CN113312639A - 基于标识加密算法的智能电网终端接入认证方法和系统 - Google Patents

基于标识加密算法的智能电网终端接入认证方法和系统 Download PDF

Info

Publication number
CN113312639A
CN113312639A CN202110594981.7A CN202110594981A CN113312639A CN 113312639 A CN113312639 A CN 113312639A CN 202110594981 A CN202110594981 A CN 202110594981A CN 113312639 A CN113312639 A CN 113312639A
Authority
CN
China
Prior art keywords
terminal
server
authentication
information
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110594981.7A
Other languages
English (en)
Inventor
孙磊
王莉
毛为民
王维
王浩
李锦煊
凌雨诗
陈永涛
洪丹柯
张国翊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Southern Power Grid Co Ltd
Guangzhou Power Supply Bureau of Guangdong Power Grid Co Ltd
Original Assignee
China Southern Power Grid Co Ltd
Guangzhou Power Supply Bureau of Guangdong Power Grid Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Southern Power Grid Co Ltd, Guangzhou Power Supply Bureau of Guangdong Power Grid Co Ltd filed Critical China Southern Power Grid Co Ltd
Priority to CN202110594981.7A priority Critical patent/CN113312639A/zh
Publication of CN113312639A publication Critical patent/CN113312639A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于标识加密算法的智能电网终端接入认证方法和系统，包括以下步骤：采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认；基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证；终端接入服务器后，服务器监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。该认证系统包括终端和服务器，所述终端设有确认模块，所述服务器设有第一认证模块、第二认证模块和终端状态检测模块。本发明的认证方法和系统具有安全性高、海量终端设备的安全接入认证效率高的特点。

Description

基于标识加密算法的智能电网终端接入认证方法和系统
技术领域
本发明涉及加密技术领域，尤其涉及基于标识加密算法的智能电网终端接入认证方法和系统。
背景技术
随着信息化技术的发展，电力系统逐渐信息化，且业务范围在不断扩大。在智能电网的构建过程中，产生了越来越多的智能化测控类终端设备，这些设备数量多并且分布广泛，其远程接入需求在不断增长。现如今，电力系统面临着业务种类多、数据规模大、信息交互复杂等问题，非法访问、数据被窃取等风险急剧增加。电网移动业务(移动智能端完成的业务，包括移动办公、移动营销、移动作业等)访问过程中的安全隐患主要来自于终端，具有多渠道、多类型和不确定性的特点，给其安全接入带来困扰，针对终端接入时身份的认证而是当前的急需解决的一个问题。
传统基于公钥基础设施(Public Key Infrastructure，PKI)的身份认证机制安全性高，但依赖于第三方认证机构(CertificateAuthority，CA)，并且需要单独创建一个证书给每一台终端设备，身份认证的过程存在大量的证书交换，其证书管理体系异常复杂，不利于安全应用的部署。而基于身份标识密码技术的认证方式，不需要申请和交换证书，可有效降低密钥管理的复杂性，但也存在着许多缺陷，如可能面临重放攻击，以及用户口令往往过于简单易遭受字典攻击；此外，用于身份认证的私钥存储于用户侧，存在被窃取的风险。
发明内容
本发明的目的在于提出一种基于标识加密算法的智能电网终端接入认证方法，采用基于虹膜的识别方式对终端操作人员的合法性进行确认，采用基于SM9标识加密算法的终端认证机制，确保海量终端设备的接入安全，对CHAP协议加以改进，结合此协议增强身份认证，弥补SM9终端身份认证机制的不足，以及监测终端的实时状态，解决了上述访问过程中的安全问题。
本发明的目的在于提出种基于标识加密算法的智能电网终端接入认证系统，该系统具有终端接入安全、体系简单、终端能介入安全性高的特点。
为达此目的，本发明采用以下技术方案：
一种基于标识加密算法的智能电网终端接入认证方法，包括以下步骤：
采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认；若合法则终端向服务器发出连接申请；
服务器收到连接申请后，基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；
终端向服务器发起访问时，服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证，若认证失败则服务器断开与终端的连接；
终端接入服务器后，服务器监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。
进一步的，采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认的方法为：
用户首次注册时，利用终端的身份标识信息向KGC申请注册，KGC生成对应的公钥和私钥，终端设有用于存储私钥的私钥存储模块，终端采集合法操作人员的虹膜数据信息；
当该终端向服务器申请访问时，终端首先对终端操作人员进行虹膜识别，若识别到的虹膜数据信息与预采集的虹膜数据信息一致，则终端获取私钥的使用权限，向服务器发出连接申请。
进一步的，所述基于SM9标识加密算法对终端进行身份认证的方法为：
所述服务器连接有SM9标识管理平台；
所述服务器收到连接申请后，所述SM9标识管理平台以密钥对终端进行身份认证，身份认证通过后，所述SM9标识管理平台将认证通过信息发送至所述服务器；
所述服务器接收到终端上传的身份标识信息，根据身份标识信息分配对应的资源访问权限。
进一步的，服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证的方法为：
用户首次注册时，在所述终端设置用户口令s和采集指纹数据f，所述服务器用密钥p对指纹数据f加密并保存，将密钥p发送至终端；
当所述终端向服务器发起访问时，所述服务器生成公钥e、私钥d和随机数CH，将公钥e和随机数CH发送至终端；
终端以用户口令s和指纹数据f生成新的口令s’，根据口令s’计和CH用MD5算法计算消息摘要H(s′||CH)，同时用公钥e对密钥p进行加密生成Ee(p)，最后将H(s′||CH)和Ee(p)发给所述服务器；
服务器接收到H(s′||CH)与Ee(p)后，先用私钥d对Ee(p)进行解密得到加密指纹数据的密钥p，再用密钥p对存储于服务器的指纹数据进行解密得到指纹数据f，同样利用口令s与指纹数据f生成新的口令s″，用s″与CH计算H(s″||CH)；
服务器对H(s’||CH)与H(s”||CH)进行比较，若是二者相同则认证通过建立连接，否则认证失败断开连接；
建立连接后，服务器不定时生成新的随机数CH，重复上述过程。
进一步的，所述终端首次接入服务器时，所述服务器收集所述终端的设备信息并将其存储与云端数据库，所述设备信息包括MAC地址、用户名、OS类型、设备厂家、设备编号、运营商类型、业务类型和所属区域；
所述终端接入服务器后，所述服务器实时获取终端设备信息，将实时获取是设备信息与云端数据库预存的设备信息进行比较，若匹配则允许终端接入，若不匹配则发出警示信息或断开与终端的连接。
一种基于标识加密算法的智能电网终端接入认证系统，包括终端和服务器，所述终端设有确认模块，所述服务器设有第一认证模块、第二认证模块和终端状态检测模块；
所述终端用于采集终端操作人员虹膜和向所述服务器发出连接申请；
所述确认模块用于基于虹膜识别方式对终端操作人员的合法性进行确认；
所述服务器用于接收所述终端发出的连接申请；
所述第一认证模块用于基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；
所述第二认证模块用于在终端向服务器发起访问时，基于CHAP协议动态改变认证凭据对终端进行不定时认证，若认证失败则服务器断开与终端的连接；
所述终端状态检测模块用于在终端接入服务器后监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。
进一步的，所述终端连接KGC，所述终端还用于在用户首次注册时利用身份标识信息向KGC申请注册和接收KGC生成对应的公钥和私钥；
所述终端设有用于存储私钥的私钥存储模块，所述终端还设有用于存储集合法操作人员的虹膜数据信息的虹膜存储模块；
所述终端还用于在向服务器申请访问时对终端操作人员虹膜识别，所述确认模块判断该虹膜识别数据与虹膜存储模块中的虹膜数据信息是否一致，若一致则终端获取私钥的使用权限，向服务器发出连接申请。
进一步的，所述第一认证模块为SM9标识管理平台；
所述SM9标识管理平台用于在服务器收到连接申请后以密钥对终端进行身份认证，身份认证通过后，所述SM9标识管理平台将认证通过信息发送至所述服务器。
进一步的，所述终端还用于在用户首次注册时设置用户口令s后采集指纹数据f，并上传至服务器，所述服务器用密钥p对指纹数据f加密并保存，将密钥p发送至终端，所述终端设有用于存储密钥p的密钥存储模块；
所述第二认证模块用于在所述终端向服务器发起访问时，生成公钥e、私钥d和随机数CH，将公钥e和随机数CH发送至终端；
所述终端设有响应模块，所述响应模块用于根据以用户口令s和指纹数据f生成新的口令s’，根据口令s’计和CH用MD5算法计算消息摘要H(s′||CH)，同时用公钥e对密钥p进行加密生成Ee(p)，最后将H(s′||CH)和Ee(p)发给所述服务器的所述第二认证模块；
所述第二认证模块用于接收H(s′||CH)与Ee(p)，用私钥d对Ee(p)进行解密得到加密指纹数据的密钥p，再用密钥p对存储于服务器的指纹数据进行解密得到指纹数据f，同样利用口令s与指纹数据f生成新的口令s″，用s″与CH计算H(s″||CH)；
所述第二认证模块还用于对H(s’||CH)与H(s”||CH)进行比较，若是二者相同则认证通过建立连接，否则认证失败断开连接；
所述第二认证模块还用于在终端和服务器建立连接后，不定时生成新的随机数CH，重复认证过程。
进一步的，该系统还包括云端数据库，所述服务器用于在所述终端首次接入时收集所述终端的设备信息并将其存储与云端数据库，所述设备信息包括MAC地址、用户名、OS类型、设备厂家、设备编号、运营商类型、业务类型和所属区域；
所述终端状态检测模块用于在所述终端接入服务器后实时获取终端设备信息，将实时获取是设备信息与云端数据库预存的设备信息进行比较。
本发明的有益效果为：
1.当终端接入服务器前以虹膜识别方式在终端侧对终端操作人员的合法性进行确认，基于虹膜的识别技术具有唯一性和稳定性，且准确率高，错误接受率非常低，可有效对终端操作人员的合法性进行确认，提升终端侧的私钥管理安全；
2.本发明提出的基于SM9标识加密算法的终端认证机制可有效提升海量终端的身份认证效率，提升终端设备接入的安全性，相比于传统基于PKI的身份认证机制要更加的便捷，而且易部署应用；
3.本发明结合使用CHAP协议，解决基于SM9加密算法的身份认证机制易遭受重放攻击的问题，并对CHAP协议本身进行改进，将指纹数据与用户自设置的口令结合，解决用户口令过于简单，服务器端所存用户口令易被窃取的问题；
4.本发明增加服务器监视终端的性能和实时状态步骤，通过设计与智能电网管理平台的接口和数据交互，可以支持终端入网检测功能，实现持续对终端性能与实时状态进行监视，确保接入终端的安全性。
附图说明
图1是本发明一个实施例的基于标识加密算法的智能电网终端接入认证方法的流程示意图；
图2是终端操作人员合法性认证的流程图；
图3是基于CHAP协议的身份认证的流程示意图；
图4是终端的性能和实时状态检测示意图；
图5是本发明一个实施例的基于标识加密算法的智能电网终端接入认证系统的结构示意图。
具体实施方式
下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。
在本发明的描述中，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征，用于区别描述特征，无顺序之分，无轻重之分。
在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“相连”、“连接”应做广义理解，例如，可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
下面结合图1至图5，描述本发明实施例的一种基于标识加密算法的智能电网终端接入认证方法和系统。
如图1-4所示，一种基于标识加密算法的智能电网终端接入认证方法，包括以下步骤：
采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认；若合法则终端向服务器发出连接申请；
服务器收到连接申请后，基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；
终端向服务器发起访问时，服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证，若认证失败则服务器断开与终端的连接；
终端接入服务器后，服务器监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。
本发明实施例的方法中在终端侧基于虹膜识别利用虹膜生物特征对操作人员进行合法性确认，降低存储与终端侧的私钥被窃取的风险；基于SM9标识加密算法进行身份认证，可简化简化密钥管理难度，减少管理开销和运营成本；基于CHAP协议动态改变认证凭据进行不定时认证，联合使用以弥补SM身份认证机制的不足；终端的性能和实时状态监测能防止未知终端接入。
其中的终端可以是笔记本电脑、智能手机或平板电脑，因业务需要对电力系统资源服务器发起资源访问申请，即上述的服务器为电力系统资源服务器。
具体的，采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认的方法为：
用户首次注册时，利用终端的身份标识信息向KGC申请注册，KGC生成对应的公钥和私钥，终端设有用于存储私钥的私钥存储模块，终端采集合法操作人员的虹膜数据信息；
当该终端向服务器申请访问时，终端首先对终端操作人员进行虹膜识别，若识别到的虹膜数据信息与预采集的虹膜数据信息一致，则终端获取私钥的使用权限，向服务器发出连接申请。
上述步骤中，将KGC生成的私钥存储于终端的私钥存储模块，基于私钥存在被窃取的风险，在终端侧先与虹膜识别方式进行操作人员合法性确认，确认后才能获取对私钥使用权限，提高终端侧登录的安全性。需要说明的是，虹膜识别仅在终端与服务器建立连接时使用，当终端和服务器连接后则无需再次识别。
具体的，所述基于SM9标识加密算法对终端进行身份认证的方法为：
所述服务器连接有SM9标识管理平台；
所述服务器收到连接申请后，所述SM9标识管理平台以密钥对终端进行身份认证，身份认证通过后，所述SM9标识管理平台将认证通过信息发送至所述服务器；
所述服务器接收到终端上传的身份标识信息，根据身份标识信息分配对应的资源访问权限。
在以虹膜识别方式对终端操作人员的合法性确认后，终端向服务器申请访问时，以秘钥进行身份认证，认证过程由SM9标识管理平台完成，身份认证通过后才允许该终端接入服务器，并根据身份标识分配对应的资源访问权限。
基于SM标识加密算法的身份认证机制无需申请和交换数字证书，极大地简化了密钥的管理，可有效降低网络资源的浪费，减少运营成本，提升电网海量终端设备的安全接入认证效率。此外，该身份认证机制可根据身份标识给用户分配不同的数据访问权限，以实际业务应用需求为前提，对来自终端的资源访问进行控制，有效解决海量终端接入时的数据安全保障问题。
相比于传统的PKI体系身份认证机制，基于SM标识加密算法的身份认证机制要更加简洁且容易部署，但同样面临着重放攻击的危险。因此，本发明结合挑战握手认证协议CHAP对基于SM9的身份认证机制进行增强，并针对CHAP本身存在的问题进行改进。在CHAP协议使用的过程，为了便于记忆，用户往往使用较为简单的口令，这样的口令强度不够，难以抵挡字典攻击，此外，用户口令是以明文形式存放于服务器，若是服务器遭受攻击，攻击者可轻易获取用户口令。因此，为了解决该问题，本发明结合指纹生物特征对指纹数据进行加密，以用户设置的口令与指纹数据生成实际所用的新口令，具体如下：服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证的方法为：
用户首次注册时，在所述终端设置用户口令s和采集指纹数据f，所述服务器用密钥p对指纹数据f加密并保存，将密钥p发送至终端；
当所述终端向服务器发起访问时，所述服务器生成公钥e、私钥d和随机数CH，将公钥e和随机数CH发送至终端；
终端以用户口令s和指纹数据f生成新的口令s’，根据口令s’计和CH用MD5算法计算消息摘要H(s′||CH)，同时用公钥e对密钥p进行加密生成Ee(p)，最后将H(s′||CH)和Ee(p)发给所述服务器；
服务器接收到H(s′||CH)与Ee(p)后，先用私钥d对Ee(p)进行解密得到加密指纹数据的密钥p，再用密钥p对存储于服务器的指纹数据进行解密得到指纹数据f，同样利用口令s与指纹数据f生成新的口令s″，用s″与CH计算H(s″||CH)；
服务器对H(s’||CH)与H(s”||CH)进行比较，若是二者相同则认证通过建立连接，否则认证失败断开连接；
建立连接后，服务器不定时生成新的随机数CH，重复上述过程。
指纹技术具有唯一性与可采集性的特点，将指纹数据与用户自设置的口令结合足以满足CHAP协议的用户口令强度要求，可有效抵抗字典攻击；服务器不以明文形式保存用户的口令，而是通过密钥p将相关口令信息加密后保存，并将p保存于终端，等建立连接需要时终端再将p发给服务器，这样即便攻击者入侵服务器，得到的也只是加密后的指纹信息，没有密钥p，同样无法对加密的指纹信息进行解密。建立连接后，服务器可以通过不定时产生新的随机数对终端进行认证，以此抵抗重放攻击。
为了提高终端接入的安全性，进一步的，所述终端首次接入服务器时，所述服务器收集所述终端的设备信息并将其存储与云端数据库，所述设备信息包括MAC地址、用户名、OS类型、设备厂家、设备编号、运营商类型、业务类型和所属区域；
所述终端接入服务器后，所述服务器实时获取终端设备信息，将实时获取是设备信息与云端数据库预存的设备信息进行比较，若匹配则允许终端接入，若不匹配则发出警示信息或断开与终端的连接。
以加强对终端设备自身检测的方式，提高终端接入的安全性。
如图5所示，本发明实施例还提供一种基于标识加密算法的智能电网终端接入认证系统，包括终端和服务器，所述终端设有确认模块，所述服务器设有第一认证模块、第二认证模块和终端状态检测模块；
所述终端用于采集终端操作人员虹膜和向所述服务器发出连接申请；
所述确认模块用于基于虹膜识别方式对终端操作人员的合法性进行确认；
所述服务器用于接收所述终端发出的连接申请；
所述第一认证模块用于基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；
所述第二认证模块用于在终端向服务器发起访问时，基于CHAP协议动态改变认证凭据对终端进行不定时认证，若认证失败则服务器断开与终端的连接；
所述终端状态检测模块用于在终端接入服务器后监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。
本发明实施例的基于标识加密算法的智能电网终端接入认证系统的主要由以下四个模块实现认证：用于基于虹膜识别的操作人员合法性确认的确认模块、基于SM9标识加密算法的身份认证的第一认证模块、基于改进CHAP协议的加强身份认证的第二认证模块和终端状态检测模块。
确认模块利用虹膜生物特征对操作人员进行合法性确认，降低存储于终端侧的私钥被窃取的风险；第一认证模块实现终端身份认证，简化密钥管理难度，减少管理开销和运营成本；第二认证模块则是对协议本身的缺点进行改进，联合使用以弥补SM身份认证机制的不足；终端状态检测模块则是对接入设备的状态信息进行检测与持续性能监视，防止未知终端接入。
为了提高终端存储私钥的安全性，进一步的，所述终端连接KGC，所述终端还用于在用户首次注册时利用身份标识信息向KGC申请注册和接收KGC生成对应的公钥和私钥；
所述终端设有用于存储私钥的私钥存储模块，所述终端还设有用于存储集合法操作人员的虹膜数据信息的虹膜存储模块；
所述终端还用于在向服务器申请访问时对终端操作人员虹膜识别，所述确认模块判断该虹膜识别数据与虹膜存储模块中的虹膜数据信息是否一致，若一致则终端获取私钥的使用权限，向服务器发出连接申请。
为了降低网络资源的浪费，减少运营成本，提升电网海量终端设备的安全接入认证效率，进一步的，所述第一认证模块为SM9标识管理平台；
所述SM9标识管理平台用于在服务器收到连接申请后以密钥对终端进行身份认证，身份认证通过后，所述SM9标识管理平台将认证通过信息发送至所述服务器。
为了提高口令强度，提高用户口令安全性，进一步的，所述终端还用于在用户首次注册时设置用户口令s后采集指纹数据f，并上传至服务器，所述服务器用密钥p对指纹数据f加密并保存，将密钥p发送至终端，所述终端设有用于存储密钥p的密钥存储模块；
所述第二认证模块用于在所述终端向服务器发起访问时，生成公钥e、私钥d和随机数CH，将公钥e和随机数CH发送至终端；
所述终端设有响应模块，所述响应模块用于根据以用户口令s和指纹数据f生成新的口令s’，根据口令s’计和CH用MD5算法计算消息摘要H(s′||CH)，同时用公钥e对密钥p进行加密生成Ee(p)，最后将H(s′||CH)和Ee(p)发给所述服务器的所述第二认证模块；
所述第二认证模块用于接收H(s′||CH)与Ee(p)，用私钥d对Ee(p)进行解密得到加密指纹数据的密钥p，再用密钥p对存储于服务器的指纹数据进行解密得到指纹数据f，同样利用口令s与指纹数据f生成新的口令s″，用s″与CH计算H(s″||CH)；
所述第二认证模块还用于对H(s’||CH)与H(s”||CH)进行比较，若是二者相同则认证通过建立连接，否则认证失败断开连接；
所述第二认证模块还用于在终端和服务器建立连接后，不定时生成新的随机数CH，重复认证过程。
为了提高终端接入的安全性，进一步的，该系统还包括云端数据库，所述服务器用于在所述终端首次接入时收集所述终端的设备信息并将其存储与云端数据库，所述设备信息包括MAC地址、用户名、OS类型、设备厂家、设备编号、运营商类型、业务类型和所属区域；
所述终端状态检测模块用于在所述终端接入服务器后实时获取终端设备信息，将实时获取是设备信息与云端数据库预存的设备信息进行比较。
根据本发明实施例的一种基于标识加密算法的智能电网终端接入认证方法和系统的其他构成等以及操作对于本领域普通技术人员而言都是已知的，这里不再详细描述。
在本说明书的描述中，参考术语“实施例”、“示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同物限定。

Claims (10)

1.一种基于标识加密算法的智能电网终端接入认证方法，其特征在于，包括以下步骤：
采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认；若合法则终端向服务器发出连接申请；
服务器收到连接申请后，基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；
终端向服务器发起访问时，服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证，若认证失败则服务器断开与终端的连接；
终端接入服务器后，服务器监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。
2.根据权利要求1所述的基于标识加密算法的智能电网终端接入认证方法，其特征在于，采用虹膜识别方式在终端侧对终端操作人员的合法性进行确认的方法为：
用户首次注册时，利用终端的身份标识信息向KGC申请注册，KGC生成对应的公钥和私钥，终端设有用于存储私钥的私钥存储模块，终端采集合法操作人员的虹膜数据信息；
当该终端向服务器申请访问时，终端首先对终端操作人员进行虹膜识别，若识别到的虹膜数据信息与预采集的虹膜数据信息一致，则终端获取私钥的使用权限，向服务器发出连接申请。
3.根据权利要求1所述的基于标识加密算法的智能电网终端接入认证方法，其特征在于，所述基于SM9标识加密算法对终端进行身份认证的方法为：
所述服务器连接有SM9标识管理平台；
所述服务器收到连接申请后，所述SM9标识管理平台以密钥对终端进行身份认证，身份认证通过后，所述SM9标识管理平台将认证通过信息发送至所述服务器；
所述服务器接收到终端上传的身份标识信息，根据身份标识信息分配对应的资源访问权限。
4.根据权利要求1所述的基于标识加密算法的智能电网终端接入认证方法，其特征在于，服务器基于CHAP协议动态改变认证凭据对终端进行不定时认证的方法为：
用户首次注册时，在所述终端设置用户口令s和采集指纹数据f，所述服务器用密钥p对指纹数据f加密并保存，将密钥p发送至终端；
当所述终端向服务器发起访问时，所述服务器生成公钥e、私钥d和随机数CH，将公钥e和随机数CH发送至终端；
终端以用户口令s和指纹数据f生成新的口令s’，根据口令s’计和CH用MD5算法计算消息摘要H(s′||CH)，同时用公钥e对密钥p进行加密生成Ee(p)，最后将H(s′||CH)和Ee(p)发给所述服务器；
服务器接收到H(s′||CH)与Ee(p)后，先用私钥d对Ee(p)进行解密得到加密指纹数据的密钥p，再用密钥p对存储于服务器的指纹数据进行解密得到指纹数据f，同样利用口令s与指纹数据f生成新的口令s″，用s″与CH计算H(s″||CH)；
服务器对H(s’||CH)与H(s”||CH)进行比较，若是二者相同则认证通过建立连接，否则认证失败断开连接；
建立连接后，服务器不定时生成新的随机数CH，重复上述过程。
5.根据权利要求1所述的基于标识加密算法的智能电网终端接入认证方法，其特征在于，所述终端首次接入服务器时，所述服务器收集所述终端的设备信息并将其存储与云端数据库，所述设备信息包括MAC地址、用户名、OS类型、设备厂家、设备编号、运营商类型、业务类型和所属区域；
所述终端接入服务器后，所述服务器实时获取终端设备信息，将实时获取是设备信息与云端数据库预存的设备信息进行比较，若匹配则允许终端接入，若不匹配则发出警示信息或断开与终端的连接。
6.一种基于标识加密算法的智能电网终端接入认证系统，其特征在于，包括终端和服务器，所述终端设有确认模块，所述服务器设有第一认证模块、第二认证模块和终端状态检测模块；
所述终端用于采集终端操作人员虹膜和向所述服务器发出连接申请；
所述确认模块用于基于虹膜识别方式对终端操作人员的合法性进行确认；
所述服务器用于接收所述终端发出的连接申请；
所述第一认证模块用于基于SM9标识加密算法对终端进行身份认证，若认证通过则终端接入服务器；
所述第二认证模块用于在终端向服务器发起访问时，基于CHAP协议动态改变认证凭据对终端进行不定时认证，若认证失败则服务器断开与终端的连接；
所述终端状态检测模块用于在终端接入服务器后监视终端的性能和实时状态，当终端的状态出现异常时服务器发出警示信息或断开与终端的连接。
7.根据权利要求6所述的基于标识加密算法的智能电网终端接入认证系统，其特征在于，所述终端连接KGC，所述终端还用于在用户首次注册时利用身份标识信息向KGC申请注册和接收KGC生成对应的公钥和私钥；
所述终端设有用于存储私钥的私钥存储模块，所述终端还设有用于存储集合法操作人员的虹膜数据信息的虹膜存储模块；
所述终端还用于在向服务器申请访问时对终端操作人员虹膜识别，所述确认模块判断该虹膜识别数据与虹膜存储模块中的虹膜数据信息是否一致，若一致则终端获取私钥的使用权限，向服务器发出连接申请。
8.根据权利要求6所述的基于标识加密算法的智能电网终端接入认证系统，其特征在于，所述第一认证模块为SM9标识管理平台；
所述SM9标识管理平台用于在服务器收到连接申请后以密钥对终端进行身份认证，身份认证通过后，所述SM9标识管理平台将认证通过信息发送至所述服务器。
9.根据权利要求6所述的基于标识加密算法的智能电网终端接入认证系统，其特征在于，所述终端还用于在用户首次注册时设置用户口令s后采集指纹数据f，并上传至服务器，所述服务器用密钥p对指纹数据f加密并保存，将密钥p发送至终端，所述终端设有用于存储密钥p的密钥存储模块；
所述第二认证模块用于在所述终端向服务器发起访问时，生成公钥e、私钥d和随机数CH，将公钥e和随机数CH发送至终端；
所述终端设有响应模块，所述响应模块用于根据以用户口令s和指纹数据f生成新的口令s’，根据口令s’计和CH用MD5算法计算消息摘要H(s′||CH)，同时用公钥e对密钥p进行加密生成Ee(p)，最后将H(s′||CH)和Ee(p)发给所述服务器的所述第二认证模块；
所述第二认证模块用于接收H(s′||CH)与Ee(p)，用私钥d对Ee(p)进行解密得到加密指纹数据的密钥p，再用密钥p对存储于服务器的指纹数据进行解密得到指纹数据f，同样利用口令s与指纹数据f生成新的口令s″，用s″与CH计算H(s″||CH)；
所述第二认证模块还用于对H(s’||CH)与H(s”||CH)进行比较，若是二者相同则认证通过建立连接，否则认证失败断开连接；
所述第二认证模块还用于在终端和服务器建立连接后，不定时生成新的随机数CH，重复认证过程。
10.根据权利要求6所述的基于标识加密算法的智能电网终端接入认证系统，其特征在于，还包括云端数据库，所述服务器用于在所述终端首次接入时收集所述终端的设备信息并将其存储与云端数据库，所述设备信息包括MAC地址、用户名、OS类型、设备厂家、设备编号、运营商类型、业务类型和所属区域；
所述终端状态检测模块用于在所述终端接入服务器后实时获取终端设备信息，将实时获取是设备信息与云端数据库预存的设备信息进行比较。
CN202110594981.7A 2021-05-28 2021-05-28 基于标识加密算法的智能电网终端接入认证方法和系统 Pending CN113312639A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110594981.7A CN113312639A (zh) 2021-05-28 2021-05-28 基于标识加密算法的智能电网终端接入认证方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110594981.7A CN113312639A (zh) 2021-05-28 2021-05-28 基于标识加密算法的智能电网终端接入认证方法和系统

Publications (1)

Publication Number Publication Date
CN113312639A true CN113312639A (zh) 2021-08-27

Family

ID=77376329

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110594981.7A Pending CN113312639A (zh) 2021-05-28 2021-05-28 基于标识加密算法的智能电网终端接入认证方法和系统

Country Status (1)

Country Link
CN (1) CN113312639A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114363892A (zh) * 2022-03-03 2022-04-15 杭州天宽科技有限公司 基于移动智能终端的背夹外设分发与认证系统及方法
CN114553405A (zh) * 2022-02-10 2022-05-27 国网山东省电力公司电力科学研究院 基于国密sm9算法的5g二次认证方法和系统
CN114697043A (zh) * 2022-03-14 2022-07-01 国网山东省电力公司信息通信公司 一种基于区块链技术身份认证统一管理平台及其认证方法
CN115022256A (zh) * 2022-05-27 2022-09-06 中国南方电网有限责任公司 一种用于电力通信调度终端接入的双重管控方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004207965A (ja) * 2002-12-25 2004-07-22 Nec Commun Syst Ltd 無線ｌａｎの高速認証方式及び高速認証方法
CN101098232A (zh) * 2007-07-12 2008-01-02 兰州大学 一种动态口令与多生物特征结合的身份认证方法
CN101616414A (zh) * 2008-06-23 2009-12-30 中国移动通信集团公司 对终端进行认证的方法、系统及服务器
CN111245870A (zh) * 2020-04-26 2020-06-05 国网电子商务有限公司 基于移动终端的身份认证方法及相关装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004207965A (ja) * 2002-12-25 2004-07-22 Nec Commun Syst Ltd 無線ｌａｎの高速認証方式及び高速認証方法
CN101098232A (zh) * 2007-07-12 2008-01-02 兰州大学 一种动态口令与多生物特征结合的身份认证方法
CN101616414A (zh) * 2008-06-23 2009-12-30 中国移动通信集团公司 对终端进行认证的方法、系统及服务器
CN111245870A (zh) * 2020-04-26 2020-06-05 国网电子商务有限公司 基于移动终端的身份认证方法及相关装置

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553405A (zh) * 2022-02-10 2022-05-27 国网山东省电力公司电力科学研究院 基于国密sm9算法的5g二次认证方法和系统
CN114363892A (zh) * 2022-03-03 2022-04-15 杭州天宽科技有限公司 基于移动智能终端的背夹外设分发与认证系统及方法
CN114363892B (zh) * 2022-03-03 2022-06-24 杭州天宽科技有限公司 基于移动智能终端的背夹外设分发与认证系统及方法
CN114697043A (zh) * 2022-03-14 2022-07-01 国网山东省电力公司信息通信公司 一种基于区块链技术身份认证统一管理平台及其认证方法
CN114697043B (zh) * 2022-03-14 2023-11-14 国网山东省电力公司信息通信公司 一种基于区块链技术身份认证统一管理平台及其认证方法
CN115022256A (zh) * 2022-05-27 2022-09-06 中国南方电网有限责任公司 一种用于电力通信调度终端接入的双重管控方法及系统
CN115022256B (zh) * 2022-05-27 2023-11-03 中国南方电网有限责任公司 一种用于电力通信调度终端接入的双重管控方法及系统

Similar Documents

Publication Publication Date Title
CN111953705B (zh) 物联网身份认证方法、装置及电力物联网身份认证系统
CN111083131B (zh) 一种用于电力物联网感知终端轻量级身份认证的方法
JP7324765B2 (ja) 認証された装置から装置への通信のための動的ドメイン鍵交換
CN108512862B (zh) 基于无证书标识认证技术的物联网终端安全认证管控平台
CN113312639A (zh) 基于标识加密算法的智能电网终端接入认证方法和系统
CN101951603B (zh) 一种无线局域网接入控制方法及系统
CN101189827B (zh) 综合认证和管理服务提供者、终端和用户身份模块的方法以及使用该方法的系统和终端
EP1610202B1 (en) Using a portable security token to facilitate public key certification for devices in a network
US8971537B2 (en) Access control protocol for embedded devices
US20160269176A1 (en) Key Configuration Method, System, and Apparatus
CN113783836A (zh) 基于区块链和ibe算法的物联网数据访问控制方法及系统
CN113746632B (zh) 一种物联网系统多级身份认证方法
CN111372247A (zh) 一种基于窄带物联网的终端安全接入方法及终端安全接入系统
CN105553666B (zh) 一种智能电力终端安全认证系统及方法
CN101282208B (zh) 安全连接关联主密钥的更新方法和服务器及网络系统
CN114765534B (zh) 基于国密标识密码算法的私钥分发系统和方法
CN111447067A (zh) 一种电力传感设备加密认证方法
CN112804356B (zh) 一种基于区块链的联网设备监管认证方法及系统
CN112787806A (zh) 一种基于ibe的工业互联网终端通用安全服务系统
CN117278330A (zh) 一种电力物联网设备网络的轻量级组网与安全通信方法
CN101192927A (zh) 基于身份保密的授权与多重认证方法
CN107888376B (zh) 基于量子通信网络的nfc认证系统
CN107786978B (zh) 基于量子加密的nfc认证系统
CN114238897A (zh) 基于分布式数字身份的物联网数据采集系统及方法
CN213938340U (zh) 5g应用接入认证网络架构

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination