GB∕ T 25320.11-2023 电力系统管理及其信息交换 数据和通信安全 第11部分：XML文件的安全（正式版）

GB/T25320.11—2023/IEC62351-11电力系统管理及其信息交换数据和通信安全第11部分：XML文件的安全国家市场监督管理总局国家标准化管理委员会I Ⅲ IV 1 1 2 24.1概述 2 34.3应对安全攻击 35XML文件 36XML文件封装 46.1概述 4 5 6 6.7安全算法选择 7示例文件(资料性) 207.1非加密示例 7.2加密示例 23 29 1 3 4 4 5 6 7 7图9ACL限制类型ACLRestrictionType的XSD复杂类型定义 8 Ⅱ 20 6 8表5ACLRestrictionType元素的定义 9表6ACLType枚举值的定义 Ⅲ—第1部分：通信网络和系统安全安全问题介绍。目的在于介绍GB/T(Z)25320的其他部-—第3部分：通信网络和系统安全包含TCP/IP的协议集。目的在于规定如何通过限于传输——第5部分：GB/T18657等及其衍生标准的安全。目的在于定义了应用程序配置文件——第12部分：分布式能源(DER)系统的快速恢复和安全建议。目的在于提高分布式能源——第100-1部分：IEC62351-5和IECTS60870-5-7的一致性测试用例。目的在于提供了V12Glossaryofterms)W3CXML1.0典型规范，网际网路联盟(RecommendedCanonicalXML1.0withcomments)(/TR/2001/REC-xml-cl4n-2001031W3CXML1.0规范要求，网际网路联盟(RequiredCanonicalXML1.0,Omitscomments)(/TR/2001/REC-xml-2)机密或私有数据；35XML文件用户用户A4随机值加密签名覆盖5图4描述了本文件的XML文件的通用XSD结构。定义符合表1。可选(O)/强制(M)/有条件的(信息头)M(见6.2)系信息(不加密)C(见6.3)看原始文件内容)。如果用户不关心信息的机密性，或者可通过其他外部机制提供机密性，宜使用此选项。(加密)C(见6.4)为原始文件的访问控制和封装提供加密。如果用户有对信息进行私密性防护的意愿，且不能通过外部机制获得私密性防护，宜使用此选项。XSD元素nonEncrypted和Encrypt(签名)MW3CXMLSignature信息的信息头类型HeaderType的XSD结构应符合图5。Q1-DateTimeOfEnQI:ResponsibleEntity信息头类型HeaderType是一个XSD复6可选(O)/强制(M)/有条件的(版本号)M为“1.0”DateTimeOfEncapsul(封装的日期时间)M指对原始文件进行封装的日期和时间(文件描述)O的，则此元素是必需的，因为如果出现问题，用户将无法(责任实体)O(见6.6.2)(联系信息)O用户提供的字符串，其中可能包含文件使用者在遇到问7GB/T25320.11—2023/IEC62351-11:2016可选(O)/强制(M)/有条件的(随机数)M见6.3.2(访问控制)O(见6.3.3)这个元素用于表达访问控制信息。如果未出现访问控制元素，访问控制的默认值是允许所有的访问(正文)M此元素表示一个与安全相关的属性，该属性确保如果同一主体使用相同AccessControl允许零(0)值，因为AccessControl是可选项，或者为封装的文件指定多组访问信Q1:AccessControlQ1:AccessCAccessControl元素是由一个或多个访问控制信息AccessControlInformation(s)组成的XSD序列。每个AccessControllInformation都对应一个XSD类型的访问控制类型AccessControlType,其结构符合图8。Q1:ACLRestriction由8如Contractual或ACLRestricContractual或ACL是一个由表4中定义的元素所组可选(O)/强制(M)/有条件的(契约文件名)M语句中指定的信息有关的允许访问权限/特权的信息(ACL限制)M(见)ACLRestriction的使用允许用户指定白名单或(XML路径)O(见)此元素包含XPATH值，该值表示正文中包含的信ACLRestictionType白9可选(O)/强制(M)/有条件的(C)(ACL类型)M(见)用于描述访问限制规则是允许还是拒绝。因此，对应ACLType的枚举值应是：Allow和DenyM(见)用于允许用户声明一系列的可允许或拒绝的访问权(ACL应用于)M(ACL期限)(用于指定访问控制规则不再适用的日期和时间。在一个XML文件中可能包含有多个ACL,因此对于存在公共约束值和相同/重叠的定义(允许)描述对应的ACLRestrictionType是用于创建白名单，且对特定ACLAppliedTo对straints特定约束权限是允许(拒绝)描述对应的ACLRestrictionType是用于创建黑名单，且对特定ACLAppliedTo对straints特定约束权限是拒绝定义(全部)声明对读取、写入和列表的所有权限。Read读取权限，(如果允许)表示实体可以提供值/元素给另一个实体。Write写入权限，(如果允许)表示实体能够对值/元素进行修List列表权限，(如果允许)表示实体能够获知值/元素是否存因此，All值与Read、Write、List和Forward是互斥的。如果在ACLConstraints的特定实例中指(传递值)声明对XPATH指定的信息值传递给另一个实体的能力。该声明中的Read权限隐含了List的权限。例如，如果ACLType的枚举值是Allow,则一个实体将能够对另一个实体提供信(写)声明对XPATH指定信息的值具有修改的权限EntityType的结构应符合图10。借”:图10实体类型EntityType的XSD复杂类型EntityType是一个实体规范组合的XSD序列，用于确定ACL适用的实体。表8定义了EntityType可选(O)/强制(M)/有条件的(可分辨名称)M(见6.6.2)系人(如组织或个人)以及ACL的适用人信息(URL地址)M用于声明适用ACL的网址信息。的特定FTP站点引用到一个组织(角色)O(见)分组的类型Role是一个xs:string,其值通过枚举进行限制。字符串的允许值按照IECTS62351-8进行定义。此元素包含XPATH值，该值引导指定的约束到Body中对应的信息标签。如果未指定XPATH,指定的约束应适用于整个Body元素。口<7xmlversion='1.0'enxo<Q1IEC62351-11xmlnsnl="http//wwwaltovacom/samplexm/other-namespace'xmnsQ1="http//wwwiecch/2014/01/6xmlnsds="http///200009/mmldsig#'xmhnsenc="http/M2001/04mlenct'xmhnsxsi="http/Mww.w3org2001/XMLSchema-instancexsishemaloxabon="http//wwwiec.ch/2014/01/62351-11#fie//CUsers/root/Desktop/IEC62351-11/EC62351-1<Q¹:Nonce>85343410947jgfa8312b<Q1XPATH>//zimPowerIransformelerdtID=_I20568311Z056<rdt:RDFxminsrdf="http///1999/02/22-df-syntax-ns#xmhscim="http/leech/TC57/200/CIM-schema-cm14°><cmPowerTransformerrdtJID='IZ0568311<amldentfedObjectname>UNKNOWN</cimldentifiedObjectna<amEquipmentMemberOfEquipmentContainerrdtresourte='#52056831120568422%><cmldentfedObjectname>500</am:ldentfed<omSubGeographcalkegiondfD='ZX下<cimldentifedObject,name>XX</cimldentif<cimSubGeographicalRegion.Regionrdtresource=*H_XX/><cim.ControlAreanetinterchange>0</cimControlAreanetinterchange><cimldentifedObjectname>SUBSTATION_2</cim:ldent<dsCanonicalizationMethodAlgorithm="/TR/2001/REC-xml-d4n-2001031<ds.SignatureMethodAlgorithm='2001/04/xmldsig-more<dsHMACOutputlength>128</dsHMA<dsDigestMethodAlgorithm=*2001/04/xmldsig-more<rdf.RDFxmlns:rdf="http:/Mww.W3.org/199902/22-rdf-syntax-ns#xmlns:cim="http:/iec.ch/TC57/2009/CIM-schema-cim14#><cim:PowerTransformerrdf.ID="TZ0568311_Z056<cim:ldentifiedObjectname>UNKNOWN</cim:ldent<cim:Equipment.MemberOf_EquipmentContainerrdfresource="#SZ0568311Z056<cim:BaseVoltage.nominalVoltage>500</cim:BaseVoltage.nom<cim:BaseVoltageisDC>false</cim:BaseVo<cim:ldentifiedObjectname>500</cim:ldentfiedObjec<cim:SubGeographicalRegionrdf.ID="Z<cim:ldentifiedObjectname>XX</cim:l<cim:SubGeographicalRegion.Regionrdfresou<cim:ldentifiedO>ControlArea_XX</cim:ldentifiedObject<cim:ControlAInterchange>O</cim:ControlA<cim:ControlArea.pTolerance>O</cim:ControlArea<cim:Substationrdt.ID="<cim:ldentifiedO>SUBSTATION_2</cim:ldentifie<cim:Substation.Regionrdfr二二二xenc:EncryptionProper W3C中的EncryptionMethodType指定了EncryptionMethod曰在加密元素中应出现可选的EncryptionMethod信息，其数值应符合IANA的规定(见第8章)。———2009/xmlencll#aes128-gc——2009/xmlencll#aes192-gc——2009/xmlencl1#aes256-gc三三如果EncryptedDataType中的KeyInfo元素不存在，则SignatureKeyInfo元素的值应用于加G身Signature元素的结构定义采用了W3C定义的Si==[ia..方法应是推荐的方法之一：/TR/2001/REC-xml-cl4n-20010315#WithCom-(/assignments/xml-security-uris/xml-se——2001/04/xmldsig-more#hmac-sha25——2001/04/xmldsig-more#hmac-sha38——2001/04/xmldsig-more#hmac-sha51●不应声明ReferenceType的转换Transforms信息；---2001/04/xmldsig-more#sha224;中中 2001/04/xmldsig-more#s(elementname="DigestValue"type="ds:DigestValueType"(simpleTypename="DigestValueType"><restrictionbase="base64Binary"/>图22。NameSeqTypeName元素是xs:string类型。<?xmlversion="1.0"encoding<Q1:IEC62351-11xmlns:Q1="http://www.iec.ch/2014/01/62351-11#"/2000/09/xmldsxmlns:enc="/2001/04/xmlns:xsi="/2001/XMLSchema-xsi:schemaLocation="http://www.iec.ch/2014/01/62351-11#file:///C:/User《Q1:DateTimeOfEncapsulation>2014-04-14T21:32:52</Q1:DateTim《Q1:Filedesc>ExampleIEC62351-11n(Q1:Nonce>85343410947jgfa8312b<Q1:XPATH>//cim:PowerTransformer[@rdf:ID='TZZ0568422124574'](</Q1:AcessControllnfo<rdf:RDFxmlns:rdf="/1999/02/22-rdf-syntax-ns#cim="http://iec.ch/TC57/2009/CIM-s<cim:PowerTransformerrdf:ID="_T_Z0568311_Z<cim:IdentifiedO>UNKNOWN</cim:IdentifiedO)<cim:Equipment.MemberOf_EquipmentContainerrdf:resource="#S<cim:BaseVoltagerdf:ID="<cim:BaseVoltage.nominalVoltage>500</cim:BaseVoltage.n<cim:IdentifiedO>500</cim:Identified<cim:SubGeographicalRegionrdf:ID<cim:IdentifiedO)XX(/cim:Identified<cim:SubGeographicalRegion.Regionrdf:resourc<cim:ControlAreardf:ID="_CA_X"><cim:IdentifiedO>ControlArea_XX</cim:<cim:ControlAInterchange>0</cim:ControlArea,net<cim:ControlArea.pTolerance>0</cim:ControlArea<cim:Substationrdf:ID="_S_10000<cim:IdentifiedO>SUBSTATION_2</cim:Identifie<ds:CanonicalizationMethodAlgorithm="/TR/2001/REC-xml-<ds:SignatureMethodAlgorithm="2001/04/xmldsig-more#hmac-sha256"><ds:HMACOutputLength>128</ds:HMACOutp<ds:DigestMethodAlgorithm="2001/04/xmldsig-more#sha384"></ds:DigestMethod>(ds:SignatureValue)dGhpcyBpcyBub3QgYSBzaWduYXR1cmUK</d<ds:X509SerialNumber></ds:X509Seri<?xmlversion="1.0"encoding="<Q1:IEC62351-11xmlns:nl=/samplexml/other-namespaceQ1="http://www.iec.ch/2014/0xmlns:ds="/2000/09/xmldsig#"xmlns:enc="/xmlns:xsi="/2001/XMLSchema-xsi:schemaLocation="http://www.iec.ch/2014/01/62351-11#file:///C:/Us<Q1:EncryptedType="/2001/04/xmlenc#Element"><enc:EncryptionMethodAlgorithm="2009/xmlencl1#aes128TWFulGlzIGRpc3RpbmdlaXNoZWQsIG5vdCBvbmx5IGJ5IGhpcyByZIHNpbmdlbGFyIHBhc3Npb24gZnJvbSBvdGhlciBhbmltYWxzLCB3adGhlIG1pbmQsIHRoYXQgYnkgYSBwZXJzZXZlcmFuY2Ugb2YgZGdWVkIGFuZCBpbmRIZmF⁰aWdhYmxlIGdlbmVyYXRpb24gb2Yga25vZSBzaG9ydCB2ZWhlbWVuY2Ugb2YgYW55IGNhcm5hbCBwbGVhAlgorithm="/TR/2001/R<ds:SignatureMethodAlgorithm="2001/04/xmldsig-more#hmac-sha256")(ds:HMACOutputLength>128</ds:HMAC<ds:DigestMethodAlgorithm="2001/04/xmldsig-more#sha384"></ds:DigestMethod><ds:DigestValue)dGhpcyBpcyBub3QgYSBzaWduYXR1cmUK</ds:D<ds:SignatureValue>dGhpcyBpcyBub3QgYSBzaWduYXR1cmUK</ds:Sign<ds:X509IssuerName>IEC(/ds:X509Iss<ds:X509SerialNumber>0123</ds:X509Seria为了提供与IEC62351(所有部分)中其他部分相同的安全性/类似的加密算法选择(尤其是IEC62351-3中TLS的协议集),推荐的加密算法标记为粗体，请注意，本推荐不宜限制更强算法的2000/09/xmldsig#base64Transform2000/09/xmldsig#DSAKeyValueRetriev2000/09/xmldsig#enveloped-signatureTransform2000/09/xmldsig#hmac-shalSignatureMethod2000/09/xmldsig#MgmtDataRetrievaltype2000/09/xmldsig#PGPDataRetri2000/09/xmldsig#rawX509CertificateRetrieval2000/09/xmldsig#RSAdRetrievaltype2001/04/xmldsig-more#2001/04/xmldsig-more#camell2001/04/xmldsig-more#camell2001/04/xmldsig-more#camell2001/04/xmldsig-more#ec2001/04/xmldsig-more#ecds2001/04/xmldsig-more#ecds2001/04/xmldsig-more#ecds2001/04/xmldsig-more#es2001/04/xmldsig-more#esig2001/04/xmldsig-more#esig2001/04/xmldsig-more#esig2001/04/xmldsig-more#esig2001/04/xmldsig-more#2001/04/xmldsig-more#hmac-SignatureMethod[RFC6931],sectSignatureMethod[RFC6931],secti 2001/04/xmldsig-more#hma2001/04/xmldsig-more#hma2001/04/xmldsig-more#hma2001/04/xmldsig-more2001/04/xmldsig-more#2001/04/xmldsig-more#kw-ca2001/04/xmldsig-more#kw-ca2001/04/xmldsig-more#kw-ca2001/04/xmldsig-more#PKCS7signedDataRetrievaltype[RFC6931],section3.22001/04/xmldsig-more#psec-kemEncryptionMethod2001/04/xmldsig-more#rawPGPK2001/04/xmldsig-more#rawPKCS7s2001/04/xmldsig-more#raw2001/04/xmldsig-more#ra2001/04/xmldsig-more#RetrieRetrievaltypeRetrievaltypeRetrievaltype2001/04/xmldsig-moreSignatureMethod[RFC6932001/04/xmldsig-more#rsSignatureMethod[RFC6931],2001/04/xmldsig-more#rsSignatureMethod[RFC6931],sect2001/04/xmldsig-more#rsa-rSignatureMethod[RFC6932001/04/xmldsig-morDigestAlgorithm[RFC6931],section2.1.22001/04/xmldsig-mor2001/04/xmldsig-mor2001/04/xmldsig-more#PK1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendat2001/04/xmlenc#aes192-cb1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation242001/04/xmlenc#aes256-cbcEncryptionMethod["XMLEncryptionSyntaxandProc1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation241"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation24Ja1"],D.Eastlake,J.Reagle,F.Hirsch,T.Ro2001/04/xmlenc#kw-aes192EncryptionMethod["XMLEncryptionSyntax1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation241"],D.Eastlake,J.Reag2001/04/xmlenc#ripemd160DigestAlgorithm["XMLEncryptionSyntaxandProcessingVersion1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation2001/04/xmlenc#rsa-1_5EncryptionMethod["XMLEncryptionSyntaxandPr1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecomm2001/04/xmlenc#rsa-oaep-mgflpEncryptionMethod["XMLEncryptionSyntaxansion1.1"],D.Eastlake,J.Reagle,F.HirD.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRe2001/04/xmlenc#sha512DigestAlgorithm["XMLEn1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation24Ja2001/04/xmlenc#tripledes-cbc1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation24Jan2013.["XML-SignatureXPathFilter2.0"],J.Boyer,M.Huges,J.Reagle,8November2002.2002/06/xmldsig-filter2Transform["XMLPathglund,S.Boag,D.Chamberlin,M.Fernandez,M.Kay,J.Robie,J.Simeon,W3CRecommend2002/07/decrypt#XMLTransform["DecryptionTran2002/07/decrypt#BinarHughes,T.Imamura,H.Maruyama,W3CRecommendation10December2002.2006/12/xmlc12nll#Canonicalization["CanonicalXML2006/12/xmlc14nll#WithCommentBoyer,G.Marcy,W3CRecommendation2May2008.2007/05/xmldsig-more#ecdsa-ripemd160SignatureMet2007/05/xmldsig-more#ecdsa-whirlpoolSignatureMethod[R2007/05/xmldsig-more#kw-seed128EncryptionMethod[R2007/05/xmldsig-more#md2-rsa-MGF1SignatureMethod[RFC6931],section2007/05/xmldsig-more#md5-rsa-MGF1SignatureMethod[RFC6931],section2007/05/xmldsig-more#MGF1SignatureMet2007/05/xmldsig-more#ripemd128-rsa-MGF1SignatureMethod[RFC6931],secti2007/05/xmldsig-more#ripemd160-rsa-MGF1SignatureMethod[RFC6931],secti2007/05/xmldsig-more#rsa-pssSignatureMethod[RFC6931],section2.3.92007/05/xmldsig-more#rsa-sha224SignatureMethod[RFC62007/05/xmldsig-more#rsa-whirlpoolSign2007/05/xmldsig-more#seed128-cbcEncryptionMethod[RFC6931],section2.6.52007/05/xmldsig-more#shal-rsa-MGF1SignatureMethod[RFC6931],sectio2007/05/xmldsig-more#sha224-rsa-MGF1SignatureMetho2007/05/xmldsig-more#sha256-rsa-MGF1SignatureMetho2007/05/xmldsig-more#sha3-224DigestAlgorithm[RFC692007/05/xmldsig-more#sha3-224-rsa-MGF¹SignatureMethod[RFC6931],section2.3.102007/05/xmldsig-more#sha3-256DigestAlgorithm[RFC692007/05/xmldsig-more#sha3-256-rsa-MGF1SignatureMethod[RFC6931],section2.3.102007/05/xmldsig-more#sha3-384DigestAlgorithm[RFC692007/05/xmldsig-more#sha3-384-rsa-MGF1SignatureMethod[RFC6931],section2.3.102007/05/xmldsig-more#sha3-512DigestAlgorithm[RFC692007/05/xmldsig-more#sha3-512-rsa-MGF1SignatureMethod[RFC6931],section2.3.102007/05/xmldsig-more#sha384-rsa-MGF12007/05/xmldsig-more#sha512-rsa-MGF12007/05/xmldsig-more#whirlpoolDigestAlgorithm[RFC6931],section2007/05/xmldsig-more#whirlpool-rsa-MGF1SignatureMethod[RFC6931],section2.32009/xmlencll#kw-aes-128-padEncryptionMethod["XVersion1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed2009/xmlencll#kw-aes-192-padEnVersion1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecomme2009/xmlencl1#kw-aes-25Version1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommend2009/xmldsigll#dsa-sha256SignatureMethodRetrievaltypeSolo,F.Hirsch,M.Nystrom,T.Roessler,K.2009/xmldsigll#DEREncodedKeyValueRetrievaltypeRoessler,K.Yiu,ProposedRec2009/xmlencll#aes128-gcmEncryptionMet1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed2009/xmlencll#aes192-gcmEncryptionMet1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed2009/xmlencll#ConcatKDFEncryptionMethod["XMLEncrypt1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation24January2009/xmlencll#mgflsha224SignatureMethod["XMLEncryptionSy1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed2009/xmlencll#mgflsh1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed2009/xmlencll#mgflsha384SignatureMethod["XMLEncryptionSy1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed2009/xmlencll#mgflsha512SignatureMethod["XMLEncryptionSyn1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedRecommendation24January2009/xmlencl1#rsa-oaep1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedR2009/xmlencll#ECDH-E1.1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,Proposed1"],D.Eastlake,J.Reagle,F.Hirsch,T.Roessler,ProposedR2010/xmlsec-ghc#generic-hybridGenericHybrid["XMLSecuriNystrom,F.H