CN111818527A - 一种数控系统移动设备无线安全联网技术 - Google Patents

一种数控系统移动设备无线安全联网技术 Download PDF

Info

Publication number
CN111818527A
CN111818527A CN202010622720.7A CN202010622720A CN111818527A CN 111818527 A CN111818527 A CN 111818527A CN 202010622720 A CN202010622720 A CN 202010622720A CN 111818527 A CN111818527 A CN 111818527A
Authority
CN
China
Prior art keywords
message
initiating
terminal
numerical control
diffie
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010622720.7A
Other languages
English (en)
Inventor
汤学明
闻昊哲
路松峰
崔永泉
骆婷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huazhong University of Science and Technology
Original Assignee
Huazhong University of Science and Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huazhong University of Science and Technology filed Critical Huazhong University of Science and Technology
Priority to CN202010622720.7A priority Critical patent/CN111818527A/zh
Publication of CN111818527A publication Critical patent/CN111818527A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明属于无线安全联网技术领域，公开一种数控系统移动设备无线安全联网技术，包括发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端向发起端发送报文R1；发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；响应端向发起端发送报文R2；发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie‑Hellman密钥交换计算工作密钥。本发明提出了一种能够便于IP管理，能够抵抗DDOS攻击，抵抗中间人攻击，将应用层和IP层的通信标识进行区别，能够为终端设备通信提供安全保障的数控系统移动设备无线安全联网技术。

Description

一种数控系统移动设备无线安全联网技术
技术领域
本发明属于无线安全联网技术领域，尤其涉及一种数控系统移动设备无线安全联网技术。
背景技术
随着5G和移动互联网技术的发展，移动设备将会大量出现在数控系统及智能制造车间，由于移动设备的IP经常变化，这为设备的识别和控制带来困难。此外，工业生产环境中移动网络设备通常采用嵌入式系统，其运算能力、存储容量、通信带宽均受到限制，在嵌入式设备上实现安全通信协议存在一定技术难度。
在传统数控设备无线联网中，由于IP地址经常变化，移动设备的识别和管理具有难度。并且由于通信方式的缺陷，DDOS攻击，中间人攻击难以防范，无法为两端设备的无线通信提供安全保障。
在传统通信中，IP地址扮演两种身份，一种标识主机的身份，另一种标识节点在网络中的位置。这样当主机在网络中移动时，作为主机标识，IP不应该改变，而作为网络位置标识，IP应该改变。目前采用的方法是引入家乡地址和转交地址，家乡地址用来标识主机身份，转交地址用来标识移动主机的身份，随着移动设备的变化，家乡地址和转交地址的绑定也不断变化，这种IP地址的管理方式消耗资源较大且不易管理。并且这种绑定方式并没有进行安全认证，对于DDOS攻击，中间人攻击的防御力较差。
通过上述分析，现有技术存在的问题及缺陷为：现有无线联网通信方法移动设备的识别和管理具有难度，难以防范DDOS攻击、中间人攻击，无法为两端设备的无线通信提供安全保障。
解决以上问题及缺陷的难度为：基于主机标识的安全通信协议要与数控设备相结合，具有抵御DDOS攻击和中间人攻击的能力并在实际的生产设备上加以使用，协议的设计和与数控设备的兼容性是本发明的难点。
解决以上问题及缺陷的意义为：解决以上问题能够更好地管理数控系统中连入的移动设备，解决了IP地址的二用问题，能够抵御DDOS攻击、中间人攻击，为端到端的通信提供安全保障，在数控系统的生产过程中具有实际意义。
发明内容
针对现有技术存在的问题，本发明提供了一种数控系统移动设备无线安全联网技术。
本发明是这样实现的，一种数控系统移动设备无线安全通信方法，包括：
步骤一，发起端和响应端共同约定素数p和整数g，发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端收到发起端的连接请求后，选取大的随机数a，并计算X＝ga(mod p)形成Diffie-Hellman参数。构建puzzle谜题，Diffie-Hellman参数，与数字签名，发送端和响应端的HIT相结合形成报文R1，报文生成后向发起端发送报文R1；
步骤二，发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；解答响应端生成的的puzzle谜题，选取大的随机数b，并计算Y＝gb(mod p)形成Diffie-Hellman参数。并将谜题解答，发送端和响应端的HIT，Diffie-Hellman参数，和数字签名相结合生成报文I2，报文生成后向响应端发送报文I2；
步骤三，响应端向发起端发送报文R2；R2中包含发送端和响应端的HIT，响应端的数字签名，用来通知发送端收到了全部信息。
步骤四，发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie-Hellman密钥交换计算工作密钥。Diffie-Hellman密钥交换计算如下：对于发起端，利用步骤二中的Diffie-Hellman参数Y，计算k1＝Ya(mod P)得到工作密钥k1；对于响应端，利用步骤一中的Diffie-Hellman参数X，计算k2＝Yb(mod P)得到工作密钥k2；根据Diffie-Hellman密钥交换算法的性质，k1与k2相等。
进一步，步骤一中，所述HIT为设备自身HI公钥经过hash处理后的128bit值。
进一步，步骤一中，所述报文R1内容包括：发起端和响应端的HIT、Puzzle谜题、Diffie-Hellman密钥交换参数、对整体数据的签名以及响应端的签名证书。
进一步，所述Puzzle谜题包括：响应端提供难度系数K，随机数I，使用的hash算法为SHA-1，SHA-1算法首先对其进行分组，使得每一组的长度为512位，然后对这些明文分组反复重复处理。
具体对于每个明文分组的摘要生成过程如下：
(1)将512位的明文分组划分为16个子明文分组，每个子明文分组为32位。
(2)申请5个32位的链接变量，记为A、B、C、D、E。
(3)16份子明文分组扩展为80份。扩充方法如下：16份子明文分组记为M[k](k＝0,1,……15)，80份子明文分组记为W[k](k＝0,1,……79)
Wt＝Mt,0≤t≤15
Wt＝(Wt-3⊕Wt-8⊕Wt-14⊕Wt-16)<<<1,16≤t≤79
(4)80份子明文分组进行4轮运算。运算方法如下：
A,B,C,D,E←[(A<<<5)+ft(B,C,D)+E+Wt+Kt],A,(B<<<30),C,D
其中ft(B,C,D)为逻辑函数，Wt为子明文分组W[t]，Kt为固定常数。
首先将[(A<<<5)+ft(B,C,D)+E+Wt+Kt]的结果赋值给链接变量A，之后将链接变量A初始值赋值给链接变量B，之后将链接变量B初始值循环左移30位赋值给链接变量C，之后将链接变量C初始值赋值给链接变量D，最后将链接变量D初始值赋值给链接变量E。
(5)链接变量与初始链接变量进行求和运算。
(6)链接变量作为下一个明文分组的输入重复进行(1)～(5)操作。
(7)最后，5个链接变量里面的数据就是SHA1摘要。
发起端通过将I，发起端HIT，随机数J连成数G，并对G进行hash运算，最后K比特都是0即可得到谜题解答J。
进一步，步骤二中，所述报文I2内容包括发送端和响应端的HIT、Puzzle谜题的解答、Diffie-Hellman密钥交换参数、对整体数据的签名以及发送端的签名证书。
进一步，步骤三中，所述报文R2内容包括发起端和响应端的HIT、对整体数据的签名以及响应端的签名证书。
进一步，所述数字签名证书在设备联网注册时由数控机床网络化平台颁发，并配置设备自己的公钥和私钥。
进一步，步骤四中，所述安全通道使用Ipsec协议中的ESP包封装技术进行建立，ESP协议内容包括：安全参数索引SPI，序列号，报文有效载荷，填充项，填充长度，下一个协议头类型，验证数据。其中SPI参数为响应端或发起端在步骤二和步骤三中自主创建，用来标识响应端向发起端或发起端向响应端这一特定方向的安全链接。
本发明的另一目的在于提供一种实施所述数控系统移动设备无线安全通信方法的数控系统移动设备无线安全通信系统，所述数控系统移动设备无线安全通信系统包括：
协议转换模块，用于将PLC的数据用数控安全通信协议包装，将原始通信协议转换为数控安全通信协议，令数控设备以无线的方式连入智能化网络平台中；
无线通信模块，用于进行数据的传输通信，接收数据并对接收的数据进行协议翻译，再与PLC通信；用于建立连接通道传输数据，进行远程操纵机床设备，对远程设备进行调试、跟踪、下载；
日志审计模块，用于通过日志记录系统操作、通信协商过程、通信行为；并进行日志查询；同时用于记录通信过程的细节，排查存在的问题；
工业防火墙，用于截获危险的数据包，对危险的数据包解析并清除；或用于人为配置防火墙的参数信息，具体截获某IP地址传来的数据包；
联网认证模块，用于在接入无线的时候认证身份信息；
数据加密模块，用于利用多种加密算法对PLC原始数据进行加密；同时用于对接收的数据进行解密；
系统配置管理模块，用于人工配置系统以及协议的相关信息；
设备注册模块，用于在设备接入机床系统时赋予正确的身份以及数字签名证书，在智能化网络平台中添加注册的数据。
进一步，所述数控系统移动设备进一步包括：
发起端，用于向响应端发送包括主机标识HIT的报文I1；响应端向发起端发送报文R1；还用于收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
响应端，还用于向发起端发送报文R2；
所述数控系统移动设备包括但不限于AGV小车，手机，平板电脑等接入数控系统的设备。
进一步，所述数控系统无线安全通信模块包括：
1个10/100M自适应工业以太网通讯接口，2个RS232/485串行通讯接口、1路WIFI无线接口、大容量SD存储、RTC及硬件加密电路。其中RS232/485串行通讯接口与数控移动设备相连接，Crypto用于报文的加密，SD用于存放处理报文需要的数据，RTC用于提供精确的实时时间，WIFI无线接口用于接受数控平台提供的wifi信号。
本发明的另一目的在于提供一种接收用户输入程序存储介质，所存储的计算机程序使电子设备执行所述数控系统移动设备无线安全通信方法，包括：
步骤1，发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端向发起端发送报文R1；
步骤2，发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
步骤3，响应端向发起端发送报文R2；
步骤4，发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie-Hellman密钥交换计算工作密钥。
本发明的另一目的在于提供一种存储在计算机可读介质上的计算机程序产品，包括计算机可读程序，供于电子装置上执行时，提供用户输入接口以实施所述数控系统移动设备无线安全通信方法所述的方法。
结合上述的所有技术方案，本发明所具备的优点及积极效果为：
本发明通过研发适合PLC系统使用的无线安全通信模块，为PLC设备与无线上位机之间提供端到端通信安全保障，消除无线路由器被入侵所造成的数据通信安全问题。本发明为数控系统无线设备提供了一种更加安全便捷的无线通信思路，具有良好的安全性能和应用前景。
本发明提出了一种能够便于IP管理，能够抵抗DDOS攻击，抵抗中间人攻击，将应用层和IP层的通信标识进行区别，能够为终端设备通信提供安全保障的数控系统移动设备无线安全联网技术。
本发明提供了一种数控设备无线联网的网络接口，通过无线安全通信模块的实现，数控设备能够抛弃原有串口，在无线平台使用安全通信协议进行工作，使移动设备能够更加方便的管理。
本发明为两端的通信提供抗DDOS攻击的能力，主要体现在两个方面：一方面在响应者回复发起者的第一个报文中，不进行公钥计算，减少使用Diffie-Hellman计算带来的资源消耗。另一方面使用Puzzle谜题增加发起者的计算量，而响应者验证谜题耗费的资源远小于发起者解除谜题耗费的资源。在Puzzle机制下，大量伪造协商报文的攻击者无法为每个Puzzle给出正确的解答，从而延缓僵尸主机的攻击，降低DDOS攻击的强度。
本发明为两端的通信提供抗中间人攻击的能力，在Diffie-Hellman三步密钥交换的过程中，每次报文均会带有发起方的数字签名和智能化网络平台颁发的数字签名证书。接收方可以通过证书来查看发起方的公钥是否正确，在用得到的公钥验证发起方的签名即可判定发起方的身份，从而防止中间人攻击。
本发明提供对远程设备进行调试、跟踪、下载的能力，提供查询通信协商以及设备操作日志的功能。能够使操作者远程操控设备，对出现的问题能够及时的审查更正。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图做简单的介绍，显而易见地，下面所描述的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的数控系统移动设备无线安全通信方法流程图。
图2是本发明实施例提供的数控系统移动设备无线安全通信方法原理图。
图3是本发明实施例提供的数控系统移动设备无线安全通信系统结构示意图；
图中：1、协议转换模块；2、无线通信模块；3、日志审计模块；4、工业防火墙；5、联网认证模块；6、数据加密模块；7、系统配置管理模块；8、设备注册模块。
图4是本发明实施例提供的数控系统移动设备无线安全通信系统原理图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种数控系统移动设备无线安全联网技术，下面结合附图对本发明作详细的描述。
如图1-图2所示，本发明实施例提供的数控系统移动设备无线安全通信方法包括：
S101，发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端向发起端发送报文R1；
S102，发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
S103，响应端向发起端发送报文R2；
S104，发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie-Hellman密钥交换计算工作密钥。
步骤S101中，本发明实施例提供的HIT为设备自身HI公钥经过hash处理后的128bit值。
步骤S101中，本发明实施例提供的报文R1内容包括：发起端和响应端的HIT、Puzzle谜题、Diffie-Hellman密钥交换参数、对整体数据的签名以及响应端的签名证书。
本发明实施例提供的Puzzle谜题包括：响应端提供难度系数K，随机数I，使用的hash算法为sha-1，发起端通过将I，发起端HIT，随机数J连成数G，并对G进行hash运算，最后K比特都是0得到谜题解答J。
步骤S102中，本发明实施例提供的报文I2内容包括发送端和响应端的HIT、Puzzle谜题的解答、Diffie-Hellman密钥交换参数、对整体数据的签名以及发送端的签名证书。
步骤S103中，本发明实施例提供的报文R2内容包括发起端和响应端的HIT、对整体数据的签名以及响应端的签名证书。
本发明实施例提供的数字签名证书在设备联网注册时由数控机床网络化平台颁发，并配置设备自己的公钥和私钥。
步骤S104中，本发明实施例提供的安全通道建立方法包括：使用Ipsec协议中的ESP包封装技术，配置发起端和接收端的密钥参数和安全索引参数SPI进行运行。
如图3-图4所示，本发明实施例提供的数控系统移动设备无线安全通信系统包括：
协议转换模块1，用于将PLC的数据用数控安全通信协议包装，将原始通信协议转换为数控安全通信协议，令数控设备以无线的方式连入智能化网络平台中；
无线通信模块2，用于进行数据的传输通信，接收数据并对接收的数据进行协议翻译，再与PLC通信；用于建立连接通道传输数据，进行远程操纵机床设备，对远程设备进行调试、跟踪、下载；
日志审计模块3，用于通过日志记录系统操作、通信协商过程、通信行为；并进行日志查询；同时用于记录通信过程的细节，排查存在的问题；
工业防火墙4，用于截获危险的数据包，对危险的数据包解析并清除；或用于人为配置防火墙的参数信息，具体截获某IP地址传来的数据包；
联网认证模块5，用于在接入无线的时候认证身份信息；
数据加密模块6，用于利用多种加密算法对PLC原始数据进行加密；同时用于对接收的数据进行解密；
系统配置管理模块7，用于人工配置系统以及协议的相关信息；
设备注册模块8，用于在设备接入机床系统时赋予正确的身份以及数字签名证书，在智能化网络平台中添加注册的数据。
本发明实施例提供的数控系统移动设备无线安全通信系统包括以下硬件：
所述数控系统移动设备进一步包括：
发起端，用于向响应端发送包括主机标识HIT的报文I1；响应端向发起端发送报文R1；还用于收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
响应端，还用于向发起端发送报文R2；
1个10/100M自适应工业以太网通讯接口，2个RS232/485串行通讯接口、1路WIFI无线接口、大容量SD存储、RTC及硬件加密电路。
下面结合具体实施例对本发明的技术方案作进一步说明。
实施例：
安全无线通信模块在硬件上包括1个10/100M自适应工业以太网通讯接口，2个RS232/485串行通讯接口、1路WIFI无线接口、大容量SD存储、RTC及硬件加密电路。
安全无线通信模块在软件上实现数控安全通信协议网关，包含以下接口和模块：
协议转换模块：将原始数控通信协议转换为数控安全通信协议，使数控设备能以无线的方式连入智能化网络平台中。
防火墙模块：能够对危险的数据包解析并清除，也可人为配置防火墙的参数信息，具体截获某IP地址传来的包。
联网认证模块：能够在接入无线的时候认证身份信息，只有在智能化网络平台注册的设备才能通过认证，为恶意攻击提供第一道保障。
数据加密模块：提供对数据的加密功能，加密模块中包含多种加密算法，能够对发出的数据包加密，对接收的数据包解密。
无线通信模块：能够建立连接通道传输数据，通过此模块能够远程操纵机床设备，进行调试，跟踪，下载。
日志审计模块：能够记录系统操作、通信协商过程、通信行为，提供查询功能。日志审计模块能够记录通信过程的细节，对存在的问题排查。
系统配置管理模块：能够人工配置系统以及协议的相关信息。
设备注册模块：能够在设备接入机床系统时赋予正确的身份以及数字签名证书，在智能化网络平台中添加注册的数据。
本发明设计了一种数控系统无线安全通信协议，包括如下步骤：
步骤一：发起端向响应端发送报文I1，内容包括发起端和响应端的HIT，HIT为主机标识，是设备自身HI公钥经过hash处理后的128bit值。
步骤二：响应端向发起端发送报文R1，内容包括发起端和响应端的HIT，Puzzle谜题，Diffie-Hellman密钥交换参数，对整体数据的签名以及响应端的签名证书。
步骤三：发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证。发送端向响应端发送报文I2，内容包括发送端和响应端的HIT，Puzzle谜题的解答，Diffie-Hellman密钥交换参数，对整体数据的签名以及发送端的签名证书。
步骤四：响应端向发起端发送报文R2，内容包括发起端和响应端的HIT，对整体数据的签名以及响应端的签名证书。
步骤五：发起端和响应端建立安全连接通道，工作密钥通过前4步的Diffie-Hellman密钥交换计算出。
在以上实施方式中，puzzle谜题响应端需提供难度系数K，随机数I，使用的hash算法为sha-1，发起端通过将I，发起端HIT，随机数J连成数G，然后对G进行hash运算，最后K比特都是0得到谜题解答J。
在以上实施方式中，设备联网注册时由数控机床网络化平台颁发数字签名证书，并配置设备自己的公钥和私钥。安全通道建立需要使用Ipsec协议中的ESP包封装技术，配置发起端和接收端的密钥参数和安全索引参数SPI进行运行。
在以上实施方式中，为了加快对I1报文的响应，响应端可以在发起端建立连接请求之前预先产生一些R1报文，这些预先产生的R1报文中填写发起端的HIT，puzzle谜题等信息，在接受到I1报文时能够及时补充信息进行回应。
在以上实施方式中，为了防止发送端伪造puzzle谜题解答，响应端需要使用cookie机制，存放发送原谜题的各个参数以及发送端的信息，在接收到谜题解答的时候能够验证谜题来源的正确性。
在本实施例的实施方法中，响应者回复发起者的第一个报文不进行公钥计算，减少使用Diffie-Hellman计算带来的资源消耗。并且使用Puzzle谜题增加发起者的计算量，而响应者验证谜题耗费的资源远小于发起者解除谜题耗费的资源。在Puzzle机制下，大量伪造协商报文的攻击者无法为每个Puzzle给出正确的解答，从而延缓僵尸主机的攻击，降低DDOS攻击的强度。
在本实施例的实施方法中，在Diffie-Hellman三步密钥交换的过程中，每次报文均会带有发起方的数字签名和智能化网络平台颁发的数字签名证书。接收方可以通过证书来查看发起方的公钥是否正确，在用得到的公钥验证发起方的签名即可判定发起方的身份，从而防止中间人攻击。
在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上；术语“上”、“下”、“左”、“右”、“内”、“外”、“前端”、“后端”、“头部”、“尾部”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”等仅用于描述目的，而不能理解为指示或暗示相对重要性。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种数控系统移动设备无线安全通信方法，其特征在于，所述数控系统移动设备无线安全通信方法包括：
步骤一，发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端向发起端发送报文R1；
步骤二，发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
步骤三，响应端向发起端发送报文R2；R2中包含发送端和响应端的HIT，响应端的数字签名，用来通知发送端收到全部信息；
步骤四，发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie-Hellman密钥交换计算工作密钥。
2.如权利要求1所述数控系统移动设备无线安全通信方法，其特征在于，所述步骤一具体包括：发起端和响应端共同约定素数p和整数g，发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端收到发起端的连接请求后，选取大的随机数a，并计算X＝ga(mod p)形成Diffie-Hellman参数；构建puzzle谜题，Diffie-Hellman参数，与数字签名，发送端和响应端的HIT相结合形成报文R1，报文生成后向发起端发送报文R1。
3.如权利要求1所述数控系统移动设备无线安全通信方法，其特征在于，所述步骤一中，HIT为设备自身HI公钥经过hash处理后的128bit值；
所述报文R1内容包括：发起端和响应端的HIT、Puzzle谜题、Diffie-Hellman密钥交换参数、对整体数据的签名以及响应端的签名证书。
所述Puzzle谜题包括：响应端提供难度系数K，随机数I，使用的hash算法为sha-1，发起端通过将I，发起端HIT，随机数J连成数G，并对G进行hash运算，最后K比特都是0得到谜题解答J。
4.如权利要求1所述数控系统移动设备无线安全通信方法，其特征在于，所述步骤二具体包括：发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；解答响应端生成的的puzzle谜题，选取大的随机数b，并计算Y＝gb(mod p)形成Diffie-Hellman参数。并将谜题解答，发送端和响应端的HIT，Diffie-Hellman参数，和数字签名相结合生成报文I2，报文生成后向响应端发送报文I2；
所述报文I2内容包括发送端和响应端的HIT、Puzzle谜题的解答、Diffie-Hellman密钥交换参数、对整体数据的签名以及发送端的签名证书。
5.如权利要求1所述数控系统移动设备无线安全通信方法，其特征在于，
步骤三中，所述报文R2内容包括发起端和响应端的HIT、对整体数据的签名以及响应端的签名证书；所述数字签名证书在设备联网注册时由数控机床网络化平台颁发，并配置设备自己的公钥和私钥。
6.如权利要求1所述数控系统移动设备无线安全通信方法，其特征在于，所述步骤四具体包括：发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie-Hellman密钥交换计算工作密钥。Diffie-Hellman密钥交换计算如下：对于发起端，利用步骤二中的Diffie-Hellman参数Y，计算k1＝Ya(mod P)得到工作密钥k1；对于响应端，利用步骤一中的Diffie-Hellman参数X，计算k2＝Yb(mod P)得到工作密钥k2；根据Diffie-Hellman密钥交换算法的性质，k1与k2相等；
所述安全通道建立方法包括：使用Ipsec协议中的ESP包封装技术，配置发起端和接收端的密钥参数和安全索引参数SPI进行运行。
7.一种数控系统移动设备，其特征在于，所述数控系统移动设备包括：
协议转换模块，用于将PLC的数据用数控安全通信协议包装，将原始通信协议转换为数控安全通信协议，令数控设备以无线的方式连入智能化网络平台中；
无线通信模块，用于进行数据的传输通信，接收数据并对接收的数据进行协议翻译，再与PLC通信；用于建立连接通道传输数据，进行远程操纵机床设备，对远程设备进行调试、跟踪、下载；
日志审计模块，用于通过日志记录系统操作、通信协商过程、通信行为；并进行日志查询；同时用于记录通信过程的细节，排查存在的问题；
工业防火墙，用于截获危险的数据包，对危险的数据包解析并清除；或用于人为配置防火墙的参数信息，具体截获某IP地址传来的数据包；
联网认证模块，用于在接入无线的时候认证身份信息；
数据加密模块，用于利用多种加密算法对PLC原始数据进行加密；同时用于对接收的数据进行解密；
系统配置管理模块，用于人工配置系统以及协议的相关信息；
设备注册模块，用于在设备接入机床系统时赋予正确的身份以及数字签名证书，在智能化网络平台中添加注册的数据。
8.如权利要求7所述数控系统移动设备，其特征在于，所述数控系统移动设备进一步包括：
发起端，用于向响应端发送包括主机标识HIT的报文I1；响应端向发起端发送报文R1；还用于收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
响应端，还用于向发起端发送报文R2；
用于通讯的自适应工业以太网通讯接口、串行通讯接口、WIFI无线接口、大容量SD存储、RTC及硬件加密电路。
9.一种接收用户输入程序存储介质，所存储的计算机程序使电子设备执行权利要求1-6任意一项所述数控系统移动设备无线安全通信方法，包括：
步骤1，发起端向响应端发送包括发起端和响应端的主机标识HIT的报文I1；响应端向发起端发送报文R1；
步骤2，发起端收到报文后，通过数字签名和数字证书对响应端身份进行认证；发送端向响应端发送报文I2；
步骤3，响应端向发起端发送报文R2；
步骤4，发起端和响应端建立安全连接通道，并通过步骤一至步骤三的Diffie-Hellman密钥交换计算工作密钥。
10.一种存储在计算机可读介质上的计算机程序产品，包括计算机可读程序，供于电子装置上执行时，提供用户输入接口以实施如权利要求1-6任意一项所述数控系统移动设备无线安全通信方法所述的方法。
CN202010622720.7A 2020-07-01 2020-07-01 一种数控系统移动设备无线安全联网技术 Pending CN111818527A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010622720.7A CN111818527A (zh) 2020-07-01 2020-07-01 一种数控系统移动设备无线安全联网技术

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010622720.7A CN111818527A (zh) 2020-07-01 2020-07-01 一种数控系统移动设备无线安全联网技术

Publications (1)

Publication Number Publication Date
CN111818527A true CN111818527A (zh) 2020-10-23

Family

ID=72855964

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010622720.7A Pending CN111818527A (zh) 2020-07-01 2020-07-01 一种数控系统移动设备无线安全联网技术

Country Status (1)

Country Link
CN (1) CN111818527A (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113194472A (zh) * 2021-03-31 2021-07-30 新华三技术有限公司成都分公司 Agv无线接入方法及车载设备、网络设备、存储介质
CN114745106A (zh) * 2022-03-22 2022-07-12 北京大想智能科技有限公司 控制密码的生成方法、解锁方法、电子设备和存储介质
CN115987688A (zh) * 2023-03-20 2023-04-18 北京网藤科技有限公司 一种保障plc和上位机之间安全通信的方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080195865A1 (en) * 2005-06-17 2008-08-14 Pekka Nikander Host Identity Protocol Method and Apparatus
CN101667916A (zh) * 2009-09-28 2010-03-10 北京交通大学 一种基于分离映射网络使用数字证书验证用户身份的方法
US20150067329A1 (en) * 2012-03-27 2015-03-05 Commissariat A L'energie Atomique Et Aux Energies Alternatives Method and system for establishing a session key
CN104506534A (zh) * 2014-12-25 2015-04-08 青岛微智慧信息有限公司 安全通信密钥协商交互方案

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080195865A1 (en) * 2005-06-17 2008-08-14 Pekka Nikander Host Identity Protocol Method and Apparatus
CN101667916A (zh) * 2009-09-28 2010-03-10 北京交通大学 一种基于分离映射网络使用数字证书验证用户身份的方法
US20150067329A1 (en) * 2012-03-27 2015-03-05 Commissariat A L'energie Atomique Et Aux Energies Alternatives Method and system for establishing a session key
CN104506534A (zh) * 2014-12-25 2015-04-08 青岛微智慧信息有限公司 安全通信密钥协商交互方案

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
王阳: "扩展DNS实现主机标识协议的研究", 《中国优秀硕士学位论文全文数据库(电子期刊)》 *
赵英: "利用PKI扩展主机标识协议", 《通信技术》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113194472A (zh) * 2021-03-31 2021-07-30 新华三技术有限公司成都分公司 Agv无线接入方法及车载设备、网络设备、存储介质
CN113194472B (zh) * 2021-03-31 2023-03-31 新华三技术有限公司成都分公司 Agv无线接入方法及车载设备、网络设备、存储介质
CN114745106A (zh) * 2022-03-22 2022-07-12 北京大想智能科技有限公司 控制密码的生成方法、解锁方法、电子设备和存储介质
CN115987688A (zh) * 2023-03-20 2023-04-18 北京网藤科技有限公司 一种保障plc和上位机之间安全通信的方法及系统

Similar Documents

Publication Publication Date Title
CN110377002B (zh) 一种自适应的车内can总线安全控制方法及系统
CN108650227B (zh) 基于数据报安全传输协议的握手方法及系统
CN111818527A (zh) 一种数控系统移动设备无线安全联网技术
CN109756877B (zh) 一种海量NB-IoT设备的抗量子快速认证与数据传输方法
CN104917605B (zh) 一种终端设备切换时密钥协商的方法和设备
CN104219217A (zh) 安全关联协商方法、设备和系统
Naoui et al. Trusted third party based key management for enhancing LoRaWAN security
CN113300836B (zh) 一种基于区块链和ecc的车载网络报文认证方法及系统
CN110247803B (zh) 一种针对网络管理协议SNMPv3的协议优化架构及其方法
CN103118363A (zh) 一种互传秘密信息的方法、系统、终端设备及平台设备
CN112235107A (zh) 一种数据传输方法、装置、设备和存储介质
CN111756528B (zh) 一种量子会话密钥分发方法、装置及通信架构
CN112422560A (zh) 基于安全套接层的轻量级变电站安全通信方法及系统
CN103188080A (zh) 一种基于身份标识的端到端的密钥认证协商方法及系统
CN112769568B (zh) 雾计算环境中的安全认证通信系统、方法、物联网设备
CN113452660A (zh) 网状网络与云端服务器的通信方法、网状网络系统及其节点装置
CN113572766A (zh) 电力数据传输方法和系统
Bideh et al. Energy consumption for securing lightweight IoT protocols
KR20240112239A (ko) 양자 기술 기반 가상 사설망의 보안 세션 연결 방법, 장치 및 시스템
CN115242392A (zh) 基于安全传输协议实现工业信息安全传输的方法及系统
CN102209066B (zh) 网络认证的方法和设备
CN107104888B (zh) 一种安全的即时通信方法
EP1623527A1 (en) A process for secure communication over a wireless network, related network and computer program product
Pesavento et al. PION: Password-based IoT onboarding over named data networking
CN110177116B (zh) 智融标识网络的安全数据传输方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20201023