IEC 60870-5-104 y DNP3 no traen seguridad propia suficiente para viajar por redes compartidas. Se aseguran en dos capas: TLS 1.2 o 1.3 según IEC 62351-3, que cifra y autentica el enlace TCP, y la seguridad de capa de aplicación de IEC 62351-5:2023, que autentica y cifra los datos del protocolo de extremo a extremo. En DNP3 la versión nueva de su autenticación segura, DNP3-SL, es una implementación de IEC 62351-5. Las dos capas dependen de certificados vigentes y de una hora confiable.
El problema: protocolos sin seguridad
IEC 60870-5-104 y DNP3 son los protocolos más usados entre la subestación y el centro de control. Llevan estados, medidas y, sobre todo, mandos: abrir y cerrar interruptores, cambiar consignas. La norma de IEC 104 declara en su alcance que no incluye mecanismos de seguridad. Si el enlace pasa por una red compartida, alguien con acceso a ella podría leer los datos, repetir un mando capturado o inyectar uno nuevo.
La serie IEC 62351 los protege sin cambiar su modelo de datos, con dos capas que se complementan.
Capa de transporte: TLS según IEC 62351-3
IEC 62351-3:2023 define el perfil de TLS 1.2 y TLS 1.3 para los protocolos que usan TCP/IP:
- Suites criptográficas admitidas, para que dos fabricantes se entiendan.
- Autenticación mutua con certificados: el gateway y el centro de control se identifican uno ante el otro.
- Reanudación y renegociación de sesión, necesarias en enlaces que permanecen abiertos meses.
- Revocación de certificados con listas (CRL) u OCSP.
Cada norma de protocolo que remite a la parte 3 fija su puerto seguro. IANA registra el TCP 19998 para IEC 104 seguro y el 19999 para DNP3 seguro.
TLS protege la conexión TCP de punta a punta. Su límite es que termina donde termina la conexión: si en el camino hay un equipo que reenvía el protocolo, como un concentrador o un gateway intermedio, la protección se corta allí.
Capa de aplicación: IEC 62351-5
IEC 62351-5:2023 define la seguridad para IEC 60870-5 y sus derivados, incluido DNP3. La edición de 2023 reemplazó la especificación técnica de 2013 con un cambio de fondo: quitó el procedimiento de desafío y respuesta y el «modo agresivo», y los sustituyó por un intercambio de datos seguros con cifrado autenticado de los datos de aplicación y registro de eventos de seguridad.
Su aplicación concreta a los perfiles 101 y 104 está en IEC TS 60870-5-7:2025. En DNP3, la autenticación segura tiene historia propia: la versión 5 (SAv5) de IEEE 1815-2012 usa desafío y respuesta con un código de autenticación de mensaje y trata todos los mandos como operaciones críticas que siempre se autentican. Su sucesora, la capa de seguridad DNP3-SL (antes SAv6), autentica todos los mensajes, admite cifrado, usa certificados X.509, puede convivir con SAv5 y es una implementación de IEC 62351-5.
| Capa | Norma | Qué protege | Dónde termina |
|---|---|---|---|
| Transporte | IEC 62351-3:2023 | La conexión TCP: confidencialidad, integridad y autenticación de los extremos | En el equipo que termina la sesión TLS |
| Aplicación | IEC 62351-5:2023 (IEC TS 60870-5-7 en 101/104; DNP3-SL en DNP3) | Los datos y mandos del protocolo, con cifrado autenticado | En el extremo del protocolo, aunque haya equipos intermedios |
Certificados y hora: lo que sostiene todo
Las dos capas dependen de una infraestructura de clave pública:
- Quién emite los certificados del gateway, de los IED y del centro de control, y con qué vigencia.
- Cómo se publican las revocaciones y cómo las consulta cada equipo.
- Cómo se renuevan los certificados antes de vencer, sin cortar el enlace.
- Dónde se guardan las claves privadas en cada equipo.
La validez de un certificado depende de la hora. Un gateway con el reloj atrasado puede rechazar un certificado que todavía no considera vigente. Por eso la sincronización de tiempo es parte del diseño de seguridad, no solo del registro de eventos.
IEC 62351-9:2023 trata el ciclo de vida de los certificados en equipos del sistema de potencia.
