Abstract-Electricity industrin är nu på gränsen till en ny era-en era som lovar, genom utvecklingen av de befintliga elnäten till smarta elnät, effektivare och effektiv energihantering, bättre tillförlitlighet, minskade produktionskostnader och mer miljövänlig energiproduktion. Många initiativ över hela världen, under ledning av både industrin och den akademiska världen, återspeglar det ökande intresset kring inte bara de enorma fördelarna utan också de stora risker som denna utveckling medför. Detta dokument fokuserar på frågor som rör säkerheten i det smarta nätet och det smarta hemmet, som vi presenterar som en integrerad del av det smarta nätet. Baserat på flera scenarier syftar vi till att presentera några av de mest representativa hoten mot smarta hem/smarta nät. De upptäckta hoten kategoriseras enligt specifika säkerhetsmål som fastställts för den smarta hem-/smarta nätmiljön, och deras inverkan på den övergripande systemsäkerheten utvärderas. Därefter görs en genomgång av samtida litteratur i syfte att presentera lovande säkerhetsåtgärder med avseende på de fastställda specifika säkerhetsmålen för varje aktuellt scenario. En satsning på att belysa öppna frågor och framtida forskningsanvisningar avslutar detta dokument. Index Terms-Smart rutnät, smarta hem, säkerhet, motåtgärder, utmaningar. T HE elkraft infrastruktur som vi känner det idag har lyckats tjäna våra behov framgångsrikt, nästan oförändrat, i nästan ett århundrade; revolutionerar nästan varje aspekt av våra liv. Men eftersom denna infrastruktur oundvikligen åldras blir den allt mindre effektiv, gång på gång går mot sina begränsningar och ständigt anstränger sig för att hålla jämna steg med våra ständigt ökande krav. Behovet av tillförlitlighet, skalbarhet, hanterbarhet, miljövänlig energiproduktion, driftskompatibilitet och kostnadseffektivitet framhäver behovet av ett moderniserat och intelligent nät för morgondagen; en ny, tillförlitlig, effektiv, flexibel och säker energiinfrastruktur, känd som det smarta nätet [1]. Genom införandet av avancerade elsystem elektronik, nätverk och kommunikationsteknik är smarta nätet tänkt att avsevärt förbättra den befintliga elektriska Manuscript mottog juli 29, 2013; reviderade januari 4, 2014; accepterade april 3, 2014. Datum för offentliggörande 24 april 2014; datum för nuvarande version 18 november 2014. N. Komninos är med Institutionen för datavetenskap, City University London, EC1V 0HB London, Storbritannien, och även med University of Cyprus, 1678 Nicosia, Cypern (e-post: Nikos.Komninos.1@city.ac.uk). E. Philippou och A. Pitsillides är vid institutionen för datavetenskap, Cyperns universitet, 1678 Nicosia, Cypern (e-post: ephili01@cs.ucy.ac.cy; andreas.pitsillides@cs.ucy.ac.cy). Färgversioner av en eller flera av siffrorna i detta dokument finns tillgängliga på http://ieeexplore.ieee.org. Digitala objektidentifierare 10.1109/COMST.2014.2320093 rutnät. Möjliggör mer exakt realtidsövervakning, säkerställa optimering av strömflöden och möjliggöra dubbelriktad kommunikation mellan nytto- och kundsidan samtidigt peka vägen till en mer miljövänlig energiproduktion genom att införliva förnybara energikällor i elnätet (både vid nytto- och konsumentsidan) [2], [3]. En oumbärlig del av denna utveckling, smart mätning av bostäder, tar in det smarta nätet i våra hem, omvandlar dem till framtidens smarta hem och möjliggör effektivare övervakning och kontroll av hushållsenergi. Nyligen genomförda studier tyder på att 40 % av den totala energiförbrukningen och 36 % av de totala koldioxidutsläppen i Europeiska unionen kan tillskrivas bostäder och byggnader [4]. Motsvarande räntor i USA och Kina varierar på liknande nivåer vilket gör behovet av hemutveckling absolut nödvändigt. Framtidens hushåll behöver inte bara vara betydligt smartare utan också mer energimedvetna. Vi kommer att hänvisa till dessa, som energimedvetna smarta hem, dvs. bostäder som utnyttjar sensor- och nätverksteknik för att säkerställa kommunikation mellan sina apparater och en smart mätare som ständigt rapporterar inspelad energiförbrukning till elnätet, samtidigt som det också gör det möjligt för det smarta nätet att driva information, såsom dynamisk prissättning, tillbaka till huset. Sådana bostäder förväntas dynamiskt justera sin energiprofil enligt smarta nätkapaciteter, samtidigt som de också ger sina ägare möjlighet till fjärrövervakning [5]. Smart rutnät framgång är starkt beroende av kommunikation. Varje enskild enhet i detta komplexa, heterogena nätverk måste kunna kommunicera med alla andra enheter i det och i det smarta hemmet, när som helst, på ett effektivt men också säkert sätt. Med tanke på att detta meddelande i hög grad är beroende av informationsteknik är det dock oundvikligt att oron när det gäller säkerhet och integritet smyger sig in. Sårbarheter som är inneboende i kommunikations- och nätverkssystem kan helt klart påverka det smarta nätet, med konsekvenser som ofta är allvarligare än vad vi är vana vid att möta i vanliga informationssystem. Om dessa sårbarheter utnyttjas framgångsrikt kan de allvarligt skada hela infrastrukturen, vilket får ekonomierna att kollapsa, samhällena att falla isär och människor att förlora livet. Säkerhet blir därför ett primärt problem för denna kritiska infrastruktur. Trots sin kritik befinner sig dock forskningen om smarta hem och smarta nät i ett tidigt skede [6]. Som ett resultat av detta är vi motiverade att ytterligare undersöka dem. Vårt mål är att bidra till den redan existerande litteraturen genom att ge en mer heltäckande bild av säkerheten i den smarta nätmiljön, med hänsyn till dess ihållande interaktion med det smarta hemmet och fokus på hela nätverket, inte bara 1553-877X © 2014 IEEE. Personlig användning är tillåten, men ompublicering/omfördelning kräver IEEE-tillstånd. Se http://www.ieee.org/publications_standards/publications/rights/index.html för mer information. IEEE KOMMUNIKATIONSUNDERSÖKNINGAR OCH TURIAL, VOL. Nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, 4, FJÄRDE KVARTER 2014 vissa specifika delsystem som ofta står i fokus för aktuell säkerhetsrelaterad litteratur. Av denna anledning, vår antagna strategi innebär identifiering av hot som kan uppstå, under några av de mest typiska scenarierna för interaktion mellan olika enheter i den smarta elnätsmiljön, från kund sida till nytta sida och vice versa. Vår strategi kan sammanfattas i tre huvudpunkter. • För det första har man identifierat de viktigaste scenarierna för interaktion mellan enheter i smarta hem och smarta nätmiljöer. Klassificeringen av de risker som hotar dessa interaktioner och en utvärdering av deras inverkan på den övergripande systemsäkerheten. • För det andra genomförs en översyn av aktuell litteratur om säkerhetsåtgärder som skulle kunna försvara oss mot de upptäckta hoten. Den innehåller lovande säkerhetsåtgärder med avseende på de fastställda specifika säkerhetsmålen för varje presenterat interaktionsscenario. • För det tredje presenteras öppna frågor och framtida riktlinjer för forskningen föreslås. Såvitt vi vet är detta den första undersökningen om smarta näts cybersäkerhetsfrågor som lägger så stor vikt vid den smarta hemmiljön och dess interaktion med den smarta nätmiljön. Anledningen till detta fokus ligger i erkännandet att i början av det smarta nätet rollen för konsumenten och hans smarta hem blir av ökande betydelse för Grid. Naturligtvis, bulk överföringssystemet vid brukssidan anses fortfarande vara den primära fokus för it-säkerhet insatser. I det smarta elnätet blir dock skyddet av nätverksanslutningar till kundernas hem av avgörande betydelse eftersom det också kan äventyra elnätets robusthet och stabilitet. Resten av detta dokument är organiserat enligt följande. I avsnitt II presenterar vi kortfattat arkitekturerna för det smarta nätet och det smarta hemmet och understryker fördelarna med deras interaktioner. I avsnitt III presenterar vi de säkerhetsmål som förväntas uppfyllas och identifierar hot som uppstår under representativa scenarier för interaktion mellan smarta hem/smarta nätenheter. Effekterna av dessa hot utvärderas också i detta avsnitt. I avsnitt IV går vi igenom samtida litteratur för att diskutera lovande motåtgärder mot de olika attacker som identifierats i avsnitt III. Avsnitt V, ger en översikt över pågående standardiseringsarbete i branschen när det gäller smart nät cybersäkerhet. I avsnitt VI föreslås framtida forskningsinriktningar. Avsnitt VII, avslutar vår uppsats. Andra stycket ska ersättas med följande: SMART GRID & SMART HOME ÖVERSIKT Hittills har olika ramar som beskriver arkitekturen i det smarta nätet föreslagits av både industrin och den akademiska världen med den mest allmänt antagna och anpassade modellen, vilket är den referensmodell som föreslagits av det amerikanska nationella institutet för standarder och teknik (NIST) [3]. Denna modell konceptualiserar det smarta nätet som en uppsättning av sju sammankopplade domäner. De fyra första områdena (Bulk Generation, Transmission, Distribution och Kunder) är ansvariga för gener, överföring och distribution av energi men också för att säkerställa dubbelriktad kommunikation mellan kundsidan och den avancerade mätinfrastrukturen (AMI). De återstående tre enheterna (marknads-, drift- och tjänsteleverantörer) ansvarar för styrning av energimarknaden, energidistribution och tillhandahållande av tjänster. En något annorlunda arkitektur, endast inspirerad av NIST begreppsmodell som beskrivs ovan, men också av [7] - [9], antas för syftet med denna studie. Denna arkitektur konceptualiserar det smarta nätet genom ett flerskiktat tillvägagångssätt. Som visas i bild. 1, i det nedre skiktet av denna modell, kan man hitta Home Area Networks (HANs), Building Area Networks (BAN) och Industrial Area Networks (IANs) dvs., trådbundna eller trådlösa nätverk i kundlokaler (hem, byggnader eller industriområden) som kopplar samman apparater med smarta mätare och energihanteringsenheter, som ansvarar för att rapportera premissens förbrukning till nätet vid varje given tidpunkt samtidigt som också bär meddelanden från nätet tillbaka till premissen [10]. På mellanskiktet kan man hitta grannområdesnät (NAN) dvs. nätverk som täcker små geografiska områden, som ansvarar för sammankopplingen av smarta mätare av olika typer av lokaler med en åtkomstpunkt för distribution som aggregerar de data som samlas in av dem och vidarebefordrar dem till det övre skiktet. Fjärrterminalenheter (RTU) dvs. elektroniska enheter som ansvarar för överföring av telemetridata till SCADA-systemet (vid det översta skiktet) och Phasor Measurement Units (PMUs), dvs. synkroniserade enheter som mäter elektriska vågor på nätet, anses också vara en del av NAN [11]. På det översta lagret av denna konceptuella modell kan man hitta Wide Area Networks (WAN) som kopplar samman flera NAN:er. Alla uppgifter som samlas in av NANs (vare sig det är information som beskriver KOMNINOS et al.: ÖVERVAKNING I SMART GRID OCH SMART HEMSÄKERHET 1935 Bild. 2. Utgångspunkten är följande: En översikt över ett smart hems arkitektur, interna och externa miljöer. rutnätets nuvarande tillstånd eller den sammanlagda förbrukningen i ett område eller någon annan typ av information) levereras på detta översta lager. Utility's head end, Supervisory Control and Data Acquisition System (SCADA) som ansvarar för förvärv, bearbetning, presentation och hantering av mottagna data, Meter Data Management Systems (MDMS) som ansvarar för fakturering av kunder beroende på deras förbrukning, Demand Response Management Systems (DRMS) och Load Management Systems (LMS), Outage Management Systems (OMS) och Customer Information Systems (CIS), kan alla hittas på detta lager [3]. Dessutom betraktas massproduktion, distribuerad produktion, överföringsnät, distributionsnät, energimarknader och tjänsteleverantörer som en del av detta övre skikt. Det energimedvetna smarta hemmet förväntas ständigt samverka med sina interna och externa miljöer. Den externa miljön i ett smart hem består av alla enheter som tillhör det smarta nätet och den enda enhet som ansvarar för sammankopplingen av det smarta hemmet med det smarta nätet. Den interna miljön består å andra sidan av alla apparater och apparater som hör till det smarta hemmet, som förvaltas centralt av en enhet i det. Både de interna och externa miljöerna representeras av specifika enheter inom det smarta hemmanätverket [12]. Ett företag som kallas Energy Services Interface (ESI) representerar den "externa miljön" medan ett företag som kallas Energy Management System (EMS) representerar den "interna miljön". ESI (Fig. 2) är gränssnittet mellan det smarta hemmet och det smarta nätet. Det möjliggör fjärrstyrning av enheter, stöd av Demand Response-program, övervakning av distribuerade energiresurser såsom vindkraftverk som tillhör lokaler, vidaresändning av förbrukningsdata till grannskapets insamlingspunkter (om den fungerar som en mätare), Plug i elektriska fordon/Plug i elektriska hybridfordon (PEV/PHEV) laddning etc. Trots deras logiska separation kan ESI- och Smart Meter-funktioner integreras i en fysisk enhet på grund av kostnadsöverväganden. EMS (Fig. 2), Tvärtom, är det system som gör det möjligt att hantera olika apparater och system i det smarta hemmet, för att hjälpa det smarta hemmet att anpassa sin energiprofil för att passa nätets kapacitet. Av särskilt intresse för oss, är de apparater som styrs av EMS som ingår i kategorin stora kontrollerade laster [13] såsom tvättmaskiner och luftkonditioneringssystem vars drift avsevärt belastar nätet, men kan skjutas upp till en senare tidpunkt när nätets resurser är mindre begränsade. Även termostater, strömbrytare, poolpumpar och PEV styrs av EMS. IEEE KOMMUNIKATIONSUNDERSÖKNINGAR OCH TURIAL, VOL. Nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, 4, FJÄRDE KVARTER 2014 Bild. 2 illustrerar ESI och EMS tillsammans med de enheter som är anslutna till dem. De gröna streckade linjerna representerar de enheter som är anslutna till ESI, medan de rödstreckade linjerna representerar de enheter som är anslutna till EMS. Den blå streckade linjen representerar kommunikationen mellan det smarta hemmet och dess yttre miljö. ESI och EMS är i kontinuerlig tvåvägskommunikation som säkerställer att den interna miljön fungerar i enlighet med den externa miljöns krav och kapacitet. Som illustreras i bild. 2 (blå streckade linjer) det smarta hemmet kan kommunicera med sin yttre miljö på två sätt: antingen genom Smart Meter eller genom ESI. I det förra fallet kommunicerar Smart Meter med NAN-aggregatorn för att rapportera hushållens konsumtion. I det senare är ESI ansvarigt för att möjliggöra olika andra interaktioner mellan det smarta hemmet och verktyget såsom fjärrstyrning. Genom EMS görs Web Services tillgängliga för det smarta hemmet, vilket bland annat möjliggör fjärrkonfiguration av HAN-enheter. Integrationen av det energimedvetna smarta hemmet till det smarta nätet leder med säkerhet till ett framgångsrikt möte med några av det smarta nätets viktigaste mål. Några av de mest illustrativa fördelarna med denna interaktion är: efterfrågeflexibilitetsprogram, lastutmatningsprogram, effektiv återkoppling, topprakningskapacitet och energiutbyten. Ett Demand Response Program är i huvudsak ett avtal mellan verktyget och dess kunder, som lovar kunden sänkta tariffer eller rabatter i slutet av månaden elräkning, förutsatt att han samtycker till att minska sin elförbrukning som svar på signaler som mottas av nätet. Det underliggande konceptet är att när alla kunder var och en sparar lite, kommer det att finnas tillräckligt med kraft för alla [14]. Idag finns det en uppsjö av olika program för efterfrågeflexibilitet, där var och en har sin egen politik när det gäller belöningar, påföljder, konsumentanmälningar (t.ex. dag-för-dag, dag-för) och konsumentsamarbete (frivilligt/obligatoriskt). Oavsett deras specifika egenskaper, fördelarna med dessa program, är fortfarande samma i princip och inkluderar en bättre matchning av utbud och efterfrågan som leder till en mer tillförlitlig nätdrift. 