CN111490874B - 一种配网安全防护方法、***、装置及存储介质 - Google Patents

一种配网安全防护方法、***、装置及存储介质 Download PDF

Info

Publication number
CN111490874B
CN111490874B CN202010300489.XA CN202010300489A CN111490874B CN 111490874 B CN111490874 B CN 111490874B CN 202010300489 A CN202010300489 A CN 202010300489A CN 111490874 B CN111490874 B CN 111490874B
Authority
CN
China
Prior art keywords
key
random number
terminal
security protection
response
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010300489.XA
Other languages
English (en)
Other versions
CN111490874A (zh
Inventor
张春
尹健
郑东曦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangdong Weide Information Technology Co ltd
Original Assignee
Guangdong Weide Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangdong Weide Information Technology Co ltd filed Critical Guangdong Weide Information Technology Co ltd
Priority to CN202010300489.XA priority Critical patent/CN111490874B/zh
Publication of CN111490874A publication Critical patent/CN111490874A/zh
Application granted granted Critical
Publication of CN111490874B publication Critical patent/CN111490874B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Sub-Exchange Stations And Push- Button Telephones (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种配网安全防护方法、***、装置及存储介质，方法包括：安全防护终端根据安全防护网关发送的随机数A和终端PUF电路生成响应B，根据B和终端ID值C生成密钥P，并返回A⊕P；安全防护网关计算得到P并将{A，P}存储至服务器的密钥池中；通过安全防护网关的私钥d1和随机获取的Px对业务报文进行签名、加密生成加密业务报文，将Ax和加密业务报文下发至安全防护终端；安全防护终端生成Px，利用Px和签名证书对加密业务报文进行解密、签名认证。本发明在兼顾规约防篡改的同时，采用物理不可克隆函数生成密钥因子使得会话密钥无法被破译和复制，且无需进行会话密钥交换，大大提升了配网自动化***的安全防护能力，可广泛应用于信息安全技术领域。

