[發明專利]一種基于隧道加解密的工業控制系統通信方法及系統

有效

• 申請號: 202110365552.2
• 申請日: 2021-04-06
• 公開（公告）號: CN112731897B
• 公開（公告）日: 2021-06-22
• 發明（設計）人: 褚健;章維;余夢達;馬納;張高達
• 申請（專利權）人: 浙江中控技術股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 張建

1.一種基于隧道加解密的工業控制系統通信方法，其特征在于，包括：

在客戶端設備與目標控制設備之間通過國密加解密隧道進行通信的起始階段，所述國密加解密隧道獲得所述客戶端設備發送的請求數據包，其中，所述請求數據包攜帶有所述目標控制設備的設備標識和目標工控協議，所述國密加解密隧道對所述客戶端設備透明；

所述國密加解密隧道根據所述設備標識和所述目標工控協議，確定與所述請求數據包匹配的隧道加密策略；

所述國密加解密隧道根據所述隧道加密策略，在加密通訊數據庫中查詢與所述目標控制設備匹配的目標密鑰信息；

所述國密加解密隧道確定所述目標密鑰信息中是否存在處于有效期之內的第一通訊密鑰，其中，該第一通訊密鑰由所述國密加解密隧道與所述目標控制設備通過身份識別和密鑰協商確定；

所述國密加解密隧道在所述目標密鑰信息中存在處于有效期之內的第一通訊密鑰的情況下，根據該第一通訊密鑰和國密算法對所述請求數據包進行加密獲得第一加密數據包；

所述國密加解密隧道將所述第一加密數據包發送至所述目標控制設備；

所述目標控制設備根據該第一通訊密鑰對所述第一加密數據包進行解密獲得所述請求數據包；

所述目標控制設備對所述請求數據包作出響應，獲得響應數據包；

所述目標控制設備根據該第一通訊密鑰和所述國密算法對所述響應數據包進行加密獲得第二加密數據包；

所述目標控制設備將所述第二加密數據包發送至所述國密加解密隧道；

所述國密加解密隧道根據該第一通訊密鑰對所述第二加密數據包進行解密，獲得所述響應數據包并將所述響應數據包發送至所述客戶端設備；

所述國密加解密隧道在所述目標密鑰信息中存在處于有效期之內的第一通訊密鑰的情況下，將所述請求數據包中的目的信息與所述隧道加密策略中的協議轉換策略進行匹配，若匹配成功，則所述國密加解密隧道根據所述協議轉換策略對所述請求數據包進行協議轉換操作。

2.根據權利要求1所述的方法，其特征在于，還包括：

在所述目標密鑰信息中不存在有效期之內的通訊密鑰，或，所述目標密鑰信息中處于有效期之內的第一通訊密鑰的剩余有效期小于第一預設時長的情況下，所述國密加解密隧道與所述目標控制設備通過身份識別和密鑰協商確定第二通訊密鑰；

所述國密加解密隧道將所述第二通訊密鑰添加至所述目標密鑰信息中。

3.根據權利要求2所述的方法，其特征在于，所述國密加解密隧道與所述目標控制設備通過身份識別和密鑰協商確定第二通訊密鑰可以包括：

所述國密加解密隧道將第一數字證書和經第一私鑰加密后的第一隨機數發送至所述目標控制設備；

所述目標控制設備根據CA服務器的根證書，對所述第一數字證書進行有效性驗證；若驗證通過，所述目標控制設備使用所述第一數字證書攜帶的第一公鑰對經第一私鑰加密后的所述第一隨機數進行解密；

所述目標控制設備生成第二隨機數，并根據解密后的所述第一隨機數和所述第二隨機數生成第二通訊密鑰并存儲所述第二通訊密鑰；

所述目標控制設備將第二數字證書、解密后的所述第一隨機數以及經第二私鑰加密后的所述第二隨機數發送至所述國密加解密隧道；

所述國密加解密隧道根據所述CA服務器的根證書，對所述第二數字證書和解密后的所述第一隨機數進行有效性驗證，若驗證通過，則使用所述第二數字證書攜帶的第二公鑰對第二私鑰加密后的所述第二隨機數進行解密；

所述國密加解密隧道根據所述第一隨機數和解密后的所述第二隨機數生成所述第二通訊密鑰并存儲所述第二通訊密鑰；

所述國密加解密隧道使用所述第二通訊密鑰對解密后的所述第二隨機數進行加密，并將經所述第二通訊密鑰加密后的所述第二隨機數發送至所述目標控制設備；

所述目標控制設備使用所述第二通訊密鑰對經所述第二通訊密鑰加密后的所述第二隨機數進行解密，并對解密后的所述第二隨機數進行有效性驗證，若驗證通過，則所述目標控制設備向國密加解密隧道發送可使用所述第二通訊密鑰進行加密通信的通知。

4.根據權利要求3所述的方法，其特征在于，所述第一數字證書由所述CA服務器向所述國密加解密隧道簽發，所述第二數字證書由所述CA服務器向所述目標控制設備簽發。