一種mms規(guī)約應用層安全交互方法
【技術領域】
[0001]本發(fā)明涉及電力信息通信安全領域，具體來說涉及一種MMS應用層基于MMS協(xié)議加固安全交互方法。
【背景技術】
[0002]MMS (Manufacturing Message Specif icat1n:制造報文規(guī)范)是 IS0/IEC9506 標準所定義的用于工業(yè)控制系統(tǒng)的通訊報文規(guī)范。MMS規(guī)范了工業(yè)領域具有通信能力的智能傳感器、智能電子設備、智能控制設備的通信行為，使出自不同制造商的設備之間具有互操作性，使系統(tǒng)集成變得簡單、方便。
[0003]DL/T 860(等同引用國際標準IEC 61850)為智能變電站通信規(guī)約國家標準，提出了變電站的一組公共通信標準，通過對設備的一系列規(guī)范化，使得IED(智能電子設備)能夠在統(tǒng)一規(guī)范下進行無縫連接。DL/T 860的特點是I)面向?qū)ο蠼＃?)抽象通信服務接口 ；3)面向?qū)崟r的服務；4)配置語言；5)整個電力系統(tǒng)統(tǒng)一建模。DL/T 860標準將變電站通信體系分為變電站層、間隔層、過程層。DL/T860的網(wǎng)絡通信上層統(tǒng)一采用抽象通信服務接口，對具體的網(wǎng)絡，通過將底層實現(xiàn)接口映射到抽象通信接口來對接。在變電站層與間隔層之間將抽象通信服務接口映射到制造報文規(guī)范(MMS)、傳輸控制協(xié)議/網(wǎng)際協(xié)議(TCP/IP)以太網(wǎng)或光纖網(wǎng)。在間隔層與過程層之間的網(wǎng)絡采用廣播式的以太網(wǎng)傳輸。
[0004]國家電網(wǎng)公司在^一五”規(guī)劃中明確提出研宄和推廣以DL/T 860和電子式PT/CT為基礎的數(shù)字化變電站。DL/T 860提出了變電站過程層、間隔層、站控層三層之間所有設備直接接入以太網(wǎng)。由此可見網(wǎng)絡在變電站中已成為最重要的通信方式。
[0005]但是，由于DL/T 860標準提出時，只注重IED之間的共享通信，而對通信過程中的安全并未重視，導致變電站一旦被入侵，而變電站內(nèi)部又沒有任何防護措施，后果將很難想象。DL/T 860引用的MMS規(guī)范針對安全性的防范措施，也僅僅體現(xiàn)在訪問控制的接口描述上。
[0006]2005年4月，國際標準化組織IEC制定了 IEC62351數(shù)據(jù)和通信安全標準(草案)，以解決電力通訊領域的數(shù)據(jù)和通訊安全問題。在IEC62351中，認證和加密是核心內(nèi)容。

【發(fā)明內(nèi)容】

[0007]本發(fā)明的目的在于提供一種針對智能變電站設備使用麗S報文通信時，通過對MMS應用層進行安全改造，使得經(jīng)MMS協(xié)議通信雙方在應用進行身份認證，并在認證的基礎上，通過使用基于角色的訪問來對MMS客戶進行訪問權限控制的MMS應用層安全加固交互方法。
[0008]本發(fā)明的目的可通過以下的技術措施來實現(xiàn):
[0009]一種MMS應用層安全加固交互方法，通過對MMS協(xié)議進行擴展，在MMS應用層增加身份認證和訪問控制技術，使得不被授權用戶無法關聯(lián)MMS服務端和相應的MMS服務。方法步驟如下:
[0010]I)啟用MMS關聯(lián)認證功能，并擴展認證數(shù)據(jù)結(jié)構(gòu)；
[0011]2)通過擴展認證數(shù)據(jù)結(jié)構(gòu)，使用公開加密算法對MMS應用層的關聯(lián)過程進行身份認證，并同時進行重放攻擊防護；
[0012]3)使用基于角色的訪問控制技術，構(gòu)造麗S客戶與麗S服務之間的訪問控制關系，并關聯(lián)認證通過后，MMS服務端利用配置好的訪問控制關系表對MMS客戶進行細粒度的訪問控制，滿足要求的，將允許MMS客戶訪問相應服務，否則，拒絕服務。
[0013]通過使用本發(fā)明中提出的方法使得變電站MMS協(xié)議在應用層上能夠?qū)MS客戶端進行身份認證和基于角色的MMS服務訪問控制。身份認證和基于角色的訪問控制從粗粒度和細粒度兩個方面保障MMS服務的安全性，身份認證從粗粒度進行訪問控制，只要是合法用戶，我們將允許它進行關聯(lián)認證通過，但若用戶的權限不夠，即使是合法用戶，也不能訪問他越權的服務。
[0014]本發(fā)明對比現(xiàn)有技術，有如下優(yōu)點:
[0015]一是通過擴展符合麗S報文規(guī)范的數(shù)據(jù)結(jié)構(gòu)，增加應用層認證，對應用層進行身份認證。
[0016]二是通過引入基于角色的訪問控制，對麗S客戶端進行細粒度的訪問控制。
[0017]三是通過身份認證和基于角色的訪問控制，在粗細兩個粒度上對MMS服務進行防護，保證麗S服務不僅拒絕非法用戶，即使是合法，在沒有訪問權限的條件下，也只能進行MMS關聯(lián)，而不能訪問到實際的服務。
【附圖說明】
[0018]圖1:是本發(fā)明方法的邏輯框架圖；
[0019]圖2:是本發(fā)明公開密鑰算法身份認證流程；
[0020]圖3:是本發(fā)明麗S關聯(lián)認證交互流程；
[0021]圖4:是本發(fā)明基于角色的訪問控制示意圖。
【具體實施方式】
[0022]一種MMS應用層安全加固交互方法，通過對MMS協(xié)議進行擴展，在MMS應用層增加身份認證和訪問控制技術，使得不被授權用戶無法關聯(lián)MMS服務端和相應的MMS服務。
[0023]如圖1所示，本方法發(fā)生在MMS客戶端與MMS服務端之間，具體步驟如下:
[0024]步驟1:啟用認證功能，擴展認證數(shù)據(jù)結(jié)構(gòu)。
[0025]如圖2 所不，啟用 MMS應用層上的 ACSE (Associat1n Control Service Element，關聯(lián)認證服務單元)的關聯(lián)認證功能單元，并擴展認證數(shù)據(jù)結(jié)構(gòu)，如下，
[0026]〈C, T, SV>
[0027]擴展認證數(shù)據(jù)結(jié)構(gòu)包括證書C，當前系統(tǒng)時間T和使用私鑰對時間進行的簽名值SVo
[0028]步驟2:通過擴展認證數(shù)據(jù)結(jié)構(gòu)，使用公開加密算法對MMS應用層的關聯(lián)過程進行身份認證，并同時進行重放攻擊防護；
[0029]在MMS客戶端采用公開密鑰加密算法的私鑰對時間進行簽名，簽名值存放到簽名值SV處，并將擴展認證數(shù)據(jù)結(jié)構(gòu)隨MMS應用層數(shù)據(jù)一起發(fā)送到服務端。
[0030]服務端接收到數(shù)據(jù)后，首先提取該擴展認證數(shù)據(jù)結(jié)構(gòu)
[0031]<C，T，SV>
[0032]其次對C進行驗證，若未通過，結(jié)束關聯(lián)；然后通過C對SV進行解密，并與T比較，若相等，則身份認證通過，否則，結(jié)束。
[0033]服務端還要對認證報文進行重放攻擊防護，服務端會保存認證報文的歷史時間，使用最近一次的認證報文時間，與當前認證報文的時間進行比較，若超過配置時間，則接收，若在配置時間之內(nèi)，會懷疑客戶端有重放攻擊的可能，將拒絕認證。
[0034]所述使用公開加密算法對MMS應用層的關聯(lián)過程進行身份認證的具體步驟如下:
[0035]MMS關聯(lián)認證功能為MMS規(guī)約的ACSE層所提供的一種功能，但標準中只給出認證功能單元的聲明，并未給出實現(xiàn)技術，本發(fā)明則提供MMS關聯(lián)認證的實現(xiàn)方法，見圖3所示，包括如下步驟:
[0036]MMS關聯(lián)認證發(fā)起端，
[0037]步驟2.1:加載由CA (Certificate Authority授權中心)簽名的發(fā)起端證書，并賦給C ；
[0038]步驟2.2:獲取當前系統(tǒng)時間，并賦給T ；
[0039]步驟2.3:加載發(fā)起端的私鑰，并對時間T進行簽名，將簽名值賦給SV ；
[0040]步驟2.4:構(gòu)造擴展認證數(shù)據(jù)結(jié)構(gòu)〈C，T, SV>,并作為MMS應用層數(shù)據(jù)的一部分，發(fā)送至麗S接收端。
[0041]麗S關聯(lián)認證接收端，
[0042]步驟2.5:獲取MMS應用層數(shù)據(jù)，提取擴展認證數(shù)據(jù)結(jié)構(gòu)〈C，T, SV> ；
[0043]步驟2.6:加載CA證書，并對證書C進行驗證，驗證不通過，報錯結(jié)束；
[0044]步驟2.7:使用證書C對簽名值SV進行解簽，獲得解密