基于SM2 密碼體系的電力信息安全監(jiān)控系統(tǒng)設(shè)計(jì)

陳 鋒，鄒 洪，吳亞楠，劉 欣，梁 段

（南方電網(wǎng)數(shù)字電網(wǎng)研究院有限公司網(wǎng)絡(luò)安全公司，廣東廣州 510663）

電力系統(tǒng)是國民經(jīng)濟(jì)和社會(huì)發(fā)展的重要基礎(chǔ)設(shè)施，其網(wǎng)絡(luò)和應(yīng)用系統(tǒng)安全是系統(tǒng)安全運(yùn)行和社會(huì)可靠供電的保障，與各行各業(yè)的發(fā)展、社會(huì)穩(wěn)定和人民生活水平密切相關(guān)[1]。盡管防火墻、入侵檢測系統(tǒng)、殺毒軟件以及專用隔離設(shè)備發(fā)揮了一定的作用，但仍存在不能及時(shí)和準(zhǔn)確檢測到安全事件的問題。安全設(shè)備和應(yīng)用系統(tǒng)每天都會(huì)發(fā)生很多安全事件，包含許多關(guān)于這些事件的錯(cuò)誤警告[2]。同時(shí)，沒有出現(xiàn)未知病毒和攻擊的報(bào)道，多個(gè)安全系統(tǒng)日志不能進(jìn)行實(shí)時(shí)自動(dòng)審核，導(dǎo)致大量安全事件無法及時(shí)發(fā)現(xiàn)[3]。雖然傳統(tǒng)的RSA 算法能提高平臺(tái)安全性，但是其密鑰長度會(huì)降低加密解密的效率，而且硬件復(fù)雜，嚴(yán)重影響了信息安全平臺(tái)的服務(wù)質(zhì)量；盡管神經(jīng)網(wǎng)絡(luò)算法能夠精確地定位安全事件，但由于其各自獨(dú)立，無法形成良好的復(fù)合相關(guān)性，發(fā)生的事件不能確定實(shí)際問題。為此，提出基于SM2 密碼體系的電力信息安全監(jiān)控系統(tǒng)設(shè)計(jì)方案，以實(shí)現(xiàn)集中監(jiān)控各種網(wǎng)絡(luò)和系統(tǒng)安全資源。

1 系統(tǒng)硬件結(jié)構(gòu)設(shè)計(jì)

針對二次電力系統(tǒng)缺乏集中管理與審計(jì)，設(shè)計(jì)了安全支撐平臺(tái)，將其作為電力二次系統(tǒng)的應(yīng)用網(wǎng)關(guān)。該平臺(tái)提供了安全可靠的認(rèn)證機(jī)制和嚴(yán)格有效的訪問控制和權(quán)限管理，安全審核歷史用戶信息和管理系統(tǒng)資源[4]。圖1 為系統(tǒng)硬件結(jié)構(gòu)。

圖1 系統(tǒng)硬件結(jié)構(gòu)

由圖1 可知，在電力系統(tǒng)中，需要通過應(yīng)用平臺(tái)支持電力系統(tǒng)安全信息的二次訪問，基于用戶角色確定其訪問權(quán)限，獲取相應(yīng)的系統(tǒng)應(yīng)用服務(wù)[5-8]。通過電力信息系統(tǒng)管理，工作人員可以通過配置安全支持平臺(tái)和用戶信息完成用戶添加和刪除[9]。MySQL 數(shù)據(jù)庫一方面存儲(chǔ)各power secondary 系統(tǒng)的審計(jì)統(tǒng)計(jì)記錄和應(yīng)用授權(quán)代碼；另一方面存儲(chǔ)各power 輔助系統(tǒng)的審計(jì)統(tǒng)計(jì)記錄和應(yīng)用授權(quán)代碼；對應(yīng)用授權(quán)碼等信息進(jìn)行實(shí)時(shí)更新，確保電源支持系統(tǒng)和用戶身份之間有效映射[10-11]。

1.1 電力信息采集裝置

采集裝置為監(jiān)控系統(tǒng)提供基礎(chǔ)數(shù)據(jù)，也是整個(gè)系統(tǒng)的核心部分，該層次分別是通信模塊、訪問模塊和采集模塊，其中通信模塊主要實(shí)現(xiàn)與電源黑箱之間的通信連接，消息訪問模塊主要存儲(chǔ)電源內(nèi)部設(shè)備的交互操作，數(shù)據(jù)采集模塊主要用于電源內(nèi)部不同設(shè)備的操作調(diào)度[12-13]。電力信息采集裝置斷電后，采用DS18B20 傳感器內(nèi)部EEPROM 自動(dòng)保存設(shè)定值，確保系統(tǒng)數(shù)據(jù)安全。因?yàn)镈S18B20 傳感器完全能滿足智能電力信息安全監(jiān)控系統(tǒng)中信號采集的要求，所以選用其作為終端數(shù)據(jù)采集的工具[14-16]。

低、高溫度系數(shù)振蕩器不容易受到電網(wǎng)大數(shù)據(jù)的影響，通過定頻脈沖信號，由振蕩產(chǎn)生的數(shù)據(jù)直接傳送給計(jì)數(shù)器1，給計(jì)數(shù)器一個(gè)穩(wěn)定的計(jì)數(shù)脈沖。盡管設(shè)備發(fā)出的脈沖波非常明顯，并且有很大的靈敏度變化趨勢，但是設(shè)備產(chǎn)生的信號能被計(jì)數(shù)器2 的脈沖快速吸收，從而為計(jì)數(shù)器2 提供了計(jì)數(shù)脈沖。該傳感器利用DS18B20 傳感器在大容量數(shù)據(jù)采集系統(tǒng)中對振蕩器產(chǎn)生的時(shí)鐘脈沖計(jì)數(shù)。

1.2 服務(wù)加密接口電路

服務(wù)加密接口電路組成部分是間歇振蕩電路，其電路如圖2 所示。

圖2 服務(wù)加密接口電路

由圖2 可知，當(dāng)R1接上電源后，為使VT1 開始導(dǎo)電，向開關(guān)管VT1 提供啟動(dòng)電流，其集電極電流IC在L1處呈線性增加。當(dāng)L2產(chǎn)生正反饋電壓時(shí)，VT1基極為正，發(fā)射極為負(fù)，VT1 能迅速達(dá)到飽和狀態(tài)。隨著C1充電電壓提高，VT1 基電位下降，VT1 從飽和區(qū)輸出，IC下降，而L2中產(chǎn)生的電壓可使VT1 基極變?yōu)樨?fù)壓，發(fā)射極變?yōu)檎龎?，使VT1 快速斷開。此時(shí)，二極管VD1 打開，儲(chǔ)存在初級線圈中的能量釋放到負(fù)載上。在VT1 斷開時(shí)，L2中沒有感應(yīng)電壓。通過R1向C1反向充電，由直流提供的輸入電壓，讓VT1 的基電位逐漸上升，再將VT1 接通，進(jìn)入飽和狀態(tài)，電路反復(fù)振蕩。與單端反激式開關(guān)電源一樣，傳輸?shù)截?fù)載的電壓是通過變壓器二次線圈輸出的。

1.3 視頻聯(lián)動(dòng)模塊

為達(dá)到防誤、監(jiān)控和視頻的互補(bǔ)協(xié)調(diào)，實(shí)現(xiàn)遙控操作、現(xiàn)場切換操作、視頻報(bào)警聯(lián)動(dòng)等功能，需要與監(jiān)控廠商合作，并向防誤系統(tǒng)發(fā)送全部開關(guān)控制信號，阻止監(jiān)控系統(tǒng)被黑客遠(yuǎn)程攻擊。

1.4 SM2加密安全組件

SM2 加密安全組件是一種基于Web 服務(wù)提供商認(rèn)證服務(wù)請求者的接口程序，可處理用戶訪問，主要是處理用戶訪問計(jì)算機(jī)或網(wǎng)絡(luò)資源的請求，通過檢索資源授權(quán)庫，執(zhí)行用戶身份驗(yàn)證和操作授權(quán)，確定用戶對資源的訪問，同時(shí)記錄用戶的活動(dòng)。圖3 為SM2 加密安全組件。

圖3 SM2加密安全組件

安全組件包括sjk0817-b 加密卡、iserver 安全組件和核心服務(wù)模塊。該核心業(yè)務(wù)模塊不僅包含AAAA 服務(wù)引擎，還包含輔助服務(wù)模塊。次要服務(wù)程序是其他基本功能模塊安全控制的基礎(chǔ)，該軟件提供遠(yuǎn)程網(wǎng)絡(luò)安全訪問，并負(fù)責(zé)其他模塊間的調(diào)度。

2 系統(tǒng)軟件部分設(shè)計(jì)

SM2 橢圓曲線公鑰加密算法的安全性和速度均優(yōu)于RSA 算法。根據(jù)SM2 的一般原理，256 位曲線被推薦為標(biāo)準(zhǔn)曲線。圖4 為算法的原理。

圖4 SM2橢圓曲線公鑰密碼算法原理

圖4 中，P表示基準(zhǔn)點(diǎn)，通過該點(diǎn)作切線，交于2P點(diǎn)，在2P點(diǎn)作豎線，交于2P點(diǎn)，2P點(diǎn)即為P點(diǎn)的2倍點(diǎn)；P點(diǎn)和2P點(diǎn)之間作直線，交于3P1點(diǎn)，在3P1點(diǎn)作豎線，交于3P點(diǎn)，3P點(diǎn)即為P點(diǎn)的3 倍點(diǎn)。給定圖上Q點(diǎn)是P的一個(gè)倍點(diǎn)，在橢圓曲線算法中，將倍數(shù)d作為私鑰，將Q作為公鑰。其中，對稱加密算法如下：

在該方程支持下，實(shí)現(xiàn)對稱加密。SM2 算法安全訪問流程如圖5 所示。

圖5 SM2算法安全訪問流程

SM2 算法安全訪問流程如下：

1）通過SM2 算法，用戶將USBKEY 插入客戶端，通過HTTP 協(xié)議和數(shù)字證書登錄到服務(wù)器端，并開始訪問服務(wù)器端。

2）能量備用系統(tǒng)的服務(wù)器調(diào)用iaccount 套件證書，通過認(rèn)證界面來判斷訪問是否通過認(rèn)證。如果不這樣，客戶端的imidware 組件會(huì)自動(dòng)被重定向到安全平臺(tái)。

3）該安全支持平臺(tái)對用戶提交的SM2 算法數(shù)字證書進(jìn)行驗(yàn)證，對CRL 證書的有效性、用戶角色、用戶權(quán)限等信息進(jìn)行驗(yàn)證，并記錄用戶名、IP 地址、時(shí)間、備用電源名稱、登錄方式、認(rèn)證日志等。

4）在SM2 算法數(shù)字證書認(rèn)證之后，安全支持平臺(tái)根據(jù)服務(wù)器端的證書簽名生成證書，并將當(dāng)前用戶的會(huì)話信息、基本信息、隨機(jī)序列值等發(fā)送到客戶端。

5）客戶機(jī)可以通過imidware 組件將其自動(dòng)重定向到備用電源系統(tǒng)，并提交一個(gè)一次性的簽名證書。

6）通過向用戶提供一次授權(quán)代碼和一次授權(quán)證書驗(yàn)證，實(shí)現(xiàn)對授權(quán)代碼的一次驗(yàn)證。

7）經(jīng)過驗(yàn)證，該系統(tǒng)獲得用戶信息加密信息。簽名后的用戶信息經(jīng)加密簽名后，返回電力系統(tǒng)二級應(yīng)用系統(tǒng)，一次性銷毀簽名證書。獲取用戶簽名信息后，應(yīng)用系統(tǒng)對其真實(shí)性進(jìn)行驗(yàn)證，解密用戶信息，然后根據(jù)用戶信息登錄到電力二級系統(tǒng)。

8）識別用戶身份并允許正常進(jìn)入電力系統(tǒng)。

3 實(shí) 驗(yàn)

3.1 實(shí)驗(yàn)環(huán)境

以某電力集團(tuán)有限公司的信息安全存儲(chǔ)項(xiàng)目為例，表1 為2019 年該公司電力系統(tǒng)運(yùn)行的歷史數(shù)據(jù)。

表1 2019年電力系統(tǒng)運(yùn)行歷史數(shù)據(jù)

在表1 數(shù)據(jù)支持下，對實(shí)驗(yàn)結(jié)果進(jìn)行驗(yàn)證分析。

3.2 實(shí)驗(yàn)結(jié)果與分析

在電力系統(tǒng)中存在潛在危險(xiǎn)，隨時(shí)有可能被黑客攻擊，因此，分別使用傳統(tǒng)RSA 算法W1、神經(jīng)網(wǎng)絡(luò)算法W2 和基于SM2 密碼監(jiān)控系統(tǒng)W3 識別攻擊信息，在黑客攻擊情況下，3 種方法出現(xiàn)的短時(shí)能量對比結(jié)果如圖6 所示。

圖6 3種方法短時(shí)能量對比分析

由圖6 可知，使用傳統(tǒng)RSA 算法在0～12 min、40～50 min 時(shí)間范圍內(nèi)，出現(xiàn)短時(shí)能量失效的情況，該情況下算法無法監(jiān)控電力信息安全；使用神經(jīng)網(wǎng)絡(luò)算法同樣在0～12 min、40～50 min 時(shí)間范圍內(nèi)，出現(xiàn)短時(shí)能量失效情況，該情況下算法無法監(jiān)控電力信息安全；使用基于SM2 密碼監(jiān)控系統(tǒng)在40～50 min時(shí)間范圍內(nèi)，短時(shí)能量逐漸失效，該時(shí)間段電力信息處于存儲(chǔ)階段，不會(huì)再增加新的監(jiān)控畫面，即使監(jiān)控失效，也不影響整體監(jiān)控效果。

基于該情況，在12～40 min 內(nèi)分別采用3 種方法對監(jiān)控安全性能和速度進(jìn)行對比分析，結(jié)果如表2、3所示。

由表2、3 可知，傳統(tǒng)RSA 算法安全密鑰長，簽名速度和驗(yàn)簽速度慢；使用神經(jīng)網(wǎng)絡(luò)算法安全密鑰，簽名速度和驗(yàn)簽速度比傳統(tǒng)RSA 算法快，但比基于SM2 密碼監(jiān)控系統(tǒng)慢；使用基于SM2 密碼監(jiān)控系統(tǒng)安全密鑰短，且簽名速度和驗(yàn)簽速度快，具有良好的安全性能和快速監(jiān)控速度。

表2 3種方法監(jiān)控安全性能對比分析

表3 3種方法監(jiān)控速度對比分析

4 結(jié)束語

利用統(tǒng)一的安全支持平臺(tái)，實(shí)現(xiàn)了分布在不同地方的電力二次應(yīng)用系統(tǒng)的異構(gòu)集成，實(shí)現(xiàn)了統(tǒng)一的用戶身份認(rèn)證、管理、授權(quán)和審核,不僅有效地保護(hù)了二級應(yīng)用系統(tǒng)的安全，而且大大簡化了訪問控制與權(quán)限管理系統(tǒng)的開發(fā)與維護(hù)，降低了管理成本和復(fù)雜性。該設(shè)計(jì)不僅滿足了電力二次系統(tǒng)的安全管理，而且實(shí)現(xiàn)了信息安全產(chǎn)品的本地化，具有一定的實(shí)用價(jià)值。