[發明專利]一種工業控制系統數字證書簽發管理方法和加密通信方法

在審

• 申請號: 202110020753.9
• 申請日: 2021-01-08
• 公開（公告）號: CN112350826A
• 公開（公告）日: 2021-02-09
• 發明（設計）人: 褚健;章維;馬納;張高達;陳銀桃
• 申請（專利權）人: 浙江中控技術股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32;H04L29/06
• 代理公司: 北京易捷勝知識產權代理事務所(普通合伙) 11613
• 代理人: 李麗敏

1.一種工業控制系統數字證書簽發管理方法，其特征在于，包括：

在工業控制系統出廠時，客戶端設備與CA服務器之間進行認證對方身份的數據交互；

若客戶端設備與CA服務器之間的身份認證通過，則客戶端設備根據國密算法生成自身密鑰對和證書簽發請求，并發送證書簽發請求和自身公鑰至CA服務器；CA服務器根據國密算法、證書簽發請求和公鑰信息生成數字證書，并將數字證書發送至客戶端設備；

若客戶端設備根據自身密鑰對和根證書驗證數字證書有效性通過，則存儲數字證書以作為自身數字證書；

所述客戶端設備包括工程師站、控制器和操作員站。

2.根據權利要求1所述的方法，其特征在于，還包括：

客戶端設備在自身數字證書到期前的預設時刻，生成影子證書簽發請求，并發送影子證書簽發請求和自身公鑰至CA服務器；

CA服務器根據影子證書簽發請求和公鑰信息生成影子證書，并將影子證書發送至客戶端設備；

若客戶端設備根據自身密鑰對和根證書驗證影子證書有效性通過，則存儲影子證書；

客戶端設備在自身數字證書到期時，將影子證書作為自身數字證書。

3.根據權利要求1所述的方法，其特征在于，所述客戶端設備與CA服務器之間進行認證對方身份的數據交互，包括：

客戶端設備發送證書請求和自身設備信息至CA服務器；

CA服務器收到證書請求后對客戶端設備信息進行驗證，若驗證通過，則CA服務器發送自身數字證書至客戶端設備；

客戶端設備根據根證書驗證CA服務器的數字證書的有效性，若驗證通過，則客戶端設備與CA服務器之間的身份認證通過。

4.一種工業控制系統加密通信方法，其特征在于，包括：

在第一客戶端設備和第二客戶端設備之間的每一次通信開始時，第一客戶端設備和第二客戶端設備之間基于通訊雙方的數字證書、CA服務器的根證書和國密算法進行身份認證和動態密鑰協商；

若身份認證通過，則根據國密算法和密鑰協商后獲得的會話密鑰，第一客戶端設備和第二客戶端設備之間進行加密通信；

所述通訊雙方的數字證書根據權利要求1至3任一項所述的工業控制系統數字證書簽發管理方法獲得。

5.根據權利要求4所述的方法，其特征在于，所述會話密鑰為對稱密鑰。

6.根據權利要求4所述的方法，其特征在于，所述第一客戶端設備和第二客戶端設備之間基于通訊雙方的數字證書、CA服務器的根證書和國密算法進行身份認證和動態密鑰協商，包括：

第一客戶端設備生成連接請求和第一隨機數，并根據自身私鑰和國密算法加密第一隨機數；

第一客戶端設備發送連接請求、自身數字證書和加密的第一隨機數至第二客戶端設備；

根據CA服務器的根證書，第二客戶端設備對第一客戶端設備數字證書有效性進行驗證，若驗證通過，則第二客戶端設備生成第二隨機數，并根據第一客戶端設備數字證書中攜帶的公鑰對加密的第一隨機數進行解密，根據第一隨機數和第二隨機數生成會話密鑰，以及根據自身私鑰和國密算法加密第二隨機數；

第二客戶端設備發送自身數字證書、會話密鑰、解密的第一隨機數和加密的第二隨機數至第一客戶端設備；

根據CA服務器的根證書，第一客戶端設備對第二客戶端設備數字證書和解密的第一隨機數的有效性進行驗證，若驗證通過，則第一客戶端設備根據第二客戶端設備數字證書中攜帶的公鑰對加密的第二隨機數進行解密，并根據會話密鑰對解密的第二隨機數進行加密；

第一客戶端設備發送會話密鑰加密的第二隨機數至第二客戶端設備；

第二客戶端設備根據會話密鑰對會話密鑰加密的第二隨機數進行解密，并驗證會話密鑰解密的第二隨機數的有效性，若驗證通過，則第二客戶端設備向第一客戶端設備發送通信開始通知。

7.根據權利要求6所述的方法，其特征在于，所述根據國密算法和密鑰協商后獲得的會話密鑰，第一客戶端設備和第二客戶端設備之間進行加密通信，包括：

第一客戶端設備根據會話密鑰和國密算法對業務數據進行加密，然后將加密后的業務數據發送至第二客戶端設備。