本發(fā)明涉及一種利用國密算法的工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法及系統(tǒng)。

背景技術(shù)：

隨著我國兩化深度融合和物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件，以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接，病毒、木馬、工業(yè)間諜等威脅正在向工業(yè)控制系統(tǒng)擴散，工業(yè)控制系統(tǒng)信息安全問題日益突出。

目前，作為工業(yè)自動化生產(chǎn)系統(tǒng)基本單元和核心的傳統(tǒng)RTU產(chǎn)品，負(fù)責(zé)生產(chǎn)現(xiàn)場的常規(guī)信息收集和直接傳輸，并不具備與信息安全相關(guān)的設(shè)計和防護(hù)措施，面臨著嚴(yán)重的“互聯(lián)互通”帶來的通信安全問題，包括無法有效保證每一臺接入終端的安全操作控制，在終端設(shè)備不知情的情況下，信息不被讀?。蝗狈ヂ?lián)互通過程中的數(shù)據(jù)加密機制，無法預(yù)防信息在通訊傳輸中途被截取而泄密；缺乏互聯(lián)互通過程中的傳輸隔離機制，無法防御協(xié)議層的雙向非法入侵和攻擊。

技術(shù)實現(xiàn)要素：

本發(fā)明的目的在于克服現(xiàn)有技術(shù)中存在的上述不足，而提供一種設(shè)計合理的工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法及系統(tǒng)。

本發(fā)明解決上述問題所采用的技術(shù)方案是：

一種工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法，其特征在于：包括以下步驟：

步驟1：第一加解密裝置與第二加解密裝置通電后，第一加解密裝置自動配對第二加解密裝置；

步驟2：第一業(yè)務(wù)終端輸出業(yè)務(wù)數(shù)據(jù)明文至第一加解密裝置進(jìn)行加密；

步驟3：第一加解密裝置加密后的業(yè)務(wù)數(shù)據(jù)在與第一加解密裝置相配對的第二加解密裝置之間傳輸；

步驟4：第二加解密裝置接收到第一加解密裝置發(fā)送的密文后進(jìn)行解密，得到業(yè)務(wù)數(shù)據(jù)明文；

步驟5：第二加解密裝置解密得到的業(yè)務(wù)數(shù)據(jù)明文傳輸給第二業(yè)務(wù)終端，由第二業(yè)務(wù)終端來執(zhí)行相應(yīng)數(shù)據(jù)處理和業(yè)務(wù)操作,

所述步驟1中的第一加解密裝置和第二加解密裝置將各自創(chuàng)建SM2非對稱算法公私鑰對，私鑰對應(yīng)存儲在第一加解密裝置的內(nèi)部寄存器中和第二加解密裝置的內(nèi)部寄存器中，用于第一加解密裝置和第二加解密裝置的簽名和業(yè)務(wù)數(shù)據(jù)解密；公鑰發(fā)布給配對的第二加解密裝置和第一加解密裝置，用于配對的第二加解密裝置和第一加解密裝置進(jìn)行簽名驗證和業(yè)務(wù)數(shù)據(jù)加密。

進(jìn)一步作為優(yōu)選，所述步驟1中的配對的第一加解密裝置和第二加解密裝置之間將利用雙方的公鑰參數(shù)進(jìn)行密鑰協(xié)商生成會話密鑰，用于SM1對稱分組加解密。

進(jìn)一步作為優(yōu)選，所述步驟2中第一加解密裝置采用SM2非對稱分組算法對業(yè)務(wù)數(shù)據(jù)明文進(jìn)行加密得到業(yè)務(wù)數(shù)據(jù)密文，所述步驟4中第二加解密裝置采用SM2非對稱分組算法對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行解密得到業(yè)務(wù)數(shù)據(jù)明文。

