電力調(diào)度數(shù)據(jù)網(wǎng)與縱向加密認(rèn)證裝置

全國(guó)電力二次系統(tǒng)平安防護(hù)電力調(diào)度數(shù)據(jù)網(wǎng)與縱向加密認(rèn)證網(wǎng)關(guān)內(nèi)部資料注意保密中國(guó)電力科學(xué)研究院劉剛1/29/20251北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/20252北京科東電力控制系統(tǒng)有限責(zé)任公司近年世界上大停電事故反映出電力二次系統(tǒng)的脆弱性和重要性。電力二次系統(tǒng)平安事件

1/29/20253北京科東電力控制系統(tǒng)有限責(zé)任公司二次系統(tǒng)平安防護(hù)的由來(lái)1/29/20254北京科東電力控制系統(tǒng)有限責(zé)任公司二次系統(tǒng)平安防護(hù)的由來(lái)2003年8月14日美國(guó)加拿大的停電事故震驚世界，事故擴(kuò)大的直接原因是兩個(gè)控制中心的自動(dòng)化系統(tǒng)故障。假設(shè)黑客攻擊將會(huì)引起同樣的災(zāi)難性后果。這次“814〞美國(guó)、加拿大大停電造成300億美圓的損失及社會(huì)的不安定。由此可說明電力系統(tǒng)的重要性。2003年12月龍泉、政平、鵝城、荊州等換流站受到計(jì)算機(jī)病毒的攻擊。幾年來(lái)我國(guó)不少基于WINDOWS-NT的電力二次系統(tǒng)的計(jì)算機(jī)系統(tǒng),程度不同的受到計(jì)算機(jī)病毒的攻擊。造成了業(yè)務(wù)損失和經(jīng)濟(jì)損失。值得我們嚴(yán)重的關(guān)注。有攻擊就必須有防護(hù)1/29/20255北京科東電力控制系統(tǒng)有限責(zé)任公司主要風(fēng)險(xiǎn)調(diào)度數(shù)據(jù)網(wǎng)上：明文數(shù)據(jù)；104規(guī)約等的識(shí)別，著重保護(hù)“控制報(bào)文〞；物理等原因造成的數(shù)據(jù)中斷不是最危險(xiǎn)的；最危險(xiǎn)的是旁路控制。竊聽篡改偽造1/29/20256北京科東電力控制系統(tǒng)有限責(zé)任公司優(yōu)先級(jí)風(fēng)險(xiǎn)說明/舉例0旁路控制（BypassingControls）入侵者對(duì)發(fā)電廠、變電站發(fā)送非法控制命令，導(dǎo)致電力系統(tǒng)事故，甚至系統(tǒng)瓦解。1完整性破壞（IntegrityViolation）非授權(quán)修改電力控制系統(tǒng)配置或程序；非授權(quán)修改電力交易中的敏感數(shù)據(jù)。2違反授權(quán)（AuthorizationViolation）電力控制系統(tǒng)工作人員利用授權(quán)身份或設(shè)備，執(zhí)行非授權(quán)的操作。3工作人員的隨意行為（Indiscretion）電力控制系統(tǒng)工作人員無(wú)意識(shí)地泄漏口令等敏感信息，或不謹(jǐn)慎地配置訪問控制規(guī)則等。4攔截/篡改（Intercept/Alter）攔截或篡改調(diào)度數(shù)據(jù)廣域網(wǎng)傳輸中的控制命令、參數(shù)設(shè)置、交易報(bào)價(jià)等敏感數(shù)據(jù)。5非法使用（IllegitimateUse）非授權(quán)使用計(jì)算機(jī)或網(wǎng)絡(luò)資源。6信息泄漏（InformationLeakage）口令、證書等敏感信息泄密。7欺騙（Spoof）Web服務(wù)欺騙攻擊；IP欺騙攻擊。8偽裝(Masquerade)入侵者偽裝合法身份，進(jìn)入電力監(jiān)控系統(tǒng)。