物聯(lián)網(wǎng) (IoT) 正在以驚人的速度增長。遠程控制設備和獲得有價值的數(shù)據(jù)洞察力的能力正在推動我們朝著預計到 2035 年將達到一萬億臺連接設備的目標邁進，提供比我們今天看到的更多數(shù)量級的數(shù)據(jù)。我們看到連接設備數(shù)量大幅增長的一個領域是智能電表。根據(jù)iHS Markit的數(shù)據(jù)，到2023 年，高級計量基礎設施 (AMI) 的支出預計將增至 130 億美元，而 2018 年為 90 億美元。為我們提供熱、光和水的公司正受益于自動抄表、精確計費、加上遠程連接和斷開連接功能——所有這些都比以前使用更少的資源。

但這種前所未有的增長為網(wǎng)絡犯罪分子創(chuàng)造了一個不斷擴大的攻擊面，使他們可以掠奪重要的基礎設施，或者滲透并竊取個人和企業(yè)的信息。例如，惡意軟件黑客利用“Crash Override”惡意軟件在 2016 年 12 月控制了烏克蘭的電網(wǎng)，并關閉了 30 個變電站，使基輔市停電，將該市的電力容量減少到五分之一。

在智能電表的整個使用壽命期間，安全威脅可以采取多種不同的形式。公用事業(yè)公司必須考慮各種因素，并為不同的攻擊媒介做好準備，以確保其客戶受到保護。例如，側(cè)信道攻擊涉及通過相關功率分析 (CPA) 窺探和分析數(shù)據(jù)消耗，以獲取憑據(jù)和訪問基礎設施。能源供應商和原始設備制造商 (OEM) 需要加強從設備到云的安全性。他們還需要能夠通過無線 (OTA) 更新其固件，以確保設備生命周期的彈性。那么公用事業(yè)公司如何確保其智能計量部署為所有利益相關者維護安全和隱私呢？

重要的客戶使用數(shù)據(jù)，其中一些可能是個人身份信息 (PII)，駐留在電表內(nèi)部，這意味著智能電表的安全性對隱私有直接影響。公用事業(yè)公司可以使用這些數(shù)據(jù)來預測能源需求、配置需求響應并提供有關能源消耗的建議。需要以負責任的方式訪問這些數(shù)據(jù)，并根據(jù)歐盟的通用數(shù)據(jù)保護條例 (GDPR) 等一系列法規(guī)進行管理。這種策略實施需要為可信數(shù)據(jù)奠定基礎，并將安全性融入數(shù)據(jù)收集、數(shù)據(jù)分析和設備本身。這需要設備中的信任根、基于身份驗證的訪問，以及靜態(tài)和傳輸中的數(shù)據(jù)加密。

物聯(lián)網(wǎng)平臺實現(xiàn)安全和私有智能電表的六種方式

確保智能電表的安全性和數(shù)據(jù)隱私需要一種生命周期方法，從制造延伸到入職和常規(guī)使用。借助 Arm Pelion 物聯(lián)網(wǎng)平臺等物聯(lián)網(wǎng)平臺，必要的生命周期支持集成在平臺的設備管理和訪問控制功能中。以下部分描述了物聯(lián)網(wǎng)平臺滿足對確保隱私至關重要的生命周期安全要求的六種方式。

1. 確保工廠配置期間大規(guī)模智能電表部署的信任根

負責制造智能電表的生產(chǎn)設施需要在可擴展性和彈性之間取得平衡，以確保設備值得信賴，為電表在現(xiàn)場的使用壽命奠定安全基礎。信任根 (ROT) 在受智能電表操作系統(tǒng)信任的安全區(qū)域內(nèi)構成一系列功能。將憑證注入單個設備可以降低這種風險，但是將這個過程擴展到數(shù)百萬臺設備的能力是保持效率和安全性之間平衡的關鍵。當您考慮到公用事業(yè)公司本身不是制造商并且經(jīng)常將生產(chǎn)和信任外包給原始設備制造商時，信任工廠的問題就變得更加令人擔憂。那么我們?nèi)绾巫尩谌焦S“受信任”呢？

通過管理交叉引用物聯(lián)網(wǎng)平臺、引導程序和輕量級 M2M (LwM2M) 服務器的認證機構來灌輸信任。物聯(lián)網(wǎng)平臺提供商提供的一系列工具為證書頒發(fā)機構 (CA) 的配置提供了線性流程，確保只有擁有 CA 簽署的證書和公鑰的儀表才能在設備與其設備之間建立連接經(jīng)理。

一旦 CA 被配置并鏈接到制造商的個人帳戶，工廠生產(chǎn)線就可以批量供應設備。這個五個階段的過程包括：

注入軟件鏡像

為設備生成設備密鑰、證書和配置參數(shù)

使用工廠工具將生成的密鑰、證書和配置參數(shù)注入到生產(chǎn)線上的設備中

在設備中使用密鑰配置管理器和工廠配置器客戶端 (FCC) API 來驗證信息

完成配置過程并阻止生產(chǎn)映像中的 FCC 代碼，以確保在配置后無法訪問它

2. 入職期間與網(wǎng)格的可信連接

如前所述，生產(chǎn)智能電表的 OEM 通常離最終用戶只有一步之遙，這意味著通常需要配置過程中的靈活性來滿足他們現(xiàn)有的流程。例如，有些人選擇在內(nèi)部創(chuàng)建他們的密鑰和證書，然后將它們捆綁到工廠配置實用程序 (FCU) 中。FCU 位于工廠生產(chǎn)線內(nèi)，與制造商的工廠工具一起使用憑證配置和注入設備，進而驗證智能電表的操作參數(shù)。或者，有些人選擇直接注入設備。雖然前者是一種更有效的方法，但兩者同樣安全。

由于 OEM 在制造時不知道智能電表將部署在哪里或與之關聯(lián)的帳戶，因此與電網(wǎng)的最終連接必須是可信的操作。因此，制造商和公用事業(yè)公司使用涉及注冊列表的預共享密鑰 (PSK)。此過程驗證唯一 ID 以將憑據(jù)與特定設備管理帳戶中的注冊信息相匹配，然后將設備分配給該帳戶。僅當設備 ID 與公用事業(yè)提供商的 IoT 門戶中上傳的 ID 匹配時才會發(fā)生這種情況。

PSK 為設備和物聯(lián)網(wǎng)平臺提供了一個公共密鑰，該密鑰已安全地配置到設備中并構成最基本的安全級別。它被認為是基本的，因為存在在制造過程中傳遞給智能電表的憑證以及存儲在服務器上的憑證的機密列表可能會被泄露的風險，從而使數(shù)百萬個電表和用戶的數(shù)據(jù)暴露在外。但是，公鑰基礎設施 (PKI) 是一種更安全的方法。

PKI 在設備和物聯(lián)網(wǎng)平臺之間進行了介紹，并添加了一層非對稱加密，將加密簽名與對電表進行身份驗證的第三方聯(lián)系在一起。使用此第三方是一種更安全的身份驗證方式，因為憑據(jù)僅在設備本身上生成，并且不存在于其他任何地方。

在為 OEM 提供這種級別的靈活性的同時，任何物有所值的物聯(lián)網(wǎng)合作伙伴都將在引導階段保持安全并確保唯一的身份。交互作為通過加密傳輸層安全 (TLS) 通信與 Bootstrap 服務器進行數(shù)據(jù)傳輸?shù)囊徊糠诌M行，該通信旨在防止竊聽、篡改或消息偽造。

3. 安全通信

TLS 是一種加密協(xié)議，可在可能不受信任的網(wǎng)絡上提供端到端通信安全，并廣泛用于物聯(lián)網(wǎng)設備與云的通信。使用 TLS 通過安全通信通道進行通信的基本步驟包括初始化 SSL/TLS 上下文、執(zhí)行 SSL/TLS 握手并在智能電表和云之間建立安全連接、在智能電表和云之間發(fā)送/接收數(shù)據(jù)以及通知peer 連接正在關閉。

這種行業(yè)標準方法不僅充當加密協(xié)議，而且還消除了對繁瑣和不安全密碼的需求。這是因為提供簽名證書的行為為公用事業(yè)提供商的帳戶提供了經(jīng)過驗證的唯一設備 ID，從而無需其他形式的標識。通過使用設備語言消息規(guī)范 (DLMS)，與儀表的通信通過 DLMS 使用基于 PKI 的安全套件 1 進行身份驗證和密鑰協(xié)商，并使用 AES-GCM-128 進行身份驗證加密。

4. 信任更新源

現(xiàn)場更新設備是成功部署智能電表的關鍵，其中一些可能持續(xù) 20 多年。在此期間，OTA 更新可以在部署后為最終用戶和公用事業(yè)提供商提供額外的功能，包括修復錯誤、延長使用壽命，從而降低單元的整體生命周期成本。遠程更新也是防止最新威脅或新發(fā)現(xiàn)漏洞的有效手段，無需在現(xiàn)場手動更新的繁瑣和成本。

然而，相反，如果更新本身未經(jīng)驗證，更新設備以管理對最新威脅的保護的行為本身可能會帶來風險。

設備需要在建議的更新中做出有關固件的重要決定。例如，更新是否可信且適用于設備？驗證固件更新映像是否受信任的一種方法是使用元數(shù)據(jù)（稱為清單）。清單經(jīng)過數(shù)字簽名以在采取任何操作之前驗證更新本身的完整性。固件的作者擁有提供更新端到端驗證的密鑰。固件清單的創(chuàng)作和簽名可確保僅將受信任的更新（具有可驗證信任鏈的更新）應用于正確的設備。

創(chuàng)建清單的最簡單方法是使用清單工具，該工具在您的 PC 上運行以創(chuàng)建、簽署和上傳清單并測試整個端到端更新流程。

5. 安全、機密的更新活動

正如 OTA 是安全設備生命周期的關鍵一樣，安全性本身也是成功 OTA 更新的關鍵。物聯(lián)網(wǎng)平臺部署的固件安全更新與傳輸協(xié)議隔離，這意味著交付網(wǎng)絡被視為不可信。這通過打包更新、創(chuàng)建活動然后將該活動安全地部署到連接的設備來促進大規(guī)模的安全更新。

設備管理客戶端等待更新通知，然后驗證包，應用更新并在更新失敗時恢復到設備的原始狀態(tài)，然后再報告任何問題。更重要的是，可以監(jiān)控單個設備在活動期間的可疑行為。

回滾保護可防止儀表被惡意回滾到較舊、更易受攻擊的固件版本，并且只有在關聯(lián)的固件清單是較新版本時才能繼續(xù)更新。可以降級到以前的儀表版本，但它們需要經(jīng)過身份驗證的服務操作員授權。

6. 現(xiàn)場證書管理

在多種情況下，公用事業(yè)公司可能希望阻止已部署的智能電表連接到云。例如，如果現(xiàn)場智能電表的完整性被破壞并且證書被泄露，那么公用事業(yè)公司暫停受損設備是確保更廣泛的 AMI 生態(tài)系統(tǒng)整體安全的關鍵。公用事業(yè)提供商還希望確保他們可以更新現(xiàn)場部署的智能電表的證書。如果智能電表的現(xiàn)有證書即將到期，則需要更新證書，一旦到期，智能電表將無法在線連接服務。

更新設備證書的過程涉及物聯(lián)網(wǎng)設備管理平臺，例如 Pelion 設備管理平臺及其設備管理客戶端。這個五個階段的過程通常包括：

從設備管理門戶或智能電表調(diào)用設備管理 API。

智能電表生成新密鑰，基于現(xiàn)有證書創(chuàng)建證書簽名請求 (CSR)，并將 CSR 發(fā)送到設備管理。

設備管理平臺將 CSR 發(fā)送給第三方證書頒發(fā)機構 (CA) 進行證書簽名。

內(nèi)部設備管理 CA 簽署 LwM2M 證書并將其發(fā)送回設備管理平臺。

然后設備管理平臺將簽署的證書發(fā)送回現(xiàn)場的智能電表。

結(jié)論

公用事業(yè)公司正在利用物聯(lián)網(wǎng)帶來的智能電表帶來的效率和額外收入機會。然而，這種增長的速度和規(guī)模為網(wǎng)絡犯罪分子帶來了巨大的機會，因為攻擊面隨著每個設備的部署和每次更新的管理而增加。有效的物聯(lián)網(wǎng)設備管理平臺可以幫助建立貫穿電表使用壽命的安全基礎，以促進簡化、可擴展的部署，并確保公用事業(yè)公司及其客戶受到保護。

Mohit Kedia是 Arm 物聯(lián)網(wǎng)服務組的產(chǎn)品經(jīng)理。Mohit 總部位于奧斯汀，專注于使用 Pelion Device Management（行業(yè)領先的物聯(lián)網(wǎng) SaaS 產(chǎn)品）和 Mbed OS（世界上最先進的開源物聯(lián)網(wǎng)操作系統(tǒng)平臺）使物聯(lián)網(wǎng)產(chǎn)品成為現(xiàn)實。Mohit 之前在 AMD 和 NXP 的產(chǎn)品管理和解決方案架構方面擔任過各種職務，負責物聯(lián)網(wǎng)和新興嵌入式市場的領先硬件、軟件和硅產(chǎn)品。Mohit 擁有德克薩斯大學奧斯汀分校的 MBA 學位和德克薩斯 A&M 大學的電氣和電子工程研究生學位。

審核編輯：湯梓紅