[发明专利]一种基于变电站的GOOSE报文认证方法

说明书

技术领域

本发明涉及电力系统数据传输安全技术领域，具体来说涉及一种基于变电站的GOOSE报文认证方法，该认证方法主要实现对于实时性要求较高的GOOSE报文传输过程中的认证防护。

背景技术

与其他工业控制系统不同，电力系统运行控制面临的通信认证问题具有一定的特殊性。比如，目前大部分通信认证策略是用于防范来自互联网的黑客攻击，而电力系统运行控制环境与公用互联网环境具有非常大的差别。如果将公用互联网的认证通信技术照搬到电力系统运行控制环境中，显然缺乏对电力系统运行控制的通信认证需求的深刻理解。

当前的主流认证服务和产品主要是面向普通工业用户而设计的，可能无法满足电力系统运行控制环境下的严苛的性能和可靠性要求。

变电站网络系统容易受到多种形式的攻击破坏,不同的攻击模式会产生不同的威胁,进而破坏变电站信息的完整性、保密性、有效性和不可否认性。因此,分析变电站的初始攻击形式是解决报文安全性的首要任务,常见的攻击形式有:窃听、中断、截获、篡改等。相应地,针对变电站报文的各类攻击主要造成以下几种威胁：

1)违反授权。变电站控制系统人员利用授权身份或设备,执行非授权操作。

2)篡改。报文在传输过程中被第三方截获后,经删除、插入、修改、改变次序、重放等操作后再发给接收方,以达到损坏报文的目的。

3)拒绝服务。向变电站网络发送大量数据,造成网络或监控系统瘫痪。

4)抵赖。接入信息系统并进行操作,但事后却拒绝承认事实。针对上述4种威胁,可使用相应的防范措施。

基于以上的攻击模式，设计相应的认证方法便成为报文在传输过程中的重中之重，因此针对上述4种威胁,必须采取相应的防范措施。

发明内容

本发明的目的是提供一种基于变电站GOOSE报文的认证方法，该认证方法引入身份认证，消息认证，密钥管理的概念，有效的解决目前GOOSE报文在网络传输过程中所面临的威胁，而且能够保证GOOSE信息对于实时性的要求。

本发明的目的可通过以下的技术措施来实现：

一种基于变电站通信的GOOSE报文认证方法，包括如下内容：

在传输的报文时进行身份认证，即在原始GOOSE报文中加入身份认证信息发送给接收方。目的是为了防止GOOSE报文正常通信过程中，变电站操作控制人员利用授权身份执行非法授权操作的行为发生。

在报文中加入消息认证，即增加对数据进行封装操作，并且以信息摘要的形式随报文发送给接收方。目的是为了防止GOOSE报文在传输过程中数据被第三方截获后,经删除、插入、修改、改变次序、重放等操作后再发给接收方,以达到损坏报文的目的。

在报文中引入密钥管理，定时更新密钥。目的是为了防止第三方截获报文后向变电站网络发送大量数据,造成网络或监控系统瘫痪，从而达到数据无法正常通信的目的，以达到防止重放攻击的目的。

在GOOSE报文中，将身份认证信息与消息认证信息分别采用特定的算法进行封装操作并生成对应的字符串，将生成的两个字符串合并成GOOSE报文中的扩展字段与原始报文一起发送；而GOOSE报文中的保留字段则被用于描述扩展字段的相关信息。接收端收到报文后再对扩展字段内容进行相应的拆封操作，进行身份认证与消息认证信息的验证。目的是保证数据传输的完整性，一致性。

不论是发送端还是接收端，都各自维护自己的密钥池，当密钥管理服务器发送更新的密钥时，发送端与接收端需同时对自己维护的密钥池进行实时更新。

所述身份认证的具体步骤如下：

(1.1)发送端将配置的用户名，密码及密钥作为明文信息使用DES算法进行置换操作，转换后生成密文字符串加入到GOOSE报文的扩展字段1中，与原始GOOSE报文组成身份认证报文发送给接收端，其中，DES算法使用64bit的密钥,不会产生密文扩充。DES算法的工作原理是公开加密和解密算法,只对密钥进行保密。

(1.2)接收端收到报文后，同样使用DES算法将身份认证的密文信息进行还原操作，将还原后的内容与本地认证信息进行比对，如果与需要接收的用户名，密码及密钥信息一致则通过此报文的身份认证，以完成身份认证方法。

所述消息认证的具体步骤如下：

(2.1)发送端发送GOOSE报文时，将报文中的数据信息通过MD5算法进行数据压缩操作，生成定长的信息摘要字符串，随后将信息摘要字符串填充到GOOSE报文的扩展字段2中，与原始GOOSE报文组成认证报文发送给接收端，其中MD5算法为计算机安全领域广泛使用的一种散列函数，用以提供消息的完整性保护。