2) Load Shedding Program: Som i [15], Load Shedding är den terminologi vi använder för att beskriva den avsiktligt konstruerade avstängning av elförsörjning till delar av ett elnät som händer i nödsituationer som en sista utväg för att skydda nätet från permanenta skador. Katastrofsituationer som skulle kunna utlösa lastutjämningssystem omfattar till största delen försörjningsbrister som kräver en omedelbar minskning av efterfrågan innan obalansen i utbudsbalansen äventyrar nätets stabilitet. Laddning sker vanligtvis på två sätt, antingen automatiskt eller selektivt [16]. Automatisk utmatning av last sker vanligtvis som ett resultat av samtidiga fel av vitala element i elnätet och syftar till att isolera den del av nätet som står inför felet från resten av elnätet, för att undvika en kaskad händelse. Selektiv belastningsutgjutelse å andra sidan uppstår när det finns tid att göra selektiva val på vilka kunder kan utsöndras. I sådana fall, prioriteringar tilldelas olika matare längs nätet bidrar till att minimera effekten av utmatning av last. Vanligtvis ges områden som har en bostads-, affärs- eller industrikundsmix och ingen specifik kritisk infrastruktur lägre prioritet, medan matare som tillhandahåller infrastrukturer av avgörande betydelse som sjukhus, flygplatser, avlopps- och vattenpumpstationer ges högre prioritet. Högre prioriterade områden är alltid de sista som påverkas och de första som återvinner kraftförsörjningen av uppenbara skäl. 3) Effektivare Feedback: Enligt [17], "Effektiviteten av återkoppling på energiförbrukning", en betydande andel av inhemsk energislöseri av varje hushåll kan tillskrivas bristen på korrekt feedback. Genom denna undersökning blir det uppenbart att orsaken till att konsumenterna inte aktivt kan delta i energibevarandet ligger i att de bara har en vag uppfattning om hur mycket energi de använder för olika ändamål i sitt dagliga liv. Som författarens studie föreslår kan effektiv feedback ändra detta eftersom det kan göra energi mer synlig och därför lättare att hantera och kontrollera. Alla typer av feedback anses dock inte vara effektiva. Som Kempton m.fl. Att i slutet av månaden nämna räkningen [18] är ett sådant exempel. Även om den nämner vår totala förbrukning och hur mycket vi debiteras för den, verkar det som om elräkningen inte ensam kan hjälpa oss att spara energi, eftersom den inte avslöjar var större delen av energin spenderades. Å andra sidan visade det sig att "Social Elektricitet" [19] en Facebook-energimedvetenhet genom sociala jämförelser som möjliggör elavtryck (som tillhandahålls genom elräkningar två gånger i månaden) jämförelser med vänner/grannskap/stad/land har varit till nytta för att minska elförbrukningen, med förslag på mycket större minskning om realtidsinformation fanns tillgänglig. Utan tvivel kommer den ständiga interaktionen mellan det smarta nätet och vårt energimedvetna smarta hem att möjliggöra en effektivare återkoppling. Prissignaler som anger eltariffen vid varje given tidpunkt kommer att anlända till våra hem, vilket gör det möjligt för våra enheter att omedelbart informera oss om mängden energi (i termer av pengar) som kommer att spenderas om en viss enhet slås på vid en viss tidpunkt. En sådan detaljerad bild av energiförbrukningen förväntas ge konsumenten en bättre förståelse för hans energianvändningsmönster och den inverkan hans beslut har på hans elräkning i slutet av månaden, vilket hjälper honom att fatta bättre informerade beslut som kommer att gynna inte bara hans ficka utan också elnätet. 4) Peak Shaving Capabilitys: En lika värdefull fördel som det smarta hemmet och smarta elnätet har att erbjuda är införandet av dynamiska prissättningssystem som möjliggör laddning av energi beroende på tidpunkten för användning och aktuell efterfrågan. Sådana system gör det möjligt för kunderna att dra nytta av lägre priser när de använder energi under lågtrafiktimmar och resulterar i en bättre fördelning av efterfrågan på grund av att en del av den flyttas från topp till lågtrafik, en process som kallas topprakning [20]. 5) "Energy Exchanges": Ytterligare en fördel med dubbelriktad kommunikation mellan det smarta hemmet och det smarta nätet är att den smarta nätkonsumenten har möjlighet att också bli en energiproducent. Genom att installera distribuerad KOMNINOS et al.: ÖVERVAKNING I SMART GRID OCH SMART HEM TRYGGHET 1937 energiresurser i sina lokaler, kunden kan generera, lagra och sälja energi tillbaka till Grid. Ett sådant perspektiv, lovar att öppna energimarknaden så att "energiutbyte" kan skapas, där energi kommer att köpas och säljas i priser som styrs av utbuds- och efterfrågekrafter [21]. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. SÄKERHETSFRÅGOR I SMART HOME OCH SMART GRIDEN Efter att just ha avslöjat några av de viktigaste fördelarna med samspelet mellan smarta hem och smarta nätenheter kan vi nu ytterligare inse vikten av kommunikation mellan enheterna i denna kritiska infrastruktur. Vad vi dock bör lägga märke till är att i takt med att anslutningsmöjligheterna mellan de olika enheterna i det smarta nätet och/eller det smarta hemmet ökar, ökar också utmaningarna, särskilt dessa utmaningar i förhållande till systemsäkerheten. Tack vare sin kritiska natur, kan det smarta nätet lätt bli ett främsta mål för terrorister, hackare och vandaler som syftar till att orsaka allt från ett enkelt obehag till förödelse. Därför är det absolut nödvändigt att vi börjar fokusera på sätt att skydda dess tillförlitliga drift och uppfylla dess säkerhetsmål. En tydlig beskrivning av säkerhetsmålen den smarta hem-/smarta nätmiljön förväntas uppfylla, fungerar som vårt första steg i arbetet för att säkerställa kontinuerlig och konsekvent smart nätdrift. I detta dokument anser vi att de sex gemensamt antagna mål som beskrivs nedan [13], [22], [23] är de viktigaste för säkerhet i smarta hem/smarta nät. Dessa mål är: Konfidentialitet: försäkran om att uppgifter endast kommer att lämnas ut till auktoriserade individer eller system. Integritet: en försäkran om att uppgifternas riktighet och överensstämmelse kommer att upprätthållas. Inga otillåtna ändringar, förstörelse eller förlust av data kommer att gå oupptäckta. Tillgänglighet: En försäkran om att alla nätverksresurser (data/bandbredd/utrustning) alltid kommer att finnas tillgängliga för alla auktoriserade enheter. Sådana resurser skyddas också mot alla incidenter som hotar deras tillgänglighet. Autenticitet: bekräftelsen att kommunicerande parter är de som de påstår sig vara, och att meddelanden som de påstås sända verkligen skickas av dem. Tillstånd: försäkran om att åtkomsträttigheter för varje enhet i systemet definieras för tillträdeskontroll. Icke-förkastande: försäkran om att obestridliga bevis kommer att finnas för att kontrollera att varje påstående från en enhet är sanningsenligt. Säkerhetshot inom smarta hem/smarta nät brukar försöka äventyra ett eller flera av de säkerhetsmål som vi just beskrev. Dessa hot kan delas in i två breda kategorier. I den första kategorin, nämligen "passiva attacker", placerar vi attacker som försöker lära sig eller använda information från systemet utan att påverka systemets resurser. Med andra ord, i passiva attacker avser motståndaren att få information som inte överförs för att ändra den utan för att lära sig något av den. Passiva attacker kan ske i form av tjuvlyssnande eller trafikanalys. Genom tjuvlyssnande hänvisar vi till otillåten avlyssning av en pågående kommunikation utan medgivande från de kommunicerande parterna. Genom trafikanalys hänvisar vi till något subtilare. Istället för att försöka få tag på meddelandeinnehåll, som i en tjuvlyssnande attack, i trafikanalys övervakar motståndaren trafikmönster för att härleda användbar information från dem. Båda dessa attacker anses svåra att upptäcka eftersom de inte ändrar data. När vi behandlar dem är vi alltså inriktade på förebyggande snarare än på att upptäcka. Den andra kategorin, nämligen "aktiva attacker", är den kategori där vi placerar dessa attacker som försöker förändra systemets resurser eller påverka dess funktion. Aktiva attacker kan innebära en viss ändring av uppgifter eller införande av bedrägliga uppgifter i systemet. De vanligaste bland dessa attacker är maskerad, replay, meddelandemodifiering, överbelastning och skadlig programvara. En maskerad attack äger rum när en inkräktare låtsas vara en legitim enhet för att få privilegier. En replay attack innebär passiv fånga av meddelanden i en kommunikation och deras vidaresändning för att producera en obehörig effekt. Ett meddelande ändring attack, innebär ändring av innehållet i ett legitimt meddelande eller fördröjning eller omordning av en ström av meddelanden, syftar till att producera en obehörig effekt. En överbelastningsattack syftar till att antingen tillfälligt eller permanent avbryta eller avbryta tillgången till ett systems kommunikationsresurser. Slutligen, skadliga program attacker, är attacker syftar till att utnyttja interna sårbarheter för att ändra, förstöra och stjäla information eller få obehörig tillgång till systemresurser. Alla ovannämnda hot och många fler underkategorier av dessa kommer att identifieras för den smarta hem-/smarta nätmiljön i de följande avsnitten. De säkerhetskrav som de bryter mot samt en konsekvensbedömning kommer också att presenteras. För att bedöma kritiskiteten och känsligheten hos vissa interaktioner och utvärderingen av hotens påverkansnivå mot dessa interaktioner inom den smarta hem-/smarta nätmiljön, antar vi FIPS 199, bedömningskriterier för konsekvensanalyser [24] Beskriver smarta hem i avsnitt II gjorde vi en begreppsmässig åtskillnad mellan dess interna och externa miljöer. EMS presenterades som den huvudsakliga enheten i den inre miljö där apparater, DER och PEV kopplas till, rapporterar sin förbrukning och tar emot on/off-signaler. ESI presenterades också som den enhet som kopplar samman det smarta hemmet med dess externa miljö. Olika interaktioner mellan smarta hem enheter kan bli mål för en cyber eller fysisk attack av en motståndare eller ens av en busig kund. Nedan presenterar vi några av de mest grundläggande scenarierna för interaktion mellan enheter inom det smarta hemmet och diskuterar potentiella hot och deras möjliga konsekvenser. Scenarierna numreras med hjälp av notation SH_nummer. Varje scenario avser samspelet mellan enheter inom smarta hem följt av scenariots serienummer. Tabell I ger en mer kortfattad bild av de hot som presenteras i varje scenario i detta avsnitt, de säkerhetsmål som överträtts och en konsekvensbedömning. De attacker som identifierats för varje scenario klassificeras som härledda från nätverksdomänen (N) eller härleds av ett smart hometroducerat koncept (SH). 