CN114513781A - 一种空管智慧台站的身份认证方法及数据加解密方法 - Google Patents

一种空管智慧台站的身份认证方法及数据加解密方法 Download PDF

Info

Publication number
CN114513781A
CN114513781A CN202210129639.4A CN202210129639A CN114513781A CN 114513781 A CN114513781 A CN 114513781A CN 202210129639 A CN202210129639 A CN 202210129639A CN 114513781 A CN114513781 A CN 114513781A
Authority
CN
China
Prior art keywords
intelligent station
data
background server
equation
ciphertext
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210129639.4A
Other languages
English (en)
Inventor
张颖
王岩磊
刘亮
邹斌斌
张建杰
任航
潘旋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
EASTERN CHINA AIR TRAFFIC MANAGEMENT BUREAU CAAC
Qingdao Civil Aviation Atc Industry Development Co ltd
Original Assignee
EASTERN CHINA AIR TRAFFIC MANAGEMENT BUREAU CAAC
Qingdao Civil Aviation Atc Industry Development Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by EASTERN CHINA AIR TRAFFIC MANAGEMENT BUREAU CAAC, Qingdao Civil Aviation Atc Industry Development Co ltd filed Critical EASTERN CHINA AIR TRAFFIC MANAGEMENT BUREAU CAAC
Priority to CN202210129639.4A priority Critical patent/CN114513781A/zh
Publication of CN114513781A publication Critical patent/CN114513781A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明属于数据加密技术领域，一种空管智慧台站的身份认证方法及数据加解密方法。在源头处对空管设备的相关实时数据进行应用级源加密，实现相关实时数据在全链路上的端到端机密性保护，在不安全信道上完成会话密钥分发和身份认证，并且通过会话加密使通信数据在整个传输过程中都是以密文的形式存在。身份认证方法，包括智慧台站端侧采集设备、智慧台站后台服务器、KDC秘钥分发中心；智慧台站侧采集设备和智慧台站后台服务器每一次通信前，通信双方通过KDC秘钥分发中心进行身份验证和密钥分发。数据加解密方法，包括智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密；智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密。

