引言
電力調度數據網承擔著電網調度自動化系統的數據傳輸任務。目前電力調度數據通信業務中，以能量管理系統(EMS)、廣域相量測量系統為代表的實時監控系統被普遍采用，對實時性、安全性提出了很高的要求。然而，現有的電力調度數據網的安全性總體上要求建立在基于公鑰技術的分布式電力調度數字證書系統基礎之上、基于TCP／IP協議的虛擬專用網(VPN)技術即第三層隧道技術(IPSec)來實現。由于數字證書和IP協議本身的復雜性，在這些低端網絡設備中進行網絡數據通信時會產生大量傳輸時延，導致電力調度實時性無法得到保證。
本文提出一種新的基于VPN的電力調度數據網絡安全方案，在保證電力調度系統安全性的前提下，盡可能降低電力調度數據網絡傳輸時延，有效地解決了調度數據網中安全性與實時性之間的矛盾。
1 身份認證與密鑰協商融合的安全方案
傳統基于公鑰數字證書的公鑰基礎設施／認證中心(PKI／CA)安全體制存在著繁瑣的身份認證和密鑰協商機制，如第三方認證服務器在線、公鑰證書管理、多重會話機制等，不適于電力調度數據網的低端網絡設備和嵌入式終端。為了克服PKI／CA的上述缺點，提出一種新的基于有限域上離散對數的身份認證和密鑰協商安全方案。將需要在電力調度數據網中進行數據交換和傳輸的EMS終端、遠程終端設備(RTU)等稱為電力調度數據網的終端節點(以下簡稱為節點)。
1．1算法的初始化
為了使進入電力調度數據網絡的各個節點的標識認證有效，假定節點標識m是各不相同的。令n
步驟7：雙方可以用密鑰K1=K2和任意一種對稱密鑰加密算法進行保密通信，會話完成后即可舍棄各自的會話密鑰，下次通信時重新協商新的會話密鑰。
2 安全性分析
在電力調度數據網絡中，各個節點在進入網絡之前必須申請離線認證節點所頒發的認證碼，作為進入網絡的許可證。
2．1簽名的安全性
對電力調度數據網絡中每個節點的標識生成認證碼時，離線認證節點隨機選取(si，si’)對，每個(si，si’)僅針對不同的節點標識，并且是在空間PGF(p)中隨機均勻選取的，因而節點的認證碼(Wi，Qi，Ui)具有很強的隨機性，具有Byzatine行為的節點之間無法通過合謀來生成認證私鑰。
2．2零知識身份證明
電力調度數據網絡節點中的認證碼(Wi，Qi，Ui)是各個節點的唯一標識，因而在密鑰協商過程中不能全部泄露給對方，為了簽名認證的需要，提出的方案僅將Wi傳遞給通信對方，接收方收到Wi后，
有限域上離散對數問題。因此，證明了無論在哪種情況下接收方都不能獲得完整的(Wi，Qi，ui)，即認證碼。
2．3消息重放攻擊
電力調度數據網絡中通信雙方每次會話都可能被竊聽并被記錄，竊聽者會在以后的會話中重放這些協議。為了保持協議消息的新鮮性，通信雙方協商前都要分別生成一個隨機整數z，即生成X=gx+Qiuimodp，與通信對方協商會話密鑰，因此由于x的參與，每次會話密鑰都不相同。通信雙方可以保存用過的會話密鑰，發現以后的通信過程中有相同的會話密鑰時可以拒絕與對方通信。
2．4中間人攻擊
傳統的密鑰協商協議容易遭到中間人攻擊，是因為缺乏對協議消息進行認證所造成的。而本文提出的電力調度數據網絡安全方案中，將通信雙方的認證過程包含進密鑰協商中，即需要先驗證：
3 基于IPSec的VPN安全框架實現
鑒于電力調度數據網接入層采用的是低端網絡設備和RTU等嵌入式遠動監控設備，我們將基于IPSec的VPN內核進行了大幅裁剪，將新的身份認證和密鑰協商算法融入到裁剪后的VPN安全框架中，不僅使新的安全方案得以實現，也大大降低了接入層設備在安全上的數據處理開銷。
在IPSec框架的IKE(Internet key exchange)協議中，實現了自動的安全參數協商，包括加密與鑒別算法、加密及鑒別密鑰、通信的保護模式(傳輸或隧道模式)、密鑰的生存期等。而對于本文所提出的身份認證和密鑰協商算法，雙方的身份認證和密鑰協商都在上述的一次握手會話中就可完成，通信雙方唯一需要協商的僅僅是使用何種對稱密鑰加密算法。如圖1所示。
圖1 無需第三方認證的節點間身份認證和密鑰協商
因此，在本文提出的電力調度數據網絡安全IPSec框架中，密鑰管理模塊上的開銷可以大大減輕。我們將所提出的安全體制方案融入到現有的電力調度數據網絡的IPSec框架中，與現有的系統服務模塊協同運行。數據報文處理過程如圖2所示。
圖2 IP層數據包處理框圖
圖2中的加解密模塊部分對SPD庫和SADB庫的查詢是一個影響性能和系統資源的瓶頸，因而我們采用的是高速的HAsH查找算法，并在系統內存中開辟適當的緩存來存放最近使用的SPD庫和SADB庫數據。在IKE密鑰交換協議中，采用了占用系統資源較少的積極模式(aggressive mode)來建立安全關聯(security association)。由于本文提出的安全方案中本身已經含有身份認證功能，因此彌補了積極模式的IKE密鑰交換協議缺乏身份認證功能的不足。
4 安全方案性能分析
由于電力調度數據網的核心層和骨干層有較強的數據處理能力，因此，我們的仿真分析主要集中在對數據傳輸時延較為敏感的接入層部分，即對接人層的遠動系統與骨干層之間傳輸遙信數據、遙測數據、遙控數據、遙調數據，分別用PKI／CA方案對比身份認證和密鑰協商融合安全方案進行傳輸時延對比測試。具體仿真工具采用OPNET Modeler10．0．A，根據上述對IPsec的裁剪方案構造了電力調度數據網的RTU節點模型，2級調度數據網的接入層與骨干層網絡拓撲為樹型結構。
分別對遙調命令響應時延(YD)、遙控命令執行響應時延(YK)、遙測越死區傳送時延(YC)、遙信變位傳送時延(YX)4種數據的應用層端到端傳輸延遲進行了仿真測試，設定運行時間為60 min，讓網絡運行在綜合的外部條件下。測試結果見圖3。
圖3 OPNET測試端到端的傳輸時延
由圖3可以看出：新的基于身份認證和密鑰協商融合安全方案的VPN在YD，YK，YC和YX上不僅有較好的穩定性，而且能滿足電力調度數據網生產控制實時性要求，同時安全性也得到了保證。
5 結語
由于電力調度數據網直接參與電力生產管理控制，對安全性、實時性提出了很高的要求。本文從基礎的密碼算法人手，提出了一種合理的基于VPN的身份認證和密鑰協商融合安全方案，有效地解決了電力調度數據網中安全性與實時性之間的矛盾，具有較好的推廣應用價值。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：基于VPN的電力調度數據網絡安全方案
本文網址：http://www.guhuozai8.cn/html/consultation/1083948511.html
相關文章