1) SH_1: Attacker Hotar Framgångsrik EnhetsenergiKonsumtion Rapportering: Smart Meter inom det smarta nätet, förväntas kunna ge detaljerad förbrukningsinformation om hemmet de är anslutna till i 15 minuters intervall (jämfört med en månad som är fallet med det traditionella elnätet) [25]. En sådan utveckling blir synonym med insamling och överföring av större volymer förbrukningsdata från smarta hushållsapparater och skapar en stor risk för kundernas integritet. Under överföringen av dessa data från apparater till EMS en tjuvlyssnande attack [26] av en motståndare till exempel, kan resultera i värdefull konsumtion data läcker till motståndaren som sedan kan bearbeta dem för att dra en hel del slutsatser om en kunds livsstil. En sådan behandling av de insamlade uppgifterna kan innebära att de överförs genom en algoritm för belastningsprofilering eller till exempel genom en algoritm för detektering av användningsläge. I det första fallet kan en motståndare dra slutsatsen vilka enheter som finns på vid varje given tidpunkt (eftersom varje enhet har en distinkt belastningssignatur) [27]. I det andra fallet kan specifik information om driften av de enheter som är på också avslöjas (t.ex. kanalen en TV är inställd på!) [28]............................................................... Genom att upprepade gånger samla in sådan information kunde en motståndare faktiskt tränga in i en kunds privatliv (Low Impact), veta när han vaknar, när han somnar, när han går till arbetet, i vilket rum han befinner sig vid en given tidpunkt, när ingen är hemma, även där kunden reser till (genom att samla in laddningsdata från sin PEV). Denna information kan hjälpa en motståndare att planera mer allvarliga attacker mot en kund (burglari, stöld, kidnappning) (Moderate Impact). Närvaro information kan också härledas genom trafikanalys attacker som inte avslöjar data som sådan men deras sändningsmönster (enheter som är på skicka konsumtion meddelanden oftare) [22]. Andra potentiella attacker kan inkludera meddelandeändring attacker eller replay attacker. Vid sådana attacker skulle motståndaren kunna infoga nya eller återspela äldre förbrukningsmeddelanden från en apparat i EMS, så att Smart Meter får falska förbrukningsdata, vilket resulterar i att en kund belastas ekonomiskt för energi som han inte har förbrukat [26] (Low Impact). EMS imitation attacker är också en möjlighet i detta scenario. Under sådana attacker imiterar motståndaren EMS, för att ta emot en apparats förbrukningsdata, och skickar sedan dessa meddelanden antingen intakta eller modifierade till Smart Meter och svarar med bekräftelse tillbaka till apparaterna. 2) SH_2: Attacker som syftar till energiimport/exportsignaler vid ESI/HAN: Som vi nämnde ovan ger det smarta nätet konsumenten möjlighet att bli en energiproducent såväl som en konsument. Genom att installera distribuerade energiresurser i sina lokaler kan en kund generera energi som han kan sälja till elnätet vid tillfällen då efterfrågan överträffar utbudet. Genom att använda pluggen i elfordonet som batteri kan en kund dessutom inte bara lagra utan också importera energi från elnätet vid brådskande tidpunkter. På så sätt skyddas den från skador orsakade av överbelastning. Meddelanden som begär export av energi till nätet/eller import av energi från nätet, anländer till ESI/HAN från det smarta nätet. ESI/HAN bearbetar sedan dessa meddelanden och vidarebefordrar lämpliga kommandon till PEV och DER. KOMNINOS m.fl.: ÖVERVAKNING I SMART GRID OCH SMART HOME SÄKERHET 1939 Möjliga hot enligt ovannämnda scenario presenteras på tabell I och kan till exempel innebära en ESI/HAN imitering av en motståndare. Under ett sådant scenario kan motståndaren som utger sig för att vara ESI/HAN ta emot energiexport/importsignaler från nätet och släppa dem så att de aldrig når PEV eller DER. En attack, som kan orsaka betydande nätinstabilitet, om den når massiva proportioner (Moderate Impact). Ett annat möjligt hot med liknande resultat skulle kunna uppstå om en meddelandeändringsattack mot integriteten hos export/importsignalerna inträffade [22]. Ändra innehållet i meddelanden, antingen genom att öka mängden energi som ska släppas ut från hus till rutnätet, eller genom att minska mängden energi som ska absorberas från rutnätet kan, om massivt, orsaka rutnätet att vara instabil. Under sådana omständigheter kan Demand Response eller Load Sheding-processer utlösas även när de verkligen är onödiga (Moderate Impact). Replay attacker begär energi urladdning vid tider av överbelastning av elnätet och energiimport vid tider av högre efterfrågan kan orsaka liknande problem (Moderate Impact). Förnekelse är också ett viktigt hot under detta scenario eftersom vi förväntar oss att kunden samarbetar med en ESP för hanteringen av sina DERs på grund av hans brist på erfarenhet. I ett sådant fall bör kunden inte kunna föreslå att hans ESP inte reagerade när det skulle ha / eller reagerat när det inte skulle ha. 3) SH_3: Fysisk mätning Tampering/Reversal eller borttagning: Fysiska mätare manipulering incidenter är vanliga även i eran innan smarta rutnät [23], [29]. Med mätare blir smartare vi förväntar oss fler incidenter av fysisk mätare manipulering eller fiddling med mätare programvara att inträffa. Mischieva kunder, försöker ta bort mätaren, vända mätaren eller ändra sin programvara, i ett försök att befria sig från att betala för sina elräkningar, kan bli ett vanligt fall i det smarta elnätet framtid (Low Impact). Potentiella hot under ett sådant scenario som presenteras på tabell I, kan omfatta klienten imiteringar av en motståndare, meddelandemodifiering attacker, replay attacker etc. I en klient imitering attack [30], till exempel, en motståndare imitera klienten kan skicka meddelanden till ESI/HAN, begär att alla enheter inom premissen blir påslagen (därigenom ekonomiskt belastar den legitima klienten-Low Impact), eller att alla enheter blir avstängda (ett scenario som kan få livshotande konnotationer om livsuppehållande utrustning ingår i dessa enheter-High Impact). Replay attacker och meddelandemodifiering attacker kan också ha betydande konsekvenser för smarta hem. Reprisspelet av en signal som driver tvättmaskinen kan resultera i att kläder tvättas om och om igen (Low Impact). Dessutom kan ändringen av ett meddelande för att sätta sprinklern i drift i 3 timmar i stället för 30 minuter också få betydande konsekvenser (vägledande påverkan). Dessa är dock inte de enda möjliga hoten. Andra typer av attacker kan också inträffa. Ett sådant exempel är en imiteringsattack, som utförs av en motståndare. Vid en sådan attack tror kunden att han fjärrstyr en enhet när han i verkligheten styr en annan (till exempel, i stället för att ställa ugnen till 120 • C, skulle man kunna ställa bastuns temperatur till 120 • C-automatiskt riskera livet på någon i den-High Impact). Icke-avvisning är också av särskild betydelse för detta scenario där vi behöver se till att ingen kund kommer att kunna bevisa att inte skicka ett fjärrstyrningsmeddelande när han har, eller skicka en när han inte har. Kunden i det smarta hemmet kan när som helst begära att få sin detaljerade energiförbrukning profil. Konsumtionsinformation samlas gradvis in av Smart Meters inom smarta hem, som är ansvariga för att vidarebefordra den till MDMS-systemet i huvudändan, som behandlar mätdata för att tillämpa faktureringsinformation på dem. MDMS kommunicerar med OSS för att lagra förbrukning information om varje kund, som kan skickas till honom, på begäran, tillsammans med feedback och förslag [30]. Möjliga hot enligt ett sådant scenario, presenteras också på tabell I och inkluderar kundens imitering attacker av motståndare som vill få en insida till konsumtionen av legitima kunder (av skäl som nämns ovan), tjuvlyssna attacker (under vidarebefordran av CIS/MDMS till In Home Display of the consumer) och även meddelande ändring attacker (kräver mer detaljerad information). Efter att ha beskrivit möjliga säkerhetsfrågor som kan uppstå under samverkan mellan enheter som tillhör smarta hem, går vi nu vidare till att beskriva möjliga säkerhetsfrågor som kan påverka smarta nät enheter med en inverkan på smarta nätet som sådan. Nedan diskuterar vi potentiella hot och möjliga resultat, under några scenarier där smarta nätenheter kan bli attackmål. Scenarierna numreras efter den symboliska notationen SG_nummer, vilket innebär att scenariot avser en attack som riktar sig mot enheter inom det smarta nätet följt av scenariots serienummer. Tabell II ger en mer kortfattad bild av de hot som presenteras inom varje scenario som beskrivs i detta avsnitt, de säkerhetsmål som överträtts och en konsekvensbedömning. Vi börjar med att presentera tre scenarier som omfattar attacker mot det smarta nätets huvudservrar som var och en syftar till att uppnå ett annat slag mot huvudändan [29]. 1) SG_1: Angrepp som syftar till att stjäla data från allmännyttiga servrar. 2) SG_2: Angrepp som syftar till att ta kontroll över allmännyttiga servrar. 3) SG_3: Angrepp som syftar till att ta ner verktygsservrar. Alla tre scenarier som beskrivs ovan, placera smarta nätets huvudservrar som sitt primära mål, syftar till att antingen få värdefull information om systemet eller tillgång till det, för att stjäla data från det, ta kontroll över det eller ta ner det. Samla in värdefull information om systemet, gör det möjligt för motståndaren att planera en riktad attack mot det samtidigt få tillgång till systemet, ger motståndaren möjlighet att interagera med det på något sätt han vill. Ett sätt att samla in värdefull information om systemet skulle kunna vara att utnyttja allmänt tillgänglig information om verktyget via Internet [26]. Sådan information, om den används på ett smart sätt, kan ge motståndaren värdefull inuti för att hjälpa honom att planera en attack som specifikt riktar sig mot en svaghet i systemet. TABELL II SMART GRID TRYGGHET FRÅGOR USA: s optiska fibernät, en kartläggning som endast utförs med hjälp av offentligt tillgänglig information som finns på Internet! En liknande kartläggning inom det smarta nätet kan resultera i en detaljerad smart rutnätsritning för alla som vill attackera ett sådant komplext system (Moderate to High Impact). Alternativa sätt att samla in information om systemet, kan omfatta portscanning eller ping sopor, med hjälp av fritt tillgänglig programvara som Nmap, för att avslöja information om aktiva värdar, nätverkstjänster som de använder, operativsystem som de kör etc. Dessutom kan sårbarhetsskannrar som Nessus också användas för att hjälpa angriparen att få kunskap om systemets svagheter, avslöja sårbarheter i operativsystemet, dålig nätverksdesign som inte säkerställer lämplig isolering eller dåligt definierade brandväggsregler som kan utnyttjas för en extern attack [32] (Modera till hög påverkan). Attacker mot det smarta nätet kan dock också utföras inifrån. Sådana attacker kan utföras av missnöjda anställda som har både kunskap och motiv att göra skada på det smarta nätets huvud, eller av någon annan motståndare som lyckas få tillgång till det smarta nätets huvudända genom att utnyttja sociala ingenjörsattacker eller svaga plattformskonfigurationer [26], [33]. Genom svaga plattformskonfigurationer hänvisar vi till dåligt definierade policyer som resulterar i överflödiga åtkomsträttigheter som ges till användare, olämpliga eller icke-existerande autentiseringsmekanismer, dåligt definierade lösenordspolicyer som kan resultera i att enkla lösenord, data (t.ex. lösenord) överförs okrypterade via nätverket ökar risken för läckage på grund av sniffning etc. Efter att ha samlat in information om målsystemet eller har säkerställt ett sätt att få tillgång till det, är det första steget i många möjliga attacker mot det smarta nätets ände. Sådana attacker kan omfatta systeminfektioner genom skadlig programvara och överbelastningsattacker. I själva verket, incidenter med SCADA system infektioner med skadlig programvara har redan rapporterats flera gånger under de senaste åren [34]-[36] med Stuxnet, Flame och Duqu är ökända exempel. Den enorma kapaciteten hos denna typ av programvara utgör ett stort hot mot alla system inom det smarta nätet. Sådan programvara kan ofta ändra eller ta bort systemfiler som krävs för att systemet ska fungera, vilket äventyrar dess tillgänglighet med allvarliga konsekvenser (High Impact). Samtidigt kan icke-systemfiler såsom loggfiler, faktureringsfiler, Load Sheding prioriteringsfiler också fungera som mål för ändringar. Genom att ändra en loggfil till exempel, kunde en motståndare dölja sitt spår eller rama in en individ genom att implantera falska bevis mot honom (Moderate Impact). Genom att ändra laddning utgjuta prioritering filer å andra sidan, kan konsekvenserna bli ännu allvarligare. Om olika områden är kritiska kan det leda till att högriskområden förlorar strömförsörjning i nödsituationer. Ett scenario som lätt kan leda till förlust av människoliv (High Impact). Naturligtvis är kapaciteten hos skadlig programvara inte begränsad till dem vi just nämnde. Ytterligare funktioner, såsom viktiga loggningsmöjligheter, samtal inspelningsmöjligheter, kommer att lägga till denna redan kraftfulla uppsättning av funktioner som kan orsaka oåterkalleliga skador (High Impact). Förnekande av tjänsteangrepp är också möjligt i sådana system, och anses vara bland de farligaste, eftersom de skulle kunna äventyra tillgången till nätverk [26]. Sådana attacker kan vara resultatet av alla ansträngningar för att mätta systemets resurser till en förlängning där det inte längre kan svara på sin legitima trafik på grund av tung överbelastning, något som kan ha allvarliga eller katastrofala resultat för nätet (High Impact). 