進(jìn)一步作為優(yōu)選，所述步驟2中第一加解密裝置采用SM1對稱分組算法對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行二次加密得到傳輸密文，所述步驟4中第二加解密裝置采用SM1對稱分組算法對傳輸密文進(jìn)行解密得到業(yè)務(wù)數(shù)據(jù)密文。采用SM1對稱分組算法對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行二次加密得到傳輸密文，實現(xiàn)了多重加密的信息安全防護(hù)機制，提高了保密性。

進(jìn)一步作為優(yōu)選，所述步驟2中第一加解密裝置自適應(yīng)業(yè)務(wù)終端數(shù)據(jù)傳輸協(xié)議，不需要更改業(yè)務(wù)終端軟硬件，所述步驟5中第二加解密裝置自適應(yīng)業(yè)務(wù)終端數(shù)據(jù)傳輸協(xié)議，不需要更改業(yè)務(wù)終端軟硬件。

進(jìn)一步作為優(yōu)選，所述步驟3中配對的第一加解密裝置和第二加解密裝置之間之間采用適合長距離傳輸?shù)耐ㄐ欧绞絺鬏斆芪摹?/p>

一種用于上述工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法的工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密系統(tǒng)，其特征在于：包括第一業(yè)務(wù)終端、第一加解密裝置、第二加解密裝置以及第二業(yè)務(wù)終端，第一加解密裝置、第二加解密裝置均包括裝置殼體以及安裝在裝置殼體內(nèi)的加解密電路，所述加解密電路包括電源模塊、電源接口、第一HSC08K1國密算法芯片、第二HSC08K1國密算法芯片，第一HSC08K1國密算法芯片連接至第二HSC08K1國密算法芯片，第一HSC08K1國密算法芯片連接至業(yè)務(wù)終端UART接口和密文傳輸UART接口，第二HSC08K1國密算法芯片連接至連接至業(yè)務(wù)終端UART接口和密文傳輸UART接口，第一HSC08K1國密算法芯片、第二HSC08K1國密算法芯片連接至電源模塊，電源模塊連接至電源接口，第一業(yè)務(wù)終端通過第一UART總線連接至第一加解密裝置的業(yè)務(wù)終端UART接口，第一加解密裝置的密文傳輸UART接口通過第二UART總線連接至第二加解密裝置的密文傳輸UART接口，第二加解密裝置的業(yè)務(wù)終端UART接口通過第三UART總線連接至第二業(yè)務(wù)終端。

進(jìn)一步作為優(yōu)選，所述第一業(yè)務(wù)終端和第二業(yè)務(wù)終端采用RTU或PLC或中控計算機。

進(jìn)一步作為優(yōu)選，第一加解密裝置、第二加解密裝置均內(nèi)置SM1分組對稱加密算法和SM2非對稱算法。

本發(fā)明與現(xiàn)有技術(shù)相比，具有以下優(yōu)點和效果：本發(fā)明工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法及系統(tǒng)可以對工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)進(jìn)行數(shù)據(jù)加密保護(hù)，可以有效保證每一臺接入終端的安全操作控制，通過互聯(lián)互通過程中的數(shù)據(jù)加密機制，可以預(yù)防信息在通訊傳輸中途被截取而泄密；便于業(yè)務(wù)終端之間在互聯(lián)互通過程中的形成傳輸隔離機制，可以有效防御協(xié)議層的雙向非法入侵和攻擊。

國密SM2非對稱分組算法的私鑰每次上電動態(tài)變化，且不可導(dǎo)出，無法通過公鑰反推出私鑰，來對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行解密，具有成本低、性能好、保密性強等特點。由于用于國密SM1加解密的會話密鑰不可見，進(jìn)而使得業(yè)務(wù)數(shù)據(jù)密文不可見，相當(dāng)于給業(yè)務(wù)數(shù)據(jù)密文又加了一層殼；只有滿足動態(tài)身份簽名驗證條件的配對模塊之間才能進(jìn)行數(shù)據(jù)收發(fā)，簽名驗證是動態(tài)隨機的，杜絕偽造終端，屏蔽有害數(shù)據(jù)注入。因此，配對加解密裝置傳輸過程中被非法竊取的數(shù)據(jù)不能被識別；非法注入的數(shù)據(jù)不會被響應(yīng)，對業(yè)務(wù)應(yīng)用數(shù)據(jù)起到了良好的信息保護(hù)作用。

附圖說明

圖1是本發(fā)明實施例工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密系統(tǒng)的運行原理圖。

圖2是本發(fā)明實施例第一加解密裝置的結(jié)構(gòu)框圖。

具體實施方式

下面通過實施例對本發(fā)明作進(jìn)一步的詳細(xì)說明，以下實施例是對本發(fā)明的解釋而本發(fā)明并不局限于以下實施例。

本實施例一種工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法，其特征在于：包括以下步驟：

步驟1：第一加解密裝置與第二加解密裝置通電后，第一加解密裝置自動配對第二加解密裝置；

步驟2：第一業(yè)務(wù)終端輸出業(yè)務(wù)數(shù)據(jù)明文至第一加解密裝置進(jìn)行加密；

步驟3：第一加解密裝置加密后的業(yè)務(wù)數(shù)據(jù)在與第一加解密裝置相配對的第二加解密裝置之間傳輸；

步驟4：第二加解密裝置接收到第一加解密裝置發(fā)送的密文后進(jìn)行解密，得到業(yè)務(wù)數(shù)據(jù)明文；

步驟5：第二加解密裝置解密得到的業(yè)務(wù)數(shù)據(jù)明文傳輸給第二業(yè)務(wù)終端，由第二業(yè)務(wù)終端來執(zhí)行相應(yīng)數(shù)據(jù)處理和業(yè)務(wù)操作。

所述步驟1中的第一加解密裝置和第二加解密裝置將各自創(chuàng)建SM2非對稱算法公私鑰對，私鑰對應(yīng)存儲在第一加解密裝置的內(nèi)部寄存器中和第二加解密裝置的內(nèi)部寄存器中，用于第一加解密裝置和第二加解密裝置的簽名和業(yè)務(wù)數(shù)據(jù)解密；公鑰發(fā)布給配對的第二加解密裝置和第一加解密裝置，用于配對的第二加解密裝置和第一加解密裝置進(jìn)行簽名驗證和業(yè)務(wù)數(shù)據(jù)加密。

所述步驟1中的配對的第一加解密裝置和第二加解密裝置之間將利用雙方的公鑰參數(shù)進(jìn)行密鑰協(xié)商生成會話密鑰，用于SM1對稱分組加解密。

所述步驟2中第一加解密裝置采用SM2非對稱分組算法對業(yè)務(wù)數(shù)據(jù)明文進(jìn)行加密得到業(yè)務(wù)數(shù)據(jù)密文，所述步驟4中第二加解密裝置采用SM2非對稱分組算法對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行解密得到業(yè)務(wù)數(shù)據(jù)明文。

所述步驟2中第一加解密裝置采用SM1對稱分組算法對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行二次加密得到傳輸密文，所述步驟4中第二加解密裝置采用SM1對稱分組算法對傳輸密文進(jìn)行解密得到業(yè)務(wù)數(shù)據(jù)密文。采用SM1對稱分組算法對業(yè)務(wù)數(shù)據(jù)密文進(jìn)行二次加密得到傳輸密文，實現(xiàn)了多重加密的信息安全防護(hù)機制，提高了保密性。

所述步驟2中第一加解密裝置自適應(yīng)業(yè)務(wù)終端數(shù)據(jù)傳輸協(xié)議，不需要更改業(yè)務(wù)終端軟硬件，所述步驟5中第二加解密裝置自適應(yīng)業(yè)務(wù)終端數(shù)據(jù)傳輸協(xié)議，不需要更改業(yè)務(wù)終端軟硬件。

