尉　歡

(上海市嘉定區(qū)職業(yè)技術學校, 上海　200018)

基于ZSE規(guī)范的家庭能源物聯(lián)網(wǎng)安全機制研究與實現(xiàn)

尉歡

(上海市嘉定區(qū)職業(yè)技術學校, 上海200018)

摘要：家庭能源物聯(lián)網(wǎng)是實現(xiàn)電力公用事業(yè)系統(tǒng)與智能家庭系統(tǒng)之間的無縫整合的重要基礎。ZigBee智能能源(ZSE)規(guī)范是美國國家標準技術研究院正式公布家庭側能源管理系統(tǒng)的核心標準之一,具有先進的設計理念及健全的安全機制。通過對ZSE規(guī)范安全策略的深入剖析以及對能源管理系統(tǒng)應用實例的研究,詳細探討了ZSE網(wǎng)絡中實現(xiàn)安全通信的關鍵技術及應用要點,為構建強大的用戶端能源管理系統(tǒng)奠定了有利基礎。

關鍵詞：家庭能源互聯(lián)網(wǎng); ZigBee智能能源規(guī)范; 安全機制; 智能溫控器

0引言

家庭能源互聯(lián)網(wǎng)是指在現(xiàn)有能源供給系統(tǒng)與配電網(wǎng)的基礎上,通過先進的電力電子技術和信息技術,融合新能源技術與互聯(lián)網(wǎng)技術,將家庭中的能源儀表、家電設備、傳感器等智能設備和分布式能量儲存裝置互聯(lián)起來,實現(xiàn)能量和信息雙向流動的能源對等交換和共享網(wǎng)絡。智能電網(wǎng)的信息交互會涉及電力局、服務提供者、消費者等多個主體,牽涉多方利益關系。因此,建立具有完善安全機制的智能電網(wǎng)通信框架是實現(xiàn)家庭能源互聯(lián)網(wǎng)的重要保證。

ZigBee智能能源(ZigBee Smart Energy,ZSE)應用規(guī)范提供了用于建立智能電網(wǎng)家庭網(wǎng)絡的無線解決方案,其安全機制具有先進的設計思路和理念,對于研究智能電網(wǎng)用戶側通信網(wǎng)絡具有重要的借鑒意義[1-2]。

報文加密是安全機制中的重要環(huán)節(jié),而算法和密鑰是加密技術的兩大要素。密鑰作為算法輸入,經(jīng)過一系列的替換和轉換將信息轉化為無法識別的密文。ZigBee協(xié)議采用AES-128算法[3]對報文信息進行加密和解密。由于AES加密算法是完全公開的,因此ZigBee網(wǎng)絡的加密安全取決于密鑰的保密性,密鑰的生成、傳輸、更新和保存是ZigBee安全機制的關鍵。

1ZSE安全機制

ZSE規(guī)范定義了在住宅或商業(yè)環(huán)境下能源管理系統(tǒng)中各種智能能源設備的設備描述和行為規(guī)范,包括計量、定價、需求響應和負載管理等功能的實現(xiàn)。典型家庭智能能源網(wǎng)絡如圖1所示。

家庭智能能源網(wǎng)絡包括智能能源網(wǎng)關、智能溫控器、能源顯示設備、能源計量儀表等智能設備。其中,能源服務接口(ESI)為電力系統(tǒng)與家庭網(wǎng)絡(HAN)之間提供了一個雙向互動的橋梁,是授權機構和所有委派登錄到HAN的設備之間的安全通信接口。在基于HAN的智能能源網(wǎng)絡中,ESI擔當網(wǎng)絡中信任中心的角色,維護HAN網(wǎng)絡中ZSE認證設備列表,除具有ZigBee網(wǎng)絡基本安全外,還專為智能電網(wǎng)信息傳輸特點設計了更為嚴密的安全機制。

圖1　典型家庭智能能源網(wǎng)絡

ZSE規(guī)范提供了一套完整的ZSE設備入網(wǎng)、授權、驗證步驟以及對交互信息采取的端到端保護、加密等安全措施,對于研究智能電網(wǎng)用戶側的信息傳輸安全技術具有重要的借鑒意義。

