CN113556231A - 基于iec61850控制模型的控制信息安全鉴别方法 - Google Patents

基于iec61850控制模型的控制信息安全鉴别方法 Download PDF

Info

Publication number
CN113556231A
CN113556231A CN202110666721.6A CN202110666721A CN113556231A CN 113556231 A CN113556231 A CN 113556231A CN 202110666721 A CN202110666721 A CN 202110666721A CN 113556231 A CN113556231 A CN 113556231A
Authority
CN
China
Prior art keywords
control
model
field
identity
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110666721.6A
Other languages
English (en)
Other versions
CN113556231B (zh
Inventor
李广华
王自成
陶士全
顾浩
周进
周强
李响
赵天恩
陈宏君
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NR Electric Co Ltd
NR Engineering Co Ltd
Original Assignee
NR Electric Co Ltd
NR Engineering Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NR Electric Co Ltd, NR Engineering Co Ltd filed Critical NR Electric Co Ltd
Priority to CN202110666721.6A priority Critical patent/CN113556231B/zh
Publication of CN113556231A publication Critical patent/CN113556231A/zh
Application granted granted Critical
Publication of CN113556231B publication Critical patent/CN113556231B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Abstract

本发明公开了一种基于IEC61850控制模型的控制信息安全鉴别方法，该方法实现了对控制端身份ID与控制信息消息认证码的传输功能；并结合认证值算法使用控制端的身份鉴别密钥Key对包含控制端身份ID在内的其他控制信息进行了信息认证，实现了控制信息的身份鉴别与安全认证功能，并具备防篡改功能；同时结合控制模型的T域信息，使控制接收方具备了防重放攻击功能。该方法提升了电力系统进行远程控制的信息安全性。

Description

基于IEC61850控制模型的控制信息安全鉴别方法
技术领域
本发明属于电力系统的通信安全领域。
背景技术
随着计算机与通信技术在电力系统中的大量应用，不仅实现了电力系统设备的运行状态远程监视功能，还可以通过远程改变电力设备的运行状态，不仅提升了电力系统的自动化运行水平，也对电网供电的可靠性起着重要作用。
在电力自动化系统中，基于IEC 61850标准的通信技术得到了广泛的应用，其中遥控服务就是IEC 61850的一项标准服务。IEC 61850的遥控服务支持直接控制、带选择控制、增强型直接控制、增强型带选择控制四种控制模式，并为通信过程中的控制信息提供了校验功能，提升了控制的安全性。但是，在IEC 61850的控制服务中虽然提供了控制源信息，但却未提供对控制信息的认证功能。由于IEC 61850通信技术缺乏对身份认证能力，恶意攻击者可通过中间人攻击等方式，非法伪装成合法控制源来改变电力系统设备的进行状态，从而可能会对电网的运行安全造成重大影响，并可能导致重大经济损失。
发明内容
发明目的：为了解决上述现有技术存在的问题本发明提供了一种基于IEC61850控制模型的控制信息安全鉴别方法。
技术方案：本发明提供了基于IEC61850控制模型的控制信息安全鉴别方法，所述IEC61850控制模型包括SBOw模型，Oper模型和Cancle模型三个模型；该法具体包括如下步骤：
步骤1：根据需求在上述三个模型中选择一个模型；将控制发起方的身份ID信息编码至被选择模型的orIdent.id字段中，将控制发起方的本地UTC时间信息编码至被选择模型的T字段中，并根据IEC61850标准将预设的控制指令编码至被选择模型中；
步骤2：根据被选择模型中的信息和预设的字段排列顺序，建立认证字符串CtlString；采用认证值算法计算CtlString对应于Key的消息认证码MACCtrString，将MACCtrString编码至被选择模型的orIdent.mac字段中，Key为控制发起方的身份鉴别密钥；
步骤3：将被选择模型中的信息发送至控制接收方；
步骤4：控制接收方解析收到的信息后得到字符串CtlString'，CtlString'包括含有控制发起方本地UTC时间信息的字段T'，含有控制发起方身份ID信息的字段orIdent.id'和含有MACCtrString的字段orIdent.mac'；
步骤5：验证字段T'中控制发起方本地UTC时间的有效性，若验证通过，则转步骤6，否则拒绝执行预设的控制指令；
步骤6：若控制接收方本地存储的第n个身份ID信息IDn与orIdent.id'中身份ID信息相同，则转步骤7；否则拒绝执行预设的控制指令；
步骤7：根据控制接收方本地存储的与IDn对应的身份鉴别密钥Keyn验证orIdent.mac'字段中消息认证码的有效性，若验证通过，则执行预设的控制指令，否则拒绝执行预设的控制指令。
进一步的，所述步骤2中采用密钥长度为128bit的AES-GMAC消息认证码算法AES-GMAC128。
进一步的，所述步骤5中验证字段T'中控制发起方本地UTC时间的有效性有效性具体为：当|Tcur-t|≤Thresholdt，则验证通过；Tcur为控制接收方的本地UTC时间，Thresholdt为预设的时间阈值，t为字段T'中控制发起方的本地UTC时间。
进一步的，所述步骤7中验证orIdent.mac'字段中消息认证码的有效性具体为：将CtlString'中除字段orIdent.mac'以外的其他字段按照步骤2中预设的字段排列顺序构建新的字符串AuthString，采用与步骤2相同的认证值算法计算AuthString对应于Keyn的消息认证码Auth，若Auth与字段orIdent.mac'中的结果相同则验证通过。
进一步的，控制接收方和控制发起方共同约定在IEC61850控制模型的origin域oIdent字段中定义两个应用域，其中一个应用域为控制源ID字段标记为orIdent.id；另外一个应用域为认证值字段标记为orIdent.mac。
进一步的，将oIdent字段中的前32个字节标记为orIdent.id，将oIdent字段中的第33～48个字节标记为orIdent.mac。
有益效果：本发明通过将控制模型中orIdent字段进行分解并应用认证值算法，实现了控制源与控制信息的安全鉴别功能，并应用IEC 61850控制模型中T的控制时间信息，实现了报文防重放功能。该方法在与IEC 61850控制模型兼容的基础上，实现了对控制源与控制信息的安全鉴别功能，还具备防篡改与防重放功能，提升了电力系统信息远程控制的安全性。
附图说明
图1为SBOw模型认证结构示意图；
图2为Oper模型认证结构示意图；
图3为Cancel模型认证结构示意图；
图4为本发明的流程图。
具体实施方式
构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。
现有技术中基于IEC 61850标准的控制操作过程中，缺乏对控制信息的鉴别功能；并且符合IEC 61850标准的客户端都可以通过与被控设备建立IEC 61850连接实现对设备的控制操作。因此，存在被恶意攻击者利用中间人攻击、非法伪装合法控制源对电力系统设备进行控制的风险。因此，本实施例中提供一种基于IEC 61850标准遥控模型实现对遥控信息进行鉴别的方法，并具备防重放攻击的能力，可提升电力系统的运行安全性。
本实施例中提供了一种基于IEC 61850控制模型实现对遥控信息进行鉴别的方法：通信双方约定固定使用IEC 61850控制模型中origin域中orIdent字段的前48字节，并将前48字节划分为两部分：前32字节用于记录控制发起方的身份ID，称为控制源域，标记为orIdent.id；后面16字节用于记录控制指令的认证值，称为认证值域，标记为orIdent.mac。
通信双方约定，共同使用的认证值算法为密钥长度为128bit的AES-GMAC消息认证码算法；并且为参与控制操作的控制方发起方设定长度为32字节的身份ID与128bit身份鉴别密钥Key；控制接收方安全存储所有控制方的身份ID和身份鉴别密钥；通信双方约定的认证值算法，标记为MACStr＝AES-GMAC128(Key,String)，其中MACStr为字符串String对应于密钥Key的消息认证码，长度为128bit(16字节)。
通信双方共同约定构建字符串的构建方法，也既构建字符串时字段的排列顺序。
IEC61850控制模型包括SBOw模型，Oper模型和Cancle模型，SBOw模型认证结构如图1所示，Oper模型认证结构如图2所示，Cancle模型认证结构如图3所示。
如图4所示，本实施例的具体步骤为：
步骤1：根据实际需求在SBOw模型，Oper模型和Cancle模型中选择一个模型，控制发起方将身份ID编码至被选择模型的的OrIdent.ID字段，并将本地UTC时间编码至被选择模型的T字段，同时依据IEC 61850标准将预设的控制指令信息编码至被选择模型中，方便起见，本实施例将字段的内容等同于该字段；
步骤2：控制发起方根据被选择的模型构建控制信息的认证值字符串，其结构为CtlString＝ctlVal|orCat|orIdent.id|ctlNum|T|Test|Check，ctlVal，orCat，ctlNum，Test和Check均为预设的控制指令信息；其中Check为条件可选项，在SBOw/Oper模型中包含，在Cancel模型中不包含；然后计算认证值字符串对应的消息认证码，标记为MACCtrString＝AES-GMAC128(Key,CtlString)，其中Key为控制发起方的身份鉴别密钥；将计算获得的长度为128bit的消息认证码编码至控制模型的orIdent.mac字段，即orIdent.mac＝MACCtlString；控制发起方将被选择模型中的信息发送给控制接收方，所述信息包括控制发起方的身份ID信息，本地UTC时间信息，消息认证码以及控制指令信息等；
步骤3：控制接收方解析收到的信息，获得遥控字符串CtlString'＝ctlVal'|orCat'|orIdent.id'|orIdent.mac'|ctlNum'|T'|Test'|Check'；Check'为条件可选项,在SBOw/Oper模型中包含，在Cancel模型中不包含；
步骤4：控制接收方提取字段T'中控制指令时间信息(也既控制发起方的本地UTC时间)t并与控制接收方当前本地UTC时间Tcur进行比较，若时间差值在最大时间允许门槛Thresholdt范围内，即|Tcur-t|≤Thresholdt，则判定遥控指令时间信息有效；否则判定为无效，拒绝执行该控制指令；
步骤5：控制接收方完成验证时间信息的有效性后，提取orIdent.id'中长度为32字节的身份ID信息，并遍历控制接收方本地安全存储的所有身份ID信息，若第n个身份ID与orIdent.id'匹配，即IDn≡orIdent.id'，则判定身份信息验证成功；否则拒绝执行该控制指令；
步骤6：身份信息验证成功后，得到控制接收方本地存储的与第n个身份ID信息IDn对应的身份鉴别密钥Keyn，提取orIdent.mac'；将CtlString'中除字段orIdent.mac'以外的其他字段，预设的字符串构建顺序重新构建新的字符串AuthString＝ctlVal'|orCat'|orIdent.id'|ctlNum'|T'|Test'|Check'，其中Check'为条件可选项，在SBOw/Oper模型包含，在Cancel模型中不包含；然后计算AuthString对应于Keyn的消息认证码，标记为Auth＝AES-GMAC128(Keyn,AuthString)；若Auth≡orIdent.mac'，则判定控制信息鉴别校验成功，执行控制指令；否则判定校验失败，拒绝执行该控制指令。
上面结合附图对本发明的实施方式作了详细说明，但是本发明并不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。

Claims (6)

1.基于IEC61850控制模型的控制信息安全鉴别方法，其特征在于，IEC61850控制模型包括SBOw模型，Oper模型和Cancle模型三个模型；该法具体包括如下步骤：
步骤1：根据需求在上述三个模型中选择一个模型；将控制发起方的身份ID信息编码至被选择模型的orIdent.id字段中，将控制发起方的本地UTC时间信息编码至被选择模型的T字段中，并根据IEC61850标准将预设的控制指令编码至被选择模型中；
步骤2：根据被选择模型中的信息和预设的字段排列顺序，建立认证字符串CtlString；采用认证值算法计算CtlString对应于Key的消息认证码MACCtrString，将MACCtrString编码至被选择模型的orIdent.mac字段中，Key为控制发起方的身份鉴别密钥；
步骤3：将被选择模型中的信息发送至控制接收方；
步骤4：控制接收方解析收到的信息后得到字符串CtlString'，CtlString'包括含有控制发起方本地UTC时间信息的字段T'，含有控制发起方身份ID信息的字段orIdent.id'和含有MACCtrString的字段orIdent.mac'；
步骤5：验证字段T'中控制发起方本地UTC时间的有效性，若验证通过，则转步骤6，否则拒绝执行预设的控制指令；
步骤6：若控制接收方本地存储的第n个身份ID信息IDn与orIdent.id'中身份ID信息相同，则转步骤7；否则拒绝执行预设的控制指令；
步骤7：根据控制接收方本地存储的与IDn对应的身份鉴别密钥Keyn验证orIdent.mac'字段中消息认证码的有效性，若验证通过，则执行预设的控制指令，否则拒绝执行预设的控制指令。
2.根据权利要求1所述的基于IEC61850控制模型的控制信息安全鉴别方法，其特征在于，所述步骤2中认证值算法为密钥长度为128bit的AES-GMAC消息认证码算法AES-GMAC128。
3.根据权利要求1所述的基于IEC61850控制模型的控制信息安全鉴别方法，其特征在于，所述步骤5中验证字段T'中控制发起方本地UTC时间的有效性有效性具体为：当|Tcur-t|≤Thresholdt，则验证通过；Tcur为控制接收方的本地UTC时间，Thresholdt为预设的时间阈值，t为字段T'中控制发起方的本地UTC时间。
4.根据权利要求1所述的基于IEC61850控制模型的控制信息安全鉴别方法，其特征在于，所述步骤7中验证orIdent.mac'字段中消息认证码的有效性具体为：将CtlString'中除字段orIdent.mac'以外的其他字段按照步骤2中预设的字段排列顺序构建新的字符串AuthString，采用与步骤2相同的认证值算法计算AuthString对应于Keyn的消息认证码Auth，若Auth与字段orIdent.mac'中的结果相同则验证通过。
5.根据权利要求1所述的基于IEC61850控制模型的控制信息安全鉴别方法，其特征在于，控制接收方和控制发起方共同约定在IEC61850控制模型的origin域oIdent字段中定义两个应用域，其中一个应用域为控制源ID字段标记为orIdent.id；另外一个应用域为认证值字段标记为orIdent.mac。
6.根据权利要求5所述的基于IEC61850控制模型的控制信息安全鉴别方法，其特征在于，将oIdent字段中的前32个字节标记为orIdent.id，将oIdent字段中的第33～48个字节标记为orIdent.mac。
CN202110666721.6A 2021-06-16 2021-06-16 基于iec61850控制模型的控制信息安全鉴别方法 Active CN113556231B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110666721.6A CN113556231B (zh) 2021-06-16 2021-06-16 基于iec61850控制模型的控制信息安全鉴别方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110666721.6A CN113556231B (zh) 2021-06-16 2021-06-16 基于iec61850控制模型的控制信息安全鉴别方法

Publications (2)

Publication Number Publication Date
CN113556231A true CN113556231A (zh) 2021-10-26
CN113556231B CN113556231B (zh) 2024-04-09

Family

ID=78102190

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110666721.6A Active CN113556231B (zh) 2021-06-16 2021-06-16 基于iec61850控制模型的控制信息安全鉴别方法

Country Status (1)

Country Link
CN (1) CN113556231B (zh)

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1184774A1 (en) * 2000-09-01 2002-03-06 Sony Corporation Data alteration checking apparatus and method and recording medium
US20050050321A1 (en) * 2003-07-24 2005-03-03 Sony Corporation Electronic device and method for updating authentication reference information
CN1645790A (zh) * 2005-01-23 2005-07-27 姚忠凯 一种用于收发双方之间认证报文的方法
CN102355062A (zh) * 2011-10-17 2012-02-15 浙江省电力试验研究院 Iec61850继电保护模型校验方法
US20130124727A1 (en) * 2010-07-28 2013-05-16 Korea Electric Power Corporation Client suitability test apparatus and method for a substation automating system
CN104702466A (zh) * 2015-02-12 2015-06-10 中国南方电网有限责任公司 一种基于iec62351的过程层安全测试系统及方法
CN109040120A (zh) * 2018-09-13 2018-12-18 南京工程学院 一种基于iec61850标准的sv报文加密及解密方法
CN109787356A (zh) * 2018-12-11 2019-05-21 许昌许继软件技术有限公司 一种基于iec61850规约的变电站遥控防误操作方法及系统
CN110058993A (zh) * 2019-01-15 2019-07-26 许继集团有限公司 一种基于测试脚本的iec61850控制服务一致性测试方法及装置

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1184774A1 (en) * 2000-09-01 2002-03-06 Sony Corporation Data alteration checking apparatus and method and recording medium
US20050050321A1 (en) * 2003-07-24 2005-03-03 Sony Corporation Electronic device and method for updating authentication reference information
CN1645790A (zh) * 2005-01-23 2005-07-27 姚忠凯 一种用于收发双方之间认证报文的方法
US20130124727A1 (en) * 2010-07-28 2013-05-16 Korea Electric Power Corporation Client suitability test apparatus and method for a substation automating system
CN102355062A (zh) * 2011-10-17 2012-02-15 浙江省电力试验研究院 Iec61850继电保护模型校验方法
CN104702466A (zh) * 2015-02-12 2015-06-10 中国南方电网有限责任公司 一种基于iec62351的过程层安全测试系统及方法
CN109040120A (zh) * 2018-09-13 2018-12-18 南京工程学院 一种基于iec61850标准的sv报文加密及解密方法
CN109787356A (zh) * 2018-12-11 2019-05-21 许昌许继软件技术有限公司 一种基于iec61850规约的变电站遥控防误操作方法及系统
CN110058993A (zh) * 2019-01-15 2019-07-26 许继集团有限公司 一种基于测试脚本的iec61850控制服务一致性测试方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
JINHU ZHANG等: "Design and Implementation of IEC61850 Communication Security Protection Scheme for Smart Substation based on Bilinear Function", 《2020 IEEE 4TH INFORMATION TECHNOLOGY, NETWORKING, ELECTRONIC AND AUTOMATION CONTROL CONFERENCE (ITNEC)》, 4 May 2020 (2020-05-04) *
李劲松等: "基于IEC61850的智能变电站数据隐私保护方法研究", 《智慧电力》, 20 July 2019 (2019-07-20) *

Also Published As

Publication number Publication date
CN113556231B (zh) 2024-04-09

Similar Documents

Publication Publication Date Title
CN109712278B (zh) 智能门锁身份认证方法、系统、可读存储介质及移动终端
CN107911373B (zh) 一种区块链权限管理方法及系统
CN108173822A (zh) 智能门锁管控方法、智能门锁及计算机可读存储介质
CN101742499A (zh) 一种用于移动通讯设备终端的账号保护系统及其应用方法
CN108881243B (zh) 基于CPK的Linux操作系统登录认证方法、设备、终端及服务器
CN111143856A (zh) 一种plc远程固件升级系统及方法
CN109474419A (zh) 一种活体人像照片加密、解密方法及加解密系统
CN104506500A (zh) 一种基于变电站的goose报文认证方法
CN106685775A (zh) 一种智能家电自检式防入侵方法及系统
CN104754571A (zh) 用于多媒体数据传输的用户认证实现方法、装置及其系统
CN103714017A (zh) 一种认证方法、认证装置及认证设备
CN111435389A (zh) 一种配电终端运维工具安全防护系统
CN111104655B (zh) 一种bmc登录方法及相关装置
CN108462699A (zh) 基于时序加密的二维码生成及验证方法和系统
CN113556231B (zh) 基于iec61850控制模型的控制信息安全鉴别方法
CN109326018B (zh) 一种防止锁具被复制的认证方法、装置及系统和电子钥匙
CN105635090B (zh) 系统访问方法、系统访问装置和终端
CN112102524A (zh) 开锁方法和开锁系统
CN109995763A (zh) 一种基于云锁的指纹头加密方法及系统
CN112995140B (zh) 安全管理系统及方法
CN115865360A (zh) 基于安全组件的可信身份令牌的连续电子签名方法及系统
CN108960385A (zh) 基于多重秘钥加密的二维码生成及验证方法和系统
CN112184960B (zh) 一种智能锁控制方法、装置、智能锁、系统和存储介质
CN1647497A (zh) 用于对系统进行远程控制和/或调节的方法
CN106685931A (zh) 智能卡应用管理方法和系统、终端和智能卡

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant