CN109905371A - 双向加密认证系统及其应用方法 - Google Patents

Abstract

本发明公开了双向加密认证系统及其应用方法，该系统包括与主站服务器连接的一体化加密认证装置和与终端设备连接的终端加密认证装置。一体化双向加密认证装置简化了主站侧或子站侧的网络结构，使得电网数据不被窃取或者篡改，能够更高效的提供网络安全服务；终端侧设备终端加密认证装置，实现配电网数据通信双向加密认证。本发明将配电安全网关和配电网加密认证装置结合，减少经济成本的同时，降低秘钥管理复杂度；由于传输过程中的数据为加密数据，因此解决了电力终端设备上传明文数据、缺乏双向认证的问题。一体化的配网认证加密装置部署在配电网安全接入区，降低了信息安全防护经济成本，能够消除安全隐患，避免设备损坏和经济损失。

Description

双向加密认证系统及其应用方法

技术领域

本发明涉及配电网数据通信加密的技术领域，尤其涉及双向加密认证系统及其应用方法。

背景技术

电网，是国家关键基础设施，近年来国际上出现很多针对电网的攻击事件。配电网传输的各种指令和数据是非常关键且敏感的，因此需要重点保护。

配电网有着非常广阔的地理跨度，分布式的网络结构，电力设备(终端)接入方式多种多样，实际在网数据保护措施不够。在主站侧与终端之间只有单向身份认证，终端回告的数据明文传输，终端身份和数据真实性无法得到保障，数据有被窃取和篡改的危险。此外，目前配电网主站侧和子站侧的网络安全措施复杂，成本高，效率低。

现行配电网的主要问题有：(1)在网数据单向认证；(2)存在明文传输的情况；(3)配电安全接入网关和安全接入平台的秘钥管理分散化。

发明内容

为了克服现有技术的不足，本发明的目的在于提供双向加密认证系统及其应用方法，旨在解决背景技术中现行配电网的问题。

本发明的目的采用以下技术方案实现：

一种双向加密认证系统，包括一体化加密认证装置；

一体化加密认证装置与主站服务器连接。

在上述实施例的基础上，优选的，还包括与一体化加密认证装置连接的终端加密认证装置；

终端加密认证装置还与终端设备连接。

在上述实施例的基础上，优选的，还包括设置于一体化加密认证装置、终端加密认证装置之间的配电安全网关。

在上述实施例的基础上，优选的，终端加密认证装置、配电安全网关之间建立VPN隧道。

在上述任意实施例的基础上，优选的，所述一体化加密认证装置包括第一签名模块、第一加密模块、网闸和VPN模块；

网闸、第一签名模块、第一加密模块、VPN模块顺序连接；

网闸与主站服务器连接；VPN模块与配电安全网关连接。

在上述实施例的基础上，优选的，所述一体化加密认证装置还包括与第一加密模块连接的密钥管理模块。

或者，优选的，所述一体化加密认证装置还包括与VPN模块连接的证书管理模块。

在上述包含终端加密认证装置的实施例的基础上，优选的，所述终端加密认证装置包括相互连接的第二签名模块、第二加密模块；

第二签名模块与终端设备连接；第二加密模块与配电安全网关连接。

一种上述任一项实施例中的双向加密认证系统的应用方法，包括：

下行步骤：

主站服务器向一体化加密认证装置发送第一源数据；

一体化加密认证装置对主站发送的第一源数据进行解包获取明文信息；

一体化加密认证装置对明文信息进行加签并加密，得到第一加密数据并发送到配电安全网关；

配电安全网关与终端加密认证装置建立VPN隧道，并将第一加密数据通过VPN隧道发送到终端加密认证装置；

终端加密认证装置对第一加密数据进行解密并验签，获取第一源数据；

终端加密认证装置将第一源数据传输到终端设备；

上行步骤：

终端设备将第二源数据发送到终端加密认证装置；

终端加密认证装置对第二源数据进行加签并加密，得到第二加密数据；

终端加密认证装置与配电安全网关建立VPN隧道，并将第二加密数据发送到配电安全网关；

配电安全网关将第二加密数据发送到一体化认证加密装置；

一体化加密认证装置对第二加密数据进行解密并验签，获取第二源数据；

一体化加密认证装置将第二源数据发送给主站服务器。

在上述实施例的基础上，优选的，所述一体化加密认证装置对明文信息进行加签并加密，得到第一加密数据并发送到配电安全网关，具体为：

网闸根据明文信息的数据流向判断是否允许明文信息通过；如果是，则将明文信息发送到第一签名模块；

第一签名模块对明文信息进行签名，形成复合格式的报文，并发送到第一加密模块；

第一加密模块对复合格式的报文进行加密，得到第一加密数据，并发送到VPN模块；

VPN模块将第一加密数据发送到配电安全网关。

相比现有技术，本发明的有益效果在于：

本发明公开了双向加密认证系统及其应用方法，一体化双向加密认证装置简化了主站侧或子站侧的网络结构，使得电网数据不被窃取或者篡改，能够更高效的提供网络安全服务；终端侧设备终端加密认证装置，实现配电网数据通信双向加密认证。

本发明将配电安全网关和配电网加密认证装置结合，减少经济成本的同时，降低秘钥管理复杂度；由于传输过程中的数据为加密数据，因此解决了电力终端设备上传明文数据、缺乏双向认证的问题。一体化的配网认证加密装置部署在配电网安全接入区，降低了信息安全防护经济成本，能够消除信息篡改、信息泄露的安全隐患，避免因相关信息安全事件而造成的设备损坏和经济损失。

本发明将配电自动化安全接入平台与安全加密网关相结合，实现一体化，这样可以节约经济成本并降低管理复杂度；建立基于国密算法的双向认证加密机制，实现大规模工控网络中高效、可伸缩的双向认证加密算法，解决现有配网安全加密装置的单向签名认证问题，构造高可信配电自动化通信系统；建立网络层和应用层密钥统一化的证书机构和安全验证机制，解决秘钥分散化、管理困难的问题；通过一体化加密认证装置将现有配电网安全防护架构极大程度上简化；实现双向加密认证，确保了通信双方对的身份正确性同时也保障了在网传输数据不被窃取和篡改。

附图说明

下面结合附图和实施例对本发明进一步说明。

图1示出了本发明实施例提供的一种现行配电网的局部结构图；

图2示出了本发明实施例提供的一种新型配电网的局部结构图；

图3示出了本发明实施例提供的一种下行数据流向图；

图4示出了本发明实施例提供的一种上行数据流向图；

图5示出了本发明实施例提供的一种一体化加密认证装置的结构示意图；

图6示出了本发明实施例提供的一种终端加密模块的结构示意图；

图7示出了本发明实施例提供的一种双向加密认证系统的结构示意图。

具体实施方式

下面，结合附图以及具体实施方式，对本发明做进一步描述，需要说明的是，在不相冲突的前提下，以下描述的各实施例之间或各技术特征之间可以任意组合形成新的实施例。

本发明引入以下名词。

(1)加密：加密是指对网络传输的数据经过某种特定的方式使之不能被直接观测或读取，起到保护数据不被窃取或篡改的作用。

(2)签名：全称叫数字签名，目的是为了证明某一段数据来源的正确性。例如：电力终端设备箱主站上报电力数据时需要签名，证明这段数据来自终端而不是其他非法渠道。签名的实现过程大致如下：首先将原始数据经过哈希函数进行处理，得到信息摘要，然后使用特定的加密算法对信息摘要进行加密。接受方收到了签名过的数据会根据事先约定好的方式对加密的信息摘要进行解密得到原来的信息摘要，再做进一步判断以证明该数据的来源的合法性。

(3)双向加密认证：网络通信是双方的，A向B发数据，B会向A做出回告。在这个过程中，如果采用明文传输则被传递的消息可能被其他人获取，这是我们不希望看到的事情，甚至数据还有可能被截获、篡改。为此需要进行加密，数据不能被直接观测到。认证是指确认通信双方的身份的真实性，在网络通信的过程中，攻击者可能会实用技术手段冒充任何一方进行破坏行为。双向加密认证的意思是，通信双方的身份都需要进行确认并往来的数据都是加密的。

(4)通信规约：配电网的数据有特定的格式，这是行业标准，规约就是这个行业标准，规约有很多种，IEC 60870-5-101和IEC 60870-5-104等等。

(5)密钥：是一种参数，也可以看做是一个工具。在对称或非对称加密过程中，数据需要通过密钥进行加密。

(6)证书：又叫数字证书，用于表明身份。一个完整的证书中包含了丰富的信息。

(7)数据加密流程：包括下行数据加密认证流程、上行数据加密认证流程。

具体实施例一

图1是现行配电网的局部结构图，图2是本发明实施例提供的一种新型配电网的局部结构图。

如图7所示，本发明实施例提供了一种双向加密认证系统，包括一体化加密认证装置；一体化加密认证装置与主站服务器连接。

本系统还可以包括与一体化加密认证装置连接的终端加密认证装置；终端加密认证装置还与终端设备连接。

本系统还可以包括设置于一体化加密认证装置、终端加密认证装置之间的配电安全网关。

终端加密认证装置、配电安全网关之间可以建立VPN隧道。

如图5所示，所述一体化加密认证装置可以包括第一签名模块、第一加密模块、网闸和VPN模块；网闸、第一签名模块、第一加密模块、VPN模块顺序连接；网闸与主站服务器连接；VPN模块与配电安全网关连接。

所述一体化加密认证装置还可以包括与第一加密模块连接的密钥管理模块。

所述一体化加密认证装置还可以包括与VPN模块连接的证书管理模块。

一体化加密认证装置将配网加密认证装置和配电安全接入网关的功能一体化，并新增证书秘钥分发和管理功能，与终端加密认证模块共同实现主站与终端的双向加密认证通信。一体化加密认证装置可以由证书管理模块、密钥管理模块、签名模块、加密模块、网闸和VPN六个部分构成。

一体化加密认证装置将主站下发的指令数据进行签名并加密，首先由网闸根据数据流向判断是否允许其通过；然后经过签名模块对数据签名形成符合国网调文件所规定的复合格式的报文；加密模块对复合报文进行加密通过VPN发送给终端加密认证装置。其中秘钥管理模块负责密钥的生成、删除、分发及储存，证书管理模块负责证书的生成、吊销、分发及储存。

如图6所示，所述终端加密认证装置可以包括相互连接的第二签名模块、第二加密模块；第二签名模块与终端设备连接；第二加密模块与配电安全网关连接。

终端加密认证装置可以由签名模块和加密模块构成，部署在电力终端设备一侧，位于一体化双向加密认证装置与电力终端之间，负责对主站下行数据解密和验签，并对终端向主站回告的上行数据进行签名和加密。

主站下行数据经过一体化双向加密认证装置进行签名和加密，通过VPN隧道传输给终端加密认证装置进行解密和验签。终端的上行数据经过终端加密认证装置进行签名和加密通过VPN隧道上传给一体化双向加密认证装置进行解密和验签，最后上传给主站。一体化双向加密认证装置与终端加密认证装置同时拥有证书管理和秘钥生成功能是双向加密通信的关键。

一体化双向加密认证装置简化了主站侧或子站侧的网络结构，使得电网数据不被窃取或者篡改，能够更高效的提供网络安全服务；终端侧设备终端加密认证装置，实现配电网数据通信双向加密认证。

本发明实施例将配电安全网关和配电网加密认证装置结合，减少经济成本的同时，降低秘钥管理复杂度；由于传输过程中的数据为加密数据，因此解决了电力终端设备上传明文数据、缺乏双向认证的问题。一体化的配网认证加密装置部署在配电网安全接入区，降低了信息安全防护经济成本，能够消除信息篡改、信息泄露的安全隐患，避免因相关信息安全事件而造成的设备损坏和经济损失。

本发明实施例将配电自动化安全接入平台与安全加密网关相结合，实现一体化，这样可以节约经济成本并降低管理复杂度；建立基于国密算法的双向认证加密机制，实现大规模工控网络中高效、可伸缩的双向认证加密算法，解决现有配网安全加密装置的单向签名认证问题，构造高可信配电自动化通信系统；建立网络层和应用层密钥统一化的证书机构和安全验证机制，解决秘钥分散化、管理困难的问题；通过一体化加密认证装置将现有配电网安全防护架构极大程度上简化；实现双向加密认证，确保了通信双方对的身份正确性同时也保障了在网传输数据不被窃取和篡改。

在上述的具体实施例一中，提供了双向加密认证系统，与之相对应的，本申请还提供双向加密认证系统的应用方法。由于方法实施例基本相似于系统实施例，所以描述得比较简单，相关之处参见系统实施例的部分说明即可。下述描述的方法实施例仅仅是示意性的。

具体实施例二

本发明实施例提供了一种具体实施例一中的双向加密认证系统的应用方法，包括：

如图3所示的下行步骤：

主站服务器向一体化加密认证装置发送第一源数据；

一体化加密认证装置对主站发送的第一源数据进行解包获取明文信息；

一体化加密认证装置对明文信息进行加签并加密，得到第一加密数据并发送到配电安全网关；

配电安全网关与终端加密认证装置建立VPN隧道，并将第一加密数据通过VPN隧道发送到终端加密认证装置；

终端加密认证装置对第一加密数据进行解密并验签，获取第一源数据；

终端加密认证装置将第一源数据传输到终端设备；

如图4所示的上行步骤：

终端设备将第二源数据发送到终端加密认证装置；

终端加密认证装置对第二源数据进行加签并加密，得到第二加密数据；

终端加密认证装置与配电安全网关建立VPN隧道，并将第二加密数据发送到配电安全网关；

配电安全网关将第二加密数据发送到一体化认证加密装置；

一体化加密认证装置对第二加密数据进行解密并验签，获取第二源数据；

一体化加密认证装置将第二源数据发送给主站服务器。

所述一体化加密认证装置对明文信息进行加签并加密，得到第一加密数据并发送到配电安全网关，可以具体为：网闸根据明文信息的数据流向判断是否允许明文信息通过；如果是，则将明文信息发送到第一签名模块；第一签名模块对明文信息进行签名，形成复合格式的报文，并发送到第一加密模块；第一加密模块对复合格式的报文进行加密，得到第一加密数据，并发送到VPN模块；VPN模块将第一加密数据发送到配电安全网关。

主站下行数据经过一体化双向加密认证装置进行签名和加密，通过VPN隧道传输给终端加密认证装置进行解密和验签。终端的上行数据经过终端加密认证装置进行签名和加密通过VPN隧道上传给一体化双向加密认证装置进行解密和验签，最后上传给主站。一体化双向加密认证装置与终端加密认证装置同时拥有证书管理和秘钥生成功能是双向加密通信的关键。

一体化双向加密认证装置简化了主站侧或子站侧的网络结构，使得电网数据不被窃取或者篡改，能够更高效的提供网络安全服务；终端侧设备终端加密认证装置，实现配电网数据通信双向加密认证。

本发明实施例将配电安全网关和配电网加密认证装置结合，减少经济成本的同时，降低秘钥管理复杂度；由于传输过程中的数据为加密数据，因此解决了电力终端设备上传明文数据、缺乏双向认证的问题。一体化的配网认证加密装置部署在配电网安全接入区，降低了信息安全防护经济成本，能够消除信息篡改、信息泄露的安全隐患，避免因相关信息安全事件而造成的设备损坏和经济损失。

本发明实施例将配电自动化安全接入平台与安全加密网关相结合，实现一体化，这样可以节约经济成本并降低管理复杂度；建立基于国密算法的双向认证加密机制，实现大规模工控网络中高效、可伸缩的双向认证加密算法，解决现有配网安全加密装置的单向签名认证问题，构造高可信配电自动化通信系统；建立网络层和应用层密钥统一化的证书机构和安全验证机制，解决秘钥分散化、管理困难的问题；通过一体化加密认证装置将现有配电网安全防护架构极大程度上简化；实现双向加密认证，确保了通信双方对的身份正确性同时也保障了在网传输数据不被窃取和篡改。

本发明从使用目的上，效能上，先进性及新颖性等观点进行阐述，其具有的实用进步性，已符合专利法所强调的功能增进及使用要件，本发明以上的说明及附图，仅为本发明的较佳实施例而已，并非以此局限本发明，因此，凡一切与本发明构造，装置，特征等近似、雷同的，即凡依本发明专利申请范围所作的等同替换或修饰等，皆应属本发明的专利申请保护的范围之内。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。尽管本发明已进行了一定程度的描述，明显地，在不脱离本发明的精神和范围的条件下，可进行各个条件的适当变化。可以理解，本发明不限于所述实施方案，而归于权利要求的范围，其包括所述每个因素的等同替换。对本领域的技术人员来说，可根据以上描述的技术方案以及构思，做出其它各种相应的改变以及形变，而所有的这些改变以及形变都应该属于本发明权利要求的保护范围之内。

Claims (10)

1.一种双向加密认证系统，其特征在于，包括一体化加密认证装置；

一体化加密认证装置与主站服务器连接。

2.根据权利要求1所述的双向加密认证系统，其特征在于，还包括与一体化加密认证装置连接的终端加密认证装置；

终端加密认证装置还与终端设备连接。

3.根据权利要求2所述的双向加密认证系统，其特征在于，还包括设置于一体化加密认证装置、终端加密认证装置之间的配电安全网关。

4.根据权利要求3所述的双向加密认证系统，其特征在于，终端加密认证装置、配电安全网关之间建立VPN隧道。

5.根据权利要求1-4任一项所述的双向加密认证系统，其特征在于，所述一体化加密认证装置包括第一签名模块、第一加密模块、网闸和VPN模块；

网闸、第一签名模块、第一加密模块、VPN模块顺序连接；

网闸与主站服务器连接；VPN模块与配电安全网关连接。

6.根据权利要求5所述的双向加密认证系统，其特征在于，所述一体化加密认证装置还包括与第一加密模块连接的密钥管理模块。

7.根据权利要求5所述的双向加密认证系统，其特征在于，所述一体化加密认证装置还包括与VPN模块连接的证书管理模块。

8.根据权利要求2-4任一项所述的双向加密认证系统，其特征在于，所述终端加密认证装置包括相互连接的第二签名模块、第二加密模块；

第二签名模块与终端设备连接；第二加密模块与配电安全网关连接。

9.一种1-8任一项所述的双向加密认证系统的应用方法，其特征在于，包括：

下行步骤：

主站服务器向一体化加密认证装置发送第一源数据；

一体化加密认证装置对主站发送的第一源数据进行解包获取明文信息；

一体化加密认证装置对明文信息进行加签并加密，得到第一加密数据并发送到配电安全网关；

配电安全网关与终端加密认证装置建立VPN隧道，并将第一加密数据通过VPN隧道发送到终端加密认证装置；

终端加密认证装置对第一加密数据进行解密并验签，获取第一源数据；

终端加密认证装置将第一源数据传输到终端设备；

上行步骤：

终端设备将第二源数据发送到终端加密认证装置；

终端加密认证装置对第二源数据进行加签并加密，得到第二加密数据；

终端加密认证装置与配电安全网关建立VPN隧道，并将第二加密数据发送到配电安全网关；

配电安全网关将第二加密数据发送到一体化认证加密装置；

一体化加密认证装置对第二加密数据进行解密并验签，获取第二源数据；

一体化加密认证装置将第二源数据发送给主站服务器。

10.根据权利要求9所述的双向加密认证系统的应用方法，其特征在于，所述一体化加密认证装置对明文信息进行加签并加密，得到第一加密数据并发送到配电安全网关，具体为：

网闸根据明文信息的数据流向判断是否允许明文信息通过；如果是，则将明文信息发送到第一签名模块；

第一签名模块对明文信息进行签名，形成复合格式的报文，并发送到第一加密模块；

第一加密模块对复合格式的报文进行加密，得到第一加密数据，并发送到VPN模块；

VPN模块将第一加密数据发送到配电安全网关。