面向用电采集系统终端的可信度量方案

李红娇, 王晓飞

(上海电力学院 计算机科学与技术学院, 上海 200090)

随着网络的发展,各类用电采集终端在智能电网建设中得到了广泛应用,但是由于采集终端本身结构简单、用户行为无安全管控行为、采集终端部署环境较为恶劣等问题,造成终端存在着大量的安全隐患,病毒、蠕虫等恶意代码通过采集终端漏洞攻击信息网络,使网络处于不安全状态。目前普遍采用的认证技术只以等待介入的终端是否拥有认证协议的口令或密钥来判断是否接入网络,忽视了终端系统自身是否安全可信。用电采集终端属于用电采集系统的底层设备,拥有庞大的数量,其安全性对整个系统来说显得尤为重要。为保证终端可信,可在每个采集终端中加入可信度量模块,从源头上确保终端的安全,通过使用可信计算技术对采集终端可信状态进行判断,用以显著提升采集终端的安全防护能力。

可信计算技术是从计算机的体系结构着手,从硬件安全方面出发,建立一种信任链传递体系以保证终端的可信,从源头上解决人与程序代码、人与机器以及人与人之间的信任问题。可信计算组织[1](Trusted Compouting Group,TCG)用实体行为的预期性来定义“可信”:如果一个实体的行为是以预期的方式符合预期的目标,则实体是可信的。

目前针对可信度量中的现有问题,学者们提出了很多种模型与方法。现阶段主要有基于模糊集合理论,基于度量区域模型,基于决策树理论等。虽然现有的模型方法已经很大程度上推动了可信计算的发展,但是在度量效率以及隐私易泄露等方面还有待进一步研究。通过使用可信计算来提升用电采集终端自身安全防护能力还存在以下不足:当前可信计算平台的实用性和可扩展性未得到保障,还未有很好适用于用电采集终端的可信计算模型;现有的模型在建模过程中作出了各种主观定义与假设,可信终端的普及性以及灵活性得不到满足;针对目前层出不穷的网络攻击,现有模型缺乏有效自适应性和安全防护机制,模型的可信性较低。

本文针对上述问题提出了一种面向用电采集系统终端的可信度量方案。该方案以可信密码模块(Trusted Cryptography Module,TCM)为终端的可信芯片,并在可信度量环节中引入基于属性的远程证明方法[2]。通过理论与实验分析可知,该方案可以有效改善二进制远程证明效率较低、配置隐私易泄露等问题,提高了电力移动终端的信息安全主动防御能力。

1 用电采集系统终端结构

用电采集系统是建设智能电网的物理基础,采用高级传感、通信、自动控制等技术,及时采集、掌握用电信息,实现数据采集、数据管理、电能质量数据统计和线损统计分析,发现用电异常情况,对电力用户的用电负荷进行监测和控制。用电信息采集系统由主站、通信信道、采集终端3部分组成,其组成结构如图1所示。

图1 用电信息采集系统组成结构

用电采集系统终端包括电能计量装置及采集终端、集中器、采集器等。各种终端作为获取用电数据的源头,数据泄密和病毒感染以及恶意篡改等情况层出不穷。采用传统的安全防护技术(如防火墙、入侵检测和杀毒软件)进行安全防护,使得整个信息系统安全保障变得更加复杂,系统维护和管理的复杂度与成本不断提高,使用效率大大降低。因此,将可信计算技术引入终端的安全防护显得十分必要。

2 面向用电采集终端的可信度量方案

2.1 相关概念

定义1可信度量是指以TCM为底层核心,通过适用于用电采集终端的可信度量策略对其进行可信认证的过程。

(1) 模型对“可信”的界定,是指对平台部件进行完整性度量,所得到的度量值与预定义值一致,即可证明该部件可信。

(2) 模型对“预定义值”的界定,是指各平台部件在创建之初或未被使用时得到的完整性度量序列[3-4]。其所有的度量序列集合构成了本模型所需的预定义基准值。

定义2可信根是模型信任的起点,是判定平台是否可信的依据。

在概念化模型中,可信根是判定终端平台可信状态的源点,通过信任根执行平台完整性度量功能,确保信任链传递过程是可信赖的。

2.2 可信采集终端架构

由于目前用电采集终端平台体系结构相对简单,而且软件本身容易受到攻击,因此利用操作系统或安全软件无法有效解决计算平台的可信赖问题。

终端可信平台的主要设计思想是在信息终端的物理主板上设置一个安全芯片,作为安全底层模块[5],配合系统软件以保护主机的安全。其中,适用于用电采集系统的可信计算架构平台如图2所示。

图2 用电采集系统可信采集终端架构

在可信计算平台标准的实施规则中,可信终端应包括以下4个功能与属性:一是确保用户唯一身份、权限、工作空间的完整性/可用性;二是确保硬件环境配置、操作系统内核、服务及应用程序的完整性;三是确保密钥操作和存储的安全;四是确保系统具有免疫能力,从根本上阻止病毒和黑客等软件的攻击。

2.3 构建思路

可信计算的研究核心是可信度量问题,可信度量是判定对象是否可信的一种方法,是对终端安全性的一种量化分析。可信度量通俗来说就是根据预定义的规则和标准,采用适用的方法对终端的各组件对象的属性进行测试、分析,并将所得度量值与预期度量值匹配,若符合预定义标准,则可证明该终端可信。其构建思路如下。

(1) 确定预期标准 确保终端平台的状态、功能、行为与结果时刻满足用户对用电采集终端的运行期望。预期标准可以通过多种形式描述,其度量标准选择的好坏决定了判定终端可信的准确程度。本文以非易失性存储器[6]中存储的散列值为标准值,通过相应的度量策略对终端各组件进行认证匹配,若两次得到的哈希值一致,则可以判定为可信。

(2) 确定度量策略 对影响终端的各种因素进行综合分析,制定可行的可信度量策略对终端进行可信判定[7]。在实施阶段需要提出一种度量策略与标准,将其应用到度量对象上,并得到一组度量值。

(3) 进行可信认证 根据各度量对象对可信需求程度的不同,采用合适的评判度量方案对各组件进行完整性度量。

可信度量认证体系如图3所示。

图3 可信度量认证体系

3 面向用电采集终端的可信度量实施方案

3.1 TCM安全芯片

TCM是我国自主研制的可信安全芯片。它提供了独立的密码算法支撑,是可信计算平台[8]最重要的核心部件。在可信规范方面,TCM通过引入对称算法(SMS4)保护用电采集终端的数据,还使用了公钥和对称密钥混合的密钥保护体系结构。用电采集终端作为获取用电数据的源头,数据泄密和病毒感染以及恶意篡改等情况层出不穷。为保障用电数据的真实性、完整性以及机密性,将TCM嵌入用电采集终端就显得尤为重要。基于TCM平台的密码算法如图4所示。

图4 基于TCM平台的密码算法

TCM提供的密钥类型[9]及功能如表1所示。与国外研制的芯片相比,TCM的主要特点是在存储密钥和绑定密钥方面支持对称加密算法,同时也增加了平台密钥类型,从而能更好地应用于用电采集终端。

表1 TCM密钥类型及功能

3.2 基于TCM的可信度量过程

3.2.1 可信度量的运算和存储过程

可信度量的运算过程本质上就是利用哈希函数进行运算。哈希算法可以将用电采集终端对象中任意长度的数据,通过哈希运算,变换成固定长度的散列值,而可信度量的存储过程是将得到的哈希值保存到可信计算平台状态寄存器(Platform Configuration Register,PCR)中。此过程是用电采集终端完整性度量策略中数据在各个模块间传输的核心方法。

若用公式的表示方法为:PCR新值=摘要(PCR旧值‖扩展的数据)[10],其含义就是将新度量得到的值连接到已经生成的PCR值上,并将合并后的新值进行哈希运算,最后用得到的新值替换旧的PCR值。整个过程是通过TCM中存储的调用函数Tspi_TCM_PcrExtend来完成的。此函数具有对PCR值扩展的功能,通过可信密码服务模块调用TCS层的Tcsi_LogPcrEvent函数和Tcsi_Extend函数。其流程如图5所示。

图5 可信度量的运算和存储流程

3.2.2 终端完整性证明策略

基于属性的远程证明[11]改善了二进制远程证明效率较低、配置隐私易泄露等多种问题,是嵌入式终端可信度量领域最值得研究的方向。目前,用电采集终端完整性度量的研究已经渐渐向实用性、可扩展性方面发展,基于属性的远程证明作为目前最为实用高效的证明方法,将其引入用电采集终端,可有效保障用电数据采集与传输环节中数据的真实性及机密性。基于属性的证明方法是通过度量用电采集终端的可信属性,而不用度量其具体的配置。基于属性的远程证明方法模型是借助一个中间介质来区分属性的可信级别,并以颁发属性信任证书的形式实现区分。图6为基于属性的远程证明方案。

图6 基于属性的远程证明方案

图6中,度量代理模块(VP)相较于被度量终端(H)是二进制度量平台的身份,对于可信度量平台(V)来说是一个基于属性的被度量平台。

(1) 度量者向VP首先提出远程证明的请求,请求内容包括随机数n,被度量平台属性的AIK证书,以及可信度量策略TPv;

(2) VP收到请求后,可向H发送n和AIK;

(3) TCM提取对应的 PCR值给H;

(4) TCM通过AIK的私钥通过上述运算函数对PCR值和n签名后,发送给终端;

(5) H向VP提供通过AIK签名的度量事件日志以及TCM的Q值;

(6) VP通过再次计算log,保证正确的Q值,并向PC申请属性信任证书;

(7) PC通过V递交的TPv核实真实性,并对H发布属性信任证书。

4 实验结果分析

由于可信度量方案对各个文件的度量方法是一致的,因此可选择Sample文件作为实验分析的输入数据。将Sample文件作为输入数据并计算其哈希值,然后将其存储到非易失性存储器中,最终将包含PCR值和事件的可信度量报告一起发送给验证方。验证方可以从签名中提取PCR的哈希值与度量日志中计算得到的哈希值进行比较,两者结果若一致,则可证明输入数据的可信性。表2为完整性度量过程。

表2 完整性度量过程

5 结 语

本文将可信计算技术引入用电采集系统的建设中,在终端的可信度量环节引入基于TCM的远程属性证明方案,并在方案中加入度量代理模块,即可通过发送平台的安全属性来证明平台的可信度,而不必再直接发送平台的具体配置给验证者,这样就可以保证被验证平台的隐私不暴露给验证者。对于平台的维护方面,无论是平台硬件更新还是软件升级,只要更新后的平台仍能满足验证者安全属性的要求即可,这样验证者只要验证属性安全级别而不必保存各种可信平台的具体配置,由此解决了平台的扩展性问题。经过理论及实验分析表明,本方案的引入,保障了用电采集终端可信认证更高的效率以及可信性,对于后续研究具有一定的指导意义。