【技術實現步驟摘要】
本專利技術屬于工業自動化系統中的點對點通信，特別涉及一種可信控制器的點對點安全通信方法、裝置和電子設備。
技術介紹
1、大型plc/dcs控制器等除開與編程平臺/scada/hmi等通信外，也需要進行點對點的通信。例如冗余功能，主機與備機同時工作，基于點對點通信保持狀態同步，其交互的信息為控制系統控制單元的運算結果，系統狀態，工程文件等敏感信息。惡意三方能夠通過監聽，對交互信息進行分析，進而實施仿冒篡改，控制系統輸出行為。由于大型plc/dcs控制器系統一般用于關鍵基礎設施如水利/水電/核電/油氣等對穩定性可靠性要求較高的場合，這種針對控制器橫向間的攻擊不同于傳統的南北向通信，其攻擊隱蔽，方式多樣，例如頻繁觸發冗余切換，篡改運算結果和狀態信息且在必要時觸發。控制器間的通信目的是提升系統的可靠性和系統信息交互效率，協作組成控制網絡，如其通信安全防范措施缺失，則容易成為攻擊對象，導致控制系統風險增加。點對點的控制器的典型邏輯框圖如圖1所示。傳統的控制器之間的通信方式上未考慮期控制器與控制器之間的認證與加密，信息容易受到竊聽或偽造，不能抵御重放攻擊等。
2、cn118041646a提出了一種中心協商單邊分發點對點即時通信加密方法、介質及終端，針對即時通信點對點交流特點，在發送方向中心端申請密鑰時，將中心端生成的密鑰分別用發送方密鑰和接收方密鑰保護后一次性發送給發送方。密鑰由中心端生成，與密鑰由端點間協商生成完全不同，且應用領域也不同。
3、cn110505263a提出了一種基于點對點的通訊網絡系統，包括背板、通
4、cn116614291a提出了一種基于多冗余數控總線的信息安全傳輸方法和系統，采用了主站與從站中間的加密和完整性校驗措施，但并未提及主站與從站之間的加密方法。
5、cn107835157a提出了一種基于心跳機制的數據冗余加密方法，描述通過心跳機制檢測對端運行狀態，在主從加密機之間進行業務配置的方法，和本專利技術描述的加密流程和機制均不相同。
6、因此，當前尚未發現與本專利技術類似的解決方案的公開文獻和資料。
技術實現思路
1、為了解決上述問題，本專利技術提出一種可信控制器的點對點安全通信方法、裝置和電子設備，能夠對控制器與控制器之間的點對點通信信息進行認證與加密，有效抵御監聽、仿冒、篡改及重放攻擊，確保控制器與控制器之間的通信內容真實完整，提升工業控制系統在關鍵基礎設施中的安全性和可靠性。
2、第一方面，本專利技術提供的一種可信控制器的點對點安全通信方法，應用于第一安全可信控制器，所述方法包括：
3、響應于工程師站發送的配對指令，進入配對模式；其中，所述配對指令由所述工程師站基于用戶插入的物理鑰匙開關觸發；
4、獲取工程師站發送的初始產品共享密鑰；其中，所述初始產品共享密鑰是工程師站基于用戶隨機輸入生成的；
5、基于密鑰協商算法和所述初始產品共享密鑰與第二安全可信控制器進行密鑰協商，得到產品共享密鑰；
6、存儲所述產品共享密鑰，以在與第二安全可信控制器進行連接時，基于所述產品共享密鑰進行雙向身份認證。
7、在可選的實施方式中，所述密鑰協商算法包括蜻蜓密鑰交換協議算法。
8、在可選的實施方式中，所述基于密鑰協商算法和所述初始產品共享密鑰與第二安全可信控制器進行密鑰協商，得到產品共享密鑰，包括：
9、向所述第二安全可信控制器發送認證請求；
10、響應于所述第二安全可信控制器的認證回復，生成第一隨機數；其中，所述第一隨機數是基于第一安全可信控制器內置的可信平臺控制模塊生成的；
11、根據所述第一隨機數，以及所述初始產品共享密鑰在預設橢圓曲線的唯一映射，確定第一承諾值；
12、將所述第一承諾值發送至所述第二安全可信控制器；
13、獲取所述第二安全可信控制器發送的第二承諾值；
14、根據所述第二承諾值、第一隨機數和所述初始產品共享密鑰，結合橢圓曲線迪菲-赫爾曼密鑰交換協議算法確定第一確認值；
15、根據所述第一確認值、所述第二承諾值、所述初始產品共享密鑰，結合哈希算法確定第一驗證值；
16、獲取所述第二安全可信控制器發送的第二驗證值；
17、根據所述第一驗證值和所述第二驗證值判斷是否驗證成功，如果是，則將所述第一確認值作為產品共享密鑰。
18、在可選的實施方式中，所述存儲所述產品共享密鑰，包括：
19、將所述產品共享密鑰存儲在所述第一安全可信控制器的可信平臺控制模塊中。
20、在可選的實施方式中，所述在與第二安全可信控制器進行連接時，基于所述產品共享密鑰進行雙向身份認證，包括：
21、獲取所述產品共享密鑰；
22、基于所述產品共享密鑰和所述蜻蜓密鑰交換協議算法，利用所述第二安全可信控制器進行身份認證；
23、響應于認證成功，利用所述蜻蜓密鑰交換協議算法生成預主密鑰；
24、將所述預主密鑰存儲在所述第一安全可信控制器的可信平臺控制模塊中，以利用所述預主密鑰對所述第一安全可信控制器與所述第二安全可信控制器之間所需傳輸的目標信息進行同步傳輸。
25、在可選的實施方式中，所述利用所述預主密鑰對所述第一安全可信控制器與所述第二安全可信控制器之間所需傳輸的目標信息進行同步傳輸，包括：
26、確定所述第一安全可信控制器與所述第二安全可信控制器之間所傳輸的目標信息相對應的目標數據種類；
27、利用關聯數據認證加密算法和所述預主密鑰對密鑰支持特征信息進行加密；其中，所述密鑰支持特征信息包括所述目標數據種類、所述目標數據種類相對應的目標加密算法和所述目標加密算法相對應的目標密鑰長度；所述目標加密算法和所述目標密鑰長度從預先配置的數據加密類型表中確定；
28、向所述第二安全可信控制器發送所述密鑰支持特征信息；
29、響應于所述第二安全可信控制器發送的支持信息，判斷所述預主密鑰是否滿足所述目標密鑰長度，如果是，則根據所述預主密鑰和目標加密算法對所述目標信息進行加密；如果否，則根據所述目標密鑰長度，利用hkdf算法對所述預主密鑰進行密鑰擴展，得到長度為目標密鑰長度的擴展密鑰，并根據所述擴展密鑰和所述目標加密算法對所述目標信息進行加密；以及，響應于所述第二安全可信控制器發送的不支持信息，根據所述關聯數據認證加密算法和所述預主密鑰對所述目標信息進行加密。
30、在可選的實施方式中，所述根據所述目標密鑰長度，利用hkdf算法對所述預主密鑰進行密鑰擴展，得到長度為目標密鑰長度的擴展密鑰，包括：
31、獲取所述預主密鑰、鹽值、所述目標密鑰長度和可選信息字符串；其中，所述鹽值為當前時間；
32、根據基于哈希函數本文檔來自技高網...
【技術保護點】
1.一種可信控制器的點對點安全通信方法，其特征在于，應用于第一安全可信控制器，所述方法包括：
2.根據權利要求1所述的可信控制器的點對點安全通信方法，其特征在于，所述密鑰協商算法包括蜻蜓密鑰交換協議算法。
3.據權利要求2所述的可信控制器的點對點安全通信方法，其特征在于，所述基于密鑰協商算法和所述初始產品共享密鑰與第二安全可信控制器進行密鑰協商，得到產品共享密鑰，包括：
4.據權利要求1所述的可信控制器的點對點安全通信方法，其特征在于，所述存儲所述產品共享密鑰，包括：
5.據權利要求2所述的可信控制器的點對點安全通信方法，其特征在于，所述在與第二安全可信控制器進行連接時，基于所述產品共享密鑰進行雙向身份認證，包括：
6.根據權利要求5所述的可信控制器的點對點安全通信方法，其特征在于，所述利用所述預主密鑰對所述第一安全可信控制器與所述第二安全可信控制器之間所需傳輸的目標信息進行同步傳輸，包括：
7.根據權利要求6所述的可信控制器的點對點安全通信方法，其特征在于，所述根據所述目標密鑰長度，利用HKDF算法對所述預
8.一種可信控制器的點對點安全通信方法，其特征在于，應用于第二安全可信控制器，所述方法包括：
9.一種可信控制器的點對點安全通信裝置，其特征在于，應用于第一安全可信控制器，所述裝置包括：
10.一種電子設備，其特征在于，包括存儲器、處理器及存儲在所述存儲器上并可在所述處理器上運行的計算機程序，所述處理器執行所述計算機程序時實現所述權利要求1-8任一項所述的方法的步驟。
...【技術特征摘要】
1.一種可信控制器的點對點安全通信方法，其特征在于，應用于第一安全可信控制器，所述方法包括：
2.根據權利要求1所述的可信控制器的點對點安全通信方法，其特征在于，所述密鑰協商算法包括蜻蜓密鑰交換協議算法。
3.據權利要求2所述的可信控制器的點對點安全通信方法，其特征在于，所述基于密鑰協商算法和所述初始產品共享密鑰與第二安全可信控制器進行密鑰協商，得到產品共享密鑰，包括：
4.據權利要求1所述的可信控制器的點對點安全通信方法，其特征在于，所述存儲所述產品共享密鑰，包括：
5.據權利要求2所述的可信控制器的點對點安全通信方法，其特征在于，所述在與第二安全可信控制器進行連接時，基于所述產品共享密鑰進行雙向身份認證，包括：
6.根據權利要求5所述的可信控制器的點對點安全通...
【專利技術屬性】
技術研發人員：范兆紅，樂翔，韓寶林，尹俊杰，王建民，
申請(專利權)人：寧波和利時信息安全研究院有限公司，
類型：發明
國別省市：
還沒有人留言評論。發表了對其他瀏覽者有用的留言會獲得科技券。