Description

一种配网安全防护方法、***、装置及存储介质
技术领域
本发明涉及信息安全技术领域，尤其是一种配网安全防护方法、***、装置及存储介质。
背景技术
随着信息技术的不断发展，网络通信面临的威胁越来越多。特别是电力行业作为国家重点能源行业，其安全性直接关系到广大人民日常生活，电网的安全运行依赖于众多的自动化设备与***，这些设备目前数据传输虽然开辟专门网络通道，但是传输的方式仍然是明文形式，如果网络链路被不法分子非法劫持，则数据传输的内容很有可能被不法分子截获，入侵其控制网络，伪造身份发送控制指令，篡改数据，都能给整个电网生产运营造成极大的危害。
现有技术中，配网安全防护措施包括在配电主站和接入网关间部署安全隔离装置、在接入网关和通信网络间部署防火墙、在配电主站部署恶意代码防护***、采用经国家指定部门认证的安全加固操作***等。但现有技术中配电主站和配电终端进行通讯所使用的会话密钥大多通过芯片随机生成，且需要进行会话密钥交换，芯片随机生成的会话密钥不能百之百确保其唯一性，而在会话密钥交换的过程中还存在被截获的可能。
发明内容
为解决上述技术问题，本发明的目的在于：提供一种配网安全防护方法、***、装置及存储介质，在兼顾应用层规约防篡改的同时，通过物理不可克隆函数生成会话密钥的密钥因子，且无需进行会话密钥交换，大大提升了配网自动化***的安全防护能力。
本发明一方面所采取的技术方案是：
一种配网安全防护方法，包括以下步骤：
通过安全防护网关向安全防护终端发送第一随机数，使得所述安全防护终端根据所述第一随机数和终端PUF电路生成第一响应，进而根据所述第一响应和所述安全防护终端的ID值生成第一密钥，并将所述第一密钥和所述第一随机数进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值；
通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和所述第一随机数得到所述第一密钥，进而将所述第一密钥和所述第一随机数存储至服务器的密钥池中；
通过所述安全防护网关的第一私钥对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将第二随机数和所述加密业务报文下发至所述安全防护终端，其中所述第二随机数是与所述第二密钥对应的随机数；
根据所述第二随机数和所述终端PUF电路生成第二响应，根据所述第二响应和所述ID值得到所述第二密钥，再利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端。
进一步，所述通过安全防护网关向安全防护终端发送第一随机数，使得所述安全防护终端根据所述第一随机数和终端PUF电路生成第一响应，进而根据所述第一响应和所述安全防护终端的ID值生成第一密钥，并将所述第一密钥和所述第一随机数进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值这一步骤，其包括：
通过随机数产生器获得第一随机数，并通过安全防护网关将所述第一随机数发送至安全防护终端；
以所述第一随机数作为输入，通过终端PUF电路输出第一响应；
获取所述安全防护终端的硬件指纹ID值，根据所述ID值和所述第一响应生成第一密钥，将所述第一密钥和所述第一随机数进行异或运算得到第一运算值，并将所述第一运算值返回至所述安全防护网关；
通过所述安全防护终端销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值。
进一步，所述通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和所述第一随机数得到所述第一密钥，进而将所述第一密钥和所述第一随机数存储至服务器的密钥池中这一步骤，其包括：
通过所述安全防护网关接收所述第一运算值，并将所述第一运算值和主站侧存储的第一随机数进行异或运算，得到所述第一密钥；
将所述第一随机数作为key，所述第一密钥作为value，生成第一键值对，并将所述第一键值对存储至服务器的密钥池中。
进一步，所述通过所述安全防护网关的第一私钥对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将第二随机数和所述加密业务报文下发至所述安全防护终端，其中所述第二随机数是与所述第二密钥对应的随机数这一步骤，其包括：
通过所述安全防护网关的第一私钥对业务报文和时间戳进行数字签名，并封装成带签名规约的第一业务报文；
从所述密钥池随机获取第二密钥，并获取与所述第二密钥对应的第二随机数；
利用所述第二密钥对所述第一业务报文进行加密生成加密业务报文，并通过所述安全防护网关将所述第二随机数和所述加密业务报文下发至所述安全防护终端。
进一步，所述根据所述第二随机数和所述终端PUF电路生成第二响应，根据所述第二响应和所述ID值得到所述第二密钥，再利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端这一步骤，其包括：
以所述第二随机数作为输入，通过终端PUF电路输出第二响应，并获取所述安全防护终端的硬件指纹ID值，根据所述ID值和所述第二响应得到第二密钥，利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文；
通过所述安全防护终端对所述第二业务报文进行时效性验证；
获取所述安全防护网关的签名证书，根据所述签名证书对所述第二业务报文进行签名验证；
