(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210815344.2 (22)申请日 2022.07.12 (71)申请人 中国电力科 学研究院有限公司 地址 100192 北京市海淀区清河小营东路 15号 (72)发明人 朱思成　曾姝彦　胡悦　王智慧　 段钧宝　孟萨出拉　张慧　韩金侠　 张瑞兵　马宝娟　滕玲　董方云　 刘恒　汪莞乔　 (74)专利代理 机构 北京中巡通大知识产权代理 有限公司 1 1703 专利代理师 孟大帅 (51)Int.Cl. H04W 12/06(2021.01) H04W 12/122(2021.01)H04W 12/37(2021.01) H04W 12/08(2021.01) H04W 12/041(2021.01) H04W 12/0431(2021.01) H04W 12/03(2021.01) H04L 9/32(2006.01) (54)发明名称 基于通信模组的网络接入控制方法、 系统及 存储介质 (57)摘要 一种基于通信模组的网络接入控制方法、 系 统及存储介质， 方法包括： 在通信模组内部预置 网络连接 管理软件， 集成安全算法以及访问控制 功能； 网络连接管理软件打开本端特定连接端口 并监听上位机软件连接请求； 上位机发起数据拨 号建立网络连接， 拨号成功之后， 上位机应用通 信模组内的网络连接管理软件， 并将待接入软件 特征值以及签名发送到网络连接管理软件， 网络 连接管理软件校验待接入软件合法性， 验证通过 后， 将业务数据流描述发送给通信模组 内的网络 连接管理软件， 网络连接管 理软件配置访问控制 功能， 使能相关业务数据流进行流入或流出。 本 发明能够阻止非法应用通过模组接连网络， 降低 非法应用攻击网络风险， 同时便于应用功能及时 更新迭代。 权利要求书3页 说明书10页 附图3页 CN 114885331 A 2022.08.09 CN 114885331 A 1.一种基于通信模组的网络 接入控制方法， 其特 征在于， 包括： 上位机发送数据拨号建立网络连接； 在所述拨号成功时， 所述上位机应用通信模组内的网络连接管理软件， 并将待接入软 件特征值以及签名发送到网络连接管理软件， 网络连接管理软件校验待接入软件合法性， 验证通过后， 将业务数据流描述发送给通信模组内的网络连接管理软件， 网络连接管理软 件配置访问控制功能， 使能相关业 务数据流进行流入或流出。 2.根据权利要求1所述基于通信模组 的网络接入控制方法， 其特征在于， 还包括在通信 模组内部预置网络连接管理软件， 集成安全算法以及访问控制功 能的步骤， 所述在通信模 组内部预置网络连接管理软件的步骤， 包括基于SM2椭圆曲线公钥加密算法生成数字签名 密钥对以及加密密钥对， 通信模组生产过程中将 签名密钥公钥以及加密密钥私钥固化到通 信模组安全 存储区域或eSIM /安全二合一芯片， 不可擦除且外 部不可读取。 3.根据权利要求2所述基于通信模组 的网络接入控制方法， 其特征在于， 所述上位机应 用通信模组内的网络连接管理软件， 并将待接入软件特征值以及签名发送到网络连接管理 软件， 网络连接管理软件校验待接入软件合法性的步骤， 包括对于可信软件， 通过国密SM3 密码杂凑算法根据待接入软件二进制镜像获取HASH值， 使用SM2椭圆曲线公钥加密算法通 过签名私钥根据待接入软件镜像HASH值以及待接入软件内置的特定USER  ID进行签名； 输 出签名信息数据量大小固定， 内容包括签名值、 加密密钥对公钥以及签名信息HAS H值， 所述 签名信息HAS H值使用S M3密码杂凑算法对签名值、 加密密钥对公钥和USER  ID关键信息计算 得出， 使用签名信息 HASH值完成可信软件 对签名信息的有效性校验。 4.根据权利要求3所述基于通信模组 的网络接入控制方法， 其特征在于， 所述使用签名 信息HASH值完成可信软件对签名信息的有效性校验的步骤， 包括上位机可信软件读取签名 信息并通过SM3密码杂凑算法根据软件内置的USER  ID和签名值、 加密密钥对公钥、 签名信 息HASH值校验签名信息， 若校验失败， 则待接入软件直接退出； 否则， 待接入软件通过网关 地址以及基于TCP或UD P协议的特定端口连接 到通信模组内的网络连接管理软件。 5.根据权利要求4所述基于通信模组 的网络接入控制方法， 其特征在于， 所述将业务数 据流描述 发送给通信模组内的网络连接管理软件的步骤， 包括上位机可信软件生成随机共 享密钥， 并通过签名信息中的加密密钥对公钥使用SM2椭圆曲线公钥加密算法加密后发送 给通信模组内的网络连接管理软件， 通信模组内的网络连接管理软件使用SM2椭圆曲线公 钥加密算法通过内置加密密钥对私钥解密获取共享密钥， 随后待接入软件与通信模组内的 网络连接管理软件通过共享密钥和SM4分组密码算法加密连接收发的信息 。 6.根据权利要求1所述基于通信模组 的网络接入控制方法， 其特征在于， 所述网络连接 管理软件校验待接入软件合法性的步骤， 如果验证通过， 则待接入软件定时触发心跳包保 持连接有效性， 所述的心跳包为在客户端和服务器间定时通知 对方自己状态的一个自定义 命令字； 如果通信模组内的网络连接管理软件连续丢失心跳包的次数超过预设门限值， 则 判断网络连接失效， 关闭当前网络连接并禁用网络连接对应的业 务数据流。 7.根据权利要求1所述基于通信模组 的网络接入控制方法， 其特征在于， 还包括网络连 接管理软件打开本端特定连接端口并监听上位机软件连接请求的步骤， 所述连接端口为 IP、 TCP或UD P端口。 8.根据权利要求1所述基于通信模组 的网络接入控制方法， 其特征在于， 所述网络连接权　利　要　求　书 1/3 页 2 CN 114885331 A 2管理软件配置访问控制功能的步骤， 默认访问控制功能的配置仅使能有限服 务。 9.根据权利要求1所述基于通信模组 的网络接入控制方法， 其特征在于， 在所述拨号成 功时， 通信模组分配IP和网关地址给 上位机， 通信模组将网关地址设置为 通信模组地址； 待接入软件发起业务连接前， 将业务数据流描述， 包括本端端口、 协议类型、 远端服务 器地址、 端口信息发送到通信模组内的网络连接管理软件， 请求使能业 务流通路； 通信模组内的网络连接管理软件根据业务数据流描述信 息配置访问控制功能， 使能相 关业务数据流进行流入或流出， 并返回结果给待接入软件； 待接入软件收到网络连接管理 软件返回的业 务流通路使能成功应答后， 正常 建立业务连接， 收发业 务数据。 10.一种基于通信模组的网络 接入控制系统， 其特 征在于， 包括： 网络连接建立模块， 用于上位机发送数据拨号建立网络连接； 软件合法性验证模块， 用于在所述拨号成功时， 所述上位机应用通信模组内的网络连 接管理软件， 并将待接入软件特征值以及签名发送到网络连接管理软件， 网络连接管理软 件校验待接入软件合法性， 验证通过后， 将业务数据流描述发送给通信模组内的网络连接 管理软件， 网络连接管理软件配置访问控制功能， 使能相关业 务数据流进行流入或流出。 11.根据权利要求10所述基于通信模组 的网络接入控制系统， 其特征在于， 还包括网络 连接管理软件预置模块， 用于在通信模组内部预置网络连接管理软件， 集成安全算法以及 访问控制功能； 所述网络连接管理软件预置模块基于SM2椭圆曲线公钥加密算法生成数字 签名密钥对以及加密密钥对， 通信模组生产过程中将 签名密钥公钥以及加密密钥私钥固化 到通信模组安全 存储区域或eSIM /安全二合一芯片， 不可擦除且外 部不可读取。 12.根据权利要求11所述基于通信模组 的网络接入控制系统， 其特征在于， 所述软件合 法性验证模块校验待接入 软件合法性时， 对于可信软件， 通过国密S M3密码杂凑算法根据待 接入软件二进制镜像获取HASH值， 使用SM2椭圆曲线公钥加密算法通过签名私钥根据待接 入软件镜像HASH值以及待接入软件内置的特定USER  ID进行签名； 输出签名信息数据量大 小固定， 内容包括签名值、 加密密钥对公钥以及签名信息HASH值， 所述签名信息HAS H值使用 SM3密码杂凑算法对签名值、 加密密钥对公钥和USER  ID关键信息计算得出， 使用签名信息 HASH值完成可信软件 对签名信息的有效性校验。 13.根据权利要求12所述基于通信模组 的网络接入控制系统， 其特征在于， 所述软件合 法性验证模块对签名信息的有效性校验时， 上位机可信软件读取签名信息并通过SM3密码 杂凑算法根据软件内置的US ER ID和签名值、 加密密钥对公钥、 签名信息HASH值校验签名信 息， 若校验失败， 则待接入软件直接退出； 否则， 待接入软件通过网关地址以及基于TCP或 UDP协议的特定端口连接 到通信模组内的网络连接管理软件。 14.根据权利要求13所述基于通信模组 的网络接入控制系统， 其特征在于， 所述软件合 法性验证模块将业务数据流描述 发送给通信模组内的网络连接管理软件时， 上位机可信软 件生成随机共享密钥， 并通过签名信息中的加密密钥对公钥使用SM2椭圆曲线公钥加密算 法加密后发送给通信模组内的网络连接管理软件， 网络连接管理软件使用SM2椭圆曲线公 钥加密算法通过内置加密密钥对私钥解密获取共享密钥， 随后待接入软件与通信模组内的 网络连接管理软件通过共享密钥