用于SCADA系统主站与从站间身份认证的方法及系统技术方案

本发明专利技术提供的一种用于SCADA系统主站与从站间身份认证的方法及系统，包括如下步骤：主站A创建服务，产生对称多项式系数aij，从站B根据主站A服务器的IP地址与主站A建立连接，连接建立成功后从站B与主站A共享对称二元多项式参数；主从站均采用通信协议的数据帧作为自身身份标识符IDA与IDB；主站A与从站B交换彼此的身份标识符，并将两者的身份标识符带入对称多项式进行计算；如果f(IDA，IDB)＝f(IDB，IDA)，则主站A与从站B实现双向认证，并计算，扩展得到对称加密密钥KAB。本发明专利技术选用对称多项式产生共享密钥，并将之作为对称加密密钥，报文交换过程中选用对称加密算法，降低了计算复杂度。

【技术实现步骤摘要】

本专利技术涉及的是一种用于SCADA系统主从站间的身份认证技术，尤其是一种基于对称多项式加密机制的双向认证技术，具体涉及SCADA系统的主从站通信安全的保证。
技术介绍
随着信息技术的不断发展，工业的现代化水平与日俱增，工业控制系统(IndustryControlSystem，ICS)被广泛地应用于诸多与国计民生息息相关的行业，诸如冶金、水电供应、油气输送、航空航天、道路交通等，其在社会生产与保障性基础设施建设中发挥着不可替代的作用。典型的SCADA(SupervisoryControlandDataAcquisition)系统主要用于远程监控和数据采集，综合运用计算机、控制、通信与网络等技术，通过对远程分散测控点采集的数据进行监控与分析，为整个生产过程的调度、管理、故障诊断等操作提供技术和数据支持。通过以太网，整个控制系统能够与远程终端设备便捷地相互连接。目前工业控制系统的性能、可靠性、灵活性等因素被给予高度关注，但其信息安全问题却没有得到足够重视。工业化和信息化的深度融合使得标准控制协议的使用越来越广泛，工业控制系统的开放性也随之提升，通用的协议、软硬件设备、操作系统等已经被广泛应用，这直接导致针对工控系统的攻击事件频发，一系列网络安全问题逐渐暴露出来。以“震网病毒”为例，它利用微软Windows操作系统与西门子WinCC操作系统的漏洞实现对系统的直接破坏，黑客能够完全控制远程被感染的主机，使之成为僵尸计算机。“震网病毒”向公共事业机构和控制系统发动恶意攻击，各类通信设施、民用和工业基础设施等均暴露在其攻击下，伊朗布什尔核电站也没能幸免，核电站中铀分离机的控制逻辑被恶意修改，导致电动机转速异常而产生了严重的损失。在“震网病毒”事件发生后，世界各地针对工业控制系统的攻击事件频频发生，并愈演愈烈，造成了严重的破坏与损失，诸如比“震网病毒”强大20倍的“Flame火焰病毒”肆虐中东地区。针对工业控制系统接连不断的攻击事件已经造成严重的后果，这些网络安全问题给工业控制系统带来了严峻的挑战，将人们对于工业网络安全的关注推向一个新的高潮。事实上，很多工业控制网络疏于严格的系统管理，可能出现内部人员接入已感染病毒的移动设备或外部人员通过非法手段截获而导致信息泄漏、篡改，从而使一些不法分子有机可乘。SCADA系统的信息安全机制并不完善，身份认证环节存在诸多漏洞，很容易暴露给攻击者。攻击者可以通过伪造的用户管理员身份与主站进行通信，非法接入工业控制网络中。攻击者也可以通过入侵主站与从站之间的通信网络，窃取通信内容，影响主从站间正常通信，致使SCADA系统中基础设施和工业服务中断，产生严重的破坏。身份认证对于实现SCADA系统的安全接入控制而言十分重要，其承担整个安全体系的“门禁”职能，好比整个信息安全体系的第一道大门，对PLC控制设备节点、管理员用户的身份进行核对，保障了使用者物理与数字身份的相互统一。这一环节实现了对系统资源的有效保护，防止用户身份被非法冒用，拒绝对敏感数据的非法访问请求。如果体系中的身份认证环节受到挑战，那么体系中其他的防护方案也将难以实现。由于控制环节在工业系统中处于至关重要的地位，要求对所有接入对象进行安全认证，包括用户接入和PLC等控制设备接入，SCADA系统对于主从站间的通讯认证有着严格的要求。然而，工业控制系统的安全需求不同于传统的Internet，其更加关注系统的高可用性、实时性与业务连续性。在紧急情况下，工业控制系统需要应急处理程序能够快速响应，以降低由于处理紧急情况时间较长导致的损失。因此，现有的成熟且健壮的密码机制不能直接应用在SCADA系统中设备节点身份认证，需要设计轻量级的身份认证机制，以保证控制系统应急响应的速度。本专利技术采用适合SCADA系统的轻量级加密机制，保证主从站通信安全，并实现主从站间双向认证的技术体系，实现对系统的安全接入访问控制。经文献检索发现，现有SCADA系统的主从站身份认证及通信的安全保障措施有以下几种：(1)对称加密算法通信过程中主从站通过通信线路交换信息，入侵者可以通过窃取通信线路的方式，获取主从站的通讯数据，实现对工控系统的攻击，故需要在从站和主站的入口和出口处加入加解密功能模块。由于SCADA系统对于数据传输过程的效率和安全性都有着极高的要求，因此选取轻量级的加密机制能保证系统中断后快速恢复，降低系统损失。通过分析对称和非对称两种加密算法的加解密时间，相比之下，对称加密算法复杂度较低，加解密时间较短，且产生的密钥数量较少。因此，对称加密算法被应用到主从站的安全通信领域，以保证系统中断后快速恢复，降低系统损失。常用的对称加密算法有AES、DES、IDEA算法等。采用对称加密在密钥节点数量与响应时间花费上具有优越性，符合系统轻量级加密机制的需求，但对称加密中加解密密钥唯一、密钥的安全性难以得到保证。(2)密钥更新机制引入一种新的加密密钥管理方案，采用密钥更新的方式降低密钥泄露风险。主站既是通信的发起者也是会话密钥生成器，可以通过在密钥产生过程中增加会话密钥更新阶段和主密钥更新阶段增强密钥的安全性。主站与从站之间共享的主密钥，在会话密钥更新阶段，主站随机产生会话密钥，用主密钥加密会话密钥，并把加密后的会话密钥传递给相应的从站。从站接收密钥，用主密钥进行解密，并向主站传递确认信息。主密钥更新阶段中，主站和从站接收到彼此加密后的主密钥，分别用会话密钥进行解密，并对主密钥进行更新，使用更新后的主密钥发送新的会话密钥。在主密钥更新阶段中，通过引入赫尔曼椭圆曲线密钥协议，降低了密钥泄露的可能性。密钥更新机制增强了密钥的安全性，但并未实现主从站间的身份认证，攻击者可以通过盗用通信方身份，窃取共享密钥。(3)与硬件设备结合通过硬件设备保护通信过程中密钥分配的安全，无需对SCADA节点进行修改，而是采用直接与传统的设备相集成的方式。这种方法是在SCADA系统主从站通信环节引入的身份验证，防范攻击者变更消息或冒充通信方身份。该方法操作简单，密钥存储设备可以直接集成到SCADA设备中，兼容性与可移植性十分突出，但更新硬件设备将增加部署成本。以上研究表明，SCADA系统主要选用对称加密算法实现数据的加密传输与解密验证过程，但会话密钥的安全性有待增强，通信双方的身份认证机制有待完善，现有的安全防护机制不能有效阻止用户及设备的非法接入。
技术实现思路
针对现有技术中的缺陷，本专利技术的目的是提供一种关注系统轻量级加密机制需本文档来自技高网...

【技术保护点】
一种用于SCADA系统主站与从站间身份认证的方法，其特征在于，包括如下步骤：步骤A：主站A创建服务，产生对称多项式系数aij，从站B根据主站A服务器的IP地址与主站A建立连接，连接建立成功后从站B与主站A共享二元对称多项式参数，主站A与从站B均持有完整的二元对称多项式表达式；步骤B：连接建立完毕后，在应用层选取通信协议，主站A、从站B分别采用通信协议的数据帧作为自身身份标识符IDA、IDB；步骤C：通信建立完毕后，主站A与从站B交换彼此的身份标识符，主站A、从站B分别将两者的身份标识符带入二元对称多项式进行计算，得到计算结果f(IDA，IDB)、f(IDB，IDA)；步骤D：主站A与从站B交换彼此二元对称多项式计算结果，如果f(IDA，IDB)＝f(IDB，IDA)，则主站A与从站B实现双向认证，并计算KAB＝f(IDA，IDB)＝f(IDB，IDA)，进入步骤E继续执行；否则，返回步骤B；步骤E：扩展计算得到加密密钥KAB，使KAB符合AES密钥长度要求，并采用加密算法对主从站间传送的数据内容进行加密。

【技术特征摘要】
1.一种用于SCADA系统主站与从站间身份认证的方法，其特征在于，包括如下
步骤：
步骤A：主站A创建服务，产生对称多项式系数aij，从站B根据主站A服务器的
IP地址与主站A建立连接，连接建立成功后从站B与主站A共享二元对称多项式参数，
主站A与从站B均持有完整的二元对称多项式表达式；
步骤B：连接建立完毕后，在应用层选取通信协议，主站A、从站B分别采用通信
协议的数据帧作为自身身份标识符IDA、IDB；
步骤C：通信建立完毕后，主站A与从站B交换彼此的身份标识符，主站A、从站B
分别将两者的身份标识符带入二元对称多项式进行计算，得到计算结果f(IDA，IDB)、
f(IDB，IDA)；
步骤D：主站A与从站B交换彼此二元对称多项式计算结果，如果f(IDA，IDB)＝
f(IDB，IDA)，则主站A与从站B实现双向认证，并计算KAB＝f(IDA，IDB)＝
f(IDB，IDA)，进入步骤E继续执行；否则，返回步骤B；
步骤E：扩展计算得到加密密钥KAB，使KAB符合AES密钥长度要求，并采用加密算
法对主从站间传送的数据内容进行加密。

【专利技术属性】
技术研发人员：陈秀真，陆越，金波，陈长松，
申请(专利权)人：上海交通大学，公安部第三研究所，
类型：发明
国别省市：上海;31