基于SM2 密碼體系的電力信息安全監控系統設計

陳 鋒，鄒 洪，吳亞楠，劉 欣，梁 段

（南方電網數字電網研究院有限公司網絡安全公司，廣東廣州 510663）

電力系統是國民經濟和社會發展的重要基礎設施，其網絡和應用系統安全是系統安全運行和社會可靠供電的保障，與各行各業的發展、社會穩定和人民生活水平密切相關[1]。盡管防火墻、入侵檢測系統、殺毒軟件以及專用隔離設備發揮了一定的作用，但仍存在不能及時和準確檢測到安全事件的問題。安全設備和應用系統每天都會發生很多安全事件，包含許多關于這些事件的錯誤警告[2]。同時，沒有出現未知病毒和攻擊的報道，多個安全系統日志不能進行實時自動審核，導致大量安全事件無法及時發現[3]。雖然傳統的RSA 算法能提高平臺安全性，但是其密鑰長度會降低加密解密的效率，而且硬件復雜，嚴重影響了信息安全平臺的服務質量；盡管神經網絡算法能夠精確地定位安全事件，但由于其各自獨立，無法形成良好的復合相關性，發生的事件不能確定實際問題。為此，提出基于SM2 密碼體系的電力信息安全監控系統設計方案，以實現集中監控各種網絡和系統安全資源。

1 系統硬件結構設計

針對二次電力系統缺乏集中管理與審計，設計了安全支撐平臺，將其作為電力二次系統的應用網關。該平臺提供了安全可靠的認證機制和嚴格有效的訪問控制和權限管理，安全審核歷史用戶信息和管理系統資源[4]。圖1 為系統硬件結構。

圖1 系統硬件結構

由圖1 可知，在電力系統中，需要通過應用平臺支持電力系統安全信息的二次訪問，基于用戶角色確定其訪問權限，獲取相應的系統應用服務[5-8]。通過電力信息系統管理，工作人員可以通過配置安全支持平臺和用戶信息完成用戶添加和刪除[9]。MySQL 數據庫一方面存儲各power secondary 系統的審計統計記錄和應用授權代碼；另一方面存儲各power 輔助系統的審計統計記錄和應用授權代碼；對應用授權碼等信息進行實時更新，確保電源支持系統和用戶身份之間有效映射[10-11]。

1.1 電力信息采集裝置

采集裝置為監控系統提供基礎數據，也是整個系統的核心部分，該層次分別是通信模塊、訪問模塊和采集模塊，其中通信模塊主要實現與電源黑箱之間的通信連接，消息訪問模塊主要存儲電源內部設備的交互操作，數據采集模塊主要用于電源內部不同設備的操作調度[12-13]。電力信息采集裝置斷電后，采用DS18B20 傳感器內部EEPROM 自動保存設定值，確保系統數據安全。因為DS18B20 傳感器完全能滿足智能電力信息安全監控系統中信號采集的要求，所以選用其作為終端數據采集的工具[14-16]。

低、高溫度系數振蕩器不容易受到電網大數據的影響，通過定頻脈沖信號，由振蕩產生的數據直接傳送給計數器1，給計數器一個穩定的計數脈沖。盡管設備發出的脈沖波非常明顯，并且有很大的靈敏度變化趨勢，但是設備產生的信號能被計數器2 的脈沖快速吸收，從而為計數器2 提供了計數脈沖。該傳感器利用DS18B20 傳感器在大容量數據采集系統中對振蕩器產生的時鐘脈沖計數。

1.2 服務加密接口電路

服務加密接口電路組成部分是間歇振蕩電路，其電路如圖2 所示。

圖2 服務加密接口電路

由圖2 可知，當R1接上電源后，為使VT1 開始導電，向開關管VT1 提供啟動電流，其集電極電流IC在L1處呈線性增加。當L2產生正反饋電壓時，VT1基極為正，發射極為負，VT1 能迅速達到飽和狀態。隨著C1充電電壓提高，VT1 基電位下降，VT1 從飽和區輸出，IC下降，而L2中產生的電壓可使VT1 基極變為負壓，發射極變為正壓，使VT1 快速斷開。此時，二極管VD1 打開，儲存在初級線圈中的能量釋放到負載上。在VT1 斷開時，L2中沒有感應電壓。通過R1向C1反向充電，由直流提供的輸入電壓，讓VT1 的基電位逐漸上升，再將VT1 接通，進入飽和狀態，電路反復振蕩。與單端反激式開關電源一樣，傳輸到負載的電壓是通過變壓器二次線圈輸出的。

1.3 視頻聯動模塊

為達到防誤、監控和視頻的互補協調，實現遙控操作、現場切換操作、視頻報警聯動等功能，需要與監控廠商合作，并向防誤系統發送全部開關控制信號，阻止監控系統被黑客遠程攻擊。

1.4 SM2加密安全組件

SM2 加密安全組件是一種基于Web 服務提供商認證服務請求者的接口程序，可處理用戶訪問，主要是處理用戶訪問計算機或網絡資源的請求，通過檢索資源授權庫，執行用戶身份驗證和操作授權，確定用戶對資源的訪問，同時記錄用戶的活動。圖3 為SM2 加密安全組件。

圖3 SM2加密安全組件

安全組件包括sjk0817-b 加密卡、iserver 安全組件和核心服務模塊。該核心業務模塊不僅包含AAAA 服務引擎，還包含輔助服務模塊。次要服務程序是其他基本功能模塊安全控制的基礎，該軟件提供遠程網絡安全訪問，并負責其他模塊間的調度。

2 系統軟件部分設計

SM2 橢圓曲線公鑰加密算法的安全性和速度均優于RSA 算法。根據SM2 的一般原理，256 位曲線被推薦為標準曲線。圖4 為算法的原理。

圖4 SM2橢圓曲線公鑰密碼算法原理

圖4 中，P表示基準點，通過該點作切線，交于2P點，在2P點作豎線，交于2P點，2P點即為P點的2倍點；P點和2P點之間作直線，交于3P1點，在3P1點作豎線，交于3P點，3P點即為P點的3 倍點。給定圖上Q點是P的一個倍點，在橢圓曲線算法中，將倍數d作為私鑰，將Q作為公鑰。其中，對稱加密算法如下：

在該方程支持下，實現對稱加密。SM2 算法安全訪問流程如圖5 所示。

圖5 SM2算法安全訪問流程

SM2 算法安全訪問流程如下：

1）通過SM2 算法，用戶將USBKEY 插入客戶端，通過HTTP 協議和數字證書登錄到服務器端，并開始訪問服務器端。

2）能量備用系統的服務器調用iaccount 套件證書，通過認證界面來判斷訪問是否通過認證。如果不這樣，客戶端的imidware 組件會自動被重定向到安全平臺。

3）該安全支持平臺對用戶提交的SM2 算法數字證書進行驗證，對CRL 證書的有效性、用戶角色、用戶權限等信息進行驗證，并記錄用戶名、IP 地址、時間、備用電源名稱、登錄方式、認證日志等。

4）在SM2 算法數字證書認證之后，安全支持平臺根據服務器端的證書簽名生成證書，并將當前用戶的會話信息、基本信息、隨機序列值等發送到客戶端。

5）客戶機可以通過imidware 組件將其自動重定向到備用電源系統，并提交一個一次性的簽名證書。

6）通過向用戶提供一次授權代碼和一次授權證書驗證，實現對授權代碼的一次驗證。

7）經過驗證，該系統獲得用戶信息加密信息。簽名后的用戶信息經加密簽名后，返回電力系統二級應用系統，一次性銷毀簽名證書。獲取用戶簽名信息后，應用系統對其真實性進行驗證，解密用戶信息，然后根據用戶信息登錄到電力二級系統。

8）識別用戶身份并允許正常進入電力系統。

3 實 驗

3.1 實驗環境

以某電力集團有限公司的信息安全存儲項目為例，表1 為2019 年該公司電力系統運行的歷史數據。

表1 2019年電力系統運行歷史數據

在表1 數據支持下，對實驗結果進行驗證分析。

3.2 實驗結果與分析

在電力系統中存在潛在危險，隨時有可能被黑客攻擊，因此，分別使用傳統RSA 算法W1、神經網絡算法W2 和基于SM2 密碼監控系統W3 識別攻擊信息，在黑客攻擊情況下，3 種方法出現的短時能量對比結果如圖6 所示。

圖6 3種方法短時能量對比分析

由圖6 可知，使用傳統RSA 算法在0～12 min、40～50 min 時間范圍內，出現短時能量失效的情況，該情況下算法無法監控電力信息安全；使用神經網絡算法同樣在0～12 min、40～50 min 時間范圍內，出現短時能量失效情況，該情況下算法無法監控電力信息安全；使用基于SM2 密碼監控系統在40～50 min時間范圍內，短時能量逐漸失效，該時間段電力信息處于存儲階段，不會再增加新的監控畫面，即使監控失效，也不影響整體監控效果。

基于該情況，在12～40 min 內分別采用3 種方法對監控安全性能和速度進行對比分析，結果如表2、3所示。

由表2、3 可知，傳統RSA 算法安全密鑰長，簽名速度和驗簽速度慢；使用神經網絡算法安全密鑰，簽名速度和驗簽速度比傳統RSA 算法快，但比基于SM2 密碼監控系統慢；使用基于SM2 密碼監控系統安全密鑰短，且簽名速度和驗簽速度快，具有良好的安全性能和快速監控速度。

表2 3種方法監控安全性能對比分析

表3 3種方法監控速度對比分析

4 結束語

利用統一的安全支持平臺，實現了分布在不同地方的電力二次應用系統的異構集成，實現了統一的用戶身份認證、管理、授權和審核,不僅有效地保護了二級應用系統的安全，而且大大簡化了訪問控制與權限管理系統的開發與維護，降低了管理成本和復雜性。該設計不僅滿足了電力二次系統的安全管理，而且實現了信息安全產品的本地化，具有一定的實用價值。