信任中心設備是ZigBee安全服務中的核心,對加入網(wǎng)絡的設備進行安全認證,以及為網(wǎng)絡管理和端到端應用配置分發(fā)密鑰。對于網(wǎng)絡管理,ZigBee設備從信任中心獲取初始網(wǎng)絡密鑰及更新的網(wǎng)絡密鑰;對于應用配置,ZigBee設備從信任中心獲取鏈路密鑰,用于設備間端到端的安全通信。

1.1設備入網(wǎng)

設備節(jié)點在加入網(wǎng)絡后但未得到信任中心安全認證之前都只是暫時加入網(wǎng)絡,只有新節(jié)點得到信任中心的認證后,才完全加入網(wǎng)絡。新節(jié)點加入ZSE網(wǎng)絡的過程(使用信任中心預配置密鑰)如圖2所示。

圖2　新節(jié)點加入ZSE網(wǎng)絡過程

在ZSE安全機制下,ZSE設備采用預配置信任中心鏈路密鑰來獲得ZSE網(wǎng)絡密鑰。預配置信任中心鏈路密鑰由新加入節(jié)點和信任中心共享的安裝代碼生成。安裝代碼可以是任意字節(jié)數(shù)據(jù)加上CRC校驗值,然后通過AES-MMO加密算法[3]生成128位數(shù)列,即為ZSE節(jié)點的預配置信任中心鏈路密鑰。

ZSE設備可通過標簽方式獲得安裝代碼,信任中心可通過獨立于當前ZSE網(wǎng)絡的通信方式來獲得安裝代碼及新節(jié)點的EUI 64位地址,并建立密鑰列表條目。

在ZSE節(jié)點初始加入網(wǎng)絡過程中,信任中心首先通過密鑰列表條目來判斷是否允許該節(jié)點通過認證。如果允許,則利用生成的預配置信任中心鏈路密鑰加密網(wǎng)絡密鑰。當新加入節(jié)點在收到傳輸網(wǎng)絡密鑰的報文后,利用生成的預配置信任中心鏈路密鑰解密,獲得當前的網(wǎng)絡密鑰。

1.2建立信任中心鏈路密鑰

當ZSE設備成功加入網(wǎng)絡并獲得當前網(wǎng)絡密鑰后,ZSE設備通過certificate-based key establishment(CBKE)密鑰協(xié)議來獲得信任中心鏈路密鑰,保證了鏈路密鑰的隨機性和不可復制性。新節(jié)點與信任中心通過CBKE協(xié)議建立信任中心鏈路密鑰的過程如圖3所示。

圖3　CBKE協(xié)議建立密鑰過程

信任中心鏈路密鑰過程包含建立相互信任關系、建立臨時交互數(shù)據(jù)和建立安全密鑰確認。

ZSE設備之間通過Key Establishment功能簇[2]實現(xiàn)CBKE密鑰協(xié)議。Key Establishment功能簇的服務端、客戶端接收命令如表1所示。

表1Key Establishment功能簇的服務端、客戶端接收命令

命令號命令描述必選/可選0x00InitiateKeyEstablishment請求必選0x01EphemeralData請求必選0x02Confirmkey請求必選0x03TerminateKeyEstablishment請求必選0x04～0xFF保留—

對照CBKE協(xié)議建立密鑰過程,Key Establishment功能簇的客戶端/服務端正好對應于實現(xiàn)CBKE協(xié)議的新節(jié)點/信任中心。

1.3建立應用鏈路密鑰

ZSE設備成功加入網(wǎng)絡并獲得信任中心鏈路鑰匙后,如果需要與網(wǎng)絡中其他ZSE設備(非信任中心)通信,則需建立端到端的應用鏈路密鑰。應用鏈路密鑰并非直接在這兩個設備之間采用CBKE協(xié)議建立,而是通過信任中心進行建立,以減少終端設備在密匙建立過程中的資源消耗。

假設智能能源網(wǎng)關為網(wǎng)絡信任中心,能源計量儀表和能源顯示設備都已認證且獲得信任中心鏈路密鑰,需要在能源計量儀表與能源顯示設備之間建立應用鏈路密鑰。應用鏈路密鑰建立過程如圖4所示。

