一种基于IEC62351的MMS报文离线分析方法

摘要

本发明提供了一种基于IEC62351的MMS报文离线分析方法，包括对基于IEC61850规约MMS报文进行改造形成基于IEC62351的MMS报文，以及对基于IEC62351的MMS报文进行离线分析。本发明基于IEC62351MMS报文是在基于IEC61850MMS报文基础上作了安全强化，即改造IEC61850规约MMS报文形成基于IEC62351的MMS报文。针对基于IEC61850MMS协议安全强化涉及OSI 7层模型中的传输层和应用层。传输层的安全强化通过TLS协议完成，应用层安全强化通过扩展MMS关联请求报文和响应报文完成。

主权项

一种基于IEC62351的MMS报文离线分析方法，其特征在于包括以下步骤：首先，对基于IEC61850规约MMS报文进行改造形成基于IEC62351的MMS报文，改造过程包括如下步骤：1.1基于IEC61850规约MMS报文在传输层的改造：在传输层添加安全传输协议SSL/TLS，对应用层数据进行加密通信；1.2基于IEC61850规约MMS报文在应用层的改造：对IEC 61850规约MMS用户在进入MMS环境之前，在MMS关联建立时对MMS用户进行认证，即使用ACSE关联认证结构来进行MMS协议的认证；接着，对基于IEC62351的MMS报文进行离线分析，具体过程如下：2.1、对传输层加密报文的解码；在进行传输层进行连接的同时，MMS通讯的双方，即服务端及客户端，实时发送一份自身的密钥信息给“网络分析仪”设备，网络分析仪设备将根据接收到的密钥信息对相对应的MMS报文进行离线分析，其中离线分析过程如下：“网络分析仪”设备收到服务器及客户端发送的包含自身密钥信息的UDP报文后，存入“密钥数据库”中，提取UDP报文中以下三类信息：a)源IP地址：用于判定具体哪个设备的密钥信息；b)密钥信息：用于解密对应的加密报文；c)报文接收时间：用于计算密钥生存时间；所述密钥生存时间计算方法是：同一源IP发送的UDP报文中，将当前接收到的UDP报文时间减去上一次接收到UDP报文的时间；再将MMS报文接收时间和源IP地址作为关键字，匹配“密钥数据库”中源IP地址以及报文生成时间，进而获取每帧MMS报文对应密钥信息；找到对应的密钥信息后，运用此密钥信息将每帧离线报文进行传输层的加密信息进行解码；2.2对应用层报文ACSE部分的解码，具体过程如下：在传输层报文加密信息解密后，按照ASN.1解码规则解码ACSE部分内容以进行关联认证，步骤如下：2.2.1：按照ASN.1解码规则读取ACSE中的SignatureCertificate、SignValue和Time字段；2.2.2：读取SignatureCertificate中的数字证书公钥；2.2.3：使用数字证书公钥解密SignedValue字段，获取哈希值HASH1；2.2.4：将Time字段作为输入，通过哈希算法，计算哈希值HASH2；2.2.5：比较HASH1和HASH2，如相同，校验通过，否则校验不通过。