引言
電力調(diào)度數(shù)據(jù)網(wǎng)承擔(dān)著電網(wǎng)調(diào)度自動化系統(tǒng)的數(shù)據(jù)傳輸任務(wù)。目前電力調(diào)度數(shù)據(jù)通信業(yè)務(wù)中,以能量管理系統(tǒng)(EMS)、廣域相量測量系統(tǒng)為代表的實(shí)時監(jiān)控系統(tǒng)被普遍采用,對實(shí)時性、安全性提出了很高的要求。然而,現(xiàn)有的電力調(diào)度數(shù)據(jù)網(wǎng)的安全性總體上要求建立在基于公鑰技術(shù)的分布式電力調(diào)度數(shù)字證書系統(tǒng)基礎(chǔ)之上、基于TCP/IP協(xié)議的虛擬專用網(wǎng)(VPN)技術(shù)即第三層隧道技術(shù)(IPSec)來實(shí)現(xiàn)。由于數(shù)字證書和IP協(xié)議本身的復(fù)雜性,在這些低端網(wǎng)絡(luò)設(shè)備中進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)通信時會產(chǎn)生大量傳輸時延,導(dǎo)致電力調(diào)度實(shí)時性無法得到保證。
本文提出一種新的基于VPN的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全方案,在保證電力調(diào)度系統(tǒng)安全性的前提下,盡可能降低電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)傳輸時延,有效地解決了調(diào)度數(shù)據(jù)網(wǎng)中安全性與實(shí)時性之間的矛盾。
1 身份認(rèn)證與密鑰協(xié)商融合的安全方案
傳統(tǒng)基于公鑰數(shù)字證書的公鑰基礎(chǔ)設(shè)施/認(rèn)證中心(PKI/CA)安全體制存在著繁瑣的身份認(rèn)證和密鑰協(xié)商機(jī)制,如第三方認(rèn)證服務(wù)器在線、公鑰證書管理、多重會話機(jī)制等,不適于電力調(diào)度數(shù)據(jù)網(wǎng)的低端網(wǎng)絡(luò)設(shè)備和嵌入式終端。為了克服PKI/CA的上述缺點(diǎn),提出一種新的基于有限域上離散對數(shù)的身份認(rèn)證和密鑰協(xié)商安全方案。將需要在電力調(diào)度數(shù)據(jù)網(wǎng)中進(jìn)行數(shù)據(jù)交換和傳輸?shù)腅MS終端、遠(yuǎn)程終端設(shè)備(RTU)等稱為電力調(diào)度數(shù)據(jù)網(wǎng)的終端節(jié)點(diǎn)(以下簡稱為節(jié)點(diǎn))。
1.1算法的初始化
為了使進(jìn)入電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的各個節(jié)點(diǎn)的標(biāo)識認(rèn)證有效,假定節(jié)點(diǎn)標(biāo)識m是各不相同的。令n
步驟7:雙方可以用密鑰K1=K2和任意一種對稱密鑰加密算法進(jìn)行保密通信,會話完成后即可舍棄各自的會話密鑰,下次通信時重新協(xié)商新的會話密鑰。
2 安全性分析
在電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中,各個節(jié)點(diǎn)在進(jìn)入網(wǎng)絡(luò)之前必須申請離線認(rèn)證節(jié)點(diǎn)所頒發(fā)的認(rèn)證碼,作為進(jìn)入網(wǎng)絡(luò)的許可證。
2.1簽名的安全性
對電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中每個節(jié)點(diǎn)的標(biāo)識生成認(rèn)證碼時,離線認(rèn)證節(jié)點(diǎn)隨機(jī)選取(si,si’)對,每個(si,si’)僅針對不同的節(jié)點(diǎn)標(biāo)識,并且是在空間PGF(p)中隨機(jī)均勻選取的,因而節(jié)點(diǎn)的認(rèn)證碼(Wi,Qi,Ui)具有很強(qiáng)的隨機(jī)性,具有Byzatine行為的節(jié)點(diǎn)之間無法通過合謀來生成認(rèn)證私鑰。
2.2零知識身份證明
電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)節(jié)點(diǎn)中的認(rèn)證碼(Wi,Qi,Ui)是各個節(jié)點(diǎn)的唯一標(biāo)識,因而在密鑰協(xié)商過程中不能全部泄露給對方,為了簽名認(rèn)證的需要,提出的方案僅將Wi傳遞給通信對方,接收方收到Wi后,
有限域上離散對數(shù)問題。因此,證明了無論在哪種情況下接收方都不能獲得完整的(Wi,Qi,ui),即認(rèn)證碼。
2.3消息重放攻擊
電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中通信雙方每次會話都可能被竊聽并被記錄,竊聽者會在以后的會話中重放這些協(xié)議。為了保持協(xié)議消息的新鮮性,通信雙方協(xié)商前都要分別生成一個隨機(jī)整數(shù)z,即生成X=gx+Qiuimodp,與通信對方協(xié)商會話密鑰,因此由于x的參與,每次會話密鑰都不相同。通信雙方可以保存用過的會話密鑰,發(fā)現(xiàn)以后的通信過程中有相同的會話密鑰時可以拒絕與對方通信。
2.4中間人攻擊
傳統(tǒng)的密鑰協(xié)商協(xié)議容易遭到中間人攻擊,是因?yàn)槿狈f(xié)議消息進(jìn)行認(rèn)證所造成的。而本文提出的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全方案中,將通信雙方的認(rèn)證過程包含進(jìn)密鑰協(xié)商中,即需要先驗(yàn)證:
3 基于IPSec的VPN安全框架實(shí)現(xiàn)
鑒于電力調(diào)度數(shù)據(jù)網(wǎng)接入層采用的是低端網(wǎng)絡(luò)設(shè)備和RTU等嵌入式遠(yuǎn)動監(jiān)控設(shè)備,我們將基于IPSec的VPN內(nèi)核進(jìn)行了大幅裁剪,將新的身份認(rèn)證和密鑰協(xié)商算法融入到裁剪后的VPN安全框架中,不僅使新的安全方案得以實(shí)現(xiàn),也大大降低了接入層設(shè)備在安全上的數(shù)據(jù)處理開銷。
在IPSec框架的IKE(Internet key exchange)協(xié)議中,實(shí)現(xiàn)了自動的安全參數(shù)協(xié)商,包括加密與鑒別算法、加密及鑒別密鑰、通信的保護(hù)模式(傳輸或隧道模式)、密鑰的生存期等。而對于本文所提出的身份認(rèn)證和密鑰協(xié)商算法,雙方的身份認(rèn)證和密鑰協(xié)商都在上述的一次握手會話中就可完成,通信雙方唯一需要協(xié)商的僅僅是使用何種對稱密鑰加密算法。如圖1所示。
圖1 無需第三方認(rèn)證的節(jié)點(diǎn)間身份認(rèn)證和密鑰協(xié)商
因此,在本文提出的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全I(xiàn)PSec框架中,密鑰管理模塊上的開銷可以大大減輕。我們將所提出的安全體制方案融入到現(xiàn)有的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的IPSec框架中,與現(xiàn)有的系統(tǒng)服務(wù)模塊協(xié)同運(yùn)行。數(shù)據(jù)報文處理過程如圖2所示。
圖2 IP層數(shù)據(jù)包處理框圖
圖2中的加解密模塊部分對SPD庫和SADB庫的查詢是一個影響性能和系統(tǒng)資源的瓶頸,因而我們采用的是高速的HAsH查找算法,并在系統(tǒng)內(nèi)存中開辟適當(dāng)?shù)木彺鎭泶娣抛罱褂玫腟PD庫和SADB庫數(shù)據(jù)。在IKE密鑰交換協(xié)議中,采用了占用系統(tǒng)資源較少的積極模式(aggressive mode)來建立安全關(guān)聯(lián)(security association)。由于本文提出的安全方案中本身已經(jīng)含有身份認(rèn)證功能,因此彌補(bǔ)了積極模式的IKE密鑰交換協(xié)議缺乏身份認(rèn)證功能的不足。
4 安全方案性能分析
由于電力調(diào)度數(shù)據(jù)網(wǎng)的核心層和骨干層有較強(qiáng)的數(shù)據(jù)處理能力,因此,我們的仿真分析主要集中在對數(shù)據(jù)傳輸時延較為敏感的接入層部分,即對接人層的遠(yuǎn)動系統(tǒng)與骨干層之間傳輸遙信數(shù)據(jù)、遙測數(shù)據(jù)、遙控數(shù)據(jù)、遙調(diào)數(shù)據(jù),分別用PKI/CA方案對比身份認(rèn)證和密鑰協(xié)商融合安全方案進(jìn)行傳輸時延對比測試。具體仿真工具采用OPNET Modeler10.0.A,根據(jù)上述對IPsec的裁剪方案構(gòu)造了電力調(diào)度數(shù)據(jù)網(wǎng)的RTU節(jié)點(diǎn)模型,2級調(diào)度數(shù)據(jù)網(wǎng)的接入層與骨干層網(wǎng)絡(luò)拓?fù)錇闃湫徒Y(jié)構(gòu)。
分別對遙調(diào)命令響應(yīng)時延(YD)、遙控命令執(zhí)行響應(yīng)時延(YK)、遙測越死區(qū)傳送時延(YC)、遙信變位傳送時延(YX)4種數(shù)據(jù)的應(yīng)用層端到端傳輸延遲進(jìn)行了仿真測試,設(shè)定運(yùn)行時間為60 min,讓網(wǎng)絡(luò)運(yùn)行在綜合的外部條件下。測試結(jié)果見圖3。
圖3 OPNET測試端到端的傳輸時延
由圖3可以看出:新的基于身份認(rèn)證和密鑰協(xié)商融合安全方案的VPN在YD,YK,YC和YX上不僅有較好的穩(wěn)定性,而且能滿足電力調(diào)度數(shù)據(jù)網(wǎng)生產(chǎn)控制實(shí)時性要求,同時安全性也得到了保證。
5 結(jié)語
由于電力調(diào)度數(shù)據(jù)網(wǎng)直接參與電力生產(chǎn)管理控制,對安全性、實(shí)時性提出了很高的要求。本文從基礎(chǔ)的密碼算法人手,提出了一種合理的基于VPN的身份認(rèn)證和密鑰協(xié)商融合安全方案,有效地解決了電力調(diào)度數(shù)據(jù)網(wǎng)中安全性與實(shí)時性之間的矛盾,具有較好的推廣應(yīng)用價值。
核心關(guān)注:拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用,蘊(yùn)涵了豐富的ERP管理思想,集成了ERP軟件業(yè)務(wù)管理理念,功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理,全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域,是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處:拓步ERP資訊網(wǎng)http://www.ezxoed.cn/
本文標(biāo)題:基于VPN的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全方案
本文網(wǎng)址:http://www.ezxoed.cn/html/consultation/1083948511.html