CN113824705A - 一种Modbus TCP协议的安全加固方法 - Google Patents

一种Modbus TCP协议的安全加固方法 Download PDF

Info

Publication number
CN113824705A
CN113824705A CN202111061932.3A CN202111061932A CN113824705A CN 113824705 A CN113824705 A CN 113824705A CN 202111061932 A CN202111061932 A CN 202111061932A CN 113824705 A CN113824705 A CN 113824705A
Authority
CN
China
Prior art keywords
client
server
key
information
data packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111061932.3A
Other languages
English (en)
Other versions
CN113824705B (zh
Inventor
江钰杰
汪京培
汪慕峰
赵成成
车欣
程鹏
陈积明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang University ZJU
Original Assignee
Zhejiang University ZJU
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang University ZJU filed Critical Zhejiang University ZJU
Priority to CN202111061932.3A priority Critical patent/CN113824705B/zh
Publication of CN113824705A publication Critical patent/CN113824705A/zh
Application granted granted Critical
Publication of CN113824705B publication Critical patent/CN113824705B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40228—Modbus

Abstract

本发明公开了一种Modbus TCP协议的安全加固方法，解决了Modbus TCP协议缺乏认证、授权机制、缺乏完整性检测、数据包明文传输易被篡改的问题，能够有效地防范中间人攻击、重放攻击以及功能码滥用或操作人员误操作等攻击。该方法包括：添加时间戳机制，判断通信过程是否受到重放攻击；利用数字签名技术，完成对客户端的认证以及数据包的完整性检测，防止攻击者篡改数据或假冒客户端向服务器发送数据包；利用白名单技术进行访问控制，防止客户端对任一服务器进行任意操作，以及工作人员的误操作；利用密钥协商以及加解密机制，进行加密通信，防止攻击者截获数据包，轻易获得数据包通信内容。

