GB Z 25320.4-2010 电力系统管理及其信息交换 数据和通信安全 第4部分：包含MMS的协议集.pdf

《GB Z 25320.4-2010 电力系统管理及其信息交换 数据和通信安全 第4部分：包含MMS的协议集.pdf》由会员分享，可在线阅读，更多相关《GB Z 25320.4-2010 电力系统管理及其信息交换 数据和通信安全 第4部分：包含MMS的协议集.pdf（16页珍藏版）》请在麦多课文档分享上搜索。

1、 ICS 29.240.30 F 21 道昌中华人民共和国国家标准化指导性技术文件GB/Z 25320.4-2010/IEC TS 62351-4 :2007 电力系统管理及其信息交换数据和通信安全第4部分:包含MMS的协议集Power systems management and associated information exchange一Data and communications security一Part 4: Profiles including MMS CIEC TS 62351-4:2007 ,IDT) 2010-11-10发布2011-05-01实施数码防伪中华人民共和国

2、国家质量监督检验检疫总局中国国家标准化管理委员会发布G/Z 25320.4-20 1 O/IEC TS 62351-4:2007 目次前言.I引言.n 1 范围和目的.2 规范性引用文件-3 术语和定义.2 4 本部分涉及的安全问题.2 5 应用协议集(A-Profile)安全36 传输协议集-Profile)安全7 一致性8参考文献.10 G/Z 25320.4-2010/IEC TS 62351-4:2007 目IJ=i 国际电工委员会57技术委员会(IECTC 57)对电力系统控制的相关数据和通信安全制定了IEC 62351(电力系统管理及其信息交换数据和通信安全标准。我们采用IEC62

3、351，编制了GBjZ 25320指导性技术文件，主要包括以下部分z第1部分:通信网络和系统安全安全问题介绍;一第2部分:术语;一一第3部分:通信网络和系统安全包含TCP/IP的协议集;一一第4部分:包含MMS的协议集;一一第5部分:IEC 60870-5及其衍生标准的安全;一一第6部分:DLjT860的安全;一一第7部分:网络和系统管理的数据对象模型;一一第8部分:电力系统管理的基于角色访问控制。本部分等同采用IECTS 62351-4: 2007(电力系统管理及其信息交换数据和通信安全第4部分:包含MMS的协议集)(英文版)。本部分由中国电力企业联合会提出。本部分由全国电力系统管理及其信息

4、交换标准化技术委员会(SACjTC82)归口。本部分起草单位:中国电力科学研究院、华东电网有限公司、国家电力调度通信中心、国网电力科学研究院、福建省电力有限公司、华中电网有限公司、辽宁省电力有限公司。本部分主要起草人:杨秋恒、李根蔚、许慕操、邓兆云、南贵林、韩水保、曹连军、袁和林、林为民。本指导性技术文件仅供参考。有关对本指导性技术文件的建议或意见，向国务院标准化行政主管部门反映。I GB/Z 25320.4-2010/IEC TS 62351-4:2007 百|计算机、通信和网络技术当前已在电力系统中广泛使用。通信和计算机网络中存在着各种对信息安全可能的攻击，对电力系统的数据及通信安全也构成

5、了威胁。这些潜在的可能的攻击针对着电力系统使用的各层通信协议中的安全漏洞及电力系统信息基础设施的安全管理的不完善处。为此，我们采用国际标准制定了GB/Z25320(电力系统管理及其信息交换数据和通信安全)，通过在相关的通信协议及在信息基础设管理中增加特定的安全措施，提高和增强电力系统的数据及通信的安全。E 1 范围和目的1. 1 范围GB/Z 25320.4-20 1 O/IEC TS 62351-4:2007 电力系统管理及其信息交换数据和通信安全第4部分:包含MMS的协议集为了对基于GB/T16720 (1S0 9506)制造报文规范(ManufacturingMessage Specif

6、ication, MMS) 的应用进行安全防护，GB/Z25320的本部分规定了过程、协议扩充和算法。其他1ECTC 57标准如需要以安全的方式使用MMS，可以引用本部分作为其规范性引用文件。本部分描述了在使用GB/T167200S0/1EC 9506)制造业报文规范MMS时应实现的一些强制的和可选的安全规范。注:在IECTC 57范围内，有两个标准DL/T860. 81-2006(lEC 61850-8-1)及GB/T18700 (lEC 60870-6)会受到影响。为了保护使用MMS传递的信息，本部分包含一组由这些引用标准所使用的规范。其建议是基于为传送MMS信息所使用的特定通信协议集的协

7、议。DL/T 860. 81-20060EC 61850-8-1)和GB/T18700(lEC 60870-6)在第7层的面向连接机制中使用了MMS。这些标准中每一个均是在OS1协议集或TCP协议集上使用。1.2 目的本部分的初期读者预期是制定或使用1ECTC 57协议的工作组成员。为了使本部分描述的措施有效，对于那些使用GB/T16720的协议，协议本身的规范就必须采纳和引用这些措施。本部分就是为了使得能那样做而编写的。本部分的后续读者预期是实现这些协议的产品的开发人员。本部分的某些部分也可以被管理者和行政人员使用，以理解该工作的用途和需求。2 规范性引用文件下列文件中的条款通过GB/Z25

8、320的本部分的引用而成为本部分的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。GB/T 16720(所有部分工业自动化系统制造报文规范(1SO9506) GB/T 18700(所有部分)远动设备及系统(lEC60870-6) GB/Z 25320. 1 电力系统管理及其信息交换数据与通信安全第1部分:通信网络和系统安全安全问题介绍(GB/Z25320.1-2010 ,1EC TS 62351-1:2007 , IDT) GB/Z 2

9、5320.3 电力系统管理及其信息交换数据和通信安全第3部分:通信网络和系统安全包括TCP/1P的协议集(GB/Z25320.3-2010 ,1EC 62351-3: 2007 , IDT) IEC TS 62351亿电力系统管理及其信息交换数据和通信安全第2部分:术语(Powersystems management and associated information exchange-Data and communications security-Part 2: Glossary of terms) 1SO/1EC 9594-8:2005/1TU-T X. 509建议:2005信息技术开

10、放系统互连目录:公钥和属性GB/Z 25320.4-201 O/IEC TS 62351-4: 2007 证书框架(lSO/1EC9594-8: 2005/1TU-T Recommendation X. 509: 2005 , 1nformation technology Open Systems 1nterconnection The Directory: Public-key and attribute certificate frameworks) RFC 1006版本3在TCP之上的1SO传输服务(1SOTransport Service on top of the TCP Versi

11、on:3) RFC 2246版本1.0传输层安全协议(TLS)(The TLS Protocol, Version 1. 0) RFC 2313版本1.5 PKCS # 1 :RSA加密(PKCS# 1 : RSA Encryption Version 1. 5) RFC 3447版本2.1 公钥密码标准(PKCS)# 1 :RSA 密码技术规范Public-KeyCryptography Standards(PKCS) # 1 :RSA Cryptography Specifications Version 2. 1J 3 术语和定义3.1 3.2 1EC 62351-2中给出的以及下列的术

12、语和定义适用于GB/Z25320的本部分。双边协议bilateral agreement 两个控制中心之间关于被访问的数据元素及其访问方法的协议。GB/T 18700.12002，定义3.3J双边表bilateral table 双边协议的计算机表示法。具体的表示方法是当地的事。GB/T 18700.1-2002，定义3.4J4 本部分涉及的安全问题4. 1 应用和传输协议集的安全在本部分中规定的通信安全应按应用协议集和传输协议集讨论: 应用协议集(A-Profile):规定了OS1参考模型57层整套的协议和要求; 传输协议集(T-Profile):规定了OSI参考模型14层整套的协议和要求。

13、在TC57涉及的通信协议中己规定了(1)A-Profile和(2)T-Profileo本部分规定这些己确定的协议集的安全扩展，见图L应用层MMS、ACSE表示层ISO表示层A-Profile 会话层OSI ISO会话层传输层网络层ISOCLNP E 连接层物理层图1应用和传输协议集2 GB/Z 25320.4-20 1 O/IEC TS 62351-4:2007 4.2 应对的安全威胁对安全威胁和攻击方法的讨论详见GB/Z25320. 1。如不用加密，则本部分需应对的特定威胁有:未经授权的访问信息。如用GB/Z25320. 3，则本部分需应对的特定威胁有z 通过消息层面认证和消息加密，应对未经

14、授权的访问信息; 通过消息层面认证和消息加密，应对未经授权的修改(篡改)或窃取信息。4.3 应对的攻击方法通过适当实现本部分的规范或建议，应对以下的安全攻击方法。以下内容未包含通过GBjZ25320. 3 应对的攻击方法。在不用GBjZ25320. 3的情况下，所应对的威胁仅限于关联建立时的防护。 中间人:通过本部分规定的消息鉴别码(MessageAuthentication Code)机制应对该威胁; 篡改或破坏消息完整性:通过为创建本部分规定的认证机制而使用的算法应对该威胁; 重放:通过本部分规定的特定处理状态机应对该威胁。5 应用协议集(A-Profile)安全以下条款详细说明了声称符合

15、于本部分的实现应支持的应用协议集(A-Profile)。5.1 MMS MMS的实现必须提供配置和使用安全协议集能力的某些机制。通常需要提供以下机制: 配置证书信息和把证书信息与访问认证绑定起来的机制(例如z双边表); 为实现的访问控制机制，配置呼入关联的可接受协议集的机制。建议提供以下选择:一-DONT_CARE:安全协议集或非安全协议集都可以建立MMS关联。NON_SECURE:必须使用非安全协议集才能建立MMS关联。SECURE:必须使用安全协议集才能建立MMS关联。 为发起MMS关联，配置所用协议集的机制。建议提供以下选择:一-NON_SECURE:必须使用非安全协议集才能建立MMS关

16、联。一-SECURE:必须使用安全协议集才能建立MMS关联。 传送或校验关联参数的机制。这些参数宜包括:表示层地址、所用协议集的标志(例如，安全或非安全协议集)，以及ACSE(关联控制服务元素)认证参数。如果像本部分阐述的那样，已经协商把安全传输层作为MMS关联的一部分1，那么应保留secureprofile (安全协议集勺的使用标志。应使用该关联参数信息且连同配置的MMS期望的关联值，以确定是否应建立MMS关联。确定实际接受的实体是当地问题。上述讨论的配置参数的改变并不要求为使配置改变生效需终止所有的MMS关联，这是强制的要求。对于因安全违例而被拒绝的被拒关联，强烈建议MMS实现应记录与该种

17、被拒关联相关的事件和信息。5.2 记录重要的是，一定要把与安全有关的违例记录到一个单独的日志文件中。该日志文件的内容本质上是禁止操作的(例如，修改信息或删除信息)。实现者应力求保存足够多的信息，这样就便于安全审计和诉讼。此建议的实际实现是当地问题。1) 为达到更强认证，在安全协议集或非安全协议集上都可使用ACSE认证。3 GB/Z 25320.4-2010/IEC TS 62351-4:2007 5.3 关联控制服务元素(ACSE)5.3. 1 对等实体认证对等实体的认证应发生在关联建立时。对ACSE(关联控制服务元素)的AARQ(关联认证请求)报文和AARE(关联认证响应)报文，应在AARQ

18、的PDU(协议数据单元)的认证功能单元(认证FU)的calling-a u then tica tion-val ue (呼叫-认证值)宇段和AARE的PDU的认证功能单元的responding-authentication-value(应答-认证-值)字段中携带认证信息。在使用ACSE安全时为了包括认证FU，对于认证FU的sender-ACSE-requirements(发送者-关联控制服务元素-请求)和responder-ACSE-requrements(应答者-关联控制服务元素-请求)宇段的比特串应是DEFAULTED;否则，不使用ACSE安全时，这些比特串虽仍应是DEFAULTED却是

19、为了不包括认证FU。这提供了向后兼容性。Calling-authentication-value和responding-au then ti ca tion-val ue宇段是authentication-value(认证值类型，该类型作为CHOICE在GB/T16687(lSO 8650)中进一步定义。该authenticatioI川alue的CHOICE应是EXTERNALC外部的)。为此EXTERNAL使用了抽象句法，所以，表示层的上下文应包括对该抽象句法的引用。为表示传递的authentication-value(认证值)宇段的格式，应使用ACSE的mechanism-name(机制名

20、)字段。AARQ和AARE的mechanism-name字段定义应是:应在ACSE的认证FU的authenticatio匹value字段中携带ICCP的认证值(如下所述)。在要求对等实体认证时，该认证值将会被使用。该值应按external携带，按ACSE的authentication-value形式语法表达式(ACSEauthentication-value production) (己复制在下面)以SingleASN1Type类型定义。注:以下形式语法表达式是从GB/T16687(1S0 8650)复制的，仅供参考。Authentication-value: : = CHOICE 4 cha

21、rstring OJ IMPLICIT GraphicString, bitstring lJ IMPLICIT BIT STRING, external 2J IMPLICIT EXTERNAL, other 臼3JIMPLICIT SEQUENCE ot出he盯r-m巳眈chanism-叮-namMECHANI巴SM-NAME.&id(川Ob问Je凹ctSet川), othe盯r-m巳配chanism-valu山I妃E MECHANISM-NAME. & Type STASE-MMS-Authenticaton-value iso member-body usa(840) ansi-tl-

22、259-1997(0) stase (1) stase-a uthentica ton-val ue (0) a bstractSyn tax (1) verson1 (1) DEFINITIONS 1岛1PLICITT AGS: : = BEGIN - EXPORTS everything I如1PORTSSenderId , Recei ver Id, Signa ture , Signa tureCertifica te FROM ST-CMIP-PCI iso member-body usa (840) ansi-tl-259-1997 (0) stase(1) stasepci(1)

23、 abstractSyntax(4) version1 (1); MMS Authentication-value: = CHOICE certificate-based OJ IMPLICIT SEQUENCE authentication-Certificate OJ IMPLICIT &SignatureCertificate, time lJ IMPLICIT GENERALZEDTIME, signature 2J IMPLICIT &SignedValue GB/Z 25320.4一201 O/IEC TS 62351-4:2007 END &. Signa tureCertifi

24、ca te SignatureCertificate: = OCTET STRING一字节数应为8192八位位组的最小的最大Cminimummaximum)字节数。Signa tureCertifica te C签名证书)的OCTETSTRING C八位位组串)内容应按照基本编码规则CBasic Encoding Rule)编码的X.509证书(在CMIP中规定)。证书的交换应是双向的，且应提供来自某个已配置且可信的证书机构的个体证书。如果以上条件任何一项不符合，则连接应被适当地终止。个体证书的身份证明至少应是基于证书的SubjectC主体)。为了达到证书的互操作性，必须为ACSE交换的证书设

25、定最大允许字节数。这个字节数应限于8 192个八位位组的最大编码字节数。是否能接受更大的证书，这是当地问题。如果证书的字节数超过最小的最大值Cminimum-maximum)(例如8192)或当地的最大值，则应拒绝该连接且应拆除连接。&.SignedValue SignedValueC签名值)的值按PKCS:#1 Version 2规定应是签署的time字段的值。该值是GENERALZEDTIME编码串，但不包含ASN1的标记或长度。这个值在该规范中应是经RSA签名算法签署。应支持1024比特的密钥长度作为最小的最大值(minimum-maxim um)。在RFC2313中的数字签名(D耶ta

26、lSignature)定义中规定了SignedValue的定义:作为数字签名，首先将要签名的内容用消息/摘要算法(例如MD5)简化为消息摘要，然后包含消息摘要的八位位组串用该内容签名者的RSA私钥加密。根据PKCS:# 7的语法将内容和加密后的消息摘要一起表示而生成一个数字签名。注z在该定义中对MD5的引用并不是规范性的，这是RFC2313号|用文本中所给的例子。在下一段落中规定的实际算法是SHAl.RFC 3447CPKCS# 1规范Verson2)规定以RS八SSA-PKCSlv1_5作为签名算法。该算法是声称符合本部分的具体实现都应使用的算法。RFC3447的使用应限于与PKCSVers

27、on 1. 5(RFC 2313)兼容的那些能力。哈希算法应是SHA10Time 该参数应是创建authentication-value的时间，用GENERALIZEDTIME格式表示的格林威治时间CGMT)值。该时间的精度是一个当地问题，但应尽可能的精确。在调用MMS的Intate.RequestC启动请求)服务、Intiate.ResponseC启动应答)服务期间或在这些服务的ACSE的PDU编码期间，确定该时间参数值都是同等有效的。5.3.2 关联认证请求CAARQ)AARQ的发送者应该对适当的ACSE的Au then tica tionMechanism和Au then tica ti

28、on V al ue宇段进行编码并应通过使用Presentaton-Connect (表示层-连接)服务发送AARQ。AARQ-indicationCAARQ-指示)原语的接收者应使用AuthentcationMechanism和AuthenticationValue 字段去校验签名值。如果解码后的签名值不等于time宇段的值，则应导致接收者发出P-ABORT(表示层异常终止)原语;如果time宇段值与当地时间之差大于10min2l ，则也应导致接收者发出P-ABORT原语。如果该AARQ的接收者在最近10min之内已经接收到包含相同签名值的AARQ，则应导致接收2) 这意味着存在一个10mi

29、n的脆弱性窗口，在此期间相同的签名值可能被攻击者利用。5 G/Z 25320.4-201 O/IEC TS 62351-4: 2007 者发出P-ABORT原语。如果签名值没有导致P-ABORT，则签名值及其他的安全参数就应传送给ACSE的用户(例如MMS或TASE.2或当地的应用)。传送这些参数的方法是当地问题。5.3.3 关联认证晌应(AARE)AARE的发送者应该对适当的ACSE的AuthenticationMechanism和Au then tica tion V al ue宇段进行编码并应通过使用Presentatio仔Connect服务发送AARE。AARE-indication原

30、语的接收者用AuthenticationMechanism和AuthenticationValue宇段去校验签名值。如果解码之后的签名值不等于time字段的值，应导致接收者发出P-ABORT原语;如果time宇段值与本地时间之差大于10min3) ，也应导致接收者发出P-ABORT原语。如果该AARE的接收者在最近10min之内已经接收到包含相同签名值的AARE，则应导致接收者发出P-ABORT原语。如果签名值没有导致P-ABORT，则应将签名值及其他安全参数传送给ACSE的用户(例如MMS或TASE.2或当地的应用)。传送这些参数的方法是当地问题。6 传输协议集(T-Profile)安全6.

31、1 TCP传输协议集6. 1. 1 与本部分的一致性声称符合本部分的实现应支持对TCPT -Profile的安全防护。6.1.2 TCP传输协议集中使用TLSTCP T -Profile的安全建议并不试图为TCP，IP或Ethernet规定安全建议，而是本部分的各规范规定了如何适当地使用传输层安全协议(TransportLayer Security TLS)及对RFC1006进行安全防护。TCP T-Profile嵌入了安全防护造成使用TLS(由RFC2246规定)提供在RFC1006之前的加密和节点认证。OSI参考模型传输层网络层链路层当前用于岛1MS的TCP/IP协议集Iso/c 8073

32、 TPO RFC 1006 TCP CRFC 793) IP (RFC 791) ARP CRFC 826) 逻辑链路控制(IS08802) 介质访问控制(IS08803) F ORT 102 建议的用于扣岱IS的安全TCP/IP协议集ISO/IEC 8073 TPO RFC 1006 SSL/TLS TCP (RFC 793) IP CRFC 791) ARP CRFC 826) 逻辑链路控制CISO8802) 介质访问控制CISO8803) 图2非安全和安全的TCPT -Profile PO RT3782 图2展示了两个相关的TCPT -Profile，一个是由互联网工程任务组(IETF)

33、规定的标准的RFC1006 T-Profile，即非安全的RFC1006 T-Profile，另外一个是在本部分内所规定的安全的RFC1006 T-Profileo 6.1.3 传输协议。类(TPO)6. 1. 3. 1 强制的最大长度TPO规定了TPDU(传输层协议数据单元)的最大字节数。建议实现用表1确保RFC1006的长度不超过最大字节数。关于对RFC1006字节数不正确的TPDU进行处理的问题是当地问题。3) 这意味着存在一个10min的脆弱性窗口，在此期间相同的签名值可能被攻击者所利用。6 GB/Z 25320.4-20 1 O/IEC TS 62351-4:2007 表1TPO最大

34、字节数OSI TPO原语RFC 1006头部IS0 TPO LI字段IS0 TPO用户数据RFC 1006长度范围字节最小最大最小最大最小最大CR 4 7 254 。11 258 CC 4 7 254 。11 258 DR 4 7 254 。11 258 DC 4 7 254 。11 258 DT 4 3 3 1 2048注8 2056 ER 4 5 254 。9 259 ED 由于T凹的限制，不允许AK 由于T凹的限制，不允许EA 由于TPO的限制，不允许R 由于T凹的限制，不允许注z基于CR/CC交换时协商的最大字节数。128个八位位组是允许的最小字节数。6.1.3.2 对TPQ不支持的T

35、PDU的晌应建议不理会接收到的ED、AK、EA或RJ原语的TPDU。6. 1. 3. 3 传输层选择段MMS的国际标准化协议集(InternationalStandardized Profiles ISP)规定传输层选择段CTransportSelector TSEL)应具有32个八位位组的最大字节数。然而根据ISO/IEC8073，参数化的选择段可以具有255个八位位组的长度。TSEL的长度若大于32个八位位组，应导致接收该TSEL的实现将该连接异常终止。6.1.4 RFC 1006 在安全或非安全T-Profile中使用RFC1006时，建议对RFC1006实现作以下增强。6. 1.4.

36、1 版本号当地实现应不理会RFC1006的verslOn宇段的值。继续对OSI的TPDU进行当地处理，好像该字段值是3一样。6. 1. 4. 2 长度RFC 1006的length字段应限制为不大于2056个八位位组的值，这个长度对应于允许的最大TPO的TPDUC如:2048个八位位组)。对大于2056个八位位组的长度进行处理是当地问题;然而，强烈建议拆除该连接。6. 1. 4. 3 保持存活声称符合于本部分的实现应使用保持存活(TCP-KEEP ALIVE)功能。其超时参数应设置为大约1 min或少些。6.1.5 TLS要求6. 1.5. 1 TCP端口的使用按RFC1006规定，非安全T-

37、Profile应使用TCP的102端口。声称符合于本部分的实现应使用TCP的3782端口，以表明使用了安全的TCPT -Profile。6. 1. 5. 2 同时支持以下需求适用于声称支持一个以上的同时的MMS关联的实现。对于这样的实现，通过安全及非安全T-Profile同时进行通信应是可能的。7 GB/Z 25320.4-201 O/IEC TS 62351-4: 2007 6. 1. 6 TLS的使用应按GB/Z25320. 3规定使用传输层安全协议(TLS)。6. 1.6. 1 TLS的停用实现应允许暂时停用TLS。6. 1.6.2 密码再协商如果自上次再协商之后已发送5000个ISOT

38、PU或己超过10min，声称符合于本部分的实现应支持按最小的最大(minimum-maximum)密钥长度的密钥再协商。6. 1. 6.3 证书长度声称符合于本部分的实现应支持8192个八位位组的最小的最大(minimum-maximum)证书字节数。是否支持更大的证书是当地问题。实现接收到大于它所能支持字节数的证书，则该实现应终止这连接。6. 1. 6. 4 证书撤销撤销证书的缺省评估周期应为12h。该评估周期应是可配置的。当用于建立连接的证书之一被撤消，声称符合于本部分的实现应终止这连接。6.1.6.5 强制的和建议的密码套件声称符合于本部分的所有实现应至少支持TLS_DH_DSS_WIT

39、H_AES_256 _SHA。引用本部分的其他标准可以增加另外的强制密码套件。建议考虑使用表2所列的TLS密码套件。算法TLS RSA TLS RSA TLS DH TLS DH TLS DHE TLS DHE TLS DH TLS DH TLS DH TLS DH 密钥交换表2建议的密码套件组合签名DSS RSA DSS RSA DSS DSS 加密W1TH RC4 128 WITH 3DES EDE CBC WITH 3DES EDE CBC WITH3DES EDE CBC WITH 3DES EDE CBC WITH3DES EDE CBC WITH AES 128 WITH AES

40、256 WITH AES 128 WITH AES 256 哈希SHA SHA SHA SHA SHA SHA SHA SHA SHA SHA 注:基于已配置的许可或现有的密码套件，TLS的协商机制选择为特定连接使用的实际密码套件。6.2 0:日的传输协议集OSI T-Profile的安全超出本部分范围。6.3 证书机构支持为支持四个不同证书机构所提供的证书，声称符合于本部分的实现应支持最小的最大(minimummaximum)证书字节数能力。7 一致性7. 1 一般的一致性与本部分的一致性应由第5章和第6章的实现决定。8 此外，应提供以下支持密码套件表: 强制的z应支持的; 可选的:可支持的

41、。GB/Z 25320.4-201 O/IEC TS 62351-4: 2007 密钥交换表3支持的密码套件加密算法签名哈希支持可互操作| 出口限制支持TLS RSA TLS RSA TLS DH TLS DH TLS DH TLS DHE TLS DHE TLS DH TLS DH TLS DH m一-m-m一一风-m一-m-WITH RC4 128 WITH3DES EDE CBC WITH3DES EDE CBC WITH3DES EDE CBC WITH 3DES EDE CBC WITH 3DES EDE CBC WITH AES 128 WITH AES 256 WITH AES

42、128 WITH AES 256 SHA SHA SHA SHA SHA SHA SHA SHA SHA SHA 刊-m-m-m-m-m二吭一刊一刊一崎注1注1注1注1注1注1注1注1注1注1，注2注1:在出口限制基础上，应支持至少一种密码套件。如不支持TL丘DH_WITH_AES_256_SHA, TLS互操作性也许就不可能。注2:如没有声明支持，实现就应提供一份禁止该密码套件出口的出口限制拷贝。如果且只有如果出口限制不准许任何途径出口，才不应支持该套件。如果不支持该套件，作为补充，实现应清楚地以文件说明是因遵守出口限制所致。该文件同样应详细说明不能支持的互操作要求或基本规范要求。该文件的样

43、本应作为用户文件的一部分提供，这样用户就能够理解由于出口限制的原因，实现也许不是能互操作的。7.2 GB/T 18700 TASE.2安全的一致性声称支持标准化安全防护的GB/T18700(IEC 60870-6)实现应符合本部分。9 G/Z 25320.4-201 O/IEC TS 62351-4: 2007 参考文献lJ GB/T 16687 信息技术开放系统互连面向连接的联系控制服务元素协议(ISO8650. IDT) 2J GB/T 16688 信息技术开放系统互连联系控制服务元素服务定义(ISO8649 .IDT) 3J GB/T 16720.1-2005工业自动化系统制造报文规范第

44、1部分:服务定义(ISO9506-1: 2003. IDT) 4J GB/T 16720. 2-2005工业自动化系统制造报文规范第2部分:协议规范(ISO9506-2 : 2003 IDT) 5J ISO/ISP 14226-1 :1 996 工业自动化系统国际标准化协议集AMM11:MMS普通的应用基础协议集第1部分:MMS所使用的ACSE、表示层及会话层的规范CIndustrialautomation systems-International Standardized Profile AMMll: MMS General Applications Base Profile-Part 1

45、: Specification of ACSE. Presentation and Session protocols for use by MMS) 6J ISO/ISP 14226-2: 1996 工业自动化系统国际标准化协议集AMM11:MMS普通的应用基础协议集第2部分:公共的MMS要求(Industrialautomation systems-International Standardized Profile AMM11: MMS General Applica tions Base Profile-Part 2 : Common MMS requirements) 7J ISO/

46、ISP 14226-3: 1996 工业自动化系统国际标准化协议集AMM11:MMS普通的应用基础协议集第3部分:特殊的MMS要求CIndustrialautomation systems-International Standardized Profile AMMll:MMS General Applications Base Profile-Part 3:Specific MMS requirements) 8J FIPS-180-1 安全的哈希标准(SecureHash Standard) 9J RFC 3174 US的安全哈希算法1(SHAl)US Secure Hash Algori

47、thm 1 (SHAl)J 10J RFC 3280 因特网x.509 PKI证书以及证书撤销列表(CRL)格式(InternetX. 509 Public Key Infrastructure Certificate and Certificate Revocation List(CRL) Profile) 10 hOONH叮tF町的NUmHU国【OFONlt叮.ON的mNN闰巳中华人民共和国国家标准化指导性技术文件电力系统管理及其信息交换数据和通信安全第4部分:包含MMS的协议集GB!Z 25320. 4-2010/IEC TS 62351-4:2007 唔中国标准出版社出版发行北京复兴门外三里河北街16号邮政编码:100045网址电话:6852394668517548 中国标准出版社秦皇岛印刷厂印刷各地新华书店经销告印张1字数24千字2011年1月第一次印刷开本880X 1230 1/16 2011年1月第一版晤书号:155066. 1-41252 18.00元如有印装差错由本社发行中心调换版权专有侵权必究举报电话:(010)68533533定价GB/Z 25320.4-2010 打印日期:2011年2月21日F002