Description

一种空管智慧台站的身份认证方法及数据加解密方法
技术领域
本发明属于数据加密技术领域，特别是涉及一种空管智慧台站的身份认证方法及数据加解密方法。
背景技术
5G网络中新应用、新技术，以及新空口的引入，在使网络开放性，灵活性得到保障的同时也扩大了网络的攻击面，信息的完整性需要通信***保证信息在传输的过程中不被篡改或替换。中间人(man in the middle,MITM)攻击是常见的破坏信息完整性的攻击方式，它通过秘密控制两个合法通信方之间的通信通道，拦截、修改和替换通信消息，由于无线通信的广播特性，其更有可能受到MITM攻击。用户面和控制面的分离是5G核心网的重要特征，它使用户面更加灵活，也给降低时延和边缘计算奠定了基础。但中继节点和边缘节点的增加给信息的完整性带来了极大的挑战，因为每个节点都可以成为MITM攻击者攻击的目标。在核心网，攻击者可以利用网络漏洞操纵网络配置数据，从而影响信息的完整性。在边缘节点，攻击者可以通过伪造的移动边缘计算(mobile edge computing,MEC)网关部署自己网关设备，造成与中间人攻击相同的效果。
5G网络强大且灵活的技术特点可以缓解智慧台站大数据量业务传输压力，但5G网络现有的安全防护技术都是基于链路层面的加密技术，比如IPsec/TSL等，这些数据加密技术都属于链路级别的加密方式，近期有不少论文实现对该种加密方式的攻击，链路级别的防护安全问题层出不穷。5G网络中对数据的加密是在链路级别上做机密性防护，仅能提供点对点的安全防护。若通信链路被中间人攻击后，通过截获密钥协商和认证的相关数据包后，攻击者就可以对通信数据进行窃取、篡改等。
空管智慧台站是一款针对民航空管业内人士提供指导外台站、方舱、机房的远程实时监控、智能排故、运行维护、可视化分析的专业软件。通过互联网等技术，辅助运维人员第一时间掌握现场动态，实现智慧运维。有效提高空管通导运行维护效率，提升智慧化运维管理能力。智慧台站***采用分布式架构，远端台站侧有数据采集设备将台站上动环和空管设备监控等数据发送至中心后台服务器集中化处理。
因为空管智慧台站数据的机密性要求比较高，现大多采用租用或自建点对点专线或裸光纤的传输形式，但这种传输方式存在诸多问题，比如偏远台站专用链路的成本偏高、链路方式单一缺乏有效的空侧链路备份且通信专线具有损坏风险高且恢复时间长等。
发明内容
针对现有技术存在的不足，本发明所要解决的技术问题是在源头处对空管设备的相关实时数据进行应用级源加密，实现相关实时数据在全链路上的端到端机密性保护，在不安全信道上完成会话密钥分发和身份认证，并且通过会话加密使通信数据在整个传输过程中都是以密文的形式存在。
本申请提供一种空管智慧台站的身份认证方法，
包括智慧台站端侧采集设备、智慧台站后台服务器、KDC秘钥分发中心；
智慧台站侧采集设备和智慧台站后台服务器每一次通信前，通信双方通过KDC秘钥分发中心进行身份验证和密钥分发。
上述的空管智慧台站的身份认证方法，包括以下步骤：
S100、智慧台站侧采集设备向KDC秘钥分发中心发送自身设备唯一编号和智慧台站后台服务器的唯一编号；
S110、KDC秘钥分发中心收到请求后，随机生成一个会话密钥KS,C，然后分别生成票据TC和TS，最后将票据TS发送给智慧台站侧采集设备；
依据公式1生成票据TC；
TC＝E(KC,(IDS,KS,C)) 公式1；
依据公式2生成票据TS；
TS＝E(KS,(IDC,KS,C,TC)) 公式2；
S120、智慧台站侧采集设备收到票据TS后，用KS解密得到会话密钥KS,C和TC，然后用会话密钥将当前时间戳TS和数据校检和ChS加密生成一个认证因子A，并将认证因子A和TC一起发送给智慧台站后台服务器；
依据公式3生成认证因子A；
A＝E(KS,C,(TS,ChC)) 公式3；
S130、智慧台站后台服务器接收到票据TC和认证因子A后，先用KC将TC解密得到会话密钥KS,C，然后用KS,C解密认证因子A得到时间戳TS和数据校检和ChS，如果时间戳TS在当前时间上下3分钟以内并且是第一次出现，则检查数据校检和ChS是否正确，如果都能够通过，则进入下一步；
S140、智慧台站后台服务器将收到的时间戳TS自增1后用会话密钥KS,C加密，发送给智慧台站侧采集设备完成双向认证。
上述的空管智慧台站的身份认证方法，
所述IDX：分别表示智慧台站端侧采集设备或智慧台站后台服务器的唯一名字；
所述KS：KDC秘钥分发中心与智慧台站端侧采集设备之间预共享密钥；
所述KC：KDC秘钥分发中心与智慧台站后台服务器之间预共享密钥；
所述TS：KDC秘钥分发中心用KS密钥加密过的票据信息；
所述TC：KDC秘钥分发中心用KC密钥加密过的票据信息；
所述KS,C：智慧台站端侧采集设备与智慧台站后台服务器通信的会话密钥。
上述的空管智慧台站的身份认证方法，
所述智慧台站端侧采集设备进行身份验证和密钥分发，包括以下步骤：
S200、检查管理员设置的配置信息中KDC秘钥分发中心地址及智慧台站后台服务器地址是否可以连接，如果不可以建立socket连接，则提示配置信息有误，结束总流程，若都可以正常连接，则继续下一步；
S210、连接KDC秘钥分发中心并向其发送两部分内容，一部分是由该智慧台站端侧采集设备的唯一编号标识，另一部分是由智慧台站后台服务器的IP地址和连接端口号组成的服务器编号标识；
S220、接收KDC秘钥分发中心发送来的数据并检查数据是否为票据信息，如果不是票据信息，则说明KDC秘钥分发中心生成票据时出错，提示错误信息并结束总流程，若判断数据为票据信息，则进行下一步；
S230、用预共享密钥解密接收的数据中当前设备的票据得到会话密钥和标识信息，如标识信息与当前网络设备不一致，则提示错误信息并回到步骤S210，重新向KDC申请票据，若标识信息正确则继续下一步；
S240、用会话密钥加密当前时间戳和一个随机校验值得到认证因子，然后连接智慧台站后台服务器，将另一个票据连同认证因子一起发送给智慧台站后台服务器；
