基于国密SM9 算法的电力物联网身份认证技术研究

廖会敏，俞 果，班国民，李长青，陈绍真

（1.国网电子商务有限公司，北京 100053；2.国家电网有限公司电力金融与电子商务实验室，北京 100053；3.国网山东省电力公司，山东 济南 250001）

0 引言

依托“大云物移智”等新技术的发展，电力行业逐步将能源流和信息流进行深度融合，实现电力系统各环节的互联互通，形成物物相通、人机智联的电力物联网［1-4］，为能源互联网的发展打造新的业务生态。伴随电力物联网建设的高速推进，在“发—输—变—配—用”等环节部署了大量具有状态感知、数据处理及控制管理等功能的终端，将时间、地点、人、物等元素连接在一起，实现信息的高效共享和快速交互。面对电力物联网中大量移动终端的接入，各类电力运营数据被采集分析，大量碎片化的数据通过不同的装置采集提供给数据中心进行管理［5］。随着电力系统间信息交互日益频繁，接入主体的安全性影响着数据及指令的可靠性，设备的身份认证技术也将在日益复杂的网络环境中发挥重要作用。考虑到传统基于公钥基础设施 （Public Key Infrastructure，PKI）的身份认证依赖于第三方认证机构（Certificate Authority，CA）［6-7］，且需要为每一台终端创建一个证书，海量终端身份认证过程存在大量的证书交换过程，管理体系十分复杂，不利于证书的管理和安全应用的部署，因此，轻量便捷化的身份认证机制成为重要的研究方向之一。

分析电力业务信息安全的现状，描述现有的身份认证架构存在的不足，结合实际的电力业务场景提出基于国密SM9 算法［8］的信息安全防护架构，降低电力物联网大规模终端安全接入管控的复杂性，提升各电力系统间信息交互的高效性和安全性。

1 电力物联网安全威胁

伴随移动应用和物联网技术的快速发展，在移动、泛在、混合、广域互联环境下，电力物联网中部署了传感装置、移动终端、视频监控、智能电表、充电桩、办公计算机等大量的内外网数据采集、控制及管理设备，网络界限的模糊使得安全威胁与风险超越了固有边界，业务端在可信操作、身份合法性等方面存在一定的安全风险。同时电力企业云的建设，使得电力系统面临数据规模大、业务类型多、信息交互复杂等问题，导致非法访问、数据泄露等风险急剧增加。面对云环境下海量终端安全接入的需求，将基于PKI 机制的身份认证机制与云计算相结合，利用云服务的便捷性和开放性形成以身份认证、统一用户管理及数字签名等应用为核心的安全体系，实现终端接入的合法性验证，解决云环境下终端身份认证、数据安全传输及访问控制管理面临的安全问题。PKI 机制综合使用了数字摘要技术、数字签名等多项密码技术以及一套完整的证书管理机制来提供安全服务。

随着国产密码算法的大力推广，为降低海量终端环境下身份认证的复杂性［9］，基于物理边界构筑安全基础设施、依靠网络位置建立安全信任的传统防御架构被彻底打破，基于身份的认证和授权成为新的安全防御机制。基于身份标识的密码技术不必申请和交换证书，可有效降低公钥系统中密钥管理和使用的复杂性，相较于传统PKI 具有灵活、易扩展、简洁的优点。

2 面向海量终端的国密SM9 应用研究

2.1 基于国密SM9 的身份认证

国密SM9 作为身份标识密码的一种，其公私钥由密钥生成中心（Key Generation Center，KGC）利用设备身份标识、主公钥、主私钥和公共算法参数计算得出。国密SM9 使用具有唯一性的各类标识作为公钥进行数据加密和身份认证，非常适合电子邮件保护、公文安全流转、多媒体融合安全通信、身份认证、物联网安全通信、云数据保护等应用。国密SM9 算法采用椭圆曲线上的双线性对作为基础数学工具，基于相关的计算复杂性假设构建安全性证明，极大提高我国信息安全的防护水平。这样的系统具有天然的密码委托功能，非常适合于有监管的应用环境，对海量互联设备的管控具有相当大的优势。基于标识的密码系统 （Identity Based Cryptography，IBC）［10］与PKI 的详细对比如表1 所示。

表1 IBC 与PKI 体系比较

目前电力部分业务数据的通信协议未应用安全认证技术，存在被第三方伪造或窃取协议数据包、篡改协议控制类数据等风险。同时，为构建面向大规模业务场景的统一密码服务，开展国密SM9 算法和云技术相融合的虚拟化应用研究，可提升安全认证的效率。

2.2 云环境下国密SM9 应用架构

随着电力物联网的大力推进，业务终端及应用系统急剧增加，在业务交互时鉴别设备终端身份、保护隐私信息、维护系统安全、数据精准保护等问题尤为重要，且由传统的小型业务系统逐渐向大型、海量、关键业务系统扩展。传统基于PKI 机制的安全认证面对复杂的证书交换场景，将产生巨大的管理开销和运维成本。

