IEC 62351-4 asegura los perfiles que usan MMS (Manufacturing Message Specification): el mapeo de IEC 61850-8-1 entre IED y SCADA, y el protocolo TASE.2 (ICCP, IEC 60870-6) entre centros de control. Define el perfil A, que usa certificados X.509 para autenticar aplicaciones, y el perfil T, que coloca TLS entre TCP y el servicio de transporte ISO con un puerto TCP distinto. También fija las suites de cifrado que deben o deberían soportarse.
Qué es MMS y por qué necesita protección
MMS (Manufacturing Message Specification, especificación de mensajes de fabricación) es el protocolo de la capa de aplicación con que se leen datos, se envían mandos y se reciben reportes entre equipos de una red. En una subestación lo usa IEC 61850 en el mapeo definido por la parte 8-1, que corre entre IEDs, pasarelas y SCADA. Entre centros de control lo usa el protocolo TASE.2, también llamado ICCP (Inter-Control Center Communications Protocol), definido en la serie IEC 60870-6. La protección de los datos en tiempo real entre centros de control que pide CIP-012 está en NERC CIP-012: comunicaciones entre centros de control.
Ambos viajan por redes de datos y comparten un riesgo: sin protección, un tercero podría leer los datos, alterarlos o hacerse pasar por uno de los extremos y enviar un mando. IEC 62351-4 define cómo evitarlo.
Qué cubre la parte 4
IEC 62351-4 trata la seguridad de los perfiles que incluyen MMS y sus derivados. Los dos ejemplos que cita son:
- IEC 61850-8-1, el mapeo de los servicios de IEC 61850 a MMS.
- IEC 60870-6 (TASE.2 / ICCP), el intercambio de datos entre centros de control.
Dentro de la serie, la parte 6 asegura IEC 61850 en conjunto. Para los protocolos de IEC 61850 que usan TCP/IP y MMS, la parte 6 no define nada nuevo: aplica la parte 4. Por eso la parte 4 es el punto de partida tanto para la comunicación dentro de la subestación como para la que cruza hacia otro centro.
La parte 4 también define, dentro de TLS, las suites de cifrado que los equipos deben soportar y las que deberían soportar. Una suite de cifrado es la combinación de algoritmos que se acuerda al abrir la comunicación. TLS es el mecanismo de seguridad de la capa de transporte que usa la parte 3 de la serie.
Los dos perfiles: A y T
La parte 4 da recomendaciones para los perfiles de aplicación (A-Profile) y de transporte (T-Profile) basados en TCP/IP.
Perfil A: autenticar a la aplicación
El perfil A usa certificados X.509 para autenticar a las aplicaciones. Antes de intercambiar datos, cada aplicación demuestra su identidad con un certificado. Así, el servidor MMS de un IED sabe que quien le pide un mando es una aplicación autorizada, y no un programa cualquiera que alcanzó el puerto.
Como la autenticación vive en la aplicación, sigue siendo válida aunque haya equipos intermedios en el camino.
Perfil T: proteger el transporte
El perfil T usa TLS entre TCP y el servicio de transporte ISO. MMS no corre directamente sobre TCP: usa una pila de capas ISO adaptada a TCP, y el perfil T coloca TLS en esa unión. Todo lo que está por encima, MMS incluido, viaja dentro del canal protegido.
Para asegurar las conexiones, el perfil T utiliza un puerto TCP diferente del que se usa sin protección. Así un equipo sabe, por el puerto, si la conexión debe negociar TLS.
En una subestación: IED, pasarela y SCADA
En una subestación con IEC 61850, el servidor MMS está en el IED y el cliente suele estar en la pasarela, el SCADA local o el sistema de ingeniería. Con la parte 4 aplicada:
- El cliente y el servidor se autentican con certificados.
- Las conexiones que usan el perfil T quedan cifradas y protegidas contra alteración.
- El firewall puede distinguir el tráfico protegido del que no lo está, por el puerto.
Qué hace cada servicio de MMS se explica en MMS en IEC 61850, y cómo se monta la pila de comunicación, en la pila de IEC 61850-8-1.