9拒絕服務(wù)（Availability,e.g.DoS）向電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或通信網(wǎng)關(guān)發(fā)送大量雪崩數(shù)據(jù)，造成拒絕服務(wù)。10竊聽（Eavesdropping,e.g.DataConfidentiality）黑客在調(diào)度數(shù)據(jù)網(wǎng)或?qū)＞€通道上搭線竊聽明文傳輸?shù)拿舾行畔?，為后續(xù)攻擊準(zhǔn)備數(shù)據(jù)。電力二次系統(tǒng)主要平安風(fēng)險(xiǎn)1/29/20257北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/20258北京科東電力控制系統(tǒng)有限責(zé)任公司系列文件?電力二次系統(tǒng)平安防護(hù)規(guī)定?配套文件：?電力二次系統(tǒng)平安防護(hù)總體方案??省級(jí)及以上調(diào)度中心二次系統(tǒng)平安防護(hù)方案??地、縣級(jí)調(diào)度中心二次系統(tǒng)平安防護(hù)方案??變電站二次系統(tǒng)平安防護(hù)方案??發(fā)電廠二次系統(tǒng)平安防護(hù)方案??配電二次系統(tǒng)平安防護(hù)方案?1/29/20259北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/202510北京科東電力控制系統(tǒng)有限責(zé)任公司總體平安防護(hù)策略在對(duì)電力二次系統(tǒng)進(jìn)行了全面系統(tǒng)的平安分析根底上，提出了十六字總體平安防護(hù)策略。平安分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證1/29/202511北京科東電力控制系統(tǒng)有限責(zé)任公司平安分區(qū)1/29/202512北京科東電力控制系統(tǒng)有限責(zé)任公司網(wǎng)絡(luò)專用1/29/202513北京科東電力控制系統(tǒng)有限責(zé)任公司網(wǎng)絡(luò)專用

SDH（N×2M）SDH（155M）SPDnetSPTnet實(shí)時(shí)控制在線生產(chǎn)調(diào)度生產(chǎn)管理電力綜合信息實(shí)時(shí)VPN非實(shí)時(shí)VPN調(diào)度VPN信息VPN語(yǔ)音視頻VPNIP語(yǔ)音視頻SDH/PDH傳輸網(wǎng)電力調(diào)度數(shù)據(jù)網(wǎng)電力企業(yè)數(shù)據(jù)網(wǎng)1/29/202514北京科東電力控制系統(tǒng)有限責(zé)任公司橫向隔離物理隔離裝置〔正向型/反向型〕1/29/202515北京科東電力控制系統(tǒng)有限責(zé)任公司縱向認(rèn)證1/29/202516北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/202517北京科東電力控制系統(tǒng)有限責(zé)任公司平安區(qū)與遠(yuǎn)方通信的平安防護(hù)要求(一)1/29/202518北京科東電力控制系統(tǒng)有限責(zé)任公司平安區(qū)與遠(yuǎn)方通信的平安防護(hù)要求(二)處于外部網(wǎng)絡(luò)邊界的通信網(wǎng)關(guān)〔如通信效勞器等〕操作系統(tǒng)應(yīng)進(jìn)行平安加固，并配置數(shù)字證書。傳統(tǒng)的遠(yuǎn)動(dòng)通道的通信目前暫不考慮網(wǎng)絡(luò)平安問題。個(gè)別關(guān)鍵廠站的遠(yuǎn)動(dòng)通道的通信可采用線路加密器，但需由上級(jí)部門認(rèn)可。經(jīng)SPDnet的RTU網(wǎng)絡(luò)通道原那么上不考慮傳輸中的認(rèn)證加密。個(gè)別關(guān)鍵廠站的RTU網(wǎng)絡(luò)通信可采用認(rèn)證加密，但需由上級(jí)部門認(rèn)可。禁止平安區(qū)Ⅰ的縱向WEB，允許平安區(qū)II的縱向WEB效勞。平安區(qū)I和平安區(qū)II的撥號(hào)訪問效勞原那么上需要認(rèn)證、加密和訪問控制。1/29/202519北京科東電力控制系統(tǒng)有限責(zé)任公司縱向加密認(rèn)證裝置/網(wǎng)關(guān)1/29/202520北京科東電力控制系統(tǒng)有限責(zé)任公司縱向加密認(rèn)證網(wǎng)關(guān)部署位置1/29/202521北京科東電力控制系統(tǒng)有限責(zé)任公司縱向加密認(rèn)證網(wǎng)關(guān)和管理中心的部署路由器國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)I/III/II級(jí)級(jí)調(diào)度中心調(diào)度中心管理終端縱向加密認(rèn)證裝置國(guó)家電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)調(diào)度中心調(diào)度中心管理中心1/29/202522北京科東電力控制系統(tǒng)有限責(zé)任公司與傳統(tǒng)IPsecVPN區(qū)別1/29/202523北京科東電力控制系統(tǒng)有限責(zé)任公司與傳統(tǒng)IPsecVPN區(qū)別1/29/202524北京科東電力控制系統(tǒng)有限責(zé)任公司密鑰協(xié)商簡(jiǎn)化的依據(jù)電力專用加密網(wǎng)關(guān)之間平安通信所采用的加密算法、工作方式和通信協(xié)議等已經(jīng)確定，無(wú)須協(xié)商。全網(wǎng)加密網(wǎng)關(guān)使用的數(shù)字證書由調(diào)度證書效勞系統(tǒng)統(tǒng)一簽發(fā)，不考慮交叉認(rèn)證。加密網(wǎng)關(guān)是部署在調(diào)度系統(tǒng)機(jī)房?jī)?nèi)的固定設(shè)備，不需要考慮在線的身份驗(yàn)證問題。---相對(duì)于傳統(tǒng)的通用的VPN1/29/202525北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/202526北京科東電力控制系統(tǒng)有限責(zé)任公司在密碼學(xué)中，有一個(gè)五元組：{明文、密文、密鑰、加密算法、解密算法}，對(duì)應(yīng)的加密方案稱為密碼體制〔或密碼〕。明文：是作為加密輸入的原始信息，即消息的原始形式。密文：是明文經(jīng)加密變換后的結(jié)果，即消息被加密處理后的形式。密鑰：是參與密碼變換的參數(shù)，。加密算法：是將明文變換為密文的變換函數(shù)。解密算法：是將密文恢復(fù)為明文的變換函數(shù)，相應(yīng)的變換過程稱為解密，即譯碼的過程。1/29/202527北京科東電力控制系統(tǒng)有限責(zé)任公司對(duì)稱密鑰體制：是指加密密鑰和解密密鑰為同一密鑰的密碼體制。因此，信息發(fā)送者和信息接收者在進(jìn)行信息的傳輸與處理時(shí)，必須共同持有該密碼〔稱為對(duì)稱密碼〕。通常,密鑰簡(jiǎn)短，使用的加密算法比較簡(jiǎn)便高效。對(duì)稱密碼體制也稱為秘密密鑰密碼體制、單密鑰密碼體制或常規(guī)密碼體制。主要用于大量通信數(shù)據(jù)加密解密。1/29/202528北京科東電力控制系統(tǒng)有限責(zé)任公司非對(duì)稱密碼體制不對(duì)稱密鑰體制〔公鑰體制〕：用戶產(chǎn)生一對(duì)公/私密鑰，向外界公開的密鑰為公鑰；自己保存的密鑰為私鑰。經(jīng)公鑰加密的數(shù)據(jù)，只有通過私鑰才能解密，經(jīng)私鑰加密的數(shù)據(jù)，只有通過公鑰才能解密。利用這個(gè)特點(diǎn)，用戶間可以進(jìn)行平安的數(shù)據(jù)交換。比較費(fèi)時(shí)，效率不高。主要用于身份認(rèn)證。1/29/202529北京科東電力控制系統(tǒng)有限責(zé)任公司PKI--公鑰根底設(shè)施1/29/202530北京科東電力控制系統(tǒng)有限責(zé)任公司1/29/202531北京科東電力控制系統(tǒng)有限責(zé)任公司1/29/202532北京科東電力控制系統(tǒng)有限責(zé)任公司電力專用密碼算法與芯片國(guó)家密碼局批復(fù)電力系統(tǒng)專用的SSX06密碼算法芯片:可以用于PCI加密卡或者單板機(jī).其中提供的對(duì)稱算法是電力系統(tǒng)專用對(duì)稱算法.非對(duì)稱算法是國(guó)際標(biāo)準(zhǔn)的通用RSA算法.1/29/202533北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/202534北京科東電力控制系統(tǒng)有限責(zé)任公司硬件架構(gòu)〔1〕采用非Intel指令集的處理器，保證了硬件平臺(tái)的高速穩(wěn)定運(yùn)轉(zhuǎn)；接口10/100M自適應(yīng)網(wǎng)口的網(wǎng)卡；采用代碼可控的平安操作系統(tǒng)；串口作為系統(tǒng)信息的輸出口；內(nèi)置智能卡讀卡器的接口；采用國(guó)家電力調(diào)度通信中心指定的智能卡生產(chǎn)廠家的智能卡，作為該裝置的管理人員的“人機(jī)卡三方認(rèn)證〞的登陸平安介質(zhì)；1/29/202535北京科東電力控制系統(tǒng)有限責(zé)任公司硬件架構(gòu)(2)采用雙電源220V/50HZ供電，保證系統(tǒng)供電模塊的可靠性；采用蜂鳴器裝置作為聲音報(bào)警裝置；裝置外部提供硬件旁路接口，通過該旁路接口可以在設(shè)備故障情況下，短接網(wǎng)絡(luò)，使網(wǎng)絡(luò)旁路運(yùn)行。內(nèi)置硬件Watchdog，用以監(jiān)視系統(tǒng)的運(yùn)行狀態(tài)，保證整個(gè)硬件電路的平安穩(wěn)定、可靠。內(nèi)置RTC時(shí)鐘模塊，保證系統(tǒng)時(shí)間的精準(zhǔn)。1/29/202536北京科東電力控制系統(tǒng)有限責(zé)任公司電力專用密碼卡，同時(shí)結(jié)合RSA公鑰算法來(lái)完成數(shù)據(jù)加密、解密、簽名、驗(yàn)證等任務(wù)，其主要功能為：數(shù)據(jù)加密/解密；單向散列；數(shù)字簽名與數(shù)字驗(yàn)證；用戶訪問權(quán)限控制。支持的密碼算法主要包括：對(duì)稱密碼算法：電力專用SSX06密碼算法；公開密鑰算法：RSA公鑰算法；散列算法：基于SSX06算法封裝的散列算法；保護(hù)算法：電力專用SSX06密碼算法；1/29/202537北京科東電力控制系統(tǒng)有限責(zé)任公司網(wǎng)絡(luò)報(bào)文綜合過濾功能具有雙向報(bào)文過濾功能，與加密機(jī)制別離，獨(dú)立工作，在實(shí)施加密之前進(jìn)行。