CN106385404A - 基于移动终端的电力信息系统构建方法 - Google Patents

基于移动终端的电力信息系统构建方法 Download PDF

Info

Publication number
CN106385404A
CN106385404A CN201610792801.5A CN201610792801A CN106385404A CN 106385404 A CN106385404 A CN 106385404A CN 201610792801 A CN201610792801 A CN 201610792801A CN 106385404 A CN106385404 A CN 106385404A
Authority
CN
China
Prior art keywords
mobile terminal
mobile
ssl
entry point
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201610792801.5A
Other languages
English (en)
Other versions
CN106385404B (zh
Inventor
张少敏
解元
王保义
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
North China Electric Power University
Huainan Power Supply Co of State Grid Anhui Electric Power Co Ltd
Original Assignee
North China Electric Power University
Huainan Power Supply Co of State Grid Anhui Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by North China Electric Power University, Huainan Power Supply Co of State Grid Anhui Electric Power Co Ltd filed Critical North China Electric Power University
Priority to CN201610792801.5A priority Critical patent/CN106385404B/zh
Publication of CN106385404A publication Critical patent/CN106385404A/zh
Application granted granted Critical
Publication of CN106385404B publication Critical patent/CN106385404B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种基于移动终端的电力信息系统构建方法，所述方法在应用中将移动终端与电力企业的内网服务器通过安全接入设备隔离，所述安全接入设备所采用的安全方案由三层组成，从上到下依次为内网应用层、移动安全接入层和终端层，所述移动安全接入层在SSL的移动安全架构的基础上，将SSL VPN网关扩展到移动安全接入层，并在该层设计移动安全接入点。本发明将移动终端作为电力在线监测、移动作业和运维管理设备的载体建立电力信息系统，大大提升了电力生产和运维信息化、现代化程度。并针对电力系统的具体情况，提出了可实施的安全方法，防止应用系统破坏、业务数据丢失、企业数据泄密，从而确保了系统的安全性。

Description

基于移动终端的电力信息系统构建方法
技术领域
本发明涉及一种基于移动终端的电力信息系统的构建方法，属于电力技术领域。
背景技术
随着电力系统的不断发展，电网规模不断扩大，电力用户逐年增加，保障用户正常的电力供应是提供优质服务的基础。但分布在外部复杂环境中的各种电力设备随时可能出现故障，引起局部地区大面积停电，不仅给当地人民生活带来极大的不便，还会造成巨大的经济损失。因此，电力故障抢修工作成了能否提供优质供电服务的关键因素。科学合理的电力抢修调度可以提高抢修速度，使电力供应尽快恢复，降低电力故障带来的损失。因此，很多电力公司都积极开展电力抢修系统的开发。
2011年中国沈阳某公司在系统内实现了电力抢修移动端的车辆路径分析、定位、导航以及与终端的通信、数据传输等功能。采用嵌入式GIS组件来进行二次开发，使在PDA上进行的地图操作变的非常简单，降低了系统的内存消耗，提高了系统的性能。对地图进行一些处理，保留关键信息，降低PDA的数据存储能力不高的问题。
2011年中国浙江开发了基于PDA的实时电力抢修服务系统，该系统实现了电力系统故障处理反馈的信息化工作流。系统实时收集电力系统故障，并通过PDA与无线数据服务(CDMA)及时通知一线抢修服务人员。抢修人员处理完故障后通过PDA反馈处理情况。将抢修结果通过PDA上传到95598系统。
为了提高95598电力抢修的效率,2013年山西某市充分利用全球定位技术、GPRS技术、地理信息技术设计了一个电力抢修调度系统；系统以GPS接收定位信息,将最后数据通过GPRS网络以短消息的形式发送到监控中心,车载终端也可以接收监控中心发送的控制命令；目前该系统已经成功运用于电力抢修调度指挥中心。
2014年江苏某公司利用GIS技术实现电力快速抢修、抢修车和抢修资源的合理调度的电力抢修系统的设计，并对故障和抢修车的定位以及最优路径算法进行设计，该系统采用B/S模式的WebGIS体系结构。
互联网应用飞速发展开放共享的发展模式使互联网成为新业务、新思维及海量信息的集散地。对互联网应用来说，电信有保障的通信能力是对互联网的最大吸引力。电信网络需要互联网服务模式。话音服务已基本满足用户需求，基于用户增长和价格竞争的模式难以为继；电信运营商需要拓展新业务应用模式，互联网层出不穷的业务应用模式能够很好地满足这种需要。移动互联网就是电信和互联网的融合，在以一致的体验享受互联网的所用应用的同时，还可以享受针对移动和终端特点的新业务，如位置服务、短信、彩信等。继承移动通信全网漫游、统一认证、无缝覆盖等优势，为用户提供任何时间、任何地点的互联网访问，继承传统电信网的QoS优势，提供高品质服务。
以智能手机、平板电脑为代表的移动互联网设备，给用户带来了使用体验和使用习惯上颠覆性的改变。大量的电力在线监测、移动作业和运维管理设备如果以各种形式的，具有灵巧性、便捷性、高效性、灵敏性等特征的移动智能终端作为载体，将大大提升电力生产和运维信息化、现代化程度。因此移动通信技术已成为构建电力应用系统不可或缺的实现技术。
中国电力行业自2010年以来，在系统内部开展了一系列移动信息化的应用尝试，特别是在现场作业方面，电网企业依托移动互联网做出了深层次的探索。但值得注意的是，移动互联在为公司业务处理提供精细化管理与优质服务的同时，也使其面对着诸多安全方面的挑战。这些挑战一方面来自于传统互联网的安全威胁，另一方面则是由于移动互联网自身特点带来的新的安全问题。
互联网安全问题的重要根源：一是网络对用户透明。用户可以获得任意网络重要节点的IP地址并发起漏洞扫描及攻击，网络拓扑很容易被攻击者得到，攻击者可以在某一网络节点截获、修改网络中传送的数据，用户数据安全没有保障。二是用户对网络不透明，鉴权不严格，大量用户未经严格的认证机制即可接入网络，终端的安全能力和安全状况网络不知情、不控制，用户地址可以伪造，无法可靠溯源。总之，移动与互联网的融合，致使传统移动网络的安全优势丧失殆尽，剩下的只是鉴权严格、行为可溯源性少数几个特性。
随着电网企业逐步搭建并完善移动应用平台，很多核心业务也逐渐拓展至移动平台，远程数据交互随之也变得越来越频繁。移动终端在与后台服务交互时，同时接入移动互联网与企业内网的“单机双网”状态是威胁内网运行与数据安全的根源。这些问题具体体现在：
移动终端可能存在的安全漏洞，让原本就对企业数据文件的保护缺乏有效手段的终端更加脆弱；
数据在网络中传输时面临干扰、截获、篡改等风险；
内网服务直接面向外部接入终端，即当移动终端一旦成功接入电力信息内网后，就被看作是电力信息内部可信的用户来使用电力信息内网的资源，一旦在终端接入时或在数据传输中遭到攻击，内网安全便不可控。
电力系统应具有很高的可靠性，必须保证各类分散的接入对象安全、可信地连入电力信息网络，同时保证机密数据不会泄露。但由于安全性问题尚未解决，面对强大的应用需求，基于移动终端的电力信息系统却不敢贸然上马，安全方法的研究已成为人们关注的焦点。
发明内容
本发明的目的在于针对现有技术之弊端，提供一种基于移动终端的电力信息系统构建方法，在保证电力企业内网安全的同时，提高生产和运维的信息化、现代化程度。
本发明所述问题是以下述技术方案解决的：
一种基于移动终端的电力信息系统构建方法，所述方法是在应用中将移动终端与电力企业的内网服务器通过安全接入设备隔离，所述安全接入设备所采用的安全方案由三层组成，从上到下依次为内网应用层、移动安全接入层和终端层，所述移动安全接入层在SSL的移动安全架构的基础上，将SSL VPN网关扩展到移动安全接入层，并在该层设计移动安全接入点；
SSL VPN的通信步骤如下：
a：移动终端向安全接入点发起SSL连接请求；
b：SSL握手成功，转步骤c，否则转步骤n或转步骤a；
c：移动终端与安全接入点建立认证隧道；
d：实现移动终端认证与用户身份认证；
e：认证成功，转步骤f，否则转步骤n或转步骤a；
f：移动终端与安全接入点建立安全数据隧道，移动终端向安全接入点发经过加密的服务请求；
g：安全接入点解密、重组、过滤服务请求，并转发给服务器；
h：服务器根据请求，把相应信息传给安全接入点；如接到Close消息，则断开与安全接入点的连接；否则继续处理移动终端的访问请求；
i：安全接入点将服务器的响应明文进行加密，发给移动终端；
j：移动终端收到密文后对其进行解密、重组，提取出请求的内容；
k：发送Close消息，标志本次通话结束；
l：移动终端与服务器断开逻辑连接；
m：继续SSL会话，转步骤c，否则转步骤n；
n：结束。
上述基于移动终端的电力信息系统构建方法，所述用户身份认证的方法是将设备、用户和SIM卡三元绑定，保证专人专机专用。
上述基于移动终端的电力信息系统构建方法，所述安全接入设备利用包过滤技术，在内网路由器上进一步实现对数据的安全过滤。
上述基于移动终端的电力信息系统构建方法，所述移动安全接入层将对客户端CA证书认证、合法性认证以及用户身份认证放置在SSL握手后的最后阶段，从而创建专用的认证隧道，之后的通信均采用SSL密钥协商确定的与握手阶段确定的密码套件进行加密。
上述基于移动终端的电力信息网络构建方法，所述移动安全接入层创建认证隧道之后，接入移动终端发出Client_Authentication_Hello消息密文，安全接入点收到后，回发Server_Authentication_Request消息密文，要求验证接入终端的包括CA、设备和用户身份信息在内的认证信息，当认证通过后，安全接入点向接入终端发送Server_Authentication_Done消息，认证隧道的生命周期也到此结束。
上述基于移动终端的电力信息系统构建方法，SSL握手阶段完成后，在接入移动终端与安全接入点开始应用通信前，还应再次握手。
本发明将移动终端作为电力移动作业和运维管理的载体建立电力信息系统，大大提升了电力生产和运维信息化、现代化程度。并针对电力系统的具体情况，提出了可实施的安全方法，防止应用系统破坏、业务数据丢失、企业数据泄密，从而确保了系统的安全性。本发明应用于基于移动终端的电力“织网”APP软件系统，该系统满足软件工程所要求的各个阶段的应用测试，满足电力用户的现场需求，相应的实验也如期进行了验收。
附图说明
图1是基于移动终端的电力信息系统架构；
图2是基于移动终端的电力信息系统的安全方案设计；
图3是移动终端安全接入内网逻辑架构。
具体实施方式
下面结合附图对本发明作进一步说明。
本发明给出了一种基于移动终端的电力信息系统构建方法，并将该方法应用于“基于移动终端的“织网”APP软件系统”。该应用系统主要完成以下功能：
(1)“织网”功能：把每个安装该APP软件的使用者作为一个“蜘蛛点”，“蜘蛛点”在日常工作中，软件会自动(手动)依据使用者的设置，记录工作轨迹(包括文字、图像)，在日常工作的点滴中，实现社会电力信息网的织制，方便其他未去过现场的使用者24小时查阅、参考。
(2)导航功能：该软件可以在由众多“蜘蛛点“绘制的电力信息网中实现导航功能。
(3)提示功能：软件通过分析一线人员自行添加以及社会公布的各类信息汇总，自动提示出可能在导航出的路线中是否存在修路改道，是否存在拥挤的巷道，是否需要通过人群密集的闹市等信息，以及自动统计导航路线上的红绿灯个数、道路测速数据，并计算理论时间供参考，该项功能可以最大程度上的避免因在城配闹市区塞车、因农村“逢集”、临时修路等原因造成的供电服务投诉。
(4)查询功能：使用该系统，服务人员可以查询到目的线路、杆塔、电表、专用变的具体信息(包括照片、型号、新旧程度、零配件等)。该项功能将为公司、部室、一线班组提供目的地的基本资料，为配置服务人员、零配件的准备节省时间与精力。
(5)定位功能：使用该系统，可以共享所有装有该系统的人员位置，该项功能实现了供电服务联动，为实现管理信息化、精细化提供了技术支持。
(6)分享功能：使用该系统，可以把现场照片分享至共享相册以及留言，所有装有该系统的人员均可同步查看。该项功能在现场与办公室之间的空间距离中搭建了科技通道。
该系统对普通用户客户端配置的要求：基于Android2.3及以上版本操作系统的、能上网的智能手机。即手机终端能采用移动通信网(如2G、3G、E3G)接入互联网并使用互联网业务。
本发明可以解决以下问题：
对于供电企业的管理现状而言，经常会出现上级检查，下级找人、找电脑、找文件夹，费时费力，或者上级要求报送数据，下级找前沿员工到现场采集，采集之后再汇报给上级。如果上级认为数据可推敲，下级跑完现场还要回到电脑前汇总，车马劳顿，之间的周转时间也是费时费力。该“织网”APP软件的核心功能之一为导航，借鉴目前导航软件的新功能，许多现场信息可由导航系统直接引出，解决了”现场找不到、看不到、问了半天不知道“的尴尬局面。
而移动互联安全是一个复杂的系统性问题，涉及终端设备、移动网络、业务应用等多个方面的问题。对其中任何一方面的疏于防范都会给移动应用的整体安全带来严重威胁。为此，本方法立足于电网企业当前移动信息化的应用现状和发展趋势，遵循适度防护的原则，细化移动信息化业务应用的控制力度，设计配套的安全体系，从而防止应用系统破坏、防止业务数据丢失、防止企业数据泄密，以确保该系统可以稳定安全地运行。
在具体设计中，充分考虑现场客观条件，明确系统中应侧重防护的部分，而非一味地追求实现所有安全需求，既保证了安全性，又要兼顾可操作性和经济性，本着实用、可靠和适度防护的原则进行设计。
安全防护设计包括四种安全方案，针对不同的情况，每一种安全方案在实现方法上各有特色，都可独立实施，达到相应的安全防护效果。图1给出了基于移动终端的电力信息系统架构，图2是基于移动终端的电力信息系统的安全方案设计。
本发明在充分研究现有安全方法的基础上，在基于移动终端的电力“织网”APP软件系统中设计了一套安全方案，该方案是在兼顾可操作性和经济性，本着实用、可靠和适度防护的原则进行设计，具体实施为安全方案3。
在本方法的设计中，终端和受保护的内网服务器通过安全接入设备隔离，只有终端满足安全策略后，才能访问内网资源。安全方案由三层组成。
1)内网应用层：布局于内网，直接可访问内网相关数据。运行于Windows操作系统，满足电力系统内网信息系统安全要求，已实施了操作系统加固、数据库加固、应用系统进行了安全设计等。
2)移动安全接入层
移动安全接入层是系统核心组成部分，实现认证、接入、交换、监管等核心功能。终端安全接入建立双向加密隧道对应用系统数据进行加密，对终端的身份进行合法认证，不能通过身份认证的终端不能访问内网。使用SSL VPN技术开发，并对传统SSL进行改进，使其保证移动网络层通信安全的同时，也能为移动安全接入提供支持。
3)终端层：安全接入终端层包括移动终端，主要由安全软、硬件模块组成。
移动安全接入层及其中的关键技术
1)安全方案的逻辑架构
移动安全接入层包括移动网络层、移动接入层两部分构成。
移动终端安全接入内网逻辑架构如图3所示。该架构是在引入SSL的移动安全架构的基础上，将SSL VPN网关扩展到移动安全接入层，并在该层设计移动安全接入点，从而增加对设备合法性、用户身份的认证，以及不同网络的安全分级保护等方面的支持。
2)安全方案中的关键技术
(1)安全接入点功能
①移动设备合法性认证；
②用户身份认证：实现设备、用户、SIM卡的三元绑定，保证专人专机专用。
③SSL安全网关功能：对SSL协议进行改进，对电力内网实现最大安全的保护；
④利用包过滤技术，在内网路由器上进一步实现对数据的安全过滤。
(2)SSL协议的改进
①在保持传统的SSL握手方式不变的基础上，延长传统SSL握手过程，将对客户端CA证书认证、合法性认证以及用户身份认证放置在改进握手后的最后阶段，从而创建专用的认证隧道，之后的通信均采用SSL密钥协商确定的与传统握手阶段确定的密码套件进行加密。
②创建认证隧道之后，接入移动终端发出Client_Authentication_Hello消息密文，安全接入点收到后，回发Server_Authentication_Request消息密文，要求验证接入终端将包括CA、设备和用户身份信息在内的认证信息。当认证通过后，安全接入点将向接入终端发送Server_Authentication_Done消息，认证隧道的生命周期也到此结束。
③当改进后的握手阶段完成后，并在接入移动终端与安全接入点开始应用通信前，在此间隙为应用通信再次握手，接入终端向安全接入点发出Client_App_Request_Hello消息，后者收到后向前者发送Server_App_Request_Received消息，这表明数据安全专用隧道创建完成，通信双方明确应用数据即将传送。
3)安全方案中的通信模型描述
①一般SSL VPN的通信模型描述
STEP1：移动终端向SSL网关发起连接请求；
STEP2：SSL握手成功，转STEP3，否则转STEP9或转STEP1；
STEP3：移动终端向SSL网关发经过加密的服务请求；
STEP4：SSL网关将收到的密文解密，转发给服务器；
STEP5：服务器根据请求，把相应信息传给SSL网关；
STEP6：SSL网关将服务器的响应明文进行加密，发给移动终端；
STEP7：移动终端收到密文后解密提取出请求的内容；
STEP8：继续SSL会话，转STEP3，否则转STEP9；
STEP9：结束
②改进后的SSL VPN的通信模型描述
STEP1：移动终端向安全接入点发起SSL连接请求；
STEP2：SSL握手成功，转STEP3，否则转STEP14或转STEP1；
STEP3：与安全接入点建立认证隧道
STEP4：实现终端认证与用户身份认证；
STEP5：认证成功，转STEP6，否则转STEP14或转STEP1；
STEP6：与安全接入点建立安全数据隧道，移动终端向安全接入点发经过加密的服务请求；
STEP7：安全接入点解密、重组、过滤服务请求，并转发给服务器；
STEP8：服务器根据请求，把相应信息传给安全接入点；如接到Close消息，则断开与安全接入点的连接；否则继续处理移动终端的访问请求；
STEP9：安全接入点将服务器的响应明文进行加密，发给移动终端；
STEP10：移动终端收到密文后解密、重组提取出请求的内容；
STEP11：发送Close消息，标志本次通话结束；
STEP12：与服务器断开逻辑连接；
STEP13：继续SSL会话，转STEP3，否则转STEP14；
STEP14：结束。
③改进后的性能分析
将对客户端的CA认证、设备认证、用户身份验证延迟到SSL密钥协商之后，用SSL握手连接确定的密码套件与密钥协商确定的公钥对接入终端的认证信息进行加密，使得接入终端的所有认证信息可以在公网传输时得到保护，保证了接入终端身份信息的安全。
构建出了用于接入终端认证与最终通信的两条安全隧道，能提供更好的安全防护。
在图1给出的电力信息系统架构中，所述系统架构包括内网应用层、移动安全接入层、终端层三层。
1)内网应用层：布局于内网，存储着内网相关应用系统数据。
2)移动安全接入层
包括网络传输与安全接入两部分功能。
网络传输功能可以通过几种技术实现，不同的技术具有不同的特点：
①WLAN无线网络：是采用无线通信技术实现的网络,允许用户建立远距离无线连接的全球语音和数据网络，但安全性有不足；
②APN无线专用接入技术：利用APN/VPDN技术，通过GPRS/WCDMA网络为行业客户提供移动信息化行业应用接入服务。移动终端用户可以通过无线数据专网与企业私网进行数据交互，在全国范围内构建企业虚拟的固移融合专有网络，保证数据传输的安全可靠。该技术可提供高可靠、高安全、可管理的专用网络，实现企业快速虚拟组网，有利于解决公共网络的安全问题，成本较高。
③电力无线专网技术：电网租用公共网络资源不能完全满足智能电网新业务对带宽、实时性、数据传输安全性和可靠性的要求，尤其在通信设备使用高峰期，电网信息传送会出现“堵车”现象。此外，电网调度控制中心无法对配用电环节的设备进行有效监测、控制和管理，设备的“盲”管理导致供电可靠性和电网运行效率低下，成为电网通信最为薄弱的环节。为此构建电力无线专网成为成为有效的解决手段。
230频段是国家无线电管理委员会为能源、军队、气象、地震、水利、地矿、轻工等行业规定的作为遥测、遥控、数据传输等业务使用的频段，其中分配给能源部用于全国范围电力负荷监控系统40个频点，总计12MHz带宽。电力专网技术就是发挥这一电力专有频点的带内无干扰、邻频率干扰源少、传播损耗小、覆盖能力强、天气对信号传播性能影响小的特点，基于离散频谱聚合、频谱感知、全IP网络架构设计等先进技术去构建的电力无线专网。目前，该技术仍在发展、试点应用之中。但使用专网一定存在成本问题，这也是设计系统方案时必须考虑的因素。
安全接入功能在图3做了详细描述。
3)终端层：安全接入终端层包括移动终端，主要由安全软、硬件模块组成。
图2是基于移动终端的电力信息系统的安全方案设计，该图表述了在选择和设计安全方案时考虑的因素。安全的最大问题是如何确定安全的度，在不同层次上，安全有不同的含义。要充分考虑现场客观条件，明确系统中应侧重防护的部分，而非一味地追求实现所有安全需求。尽量做到既保证安全性，又要兼顾可操作性和经济性，本着实用、可靠和适度防护的原则进行设计。
图3是移动终端安全接入内网逻辑架构。
移动终端安全接入内网逻辑架构如图3所示。移动安全接入层包括移动网络层、移动接入层两部分构成。
该架构是在引入SSL的移动安全架构的基础上设计的，将SSL VPN网关扩展到移动安全接入层，并在该层设计移动安全接入点，从而增加对设备合法性、用户身份的认证，以及不同网络的安全分级保护等方面的支持。

Claims (6)

1.一种基于移动终端的电力信息系统构建方法，其特征是，所述方法将移动终端与电力企业的内网服务器通过安全接入设备隔离，所述安全接入设备所采用的安全方案由三层组成，从上到下依次为内网应用层、移动安全接入层和终端层，所述移动安全接入层在SSL的移动安全架构的基础上，将SSL VPN网关扩展到移动安全接入层，并在该层设计移动安全接入点，SSL VPN的通信步骤如下：
a：移动终端向安全接入点发起SSL连接请求；
b：SSL握手成功，转步骤c，否则转步骤n或转步骤a；
c：移动终端与安全接入点建立认证隧道；
d：实现移动终端认证与用户身份认证；
e：认证成功，转步骤f，否则转步骤n或转步骤a；
f：移动终端与安全接入点建立安全数据隧道，移动终端向安全接入点发经过加密的服务请求；
g：安全接入点解密、重组、过滤服务请求，并转发给服务器；
h：服务器根据请求，把相应信息传给安全接入点；如接到Close消息，则断开与安全接入点的连接；否则继续处理移动终端的访问请求；
i：安全接入点将服务器的响应明文进行加密，发给移动终端；
j：移动终端收到密文后对其进行解密、重组，提取出请求的内容；
k：发送Close消息，标志本次通话结束；
l：移动终端与服务器断开逻辑连接；
m：继续SSL会话，转步骤c，否则转步骤n；
n：结束。
2.根据权利要求1所述的一种基于移动终端的电力信息系统构建方法，其特征是，所述用户身份认证的方法是将设备、用户和SIM卡三元绑定，保证专人专机专用。
3.根据权利要求1或2所述的一种基于移动终端的电力信息系统构建方法，其特征是，所述安全接入设备利用包过滤技术，在内网路由器上进一步实现对数据的安全过滤。
4.根据权利要求3所述的一种基于移动终端的电力信息系统构建方法，其特征是，所述移动安全接入层将对客户端CA证书认证、合法性认证以及用户身份认证放置在SSL握手后的最后阶段，从而创建专用的认证隧道，之后的通信均采用SSL密钥协商确定的与握手阶段确定的密码套件进行加密。
5.根据权利要求4所述的一种基于移动终端的电力信息系统构建方法，其特征是，所述移动安全接入层创建认证隧道之后，接入移动终端发出Client_Authentication_Hello消息密文，安全接入点收到后，回发Server_Authentication_Request消息密文，要求验证接入终端的包括CA、设备和用户身份信息在内的认证信息，当认证通过后，安全接入点向接入终端发送Server_Authentication_Done消息，认证隧道的生命周期也到此结束。
6.根据权利要求5所述的一种基于移动终端的电力信息系统构建方法，其特征是，SSL握手阶段完成后，在接入移动终端与安全接入点开始应用通信前，还应再次握手。
CN201610792801.5A 2016-08-31 2016-08-31 基于移动终端的电力信息系统构建方法 Expired - Fee Related CN106385404B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610792801.5A CN106385404B (zh) 2016-08-31 2016-08-31 基于移动终端的电力信息系统构建方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610792801.5A CN106385404B (zh) 2016-08-31 2016-08-31 基于移动终端的电力信息系统构建方法

Publications (2)

Publication Number Publication Date
CN106385404A true CN106385404A (zh) 2017-02-08
CN106385404B CN106385404B (zh) 2019-08-02

Family

ID=57937832

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610792801.5A Expired - Fee Related CN106385404B (zh) 2016-08-31 2016-08-31 基于移动终端的电力信息系统构建方法

Country Status (1)

Country Link
CN (1) CN106385404B (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107395601A (zh) * 2017-07-26 2017-11-24 华迪计算机集团有限公司 一种基于vpn安全内网的移动办公系统及方法
CN109120405A (zh) * 2018-10-29 2019-01-01 全球能源互联网研究院有限公司 一种终端安全接入方法、装置及系统
CN109274672A (zh) * 2018-09-26 2019-01-25 南京南瑞信息通信科技有限公司 一种用于信息通信设备的移动运维管理及数据交互系统
CN111277607A (zh) * 2020-02-14 2020-06-12 南京南瑞信息通信科技有限公司 通信隧道模块、应用监控模块及移动终端安全接入系统
CN111543036A (zh) * 2017-12-18 2020-08-14 西门子交通有限责任公司 用于在第一与第二网络之间传输数据的设备和方法
CN112905302A (zh) * 2021-03-05 2021-06-04 华迪计算机集团有限公司 一种客户关系管理crm系统及数据处理方法
CN113012414A (zh) * 2021-01-28 2021-06-22 国电南瑞南京控制系统有限公司 一种支持户表停电信息实时上报的模组化能源采控终端
CN114513785A (zh) * 2022-02-22 2022-05-17 新华三技术有限公司 一种终端认证方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1838638A (zh) * 2006-03-21 2006-09-27 杭州华为三康技术有限公司 一种vpn数据转发方法及用于数据转发的vpn设备
CN102857393A (zh) * 2012-09-11 2013-01-02 中国电力科学研究院 一种基于报文模拟的非公开密码算法ssl vpn设备性能测试方法
WO2014185990A1 (en) * 2013-05-14 2014-11-20 Citrix Systems, Inc. Methods for authentication with denial-of-service attack protection

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1838638A (zh) * 2006-03-21 2006-09-27 杭州华为三康技术有限公司 一种vpn数据转发方法及用于数据转发的vpn设备
CN102857393A (zh) * 2012-09-11 2013-01-02 中国电力科学研究院 一种基于报文模拟的非公开密码算法ssl vpn设备性能测试方法
WO2014185990A1 (en) * 2013-05-14 2014-11-20 Citrix Systems, Inc. Methods for authentication with denial-of-service attack protection

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
张梅: ""SSL_VPN关键技术研究与系统设计"", 《中国优秀硕士学位论文全文数据库 信息科技辑 2007年第06期》 *
欧阳星明，等: ""对SSL握手协议密钥交换方式的改进与应用"", 《计算机工程与科学 2006年11期》 *

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107395601A (zh) * 2017-07-26 2017-11-24 华迪计算机集团有限公司 一种基于vpn安全内网的移动办公系统及方法
CN111543036A (zh) * 2017-12-18 2020-08-14 西门子交通有限责任公司 用于在第一与第二网络之间传输数据的设备和方法
CN109274672A (zh) * 2018-09-26 2019-01-25 南京南瑞信息通信科技有限公司 一种用于信息通信设备的移动运维管理及数据交互系统
CN109274672B (zh) * 2018-09-26 2021-03-12 南京南瑞信息通信科技有限公司 一种用于信息通信设备的移动运维管理及数据交互系统
CN109120405A (zh) * 2018-10-29 2019-01-01 全球能源互联网研究院有限公司 一种终端安全接入方法、装置及系统
CN109120405B (zh) * 2018-10-29 2021-11-09 全球能源互联网研究院有限公司 一种终端安全接入方法、装置及系统
CN111277607A (zh) * 2020-02-14 2020-06-12 南京南瑞信息通信科技有限公司 通信隧道模块、应用监控模块及移动终端安全接入系统
CN113012414A (zh) * 2021-01-28 2021-06-22 国电南瑞南京控制系统有限公司 一种支持户表停电信息实时上报的模组化能源采控终端
CN112905302A (zh) * 2021-03-05 2021-06-04 华迪计算机集团有限公司 一种客户关系管理crm系统及数据处理方法
CN114513785A (zh) * 2022-02-22 2022-05-17 新华三技术有限公司 一种终端认证方法及装置
CN114513785B (zh) * 2022-02-22 2023-10-20 新华三技术有限公司 一种终端认证方法及装置

Also Published As

Publication number Publication date
CN106385404B (zh) 2019-08-02

Similar Documents

Publication Publication Date Title
CN106385404B (zh) 基于移动终端的电力信息系统构建方法
Saleem et al. Internet of things-aided smart grid: technologies, architectures, applications, prototypes, and future research directions
CN102469078B (zh) 一种参与校园网运营的实现方法及系统
CN101990211B (zh) 网络接入方法、装置和系统
CN109033143B (zh) 基于区块链的分布式、分域电网数据处理系统及其方法
CN104202308A (zh) Wi-Fi物联网系统的安全的批量配置实现方法
CN106488525B (zh) 一种ip动态绑定的无线网络构建方法及相应网络架构
CN102461272A (zh) 用于通过异构基础架构分布不限数量的虚拟ieee 802.11无线网络的接入点、服务器和系统
CN103460736A (zh) 在无线网络中管理数字证书的灵活系统和方法
CN102710649A (zh) 一种用于电力信息采集系统的网络安全架构
CN111988328A (zh) 一种新能源厂站发电单元采集终端数据安全保障方法及系统
WO2023108396A1 (zh) 一种电网智能量测方法
CN107168124A (zh) 基于窄带物联网的远程电源控制开关系统及方法
CN103139772A (zh) 处理终端接入局域网的方法及使用数据统计的方法及装置
CN101909248B (zh) 用户接入方法及系统、闭合用户组用户管理方法及系统
CN103703725A (zh) 用于实施所有物远程控制的设备布置
CN102647435A (zh) 警用网络监控系统
CN104954339A (zh) 一种电力应急抢修远程通信方法及系统
Suo et al. Design of secure access to distributed load resources of virtual power plant based on virtual communication private network
CN204895168U (zh) 基于分布式的多协议可降级电动汽车充电桩
CN105101337A (zh) 信息发送方法和系统
Chia et al. Challenges and opportunities in infrastructure support for electric vehicles and smart grid in a dense urban environment-Singapore
CN103347266B (zh) 一种网络接入方法、装置及系统
Cui et al. Research on Security System of Satellite-Ground Integrated Virtual Private Network in 6G
CN202713368U (zh) 一种用于电力信息采集系统的网络安全架构

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20190802

Termination date: 20200831