4) SG_4: Angrepp mot utrustning för mätning av stora ytor. Trots att många attacker kan påverka de enheter som nämns ovan, nästan ingen av dem kan ha jämförbar effekt med en falsk data injektion attack [37], [38]. Det vill säga, en attack där motståndare manipulerar mätningar av fältenheter och mätenheter i det smarta nätet, vilket medför fel i de mätningar som är avsedda för huvudet. Falska mätningar som går igenom statsuppskattningsalgoritmen resulterar uppenbarligen i en statsuppskattning som inte har något att göra med det faktiska tillståndet i nätet. Som ett resultat, huvudet, att vara okunnig om smarta nätets faktiska tillstånd, reagerar enligt sitt upplevda tillstånd, utlöser Load Shedding eller Demand Response-program vid fel tidpunkter, felaktigt uppskatta efterfrågan nästa dag och därigenom öka chanserna för instabilitet eller rullande strömavbrott etc. [33] (Modera till hög effekt). Efter att ha fått en mer heltäckande syn på hot mot både smarta hem och smarta nät som enskilda element, kan vi identifiera några av de viktigaste hoten som syftar till deras interaktion. Detta avsnitt är avsett för hot som inledningsvis påverkar eller tar kontroll över enheter inom det smarta hemmet som till slut påverkar enheter inom det smarta nätet. De scenarier som presenteras i detta avsnitt är således numrerade efter KOMNINOS et al.: ÖVERVAKNING I SMART GRID OCH SMART HEMSÄKERHET 1941 TABELL III SMART HEM TILL SMART GRID SÄKERHET FRÅGOR symbolisk notation SH-SG_nummer, står för smarta hem initierade attacker som påverkar det smarta nätet följt av scenariots serienummer. Tabell III ger en mer kortfattad bild av de hot som presenteras inom varje scenario i detta avsnitt, de säkerhetsmål som överträtts och en konsekvensbedömning. I ett sådant scenario skulle en motståndare kunna välja att imitera ESI/HAN för att fånga upp de Demand Response-signaler som var avsedda för det, för att ersätta dem med äldre (som en del av en reprisattack). En motståndare kan också ändra signaler som mottagits av ESI/HAN (som en del av en meddelandeändringsattack), innan de vidarebefordras till EMS eller till de apparater/PEV och DER som de förväntas nå. Dessa attacker skulle kunna lura ESI/HAN till att utfärda olämpliga signaler mot EMS eller apparaterna och skulle kunna vilseleda kunden genom falska meddelanden via In Home Display (med hänsyn till taxorna eller DR-signalernas brådskande karaktär mottagen-Low Impact). Till följd av detta kan apparater planeras att användas vid tidpunkter då det smarta nätet överbelastas, vilket ytterligare ökar nätets belastning (låg till måttlig påverkan) och även belastar kunden ekonomiskt. Dessutom kan en annan typ av attack som syftar till att störa kommunikationen mellan ESI/HAN och apparaterna eller ESI/HAN och EMS inträffa under detta scenario. Denna attack, känd som störningsattack [13], utförs av en motståndare som introducerar buller i det trådlösa medium som förbinder ESI/HAN med EMS eller apparaterna, i syfte att minska styrkan i den förda signalen (Signal to Buller Ratio-SNR). Om en sådan attack lyckas kan Demand Response-servern inte kommunicera med sina kunder, vilket innebär att driften av enheter inte kan schemaläggas och människor inte kan få ordentlig feedback och därmed fortsätta att använda sina enheter oavsett rutnätets tillstånd (Moderera). Potentiella attacker enligt detta scenario kan också inledas av kunden. Mer specifikt, en busig kund som har gått med på att delta i en Demand Response Program kan besluta att utföra en enhet imitation attack så att han aldrig behöver skjuta upp att använda sina enheter för senare. Genom att till exempel ha sin elektriska vattenkokare imitera sin torktumlare kommer signalen som mottagits vid kundens premiss för omläggning av driften av stora kontrollerbara laster (inklusive torktumlaren) att påverka den elektriska vattenkokaren istället, utan att verktyget inser skillnaden. En sådan attack "fördelar" kunden som belönas för sitt deltagande men kan använda sina enheter utan begränsning. Detta skadar dock det smarta nätet, som förväntar sig att raka topparna i efterfrågan men inte får det förväntade resultatet (Låg till Måttlig påverkan beroende på skala). Slutligen är det också möjligt att avvisa händelser i detta scenario. En klient till exempel, kan förneka att ha fått en Demand Response signal för att förklara skälen till att han inte deltog i programmet och undvika de uppkomna påföljderna. 2) SH-SG_2: Attacker Hotande Framgångsrik Outage Rapportering: Potentiella hot i detta fall kan hänvisa till mätare imitering attacker av en motståndare, följt av en replay attack. I ett sådant fall spelas äldre meddelanden ( strömavbrottsrapporter) som skickas till OMS upp igen även när det inte finns några avbrott i tjänsten så att personal skickas till specifika områden när det faktiskt inte finns något behov [30]. Sådana smaklösa "skämt" är utan tvekan ett problem för det verktyg som gör allt för att säkerställa kvaliteten på servicen för sina kunder (Low Impact). 3) SH-SG_3: Attacker Hotande Framgångsrik DER Avstängning/Isolering Rapportering: Meter imiteringar, replay attacker och meddelandemodifiering attacker är bara några av de möjliga attackerna under detta scenario. Genom att imitera mätaren kan motståndaren släppa paket som är avsedda för den och ersätta dem med äldre (han har fångat upp och/eller modifierat) eller nya (han har skapat), vilket gör att mätaren rapporterar ett falskt / inkorrekt resultat till nätet vilket resulterar i en förvrängd bild av nätets tillstånd förmedlas till dess operatörer och därmed till den personal som skickas för att hantera situationen, utan att någon av dem vet om några fel inträffade under stängning eller öring processer (Low to Moderate Impact beroende på skala). Attacker enligt detta scenario kan innebära antingen passiv avlyssning av data som ska överföras från ESI/HAN till Smart Meter (och sedan vidare till NAN-aggregatorn) eller en aktiv ändring av befintliga data/insprutning av nya data i nätet. I det förra fallet hänvisar vi till en tjuvlyssnande attack som inkräktar på kundernas integritet och avslöjar de typer av kommunikationsprotokoll som används, något som kan hjälpa motståndaren att planera och utföra en mätare imitering attack injicera falsk trafik i nätet, med kända konsekvenser [39] (Low to Moderate Impact). I det senare fallet hänvisar vi till meddelandeändringsattacker och falska datainjektionsattacker som kan leda till att felaktiga uppgifter överförs till huvudändan vilket ger en felaktig bild av Grids nuvarande tillstånd [40] (Modera till hög effekt). Man-in-the-Middle attacker, där motståndaren imiterar mätaren till NAN aggregator och NAN aggregator till mätaren, är också sannolikt att inträffa. Sådana attacker, ge motståndaren fullständig kontroll över all mätning trafik som flyter till NAN aggregatorer (och därmed till elnätet) utsätta smarta nätet för stor risk (särskilt när det är stor skala). Slutligen är förnekande av serviceattacker, som syftar till att överbelasta NAN-aggregaten tills de inte längre kan få sin legitima trafik, också en möjlighet enligt detta scenario (Moderate to High Impact).  Den sista kategorin av hot som vi kommer att presentera är de hot som börjar med att påverka enheter inom det smarta nätet, och utvecklas på sätt som påverkar miljön i det smarta hemmet. De scenarier som presenteras i detta avsnitt är numrerade efter den symboliska notation SG-SH_nummer, står för smarta rutnät initierade attacker som påverkar smarta hem följt av scenariots serienummer. Tabell IV ger en mer kortfattad bild av de hot som presenteras i varje scenario i detta avsnitt, de säkerhetsmål som överträtts och en konsekvensbedömning. Tabell IV, kan inkludera imiteringen av DRMS-systemet av en motståndare, som sedan kunde upprepa äldre Demand Response meddelanden som en del av en replay attack. En sådan attack kan orsaka obehag på kundens webbplats och resultera i ekonomisk belastning av kunden (Low Impact), främst på grund av det faktum att ESI/HAN och EMS-system som svarar på Demand Response signaler kommer att schemalägga enheten drift vid olika tidpunkter som inte nödvändigtvis är den mest lönsamma för kunden eller den mest fördelaktiga för Grid (Moderate Impact). En annan möjlig attack i det här scenariot kan vara en meddelandeändringsattack. Under denna typ av attack ändrar motståndaren innehållet i meddelanden som skapats av DRMS-servern (såsom prissignalen eller brådskan) och vidarebefordrar dessa meddelanden till den kundwebbplats som reagerar enligt beskrivningen ovan (Low to Moderate beroende på skala). Falska synkroniseringsattacker är också sannolika i detta scenario. Denna typ av attacker syftar till att mixtra med synkroniseringsmeddelanden som utbyts mellan DRMS och ESI/HAN och resultera i stränga tidskrav som inte uppfylls av systemet på grund av dålig synkronisering, med konsekvenser som påverkar hela programmet Demand Response (Moderate Impact). 2) SG-SH_2: Attacker som syftar till direkt belastningsavlastning signaler till ESI/HAN: Ibland, när efterfrågan på el överstiger det tillgängliga utbudet, planerade försörjningsavbrott i form av utmatning av last, kan behöva utföras för att undvika instabilitet i elnätet som kan skada dess utrustning. Sådana strömförsörjningsinteraktioner utlöses av en LMS-server som ansvarar för att utfärda och vidarebefordra kommandon till lokaler på specifika områden enligt ett förutbestämt schema [25]. Förnekande av service (DoS) attacker under ett sådant scenario kan visa sig vara särskilt farligt, eftersom de kan förhindra dessa brådskande signaler från att levereras till destinationen i tid, vilket äventyrar nätets tillgänglighet (High Impact). Dos-attacker kan riktas antingen mot LMS-servern eller mot det fysiska medium som ansluter den till ESI/HAN (om de sker i form av störningsattacker). En annan typ av attack skulle kunna innebära att en motståndare fifflar med scheman för lastutjämning som kan leda till att kritiska områden förlorar sin strömförsörjning, eller att samma icke-kritiska områden drabbas om och om igen. Konsekvenserna av sådana attacker kan variera från enkla obehag för kunder (Low Impact) som måste förlora sin strömförsörjning om och om igen, till kraftförlust i kritiska områden som även kan riskera människoliv (High Impact). Liknande konsekvenser kunde observeras under en reprisattack, som utfördes av en motståndare som återspelade äldre Load Sheding-signaler. 3) SG-SH_3: Angrepp som syftar till energiimport/export Signaler till ESI/HAN: DER omfattar både produktion och lagring. Produktion som kommer från DER-enheter som solceller, vindkraftverk, dieselgeneratorer och små vattenkraftverk i kundens lokaler förväntas styras av verktyget eller en tredje part ESP via AMI-systemet. Beroende på DER-styrenhetens kapacitet, kan scheman för nettoimport/exportnivåer förutbestämas så att enheter framgångsrikt släpper ut energi i elnätet vid tider av ökad efterfrågan eller lagra energi från det om belastningen flyttas från onpeak till off-peak timmar måste äga rum. Replay attacker är bland de attacker mer sannolikt att inträffa i sådana scenarier [30]. I denna typ av attacker återspelas tidigare meddelanden om energiimport/export, oavsett nätbehov, vilket orsakar energi från elnätet vid tider av hög efterfrågan, eller energi som frigörs till elnätet vid tillfällen då det inte är nödvändigt (Modera till hög effekt). Även sannolikt att hända under detta scenario, är meddelanden förändringar attacker. Dessa attacker inleds av en motståndare som förvränger meddelanden som innehåller de mängder energi som ska exporteras eller importeras vilket gör att nätet beter sig på ett sätt som strider mot dess verkliga behov och skapar möjligheten för blackouter och blackouter att inträffa (Moderera till hög effekt). Liknande resultat kunde observeras genom att utföra Dos attacker mot kanalen mellan DRMS/LMS och ESI/HAN, för att göra det omöjligt att vidarebefordra sina signaler i tid, till sina legitima mottagare (Moderate to High Impact). Mycket troliga attacker under ett sådant scenario kan innebära att en motståndare till tredje part ESP eller tjuvlyssnar, för att motståndaren ska kunna ta emot energiförbrukningen och brådskande meddelanden som är avsedda för tredje part ESP från nyttan. Således, bryta kundens integritet (Låg till Moderate Impact enligt vad dessa data används för) och potentiellt störa KOMNINOS et al.: ÖVERVAKNING I SMART GRID OCH SMART HEMSÄKERHET 1943 kommunikationen av verktyget med tredje part ESP, hindrar det från att agera till fördel för kunden. I detta avsnitt presenterar vi flera lovande motåtgärder som föreslås i litteraturen och som skulle kunna antas mot de olika attacker som identifieras i avsnitt III. Enligt tabell I-IV äventyras flera säkerhetsmål. I följande avsnitt ser vi hur vart och ett av dessa mål kan uppnås genom en detaljerad kartläggning av tillvägagångssätt och en omfattande beskrivning av olika tekniker. En sammanfattning av de tillvägagångssätt som presenteras i detta avsnitt finns i tabell V. I avsnitt III införde vi sekretess som den säkerhetsdimension som handlar om att förhindra obehörig tillgång till specifik information. Konfidentialitet kanske inte betraktas som den mest kritiska dimensionen av smart nät it-säkerhet, men det är en av de viktigaste frågorna för konsumenterna eftersom det är oupplösligt kopplat till deras integritet. Detta avsnitt ägnas åt att presentera sätt att säkerställa sekretess och integritet i den smarta hem-/smarta nätkommunikationsmiljön, som de föreslås i den senaste litteraturen. Den mest grundläggande tekniken för att uppnå sekretess nuförtiden är genom kryptografi. Moderna kryptografiska tekniker som finns tillgängliga idag kan delas in i två breda kategorier beroende på vilken typ av nyckel de använder. Den första kategorin, omfattar symmetriska nyckelalgoritmer och det är också känt som privat-nyckel kryptografi, eftersom både avsändare och mottagare delar en hemlig nyckel för sin kommunikation. Den andra kategorin innehåller asymmetriska nyckelalgoritmer och det är också känt som offentlig nyckel kryptografi eftersom var och en av de kommunicerande parterna har sin offentliga nyckel (känd för alla andra parter) och sin privata nyckel (som hålls hemlig) [41], [42]. I ett försök att säkerställa större interoperabilitet mellan säkerhetsmekanismer inom nätet cybersäkerhet Work Group vid National Institute of Standards of the U.S. utvärderade (2010) användbarhet och förväntad livslängd för kända symmetriska och asymmetriska algoritmer [25]. Symmetriska algoritmer (t.ex. standarderna AES och TDES) förväntas användas för datakryptering inom det smarta nätet. Asymmetriska algoritmer å andra sidan (t.ex. godkänd RSA, DSA, ECDSA etc.) förväntas användas för digitalt signering av meddelanden. Kryptografi används naturligtvis inte bara för att garantera sekretess. Många verk presenteras nedan, om sätt att tillhandahålla integritet, äkthet, icke-repudiering och till och med tillstånd, utnyttja kryptografi på ett eller annat sätt. 2) Säkerställa integritet: Sedan deras utseende, smart mätning utbyggnader har väckt många farhågor för att vara potentiellt integritet invasiv. Som vi diskuterar i föregående avsnitt kan konsumtionsuppgifterna som samlas in av smarta mätare avslöja en hel del om invånarnas beteende, aktiviteter och vanor inom en premiss, vilket orsakar rädsla för kunderna. Hittills har olika modeller föreslagits för att säkerställa sekretessen för mätdata i smarta hem/smarta nät. Vår litteratur översyn om integritetsfrämjande teknik har avslöjat en mängd olika tekniker som kan användas ensam eller i kombination för att säkerställa integritet [43]. Några av dessa tekniker introduceras kortfattat nedan. Att säkerställa integritet kan uppnås genom: • Anonymisering: En process som tar bort kopplingen mellan data och dess ursprung på ett sådant sätt, att verktyget kan ta emot de data som krävs för att utföra sina beräkningar, men inte kan tillskriva de mottagna data till en viss mätare. • Trusted Aggregators: Mätaren eller en tredje betrodd part anses vara betrodda enheter som kan hantera aggregering av mätdata och deras vidarebefordran till verktyget. Nyttan i ett sådant fall kan endast använda aggregat av data utan att kunna få tillgång till individuell förbrukningsinformation för deltagande mätare. • Homomorphic Encryption: En form av kryptering som gör det möjligt att utföra specifika typer av beräkningar på chiffertext och få ett krypterat resultat som dekrypteras matchar resultatet av operationer som utförs på vanlig text. Verktyget i ett sådant fall kan dekryptera chiffertexten för aggregatet av mätdata men inte den individuella mätningen av klartext. • Perturbation modeller: Modeller som introducerar slumpmässigt buller från en känd distribution till integritet känsliga mätdata, innan de överförs till nytta. Verktyget som tar emot de perturbed data rekonstruerar en approximation av de ursprungliga uppgifterna. Det finns en kompromiss mellan graden av personlig integritet och förlusten av information. • Verifierbara beräkningsmodeller: Modeller i vilka aggregatören tillhandahåller ett bevis tillsammans med aggregatet av mätdata, att beräkningen har utförts som det påstås. Sådana bevis kan tillhandahållas genom ett system med noll kunskapsbevis, där den smarta mätaren är provaren och den nytta kontrollören har. I "nollkunskapsbevis" bekräftar kontrollanten bara att bevisaren har den kunskap han påstår sig ha och inget mer än det. • Data obfuscation tekniker: Batteribaserade metoder som syftar till att dölja mängden energi som förbrukas av en premiss genom att buffra eller släppa sin energibelastning. Vi börjar med Efthymiou et al. [44], beskriver en metod för säker anonymisering av elektriska mätdata. Deras tillvägagångssätt skiljer sig mellan två typer av trafik som utförs av en Smart Meter. Data med låg frekvens, dvs. uppgifter som är nödvändiga för fakturering eller kontohantering och som måste kunna hänföras och samlas in varje dag/vecka/månad etc. och högfrekventa data, dvs. data som behövs för en effektiv drift av det smarta nätet (Demand Response-program, estimering av efterfrågan etc.).), som ska samlas in varje minut/fem minuter men behöver inte vara hänförlig. Mätarna i detta system har två ID inbäddade i dem, en för hög och en för lågfrekventa data.Den lågfrekventa ID (LFID) kommer att vara offentlig, så att det kan användas av verktyget för fakturering en kund för hans konsumtion. Högfrekvens-ID (HFID) å andra sidan måste förbli dold, så att ingen kommer att kunna identifiera källan till specifika mätdata. För att upprätthålla sekretessen bör högfrekvensidentifieringen vara hårdkodad i anordningen, medan det för att kontrollera att ett HFID är giltigt införs en tredje parts spärrtjänst med vetskap om förhållandet mellan ett giltigt HFID och LFID. Ett annat protokoll, som kombinerar anonymiseringstekniker med kontrollerbar beräkning utan att antyda tillit till någon gateway eller tredje betrodda part föreslås av Jeske i [45]. Hans protokoll består huvudsakligen av två underprotokoll ett Faktureringsunderprotokoll och ett underprotokoll till Load Reporting. En smart mätare använder faktureringsprotokollet för att skicka den totala elförbrukningen till verktyget, krypterad och signerad asymmetriskt. Under faktureringsprocessen hålls både kundens och mätarens identitet offentlig. Load Reporting Protocol utnyttjar dock en annan idé, nämligen system för gruppsignaturer. I detta protokoll sägs varje smart mätare tillhöra en grupp (vars gruppchef är energileverantören). När en mätare vill rapportera sin konsumtion, undertecknar den den med namnet på gruppen. Energileverantören kan alltså endast kontrollera en mätares deltagande i en grupp utan att kunna dra någon närmare slutsats om detta. Det system som används för gruppsignaturer baseras på modellen av Camenisch och Lysyanskaya [46]. I en sådan modell när mätaren har bevisat på ett noll-kunskap sätt att den innehar en biljett signerad av leverantören och att tidsstämpeln för de uppgifter som den vill överföra är giltig, ber den leverantören att bekräfta sin giltighet och underteckna nästa biljett som den kommer att behöva. Ett alternativt tillvägagångssätt presenteras av Li et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Deras förslag utnyttjar en distribuerad inkrementell aggregeringsmetod, där aggregering utförs på varje meter i rutten mot verktyget. Ett noggrant konstruerat aggregeringsträd kopplar effektivt samman alla noder i ett helt område med en samlarenhet. Varje nod på detta träd, som i huvudsak är det spännande trädet som motsvarar grafen i nätverket av sammankopplade mätare inom ett område, samlar data från sina barn noder, aggregerar dem och vidarebefordrar dem till sin förälder nod, som upprepar processen tills data når roten. Vid roten hittar vi samlaren, som hanterar kommunikationen med verktyget. För att säkra data enroute, Paillier homomorphic krypteringsschema används, vilket gör det möjligt för mätare att delta i aggregeringsprocessen utan att kunna se några mellanliggande eller slutliga resultat. En annan idé introduceras av Acs et al. I [48] som föreslår ett eget integritetsskyddssystem för smarta mätdata som använder homomorfisk kryptering och utnyttjar tanken på perturbation. Den krypteringsalgoritm som infördes av författarna definieras som tillägget av mätningen med krypteringsnyckeln, modulo ett stort antal. Eftersom detta kryptosystem är homomorf med avseende på tillägg det följer att: där k 1, k 2 är tangenterna, m 1 och m 2 är mätningarna och n är det stora antalet. För att göra saker och ting mycket enklare att förstå, låt oss använda ett exempel. Låt oss anta att Alice vill kommunicera med Bob och Charlie. Då både Alice och Bob måste mata en pseudorandom generator med sin delade nyckel, något som returnerar ett slumpmässigt tal r 1,2 som kommer att läggas till Alices mätningar och subtraheras av Bobs mätningar. Samma process bör sedan upprepas mellan Alice och Charlie vilket resulterar i r 1,3. Efter Alice har lagt r 1,3 till hennes resultat kommer hon att komma till summan presenteras nedan, som hon sedan kommer att skicka till verktyget krypterad med sin delade nyckel. = m 1,t + r 1,2 + r 1,3 + K AliceU rörlighet mod n (2) Likaså Bob och Charlie kommer att skicka sina aggregat till verktyget krypterade med den delade nyckeln som var och en underhåller med verktyget. Verktyget kommer då att beräkna aggregatet och därmed få summan av alla mätningar som sändes till det. De individuella mätningarna avslöjas aldrig under denna process. För att bevara integriteten av informationen introducerade författarna Laplacian buller till den slutliga aggregatet innan kryptera den. För att lyckas med detta införde varje mätare som deltog i processen gammabuller på sin mätning före kryptering. Således varje m i,t presenteras ovan var faktiskt resultatet av tillägget av den faktiska mätningen (mo i,t ) med två oberoende värden slumpmässigt utvalda från samma gammafördelning: Den slutliga idén vi presenterar för att säkerställa integritet, tillhör Varodayan et al. [49] som föreslår att ett laddningsbart batteri används för att delvis skydda sekretessen för information som härrör från en premisss elektriska belastningsprofil. Detta batteri får den sammanlagda belastningen av alla apparater inom ett hushåll som en ingång, och ger en belastning som är resultatet av kombinationen av batteriets och alla apparaternas belastning. Detta är den belastning som rapporterats av den smarta mätaren till verktyget. När som helst, batteriet kan antingen leverera den energi det får från verktyget direkt till hushållets apparater, behålla den för framtida användning, eller förse apparaterna med dess rester. Genom detta laddnings- och urladdningsförfarande kan därför batteriet fördunkla den exakta belastning som rapporteras av apparater. Den föreslagna modellen för laddning och urladdning av batteriet är stokastisk, dvs. varje beslut om en statsövergång sker med en viss sannolikhet. En spaljéalgoritm utnyttjas för att uppskatta graden av informationsläckage. Lika viktigt som att säkerställa sekretessen för personuppgifter inom det smarta nätet/smarta hemmet är att säkerställa dataintegritet och äkthet (oavsett deras grad av integritet). Detta avsnitt syftar till att presentera tekniker för att uppnå dessa två centrala mål genom att granska relaterad litteratur. Inspirerad av traditionella sätt att säkerställa integritet, kryptografisk hashing teknik, utformad för hög integritet säkerhet i traditionella nätverk skulle potentiellt också kunna tillämpas på det smarta nätet, förutsatt att de inte medför oöverkomliga förseningar. Vid användning av sådana tekniker använder den sändande sidan en hashfunktion för att beräkna checksumma för det meddelande som ska skickas och bifoga det till det ursprungliga meddelandet [41]. Vid mottagandet av meddelandet tillämpar den mottagande sidan samma hashfunktion på meddelandet och jämför resulterande hasch med den hasch som är bifogad i det ursprungliga meddelandet. Om de två hasherna matchar, verifieras integriteten (dvs. det är bevisat att meddelandets innehåll inte har ändrats i transit till följd av t.ex. en meddelandeändringsattack). Attacker mot integritet är dock inte bara begränsade till meddelandeändringar. Falska datainjicering attacker, replay attacker, enhet imitering attacker, och glesa attacker anses också vara stora hot mot ett systems integritet. Den senaste litteraturen som fokuserar på dessa attacker och deras motåtgärder kan vara begränsad, men den saknar inte intressanta idéer. Bhattarai m.fl. i [50], presentera sin egen lätta digitala vattenmärkning teknik som ett enkelt, billigt och effektivt sätt att säkerställa försvar mot falska data injicering attacker. Digital vattenmärkning är en teknik för att inbädda digitala data inuti realtidsmätare avläsningar, med vattenstämpeln bär unik information om ägaren av avläsningen. Syftet med vattenstämpeln är att validera uppgifternas integritet. Vattenmärkta data, skickas från mätaren till verktyget genom snabba icke-säkerställda nätverk som är benägna att falska data injicering attacker. För att säkerställa en framgångsrik upptäckt av dessa attacker använder mätare låg hastighet och säkra kanaler för att säkert överföra vattenmärkena. Verktyget får alltså både vattenmärken och vattenmärkta data, för att korrelera dem och upptäcka falska data injicering attacker. Huang m.fl. i [51], visa att även utan förkunskaper om elnätets topologi en motståndare fortfarande framgångsrikt kan starta smygande dåliga data injicering attacker. Särskilt författarna bevisar att när systemdynamiken är liten och kan approximeras linjärt, en oberoende komponentanalys kan tillämpas för att beräkna den jakobska matrisen som om multipliceras med eigenvectors av covariansmatrisen av stat variablerna kan utsätta information som krävs för motståndaren som vill starta en omärklig falsk datainjicering attack. Som motåtgärd introducerar författarna sin adaptiva kumulativa summaalgoritm, en rekursiv algoritm bestående av två interleaved-steg. Den första introducerar den linjära okända parameterlösaren medan den andra tillämpar den multihotade CUSUM-algoritmen. Den föreslagna försvarsmekanismen syftar till att upptäcka attacker så snabbt som möjligt med ett minsta antal observationer samtidigt som en tillfredsställande grad av noggrannhet upprätthålls. Omärkliga attacker som innebär kompromiss av ett litet antal avläsningar av effektmätare, speciellt utformade och iscensatta för att förbli odetekterbara av dåliga data detektionsalgoritmer är fokus för Giani et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. I sin tidning föreslår författarna sin egen algoritm för att upptäcka smygattacker och föreslår installation av kända säkra phasormätningsenheter (PMU) vid specifika bussar, för att förhindra en godtycklig samling av attacker (inte bara glesa attacker). Det minsta antalet PMUs som krävs för att göra attackerna observerbara är ett NP-hård problem, därför författarna föreslår en övre gräns på det minimala antalet PMUs som krävs och presentera en algoritm för att bestämma deras placering. Deras resultat tyder p + 1 PMUs är tillräckligt för att inaktivera p attacker. När det gäller imiteringsattacker föreslår Aravinthan m.fl. i [13] att algoritmer för belastningsprofilering används som motåtgärd. I deras föreslagna system, innan en apparat kan tas i bruk, söker den ett tillstånd från AMI. AMI tillåter antingen dess funktion eller schemalägger om den för senare i enlighet med den annonserade klassen av enheten och dess aktuella belastning. Varje gång en enhet annonseras till AMI skickar AMI en tidigare formad belastningsprofil till utloppet som styr enheten så att en jämförelse kan göras. Om belastningsmönstret inte matchar den kända profilen så tillåter inte utloppet att enheten fungerar. När det gäller att återspela attacker, många olika förslag finns inklusive användningen av tidsstämpelr / sekvensnummer / sessionsnycklar, alla föreslagna av Aravinthan et al. I [13], eller inklusive användningen av nonces (antal som används en gång) vilket gör varje meddelande unikt, enligt Xiao et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Ett intressant alternativ till dessa metoder är den fysiska autentiseringsmetod som föreslås av Mo et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. 2) Att säkerställa äkthet och icke-förnekande: Att säkerställa äkthet och säkerställa att vi kan bevisa sannfärdigheten i alla påståenden om transaktioner inom det smarta nätet, är också viktigt för den övergripande säkerheten för smarta nät. Som vi redan nämnt ovan används kryptografiska hashfunktioner nuförtiden för att säkerställa meddelandeintegritet mot avsiktliga ändringar, på samma sätt som kontrollsummor används för att upptäcka oavsiktliga sådana. Liknar kryptografisk hash funktioner, med undantag för att de använder en hemlig nyckel, är meddelande autentisering koder såsom HMAC som är bland de mest använda metoder för att uppnå äkthet idag [41]. Sådana system kan också användas inom det smarta nätet, och det kan även system med digitala signaturer som säkerställer meddelandets äkthet genom asymmetrisk kryptering. Dessa system utgår från att varje enhet som kommunicerar har ett eget offentlig-privat nyckelpar. Innan du skickar ett meddelande krypterat med mottagarens öppna nyckel kan avsändaren hash meddelandet och signera hash med sin privata nyckel. När mottagaren tar emot meddelandet använder han sin privata nyckel för att dekryptera den och utvärdera dess hasch och avsändarens allmänna nyckel för att dekryptera den ursprungliga haschen [41]. De två hasherna jämförs sedan om de matchar meddelandets integritet och dess äkthet (eftersom ingen annan än avsändaren kunde ha undertecknat meddelandet med avsändarens privata nyckel). Samtidigt kan icke-repudiering också uppnås om avsändaren kräver en undertecknad bekräftelse från mottagaren, kontrollera att han verkligen fick meddelandet. I den senaste litteraturen har man också föreslagit alternativa sätt att uppnå meddelandets äkthet och icke-repudation som är särskilt utformad för det smarta nätet. Nedan presenterar vi ett antal intressanta tillvägagångssätt. Nabeel m.fl. i [55], föreslå användning av moduler för fysisk okolonial funktion (PUF) inom meter för att uppnå stark hårdvarubaserad autentisering av smarta mätare och effektiv nyckelhantering. Nyckelhantering garanterar sekretess och integritet för meddelanden som överförs från smarta mätare till verktyget och vice versa. PUF är funktioner förkroppsligade i en fysisk struktur billigt att tillverka men omöjligt att replikera även med tanke på den exakta tillverkningsprocessen. På grund av deras uncolonability de kan beskrivas som hårdvara analoger av enkelriktade funktioner. PUK:er genomför autentisering av utmaning-respons, dvs. de får en stimulans (utmaning) som interagerar med deras fysiska mikrostruktur (som anses vara unik på grund av den inneboende slumpmässigheten i tillverkningsprocessen av integrerade kretsar) och reagerar genom att ge en oförutsägbar men ändå repeterbar respons. PUK kartlägger utmaningar för svar på ett sätt som inte kan förutsägas eller replikeras. Deras egenskaper utnyttjas av författarna tillsammans med Pedersen åtagandeplan och ZeroKnowledge bevis på kunskap protokoll för att säkerställa sekretess, integritet och äkthet men också skydda de hemliga nycklar som används av Smart Meters. Ett annat tillvägagångssätt för meddelandeautentisering föreslås av Fouda et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. I sitt papper introducerar författarna ett system för autentisering av lätta meddelanden som en viktig del av deras tänkta ramverk för säker smart nätkommunikation, där smarta mätare förväntas autentiseras innan de kan kommunicera med andra smarta mätare eller smarta nätportar inom rutnätet. Deras föreslagna system baserat på Diffie-Helman nyckeletablering och hash-baserade autentiseringskoder, kan enkelt beskrivas på följande sätt. Anta att vi har två enheter i och j som vill kommunicera med varandra som visas på bild. 3............................................................... Vid det första steget i detta schema, kommer jag att välja ett slumpmässigt tal a, höja hans g i kraften av en, kryptera i j g a med hjälp av j: s öppna nyckel och skicka detta meddelande till j. I det andra steget j, som har följt samma förfarande för att producera sin g b, dekryptera meddelandet och skickar sitt svar i j g a g b tillbaka till i krypterad med i's öppna nyckel. Efter dessa två steg kan båda parter nu utvärdera g ab och därmed härleda sin delade sessionsnyckel som hash H(i j g ab ) där H är en säker kryptografisk hashfunktion. Mer nyligen Lu et al. i [57], presenterade ett experimentellt tillvägagångssätt för en småskalig prototyp för automatisering av substation i syfte att avgöra om aktuella säkerhetslösningar kan tillämpas direkt på automationssystem för substation (SAS) utan implikationer. Gemensamt använda mekanismer och algoritmer som garanterar autentisering och integritet såsom RSA, meddelandeautentiseringskoder och engångssignaturer utvärderades alla för deras förmåga att säkerställa meddelandets äkthet och integritet utan att bryta mot de stränga timingskrav som införts av vissa meddelandekategorier och trots att de körs på enheter KOMNINOS et al.: ÖVERVAKNING I SMART GRID OCH SMART HEMSÄKERHET 1947 med begränsad processorkraft. Deras resultat tyder på att RSA kan användas för skydd av meddelanden som överförs över understationer, men är inte lämpligt för överföring av delay-sensitive meddelanden inom understationerna, medan MAC-anslutna och HORS-signerade meddelanden visar bättre delay-prestanda för delay-sensitiv kommunikation inom understationen. Deras dokument avslutas med att man betonar behovet av bättre anpassade säkerhetslösningar för kommunikation med understationsautomationssystem. När vi nu vänder vår uppmärksamhet mot icke-avvisning, introducerar vi Xiao et al:s arbete. [53] som presenterar en ömsesidig inspektionsstrategi som syftar till att säkerställa att avläsningar av smarta mätare inte upprepas inom det smarta nätets nätverk i närområdet. Deras strategi innebär installation av två smarta meter med en elektrisk kabel som förbinder sändarsidan med mottagarsidan. Mätaren på ena sidan representerar abonnentens avläsning medan mätaren på den andra sidan representerar leverantörens avläsning. Dessa två avläsningar förväntas inte alltid vara desamma även under normala omständigheter på grund av strömförluster under energiöverföring, synkroniseringsproblem och andra förseningar. Men ibland kan deras inkonsekvens tyda på att mätaren kompromissar, stör eller någon annan form av attack. I sådana fall utbyts avläsningarna av de två ändarna och inkonsekvensen kontrolleras mot ett godtagbart tröskelvärde. Om läsningen skulle visa sig vara resultatet av en kompromiss, kommer ytterligare utredning att inledas. Författarna kompletterar sitt tillvägagångssätt med en säkerhetsanalys och en utvärdering som visar den ömsesidiga inspektionstekniken kan uppnå tillfredsställande prestanda när den kombineras med en optimerad tidsfönstermetod. Alternativt, Aravinthan et al. [13] tyder på att både kunderna och AMI använder unika nycklar för kryptering (när de har autentiserat varandra med hjälp av sina förtilldelade offentlig-privata nyckelpar). Dessutom föreslår de att AMI håller en logg över alla transaktioner under ett fördefinierat antal dagar, så att meningsskiljaktigheter kan lösas, men spårar tillbaka händelserna. Vanligtvis, när du presenterar säkerhetskrav för ett system som använder grundläggande CIA triad (Konfidentialitet, Integritet, Tillgänglighet) beställningen inte har någon specifik betydelse. När det gäller smarta nät/smarta hem föreslår dock vissa intressenter att triaden bör prioriteras som tillgänglighetsintegritet Sekretess (AIC) så att beställningen återspeglar att tillgänglighet är det viktigaste målet, följt av integritet och sedan sekretess [58]. Potentiella attacker mot tillgången till smarta nät infördes i avsnitt III under det allmänna namnet "Denial of Service-attacker" som definierar attacker som syftar till att mätta nätets resurser för att förhindra att det blir tillgängligt för dess legitima användare. Ett antal attacker vi genomförde var attacker i det fysiska lagret. Sådana fysiska lagerattacker var de falska datainsprutningsattacker (motåtgärder för vilka presenteras i avsnittet för att säkerställa integritet) och blockeringsattacker för vilka motåtgärder kommer att införas nedan. Aravinthan m.fl. i [13] tyder på att det bästa sättet att försvara sig mot avsiktlig störning är att använda flera alternativa frekvenskanaler när störningar upptäcks i den nuvarande kanalen. Enligt dem, AMI och alla noder inom det, kunde programmeras att flytta även om en vanlig, fördefinierad sekvens av kanaler, hårdkodade i dem, om standardkanalen lider av paketförluster som är över en godtagbar tröskel, för en viss period. Varje nod som introduceras i AMI-nätverket och autentiseras till det, får denna fördefinierade kanalshoppingsekvens krypterad med kundens öppna nyckel. Noden hämtar sedan sekvensen genom att dekryptera med kundens privata nyckel och börjar kommunicera i den nuvarande kanal som används. Enligt författarna, på grund av pseudo slumpmässigheten i kanalhoppningssekvensen anses det svårt för jammaren att förutsäga vilken kanal som ska användas härnäst, och därmed utföra en störningsattack mot den. En liknande åsikt, verkar vara delad med Lee et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. I sitt arbete föreslår de en slumpmässig spread-spectrum-baserad trådlös kommunikation som förhindrar tjuvlyssnande och aktiva attacker, samtidigt som de säkerställer skydd mot störning. Deras föreslagna schema, kallad frekvens Quorum Rendezvous (FQR), introducerar nyheten att samordna två slumpmässiga hoppsekvenser med hjälp av ett beslutförhetssystem, en egenskap som garanterar avsändaren och mottagaren kommer att träffas inom en begränsad tid. Ett beslutförhetssystem är en samling undergrupper (eller beslutförhet) av en universell uppsättning. Varje delmängd av denna uppsättning har minst ett gemensamt element med varje annan delmängd i den. Den föreslagna modellen använder sig av ett Quorum system för att konstruera hoppsekvenser, så noder är bundna att möta varandra. Lika kapabel att äventyra tillgången till smarta nät är Förnekande av Serviceattacker som inträffar på lager högre än det fysiska lagret. Den vanliga praxisen mot dessa attacker är införandet av Intrusion Detection Systems (IDS). Intrusionsdetektionssystem kan klassificeras i tre breda kategorier [60]: signaturbaserade, specifikationsbaserade och anomalibaserade. En signaturbaserad IDS känner igen intrång med hjälp av en svart lista över kända attackmönster. Medan en specifikation baserad IDS upptäcker attacker med hjälp av en uppsättning begränsningar (regler) som definierar korrekt drift av ett program eller protokoll. En anomali-baserad IDS, slutligen, erkänner avvikelser från vad som anses vara normalt, genom att bygga en modell av normalt systembeteende där eventuella avvikelser från normalt identifieras som ett intrång. Enligt författarna till [60], signaturbaserade IDS är inte lämpliga för det smarta nätet, på grund av det faktum att de inte kan förväntas hålla jämna steg med det ständigt ökande antalet nya attacker som så ofta manifesterar sig inom det. Å andra sidan verkar specifikationsbaserade och anomalibaserade IDS vara ganska lovande för den smarta hem-/smarta nätmiljön. Ett exempel för var och en av de två modellerna presenteras nedan. Faisal m.fl. i [60], föreslå utnyttjande av en arkitektur av anomalibaserade IDS som en andra linjelösning efter brandväggar, kryptografi och tillståndstekniker, för att upptäcka intrång. Deras föreslagna arkitektur, innebär placering av tre IDS, i smarta mätare, datakoncentratorer och AMI-huvudet och används i kombination med stream mining 1948 IEEE KOMMUNIKATION SURVEYS & TURIALS, VOL. Nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, 4, FJÄRDE KVARTER 2014 tekniker för att upptäcka anomali. Författarna föreslår särskilt att en enhet, inom eller utanför varje smart mätare, integreras i en "säkerhetsbox". Den här säkerhetsboxen fungerar som IDS inom den smarta mätaren. IDS av liknande konfiguration som denna kommer att installeras i datakoncentratorn och det centrala systemet. En serieprocess beskriver hur detta IDS fungerar. Datan som kommer in i Smart-mätaren infogas i IDS acceptor-modulen. Acceptormodulen vidarebefordrar dem sedan till en förbearbetningsenhet som ansvarar för att generera nya data enligt vissa fördefinierade attribut. Dessa nya data matas sedan in i stream mining modul algoritmen vars resultat går genom den beslutsfattare enhet som bestämmer om ett larm ska utlösas eller inte. Som ett alternativ till detta tillvägagångssätt presenterar vi det som föreslagits av Berthier m.fl. [61] Stryk det som inte är tillämpligt. I sitt arbete föreslår de installation, i nyckelpunkter inom nätverket, av sensorer som kännetecknas av specifikationsbaserade intrångsdetekteringsmekanismer som lämpar sig för att upptäcka intrång i applikations-, transport- och nätverkslager. Författarna upptäcker det förväntade beteendet hos mätare vid nätverkslagret baserat på specifikationen av protokoll som används av dessa mätare. Detta beteende modelleras sedan i ett enkelt tillstånd diagram som representerar alla möjliga mätare tillstånd och övergångar från en till en annan. En liknande tillståndsmaskin för appliceringsskiktet presenteras också. Varje tillstånd av dessa statliga maskiner definierar en rad olika rättigheter och funktioner. Varje drift av mätaren som beter sig på förväntat sätt och inte följer den förväntade uppsättningen regler anses misstänkt. Detta arbete kompletteras med ett bevis på korrekthet och en prototyp. Det sista säkerhetsmålet vi fokuserar på är tillstånd, d.v.s. ett intyg om att ingen enhet inom den smarta hem-/smarta rutnätsmiljön kan ha tillgång till information eller tjänster utanför sin behörighet [22]. Trots dess betydelse för smart hem / smarta nät säkerhet litteraturen om tillstånd är fortfarande begränsad. Trots detta har några intressanta verk föreslagits. Till att börja med presenterar vi Ruj et al:s arbete. I bilaga I till förordning (EU) nr 1307/2013 ska punkt 1 ersättas med följande: Deras arbete bygger på en arkitektur som består av HAN, BAN och NAN gateways på ena sidan och RTUs på den andra. Var och en av LAN-, BAN- och NAN-gatewayerna i den arkitekturen är ansvarig för att skapa ett aggregat av dess mottagna data, kryptera det aggregatet med hjälp av Paillier-krypteringssystemet och vidarebefordra det vidare (HAN till BAN, BAN till NAN och NAN till RTU). Åtkomstkontroll i Ruj et al. Systemet införs med användning av en attributbaserad krypteringsvariant som särskilt modifierats av upphovsmännen, i enlighet med det smarta nätets behov. I sitt paradigm krypterar RTU insamlingen av data från olika enheter dessa data under en uppsättning attribut innan de skickas till dataregistret de bör hållas i. Dessa attribut kan vara all information som rör dessa data såsom energikällan (t.ex. sol, vind, fossila bränslen), typ av konsument (t.ex. enskilda, företag, fordon), typ av utrustning (t.ex. torktumlare, värmare), tid för användning (t.ex. topp, off-peak) etc. På så sätt skapar RTU en åtkomstpolicy för de data som den placerar i dataarkivet. Därför bör användare som vill ha tillgång till dem först skaffa hemliga nycklar, som motsvarar attributen för deras intresse, från en KDC (nyckel distributionscenter). På så sätt kan användarna bara dekryptera de data för vilka de har matchande attribut, vilket innebär att åtkomstkontroll uppnås. Vaidya m.fl. I [63] föreslås ett något annorlunda tillvägagångssätt för autentisering och attributbaserad behörighet, specifikt för Substation Automation Systems. Deras tillvägagångssätt utnyttjar idén om allmänna nyckelcertifikat och system för nollkunskap för autentisering och idén om attributcertifikat (ACs) för auktorisation. Ett attributcertifikat kan betraktas som ett komplement till ett offentligt nyckelcertifikat. Ett offentligt nyckelcertifikat (PKC) utfärdas av en certifieringsmyndighet (CA) och används för att kontrollera ägarens identitet, precis som ett pass. Ett attributcertifikat, å andra sidan, utfärdas av en attributmyndighet (AA) och används för att karakterisera eller berättiga innehavaren precis som en visering ger en person tillstånd att bo/arbeta på en viss plats under en viss tid. När en användare begär åtkomst till en IED av en understation, är både användaren och IED autentiserade. Efter deras autentisering ger substationsregulatorn användaren sitt attributcertifikat (definiera hans behörigheter), signerat av styrenheten med hjälp av en elliptisk kurvalgoritm. Från den stunden varje gång en användare vill ha tillgång till den IED han skickar sin undertecknade begäran, hans PKC och hans AC som kommer att användas för att säkerställa äkthet och tillstånd. I ett alternativt tillvägagångssätt, Jung et al. I [64] föreslås en egen modell för att säkra tillträdeskontroll inom det smarta nätet. Deras modell utnyttjar XACML (eXtensible Access Control Markup Language) och SAML (Security Assertion Markup Language). XACML-standarden definierar ett deklarativt språk för att beskriva åtkomstpolicyer och en bearbetningsmodell som beskriver hur man utvärderar ansökningar om behörighet enligt de regler som definieras i policyer. XACML kan karakteriseras som ett Attributbaserat Access Control-system, där de olika attribut som förknippas med en användare ges som indata till funktionen som avgör om en användare kan komma åt en viss resurs på ett visst sätt. XACML policys definieras enligt en uppsättning regler. Processen som följde för att uppnå behörighet när du använder XACML kunde beskrivas på följande sätt: Inledningsvis en användare (kallas ämne i XACML terminologi) begär tillgång till data/tjänster (kallade resurser) från en viss enhet inom det smarta nätet. Begäran skickas till en enhet känd som Policy Enforcement Point (PEP) som använder XACML språk för att skapa en begäran baserat på attribut för ämnet, den resurs som den vill få tillgång till och annan relevant information. När begäran har skapats skickas den vidare till en Policybeslutspunkt (PDP), som kommunicerar med en Policy Store för att hämta alla tillämpliga policyer. När den potentiella politiken hämtas, PDP jämföra begäran dem och avgöra om tillträde bör beviljas eller inte. Tabell V ger en sammanfattande bild av de tillvägagångssätt som presenteras i detta avsnitt. För varje säkerhetsmål listas ett antal lovande tillvägagångssätt. Olika undernätverk inom smarta hem/smarta nät, kan utnyttja olika kombinationer av sådana metoder för att uppfylla varje säkerhetsmål. Tabell V, är inte uttömmande, men det är ett tecken på de många riktningar inom forskning när det gäller säkerhetslösningar för sådana komplexa miljöer som smarta hem / smarta nätet. För närvarande utvecklas många standarder, riktlinjer och rekommendationer för smart nätsäkerhet av internationella standardiseringsorgan och branschforum. Stora ekonomier över hela världen stöder starkt de ansträngningar för internationella standarder på vilka nationella standarder kan byggas. Deras mål är att förbättra utsikterna till internationell harmonisering av standarder för smarta nät, trots mångfalden av infrastrukturbehov runt om i världen. Detta avsnitt ger en kort översikt över framträdande bidrag från både nationella och internationella standardiseringsorgan och institutioner när det gäller smart nät cybersäkerhet. Som den ledande internationella standardiseringsorganisationen för elindustrin har IEC redan definierat en rad välfokuserade IKT-standarder för elnätet, alla baserade på IEC:s tjänsteorienterade arkitektur för hantering och automatisering av energiöverförings- och distributionssystem (IEC 62357). Bland dessa kan man hitta standarder för automatisering av understationer (IEC 61850), distributionshantering (IEC 61968), informationsmodeller och API:er för hantering av överföringsnät (IEC 6170) och standarder för informationssäkerhet för styrning av kraftsystem (IEC 62351 1-8) [65]. För att främja utvecklingen av smarta nät inrättade IEC 2008 arbetsgruppen för smarta nät (IEC SG3). IEC SG3, arbetar i samarbete med många pågående smarta nätprojekt och ansvarar för forskning och skapande av standarder för olika aspekter av smarta nät. De fem standarder som vi nämnde ovan identifierades som kärnstandarder i systemet för standarder för smarta nät av IEC SG3 [66]. Dessa standarder verkar få bred acceptans över hela världen, vilket får oss att tro att trots regionala skillnader i ämnen som mätning, smarta hem och byggnader, efterfrågeresponsplaner, elfordon och säkerheten och integriteten i dessa, är världen mer eller mindre överens om ämnen som smart nätarkitektur, kommunikations- och kommunikationssäkerhet, gemensamma datamodeller och distribuerade energiresurser manipulation [67]. Inrättad av US National Institute of Standards (NIST) i 2009, Smart Grid interoperabilitet Panel är ett offentlig-privat partnerskap som syftar till att underlätta deltagande av elindustrins intressenter från 22 industrisegment i smarta elnät standardisering insatser som leds av NIST. De viktigaste bidragen från SGIP i utvecklingen av standarder, är att identifiera certifieringskrav, granska användningsfall, aktivt utbilda intressenter inom smarta nätindustrin om driftskompatibilitet, övervaka standardiseringsinsatser men också genomföra allvarliga insatser för den globala anpassningen av driftskompatibiliteten [68]. SGIP är organiserat i flera kommittéer, arbetsgrupper och arbetsgrupper. Av särskilt intresse för oss är arbetsgruppen för cybersäkerhet (CSWG), vars mål är att utveckla en övergripande cybersäkerhetsstrategi för det smarta nätet [65]. I september 2010 publicerade SGIP-CSWG en tre volymrapport kallad "Guidelines for Smart Grid Cyber Security". Volym ett, fokuserar på beskrivningen av högnivåarkitekturen i det smarta nätet, kategoriseringen av olika gränssnitt och identifiering av cybersäkerhetskrav för dessa gränssnittskategorier. Volym två, fokuserar på kundintegritetsfrågor. Volym tre, ger ytterligare material om sårbarheter inom det smarta nätet. Vid tidpunkten för att skriva detta dokument, NIST söker offentliga kommentarer för sin första översyn av ovan nämnda riktlinjer, med den 24 december 2013 som sista datum för inlämning av kommentarer [69]. Den europeiska samordningsgruppen för smarta nät bildades av CEN-Cenelec och ETSI som svar på EU-kommissionens mandat M/490 för att tillhandahålla en omfattande ram för smarta nät. Som en del av denna ram offentliggjordes flera rapporter i slutet av 2012. Av särskilt intresse för oss, är dessa rapporter om eller relevanta för smarta nät cybersäkerhet. Sådana rapporter presenteras nedan. • Rapporten "First Set of Standards" [70] innehåller en förteckning över enhetliga standarder för informationsutbyte inom det smarta nätet, inklusive en översikt över nuvarande standarder för cybersäkerhet som IEC:s 62351 del 1–8, IEC 61850-90-5, flera IETF RFC och flera ETSI-standarder. • I rapporten "Smart Grid Reference Architecture" [71] definieras en tredimensionell referensarkitektur för det smarta nät som analysen av fall av användning av informationssäkerhet som identifierats av SG-CG:s arbetsgrupp för informationssäkerhet i smarta nät bygger på. • Rapporten "Hållbara processer" [72] skapar en lista över användningsfall som beskriver funktionaliteten hos det smarta nätet. Dessa användningsfall används av arbetsgruppen för informationssäkerhet i smarta nät för risk- och hotanalys, men också för bedömning av föreslagna metoder för att säkerställa cybersäkerhet inom smarta nät. • Slutligen ger rapporten "Smart Grid Information Security" [58] en vägledning på hög nivå om hur olika standarder gäller för informationssäkerhet i smarta nät, dataskydd och integritet genom att fastställa fem säkerhetsnivåer som syftar till att överbrygga elnätets drift och informationssäkerhet, och två dataskyddsnivåer för klassificering av information. I syfte att effektivt inrätta det nationella systemet för standarder för smarta nät en styrgrupp bestående av medlemmar i China Electricity Council (CEC), Standardization Administration China (SAC), Energy Bureau och State Grid Corporation 1950 IEEE KOMMUNIKATIONSUNDERSÖKNINGAR & TURIALS, VOL. Nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, 4, FJÄRDE KVARTER 2014 Kina (världens största statligt ägda elverk) grundades 2010. I slutet av det året offentliggjordes två viktiga rapporter: den tekniska standardplanen för "Smart Grid" och "Smart Grid nyckelutrustnings-FoU-planen" formellt, men dessa rapporter är inte tillgängliga för allmänheten [65]. Vad som är allmänt tillgängligt är rapporten "Framework and Roadmap for Strong & Smart Grid Standards", som släpptes 2010 av State Grid Corporation. I denna rapport presenteras en förteckning över grundläggande standarder och en analys av brister i standarder genomförs. Förteckningen över standarder, även känd som First Batch of SGCC Smart Grid Standards [66], hänvisar starkt till internationella standarder (särskilt IEC standarder som de vi redan har nämnt, inklusive IEC 62351 för säkerhet), men innehåller också nationella standarder och riktlinjer som fastställts av företaget självt. Kinas stora intresse för smarta nät cybersäkerhet, förväntas reflektera över sin cybersäkerhetsmarknad som beräknas uppgå till 50 miljarder US-dollar 2020 [74]. För att främja utvecklingen av standardisering av smarta nät bildade ministeriet för ekonomi, handel och industri i Japan i augusti 2009 en strategisk arbetsgrupp, studiegruppen för standardisering av smarta nät. I januari 2010 lade denna grupp fram en rapport med de viktigaste initiativen. Dessa initiativ omfattade bland annat genomförandet av IEC:s färdplan för standarder (inklusive standarder för cybersäkerhet), nära samarbete med NIST, CENELEC och andra standardiseringsorgan och främjande av relaterade politiska studier [66]. Japan beställde också fyra storskaliga pilotprojekt-Kyoto Keihanna distrikt, Yokohoma stad, Toyota stad och Kitakyushu stad-för att studera olika aspekter av det smarta nätet. I juni 2011, Australian Department of Resources, Energy and Tourism beställde Standards Australien och Rare Consulting för att identifiera brister i den australiska uppsättningen av smarta nät standarder. Detta arbete resulterade i den "Australiska Smart Grid Standards RoadMap" [73] som publicerades i juni 2012. Inom ramen för denna standardvägkarta finns en samling grundstandarder (nationella och internationella). Av särskilt intresse för oss är de som gäller smart nät cybersäkerhet. För smarta nät cybersäkerhet, Standarder Australien, föreslog anpassning av befintliga internationella standarder såsom IEC/TS 62351 delar 1-8, ISO/IEC 27001, ANSI/ISA-99 och ITU-T på ett sätt som bäst uppfyller kraven i den australiska elindustrin. Rapporten föreslår NIST avslutade arbete som en bra primär källa för säkerhetsriktlinjer samtidigt som den underliggande vikten av överensstämmelse av potentiella it-säkerhetsstandarder med Australian Privacy lagstiftning. Hittills har vi identifierat illustrativa scenarier för interaktion mellan enheter i det smarta hemmet och det smarta nätet. Vi har analyserat potentiella cyber- och fysiska säkerhetshot, studerat dem i termer av de säkerhetsmål de kränker och utvärderat deras påverkan på nätet. På samma sätt har vi också granskat den befintliga litteraturen med förslag på lovande lösningar och förslag till motåtgärder för att hjälpa oss att uppnå de säkerhetsmål vi satt upp för vårt system. För att komplettera vår översikt över säkerhet i smarta hem/smarta nät beskrivs öppna utmaningar och riktlinjer för framtida forskning nedan och sammanfattas i tabell VI. • Upprätta en universell standardiseringsram för säker kommunikation inom det smarta hemmet och det smarta nätet. Som vi har nämnt i avsnitt II är det smarta nätet ett komplext och heterogent nät vars framgång till stor del beror på den kontinuerliga kommunikationen mellan dess enheter. Med varje delnät i det smarta nätet, med sin egen utrustning, sina