2025-12-25 02:52:07 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 文档解析电力行业IEC62351-3标准中的PKI系统，阐述非对称加密、数字证书及CA机构等核心概念，旨在解决身份认证与通信安全问题。重点介绍了从根CA到RA的硬件架构，强调服务器密码机在密钥保护中的核心作用及物理隔离措施。 综合评分： 82 文章分类： IoT安全,技术标准,安全建设,数据安全

cover_image

【大话工控安全】工业控制系统行业知识：电力行业通信安全标准IEC62351（GB/T 25320）-PART3数字认证证书系统

原创

老付话安全

2025年12月23日 20:35 山东

点击蓝字

关注我们

关注我，带给你不一样的精彩

世界因你的沉淀而出彩

始于理论，源于实践，终于实战

老付话安全，每天一点点

激情永无限，进步看得见

严正声明

本号所写文章方法和工具只用于学习和交流，严禁使用文章所述内容中的方法未经许可的情况下对生产系统进行方法验证实施，发生一切问题由相关个人承担法律责任，其与本号无关。

特此声明！！！

本文字数：

5436字

阅读时间：

14分钟

IEC 62351标准的第三部分（IEC 62351-3）主要强调电力系统通信的机密性、完整性和身份认证，其核心是身份认证。身份认证依赖数字证书认证系统，即公钥基础设施（PKI, Public Key Infrastructure），它是一个复杂的体系。

在数字世界中，当两个实体（人、设备、服务器）进行交互时，面临三大根本问题：

身份认证：你怎么证明“你是你”？如何防止他人冒充？
通信安全：如何确保信息在传输中不被窃听、不被篡改？
行为抗抵赖：如何防止对方事后否认其行为（如否认签过合同、发过指令）？

数字认证系统（PKI）的核心目标，就是通过一套基于密码学的技术、流程和权威机构体系，来系统性地解决这三个问题，从而在匿名、开放的互联网上建立可控的、可靠的信任关系。

要理解PKI，必须先掌握以下几个基石概念：

1. 非对称加密与密钥对

这是PKI的数学基础。

密钥对：包含一个公钥和一个私钥。它们由数学算法（如RSA， ECC， SM2）生成，成对出现，特性互补。
核心特性：
公钥：可以公开给任何人，用于加密或验证签名。
私钥：必须由所有者绝对保密地持有，用于解密或生成签名。
用公钥加密的数据，只有对应的私钥能解密。
用私钥签名后的数据，任何持有对应公钥的人都能验证签名真伪。
作用：完美实现了“公开”与“私有”的分离，解决了在不安全信道下安全交换秘密（对称密钥）的问题。

2. 数字证书

这是PKI的信任载体，相当于网络世界的“身份证”或“营业执照”。

本质：一个数字文件，其核心内容是 证书持有者的身份信息 + 其公钥。
关键要素：
持有者信息：名称、组织、域名等。
持有者公钥。
签发者信息：谁为这张证书背书。
有效期：起止日期。
数字签名：由证书颁发机构的私钥对上述所有信息计算得出的签名。这是证书可信的根源！
作用：它将一个实体的身份与其公钥进行强绑定。你信任的不是公钥本身，而是签发机构的签名保证了“这个公钥确实属于这个人/这个域名”。

3. 证书颁发机构

这是PKI的信任锚点，是整个体系的“公证处”和“公安局”。

职责：
验证申请者身份：执行严格的审核流程。
签发数字证书：用自己的私钥为申请者的（身份+公钥）组合签名。
管理证书生命周期：包括发布、更新、吊销（当证书对应的私钥泄露或持有者信息变更时）。
层级：
根CA：处于信任链顶端，自签证书，其公钥预装在操作系统、浏览器等信任库中，成为全球公认的“信任起点”。它通常离线，只用于签发中间CA的证书。
中间CA/子CA：由根CA签发证书，负责具体的业务签发。这样做的好处是隔离风险（即使子CA私钥泄露，根CA可吊销其证书，而不影响整个体系），并便于分布式管理。
信任链：根CA公钥（预装） -> 验证中间CA证书 -> 验证最终用户证书，形成一条可逐级追溯的信任路径。

4. 数字签名

这是PKI实现认证和抗抵赖的技术手段。

过程：

签名者对原始数据计算一个哈希值（数据的“数字指纹”）。
用签名者的私钥对这个哈希值进行加密，得到的结果就是数字签名。
将原始数据和签名一同发送给接收方。

验证过程：
数据完整性：数据在传输中未被篡改。
身份认证：签名确实来自持有对应私钥的人。
抗抵赖：因为只有签名者持有私钥，所以他无法否认自己签过名。

接收方用相同的哈希算法计算收到数据的哈希值。
用签名者对外公开的公钥（通常来自其数字证书）去解密接收到的签名，得到一个哈希值。
对比两个哈希值。如果一致，则证明：

PKI的本质是信任的传递和验证系统。系统工作原理：信任的建立与传递，详细流程如下：

流程详解：

申请与审核：用户生成密钥对，将身份信息和公钥（以CSR格式）提交给CA/RA进行严格审核。
签发与绑定：CA审核通过后，使用自己的私钥对“用户身份+用户公钥”进行签名，生成数字证书。这一签名行为，就是CA以其自身信誉对这个绑定关系进行的“公证”。
证书使用：用户（如网站服务器）在需要证明自己身份时（如建立HTTPS连接），将证书发送给对方。
信任验证（最关键步骤）：验证方（如浏览器）执行以下链式验证：

获取证书：收到对方证书。
找到信任锚：在本地受信任的根证书库中，找到签发该证书的CA的根证书（或其上级证书）。
验证签名：使用CA的公钥（从根证书中获得）来验证用户证书上CA签名的有效性。如果验证通过，则意味着“我信任CA，而CA告诉我这个公钥属于这个人，所以我也信任这个人和他的公钥”。
检查状态：进一步查询CRL或OCSP，确保证书未被吊销。
应用策略检查：检查证书是否在有效期内、用途是否符合（如SSL证书的域名是否匹配）等。

信任建立：全部验证通过后，验证方信任了证书中携带的公钥属于对方，随后的安全通信（如协商会话密钥）才得以进行。

关键支撑组件与概念

注册机构：负责接收、审核申请，是CA的“前台”。RA不签发证书，只做审核工作。
证书吊销列表 / 在线证书状态协议：管理证书的“黑名单”。即使证书在有效期内，如果私钥泄露，也需要立即吊销。CRL是定期发布的列表，OCSP是实时查询协议。
证书策略与认证实践声明：规定CA在运营中必须遵守的安全标准和操作流程，是CA可信度的制度保证。
时间戳服务：为电子签名等行为提供权威、可信的时间证明，解决“何时签名”的问题。

一套完整的PKI系统硬件组成，尤其是用于大中型机构或公众服务的CA中心，其硬件是分层级、分角色设计的，核心原则是安全隔离。

*核心硬件：HSM/服务器密码机：这是整个系统的“心脏”，所有私钥都在其内部生成、存储和运算，永不导出，提供最高等级的物理和逻辑保护。*

服务器密码机介绍

服务器密码机可以满足应用系统数据的签名/验证、加密/解密的要求，保证传输信息的机密性、完整性和有效性，同时提供安全、完善的密钥管理机制。

密码机要支持 SM2、SM9 等国密标准非对称算法；RSA、DSA、ECDSA、EdDSA 等国际标准非对称算法。同时还要支持 SM1、SM4、SM7、ZUC 等国密标准对称算法和DES/3DES、AES 等国际标准对称算法。还要支持 SM3、SHA1/SHA2、MD5 等杂凑算法。

密码机在数字证书认证系统中的典型整体架构和部署图

数字证书认证系统是 PKI/CA 应用的基础产品，主要实现数字证书的申请、更新、吊销、查询。可以有效地解决网络上数据传输的安全性、数据的完整性、身份认证和交易的不可否认性等问题。

服务器密码机在数字证书认证系统中，可提供密钥对的产生、数字签名、签名验证、核心密钥的安全存储、敏感数据加解密、数据的完整性校验等基础密码服务。

服务区（业务处理区）设备与功能详解：

证书申请流程：

用户终端 → 防火墙 → 注册服务器（审核） → 服务区密码机（生成密钥对）

证书查询流程：

用户终端 → 目录服务器（获取证书/CRL）

核心区（信任根区）设备与功能详解：

核心区的极致安全措施：

物理隔离：

无互联网连接，甚至无常规网络连接
通过单向数据二极管或安全数据交换平台从服务区接收数据
通常位于屏蔽机房、有生物识别门禁

操作流程：

1. 服务区收集的证书申请批量传输到核心区

2. 管理员在核心区登录签发服务器（需UKey+密码+生物识别）

3. 签发服务器调用密码机进行签名（私钥不出硬件）

&nbsp;4. 签发的证书传回服务区目录服务器发布

3.密钥保护：

根CA私钥：离线存储，可能存放在智能卡或专用硬件中，存放在保险库
签发CA私钥：在密码机内部，永不导出
密钥备份：使用n-of-m分片技术，分给多个授权人保管

完整证书生命周期流程

密钥管理系统

密钥管理系统可为业务系统提供各种密钥的全生命周期集中管理，用以实现系统内所需全部密钥的注入、生成、导出、备份、恢复、更新、销毁等全生命周期的安全保护。

服务器密码机在密钥管理系统中，可提供各子系统或业务系统的主密钥/密钥对、密钥加密密钥/密钥对的安全存储及保护、各系统间数据传输的加密保护、身份认证信息的签名/ 验证、重要业务数据和用户信息在数据库中存储时的加密保密和完整性验证等功能。

密钥管理系统整体架构和部署图：

典型的分层、分域密钥管理系统，遵循”集中管理、分散使用”的原则。逻辑层次结构为：

应用层（业务系统） → 管理层（密钥服务） → 核心层（根密钥）

组件详解与工作原理

1. 业务系统区域（左侧）

业务系统 I/II/III

作用：具体的业务应用系统，如支付系统、OA系统、CRM系统等
位置：每个业务系统独立部署
安全需求：需要密钥进行数据加密、身份认证、数字签名等操作

服务器密码机（业务侧）

作用：为业务系统提供本地化密码运算服务
关键特性：
存储业务工作密钥（加密业务数据的密钥）
密钥以加密形式存储，使用时在密码机内部解密
提供标准API接口（PKCS#11、JCE等）
工作原理：

接收业务服务器的加密请求
在密码机内部使用业务密钥进行运算
返回加密结果，密钥永不离开硬件

客户端 + 读卡器

作用：用户身份认证终端
工作原理：

用户插入智能卡（内含用户证书和私钥）
客户端读取证书，发送到业务服务器进行身份验证
验证通过后，用户获得相应权限

2. 密钥服务区域（中部）

SKMC-I / SKMC-II（安全密钥管理中心）

作用：区域密钥管理中心，负责管理特定区域的业务密钥
层级关系：SKMC-I 和 SKMC-II 可能是不同安全等级或不同地理区域的中心
核心组件：

安全认证网关

作用：控制对密钥管理服务的访问
工作原理：

验证请求来源的身份（基于证书）
检查访问权限
记录访问日志
转发合法请求到业务密钥管理服务器

3. 核心密钥管理中心（KMC）

KMC主机

作用：最高级别的密钥管理中心，管理整个组织的密钥体系
管理范围：
根密钥的生成与保护
密钥策略制定与分发
下级SKMC的证书颁发
全局密钥审计

服务器密码机（KMC侧）

作用：存储和保护根密钥
安全等级：最高，通常符合FIPS 140-2 Level 3/4标准
保护机制：
物理防拆设计
多因素认证访问
操作需多人授权

证书认证系统

作用：为整个密钥管理体系提供身份认证服务
颁发证书给：

所有密码机设备
管理服务器
管理员（智能密码钥匙）
业务系统服务账号

综合管理服务器

作用：提供统一管理界面
功能：
密钥策略配置
系统状态监控
审计日志查看
报警管理

管理终端 + 智能密码钥匙

作用：管理员操作终端
认证方式：双因素认证（智能卡+密码）
权限分级：不同管理员有不同的操作权限

end

@请赐予我力量吧，关注和转发是最大的支持@

+VX：TCMAFNS119 欢迎进群交流

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：老付话安全老付话安全《【大话工控安全】工业控制系统行业知识：电力行业通信安全标准IEC62351（GB/T 25320）-PART3数字认证证书系统》