Entre centros de control: TASE.2
TASE.2 conecta, por ejemplo, el centro de control de una empresa con el del operador del sistema. Cruza redes amplias, a veces compartidas, donde un intermediario tendría más oportunidades que dentro de una subestación. La parte 4 es el mecanismo que la serie IEC 62351 define para asegurar ese enlace: autenticación de las aplicaciones de cada centro con certificados y transporte protegido con TLS. Cómo envía ICCP sus datos con transfer sets y reporte por excepción se detalla en ICCP: eventos por excepción y transfer sets.
Qué intercambian los centros, cómo se organiza el enlace y qué hace cada bloque del protocolo está en ICCP/TASE.2. El orden de pasos para generar la cadena de certificados de un enlace con TLS está en Certificados X.509 para ICCP e IEC 104.
- ¿El protocolo usa MMS?
- Sí: IEC 62351-4: perfil A para autenticar la aplicación y perfil T para proteger el transporte
- No: ¿Es GOOSE o valores muestreados?
- Sí: IEC 62351-6: campo de seguridad en cada unidad de datos del protocolo
- No: ¿Es de la familia IEC 60870-5 o DNP3?
- Sí: IEC 62351-5: autenticación por mensaje
- No: Revise la parte que corresponda en la serie IEC 62351
Qué revisar al activar la seguridad de MMS
- Certificados: cada cliente y servidor necesita el suyo, emitido por una autoridad que el otro extremo acepte.
- Puertos: el perfil T usa un puerto TCP distinto. Revise que esté abierto en los cortafuegos entre los extremos y que el equipo escuche en él.
- Suites de cifrado: los dos extremos deben compartir al menos una. Si no coinciden, la conexión no se establece.
- Hora: la validez del certificado depende del reloj de cada equipo.
- Compatibilidad: no todos los IED y pasarelas implementan la parte 4. Confirme con el fabricante si el equipo la soporta y con qué perfil.
¿Necesita asegurar la comunicación MMS o TASE.2?
Nuestro equipo configura y verifica los enlaces seguros de IEDs, pasarelas y sistemas SCADA, y revisa la ciberseguridad de subestaciones y plantas. Conozca nuestro servicio de ciberseguridad de subestaciones y plantas y cuéntenos su caso por contacto. También configuramos pasarelas y relés a distancia con la configuración remota de relés.
Guías relacionadas
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- ICCP / TASE.2 (IEC 60870-6): enlace entre centros de control
- IEC 61850 MMS: reportes, mandos SBO y archivos en la subestación
- TLS en telecontrol: registro, sesión y handshake
- Certificado X.509 y CSR: qué contienen y para qué
- NERC CIP-012: comunicaciones entre centros de control
- Certificados X.509 para ICCP e IEC 104: cómo se generan
- ICCP: eventos por excepción y transfer sets
Referencias
- IEC 62351-4, Power systems management and associated information exchange – Data and communications security – Part 4: Profiles including MMS and derivatives.
- IEC 61850-8-1, mapeo de servicios de comunicación específicos a MMS.
- IEC 60870-6, protocolos de telecontrol compatibles con ISO y UIT-T (TASE.2).
- IEC 62351-6, seguridad para IEC 61850.
Preguntas frecuentes
¿Qué protocolos asegura IEC 62351-4?
Los perfiles basados en MMS. Los dos que cita la norma son IEC 61850-8-1, el mapeo de IEC 61850 a MMS que usan IEDs, pasarelas y SCADA dentro de la subestación, e IEC 60870-6 TASE.2 (ICCP), que intercambia datos entre centros de control.
¿Qué diferencia hay entre el perfil A y el perfil T?
El perfil A trabaja en la capa de aplicación: usa certificados X.509 para autenticar a las aplicaciones que se comunican. El perfil T trabaja en el transporte: coloca TLS entre TCP y el servicio de transporte ISO, y para ello usa un puerto TCP diferente, de modo que las conexiones protegidas se distinguen de las que no lo son.
¿Qué parte de la serie asegura GOOSE y los valores muestreados?
No la parte 4. GOOSE y los valores muestreados se aseguran con la parte 6, que agrega un campo de seguridad a cada unidad de datos del protocolo. Para los protocolos de IEC 61850 que usan TCP/IP y MMS, la parte 6 remite a la parte 4.