[發(fā)明專利]一種工業(yè)控制系統(tǒng)中增強通信安全性的方法

有效

• 申請?zhí)枺?/td>: 201410240791.5
• 申請日: 2014-05-30
• 公開（公告）號: CN104079408B
• 公開（公告）日: 2018-01-19
• 發(fā)明（設(shè)計）人: 張波;高昆侖;鄭曉崑;李凌;趙保華;梁瀟;趙婷
• 申請（專利權(quán)）人: 國家電網(wǎng)公司;中國電力科學(xué)研究院;全球能源互聯(lián)網(wǎng)研究院
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06
• 代理公司: 北京安博達知識產(chǎn)權(quán)代理有限公司11271
• 代理人: 徐國文

技術(shù)領(lǐng)域

本發(fā)明涉及一種信息安全技術(shù)，具體講涉及一種工業(yè)控制系統(tǒng)中增強通信安全性的方法。

背景技術(shù)

工業(yè)控制系統(tǒng)(ICS)是對多種控制系統(tǒng)的總稱，包括監(jiān)控和數(shù)據(jù)采集(SCADA)系統(tǒng)、分布式控制系統(tǒng)(DCS)，以及可編程邏輯控制器(PLC)之類的小型的控制系統(tǒng)裝置。工業(yè)控制系統(tǒng)普遍應(yīng)用于電力、自來水、石油、天然氣、化工、交通運輸、制藥、紙漿和造紙、能源、食品飲料制造。工業(yè)控制系統(tǒng)由主站、網(wǎng)絡(luò)和子站組成。工業(yè)控制系統(tǒng)的基本工作原理是子站對工業(yè)過程測量數(shù)據(jù)進行采集，通過網(wǎng)絡(luò)將數(shù)據(jù)送至主站，主站分析后通過網(wǎng)絡(luò)向子站發(fā)送控制或參數(shù)設(shè)置等命令，子站對工業(yè)過程進行動作并將回執(zhí)行結(jié)果和/或狀態(tài)返回給主站。

目前工業(yè)控制系統(tǒng)中使用的通信協(xié)議包括IEC60870系列、IEC60970系列、IEC61850系列、DNP3等，這些協(xié)議的特點是以可靠性為基本需求，并沒有考慮收發(fā)認證、數(shù)據(jù)完整性和數(shù)據(jù)保密性等安全內(nèi)容。而且工業(yè)控制系統(tǒng)應(yīng)用的計算環(huán)境惡劣,不僅網(wǎng)絡(luò)通信方式眾多，包括專線撥號、光纖專網(wǎng)、移動GPRS、衛(wèi)星通信等,而且設(shè)備以分布式的狀態(tài),完全暴露在開放式的計算環(huán)境之中,存在敵手攻擊的可能性。開放的網(wǎng)絡(luò)環(huán)境和“零安全機制”的通信協(xié)議使得工業(yè)控制系統(tǒng)面臨眾多信息安全風(fēng)險。

針對這種情況，在兼容已有通信協(xié)議和數(shù)據(jù)格式的前提下，實施安全功能的擴展，具有很強的現(xiàn)實意義。

發(fā)明內(nèi)容

針對現(xiàn)有技術(shù)的不足，本發(fā)明的目的是提供一種工業(yè)控制系統(tǒng)中增強通信安全性的方法，該方法為單向、只針對重要通信報文，采用深度優(yōu)化的橢圓曲線公鑰算法、采用后綴式設(shè)計、采用關(guān)鍵通信登記機制和時間戳機制等一系列針對性的安全保護方法，實現(xiàn)了身份認證、完整性保護等必要的安全功能，同時不會影響該工業(yè)控制系統(tǒng)的工作。

本發(fā)明的目的是采用下述技術(shù)方案實現(xiàn)的：

一種工業(yè)控制系統(tǒng)中增強通信安全性的方法，其改進之處在于，所述方法應(yīng)用于工業(yè)控制系統(tǒng)中，所述工業(yè)控制系統(tǒng)包括相互通信的主站側(cè)和終端側(cè)，所述方法通過下述三個階段 進行實施：

(1)通信前準備階段；

(2)主站側(cè)發(fā)送階段；

(3)終端側(cè)接收、處理和回復(fù)階段。

進一步地，所述(1)的通信前準備階段包括下述步驟：

步驟102：主站側(cè)根據(jù)國家密碼管理局21號公告(2010年12月17日發(fā)布)公開的SM2橢圓曲線公鑰密碼算法生成橢圓曲線密碼算法密鑰對，包括私鑰PriK和公鑰PubK；

步驟104：主站側(cè)預(yù)置橢圓曲線密碼算法的密鑰對，包括私鑰PriK和公鑰PubK；其中的私鑰PriK要由加密卡、加密芯片或加密機來存放預(yù)置；存儲應(yīng)該保證安全性，不會泄漏；

步驟106：終端側(cè)預(yù)置主站側(cè)的公鑰PubK。

進一步地，所述(2)的主站側(cè)發(fā)送階段包括下述步驟：

步驟202：主站側(cè)生成待保護的、原始的關(guān)鍵通信報文，所述關(guān)鍵通信報文為原始報文M；

步驟204：主站側(cè)在原始報文M之后填充本地時間戳M||timestamp；

步驟206：主站側(cè)在時間戳后填充由主站側(cè)預(yù)置的私鑰PriK對原始報文M到時間戳這段數(shù)據(jù)的簽名數(shù)據(jù)signature＝Sign(M||timestamp,PriK)；

步驟208：主站側(cè)在簽名數(shù)據(jù)之后填充安全報文結(jié)束標志字節(jié)end，形成的復(fù)合安全報文SM，所述SM＝Signature||end；

步驟210：主站側(cè)發(fā)出復(fù)合安全報文SM到終端側(cè)。

進一步地，所述步驟202中，關(guān)鍵通信報文指的是工業(yè)控制系統(tǒng)通信協(xié)議中的控制報文；所述步驟206中，對通信中的原始報文M進行的簽名驗證為單向的簽名認證。

進一步地，所述(3)的終端側(cè)接收、處理和回復(fù)階段包括下述步驟：

步驟302：終端側(cè)接收到復(fù)合安全報文SM；

步驟304：終端側(cè)根據(jù)復(fù)合安全報文SM提取出原始的關(guān)鍵通信報文時間戳timestamp和簽名數(shù)據(jù)signature；

步驟306：終端側(cè)提取本地時間戳localtime；

步驟308：比較時間戳差值是否在合理時間窗口W中，即(localtime-timestamp)<W？若在合理的時間窗口W中，則進行步驟310；否則，進行步驟309；合理時間窗口W的值根據(jù)具體應(yīng)用場景而定，在工業(yè)控制系統(tǒng)算例中設(shè)定為30秒。

步驟309：丟棄所述復(fù)合安全報文SM，不返回任何數(shù)據(jù)；