Description

一种Modbus TCP协议的安全加固方法
技术领域
本发明属于工业控制系统通信协议安全领域，具体是涉及一种Modbus TCP 协议的安全加固方法。
背景技术
工业控制系统是包括监控和数据采集系统、分布控制系统等多种类型控制系统的总称，由多个自动化控制组件以及对实时数据进行采集和监控的过程控制组件共同组成。工业控制系统广泛应用于电力、石油石化、核能、航空、铁路等多个行业中，是维持国家关键基础设施稳定运行的重要部分。
早期的工业控制系统有其专用的软硬件，独立运行，与外界设备隔离，相对封闭，设计系统架构时主要考虑其实用性和稳定性，未考虑其安全性。
Modbus协议由Modicon公司于1979年发表，因其公开发表、结构简单、易于开发等特性，成为工业控制系统中最常用的通信协议。Modbus协议是一项应用层报文传输协议，包括ASCII、RTU、TCP三种报文类型，通讯端口是502 号端口。其中，Modbus TCP协议基于以太网接口，采用主从站通信方式进行面向连接的可靠通信。该协议数据帧由MBAP报文头和协议数据单元组成，7字节的报文头包括事务处理标识、协议标识、长度、单元标识符字段，协议数据单元包括功能码和数据。Modbus客户端生成请求消息发给服务器端，服务器端执行功能码定义的操作并发送响应给客户端，客户端接受服务器端的响应数据。
由于传统工业控制系统的封闭性，不存在与其他设备通过网络数据交换的情况，因此Modbus等工控协议在设计之初都未考虑其信息安全，而更多地考虑的是功能安全和物理安全。通过对Modbus TCP协议结构以及通信过程的研究，该协议通信过程存在以下安全问题：
(1)明文传输
Modbus TCP协议通信过程中，功能码、地址等重要数据采用明文传输，攻击者可以轻易截获数据包并解析，获得设备运行状态等相关重要信息，为之后的攻击做准备。
(2)缺乏认证
Modbus TCP协议通信过程中，攻击者只要连接网络，使用合法的IP地址和功能码就能与服务器建立Modbus通信会话。需要认证技术用于确保服务器设备只接受经过认证的客户端发出的通信数据包，丢弃未经认证客户端的数据包。
(3)缺乏授权
Modbus TCP协议通信过程中，没有针对不同用户分类及权限划分机制，导致任意一个客户端可以任何服务器执行所有操作，存在工作人员误操作和遭受内部攻击的可能性。
(4)重放攻击
攻击者截获协议通信过程中的数据包，假装客户端反复将截获的数据包发送给服务器，达到欺骗系统的目的进行攻击。
(5)数据篡改攻击
Modbus TCP协议通信过程中，攻击者对传输的数据包中数据进行篡改，将篡改后的数据发给服务器，导致服务器无法执行服务或执行危险行为，影响工业控制系统的正常运行状态。
因此，在不改变Modbus TCP协议原有简单开放的优点的情况下，对Modbus TCP协议进行安全加固，保证工业控制系统客户端和服务器的安全可靠通信，减少攻击者侵入的可能，至关重要。
发明内容
本发明的目的在于针对现有工业通信协议安全加固技术的不足以及工业通信协议易受攻击的问题，提出一种Modbus TCP协议的安全加固方法。
本发明的目的是通过以下技术方案实现的：一种Modbus TCP协议的安全加固方法，该方法包括以下步骤：
S1：Modbus TCP客户端和服务器进行密钥协商，客户端和服务器分别生成公钥和私钥Kcpub、Kcpri、Kspub、Kspri，并交换公钥。客户端生成对称密钥key，加密后发送给服务器，以便实现对数据包的加/解密。
S2：通过实时获取Modbus TCP客户端中的时钟信息得到时间戳信息TSci，在客户端发出的请求信息Mreq前添加该字段，形成带时间戳的请求信息 TSci|Mreq。其中c表示客户端client，i表示客户端和服务器之间的第i次通信，i 的取值为正整数。
S3：使用哈希算法对S2中生成的带时间戳的请求信息TSci|Mreq进行计算，生成特定长度的摘要信息Digestci＝(TSci|Mreq)hash。
S4：使用客户端私钥Kcpri加密摘要信息，生成签名[Digestci]Kcpri，将生成的签名字段添加在带时间戳的请求信息后，形成带时间戳和数字签名的请求信息 Mci＝TSci|Mreq|[Digestci]Kcpri。
S5：使用对称密钥key加密带时间戳和数字签名的请求信息，形成完整的 ModbusTCP请求信息Mreqfinal＝{Mci}key，将请求信息发送给服务器。
