基于电力物联管理平台的安全接入服务实现系统及方法与流程

本发明涉及一种基于电力物联管理平台的安全接入服务实现系统及方法，属于泛在电力物联网技术领域。

背景技术：

感知层数据通信传输是泛在电力物联网体系里十分重要的一环，物联网数据传输所使用的网络包含无线网络、3g、4g、lte、电力载波等多种异构网络，其所面临的安全问题也很复杂，算法破解、协议破解、中间人攻击等诸多攻击方式正在逐渐侵蚀物联网体系；现在越来越多的黑客开始瞄准通信传输协议下手进行破解攻击，加强数据通信传输管道的安全性已经迫在眉睫。配电物联网终端在与电力物联管理平台进行信息通信互动传输过程中，容易遭受流量分析、窃取、嗅探等网络攻击，进而导致传输信息数据遭遇泄露、劫持、被篡改(干扰)、屏蔽等威胁，影响电力系统对用户的安全可靠供电。本发明旨在防止攻击者通过无线网络窃取电力业务数据或对配电物联网终端进行非法操作，导致用户供电中断；同时防止攻击者通过无线网络和配电物联网终端入侵电力物联管理平台，引起更大范围的安全风险。

技术实现要素：

本发明的目的在于，克服现有技术存在的技术缺陷，提出基于电力物联管理平台的安全接入服务实现系统及方法，防止电力物联网在数据采集过程中遭遇电力业务数据泄露和网络攻击的风险，在电力物联管理平台前端部署安全接入服务。因此，安全接入服务如何保证电力物联网数据的保密性、完整性、不可篡改性是本发明要解决的技术问题。

本发明具体采用如下技术方案：基于电力物联管理平台的安全接入服务实现系统，包括：配电物联网终端、配电云主站；所述配电云主站包括电力物联管理平台、安全接入服务、配电加密认证装置，所述电力物联管理平台与所述安全接入服务通信连接，所述安全接入服务与所述配电加密认证装置通信连接，所述配电物联网终端与所述安全接入服务通信连接；所述配电物联网终端用于生成随机数，并对随机数进行数字签名，封装成安全报文后，通过tcp通信链接发送给安全接入服务；接收安全接入服务反馈的随机数和签名进行验签，若验签通过，双向认证过程结束；发送mqtt密文给安全接入服务，接收安全接入服务反馈的mqtt密文，接收安全接入服务发送的先签名后加密成的mqtt密文。

作为一种较佳的实施例，所述电力物联管理平台用于：接收安全接入服务发送的标准mqtt协议报文，生成mqtt连接确认报文反馈给安全接入服务；接收安全接入服务处理上行报文并解密之后转化成明文的mqtt报文。

作为一种较佳的实施例，所述配电加密认证装置用于：

接收安全接入服务发送的签名报文，对所述签名报文进行验签，将验签结果反馈给安全接入服务；接收安全接入服务发送的待签名数据，生成签名信息后反馈给安全接入服务；接收安全接入服务发送的明文，转换成密文后反馈给安全接入服务；接收安全接入服务发送密文，转换成明文后反馈给安全接入服务。

作为一种较佳的实施例，所述安全接入服务用于：响应于配电物联网终端发送的双向身份认证请求，验证配电物联网终端身份是否合法，若验证合法，则开通电力物联管理平台与配电物联网终端之间的tcp通信链接，否则拒绝配电物联网终端与电力物联管理平台之间的通信链接，并反馈验证结果给配电物联网终端；

向电力物联管理平台发送原始mqtt明文，接收电力物联管理平台的原始mqtt明文或者包含业务指令的mqtt明文，根据mqtt报文类型及报文中的topic的不同，直接生成mqtt密文或者先进行数字签名再加密生成mqtt密文，将所述mqtt密文发送给配电物联网终端。

本发明还提出基于电力物联管理平台的安全接入服务实现方法，由电力物联管理平台执行，其特征在于，所述方法包括：接收安全接入服务发送的标准mqtt协议报文，生成mqtt连接确认报文反馈给安全接入服务；接收安全接入服务处理上行报文并解密之后转化成明文的mqtt报文。

本发明还提出基于电力物联管理平台的安全接入服务实现方法，由安全接入服务执行，其特征在于，所述方法包括：

响应于配电物联网终端发送的双向身份认证请求，验证配电物联网终端身份是否合法，若验证合法，则开通电力物联管理平台与配电物联网终端之间的tcp通信链接，否则拒绝配电物联网终端与电力物联管理平台之间的通信链接，并反馈验证结果给配电物联网终端；

向电力物联管理平台发送原始mqtt明文，接收电力物联管理平台的原始mqtt明文或者包含业务指令的mqtt明文，根据mqtt报文类型及报文中的topic的不同，直接生成mqtt密文或者先进行数字签名再加密生成mqtt密文，将所述mqtt密文发送给配电物联网终端。

本发明还提出根据权利要求5所述的基于电力物联管理平台的安全接入服务实现方法，其特征在于，所述方法还包括：接收配电物联网终端发送的随机数及签名报文，并将所述随机数及签名报文发送给配电加密认证装置进行验签，并接收配电加密认证装置反馈的“验签成功，返回随机数及签名”或者“验签失败返回失败”的结果，对应验签成功，通过tcp通信链接发送返回的随机数和签名报文发送给配电物联网终端，对应验签失败，断开与配电物联网终端的tcp通信链接。

本发明还提出基于电力物联管理平台的安全接入服务实现方法，由配电加密认证装置执行，其特征在于，所述方法包括：接收安全接入服务发送的签名报文，对所述签名报文进行验签，将验签结果反馈给安全接入服务；接收安全接入服务发送的待签名数据，生成签名信息后反馈给安全接入服务；接收安全接入服务发送的明文，转换成密文后反馈给安全接入服务；接收安全接入服务发送密文，转换成明文后反馈给安全接入服务。

本发明还提出基于电力物联管理平台的安全接入服务实现方法，由配电物联网终端执行，其特征在于，所述方法包括：生成随机数，并对随机数进行数字签名，封装成安全报文后，通过tcp通信链接发送给安全接入服务；接收安全接入服务反馈的随机数和签名进行验签，若验签通过，双向认证过程结束；

发送mqtt密文给安全接入服务，接收安全接入服务反馈的mqtt密文，接收安全接入服务发送的先签名后加密成的mqtt密文。

本发明还提出基于电力物联管理平台的安全接入服务实现方法，其特征在于，包括如下步骤：

步骤ss1：安全接入服务与配电物联网终端之间进行双向身份认证，若安全接入服务验证配电物联网终端身份合法，开通电力物联管理平台与配电物联网终端之间的通信链接，否则拒绝配电物联网终端的通信链接；

步骤ss2：安全接入服务验证配电物联网终端的身份合法后，创建一条到电力物联管理平台的tcp通信链路，该tcp通信链路与接收到的配电物联网终端的tcp通信链路之间保持同步，同时通断；

步骤ss3：安全接入服务接收配电物联网终端的mqtt连接请求报文，解密之后转换成标准mqtt协议报文转发给电力物联管理平台；

步骤ss4：安全接入服务接收电力物联管理平台的mqtt连接确认报文，加密之后转发给配电物联网终端，电力物联管理平台与配电物联网终端的mqtt链路建立完成；

步骤ss5：安全接入服务处理下行报文，根据mqtt报文的不同类型及报文中topic的不同，采取不同的安全防护措施，以密文的形式转发给配电物联网终端；安全接入服务处理上行报文，解密之后转化成明文的mqtt报文发送给电力物联管理平台。

作为一种较佳的实施例，所述步骤ss1具体包括：

步骤ss11：配电物联网终端生成随机数，并对随机数进行数字签名，封装成安全报文后，通过tcp通信链路发送给安全接入服务。

步骤ss12：安全接入服务收到安全报文后，转发报文给配电加密认证装置，配电加密认证装置对随机数的数字签名进行验签。；

步骤ss13：若验签通过，配电加密认证装置通过安全接入服务获取报文中的随机数，对随机数进行签名，反馈给安全接入服务；若验签未通过，配电物联网终端主动断开与安全接入服务的tcp通信链接。

步骤ss14：安全接入服务接收到配电加密认证装置的安全报文，通过tcp通信链路发送给配电物联网终端；若收到的结果是验签失败，则断开对应的tcp通信链接。

步骤ss15：配电物联网终端对收到的随机数和签名进行验签，若验签通过，双向认证过程结束。

本发明所达到的有益效果：第一，本发明提供的一种基于物联管理平台的安全接入服务实现方法及系统，可以防御第三方通过无线网络窃取电力业务数据或对配电物联网终端进行非法操作导致的用户供电中断；同时防御攻击者通过无线网络和配电物联网终端入侵电力物联管理平台引起的更大范围的安全风险；第二，本发明的电力物联管理平台与配电物联网终端之间报文交互采用mqtt(messagequeuingtelemetrytransport，消息队列遥测传输协议)协议，mqtt协议基于发布/订阅消息模式，提供一对多的消息发布，主要承载设备管理、实时数据交互、应用管理等功能；第三，本发明的安全接入服务与配电物联终端之间进行双向身份认证时采用sm2国密算法，每个配电物联终端拥有自己独立的数字证书；数字证书与配电物联网终端的设备id绑定，由统一的ca中心签发；数字证书由使用时间限制，过期将无法用于验签；第四，本发明的mqtt协议报文类型中的客户端请求连接报文、连接确认报文、客户端订阅请求报文、订阅请求确认报文、客户端取消订阅请求报文、取消订阅确认报文、心跳请求报文、心跳相应报文仅做加密处理；发布消息报文首先进行数字签名，然后对整个报文进行加密；第五，本发明的安全接入服务与电力物联物联管理平台之间的报文交互为标准的明文mqtt报文；安全接入服务与配电物联网终端之间的报文为加密过的mqtt的报文；第六，本发明的安全接入服务对电力物联管理平台透明，配电物联网终端发起tcp通信链接请求时，安全接入服务同时与电力物联管理平台创建一条新的tcp通信链路；当配电物联网终端释放tcp通信链接时，安全接入服务主动断开与电力物联管理平台的tcp通信链路。

附图说明

图1是本发明的基于电力物联管理平台的安全接入服务实现系统的拓扑示意图。

图2是本发明的基于电力物联管理平台的安全接入服务实现方法的双向认证拓扑示意图。

图3是本发明的基于电力物联管理平台的安全接入服务实现方法的报文处理拓扑示意图。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

实施例1：如图1所示，基于电力物联管理平台的安全接入服务实现系统，包括：配电物联网终端、配电云主站；所述配电云主站包括电力物联管理平台、安全接入服务、配电加密认证装置，所述电力物联管理平台与所述安全接入服务通信连接，所述安全接入服务与所述配电加密认证装置通信连接，所述配电物联网终端与所述安全接入服务通信连接；所述配电物联网终端用于生成随机数，并对随机数进行数字签名，封装成安全报文后，通过tcp通信链接发送给安全接入服务；接收安全接入服务反馈的随机数和签名进行验签，若验签通过，双向认证过程结束；发送mqtt密文给安全接入服务，接收安全接入服务反馈的mqtt密文，接收安全接入服务发送的先签名后加密成的mqtt密文。

可选的，所述电力物联管理平台用于：接收安全接入服务发送的标准mqtt协议报文，生成mqtt连接确认报文反馈给安全接入服务；接收安全接入服务处理上行报文并解密之后转化成明文的mqtt报文。

可选的，所述配电加密认证装置用于：

接收安全接入服务发送的签名报文，对所述签名报文进行验签，将验签结果反馈给安全接入服务；接收安全接入服务发送的待签名数据，生成签名信息后反馈给安全接入服务；接收安全接入服务发送的明文，转换成密文后反馈给安全接入服务；接收安全接入服务发送密文，转换成明文后反馈给安全接入服务。

可选的，所述安全接入服务用于：响应于配电物联网终端发送的双向身份认证请求，验证配电物联网终端身份是否合法，若验证合法，则开通电力物联管理平台与配电物联网终端之间的tcp通信链接，否则拒绝配电物联网终端与电力物联管理平台之间的通信链接，并反馈验证结果给配电物联网终端；

向电力物联管理平台发送原始mqtt明文，接收电力物联管理平台的原始mqtt明文或者包含业务指令的mqtt明文，根据mqtt报文类型及报文中的topic的不同，直接生成mqtt密文或者先进行数字签名再加密生成mqtt密文，将所述mqtt密文发送给配电物联网终端。

实施例2：本发明还提出基于电力物联管理平台的安全接入服务实现方法，由电力物联管理平台执行，其特征在于，所述方法包括：接收安全接入服务发送的标准mqtt协议报文，生成mqtt连接确认报文反馈给安全接入服务；接收安全接入服务处理上行报文并解密之后转化成明文的mqtt报文。

实施例3：如图3所示，本发明还提出基于电力物联管理平台的安全接入服务实现方法，由安全接入服务执行，其特征在于，所述方法包括：

响应于配电物联网终端发送的双向身份认证请求，验证配电物联网终端身份是否合法，若验证合法，则开通电力物联管理平台与配电物联网终端之间的tcp通信链接，否则拒绝配电物联网终端与电力物联管理平台之间的通信链接，并反馈验证结果给配电物联网终端；

向电力物联管理平台发送原始mqtt明文，接收电力物联管理平台的原始mqtt明文或者包含业务指令的mqtt明文，根据mqtt报文类型及报文中的topic的不同，直接生成mqtt密文或者先进行数字签名再加密生成mqtt密文，将所述mqtt密文发送给配电物联网终端。

可选的，如图2所示，所述方法还包括：接收配电物联网终端发送的随机数及签名报文，并将所述随机数及签名报文发送给配电加密认证装置进行验签，并接收配电加密认证装置反馈的“验签成功，返回随机数及签名”或者“验签失败返回失败”的结果，对应验签成功，通过tcp通信链接发送返回的随机数和签名报文发送给配电物联网终端，对应验签失败，断开与配电物联网终端的tcp通信链接。

实施例4：本发明还提出基于电力物联管理平台的安全接入服务实现方法，由配电加密认证装置执行，其特征在于，所述方法包括：

接收安全接入服务发送的签名报文，对所述签名报文进行验签，将验签结果反馈给安全接入服务；接收安全接入服务发送的待签名数据，生成签名信息后反馈给安全接入服务；接收安全接入服务发送的明文，转换成密文后反馈给安全接入服务；接收安全接入服务发送密文，转换成明文后反馈给安全接入服务。

实施例5：本发明还提出基于电力物联管理平台的安全接入服务实现方法，由配电物联网终端执行，其特征在于，所述方法包括：生成随机数，并对随机数进行数字签名，封装成安全报文后，通过tcp通信链接发送给安全接入服务；接收安全接入服务反馈的随机数和签名进行验签，若验签通过，双向认证过程结束；

发送mqtt密文给安全接入服务，接收安全接入服务反馈的mqtt密文，接收安全接入服务发送的先签名后加密成的mqtt密文。

实施例6：本发明还提出基于电力物联管理平台的安全接入服务实现方法，其特征在于，包括如下步骤：

步骤ss1：安全接入服务与配电物联网终端之间进行双向身份认证，若安全接入服务验证配电物联网终端身份合法，开通电力物联管理平台与配电物联网终端之间的通信链接，否则拒绝配电物联网终端的通信链接；

步骤ss2：安全接入服务验证配电物联网终端的身份合法后，创建一条到电力物联管理平台的tcp通信链路，该tcp通信链路与接收到的配电物联网终端的tcp通信链路之间保持同步，同时通断；

步骤ss3：安全接入服务接收配电物联网终端的mqtt连接请求报文，解密之后转换成标准mqtt协议报文转发给电力物联管理平台；

步骤ss4：安全接入服务接收电力物联管理平台的mqtt连接确认报文，加密之后转发给配电物联网终端，电力物联管理平台与配电物联网终端的mqtt链路建立完成；

步骤ss5：安全接入服务处理下行报文，根据mqtt报文的不同类型及报文中topic的不同，采取不同的安全防护措施，以密文的形式转发给配电物联网终端；安全接入服务处理上行报文，解密之后转化成明文的mqtt报文发送给电力物联管理平台。

可选的，如图2所示，所述步骤ss1具体包括：

步骤ss11：配电物联网终端生成随机数，并对随机数进行数字签名，封装成安全报文后，通过tcp通信链路发送给安全接入服务。

步骤ss12：安全接入服务收到安全报文后，转发报文给配电加密认证装置，配电加密认证装置对随机数的数字签名进行验签。；

步骤ss13：若验签通过，配电加密认证装置通过安全接入服务获取报文中的随机数，对随机数进行签名，反馈给安全接入服务；若验签未通过，配电物联网终端主动断开与安全接入服务的tcp通信链接。

步骤ss14：安全接入服务接收到配电加密认证装置的安全报文，通过tcp通信链路发送给配电物联网终端；若收到的结果是验签失败，则断开对应的tcp通信链接。

步骤ss15：配电物联网终端对收到的随机数和签名进行验签，若验签通过，双向认证过程结束。

可选的，如图3所示，1)安全接入服务接收到配电物联网终端的密文后，通过调用配电加密认证装置的解密函数，转成明文后分两种情况处理；其一若明文中不包含签名信息，直接取出原始的mqtt报文发送给电力物联管理平台；其二若明文中有签名，首先调用配电加密认证装置的验签函数，验签通过后转给电力物联管理平台，若验签失败，直接丢弃；2)安全接入服务接收到电力物联管理平台的mqtt报文后，若报文类型是客户端请求连接报文、连接确认报文、客户端订阅请求报文、订阅请求确认报文、客户端取消订阅请求报文、取消订阅确认报文、心跳请求报文、心跳响应报文中的一种，直接调用配电加密认证装置的加密函数，转成密文的安全报文发送给配电物联网终端；3)安全接入服务接收到电力物联管理平台的mqtt报文后，若报文类型是发布消息且topic中包含“operate”字段，首先应用md5算法计算出整个mqtt消息的信息摘要，然后对摘要信息进行签名，最后将签名信息和原始的mqtt报文一起加密转换成安全报文发送给配电物联网终端。

需要说明的是：电力物联管理平台与配电物联网终端之间报文交互采用mqtt(messagequeuingtelemetrytransport，消息队列遥测传输协议)协议，mqtt协议基于发布/订阅消息模式，提供一对多的消息发布，主要承载设备管理、实时数据交互、应用管理等功能。mqtt协议在网络中定义了两种实体类型：一个消息代理和一些客户端。代理是一个服务器，它从客户端接收所有消息，然后将这些消息路由到相关的目标客户端。mqtt消息代理部署在电力物联管理平台。

安全接入服务与配电物联终端之间进行双向身份认证时采用sm2国密算法，每个配电物联终端拥有自己独立的数字证书；数字证书与配电物联网终端的设备id绑定，由统一的ca中心签发；数字证书由使用时间限制，过期将无法用于验签。

mqtt协议报文类型中的客户端请求连接报文、连接确认报文、客户端订阅请求报文、订阅请求确认报文、客户端取消订阅请求报文、取消订阅确认报文、心跳请求报文、心跳相应报文仅做加密处理；发布消息报文首先进行数字签名，然后对整个报文进行加密。

安全接入服务与电力物联物联管理平台之间的报文交互为标准的明文mqtt报文；安全接入服务与配电物联网终端之间的报文为加密过的mqtt的报文。

安全接入服务对电力物联管理平台透明，配电物联网终端发起tcp通信链接请求时，安全接入服务同时与电力物联管理平台创建一条新的tcp通信链路；当配电物联网终端释放tcp通信链接时，安全接入服务主动断开与电力物联管理平台的tcp通信链路。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。