一种mms规约应用层安全交互方法
【技术领域】
[0001]本发明涉及电力信息通信安全领域，具体来说涉及一种MMS应用层基于MMS协议加固安全交互方法。
【背景技术】
[0002]MMS (Manufacturing Message Specif icat1n:制造报文规范)是 IS0/IEC9506 标准所定义的用于工业控制系统的通讯报文规范。MMS规范了工业领域具有通信能力的智能传感器、智能电子设备、智能控制设备的通信行为，使出自不同制造商的设备之间具有互操作性，使系统集成变得简单、方便。
[0003]DL/T 860(等同引用国际标准IEC 61850)为智能变电站通信规约国家标准，提出了变电站的一组公共通信标准，通过对设备的一系列规范化，使得IED(智能电子设备)能够在统一规范下进行无缝连接。DL/T 860的特点是I)面向对象建模；2)抽象通信服务接口 ；3)面向实时的服务；4)配置语言；5)整个电力系统统一建模。DL/T 860标准将变电站通信体系分为变电站层、间隔层、过程层。DL/T860的网络通信上层统一采用抽象通信服务接口，对具体的网络，通过将底层实现接口映射到抽象通信接口来对接。在变电站层与间隔层之间将抽象通信服务接口映射到制造报文规范(MMS)、传输控制协议/网际协议(TCP/IP)以太网或光纤网。在间隔层与过程层之间的网络采用广播式的以太网传输。
[0004]国家电网公司在^一五”规划中明确提出研宄和推广以DL/T 860和电子式PT/CT为基础的数字化变电站。DL/T 860提出了变电站过程层、间隔层、站控层三层之间所有设备直接接入以太网。由此可见网络在变电站中已成为最重要的通信方式。
[0005]但是，由于DL/T 860标准提出时，只注重IED之间的共享通信，而对通信过程中的安全并未重视，导致变电站一旦被入侵，而变电站内部又没有任何防护措施，后果将很难想象。DL/T 860引用的MMS规范针对安全性的防范措施，也仅仅体现在访问控制的接口描述上。
[0006]2005年4月，国际标准化组织IEC制定了 IEC62351数据和通信安全标准(草案)，以解决电力通讯领域的数据和通讯安全问题。在IEC62351中，认证和加密是核心内容。
【发明内容】
[0007]本发明的目的在于提供一种针对智能变电站设备使用丽S报文通信时，通过对MMS应用层进行安全改造，使得经MMS协议通信双方在应用进行身份认证，并在认证的基础上，通过使用基于角色的访问来对MMS客户进行访问权限控制的MMS应用层安全加固交互方法。
[0008]本发明的目的可通过以下的技术措施来实现:
[0009]一种MMS应用层安全加固交互方法，通过对MMS协议进行扩展，在MMS应用层增加身份认证和访问控制技术，使得不被授权用户无法关联MMS服务端和相应的MMS服务。方法步骤如下:
[0010]I)启用MMS关联认证功能，并扩展认证数据结构；
[0011]2)通过扩展认证数据结构，使用公开加密算法对MMS应用层的关联过程进行身份认证，并同时进行重放攻击防护；
[0012]3)使用基于角色的访问控制技术，构造丽S客户与丽S服务之间的访问控制关系，并关联认证通过后，MMS服务端利用配置好的访问控制关系表对MMS客户进行细粒度的访问控制，满足要求的，将允许MMS客户访问相应服务，否则，拒绝服务。
[0013]通过使用本发明中提出的方法使得变电站MMS协议在应用层上能够对MMS客户端进行身份认证和基于角色的MMS服务访问控制。身份认证和基于角色的访问控制从粗粒度和细粒度两个方面保障MMS服务的安全性，身份认证从粗粒度进行访问控制，只要是合法用户，我们将允许它进行关联认证通过，但若用户的权限不够，即使是合法用户，也不能访问他越权的服务。
[0014]本发明对比现有技术，有如下优点:
[0015]一是通过扩展符合丽S报文规范的数据结构，增加应用层认证，对应用层进行身份认证。
[0016]二是通过引入基于角色的访问控制，对丽S客户端进行细粒度的访问控制。
[0017]三是通过身份认证和基于角色的访问控制，在粗细两个粒度上对MMS服务进行防护，保证丽S服务不仅拒绝非法用户，即使是合法，在没有访问权限的条件下，也只能进行MMS关联，而不能访问到实际的服务。
【附图说明】
[0018]图1:是本发明方法的逻辑框架图；
[0019]图2:是本发明公开密钥算法身份认证流程；
[0020]图3:是本发明丽S关联认证交互流程；
[0021]图4:是本发明基于角色的访问控制示意图。
【具体实施方式】
[0022]一种MMS应用层安全加固交互方法，通过对MMS协议进行扩展，在MMS应用层增加身份认证和访问控制技术，使得不被授权用户无法关联MMS服务端和相应的MMS服务。
[0023]如图1所示，本方法发生在MMS客户端与MMS服务端之间，具体步骤如下:
[0024]步骤1:启用认证功能，扩展认证数据结构。
[0025]如图2 所不，启用 MMS应用层上的 ACSE (Associat1n Control Service Element，关联认证服务单元)的关联认证功能单元，并扩展认证数据结构，如下，
[0026]〈C, T, SV>
[0027]扩展认证数据结构包括证书C，当前系统时间T和使用私钥对时间进行的签名值SVo
[0028]步骤2:通过扩展认证数据结构，使用公开加密算法对MMS应用层的关联过程进行身份认证，并同时进行重放攻击防护；
[0029]在MMS客户端采用公开密钥加密算法的私钥对时间进行签名，签名值存放到签名值SV处，并将扩展认证数据结构随MMS应用层数据一起发送到服务端。
[0030]服务端接收到数据后，首先提取该扩展认证数据结构
[0031]<C，T，SV>
[0032]其次对C进行验证，若未通过，结束关联；然后通过C对SV进行解密，并与T比较，若相等，则身份认证通过，否则，结束。
[0033]服务端还要对认证报文进行重放攻击防护，服务端会保存认证报文的历史时间，使用最近一次的认证报文时间，与当前认证报文的时间进行比较，若超过配置时间，则接收，若在配置时间之内，会怀疑客户端有重放攻击的可能，将拒绝认证。
[0034]所述使用公开加密算法对MMS应用层的关联过程进行身份认证的具体步骤如下:
[0035]MMS关联认证功能为MMS规约的ACSE层所提供的一种功能，但标准中只给出认证功能单元的声明，并未给出实现技术，本发明则提供MMS关联认证的实现方法，见图3所示，包括如下步骤:
[0036]MMS关联认证发起端，
[0037]步骤2.1:加载由CA (Certificate Authority授权中心)签名的发起端证书，并赋给C ；
[0038]步骤2.2:获取当前系统时间，并赋给T ；
[0039]步骤2.3:加载发起端的私钥，并对时间T进行签名，将签名值赋给SV ；
[0040]步骤2.4:构造扩展认证数据结构〈C，T, SV>,并作为MMS应用层数据的一部分，发送至丽S接收端。
[0041]丽S关联认证接收端，
[0042]步骤2.5:获取MMS应用层数据，提取扩展认证数据结构〈C，T, SV> ；
[0043]步骤2.6:加载CA证书，并对证书C进行验证，验证不通过，报错结束；
[0044]步骤2.7:使用证书C对签名值SV进行解签，获得解密