1、 ICS 33.070.01 CCS M 37 湖北省 地方标准 DB42/T 1666 2021 DB42 智能电网移动终端安全防护规范 Security protection specification for mobile operation in smart grid 2021 - 04 - 01 发布 2021 - 06 - 01 实施 湖北省市场监督管理局 发 布 DB42/T 1666 2021 I 目 次 前言 . III 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 总体要求 . 2 5 移动终端安全 . 3 6 接入安全 . 4 7 服务端安全
2、. 5 参考文献 . 6 DB42/T 1666 2021 II DB42/T 1666 2021 III 前 言 本文件按照 GB/T 1.1 2020标准化工作导则 第 1部分：标准化文件的结构和起草规则的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文 件由国网湖北省电力有限公司信息通信公司提出。 本文件由国网湖北省电力有限公司归口。 本文件主要起草单位：国网湖北省电力有限公司信息通信公司、武汉直径科技有限公司、湖北省标 准化与质量研究院。 本文件主要起草人：袁慧、朱国威、郑蕾、庄严、郭岳 、董亮、邵璇、舒成。 本文件实施应用中的疑问，可咨询
3、国网湖北省电力有限公司，联系电话： 13545223899，邮箱： ；对本文件的有关修改意见建议请反馈至国网湖北省电力有限公司信息通信公 司，联系电话： 027-88564862，邮箱： 。 DB42/T 1666 2021 1 智能电网移动终端安全防护规范 1 范围 本文件规定了智能电网移动终端安全防护总体要求、移动终端 安全、 接入安全、 服务端安全 。 本文件 适用于 湖北地区电力行业信息内网安全接入要求。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有
4、的修改单）适用于本 文件。 GB 4943.1 信息技术设备 安全 第 1部分：通用要求； GB/T 20518 信息安全技术 公钥基础设施 数字证书格式 GB/T 30284 信息安全技术 移动通信智能终端操作系统安全技术要求； GB/T 37729 信息技术 智能移动终端应用软件（ APP）技术要求 GM/T 0009 SM2密码 算法使用规范 GM/T 0010 SM2密码算法加密签名消息语法规范 GM/T 0015 基于 SM2密码算法的数字证书格式规范 3 术语和定义 下列术语和定义适用于本文件。 3.1 数字证书 digital certificate 数字证书是由国家认可，具有权
5、威性、可信性和公正性的第三方证书认证（ CA）进行数字签名的一 个可信的数字化文件。 来源： GB/T 20518-2018， 3.7。 3.2 身份认证 Identity authentication 对用户身份标识的有效性进行验证和测试的过程。 3.3 安全接入平台 secure access platform 安全接入平台是提供非公司信息内网区域的终端以安全专网方式接入信息内网时的设备接入认证、 数据隔离交换、实时安全监测与数据安全检查等核心边界接入防护措施的一套安全设备。 3.4 无线 APN wireless APN 无线 APN是由无线运营商为企业提供的一种无线专线网络服务 。 3
6、.5 安全专控软件 security control software DB42/T 1666 2021 2 终端安全专控软件是部署在移动终端上的安全防护软件，可保障移动终端的数据安全、网络安全、 系统安全。 3.6 移动终端 mobile terminals 移动终端包括各种接入终端，如 PDA、智能手机、 PC、笔记本、监测采集终端等，主要由安全软、 硬件模块组成。 4 总体要求 智能电网移动终端的应用场景如图 1所示，智能电网移动终端安全防护规范主要由安全终端层、安 全通道层、安全接入层、安全业务访问层四大层次组成。在移动终端侧、安全接入网关侧部署数字证书， 在接入网关侧针对特定移动终端
7、设定不同的访问控制权限策略，对访问后台服务的 IP地址、端口等进行 设置，同时在数据交换系统侧进行安全数据交换规则设置。 图 1 移动 终端典型应用场景 终端初次连接 时，启动安全专控软件，和安全接入网关进行基于数字证书的双向身份验证，彼此验 证成功后，建立基于 SSL协议的专用加密隧道，非对称算法使用 RSA算法，对称算法使用 SM1算法，均由 终端侧、接入网关侧的加密 TF卡实现。 终端通过安全专控软件扫描模块对终端进行硬件特征标识扫描，并提交到安全接入网关、身份认证 系统进行硬件信息在线注册，同时断开加密连接，等待管理员批准授权。 管理员检查硬件信息合法性后，批准该终端进行安全接入，终端
8、才能重新进行加密连接建立与加密 隧道协商，对通讯数据进行专用硬件算法加密。 DB42/T 1666 2021 3 同时，终端和安全接入 网关的连接在访问后台应用时，必须经数据交换系统进行安全隔离、裸数据 交换后进入内网，充分保证非法链接不会穿透内网以及保证数据的安全交换。 所有设备、终端的实时信息，包括连接会话、应用会话等信息都置于集中监管系统的监管之下，管 理员可以方便、灵活地对系统安全策略、安全状态等进行实时监控管理。 5 移动终端安全 5.1 通用配置 移动终端通用配置要求包括： a) 移动终端应符合 GB 4943.1 的要求，终端内置操作系统应满足 GB/T 30284-2020 中
9、 7.2 规定 的移动终端操作系统 EAL2 保障级的相关要求； b) 应支持数字证书的安装和运行； c) 应支持安全 TF 卡的安装和运行； d) 应支持安全专控软件客户端的安装和运行，及在线升级； e) 应支持业务软件客户端的安装和运行，及在线升级。 5.2 数字证书 5.2.1 数字证书应符合 GM/T 0009、 GM/T 0010、 GM/T 0015 的要求。 5.2.2 移动终端应使用由国网统一数字证书系统颁发的数字证书。 5.3 安全 TF 卡 移动终端安全 TF卡技术要求包括： a) 安全 TF 卡应通过国家密码管理局产品认证，用于移动终端接入时的数据加密存储； b) 安全
10、TF 卡应支持国产 SM2 非对称密码算法， SM2 密钥长度应至少 256 位，如果不支持 SM2 算 法，应支持 2048 位 RSA 非对称密码算法，用于移动终端接入时的身份认证； c) 安全 TF 卡应提供措施确保密钥在密钥产生、密钥协商、密钥存储、密钥使用或更换、密钥销 毁整个生命周期内的安全，确保私有密钥在全生命周期内免受未授权的获取、修改和替换； d) 安全 TF 卡应支持业务数据信息加密存储，且存储容量不小于 2 GB； e) 安全 TF 卡应使用国网统一数字证书系统颁发的证书，并在使用前经管理员检查硬件信息合法 性后，确保非对称密码算法与国网 CA 系 统的证书运算兼容。 5
11、.4 安全专控软件客户端 实现移动电力业务办公时对移动终端的安全管理，具体要求包括： a) 应符合 GB/T 37729 的要求； b) 应具有网络访问控制功能，非经配置允许的网络地址或者地址段禁止访问； c) 应具有进程控制功能，非经配置允许的进程禁止启动； d) 在终端使用过程中如果发生网络断开、访问业务系统出现异常、安全专控软件运行异常、安 全 TF 卡运行异常的情况，安全专控软件应记录日志； e) 移动终端启动时，如果绑定使用的安全 TF 卡、 SIM 卡、数字证书三者有至少一个与在安全接 入平台注册时不同，安全专控软件应向接入 台发出告警信息，阻止电力业务软件启动，并记 录日志； f
12、) 应在与安全接入平台建立连接后，将记录的日志发送至安全接入平台； DB42/T 1666 2021 4 g) 应具备防御卸载机制，当安全专控软件客户端被卸载时，需由管理员给予授权码才允许卸载， 且本地电力业务数据将被自动删除。 5.5 业务软件客户端 业务软件客户端应支持以下功能： a) 应符合 GB/T 37729 的要求； b) 应在启动时进行登录口令认证，口令输入应防止输入劫持，防止键盘记录； c) 应支持人脸识别、指纹识别等功能，可实现专人专用； d) 应在启动时检查系统文件是否缺失或被非法篡改，配置是否被修改； e) 应对关键数据在安 全 TF 卡中加密备份； f) 应记录业务访问
13、异常数据并实时上报服务端。 5.6 网络防护 网络防护要求包括： a) 终端使用的 SIM 卡应绑定唯一 APN 网络通信通道，不允许访问其他 APN 网络和互联网； b) 应在终端和服务端之间建立基于 SSL 协议的专用加密隧道，非对称算法使用 RSA 算法，对称 算法使用 SM1 算法数据加密传输通道。 5.7 运行环境隔离 移动终端的运行环境隔离要求包括： a) 应采用软硬件环境隔离技术保证移动办公应用与个人应用运行环境的有效隔离； b) 应在移动办公应用关闭时同时清理临时文件等剩余敏感信息。 6 接入安全 6.1 接入认证网关 接入认证网关的要求包括： a) 应支持国家密码主管部门认可
14、的密码算法； b) 密钥协商数据的加密保护应采用非对称密码算法（如 SM2），报文数据的加密保护应采用对称 密码算法（如 SM1 或 SM4）； c) 应支持 SSL/TLS 或 IPSec 等网络安全协议； d) 应支持基于用户账户和权限分配的细粒度访问控制，支持仅授权用户才能访问特定资源； e) 应支持网关运行情况的集中监控。 6.2 安全接入 6.2.1 业务软件启动时应先调用安全专控软件，安全专控软件与服务端基于数字证书的双向身份认证， 认证成功后业务软件与服务端建立加密通道，并利用加密通道进行数据传输。 6.2.2 应含 有国密局专用加密芯片，提供非对称算法 (RSA)、对称算法（
15、SM1）运算功能，并提供符合 标准 X.509 格式的数字证书安全存储。 6.2.3 网络通道应包括各种有线专线、无线（ GPRS/CDMA）专线 APN 通道等，经由安全通道在安全终端 层和安全接入平台层建立二次加密隧道连接。 6.2.4 应支持 SSL/TLS 或 IPSec 等网络安全协议。 DB42/T 1666 2021 5 7 服务端安全 7.1 访问控制策略 应支持以下访问控制策略配置功能： a) 仅允许授权终端对业务平台进行访问； b) 授权终端对业务平台进行访问的内容不能超出安全策略的范围； c) 授权终端对业务平台进行访问的操作（如对文件、文件夹进行读、写、复制、下载等操作
16、） 不能超出预定义的范围； d) 授权终端对业务平台进行访问的时间不能超出预定义的范围； e) 授权终端通过网络对业务平台进行访问时，该终端所使用的移动终端的序列号 /地址不能超出 预定义的范围； f) 授权终端对业务平台进行访问的次数不能超出预定义的范围。 7.2 安全专控服务端 安全专控服务端的应用访问控制要求包括： a) 应支持移动应用黑白名单策略，并设置移动作业的用户访问权限； b) 应支持移动终端的远程擦除数据、锁屏、定位等功能，并可在终端遗失或被盗的情况下，快 速 实现上述操作； c) 应支持对移动终端的安全准入检查，不合规的移动终端不应注册； d) 应支持对移动终端的软硬件环境、
17、运行状态及安全事件的持续监控、安全审计及预警； e) 移动终端违规操作时，系统应采取包括限制访问、警告、锁定、禁用、系统还原、数据擦除 等不同级别的处理功能。 7.3 业务平台 业务平台的要求包括： a) 应支持对 业务客户端软件的发布 、下载及自动推送更新服务； b) 应支持业务数据的分级分类管理，并设置用户的访问权限； c) 应支持向已授权的移动终端分发或推送业务信息； d) 应支持对移动终端作业操作的 日志记录 ； e) 应支持对移动作业数据的加解密。 DB42/T 1666 2021 6 参考文 献 1 GB/Z 24294.3-2017 信息安全技术 第 3部分：身份认证与授权管理
18、2 GB/T 32907-2016 信息安全技术 SM4分组密码算法 3 GA/T 1251-2015 公安数字证书硬件介质存储空间划分规则 4 GM/T 0014-2012 数字证书认证系统密码协议规范 5 GM/T 0034-2014 基于 SM2密码算法的证书认证系统密码及其相关安全技术规范 6 GM/T 0043-2015 数字证书互操作检测规范 7 GM/T 0067-2019 基于数字证书的身份鉴别接口规范 8 YD/T 3476-2019 移动互联网应用程序开发者数字证书管理平台技术要求 9 YD/T 3495-2019 移动互联网应用程序开发者数字证书管理平台接口规范 10 ISO 11166-2： 1994 银行业务 .用不对称算法的平均值进行键控管理 .第 2部分 :利用 RSA潜隐 体系核定算法
