CN114553430B

CN114553430B - 一种基于sdp的电力业务终端的安全接入系统

Info

Publication number: CN114553430B
Application number: CN202210073656.0A
Authority: CN
Inventors: 吴克河; 张继宇; 程瑞; 程伟; 崔文超
Original assignee: North China Electric Power University
Current assignee: North China Electric Power University
Priority date: 2022-01-21
Filing date: 2022-01-21
Publication date: 2024-02-06
Anticipated expiration: 2042-01-21
Also published as: CN114553430A

Abstract

本发明公开了一种基于SDP的电力业务终端的安全接入系统，包括以下步骤：1：向SDP控制器发送SPA数据包，并使用SM9算法进行签名；2：SDP控制器对于接收到的SPA数据包进行验签处理，验签通过后，通知终端建立TCP连接；3：建立TCP连接后，发送接入请求信息；4：判断终端是否完成SPA授权，对于完成授权终端，利用其SPA包中的随机数R₁生成会话标识ID_S，同时SDP控制器向网关侧发送接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S；5：终端根据接入响应数据包中的服务信息Service_List与对应网关的端口建立TCP连接，并完成身份认证；6：利用利用接入终端的身份信息ID_IH形成会话密钥，建立双向加密隧道。上述方法显著降低了攻击的成功率，明显减轻了计算和通信压力，保障了通信的安全性。

Description

一种基于SDP的电力业务终端的安全接入系统

技术领域

本发明涉及一种基于SDP的电力业务终端的安全接入系统，属于电力业务终端的安全接入技术领域。

背景技术

随着我国社会的不断发展，各类分布式能源、电动汽车等大量接入，终端和用户之间更加泛化，网络接入多样化，数量众多的业务类型和异构的业务模式，形成了庞大的业务网络，同时智能交互需求使网络边界更加模糊，海量终端的泛在连接和各类终端的接入，在业务交互时对终端的自身防护、终端的识别和认证、终端的访问控制等方面提出了更大的需求。

目前电力业务终端的安全接入系统仍然沿用传统安全防护的思路，在终端接入业务系统前，需要先与安全接入区的接入网关建立TCP连接，再采用数字证书的方式实现身份认证，存在如下两点不足：

(1)传统的边界安全理念采用先连接后认证的方式，使业务端口处于对外开放的状态，所以会造成恶意用户或攻击者利用网络漏洞发起网络攻击；

(2)由于边界安全设备部署在网络边界上，缺少来自终端侧、资源侧的数据，且相互之间缺乏联动，对威胁的安全分析是不够全面的，容易造成非法终端接入、合法终端被盗用、合法终端恶意非授权访问。

发明内容

为了克服上述现有技术的不足，本发明专利提供了一种基于软件定义边界(SDP)的电力业务终端的安全接入系统，通过SDP控制器实现了先认证再连接的安全防护机制，SDP控制器负责对终端进行单包授权并动态开放业务通信端口，在网络层面上隐藏了业务的通信端口，缩小了系统的暴露面，确保了业务系统不响应未授权的连接请求，接入交互过程采用SM9算法实现基于标识的加密和签名，有效缩减了业务终端通信的数据量。

为解决上述技术问题，本发明所采用的技术方案如下：

一种基于SDP的电力业务终端的安全接入系统，包括以下步骤：

步骤1：当电力业务终端上线后，向SDP控制器发送SPA数据包，SPA即单包授权，其中包括时间戳与设备指纹的密文，并使用SM9算法进行签名；

步骤2：SDP控制器对于接收到的SPA数据包进行验签处理，验签通过后，通知终端建立TCP连接；

步骤3：建立TCP连接后，发送接入请求信息；

步骤4：SDP控制器收到终端的接入请求之后，判断终端是否完成SPA授权，对于完成授权终端，利用其SPA包中的随机数R₁生成会话标识ID_S，同时SDP控制器向网关侧发送接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S；

步骤5：终端根据接入响应数据包中的服务信息Service_List与对应网关的端口建立TCP连接，并完成身份认证；

步骤6：利用利用接入终端的身份信息ID_IH形成会话密钥，建立双向加密隧道。

本发明通过对现有接入终端进行全面梳理及威胁分析，着力解决非法终端接入、合法终端被盗用、合法终端恶意非授权访问和破坏问题，提出了一种基于SDP的电力业务终端的安全接入系统，通过SDP控制器实现了先认证再连接的安全防护机制，SDP控制器负责对终端进行单包授权并动态开放业务通信端口，在网络层面上隐藏了业务的通信端口，缩小了系统的暴露面，确保了业务系统不响应未授权的连接请求，接入交互过程采用SM9算法实现基于标识的加密和签名，有效缩减业务终端通信的数据量。

上述步骤1中，设备指纹ID_IH由主体属性(MAC地址、操作系统、端口、协议、服务和厂商)、环境属性(上线时间、IP、接入位置和业务流量大小)和客体属性(所属部门、管理人员、授权时间和授权级别)构成。

进一步，上述步骤1中，连接发起主机IH使用预置的SDP控制器标识ID_SDP对随机数R₁和时间戳Time Stamp进行SM9非对称加密得到密文C₁＝Enc(R₁||TimeStamp，ID_SDP)，其中Enc()为非对称加密算法，并对密文C1及报文头的哈希值做SM9数字签名得到S₁＝Sign(Hash(type||subtype||ID_IH||C₁)，SK_IH)其中type代表类型即SPA数据包、subtype即子类型、SK_IH即连接发起主机的私钥，Hash()哈希算法使用SM3算法，Sign()为签名算法，最后得到完整的SPA数据包(type||subtype||ID_IH||C₁||S₁)，type代表类型即SPA数据包、subtype即子类型，ID_IH代表设备指纹，C₁代表时间戳的密文，S₁代表对密文C₁及报文头的哈希值做数字签名得到的签名值，并基于UDP协议发送给SDP控制器。

上述步骤2中，SDP控制器对于接收到的SPA数据包进行验签处理，通过使用自身私钥SK_SDP对数据包做SM9解密，得到随机数R₁和时间戳，并根据SPA数据包中的时间戳信息判断数据新鲜度，对于超时的数据包直接做丢弃处理，随后根据管理策略动态开放防火墙端口并利用ICMP协议发送消息(type||subtype||C₂||S₂)到终端通知其建立TCP连接，其中type代表类型即SPA数据包、subtype即子类型，其中密文C₂＝Enc(Port||TimeStamp,ID_IH)，其中Enc()为非对称加密算法，Port代表端口号，Time Stamp代表时间戳，ID_IH代表设备指纹，其中S₂＝Sign(Hash(type||subtype||C₂),SK_SDP)，Sign()为签名算法，Hash()为哈希算法，C₂代表由非对称加密算法生成的密文，type代表类型即SPA数据包，subtype即子类型，SK_SDP即为私钥。

上述步骤3：终端收到SDP控制器的通知消息后，根据消息中的端口发起TCP连接、并发送接入请求信息，表示连接发起主机IH已经就绪、并希望加入SDP控制器的信任管理列表。

上述步骤4：SDP控制器收到终端的接入请求之后，判断终端是否完成SPA授权，对于完成授权终端，利用其SPA包中的随机数R₁生成会话标识ID_S，用于唯一标识本次终端接入行为，并向终端发送接入允许数据包(type||subtype||length||C₃||S₃)，type代表类型即SPA数据包，subtype即子类型，length代表长度，其中密文C₃＝Enc(Service_List||ID_S||TimeStamp，ID_IH)，其中Enc()为非对称加密算法，Service_List可用服务列表，通常形式为一个JSON格式的服务数组，包括端口、IP地址、服务名称等，ID_S为会话标识，Time Stamp代表时间戳，ID_IH代表设备指纹，并计算S₃＝Sign(Hash(type||subtype||length||C₃)，SK_SDP)，Sign()为签名算法，Hash()为哈希算法，type代表类型即SPA数据包，subtype即子类型，length代表长度，C₃代表经过非对称加密算法生成的密文，SK_SDP代表自身的私钥；同时SDP控制器向网关侧发送接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S，用于后续的会话密钥生成，同时通知网关此终端已完成单包授权操作。

上述步骤5：终端收到来自SDP控制器的接入响应信息后，根据接入响应数据包中的服务信息Service_List与对应网关的端口建立TCP连接，并据自身设备指纹ID_IH与会话标识ID_S进行异或运算合成会话密钥并使用SM3算法对会话密钥DK₁进行哈希运算得到M₁＝SM3(DK₁)并发送(type||subtype||length||ID_IH||TimeStamp||M₁)发送给网关侧，其中type代表类型即SPA数据包，subtype即子类型，length代表长度，ID_IH代表设备指纹，TimeStamp代表时间戳，M₁代表对会话密钥进行哈希运算的得到的哈希值。

上述步骤6：网关侧在收到来自SDP控制器的终端接入通过通知后，利用接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S合成会话密钥使用SM3算法对会话密钥DK₂进行哈希运算得到哈希值M₂＝SM3(DK₂)，在收到来自终端侧的会话密钥哈希值M₁后，将M₁与M₂进行比对，若一致，则最终会话密钥DK₁＝DK₂，否则网关上报SDP控制器并关闭TCP连接。

上述基于SDP的业务终端的安全接入不仅将控制面与数据面进行分离，电力业务终端在访问业务前需要与SDP控制器完成单包授权，而且还在数据面建立终端与业务系统之间地双向加密隧道。

上述SDP即软件定义边界。

本发明未提及的技术均参照现有技术。

本发明相比现有技术，具有以下有益效果：

1、本发明设计利用单包授权认证技术实现端口敲门机制，有效实现资源隐藏，攻击者在未完成单包授权的情况下，无法得知业务系统的通信端口，大大降低攻击的成功率。

2、本发明利用已建成的基础密码设施完成身份认证和数据加密通信，并且在电力业务终端完成单包授权后，可以简化其与接入网关或业务系统的身份认证流程，大大减轻了网关和终端的计算和通信压力。

3、本发明通过在SPA数据包中添加设备指纹，将SPA数据包与硬件设备指纹绑定，可以防止外部恶意攻击者使用恶意手段篡改源IP，通过采用设备指纹替代传统的数字证书方式实现业务终端的身份认证，更适合实现电力业务海量终端的安全接入；该方法有着更高的效率，减少了系统资源的消耗，节约运算和通信成本，同时更好的保障了通信的安全性。

附图说明

图1为本发明基于SDP的业务交互图；

具体实施方式

为了更好地理解本发明，下面结合实施例进一步阐明本发明的内容，但本发明的内容不仅仅局限于下面的实施例。

如图1所示，基于SDP的电力业务终端的安全接入系统，包括以下步骤：

步骤1：

当电力业务终端上线后，首先向SDP控制器发送SPA数据包，其中包括时间戳与设备指纹的密文，并使用SM9算法进行签名。设备指纹ID_IH由主体属性(MAC地址、操作系统、端口、协议、服务、厂商)、环境属性(上线时间、IP、接入位置、业务流量大小)和客体属性(所属部门、管理人员、授权时间、授权级别)构成。连接发起主机IH使用预置的SDP控制器标识ID_SDP对随机数R₁和时间戳Time Stamp进行SM9非对称加密得到密文C₁＝Enc(R₁||TimeStamp，ID_SDP)，其中Enc()为非对称加密算法，并对密文C1及报文头的哈希值做SM9数字签名得到S₁＝Sign(Hash(type||subtype||ID_IH||C₁)，SK_IH)其中type代表类型即SPA数据包、subtype即子类型、SK_IH即连接发起主机的私钥，Hash()哈希算法使用SM3算法，Sign()为签名算法，最后得到完整的SPA数据包(type||subtype||ID_IH||C₁||S₁)，type代表类型即SPA数据包、subtype即子类型，ID_IH代表设备指纹，C1代表时间戳的密文，S₁代表对密文C₁及报文头的哈希值做数字签名得到的签名值，并基于UDP协议发送给SDP控制器。

步骤2：

SDP控制器对于接收到的SPA数据包进行验签处理，通过使用自身私钥SK_SDP对数据包做SM9解密得到随机数R₁和时间戳并根据SPA数据包中的时间戳信息判断数据新鲜度，对于超时的数据包直接做丢弃处理，随后根据管理策略动态开放防火墙端口并利用ICMP协议发送消息(type||subtype||C₂||S₂)到终端通知其建立TCP连接，其中type代表类型即SPA数据包、subtype即子类型，其中密文C₂＝Enc(Port||TimeStamp,ID_IH)，其中Enc()为非对称加密算法，Port代表端口号，Time Stamp代表时间戳，ID_IH代表设备指纹，其中S₂＝Sign(Hash(type||subtype||C₂),SK_SDP)，Sign()为签名算法，Hash()为哈希算法，C₂代表由非对称加密算法生成的密文，type代表类型即SPA数据包，subtype即子类型，SK_SDP代表自身的私钥。

步骤3：

终端收到SDP控制器的通知消息后，根据消息中的端口发起TCP连接并发送接入请求信息，表示连接发起主机IH已经就绪并希望加入SDP控制器的信任管理列表。

步骤4：

SDP控制器收到终端的接入请求之后，判断终端是否完成SPA授权，对于完成授权终端利用其SPA包中的随机数R₁生成会话标识ID_S用于唯一标识本次终端接入行为，并向终端发送接入允许数据包(type||subtype||length||C₃||S₃)，type代表类型即SPA数据包，subtype即子类型，length代表长度，其中密文C₃＝Enc(Service_List||ID_S||TimeStamp，ID_IH)，其中Enc()为非对称加密算法，Service_List可用服务列表，通常形式为一个JSON格式的服务数组，包括端口、IP地址、服务名称等，ID_S为会话标识，Time Stamp代表时间戳，ID_IH代表设备指纹，并计算S₃＝Sign(Hash(type||subtype||length||C₃)，SK_SDP)，Sign()为签名算法，Hash()为哈希算法，type代表类型即SPA数据包，subtype即子类型，length代表长度，C₃代表经过非对称加密算法生成的密文，SK_SDP代表自身的私钥。同时SDP控制器向网关侧发送接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S，用于后续的会话密钥生成，同时通知网关此终端已完成单包授权操作。

步骤5：

终端收到来自SDP控制器的接入响应信息后，根据接入响应数据包中的服务信息Service_List与对应网关的端口建立TCP连接，并据自身设备指纹ID_IH与会话标识ID_S进行异或运算合成会话密钥并使用SM3算法对会话密钥DK₁进行哈希运算得到M₁＝SM3(DK₁)并发送(type||subtype||length||ID_IH||TimeStamp||M₁)发送给网关侧，其中type代表类型即SPA数据包，subtype即子类型，length代表长度，ID_IH代表设备指纹，TimeStamp代表时间戳，M₁代表对会话密钥进行哈希运算的得到的哈希值。

步骤6：

网关侧在收到来自SDP控制器的终端接入通过通知后，利用接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S合成会话密钥使用SM3算法对会话密钥DK₂进行哈希运算得到哈希值M₂＝SM3(DK₂)，在收到来自终端侧的会话密钥哈希值M₁后，将M₁与M₂进行比对，若一致，则最终会话密钥DK₁＝DK₂，否则网关上报SDP控制器并关闭TCP连接。因此，基于SDP的业务终端的安全接入不仅将控制面与数据面进行分离，电力业务终端在访问业务前需要与SDP控制器完成单包授权，而且还在数据面建立终端与业务系统之间地双向加密隧道。

Claims

1.一种基于SDP的电力业务终端的安全接入方法，其特征在于：包括以下步骤：

步骤1：当电力业务终端上线后，向SDP控制器发送SPA数据包，SPA即单包授权，其中包括时间戳与设备指纹的密文，并使用SM9算法进行签名；设备指纹ID_IH由主体属性、环境属性和客体属性构成，连接发起主机IH使用预置的SDP控制器标识ID_SDP对随机数R₁和时间戳Time Stamp进行SM9非对称加密得到密文C₁＝Enc(R₁||TimeStamp，ID_SDP)，其中Enc()为非对称加密算法，并对密文C1及报文头的哈希值做SM9数字签名得到S₁＝Sign(Hash(type||subtype||ID_IH||C₁)，SK_IH)其中type代表类型即SPA数据包、subtype即子类型、SK_IH即连接发起主机的私钥，Hash()哈希算法使用SM3算法，Sign()为签名算法，最后得到完整的SPA数据包(type||subtype||ID_IH||C₁||S₁)，ID_IH代表设备指纹，C1代表时间戳的密文，S₁代表对密文C₁及报文头的哈希值做数字签名得到的签名值，并基于UDP协议发送给SDP控制器；

步骤2：SDP控制器对于接收到的SPA数据包进行验签处理，通过使用自身私钥SK_SDP对数据包做SM9解密得到随机数R₁和时间戳，并根据SPA数据包中的时间戳信息判断数据新鲜度，对于超时的数据包直接做丢弃处理，随后根据管理策略动态开放防火墙端口并利用ICMP协议发送消息(type||subtype||C₂||S₂)到终端通知其建立TCP连接，其中密文C₂＝Enc(Port||TimeStamp,ID_IH)，其中Enc()为非对称加密算法，Port代表端口号，Time Stamp代表时间戳，其中S₂＝Sign(Hash(type||subtype||C₂),SK_SDP)，C₂代表由非对称加密算法生成的密文，SK_SDP代表自身的私钥；

步骤3：建立TCP连接后，发送接入请求信息；

步骤4：SDP控制器收到终端的接入请求之后，判断终端是否完成SPA授权，对于完成授权终端利用其SPA包中的随机数R₁生成会话标识ID_S用于唯一标识本次终端接入行为，并向终端发送接入允许数据包(type||subtype||length||C₃||S₃)，length代表长度，其中密文C₃＝Enc(Service_List||ID_S||TimeStamp，ID_IH)，其中Service_List可用服务列表，通常形式为一个JSON格式的服务数组，包括端口、IP地址和服务名称，ID_S为会话标识，并计算S₃＝Sign(Hash(type||subtype||length||C₃)，SK_SDP)，C₃代表经过非对称加密算法生成的密文，SK_SDP代表自身的私钥；同时SDP控制器向网关侧发送接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S，用于后续的会话密钥生成，同时通知网关此终端已完成单包授权操作；

步骤5：终端收到来自SDP控制器的接入响应信息后，根据接入响应数据包中的服务信息Service_List与对应网关的端口建立TCP连接，并据自身设备指纹ID_IH与会话标识ID_S进行异或运算合成会话密钥并使用SM3算法对会话密钥DK₁进行哈希运算得到M₁＝SM3(DK₁)并发送(type||subtype||length||ID_IH||TimeStamp||M₁)给网关侧，其中M₁代表对会话密钥进行哈希运算的得到的哈希值；

步骤6：网关侧在收到来自SDP控制器的终端接入通过通知后，利用接入终端的身份信息ID_IH和本次接入请求的会话标识ID_S合成会话密钥使用SM3算法对会话密钥DK₂进行哈希运算得到哈希值M₂＝SM3(DK₂)，在收到来自终端侧的会话密钥哈希值M₁后，将M₁与M₂进行比对，若一致，则最终会话密钥DK₁＝DK₂，否则网关上报SDP控制器并关闭TCP连接。

2.如权利要求1所述的基于SDP的电力业务终端的安全接入方法，其特征在于：步骤3：终端收到SDP控制器的通知消息后，根据消息中的端口发起TCP连接、并发送接入请求信息，表示连接发起主机IH已经就绪、并希望加入SDP控制器的信任管理列表。