Federico Bellio, Enel Produzione Generazione Italia Gian Luigi Pugni, Enel Italia Information & Communication Technology Marco Biancardi ABB Power

Transcript

1 IEC implementazione nei sistemi di telecontrollo per la Generazione Italia di Enel Federico Bellio, Enel Produzione Generazione Italia Gian Luigi Pugni, Enel Italia Information & Communication Technology Marco Biancardi ABB Power Systems Division Mauro Casalini, ABB Power Systems Division

2 Indice della presentazione Introduzione: Le puntate precedenti su IEC62351 IEC la struttura della norma IEC TC57 WG15 Architecture of Information Standard Il Sistema di Telecontrollo: Struttura duale SCADA-NSM secondo IEC Relazione tra SCADA-RTU in connessione sicura e PKI L infrastruttura di chiave pubblica PKI Nuovi processi sono richiesti per gestire chiavi/certificati Implementazione SCADA: Driver IEC con stack Il monitoraggio del traffico dati: Il problema che si crea per l inserimento della cifratura Una possibile soluzione con traffico cifrato

3 Introduzione Le puntate precedenti su IEC62351

4 Introduzione IEC62351 la struttura della norma IEC TC57 Communication Standards IEC Security Standards IEC : Introduction IEC TASE.2 (ICCP) IEC & DNP3 IEC : Profiles including TCP/IP IEC : Glossary IEC & Serial DNP3 IEC GOOSE and SV IEC over MMS IEC MMS over XMPP IEC : Profiles including MMS IEC : IEC and Derivates IEC : IEC Profiles IEC : 11: Security for XML Files IEC : Objects for Network Management IEC : Role based Access Control (RBAC) IEC : Key Management IEC & IEC CIM IEC : Security architecture guidelines for TC 57 systems IEC : : Resilience and Security Recommendations for Power Systems with DER IEC : What Security Topics Should Be Covered in Standards and Specifications

5 Introduzione IEC TC57 WG15 Architecture of Information Standard IEC IEC IEEE 1815 (DNP3) /104 SS-CC IEC IEC IEC IEC 61968

6 Il Sistema di Telecontrollo Struttura duale SCADA-NSM secondo IEC N Centri di Controllo ridondati Un Centro di Network and System Management ridondato M Impianti di Generazione

7 Il Sistema di Telecontrollo Relazione tra SCADA-RTU in connessione sicura e PKI N Centri di Controllo ridondati CA OCSP responder Cert CRL repository RA SCEP server RDPs Una PKI ridondata 104s Un Centro di Network and System Management ridondato PKI Admin 104s M Impianti di Generazione 104s SCEP Client OCSP Client

8 Il Sistema di Telecontrollo L infrastruttura di chiave pubblica PKI (Public Key Infrastructure) Schemi logico-funzionali di una CA (modello in RFC X.509)

9 Il sistema di telecontrollo L infrastruttura di chiave pubblica PKI (uso delle chiavi crittografiche) 1 b 2 5 a c e f 3 4 d g

10 Il Sistema di Telecontrollo Nuovi processi sono richiesti per gestire chiavi/certificati INSERIMENTO NUOVO DISPOSITIVO Emissione certificato Enrollment nella CA SCADENZA -RINNOVO CERTIFICATO DECADENZA - REVOCA CERTIFICATO Verifica certificato Inutilizzabilità del certificato Verifica certificato Rinnovo certificato

11 Il Sistema di Telecontrollo Nuovi processi sono richiesti per gestire chiavi/certificati CA ARRUOLAMENTO NUOVO DISPOSITIVO Cert CRL repository Generatore Coppia chiavi PRI PUB RA Request SCEP server Authorize Enrollment OCSP responder OCSP responder OCSP responder PKI Admin PKCS#12 Device

12 Il sistema di telecontrollo Nuovi processi sono richiesti per gestire chiavi/certificati CA Revoca Verifica Validità del Certificato Cert CRL repository RA Revoke SCEP server OCSP responder OCSP responder OCSP responder Verify PKI Admin Device Alice e Bob possono essere rispettivamente il server SCADA e una RTU La verifica è mutua e i ruoli si scambiano

13 Il sistema di telecontrollo Nuovi processi sono richiesti per gestire chiavi/certificati Generation Destruction Registration Deregistration Archiving Revocation Update Derivation Certification Distribution Installation Storage

14 Implementazione SCADA ABB S+ Operation -Driver IEC con stack IEC104 Connections Architecture Server Communication Architecture Active Standby Tags DB Primary Server Redundant Server Scanner P R P R Driver IEC104S Tags ASDU Preparation/ Elaboration ASDUs To Other Drivers Primary Field Device Redundant Field Device Connection Manager P = Primary Connection R = Redundant Connection IEC104S Protocol Stack Only one connection by time has DT Active (IEC , Par. 10) Connection 1 Connection N

15 Implementazione SCADA ABB S+ Operation -Driver IEC con stack Driver IEC104S Connection Architecture (Transmission Example) ASDU Connection Manager To other connections Secure Connection? N ASDU Queue Secure Layer (IEC ) Y Prepare Secure ASDU ASDU / SASDU Queue Transport Layer (IEC ) APDU Queue TLS 1.2 Layer (IEC ) Prepare Transport APDU Secure Connection? Y Prepare TLS Frame N APDU / TLS PDU Queue TCP/IP Interface Prepare TCP Frame

16 Implementazione SCADA ABB S+ Operations -Driver IEC con stack ABB CSA (Common Security Architecture) library PKI Certificates manag. functions Certificate Enrollment Certificate Renewal Certificate Revocation SCEP / OCSP IEC functions : User Management Session Key Exchange User Authentication Messages Authentication Secure Layer (IEC ) Certificates Storage Common functions : Certificates Storage Access RSA-AES Algorithms SHA Algorithms Transport Layer (IEC ) TLS 1.2 functions: Connection Management built on RFC 5246/6176. TLS 1.2 Layer (IEC ) Implementation in progress TCP/IP Interface

17 Il monitoraggio del traffico dati Il problema che si crea per l inserimento della cifratura Alice Application protocol (e.g. IEC ) Bob Alice s ID Certificate session Key L5-L7 lost Encrypted Communication Network Traffic Mirror (L2-L7) Bob s ID Certificate session Key Network Probe- Deep Packet Inspection - L7 analysis Protocol certification inspection Issuing Owner/Unit Reclassified as by.the information contained in this document is the property of Enel SpA and must be used by the recipient only for the purposes for which it was received. It may not be copied or disclosed in any way without the explicit permission of Enel SpA.

18 Il monitoraggio del traffico dati Una possibile soluzione con traffico cifrato Alice Application protocol (e.g. IEC ) Bob Alice s ID Certificate session Key Encrypted communication 1. Authentication 1.1 Role check Bob s ID Cerificate session Key L5-L7 accessible again 2. Get the Session Key TLS session Key Probe ID Certificate Trusted channel for Session Key sharing Network Probe- Deep Packet Inspection - L7 analysis Protocol certification inspection Issuing Owner/Unit Reclassified as by.the information contained in this document is the property of Enel SpA and must be used by the recipient only for the purposes for which it was received. It may not be copied or disclosed in any way without the explicit permission of Enel SpA.

19 Conclusioni L esperienza del nostro progetto ci dice che la norma IEC è sufficientemente matura per essere compitamente implementata sui sistemi in esercizio basati su IEC L impatto dell inserimento dello stack di sicurezza non è diverso da quello provocato da una comune significativa release di prodotto. Per giungere a una significativa diffusione di Sistemi di Telecontrollo messi in sicurezza mediante implementazione di IEC è necessario che parallelamente: 1. Utility e Fornitori facciano la loro parte nel tavolo IEC per far convergere la norma IEC ad un completo IS e sappiano trovare le opportunità per applicarla 2. Gli enti regolatori prevedano un progressivo ma obbligatorio percorso per la messa in sicurezza dello scambio dati fra gli operatori del mercato elettrico

20 IEC implementazione nei sistemi di telecontrollo per la Generazione Italia di Enel Grazie per l attenzione Federico Bellio, Enel Produzione Generazione Italia: federico.bellio@enel.com Gian Luigi Pugni, Enel Italia Information & Communication Technology: gianluigi.pugni@enel.com Marco Biancardi, ABB Power Systems Division: marco.biancardi@it.abb.com Mauro Casalini, ABB Power Systems Divisionv: mauro.casalini@it.abb.com