S250、检查智慧台站后台服务器回传的数据，如果是错误信息则返回步骤S210，否则用会话密钥解密服务器传来的密文数据，明文若为步骤S230中所发送的时间戳值自增1则完成双向身份认证，如果认证失败返回步骤S210重新进行身份认证和密钥分发。
上述的空管智慧台站的身份认证方法，
所述智慧台站后台服务器进行身份验证和密钥分发，包括以下步骤：
S300、开启票据接收服务，监听特定Socket端口；
S310、接受网络设备的连接请求，并接收票据信息和认证因子；
S320、用预共享密钥解密票据信息得到会话密钥和网络设备标识信息，如果标识信息与当前加密代理所在运行的网络设备不一致，则发送错误信息到交换机端并准备重新接收票据，若标识信息正确则继续下一步；
S330、用会话密钥解密认证因子，得到时间戳和一个随机数，如果时间戳在当前时间上下3分钟以内并且是第一次出现，则检查校验值格式是否正确，如果都不能通过，则向SDN交换机端发送错误信息并返回步骤S310，准备重新接收票据，若都能通过则进入下一步；
S340、将正确的时间戳自增1单独用会话密钥加密后发送给智慧台站端侧采集设备，用来完成双向的身份认证。
本申请还提供一种数据加解密方法，用于对前述内容提及的的空管智慧台站的身份认证方法通过身份认证和密钥分发后进行加解密通信，所述数据加解密方法包括：
智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密；
智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密。
上述的数据加解密方法，
所述智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密，包括以下步骤：
S400、智慧台站端侧采集设备上的源加密程序将应用层原始数据SM0进行源加密，再计算出密文的HMAC认证码附加在后面组成密文SMe1；
依据公式4生成密文SMe1；
SMe1＝E(EKs,c,SM0)||HMAC(MKs,c,E(EKs,c,SM0)) 公式4；
S410、密文SMe1再经过TLS在传输层进行加密，再将密文SMe2发送到中间设备；
依据公式5生成密文SMe2；
SMe2＝E(EKs,md,SMe1) 公式5；
S420、中间设备接收密文SMe2后，用其与智慧台站端侧采集设备协商的TLS密钥EKs,md解密成SMe1后，再将用其与智慧台站后台服务器协商的TLS密钥EKc,md加密成
Figure BDA0003501943350000061
并发送到智慧台站后台服务器；
依据公式6生成密文SMe1；
SMe1＝D(EKs,md,SMe2) 公式6；
依据公式7生成密文
Figure BDA0003501943350000062
Figure BDA0003501943350000063
S430、加解密代理接收密文
Figure BDA0003501943350000064
后，用其TLS密钥将其解密成SMe1，如果消息SMe1用HMAC消息认证码验证成功，再用源加密密钥将其解密成明文SM0，验证失败则将消息丢弃；
依据公式8生成密文SMe1；
Figure BDA0003501943350000065
依据公式9生成明文SM0；
SM0＝D(EKs,c,SMe1) 公式9。
上述的数据加解密方法，所述智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密，包括以下步骤：
S500、智慧台站后台服务器上加解密程序将应用层原始数据RM0进行源加密，再计算出密文的HMAC认证码附加在尾部组成密文RMe1；
依据公式9生成密文RMe1；
RMe1＝E(EKs,c,RM0)||HMAC(MKs,c,E(EKs,c,RM0)) 公式9；
S510、RMe1再经过TLS在传输层进行加密，再将密文RMe2发送到中间设备；依据公式10生成密文RMe2；
RMe2＝E(EKc,md,RMe1) 公式10；
S520、中间设备接收密文RMe2后，用其与智慧台站后台服务器协商的TLS密钥EKc,md解密成RMe1后，再将RMe1用其与智慧台站端侧采集设备协商的TLS密钥EKs,md加密成
Figure BDA0003501943350000071
并发送到智慧台站端侧采集设备；
依据公式11生成密文RMe1；
RMe1＝D(EKc,md,RMe2) 公式11；
依据公式12生成密文
Figure BDA0003501943350000072
Figure BDA0003501943350000073
S530、智慧台站端侧采集设备上的加解密程序接收密文
Figure BDA0003501943350000074
后，用其TLS密钥将其解密成RMe1，再用源加密密钥将其解密成明文RM0；
依据公式13生成RMe1；
Figure BDA0003501943350000075
依据公式14生成RM0；
RM0＝D(EKs,c,RMe1) 公式14。
上述的数据加解密方法，
所述MKx,y：x和y之间的计算消息认证码的密钥；
所述EKx,y：x和y之间对称加密密钥；
所述SM0：台站侧采集设备出的原始消息(明文)；
所述SMe1：SM0的源加密消息(密文)；
所述SMe2：SMe1的TLS加密消息(密文)；
所述RM0：后台服务器出的原始消息(明文)；
所述RMe1：RM0的源加密消息(密文)；
所述RMe2：RMe1的TLS加密消息(密文)。
上述的数据加解密方法，
所述中间设备可以是5G无线开放网络中网关相关设备或5G核心网中用户面的传输设备或发起中间人攻击的攻击者任意一种。
本发明为指导空管智慧台站***在高速且开放的5G网络传输链路下，在源头处对空管设备的相关实时数据进行应用级源加密，实现相关实时数据在全链路上的端到端机密性保护，并且本方法还能通过密码学的相关算法对传输数据进行完整性校验及抗重放攻击，实现能够主动感知数据是否被篡改或重放，最终利用本方法可以实现在不安全信道上完成会话密钥分发和身份认证，并且通过会话加密使通信数据在整个传输过程中都是以密文的形式存在，直到数据到达目的应用才解密为明文，在数据解密成明文后，通过认证机制计算结果可以判断数据是否被篡改或重放，有效提高了空管设备数据在5G网络中的传输安全性。
附图说明
图1为本发明KDC秘钥分发中心认证流程示意图；
图2为本发明智慧台站端侧采集设备进行身份验证和密钥分发流程示意图；
图3为本发明智慧台站后台服务器进行身份验证和密钥分发流程示意图；
图4为本发明智慧台站端侧采集设备与智慧台站后台服务器之间数据消息加解密流程示意图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。
一种空管智慧台站的身份认证方法，如图1所示，
包括智慧台站端侧采集设备1、智慧台站后台服务器2、KDC秘钥分发中心3；智慧台站侧采集设备1和智慧台站后台服务器2每一次通信前，通信双方通过KDC秘钥分发中心3进行身份验证和密钥分发。最终利用分配的密钥进行加密通信。
身份认证方法使用密钥分发中心(Key Distribution Center，KDC)对通信双方来进行身份认证和会话密钥的分配。以下是用于描述认证过程中的符号定义：
所述IDX：分别表示智慧台站端侧采集设备或智慧台站后台服务器的唯一名字；
所述KS：KDC秘钥分发中心与智慧台站端侧采集设备之间预共享密钥；
所述KC：KDC秘钥分发中心与智慧台站后台服务器之间预共享密钥；
所述TS：KDC秘钥分发中心用KS密钥加密过的票据信息；
所述TC：KDC秘钥分发中心用KC密钥加密过的票据信息；
所述KS,C：智慧台站端侧采集设备与智慧台站后台服务器通信的会话密钥。
进一步地，如图1所示，空管智慧台站的身份认证方法，包括以下步骤：
S100、智慧台站侧采集设备向KDC秘钥分发中心发送自身设备唯一编号和智慧台站后台服务器的唯一编号；
S110、KDC秘钥分发中心收到请求后，随机生成一个会话密钥KS,C，然后分别生成票据TC和TS，最后将票据TS发送给智慧台站侧采集设备；
依据公式1生成票据TC；
TC＝E(KC,(IDS,KS,C)) 公式1；
依据公式2生成票据TS；
TS＝E(KS,(IDC,KS,C,TC)) 公式2；
S120、智慧台站侧采集设备收到票据TS后，用KS解密得到会话密钥KS,C和TC，然后用会话密钥将当前时间戳TS和数据校检和ChS加密生成一个认证因子A，并将认证因子A和TC一起发送给智慧台站后台服务器；
依据公式3生成认证因子A；
A＝E(KS,C,(TS,ChS)) 公式3；
S130、智慧台站后台服务器接收到票据TC和认证因子A后，先用KC将TC解密得到会话密钥KS,C，然后用KS,C解密认证因子A得到时间戳TS和数据校检和ChS，如果时间戳TS在当前时间上下3分钟以内并且是第一次出现，则检查数据校检和ChS是否正确，如果都能够通过，则进入下一步；
S140、智慧台站后台服务器将收到的时间戳TS自增1后用会话密钥KS,C加密，发送给智慧台站侧采集设备完成双向认证。
可以看出身份认证方法在身份认证和密钥分发过程中，任何一个通信数据包都经过预共享密钥进行加密，而预共享密钥只有授权的网络设备持有，所以未授权的用户即使得到了该过程中的全部通信数据也无法知晓通信内容；而且在智慧台站端侧采集设备1向智慧台站后台服务器2发送的认证因子A中引入了时间戳TS，智慧台站后台服务器2在验证时需要跟当前时间比对，且该时间戳是第一次出现时才能通过验证。这样一来，攻击者无法通过重放认证因子来冒充采集设备进行访问；而且在智慧台站后台服务器2接收到认证因子A后，先用会话密钥KS，C解密出时间戳TS，然后需要将时间戳TS单独用KS，C加密发回智慧台站端侧采集设备1完成双向认证。
进一步地，如图2所示，空管智慧台站的身份认证方法，
所述智慧台站端侧采集设备进行身份验证和密钥分发，包括以下步骤：
S200、检查管理员设置的配置信息中KDC秘钥分发中心地址及智慧台站后台服务器地址是否可以连接，如果不可以建立socket连接，则提示配置信息有误，结束总流程，若都可以正常连接，则继续下一步；
S210、连接KDC秘钥分发中心并向其发送两部分内容，一部分是由该智慧台站端侧采集设备的唯一编号标识，另一部分是由智慧台站后台服务器的IP地址和连接端口号组成的服务器编号标识；
S220、接收KDC秘钥分发中心发送来的数据并检查数据是否为票据信息，如果不是票据信息，则说明KDC秘钥分发中心生成票据时出错，提示错误信息并结束总流程，若判断数据为票据信息，则进行下一步；
S230、用预共享密钥解密接收的数据中当前设备的票据得到会话密钥和标识信息，如标识信息与当前网络设备不一致，则提示错误信息并回到步骤S210，重新向KDC申请票据，若标识信息正确则继续下一步；
S240、用会话密钥加密当前时间戳和一个随机校验值得到认证因子，然后连接智慧台站后台服务器，将另一个票据连同认证因子一起发送给智慧台站后台服务器；
S250、检查智慧台站后台服务器回传的数据，如果是错误信息则返回步骤S210，否则用会话密钥解密服务器传来的密文数据，明文若为步骤S230中所发送的时间戳值自增1则完成双向身份认证，如果认证失败返回步骤S210重新进行身份认证和密钥分发。
进一步地，如图3所示，空管智慧台站的身份认证方法，所述智慧台站后台服务器进行身份验证和密钥分发，包括以下步骤：
S300、开启票据接收服务，监听特定Socket端口；
S310、接受网络设备的连接请求，并接收票据信息和认证因子；
S320、用预共享密钥解密票据信息得到会话密钥和网络设备标识信息，如果标识信息与当前加密代理所在运行的网络设备不一致，则发送错误信息到交换机端并准备重新接收票据，若标识信息正确则继续下一步；
