電力終端可信身份認證技術研究與應用

趙保華 王志皓 王樹才

摘 要：電力行業的網絡信息安全是國家網絡信息安全的重要組成部分，關系國家經濟命脈安全和社會穩定。為進一步提升電力行業信息安全水平，保障電力信息系統安全、穩定運行，近些年電力行業開展了一系列針對身份認證和用戶管理的平臺研究和部署工作。基于此，論文深入研究了可信身份認證技術在電力終端的應用，基于數字證書和可信計算技術開展研究，通過構建可信通信協議，研發可信安全通信系統構建可信通信環境。

關鍵詞：可信身份；電力；數字證書

中圖分類號：TN918； C931.6 文獻標識碼：B

Abstract： The information security of the power industry is an important part of the national network information security， which is related to the national economic lifeline safety and social stability. In order to further improve the information security level of the power industry and ensure the safe and stable operation of the power information system， in recent years， the power industry has carried out a series of platform research and deployment work for identity authentication and user management. Based on it， this paper studies the application of trusted identity authentication technology in power terminals， researches based on digital certificates and trusted computing technologies， and builds a trusted communication system by constructing a trusted communication protocol to build a trusted communication environment.

Key words： trusted identity； electricity； digital certificate

1 引言

智能電網具有信息化、自動化、互動化特征，涵蓋了發電、輸電、變電、配電、用電、調度、信息、通信、跨環節以及綜合示范等工程領域，具有“網絡更廣、交互更多、技術更新、用戶更泛”等特點，在智能電網建設過程中，出現了數量龐大的智能化測控類終端設備，其數量多、分布廣、通信手段多樣的特點導致面臨的網絡安全風險較傳統電網面臨的風險種類更多，范圍更大，層次更為深入，尤其對于終端身份及狀態可信鑒別和認證的需求更為迫切，同時需要確保終端網絡通信過程中的數據機密性和完整性，防止由于終端身份被仿冒、完整性被破壞以及數據或指令被竊取或篡改所帶來的網絡安全事件和經濟損失。

2 技術原理

電力終端可信身份證明技術是面向智能電網典型業務模型提出的網絡可信身份管理可應用方案，并適用于類似架構工業控制系統，在實現通信雙方身份認證的同時實現對終端的可信計算環境狀態認證。

本文介紹了基于數字證書和可信計算技術的身份認證技術研究情況，通過構建可信通信協議，研發可信安全通信系統構建可信通信環境。在終端與主站系統建立連接時，實現主站系統與接入終端的雙向身份認證、接入終端的可信狀態檢測，確保接入終端的身份可信和計算環境可信，同時協商通信密鑰，實現對通信數據的機密性和完整性保護。在通信時，主站系統與終端定期進行身份認證和狀態檢測，并對終端在線狀態進行監測，發現問題時可強制終端離線。

基于上述原理，設計了支撐終端身份認證、可信狀態認證、機密性保護和完整性保護的輕量級可信通信協議。

可信通信協議工作于TCP/IP協議的網絡層和應用層，適用于使用以太網、以太無源光網絡、無線公網（GPRS、3G、TDCDMA等）進行通信的系統，實現系統前置服務器和終端間端到端的安全，可在不改變系統網絡架構并極少改變系統設置的情況下實現智能終端設備的安全接入。

可信通信協議主要包含記錄協議和握手協議兩層，其中記錄協議建立在其他可靠的傳輸協議如TCP/IP之上，用于封裝高層協議如握手協議，而握手協議使客戶和服務器之間相互進行認證，并協商加密

算法和密鑰。在可信通信協議中調用可信計算技術實現終端身份和狀態的證明，主要是通過改造擴展握手協議，在建立握手的過程中完成對終端身份和狀態的認證，包括獲取并驗證終端身份證書，獲取并驗證終端完整性值。完成終端身份和狀態的證明之后交換公鑰證書。在電力終端與系統主站首次協商即將建立通信會話之前，上述握手過程已經完成。可信通信協議的握手交互流程如圖1所示。

其中，在握手階段，系統分為三種身份認證模式。

一是基于數字證書技術的非對稱認證：可信安全通信模塊與安全通信網關在初次交互時采用該種認證方式，并協商雙方用于通訊的密鑰。

二是基于對稱算法的認證：可信安全通信模塊與安全通信網關在證書認證過后再次交互時采用該種認證方式，加快認證流程，降低認證開銷。

三是工作密鑰過期重新認證：當基于非對稱認證協商的密鑰使用一定周期后，可信安全通信模塊在基于對稱認證與安全通信網關交互時，安全通信網關會要求可信安全通信模塊重新進行基于證書體系的認證，并協商新的工作密鑰。

可信安全通信模塊。可信安全通信模塊部署于業務終端側，內置數字證書代表終端身份，用于業務終端和業務前置機的身份認證和可信保護，實現業務前置機與業務終端間的可信身份認證和可信通信。

可信安全通信模塊由MCU、可信芯片和網絡芯片組成。其中MCU進行數據處理和協議實現，可信芯片提供終端狀態可信度量和算法支持，網絡芯片進行網絡數據收發并實現網絡協議棧。

3 主要功能

可信安全通信系統具有可信身份認證、可信狀態認證、訪問控制、安全數據交換、接入終端監控等功能，實現了主站系統前置服務器和終端間端到端的安全通信協議，在不改變系統網絡架構并極少改變系統設置的情況下實現電力終端設備與主站之間安全通信的可信身份認證和數據機密性、完整性保護。

可信安全通信系統中的可信安全通信網關采用國家密碼管理局授權的專用商密算法確保終端可信接入和通信安全。

可信安全通信系統的部署方式示意圖如圖2所示。

可信安全通信網關部署在主站前置機前，通過網口連接主站前置機進行主站數據通信，通過網口連接交換機等網絡設備與可信安全通信模塊交互確保終端安全接入。

可信安全通信模塊具有外置型和內嵌型兩種形態。外置型可信安全通信模塊部署在終端和本地通信設備之間，通過網口或串口連接終端進行終端業務數據通信，通過網口或串口和交換機、3G/GPRS通信模塊等本地通信設備連接與可信安全通信網關交互確保終端安全接入。內嵌型可信安全通信模塊部署在終端內部，通過內部網口連接終端進行終端業務數據通信，通過外部網口連接本地通信設備或通過終端數據轉發與可信安全通信網關交互確保終端安全接入。

4 結束語

電力行業的信息安全是電力信息系統安全、穩定運行的基礎。近年來，電力行業開展了一系列針對身份認證和用戶管理的電力行業信息安全部署工作。立足于電力行業應用實際需求，基于數字證書和可信計算技術，本文通過深入研究可信身份認證技術，提出一種面向智能電網典型業務的網絡可信身份管理可應用方案。該方案具有可信身份認證、可信狀態認證、訪問控制、安全數據交換、接入終端監控等功能，實現了主站系統前置服務器和終端間端到端的安全通信協議，在不改變系統網絡架構并極少改變系統設置的情況下實現電力終端設備與主站之間安全通信的可信身份認證和數據機密性、完整性保護。

參考文獻

[1] 張露維，盧士達，陸穗穗.上海市電力公司身份管理與企業門戶研究實踐[J].供用電，2011，28（1）：76-80.

[2] 朱潔瓊，段斌，鄒吉昌，等.基于SPML的電力企業應用系統集成身份管理[J].計算機技術與發展，2009，19（10）：238-241.

[3] 王靜.統一身份認證和用戶管理平臺在集團型電力企業的應用[J].信息網絡安全，2016（12）：81-85.

[4] 湯億則，徐志強，黃紅兵，等.RSA雙因素身份認證技術在電力信息管理安全中的應用[J].電氣應用，2015（10）：134-136.

[5] 張道榮，薛正垠，廖根宇，等.電力企業評標基地專家身份鑒別系統設計與應用[J].數字技術與應用，2017（8）：171-172.

[6] 魏曉菁，劉冬梅，溫超.國家電網公司目錄服務、身份旨理與認證系統的設計與實現[J].電力信息與通信技術，2007，5（10）：43-46.

[7] 張春平，馬志程，張琦，等.一種電力企業分布式文件系統身份認證解決方案[J].自動化技術與應用，2017，36（3）：23-26.

[8] 李建，何永忠，沈昌祥，等.可信移動平臺身份管理框架[J].計算機應用研究，2008，25（12）：3710-3712.

[9] 靳丹，張小東，劉少博.電力企業統一權限管理系統的研究與應用[J].電力信息與通信技術，2013，11（10）：97-100.