[发明专利]一种GOOSE报文完整性认证方法

说明书

技术领域

本发明属于电力系统信息安全领域，具体涉及一种高效的GOOSE报文完整性认证方法。

背景技术

电力通信网络从独立的封闭系统，逐步发展为广域互联的开放系统，其边界范围和地理分布不断扩大，接入方式更加灵活，报文数据的安全性问题也日趋突出。尤其像GOOSE这类直接影响电力系统状态的重要报文，当其报文受到篡改时，可能带来灾难性的后果。

在电力系统通信网络中，面向通用对象的变电站事件(GOOSE,Generic Object Oriented Substation Event)报文主要用于表征断路器的跳、合闸等操作命令和断路器位置信息等重要场合，其安全性、准确性、实时性很大程度上影响着电力系统运行的可靠性。而且，在以数字化变电站为代表的智能电网中得到越来越广泛的应用的背景下，GOOSE电力报文有可能跨区域、跨电网传输，使得其更可能遭受窃听、攻击、篡改等入侵事件，其在电力信息安全方面的重要性愈发突出。

电力信息安全标准IEC62351建议对GOOSE报文采用HMAC认证或数字签名以保障GOOSE报文的完整性。但结合当前智能电子设备实际的运算和存储能力，基于非对称加密环节的数字签名方法难以满足GOOSE等电力报文的4ms延时要求。因此，目前的GOOSE安全算法研究主要选择采用HMAC认证保障完整性。

HMAC认证算法通过引入密钥并设置两轮Hash运算实现认证运算，可有效保障报文的完整性，但对GOOSE这类短报文而言效率并不高，并非最优的选择。不同于一般的网络报文，GOOSE报文定义了严格的帧结构，包括细致的帧格式、APDU中所具有的显性长度域和同步性参数等。GOOSE报文独特的报文结构，有助于避免一般带密钥HASH算法遭受长度扩展等攻击。结合GOOSE报文域的特点以及表征的意义，寻求一种GOOSE报文更有效的认证方法具有重要研究价值。

发明内容

本发明的目的在于克服现有技术的缺点与不足，提供一种GOOSE报文完整性认证方法，以提高认证效率，更好地适应电力系统高实时性要求。本发明方法基于选定的HASH函数(SHA256或MD5等函数)，以密钥和消息作为输入，直接HASH运算生成消息摘要输出作为认证码。算法中只用到密钥和带认证消息的HASH运算，效率比HMAC更高。

为了达到上述目的，本发明采用的技术方案是：一种GOOSE报文完整性认证方法，包括以下步骤：

S1、GOOSE报文发送端认证过程：

S11、提取GOOSE报文APDU中的UtcTime、stNum、sqNum关键信息，根据UtcTime、stNum、sqNum顺序依次连接，形成关键信息报文段P2；

S12、删除GOOSE报文APDU中的UtcTime、stNum、sqNum关键信息以及CRC校验码域，形成非关键信息报文段P1；

S13、判断非关键信息报文段P1是否与前一GOOSE报文非关键信息一致，若一致则跳至步骤S15，否则执行步骤S14；

S14、利用发送端和接收端预先约定好的任意长度的密钥及Hash算法，对步骤S12所述报文段P1进行Hash运算得Hash码C1，将步骤S11所述报文段P2附加到C1末端，并再次进行Hash运算，得到最终Hash认证码C2，然后执行步骤S16；

S15、将步骤S11所述报文段P2附加到前一GOOSE报文APDU认证计算所得Hash码C1`末端，利用发送端和接收端预先约定好的任意长度的密钥及Hash算法，对其进行Hash运算得到最终Hash认证码C2，然后执行步骤S16；

S16、将Hash认证码C2作循环冗余校验CRC32运算，得到32比特长度的循环冗余校验码，将其填充于GOOSE报文的CRC校验码域；

S2、GOOSE报文接收端认证过程：

S21、提取GOOSE报文APDU中的UtcTime、stNum、sqNum关键信息，根据UtcTime、stNum、sqNum顺序依次连接，形成关键信息报文段P4；

S22、删除GOOSE报文APDU中的UtcTime、stNum、sqNum关键信息以及CRC校验码域，形成非关键信息报文段P3；

S23、利用发送端和接收端预先约定好的任意长度的密钥及Hash算法，对步骤S22所述报文段P3进行Hash运算得Hash码C3，将步骤S21所述报文段P4附加到C3末端，并再次进行Hash运算，得到最终Hash认证码C4；