引言

    電力調(diào)度數(shù)據(jù)網(wǎng)承擔(dān)著電網(wǎng)調(diào)度自動(dòng)化系統(tǒng)的數(shù)據(jù)傳輸任務(wù)。目前電力調(diào)度數(shù)據(jù)通信業(yè)務(wù)中，以能量管理系統(tǒng)(EMS)、廣域相量測(cè)量系統(tǒng)為代表的實(shí)時(shí)監(jiān)控系統(tǒng)被普遍采用，對(duì)實(shí)時(shí)性、安全性提出了很高的要求。然而，現(xiàn)有的電力調(diào)度數(shù)據(jù)網(wǎng)的安全性總體上要求建立在基于公鑰技術(shù)的分布式電力調(diào)度數(shù)字證書系統(tǒng)基礎(chǔ)之上、基于TCP／IP協(xié)議的虛擬專用網(wǎng)(VPN)技術(shù)即第三層隧道技術(shù)(IPSec)來實(shí)現(xiàn)。由于數(shù)字證書和IP協(xié)議本身的復(fù)雜性，在這些低端網(wǎng)絡(luò)設(shè)備中進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)通信時(shí)會(huì)產(chǎn)生大量傳輸時(shí)延，導(dǎo)致電力調(diào)度實(shí)時(shí)性無法得到保證。

    本文提出一種新的基于VPN的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全方案，在保證電力調(diào)度系統(tǒng)安全性的前提下，盡可能降低電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)傳輸時(shí)延，有效地解決了調(diào)度數(shù)據(jù)網(wǎng)中安全性與實(shí)時(shí)性之間的矛盾。

1 身份認(rèn)證與密鑰協(xié)商融合的安全方案

    傳統(tǒng)基于公鑰數(shù)字證書的公鑰基礎(chǔ)設(shè)施／認(rèn)證中心(PKI／CA)安全體制存在著繁瑣的身份認(rèn)證和密鑰協(xié)商機(jī)制，如第三方認(rèn)證服務(wù)器在線、公鑰證書管理、多重會(huì)話機(jī)制等，不適于電力調(diào)度數(shù)據(jù)網(wǎng)的低端網(wǎng)絡(luò)設(shè)備和嵌入式終端。為了克服PKI／CA的上述缺點(diǎn)，提出一種新的基于有限域上離散對(duì)數(shù)的身份認(rèn)證和密鑰協(xié)商安全方案。將需要在電力調(diào)度數(shù)據(jù)網(wǎng)中進(jìn)行數(shù)據(jù)交換和傳輸?shù)腅MS終端、遠(yuǎn)程終端設(shè)備(RTU)等稱為電力調(diào)度數(shù)據(jù)網(wǎng)的終端節(jié)點(diǎn)(以下簡(jiǎn)稱為節(jié)點(diǎn))。

    1．1算法的初始化

    為了使進(jìn)入電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的各個(gè)節(jié)點(diǎn)的標(biāo)識(shí)認(rèn)證有效，假定節(jié)點(diǎn)標(biāo)識(shí)m是各不相同的。令n

    步驟7：雙方可以用密鑰K1=K2和任意一種對(duì)稱密鑰加密算法進(jìn)行保密通信，會(huì)話完成后即可舍棄各自的會(huì)話密鑰，下次通信時(shí)重新協(xié)商新的會(huì)話密鑰。

2 安全性分析

    在電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中，各個(gè)節(jié)點(diǎn)在進(jìn)入網(wǎng)絡(luò)之前必須申請(qǐng)離線認(rèn)證節(jié)點(diǎn)所頒發(fā)的認(rèn)證碼，作為進(jìn)入網(wǎng)絡(luò)的許可證。

    2．1簽名的安全性

    對(duì)電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中每個(gè)節(jié)點(diǎn)的標(biāo)識(shí)生成認(rèn)證碼時(shí)，離線認(rèn)證節(jié)點(diǎn)隨機(jī)選取(si，si’)對(duì)，每個(gè)(si，si’)僅針對(duì)不同的節(jié)點(diǎn)標(biāo)識(shí)，并且是在空間P^GF(p)中隨機(jī)均勻選取的，因而節(jié)點(diǎn)的認(rèn)證碼(Wi，Qi，Ui)具有很強(qiáng)的隨機(jī)性，具有Byzatine行為的節(jié)點(diǎn)之間無法通過合謀來生成認(rèn)證私鑰。

    2．2零知識(shí)身份證明

    電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)節(jié)點(diǎn)中的認(rèn)證碼(Wi，Qi，Ui)是各個(gè)節(jié)點(diǎn)的唯一標(biāo)識(shí)，因而在密鑰協(xié)商過程中不能全部泄露給對(duì)方，為了簽名認(rèn)證的需要，提出的方案僅將Wi傳遞給通信對(duì)方，接收方收到Wi后，

    有限域上離散對(duì)數(shù)問題。因此，證明了無論在哪種情況下接收方都不能獲得完整的(Wi，Qi，ui)，即認(rèn)證碼。

    2．3消息重放攻擊

    電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)中通信雙方每次會(huì)話都可能被竊聽并被記錄，竊聽者會(huì)在以后的會(huì)話中重放這些協(xié)議。為了保持協(xié)議消息的新鮮性，通信雙方協(xié)商前都要分別生成一個(gè)隨機(jī)整數(shù)z，即生成X=g^x+^Qiuimodp，與通信對(duì)方協(xié)商會(huì)話密鑰，因此由于x的參與，每次會(huì)話密鑰都不相同。通信雙方可以保存用過的會(huì)話密鑰，發(fā)現(xiàn)以后的通信過程中有相同的會(huì)話密鑰時(shí)可以拒絕與對(duì)方通信。

    2．4中間人攻擊

    傳統(tǒng)的密鑰協(xié)商協(xié)議容易遭到中間人攻擊，是因?yàn)槿狈��?duì)協(xié)議消息進(jìn)行認(rèn)證所造成的。而本文提出的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全方案中，將通信雙方的認(rèn)證過程包含進(jìn)密鑰協(xié)商中，即需要先驗(yàn)證：

3 基于IPSec的VPN安全框架實(shí)現(xiàn)

    鑒于電力調(diào)度數(shù)據(jù)網(wǎng)接入層采用的是低端網(wǎng)絡(luò)設(shè)備和RTU等嵌入式遠(yuǎn)動(dòng)監(jiān)控設(shè)備，我們將基于IPSec的VPN內(nèi)核進(jìn)行了大幅裁剪，將新的身份認(rèn)證和密鑰協(xié)商算法融入到裁剪后的VPN安全框架中，不僅使新的安全方案得以實(shí)現(xiàn)，也大大降低了接入層設(shè)備在安全上的數(shù)據(jù)處理開銷。

    在IPSec框架的IKE(Internet key exchange)協(xié)議中，實(shí)現(xiàn)了自動(dòng)的安全參數(shù)協(xié)商，包括加密與鑒別算法、加密及鑒別密鑰、通信的保護(hù)模式(傳輸或隧道模式)、密鑰的生存期等。而對(duì)于本文所提出的身份認(rèn)證和密鑰協(xié)商算法，雙方的身份認(rèn)證和密鑰協(xié)商都在上述的一次握手會(huì)話中就可完成，通信雙方唯一需要協(xié)商的僅僅是使用何種對(duì)稱密鑰加密算法。如圖1所示。

圖1 無需第三方認(rèn)證的節(jié)點(diǎn)間身份認(rèn)證和密鑰協(xié)商

    因此，在本文提出的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全I(xiàn)PSec框架中，密鑰管理模塊上的開銷可以大大減輕。我們將所提出的安全體制方案融入到現(xiàn)有的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的IPSec框架中，與現(xiàn)有的系統(tǒng)服務(wù)模塊協(xié)同運(yùn)行。數(shù)據(jù)報(bào)文處理過程如圖2所示。

圖2 IP層數(shù)據(jù)包處理框圖

    圖2中的加解密模塊部分對(duì)SPD庫和SADB庫的查詢是一個(gè)影響性能和系統(tǒng)資源的瓶頸，因而我們采用的是高速的HAsH查找算法，并在系統(tǒng)內(nèi)存中開辟適當(dāng)?shù)木彺鎭泶娣抛罱�使用的SPD庫和SADB庫數(shù)據(jù)。在IKE密鑰交換協(xié)議中，采用了占用系統(tǒng)資源較少的積極模式(aggressive mode)來建立安全關(guān)聯(lián)(security association)。由于本文提出的安全方案中本身已經(jīng)含有身份認(rèn)證功能，因此彌補(bǔ)了積極模式的IKE密鑰交換協(xié)議缺乏身份認(rèn)證功能的不足。

4 安全方案性能分析

    由于電力調(diào)度數(shù)據(jù)網(wǎng)的核心層和骨干層有較強(qiáng)的數(shù)據(jù)處理能力，因此，我們的仿真分析主要集中在對(duì)數(shù)據(jù)傳輸時(shí)延較為敏感的接入層部分，即對(duì)接人層的遠(yuǎn)動(dòng)系統(tǒng)與骨干層之間傳輸遙信數(shù)據(jù)、遙測(cè)數(shù)據(jù)、遙控?cái)?shù)據(jù)、遙調(diào)數(shù)據(jù)，分別用PKI／CA方案對(duì)比身份認(rèn)證和密鑰協(xié)商融合安全方案進(jìn)行傳輸時(shí)延對(duì)比測(cè)試。具體仿真工具采用OPNET Modeler10．0．A，根據(jù)上述對(duì)IPsec的裁剪方案構(gòu)造了電力調(diào)度數(shù)據(jù)網(wǎng)的RTU節(jié)點(diǎn)模型，2級(jí)調(diào)度數(shù)據(jù)網(wǎng)的接入層與骨干層網(wǎng)絡(luò)拓?fù)錇闃湫徒Y(jié)構(gòu)。

    分別對(duì)遙調(diào)命令響應(yīng)時(shí)延(YD)、遙控命令執(zhí)行響應(yīng)時(shí)延(YK)、遙測(cè)越死區(qū)傳送時(shí)延(YC)、遙信變位傳送時(shí)延(YX)4種數(shù)據(jù)的應(yīng)用層端到端傳輸延遲進(jìn)行了仿真測(cè)試，設(shè)定運(yùn)行時(shí)間為60 min，讓網(wǎng)絡(luò)運(yùn)行在綜合的外部條件下。測(cè)試結(jié)果見圖3。

圖3 OPNET測(cè)試端到端的傳輸時(shí)延

    由圖3可以看出：新的基于身份認(rèn)證和密鑰協(xié)商融合安全方案的VPN在YD，YK，YC和YX上不僅有較好的穩(wěn)定性，而且能滿足電力調(diào)度數(shù)據(jù)網(wǎng)生產(chǎn)控制實(shí)時(shí)性要求，同時(shí)安全性也得到了保證。

5 結(jié)語

    由于電力調(diào)度數(shù)據(jù)網(wǎng)直接參與電力生產(chǎn)管理控制，對(duì)安全性、實(shí)時(shí)性提出了很高的要求。本文從基礎(chǔ)的密碼算法人手，提出了一種合理的基于VPN的身份認(rèn)證和密鑰協(xié)商融合安全方案，有效地解決了電力調(diào)度數(shù)據(jù)網(wǎng)中安全性與實(shí)時(shí)性之間的矛盾，具有較好的推廣應(yīng)用價(jià)值。

核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/

本文標(biāo)題：基于VPN的電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全方案

本文網(wǎng)址：http://www.oesoe.com/html/consultation/1083948511.html