電力調(diào)度數(shù)據(jù)網(wǎng)作為電力系統(tǒng)的重要基礎(chǔ)設(shè)施，與電網(wǎng)調(diào)度和控制系統(tǒng)的安全運(yùn)行緊密關(guān)聯(lián)。隨著計(jì)算機(jī)和網(wǎng)絡(luò)的普遍應(yīng)用，電力系統(tǒng)對數(shù)據(jù)傳輸?shù)陌踩枨笠苍诓粩嗵岣?。通過對調(diào)度數(shù)據(jù)網(wǎng)中傳輸?shù)臄?shù)據(jù)采用加密算法，加密裝置利用私鑰進(jìn)行裝置與證書管理中心之間的認(rèn)證以及裝置之間的密鑰協(xié)商，保證了電力通信數(shù)據(jù)的私密性、完整性和不可否認(rèn)性。

一、加密技術(shù)概述

數(shù)據(jù)加密技術(shù)作為網(wǎng)絡(luò)安全的一個(gè)重要組成部分，在網(wǎng)絡(luò)中扮演著非常重要的角色，它牽涉到數(shù)據(jù)的機(jī)密性、鑒別、不可抵賴和完整性。密鑰是數(shù)據(jù)加密技術(shù)的關(guān)鍵，它控制著加密和解密算法的實(shí)現(xiàn)。根據(jù)密鑰的不同，將加密技術(shù)分為對稱加密技術(shù)、非對稱加密技術(shù)、混合加密技術(shù)。

（一）對稱加密算法

對稱加密技術(shù)就是加密密鑰能夠從解密密鑰中推算出來，同時(shí)解密密鑰也可以從加密密鑰中推算出來，而在大多數(shù)的對稱算法中，加密密鑰和解密密鑰是相同的。比較著名的對稱算法有：美國的DES及其各種變形，比如Triple DES、GDES、NEW DES;歐秒H的Ⅱ)EA;日本的FEAL、RC4、RC5以及以代換密碼和轉(zhuǎn)輪密碼為代表的古典密碼等，對稱密碼中影響最大的是DES加密算法。

對稱加密技術(shù)由于雙方擁有相同的密鑰，具有易于實(shí)現(xiàn)和速度快的優(yōu)點(diǎn)，所以廣泛應(yīng)用于通信和存儲(chǔ)數(shù)據(jù)文件加密和解密。對稱加密技術(shù)的安全性依賴于密鑰，所以密鑰的保密性對通信安全至關(guān)重要。對稱加密流程如圖1所示。

（二）非對稱加密技術(shù)

這種技術(shù)也可以稱為公鑰加密技術(shù)，加密密鑰（公鑰）可以公開，即陌生人可以得到它并用來加密信息，但只有用相應(yīng)的解密密鑰（私鑰）才能解密信息。比較著名的公鑰密碼算法有：RSA、背包密碼、McEliece密碼、Hellman、Rabin、橢圓曲線算法等等，最有影響的公鑰密碼算法是RSA，它能抵抗到日前為止已知的所有密碼攻擊。公鑰密碼的優(yōu)點(diǎn)是可以適應(yīng)網(wǎng)絡(luò)的開放性要求，但速度比較慢，不太適合對文件進(jìn)行加密。非對稱加密流程如圖2所示。

（三）混合加密技術(shù)

混合加密技術(shù)不是一種單一的加密技術(shù)，而是一個(gè)結(jié)合體，是上述兩種數(shù)據(jù)加密技術(shù)相互結(jié)合的產(chǎn)物。通信雙方的通信過程分為兩個(gè)部分，雙方先利用非對稱加密技術(shù)傳送本次通信所用的對稱密鑰，然后再用對稱加密技術(shù)加密傳送文件?；旌霞用芰鞒倘鐖D3所示。

（四）數(shù)字簽名

所謂”數(shù)字簽名”就是通過某種密碼運(yùn)算生成一系列符號(hào)及代碼組成電子密碼進(jìn)行簽名。數(shù)字簽名的概念由WhitfiedDiffie和MaitinHellman于1976年最先提出，目的是使簽名者對電子文件也可以進(jìn)行簽名并且無法否認(rèn)，驗(yàn)證者無法篡改文件。數(shù)字簽名由簽名算法和驗(yàn)證算法構(gòu)成，數(shù)字簽名如圖4所示。

·簽名算法一一發(fā)送方使用自己的私鑰進(jìn)行加密
·驗(yàn)證算法一一接收方使用發(fā)送方的公鑰進(jìn)行解密

（五）數(shù)字證書

數(shù)字證書證明證書持有者身份的電子介質(zhì)，由證書頒發(fā)機(jī)構(gòu)(CA)簽發(fā)，至少包含一個(gè)公開密鑰、證書持有人（或單位）的名稱以及證書授權(quán)中心對這些信息的數(shù)字簽名的文件。一個(gè)證書中，最重要的信息是個(gè)體名字、個(gè)體的公鑰、機(jī)構(gòu)的簽名、算法和用途。證書的格式遵循ITUTX. 509 (v1.0、v2.0、v3.0)國際標(biāo)準(zhǔn)。數(shù)字證書的格式如圖5所示。

二、調(diào)度數(shù)據(jù)網(wǎng)的加密認(rèn)證設(shè)計(jì)

（一）電力二次系統(tǒng)安全防護(hù)體系

國家電監(jiān)會(huì)2006年頒布了《電力二次系統(tǒng)安全防護(hù)總體方案》，要求電力二次系統(tǒng)安全防護(hù)工作應(yīng)當(dāng)堅(jiān)持”安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的原則，保障電力監(jiān)控系統(tǒng)和電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全?？v向加密認(rèn)證是電力二次系統(tǒng)安全防護(hù)核心的縱向防線，其目的是通過采用認(rèn)證、加密、訪問控制等技術(shù)措施實(shí)現(xiàn)數(shù)據(jù)的遠(yuǎn)方安全傳輸以及縱向邊界的安全防護(hù)，保證數(shù)據(jù)傳輸?shù)目煽啃院蛯?shí)時(shí)性?？v向防護(hù)體系總體配置如圖6所示。

（二）縱向加密認(rèn)證網(wǎng)關(guān)

電力調(diào)度數(shù)據(jù)網(wǎng)的縱向加密認(rèn)證是通過專用的電力加密認(rèn)證網(wǎng)關(guān)（裝置）來實(shí)現(xiàn)。電力專用加密認(rèn)證網(wǎng)關(guān)部署在各級(jí)調(diào)度中心（國調(diào)、網(wǎng)調(diào)、省調(diào)、地調(diào)、縣調(diào)）及下屬調(diào)度的各廠站，根據(jù)電力調(diào)度上下級(jí)關(guān)系建立加密隧道。加密認(rèn)證網(wǎng)關(guān)應(yīng)實(shí)現(xiàn)電力系統(tǒng)專用的應(yīng)用層通信協(xié)議(IEC-104，DLA76-92等)轉(zhuǎn)換功能，以便實(shí)現(xiàn)端到端的選擇性保護(hù)。其作用有以下兩個(gè)：

1、為生產(chǎn)控制大區(qū)提供網(wǎng)絡(luò)屏障，具有類似”包過濾防火墻”的功能；

2、為網(wǎng)關(guān)機(jī)之間的通信提供認(rèn)證和加密功能，實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)臋C(jī)密性、完整性保護(hù)。

縱向加密認(rèn)證網(wǎng)關(guān)拓?fù)鋱D如圖7如示。

其中省調(diào)I區(qū)采用雙機(jī)冗余技術(shù)，配置2臺(tái)加密認(rèn)證網(wǎng)關(guān)，Ⅱ區(qū)配置單臺(tái)加密認(rèn)證網(wǎng)關(guān)。地調(diào)節(jié)點(diǎn)的I、II區(qū)分別接入1臺(tái)加密認(rèn)證網(wǎng)關(guān)。

（三）電力調(diào)度數(shù)字證書系統(tǒng)

電力調(diào)度數(shù)字證書系統(tǒng)是采用基于公鑰技術(shù)(P K I)的分布式數(shù)字證書系統(tǒng)，為電力監(jiān)控系統(tǒng)及電力調(diào)度數(shù)據(jù)網(wǎng)上的關(guān)鍵應(yīng)用、關(guān)鍵用戶和關(guān)鍵設(shè)備提供數(shù)字證書服務(wù)，實(shí)現(xiàn)高強(qiáng)度的身份認(rèn)證、安全的數(shù)據(jù)傳輸以及可靠的行為審計(jì)。

電力調(diào)度證書系統(tǒng)為縱向加密認(rèn)證設(shè)備簽發(fā)相應(yīng)的符合X.509證書規(guī)范的數(shù)字證書以實(shí)現(xiàn)身份認(rèn)證和數(shù)據(jù)文件加密。加密認(rèn)證網(wǎng)關(guān)的設(shè)備密鑰為非對稱密鑰，配置在裝置和裝置管理系統(tǒng)中，用于設(shè)備的認(rèn)證與會(huì)話密鑰的協(xié)商。設(shè)備密鑰由網(wǎng)關(guān)產(chǎn)生，其私鑰保存在網(wǎng)關(guān)內(nèi)，公鑰經(jīng)電力調(diào)度數(shù)字證書系統(tǒng)(CA)簽名，以數(shù)字證書的方式發(fā)布。會(huì)話密鑰為對稱密鑰，用于裝置之間的通信數(shù)據(jù)文件加密，會(huì)話密鑰由設(shè)備在建立安全通道時(shí)動(dòng)態(tài)協(xié)商產(chǎn)生，拆除通道時(shí)失效。對于一個(gè)運(yùn)行CA的大型權(quán)威機(jī)構(gòu)而言，簽發(fā)證書的工作不能僅僅由一個(gè)CA來完成它，可以建立一個(gè)CA層次結(jié)構(gòu)，如圖8所示。

根CA具有一個(gè)自簽名的證書，根CA依次對它下面的CA進(jìn)行簽名，層次結(jié)構(gòu)中葉子節(jié)點(diǎn)上的CA用于對安全個(gè)體進(jìn)行簽名。對于個(gè)體而言，它需要信任根CA，中間的CA可以不必關(guān)心（透明的）；同時(shí)它的證書是由底層的CA簽發(fā)的，沿著層次樹往上找，可以構(gòu)成一條證書鏈，直到根證書?？v向加密裝置CA系統(tǒng)的部署拓?fù)鋱D如圖9所示。

·三峽電廠裝置證書由國調(diào)CA簽發(fā)。

·清江梯調(diào)裝置證書由華中網(wǎng)調(diào)CA簽發(fā)。

·姚孟電站裝置證書由河南省調(diào)CA簽發(fā)，二灘廠站裝置證書由四川省調(diào)CA簽發(fā)。

·華中網(wǎng)調(diào)裝置證書、河南省調(diào)裝置證書和四川省調(diào)裝置證書由華中網(wǎng)調(diào)CA簽發(fā)。

·網(wǎng)調(diào)CA的根證書由國調(diào)CA簽發(fā)，省調(diào)CA的根證書由網(wǎng)調(diào)簽發(fā)。

·網(wǎng)調(diào)裝置信任省調(diào)CA簽發(fā)的所有裝置，國調(diào)裝置信任網(wǎng)調(diào)CA簽發(fā)所有裝置。

因此河南姚孟電站裝置能與國調(diào)裝置互通。三峽裝置證書是國調(diào)CA簽發(fā)的，因此三峽裝置與姚孟電站裝置、華中網(wǎng)調(diào)裝置和四川、河南省調(diào)裝置互通。

（四）安全認(rèn)證與密鑰協(xié)商

在電力應(yīng)用數(shù)據(jù)進(jìn)行安全傳輸前，必須完成加密認(rèn)證系統(tǒng)雙方的身份認(rèn)證與通信密鑰的協(xié)商。根據(jù)電力調(diào)度系統(tǒng)的管理特性與電力數(shù)字證書的應(yīng)用，會(huì)話密鑰協(xié)商機(jī)制具有如下前提條件：加密認(rèn)證網(wǎng)關(guān)之間安全通信所采用的加密算法、工作方式和通信協(xié)議等已經(jīng)確定，無須協(xié)商；使用的數(shù)字證書由電力調(diào)度證書服務(wù)系統(tǒng)統(tǒng)一簽發(fā)，不考慮交叉認(rèn)證；加密認(rèn)證網(wǎng)關(guān)內(nèi)已經(jīng)預(yù)先配置了所有與之相連的裝置的設(shè)備證書，無須進(jìn)行證書交換；證書的真實(shí)性與有效性通過裝置的本地手工管理手段保證。因此，在加密認(rèn)證系統(tǒng)的設(shè)計(jì)中，采用如下簡化的安全認(rèn)證協(xié)商機(jī)制，系統(tǒng)I為發(fā)起方，系統(tǒng)II為應(yīng)答方，安全認(rèn)證與密鑰協(xié)商過程如圖10所示。

i、節(jié)點(diǎn)I產(chǎn)生隨機(jī)數(shù)rl，用II的公鑰對rl進(jìn)行加密，同時(shí)用自己的私鑰進(jìn)行簽名，作A=Ecert2(r1)||EskeyI(H(r1))，將A發(fā)給通信節(jié)點(diǎn)Ⅱ；

ii、節(jié)點(diǎn)II收到A后，用自己的私鑰解密并驗(yàn)證I的簽名；如果驗(yàn)證簽名成功，產(chǎn)生隨機(jī)數(shù)r2，用I的公鑰對眨進(jìn)行加密，同時(shí)用自己的私鑰進(jìn)行簽名，作B= Ecertl (r2)||Es-key2(H(r2))，將B發(fā)給節(jié)點(diǎn)I；

iii、節(jié)點(diǎn)I對B用自己的私鑰進(jìn)行解密并驗(yàn)證II的簽名，如果驗(yàn)證簽名成功，合成會(huì)話密鑰DK=r1(2)，并作哈希運(yùn)算C=H(r1r2)發(fā)給通信節(jié)點(diǎn)n；

iv、節(jié)點(diǎn)II同樣對合成密鑰作哈希運(yùn)算，作D=H (r1r2)，比較C與D是否相同，如果相同，則密鑰協(xié)商與認(rèn)證完成，進(jìn)入正常通信階段。

三、縱向加密認(rèn)證在電力調(diào)度數(shù)據(jù)網(wǎng)中的應(yīng)用

09年下半年，重慶市調(diào)完成了縱向加密裝置在全網(wǎng)的安裝調(diào)試，現(xiàn)已全部投入運(yùn)行，涵蓋市調(diào)、地調(diào)(12個(gè)供電局及超高壓局所轄220KV、500KV變電站)及市調(diào)所轄電廠?？v向加密裝置采用衛(wèi)士通公司的SJW77網(wǎng)絡(luò)密碼機(jī)，市調(diào)部署4臺(tái)加密機(jī)，實(shí)時(shí)、非實(shí)時(shí)業(yè)務(wù)各2臺(tái)，分別采用雙機(jī)熱備方式（1臺(tái)部署在主鏈路上，1臺(tái)部署在備鏈路上）。實(shí)時(shí)加密機(jī)保護(hù)數(shù)據(jù)網(wǎng)中的EMS、WAMS業(yè)務(wù)，非實(shí)時(shí)加密機(jī)保護(hù)數(shù)據(jù)網(wǎng)中的TMR、HDS業(yè)務(wù)。各個(gè)地調(diào)及電廠部署2臺(tái)加密機(jī)，實(shí)時(shí)業(yè)務(wù)、非實(shí)業(yè)務(wù)各1臺(tái)。其網(wǎng)絡(luò)拓?fù)淙鐖D11所示。

加密裝置使用對稱加密算法、非對稱算法、散列算法等加密算法。

·對稱加密算法采用國家密碼管理局批準(zhǔn)使用的SSX06密碼芯片，分組長度為128位，密鑰長度為128位，主要用于保護(hù)設(shè)備之間的通信數(shù)據(jù)加密。它設(shè)計(jì)成專用的硬件加密卡，加密算法只能在卡中完成數(shù)據(jù)加解密操作。

·非對稱算法用于數(shù)字簽名和數(shù)字信封，采用標(biāo)準(zhǔn)RSA加密算法，密鑰長度為1024位。

·散列算法用于數(shù)據(jù)完整性驗(yàn)證，采用目前廣泛應(yīng)用的標(biāo)準(zhǔn)MD5加密算法。

·裝置使用的密鑰包括：設(shè)備密鑰、會(huì)話密鑰、通信密鑰。

·設(shè)備密鑰為非對稱密鑰，配置在裝置和裝置管理系統(tǒng)中，用于設(shè)備的認(rèn)證與會(huì)話密鑰的協(xié)商。設(shè)備密鑰由裝置產(chǎn)生，其私鑰保存在裝置內(nèi)，公鑰經(jīng)調(diào)度數(shù)字證書服務(wù)系統(tǒng)簽名，以數(shù)字證書的方式發(fā)布。

·會(huì)話密鑰為對稱密鑰，用于裝置之間的通信數(shù)據(jù)文件加密，會(huì)話密鑰由設(shè)備在建立安全通道時(shí)動(dòng)態(tài)協(xié)商產(chǎn)生，拆除通道時(shí)失效：安全通道一旦建立以后，會(huì)話密鑰主要有以下產(chǎn)生方式：

1)人工協(xié)商：由管理員通過管理界面提供的密鑰協(xié)商功能進(jìn)行操作；

2）自動(dòng)協(xié)商：密鑰協(xié)商程序根據(jù)設(shè)置的協(xié)商時(shí)間定時(shí)自動(dòng)協(xié)商，缺省為24個(gè)小時(shí)，用戶可以通過管理界面修改；

3）開機(jī)協(xié)商：加密認(rèn)證裝置在啟動(dòng)時(shí)，初始化完所有的配置參數(shù)時(shí)自動(dòng)啟動(dòng)密鑰協(xié)商功能。

·通信密鑰為對稱密鑰，用于裝置管理系統(tǒng)與設(shè)備之間管理數(shù)據(jù)通信加密，通信密鑰一次一密，通過數(shù)字信封隨管理報(bào)文傳輸?shù)矫總€(gè)與之連接的設(shè)備。

經(jīng)過近半年的運(yùn)行，該加密裝置工作穩(wěn)定，能較好地滿足調(diào)度數(shù)據(jù)網(wǎng)中各項(xiàng)傳輸業(yè)務(wù)的加密要求。

admin

收藏 海報(bào)分享