采用PKI模型在轨道交通信号系统中进行身份验证的方法技术方案

本发明专利技术涉及一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，该方法基于KPI模型进行适应性改造并使用SM2算法进行身份验证，包括CRL更新过程和会话密钥协商阶段SM2身份认证过程。与现有技术相比，本发明专利技术使得信号系统的车地无线通信数据得到可鉴别性保护和不可否认性保护等优点。

PKI model used in the identification of rail transit signal system

【技术实现步骤摘要】
采用PKI模型在轨道交通信号系统中进行身份验证的方法
本专利技术涉及一种信号系统的安全技术，尤其是涉及一种采用PKI模型在轨道交通信号系统中进行身份验证的方法。
技术介绍
信号系统应用国产加密技术，通常是在既有信号系统设备的基础上，增加国密安全芯片等相关设备，通过SM1算法对车地无线通信的数据提供机密性保护；通过SM2算法对车地无线通信的数据提供可鉴别性保护和不可否认性保护；通过SM3算法对车地无线通信的数据提供完整性保护。公钥基础设施(PublicKeyInfrastructure,PKI)也称公开密钥基础设施。按照国际电联制定的X.509标准，PKI是一个包括硬件、软件、人员、策略和规程的集合，用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等功能。PKI是一种遵循标准、利用公钥加密技术提供安全基础平台的技术和规范，是一种能够为网络应用提供密码服务的基本解决方案。PKI解决了大规模网络中的公钥分发和信任建立问题。如何将PKI应用到信号系统的身份认证中，并使得信号系统的车地无线通信数据得到可鉴别性保护和不可否认性保护成为当下需要解决的技术问题。
技术实现思路
本专利技术的目的就是为了克服上述现有技术存在的缺陷而提供一种采用PKI模型在轨道交通信号系统中进行身份验证的方法。本专利技术的目的可以通过以下技术方案来实现：一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，该方法基于KPI模型进行适应性改造并使用SM2算法进行身份验证，包括CRL更新过程和会话密钥协商阶段SM2身份认证过程。优选地，所述的CRL更新过程包括：在设备启动时首先进行一次CRL更新，如果更新成功，则以更新后的CRL为准；如果多次尝试后仍然无法更新成功，则跳过本次CRL更新，以上一次更新成功的CRL为准，对于没有任何成功更新经验的设备来说，CRL为空。优选地，所述的尝试的次数可配置。优选地，设备启动后，每隔固定间隔进行一次CRL更新，以保证CRL保持最新，其更新判断与第一次更新相同。优选地，所述的间隔时间可配置。优选地，对于未更新成功的情况，信号系统设备会发出告警信息至维护支持系统。优选地，所述的会话密钥协商阶段SM2身份认证过程具体为：客户端首先发起会话密钥协商请求，请求消息中包含了客户端的证书；服务端收到请求后，验证客户端证书后，再通过客户端的证书，服务端证书及服务端本地生成的随机数，根据SM2算法生成会话密钥，然后对密钥协商请求进行响应，并向客户端发送服务端证书与随机数；同样，客户端收到回复后，验证服务端证书后，再根据客户端的证书，服务端证书及服务端本地生成的随机数，通过SM2算法生成会话密钥，并对密钥协商响应进行确认，向服务器端发送会话密钥。优选地，所述的客户端证书和服务端证书均包括CRL、有效期、签发者关系、以及签名数据。与现有技术相比，本专利技术具有以下优点：1)针对采用了国产加密技术的信号系统，使用SM2算法进行身份验证，使得信号系统的车地无线通信数据得到可鉴别性保护和不可否认性保护；2)SM2算法进行身份验证是SM1算法、SM3算法进行会话密钥协商和完整性校验的前提保证。3)基于KPI模型改进，使身份验证机制各阶段工作流程与设备设置完美适配于信号系统；4)即使身份验证失败，仍然有机制保证信号系统的运行不受影响，且提供告警功能，可以在最大程度上保证身份验证功能继续实行；5)保持信号系统既有架构和功能安全等级不受影响。附图说明图1为线下证书操作示意图；图2为会话密钥协商阶段的身份验证示意图；图3为CRL查询下载示意图；图4为PKI模型标准结构示意图；图5为国密安全系统与信号系统集成后的结构示意图；图6为服务端SM2身份认证流程图；图7为CRL更新过程流程图。具体实施方式下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本专利技术的一部分实施例，而不是全部实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都应属于本专利技术保护的范围。信号系统的身份验证包含以下几个阶段，其中1-4阶段为线下人工操作，如图1所示；5-6为线上软件行为，如图2、图3所示(以CBTC系统为例，本专利包括但不限于CBTC系统、CTCS系统、ETCS系统、PTC系统和ITCS系统等)：1)证书申请信号系统通过固定的终端，使用特定的支持KPI的应用程序，向CA申请数字证书给指定的国密安全芯片。该终端与CA通过网络连接，同时指定的国密安全芯片必须安装在该终端上。2)证书生成一旦信号系统申请了数字证书，CA就将根据其建立的认证策略验证国密安全芯片设备信息。如果确定信息有效，则CA创建该证书。3)证书存储CA在生成证书后，通过网络把证书发回给国密安全芯片设备。数字证书将被保存在国密安全芯片设备里。4)证书发布CA除了将生成的数字证书发回给国密安全芯片设备外，还会将自身设备的数字证书发送到所有申请的国密安全芯片设备中。CA确保数字证书中信息的真实性，可以作为终端实体的身份证明。5)证书校验信号系统使用国密安全芯片设备时，不同的国密安全芯片设备在会话密钥协商阶段使用存储在自身芯片中的CA根证书验证对方身份证书，只有验证通过后才会继续进行会话密钥协商，验证未通过则经过尝试(尝试次数可以配置)后中断会话密钥协商。即会话密钥协商必须以身份验证为前提。6)证书废止国密安全芯片设备的数字证书不配置特定的到期时间，避免分布安装在信号系统内的国密安全芯片设备需要频繁拆解、集中更新、重新安装的问题。如果需要撤销某一特定证书，可以由CA将这一撤销事实发布到CRL中，使所有国密安全芯片设备都可以查询。CRL是由CA签名的一组电子文档，包括了被撤销证书的唯一标识(证书序列号)。出于减少信号系统网络吞吐量和系统负荷考虑，信号系统内的国密安全芯片设备需要定期连接CA查询CRL，并在查询同时下载CRL并保存到芯片内部，在下一个查询周期前国密安全芯片将一直将此CRL视为最新并使用。PKI一般由认证权威机构CA(CertificationAuthority)、注册权威机构RA(RegistrationAuthority)、证书/CRL(CertificateRevocationList)库和终端实体等部分组成，如图4所示，主要元素说明如下：1)CA数字证书是各实体的身份证明，具有唯一性和权威性。为满足这一要求，需要建立一个可信的机构，专门负责数字证书的产生、发放和管理，以保证数字证书真实可靠，这个机构就是认证权威机构CA，也称数字证书管理中心，它作为PKI管理实体和服务的提供者，管理用户数字证书的生成、发放、更新和撤销等。CA是本文档来自技高网...

【技术保护点】
1.一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，其特征在于，该方法基于KPI模型进行适应性改造并使用SM2算法进行身份验证，包括CRL更新过程和会话密钥协商阶段SM2身份认证过程。/n

【技术特征摘要】
1.一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，其特征在于，该方法基于KPI模型进行适应性改造并使用SM2算法进行身份验证，包括CRL更新过程和会话密钥协商阶段SM2身份认证过程。


2.根据权利要求1所述的一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，其特征在于，所述的CRL更新过程包括：
在设备启动时首先进行一次CRL更新，如果更新成功，则以更新后的CRL为准；
如果多次尝试后仍然无法更新成功，则跳过本次CRL更新，以上一次更新成功的CRL为准，对于没有任何成功更新经验的设备来说，CRL为空。


3.根据权利要求2所述的一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，其特征在于，所述的尝试的次数可配置。


4.根据权利要求2所述的一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，其特征在于，设备启动后，每隔固定间隔进行一次CRL更新，以保证CRL保持最新，其更新判断与第一次更新相同。


5.根据权利要求4所述的一种采用PKI模型在轨道交通信号系统中进行身份验证的方法，...

【专利技术属性】
技术研发人员：柴涌，张洲，李亚军，李一玮，贾萍，赵晗，郑继平，何治达，
申请(专利权)人：卡斯柯信号有限公司，
类型：发明
国别省市：上海;31