S330、用会话密钥解密认证因子，得到时间戳和一个随机数，如果时间戳在当前时间上下3分钟以内并且是第一次出现，则检查校验值格式是否正确，如果都不能通过，则向SDN交换机端发送错误信息并返回步骤S310，准备重新接收票据，若都能通过则进入下一步；
S340、将正确的时间戳自增1单独用会话密钥加密后发送给智慧台站端侧采集设备，用来完成双向的身份认证。
一种数据加解密方法，如图4所示，用于对前述的空管智慧台站的身份认证方法通过身份认证和密钥分发后进行加解密通信，所述数据加解密方法包括：
智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密；
智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密。
本方法采取在源头处对通信数据进行加密的方式，确保数据在整个通信过程中都以密文的形式存在，为通信双方提供了端到端的数据保护能力。以5G网络开启TLS安全传输方式为例，以下是用于描述加解密过程中的符号定义：
所述MKx,y：x和y之间的计算消息认证码的密钥；
所述EKx,y：x和y之间对称加密密钥；
所述SM0：台站侧采集设备出的原始消息(明文)；
所述SMe1：SM0的源加密消息(密文)；
所述SMe2：SMe1的TLS加密消息(密文)；
所述RM0：后台服务器出的原始消息(明文)；
所述RMe1：RM0的源加密消息(密文)；
所述RMe2：RMe1的TLS加密消息(密文)。
进一步地，如图4所示，数据加解密方法，
所述智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密，包括以下步骤：
S400、智慧台站端侧采集设备上的源加密程序将应用层原始数据SM0进行源加密，再计算出密文的HMAC认证码附加在后面组成密文SMe1；
依据公式4生成密文SMe1；
SMe1＝E(EKs,c,SM0)||HMAC(MKs,c,E(EKs,c,SM0)) 公式4；
S410、密文SMe1再经过TLS在传输层进行加密，再将密文SMe2发送到中间设备；
依据公式5生成密文SMe2；
SMe2＝E(EKs,md,SMe1) 公式5；
S420、中间设备接收密文SMe2后，用其与智慧台站端侧采集设备协商的TLS密钥EKs,md解密成SMe1后，再将用其与智慧台站后台服务器协商的TLS密钥EKc,md加密成
Figure BDA0003501943350000131
并发送到智慧台站后台服务器；
依据公式6生成密文SMe1；
SMe1＝D(EKS,md,SMe2) 公式6；
依据公式7生成密文
Figure BDA0003501943350000132
Figure BDA0003501943350000133
S430、加解密代理接收密文
Figure BDA0003501943350000141
后，用其TLS密钥将其解密成SMe1，如果消息SMe1用HMAC消息认证码验证成功，再用源加密密钥将其解密成明文SM0，验证失败则将消息丢弃；
依据公式8生成密文SMe1；
Figure BDA0003501943350000142
依据公式9生成明文SM0；
SM0＝D(EKs,c,SMe1) 公式9。
进一步地，如图4所示，数据加解密方法，
所述智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密，包括以下步骤：
S500、智慧台站后台服务器上加解密程序将应用层原始数据RM0进行源加密，再计算出密文的HMAC认证码附加在尾部组成密文RMe1；
依据公式9生成密文RMe1；
RMe1＝E(EKs,c,RM0)||HMAC(MKs,c,E(EKs,c,RM0)) 公式9；
S510、RMe1再经过TLS在传输层进行加密，再将密文RMe2发送到中间设备；依据公式10生成密文RMe2；
RMe2＝E(EKc,md,RMe1) 公式10；
S520、中间设备接收密文RMe2后，用其与智慧台站后台服务器协商的TLS密钥EKc,md解密成RMe1后，再将RMe1用其与智慧台站端侧采集设备协商的TLS密钥EKs,md加密成
Figure BDA0003501943350000143
并发送到智慧台站端侧采集设备；
依据公式11生成密文RMe1；
RMe1＝D(EKc,md,RMe2) 公式11；
依据公式12生成密文
Figure BDA0003501943350000144
Figure BDA0003501943350000151
S530、智慧台站端侧采集设备上的加解密程序接收密文
Figure BDA0003501943350000152
后，用其TLS密钥将其解密成RMe1，再用源加密密钥将其解密成明文RM0；
依据公式13生成RMe1；
Figure BDA0003501943350000153
依据公式14生成RM0；
RM0＝D(EKs,c,RMe1) 公式14。
进一步地，数据加解密方法，如图4所示，所述中间设备即为虚线框内，虚线框内的中间设备可以是5G无线开放网络中网关相关设备或5G核心网中用户面的传输设备或发起中间人攻击的攻击者任意一种。
如图4所示，因为智慧台站端侧采集设备或智慧台站后台服务器发出的消息SM0、RM0在TLS加密之前就做了源加密处理，在智慧台站端侧采集设备或智慧台站后台服务器之间通信过程中，消息都是以密文的形式存在，即使存在中间设备或者中间人攻击时，中间设备也只能拿到经过源加密后的密文SMe1、RMe1，因为只有智慧台站端侧采集设备或智慧台站后台服务器持有加密密钥EKs,c，所以中间设备无法解密出明文。而且如果中间第三方篡改了通信消息，在接收端到消息后因为无法通过消息认证码的验证，所以接收端可以察觉到链路上的安全问题。
上面结合附图对本发明进行了示例性描述，显然本发明的具体实现并不受上述实施方式的限制。本领域技术人员可在不偏离本发明技术构思的前提下，对本发明作出各种修改或变型，这些修改或变型当然也落入本发明的保护范围之内。

Claims (10)

1.一种空管智慧台站的身份认证方法，其特征在于：
包括智慧台站端侧采集设备(1)、智慧台站后台服务器(2)、KDC秘钥分发中心(3)；
智慧台站侧采集设备(1)和智慧台站后台服务器(2)每一次通信前，通信双方通过KDC秘钥分发中心(3)进行身份验证和密钥分发。
2.根据权利要求1所述的空管智慧台站的身份认证方法，其特征在于：包括以下步骤：
S100、智慧台站侧采集设备向KDC秘钥分发中心发送自身设备唯一编号和智慧台站后台服务器的唯一编号；
S110、KDC秘钥分发中心收到请求后，随机生成一个会话密钥KS，C，然后分别生成票据TC和TS，最后将票据TS发送给智慧台站侧采集设备；
依据公式1生成票据TC；
TC＝E(KC，(IDS，KS，C)) 公式1；
依据公式2生成票据TS；
TS＝E(KS，(IDC，KS，C，TC)) 公式2；
S120、智慧台站侧采集设备收到票据TS后，用KS解密得到会话密钥KS，C和TC，然后用会话密钥将当前时间戳TS和数据校检和ChS加密生成一个认证因子A，并将认证因子A和TC一起发送给智慧台站后台服务器；
依据公式3生成认证因子A；
A＝E(KS，C，(TS，ChS)) 公式3；
S130、智慧台站后台服务器接收到票据TC和认证因子A后，先用KC将TC解密得到会话密钥KS，C，然后用KS，C解密认证因子A得到时间戳TS和数据校检和ChS，如果时间戳TS在当前时间上下3分钟以内并且是第一次出现，则检查数据校检和ChS是否正确，如果都能够通过，则进入下一步；
S140、智慧台站后台服务器将收到的时间戳TS自增1后用会话密钥KS，C加密，发送给智慧台站侧采集设备完成双向认证。
3.根据权利要求2所述的空管智慧台站的身份认证方法，其特征在于：
所述IDX：分别表示智慧台站端侧采集设备或智慧台站后台服务器的唯一名字；
所述KS：KDC秘钥分发中心与智慧台站端侧采集设备之间预共享密钥；
所述KC：KDC秘钥分发中心与智慧台站后台服务器之间预共享密钥；
所述TS：KDC秘钥分发中心用KS密钥加密过的票据信息；
所述TC：KDC秘钥分发中心用KC密钥加密过的票据信息；
所述KS，C：智慧台站端侧采集设备与智慧台站后台服务器通信的会话密钥。
4.根据权利要求3所述的空管智慧台站的身份认证方法，其特征在于：
所述智慧台站端侧采集设备进行身份验证和密钥分发，包括以下步骤：
S200、检查管理员设置的配置信息中KDC秘钥分发中心地址及智慧台站后台服务器地址是否可以连接，如果不可以建立socket连接，则提示配置信息有误，结束总流程，若都可以正常连接，则继续下一步；
S210、连接KDC秘钥分发中心并向其发送两部分内容，一部分是由该智慧台站端侧采集设备的唯一编号标识，另一部分是由智慧台站后台服务器的IP地址和连接端口号组成的服务器编号标识；
S220、接收KDC秘钥分发中心发送来的数据并检查数据是否为票据信息，如果不是票据信息，则说明KDC秘钥分发中心生成票据时出错，提示错误信息并结束总流程，若判断数据为票据信息，则进行下一步；
S230、用预共享密钥解密接收的数据中当前设备的票据得到会话密钥和标识信息，如标识信息与当前网络设备不一致，则提示错误信息并回到步骤S210，重新向KDC申请票据，若标识信息正确则继续下一步；
S240、用会话密钥加密当前时间戳和一个随机校验值得到认证因子，然后连接智慧台站后台服务器，将另一个票据连同认证因子一起发送给智慧台站后台服务器；
S250、检查智慧台站后台服务器回传的数据，如果是错误信息则返回步骤S210，否则用会话密钥解密服务器传来的密文数据，明文若为步骤S230中所发送的时间戳值自增1则完成双向身份认证，如果认证失败返回步骤S210重新进行身份认证和密钥分发。
5.根据权利要求4所述的空管智慧台站的身份认证方法，其特征在于：
所述智慧台站后台服务器进行身份验证和密钥分发，包括以下步骤：
S300、开启票据接收服务，监听特定Socket端口；
S310、接受网络设备的连接请求，并接收票据信息和认证因子；
S320、用预共享密钥解密票据信息得到会话密钥和网络设备标识信息，如果标识信息与当前加密代理所在运行的网络设备不一致，则发送错误信息到交换机端并准备重新接收票据，若标识信息正确则继续下一步；
S330、用会话密钥解密认证因子，得到时间戳和一个随机数，如果时间戳在当前时间上下3分钟以内并且是第一次出现，则检查校验值格式是否正确，如果都不能通过，则向SDN交换机端发送错误信息并返回步骤S310，准备重新接收票据，若都能通过则进入下一步；
S340、将正确的时间戳自增1单独用会话密钥加密后发送给智慧台站端侧采集设备，用来完成双向的身份认证。
6.一种数据加解密方法，其特征在于：用于对如权利要求1-5中任意一项所述的空管智慧台站的身份认证方法通过身份认证和密钥分发后进行加解密通信，所述数据加解密方法包括：
智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密；
智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密。
7.根据权利要求6所述的数据加解密方法，其特征在于：
所述智慧台站端侧采集设备到智慧台站后台服务器的数据消息加解密，包括以下步骤：
S400、智慧台站端侧采集设备上的源加密程序将应用层原始数据SM0进行源加密，再计算出密文的HMAC认证码附加在后面组成密文SMe1；
依据公式4生成密文SMe1；
SMe1＝E(EKs，c，SM0)||HMAC(MKs，c，E(EKs，c，SM0)) 公式4；
S410、密文SMe1再经过TLS在传输层进行加密，再将密文SMe2发送到中间设备；
依据公式5生成密文SMe2；
SMe2＝E(EKs，md，SMe1) 公式5；
S420、中间设备接收密文SMe2后，用其与智慧台站端侧采集设备协商的TLS密钥EKs，md解密成SMe1后，再将用其与智慧台站后台服务器协商的TLS密钥EKc，md加密成
Figure FDA0003501943340000041
并发送到智慧台站后台服务器；
依据公式6生成密文SMe1；
SMe1＝D(EKs，md，SMe2) 公式6；
依据公式7生成密文
Figure FDA0003501943340000042
Figure FDA0003501943340000043
S430、加解密代理接收密文
Figure FDA0003501943340000044
后，用其TLS密钥将其解密成SMe1，如果消息SMe1用HMAC消息认证码验证成功，再用源加密密钥将其解密成明文SM0，验证失败则将消息丢弃；
依据公式8生成密文SMe1；
Figure FDA0003501943340000051
依据公式9生成明文SM0；
SM0＝D(EKs，c，SMe1) 公式9。
8.根据权利要求7所述的数据加解密方法，其特征在于：
所述智慧台站后台服务器到智慧台站端侧采集设备的数据消息加解密，包括以下步骤：
S500、智慧台站后台服务器上加解密程序将应用层原始数据RM0进行源加密，再计算出密文的HMAC认证码附加在尾部组成密文RMe1；
依据公式9生成密文RMe1；
RMe1＝E(EKs，c，RM0)||HMAC(MKs，c，E(EKs，c，RM0)) 公式9；
S510、RMe1再经过TLS在传输层进行加密，再将密文RMe2发送到中间设备；
依据公式10生成密文RMe2；
RMe2＝E(EKc，md，RMe1) 公式10；
S520、中间设备接收密文RMe2后，用其与智慧台站后台服务器协商的TLS密钥EKc，md解密成RMe1后，再将RMe1用其与智慧台站端侧采集设备协商的TLS密钥EKs，md加密成
Figure FDA0003501943340000054
并发送到智慧台站端侧采集设备；
依据公式11生成密文RMe1；
RMe1＝D(EKc，md，RMe2) 公式11；
依据公式12生成密文
Figure FDA0003501943340000052
Figure FDA0003501943340000053
S530、智慧台站端侧采集设备上的加解密程序接收密文
Figure FDA0003501943340000061
后，用其TLS密钥将其解密成RMe1，再用源加密密钥将其解密成明文RM0；
依据公式13生成RMe1；
Figure FDA0003501943340000062
依据公式14生成RM0；
RM0＝D(EKs，c，RMe1) 公式14。
9.根据权利要求8所述的数据加解密方法，其特征在于：
所述MKx，y：x和y之间的计算消息认证码的密钥；
所述EKx，y：x和y之间对称加密密钥；
所述SM0：台站侧采集设备出的原始消息(明文)；
所述SMe1：SM0的源加密消息(密文)；
所述SMe2：SMe1的TLS加密消息(密文)；
所述RM0：后台服务器出的原始消息(明文)；
所述RMe1：RM0的源加密消息(密文)；
所述RMe2：RMe1的TLS加密消息(密文)。
10.根据权利要求9所述的数据加解密方法，其特征在于：
所述中间设备可以是5G无线开放网络中网关相关设备或5G核心网中用户面的传输设备或发起中间人攻击的攻击者任意一种。
CN202210129639.4A 2022-02-11 2022-02-11 一种空管智慧台站的身份认证方法及数据加解密方法 Pending CN114513781A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210129639.4A CN114513781A (zh) 2022-02-11 2022-02-11 一种空管智慧台站的身份认证方法及数据加解密方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210129639.4A CN114513781A (zh) 2022-02-11 2022-02-11 一种空管智慧台站的身份认证方法及数据加解密方法