圖4　應用鏈路密鑰建立過程

能源計量儀表首先向能源顯示設備發(fā)送Key Establishment功能簇綁定請求報文,該報文只需通過當前網(wǎng)絡密鑰加密。如果獲得能源顯示設備的綁定成功響應,能源計量儀表則向能源網(wǎng)關發(fā)送應用鏈路密鑰請求報文,用于獲得應用鏈路密鑰,該報文中將包含能源顯示設備EUI 64位地址。能源網(wǎng)關在收到應用鏈路密鑰請求報文后,如果這兩個設備都在其認證設備列表中,能源網(wǎng)關則將向能源計量儀表和能源顯示設備分別發(fā)送密鑰傳輸報文,以傳輸隨機生成的應用鏈路密鑰。

2ZSE安全機制應用實例

本文以智能能源網(wǎng)關和智能溫控器組建基本的能源管理系統(tǒng),通過通信報文的解析,具體說明節(jié)點在加入網(wǎng)絡、建立新鏈路密鑰及應用層通信等過程所涉及的安全機制。

2.1設備描述

智能能源網(wǎng)關是家庭能源管理系統(tǒng)的核心設備,是家庭網(wǎng)絡的管理中心。由于智能能源網(wǎng)關是家庭能源服務系統(tǒng)的對外接口,因此將智能能源網(wǎng)關定義為ZSE規(guī)范中能源服務接口設備,并擔任網(wǎng)絡中信任中心的角色。該設備的功能簇包括需求響應和負載控制、價格、密鑰建立。

具有可編程可通信能力的智能溫控器可根據(jù)遠程發(fā)送來的需量控制命令及溫度設定參數(shù)等信息進行風機盤管、地熱等中央空調設備的控制。智能溫控器符合ZSE規(guī)范中可編程通信溫控器設備定義,功能簇包括需求響應和負載控制、價格、報文、時間、密鑰建立。

2.2報文解析

2.2.1新節(jié)點加入網(wǎng)絡

新的ZSE網(wǎng)絡信道為11,PanId為0xBBBB。智能溫控器加入由智能網(wǎng)關組建的ZSE網(wǎng)絡。新節(jié)點加入網(wǎng)絡的過程如下:

(1) 加入網(wǎng)絡。新節(jié)點通過association方式初始加入網(wǎng)絡。

(2) 傳輸密鑰。傳輸密鑰報文用于傳輸當前網(wǎng)絡密鑰,由安裝代碼生成的預配置信任中心鏈路密鑰進行加密。此外,該報文負載中所包含的當前網(wǎng)絡密鑰由Key-Transport密鑰進行加密。

(3) 設備聲明。當新節(jié)點成功加入網(wǎng)絡,并得到信任中心認證后,則發(fā)送Device Announce廣播報文,在網(wǎng)絡中宣告加入。

2.2.2信任中心鏈路密鑰建立

當ZSE設備成功加入網(wǎng)絡并獲得當前網(wǎng)絡密鑰后,必須通過CBKE密鑰協(xié)議來獲得信任中心鏈路密鑰,該過程由Key Establishment簇實現(xiàn),采用網(wǎng)絡層加密方式。信任中心鏈路密鑰建立過程如下:

(1) 建立相互信任關系。智能溫控器向能源網(wǎng)關通過發(fā)送包含其身份標志及CBKE相關信息的請求報文,來建立相互信任關系。能源網(wǎng)關在收到報文后,如果該報文中的發(fā)布者域是已知CA,并且確認報文內包含的數(shù)字證書屬于智能溫控器,則發(fā)送成功響應報文。

(2) 建立臨時交互數(shù)據(jù)。智能溫控器向能源網(wǎng)關發(fā)送臨時數(shù)據(jù)[5],并要求能源網(wǎng)關反饋相應的臨時數(shù)據(jù)。能源網(wǎng)關在收到報文后,如果已與智能溫控器成功建立了相互信任關系,則生成臨時數(shù)據(jù)加載到響應報文中回應智能溫控器。

(3) 安全密鑰的確認。當智能溫控器成功接收到能源網(wǎng)關的臨時交互數(shù)據(jù)后,結合此前接收的能源網(wǎng)關數(shù)字證書,根據(jù)ECMQV(Elliptic Curve Menezes-Qu-Vanstone)算法[6],計算出共享密鑰數(shù)據(jù)。通過KDF(Key Derivation Function)算法[6],計算出MACkey和ZigBee共享密鑰。MACkey將作為HMAC(keyed Hash Message Authen-tication Code)算法[7]的輸入,計算得到SMAC(Secure Message Authentication Code),并將其作為安全密鑰確認請求報文的負載發(fā)送給響應者,而ZigBee共享密鑰則作為新的鏈路密鑰,用于此后的應用報文通信。

當能源網(wǎng)關接收到安全密鑰確認請求報文后,將通過KDF算法計算出智能溫控器的SMAC值,然后與接收到的安全密鑰確認請求報文中的SMAC值進行比較,如果兩者一致,則發(fā)送確認成功響應報文。

2.2.3節(jié)點端到端通信

當新的鏈路密鑰建立后,智能溫控器和智能能源網(wǎng)關就可利用該鏈路密鑰加密應用層報文,實現(xiàn)端到端的安全通信。

智能溫控器向智能能源網(wǎng)關發(fā)送請求報文,以獲取ZSE網(wǎng)絡的當前時間;智能能源網(wǎng)關在接收到該報文后發(fā)送響應報文,反饋當前系統(tǒng)時間給智能溫控器。在該通信過程中,信任中心鏈路密鑰用于應用層報文加密,而網(wǎng)絡密鑰用于網(wǎng)絡層報文加密,從而實現(xiàn)安全通信。

3結語

ZSE規(guī)范中的安全機制涉及到設備入網(wǎng)、鑒權、注冊等安全步驟以及對交互信息采取的端到端的保護、加密等安全措施,因此十分嚴密和復雜。

本文結合能源管理系統(tǒng)實際應用實例,分析了ZSE規(guī)范中安全策略的關鍵技術和應用要點,以構建符合能源物聯(lián)網(wǎng)發(fā)展特點的智能能源管理系統(tǒng)。

[1]ZigBee Alliance.ZigBee Document 053474r17,ZigBee specification[OB/OL].http:∥www.zigbee.org.

[2]ZigBee Alliance.ZigBee Document 075356r16ZB,ZigBee smart energyprofile specification[OB/OL].http:∥www.zigbee.org.

[3]FIPS Pub 197.Advanced Encryption Standard (AES) [OB/OL].2001-11-26.

[4]Public key cryptography for the financial services industry-key agreement and key transport using elliptic curve cryptography: ANSI X 9.63—2001[S].

[5]Standards for efficient cryptography:SEC 1(working draft) ver 1.7.Elliptic curve cryptography[OB/OL].2006-11-13.

[6]Public key cryptography for the financial services industry:the elliptic curve digital signature algorithm (ECDSA):ANSI X 9.62—2005[S].

[7]FIPS Pub 198.The keyed-hash message authenti-cation code(HMAC)[OB/OL].2012-03-06.

Research and Implementation of Security Mechanisms for Internet of Things for Residential Energy Based on ZSE Profile Standard

WEI Huan

(Shanghai Jiading District Vocational School, Shanghai 200018, China)

Abstract：Internet of Things( IOT) for residential energy is an important foundation to realize the seamless integration between power utilities system and intelligent home system.ZigBee smart energy(ZSE) profile standard is included in the NIST framework and roadmap for smart grid interoperability standards.ZSE adopts advanced design pattern and perfect security mechanisms.Through the overall analysis of ZSE security policy and research on the user-side energy management system application based on ZSE,this paper analyzed the key technologies of safe communications in ZSE network and offered a best practice in order to construct a good foundation for the smart energy system.

Key words:Internet of Things for residential energy; ZigBee smart energy profile standard; security mechanisms; intelligent temperature controller

中圖分類號：TM 727

文獻標志碼：B

文章編號：1674-8417(2016)05-0009-04

DOI：10.16618/j.cnki.1674-8417.2016.05.003

收稿日期：2016-03-31