1
关注中国自动化产业发展的先行者!
2024中国自动化产业年会
2023
2023年工业安全大会
OICT公益讲堂
当前位置:首页 >> 资讯 >> 行业资讯

资讯频道

基于AES-RSA的IEC 61850数据安全传输方法
  • 作者:王明辉,王勇,邓乐,李双飞,朱毅文
  • 点击数:1231     发布时间:2019-11-14 13:47:00
  • 分享到:
IEC 61850系列标准主要应用在智能变电站的模拟量采集端和客户端监控系统间进行通信。相比于传统变电站,智能变电站基本上取消了硬接线,模拟量就地采集后直接转换成数字量依照规约从网络中进行传输。由于IEC 61850协议基于TCP/IP协议,数据通过以太网传输,因此多种对以太网的攻击均可以使用对IEC 61850通信过程造成影响。为增强IEC 61850通信过程的安全性,本文针对IEC 61850通信过程中可能面临的风险,提出了基于AES-RSA算法的安全通信机制,并对此通信方法进行了测试分析。实验结果表明,基于AES-RSA混合算法的IEC 61850的通信方法跟仅使用RSA加密算法相比,不仅增强了数据传输的安全性,而且完成一次通信认证的速度更快,满足IEC 61850通信对数据传输的实时性要求,验证了方法的有效性。
关键词:

摘要:IEC 61850系列标准主要应用在智能变电站的模拟量采集端和客户端监控系统间进行通信。相比于传统变电站,智能变电站基本上取消了硬接线,模拟量就地采集后直接转换成数字量依照规约从网络中进行传输。由于IEC 61850协议基于TCP/IP协议,数据通过以太网传输,因此多种对以太网的攻击均可以使用对IEC 61850通信过程造成影响。为增强IEC 61850通信过程的安全性,本文针对IEC 61850通信过程中可能面临的风险,提出了基于AES-RSA算法的安全通信机制,并对此通信方法进行了测试分析。实验结果表明,基于AES-RSA混合算法的IEC 61850的通信方法跟仅使用RSA加密算法相比,不仅增强了数据传输的安全性,而且完成一次通信认证的速度更快,满足IEC 61850通信对数据传输的实时性要求,验证了方法的有效性。

关键词:IEC 61850;智能变电站;RSA;AES

Abstract: The IEC 61850 series of standards are mainly used for communication between the analog acquisition terminal of the intelligent substation and the client monitoring system. Compared with the traditional substation, the intelligent substation basically cancels the hard wiring. The analog quantity is directly converted into digital quantity and collected from the network according to the specification. Since the IEC 61850 protocol is based on the TCP/IP protocol and data is transmitted over Ethernet, a variety of attacks on Ethernet can be used to affect the IEC 61850 communication process. In order to enhance the security of IEC 61850 communication process, this paper proposes a secure communication mechanism based on AES-RSA algorithm for the possible risks in IEC 61850 communication process, and tests this communication method. The experimental results show that the communication method of IEC 61850 based on AES-RSA hybrid algorithm not only enhances the security of data transmission, but also completes the communication authentication faster than the RSA encryption algorithm. It satisfies the IEC 61850 communication for data transmission. The real-time requirements verify the effectiveness of the method.

Key words: IEC 61850; Intelligent substation; RSA; AES

1 引言

IEC 61850是一项国际标准,其主要目标是增强多厂商电力公用事业的互操作性和减少成本损耗。在技术含义中,该标准定义了电力系统自动化中存在的所有设备的服务,任务和功能[1]。IEC61850是定义电力系统变电站之间的数据模型、交换和事件的标准,它现在主要应用在变电站,并扩展到发电端的分布式能源(DER)。该标准可以映射到许多传统协议,例如制造商消息规范(MMS),面向通用对象的变电站事件(GOOSE)以及采样测量值(SMV)。但是,IEC61850并非设计用于串行通信协议,因为它旨在通过以太网运行。为了对应用层及以上的电力系统组件的成本和互操作性产生积极影响,建议利用该标准的服务来实现数据传输的可靠性和安全性。本标准中的服务包括:检索设备描述,快速可靠的主机到主机状态信息交换状态,报告数据或事件顺序,数据记录,通信协议定义了如何在传输介质上进行传输数据。对于微电网组件,每个DER具有唯一的功能,并且所有DER中可能不存在数据属性的子集。每个IED制造商可能对数据有不同的命名约定。IEC61850数据命名约定基于电源系统上下文,这有助于确保同一通信系统中使用的各个供应商的设备之间的互操作性,并且依照该标准进行数据建模具备灵活可扩展的通讯架构,它具有分层次的逻辑节点(LN),数据对象(DO)以及数据属性(DA),且其中各协议之间的通信相互独立。

现场实验在规划阶段有时被认为是不切实际的,因此网络模拟器(如OPNET和OMNET++建模器)已被广泛用于设计和分析IEC61850网络[2-3];通过实验和模拟,已经进行了大量关于评估和改进IEC61850网络性能的研究[4-5];为了满足IEC61850标准定义的实时通信要求,Kunz等人在2017年推动一项有关使用数学分析的研究,以协助在真实场景中实施IEC61850通信,旨在以标准化方式帮助开发和实施智能电子设备(IED),但没有分析整个网络[6]。上述文献或是用仿真软件模拟IEC61850通信流量进行流量分析,或是在纯数学的角度对IEC61850事件和随机行为进行建模和评估,很少有研究关注IEC 61850通信的安全性,虽然也有研究人员对基于IEC 61850的安全通信做过研究,但大多只停留在理论阶段。并未通过实验对IEC61850通信做过安全测试,无法真实反映出IEC61850通信中遇到的安全问题。

在此背景下,本文的研究重点是对IEC 61850通信的安全性进行了分析。本文根据当前存在的问题,用IEC61850服务器和客户端搭建了测试环境,设计了相关实验对所建立的环境进行通信测试,确保在客户端能采集到的服务器端IED的工作电压电流等参数。为增强IEC61850通信过程的安全性,本文针对IEC61850通信过程中可能面临的风险,提出了基于AES-RSA算法的安全通信机制,并对此通信方法进行了安全性分析。实验结果表明,基于AES-RSA混合算法的IEC 61850的通信方法跟仅使用RSA加密算法相比,不仅增强了数据传输的安全性,而且完成一次通信认证的速度更快,满足IEC61850通信对数据传输的实时性要求,验证了方法的有效性。

2 IEC 61850报文类型及功能介绍

底层微网设备基于IEC 61850标准进行数据建模,生成ICD文件后经由IEC61850服务器进行解析,最后编码成二进制数据发送到IEC 61850客户端。客户端获得基于IEC 61850标准构建的数据报文,并根据数据包里的地址向服务器返回读写指令。IEC61850服务器响应且返回读写结果。这样就初步实现了IEC61850服务器端和客户端之间的通信。

对于目前的数字化智能变电站而言,通信体系基于IEC61850标准从上到下的将智能变电站构建出一个规范的通信结构,这个通信结构主要由三层组成,分别是过程层、间隔层、变电站层[7]。利用这些结构所构建的信息传输模型的数据传输过程中,其中的间隔层与变电站层之间的通信网络采取了基于MMS的抽象服务端口到制造报文的协议规范、以及基于TCP/IP的网络传输协议/网际传输协议的以太网和光纤网络。而过程层与间隔层则采取了点对点的单向传输协议的形式,使用统一规定的协议将智能变电站中的智能电子设备(IED)采集的各项数据进行信息传输。

2.1 IEC 61850中的报文类型介绍

56.jpg

图1 IEC 61850规约报文类型分类

如图1所示,其中的SV表示采样值协议通过以太网且符合以太网的国际标准IEC8802-3进行传输。GOOSE表示智能变电站事件也是通过以太网且符合以太网的国际标准IEC8802-3进行传输。SNTP表示传输的时钟同步信息采取了UDP/IP的传输方式。MMS协议表示了传输的ACSI报文采取了TCP/ISOCO方式进行传输[8]。最后的GSSE表示了一般智能变电站运行状态的事件报文采取了相对应的自定义的GSSE传输层[9]

2.2 IEC 61850报文结构说明

下面是对面向通用对象的变电站事件(GOOSE)的介绍:

GOOSE提供了一个可靠快速的数据系统,基于自动分配的GOOSE概念模型中产生了一个同时多路广播/广播传输和由同一个GOOSE面向各个IDE(智能电子装置)传输[10]

由SetGOOSEControlValue服务对GOOSE的数据报文控制的对象进行了相对应的参数化。其中由GOOSE控制的对象将会按照相关的配置行为激活GOOSE的报文传输。在这些GOOSE报文中包含了数据传输过程中的数据丢失,状态位变化机器自上次的状态位变化后的时间差,上次变化状态位的时间被称作“backtime”,从而有了接受相对应IDE设置的定时的计时器,保护整个系统中的时钟一致。对于一个新激活的IED(接通电源和创建一个新的服务)将会发送现在所处的状态当作启动的GOOSE报文,任意一个IED任何时候都被允许请求任意一个IED的特定状态。同样的原理,全部的IED都可以给他们发送GOOSE报文,从而通过这样的措施保证每一个IED都知道他们相对应的IED状态,保证这个系统能够稳定高效的运行。表1中定义了GOOSE-CONTROL的数据结构。