過濾規(guī)那么支持：源IP地址〔范圍〕控制目的IP地址〔范圍〕控制源IP〔范圍〕＋目的IP地址〔范圍〕控制協(xié)議控制TCP、UDP協(xié)議＋端口〔范圍〕控制源IP地址〔范圍〕＋TCP、UDP協(xié)議＋端口〔范圍〕控制目標(biāo)IP地址〔范圍〕＋TCP、UDP協(xié)議＋端口〔范圍〕控制1/29/202538北京科東電力控制系統(tǒng)有限責(zé)任公司提綱1/29/202539北京科東電力控制系統(tǒng)有限責(zé)任公司電力縱向加密認(rèn)證網(wǎng)關(guān)應(yīng)用流程初始化配置運(yùn)行管理監(jiān)視1/29/202540北京科東電力控制系統(tǒng)有限責(zé)任公司系統(tǒng)應(yīng)用流程——初始化作為密碼設(shè)備，應(yīng)用第一步都是進(jìn)行初始化操作。生成操作員和本裝置的設(shè)備公私鑰，并填寫必要信息，生成證書請(qǐng)求文件〔csr文件〕，提交本級(jí)調(diào)度證書效勞系統(tǒng)簽發(fā)；設(shè)備公私鑰由電力專用加密卡芯片完成；操作員公私鑰由IC卡介質(zhì)內(nèi)的芯片完成。。1/29/202541北京科東電力控制系統(tǒng)有限責(zé)任公司初始化—生成證書請(qǐng)求文件初始化工作由專責(zé)人員〔操作員〕通過圖形或者命令行的管理工具在本地操作完成。證書請(qǐng)求文件包含以下信息：國(guó)家省/市/自治區(qū)部門縱向設(shè)備名稱縱向設(shè)備公鑰；證書請(qǐng)求文件會(huì)保存在本地硬盤上。然后通過U盤拷貝或者其他方式交給本級(jí)的調(diào)度證書系統(tǒng)。1/29/202542北京科東電力控制系統(tǒng)有限責(zé)任公司初始化--調(diào)度證書系統(tǒng)簽發(fā)證書錄入操作員導(dǎo)入證書請(qǐng)求文件〔csr文件〕；審核操作員對(duì)證書請(qǐng)求文件內(nèi)容信息進(jìn)行審核；簽發(fā)操作員簽發(fā)證書〔cer文件〕。證書文件通過U盤拷貝或者其他方式交給縱向設(shè)備的操作員。1/29/202543北京科東電力控制系統(tǒng)有限責(zé)任公司初始化--證書的安裝和導(dǎo)入必備的五種證書的導(dǎo)入：調(diào)度證書效勞系統(tǒng)根證書〔國(guó)調(diào)根證書、網(wǎng)省根證書，建立證書信任鏈〕；本裝置設(shè)備證書〔本級(jí)簽發(fā)，根證書驗(yàn)證〕；本裝置的操作員證書〔使用IC卡介質(zhì)，本級(jí)簽發(fā)，根證書驗(yàn)證〕；裝置管理系統(tǒng)證書〔本級(jí)簽發(fā)，根證書驗(yàn)證〕；與本裝置通信的對(duì)端設(shè)備證書〔協(xié)調(diào)交換〕；1/29/202544北京科東電力控制系統(tǒng)有限責(zé)任公司配置--本地根本信息的配置本地協(xié)商IP地址的分配〔本地局域網(wǎng)內(nèi)的IP地址，不占用調(diào)度數(shù)據(jù)網(wǎng)上的地址〕；與通信遠(yuǎn)端靜態(tài)路由地址表的配置；〔內(nèi)部實(shí)現(xiàn)放行OSPF協(xié)議〕操作員IC卡登陸用戶名、密碼的修改；1/29/202545北京科東電力控制系統(tǒng)有限責(zé)任公司配置--平安隧道平安隧道——調(diào)度數(shù)據(jù)網(wǎng)上縱向加密認(rèn)證網(wǎng)關(guān)之間通過協(xié)商建立；隧道協(xié)商參數(shù)的配置：多個(gè)對(duì)端縱向設(shè)備的協(xié)商IP地址，多個(gè)證書的隧道匹配；隧道的主備關(guān)系；每條隧道協(xié)商時(shí)間，協(xié)商超時(shí)的時(shí)間，隧道重新協(xié)商滿足的條件〔數(shù)據(jù)包個(gè)數(shù)/時(shí)間范圍〕等；1/29/202546北京科東電力控制系統(tǒng)有限責(zé)任公司配置—平安策