Cómo se implementa en un proyecto
- Enlace IEC 104 o DNP3 existente
- Inventario de extremos. Gateway, concentradores intermedios y servidor del centro de control
- Capacidades. Qué soporta cada extremo: TLS, IEC 62351-5, DNP3-SL
- Infraestructura de clave pública. Emisión, vigencia, revocación y renovación
- Configuración y firewall. Perfil TLS, puertos seguros y reglas solo para los maestros autorizados
- Pruebas. Establecimiento, rechazo de certificados inválidos y mandos
- Enlace seguro en operación con registro
Mientras no todos los extremos soporten la seguridad del protocolo, el enlace sigue protegido por la red: el gateway nunca expuesto a internet, filtrado por dirección de los maestros en un router y firewall industrial, VPN en los tramos públicos y registro de conexiones. En la mayoría de las subestaciones esa etapa de transición dura años, y el diseño debe cubrirla.
Qué se prueba
- Establecimiento de la sesión TLS con certificados válidos de ambos extremos.
- Rechazo de certificados vencidos, revocados o de un emisor no confiable, con su evento de seguridad.
- Mandos con la seguridad de aplicación activa: el mando autenticado se ejecuta y uno alterado o repetido se rechaza.
- Renovación de certificados y claves sin perder datos.
- Tiempos de respuesta del enlace con la seguridad habilitada.
- Registros de seguridad en el servidor central, con la hora correcta.
Las especificaciones de conformidad de la serie IEC TS 62351-100 dan casos de prueba: la -100-1 para IEC 62351-5 e IEC TS 60870-5-7 y la -100-3 para TLS según IEC 62351-3.
Problemas típicos
- Suites o versiones de TLS distintas entre el gateway y el centro de control.
- Certificado vencido que nadie tenía en el calendario.
- Reloj desajustado después de una falla del GPS o de la red de tiempo; vea pérdida de sincronización de tiempo.
- Concentrador intermedio que termina la sesión y deja sin protección el tramo siguiente.
- Puerto inseguro que quedó abierto en el firewall junto al seguro.
Cuando el enlace se cae por causas que no son de seguridad, la guía de enlace DNP3 o IEC 104 que se cae recorre el diagnóstico. En plantas solares, ese mismo enlace lleva las consignas del operador al controlador de planta; sus riesgos propios están en ciberseguridad del PPC y del SCADA de planta.
Integramos su enlace al centro de control
En Tiza Group configuramos gateways y enlaces IEC 104 y DNP3 hacia el centro de control, incluidas las funciones de seguridad que soporten sus equipos, el mapeo de señales y las pruebas punto a punto, dentro de nuestras especialidades de integración SCADA y gateways y de ciberseguridad de subestaciones y plantas. Cuando el trabajo es sobre los relés, también los configuramos a distancia con la configuración remota de relés. Escríbanos.
Guías relacionadas
- IEC 60870-5-104: qué es, cómo funciona y cómo se prueba
- DNP3 (IEEE 1815): qué es, cómo funciona y cómo se prueba
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- Mapeo IEC 61850 a IEC 104 y DNP3 en el gateway
- Gateway redundante y doble enlace al centro de control
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Ciberseguridad del PPC y del SCADA de una planta solar
- Control de acceso por roles en IED: IEC 62351-8
Referencias
- IEC 62351-3:2023, ed. 2, perfiles que incluyen TCP/IP.
- IEC 62351-5:2023, seguridad para IEC 60870-5 y derivados.
- IEC TS 60870-5-7:2025, extensiones de seguridad para IEC 60870-5-101 y -104.
- IEC 62351-9:2023, gestión de claves y certificados.
- IEC TS 62351-100-1 e IEC TS 62351-100-3, casos de prueba de conformidad.
- IEEE 1815-2012, DNP3, cláusula 7, autenticación segura (revisión P1815 en curso).
- DNP Users Group, capa de seguridad DNP3-SL.
- IANA, registro de puertos 19998/tcp (iec-104-sec) y 19999 (dnp-sec).
Preguntas frecuentes
¿Basta con una VPN para asegurar el IEC 104 hacia el centro de control?
Una VPN protege el tramo por donde viaja el túnel, pero termina en un equipo intermedio y no autentica cada mando del protocolo. TLS según IEC 62351-3 protege la conexión entre los dos extremos del protocolo, y la seguridad de aplicación de IEC 62351-5 se mantiene incluso si hay equipos intermedios. Se usan juntas según el riesgo del enlace.
¿Qué puerto usa el IEC 104 seguro?
IANA tiene registrado el puerto TCP 19998 para IEC 60870-5-104 seguro y el 19999 para DNP3 seguro. Cada norma de protocolo que remite a IEC 62351-3 fija su puerto seguro, y el firewall debe permitir solo el que se use.
¿Por qué se cayó el enlace seguro si nadie cambió la configuración?
Lo más frecuente es un certificado vencido o revocado, o un reloj desajustado en uno de los extremos que hace que un certificado vigente parezca inválido. Revise las fechas de vigencia, la lista de revocación y la sincronización de tiempo del gateway y del centro de control.