一种MMS规约应用层安全交互方法技术

本发明专利技术的目的在于提供一种针对智能变电站设备使用MMS报文通信时，通过对MMS应用层进行安全改造，使得经MMS协议通信双方在应用进行身份认证，并在认证的基础上，通过使用基于角色的访问来对MMS客户进行访问权限控制的MMS应用层安全加固交互方法。该方法步骤如下：1)启用MMS关联认证功能，并扩展认证数据结构；2)通过扩展认证数据结构，使用公开加密算法对MMS应用层的关联过程进行身份认证，并同时进行重放攻击防护；3)使用基于角色的访问控制技术，构造MMS客户与MMS服务之间的访问控制关系，并关联认证通过后，MMS服务端利用配置好的访问控制关系表对MMS客户进行细粒度的访问控制，满足要求的，将允许MMS客户访问相应服务，否则，拒绝服务。

【技术实现步骤摘要】

本专利技术涉及电力信息通信安全领域，具体来说涉及一种MMS应用层基于MMS协议加固安全交互方法。
技术介绍
MMS (Manufacturing Message Specif icat1n:制造报文规范)是 IS0/IEC9506 标准所定义的用于工业控制系统的通讯报文规范。MMS规范了工业领域具有通信能力的智能传感器、智能电子设备、智能控制设备的通信行为，使出自不同制造商的设备之间具有互操作性，使系统集成变得简单、方便。DL/T 860(等同引用国际标准IEC 61850)为智能变电站通信规约国家标准，提出了变电站的一组公共通信标准，通过对设备的一系列规范化，使得IED(智能电子设备)能够在统一规范下进行无缝连接。DL/T 860的特点是I)面向对象建模；2)抽象通信服务接口 ；3)面向实时的服务；4)配置语言；5)整个电力系统统一建模。DL/T 860标准将变电站通信体系分为变电站层、间隔层、过程层。DL/T860的网络通信上层统一采用抽象通信服务接口，对具体的网络，通过将底层实现接口映射到抽象通信接口来对接。在变电站层与间隔层之间将抽象通信服务接口映射到制造报文规范(MMS)、传输控制协议/网际协议(TCP/IP)以太网或光纤网。在间隔层与过程层之间的网络采用广播式的以太网传输。国家电网公司在^一五”规划中明确提出研宄和推广以DL/T 860和电子式PT/CT为基础的数字化变电站。DL/T 860提出了变电站过程层、间隔层、站控层三层之间所有设备直接接入以太网。由此可见网络在变电站中已成为最重要的通信方式。但是，由于DL/T 860标准提出时，只注重IED之间的共享通信，而对通信过程中的安全并未重视，导致变电站一旦被入侵，而变电站内部又没有任何防护措施，后果将很难想象。DL/T 860引用的MMS规范针对安全性的防范措施，也仅仅体现在访问控制的接口描述上。2005年4月，国际标准化组织IEC制定了 IEC62351数据和通信安全标准(草案)，以解决电力通讯领域的数据和通讯安全问题。在IEC62351中，认证和加密是核心内容。
技术实现思路
本专利技术的目的在于提供一种针对智能变电站设备使用丽S报文通信时，通过对MMS应用层进行安全改造，使得经MMS协议通信双方在应用进行身份认证，并在认证的基础上，通过使用基于角色的访问来对MMS客户进行访问权限控制的MMS应用层安全加固交互方法。本专利技术的目的可通过以下的技术措施来实现:一种MMS应用层安全加固交互方法，通过对MMS协议进行扩展，在MMS应用层增加身份认证和访问控制技术，使得不被授权用户无法关联MMS服务端和相应的MMS服务。方法步骤如下:I)启用MMS关联认证功能，并扩展认证数据结构；2)通过扩展认证数据结构，使用公开加密算法对MMS应用层的关联过程进行身份认证，并同时进行重放攻击防护；3)使用基于角色的访问控制技术，构造丽S客户与丽S服务之间的访问控制关系，并关联认证通过后，MMS服务端利用配置好的访问控制关系表对MMS客户进行细粒度的访问控制，满足要求的，将允许MMS客户访问相应服务，否则，拒绝服务。通过使用本专利技术中提出的方法使得变电站MMS协议在应用层上能够对MMS客户端进行身份认证和基于角色的MMS服务访问控制。身份认证和基于角色的访问控制从粗粒度和细粒度两个方面保障MMS服务的安全性，身份认证从粗粒度进行访问控制，只要是合法用户，我们将允许它进行关联认证通过，但若用户的权限不够，即使是合法用户，也不能访问他越权的服务。本专利技术对比现有技术，有如下优点:一是通过扩展符合丽S报文规范的数据结构，增加应用层认证，对应用层进行身份认证。二是通过引入基于角色的访问控制，对丽S客户端进行细粒度的访问控制。三是通过身份认证和基于角色的访问控制，在粗细两个粒度上对MMS服务进行防护，保证丽S服务不仅拒绝非法用户，即使是合法，在没有访问权限的条件下，也只能进行MMS关联，而不能访问到实际的服务。【附图说明】图1:是本专利技术方法的逻辑框架图；图2:是本专利技术公开密钥算法身份认证流程；图3:是本专利技术丽S关联认证交互流程；图4:是本专利技术基于角色的访问控制示意图。【具体实施方式】一种MMS应用层安全加固交互方法，通过对MMS协议进行扩展，在MMS应用层增加身份认证和访问控制技术，使得不被授权用户无法关联MMS服务端和相应的MMS服务。如图1所示，本方法发生在MMS客户端与MMS服务端之间，具体步骤如下:步骤1:启用认证功能，扩展认证数据结构。如图2 所不，启用 MMS应用层上的 ACSE (Associat1n Control Service Element，关联认证服务单元)的关联认证功能单元，并扩展认证数据结构，如下，〈C, T, SV>扩展认证数据结构包括证书C，当前系统时间T和使用私钥对时间进行的签名值SVo步骤2:通过扩展认证数据结构，使用公开加密算法对MMS应用层的关联过程进行身份认证，并同时进行重放攻击防护；在MMS客户端采用公开密钥加密算法的私钥对时间进行签名，签名值存放到签名值SV处，并将扩展认证数据结构随MMS应用层数据一起发送到服务端。服务端接收到数据后，首先提取该扩展认证数据结构<C，T，SV>其次对C进行验证，若未通过，结束关联；然后通过C对SV进行解密，并与T比较，若相等，则身份认证通过，否则，结束。服务端还要对认证报文进行重放攻击防护，服务端会保存认证报文的历史时间，使用最近一次的认证报文时间，与当前认证报文的时间进行比较，若超过配置时间，则接收，若在配置时间之内，会怀疑客户端有重放攻击的可能，将拒绝认证。所述使用公开加密算法对MMS应用层的关联过程进行身份认证的具体步骤如下:MMS关联认证功能为MMS规约的ACSE层所提供的一种功能，但标准中只给出认证功能单元的声明，并未给出实现技术，本专利技术则提供MMS关联认证的实现方法，见图3所示，包括如下步骤:MMS关联认证发起端，步骤2.1:加载由CA (Certificate Authority授权中心)签名的发起端证书，并赋给C ；步骤2.2:获取当前系统时间，并赋给T ；步骤2.3:加载发起端的私钥，并对时间T进行签名，将签名值赋给SV ；步骤2.4:构造扩展认证数据结构〈C，T, SV>,并作为MMS应用层数据的一部分，发送至丽S接收端。丽S关联认证接收端，步骤2.5:获取MMS应用层数据，提取扩展认证数据结构〈C，T, SV> ；步骤2.6:加载CA证书，并对证书C进行验证，验证不通过，报错结束；步骤2.7:使用证书C对签名值SV进行解签，获得解密当前第1页1 2 本文档来自技高网...

【技术保护点】
一种MMS应用层安全加固交互方法，其特征在于包括以下步骤：步骤1：启用认证功能，扩展认证数据结构；步骤2：通过扩展认证数据结构，使用公开加密算法对MMS应用层的关联过程进行身份认证，并同时进行重放攻击防护；步骤3：使用基于角色的访问控制技术，构造MMS客户与MMS服务之间的访问控制关系，并关联认证通过后，MMS服务端利用配置好的访问控制关系表对MMS客户进行细粒度的访问控制，满足要求的，将允许MMS客户访问相应服务，否则，拒绝服务。

【技术特征摘要】

【专利技术属性】
技术研发人员：陶文伟，李金，张喜铭，梁寿愚，胡荣，
申请(专利权)人：中国南方电网有限责任公司，
类型：发明
国别省市：广东;44