CN115967941A - 电力5g终端认证方法及认证系统 - Google Patents

Abstract

本发明公开了电力5G终端认证方法及认证系统，其电力5G终端认证方法包括以下步骤：S1、5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至电力业务终端，所述证书包括：公钥及私钥；S2、基于证书、数字签名及接收时间值，依次完成电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关的首次合法鉴定；S3、基于证书、数字签名、证书合法鉴定结果及随机数，依次完成电力安全认证网关、5G会话管理功能网元、5G通信终端及电力业务终端的二次合法鉴定。本发明能够有效降低终端身份数据泄露、证书伪造、冒用等安全风险，大大提高了本发明方法抵抗重放攻击的能力。

Description

电力5G终端认证方法及认证系统

技术领域

本发明涉及5G网络承载电力业务技术领域，具体地涉及电力5G终端认证方法及认证系统。

背景技术

随着5G网络承载电力业务的逐步开展，电力5G终端种类规模将会与日剧增。电力5G网络需要接入不同种类的终端，如精准负荷控制、配电自动化、用电信息采集等。5G对种类繁多的异构接入和控制面临挑战，5G需要允许垂直行业的设备和网络使用其特有的接入技术，终端接入认证需要跨越底层异构多层无线接入网络认证结构。

5G无线侧传输通道开放，可通过释放干扰信号将终端诱骗至伪基站，伪造身份标识实现伪终端。因此电力5G业务容易遭受针对以无线信号为载体对信息内容篡改、假冒、中间人转发和重放等形式的无线接入攻击，传统的认证与数据完整性保护方案如AKA、EPSAKA等，本质上是利用基于身份索引的密钥对信令和数据打上包含用户身份信息的标签，一旦根密钥泄露认证参数将失效，通过窃听AKA认证的过程即可推衍出后续保护密钥，威胁网络安全。

电网USIM卡和通讯终端存在被盗的可能性，导致非法用户接入欺骗，对电网业务传输造成风险。因此，电力5G网络需要构建统一的认证体系来满足不同的接入机制认证，满足具有不同安全能力终端的安全接入需求。

发明内容

本发明为解决上述根密钥泄露将能够可推衍出后续保护密钥，以及非法的业务终端或通信终端发起认证请求，对电网业务传输造成风险的问题，本发明提供电力5G终端认证方法及认证系统，基于电力5G自建的安全认证网关作为权威第三方，利用多因子身份标识生成数字证书公私钥对，能够有效降低终端身份数据泄露、证书伪造、冒用等安全风险；将5G二次认证框架与用户自定义认证有机结合起来，形成面向海量电力业务终端接入5G网络的统一认证体系，对所有数据传输均采取加密和完整性保护措施，可以防止非法窃取或篡改数据。

为了实现上述目的，本发明提供电力5G终端认证方法，其特征在于，包括以下步骤：

S1、5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至电力业务终端，所述证书包括：公钥及私钥；

S2、基于证书、数字签名及接收时间值，依次完成电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关的首次合法鉴定；

S3、基于证书、数字签名、证书合法鉴定结果及随机数，依次完成电力安全认证网关、5G会话管理功能网元、5G通信终端及电力业务终端的二次合法鉴定。

优选的，所述电力安全认证网关基于电力业务终端、5G通信终端及5G会话管理功能网元各自的身份标识集合生成对应的私钥，基于私钥计算获得对应的公钥，由对应的私钥及公钥组成证书；所述电力业务终端、5G通信终端及5G会话管理功能网元存储有自身对应的证书，分别为证书Cert_EST、证书Cert_CPE、证书Cert_SMF。

优选的，所述步骤S2包括：

S201、电力业务终端生成随机数N_EST，并记录接收鉴定启动指令的时间值Time_EST，电力业务终端将自身的数字签名、证书Cert_EST、随机数N_EST及接收时间值Time_EST通过5G通信终端的公钥Pub_CPE进行加密，获得第一待鉴定数据并发送至5G通信终端；

S202、5G通信终端通过自身的私钥Pri_CPE对第一待鉴定数据进行解密，生成随机数N_CPE，记录第一待鉴定数据的接收时间值Time_CPE，通过预存的电力业务终端的数字签名判断第一待鉴定数据是否合法，判断接收时间值Time_CPE与接收时间值Time_EST的差值是否小于预设阈值，若第一待鉴定数据合法且接收时间值Time_CPE与接收时间值Time_EST的差值小于预设阈值，则该电力业务终端鉴定为合法业务终端，5G通信终端将自身的数字签名、证书Cert_EST、证书Cert_CPE、随机数N_EST、随机数N_CPE及接收时间值Time_CPE通过5G会话管理功能网元的公钥Pub_SMF进行加密，获得第二待鉴定数据并发送至5G会话管理功能网元；

S203、5G会话管理功能网元通过自身的私钥Pri_SMF对第二待鉴定数据进行解密，生成随机数N_SMF，记录第二待鉴定数据的接收时间值Time_SMF，通过预存的5G通信终端的数字签名判断第二待鉴定数据是否合法，判断接收时间值Time_SMF与接收时间值Time_CPE的差值是否小于预设阈值，若第二待鉴定数据合法且接收时间值Time_SMF与接收时间值Time_CPE的差值小于预设阈值，则该5G通信终端鉴定为合法通信终端，5G会话管理功能网元将自身的数字签名、证书Cert_EST、证书Cert_CPE、证书Cert_SMF、随机数N_EST、随机数N_CPE、随机数N_SMF及接收时间值Time_SMF通过电力安全认证网关的公钥Pub_SAG进行加密，获得第三待鉴定数据并发送至电力安全认证网关；

S204、电力安全认证网关通过自身的私钥Pri_SAG对第三待鉴定数据进行解密，记录第三待鉴定数据的接收时间值Time_SAG，通过预存的5G会话管理功能网元的数字签名判断第三待鉴定数据是否合法，判断接收时间值Time_SAG与接收时间值Time_SMF的差值是否小于预设阈值，若第二待鉴定数据合法且接收时间值Time_SAG与接收时间值Time_SMF的差值小于预设阈值，则该5G会话管理功能网元鉴定为合法网元，电力安全认证网关对证书Cert_EST、证书Cert_CPE、证书Cert_SMF的合法性进行确定，若合法，则生成证书合法鉴定结果，电力安全认证网关将自身的数字签名、证书合法鉴定结果、随机数N_EST、随机数N_CPE及随机数N_SMF通过5G会话管理功能网元的公钥Pub_SMF进行加密，获得第四待鉴定数据并发送至5G会话管理功能网元，且首次合法鉴定成功。

优选的，所述步骤S3包括：

S301、5G会话管理功能网元通过自身的私钥Pri_SMF对第四待鉴定数据进行解密，通过预存的电力安全认证网关的数字签名判断第四待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第四待鉴定数据中的随机数N_SMF与步骤S203中生成的随机数N_SMF是否一致，若第四待鉴定数据合法、证书合法鉴定结果合法且随机数N_SMF一致，则5G会话管理功能网元将自身的数字签名、证书合法鉴定结果、随机数N_EST、随机数N_CPE通过5G通信终端的公钥Pub_CPE进行加密，获得第五待鉴定数据并发送至5G通信终端；

S302、5G通信终端通过自身的私钥对第五待鉴定数据进行解密，通过预存的5G会话管理功能网元的数字签名判断第五待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第五待鉴定数据中的随机数N_CPE与步骤S202中生成的随机数N_CPE是否一致，若第五待鉴定数据合法、证书合法鉴定结果合法且随机数N_CPE一致，则5G通信终端将自身的数字签名、证书合法鉴定结果及随机数N_EST通过电力业务终端的公钥Pub_EST进行加密，获得第六待鉴定数据并发送至电力业务终端；

S303、电力业务终端的私钥Pri_EST对第六待鉴定数据进行解密，通过预存的5G通信终端的数字签名判断第六待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第六待鉴定数据中的随机数N_EST与步骤S201中生成的随机数N_EST是否一致，若第五待鉴定数据合法、证书合法鉴定结果合法且随机数N_CPE一致，则二次合法鉴定成功。

电力5G终端认证系统，包括：电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关，

所述5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至所述电力业务终端，所述证书包括：公钥及私钥；

基于证书、数字签名及接收时间值，依次完成5G通信终端对电力业务终端、5G会话管理功能网元对5G通信终端、电力安全认证网关对5G会话管理功能网元及电力安全认证网关对电力业务终端、5G通信终端、5G会话管理功能网元的首次合法鉴定；

基于证书、数字签名、证书合法鉴定结果及随机数，依次完成5G会话管理功能网元对电力安全认证网关、5G通信终端对5G会话管理功能网元及电力业务终端对5G通信终端的二次合法鉴定。

优选的，所述电力安全认证网关基于电力业务终端、5G通信终端及5G会话管理功能网元各自的身份标识集合生成对应的私钥，基于私钥计算获得对应的公钥，由对应的私钥及公钥组成证书；所述电力业务终端、5G通信终端及5G会话管理功能网元存储有自身对应的证书，分别为证书Cert_EST、证书Cert_CPE、证书Cert_SMF。

优选的，所述电力安全认证网关用于存储自身的数字签名、5G会话管理功能网元的公钥Pub_SMF、5G会话管理功能网元的数字签名、证书Cert_EST、证书Cert_CPE、证书Cert_SMF；

所述电力业务终端用于存储自身的数字签名、证书Cert_EST、5G通信终端的公钥Pub_CPE、5G通信终端的数字签名，用于生成随机数N_EST；

所述5G通信终端用于存储自身的数字签名、证书Cert_CPE、5G会话管理功能网元的公钥Pub_SMF、5G会话管理功能网元的数字签名及电力业务终端的数字签名，用于生成随机数N_CPE；

所述5G会话管理功能网元用于存储自身的数字签名、证书Cert_SMF、电力安全认证网关的公钥Pub_SAG、电力安全认证网关的数字签名及5G通信终端的数字签名，用于生成随机数N_SMF。

通过上述技术方案，本发明利用多因子身份标识生成数字证书公私钥对，能够有效降低终端身份数据泄露、证书伪造、冒用等安全风险；通过SMF网元发起端到端安全认证过程，可以有效防止非法的业务终端或CPE通信终端频繁向安全认证网关发起认证请求，消耗认证计算资源，防止了DDOS攻击；在设备之间的认证交互过程中，对所有数据传输均采取加密和完整性保护措施，可以防止非法窃取或篡改数据，并在认证交互过程中引入了数据接收时间、随机数比对机制，大大提高了本发明方法抵抗重放攻击的能力。

本发明实施例的其它特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本发明实施例的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明实施例，但并不构成对本发明实施例的限制。在附图中：

图1是本发明的方法流程示意简图；

图2是本发明方法的流程示意图；

图3是本发明系统的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。

如图1-图2所示，电力5G终端认证方法，其特征在于，包括以下步骤：

S1、5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至电力业务终端，所述证书包括：公钥及私钥；

S2、基于证书、数字签名及接收时间值，依次完成电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关的首次合法鉴定；

S3、基于证书、数字签名、证书合法鉴定结果及随机数，依次完成电力安全认证网关、5G会话管理功能网元、5G通信终端及电力业务终端的二次合法鉴定。

本发明的在现有技术的基础上，通过AKA认证后，为了防止出现现有技术根密钥泄露导致的网络安全隐患，通过设计若干份证书，而证书又包括公钥与私钥，即使在实际应用中出现其中一份公钥、私钥或证书泄露，也不会影响整体认证的安全性；本发明还设计了接收时间值的判断方法，通过判断接收时间值之间的时间差，判断中途是否存在信息内容被篡改、假冒、中间人转发和重放等形式的无线接入攻击；其次，本发明对于现在技术普遍无防范的网关，本发明中对电力安全认证网关通过证书合法鉴定结果及随机数的额外认证，保证由电力安全认证网关回传的信息在中途不被篡改、假冒。通过首次合法鉴定与二次合法鉴定，电力业务终端可合法利用5G通信终端为其提供的5G链路进行数据收发，进而完成整个5G终端的认证。

需要说明的是，本发明中提到的，在AKA认证后进行本发明的技术方案，AKA代表的是利用基于5G通信终端身份索引的密钥对信令和数据打上包含用户身份信息的标签的认证方式，基于该原理的认证方式包括但不限于AKA及EPS AKA。

本发明为了有效防止非法的业务终端或5G通信终端频繁向电力安全认证网关发起认证请求，消耗认证计算资源，在所有认证流程中，一旦出现任何环节的不匹配或不满足要求的情况，都将停止所有认证流程，并结束，因此，本发明实例中，仅对能够匹配成功或满足要求的情况进行表述。

优选的，所述电力安全认证网关基于电力业务终端、5G通信终端及5G会话管理功能网元各自的身份标识集合生成对应的私钥，基于私钥计算获得对应的公钥，由对应的私钥及公钥组成证书；所述电力业务终端、5G通信终端及5G会话管理功能网元存储有自身对应的证书，分别为证书Cert_EST、证书Cert_CPE、证书Cert_SMF。

电力安全认证网关生成电力业务终端、5G通信终端、5G会话管理功能网元的证书，证书包含设备的一对公钥Pub、私钥Pri。公、私钥生成方法如下：首先定义设备身份标识集合为：设备名称，设备生产厂家标识，设备出厂时间，设备硬件版本号，软件版本号，制造序列号，IMSI，本地MAC地址，IP地址；其次，采用BASE-64编码规则，将设备身份标识集合各元素映射为二进制编码，将设备身份标识二进制数输入SHA-256算法计算获得256位设备私钥。最后，定义椭圆曲线算法基准点G，计算获得公钥为Pub＝Pri·G。

电力安全认证网关将制作好的设备公钥、签名算法、证书有效期、证书所有者、SAG公钥、SAG名称等信息合并为数字签名，通过设备自身特定的标识信息制作的数字证书能够保证其唯一性和不可伪造性，至此，电力业务终端、5G通信终端、5G会话管理功能网元均获得了电力安全认证网关颁发的证书Cert_EST、证书Cert_CPE、证书Cert_SMF，在正常通信前，电力业务终端、5G通信终端、5G会话管理功能网元均通过认证通道向电力安全认证网关进行双向认证，从而确定电力业务终端、5G通信终端、5G会话管理功能网元的合法身份，有效避免伪造终端、篡改设备证书、伪造5G网络等安全风险。

电力业务终端、5G通信终端通过本地接口互联，两者上电后，5G通信终端首先搜索5G网络信号，并发起附着流程，通过5G协议规定的AKA认证后，5G网络和5G通信终端双向确定了对方的合法性，5G网络为5G通信终端分配了5G会话管理功能网元为其服务，5G通信终端通过本地接口通知电力业务终端网络附着成功，并建立本地及通过5G会话管理功能网元到电力安全认证网关的认证通道。

优选的，所述步骤S2包括：

S201、电力业务终端生成随机数N_EST，并记录接收鉴定启动指令的时间值Time_EST，电力业务终端将自身的数字签名、证书Cert_EST、随机数N_EST及接收时间值Time_EST通过5G通信终端的公钥Pub_CPE进行加密，获得第一待鉴定数据并发送至5G通信终端；

S202、5G通信终端通过自身的私钥Pri_CPE对第一待鉴定数据进行解密，生成随机数N_CPE，记录第一待鉴定数据的接收时间值Time_CPE，通过预存的电力业务终端的数字签名判断第一待鉴定数据是否合法，判断接收时间值Time_CPE与接收时间值Time_EST的差值是否小于预设阈值，若第一待鉴定数据合法且接收时间值Time_CPE与接收时间值Time_EST的差值小于预设阈值，则该电力业务终端鉴定为合法业务终端，5G通信终端将自身的数字签名、证书Cert_EST、证书Cert_CPE、随机数N_EST、随机数N_CPE及接收时间值Time_CPE通过5G会话管理功能网元的公钥Pub_SMF进行加密，获得第二待鉴定数据并发送至5G会话管理功能网元；

S203、5G会话管理功能网元通过自身的私钥Pri_SMF对第二待鉴定数据进行解密，生成随机数N_SMF，记录第二待鉴定数据的接收时间值Time_SMF，通过预存的5G通信终端的数字签名判断第二待鉴定数据是否合法，判断接收时间值Time_SMF与接收时间值Time_CPE的差值是否小于预设阈值，若第二待鉴定数据合法且接收时间值Time_SMF与接收时间值Time_CPE的差值小于预设阈值，则该5G通信终端鉴定为合法通信终端，5G会话管理功能网元将自身的数字签名、证书Cert_EST、证书Cert_CPE、证书Cert_SMF、随机数N_EST、随机数N_CPE、随机数N_SMF及接收时间值Time_SMF通过电力安全认证网关的公钥Pub_SAG进行加密，获得第三待鉴定数据并发送至电力安全认证网关；

S204、电力安全认证网关通过自身的私钥Pri_SAG对第三待鉴定数据进行解密，记录第三待鉴定数据的接收时间值Time_SAG，通过预存的5G会话管理功能网元的数字签名判断第三待鉴定数据是否合法，判断接收时间值Time_SAG与接收时间值Time_SMF的差值是否小于预设阈值，若第二待鉴定数据合法且接收时间值Time_SAG与接收时间值Time_SMF的差值小于预设阈值，则该5G会话管理功能网元鉴定为合法网元，电力安全认证网关对证书Cert_EST、证书Cert_CPE、证书Cert_SMF的合法性进行确定，若合法，则生成证书合法鉴定结果，电力安全认证网关将自身的数字签名、证书合法鉴定结果、随机数N_EST、随机数N_CPE及随机数N_SMF通过5G会话管理功能网元的公钥Pub_SMF进行加密，获得第四待鉴定数据并发送至5G会话管理功能网元，且首次合法鉴定成功。

本发明通过上述步骤S201-S204，完成首次合法鉴定，其中，本发明中通过发送方对数据采用接收方的公钥进行加密，由接收方的私钥进行解密的方式，其中，本发明通过三次不同的公钥对数据进行加密，采用三次不同的私钥进行解密，一旦其中的一项泄露，也不会影响其他项对信息的加密效果，解决了现有技术一旦根秘钥泄露，将会导致严重的安全隐患的问题。

同时，本发明在首次合法鉴定中采用对数字签名及接收时间值两个要素对数据的合法性进行判断，数字签名信息相当于设备的身份证，可以证明发送方的身份是否合法，但在频繁的发送数字签名中，难以保证数字签名不会被泄露、伪造、冒用，导致数字签名的鉴定失效，因此本发明还通过接收时间值对数据的合法性进行判断，通过实际情况，预设符合正常数据传输的时间差阈值，可以防止数据传输过程中被非法窃取或篡改数据，提高了本发明抵抗恶意攻击的能力。

优选的，所述步骤S3包括：

S301、5G会话管理功能网元通过自身的私钥Pri_SMF对第四待鉴定数据进行解密，通过预存的电力安全认证网关的数字签名判断第四待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第四待鉴定数据中的随机数N_SMF与步骤S203中生成的随机数N_SMF是否一致，若第四待鉴定数据合法、证书合法鉴定结果合法且随机数N_SMF一致，则5G会话管理功能网元将自身的数字签名、证书合法鉴定结果、随机数N_EST、随机数N_CPE通过5G通信终端的公钥Pub_CPE进行加密，获得第五待鉴定数据并发送至5G通信终端；

S302、5G通信终端通过自身的私钥对第五待鉴定数据进行解密，通过预存的5G会话管理功能网元的数字签名判断第五待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第五待鉴定数据中的随机数N_CPE与步骤S202中生成的随机数N_CPE是否一致，若第五待鉴定数据合法、证书合法鉴定结果合法且随机数N_CPE一致，则5G通信终端将自身的数字签名、证书合法鉴定结果及随机数N_EST通过电力业务终端的公钥Pub_EST进行加密，获得第六待鉴定数据并发送至电力业务终端；

S303、电力业务终端的私钥Pri_EST对第六待鉴定数据进行解密，通过预存的5G通信终端的数字签名判断第六待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第六待鉴定数据中的随机数N_EST与步骤S201中生成的随机数N_EST是否一致，若第五待鉴定数据合法、证书合法鉴定结果合法且随机数N_CPE一致，则二次合法鉴定成功。

本发明的二次合法鉴定通过证书、数字签名、证书合法鉴定结果及随机数进行，其中又非电力安全认证网关的其他设备对证书合法鉴定结果进行合法化判断，确定电力安全认证网关的合法性，再者，通过临时生成往返的随机数比较，判断由电力安全认证网关发送的数据为首次合法鉴定发送的同一批数据，保证了数据传输过程中，即使出现恶意拦截、伪造后的数据也会被识别出来。

如图3所示，电力5G终端认证系统，包括：电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关，

所述5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至所述电力业务终端，所述证书包括：公钥及私钥；

基于证书、数字签名及接收时间值，依次完成5G通信终端对电力业务终端、5G会话管理功能网元对5G通信终端、电力安全认证网关对5G会话管理功能网元及电力安全认证网关对电力业务终端、5G通信终端、5G会话管理功能网元的首次合法鉴定；

基于证书、数字签名、证书合法鉴定结果及随机数，依次完成5G会话管理功能网元对电力安全认证网关、5G通信终端对5G会话管理功能网元及电力业务终端对5G通信终端的二次合法鉴定。

本发明的在现有技术的基础上，通过AKA认证后，为了防止出现现有技术根密钥泄露导致的网络安全隐患，通过设计若干份证书，而证书又包括公钥与私钥，即使在实际应用中出现其中一份公钥、私钥或证书泄露，也不会影响整体认证的安全性；本发明还设计了接收时间值的判断方法，通过判断接收时间值之间的时间差，判断中途是否存在信息内容被篡改、假冒、中间人转发和重放等形式的无线接入攻击；其次，本发明对于现在技术普遍无防范的网关，本发明中对电力安全认证网关通过证书合法鉴定结果及随机数的额外认证，保证由电力安全认证网关回传的信息在中途不被篡改、假冒。通过首次合法鉴定与二次合法鉴定，电力业务终端可合法利用5G通信终端为其提供的5G链路进行数据收发，进而完成整个5G终端的认证。

需要说明的是，本发明中提到的，在AKA认证后进行本发明的技术方案，AKA代表的是利用基于5G通信终端身份索引的密钥对信令和数据打上包含用户身份信息的标签的认证方式，基于该原理的认证方式包括但不限于AKA及EPS AKA。

本发明为了有效防止非法的业务终端或5G通信终端频繁向电力安全认证网关发起认证请求，消耗认证计算资源，在所有认证流程中，一旦出现任何环节的不匹配或不满足要求的情况，都将停止所有认证流程，并结束，因此，本发明实例中，仅对能够匹配成功或满足要求的情况进行表述。

优选的，所述电力安全认证网关基于电力业务终端、5G通信终端及5G会话管理功能网元各自的身份标识集合生成对应的私钥，基于私钥计算获得对应的公钥，由对应的私钥及公钥组成证书；所述电力业务终端、5G通信终端及5G会话管理功能网元存储有自身对应的证书，分别为证书Cert_EST、证书Cert_CPE、证书Cert_SMF。

电力安全认证网关生成电力业务终端、5G通信终端、5G会话管理功能网元的证书，证书包含设备的一对公钥Pub、私钥Pri。公、私钥生成方法如下：首先定义设备身份标识集合为：设备名称，设备生产厂家标识，设备出厂时间，设备硬件版本号，软件版本号，制造序列号，IMSI，本地MAC地址，IP地址；其次，采用BASE-64编码规则，将设备身份标识集合各元素映射为二进制编码，将设备身份标识二进制数输入SHA-256算法计算获得256位设备私钥。最后，定义椭圆曲线算法基准点G，计算获得公钥为Pub＝Pri·G。

电力安全认证网关将制作好的设备公钥、签名算法、证书有效期、证书所有者、SAG公钥、SAG名称等信息合并为数字签名，通过设备自身特定的标识信息制作的数字证书能够保证其唯一性和不可伪造性，至此，电力业务终端、5G通信终端、5G会话管理功能网元均获得了电力安全认证网关颁发的证书Cert_EST、证书Cert_CPE、证书Cert_SMF，在正常通信前，电力业务终端、5G通信终端、5G会话管理功能网元均通过认证通道向电力安全认证网关进行双向认证，从而确定电力业务终端、5G通信终端、5G会话管理功能网元的合法身份，有效避免伪造终端、篡改设备证书、伪造5G网络等安全风险。

电力业务终端、5G通信终端通过本地接口互联，两者上电后，5G通信终端首先搜索5G网络信号，并发起附着流程，通过5G协议规定的AKA认证后，5G网络和5G通信终端双向确定了对方的合法性，5G网络为5G通信终端分配了5G会话管理功能网元为其服务，5G通信终端通过本地接口通知电力业务终端网络附着成功，并建立本地及通过5G会话管理功能网元到电力安全认证网关的认证通道。

优选的，所述电力安全认证网关用于存储自身的数字签名、5G会话管理功能网元的公钥Pub_SMF、5G会话管理功能网元的数字签名、证书Cert_EST、证书Cert_CPE、证书Cert_SMF；

所述电力业务终端用于存储自身的数字签名、证书Cert_EST、5G通信终端的公钥Pub_CPE、5G通信终端的数字签名，用于生成随机数N_EST；

所述5G通信终端用于存储自身的数字签名、证书Cert_CPE、5G会话管理功能网元的公钥Pub_SMF、5G会话管理功能网元的数字签名及电力业务终端的数字签名，用于生成随机数N_CPE；

所述5G会话管理功能网元用于存储自身的数字签名、证书Cert_SMF、电力安全认证网关的公钥Pub_SAG、电力安全认证网关的数字签名及5G通信终端的数字签名，用于生成随机数N_SMF。

本发明借助电力自建的安全认证网关作为权威第三方，利用多因子身份标识生成数字证书公私钥对，能够有效降低终端身份数据泄露、证书伪造、冒用等安全风险。本发明公开的电力5G终端认证方法有效地将5G二次认证框架与用户自定义认证有机结合起来，形成面向海量电力业务终端接入5G网络的统一认证体系。通过5G会话管理功能网元发起端到端安全认证过程，可以有效防止非法的业务终端或CPE通信终端频繁向安全认证网关发起认证请求，消耗认证计算资源，防止了DDOS攻击。在电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关等设备之间的认证交互过程中，对所有数据传输均采取加密和完整性保护措施，可以防止非法窃取或篡改数据，并在认证交互过程中引入了数据接收时间、随机数比对机制，大大提高了本发明方法抵抗重放攻击的能力。本发明具有全过程、全设备类型的身份可信认证优势，在保障能源安全日益迫切的形势下，具有良好的推广意义。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (7)

1.电力5G终端认证方法，其特征在于，包括以下步骤：

S1、5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至电力业务终端，所述证书包括：公钥及私钥；

S2、基于证书、数字签名及接收时间值，依次完成电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关的首次合法鉴定；

S3、基于证书、数字签名、证书合法鉴定结果及随机数，依次完成电力安全认证网关、5G会话管理功能网元、5G通信终端及电力业务终端的二次合法鉴定。

2.根据权利要求1所述的电力5G终端认证方法，其特征在于，所述电力安全认证网关基于电力业务终端、5G通信终端及5G会话管理功能网元各自的身份标识集合生成对应的私钥，基于私钥计算获得对应的公钥，由对应的私钥及公钥组成证书；所述电力业务终端、5G通信终端及5G会话管理功能网元存储有自身对应的证书，分别为证书Cert_EST、证书Cert_CPE、证书Cert_SMF。

3.根据权利要求2所述的电力5G终端认证方法，其特征在于，所述步骤S2包括：

S201、电力业务终端生成随机数N_EST，并记录接收鉴定启动指令的时间值Time_EST，电力业务终端将自身的数字签名、证书Cert_EST、随机数N_EST及接收时间值Time_EST通过5G通信终端的公钥Pub_CPE进行加密，获得第一待鉴定数据并发送至5G通信终端；

S202、5G通信终端通过自身的私钥Pri_CPE对第一待鉴定数据进行解密，生成随机数N_CPE，记录第一待鉴定数据的接收时间值Time_CPE，通过预存的电力业务终端的数字签名判断第一待鉴定数据是否合法，判断接收时间值Time_CPE与接收时间值Time_EST的差值是否小于预设阈值，若第一待鉴定数据合法且接收时间值Time_CPE与接收时间值Time_EST的差值小于预设阈值，则该电力业务终端鉴定为合法业务终端，5G通信终端将自身的数字签名、证书Cert_EST、证书Cert_CPE、随机数N_EST、随机数N_CPE及接收时间值Time_CPE通过5G会话管理功能网元的公钥Pub_SMF进行加密，获得第二待鉴定数据并发送至5G会话管理功能网元；

S203、5G会话管理功能网元通过自身的私钥Pri_SMF对第二待鉴定数据进行解密，生成随机数N_SMF，记录第二待鉴定数据的接收时间值Time_SMF，通过预存的5G通信终端的数字签名判断第二待鉴定数据是否合法，判断接收时间值Time_SMF与接收时间值Time_CPE的差值是否小于预设阈值，若第二待鉴定数据合法且接收时间值Time_SMF与接收时间值Time_CPE的差值小于预设阈值，则该5G通信终端鉴定为合法通信终端，5G会话管理功能网元将自身的数字签名、证书Cert_EST、证书Cert_CPE、证书Cert_SMF、随机数N_EST、随机数N_CPE、随机数N_SMF及接收时间值Time_SMF通过电力安全认证网关的公钥Pub_SAG进行加密，获得第三待鉴定数据并发送至电力安全认证网关；

S204、电力安全认证网关通过自身的私钥Pri_SAG对第三待鉴定数据进行解密，记录第三待鉴定数据的接收时间值Time_SAG，通过预存的5G会话管理功能网元的数字签名判断第三待鉴定数据是否合法，判断接收时间值Time_SAG与接收时间值Time_SMF的差值是否小于预设阈值，若第二待鉴定数据合法且接收时间值Time_SAG与接收时间值Time_SMF的差值小于预设阈值，则该5G会话管理功能网元鉴定为合法网元，电力安全认证网关对证书Cert_EST、证书Cert_CPE、证书Cert_SMF的合法性进行确定，若合法，则生成证书合法鉴定结果，电力安全认证网关将自身的数字签名、证书合法鉴定结果、随机数N_EST、随机数N_CPE及随机数N_SMF通过5G会话管理功能网元的公钥Pub_SMF进行加密，获得第四待鉴定数据并发送至5G会话管理功能网元，且首次合法鉴定成功。

4.根据权利要求3所述的电力5G终端认证方法，其特征在于，所述步骤S3包括：

S301、5G会话管理功能网元通过自身的私钥Pri_SMF对第四待鉴定数据进行解密，通过预存的电力安全认证网关的数字签名判断第四待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第四待鉴定数据中的随机数N_SMF与步骤S203中生成的随机数N_SMF是否一致，若第四待鉴定数据合法、证书合法鉴定结果合法且随机数N_SMF一致，则5G会话管理功能网元将自身的数字签名、证书合法鉴定结果、随机数N_EST、随机数N_CPE通过5G通信终端的公钥Pub_CPE进行加密，获得第五待鉴定数据并发送至5G通信终端；

S302、5G通信终端通过自身的私钥对第五待鉴定数据进行解密，通过预存的5G会话管理功能网元的数字签名判断第五待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第五待鉴定数据中的随机数N_CPE与步骤S202中生成的随机数N_CPE是否一致，若第五待鉴定数据合法、证书合法鉴定结果合法且随机数N_CPE一致，则5G通信终端将自身的数字签名、证书合法鉴定结果及随机数N_EST通过电力业务终端的公钥Pub_EST进行加密，获得第六待鉴定数据并发送至电力业务终端；

S303、电力业务终端的私钥Pri_EST对第六待鉴定数据进行解密，通过预存的5G通信终端的数字签名判断第六待鉴定数据是否合法，判断证书合法鉴定结果是否合法，比对第六待鉴定数据中的随机数N_EST与步骤S201中生成的随机数N_EST是否一致，若第五待鉴定数据合法、证书合法鉴定结果合法且随机数N_CPE一致，则二次合法鉴定成功。

5.电力5G终端认证系统，其特征在于，包括：电力业务终端、5G通信终端、5G会话管理功能网元及电力安全认证网关，

所述5G通信终端通过AKA认证后，将5G通信终端与5G会话管理功能网元的证书及鉴定启动指令发送至所述电力业务终端，所述证书包括：公钥及私钥；

基于证书、数字签名及接收时间值，依次完成5G通信终端对电力业务终端、5G会话管理功能网元对5G通信终端、电力安全认证网关对5G会话管理功能网元及电力安全认证网关对电力业务终端、5G通信终端、5G会话管理功能网元的首次合法鉴定；

基于证书、数字签名、证书合法鉴定结果及随机数，依次完成5G会话管理功能网元对电力安全认证网关、5G通信终端对5G会话管理功能网元及电力业务终端对5G通信终端的二次合法鉴定。

6.根据权利要求5所述的电力5G终端认证系统，其特征在于，所述电力安全认证网关基于电力业务终端、5G通信终端及5G会话管理功能网元各自的身份标识集合生成对应的私钥，基于私钥计算获得对应的公钥，由对应的私钥及公钥组成证书；所述电力业务终端、5G通信终端及5G会话管理功能网元存储有自身对应的证书，分别为证书Cert_EST、证书Cert_CPE、证书Cert_SMF。

7.根据权利要求6所述的电力5G终端认证系统，其特征在于，所述电力安全认证网关用于存储自身的数字签名、5G会话管理功能网元的公钥Pub_SMF、5G会话管理功能网元的数字签名、证书Cert_EST、证书Cert_CPE、证书Cert_SMF；

所述电力业务终端用于存储自身的数字签名、证书Cert_EST、5G通信终端的公钥Pub_CPE、5G通信终端的数字签名，用于生成随机数N_EST；

所述5G通信终端用于存储自身的数字签名、证书Cert_CPE、5G会话管理功能网元的公钥Pub_SMF、5G会话管理功能网元的数字签名及电力业务终端的数字签名，用于生成随机数N_CPE；

所述5G会话管理功能网元用于存储自身的数字签名、证书Cert_SMF、电力安全认证网关的公钥Pub_SAG、电力安全认证网关的数字签名及5G通信终端的数字签名，用于生成随机数N_SMF。

Images