egna krav och sin egen kapacitet, att säkerställa interoperabel och oavbruten kommunikation mellan smarta nätenheter blir en ganska skrämmande uppgift. Därför anses en universell standardiseringsram som utvecklar riktlinjer och inkluderar protokoll och modellstandarder för säker kommunikation mellan enheter som tillhör olika undernät inom det smarta nätet/smarta hemmiljön vara nödvändig. Vid upprättandet av denna universella standardiseringsram bör smarta enheter som kommunicerar med hem/smarta nät betraktas både som fristående enheter men också som en del av hela nätet. Ett sådant tillvägagångssätt skulle kunna bidra till ett framgångsrikt uppfyllande av de unika krav som specifika delsystem för smarta nät ställer. • Inrättande av myndigheter för att utvärdera hur industrin för smarta hem/smarta nät överensstämmer med de olika frivilliga standarderna. De flesta standarder som skapats för det smarta nätet är frivilliga, dvs. de har inte fått mandat av regeringar eller affärsavtal. Detta kan dock inte rättfärdiga avsaknaden av ett samordnat tillvägagångssätt för att övervaka den utsträckning med vilken industrin har antagit dessa standarder. Att ha myndigheter med ansvar för att utvärdera industrins överensstämmelse med dessa frivilliga standarder skulle kunna visa sig vara särskilt värdefullt när det gäller att hjälpa KOMNINOS m.fl.: ÖVERVAKNING I SMART GRID OCH SMART HEMSÄKERHET 1951 tillsynsmyndigheter avgöra om en standard är effektiv eller om några förändringar behövs för att förbättra den. • Att upprätta nya/ändra gamla protokoll med avseende på de smarta nätens unika krav. De stränga kraven i vissa av delnäten för smarta nät är en del av anledningen till att det smarta nätet kräver en ny utformning av befintliga protokoll, eller skapandet av nya. Smarta hem-/smarta nätstandarder bör kännetecknas av den flexibilitet som krävs för att de ska kunna uppfylla sina funktionskrav. Låt oss överväga IEC61850 standard för substationskommunikation. Denna standard, för att kunna säkerställa att kritiska meddelanden för en substation (t.ex. ett kommando för isolering av fel) inte kommer att drabbas av förseningar på mer än 3 ms, och därmed utsätta hela substationsutrustningen för fara, definierar tre deferent protokoll stackar (TCP/IP, UDP/IP och Application to MAC layer). I själva verket bör alla protokoll som används i det smarta nätet, för autentisering, säker kommunikation, dataaggregation eller till och med routing av data, utformas för att uppfylla det smarta nätets unika krav. • Fastställande av nya mätvärden för utvärderingen av de föreslagna it-säkerhetsmekanismerna och it-lösningarna. För att smarta nätmyndigheter ska kunna utvärdera i vilken utsträckning en föreslagen säkerhetsmekanism uppfyller de fastställda säkerhetsmålen måste elindustrin komma överens om väldefinierade mått. En sådan utveckling kommer att göra det möjligt för myndigheterna att jämföra de föreslagna lösningarna på en gemensam grund och därmed fatta de bästa besluten när det gäller vilka mekanismer eller lösningar som bör standardiseras eller användas i kombination med varandra. Sådana mått kan också möjliggöra en bättre utvärdering av de förväntade resultaten av en investering i en viss säkerhetsmekanism. • Utvärdering av säkerhetskonsekvenserna av införandet av PHEV/PEV och distribuerade energiresurser som en del av det smarta nätet och det smarta hemmet. I takt med att vårt nät blir smartare förväntas nya enheter införlivas i det. Plugg i elfordon (hybrid eller inte) och distribuerade energiresurser (i smarta hem eller som en del av det smarta nätet) är två kategorier av enheter av särskilt intresse som hittills har fått mycket begränsad uppmärksamhet [64]. Vi anser att ytterligare undersökningar bör genomföras om de konsekvenser för säkerheten som införandet av dem medför. Dessutom kan nya metoder för att garantera att de fungerar följas noga så att eventuella avvikelser upptäcks och åtgärdas innan de blir storskaliga problem. • Inrätta en rättslig ram som är specifik för integriteten i smarta nät. För att säkerställa integritet inom det smarta nätet måste en rättslig ram som är specifik för integritet i det smarta nätet genomföras. Ett sådant ramverk förväntas definiera exakt: hur känsliga uppgifter ska samlas in, vem som ska samla in dem, hur länge och var kan de lagras, under vilka omständigheter ägaren förväntas lämna sitt samtycke innan hans uppgifter kan lämnas ut etc........................................................................................................... I förhållande till ovanstående utmaning, en annan utmaning som har att göra med integritet är att upprätta nya system för aggregering av data utan att involvera en betrodd aggregator. Sådana system förväntas kunna ge en sammanfattning av en viss insats, utan att kunna förstå denna insats och utan att införa ytterligare förseningar i hela processen som faktiskt skulle kunna hota nätets stabilitet. • Inrätta nya tekniker för att möta störningsattacker. Som vår litteraturöversikt visade är spridningsspektrumteknik framträdande när det gäller att möta störattacker mot resurstillgänglighet. Trots deras effektivitet dock dessa tekniker införa en overhead i nätet som potentiellt kan påverka leveransen av kritiska meddelanden i rätt tid i det smarta nätet, vilket resulterar i instabilitet. Vi behöver därför nya system som säkrar oss från att störa attacker utan att belasta nätverket med extra overhead. • Etablera inkrementell detektion, påträngande förebyggande och påträngande recovery system särskilt för smarta nätet. Förnekande av Service Attacker och distribuerad Förnekelse av Service Attacker är bland de farligaste attackerna mot det smarta nätet. Om sådana attacker, som hotar det smarta nätets tillgänglighet, inte upptäcks och sätts i karantän tillräckligt tidigt, kan vi riskera att förlora funktionaliteten hos vår mest kritiska infrastruktur. Tidig upptäckt och förebyggande av attacker, som är särskilt anpassade för det smarta nätet, är därför en annan utmaning. Nya metoder för riskbedömning som inte bygger på förkunskaper och inte medför ytterligare förseningar i den övergripande systemdriften är precis vad vi behöver. I det fall en attack inte upptäcks och förhindras, måste också lämpliga metoder för inkrementell återhämtning finnas på plats för att säkerställa graciös nedbrytning. • Utforma system som kan stödja loggning av information för revisionskontroller och kriminaltekniska analyser. För den smarta hem-/smarta nätmiljön är det absolut nödvändigt att den har möjlighet att tillhandahålla obestridliga bevis som styrker förekomsten av och detaljerna i en transaktion. Sådan information bör förvaras i loggar som finns över hela det smarta nätet. De uppgifter som samlas in i sådana loggar ska användas för kriminalteknisk analys och för att lösa rättsliga tvister. Varje ändring av dessa uppgifter måste utföras av en autentiserad enhet och den kommer att loggas in i systemet. Särskild omsorg bör ges i designprocessen, för att undvika införandet av för mycket overhead i denna loggningsprocess. • Etablera mer nyckelhanteringstekniker särskilt för AMI och nätverket för mätning av stora områden. Som AMI definierar vi arkitekturen som möjliggör dubbelriktad kommunikation mellan Smart Meter och verktyget. AMI gör det möjligt för användaren att få nästan realtidsinformation om lokalens energiförbrukning, och konsumenten att få nära realtidsprissignaler och återkoppling om sin energiförbrukning. De meddelanden som skickas av verktyget till Smart mätare är kritiska eftersom de definierar hur driften av apparater i lokaler är planerad. De meddelanden som skickas av Smart mätare till verktyget anses också vara kritiska, eftersom de används av verktyget för efterfrågeprognoser och efterfrågehantering. IEEE KOMMUNIKATIONSUNDERSÖKNINGAR OCH TURIAL, VOL. Nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, 4, FJÄRDE KVARTER 2014 Kritiska meddelanden utbyts också inom en annan typ av nätverk i det smarta nätet, Wide Area Measurement Network. Ett sådant nätverk består av många undernätverk utrustade med avancerad mätteknik (t.ex. PMU). Deras syfte är att förbättra operatörens situationsmedvetenhet i realtid genom regelbundna rapporter om nätets nuvarande tillstånd. De mätningar som samlas in från olika phasormätningsplatser avslöjar avvikelser och utlöser omedelbara åtgärder för att skydda nätets utrustning i nödsituationer, vilket gör att upprätthållandet av dess integritet är av största betydelse för nätets övergripande funktion. Trots betydelsen av dessa meddelanden har dock majoriteten av de centrala förvaltningssystem som föreslås för att säkra kommunikation inom det smarta nätet hittills varit inriktade på att fastställa nycklar endast för de enheter som kommunicerar inom SCADA-systemen. I själva verket har få forskningsstudier genomförts om centrala förvaltningssystem för AMI-enheter och enheter inom nätverket för mätning av stora områden. Därför anser vi att ytterligare forskning bör inriktas på inrättandet av centrala etableringssystem som är särskilt utformade för AMI och nätverket för mätning av stora områden. Förr än senare kommer dagens traditionella nät att utvecklas till morgondagens elnät. En utveckling, som innehåller löftet om en robust, effektiv och effektiv energiinfrastruktur för framtiden, kallas det smarta nätet. Så småningom kommer varje enhet inom dagens elnät, även vårt hem, att genomgå sin egen omvandling mot en smartisering av vårt elnät, där fördelarna med denna utveckling är odiskutabla för både verktygen och konsumenterna. Som en oumbärlig del av denna utveckling erkänner vi omvandlingen av våra hem till framtidens energimedvetna smarta hem. Homes, som kommer att vara i ständig interaktion med verktygen i en ansträngning för bättre energihantering. Av avgörande betydelse, under denna omformning av våra hem och vårt rutnät, är att garantera säkerhet och integritet. En uppgift som blir mer skrämmande, när ny teknik införlivas i dessa redan komplexa infrastrukturer. I det här dokumentet presenterade vi faror som hotades av några av de mest illustrativa scenarierna för interaktion mellan enheter i smarta hem/smarta nätmiljöer och utvärderade deras inverkan på hela nätet. Dessutom gjorde vi en genomgång av den senaste litteraturen om möjliga lösningar och motåtgärder, som syftar till att identifiera metoder för förebyggande eller försvar mot attacker som kan hjälpa oss att uppnå de säkerhetsmål vi satt upp för både smarta hem och smarta nät. Arbetet med att standardisera smarta nät för cybersäkerhet över hela världen beskrevs också, medan ett avsnitt som ägnades åt öppna utmaningar och framtida riktlinjer för forskning tjänade som avslutning på vårt dokument. Genom det avsnittet föreslog vi flera ämnen som behöver undersökas ytterligare. Det heterogena i den smarta hem/smarta rutnätsmiljön lämnar inte utrymme för "one-size-fits-all" säkerhetslösningar som gör smart hem/smart rutnätssäkerhet till ett utmanande men lovande forskningsområde för framtiden. ) ....................................... En del av hans forskning har patenterats och använts i mobiltelefoner av telekommunikationsföretag, i krypto-enheter av försvarsföretag, och i vårdapplikationer av National Health Systems. Sedan 2000 har han deltagit i ett stort antal europeiska och nationella FoU-projekt, som forskare eller huvudutredare inom områdena informationssäkerhet och system- och nätsäkerhet. Han har författat eller samförfattat mer än 50 tidskriftspublikationer, bokkapitel och konferensproceedingspublikationer inom sina intresseområden. Han har inbjudits att hålla föredrag vid konferenser och i statliga departement, samt att utbilda anställda i Grekland och för U.K. företag. Eleni Philippou tog kandidatexamen i datavetenskap från University of Cyprus, Nicosia, Cypern, 2013, rankning 3: e totalt i sin klass. Hon arbetar för närvarande mot M.Sc. Examen i informationssäkerhet vid University College London, London, Storbritannien. Hennes forskningsintressen är bland annat cybersäkerhet för kritisk infrastruktur, smarta nät och smarta hem. Andreas Pitsillides (M'90-SM'05) tog emot B.Sc. Examen (Hons) i elektroteknik från University of Manchester Institute of Science and Technology, Manchester, Storbritannien, 1980 och Ph.D. examen i bredbandsnät från Swinburne University of Technology, Melbourne, Australien, 1993. Han är professor vid Institutionen för datavetenskap, University of Cyprus, Nicosia, Cypern, och är chef för Networks Research Laboratory (NetRL). Hans forskningsintressen inkluderar kommunikationsnät (fast och mobil/trådlös), Internet- och Web-of-Things, det smarta nätet, och Internet-teknik och deras tillämpning i mobila e-tjänster, särskilt e-hälsa, och säkerhet. Han har ett särskilt intresse av att anpassa verktyg från olika områden av tillämpad matematik såsom adaptiv kontrollteori, naturinspirerade tekniker och beräkningsintelligens för att lösa problem i kommunikationsnät. Han har publicerat över 230 referenstidskrifter i flaggskeppstidskrifter (t.ex. IEEE, Elsevier, IFAC, och Springer), internationella konferenser och bokkapitel, och två böcker (en redigerad); har deltagit i över 30 EU-kommissionen och lokalt finansierade forskningsprojekt som rektor eller en Coprincipal Investigator; presenterade keynotes, inbjudna föreläsningar vid stora forskningsorganisationer, korta kurser på internationella konferenser, och konsulting och korta kurser till industrin; och tjänar/served på flera tidskrifts- och konferenschefskommittéer.
I referensreferensreferensreferensen beskrivs appliceringsattacker på hög nivå som det sätt på vilket en angripare kan störa de väsentliga funktionerna i ett kraftsystem (dvs. tillståndsuppskattning och mätning av effektflödet).
Survey in Smart Grid and Smart Home Security: Issues, Challenges and Countermeasures
{'venue': 'IEEE Communications Surveys & Tutorials', 'journal': 'IEEE Communications Surveys & Tutorials', 'mag_field_of_study': ['Computer Science']}