将通过验证的第二业务报文发送至所述配电终端。
进一步，还包括以下步骤：
通过所述安全防护终端的第二私钥对应答报文进行签名生成带签名规约的第一应答报文，并利用所述第二密钥对所述第一应答报文进行加密生成加密应答报文，进而通过所述安全防护终端将所述加密应答报文上传至所述安全防护网关；
通过安全防护网关接收所述加密应答报文，利用所述第二密钥对所述加密应答报文进行解密得到第二应答报文，并获取所述安全防护终端的签名证书对所述第二应答报文进行签名认证，进而将通过验证的第二应答报文发送至配电主站。
进一步，所述第二密钥和所述第二随机数在配电主站和配电终端完成此次通讯后均销毁，所述密钥池中的第一密钥和第一随机数实时动态更新。
本发明另一方面所采取的技术方案是：
一种配网安全防护***，包括：
密钥生成模块：通过安全防护网关向安全防护终端发送第一随机数，使得所述安全防护终端根据所述第一随机数和终端PUF电路生成第一响应，进而根据所述第一响应和所述安全防护终端的ID值生成第一密钥，并将所述第一密钥和所述第一随机数进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值；
密钥池构建模块：通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和所述第一随机数得到所述第一密钥，进而将所述第一密钥和所述第一随机数存储至服务器的密钥池中；
业务下发模块：通过所述安全防护网关的第一私钥对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将第二随机数和所述加密业务报文下发至所述安全防护终端，其中所述第二随机数是与所述第二密钥对应的随机数；
业务验证模块：根据所述第二随机数和所述终端PUF电路生成第二响应，根据所述第二响应和所述ID值得到所述第二密钥，再利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端。
本发明另一方面所采取的技术方案是：
一种配网安全防护装置，包括：
至少一个处理器；
至少一个存储器，用于存储至少一个程序；
当所述至少一个程序被所述至少一个处理器执行，使得所述至少一个处理器实现所述配网安全防护方法。
本发明另一方面所采取的技术方案是：
一种存储介质，其中存储有处理器可执行的指令，所述处理器可执行的指令在由处理器执行时用于执行所述配网安全防护方法。
本发明的有益效果是：本发明一种配网安全防护方法、***、装置及存储介质，通过安全防护网关产生的第一随机数和安全防护终端的PUF电路生成第一响应，再根据第一响应和安全防护终端的ID值生成第一密钥，将第一密钥和第一随机数进行逻辑运算后返回安全防护网关，由安全防护网关运算得到第一密钥，并将第一密钥和第一随机数存储至服务器的密钥池中，在下发业务报文时，先利用安全防护网关的第一私钥进行签名，再从密钥池中随机获取第二密钥进行加密，安全防护终端只需要根据第二随机数和终端PUF电路生成第二响应，再根据终端ID值即可还原第二密钥，从而在兼顾应用层规约防篡改的同时，采用物理不可克隆函数生成密钥因子使得会话密钥无法被破译和复制，且无需进行会话密钥交换，大大提升了配网自动化***的安全防护能力。
附图说明
图1是本发明实施例提供的配网安全防护方法流程图；
图2是本发明实施例提供的配网安全防护方法数据交互示意图；
图3是本发明实施例提供的网络拓扑示意图；
图4是本发明实施例提供的配网安全防护***结构框图；
图5是本发明实施例提供的配网安全防护装置结构框图。
具体实施方式
下面结合附图和具体实施例对本发明做进一步的详细说明。对于以下实施例中的步骤编号，其仅为了便于阐述说明而设置，对步骤之间的顺序不做任何限定，实施例中的各步骤的执行顺序均可根据本领域技术人员的理解来进行适应性调整。
在本发明的描述中，多个的含义是两个以上，如果有描述到第一、第二只是用于区分技术特征为目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量或者隐含指明所指示的技术特征的先后关系。此外，以下实施例中所提及到的“上”、“中”、“下”仅为了清楚描述位置关系，为相对位置关系，而并不是绝对位置关系，可根据本领域技术人员的理解来进行适应性调整。
如图3所示为本发明实施例的网络拓扑图，应当理解的是，服务器、安全防护网关均设置在配电主站这一侧，安全防护终端设置在配电终端这一侧，配电主站、采集服务器以及安全防护网关依次连接，安全防护网关与安全防护终端连接，安全防护终端还与配电终端连接，安全防护终端内置PUF电路芯片。安全防护网关与安全防护终端的通信方式包括但不限于电力光纤专网和2G/3G/4G/5G无线网络，对于处于偏远地区、不具备电力光纤通信条件的配电终端，可采用无线专网通信方式，且一个配电主站可同时与多个配电终端进行业务数据的交互。
参照图1，本发明实施例提供了一种配网安全防护方法，包括以下步骤：
S101、通过安全防护网关向安全防护终端发送第一随机数A，使得所述安全防护终端根据第一随机数A和终端PUF电路生成第一响应B，进而根据第一响应B和所述安全防护终端的ID值C生成第一密钥P，并将A和P进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的A、B、P以及第一运算值；
具体地，物理不可克隆函数(Physical Unclonable Function，PUF)可利用其内在的物理构造来对其进行唯一性标识，输入任意激励都会输出一个唯一且不可预测的响应。由于PUF芯片在制造过程中的光刻、掺杂等环节所产生的差异本身具有不可模仿和复制的特性，所以即使是芯片制造商也不可能复制出一模一样的PUF芯片，因此PUF技术可以有效地抵抗物理攻击和标签克隆。而且PUF芯片的硬件需求较小，一个64位的PUF电路大概只需要545个门电路，远比Hash函数和MD5等的硬件开销小。安全防护终端的ID值C可以采用单一硬件信息如IMEI，也可以采用多个硬件信息如硬盘序列号、BOIS序列号生成ID值。本发明实施例所述PUF电路可通过PUF芯片的内置电路实现，所述响应即为PUF电路根据输入产生的输出信号，以PUF芯片的响应B和安全防护终端的ID值C作为密钥因子生成密钥P，避免了密钥P被破译或复制。步骤S101具体包括以下步骤。
S1011、通过随机数产生器获得第一随机数A，并通过安全防护网关将第一随机数A发送至安全防护终端；
S1012、以第一随机数A作为输入，通过终端PUF电路输出第一响应B；
S1013、获取所述安全防护终端的硬件指纹ID值C，根据所述ID值C和第一响应B生成第一密钥P，计算
Figure BDA0002453812160000061
并将
Figure BDA0002453812160000062
返回至所述安全防护网关；
S1014、通过所述安全防护终端销毁终端侧的A、B、P以及
Figure BDA0002453812160000063
本发明实施例中，可通过安全防护网关的随机数产生器获得随机数A，由安全防护终端根据随机数A和终端PUF电路生成响应B，以响应B和安全防护终端的ID值C为密钥因子，生成密钥P，再将
Figure BDA0002453812160000064
返回安全防护网关，同时销毁终端侧的A、B、P以及
Figure BDA0002453812160000065
由于采用物理不可克隆函数生成密钥因子，使得密钥P无法被破译和复制，将
Figure BDA0002453812160000066
返回安全防护网关，同时销毁终端侧的A、B、P以及
Figure BDA0002453812160000067
避免了密钥P在传输过程中或在终端侧泄露。
S102、通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和第一随机数A得到第一密钥P，进而将第一密钥P和第一随机数A存储至服务器的密钥池中；
具体地，可根据逻辑运算的规则，计算得到密钥P，然后将{A，P}存储至服务器的密钥池中，循环进行步骤S101和步骤S102即可完成密钥池的构建，便于后续从密钥池中随机获取第二密钥Px作为会话密钥进行业务报文的下发。步骤S102具体包括以下步骤。
S1022、通过所述安全防护网关接收所述安全防护终端返回的
Figure BDA0002453812160000068
并根据
Figure BDA0002453812160000069
和主站侧存储的A计算
Figure BDA00024538121600000610
得到密钥P；
S1023、将A作为key、P作为value，生成第一键值对{A，P}，并将{A，P}存储至服务器的密钥池中。
本发明实施例中，根据异或运算的性质，计算
Figure BDA00024538121600000611
得到P，将A作为key、P作为value，生成键值对{A，P}便于存储与调用，且实际应用中，一个配电主站往往需要与多个配电终端同时进行业务交互，对于同一个随机数A，不同的安全防护终端由于PUF芯片的不同得到的响应B也是不同的，结合安全防护终端的ID值C生成的密钥P也是不同的，此时一个随机数A对应着若干个密钥P，可将若干个密钥P的集合PN作为value，生成键值对{A，PN}存储至服务器的密钥池中，更加方便后续的管理与调用，当配电主站在同时与不同的配电终端进行业务交互时可以使用同一随机数A对应的不同的密钥PN，大大增强了配网自动化***的安全防护能力。
S103、通过所述安全防护网关的第一私钥d1对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥Px对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将Ax和所述加密业务报文下发至所述安全防护终端，其中Ax是与Px对应的随机数。
具体地，当配电主站下发业务报文时，可通过安全防护网关的私钥d1对原始业务报文进行数字签名并封装成带签名规约的第一业务报文，然后从密钥池随机获取密钥Px对所述第一业务报文进行加密生成加密业务报文，并将加密业务报文和与密钥Px对应的随机数Ax下发至安全防护终端，从而在业务报文下发时实现了网络层加密和应用层规约防篡改的双重防护，同时由于Px是在密钥池中随机选取的，且安全防护终端根据随机数Ax、内置的PUF电路以及终端ID值C就可以得到Px，从而无需进行会话密钥的交换，且确保了只有该安全防护终端才能解密得到业务报文，进一步增强了配网自动化***的安全防护能力。步骤S103具体包括以下步骤。
S1031、通过所述安全防护网关的第一私钥d1对业务报文和时间戳进行数字签名，并封装成带签名规约的第一业务报文；
S1032、从所述密钥池随机获取第二密钥Px，并获取与Px对应的第二随机数Ax；
S1033、利用Px对所述第一业务报文进行加密生成加密业务报文，并通过所述安全防护网关将Ax和所述加密业务报文下发至所述安全防护终端。
本发明实施例中，可通过安全防护网关对***命令、遥信报文、遥测报文、遥控报文、参数设置等报文数据进行数字签名和签名验证。具体地，对原始业务报文和时间戳采用安全防护网关的私钥d1进行数字签名，生成的带签名规约的第一业务报文格式为：时间戳+明文报文+签名；然后从密钥池随机获取密钥Px对第一业务报文进行加密，将与Px对应的随机数Ax和所述加密业务报文下发至所述安全防护终端。由于在签名时加入了时间戳，从而可以在安全防护终端进行时效性验证，进一步提升了配网自动化***的安全防护能力。
S104、根据第二随机数Ax和所述终端PUF电路生成第二响应Bx，根据第二响应Bx和所述安全防护终端的ID值C得到第二密钥Px，再利用Px对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端。
具体地，安全防护终端先根据随机数Ax和所述终端PUF电路生成响应Bx，再根据响应Bx和安全防护终端的ID值C得到密钥Px，从而对加密业务报文进行解密，得到带签名规约的第二业务报文然后进行验证，若验证成功，则将第二业务报文转发给配电终端，若验证失败，则向安全防护网关返回验签失败的终端回复报文。步骤S104具体包括以下步骤。
S1041、以第二随机数Ax作为输入，通过终端PUF电路输出第二响应Bx，并获取所述安全防护终端的硬件指纹ID值C，根据所述ID值C和第二响应Bx得到第二密钥Px，利用Px对所述加密业务报文进行解密得到第二业务报文；
S1042、通过所述安全防护终端对所述第二业务报文进行时效性验证；
S1043、获取所述安全防护网关的签名证书，根据所述签名证书对所述第二业务报文进行签名验证；
S1044、将通过验证的第二业务报文发送至配电终端。
本发明实施例中，安全防护终端生成密钥Px对加密业务报文进行解密得到第二业务报文之后，先根据第二业务报文中的时间戳对第二业务报文进行时效性验证，当通过时效性验证则进行下一步的签名验证，若验证成功，则将第二业务报文转发给配电终端，若验证失败，则向安全防护网关返回验签失败的终端回复报文，从而实现了网络层加密和应用层规约防篡改的双重防护。
进一步作为可选的实施方式，还包括以下步骤：
S105、通过所述安全防护终端的第二私钥d2对应答报文进行签名生成带签名规约的第一应答报文，并利用第二密钥Px对所述第一应答报文进行加密生成加密应答报文，进而通过所述安全防护终端将所述加密应答报文上传至所述安全防护网关；
S106、通过安全防护网关接收所述加密应答报文，利用Px对所述加密应答报文进行解密得到第二应答报文，并获取所述安全防护终端的签名证书对所述第二应答报文进行签名认证，进而将通过验证的第二应答报文发送至配电主站。
具体地，当配电终端上传应答报文时，可先通过安全防护终端的私钥d2对应答报文进行数字签名并封装成带签名规约的第一应答报文，再利用解密业务报文时生成的密钥Px对第一应答报文进行加密生成加密应答报文，上传至安全防护网关由安全防护网关利用密钥Px和私钥d1进行解密和签名验证，从而在应答报文上传时实现了网络层加密和应用层规约防篡改的双重防护。
如图2所示为本发明实施例提供的配网安全防护方法数据交互示意图，其中A1、A2均表示第一随机数，B1、B2均表示第一响应，P1、P2均表示第一密钥。应该理解的是，密钥池构建与业务交互是两个相互独立且并行的过程。
进一步作为可选的实施方式，所述第二密钥Px和所述第二随机数Ax在配电主站和配电终端完成此次通讯后均销毁，所述密钥池中的{A，P}实时动态更新。
具体地，在配电主站和配电终端完成一次通讯(业务报文的下发和应答报文的上传)后，主站侧和终端侧的Px及对应的Ax均销毁(同时也销毁终端侧的Bx)，即一个密钥Px只用于一次通讯的会话密钥，当主站再次下发业务报文时，需重新从密钥池中选取一个随机密钥作为会话密钥，且该密钥池中的{A，P}是实时动态更新的，可将已经使用过的键值对{A，P}清除，实时采集新的{A，P}键值对密钥池进行更新。本发明实施例中，由于密钥Px只用于一次通讯的会话密钥，使用后即销毁，且密钥池中的{A，P}键值对实时动态更新，避免了会话密钥重复使用而被破解造成数据泄露的风险，进一步增强了配网自动化***的安全防护能力。
可选地，安全防护网关采用椭圆曲线数字签名算法进行数字签名和/或签名验证，安全防护终端采用椭圆曲线数字签名算法进行数字签名和/或签名验证。
具体地，椭圆曲线数字签名算法包括但不限于ECDSA数字签名算法和SM2数字签名算法。
可选地，采用ECDSA数字签名算法生成数字签名的过程如下：
输入：参数组D(q，FR，S，a，b，P，n，h)，私钥d，消息m；
A1、选择随机数k∈[1，n-1]；
A2、计算kP＝(x1，y1)，并将x1转化为整数z；
A3、计算r＝z mod n，若r＝0，则返回步骤A1；
A4、计算e＝H(m)；
A5、计算s＝k-1(e+dr)mod n，若s＝0，则返回步骤A1；
A6、返回消息m的签名(r，s)。
采用ECDSA数字签名算法进行签名验证的过程如下：
输入：参数组D(q，FR，S，a，b，P，n，h)，公钥Q，消息m，签名(r，s)；
B1、检验r，s∈[1，n-1]，若不成立，返回验证失败；
B2、计算e＝H(m)；
B3、计算w＝s-1mod n；
B4、计算u1＝ew mod n和u2＝rw mod n；
B5、计算X＝u1P+u2Q，若X＝∞，返回验证失败；
B6、将X的x坐标转化为整数z，计算v＝z mod n，若v＝r，则返回验证成功，否则返回验证失败。
可选地，采用SM2数字签名算法生成数字签名的过程如下：
C1、对于消息M，令M＝ZA||M；
C2、计算e＝HV(M)，将e转化为整数；
C3、用随机数发生器产生随机数k∈[1，n-1]；
C4、计算椭圆曲线点(x1，y1)＝kG，将x1转化为整数；
C5、计算r＝(e+x1)mod n，若r＝0或者r+k＝n，则返回步骤C3；
C6、计算s＝(1+dA)-1.(k-r·dA)mod n，若s＝0，则返回步骤C3；
C7、返回消息M的签名(r，s)。
采用SM2数字签名算法进行签名验证的过程如下：
D1、检验r，s∈[1，n-1]，若不成立，返回验证失败；
D2、对于消息M，令M＝ZA||M；
D3、计算e＝HV(M)，将e转化为整数；
D4、将r，s转化为整数，计算t＝(r+s)mod n，若t＝0，返回验证失败；
D5、计算椭圆曲线点(x1′，y1′)＝sG+tPA；
D6、将x1′转化为整数，计算R＝(e+x1′)mod n，检验R＝r是否成立，若成立，返回验证成功，否则返回验证失败。
本发明实施例中，采用椭圆曲线数字签名算法(ECDSA和SM2)进行数字签名及签名验证，相比RSA数字签名算法和DSA数字签名算法，具有计算量小、处理速度快、存储空间小、安全强度高的优点，且SM2数字签名算法对签名信息的预处理中包含了签名者自身的信息，安全性大大提高，从而进一步提升了配网自动化***的安全防护能力。
参照图4，本发明实施例提供了一种配网安全防护***，包括：
密钥生成模块：通过安全防护网关向安全防护终端发送第一随机数A，使得所述安全防护终端根据第一随机数A和终端PUF电路生成第一响应B，进而根据第一响应B和所述安全防护终端的ID值C生成第一密钥P，并将A和P进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的A、B、P以及第一运算值；
密钥池构建模块：通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和第一随机数A得到第一密钥P，进而将第一密钥P和第一随机数A存储至服务器的密钥池中；
业务下发模块：通过所述安全防护网关的第一私钥d1对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥Px对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将Ax和所述加密业务报文下发至所述安全防护终端，其中Ax是与Px对应的随机数；
业务验证模块：根据第二随机数Ax和所述终端PUF电路生成第二响应Bx，根据第二响应Bx和所述安全防护终端的ID值C得到第二密钥Px，再利用Px对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端。
进一步作为可选的实施方式，还包括：
应答上传模块，用于通过所述安全防护终端的第二私钥d2对应答报文进行签名生成带签名规约的第一应答报文，并利用第二密钥Px对所述第一应答报文进行加密生成加密应答报文，进而通过所述安全防护终端将所述加密应答报文上传至所述安全防护网关；
应答验证模块，用于通过安全防护网关接收所述加密应答报文，利用Px对所述加密应答报文进行解密得到第二应答报文，并获取所述安全防护终端的签名证书对所述第二应答报文进行签名认证，进而将通过验证的第二应答报文发送至配电主站。
上述方法实施例中的内容均适用于本***实施例中，本***实施例所具体实现的功能与上述方法实施例相同，并且达到的有益效果与上述方法实施例所达到的有益效果也相同。
参照图5，本发明实施例还提供了一种配网安全防护装置，包括：
至少一个处理器；
至少一个存储器，用于存储至少一个程序；
当至少一个程序被至少一个处理器执行，使得至少一个处理器实现配网安全防护方法。
上述方法实施例中的内容均适用于本装置实施例中，本装置实施例所具体实现的功能与上述方法实施例相同，并且达到的有益效果与上述方法实施例所达到的有益效果也相同。
此外，本发明实施例还提供了一种存储介质，其中存储有处理器可执行的指令，处理器可执行的指令在由处理器执行时用于执行配网安全防护方法。
本发明一种配网安全防护方法、***、装置及存储介质，通过安全防护网关产生的随机数A和安全防护终端的PUF电路生成响应B，再根据响应B和安全防护终端的ID值C生成密钥P，将A和P进行逻辑运算后返回安全防护网关，由安全防护网关计算得到密钥P并将{A，P}存储至服务器的密钥池中，在下发业务报文时，先利用安全防护网关的私钥d1进行签名，再从密钥池中随机获取密钥Px进行加密，安全防护终端只需要根据随机数Ax和终端PUF电路生成响应Bx，再根据终端ID值C即可还原密钥Px，在兼顾应用层规约防篡改的同时，采用物理不可克隆函数生成密钥因子使得会话密钥无法被破译和复制，且无需进行会话密钥交换，大大提升了配网自动化***的安全防护能力；通过构建密钥池存储键值对{A，P}，更加便于密钥的管理与调用；由于密钥Px和对应的随机数Ax在配电主站和配电终端完成一次通讯后即销毁，且密钥池中的{A，P}实时动态更新，进一步增强了配网自动化***的安全防护能力；采用椭圆曲线数字签名算法进行数字签名及签名验证，相比RSA数字签名算法和DSA数字签名算法，具有计算量小、处理速度快、存储空间小、安全强度高的优点，从而进一步提升了配网自动化***的安全防护能力。
以上是对本发明的较佳实施进行了具体说明，但本发明并不限于实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可做作出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (10)

1.一种配网安全防护方法，其特征在于，包括以下步骤：
通过安全防护网关向安全防护终端发送第一随机数，使得所述安全防护终端根据所述第一随机数和终端PUF电路生成第一响应，进而根据所述第一响应和所述安全防护终端的ID值生成第一密钥，并将所述第一密钥和所述第一随机数进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值；
通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和所述第一随机数得到所述第一密钥，进而将所述第一密钥和所述第一随机数存储至服务器的密钥池中；
通过所述安全防护网关的第一私钥对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将第二随机数和所述加密业务报文下发至所述安全防护终端，其中所述第二随机数是与所述第二密钥对应的随机数；
根据所述第二随机数和所述终端PUF电路生成第二响应，根据所述第二响应和所述ID值得到所述第二密钥，再利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端。
2.根据权利要求1所述的一种配网安全防护方法，其特征在于，所述通过安全防护网关向安全防护终端发送第一随机数，使得所述安全防护终端根据所述第一随机数和终端PUF电路生成第一响应，进而根据所述第一响应和所述安全防护终端的ID值生成第一密钥，并将所述第一密钥和所述第一随机数进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值这一步骤，其包括：
通过随机数产生器获得第一随机数，并通过安全防护网关将所述第一随机数发送至安全防护终端；
以所述第一随机数作为输入，通过终端PUF电路输出第一响应；
获取所述安全防护终端的硬件指纹ID值，根据所述ID值和所述第一响应生成第一密钥，将所述第一密钥和所述第一随机数进行异或运算得到第一运算值，并将所述第一运算值返回至所述安全防护网关；
通过所述安全防护终端销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值。
3.根据权利要求2所述的一种配网安全防护方法，其特征在于，所述通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和所述第一随机数得到所述第一密钥，进而将所述第一密钥和所述第一随机数存储至服务器的密钥池中这一步骤，其包括：
通过所述安全防护网关接收所述第一运算值，并将所述第一运算值和主站侧存储的第一随机数进行异或运算，得到所述第一密钥；
将所述第一随机数作为key，所述第一密钥作为value，生成第一键值对，并将所述第一键值对存储至服务器的密钥池中。
4.根据权利要求1所述的一种配网安全防护方法，其特征在于，所述通过所述安全防护网关的第一私钥对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将第二随机数和所述加密业务报文下发至所述安全防护终端，其中所述第二随机数是与所述第二密钥对应的随机数这一步骤，其包括：
通过所述安全防护网关的第一私钥对业务报文和时间戳进行数字签名，并封装成带签名规约的第一业务报文；
从所述密钥池随机获取第二密钥，并获取与所述第二密钥对应的第二随机数；
利用所述第二密钥对所述第一业务报文进行加密生成加密业务报文，并通过所述安全防护网关将所述第二随机数和所述加密业务报文下发至所述安全防护终端。
5.根据权利要求1所述的一种配网安全防护方法，其特征在于，所述根据所述第二随机数和所述终端PUF电路生成第二响应，根据所述第二响应和所述ID值得到所述第二密钥，再利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端这一步骤，其包括：
以所述第二随机数作为输入，通过终端PUF电路输出第二响应，并获取所述安全防护终端的硬件指纹ID值，根据所述ID值和所述第二响应得到第二密钥，利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文；
通过所述安全防护终端对所述第二业务报文进行时效性验证；
获取所述安全防护网关的签名证书，根据所述签名证书对所述第二业务报文进行签名验证；
将通过验证的第二业务报文发送至所述配电终端。
6.根据权利要求1所述的一种配网安全防护方法，其特征在于，还包括以下步骤：
通过所述安全防护终端的第二私钥对应答报文进行签名生成带签名规约的第一应答报文，并利用所述第二密钥对所述第一应答报文进行加密生成加密应答报文，进而通过所述安全防护终端将所述加密应答报文上传至所述安全防护网关；
通过安全防护网关接收所述加密应答报文，利用所述第二密钥对所述加密应答报文进行解密得到第二应答报文，并获取所述安全防护终端的签名证书对所述第二应答报文进行签名认证，进而将通过验证的第二应答报文发送至配电主站。
7.根据权利要求1至6任一项所述的一种配网安全防护方法，其特征在于，所述第二密钥和所述第二随机数在配电主站和配电终端完成此次通讯后均销毁，所述密钥池中的第一密钥和第一随机数实时动态更新。
8.一种配网安全防护***，其特征在于，包括：
密钥生成模块：通过安全防护网关向安全防护终端发送第一随机数，使得所述安全防护终端根据所述第一随机数和终端PUF电路生成第一响应，进而根据所述第一响应和所述安全防护终端的ID值生成第一密钥，并将所述第一密钥和所述第一随机数进行逻辑运算得到第一运算值，将所述第一运算值返回至所述安全防护网关，同时销毁终端侧的第一随机数、第一响应、第一密钥和第一运算值；
密钥池构建模块：通过所述安全防护网关接收所述第一运算值，并根据所述第一运算值和所述第一随机数得到所述第一密钥，进而将所述第一密钥和所述第一随机数存储至服务器的密钥池中；
业务下发模块：通过所述安全防护网关的第一私钥对业务报文进行签名生成带签名规约的第一业务报文，并从所述密钥池随机获取第二密钥对所述第一业务报文进行加密生成加密业务报文，进而通过所述安全防护网关将第二随机数和所述加密业务报文下发至所述安全防护终端，其中所述第二随机数是与所述第二密钥对应的随机数；
业务验证模块：根据所述第二随机数和所述终端PUF电路生成第二响应，根据所述第二响应和所述ID值得到所述第二密钥，再利用所述第二密钥对所述加密业务报文进行解密得到第二业务报文，并获取所述安全防护网关的签名证书对所述第二业务报文进行签名认证，进而将通过验证的第二业务报文发送至配电终端。
9.一种配网安全防护装置，其特征在于，包括：
至少一个处理器；
至少一个存储器，用于存储至少一个程序；
当所述至少一个程序被所述至少一个处理器执行，使得所述至少一个处理器实现如权利要求1至7任一项所述的一种配网安全防护方法。
10.一种计算机可读存储介质，其中存储有处理器可执行的指令，其特征在于，所述处理器可执行的指令在由处理器执行时用于执行如权利要求1至7任一项所述的一种配网安全防护方法。
CN202010300489.XA 2020-04-16 2020-04-16 一种配网安全防护方法、***、装置及存储介质 Active CN111490874B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010300489.XA CN111490874B (zh) 2020-04-16 2020-04-16 一种配网安全防护方法、***、装置及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010300489.XA CN111490874B (zh) 2020-04-16 2020-04-16 一种配网安全防护方法、***、装置及存储介质

Publications (2)

Publication Number Publication Date
CN111490874A CN111490874A (zh) 2020-08-04
CN111490874B true CN111490874B (zh) 2022-09-06

Family

ID=71795123

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010300489.XA Active CN111490874B (zh) 2020-04-16 2020-04-16 一种配网安全防护方法、***、装置及存储介质

Country Status (1)

Country Link
CN (1) CN111490874B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113271586B (zh) * 2021-04-16 2023-01-17 北京智芯微电子科技有限公司 电力设备体域网安全通信方法及***、存储介质
CN113364762B (zh) * 2021-06-02 2022-12-02 中国电信股份有限公司 基于混合加密的登录认证方法、***、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9698976B1 (en) * 2014-02-24 2017-07-04 Wickr Inc. Key management and dynamic perfect forward secrecy
CN107453868A (zh) * 2017-09-01 2017-12-08 中国电子科技集团公司第三十研究所 一种安全高效的量子密钥服务方法
CN108388462A (zh) * 2018-02-28 2018-08-10 武汉斗鱼网络科技有限公司 元素变更通知方法、装置及终端设备
CN109150519A (zh) * 2018-09-20 2019-01-04 如般量子科技有限公司 基于公共密钥池的抗量子计算云存储安全控制方法和***

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107347058B (zh) * 2016-05-06 2021-07-23 阿里巴巴集团控股有限公司 数据加密方法、数据解密方法、装置及***
CN110018810B (zh) * 2018-01-10 2021-05-18 力旺电子股份有限公司 随机码产生器

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9698976B1 (en) * 2014-02-24 2017-07-04 Wickr Inc. Key management and dynamic perfect forward secrecy
CN107453868A (zh) * 2017-09-01 2017-12-08 中国电子科技集团公司第三十研究所 一种安全高效的量子密钥服务方法
CN108388462A (zh) * 2018-02-28 2018-08-10 武汉斗鱼网络科技有限公司 元素变更通知方法、装置及终端设备
CN109150519A (zh) * 2018-09-20 2019-01-04 如般量子科技有限公司 基于公共密钥池的抗量子计算云存储安全控制方法和***

Also Published As

Publication number Publication date
CN111490874A (zh) 2020-08-04

Similar Documents

Publication Publication Date Title
CN113783836B (zh) 基于区块链和ibe算法的物联网数据访问控制方法及***
WO2017004470A1 (en) Mutual authentication of confidential communication
US9531540B2 (en) Secure token-based signature schemes using look-up tables
CN111614621B (zh) 物联网通信方法和***
CN102025503B (zh) 一种集群环境下数据安全实现方法和一种高安全性的集群
CN111181723B (zh) 物联网设备间离线安全认证的方法和装置
CN107395368A (zh) 无介质环境中的数字签名方法及解密封方法与解密方法
CN109194474A (zh) 一种数据传输方法及装置
JP2020530726A (ja) サプライチェーン資産管理を保護するアプリケーションを有する遠隔サーバへのｎｆｃタグ認証
CN114036539A (zh) 基于区块链的安全可审计物联网数据共享***及方法
CN111147245A (zh) 一种区块链中使用国家密码进行加密的算法
CN111490874B (zh) 一种配网安全防护方法、***、装置及存储介质
KR20210063378A (ko) 공통 비밀을 공유하는 컴퓨터 구현 시스템 및 방법
CN109951276A (zh) 基于tpm的嵌入式设备远程身份认证方法
CN107249002B (zh) 一种提高智能电能表安全性的方法、***及装置
CN113312608A (zh) 一种基于时间戳的电力计量终端身份认证方法及***
CN115208615A (zh) 一种数控***数据加密传输方法
CN101997835A (zh) 网络安全通讯方法、数据安全处理装置和用于金融的***
CN114338648A (zh) 一种基于国密算法的sftp多端文件安全传输的方法及***
CN114928503B (zh) 一种安全通道的实现方法及数据传输方法
CN115987500A (zh) 基于工业设备数据采集的数据安全传输方法及***
CN113784342B (zh) 一种基于物联网终端的加密通讯方法及***
CN112787819B (zh) 一种工业控制安全通信***及通信方法
CN115102768A (zh) 一种数据处理方法、装置及计算机设备
CN112423295B (zh) 一种基于区块链技术的轻量级安全认证方法及***

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant