一种通信安全增强方法、系统、设备和存储介质与流程

本发明涉及电力物联网，尤其涉及一种通信安全增强方法、系统、设备和存储介质。

背景技术：

1、电力智能融合终端具有数据采集、设备运行状态监测、电能计量等功能。与传统部署在低压台区侧的采集或控制终端相比，电力智能融合终端支持高性能并发、大容量存储、多对象采集、就地化分析决策和协同计算需求，其功能更全面，处理更智能。传统电力采集或控制系统在业务侧实现安全防护，较少在通信侧实现安全防护。例如，部分业务在本地侧不采用安全防护机制，通过安全接入装置后再接入业务系统；采抄类业务终端通过独立的认证系统进行身份认证，且通过硬件加密芯片对计量数据进行加密。

2、电力智能融合终端部署在低压台区侧，其管理的业务终端设备广泛暴露在居民区、街道等易于物理获取的区域，通信安全问题亟需关注。此外，电力智能融合终端替代原有用电信息采集系统的集中器、设备运行状态监测中的网关等多种业务系统中承担本地侧数据汇聚作用的设备，这也提高了跨业务系统进行安全攻击的可能性，要求同时承载不同业务系统的网络安全防护功能下移，提高通信这一基础支撑底座的安全防护能力。

技术实现思路

1、本发明提供一种通信安全增强方法、系统、设备和存储介质；安全增强的方法以软件sdk形式实现，调用便捷，适用于存量设备的安全升级；在密钥生成过程中，非对称密钥分量以及随机数均是随机生成的，具有前向安全性；电力融合终端和业务终端均不存储密钥生成所需的任何参数，能够抵抗物理易获取环境中的捕获攻击。

2、本发明提供了一种通信安全增强方法，包括：电力融合终端和业务终端之间的协同密钥对生成方法和密钥协商方法；主安全增强模块和从安全增强模块分别以软件sdk形式嵌入电力融合终端和业务终端中；其中，

3、所述协同密钥对生成方法包括：

4、电力融合终端的主安全增强模块生成协同密钥对请求消息并发送至业务终端；

5、业务终端的从安全增强模块根据协同密钥对请求消息计算公钥，并生成协同密钥对响应消息后发送回电力融合终端；

6、电力融合终端的主安全增强模块根据同密钥对响应消息生成协同密钥对确认消息并发送至业务终端；

7、所述密钥协商方法包括：

8、电力融合终端的主安全增强模块生成信息组，并封装进密钥协商请求消息中发送给业务终端；

9、业务终端将密钥协商请求消息中的信息组恢复出来，从安全增强模块根据信息组得到中间数据，业务终端将中间数据封装进协助解密请求消息中发送给电力融合终端；

10、电力融合终端将协助解密请求消息中的中间数据恢复，并通过主安全增强模块处理生成协助解密响应消息后，发送给业务终端；

11、业务终端的从安全增强模块根据协助解密响应消息生成新的密文，业务终端将其封装在密钥协商响应消息中并发送给电力融合终端；

12、电力融合终端对密钥协商响应消息进行确认，并生成密钥协商确认消息发送给业务终端；

13、电力融合终端进行密钥协商、数据加密和数据完整性校验；其中，密钥协商包括协同密钥对生成阶段和密钥协商阶段。

14、优选的，所述协同密钥对生成方法包括以下步骤：

15、电力融合终端的主控存储单元向主安全增强模块发送生成协同密钥对生成请求；

16、主安全增强模块产生随机数，并根据随机数计算公钥中间值，并将公钥中间值发送给电力融合终端的主控存储单元；

17、电力融合终端的主控存储单元将公钥中间值封装进协同密钥对请求消息中，通过主通信模块发送给业务终端；

18、业务终端的从通信模块收到协同密钥对请求消息后，将其交付给主控单元，主控单元获取公钥中间值，并向从安全增强模块发送生成协同密钥对请求；

19、从安全增强模块产生另一随机数，并根据另一随机数和公钥中间值计算公钥；

20、从安全增强模块将公钥发送给业务终端的主控单元；

21、业务终端的主控单元将其封装进协同密钥对响应消息中，通过从通信模块发送给电力融合终端；

22、电力融合终端向主安全增强模块发送公钥指示，将公钥告知主安全增强模块；并生成协同密钥对确认消息，并通过主通信模块发送给业务终端。

23、优选的，所述密钥协商方法包括以下步骤：

24、电力融合终端的主控存储单元向主安全增强模块下达密钥生成指令；

25、主安全增强模块生成随机数t、临时密钥k、序列号n和时间戳s；首先使用公钥对临时密钥进行加密，生成密文a；然后使用临时密钥k进行加密，生成密文b；最后对密文a和密文b进行完整性计算，生成校验码c；将信息组<a，b，c>返回给电力融合终端的主控存储单元；

26、电力融合终端的主控存储单元将信息组<a，b，c>封装进密钥协商请求消息中，发送给业务终端；

27、业务终端恢复出信息组<a，b，c>；向从安全增强模块下达密钥生成指令，并将信息组<a，b，c>作为参数发送给从安全增强模块；

28、从安全增强模块利用从协同密钥分量对密文a进行处理，得到中间数据data1，并将其反馈给业务终端主控模块；

29、业务终端的主控单元收到后，将其封装进协助解密请求消息，并发送给电力融合终端；

30、电力融合终端收到协助解密请求后，恢复出中间数据，向主安全增强模块发送协助解密指令，并将作为参数发送给主安全增强模块；

31、主安全增强模块利用主协同密钥分量对中间数据进行处理得到另一中间数据，并反馈给主控存储单元；

32、主控存储单元收到另一中间数据，将其封装进协助解密响应消息，并发送给业务终端；

33、业务终端将另一中间数据发送给从安全增强模块；

34、从安全增强模块利用从协同密钥分量对另一中间数据进行处理，恢复出临时密钥k’；利用k’对密文b进行解密，恢复出随机数t’、序列号n’和时间戳s’；对解密数据进行完整性验证，验证通过对时间戳s’进行验证；若验证均通过，则将随机数t’作为密钥，并利用t’对序列号n’进行加密，生成新的密文d；

35、从安全增强模块将密文d作为参数，向业务终端发送密钥协商确认请求；

36、业务终端将密文d封装在密钥协商响应消息中，发送给电力融合终端；

37、电力融合终端恢复出密文d，并将其作为参数发向主安全增强模块发送密钥协商确认指令；

38、主安全增强模块利用随机数t对密文d进行解密，恢复出序列号n”，验证n”是否等于n，若相等，则生成密钥协商确认指示，发送给电力融合终端；

39、电力融合终端生成密钥协商确认消息，发送给业务终端；

40、业务终端向从安全增强模块发送密钥协商确认结果。

41、优选的，一种通信安全增强系统，应用了所述的一种通信安全增强方法，包括依次双向连接的业务终端、电力融合终端、骨干网和业务系统；

42、其中，业务终端和业务系统的数量均设置为若干；任意一种业务终端支持若干种通信方式与电力融合终端电性连接。

43、优选的，所述电力融合终端包括电源、组合电流互感器模块、回路巡检单元、交采计量单元、主控存储单元和主通信模块；

44、其中，组合电流互感器模块和回路巡检单元双向电性连接，且均与交采计量单元双向电性连接；交采计量单元、主控存储单元和主通信模块依次双向电性连接；电源为上述模块或单元提供电能。

45、优选的，所述主控存储单元设置有主安全增强模块，用于实现密钥协商、数据加密和数据完整性校验；

46、其中，密钥协商利用非对称加密算法产生生成密钥，进而用于下一阶段产生通信密钥；数据加密采用通信密钥对通信数据进行加密，加密的过程采用包括国密算法sm4及其他适用于物联网的轻量级对称加密算法；数据完整性校验用于通过算法验证数据的完整性，其算法包括奇偶校验、crc校验以及其他基于哈希函数的校验算法。

47、优选的，所述业务终端包括业务模块和从通信模块；所述业务模块包括数据采集控制单元和主控单元；所述从通信模块包括控制单元和射频单元。

48、优选的，业务模块的主控单元设置有从安全增强模块。

49、一种设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述处理器执行所述计算机程序时实现所述的一种通信安全增强方法。

50、一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行所述的一种通信安全增强方法。

51、与现有技术相比，本发明的有益效果为：

52、本发明公开一种通信安全增强方法、系统、设备和存储介质；安全增强的方法以软件sdk形式实现，调用便捷，适用于存量设备的安全升级；在密钥生成过程中，非对称密钥分量以及随机数均是随机生成的，具有前向安全性；电力融合终端和业务终端均不存储密钥生成所需的任何参数，能够抵抗物理易获取环境中的捕获攻击。