Publications (1)

Publication Number Publication Date
CN114513781A true CN114513781A (zh) 2022-05-17

Family

ID=81552510

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210129639.4A Pending CN114513781A (zh) 2022-02-11 2022-02-11 一种空管智慧台站的身份认证方法及数据加解密方法

Country Status (1)

Country Link
CN (1) CN114513781A (zh)

Citations (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040162980A1 (en) * 2001-05-23 2004-08-19 Laurent Lesenne Security devices and processes for protecting and identifying messages
US6978021B1 (en) * 2000-09-18 2005-12-20 Navteq North America, Llc Encryption method for distribution of data
CN101005359A (zh) * 2006-01-18 2007-07-25 华为技术有限公司 一种实现终端设备间安全通信的方法及装置
US20080072303A1 (en) * 2006-09-14 2008-03-20 Schlumberger Technology Corporation Method and system for one time password based authentication and integrated remote access
CN101420687A (zh) * 2007-10-24 2009-04-29 中兴通讯股份有限公司 一种基于移动终端支付的身份验证方法
US20110246765A1 (en) * 2010-04-02 2011-10-06 Suridx, Inc Efficient, Secure, Cloud-Based Identity Services
US20120177198A1 (en) * 2010-04-12 2012-07-12 Flight Focus Pte. Ltd Secure aircraft data channel communication for aircraft operations
US20170026676A1 (en) * 2015-07-23 2017-01-26 Panasonic Avionics Corporation Transfer of consumable data to vehicles
CN107317674A (zh) * 2016-04-27 2017-11-03 华为技术有限公司 密钥分发、认证方法，装置及***
CN109728901A (zh) * 2017-10-31 2019-05-07 中国电信股份有限公司 数字签名认证方法、装置和***
CN109787761A (zh) * 2019-02-20 2019-05-21 金陵科技学院 一种基于物理不可克隆函数的设备认证与密钥分发***和方法
CN109842442A (zh) * 2017-11-26 2019-06-04 成都零光量子科技有限公司 一种以机场为区域中心的量子密钥服务网络与方法
CN110690959A (zh) * 2019-08-26 2020-01-14 西安电子科技大学 一种基于云平台的无人机安全可认证信息通信处理方法
CN110808829A (zh) * 2019-09-27 2020-02-18 国电南瑞科技股份有限公司 一种基于密钥分配中心的ssh认证方法
CN111738480A (zh) * 2019-03-21 2020-10-02 塔莱斯公司 用于管理航空中的数据的生命周期的分布式账本
CN113612600A (zh) * 2021-06-30 2021-11-05 中国航空工业集团公司西安航空计算技术研究所 一种高效性的机载电子发布方法

Patent Citations (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6978021B1 (en) * 2000-09-18 2005-12-20 Navteq North America, Llc Encryption method for distribution of data
US20040162980A1 (en) * 2001-05-23 2004-08-19 Laurent Lesenne Security devices and processes for protecting and identifying messages
CN101005359A (zh) * 2006-01-18 2007-07-25 华为技术有限公司 一种实现终端设备间安全通信的方法及装置
US20080072303A1 (en) * 2006-09-14 2008-03-20 Schlumberger Technology Corporation Method and system for one time password based authentication and integrated remote access
CN101420687A (zh) * 2007-10-24 2009-04-29 中兴通讯股份有限公司 一种基于移动终端支付的身份验证方法
US20110246765A1 (en) * 2010-04-02 2011-10-06 Suridx, Inc Efficient, Secure, Cloud-Based Identity Services
US20120177198A1 (en) * 2010-04-12 2012-07-12 Flight Focus Pte. Ltd Secure aircraft data channel communication for aircraft operations
US20170026676A1 (en) * 2015-07-23 2017-01-26 Panasonic Avionics Corporation Transfer of consumable data to vehicles
CN107317674A (zh) * 2016-04-27 2017-11-03 华为技术有限公司 密钥分发、认证方法，装置及***
CN109728901A (zh) * 2017-10-31 2019-05-07 中国电信股份有限公司 数字签名认证方法、装置和***
CN109842442A (zh) * 2017-11-26 2019-06-04 成都零光量子科技有限公司 一种以机场为区域中心的量子密钥服务网络与方法
CN109787761A (zh) * 2019-02-20 2019-05-21 金陵科技学院 一种基于物理不可克隆函数的设备认证与密钥分发***和方法
CN111738480A (zh) * 2019-03-21 2020-10-02 塔莱斯公司 用于管理航空中的数据的生命周期的分布式账本
CN110690959A (zh) * 2019-08-26 2020-01-14 西安电子科技大学 一种基于云平台的无人机安全可认证信息通信处理方法
CN110808829A (zh) * 2019-09-27 2020-02-18 国电南瑞科技股份有限公司 一种基于密钥分配中心的ssh认证方法
CN113612600A (zh) * 2021-06-30 2021-11-05 中国航空工业集团公司西安航空计算技术研究所 一种高效性的机载电子发布方法

Similar Documents

Publication Publication Date Title
CN110069918B (zh) 一种基于区块链技术的高效双因子跨域认证方法
EP2437531B1 (en) Security service control method and wireless local area network terminal
CN108134672B (zh) 基于量子加密交换机装置的数据传输***及其传输方法
CN110999223A (zh) 安全加密的心跳协议
CN113824705B (zh) 一种Modbus TCP协议的安全加固方法
CN111988328A (zh) 一种新能源厂站发电单元采集终端数据安全保障方法及***
CN110022320A (zh) 一种通信配对方法及通信装置
CN105323754A (zh) 一种基于预共享密钥的分布式鉴权方法
CN115051813B (zh) 一种新能源平台控制指令保护方法及***
CN110430571A (zh) 一种基于5g架构的人脸识别设备及实现方法
CN111147257A (zh) 身份认证和信息保密的方法、监控中心和远程终端单元
CN114024698A (zh) 一种基于国密算法的配电物联网业务安全交互方法及***
CN111416712B (zh) 基于多个移动设备的量子保密通信身份认证***及方法
Bansal et al. Lightweight authentication protocol for inter base station communication in heterogeneous networks
CN101527708B (zh) 恢复连接的方法和装置
CN114422205A (zh) 一种电力专用cpu芯片网络层数据隧道建立方法
KR102190618B1 (ko) 열차제어 메시지 보안 장치 및 방법
CN103986716A (zh) Ssl连接的建立方法以及基于ssl连接的通信方法及装置
CN114928503B (zh) 一种安全通道的实现方法及数据传输方法
CN114513781A (zh) 一种空管智慧台站的身份认证方法及数据加解密方法
CN109474667A (zh) 一种基于tcp和udp的无人机通信方法
CN114386020A (zh) 基于量子安全的快速二次身份认证方法及***
CN113347004A (zh) 一种电力行业加密方法
CN102143174A (zh) 内外网主机之间远程控制的方法及***
JP4976794B2 (ja) 駅務システム及びセキュリティ通信方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination