尉　歡

(上海市嘉定區(qū)職業(yè)技術(shù)學(xué)校, 上海　200018)

基于ZSE規(guī)范的家庭能源物聯(lián)網(wǎng)安全機(jī)制研究與實(shí)現(xiàn)

尉歡

(上海市嘉定區(qū)職業(yè)技術(shù)學(xué)校, 上海200018)

摘要：家庭能源物聯(lián)網(wǎng)是實(shí)現(xiàn)電力公用事業(yè)系統(tǒng)與智能家庭系統(tǒng)之間的無縫整合的重要基礎(chǔ)。ZigBee智能能源(ZSE)規(guī)范是美國國家標(biāo)準(zhǔn)技術(shù)研究院正式公布家庭側(cè)能源管理系統(tǒng)的核心標(biāo)準(zhǔn)之一,具有先進(jìn)的設(shè)計(jì)理念及健全的安全機(jī)制。通過對ZSE規(guī)范安全策略的深入剖析以及對能源管理系統(tǒng)應(yīng)用實(shí)例的研究,詳細(xì)探討了ZSE網(wǎng)絡(luò)中實(shí)現(xiàn)安全通信的關(guān)鍵技術(shù)及應(yīng)用要點(diǎn),為構(gòu)建強(qiáng)大的用戶端能源管理系統(tǒng)奠定了有利基礎(chǔ)。

關(guān)鍵詞：家庭能源互聯(lián)網(wǎng); ZigBee智能能源規(guī)范; 安全機(jī)制; 智能溫控器

0引言

家庭能源互聯(lián)網(wǎng)是指在現(xiàn)有能源供給系統(tǒng)與配電網(wǎng)的基礎(chǔ)上,通過先進(jìn)的電力電子技術(shù)和信息技術(shù),融合新能源技術(shù)與互聯(lián)網(wǎng)技術(shù),將家庭中的能源儀表、家電設(shè)備、傳感器等智能設(shè)備和分布式能量儲存裝置互聯(lián)起來,實(shí)現(xiàn)能量和信息雙向流動的能源對等交換和共享網(wǎng)絡(luò)。智能電網(wǎng)的信息交互會涉及電力局、服務(wù)提供者、消費(fèi)者等多個主體,牽涉多方利益關(guān)系。因此,建立具有完善安全機(jī)制的智能電網(wǎng)通信框架是實(shí)現(xiàn)家庭能源互聯(lián)網(wǎng)的重要保證。

ZigBee智能能源(ZigBee Smart Energy,ZSE)應(yīng)用規(guī)范提供了用于建立智能電網(wǎng)家庭網(wǎng)絡(luò)的無線解決方案,其安全機(jī)制具有先進(jìn)的設(shè)計(jì)思路和理念,對于研究智能電網(wǎng)用戶側(cè)通信網(wǎng)絡(luò)具有重要的借鑒意義[1-2]。

報文加密是安全機(jī)制中的重要環(huán)節(jié),而算法和密鑰是加密技術(shù)的兩大要素。密鑰作為算法輸入,經(jīng)過一系列的替換和轉(zhuǎn)換將信息轉(zhuǎn)化為無法識別的密文。ZigBee協(xié)議采用AES-128算法[3]對報文信息進(jìn)行加密和解密。由于AES加密算法是完全公開的,因此ZigBee網(wǎng)絡(luò)的加密安全取決于密鑰的保密性,密鑰的生成、傳輸、更新和保存是ZigBee安全機(jī)制的關(guān)鍵。

1ZSE安全機(jī)制

ZSE規(guī)范定義了在住宅或商業(yè)環(huán)境下能源管理系統(tǒng)中各種智能能源設(shè)備的設(shè)備描述和行為規(guī)范,包括計(jì)量、定價、需求響應(yīng)和負(fù)載管理等功能的實(shí)現(xiàn)。典型家庭智能能源網(wǎng)絡(luò)如圖1所示。

家庭智能能源網(wǎng)絡(luò)包括智能能源網(wǎng)關(guān)、智能溫控器、能源顯示設(shè)備、能源計(jì)量儀表等智能設(shè)備。其中,能源服務(wù)接口(ESI)為電力系統(tǒng)與家庭網(wǎng)絡(luò)(HAN)之間提供了一個雙向互動的橋梁,是授權(quán)機(jī)構(gòu)和所有委派登錄到HAN的設(shè)備之間的安全通信接口。在基于HAN的智能能源網(wǎng)絡(luò)中,ESI擔(dān)當(dāng)網(wǎng)絡(luò)中信任中心的角色,維護(hù)HAN網(wǎng)絡(luò)中ZSE認(rèn)證設(shè)備列表,除具有ZigBee網(wǎng)絡(luò)基本安全外,還專為智能電網(wǎng)信息傳輸特點(diǎn)設(shè)計(jì)了更為嚴(yán)密的安全機(jī)制。

圖1　典型家庭智能能源網(wǎng)絡(luò)

ZSE規(guī)范提供了一套完整的ZSE設(shè)備入網(wǎng)、授權(quán)、驗(yàn)證步驟以及對交互信息采取的端到端保護(hù)、加密等安全措施,對于研究智能電網(wǎng)用戶側(cè)的信息傳輸安全技術(shù)具有重要的借鑒意義。

信任中心設(shè)備是ZigBee安全服務(wù)中的核心,對加入網(wǎng)絡(luò)的設(shè)備進(jìn)行安全認(rèn)證,以及為網(wǎng)絡(luò)管理和端到端應(yīng)用配置分發(fā)密鑰。對于網(wǎng)絡(luò)管理,ZigBee設(shè)備從信任中心獲取初始網(wǎng)絡(luò)密鑰及更新的網(wǎng)絡(luò)密鑰;對于應(yīng)用配置,ZigBee設(shè)備從信任中心獲取鏈路密鑰,用于設(shè)備間端到端的安全通信。

1.1設(shè)備入網(wǎng)

設(shè)備節(jié)點(diǎn)在加入網(wǎng)絡(luò)后但未得到信任中心安全認(rèn)證之前都只是暫時加入網(wǎng)絡(luò),只有新節(jié)點(diǎn)得到信任中心的認(rèn)證后,才完全加入網(wǎng)絡(luò)。新節(jié)點(diǎn)加入ZSE網(wǎng)絡(luò)的過程(使用信任中心預(yù)配置密鑰)如圖2所示。

圖2　新節(jié)點(diǎn)加入ZSE網(wǎng)絡(luò)過程

在ZSE安全機(jī)制下,ZSE設(shè)備采用預(yù)配置信任中心鏈路密鑰來獲得ZSE網(wǎng)絡(luò)密鑰。預(yù)配置信任中心鏈路密鑰由新加入節(jié)點(diǎn)和信任中心共享的安裝代碼生成。安裝代碼可以是任意字節(jié)數(shù)據(jù)加上CRC校驗(yàn)值,然后通過AES-MMO加密算法[3]生成128位數(shù)列,即為ZSE節(jié)點(diǎn)的預(yù)配置信任中心鏈路密鑰。

ZSE設(shè)備可通過標(biāo)簽方式獲得安裝代碼,信任中心可通過獨(dú)立于當(dāng)前ZSE網(wǎng)絡(luò)的通信方式來獲得安裝代碼及新節(jié)點(diǎn)的EUI 64位地址,并建立密鑰列表?xiàng)l目。

在ZSE節(jié)點(diǎn)初始加入網(wǎng)絡(luò)過程中,信任中心首先通過密鑰列表?xiàng)l目來判斷是否允許該節(jié)點(diǎn)通過認(rèn)證。如果允許,則利用生成的預(yù)配置信任中心鏈路密鑰加密網(wǎng)絡(luò)密鑰。當(dāng)新加入節(jié)點(diǎn)在收到傳輸網(wǎng)絡(luò)密鑰的報文后,利用生成的預(yù)配置信任中心鏈路密鑰解密,獲得當(dāng)前的網(wǎng)絡(luò)密鑰。

