[發明專利]一種基于變電站的GOOSE報文認證方法

在審

• 申請號: 201410767518.8
• 申請日: 2015-08-04
• 公開（公告）號: CN104506500A
• 公開（公告）日: 2015-07-29
• 發明（設計）人: 馮善強;黃曙;牛津文;邵春梅;馬凱;慕宗君;陳炯聰;王紅星;曹麗娟;胡春潮;何杰;汪溢;楊占杰;張曉悅;侯艾君;段宏達
• 申請（專利權）人: 廣東電網有限責任公司電力科學研究院;許繼電氣股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32
• 代理公司: 廣州知友專利商標代理有限公司 44104
• 代理人: 周克佑

技術領域

本發明涉及電力系統數據傳輸安全技術領域，具體來說涉及一種基于變電站的GOOSE報文認證方法，該認證方法主要實現對于實時性要求較高的GOOSE報文傳輸過程中的認證防護。

背景技術

與其他工業控制系統不同，電力系統運行控制面臨的通信認證問題具有一定的特殊性。比如，目前大部分通信認證策略是用于防范來自互聯網的黑客攻擊，而電力系統運行控制環境與公用互聯網環境具有非常大的差別。如果將公用互聯網的認證通信技術照搬到電力系統運行控制環境中，顯然缺乏對電力系統運行控制的通信認證需求的深刻理解。

當前的主流認證服務和產品主要是面向普通工業用戶而設計的，可能無法滿足電力系統運行控制環境下的嚴苛的性能和可靠性要求。

變電站網絡系統容易受到多種形式的攻擊破壞,不同的攻擊模式會產生不同的威脅,進而破壞變電站信息的完整性、保密性、有效性和不可否認性。因此,分析變電站的初始攻擊形式是解決報文安全性的首要任務,常見的攻擊形式有:竊聽、中斷、截獲、篡改等。相應地,針對變電站報文的各類攻擊主要造成以下幾種威脅：

1)違反授權。變電站控制系統人員利用授權身份或設備,執行非授權操作。

2)篡改。報文在傳輸過程中被第三方截獲后,經刪除、插入、修改、改變次序、重放等操作后再發給接收方,以達到損壞報文的目的。

3)拒絕服務。向變電站網絡發送大量數據,造成網絡或監控系統癱瘓。

4)抵賴。接入信息系統并進行操作,但事后卻拒絕承認事實。針對上述4種威脅,可使用相應的防范措施。

基于以上的攻擊模式，設計相應的認證方法便成為報文在傳輸過程中的重中之重，因此針對上述4種威脅,必須采取相應的防范措施。

發明內容

本發明的目的是提供一種基于變電站GOOSE報文的認證方法，該認證方法引入身份認證，消息認證，密鑰管理的概念，有效的解決目前GOOSE報文在網絡傳輸過程中所面臨的威脅，而且能夠保證GOOSE信息對于實時性的要求。

本發明的目的可通過以下的技術措施來實現：

一種基于變電站通信的GOOSE報文認證方法，包括如下內容：

在傳輸的報文時進行身份認證，即在原始GOOSE報文中加入身份認證信息發送給接收方。目的是為了防止GOOSE報文正常通信過程中，變電站操作控制人員利用授權身份執行非法授權操作的行為發生。

在報文中加入消息認證，即增加對數據進行封裝操作，并且以信息摘要的形式隨報文發送給接收方。目的是為了防止GOOSE報文在傳輸過程中數據被第三方截獲后,經刪除、插入、修改、改變次序、重放等操作后再發給接收方,以達到損壞報文的目的。

在報文中引入密鑰管理，定時更新密鑰。目的是為了防止第三方截獲報文后向變電站網絡發送大量數據,造成網絡或監控系統癱瘓，從而達到數據無法正常通信的目的，以達到防止重放攻擊的目的。

在GOOSE報文中，將身份認證信息與消息認證信息分別采用特定的算法進行封裝操作并生成對應的字符串，將生成的兩個字符串合并成GOOSE報文中的擴展字段與原始報文一起發送；而GOOSE報文中的保留字段則被用于描述擴展字段的相關信息。接收端收到報文后再對擴展字段內容進行相應的拆封操作，進行身份認證與消息認證信息的驗證。目的是保證數據傳輸的完整性，一致性。

不論是發送端還是接收端，都各自維護自己的密鑰池，當密鑰管理服務器發送更新的密鑰時，發送端與接收端需同時對自己維護的密鑰池進行實時更新。

所述身份認證的具體步驟如下：

(1.1)發送端將配置的用戶名，密碼及密鑰作為明文信息使用DES算法進行置換操作，轉換后生成密文字符串加入到GOOSE報文的擴展字段1中，與原始GOOSE報文組成身份認證報文發送給接收端，其中，DES算法使用64bit的密鑰,不會產生密文擴充。DES算法的工作原理是公開加密和解密算法,只對密鑰進行保密。

(1.2)接收端收到報文后，同樣使用DES算法將身份認證的密文信息進行還原操作，將還原后的內容與本地認證信息進行比對，如果與需要接收的用戶名，密碼及密鑰信息一致則通過此報文的身份認證，以完成身份認證方法。

所述消息認證的具體步驟如下：

(2.1)發送端發送GOOSE報文時，將報文中的數據信息通過MD5算法進行數據壓縮操作，生成定長的信息摘要字符串，隨后將信息摘要字符串填充到GOOSE報文的擴展字段2中，與原始GOOSE報文組成認證報文發送給接收端，其中MD5算法為計算機安全領域廣泛使用的一種散列函數，用以提供消息的完整性保護。