A (zh) 一种信道安全确定方法、装置、***、客户端及服务器
CN110889696A (zh) 一种基于sgx技术的联盟区块链秘钥存储方法、装置、设备及介质
CN103427992A (zh) 用于在网络中的节点之间建立安全通信的方法、网络节点、密钥管理器、安装设备和计算机程序产品
CN110505055B (zh) 基于非对称密钥池对和密钥卡的外网接入身份认证方法和***
CN112818332A (zh) 一种面向智能制造的密码管理服务平台
CN105099699A (zh) 基于物联网设备的安全高效通信方法及***
CN106657002A (zh) 一种新型防撞库关联时间多密码的身份认证方法
CN112653664A (zh) 一种网络之间高安全可靠的数据交换***及方法
CN105162592B (zh) 一种认证可穿戴设备的方法及***
CN110519222A (zh) 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和***
CN111212026A (zh) 基于区块链的数据处理方法、装置及计算机设备
CN103684759A (zh) 一种终端数据加密方法和装置
CN112865965B (zh) 一种基于量子密钥的列车业务数据处理方法及***
CN105933117A (zh) 一种基于tpm秘钥安全存储的数据加解密装置和方法
CN111490874B (zh) 一种配网安全防护方法、***、装置及存储介质
CN117318941A (zh) 基于车内网的预置密钥分发方法、***、终端及存储介质
CN108632295B (zh) 防止终端反复攻击服务器的方法
CN116720218A (zh) 基于区块链的跨***账户共享服务方法及***
CN112995140B (zh) 安全管理***及方法
CN113676446B (zh) 通信网络安全防误控制方法、***、电子设备及介质
CN104780049B (zh) 一种安全读写数据的方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant