CN113259315B - 一种适用于配电网的通信报文安全防护方法及系统 - Google Patents

一种适用于配电网的通信报文安全防护方法及系统 Download PDF

Info

Publication number
CN113259315B
CN113259315B CN202110356704.2A CN202110356704A CN113259315B CN 113259315 B CN113259315 B CN 113259315B CN 202110356704 A CN202110356704 A CN 202110356704A CN 113259315 B CN113259315 B CN 113259315B
Authority
CN
China
Prior art keywords
key
message
terminal
determining
data integrity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110356704.2A
Other languages
English (en)
Other versions
CN113259315A (zh
Inventor
刘海涛
李玉凌
李二霞
杨红磊
亢超群
何连杰
吕广宪
孙智涛
王利
张波
樊勇华
许保平
韩子龙
吴殿亮
方恒福
周勐
宋祺鹏
刘永梅
刘芸杉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Online Shanghai Energy Internet Research Institute Co ltd
State Grid Corp of China SGCC
Original Assignee
China Online Shanghai Energy Internet Research Institute Co ltd
State Grid Corp of China SGCC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Online Shanghai Energy Internet Research Institute Co ltd, State Grid Corp of China SGCC filed Critical China Online Shanghai Energy Internet Research Institute Co ltd
Priority to CN202110356704.2A priority Critical patent/CN113259315B/zh
Publication of CN113259315A publication Critical patent/CN113259315A/zh
Application granted granted Critical
Publication of CN113259315B publication Critical patent/CN113259315B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)

Abstract

本申请公开了一种适用于配电网的通信报文安全防护系统。其中，该方法包括：在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；通过现场终端密钥配置工具对所述安全模块进行更新与恢复。

Description

一种适用于配电网的通信报文安全防护方法及系统
技术领域
本申请涉及电力系统技术领域，特别是涉及一种适用于配电网的通信报文安全防护方法及系统。
背景技术
2017年国网电网公司颁发了《配电自动化系统网络安全防护方案》，提出了基于国产商用密码算法的“双向身份认证+业务数据加密”的新一代配电自动化系统安全防护体系，从配电主站、配电终端、系统边界及通信通道等方面提升了配电自动化系统的整体安全防护水平。然而，该防护方案未对现场终端之间横向通信的业务数据提出明确防护要求。
随着配电网供电可靠性要求的提高，智能分布式馈线自动化、配电网自愈控制等就地型故障处理模式逐渐得到广泛应用，现场采用故障就地处理模式的终端设备部署于户外，安全防护措施相对薄弱，存在伪冒终端接入并发送虚假信息、数据篡改、重放攻击等网络安全风险，可能会导致故障处理发生异常情况，影响配电系统对用户的安全可靠供电。
针对上述的现有技术中存在的现场采用故障就地处理模式的终端设备部署于户外，安全防护措施相对薄弱，存在伪冒终端接入并发送虚假信息、数据篡改、重放攻击等网络安全风险，可能会导致故障处理发生异常情况，影响配电系统对用户的安全可靠供电的技术问题，目前尚未提出有效的解决方案。
发明内容
本公开的实施例提供了一种适用于配电网的通信报文安全防护方法及系统，以至少解决现有技术中存在的现场采用故障就地处理模式的终端设备部署于户外，安全防护措施相对薄弱，存在伪冒终端接入并发送虚假信息、数据篡改、重放攻击等网络安全风险，可能会导致故障处理发生异常情况，影响配电系统对用户的安全可靠供电的技术问题。
根据本公开实施例的一个方面，提供了一种适用于配电网的通信报文安全防护方法，包括：在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；通过现场终端密钥配置工具对所述安全模块进行更新与恢复。
根据本公开实施例的另一方面，还提供了一种适用于配电网的通信报文安全防护系统，包括：确定密钥模块，用于在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；横向通信模块，用于根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；判定重放报文模块，用于判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；更新恢复模块，用于通过现场终端密钥配置工具对所述安全模块进行更新与恢复。
在本发明中，采用商用密码算法和安全模块的现场终端横向通信防护方案，可有效防止伪冒终端接入以及配电网故障就地处理业务数据被伪造、篡改、重放等安全隐患的发生，避免因黑客攻击导致异常停电事故，同时确保了正常业务的实时性和稳定性，为推动智能分布式馈线自动化、自愈控制等故障就地处理业务的安全可靠应用奠定了技术基础。
附图说明
此处所说明的附图用来提供对本公开的进一步理解，构成本申请的一部分，本公开的示意性实施例及其说明用于解释本公开，并不构成对本公开的不当限定。在附图中：
图1是根据本公开实施例所述的一种适用于配电网的通信报文安全防护方法的流程示意图；
图2是根据本公开实施例所述的报文的示意图；
图3是根据本公开实施例所述的一种适用于配电网的通信报文安全防护系统的示意图。
具体实施方式
现在参考附图介绍本发明的示例性实施方式，然而，本发明可以用许多不同的形式来实施，并且不局限于此处描述的实施例，提供这些实施例是为了详尽地且完全地公开本发明，并且向所属技术领域的技术人员充分传达本发明的范围。对于表示在附图中的示例性实施方式中的术语并不是对本发明的限定。在附图中，相同的单元/元件使用相同的附图标记。
除非另有说明，此处使用的术语(包括科技术语)对所属技术领域的技术人员具有通常的理解含义。另外，可以理解的是，以通常使用的词典限定的术语，应当被理解为与其相关领域的语境具有一致的含义，而不应该被理解为理想化的或过于正式的意义。
根据本实施例的第一个方面，提供了一种适用于配电网的通信报文安全防护方法。参考图1所示，该方法包括：
S102:在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；
S104:根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；
S106:判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；
S108:通过现场终端密钥配置工具对所述安全模块进行更新与恢复。
具体地，参考图2所示，本实施例，包括密钥配置方法、身份鉴别与数据完整性验证方法、抗重放攻击方法、密钥更新与恢复方法。
(1)密钥配置方法
现场终端内嵌安全模块，安全模块与终端主控芯片之间具备智能分布式馈线自动化专用的SPI接口，时钟频率达40MHz。每颗安全模块中配置的密钥包括主控密钥K0、数据完整性计算密钥K1、数据完整性校验密钥K2,所用加密算法为国密SM1算法。其中，K0为更新安全模块中所有密钥时的保护密钥；K1的使用权限为计算消息认证码、对称加密；K2的使用权限为验证消息认证码、对称解密。每颗安全模块中预置的K2和K1是父子关系，子密钥为父密钥通过设备唯一标识进行分散的结果。同一应用区域内的终端安全模块中K2的值相同。
(2)身份鉴别与数据完整性验证方法
现场终端之间横向通信协议采用GOOSE协议，通信网络采用工业光纤以太网。
1)每台终端具备唯一的网口MAC通信地址及设备唯一标识，两者在终端配置文件中进行绑定，即现场终端Tn的MAC地址ADDRn与其设备唯一标识SNn进行绑定。每台终端的配置文件中应包括本终端及相邻终端的MAC地址与设备唯一标识的关联信息。
2)现场终端T1发送GOOSE报文时将其网口物理地址ADDR1作为源MAC地址，目的MAC地址设为组播地址(01:0C:CD:01:00:01)，约定16字节全零数据为计算消息认证码的初始向量IV0，利用密钥K1对业务报文M1进行消息认证码计算得到MAC1，将{M1+MAC1}以组播方式发送至其他终端。
3)其他终端Tx(x≠1)接收到报文后，首先查询报文中源MAC地址ADDR1是否存在于终端配置文件的订阅列表中，若订阅列表中无ADDR1，则丢弃该报文；若包含ADDR1，则找到与之匹配的设备唯一标识SN1，然后以SN1为分散因子，以IV0为验证消息认证码的初始向量，利用密钥K2对{M1+MAC1}进行消息认证码验证操作。若验证成功，则表示发送报文的终端为合法终端，且数据未被篡改；若验证失败，则表示该终端为伪冒终端或报文已被篡改、损坏，报文M1应丢弃。
4)当某台终端Tm报废后，其他终端应更新相关配置文件，配置文件中应删除ADDRm与SNm的关联信息。
(3)抗重放攻击方法
1)现场终端T1发送的第n帧GOOSE报文Mn中包括时间戳Tn及报文序号Sn信息，约定16字节全零数据为计算消息认证码的初始向量IV0，利用密钥K1对业务报文Mn进行消息认证码计算得到MACn，将{Mn+MACn}以组播方式发送至其他终端。
2)其他终端Tx(x≠1)接收到报文后，从终端配置文件的订阅列表中进行MAC地址筛选操作，若找到与报文中源MAC地址ADDR1相匹配的记录及其设备唯一标识SN1，则以SN1为分散因子，以IV0为验证消息认证码的向量，利用密钥K2对{Mn+MACn}进行消息认证码验证操作。若验证失败，则丢弃该报文；若验证成功，则将报文Mn中的Tn、Sn与T1发送的上一帧报文Mn-1中的进行对比，如果完全相同则说明Mn为重放的报文，接收方应将之丢弃不予处理。
(4)密钥更新与恢复方法
现场终端密钥配置工具的USB Key中预置的密钥包括正式保护密钥KP1、正式业务密钥KB1、测试保护密钥KP0、测试业务密钥KB0。密钥更新步骤如下：
1)现场终端密钥配置工具向终端发送取密钥版本号、设备唯一标识指令；
2)终端从安全模块中读取密钥版本号(假设值为0)，并获取随机数R、设备唯一标识SN，返回给密钥配置工具；
3)密钥配置工具以设备唯一标识SN为分散因子，对KP0进行一次分散操作得到保护导出传输密钥K′P0，然后以随机数R为计算消息认证码的初始向量，分别以分散次数{1,1,0}导出{KP1,KB1,KB1}得到3套密钥密文和消息认证码{EK'P1+MACK0,EK'B1+MACK1,EKB1+MACK2}，并将其发送给现场终端；现场终端将{EK'P1+MACK0,EK'B1+MACK1,EKB1+MACK2}导入安全模块，完成索引为0,1,2的3条密钥的更新操作。
从而，采用商用密码算法和安全模块的现场终端横向通信防护方案，可有效防止伪冒终端接入以及配电网故障就地处理业务数据被伪造、篡改、重放等安全隐患的发生，避免因黑客攻击导致异常停电事故，同时确保了正常业务的实时性和稳定性，为推动智能分布式馈线自动化、自愈控制等故障就地处理业务的安全可靠应用奠定了技术基础。
可选地，在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥，包括：确定所述安全模块的加密算法为SM1算法、国密SM4算法或国密SM7算法；确定所述主控密钥为经过更新的安全模块中的所有密钥时的保护密钥；确定所述数据完整性计算密钥的使用权限为计算消息认证和对称加密；确定所述数据完整性校验密钥的使用权限为验证消息认证码以及对称解密。
可选地，所述数据完整性校验密钥和所述数据完整性计算密钥是父子关系，所述数据完整性校验密钥为父密钥，所述数据完整性计算密钥为子密钥，所述子密钥为所述父密钥通过终端设备设备唯一标识进行分散的结果。
可选地，根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络，包括：通过终端配置文件将终端设备的唯一通信物理地址和唯一标识进行匹配，确定唯一通信物理地址和唯一标识的匹配信息，每台终端设备包括本地终端以及相邻终端的匹配信息；当终端设备发送报文时，将发送终端的通信物理地址确定为源物理地址，将目的终端的通信物理地址确定为组播地址；确定计算消息认证码的初始向量IV0，利用所述数据完整性计算密钥对第一帧报文M1进行消息认证码计算得到MAC1，将{M1+MAC1}以组播方式发送至目的终端。
可选地，根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络，还包括：当所述目的终端接收到所述第一帧报文M1，判定所述第一帧报文M1中的源物理地址是否存在于终端配置文件的订阅列表中；若所述订阅列表中无所述第一帧报文M1中的源物理地址，则丢弃所述第一帧报文M1；若所述订阅列表中包含所述第一帧报文M1中的源物理地址，则确定与所述第一帧报文M1中的唯一源物理地址匹配的备唯一标识SN1；以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{M1+MAC1}进行消息认证码验证操作；若验证成功，确定所述发送终端为合法终端，且所述第一帧报文M1中未被篡改；若验证失败，确定所述发送终端为伪冒终端或第一帧报文已被篡改、损坏。
可选地，判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文，包括：确定终端设备T1发送的第n帧报文Mn中包括时间戳及报文序号，确定计算消息认证码的初始向量IV0；利用数据完整性计算密钥对所述第n帧报文Mn进行消息认证码计算得到MACn，将{Mn+MACn}以组播方式发送至其他终端；当其他终端接收到所述第n帧报文Mn，从终端配置文件的订阅列表中进行物理地址筛选操作，确定与所述第n帧报文Mn中源物理地址相匹配的记录及其设备唯一标识SN1；以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{Mn+MACn}进行消息认证码验证操作；若验证失败，则丢弃所述第n帧报文Mn；若验证成功，则将所述第n帧报文Mn中的时间戳及报文序号与所述终端设备T1发送的上一帧报文Mn-1的时间戳及报文序号进行对比；当第n帧报文Mn中的时间戳及报文序号与报文Mn-1的时间戳及报文序号一致时，确定所述第n帧报文Mn为重放报文，丢弃所述重放报文。
可选地，通过现场终端密钥配置工具对所述安全模块进行更新与恢复，包括：通过密钥配置工具向安全模块发送密钥版本号、设备唯一标识指令；从所述安全模块中读取所述密钥版本号，获取随机数R和设备唯一标识SN，并将所述随机数R和设备唯一标识SN发送至所述密钥配置工具；利用所述密钥配置工具，通过所述密钥版本号确定密钥更新或者密钥恢复。
根据本实施例的另一个方面，提供了一种适用于配电网的通信报文安全防护系统300。参考图3所示，该系统300包括：确定密钥模块310，用于在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；横向通信模块320，用于根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；判定重放报文模块330，用于判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；更新恢复模块340，用于通过现场终端密钥配置工具对所述安全模块进行更新与恢复。
可选地，确定密钥模块310，包括：确定加密算法子模块，用于确定所述安全模块的加密算法为SM1算法、国密SM4算法或国密SM7算法；确定主控密钥子模块，用于确定所述主控密钥为经过更新的安全模块中的所有密钥时的保护密钥；确定数据完整性计算密钥子模块，用于确定所述数据完整性计算密钥的使用权限为计算消息认证和对称加密；确定数据完整性校验密钥子模块，用于确定所述数据完整性校验密钥的使用权限为验证消息认证码以及对称解密。
可选地，所述数据完整性校验密钥和所述数据完整性计算密钥是父子关系，所述数据完整性校验密钥为父密钥，所述数据完整性计算密钥为子密钥，所述子密钥为所述父密钥通过终端设备设备唯一标识进行分散的结果。
可选地，横向通信模块320，包括：匹配子模块，用于通过终端配置文件将终端设备的唯一通信物理地址和唯一标识进行匹配，确定唯一通信物理地址和唯一标识的匹配信息，每台终端设备包括本地终端以及相邻终端的匹配信息；确定地址子模块，用于当终端设备发送报文时，将发送终端的通信物理地址确定为源物理地址，将目的终端的通信物理地址确定为组播地址，确定初始向量子模块，用于确定计算消息认证码的初始向量IV0，利用所述数据完整性计算密钥对报文M1进行消息认证码计算得到MAC1，将{M1+MAC1}以组播方式发送至目的终端。
可选地，横向通信模块320，还包括：判定源物理地址子模块，用于当所述目的终端接收到所述报文M1，判定所述报文M1中的源物理地址是否存在于终端配置文件的订阅列表中；丢弃第一帧报文子模块，用于若所述订阅列表中无所述第一帧报文M1中的源物理地址，则丢弃所述第一帧报文M1；确定匹配子模块，用于若所述订阅列表中包含所述第一帧报文M1中的源物理地址，则确定与所述第一帧报文M1中的唯一源物理地址匹配的备唯一标识SN1；第一消息验证子模块，用于以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{M1+MAC1}进行消息认证码验证操作；确定合法终端子模块，用于若验证成功，确定所述发送终端为合法终端，且数据未被篡改；确定伪冒终端子模块，用于若验证失败，确定所述发送终端为伪冒终端或报文已被篡改、损坏。
可选地，判定重放报文模块330，包括：确定第n帧报文子模块，用于确定终端设备T1发送的第n帧报文Mn中包括时间戳及报文序号，确定计算消息认证码的初始向量IV0；利用数据完整性计算密钥对所述第n帧报文Mn进行消息认证码计算得到MACn，将{Mn+MACn}以组播方式发送至其他终端；筛选物理地址子模块，用于当其他终端接收到所述第n帧报文Mn，从终端配置文件的订阅列表中进行物理地址筛选操作，确定与所述第n帧报文Mn中源物理地址相匹配的记录及其设备唯一标识SN1；第二消息验证子模块，用于以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{Mn+MACn}进行消息认证码验证操作；丢弃第n帧报文子模块，丢弃第若验证失败，则丢弃所述第n帧报文Mn；对比时间戳子模块，用于若验证成功，则将所述第n帧报文Mn中的时间戳及报文序号与所述终端设备T1发送的上一帧报文Mn-1的时间戳及报文序号进行对比；丢弃重放报文子模块，用于当第n帧报文Mn中的时间戳及报文序号与报文Mn-1的时间戳及报文序号一致时，确定所述第n帧报文Mn为重放报文，丢弃所述重放报文。
可选地，更新恢复模块340，包括：发送密钥版本号子模块，用于通过密钥配置工具向安全模块发送密钥版本号、设备唯一标识指令；发送随机数子模块，用于从所述安全模块中读取所述密钥版本号，获取随机数R和设备唯一标识SN，并将所述随机数R和设备唯一标识SN发送至所述密钥配置工具；密钥更新恢复子模块，用于利用所述密钥配置工具，通过所述密钥版本号确定密钥更新或者密钥恢复。
本发明的实施例的一种适用于配电网的通信报文安全防护系统300与本发明的另一个实施例的一种适用于配电网的通信报文安全防护方法相对应，在此不再赘述。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。本申请实施例中的方案可以采用各种计算机语言实现，例如，面向对象的程序设计语言Java和直译式脚本语言JavaScript等。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (2)

1.一种适用于配电网的通信报文安全防护方法，其特征在于，包括：
在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；
根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；
其中，根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络，包括：
通过终端配置文件将终端设备的唯一通信物理地址和唯一标识进行匹配，确定唯一通信物理地址和唯一标识的匹配信息，每台终端设备包括本地终端以及相邻终端的匹配信息；
当终端设备发送报文时，将发送终端的通信物理地址确定为源物理地址，将目的终端的通信物理地址确定为组播地址，
确定计算消息认证码的初始向量IV0，利用所述数据完整性计算密钥对第一帧报文M1进行消息认证码计算得到MAC1，将{M1+MAC1}以组播方式发送至目的终端；
当所述目的终端接收到所述第一帧报文M1，判定所述第一帧报文M1中的源物理地址是否存在于终端配置文件的订阅列表中；
若所述订阅列表中无所述第一帧报文M1中的源物理地址，则丢弃所述第一帧报文M1；
若所述订阅列表中包含所述第一帧报文M1中的源物理地址，则确定与所述第一帧报文M1中的唯一源物理地址匹配的备唯一标识SN1；
以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{M1+MAC1}进行消息认证码验证操作；
若验证成功，确定所述发送终端为合法终端，且所述第一帧报文M1中未被篡改；
若验证失败，确定所述发送终端为伪冒终端或第一帧报文已被篡改、损坏；
判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；
判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文，包括：
确定终端设备T1发送的第n帧报文Mn中包括时间戳及报文序号，确定计算消息认证码的初始向量IV0；利用数据完整性计算密钥对所述第n帧报文Mn进行消息认证码计算得到MACn，将{Mn+MACn}以组播方式发送至其他终端；
当其他终端接收到所述第n帧报文Mn，从终端配置文件的订阅列表中进行物理地址筛选操作，确定与所述第n帧报文Mn中源物理地址相匹配的记录及其设备唯一标识SN1；
以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{Mn+MACn}进行消息认证码验证操作；
若验证失败，则丢弃所述第n帧报文Mn；
若验证成功，则将所述第n帧报文Mn中的时间戳及报文序号与所述终端设备T1发送的上一帧报文Mn-1的时间戳及报文序号进行对比；
当第n帧报文Mn中的时间戳及报文序号与报文Mn-1的时间戳及报文序号一致时，确定所述第n帧报文Mn为重放报文，丢弃所述重放报文；
通过现场终端密钥配置工具对所述安全模块进行更新与恢复；
在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥，包括：
确定所述安全模块的加密算法为SM1算法、国密SM4算法或国密SM7算法；
确定所述主控密钥为经过更新的安全模块中的所有密钥时的保护密钥；
确定所述数据完整性计算密钥的使用权限为计算消息认证和对称加密；
确定所述数据完整性校验密钥的使用权限为验证消息认证码以及对称解密；
所述数据完整性校验密钥和所述数据完整性计算密钥是父子关系，所述数据完整性校验密钥为父密钥，所述数据完整性计算密钥为子密钥，所述子密钥为所述父密钥通过终端设备设备唯一标识进行分散的结果；
通过现场终端密钥配置工具对所述安全模块进行更新与恢复，包括：
通过密钥配置工具向安全模块发送密钥版本号、设备唯一标识指令；
从所述安全模块中读取所述密钥版本号，获取随机数R和设备唯一标识SN，并将所述随机数R和设备唯一标识SN发送至所述密钥配置工具；
利用所述密钥配置工具，通过所述密钥版本号确定密钥更新或者密钥恢复。
2.一种适用于配电网的通信报文安全防护系统，其特征在于，包括：
确定密钥模块，用于在终端设备中设置多个安全模块，通过所述安全模块与终端设备的主控芯片进行交互，确定所述安全模块中配置的密钥包括主控密钥、数据完整性计算密钥以及数据完整性校验密钥；
横向通信模块，用于根据所述数据完整性计算密钥以及所述数据完整性校验密钥，在多个终端设备之间进行横向通信，确定通信网络为工业光纤以太网、EPON光纤网络或者5G通信网络；
其中，横向通信模块，包括：
匹配子模块，用于通过终端配置文件将终端设备的唯一通信物理地址和唯一标识进行匹配，确定唯一通信物理地址和唯一标识的匹配信息，每台终端设备包括本地终端以及相邻终端的匹配信息；
确定地址子模块，用于当终端设备发送报文时，将发送终端的通信物理地址确定为源物理地址，将目的终端的通信物理地址确定为组播地址；
确定初始向量子模块，用于确定计算消息认证码的初始向量IV0，利用所述数据完整性计算密钥对报文M1进行消息认证码计算得到MAC1，将{M1+MAC1}以组播方式发送至目的终端；
判定源物理地址子模块，用于当所述目的终端接收到所述报文M1，判定所述报文M1中的源物理地址是否存在于终端配置文件的订阅列表中；
丢弃第一帧报文子模块，用于若所述订阅列表中无所述第一帧报文M1中的源物理地址，则丢弃所述第一帧报文M1；
确定匹配子模块，用于若所述订阅列表中包含所述第一帧报文M1中的源物理地址，则确定与所述第一帧报文M1中的唯一源物理地址匹配的备唯一标识SN1；
第一消息验证子模块，用于以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{M1+MAC1}进行消息认证码验证操作；
确定合法终端子模块，用于若验证成功，确定所述发送终端为合法终端，且数据未被篡改；
确定伪冒终端子模块，用于若验证失败，确定所述发送终端为伪冒终端或报文已被篡改、损坏；
判定重放报文模块，用于判定多个终端设备通信的报文是否为重放报文，当多个终端设备通信的报文为重放报文时，丢弃所述重放报文；
判定重放报文模块，包括：
确定第n帧报文子模块，用于确定终端设备T1发送的第n帧报文Mn中包括时间戳及报文序号，确定计算消息认证码的初始向量IV0；利用数据完整性计算密钥对所述第n帧报文Mn进行消息认证码计算得到MACn，将{Mn+MACn}以组播方式发送至其他终端；
筛选物理地址子模块，用于当其他终端接收到所述第n帧报文Mn，从终端配置文件的订阅列表中进行物理地址筛选操作，确定与所述第n帧报文Mn中源物理地址相匹配的记录及其设备唯一标识SN1；
第二消息验证子模块，用于以所述唯一标识SN1为分散因子，以所述初始向量IV0为验证消息认证码的初始向量，利用数据完整性验证密钥对{Mn+MACn}进行消息认证码验证操作；
丢弃第n帧报文子模块，丢弃第若验证失败，则丢弃所述第n帧报文Mn；
对比时间戳子模块，用于若验证成功，则将所述第n帧报文Mn中的时间戳及报文序号与所述终端设备T1发送的上一帧报文Mn-1的时间戳及报文序号进行对比；
丢弃重放报文子模块，用于当第n帧报文Mn中的时间戳及报文序号与报文Mn-1的时间戳及报文序号一致时，确定所述第n帧报文Mn为重放报文，丢弃所述重放报文；
更新恢复模块，用于通过现场终端密钥配置工具对所述安全模块进行更新与恢复；
确定密钥模块，包括：
确定加密算法子模块，用于确定所述安全模块的加密算法为SM1算法、国密SM4算法或国密SM7算法；
确定主控密钥子模块，用于确定所述主控密钥为经过更新的安全模块中的所有密钥时的保护密钥；
确定数据完整性计算密钥子模块，用于确定所述数据完整性计算密钥的使用权限为计算消息认证和对称加密；
确定数据完整性校验密钥子模块，用于确定所述数据完整性校验密钥的使用权限为验证消息认证码以及对称解密；
所述数据完整性校验密钥和所述数据完整性计算密钥是父子关系，所述数据完整性校验密钥为父密钥，所述数据完整性计算密钥为子密钥，所述子密钥为所述父密钥通过终端设备设备唯一标识进行分散的结果；
更新恢复模块，包括：
发送密钥版本号子模块，用于通过密钥配置工具向安全模块发送密钥版本号、设备唯一标识指令；
发送随机数子模块，用于从所述安全模块中读取所述密钥版本号，获取随机数R和设备唯一标识SN，并将所述随机数R和设备唯一标识SN发送至所述密钥配置工具；
密钥更新恢复子模块，用于利用所述密钥配置工具，通过所述密钥版本号确定密钥更新或者密钥恢复。
CN202110356704.2A 2021-04-01 2021-04-01 一种适用于配电网的通信报文安全防护方法及系统 Active CN113259315B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110356704.2A CN113259315B (zh) 2021-04-01 2021-04-01 一种适用于配电网的通信报文安全防护方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110356704.2A CN113259315B (zh) 2021-04-01 2021-04-01 一种适用于配电网的通信报文安全防护方法及系统

Publications (2)

Publication Number Publication Date
CN113259315A CN113259315A (zh) 2021-08-13
CN113259315B true CN113259315B (zh) 2023-04-18

Family

ID=77181279

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110356704.2A Active CN113259315B (zh) 2021-04-01 2021-04-01 一种适用于配电网的通信报文安全防护方法及系统

Country Status (1)

Country Link
CN (1) CN113259315B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114339765B (zh) * 2021-11-25 2024-01-19 国网河南省电力公司电力科学研究院 一种基于5g通信的差动保护数据交互链式校验方法和系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104917614A (zh) * 2015-04-21 2015-09-16 中国建设银行股份有限公司 一种智能卡和受理终端的双向验证方法和装置
CN112422287A (zh) * 2021-01-22 2021-02-26 杭州城市大数据运营有限公司 基于密码学的多层级角色权限控制方法和装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8694467B2 (en) * 2010-03-31 2014-04-08 Xerox Corporation Random number based data integrity verification method and system for distributed cloud storage
CN103716239B (zh) * 2013-12-24 2017-01-04 南京磐能电力科技股份有限公司 一种智能变电站过程层中网络风暴的抑制方法
CN109257328B (zh) * 2017-07-14 2021-03-02 中国电力科学研究院 一种现场运维数据的安全交互方法及装置
CN109257327B (zh) * 2017-07-14 2021-01-08 中国电力科学研究院 一种配电自动化系统的通信报文安全交互方法及装置
CN111654451B (zh) * 2020-05-13 2023-03-28 南京南瑞继保电气有限公司 报文防重放方法及电子设备

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104917614A (zh) * 2015-04-21 2015-09-16 中国建设银行股份有限公司 一种智能卡和受理终端的双向验证方法和装置
CN112422287A (zh) * 2021-01-22 2021-02-26 杭州城市大数据运营有限公司 基于密码学的多层级角色权限控制方法和装置

Also Published As

Publication number Publication date
CN113259315A (zh) 2021-08-13

Similar Documents

Publication Publication Date Title
CN109257327B (zh) 一种配电自动化系统的通信报文安全交互方法及装置
CN107046531B (zh) 监测终端的数据接入电力信息网络的数据处理方法及系统
CN106789015B (zh) 一种智能配电网通信安全系统
CN103888444B (zh) 一种配电安全认证装置及其方法
CN110535653A (zh) 一种安全的配电终端及其通讯方法
CN100512201C (zh) 用于处理分组业务的接入-请求消息的方法
CN102036242A (zh) 一种移动通讯网络中的接入认证方法和系统
CN101588236B (zh) 内容安全传输保护设备、系统以及内容安全传输方法
CN109257328B (zh) 一种现场运维数据的安全交互方法及装置
CN103079200A (zh) 一种无线接入的认证方法、系统及无线路由器
CN112217795B (zh) 一种对智能电表的通信安全进行管理的方法及装置
JP2022522454A (ja) リソース要求方法、機器及び記憶媒体
CN111435390A (zh) 一种配电终端运维工具安全防护方法
CN112671710A (zh) 一种基于国密算法的安全加密装置、双向认证及加密方法
CN111988328A (zh) 一种新能源厂站发电单元采集终端数据安全保障方法及系统
CN115001717B (zh) 一种基于标识公钥的终端设备认证方法及系统
CN113259315B (zh) 一种适用于配电网的通信报文安全防护方法及系统
CN106789845A (zh) 一种网络数据安全传输的方法
CN109451504B (zh) 物联网模组鉴权方法及系统
CN102413463B (zh) 填充序列长度可变的无线媒体接入层鉴权和密钥协商方法
CN111435389A (zh) 一种配电终端运维工具安全防护系统
CN112367664B (zh) 一种外部设备安全接入智能电表的方法及装置
CN112311553B (zh) 一种基于挑战应答的设备认证方法
CN111541699B (zh) 一种基于iec102通信规约安全传输数据的方法
CN116915480A (zh) 一种电力物联网安全管理方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant