安全传输应用场景:
- 请求为明文+RN,应答为明文+MAC
- 请求为密文+SID,应答为密文
- 请求为密文+SID_MAC,应答为密文+MAC
- 请求为明文+RN_MAC,应答为明文+MAC
- 请求为明文+SID_MAC,无应答
不需要建立应用连接的三种应用场景:
1. 明文+随机数的请求,用于GET-Request服务
2. 明文+RN_MAC请求,用于终端或电表的主动上报REPORT-Notification
3. 明文/密文+SID_MAC,用于广播或组地址通信
其它类型传输服务均用到建立应用连接是的会话密钥,必须建立应用连接。
13版安全芯片:
13版安全芯片协议中安全模式参数的密文、密文+MAC安全级别,等同于明文+RN_MAC模式,主站设置服务、操作服务将使用明文+RN_MAC,终端使用明文+MAC应答。
13版终端抄读面向对象电表采用明文+MAC,终端在收到电表返回的数据,不对MAC进行校验。
13版终端上行协议升级为面向对象协议后采用明文+RN_MAC,终端应答为明文+MAC,其中MAC的计算方式:明文+随机数进行MD5计算,计算结果在用ESAM芯片处理获得MAC值。
ESAM芯片的序列号是每一个芯片的唯一标识,各不相同。
对称密钥版本用于判断终端/电表的密钥状态是出厂测试密钥状态还是正式密钥状态,否则需要进行密钥更新操作。
证书版本(主站证书版本号+终端证书版本号)、终端证书序列号、主站证书序列号为证书标识,用于判断证书是否需要更新。
会话时效门限用于确定主站和终端/电表之间会话最大有效时间,通过会话时效剩余时间得知是否需要重新建立会话连接,会话时效剩余时间归零后,需要重新建立会话才能够进行访问。
单地址应用协商计数器(ASCTR)用于组织会话协商数据。
主动上报计数器用于主站对上报数据合法性判断依据之一。
应用广播通信系列号(AGSEQ)...
应用连接里的会话密钥协商目的:在建立应用连接时进行密钥协商,产生会话密钥,用于计算数据验证码和链路用户数据的加密。
主站与采集终端/电能表的交互协议
- 建立应用连接
- 获取安全芯片信息(芯片序列号、芯片版本、对称密钥版本[正式密钥、测试密钥]、证书版本、会话时效门限、会话时效剩余时间、终端证书序列号、主站证书序列号等信息返回给主站)。
- 会话密钥协商,如下流程
- 协商失效(时间到后需要重新建立会话协商)
- 证书及密钥更新
- 主站证书更新(主站可获取ESAM芯片信息,获得终端内的主站证书版本和证书序列号,判读是否需要更新)
- 终端/电能表对称密钥更新(主站可获取终端/电能表安全芯片信息,获得终端内部的对称密钥版本,判定是否需要更新)
- 读取
- 明文模式
- 明文+MAC模式
- 密文模式
- 密文+MAC模式
- 设置和操作
- 明文模式
- 明文+MAC模式
- 密文模式
- 密文+MAC模式
- 上报
- 明文+RN_MAC模式
- 代理
- 明文+MAC模式
- 组广播通信
- 明文+MAC模式
- 密文+MAC模式
- 终端抄读电能表
- 明文+MAC模式(详见培训资料4.2.10的交互流程)
- 终端13版ESAM
- 13版安全芯片终端抄读面向对象协议电表(采用明文+MAC抄读,终端不验证电表应答上来的MAC)
- 主站抄读13版安全芯片终端(采用明文+RN_MAC,终端应答采用明文+MAC方式)
6.3.13 安全传输
6.3.13.1 SECURITY-Request数据类型
安全请求的数据类型(SECURITY-Request)定义见表114 。
数据类型定义 | 说明 |
| |
SECURITY-Request∷=SEQUENCE { 应用数据单元 CHOICE { 明文应用数据单元 [0] octet-string, 密文应用数据单元 [1] octet-string }, 数据验证信息 CHOICE { 数据验证码 [0] SID_MAC, 随机数 [1] RN, 随机数+数据MAC [2] RN_MAC, 安全标识 [3] SID } } | SID——见6.3.3.16 。 RN——见6.3.3.18 。 SID_MAC——见6.3.3.17 。 |
| |
| RN_MAC∷=SEQUENCE { 随机数 RN, 数据MAC MAC } | MAC——见6.3.3.15 。 |
6.3.13.2 SECURITY-Response数据类型
安全响应的数据类型(SECURITY-Response)定义见表115 。
数据类型定义 | 说明 |
SECURITY-Response∷=SEQUENCE { 应用数据单元 CHOICE { 明文应用数据单元 [0] octet-string, 密文应用数据单元 [1] octet-string, 异常错误 [2] DAR }, 数据验证信息 CHOICE OPTIONAL | DAR——见6.3.3.11 。 MAC——见6.3.3.15 。
|
表115(续)
{ 数据MAC [0] MAC } } |
|
以下为建立应用连接时的密钥协商
数据类型定义 | 说明 | |
ConnectMechanismInfo∷=CHOICE { 公共连接 [0] NullSecurity, 一般密码 [1] PasswordSecurity, 对称加密 [2] SymmetrySecurity, 数字签名 [3] SignatureSecurity(面向对象用的是数字签名,0~2不支持) } | ConnectMechanismInfo为建立应用连接的机制信息。 | |
| NullSecurity∷=NULL PasswordSecurity∷=visible-string SymmetrySecurity∷=SEQUENCE { 密文1 octet-string, 客户机签名1 octet-string } SignatureSecurity∷=SEQUENCE { 密文2 octet-string, 客户机签名2 octet-string } | 密文1——对客户机产生的随机数加密得到的密文。 客户机签名1——客户机对密文1的签名。 密文2——客户机对服务器产生的主站证书等数据加密信息。 客户机签名2——客户机对密文2的签名。 |
数据类型定义 | 说明 |
ConnectResult∷=ENUMERATED { 允许建立应用连接 (0), 密码错误 (1), 对称解密错误 (2), 非对称解密错误 (3), 签名错误 (4), 协议版本不匹配 (5), 其他错误 (255) } | ConnectResult采用枚举方式表示应用连接请求认证的结果。 |
数据类型定义 | 说明 | |
ConnectResponseInfo∷=SEQUENCE { 认证结果 ConnectResult, 认证附加信息 SecurityData OPTIONAL } | ConnectResponseInfo用于表示应用连接请求的认证响应信息。 | |
| SecurityData∷=SEQUENCE { 服务器随机数 RN, 服务器签名信息 octet-string } |
|