所述步驟3中配對的第一加解密裝置和第二加解密裝置之間之間采用適合長距離傳輸?shù)耐ㄐ欧绞絺鬏斆芪摹?/p>

如圖1-圖2，本實施例還相應(yīng)提供一種用于上述工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密方法的工業(yè)自動化生產(chǎn)業(yè)務(wù)數(shù)據(jù)傳輸加解密系統(tǒng)，包括第一業(yè)務(wù)終端、第一加解密裝置、第二加解密裝置以及第二業(yè)務(wù)終端，第一加解密裝置、第二加解密裝置均包括裝置殼體以及安裝在裝置殼體內(nèi)的加解密電路，所述加解密電路包括電源模塊、電源接口、第一HSC08K1國密算法芯片、第二HSC08K1國密算法芯片，第一HSC08K1國密算法芯片連接至第二HSC08K1國密算法芯片，第一HSC08K1國密算法芯片連接至業(yè)務(wù)終端UART接口和密文傳輸UART接口，第二HSC08K1國密算法芯片連接至連接至業(yè)務(wù)終端UART接口和密文傳輸UART接口，第一HSC08K1國密算法芯片、第二HSC08K1國密算法芯片連接至電源模塊，電源模塊連接至電源接口，第一業(yè)務(wù)終端通過第一UART總線連接至第一加解密裝置的業(yè)務(wù)終端UART接口，第一加解密裝置的密文傳輸UART接口通過第二UART總線連接至第二加解密裝置的密文傳輸UART接口，第二加解密裝置的業(yè)務(wù)終端UART接口通過第三UART總線連接至第二業(yè)務(wù)終端。第一加解密裝置、第二加解密裝置均內(nèi)置SM1分組對稱加密算法和SM2非對稱算法。

現(xiàn)有工業(yè)自動化生產(chǎn)現(xiàn)場的第一業(yè)務(wù)終端和第二業(yè)務(wù)終端一般采用RTU或PLC或中控計算機。

本方案基于國密SM1算法和SM2算法設(shè)計了一種對RTU或PLC等工業(yè)生產(chǎn)現(xiàn)場設(shè)備業(yè)務(wù)數(shù)據(jù)傳輸進(jìn)行加解密的系統(tǒng)。國密SM1算法和SM2算法，是由國家密鑰管理局編制的商用密碼算法。

本方案設(shè)計的加密方案采取了多重加密的信息安全防護(hù)機制，硬件實現(xiàn)國密SM1對稱算法和非對稱SM2算法，具有成本低、性能好、保密性強等特點?？梢允沟脗鬏斶^程中被非法竊取的業(yè)務(wù)數(shù)據(jù)不能被識別；非法注入的業(yè)務(wù)數(shù)據(jù)不會被響應(yīng)，對業(yè)務(wù)應(yīng)用數(shù)據(jù)起到了良好的信息保護(hù)作用。

關(guān)于國密SM1和SM2算法的加解密方法的說明：

國密SM1算法是國家密碼管理局編制的一種商用密碼分組標(biāo)準(zhǔn)對稱算法。該算法是國家密碼管理部門審批的SM1分組密碼算法，分組長度和密鑰長度都是128位，算法安全保密強度及相關(guān)軟硬件實現(xiàn)性能與AES相當(dāng)，該算法不公開，僅以IP核的形式存在于芯片中。采用該算法已經(jīng)研制了系列芯片、智能IC卡、智能密碼鑰匙、加密卡、加密機等安全產(chǎn)品。廣泛應(yīng)用于電子政務(wù)、電子商務(wù)及國民經(jīng)濟(jì)的各個應(yīng)用領(lǐng)域。

國密SM2算法基于橢圓曲線公鑰密碼算法，加密強度為256位，和RSA算法都屬于非對稱公鑰密碼算法，使用公鑰進(jìn)行加密而使用私鑰進(jìn)行解密。相比而言，SM2算法是一種更先進(jìn)安全的算法，隨著密碼技術(shù)和計算技術(shù)的發(fā)展，目前常用的1024位RSA算法面臨嚴(yán)重的安全威脅，我們國家密碼管理部門經(jīng)過研究，在我們國家商用密碼體系中采用SM2橢圓曲線算法替換RSA算法，并要求對現(xiàn)有基于RSA算法的電子認(rèn)證、密鑰管理、應(yīng)用系統(tǒng)進(jìn)行升級改造。國家商用密碼管理辦公室于2010年12月17日發(fā)布了SM2橢圓曲線公鑰密碼算法。

第一加解密裝置以及第二加解密裝置采用HSC08K1來實現(xiàn)，HSC08K1是宏思電子采用國產(chǎn)主控CPU自主設(shè)計的一款低功耗、低成本、高安全性、多功能的密碼安全芯片。該安全芯片集成了高速安全加密算法和通訊接口。HSC08K1國密算法芯片支持國家密碼管理局制定的對稱密碼算法、非對稱密碼算法和雜湊算法。

HSC08K1國密算法芯片是一款集成各種硬件算法為一身的硬件加密設(shè)備。用戶在無需關(guān)注硬件驅(qū)動和電路設(shè)計的情況下，直接編寫COS程序，調(diào)用安全芯片提供的算法接口、存儲接口等，即可迅速完成安全產(chǎn)品或方案的開發(fā)。此類安全產(chǎn)品可以應(yīng)用于電力配網(wǎng)、城市管網(wǎng)、環(huán)保排污等需要對業(yè)務(wù)數(shù)據(jù)進(jìn)行保護(hù)的工業(yè)自動化生產(chǎn)領(lǐng)域。

關(guān)于HSC08K1國密算法芯片硬件連接說明：

HSC08K1國密算法芯片提供多種總線連接方式，包括SPI(Serial Peripheral Interface，串行外圍設(shè)備接口)，UART串行通訊接口以及USB(Universal Serial Bus)等。在工業(yè)自動化生產(chǎn)領(lǐng)域中，UART串行通訊接口應(yīng)用最為廣泛，RTU或PLC等現(xiàn)場操作單元基本上都有配置。因此，本方案使用HSC08K1國密算法芯片的UART接口實現(xiàn)與業(yè)務(wù)終端的直接連接。

關(guān)于軟件通信方法的說明：

1)配對使用的加解密裝置配對初始化。

初始化成功后，將在第一加解密裝置以及第二加解密裝置內(nèi)部創(chuàng)建非對稱算法公私鑰對。私鑰對應(yīng)存儲在第一加解密裝置以及第二加解密裝置的內(nèi)部寄存器中，用于模塊簽名和業(yè)務(wù)數(shù)據(jù)解密；公鑰發(fā)布給配對的第二加解密裝置以及第一加解密裝置，用于配對模塊簽名驗證和業(yè)務(wù)數(shù)據(jù)加密。與此同時，配對模塊之間會進(jìn)行密鑰協(xié)商生成會話密鑰，用于第一加解密裝置和第二加解密裝置之間數(shù)據(jù)傳輸過程對稱分組加解密。

2)使用第一加解密裝置以及第二加解密裝置對業(yè)務(wù)終端之間傳輸?shù)臉I(yè)務(wù)數(shù)據(jù)進(jìn)行加解密。

本說明書中所描述的以上內(nèi)容僅僅是對本發(fā)明所作的舉例說明。本發(fā)明所屬技術(shù)領(lǐng)域的技術(shù)人員可以對所描述的具體實施例做各種各樣的修改或補充或采用類似的方式替代，只要不偏離本發(fā)明說明書的內(nèi)容或者超越本權(quán)利要求書所定義的范圍，均應(yīng)屬于本發(fā)明的保護(hù)范圍。