基于國密SM9 算法的電力物聯網身份認證技術研究

廖會敏，俞 果，班國民，李長青，陳紹真

（1.國網電子商務有限公司，北京 100053；2.國家電網有限公司電力金融與電子商務實驗室，北京 100053；3.國網山東省電力公司，山東 濟南 250001）

0 引言

依托“大云物移智”等新技術的發展，電力行業逐步將能源流和信息流進行深度融合，實現電力系統各環節的互聯互通，形成物物相通、人機智聯的電力物聯網［1-4］，為能源互聯網的發展打造新的業務生態。伴隨電力物聯網建設的高速推進，在“發—輸—變—配—用”等環節部署了大量具有狀態感知、數據處理及控制管理等功能的終端，將時間、地點、人、物等元素連接在一起，實現信息的高效共享和快速交互。面對電力物聯網中大量移動終端的接入，各類電力運營數據被采集分析，大量碎片化的數據通過不同的裝置采集提供給數據中心進行管理［5］。隨著電力系統間信息交互日益頻繁，接入主體的安全性影響著數據及指令的可靠性，設備的身份認證技術也將在日益復雜的網絡環境中發揮重要作用。考慮到傳統基于公鑰基礎設施 （Public Key Infrastructure，PKI）的身份認證依賴于第三方認證機構（Certificate Authority，CA）［6-7］，且需要為每一臺終端創建一個證書，海量終端身份認證過程存在大量的證書交換過程，管理體系十分復雜，不利于證書的管理和安全應用的部署，因此，輕量便捷化的身份認證機制成為重要的研究方向之一。

分析電力業務信息安全的現狀，描述現有的身份認證架構存在的不足，結合實際的電力業務場景提出基于國密SM9 算法［8］的信息安全防護架構，降低電力物聯網大規模終端安全接入管控的復雜性，提升各電力系統間信息交互的高效性和安全性。

1 電力物聯網安全威脅

伴隨移動應用和物聯網技術的快速發展，在移動、泛在、混合、廣域互聯環境下，電力物聯網中部署了傳感裝置、移動終端、視頻監控、智能電表、充電樁、辦公計算機等大量的內外網數據采集、控制及管理設備，網絡界限的模糊使得安全威脅與風險超越了固有邊界，業務端在可信操作、身份合法性等方面存在一定的安全風險。同時電力企業云的建設，使得電力系統面臨數據規模大、業務類型多、信息交互復雜等問題，導致非法訪問、數據泄露等風險急劇增加。面對云環境下海量終端安全接入的需求，將基于PKI 機制的身份認證機制與云計算相結合，利用云服務的便捷性和開放性形成以身份認證、統一用戶管理及數字簽名等應用為核心的安全體系，實現終端接入的合法性驗證，解決云環境下終端身份認證、數據安全傳輸及訪問控制管理面臨的安全問題。PKI 機制綜合使用了數字摘要技術、數字簽名等多項密碼技術以及一套完整的證書管理機制來提供安全服務。

隨著國產密碼算法的大力推廣，為降低海量終端環境下身份認證的復雜性［9］，基于物理邊界構筑安全基礎設施、依靠網絡位置建立安全信任的傳統防御架構被徹底打破，基于身份的認證和授權成為新的安全防御機制。基于身份標識的密碼技術不必申請和交換證書，可有效降低公鑰系統中密鑰管理和使用的復雜性，相較于傳統PKI 具有靈活、易擴展、簡潔的優點。

2 面向海量終端的國密SM9 應用研究

2.1 基于國密SM9 的身份認證

國密SM9 作為身份標識密碼的一種，其公私鑰由密鑰生成中心（Key Generation Center，KGC）利用設備身份標識、主公鑰、主私鑰和公共算法參數計算得出。國密SM9 使用具有唯一性的各類標識作為公鑰進行數據加密和身份認證，非常適合電子郵件保護、公文安全流轉、多媒體融合安全通信、身份認證、物聯網安全通信、云數據保護等應用。國密SM9 算法采用橢圓曲線上的雙線性對作為基礎數學工具，基于相關的計算復雜性假設構建安全性證明，極大提高我國信息安全的防護水平。這樣的系統具有天然的密碼委托功能，非常適合于有監管的應用環境，對海量互聯設備的管控具有相當大的優勢。基于標識的密碼系統 （Identity Based Cryptography，IBC）［10］與PKI 的詳細對比如表1 所示。

表1 IBC 與PKI 體系比較

目前電力部分業務數據的通信協議未應用安全認證技術，存在被第三方偽造或竊取協議數據包、篡改協議控制類數據等風險。同時，為構建面向大規模業務場景的統一密碼服務，開展國密SM9 算法和云技術相融合的虛擬化應用研究，可提升安全認證的效率。

2.2 云環境下國密SM9 應用架構

隨著電力物聯網的大力推進，業務終端及應用系統急劇增加，在業務交互時鑒別設備終端身份、保護隱私信息、維護系統安全、數據精準保護等問題尤為重要，且由傳統的小型業務系統逐漸向大型、海量、關鍵業務系統擴展。傳統基于PKI 機制的安全認證面對復雜的證書交換場景，將產生巨大的管理開銷和運維成本。

