电力卫星物联网边缘计算节点的终端安全接入方法与流程

1.本发明涉及物联网信息安全领域，具体涉及一种电力卫星物联网边缘计算节点的终端安全接入方法。

背景技术：

2.电力卫星物联网是电网公司基于卫星信道实现无网络覆盖区域电力设施通信而建设的电力物联网基础设施，是基于卫星通信的一种新型的电力物联网应用。与传统的电力卫星应急通信不同，电力卫星物联网的通信节点数量更多，需要更多的卫星通信信道支持。同时，电力卫星物联网感知层存在海量的传感终端设备的接入，给卫星通信终端的接入管控带来压力。
3.处于电力卫星物联网感知层的传感终端设备部署于网络信号极弱、人烟稀少、位置偏远等环境的电力装备或设施中，由于环境恶劣，人工运维周期长，使得感知层终端设备存在一定的安全隐患。卫星商用使得卫星通信变为公网，攻击者可以对接入卫星网络的传感设备进行假冒或替换，这会对传感设备采集回传的电力数据的真实性形成风险，对电力生产的安全稳定造成严重影响；同时攻击者也可以借助这些无人值守的传感设备对电力卫星物联网发起攻击，甚至可能造成电力卫星物联网的瘫痪，直接阻断电力的安全生产应用。
4.因此，需要一种电力卫星物联网边缘计算节点的终端安全接入方法，能够解决以上问题。

技术实现要素：

5.有鉴于此，本发明的目的是克服现有技术中的缺陷，提供电力卫星物联网边缘计算节点的终端安全接入方法，能够保证物联网感知层终端接入的安全，防止非法、假冒终端接入，有效保障了电力卫星网络的可靠运行。
6.本发明的电力卫星物联网边缘计算节点的终端安全接入方法，包括如下步骤：
7.s1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；
8.s2.对终端设备接入边缘计算节点进行接入认证；
9.s3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。
10.进一步，所述步骤s1，具体包括：
11.第一步：终端设备将设备的mac、序列号sn、类别以及型号发送给边缘计算节点；
12.第二步：边缘计算节点查询设备注册信息，对所申请接入的终端设备进行信息审核；若审核通过，则完成设备注册，并将边缘计算节点标识与节点公钥gpk发送给终端设备；
13.第三步：终端设备在安全芯片内生成随机数作为会话密钥skey；
14.第四步：在安全芯片内用边缘计算节点公钥gpk对会话密钥skey进行sm2加密，生成密文c1；
15.第五步：在安全芯片内随机生成sm2密钥对(usk,upk)，将私钥usk加密缓存于芯片密钥区，输出终端的自定义公钥upk，并将终端生成的密文c1和公钥upk发送给边缘计算节
点；
16.第六步：边缘计算节点收到密文c1后，用私钥gsk解密，得到会话密钥skey；边缘计算节点将终端设备的mac、序列号sn和skey输入到边缘计算节点的密钥生成模块；
17.第七步：密钥生成模块随机生成sm2密钥对(hsk,hpk)作为隐藏密钥，计算伴随公钥apk＝upk+hpk，再将伴随公钥、终端标识计算sm3值，生成密钥系数σ，计算得到终端设备所对应的分发私钥dsk
t
＝σ
·
gsk+hsk，其中，gsk为边缘计算节点的私钥；并用会话密钥skey加密，得到密文csk
t
，并返回给终端设备；
18.第八步：终端设备将csk
t
输入安全芯片，用缓存的会话密钥skey解密csk
t
，得到dsk
t
，再和缓存的自定义私钥因子复合得到终端私钥tsk
t
＝dsk
t
+usk，再用设备加密密钥加密终端私钥tsk
t
并存储于安全芯片的密钥区，至此完成终端设备的注册和密钥的申请分发。
19.进一步，对终端设备接入边缘计算节点进行接入认证，具体包括：
20.第一步：终端设备接入边缘计算节点，先向边缘计算节点发送接入请求；
21.第二步：边缘计算节点查询设备白名单，确认申请接入的终端是否为合法设备，若为合法设备，则产生一个32字节的随机数作为会话id，并将会话id返回给终端设备；若不是合法设备，则拒绝接入；
22.第三步：终端设备使用存储在设备安全芯片的标识私钥对当前时间和会话id进行sm2签名，并将签名值sig、当前时间time、伴随公钥apk和设备标识一并发给边缘计算节点作为接入申请的认证数据；
23.第四步：边缘计算节点收到终端的接入申请认证数据后，通过设备标识、伴随公钥apk与边缘计算节点的公钥gpk在密钥生成模块中计算得到终端的公钥tpk，再用终端公钥tpk与签名值sig及签名时间采用sm2签名验证协议验证签名，验证通过，则可确认申请接入的设备标识是真实的；
24.第五步：边缘计算节点再验证申请的签名时间与当前时间的差异，若在允许的时间范围内，则通过允许接入，否则拒绝接入申请。
25.进一步，在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道，具体包括：
26.第一步：终端设备与边缘计算节点完成接入认证后，终端设备在安全芯片中产生32字节的随机数r1并用边缘计算节点的公钥gpk经sm2加密得到密文c2，并将c2发给边缘计算节点；
27.第二步：边缘计算节点接收数据包，采用节点的私钥gsk对c2解密得到随机数r1，并生成16字节的随机数r2，再用终端设备的标识公钥采用sm2加密得到密文c3，并返回给终端设备；
28.第三步：边缘计算节点以随机数r1的高16字节为初始向量、低16字节为密钥，对随机数r2采用sm4密码算法的cbc模式加密得到的16字节密文，即为两者间的会话密钥，缓存在节点的安全密钥区，用于两者间通信数据的对称密钥；
29.第四步：终端设备收到密文c3输入到安全芯片中，采用终端设备的标识私钥tsk解密c3得到随机数r2，将随机数r1和r2按第三步同样的方法加密得到16字节的会话密钥，将其缓存于密钥区，用于与边缘计算节点通信时数据加密与解密的密钥，至此，完成虚拟安全
信道的建立。
30.进一步，还包括：对终端设备采集数据的源数据进行接入认证，具体包括：
31.第一步：终端设备对采集的数据加入时间戳，采用国密sm3密码算法将数据计算杂凑值作为采集数据的数据指纹；
32.第二步，终端设备将数据指纹输入设备的安全芯片，芯片调用标识私钥对数据指纹进行国密sm2密码算法签名；
33.第三步，终端设备将源数据、签名值、时间戳、伴随公钥、设备标识打包经安全信道加密发给边缘计算节点；
34.第四步，边缘计算节点对收到的数据包解密并拆开数据包，将设备标识、伴随公钥apk与边缘节点公钥gpk在密钥生成模块中计算得到终端设备的标识公钥，并用标识公钥与国密sm2签名验证协议验证源数据签名，若通过，则源数据真实且未被篡改，再验证时间戳确定数据的新鲜性；
35.第五步，验证都通过，则源数据认证通过，否则源数据为假冒或篡改数据，对该数据丢弃处理或向云中心发送报警信息。
36.本发明的有益效果是：本发明公开的一种电力卫星物联网边缘计算节点的终端安全接入方法，由电力卫星物联网边缘计算节点对感知层电力传感终端实现接入认证，保证数据传输源头设备的安全可靠；对传感设备上传的数据要求数据采集设备进行包含时间戳的签名，保证设备发出数据的真实性和完整性，杜绝数据的重放和复制攻击；并对验证不通过的数据禁止进入电力卫星物联网，减轻对电力卫星网络的传输压力，阻止了通过感知层终端传感网络对电力卫星物联网络的攻击，有效保障了电力卫星网络的可靠运行。
附图说明
37.下面结合附图和实施例对本发明作进一步描述：
38.图1为本发明的终端接入标识密钥生成分发流程示意图；
39.图2为本发明的终端接入认证流程示意图；
40.图3为本发明的虚拟安全信道建立流程示意图；
41.图4为本发明的源数据认证流程示意图。
具体实施方式
42.以下结合说明书附图对本发明做出进一步的说明，如图所示：
43.本发明的电力卫星物联网边缘计算节点的终端安全接入方法，包括如下步骤：
44.s1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；本实施例中，所述终端设备为传感终端设备；
45.s2.对终端设备接入边缘计算节点进行接入认证；
46.s3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。
47.需要说明的是，电力卫星物联网边缘计算节点是由边缘物联代理网关作为现场信息通信枢纽，收集各个监测模块的数据，根据策略及算法完成运算后，将数据上传至主站后台。边缘物联代理网关可实现传感器等窄带数据与图片等宽带数据的接入、转发、智能分析与处理。边缘物联代理由中央处理器、cpu、内存，以太网接口、rs-485接口、小无线模块
(433、wifi、4g、lora)等组成，并可支持扩展。
48.边缘物联代理网关构建形成电力卫星物联网边缘计算节点，通过边缘计算节点接入了通道监控单元、本体监控单元、微气象单元、杆塔倾斜单元、导线测温单元、舞动监测单元、弧垂监测单元、风偏监测单元、覆冰监测单元等各类电力传感终端，传感终端采集的数据在边缘计算节点汇聚融合，减少各类传感终端的分散传输，实现数据在边缘计算节点的汇聚、上传与智能运算。因此，边缘计算节点的安全是电力卫星物联网安全体系的关键，终端接入安全则是边缘计算节点安全的核心。
49.本实施例中，步骤s1中，传感设备首次接入电力卫星物联网边缘计算节点需向边缘计算节点进行设备注册，由边缘计算节点为其生成和分发传感终端设备的标识密钥；如图1所示，具体包括：
50.第一步：终端设备将设备的mac、序列号sn、类别以及型号发送给边缘计算节点；
51.第二步：边缘计算节点查询设备注册信息，对所申请接入的终端设备进行信息审核；若审核通过，则完成设备注册，并将边缘计算节点标识与节点公钥gpk发送给终端设备；
52.第三步：终端设备在安全芯片内生成随机数作为会话密钥skey；
53.第四步：在安全芯片内用边缘计算节点公钥gpk对会话密钥skey进行sm2加密，生成密文c1；
54.第五步：在安全芯片内随机生成sm2密钥对(usk,upk)，将私钥usk加密缓存于芯片密钥区，输出终端的自定义公钥upk，并将终端生成的密文c1和公钥upk发送给边缘计算节点；
55.第六步：边缘计算节点收到密文c1后，用私钥gsk解密，得到会话密钥skey；边缘计算节点将终端设备的mac、序列号sn和skey输入到边缘计算节点的密钥生成模块；其中，所述密钥生成模块可采用现有的pci-e密码卡；
56.第七步：密钥生成模块随机生成sm2密钥对(hsk,hpk)作为隐藏密钥，计算伴随公钥apk＝upk+hpk，再将伴随公钥、终端标识(mac地址+设备序列号sn)计算sm3值，生成密钥系数σ，计算得到终端设备所对应的分发私钥dsk
t
＝σ
·
gsk+hsk，其中，gsk为边缘计算节点的私钥；并用会话密钥skey加密，得到密文csk
t
，并返回给终端设备；
57.第八步：终端设备将csk
t
输入安全芯片，用缓存的会话密钥skey解密csk
t
，得到dsk
t
，再和缓存的自定义私钥因子复合得到终端私钥tsk
t
＝dsk
t
+usk，再用设备加密密钥加密终端私钥tsk
t
并存储于安全芯片的密钥区，至此完成终端设备的注册和密钥的申请分发。
58.本实施例中，步骤s2中，传感终端设备接入边缘计算网节点时，节点需要对接入的设备的合法性进行认证，确保只有合法并授权的设备才允许接入。采用基于标识的无证书公钥体制和国密sm2密码算法相结合的认证协议对终端设备接入边缘计算节点进行接入认证，如图2所示，具体包括：
59.第一步：终端设备接入边缘计算节点，先向边缘计算节点发送接入请求；请求包括且不限于设备的mac地址和序列号sn；
60.第二步：边缘计算节点查询设备白名单，确认申请接入的终端是否为合法设备，若为合法设备，则产生一个32字节的随机数作为会话id，并将会话id返回给终端设备；若不是合法设备，则拒绝接入；
61.第三步：终端设备使用存储在设备安全芯片的标识私钥对当前时间和会话id进行sm2签名，并将签名值sig、当前时间time、伴随公钥apk和设备标识(mac地址+设备序列号sn)一并发给边缘计算节点作为接入申请的认证数据；
62.第四步：边缘计算节点收到终端的接入申请认证数据后，通过设备标识、伴随公钥apk与边缘计算节点的公钥gpk在密钥生成模块中计算得到终端的公钥tpk，再用终端公钥tpk与签名值sig及签名时间采用sm2签名验证协议验证签名，验证通过，则可确认申请接入的传感设备标识(mac+sn)是真实的而非假冒；
63.第五步：边缘计算节点再验证申请的签名时间与当前时间的差异，若在允许的时间范围内，则通过允许接入，否则可能是攻击者复制的合法申请用于申请，拒绝接入申请。
64.本实施例中，步骤s3中，传感终端设备完成接入认证后，需要与边缘计算节点之间协商会话密钥，建立虚拟安全信道，对两者传输的数据采用国密sm4密码算法加密。安全信道的建立也是基于标识的无证书公钥体制与国密sm2密码算法相结合的密钥协商协议。在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道，如图3所示，具体包括：
65.第一步：终端设备与边缘计算节点完成接入认证后，终端设备在安全芯片中产生32字节的随机数r1并用边缘计算节点的公钥gpk经sm2加密得到密文c2，并将c2发给边缘计算节点；
66.第二步：边缘计算节点接收数据包，采用节点的私钥gsk对c2解密得到随机数r1，并生成16字节的随机数r2，再用终端设备的标识公钥采用sm2加密得到密文c3，并返回给终端设备；其中，所述标识公钥基于无证书标识公钥体制实现；
67.第三步：边缘计算节点以随机数r1的高16字节为初始向量、低16字节为密钥，对随机数r2采用sm4密码算法的cbc模式加密得到的16字节密文，即为两者间的会话密钥，缓存在节点的安全密钥区，用于两者间通信数据的对称密钥；
68.第四步：终端设备收到密文c3输入到安全芯片中，采用终端设备的标识私钥tsk解密c3得到随机数r2，将随机数r1和r2按第三步同样的方法加密得到16字节的会话密钥，将其缓存于密钥区，用于与边缘计算节点通信时数据加密与解密的密钥，至此，完成虚拟安全信道的建立。
69.本实施例中，本发明除设备接入认证外，还对传感终端设备采集数据的源数据进行接入认证，即通过采集终端上传的数据需要经过采集设备加入时间戳并sm2签名，保障源数据的来源真实性、完整性和时效性，防止数据假冒、数据篡改和复制历史数据用于攻击。对终端设备采集数据的源数据进行接入认证，如图4所示，具体包括：
70.第一步：终端设备对采集的数据加入时间戳，采用国密sm3密码算法将数据计算杂凑值作为采集数据的数据指纹；
71.第二步，终端设备将数据指纹输入设备的安全芯片，芯片调用标识私钥对数据指纹进行国密sm2密码算法签名；
72.第三步，终端设备将源数据、签名值、时间戳、伴随公钥、设备标识(mac+sn)打包经安全信道加密发给边缘计算节点；
73.第四步，边缘计算节点对收到的数据包解密并拆开数据包，将设备标识、伴随公钥apk与边缘节点公钥gpk在密钥生成模块中计算得到终端设备的标识公钥，并用标识公钥与国密sm2签名验证协议验证源数据签名，若通过，则源数据真实且未被篡改，再验证时间戳
确定数据的新鲜性；
74.第五步，验证都通过，则源数据认证通过，否则源数据为假冒或篡改数据，对该数据丢弃处理或向云中心发送报警信息。最后，通过验证的源数据在边缘计算网关进行数据清洗、数据压缩，并将计算处理后的数据通过电力卫星物联网上传至云数据中心。
75.最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。

技术特征：

1.一种电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：包括如下步骤：s1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；s2.对终端设备接入边缘计算节点进行接入认证；s3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。2.根据权利要求1所述的电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：所述步骤s1，具体包括：第一步：终端设备将设备的mac、序列号sn、类别以及型号发送给边缘计算节点；第二步：边缘计算节点查询设备注册信息，对所申请接入的终端设备进行信息审核；若审核通过，则完成设备注册，并将边缘计算节点标识与节点公钥gpk发送给终端设备；第三步：终端设备在安全芯片内生成随机数作为会话密钥skey；第四步：在安全芯片内用边缘计算节点公钥gpk对会话密钥skey进行sm2加密，生成密文c1；第五步：在安全芯片内随机生成sm2密钥对(usk,upk)，将私钥usk加密缓存于芯片密钥区，输出终端的自定义公钥upk，并将终端生成的密文c1和公钥upk发送给边缘计算节点；第六步：边缘计算节点收到密文c1后，用私钥gsk解密，得到会话密钥skey；边缘计算节点将终端设备的mac、序列号sn和skey输入到边缘计算节点的密钥生成模块；第七步：密钥生成模块随机生成sm2密钥对(hsk,hpk)作为隐藏密钥，计算伴随公钥apk＝upk+hpk，再将伴随公钥、终端标识计算sm3值，生成密钥系数σ，计算得到终端设备所对应的分发私钥dsk
t
＝σ
·
gsk+hsk，其中，gsk为边缘计算节点的私钥；并用会话密钥skey加密，得到密文csk
t
，并返回给终端设备；第八步：终端设备将csk
t
输入安全芯片，用缓存的会话密钥skey解密csk
t
，得到dsk
t
，再和缓存的自定义私钥因子复合得到终端私钥tsk
t
＝dsk
t
+usk，再用设备加密密钥加密终端私钥tsk
t
并存储于安全芯片的密钥区，至此完成终端设备的注册和密钥的申请分发。3.根据权利要求1所述的电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：对终端设备接入边缘计算节点进行接入认证，具体包括：第一步：终端设备接入边缘计算节点，先向边缘计算节点发送接入请求；第二步：边缘计算节点查询设备白名单，确认申请接入的终端是否为合法设备，若为合法设备，则产生一个32字节的随机数作为会话id，并将会话id返回给终端设备；若不是合法设备，则拒绝接入；第三步：终端设备使用存储在设备安全芯片的标识私钥对当前时间和会话id进行sm2签名，并将签名值sig、当前时间time、伴随公钥apk和设备标识一并发给边缘计算节点作为接入申请的认证数据；第四步：边缘计算节点收到终端的接入申请认证数据后，通过设备标识、伴随公钥apk与边缘计算节点的公钥gpk在密钥生成模块中计算得到终端的公钥tpk，再用终端公钥tpk与签名值sig及签名时间采用sm2签名验证协议验证签名，验证通过，则可确认申请接入的设备标识是真实的；第五步：边缘计算节点再验证申请的签名时间与当前时间的差异，若在允许的时间范围内，则通过允许接入，否则拒绝接入申请。
4.根据权利要求1所述的电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道，具体包括：第一步：终端设备与边缘计算节点完成接入认证后，终端设备在安全芯片中产生32字节的随机数r1并用边缘计算节点的公钥gpk经sm2加密得到密文c2，并将c2发给边缘计算节点；第二步：边缘计算节点接收数据包，采用节点的私钥gsk对c2解密得到随机数r1，并生成16字节的随机数r2，再用终端设备的标识公钥采用sm2加密得到密文c3，并返回给终端设备；第三步：边缘计算节点以随机数r1的高16字节为初始向量、低16字节为密钥，对随机数r2采用sm4密码算法的cbc模式加密得到的16字节密文，即为两者间的会话密钥，缓存在节点的安全密钥区，用于两者间通信数据的对称密钥；第四步：终端设备收到密文c3输入到安全芯片中，采用终端设备的标识私钥tsk解密c3得到随机数r2，将随机数r1和r2按第三步同样的方法加密得到16字节的会话密钥，将其缓存于密钥区，用于与边缘计算节点通信时数据加密与解密的密钥，至此，完成虚拟安全信道的建立。5.根据权利要求1所述的电力卫星物联网边缘计算节点的终端安全接入方法，其特征在于：还包括：对终端设备采集数据的源数据进行接入认证，具体包括：第一步：终端设备对采集的数据加入时间戳，采用国密sm3密码算法将数据计算杂凑值作为采集数据的数据指纹；第二步，终端设备将数据指纹输入设备的安全芯片，芯片调用标识私钥对数据指纹进行国密sm2密码算法签名；第三步，终端设备将源数据、签名值、时间戳、伴随公钥、设备标识打包经安全信道加密发给边缘计算节点；第四步，边缘计算节点对收到的数据包解密并拆开数据包，将设备标识、伴随公钥apk与边缘节点公钥gpk在密钥生成模块中计算得到终端设备的标识公钥，并用标识公钥与国密sm2签名验证协议验证源数据签名，若通过，则源数据真实且未被篡改，再验证时间戳确定数据的新鲜性；第五步，验证都通过，则源数据认证通过，否则源数据为假冒或篡改数据，对该数据丢弃处理或向云中心发送报警信息。

技术总结

本发明公开了一种电力卫星物联网边缘计算节点的终端安全接入方法，包括：S1.对终端设备进行设备注册，由边缘计算节点生成并分发终端设备的标识密钥；S2.对终端设备接入边缘计算节点进行接入认证；S3.在允许接入的终端设备与边缘计算节点之间建立虚拟安全信道。本发明能够保证物联网感知层终端接入的安全，防止非法、假冒终端接入，有效保障了电力卫星网络的可靠运行。的可靠运行。的可靠运行。