张婕 马琳 赵丽娜 倪金超 韩兴旺 任乐

【摘要】    随着智能电网的快速发展，电力数据的采集、传输、存储、访问的信息安全越来越重要，信息安全的核心技术是加密技术。本设计采用动态密码系统与静态密码相结合实现了高强度的双因子动态认证。该国产动态密码的认证系统具有安全性高、灵活性好、易用性强、高性能、高可用，且经济实用等特性。可同时支持办公OA、终端访问、数据存储、移动支付等不同应用领域。

【关键词】    信息安全    SM3 算法    商用密码    加密算法

引言：

随着智能电网的快速发展，电力数据的采集、传输、存储、访问的信息安全越来越重要[1-3]。根据GB/T22239-2019 《信息安全技 网络安全等級保护基本要求》中对各级的信息系统的身份鉴别的要求，管理员用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换，应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。

信息安全是建立在网络安全之上，保证信息的安全。身份鉴别是信息安全的第一道门户，通过身份鉴别获取对应的资源访问权限，结合电网信息系统告诉发展的趋势，结合在实际应用中遇到的安全问题。本文主要在于保障信息在身份鉴别过程中如何保证安全性的前提下，提高身份认证与应用系统结合的便利性、底耦合性，同时解决管理人员在强身份鉴别过程中的应用性等问题。

一、主要技术

1.1 PKI 技术

PKI技术[4]就是利用公钥理论和技术建立的提供信息安全服务的基础设施，该体系在统一的安全认证标准和规范基础上提供网上电子身份认证。一个标准的PKI域一般包括数字证书认证中心CA、审核注册中心RA、密钥管理中心KMC等关键组件。

1.2密钥算法

密钥算法大体分为对称密钥算法和非对称密钥算法两种。对称密钥算法是一种类似口令加密的算法，加密方和解密方使用相同的密钥对数据进行加解密的操作，实现数据的保护。非对称密钥算法使用两个不同的密钥：加密密钥和解密密钥。某用户加密密钥加密后所得的信息只能用该用户的解密密钥才能解密。

1.3单向散列函数[5]

散列算法是通过把一个叫做散列算法的单向数学函数应用于数据，其运算结果就是将任意长度的一块数据转换为一个定长的、不可逆转的数字。通常用于数字签名过程。

1.4国家商用密码算法[6]

我国的国家商用密码标准，包括SM1、SM2、SM3、SM4等。其中，SM1、SM4是对称算法;SM2是非对称算法;SM3是哈希算法。SM3算法是国家密码管理局编制的一种商用密码摘要算法，安全性与效率与SHA-256相当。

1.5动态口令

动态口令技术主要分为两种，即同步口令技术和异步口令技术。其中，同步口令技术又分为时间同步口令和事件同步口令。

1.时间同步口令是基于令牌和服务器的时间同步，通过运算来生成一致的动态口令，基于时间同步的令牌，每60秒产生一个新口令;

2.事件同步口令是通过某一特定的事件次序及相同的种子值作为输入，在算法中运算出一致的密码。

3.异步口令在令牌和服务器之间除相同的算法外没有需要进行同步的条件，故能够有效的解决令牌失步的问题，降低对应用的影响，同时极大的增加了系统的可靠性。

本动态密码认证系统平台基于国家商用密码标准SM3哈希算法，结合事件同步口令技术实现的动态密码认证系统。具有低成本、易推广、易使用的新型身份认证系统，其安全强度高于静态口令，以类似于传统静态口令密码的使用方式提供“一次一密”的密码技术，为用户提供身份认证安全保障。

二、认证系统组件

2.1 产品组件

动态密码系统主要包括后台管理模块、验证管理服务模块、HttpServer服务模块、通用工具包、Api接口、终端产品、辅助工具和终端产品等组成。

1.后台管理模块是整个动态密码系统的统筹管理模块，通过此管理模块进行各种配置能将整个系统各个模块进行有机组合，实现多种验证流程。

2.验证管理服务模块是整个动态密码系统的核心部分，主要由验证服务、管理服务、Radius服务，可以根据需求选择使用。其中，验证管理服务是系统的核心部分，负责接收请求并完成动态密码验证服务的模块;管理服务提供动态密码卡管理服务，通过监听端口接受用户的请求（调用管理API），并将处理的结果返回给用户，且有全面的日志记录;Radius服务接受基于Radius协议的验证服务。

3. Httpserver模块是集成在动态密码服务系统下的一个独立运行的模块，主要是为Netpass提供http请求服务，可以集成到NetPass服务器部署，也可以灵活部署到其他服务器上，可以开放公网端口。

4.通过工具包为封装的中间件，包含数据包结构定义、数据包封装解析、算法包、数据库交互、配置文件读写等。

5.终端产品包括口令卡、手机口令、手机短信、动态令牌、高级令牌和移动App令牌等。

6. Api接口分为验证Api和管理Api。Api接口是插件包，提供给客户应用系统集成使用，客户通过API与系统服务器交互实现业务流程。

2.2 应用模式

国产动态密码认证系统的应用模式多种多样，可以是在网络应用系统原有的用户名/口令验证模式上，增加动态密码的验证，也可以手机客户端、手机短信、动态令牌、高级令牌、移动app令牌等获取动态密码，并在登录过程中使用。

动态密码系统可独立实现双因素验证，也可以和其他静态密码验证系统组合实现双因素验证。

三、认证系统平台

3.1 运行环境

动态密码认证系统平台采用Java语言编写，可运行于各种Java兼容的平台，支持Windows和Linux操作系统，支持MYSQL、DB2、ORACLE、SqlServer、Gbase8.5t、PostgerSql、Sybase等类型的数据库。

应用程序接口（验证API、管理API）有两种类型：Java接口和C接口，C接口支持Windows和Linux操作系统。通过API访问服务器实现种子获取、绑定、验证等功能。

3.2 总体框架

国产动态密码认证系统平台相关的动态口令系统框架图如图1所示。

动态令牌负责生成动态口令，认证系统负责验证动态口令的正确性，密钥管理系统负责动态令牌的密钥管理，应用系统负责将动态口令按照指定的协议（报文）发送至认证系统进行认证。

3.3 系统平台

國产动态密码认证系统平台是基于Java的WEB应用，部署在CentOS环境中。国产动态密码认证系统平台由管理员通过浏览器访问，来发起各种操作。

国产动态密码认证系统平台主要提供以下功能：配置数据库参数、配置服务器网络设置、服务器管理、生产厂管理、管理员管理、口令卡策略管理、口令卡生成、口令卡管理、密钥管理和日志管理。

首次登录服务器需要进行初始化操作，在浏览器地址栏输入口令卡生成服务器的地址，使用正确的用户名/密码进行登录，登录完成之后，会显示系统主菜单，管理员可以选择所需要完成的功能。如图2所示：

1.系统配置。系统配置功能主要包括系统状态、系统监控、网络配置、数据库配置、服务器管理、系统管理员管理、应用管理员管理、密钥管理和HA管理。其中，密钥管理功能是产生用来加密数据库密钥的RSA密钥对，公钥用于加密数据库对称密钥，私钥用于解密数据库对称密钥。

2.策略管理。策略管理功能包括令牌类型管理和应用策略管理。令牌类型规定了口令卡的应用模式、使用策略和验证策略等，通过对令牌类型的设置，完成口令卡的管理。应用策略管理实现同一个令牌在不同的场景下验证策略不同。

3.用户管理。用户管理包括令牌管理、NAS管理、用户组管理和令牌绑定。其中令牌管理包括对令牌的冻结、解冻、注销、同步等操作。令牌绑定将用户名与令牌号绑定在一起，用户查询时可以通过用户号或令牌号，具有查询、绑定和注销等功能。

4.数据管理。数据管理功能主要包括批量产生卡、导入令牌文件、生成令牌文件、管理口令卡文件和数据归档等功能。

5.日志管理。日志管理主要包括日志设置、访问、管理和错误日志。其中，错误日志记录系统运行期间发生的各种错误，具有查看和导出功能。

6.生产厂管理。生产厂管理包括增加、更新和删除生产功能。

7.统计监控。统计监控功能包括统计和监控功能。其中，统计功能主要实现令牌数量统计和交易数量统计;监控功能选择要监控的指示、时间，系统自动生成图表。

8.加密通道设置。国产动态密码认证系统平台支持明文传输、服务器单向加密和客户端服务端双向加密三种模式可选。

3.4 典型应用

动态密码认证系统填补了证书、静态口令之间的空白，在安全性、成本、易用性之间取得了一个平衡，可以有效弥补静态口令的安全隐患，并且可以与静态口令结合使用，满足中等安全级别的认证要求。典型应用如图3：

动态密码认证系统向每一位用户发放一个动态密码卡，用户每次访问应用时，系统为用户生成一次性的密码序列，用户只需要将其作为本次登录的密码输入系统，即可完成登录。

四、结束语

基于国产动态密码的认证系统采用动态密码系统与静态密码结合的应用，实现了高强度的双因子动态认证。具有以下特点：

1.安全性：动态密码随机产生，无相关性，不可能从前一个密码推导出其他密码;

2.灵活性：支持多种业务应用模式、支持多种动态密码和多种验证机制;

3.高性能性：所使用的技术具有足够的先进性和前瞻性，满足未来应用的需求，实现对海量用户和复杂应用的支持;

4.高可用：支持高可用性和负载均衡的集群部署，多个验证服务器（管理服务器）可共享一个数据库，实现更强大的性能，避免单点故障，提高可靠性;

5.经济性：生产和更新成本低、使用成本低、易推广、可定制动态密码的使用期限。

总体来说，该国产动态密码的认证系统可同时支持办公OA、终端访问、数据存储、移动支付等不同应用。

参  考  文  献

[1] 王华忠.监控与数据采集（SCADA）系统及其应用[M].2 版.北京：电子工业出版社，2012.

[2] DUMONT D. Cyber security concerns of supervisory control and data acquisition （SCADA） systems [C]// Proceedings of2010 IEEE International Conference on Technologies for Home-land Security. Waltham：IEEE，2010：473-475.

[3] LIF，LUO B，LIU P. Secure information aggregation for smart grids using homomorphic encryption [C]// Proceedings of 2010 First IEEE International Conference on Smart Grid Communications. Gaithersburg：IEEE，2010：327-332.

[4] 吴琼.基于PKI体系的信息安全技术研究[J].《现代计算机（专业版）》. 2007（3）：44-46;

[5] 陈志德，黄元石.混沌型单向散列函数[J].通信技术.2001（7）：96-98;

[6] 赵宇亮，胡威，张冰，毛一凡，张攀，宋文婷.国家商用密码算法综述[J].会议论文，2016：132-134;