1.2建立信任中心鏈路密鑰

當(dāng)ZSE設(shè)備成功加入網(wǎng)絡(luò)并獲得當(dāng)前網(wǎng)絡(luò)密鑰后,ZSE設(shè)備通過certificate-based key establishment(CBKE)密鑰協(xié)議來獲得信任中心鏈路密鑰,保證了鏈路密鑰的隨機(jī)性和不可復(fù)制性。新節(jié)點(diǎn)與信任中心通過CBKE協(xié)議建立信任中心鏈路密鑰的過程如圖3所示。

圖3　CBKE協(xié)議建立密鑰過程

信任中心鏈路密鑰過程包含建立相互信任關(guān)系、建立臨時交互數(shù)據(jù)和建立安全密鑰確認(rèn)。

ZSE設(shè)備之間通過Key Establishment功能簇[2]實(shí)現(xiàn)CBKE密鑰協(xié)議。Key Establishment功能簇的服務(wù)端、客戶端接收命令如表1所示。

表1Key Establishment功能簇的服務(wù)端、客戶端接收命令

命令號命令描述必選/可選0x00InitiateKeyEstablishment請求必選0x01EphemeralData請求必選0x02Confirmkey請求必選0x03TerminateKeyEstablishment請求必選0x04～0xFF保留—

對照CBKE協(xié)議建立密鑰過程,Key Establishment功能簇的客戶端/服務(wù)端正好對應(yīng)于實(shí)現(xiàn)CBKE協(xié)議的新節(jié)點(diǎn)/信任中心。

1.3建立應(yīng)用鏈路密鑰

ZSE設(shè)備成功加入網(wǎng)絡(luò)并獲得信任中心鏈路鑰匙后,如果需要與網(wǎng)絡(luò)中其他ZSE設(shè)備(非信任中心)通信,則需建立端到端的應(yīng)用鏈路密鑰。應(yīng)用鏈路密鑰并非直接在這兩個設(shè)備之間采用CBKE協(xié)議建立,而是通過信任中心進(jìn)行建立,以減少終端設(shè)備在密匙建立過程中的資源消耗。

假設(shè)智能能源網(wǎng)關(guān)為網(wǎng)絡(luò)信任中心,能源計(jì)量儀表和能源顯示設(shè)備都已認(rèn)證且獲得信任中心鏈路密鑰,需要在能源計(jì)量儀表與能源顯示設(shè)備之間建立應(yīng)用鏈路密鑰。應(yīng)用鏈路密鑰建立過程如圖4所示。

圖4　應(yīng)用鏈路密鑰建立過程

能源計(jì)量儀表首先向能源顯示設(shè)備發(fā)送Key Establishment功能簇綁定請求報文,該報文只需通過當(dāng)前網(wǎng)絡(luò)密鑰加密。如果獲得能源顯示設(shè)備的綁定成功響應(yīng),能源計(jì)量儀表則向能源網(wǎng)關(guān)發(fā)送應(yīng)用鏈路密鑰請求報文,用于獲得應(yīng)用鏈路密鑰,該報文中將包含能源顯示設(shè)備EUI 64位地址。能源網(wǎng)關(guān)在收到應(yīng)用鏈路密鑰請求報文后,如果這兩個設(shè)備都在其認(rèn)證設(shè)備列表中,能源網(wǎng)關(guān)則將向能源計(jì)量儀表和能源顯示設(shè)備分別發(fā)送密鑰傳輸報文,以傳輸隨機(jī)生成的應(yīng)用鏈路密鑰。

2ZSE安全機(jī)制應(yīng)用實(shí)例

本文以智能能源網(wǎng)關(guān)和智能溫控器組建基本的能源管理系統(tǒng),通過通信報文的解析,具體說明節(jié)點(diǎn)在加入網(wǎng)絡(luò)、建立新鏈路密鑰及應(yīng)用層通信等過程所涉及的安全機(jī)制。

2.1設(shè)備描述

智能能源網(wǎng)關(guān)是家庭能源管理系統(tǒng)的核心設(shè)備,是家庭網(wǎng)絡(luò)的管理中心。由于智能能源網(wǎng)關(guān)是家庭能源服務(wù)系統(tǒng)的對外接口,因此將智能能源網(wǎng)關(guān)定義為ZSE規(guī)范中能源服務(wù)接口設(shè)備,并擔(dān)任網(wǎng)絡(luò)中信任中心的角色。該設(shè)備的功能簇包括需求響應(yīng)和負(fù)載控制、價格、密鑰建立。

具有可編程可通信能力的智能溫控器可根據(jù)遠(yuǎn)程發(fā)送來的需量控制命令及溫度設(shè)定參數(shù)等信息進(jìn)行風(fēng)機(jī)盤管、地?zé)岬戎醒肟照{(diào)設(shè)備的控制。智能溫控器符合ZSE規(guī)范中可編程通信溫控器設(shè)備定義,功能簇包括需求響應(yīng)和負(fù)載控制、價格、報文、時間、密鑰建立。

2.2報文解析

2.2.1新節(jié)點(diǎn)加入網(wǎng)絡(luò)

新的ZSE網(wǎng)絡(luò)信道為11,PanId為0xBBBB。智能溫控器加入由智能網(wǎng)關(guān)組建的ZSE網(wǎng)絡(luò)。新節(jié)點(diǎn)加入網(wǎng)絡(luò)的過程如下:

(1) 加入網(wǎng)絡(luò)。新節(jié)點(diǎn)通過association方式初始加入網(wǎng)絡(luò)。

(2) 傳輸密鑰。傳輸密鑰報文用于傳輸當(dāng)前網(wǎng)絡(luò)密鑰,由安裝代碼生成的預(yù)配置信任中心鏈路密鑰進(jìn)行加密。此外,該報文負(fù)載中所包含的當(dāng)前網(wǎng)絡(luò)密鑰由Key-Transport密鑰進(jìn)行加密。

(3) 設(shè)備聲明。當(dāng)新節(jié)點(diǎn)成功加入網(wǎng)絡(luò),并得到信任中心認(rèn)證后,則發(fā)送Device Announce廣播報文,在網(wǎng)絡(luò)中宣告加入。

2.2.2信任中心鏈路密鑰建立

當(dāng)ZSE設(shè)備成功加入網(wǎng)絡(luò)并獲得當(dāng)前網(wǎng)絡(luò)密鑰后,必須通過CBKE密鑰協(xié)議來獲得信任中心鏈路密鑰,該過程由Key Establishment簇實(shí)現(xiàn),采用網(wǎng)絡(luò)層加密方式。信任中心鏈路密鑰建立過程如下:

(1) 建立相互信任關(guān)系。智能溫控器向能源網(wǎng)關(guān)通過發(fā)送包含其身份標(biāo)志及CBKE相關(guān)信息的請求報文,來建立相互信任關(guān)系。能源網(wǎng)關(guān)在收到報文后,如果該報文中的發(fā)布者域是已知CA,并且確認(rèn)報文內(nèi)包含的數(shù)字證書屬于智能溫控器,則發(fā)送成功響應(yīng)報文。

(2) 建立臨時交互數(shù)據(jù)。智能溫控器向能源網(wǎng)關(guān)發(fā)送臨時數(shù)據(jù)[5],并要求能源網(wǎng)關(guān)反饋相應(yīng)的臨時數(shù)據(jù)。能源網(wǎng)關(guān)在收到報文后,如果已與智能溫控器成功建立了相互信任關(guān)系,則生成臨時數(shù)據(jù)加載到響應(yīng)報文中回應(yīng)智能溫控器。

(3) 安全密鑰的確認(rèn)。當(dāng)智能溫控器成功接收到能源網(wǎng)關(guān)的臨時交互數(shù)據(jù)后,結(jié)合此前接收的能源網(wǎng)關(guān)數(shù)字證書,根據(jù)ECMQV(Elliptic Curve Menezes-Qu-Vanstone)算法[6],計(jì)算出共享密鑰數(shù)據(jù)。通過KDF(Key Derivation Function)算法[6],計(jì)算出MACkey和ZigBee共享密鑰。MACkey將作為HMAC(keyed Hash Message Authen-tication Code)算法[7]的輸入,計(jì)算得到SMAC(Secure Message Authentication Code),并將其作為安全密鑰確認(rèn)請求報文的負(fù)載發(fā)送給響應(yīng)者,而ZigBee共享密鑰則作為新的鏈路密鑰,用于此后的應(yīng)用報文通信。

當(dāng)能源網(wǎng)關(guān)接收到安全密鑰確認(rèn)請求報文后,將通過KDF算法計(jì)算出智能溫控器的SMAC值,然后與接收到的安全密鑰確認(rèn)請求報文中的SMAC值進(jìn)行比較,如果兩者一致,則發(fā)送確認(rèn)成功響應(yīng)報文。

2.2.3節(jié)點(diǎn)端到端通信

當(dāng)新的鏈路密鑰建立后,智能溫控器和智能能源網(wǎng)關(guān)就可利用該鏈路密鑰加密應(yīng)用層報文,實(shí)現(xiàn)端到端的安全通信。

智能溫控器向智能能源網(wǎng)關(guān)發(fā)送請求報文,以獲取ZSE網(wǎng)絡(luò)的當(dāng)前時間;智能能源網(wǎng)關(guān)在接收到該報文后發(fā)送響應(yīng)報文,反饋當(dāng)前系統(tǒng)時間給智能溫控器。在該通信過程中,信任中心鏈路密鑰用于應(yīng)用層報文加密,而網(wǎng)絡(luò)密鑰用于網(wǎng)絡(luò)層報文加密,從而實(shí)現(xiàn)安全通信。

3結(jié)語

ZSE規(guī)范中的安全機(jī)制涉及到設(shè)備入網(wǎng)、鑒權(quán)、注冊等安全步驟以及對交互信息采取的端到端的保護(hù)、加密等安全措施,因此十分嚴(yán)密和復(fù)雜。

本文結(jié)合能源管理系統(tǒng)實(shí)際應(yīng)用實(shí)例,分析了ZSE規(guī)范中安全策略的關(guān)鍵技術(shù)和應(yīng)用要點(diǎn),以構(gòu)建符合能源物聯(lián)網(wǎng)發(fā)展特點(diǎn)的智能能源管理系統(tǒng)。

[1]ZigBee Alliance.ZigBee Document 053474r17,ZigBee specification[OB/OL].http:∥www.zigbee.org.

[2]ZigBee Alliance.ZigBee Document 075356r16ZB,ZigBee smart energyprofile specification[OB/OL].http:∥www.zigbee.org.

[3]FIPS Pub 197.Advanced Encryption Standard (AES) [OB/OL].2001-11-26.

[4]Public key cryptography for the financial services industry-key agreement and key transport using elliptic curve cryptography: ANSI X 9.63—2001[S].

[5]Standards for efficient cryptography:SEC 1(working draft) ver 1.7.Elliptic curve cryptography[OB/OL].2006-11-13.

[6]Public key cryptography for the financial services industry:the elliptic curve digital signature algorithm (ECDSA):ANSI X 9.62—2005[S].

[7]FIPS Pub 198.The keyed-hash message authenti-cation code(HMAC)[OB/OL].2012-03-06.

Research and Implementation of Security Mechanisms for Internet of Things for Residential Energy Based on ZSE Profile Standard

WEI Huan

(Shanghai Jiading District Vocational School, Shanghai 200018, China)

Abstract：Internet of Things( IOT) for residential energy is an important foundation to realize the seamless integration between power utilities system and intelligent home system.ZigBee smart energy(ZSE) profile standard is included in the NIST framework and roadmap for smart grid interoperability standards.ZSE adopts advanced design pattern and perfect security mechanisms.Through the overall analysis of ZSE security policy and research on the user-side energy management system application based on ZSE,this paper analyzed the key technologies of safe communications in ZSE network and offered a best practice in order to construct a good foundation for the smart energy system.

Key words:Internet of Things for residential energy; ZigBee smart energy profile standard; security mechanisms; intelligent temperature controller

中圖分類號：TM 727

文獻(xiàn)標(biāo)志碼：B

文章編號：1674-8417(2016)05-0009-04

DOI：10.16618/j.cnki.1674-8417.2016.05.003

收稿日期：2016-03-31