电力卫星物联网边缘计算节点的终端安全接入方法技术

本发明专利技术公开了一种电力卫星物联网边缘计算节点的终端安全接入方法，包括：S1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；S2.对终端设备接入边缘计算节点进行接入认证；S3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。本发明专利技术能够保证物联网感知层终端接入的安全，防止非法、假冒终端接入，有效保障了电力卫星网络的可靠运行。的可靠运行。的可靠运行。

【技术实现步骤摘要】
电力卫星物联网边缘计算节点的终端安全接入方法


[0001]本专利技术涉及物联网信息安全领域，具体涉及一种电力卫星物联网边缘计算节点的终端安全接入方法。

技术介绍

[0002]电力卫星物联网是电网公司基于卫星信道实现无网络覆盖区域电力设施通信而建设的电力物联网基础设施，是基于卫星通信的一种新型的电力物联网应用。与传统的电力卫星应急通信不同，电力卫星物联网的通信节点数量更多，需要更多的卫星通信信道支持。同时，电力卫星物联网感知层存在海量的传感终端设备的接入，给卫星通信终端的接入管控带来压力。
[0003]处于电力卫星物联网感知层的传感终端设备部署于网络信号极弱、人烟稀少、位置偏远等环境的电力装备或设施中，由于环境恶劣，人工运维周期长，使得感知层终端设备存在一定的安全隐患。卫星商用使得卫星通信变为公网，攻击者可以对接入卫星网络的传感设备进行假冒或替换，这会对传感设备采集回传的电力数据的真实性形成风险，对电力生产的安全稳定造成严重影响；同时攻击者也可以借助这些无人值守的传感设备对电力卫星物联网发起攻击，甚至可能造成电力卫星物联网的瘫痪，直接阻断电力的安全生产应用。
[0004]因此，需要一种电力卫星物联网边缘计算节点的终端安全接入方法，能够解决以上问题。

技术实现思路

[0005]有鉴于此，本专利技术的目的是克服现有技术中的缺陷，提供电力卫星物联网边缘计算节点的终端安全接入方法，能够保证物联网感知层终端接入的安全，防止非法、假冒终端接入，有效保障了电力卫星网络的可靠运行。
[0006]本专利技术的电力卫星物联网边缘计算节点的终端安全接入方法，包括如下步骤：
[0007]S1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；
[0008]S2.对终端设备接入边缘计算节点进行接入认证；
[0009]S3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。
[0010]进一步，所述步骤S1，具体包括：
[0011]第一步：终端设备将设备的MAC、序列号SN、类别以及型号发送给边缘计算节点；
[0012]第二步：边缘计算节点查询设备注册信息，对所申请接入的终端设备进行信息审核；若审核通过，则完成设备注册，并将边缘计算节点标识与节点公钥GPK发送给终端设备；
[0013]第三步：终端设备在安全芯片内生成随机数作为会话密钥skey；
[0014]第四步：在安全芯片内用边缘计算节点公钥GPK对会话密钥skey进行SM2加密，生成密文C1；
[0015]第五步：在安全芯片内随机生成SM2密钥对(usk,UPK)，将私钥usk加密缓存于芯片密钥区，输出终端的自定义公钥UPK，并将终端生成的密文C1和公钥UPK发送给边缘计算节
点；
[0016]第六步：边缘计算节点收到密文C1后，用私钥gsk解密，得到会话密钥skey；边缘计算节点将终端设备的MAC、序列号SN和skey输入到边缘计算节点的密钥生成模块；
[0017]第七步：密钥生成模块随机生成SM2密钥对(hsk,HPK)作为隐藏密钥，计算伴随公钥APK＝UPK+HPK，再将伴随公钥、终端标识计算SM3值，生成密钥系数σ，计算得到终端设备所对应的分发私钥dsk
T
＝σ
·
gsk+hsk，其中，gsk为边缘计算节点的私钥；并用会话密钥skey加密，得到密文csk
T
，并返回给终端设备；
[0018]第八步：终端设备将csk
T
输入安全芯片，用缓存的会话密钥skey解密csk
T
，得到dsk
T
，再和缓存的自定义私钥因子复合得到终端私钥tsk
T
＝dsk
T
+usk，再用设备加密密钥加密终端私钥tsk
T
并存储于安全芯片的密钥区，至此完成终端设备的注册和密钥的申请分发。
[0019]进一步，对终端设备接入边缘计算节点进行接入认证，具体包括：
[0020]第一步：终端设备接入边缘计算节点，先向边缘计算节点发送接入请求；
[0021]第二步：边缘计算节点查询设备白名单，确认申请接入的终端是否为合法设备，若为合法设备，则产生一个32字节的随机数作为会话ID，并将会话ID返回给终端设备；若不是合法设备，则拒绝接入；
[0022]第三步：终端设备使用存储在设备安全芯片的标识私钥对当前时间和会话ID进行SM2签名，并将签名值sig、当前时间Time、伴随公钥APK和设备标识一并发给边缘计算节点作为接入申请的认证数据；
[0023]第四步：边缘计算节点收到终端的接入申请认证数据后，通过设备标识、伴随公钥APK与边缘计算节点的公钥GPK在密钥生成模块中计算得到终端的公钥TPK，再用终端公钥TPK与签名值sig及签名时间采用SM2签名验证协议验证签名，验证通过，则可确认申请接入的设备标识是真实的；
[0024]第五步：边缘计算节点再验证申请的签名时间与当前时间的差异，若在允许的时间范围内，则通过允许接入，否则拒绝接入申请。
[0025]进一步，在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道，具体包括：
[0026]第一步：终端设备与边缘计算节点完成接入认证后，终端设备在安全芯片中产生32字节的随机数R1并用边缘计算节点的公钥GPK经SM2加密得到密文C2，并将C2发给边缘计算节点；
[0027]第二步：边缘计算节点接收数据包，采用节点的私钥gsk对C2解密得到随机数R1，并生成16字节的随机数R2，再用终端设备的标识公钥采用SM2加密得到密文C3，并返回给终端设备；
[0028]第三步：边缘计算节点以随机数R1的高16字节为初始向量、低16字节为密钥，对随机数R2采用SM4密码算法的CBC模式加密得到的16字节密文，即为两者间的会话密钥，缓存在节点的安全密钥区，用于两者间通信数据的对称密钥；
[0029]第四步：终端设备收到密文C3输入到安全芯片中，采用终端设备的标识私钥tsk解密C3得到随机数R2，将随机数R1和R2按第三步同样的方法加密得到16字节的会话密钥，将其缓存于密钥区，用于与边缘计算节点通信时数据加密与解密的密钥，至此，完成虚拟安全
信道的建立。
[0030]进一步，还包括：对终端设备采集数据的源数据进行接入认证，具体包括：
[0031]第一步：终端设备对采集的数据加入时间戳，采用国密SM3密码算法将数据计算杂凑值作为采集数据的数据指纹；
[0032]第二步，终端设备将数据指纹输入设备的安全芯片，芯片调用标识私钥对数据指纹进行国密SM2密码算法签名；
[0033]第三步，终端设备将源数据、签名值、时间戳、伴随公钥、设备标识打包经安全信道加密发给边缘计算节点；
[0034]第四步，边缘计算节点对收到的数据包解密并拆开数据包，将设备标识、伴随公钥APK与边缘节点公钥GPK在密钥生成本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：包括如下步骤：S1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；S2.对终端设备接入边缘计算节点进行接入认证；S3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。2.根据权利要求1所述的电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：所述步骤S1，具体包括：第一步：终端设备将设备的MAC、序列号SN、类别以及型号发送给边缘计算节点；第二步：边缘计算节点查询设备注册信息，对所申请接入的终端设备进行信息审核；若审核通过，则完成设备注册，并将边缘计算节点标识与节点公钥GPK发送给终端设备；第三步：终端设备在安全芯片内生成随机数作为会话密钥skey；第四步：在安全芯片内用边缘计算节点公钥GPK对会话密钥skey进行SM2加密，生成密文C1；第五步：在安全芯片内随机生成SM2密钥对(usk,UPK)，将私钥usk加密缓存于芯片密钥区，输出终端的自定义公钥UPK，并将终端生成的密文C1和公钥UPK发送给边缘计算节点；第六步：边缘计算节点收到密文C1后，用私钥gsk解密，得到会话密钥skey；边缘计算节点将终端设备的MAC、序列号SN和skey输入到边缘计算节点的密钥生成模块；第七步：密钥生成模块随机生成SM2密钥对(hsk,HPK)作为隐藏密钥，计算伴随公钥APK＝UPK+HPK，再将伴随公钥、终端标识计算SM3值，生成密钥系数σ，计算得到终端设备所对应的分发私钥dsk
T
＝σ
·
gsk+hsk，其中，gsk为边缘计算节点的私钥；并用会话密钥skey加密，得到密文csk
T
，并返回给终端设备；第八步：终端设备将csk
T
输入安全芯片，用缓存的会话密钥skey解密csk
T
，得到dsk
T
，再和缓存的自定义私钥因子复合得到终端私钥tsk
T
＝dsk
T
+usk，再用设备加密密钥加密终端私钥tsk
T
并存储于安全芯片的密钥区，至此完成终端设备的注册和密钥的申请分发。3.根据权利要求1所述的电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：对终端设备接入边缘计算节点进行接入认证，具体包括：第一步：终端设备接入边缘计算节点，先向边缘计算节点发送接入请求；第二步：边缘计算节点查询设备白名单，确认申请接入的终端是否为合法设备，若为合法设备，则产生一个32字节的随机数作为会话ID，并将会话ID返回给终端设备；若不是合法设备，则拒绝接入；第三步：终端设备使用存储在设备安...

【专利技术属性】
技术研发人员：郑颖，吴维农，莫婷，王定国，钟淘淘，张导，秦骁，陈建明，邹喆旻，欧阳舒豪，付伟真，
申请(专利权)人：国网重庆市电力公司信息通信分公司，
类型：发明
国别省市：