表1 GOOSE的控制定义及其类别

57.jpg

GeNam(GOOSE Control name):面向系统-范围事件的通用对象(GOOSE)的控制名字。它属于GOOSE控制对象的唯一标识,通过这个可以唯一的识别逻辑节点中每一个GOOSE所控制的结点。

GooseEna(GOOSE enable):面向系统—范围事件的通用对象使能。这个属性主要标识了GOOSE所控制的对象能否产生相对应的GOOSE报文,当这个标记为True时,服务器将会产生GOOSE所控制对象的报文,当这个标记为False,那么服务器将会停止发送相对应的GOOSE数据包报文。对于一般的服务器而言,默认将这个标志设置为“true”。

SdgLD(name of sending logical device):发送逻辑装置的名字。即此装置对象的名字,直接识别发送的GOOSE报文中此装置的名字。

UserDatNam:用户数据名称。表示GOOSE数据报文所包含的用户名称。

GOOSE报文结构如表2所示。

表2 GOOSE数据报文定义

58.jpg

59.jpg

SendingIED:发送数据包的智能电子装置,通过这个标志位唯一识别正在传输GOOSE报文的装置。

T(time-stamp):时间标志。提示与GOOSE报文有关的时间点表明用户数据最后的变换时间,当目标中的时间是缺省值时则表明该数据包不可用。

SeqNum:序列号。程序中每当发送一个数据包报文,这个序列号就加一且比特对偶状态不发生改变。如果发生改变,则该序列号复位为零,当计数到达最大时也复位为0。

3  基于A E S - R S A 的方法的I E C61850的通信方法

针对IEC 61850通信过程中安全性的不足,本文提出了一种基于AES和RSA的混合算法的IEC 61850的安全通信机制。地址解析协议(ARP)的最大问题在于IEC 61850客户端主机与服务器端主机之间交换MAC地址时没有身份验证,针对此问题本文所提的改进算法基于两种标准密码技术:AES(高级加密标准)和RSA。这两种技术相结合来提高数据的安全性。使用AES加密了IEC 61850报文,RSA加密了AES密钥。

3.1 Rivest-Shamir-Adleman(RSA)算法

RSA是一种非对称密钥密码技术,它分别使用不同的密钥进行加密和解密处理,一般是一对分别是公钥和私钥。两个大素数因子分解的实际困难定义了RSA算法的安全性。RSA的原理如下:

密钥生成:

(1)选择两个大的随机素数,p和q的大小不同,它们的乘积n=p*q是所需的位长;

(2)计算n=p*q和?(n)=(p-1)*(q-1);

(3)选择正整数e,使得1<e<?(n),使得GCD(e,?(n))= 1;

(4)计算数字d的值,1<d< .(n),使得e*d=1(mod .(n));

(5)得到公钥(e,n),私钥(d,n)。其中

d,p,q和.(n)的值应保密。加密:假设用户A想要向用户B发送消息“ m ”。

(1)获取用户B的公钥(e,n);

(2)将明文表示为正整数m;

(3)使用用户B的公钥计算密文c=me modn;

(4)发送密文c到用户B。

解密:

用户B将从密文中提取原始消息。

(1)使用私钥(d,n)计算m=cdmodn;

(2)从c中提取明文m。

3.2 高级加密方案( AES)

AES是一种对称加密标准,由NIST于2001年推出,最初命名为Rijndael算法。使用AES的主要优点是它提供了各种密钥长度用于数据加密,例如128、192和256位密钥,并且AES算法中涉及的轮次取决于各种密钥长度。即无论是分组长度还是密钥长度都是可变的。AES算法的处理单位是字节,128位的信息即16个字节的信息依次复制到4 *4矩阵作为状态(state)。AES中的各种变换都基于状态矩阵变换:

(1)字节代换:使用替代矩阵(S盒),应用非线性逐字节替换。

(2)行变换:它涉及简单的线性转换,以字节为单位根据行确定偏移量以循环方式完成循环右移。

(3)混合列:它涉及矩阵乘法。列中的每个字节都转换为新值,该值取决于同一列中其他四个字节的值。表达式为:s’(x)=a (x) s(x),其中,a(x)为固定多项式,s(x)为状态的列多项式。

(4)添加轮密钥:这是state和轮密钥之间的异或操作,轮密钥由密钥表中得到,其长度即数据块长度。

3.3 基于 AES和RSA的IEC 61850通信流程

针对此问题本文所提的改进算法的初始化工作流程为:IEC 61850客户端主机连接到服务器端主机时,首先生成自己的密钥对,然后交换公钥,然后IEC 61850客户端生成AES密钥,使用AES加密IEC 61850报文,并使用RSA公钥对AES密钥进行加密,用RSA私钥签名原文,并将AES密钥发送给IEC61850服务器端,在进行AES密钥以及数据交换之后,就可以安全地接收IEC61850通信数据。首先使用RSA私钥解密AES密钥,然后用AES密钥解密出明文数据,最后用RSA公钥验证签名。

以IEC61850客户端发送消息给IEC61850服务器端为例,其过程如图2所示。

60.jpg

图2 RSA+AES的IEC 61850单向通信加密流程

具体步骤如下:

(1)使用AES操作进行加密:首先使用带有密钥SK1的AES算法对IEC 61850报文m进行加密,生成密文C1;

(2)使用RSA加密:现在,使用RSA算法加密密钥SK1以生成加密文本SK1’;

(3)用RSA私钥签名密文C1得到C2;

(4)RSA和AES密文的发送:现在,对加密文本C2和SK1’发送到接收方B以进行解密过程;

(5)使用RSA方案及其私钥解密SK1’以获得结果SK1;

(6)用RSA公钥验证C2签名得到C1;

(7)在C1和SK1上应用AES算法生成明文m。

4 安全性测试分析

变电站作为微网系统的重要组成部分,基于IEC61850标准进行数据传输。IEC61850协议基于TCP/IP协议,数据通过以太网传输,因此对以太网的攻击包括:ARP攻击、VLAN中继协议攻击、私有VLAN攻击、身份盗用、MAC欺骗等攻击技术均可以用来对IEC 61850通信过程进行攻击,从而进一步对IEC61850正常通信造成影响。

4.1 实验环境

本文首先通过使用IEC 61850通信协议分析及仿真软件来验证IEC61850协议是否通过明文传输,该软件是专业的电力变电站通信测试工具,能够模拟服务器和客户端之间的通讯过程。经过配置IEC 61850客户端和服务器软件的参数,以端口映射的办法实现客户端和服务器之间的通讯。在IEC61850的客户端中可以采集到各个逻辑节点包含的电压、电流、整流器和逆变器状态等信息。实验采用的是北京德威特力通系统控制技术有限公司设计的IEC61850通信仿真平台。IEC 61850协议采用明文传输,通过配置IED模型,最终生成SCD文件,当客户端成功获取服务器端的各项模型配置信息后,通过端口映射的方式,实现客户端和服务器端之间的通信。在IEC61850客户端可以获取到IEC61850服务器端的各项运行指标如电压、电流等参数以及对服务器端进行调控以保证系统的正常运行。本次实验环境的拓扑图如图3所示。

61.jpg

图3 网络拓扑结构

IEC 61850客户端以及服务器端加载的ICD文件是从IED配置器获得的,然后ICD文件进一步经系统配置器生成系统配置描述(SCD)文件。IEC61850客户端可以访问真实的变电站设备,也可以访问仿真的IEC61850服务器端,但前提都是需加载相同的ICD文件。

4.2 仿真通讯

在客户机端输入服务器端的IP进行互联,并选择通信节点,如图4所示是在选择想要查询其属性的逻辑节点,及对应逻辑节点里的相应属性结构的参数值。

62.jpg

图4 逻辑节点的选择及其包含的参数值

如图5所示是服务器端显示的界面,其中的Send和Recieve表示连接成功,服务器响应客户端发出读写请求,并向客户端返回读写结果。

63.jpg

图5 服务器端连接成功

本实验决定使用Wireshark抓取IEC 61850的数据包。如图6所示抓取到的PRES数据包表示MMS协议,即成功抓取到IEC 61850的数据包,IEC 61850客户端和服务器之间成功实现通信。接下来可以进一步对抓取到的IEC61850数据包进行实验分析。

64.jpg

图6 成功实现截获 IEC 61850数据包

4.3 通信测试及安全性分析

由于IEC61850协议基于TCP/IP协议,数据通过以太网传输,因此多种对以太网的攻击均可以使用对IEC61850通信过程造成影响,例如ARP攻击,VLAN中继协议攻击,私有VLAN攻击,身份盗用,MAC欺骗等。通过本文提出的基于AES和RSA的混合算法的IEC61850的安全通信机制,可以有效地防范各种攻击诸如ARP攻击等。采用基于AES和RSA的混合算法前后IEC61850通信的安全性对比如表3所示。

表3 安全性对比

65.jpg

与仅使用RSA加密算法相比,本文采用的基于AES和RSA的混合算法不仅增强了数据传输的安全性,而且完成一次通信认证的速度更快。这是因为RSA仅能加密117个字符,使用RSA加密算法的原文数据还需考虑其数据类型是String还是Object,且RSA加密算法的解密时间远大于加密时间,解密时间经常是加密时间的几十倍。而本文采用的AES加密数据原文不用考虑其数据类型,其会统一转化为String型,且AES加密数据报文的长度没有限制,AES密钥是16位数字以及大写字母的组合,长度较短,不会超过RSA加密的允许长度,且其解密时间仅为加密时间的两倍。如图7所示为单使用RSA加密算法进行通信认证和采用基于AES和RSA的混合算法进行通信认证的时间比较。可以得到采用基于AES和RSA的混合算法的认证速度要优于单使用RSA加密算法的认证速度。验证了方法的有效性。

66.jpg

图7 通信双方完成一次身份认证所需时间比较

5 结论

本文对基于IEC 61850的智能变电站通信的安全性问题进行了分析。首先成功搭建了IEC61850实验环境并实现对客户端IED的电压电流等参数的采集。然后对IEC61850通信过程进行了安全性分析。为了增强IEC 61850通信过程的安全性,本文针对IEC 61850通信过程中可能面临的风险提出了基于AES-RSA算法的安全通信机制,并对此通信方法进行了测试分析。实验结果表明,基于AES-RSA混合算法的IEC 61850的通信方法跟仅使用RSA加密算法相比,不仅增强了数据传输的安全性,而且完成一次通信认证的速度更快,满足IEC61850通信对数据传输的实时性要求,验证了方法的有效性。

★基金项目:国家自然科学基金项目(61772327);奇安信大数据协同安全国家工程实验室开放课题(QAX-201803);浙江大学工业控制技术国家重点实验室开放式基金(ICT1800380);智能电网产学研开发中心项目(A-0009-17-002-05)。

作者简介

王明辉(1995-),男,山东济宁人,硕士,现就读于上海电力大学,主要研究方向为基于IEC61850的通信安全技术。

参考文献:

[1] 冯宜伟,杨丹丹,任方杰. 智能微网的国内外研究发展综述[J]. 智能电网(汉斯), 2019, 09( 02 ) : 70 - 87.

[2] Zhang X, Hu Y, Yang X, et al. F.rster resonance energy transfer (FRET)-based biosensors for biological applications[J]. Biosensors and Bioelectronics, 2019, 138.

[3] Abdulkarim A, Faruk N, Oloyede A O, et al. Reliability Study of Stand-alone Hybrid Renewable Energy Microgrids[J]. Iranian Journal of Science and Technology, Transactions of Electrical Engineering, 2019, 43( 1 ): 411 - 425.

[4] Sedaghati R, Shakarami M R. A novel control strategy and power management of hybrid PV/FC/SC/battery renewable power system-based grid-connected microgrid[J]. Sustainable Cities and Society, 2019, 44: 830 - 843.

[5] Fei G A O, Ren K, Jun C A O, et al. Primary and secondary control in DC microgrids: a review[J]. Journal of Modern Power Systems and Clean Energy, 2019, 7 ( 2 ): 227 - 242.

[6] Kunz G, Machado J, Perondi E, et al. A formal methodology for accomplishing IEC 61850 real-time communication requirements[J]. IEEE Transactions on Industrial Electronics, 2017, 64 ( 8 ) : 6582 - 6590.

[7]李双双. 基于IEC 61850的微电网监控系统设计[D]. 山东大学,2017.

[8]方子璐. 基于IEC 61850的数字化变电站通信系统性能研究[D]. 上海电力学院, 2018.

[9]魏力. IEC 61850协议下采样值传输规范的分析与比较[J]. 科技与企业, 2014, ( 02 ) : 100.

[10]赵阳. 基于IEC 61850的智能变电站开关柜IED的设计[D]. 西安工程大学, 2015.

摘自《工业控制系统信息安全专刊(第六辑)》

热点新闻

推荐产品

x
  • 在线反馈
1.我有以下需求:



2.详细的需求:
姓名:
单位:
电话:
邮件: