模块化配电柜远程运行的隐私保护通信方法与流程

本发明属于数据通信安全与密码通信，具体为模块化配电柜远程运行的隐私保护通信方法。

背景技术：

1、现有模块化配电柜的远程运行通信通常由远程运行平台与柜端通信程序建立受保护会话，在完成身份认证后，将远程操作指令、状态响应及执行确认封装为通信报文，并采用会话密钥对报文内容进行加密，对报文附加完整性校验信息，以阻止传输过程中的内容窃取和报文篡改。为识别远程操作所对应的具体模块，通信过程中通常保留设备编号、模块编号、会话标识或者由固定身份信息转换得到的逻辑标识，远程平台依据这些标识将接收到的响应映射至对应模块。部分方案还采用周期换钥方式更新会话密钥，例如按照固定时间间隔、固定通信次数或者重新登录事件生成新的会话密钥，使不同阶段的报文使用不同密钥进行保护。此类处理主要围绕报文内容机密性和通信主体合法性展开，其身份标识、会话状态和密钥更新过程通常分别维护，报文之间的业务顺序主要通过请求序号、响应序号或者时间戳进行关联。

2、为减少固定设备标识长期暴露造成的信息泄露，部分现有方案进一步采用临时标识、随机标识或者经过摘要处理的设备标识替代真实编号，并在远程操作结束、连接重新建立或者达到预定周期后更新标识。与此对应，密钥管理通常仍以整条连接或者整个设备会话作为更新范围，当会话到达换钥条件时，由通信双方统一切换至新的密钥状态；出现报文异常、认证失败或者连接中断时，也多采用重新握手、重新协商密钥或者恢复至最近一次全局会话状态的方式继续通信。对于并行控制多个模块的场景，不同模块虽然可以分别发送请求和响应，但它们经常共享同一远程连接及同一阶段的会话密钥，模块间通信依赖统一的会话状态推进。临时标识能够降低真实身份直接暴露的程度，周期换钥能够缩短单一密钥持续使用时间，但二者之间缺乏与具体远程控制过程一致的状态绑定关系。

3、远程控制报文所体现的操作顺序、设备身份变化和会话密钥变化彼此缺少统一的因果约束，即使报文内容已经加密，攻击者仍可根据长期稳定或者按固定规律变化的通信标识，结合指令与响应之间持续存在的时间关系，对同一模块跨多次远程操作产生的通信记录进行关联。当采用统一周期换钥时，身份关联特征不会随着单次控制过程结束而同步消失；若缩短换钥周期，则多个并行模块需要频繁同步会话状态，并可能因某一分支通信异常触发整条连接重新协商。由此形成的技术矛盾是：通信系统需要在维持远程指令、响应及确认之间连续控制关系的同时，使模块身份表征和密钥状态随着真实控制因果关系局部演化，而现有按连接、按周期或者按固定标识管理的方式难以同时满足这两项约束，造成跨操作通信关联长期保留，并使单个异常控制分支容易扩大到其他正常分支的会话状态。

技术实现思路

1、本发明的目的在于提供模块化配电柜远程运行的隐私保护通信方法，可以解决上述背景技术中的问题。

2、为实现上述目的，本发明采取的技术方案为：

3、模块化配电柜远程运行的隐私保护通信方法，包括：获取远程操作对应的目标模块逻辑标识、操作类别、前序确认信息及预期响应类型，构造操作上下文指纹，并基于所述操作上下文指纹建立控制因果链节点；

4、依据当前会话密钥状态与所述操作上下文指纹生成仅对应当前控制因果链的动态通信别名；

5、将远程指令、柜端响应及执行确认分别与所述控制因果链节点绑定并进行加密传输；

6、在控制因果链闭合后，将闭合节点摘要与当前会话密钥状态输入密钥派生运算以生成下一会话密钥状态，并使所述动态通信别名失效；

7、在所述控制因果链异常终止时，仅迁移异常分支对应的会话密钥状态。

8、优选的，所述操作上下文指纹的构造包括：按照目标模块逻辑标识、操作类别、前序确认信息及预期响应类型的固定语义顺序形成上下文字段序列，将上一控制因果链节点摘要和当前会话随机量写入所述上下文字段序列，并使用当前会话密钥状态对应的消息认证密钥对所述上下文字段序列执行带密钥摘要运算，得到与前序控制状态连续关联的操作上下文指纹。

9、优选的，所述动态通信别名的生成包括：将所述操作上下文指纹、当前会话密钥状态标识及当前控制因果链序号组合为别名输入值，利用从当前会话密钥状态分离得到的别名派生密钥对所述别名输入值执行单向伪随机映射，并从映射结果中截取预定标识域长度的数据作为所述动态通信别名；

10、同一目标模块在不同控制因果链中采用不同的别名输入值。

11、优选的，所述远程指令、所述柜端响应及所述执行确认与所述控制因果链节点的绑定包括：为每一通信报文写入前驱节点摘要、当前报文角色标识及当前链位置标识，并根据所述操作上下文指纹与当前会话密钥状态生成报文认证标签；

12、接收端按照前驱节点摘要恢复报文在所述控制因果链中的前后关系，在认证标签验证通过且报文角色与当前链位置对应时，将所述通信报文登记为新的有效节点。

13、优选的，所述操作上下文指纹采用递推更新方式形成：每接收或发送一个经认证的有效节点，将所述有效节点中的报文角色标识、链位置标识及当前节点密文摘要与上一操作上下文指纹组合，生成新的上下文状态值；

14、在下一通信报文形成前，仅以新的上下文状态值替代上一操作上下文指纹参与所述消息认证密钥计算，并保留初始上下文字段序列作为当前控制因果链的起始绑定依据。

15、优选的，所述动态通信别名在所述控制因果链闭合时进行链间迁移：提取最后一个有效节点的节点摘要、闭合确认信息及当前会话密钥状态标识形成闭合输入值，由所述闭合输入值驱动别名派生密钥更新；

16、下一控制因果链建立时，使用更新后的别名派生密钥与新的操作上下文指纹重新生成动态通信别名，并将上一控制因果链对应的别名输入值登记为不可再次接受的历史输入。

17、优选的，在多个目标模块对应的远程操作并行存在时，为每一控制因果链分配独立的分支标识，并将所述分支标识写入所述前驱节点摘要的认证输入；

18、同一分支中的节点仅引用本分支前驱节点摘要，不同分支之间禁止交叉引用；

19、当执行确认结束对应分支时，将分支最后有效节点摘要写入分支闭合记录，并由未闭合分支继续沿各自前驱节点摘要形成独立的认证连续关系。

20、优选的，在所述控制因果链发生超时、认证失败或顺序冲突时，将最近一个通过认证的有效节点确定为异常分支锚点，基于所述异常分支锚点的节点摘要、异常类型标识及当前分支标识形成迁移输入值；

21、利用当前会话密钥状态中的分支派生密钥处理所述迁移输入值，生成新的分支密钥状态，并将异常节点及其后继未确认节点标记为不可作为后续前驱节点引用。

22、优选的，新的分支密钥状态生成后，将所述异常分支锚点对应的递推上下文状态值与所述迁移输入值共同写入分支恢复状态；

23、恢复通信时，以所述分支恢复状态作为新的操作上下文指纹起点，并由新的分支密钥状态生成首个恢复节点的报文认证标签；

24、首个恢复节点同时携带异常分支锚点摘要与恢复序号，后续节点仅沿首个恢复节点重新建立前驱引用关系。

25、优选的，在所述控制因果链闭合或异常恢复完成后，将对应分支的最终节点摘要、当前动态通信别名状态及分支密钥状态组合形成会话检查点，并使用所述当前会话密钥状态对应的检查点认证密钥生成完整性标签；

26、后续发生报文丢失或双方状态不一致时，仅接受能够通过所述完整性标签验证且与当前分支标识一致的最近会话检查点，并据此恢复别名派生状态、分支密钥状态及前驱节点引用起点。

27、与现有技术相比，本发明的有益效果在于：

28、1.通过将目标模块逻辑标识、操作类别、前序确认信息及预期响应类型组合形成操作上下文指纹，并利用操作上下文指纹建立控制因果链节点，使远程指令、柜端响应与执行确认均沿确定的前驱关系形成连续认证链；当前会话密钥状态再与操作上下文指纹共同参与动态通信别名生成，使同一目标模块在不同控制因果链中对应不同的通信表征。控制因果链闭合后，闭合节点摘要参与下一会话密钥状态派生，同时使上一动态通信别名失效，由此使模块身份表征变化和密钥状态变化均由实际远程控制过程触发，而不是依赖固定时间或固定报文数量。攻击者即使持续获得密文报文，也难以仅依据稳定标识或者规律换号关系将前后两次控制过程直接归并至同一模块；历史控制因果链所使用的别名和密钥状态在链闭合后退出后续通信，降低跨操作身份关联和历史密文继续参与后续会话的可能性。

29、2.操作上下文指纹采用节点递推方式更新后，每一经认证的报文均把报文角色、链位置及当前节点密文摘要并入后续上下文状态，使插入、调换或者脱离前驱关系的报文无法沿原有认证连续关系继续推进。多个目标模块并行运行时，各控制因果链通过独立分支标识和独立前驱节点摘要保持分离，当某一分支发生超时、认证失败或顺序冲突时，以最近通过认证的有效节点作为异常分支锚点，仅依据对应分支的节点摘要、异常类型及分支标识生成新的分支密钥状态，其余未闭合分支保持原有认证连续关系。配合会话检查点保存最终节点摘要、动态通信别名状态和分支密钥状态，可在报文丢失或双方状态不一致时从经过完整性校验的最近检查点恢复对应分支，而无需重置全部并行会话，限制异常传播范围，并保持不同控制分支之间的密钥状态、别名状态和前驱引用关系相互隔离。