[发明专利]一种基于SCADA系统的安全DNP协议的实现方法

摘要

本发明公开了一种基于SCADA系统的安全DNP协议的实现方法，包括MTU、MTU‑BiTW、RTU、RTU‑BiTW和HUB，主站通过人机接口控制主终端单元MTU发送请求到从站的远程终端设备RTU，MTU与RTU发出、接收的均为未加密的DNP3数据包，通过外部BiTW模块，对DNP3数据包进行转换，在网络传输中，透明地将DNPSec协议应用于传输。本发明的有益效果是本发明提供了一种基于SCADA系统的安全DNP协议的实现方法，在DNPSec的基础上，采用BITW模块，用来进行密钥交换和实现数据的加密和解密，BITW作为一个外部模块，不需要对现有对RTU和MTU进行任何修改，同时，在尽量减少对通信性能的影响下，增强SCADA系统通信的完整性、保密性，并且对通信设备进行认证；能够抵御重放攻击、防止消息窃听等攻击。

主权项

一种基于SCADA系统的安全DNP协议的实现方法，包括MTU、MTU‑BiTW、RTU、RTU‑BiTW和HUB，其特征在于：主站通过人机接口控制主终端单元MTU发送请求到从站的远程终端设备RTU，MTU与RTU发出、接收的均为未加密的DNP3数据包，通过外部BiTW模块，对DNP3数据包进行转换，在网络传输中，透明地将DNPSec协议应用于传输；其方法具体步骤如下：步骤A、设置iptables表，具体如下：1)、在MTU所在的主机上，设置iptables表，将与RTU相应的IP地址设置进iptables表中，使得与相应RTU通信的有关数据包都被插入QUEUE中；2)、在RTU所在的主机上，设置iptables表，将与MTU相应的IP地址设置进iptables表中，使得与MTU相应的通信数据包都被插入QUEUE中；步骤B、密钥协商，具体如下：1)、初始化BiTW时，对每一个RTU‑BiTW端都使用CA签发证书；2)、RTU与MTU发生N次数据包交换后，通过密钥协商为RTU‑BiTW与MTU‑BiTW之间交换一个对称密钥；3)、N是可配置的、使用AES加密算法对包含密钥的消息进行加解密；步骤C、封包与解包，具体如下：1)、iptables表在步骤A中已经被配置好，用来抓去相应的数据包，并放入QUEUE中；2)、BiTW使用nfqueue将QUEUE中的数据包获取到用户态程序中；3)、BiTW使用Scrapy库，对nfqueue获取到的数据包进行解包、修改、重封包；4)、MTU‑BiTW根据步骤2)、3)，抓取从MTU发出的DNP3数据包，利用密钥协商步骤获取的对称密钥，对内容进行加密，增加认证信息，并将其转换为DNPSec数据包；5)、认证信息是通过SHA1算法，对DNP3协议中的KSN，DNP原始头和内容进行计算得到。