為提升海量終端安全認證的效率，提出基于國密SM9 算法的云安全接入方法，實現大規模終端安全接入、強身份認證、通道加密等功能，防止因系統漏洞、弱口令、數據中間劫持等造成應用系統冒名越權訪問、數據篡改和數據泄露等安全風險，保障電力系統的安全穩定運行。同時，本方案可為業務交互提供安全接入和通道加密服務，形成訪問過程的審計管理。通過融合云技術和國密SM9 算法，安全防護方案無須改變現有的網絡結構，具有部署簡單、使用成本低、密鑰管理簡便等特點，實際應用中，海量終端通過身份標識即可實現雙向強身份認證，圖1 為基于國密SM9 算法的海量電力終端云安全接入架構。

圖1 基于國密SM9 的海量電力終端云安全接入架構

利用國密SM9 無數字證書的密鑰管理優勢，為用戶終端、標識設備與解析服務節點之間的安全認證和通道加密提供服務，極大簡化了密鑰的管理，有效降低了網絡資源的消耗。同時，大量的業務數據存儲在云上，大量的終端接入對如何保障數據的安全提出了挑戰。基于國密SM9 的身份認證機制可以有效解決數據訪問權限的問題，可以根據身份標識分配不同數據的操作權限，實現基于身份標識的數據訪問安全可控。

2.3 基于CHAP 機制的增強身份認證

由于傳統基于用戶名／口令的認證方式存在被竊聽或攔截的風險，且極易受到木馬、口令字典等攻擊。為提升身份認證的安全性，基于國密SM9 的身份認證被廣泛研究應用，可有效規避以上風險。與PKI 體系的身份認證機制一樣，基于國密SM9 的身份認證仍然面臨重放攻擊的威脅。為提升身份認證的穩定性和安全性，提出了結合挑戰握手認證協議（Challenge-Handshake Authentication Protocol，CHAP）機制防止重放攻擊的影響，實現國密SM9 的增強身份認證，提升電力物聯網環境下身份認證方式的安全性和穩定性。基于CHAP 機制的身份認證過程如圖2 所示，通過3 次交互過程來校驗對端的身份：1）當接入者需要向認證者表明身份時，認證者向接入者發送隨機“挑戰”消息；2）來訪者收到挑戰消息后，使用自己私鑰的簽名挑戰值生成“響應”值；3）認證者根據響應值中接入者對挑戰值的簽名信息來驗證接入者的身份，如果簽名驗證正確，身份得到確認。否則，來訪請求應該被終止。

圖2 基于CHAP 機制的增強身份認證

利用國密SM9 算法將傳統基于PKI 數字證書的認證方式升級為基于身份標識的驗證方式，基于CHAP 機制，電力物聯網服務端通過修改可變的挑戰值阻止第三方的重放攻擊行為，能夠安全驗證電力終端或應用系統的身份標識，從而確認接入電力物聯網“人機物”的身份真實性及合法性。

3 聯合生物識別的國密SM9 密鑰增強系統

在電力物聯網背景下，國密SM9 算法能夠非常簡單地實現電力用戶的身份認證。但是由于私鑰在用戶側管理，存在較大的被竊取隱患，萬一私鑰泄露，將對電力設備的接入驗證帶來很大的威脅。為了防止密鑰被竊取帶來的危險終端接入，利用生物識別技術保障私鑰存儲安全的方案被提出，目的是實現用戶“無口令”的強身份認證，在設備中通過生物特征識別即可完成認證實現用戶登錄，支持指紋、語音、瞳孔、人臉等生物特征識別方式。因此，利用生物識別技術提升身份認證私鑰的安全性，實現對終端使用者嚴格管控，確保終端操作的合理合規。基于生物識別的安全性認證主要步驟為：

1）為了提升身份認證私鑰的安全性，私鑰的存儲模塊以硬件的形式嵌入電力終端；

2）在電力終端上采集合法操作人員的生物信息，如指紋、人臉、聲紋等；

3）操作人員進行操作時首先進行生物識別，如識別通過則獲取私鑰的使用權限，若不通過，則拒絕。

圖3 展示了聯合生物識別技術和國密SM9 的強身份認證技術，本方案對終端和操作人員都進行了有效的監管，對日益復雜的網絡環境具有更好的適應性，其主要流程為：

1）利用電力終端的身份標識信息向KGC 申請注冊；

2）KGC 生成終端對應的公私鑰，并將私鑰存儲在電力終端的私鑰存儲模塊中，同時，明確各終端的操作人員范圍，并錄入相關的生物信息；

3）當操作人員訪問應用服務器資源時，利用電力終端向資源服務器發送訪問請求；

4）資源服務器收到請求后，向電力終端發送身份認證請求和隨機挑戰值；

5）電力終端識別操作人員的生物信息，如果識別通過則用私鑰對挑戰值簽名發送給安全認證中心；

6）安全認證中心接收到簽名信息，對報文進行解析，并比對隨機挑戰值是否一致；

7）若隨機挑戰值一致，則身份認證通過；若不一致，則返回錯誤信息。

圖3 聯合生物識別與國密SM9 的電力終端強身份認證技術

利用生物識別技術實現基于國密SM9 “無口令”的身份認證，與電力業務上云有很好的契合性，有效解決了傳統身份認證機制面臨的證書管理低效的問題，提升電力物聯網環境下身份認證的安全和效率。

4 結語

分析電力物聯網中存在的信息安全風險，重點分析了系統安全防護和數據安全管理的應用。針對大規模接入點存在的安全問題，提出利用國密SM9強化對終端身份認證的支撐能力，融合國密SM9 算法、CHAP 協議、生物識別等技術，構建了面向海量終端的身份認證架構，保障了業務終端到云服務端的接入認證、業務全鏈條數據傳輸和信任的安全性，提升電力物聯網身份認證的效率。