CN114006729B - 一种低压电力线载波通信可信接入管理方法及系统 - Google Patents

Abstract

本发明公开了一种低压电力线载波通信可信接入管理方法及系统，其中，一种低压电力线载波通信可信接入管理方法包括，通过交换模块接收和过滤来自可信接入请求点的分组数据，并将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块进行分析处理；通过验证协议处理模块解析分组数据内容，将符合验证协议的分组数据发送至接入验证模块，并删除不符合验证协议的分组数据；接入验证模块通过调用接口，对符合验证协议的分组数据进行验证判决；端口状态控制模块根据验证判决结果控制交换模块各个端口的连接状态，并对交换模的数据过滤操作进行管理；本发明降低了安全认证的复杂度，能够满足大量终端设备对于安全性和实用性的需求。

Description

一种低压电力线载波通信可信接入管理方法及系统

技术领域

本发明涉及可信网络接入管理的技术领域，尤其涉及一种低压电力线载波通信可信接入管理方法及系统。

背景技术

网络技术的高速发展给使用者带来高效信息交互的同时,也带来了网络安全和管理上的新问题。

电力线载波通信网络系统面临着蠕虫攻击、分布式拒绝服务(DDoS)和传统电力业务信息网络攻击的风险，攻击者可通过仿冒合法作业终端，违规接入网络。尽管可信网络控制系统从技术层面上将可信计算机制延伸到网络，尽可能在网络入口处阻止非法和不可信计算终端接入，以保护整个网络环境的安全。但是也存在一些问题，现有技术主要存在如下问题：(1)TNC框架中对终端和服务器之间通信的认证性、机密性和完整性没有设计有效的保护措施。(2)802.1x定义了验证机制和架构，但缺乏更详细的接入验证方法，无法满足大规模PLC终端接入需求。(3)现有的身份认证和权限管理设施无法满足大量终端设备对于安全性和实用性的需求。

发明内容

本部分的目的在于概述本发明的实施例的一些方面以及简要介绍一些较佳实施例。在本部分以及本申请的说明书摘要和发明名称中可能会做些简化或省略以避免使本部分、说明书摘要和发明名称的目的模糊，而这种简化或省略不能用于限制本发明的范围。

鉴于上述现有存在的问题，提出了本发明。

因此，本发明提供了一种低压电力线载波通信可信接入管理方法。

为解决上述技术问题，本发明提供如下技术方案：包括，通过交换模块接收和过滤来自可信接入请求点的分组数据，并将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块进行分析处理；通过所述接入验证协议处理模块解析分组数据内容，将符合验证协议的分组数据发送至接入验证模块，并删除不符合验证协议的分组数据；所述接入验证模块通过调用接口，对符合验证协议的分组数据进行验证判决；端口状态控制模块根据验证判决结果控制交换模块各个端口的连接状态，并对交换模块的数据过滤操作进行管理。

作为本发明所述的低压电力线载波通信可信接入管理方法的一种优选方案，其中：所述过滤包括，可信接入请求点将经过签名后的度量值发送到交换模块；所述交换模块先对接入设备进行身份认证，再通过接入设备的身份标识查询策略执行点上的预期值；若没有查询到该接入设备的预期值，则将获取到的度量值写入预期值列表中，完成预期值的自动采集；否则，则将所述获取到的度量值与接入设备的预期值进行比较；若所述获取到的度量值低于所述接入设备的预期值，则判定所述分组数据不可信，并删除该数据。

作为本发明所述的低压电力线载波通信可信接入管理方法的一种优选方案，其中：还包括，验证协议的类型包括发起帧、应答帧、退出帧、信息帧以及挑战帧。

作为本发明所述的低压电力线载波通信可信接入管理方法的一种优选方案，其中：所述身份标识包括，通过公私密钥对进行身份认证，并利用指纹生成所述身份标识，若身份标识发生变化，则重新生成；其中，公钥为接入设备的指纹，通过对公钥进行解密获得私钥。

作为本发明所述的低压电力线载波通信可信接入管理方法的一种优选方案，其中：所述验证判决包括，创建判决实体类，封装返回响应体；利用Bean对整体数据进行验证判决，若数据异常，创建拦截增强器返回异常数据，并关闭交换模块各个端口；否则，则开启交换模块各个端口。

作为本发明所述的低压电力线载波通信可信接入管理方法的一种优选方案，其中：所述接口为TSS接口。

作为本发明所述的低压电力线载波通信可信接入管理系统的一种优选方案，其中：包括，交换模块，用于接收和过滤来自接入请求点的分组数据，并用于将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块进行分析处理；接入验证协议处理模块，与所述交换模块连接，用于解析分组数据内容和将符合验证协议的分组数据发送至接入验证模块，并删除不符合验证协议的分组数据；接入验证模块，与所述接入验证协议处理模块连接，用于对符合验证协议的分组数据进行验证判决；端口状态控制模块，与所述接入验证模块连接，能够根据验证判决结果控制交换模块各个端口的连接状态，并用于对交换模块的数据过滤操作进行管理。

作为本发明所述的低压电力线载波通信可信接入管理系统的一种优选方案，其中：还包括，所述接入验证模块通过调用接口，对符合验证协议的分组数据进行验证判决；其中，所述接口为TSS接口。

本发明的有益效果：本发明相较于传统的认证方法能够满足大规模的设备接入需求，同时降低了安全认证的复杂度，满足大量终端设备对于安全性和实用性的需求。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其它的附图。其中：

图1为本发明第三个实施例所述的低压电力线载波通信可信接入管理系统的结构示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合说明书附图对本发明的具体实施方式做详细的说明，显然所描述的实施例是本发明的一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明的保护的范围。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其他不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发明内涵的情况下做类似推广，因此本发明不受下面公开的具体实施例的限制。

其次，此处所称的“一个实施例”或“实施例”是指可包含于本发明至少一个实现方式中的特定特征、结构或特性。在本说明书中不同地方出现的“在一个实施例中”并非均指同一个实施例，也不是单独的或选择性的与其他实施例互相排斥的实施例。

本发明结合示意图进行详细描述，在详述本发明实施例时，为便于说明，表示器件结构的剖面图会不依一般比例作局部放大，而且所述示意图只是示例，其在此不应限制本发明保护的范围。此外，在实际制作中应包含长度、宽度及深度的三维空间尺寸。

同时在本发明的描述中，需要说明的是，术语中的“上、下、内和外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一、第二或第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

本发明中除非另有明确的规定和限定，术语“安装、相连、连接”应做广义理解，例如：可以是固定连接、可拆卸连接或一体式连接；同样可以是机械连接、电连接或直接连接，也可以通过中间媒介间接相连，也可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

实施例1

本实施例提供了一种低压电力线载波通信可信接入管理方法，包括：

S1：通过交换模块100接收和过滤来自可信接入请求点的分组数据，并将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块200进行分析处理。

过滤包括如下步骤：

(1)可信接入请求点将经过签名后的度量值发送到交换模块100；

(2)交换模块100先对接入设备进行身份认证，再通过接入设备的身份标识查询策略执行点上的预期值；

具体的，通过公私密钥对进行身份认证，并利用指纹生成身份标识，若身份标识发生变化，则重新生成；其中，公钥为接入设备的指纹，通过对公钥进行解密获得私钥。

进一步的，通过接入设备的身份标识查询策略执行点上的预期值；

①若没有查询到该接入设备的预期值，则将获取到的度量值写入预期值列表中，完成预期值的自动采集；

②否则，则将获取到的度量值与接入设备的预期值进行比较；

若获取到的度量值低于接入设备的预期值，则判定分组数据不可信，并删除该数据。

其中需要说明的是，验证协议的类型包括发起帧、应答帧、退出帧、信息帧以及挑战帧；信息帧中包含了具体的协议数据内容，包括认证请求及具体内容、认证鉴别及结果、认证成功或失败以及保护请求等。

S2：通过接入验证协议处理模块200解析分组数据内容，将符合验证协议的分组数据发送至接入验证模块300，并删除不符合验证协议的分组数据。

验证协议使用基于802.1x接入控制协议，该协议扩充了认证挑战帧，并细化了可信接入数据的数据属性及格式，通过数据分组划片解决可信协议分组携带较大的可信认证数据大小的限制。

S3：接入验证模块300通过调用接口301，对符合验证协议的分组数据进行验证判决。

接口301为TSS(可信软件栈)接口，

验证判决的具体步骤如下：

(1)创建判决实体类，封装返回响应体；

(2)利用Bean对整体数据进行验证判决。

S4：端口状态控制模块400根据验证判决结果控制交换模块100各个端口的连接状态，并对交换模块100的数据过滤操作进行管理。

若判决数据异常，则创建拦截增强器返回异常数据，并关闭交换模块100各个端口；否则，则开启交换模块100各个端口。

实施例2

为了对本方法中采用的技术效果加以验证说明，本实施例选择传统的技术方案和采用本方法进行对比测试，以科学论证的手段对比试验结果，以验证本方法所具有的真实效果。

本实施例通过添加三种类型的攻击以验证本方法具有较高的安全性；在Linux编写试验系统，分别加入500个重放攻击、500个服务器伪装攻击、300个Dos攻击，通过试验系统测试传统的技术方案和本方法对攻击的拦截效果，安全认证性能如下表所示。

表1：攻击拦截率比较。

	重放攻击	服务器伪装攻击	Dos攻击
				传统的技术方案	93.8％	96.4％	86.3％
本方法	100％	99.8％	100％

表2：处理性能对比(线程吞吐量)。

线程数	传统的技术方案	本方法
			1	0.795	0.848
2	0.783	0.864
			3	0.778	0.847
4	0.769	0.891
			5	0.784	0.863
6	0.789	0.878
			7	0.794	0.876

由数据表明，本方法相较于传统的技术方案具备较高的安全性能。

实施例3

参照图1，为本发明的第三个实施例，该实施例不同于实施例1，提供了一种低压电力线载波通信可信接入管理系统，包括，

交换模块100，用于接收和过滤来自接入请求点的分组数据，并用于将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块200进行分析处理；

接入验证协议处理模块200，与交换模块100连接，用于解析分组数据内容和将符合验证协议的分组数据发送至接入验证模块300，并删除不符合验证协议的分组数据；

接入验证模块300，与接入验证协议处理模块200连接，用于对符合验证协议的分组数据进行验证判决；接入验证模块300通过调用接口301，对符合验证协议的分组数据进行验证判决；其中，接口301为TSS接口。

端口状态控制模块400，与接入验证模块300连接，能够根据验证判决结果控制交换模块100各个端口的连接状态，并用于对交换模块100的数据过滤操作进行管理。

应当认识到，本发明的实施例可以由计算机硬件、硬件和软件的组合、或者通过存储在非暂时性计算机可读存储器中的计算机指令来实现或实施。所述方法可以使用标准编程技术-包括配置有计算机程序的非暂时性计算机可读存储介质在计算机程序中实现，其中如此配置的存储介质使得计算机以特定和预定义的方式操作——根据在具体实施例中描述的方法和附图。每个程序可以以高级过程或面向对象的编程语言来实现以与计算机系统通信。然而，若需要，该程序可以以汇编或机器语言实现。在任何情况下，该语言可以是编译或解释的语言。此外，为此目的该程序能够在编程的专用集成电路上运行。

此外，可按任何合适的顺序来执行本文描述的过程的操作，除非本文另外指示或以其他方式明显地与上下文矛盾。本文描述的过程(或变型和/或其组合)可在配置有可执行指令的一个或多个计算机系统的控制下执行，并且可作为共同地在一个或多个处理器上执行的代码(例如，可执行指令、一个或多个计算机程序或一个或多个应用)、由硬件或其组合来实现。所述计算机程序包括可由一个或多个处理器执行的多个指令。

进一步，所述方法可以在可操作地连接至合适的任何类型的计算平台中实现，包括但不限于个人电脑、迷你计算机、主框架、工作站、网络或分布式计算环境、单独的或集成的计算机平台、或者与带电粒子工具或其它成像装置通信等等。本发明的各方面可以以存储在非暂时性存储介质或设备上的机器可读代码来实现，无论是可移动的还是集成至计算平台，如硬盘、光学读取和/或写入存储介质、RAM、ROM等，使得其可由可编程计算机读取，当存储介质或设备由计算机读取时可用于配置和操作计算机以执行在此所描述的过程。此外，机器可读代码，或其部分可以通过有线或无线网络传输。当此类媒体包括结合微处理器或其他数据处理器实现上文所述步骤的指令或程序时，本文所述的发明包括这些和其他不同类型的非暂时性计算机可读存储介质。当根据本发明所述的方法和技术编程时，本发明还包括计算机本身。计算机程序能够应用于输入数据以执行本文所述的功能，从而转换输入数据以生成存储至非易失性存储器的输出数据。输出信息还可以应用于一个或多个输出设备如显示器。在本发明优选的实施例中，转换的数据表示物理和有形的对象，包括显示器上产生的物理和有形对象的特定视觉描绘。

如在本申请所使用的，术语“组件”、“模块”、“系统”等等旨在指代计算机相关实体，该计算机相关实体可以是硬件、固件、硬件和软件的结合、软件或者运行中的软件。例如，组件可以是，但不限于是：在处理器上运行的处理、处理器、对象、可执行文件、执行中的线程、程序和/或计算机。作为示例，在计算设备上运行的应用和该计算设备都可以是组件。一个或多个组件可以存在于执行中的过程和/或线程中，并且组件可以位于一个计算机中以及/或者分布在两个或更多个计算机之间。此外，这些组件能够从在其上具有各种数据结构的各种计算机可读介质中执行。这些组件可以通过诸如根据具有一个或多个数据分组(例如，来自一个组件的数据，该组件与本地系统、分布式系统中的另一个组件进行交互和/或以信号的方式通过诸如互联网之类的网络与其它系统进行交互)的信号，以本地和/或远程过程的方式进行通信。

应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (3)

1.一种低压电力线载波通信可信接入管理方法，其特征在于：包括，

通过交换模块(100)接收和过滤来自可信接入请求点的分组数据，并将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块(200)进行分析处理；

通过所述接入验证协议处理模块(200)解析分组数据内容，将符合验证协议的分组数据发送至接入验证模块(300)，并删除不符合验证协议的分组数据；

所述接入验证模块(300)通过调用接口(301)，对符合验证协议的分组数据进行验证判决；

端口状态控制模块(400)根据验证判决结果控制交换模块(100)各个端口的连接状态，并对交换模块(100)的数据过滤操作进行管理；

验证协议的类型包括发起帧、应答帧、退出帧、信息帧以及挑战帧；

所述验证判决包括，

创建判决实体类，封装返回响应体；

利用Bean对整体数据进行验证判决，若数据异常，创建拦截增强器返回异常数据，并关闭交换模块(100)各个端口；

否则，则开启交换模块(100)各个端口；

所述过滤包括，

可信接入请求点将经过签名后的度量值发送到交换模块(100)；

所述交换模块(100)先对接入设备进行身份认证，再通过接入设备的身份标识查询策略执行点上的预期值；

若没有查询到该接入设备的预期值，则将获取到的度量值写入预期值列表中，完成预期值的自动采集；否则，则将所述获取到的度量值与接入设备的预期值进行比较；

若所述获取到的度量值低于所述接入设备的预期值，则判定所述分组数据不可信，并删除该数据；

所述接口(301)为TSS接口；

验证协议使用基于802.1x接入控制协议，扩充认证挑战帧，并细化可信接入数据的数据属性及格式，通过数据分组划片解决可信协议分组携带大的可信认证数据大小的限制；

所述身份标识包括，

通过公私密钥对进行身份认证，并利用指纹生成所述身份标识，若身份标识发生变化，则重新生成；

其中，公钥为接入设备的指纹，通过对公钥进行解密获得私钥。

2.一种采用如权利要求1所述的低压电力线载波通信可信接入管理方法的系统，其特征在于：包括，

交换模块(100)，用于接收和过滤来自接入请求点的分组数据，并用于将验证协议报文和过滤后的分组数据发送至接入验证协议处理模块(200)进行分析处理；

接入验证协议处理模块(200)，与所述交换模块(100)连接，用于解析分组数据内容和将符合验证协议的分组数据发送至接入验证模块(300)，并删除不符合验证协议的分组数据；

接入验证模块(300)，与所述接入验证协议处理模块(200)连接，用于对符合验证协议的分组数据进行验证判决；

端口状态控制模块(400)，与所述接入验证模块(300)连接，能够根据验证判决结果控制交换模块(100)各个端口的连接状态，并用于对交换模块(100)的数据过滤操作进行管理。

3.如权利要求2所述的系统，其特征在于：还包括，

所述接入验证模块(300)通过调用接口(301)，对符合验证协议的分组数据进行验证判决；

其中，所述接口(301)为TSS接口。