S6：服务器接受到请求消息后，用对称密钥key，将请求信息解密为 TSci|Mreq|[Digestci]Kcpri。
S7：将[Digestci]Kcpri用客户端公钥Kcpub进行解密，还原带时间戳请求消息的摘要信息Digestci＝(TSci|Mreq)hash。
S8：利用请求消息中前半部分带时间戳的请求数据TSci|Mreq通过哈希算法进行计算，计算出摘要信息Digestsi＝(TSci|Mreq)hash，并将Digestci与还原的Digestsi进行比较，若相同则进行步骤9，不相同则丢弃数据包，并向客户端返回错误信息。
S9：将请求数据包中的时间戳信息TSci与当前系统时钟信息相比，若时间间隔小于一定的消息传输时间间隔阈值，则进行步骤10；否则，说明该数据包可能受到攻击，丢弃数据包，并向客户端返回错误信息。
S10：依次检测请求消息Mreq中IP地址、设备ID、功能码、数据地址是否处于白名单中，若在白名单中则检测通过，服务器对请求消息进行处理，若不符合则丢弃数据包并向客户端返回错误信息。
S11：服务器对请求消息进行处理并生成响应数据包后，返回给客户端，实现Modbus TCP协议的安全通信。
进一步地，所述步骤S1具体包括如下步骤：
S101：客户端和服务器各自生成公私钥Kcpub、Kcpri、Kspub、Kspri；
S102：客户端将客户端公钥Kcpub发送给服务器；
S103：服务器将服务器公钥Kspub发送给客户端；
S104：客户端根据算法生成对称密钥key，用服务器公钥Kspub对key进行非对称加密，并将加密后的密钥发送给服务器端，此时客户端拥有密钥Kcpub、 Kcpri、Kspub、key；
S105：服务器端用私钥Kspri进行解密，得到对称密钥key，并返回收到密钥 key的确认信息，此时服务器拥有密钥Kcpub、Kspub、Kspri、key。
进一步地，所述步骤S2和步骤S9中运用时间戳机制，通过消息传输到服务器端的时间与从客户端发出时间的时间间隔的计算，并判断时间间隔是否在合理范围内，防止攻击者截获之前的合法数据包，进行重放攻击。
进一步地，所述步骤S3和步骤S8中对数据包发送前后的同一明文信息进行哈希计算，生成摘要信息进行比对，实现完整性检测。若服务器与客户端生成的摘要信息不相同，说明数据包的信息遭到了篡改，通信过程受到攻击。
进一步地，所述步骤S4和步骤S7中用客户端自己特有的私钥进行加密，在服务器端用客户端的公钥进行解密，验证客户端身份。
进一步地，所述步骤S5和步骤S6中使用适合进行大数据量加密的对称加密方法进行加解密，避免明文传输数据易被攻击者获取。
进一步地，所述步骤S10中解析Mreq请求消息后具体包括如下步骤：
S1001：判断IP地址是否在设置的白名单中，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包；
S1002：判断设备ID是否在白名单IP地址已授权的设备ID范围中，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包；
S1003：判断功能码是否在白名单已授权的设备的允许功能码范围中，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包；
S1004：判断数据地址是否超出白名单中设置的数据地址范围，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包。
进一步地，所述步骤S11中，响应信息按照S2-S10的顺序执行相应操作后，返回给客户端，如此循环，实现Modbus TCP协议的安全通信。
本发明地有益之处在于：
1.不用改变Modbus协议原有的格式简单、通用的特性，加入一些安全加固机制，可以有效地缓解一些安全问题。虽然通信时间相较于原先有所加长，但该方法能够提高工控系统Modbus协议通信的安全性，且通信时间在系统运行允许的范围内。
2.能有效防止重放攻击。通过在发送消息中嵌入时间戳机制，比较接收消息的时间戳字段与本地系统时间，若差值在一定范围内，则说明未遭受重放攻击。
3.能有效防止操作者误操作带来的重大损失。利用白名单机制限制客户端的操作权限，只能对特定IP地址的一定设备ID范围的PLC的特定地址范围执行某一功能码范围内的操作，这一方法能有效防止工作人员误操作发送重启或关机等高危命令，避免大型工业控制系统停机或损坏造成重大损失。
4.有效防止攻击者截获并解析数据包内容进行后续攻击准备。通过密钥交换和加/解密模块将明文数据加密运输，攻击者即便截获数据包，无法获得加解密密钥就无法获取传输数据信息。
5.有效防止攻击者篡改数据。运用哈希算法的单向性，比较数据运输前后的摘要，若数据包被攻击者篡改，摘要内容不匹配，则说明攻击者对消息发起篡改攻击。
6.有效解决原Modbus TCP协议通信过程中，攻击者只要有一个合法的IP 地址和功能码就能对PLC进行控制的问题。根据私钥仅生成者本人私有而不为他人所知而公钥则是公之于众的特性，利用私钥加密公钥解密的方法，认证发送消息的客户端身份。
附图说明
图1为本发明具体实施例中Modbus TCP协议的安全加固方法的架构图；
图2为本发明具体实施例中授权机制白名单方法判断流程图。
具体实施方式
下面结合附图对本发明作进一步说明。
本发明的基本架构如图1，添加时间戳机制，判断通信过程是否受到重放攻击；利用数字签名技术，完成对客户端的认证以及数据包的完整性检测，防止攻击者篡改数据或假冒客户端向服务器发送数据包；利用白名单技术进行访问控制，防止客户端对任一服务器进行任意操作，以及工作人员的误操作；利用密钥协商以及加解密机制，进行加密通信，防止攻击者截获数据包，轻易获得数据包通信内容。
为了解决Modbus TCP通信中数据明文传输易被攻击者窃取的问题，对数据包进行加密。加密算法分为对称加密算法和非对称加密算法，对称加密算法加密速度快适合对大数据量进行加解密，但对称密钥易被窃取，不容易管理；非对称加密算法密钥不易被窃取安全性高，但该算法加密速度慢适合小数量加解密，同时适用于数字签名。因此，将非对称加密算法用于小数量的对称密钥的交换，对称加密算法用于较大数量的通信数据包加密传输。非对称算法可选用运算速度快、资源消耗低的椭圆曲线加密算法，对称加密算法选用运算速度快，安全性高的AES算法。
具体实施方法分客户端和服务器两端分别部署。使用加密算法前首先要进行密钥协商，保证客户端和服务器拥有相同的密钥进行对称加密。客户端和服务器分别随机生成数字k1、k2作为各自的私钥Kcpub、Kspub，将私钥乘上基点 G，生成客户端的私钥Kcpri＝k1G，服务器的私钥Kcpri＝k2G。客户端和服务器建立通信，互换公钥。客户端生成另一个随机数作为对称密钥key，用客户端公钥Kcpub加密后发送给服务器，服务器返回收到对称密钥的确认信息，完成对称密钥交换。
密钥协商完成后，客户端部署流程为调用gettimeofday函数在请求信息Mreq前加入时间戳字段TSci；利用哈希算法对带时间戳的请求消息进行计算，生成固定长度的摘要信息Digestci＝(TSci|Mreq)hash；客户端用其私钥Kcpri对摘要信息Digestc1加密生成数字签名，置于带时间戳的请求消息后，生成消息序列 Mci＝TSci|Mreq|[Digestci]Kcpri；最后对消息序列进行AES对称加密，形成最终的请求数据包Mreqfinal＝{TSci|Mreq|[Digestci]Kcpri}key，发送给服务器。
服务器一接收到请求数据包即对数据包用对称密钥key进行解密生成 TSci|Mreq|[Digestci]Kcpri，完成加密通信。接着服务器进行三个判断，完成对通信过程中的篡改信息、重放攻击、功能码滥用的防御工作。首先对带客户端时间戳的请求信息TSci|Mreq进行哈希计算，生成固定长度的摘要信息 Digestsi＝(TSci|Mreq)hash，与接收到的摘要信息Digestci进行对比，若相同则进行下一步骤，若不相同则判断消息在传输过程中遭到篡改，丢弃数据包；接着比较客户端发送的时间戳TSci与当前系统时间的差值，若小于设置的阈值则进行下一步骤，否则判断其遭受重放攻击，丢弃数据包；最后，设定客户端权限白名单，按照图2的顺序验证请求数据中的IP地址、设备ID、功能码、数据地址，是否在白名单中，如果在白名单中，继续生成响应信息，否则丢弃数据包。
上述实施例用来解释说明本发明，而不是对本发明进行限制，在本发明的精神和权利要求的保护范围内，对本发明作出的任何修改和改变，都落入本发明的保护范围。

Claims (8)

1.一种Modbus TCP协议的安全加固方法，其特征在于，包括如下步骤：
S1：Modbus TCP客户端和服务器进行密钥协商，客户端和服务器分别生成公钥和私钥Kcpub、Kcpri、Kspub、Kspri，并交换公钥。客户端生成对称密钥key，加密后发送给服务器，以便实现对数据包的加/解密。
S2：通过实时获取Modbus TCP客户端中的时钟信息得到时间戳信息TSci，在客户端发出的请求信息Mreq前添加该字段，形成带时间戳的请求信息TSci|Mreq。其中c表示客户端client，i表示客户端和服务器之间的第i次通信，i的取值为正整数。
S3：使用哈希算法对S2中生成的带时间戳的请求信息TSci|Mreq进行计算，生成特定长度的摘要信息Digestci＝(TSci|Mreq)hash。
S4：使用客户端私钥Kcpri加密摘要信息，生成签名[Digestci]Kcpri，将生成的签名字段添加在带时间戳的请求信息后，形成带时间戳和数字签名的请求信息Mci＝TSci|Mreq|[Digestci]Kcpri。
S5：使用对称密钥key加密带时间戳和数字签名的请求信息，形成完整的Modbus TCP请求信息Mreqfinal＝{Mci}key，将请求信息发送给服务器。
S6：服务器接受到请求消息后，用对称密钥key将请求信息解密为TSci|Mreq|[Digestci]Kcpri。
S7：将[Digestci]Kcpri用客户端公钥Kcpub进行解密，还原带时间戳请求消息的摘要信息Digestci＝(TSci|Mreq)hash。
S8：利用请求消息中前半部分带时间戳的请求数据TSci|Mreq通过哈希算法进行计算，计算出摘要信息Digestsi＝(TSci|Mreq)hash，并将Digestci与还原的Digestsi进行比较，若相同则进行步骤9，不相同则丢弃数据包，并向客户端返回错误信息。
S9：将请求数据包中的时间戳信息TSci与当前系统时钟信息相比，若时间间隔小于一定的消息传输时间间隔阈值，则进行步骤10；否则，说明该数据包可能受到攻击，丢弃数据包，并向客户端返回错误信息。
S10：依次检测请求消息Mreq中IP地址、设备ID、功能码、数据地址是否处于白名单中，若在白名单中则检测通过，服务器对请求消息进行处理，若不符合则丢弃数据包并向客户端返回错误信息。
S11：服务器对请求消息进行处理并生成响应数据包后，返回给客户端，实现ModbusTCP协议的安全通信。
2.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S1具体包括如下步骤：
S101：客户端和服务器各自生成公私钥Kcpub、Kcpri、Kspub、Kspri；
S102：客户端将客户端公钥Kcpub发送给服务器；
S103：服务器将服务器公钥Kspub发送给客户端；
S104：客户端生成对称密钥key，用服务器公钥Kspub对key进行非对称加密，并将加密后的密钥发送给服务器端，此时客户端拥有密钥Kcpub、Kcpri、Kspub、key；
S105：服务器端用私钥Kspri进行解密，得到对称密钥key，并返回收到密钥key的确认信息，此时服务器拥有密钥Kcpub、Kspub、Kspri、key。
3.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S2和步骤S9中运用时间戳机制，通过消息传输到服务器端的时间与从客户端发出时间的时间间隔的计算，并判断时间间隔是否在合理范围内，防止攻击者截获合法数据包，进行重放攻击。
4.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S3和步骤S8中对数据包发送前后的同一明文信息进行哈希计算，生成摘要信息进行比对，实现完整性检测。若服务器与客户端生成的摘要信息不相同，说明数据包的信息遭到了篡改，通信过程受到攻击。
5.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S4和步骤S7中用客户端自己特有的私钥进行加密，在服务器端用客户端的公钥进行解密，验证客户端身份。
6.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S5和步骤S6中使用适合进行大数据量加密的对称加密方法进行加解密，避免明文传输数据易被攻击者获取。
7.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S10中解析Mreq请求消息后具体包括如下步骤：
S1001：判断IP地址是否在设置的白名单中，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包；
S1002：判断设备ID是否在白名单IP地址已授权的设备ID范围中，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包；
S1003：判断功能码是否在白名单已授权的设备的允许功能码范围中，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包；
S1004：判断数据地址是否超出白名单中设置的数据地址范围，若在白名单中则进行下一步，若不在，则无权限进行后续操作，舍弃数据包。
8.根据权利要求1所述的Modbus TCP协议的安全加固方法，其特征在于，所述步骤S11中，生成的响应信息按照S2-S10的顺序执行相应操作后，返回给客户端，如此循环，实现Modbus TCP协议的安全通信。
CN202111061932.3A 2021-09-10 2021-09-10 一种Modbus TCP协议的安全加固方法 Active CN113824705B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111061932.3A CN113824705B (zh) 2021-09-10 2021-09-10 一种Modbus TCP协议的安全加固方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111061932.3A CN113824705B (zh) 2021-09-10 2021-09-10 一种Modbus TCP协议的安全加固方法

Publications (2)

Publication Number Publication Date
CN113824705A true CN113824705A (zh) 2021-12-21
CN113824705B CN113824705B (zh) 2022-05-10

Family

ID=78922019

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111061932.3A Active CN113824705B (zh) 2021-09-10 2021-09-10 一种Modbus TCP协议的安全加固方法

Country Status (1)

Country Link
CN (1) CN113824705B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114531237A (zh) * 2022-04-21 2022-05-24 八维通科技有限公司 基于嵌入式平台的集成网关的根密钥升级方法
CN115002048A (zh) * 2022-05-31 2022-09-02 珠海格力电器股份有限公司 一种数据传输方法、装置、电子设备及存储介质
CN115208696A (zh) * 2022-09-14 2022-10-18 东方电子股份有限公司 一种变电站远动装置的远程通信方法及装置
CN116684203A (zh) * 2023-08-03 2023-09-01 南京南自华盾数字技术有限公司 一种无代码变动实现ModbusTCP协议安全保护的方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102546179A (zh) * 2011-12-31 2012-07-04 珠海市君天电子科技有限公司 一种服务器端和客户端之间的身份验证方法
CN103581173A (zh) * 2013-09-11 2014-02-12 北京东土科技股份有限公司 一种基于工业以太网的数据安全传输方法、系统及装置
CN105721500A (zh) * 2016-04-10 2016-06-29 北京工业大学 一种基于TPM的Modbus/TCP协议的安全增强方法
US20200128042A1 (en) * 2017-07-05 2020-04-23 Singapore University Of Technology And Design Communication method and apparatus for an industrial control system
CN113190840A (zh) * 2021-04-01 2021-07-30 华中科技大学 边云协同下基于dcgan的工业控制系统入侵检测架构及方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102546179A (zh) * 2011-12-31 2012-07-04 珠海市君天电子科技有限公司 一种服务器端和客户端之间的身份验证方法
CN103581173A (zh) * 2013-09-11 2014-02-12 北京东土科技股份有限公司 一种基于工业以太网的数据安全传输方法、系统及装置
CN105721500A (zh) * 2016-04-10 2016-06-29 北京工业大学 一种基于TPM的Modbus/TCP协议的安全增强方法
US20200128042A1 (en) * 2017-07-05 2020-04-23 Singapore University Of Technology And Design Communication method and apparatus for an industrial control system
CN113190840A (zh) * 2021-04-01 2021-07-30 华中科技大学 边云协同下基于dcgan的工业控制系统入侵检测架构及方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
罗旋: "工业现场总线modbus协议的安全技术研究与实现", 《中国优秀硕士学位论文全文数据库（电子期刊）》 *
许建锋等: "基于Modbus/TCP的发电厂DCS网关网络信息安全存储系统设计", 《现代电子技术》 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114531237A (zh) * 2022-04-21 2022-05-24 八维通科技有限公司 基于嵌入式平台的集成网关的根密钥升级方法
CN114531237B (zh) * 2022-04-21 2022-07-19 八维通科技有限公司 基于嵌入式平台的集成网关的根密钥升级方法
CN115002048A (zh) * 2022-05-31 2022-09-02 珠海格力电器股份有限公司 一种数据传输方法、装置、电子设备及存储介质
CN115002048B (zh) * 2022-05-31 2023-09-12 珠海格力电器股份有限公司 一种数据传输方法、装置、电子设备及存储介质
CN115208696A (zh) * 2022-09-14 2022-10-18 东方电子股份有限公司 一种变电站远动装置的远程通信方法及装置
CN116684203A (zh) * 2023-08-03 2023-09-01 南京南自华盾数字技术有限公司 一种无代码变动实现ModbusTCP协议安全保护的方法及系统
CN116684203B (zh) * 2023-08-03 2023-12-22 南京南自华盾数字技术有限公司 一种无代码变动实现ModbusTCP协议安全保护的方法及系统

Also Published As

Publication number Publication date
CN113824705B (zh) 2022-05-10

Similar Documents

Publication Publication Date Title
CN113824705B (zh) 一种Modbus TCP协议的安全加固方法
CN108429730B (zh) 无反馈安全认证与访问控制方法
CN108965215B (zh) 一种多融合联动响应的动态安全方法与系统
CN110069918B (zh) 一种基于区块链技术的高效双因子跨域认证方法
US7698555B2 (en) System and method for enabling secure access to a program of a headless server device
CN106789015B (zh) 一种智能配电网通信安全系统
CN111245862A (zh) 一种物联网终端数据安全接收、发送的系统
Wang et al. NOTSA: Novel OBU with three-level security architecture for internet of vehicles
Xuan et al. Research and implementation of Modbus TCP security enhancement protocol
Patel et al. Improving the cyber security of SCADA communication networks
CN112118106B (zh) 一种基于标识密码的轻量级端到端安全通信认证方法
CN111770071B (zh) 一种网络隐身场景下网关认证可信设备的方法和装置
Saxena et al. Efficient signature scheme for delivering authentic control commands in the smart grid
CN111988328A (zh) 一种新能源厂站发电单元采集终端数据安全保障方法及系统
Rodrigues et al. SCADA security device: design and implementation
CN115549932A (zh) 一种面向海量异构物联网终端的安全接入系统及接入方法
CN112615866A (zh) Tcp连接的预认证方法、装置和系统
CN112202773B (zh) 一种基于互联网的计算机网络信息安全监控与防护系统
Luo et al. Security enhancement mechanism of modbus TCP protocol
CN108282337B (zh) 一种基于可信密码卡的路由协议加固方法
Zhang et al. A systematic approach to formal analysis of QUIC handshake protocol using symbolic model checking
Zou et al. Information Security Transmission Technology in Internet of Things Control System.
CN112995140B (zh) 安全管理系统及方法
Li et al. Replay attack and Defense of electric vehicle charging on GB/T 27930-2015 communication protocol
CN210839642U (zh) 一种物联网终端数据安全接收、发送的装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant