电力终端可信身份认证技术研究与应用

赵保华 王志皓 王树才

摘 要：电力行业的网络信息安全是国家网络信息安全的重要组成部分，关系国家经济命脉安全和社会稳定。为进一步提升电力行业信息安全水平，保障电力信息系统安全、稳定运行，近些年电力行业开展了一系列针对身份认证和用户管理的平台研究和部署工作。基于此，论文深入研究了可信身份认证技术在电力终端的应用，基于数字证书和可信计算技术开展研究，通过构建可信通信协议，研发可信安全通信系统构建可信通信环境。

关键词：可信身份；电力；数字证书

中图分类号：TN918； C931.6 文献标识码：B

Abstract： The information security of the power industry is an important part of the national network information security， which is related to the national economic lifeline safety and social stability. In order to further improve the information security level of the power industry and ensure the safe and stable operation of the power information system， in recent years， the power industry has carried out a series of platform research and deployment work for identity authentication and user management. Based on it， this paper studies the application of trusted identity authentication technology in power terminals， researches based on digital certificates and trusted computing technologies， and builds a trusted communication system by constructing a trusted communication protocol to build a trusted communication environment.

Key words： trusted identity； electricity； digital certificate

1 引言

智能电网具有信息化、自动化、互动化特征，涵盖了发电、输电、变电、配电、用电、调度、信息、通信、跨环节以及综合示范等工程领域，具有“网络更广、交互更多、技术更新、用户更泛”等特点，在智能电网建设过程中，出现了数量庞大的智能化测控类终端设备，其数量多、分布广、通信手段多样的特点导致面临的网络安全风险较传统电网面临的风险种类更多，范围更大，层次更为深入，尤其对于终端身份及状态可信鉴别和认证的需求更为迫切，同时需要确保终端网络通信过程中的数据机密性和完整性，防止由于终端身份被仿冒、完整性被破坏以及数据或指令被窃取或篡改所带来的网络安全事件和经济损失。

2 技术原理

电力终端可信身份证明技术是面向智能电网典型业务模型提出的网络可信身份管理可应用方案，并适用于类似架构工业控制系统，在实现通信双方身份认证的同时实现对终端的可信计算环境状态认证。

本文介绍了基于数字证书和可信计算技术的身份认证技术研究情况，通过构建可信通信协议，研发可信安全通信系统构建可信通信环境。在终端与主站系统建立连接时，实现主站系统与接入终端的双向身份认证、接入终端的可信状态检测，确保接入终端的身份可信和计算环境可信，同时协商通信密钥，实现对通信数据的机密性和完整性保护。在通信时，主站系统与终端定期进行身份认证和状态检测，并對终端在线状态进行监测，发现问题时可强制终端离线。

基于上述原理，设计了支撑终端身份认证、可信状态认证、机密性保护和完整性保护的轻量级可信通信协议。

可信通信协议工作于TCP/IP协议的网络层和应用层，适用于使用以太网、以太无源光网络、无线公网（GPRS、3G、TDCDMA等）进行通信的系统，实现系统前置服务器和终端间端到端的安全，可在不改变系统网络架构并极少改变系统设置的情况下实现智能终端设备的安全接入。

可信通信协议主要包含记录协议和握手协议两层，其中记录协议建立在其他可靠的传输协议如TCP/IP之上，用于封装高层协议如握手协议，而握手协议使客户和服务器之间相互进行认证，并协商加密

算法和密钥。在可信通信协议中调用可信计算技术实现终端身份和状态的证明，主要是通过改造扩展握手协议，在建立握手的过程中完成对终端身份和状态的认证，包括获取并验证终端身份证书，获取并验证终端完整性值。完成终端身份和状态的证明之后交换公钥证书。在电力终端与系统主站首次协商即将建立通信会话之前，上述握手过程已经完成。可信通信协议的握手交互流程如图1所示。

其中，在握手阶段，系统分为三种身份认证模式。

一是基于数字证书技术的非对称认证：可信安全通信模块与安全通信网关在初次交互时采用该种认证方式，并协商双方用于通讯的密钥。

二是基于对称算法的认证：可信安全通信模块与安全通信网关在证书认证过后再次交互时采用该种认证方式，加快认证流程，降低认证开销。

三是工作密钥过期重新认证：当基于非对称认证协商的密钥使用一定周期后，可信安全通信模块在基于对称认证与安全通信网关交互时，安全通信网关会要求可信安全通信模块重新进行基于证书体系的认证，并协商新的工作密钥。

可信安全通信模块。可信安全通信模块部署于业务终端侧，内置数字证书代表终端身份，用于业务终端和业务前置机的身份认证和可信保护，实现业务前置机与业务终端间的可信身份认证和可信通信。

可信安全通信模块由MCU、可信芯片和网络芯片组成。其中MCU进行数据处理和协议实现，可信芯片提供终端状态可信度量和算法支持，网络芯片进行网络数据收发并实现网络协议栈。

3 主要功能

可信安全通信系统具有可信身份认证、可信状态认证、访问控制、安全数据交换、接入终端监控等功能，实现了主站系统前置服务器和终端间端到端的安全通信协议，在不改变系统网络架构并极少改变系统设置的情况下实现电力终端设备与主站之间安全通信的可信身份认证和数据机密性、完整性保护。

可信安全通信系统中的可信安全通信网关采用国家密码管理局授权的专用商密算法确保终端可信接入和通信安全。

可信安全通信系统的部署方式示意图如图2所示。

可信安全通信网关部署在主站前置机前，通过网口连接主站前置机进行主站数据通信，通过网口连接交换机等网络设备与可信安全通信模块交互确保终端安全接入。

可信安全通信模块具有外置型和内嵌型两种形态。外置型可信安全通信模块部署在终端和本地通信设备之间，通过网口或串口连接终端进行终端业务数据通信，通过网口或串口和交换机、3G/GPRS通信模块等本地通信设备连接与可信安全通信网关交互确保终端安全接入。内嵌型可信安全通信模块部署在终端内部，通过内部网口连接终端进行终端业务数据通信，通过外部网口连接本地通信设备或通过终端数据转发与可信安全通信网关交互确保终端安全接入。

4 结束语

电力行业的信息安全是电力信息系统安全、稳定运行的基础。近年来，电力行业开展了一系列针对身份认证和用户管理的电力行业信息安全部署工作。立足于电力行业应用实际需求，基于数字证书和可信计算技术，本文通过深入研究可信身份认证技术，提出一种面向智能电网典型业务的网络可信身份管理可应用方案。该方案具有可信身份认证、可信状态认证、访问控制、安全数据交换、接入终端监控等功能，实现了主站系统前置服务器和终端间端到端的安全通信协议，在不改变系统网络架构并极少改变系统设置的情况下实现电力终端设备与主站之间安全通信的可信身份认证和数据机密性、完整性保护。

参考文献

[1] 张露维，卢士达，陆穗穗.上海市电力公司身份管理与企业门户研究实践[J].供用电，2011，28（1）：76-80.

[2] 朱洁琼，段斌，邹吉昌，等.基于SPML的电力企业应用系统集成身份管理[J].计算机技术与发展，2009，19（10）：238-241.

[3] 王靜.统一身份认证和用户管理平台在集团型电力企业的应用[J].信息网络安全，2016（12）：81-85.

[4] 汤亿则，徐志强，黄红兵，等.RSA双因素身份认证技术在电力信息管理安全中的应用[J].电气应用，2015（10）：134-136.

[5] 张道荣，薛正垠，廖根宇，等.电力企业评标基地专家身份鉴别系统设计与应用[J].数字技术与应用，2017（8）：171-172.

[6] 魏晓菁，刘冬梅，温超.国家电网公司目录服务、身份旨理与认证系统的设计与实现[J].电力信息与通信技术，2007，5（10）：43-46.

[7] 张春平，马志程，张琦，等.一种电力企业分布式文件系统身份认证解决方案[J].自动化技术与应用，2017，36（3）：23-26.

[8] 李建，何永忠，沈昌祥，等.可信移动平台身份管理框架[J].计算机应用研究，2008，25（12）：3710-3712.

[9] 靳丹，张小东，刘少博.电力企业统一权限管理系统的研究与应用[J].电力信息与通信技术，2013，11（10）：97-100.