为提升海量终端安全认证的效率，提出基于国密SM9 算法的云安全接入方法，实现大规模终端安全接入、强身份认证、通道加密等功能，防止因系统漏洞、弱口令、数据中间劫持等造成应用系统冒名越权访问、数据篡改和数据泄露等安全风险，保障电力系统的安全稳定运行。同时，本方案可为业务交互提供安全接入和通道加密服务，形成访问过程的审计管理。通过融合云技术和国密SM9 算法，安全防护方案无须改变现有的网络结构，具有部署简单、使用成本低、密钥管理简便等特点，实际应用中，海量终端通过身份标识即可实现双向强身份认证，图1 为基于国密SM9 算法的海量电力终端云安全接入架构。

图1 基于国密SM9 的海量电力终端云安全接入架构

利用国密SM9 无数字证书的密钥管理优势，为用户终端、标识设备与解析服务节点之间的安全认证和通道加密提供服务，极大简化了密钥的管理，有效降低了网络资源的消耗。同时，大量的业务数据存储在云上，大量的终端接入对如何保障数据的安全提出了挑战。基于国密SM9 的身份认证机制可以有效解决数据访问权限的问题，可以根据身份标识分配不同数据的操作权限，实现基于身份标识的数据访问安全可控。

2.3 基于CHAP 机制的增强身份认证

由于传统基于用户名／口令的认证方式存在被窃听或拦截的风险，且极易受到木马、口令字典等攻击。为提升身份认证的安全性，基于国密SM9 的身份认证被广泛研究应用，可有效规避以上风险。与PKI 体系的身份认证机制一样，基于国密SM9 的身份认证仍然面临重放攻击的威胁。为提升身份认证的稳定性和安全性，提出了结合挑战握手认证协议（Challenge-Handshake Authentication Protocol，CHAP）机制防止重放攻击的影响，实现国密SM9 的增强身份认证，提升电力物联网环境下身份认证方式的安全性和稳定性。基于CHAP 机制的身份认证过程如图2 所示，通过3 次交互过程来校验对端的身份：1）当接入者需要向认证者表明身份时，认证者向接入者发送随机“挑战”消息；2）来访者收到挑战消息后，使用自己私钥的签名挑战值生成“响应”值；3）认证者根据响应值中接入者对挑战值的签名信息来验证接入者的身份，如果签名验证正确，身份得到确认。否则，来访请求应该被终止。

图2 基于CHAP 机制的增强身份认证

利用国密SM9 算法将传统基于PKI 数字证书的认证方式升级为基于身份标识的验证方式，基于CHAP 机制，电力物联网服务端通过修改可变的挑战值阻止第三方的重放攻击行为，能够安全验证电力终端或应用系统的身份标识，从而确认接入电力物联网“人机物”的身份真实性及合法性。

3 联合生物识别的国密SM9 密钥增强系统

在电力物联网背景下，国密SM9 算法能够非常简单地实现电力用户的身份认证。但是由于私钥在用户侧管理，存在较大的被窃取隐患，万一私钥泄露，将对电力设备的接入验证带来很大的威胁。为了防止密钥被窃取带来的危险终端接入，利用生物识别技术保障私钥存储安全的方案被提出，目的是实现用户“无口令”的强身份认证，在设备中通过生物特征识别即可完成认证实现用户登录，支持指纹、语音、瞳孔、人脸等生物特征识别方式。因此，利用生物识别技术提升身份认证私钥的安全性，实现对终端使用者严格管控，确保终端操作的合理合规。基于生物识别的安全性认证主要步骤为：

1）为了提升身份认证私钥的安全性，私钥的存储模块以硬件的形式嵌入电力终端；

2）在电力终端上采集合法操作人员的生物信息，如指纹、人脸、声纹等；

3）操作人员进行操作时首先进行生物识别，如识别通过则获取私钥的使用权限，若不通过，则拒绝。

图3 展示了联合生物识别技术和国密SM9 的强身份认证技术，本方案对终端和操作人员都进行了有效的监管，对日益复杂的网络环境具有更好的适应性，其主要流程为：

1）利用电力终端的身份标识信息向KGC 申请注册；

2）KGC 生成终端对应的公私钥，并将私钥存储在电力终端的私钥存储模块中，同时，明确各终端的操作人员范围，并录入相关的生物信息；

3）当操作人员访问应用服务器资源时，利用电力终端向资源服务器发送访问请求；

4）资源服务器收到请求后，向电力终端发送身份认证请求和随机挑战值；

5）电力终端识别操作人员的生物信息，如果识别通过则用私钥对挑战值签名发送给安全认证中心；

6）安全认证中心接收到签名信息，对报文进行解析，并比对随机挑战值是否一致；

7）若随机挑战值一致，则身份认证通过；若不一致，则返回错误信息。

图3 联合生物识别与国密SM9 的电力终端强身份认证技术

利用生物识别技术实现基于国密SM9 “无口令”的身份认证，与电力业务上云有很好的契合性，有效解决了传统身份认证机制面临的证书管理低效的问题，提升电力物联网环境下身份认证的安全和效率。

4 结语

分析电力物联网中存在的信息安全风险，重点分析了系统安全防护和数据安全管理的应用。针对大规模接入点存在的安全问题，提出利用国密SM9强化对终端身份认证的支撑能力，融合国密SM9 算法、CHAP 协议、生物识别等技术，构建了面向海量终端的身份认证架构，保障了业务终端到云服务端的接入认证、业务全链条数据传输和信任的安全性，提升电力物联网身份认证的效率。