CN104065485A

CN104065485A - 电网调度移动平台安全保障管控方法

Info

Publication number: CN104065485A
Application number: CN201410316375.9A
Authority: CN
Inventors: 何超林; 周志烽; 黄文载; 孙北宁; 赵凌; 杨震乾; 余琳
Original assignee: China Southern Power Grid Co Ltd; Tongfang Technology of Yunnan Power Grid Co Ltd
Current assignee: China Southern Power Grid Co Ltd; Tongfang Technology of Yunnan Power Grid Co Ltd
Priority date: 2014-07-04
Filing date: 2014-07-04
Publication date: 2014-09-24

Abstract

电网调度移动平台安全保障管控方法，该方法安全从设备接入、通信安全、数据加密三方面进行控制，三个方面的安全管控形成了一个全过程的安全防护体系，能有效的保障在移动端应用及数据的安全。本发明是针对电网调度应用在智能移动终端实现中面临的安全问题，根据电力二次系统安全防护相关要求，并从智能移动终端接入认证、通信链路、数据等方面的安全技术进行研究，提出了智能移动终端在电网调度中应用的安全保障管控一套方法，形成了一套高标准的安全管控闭环流程，从而提高智能终端移动应用在电网调度管理中的安全性和可靠性。

Description

电网调度移动平台安全保障管控方法

技术领域

本方法涉及电力工程领域。本方法主要是实现了调度员在智能移动终端完成调度业务操作和查询的安全。

背景技术

通过智能移动终端技术构建电网移动调度应用平台（以下简称“移动调度”），实现电网运行信息在智能移动终端的全景多维展示，能有效克服现有办公方式中的局限性，提高管理水平和工作效率，帮助各级管理者和运行人员“随时随地”掌握电网运行状态，实现多元化办公。

电力调度数据网承担着电网调度自动化系统的数据传输任务。而智能移动终端具有移动性强，所处网络环境开放性高，应用运行环境复杂等特点，故而在调度移动应用的安全问题尤为突出。一方面智能移动终端处在复杂的公网领域中，面临来自移动通信网络的伪装、内容欺骗、恶意软件等手段对电网调度信息系统的威胁，甚至渗入到调度综合数据网络内部攻击其它系统；另一方面，在智能移动终端与服务器端进行业务数据交互时，业务信息可能被窃听或篡改；另外，终端设备的丢失或被盗同样可能造成电网调度运行业务信息的泄露。

电力行业具有特殊性，其信息系统的安全会影响供电的安全，与社会生产生活有着密切的关系。因此，应用平台的安全性是本平台建设考虑的首要问题。为提高南方电网电力二次系统安全防护水平，保障电力系统安全稳定运行，在移动应用平台建设时，需按照《电力二次系统安全防护规定》、《电力二次系统安全防护总体方案》以及《南方电网电力二次系统安全防护技术规范》的要求来建设。依据二次系统安全防护体系“安全分区、网络专用、横向隔离、纵向认证”的总体策略，创建一套符合电网安全防护要求的安全管控体系和方法。

发明内容

本发明是一套保障电网调度移动平台使用安全的方法，其目的是通过设备接入、通信安全、数据加密三个环节的安全管控设计，确保电网调度数据在移动端使用时的安全。

电网调度移动平台安全保障管控方法，该方法安全从设备接入、通信安全、数据加密三方面进行控制，三个方面的安全管控形成了一个全过程的安全防护体系，能有效的保障在移动端应用及数据的安全，其中，

[1]设备接入方面，移动应用平台通过安全校验，智能移动终端设备与用户经过授权后接入移动调度平台；其中，安全校验为入网许可、设备合法性、用户合法性及权限合法性校验，其方法为：（a）入网许可从设备IMEI、电话号码两方面控制注册入网设备均为合法设备；（b）设备合法性验证是每一次设备登陆都比对注册的IMEI号，并利用短信或动态口令验证；（c）用户合法性验证用户名及密码，能够分配在移动端的操作权限；（d）权限合法性是通过为不同用户的设置权限分配，确保移动端用户只能操作与自己职能权限相符的业务；通过以上四步，能够确保用户在初次注册和日常登陆时的用户验证和账号安全；

[2]通信安全方面，在网络通信稳定的情况下，利用网络、软硬件系统部署一个安全的网络通信环境，保障了信息在通信传输过程中免受攻击；其中，安全的网络通信环境的部署采用VPN技术同时结合调度内网的DMZ区、安全III区的方法；VPN技术采用AES、DES、3DES、RC4、SHA、MD5多种国际标准加密算法，对传输数据进行加密处理；DMZ区与III区分别部署应用，两个区中间由安全隔离网闸分离；

[3]数据传输加密方面，通过电网调度移动应用严密的PKI体系实现数据在传输过程中的安全保障；其中，PKI体系采用智能移动终端的SD-Key卡技术和加解密技术来搭建；

通过以上三步形成的安全保障控制方法，能确保在移动应用时，电网调度的信息安全得到全方位的保障。

本发明在数据传输加密方面，加密技术采用非对称加密。

本发明在数据传输加密方面，加密技术采用RSA非对称加密技术。

1. 环节一：设备接入的安全控制方法

网络通信得到了有效的控制，但智能移动终端只有经过授权的用户才能访问系统，需在移动调度中建立安全接入控制机制。安全接入控制通过入网许可、设备合法性、用户合法性及权限合法性四方面进行安全认证，具体认证的时序逻辑如图1所示，包括（1）入网许可，从设备IMEI、电话号码两方面控制注册入网设备均为合法设备，（2）设备合法性验证，是设备合法性验证是每一次设备登陆都比对注册的IMEI号，并利用短信或动态口令验证，（3）用户合法性验证，是验证用户名及密码一致，从而进一步加强安全，并可以分配在移动端的操作权限，（4）权限合法性验证，是为不同用户的设置权限分配，确保移动端用户只能操作与自己职能权限相符的业务。

2. 环节二：通信方面的安全控制方法：

电网调度业务在智能移动终端应用时，安全隐患存在的环节是从公网连接到内网。基于此，可采用VPN技术满足外出移动办公的要求，同时结合调度内网的DMZ区、安全III区，就可以部署一个安全的网络环境为移动调度的稳定通信和安全运行提供支持。智能移动终端与调度中心内部网络的通信过程，一方面是利用VPN通道接入电网内网的DMZ区，保证数据通信过程中的安全；另外一方面是在DMZ区与III区分别部署应用，两个区中间由安全隔离网闸分离，部署在DMZ区的应用负责响应移动端请求，并与III区交互说明要采集的数据，III区应用负责响应DMZ区的数据请求，统一到各个应用系统采集数据发往DMZ区。以上两方面从网络通信全过程有效地提高了入侵防御能力，满足电网移动办公的数据传输需要。具体部署如图2所示。

3. 环节三：数据安全的保障方法——移动调度PKI体系

结合智能移动终端的SD-Key卡技术和加解密应用策略，搭建了移动调度的PKI体系。如图3所示，一个完整的PKI体系主要由认证中心、证书库、密钥备份与回复系统、证书作废系统及应用接口等部分构成。能为移动调度网络通信过程中提供数据加密和数字签名等密码服务及所必需的密钥和证书管理体系。PKI是建立在公钥加密技术之上的，通过数字证书这个电子文档媒介，实现基于非对称加密算法的数据传输过程中的安全保障。

关键技术

1. 接入安全保障

设备的合法性认证包括入网许可认证、设备合法性认证、用户合法性认证和权限合法性认证。这四个方面可以有效的保障设备初次入网和日常登陆中的安全：

1) 入网许可认证：Radius负责对用户所在调度机构、手机号、设备类型、操作系统及版本、设备IMEI等信息进行登记注册，审核通过后，自动完成信息的绑定和数字证书的生成。在用户登录时首先由Radius对入网信息进行认证，认证通过后由DHCP 分配给终端IP地址，从而实现入网许可；

2) 设备合法性认证：通过数字证书与智能移动终端IMEI的绑定，更换设备或克隆IMEI串号均认为是非法设备，通过数字证书和IMEI的校验实现对设备合法性；

3) 用户合法性认证：在用户名和密码的基础上，利用个人通信号码的唯一性，通过用户的个人通信号码和服务器端的认证信息，在用户每次登录电网调度应用时发送动态口令到授权用户的通信号码中，实现对用户登录身份的认证；

4) 权限合法性认证：在电网调度中进行智能移动智能终端应用时，对不同的业务模块分别进行授权和认证，对于核心业务模块可通过动态口令进行控制，通过动态口令认证后方可访问。

2. 通信安全保障

在安全保障管控方法中，第一步的保证通信安全，保障通信安全主要是靠VPN来完成，在VPN保障过程中，以下为关键技术：

1) 隧道技术：隧道技术是VPN的核心，VPN利用加密技术在公网上封装出一个数据通讯隧道，即将一种协议A封装在另一种协议B中传输，从而实现协议A对公用网络的透明性；

2) 协议：目前最流行VPN是基于IPSec 和SSL 两种协议。IPSec协议又叫第三层隧道协议。它工作在IP层，为IP 层及其上层协议提供保护，为Internet业务提供最强的安全功能，但管理稍显复杂。移动调度采用SSL第四层隧道协议，除了具备与IPSec VPN 相当的安全性外，还增加了访问控制机制，客户端只需要拥有支持SSL的浏览器即可,几乎是零配置，非常适合移动用户访问企业内部网；

3) SSL协议利用其由SSL记录协议、握手协议、密钥更改协议和告警协议组成，共同为应用访问连接提供认证、加密和防篡改功能；

4) 加解密技术：VPN技术的安全保障主要是靠加解密技术来实现。加密技术可以在协议栈的任意层进行，可以对数据或报文头进行加密。应用层的SSL协议，可使用公开密钥体制和X.509 数字证书技术保护信息传输的机密性和完整性；

5) 密钥管理技术：通过密钥分发协议和管理，保证在公用数据网上安全地传递密钥而不被窃取。同时可采用软件加密和多个硬件加密卡相结合并行计算来提高加密过程的运算效率；

6) 身份管理技术：移动调度应用中，对VPN的地址、帐号、密码等进行加密封装，应用中自动接入，不公开，不通知用户，提升其使用的便捷性，降低了猜测性或暴力破解的可能性，同时只有授权的终端设备和用户才可使用移动调度应用，避免利用应用VPN自动接入的攻击；

7) 划分与交换技术：可利用多协议标记交换协议MPLS VPN进行划分，实现内网中移动调度与其他业务网络的关系界定，在移动调度本应用中可按业务数据的重要度、敏感度按权限进行划分，从应用通信入口处就减少被攻击的可能性。

在信息传输到电网内部网络时， VPN的保障使命已经完成，此时要通过DMZ区的设置，可以有效的保障其他内网系统的安全。

DMZ（demilitarized zone 隔离区）是一个在公网络和内网之间安全缓冲区，包括外部防火墙、内部防火墙和堡垒主机（被强化的防御型主机）三个独立的区域，防火墙有个性化的策略设置，黑客很难使用通用配置与之匹配，且入侵必须通过这三个区才能够到达局域网。电网的安全Ⅲ区部署着其他调度技术支持系统，隔离网闸硬件断开了DMZ区与安全Ⅲ区链路层连接，但又需要数据通信，为解决这个矛盾，通过对其存储芯片的读写，利用定向采集、中间缓冲、数据扫描等技术完成数据的安全转发，实现了可控通信。

3. 移动调度的PKI体系

移动KPI体系主要是利用SD-key和加密技术来搭建。 SD-KEY卡又称智能SD卡，实现了智能卡技术和基于移动设备SD卡技术的结合，成为既支持安全功能、又带有巨量用户数据存储空间的设备。SD卡可支持RAS运算，可以在芯片内部产生密钥对，并能在芯片上完成加解密运算。

物理上，SD-KEY卡在指甲盖大小的空间内封装了控制芯片、存储空间芯片、安全芯片等多个部件。针对Android系统的移动设备，可通过MicroSD/SD 卡槽进行连接；针对IOS系统的苹果手机、IPad需要采用外部设备，通过音频接口进行连接，便可为实现PKI体系的移动端提供支持。

如附图3所示，通过具有权威性的根证书，给用户发放证书，证书存储于智能移动终端的SD-Key卡中。证书中存放了发证机构、用户标识、密钥等信息，移动调度应用采用PKCS#11接口与SD-Key卡进行数据交互，从而实现基于移动调度的PKI体系，为数据传输过程中的加解密、签名等提供了系统的平台支持。

主要功能

南方电网调度中心移动应用平台的安全保障控制方法成功实施，主要具有以下几点功能：

1) 防范病毒、木马等恶意代码侵害移动应用平台；

2) 保护电力二次系统及移动应用平台的可用性和连续性；

3) 保护电力调度重要信息在存储和传输过程中的机密性、完整性；

4) 实现关键业务接入移动应用平台的身份认证，防止非法接入和非授权访问；实现电力监控系统和调度数据网的安全管理。

附图说明

图1 智能移动终端接入安全控制；

图2网络通信安全部署图；

图3移动调度PKI体系结构图；

图4当同一业务多次交互或传输文件较大时加密示意图；

图5 当传输内容为结构化，安全级别要求较高时加密示意图。

具体实施方式

下面结合附图对本发明的内容作进一步详细说明。

本发明在数据传输加密方面加密技术采用非对称加密。

本发明在数据传输加密方面加密技术采用RSA非对称加密技术。

1. 首先是智能移动终端的接入方式：

用户需要把调度机构、手机号、设备类型、操作系统及版本、设备IMEI等信息在Radius进行登记注册，Radius负责对信息进行审核。审核通过后，自动完成信息的绑定和数字证书的生成。在日常用户登录时，首先由Radius对入网信息进行认证，认证通过后由DHCP 分配给终端IP地址，从而实现入网许可。

接着就会对设备的合法性进行认证：通过数字证书与智能移动终端IMEI的绑定，在登陆时，同时验证设备的IMEI及数字证书号。IMEI是每台移动终端的唯一号码，验证时凡是没有在Radius注册过的或对应不上数字证书的号，都被认为是非法设备，则不能登陆移动平台的服务器。

如果是合法的设备，下一步就会对用户名的合法性进行认证：在用户名和密码的基础上，利用个人通信号码的唯一性，通过用户的个人通信号码和服务器端的认证信息，在用户每次登录电网调度应用时发送动态口令到授权用户的通信号码中，再次实现对用户登录身份的认证。

由于电力调度行业的特殊性，移动应用还需对用户的权限做区分：在电网调度中进行智能移动智能终端应用时，对不同的业务模块分别进行授权和认证，对于核心业务模块可通过动态口令进行控制，通过动态口令认证后方可访问。

2. 其次是授权用户在访问过程中的通信安全问题：

为满足调度移动平台的通信安全控制要求，电网公司首先要向通讯运营商申请专门的VPN专线，这样授权手机用户在发送信息到基站时，就可以通过VPN专线来保护信息的通信过程不受攻击。信息到达电网内网时，需要通过带VPN策略的防火墙，保障进入内网的信息都是安全可靠的信息。

调度中心移动应用的数据库服务器是位于安全III区，为充分保障数据库服务器以及其它安全III区系统的安全，特意增设了DMZ区存放移动应用服务器和安全控制服务器。并用安全隔离网扎将安全III区与DMZ区隔离开，不仅能顺利完成移动应用数据的交互，还能充分保障调度数据及III区系统的安全不受恶意信息的攻击。

3. 最后是数据传输过程中的加密问题

通过移动调度的PKI体系的搭建，为数据传输过程中的加解密、签名等提供了系统的平台支持。加密手段使用非对称加密，即公钥加密，包括用于公开和发送的公钥和用户自己持有的私钥，共同组成密钥对。分别用于加密和解密，即私钥加密，用公钥才能解密；反之，公钥加密，私钥才能解密。非对称加密算法解决了传统对称加密系统的密钥传输交换容易被窃听的问题。

目前最有影响力的非对称加密技术是RSA，已被ISO推荐为公钥数据加密标准。RSA密钥至少为500位长，一般推荐使用1024位，通常采用大数计算（即很大的数值的数进行一系列的运算）；且消息摘要采用向散列函数（即单向Hash函数,把任意长的输入消息串变化成固定长的输出串且由输出串难以得到输入串的一种函数）。因此，被破解的可能性是微乎其微的，即使全世界的计算机同时进行群举攻击，破译所需时间也是一个天文数字，极大的提高了数据安全性。但这种算法使得加密的计算量很大，速度一直是RSA的缺陷，通常只用于少量数据加密。

因此，需依据移动调度系统中实际的数据环境，制定适合的加密与签名策略，找到安全与性能的平衡点，为移动调度系统安全、稳定、高效的运行提供支持。

数据传输场景1：

当同一业务多次交互或传输文件较大时使用，如动态密码的登录、SVG离线图的下载等。可先采用RSA对称加密的密钥进行加密并签名后进行传输，防止数据传输过程被截，通信双方得到对称密钥后，使用对称密钥进行数据交互。RSA计算的内容仅针对对称加密的密钥，避免了对大量数据的计算压力，如图4所示。

数据传输场景2：

当传输内容为结构化，安全级别要求较高时，如提交检修票内容到服务器。可先采用改进的DES或IDEA对称加密方式对信息加密，然后使用RSA加密其密钥和信息摘要，对方收到信息后，可先核对信息摘要，并获取对称解密的密钥，即可查看到所有报文内容。简言之，如同信息套了一层壳，剥壳成功，方可看内核，如图5所示。

数据传输场景3：

仅从服务器端获取数据时，如查看发电计划等，来源是服务器端，可基于第2种策略方式，去除证书签名即可；若查看一些非敏感数据，如通知、宣传类数据可直接采用明文进行传输，以减轻移动端计算压力。

在智能移动终端的存储文件中，针对敏感信息，为防止泄露，采用对称加密方式，客户端应用拥有密钥，实现加密和解密过程。如电网潮流展现的SVG图文件在智能移动终端的存储，经过压缩后，加密存储，使用时解密后载入缓存，本次登录系统使用完后删除缓存中明文文件，恢复到加密存储状态。

Claims

1. 电网调度移动平台安全保障管控方法，其特征在于，该方法安全从设备接入、通信安全、数据加密三方面进行控制，三个方面的安全管控形成了一个全过程的安全防护体系，能有效的保障在移动端应用及数据的安全，其中，

2.根据权利要求1所述电网调度移动平台安全保障管控方法，其特征在于，在数据传输加密方面，加密技术采用非对称加密。

3.根据权利要求2所述电网调度移动平台安全保障管控方法，其特征在于，在数据传输加密方面，加密技术采用RSA非对称加密技术。