GOOSE y los valores muestreados (SV) de IEC 61850 viajan en capa 2, en multidifusión y con tiempos de milisegundos, así que no pueden usar TLS como MMS o IEC 104. IEC 62351-6 los protege con un código de autenticación de mensaje calculado con una clave compartida por el publicador y sus suscriptores: el suscriptor descarta lo que no viene del emisor autorizado o fue alterado. Las claves de grupo las distribuye un centro de distribución de claves con el protocolo GDOI, según IEC 62351-9.
Por qué GOOSE y SV son un caso aparte
Un mensaje GOOSE lleva disparos, bloqueos y enclavamientos entre relés; un flujo de valores muestreados lleva las corrientes y tensiones digitalizadas que usan las protecciones. Los dos se publican en multidifusión de capa 2, sin dirección IP, y deben llegar en milisegundos. Un GOOSE falso puede abrir un interruptor; un flujo de SV alterado puede hacer que una diferencial vea una falla que no existe o que no vea una real.
Por eso no sirven las herramientas de los protocolos sobre TCP/IP. TLS necesita una sesión entre dos extremos, y GOOSE y SV no tienen sesión: un publicador envía a un grupo de suscriptores. La serie IEC 62351 les dedica dos partes: la 6, que define la seguridad de los mensajes, y la 9, que gestiona las claves.
Qué hace IEC 62351-6
IEC 62351-6 trata la seguridad de IEC 61850: GOOSE, valores muestreados y archivos de configuración. Para los mensajes de capa 2, el objetivo principal es la autenticación y la integridad:
- El publicador calcula un código de autenticación de mensaje (MAC) con una clave simétrica que comparte con sus suscriptores, y lo agrega al mensaje.
- Cada suscriptor recalcula el código con la misma clave. Si no coincide, el mensaje fue alterado o no viene de un miembro del grupo, y lo descarta.
- La confidencialidad, es decir, que nadie pueda leer el contenido, no es el objetivo principal en estos mensajes. Lo que importa es que nadie pueda inyectar ni modificar.
Esa elección tiene una razón de ingeniería: un código de autenticación con clave simétrica es mucho más rápido de calcular que una firma con clave pública, y el tiempo es la restricción que manda en un disparo por GOOSE.
Qué hace IEC 62351-9: las claves de grupo
Si todos los miembros de un grupo comparten una clave, alguien tiene que generarla, entregarla solo a los autorizados y cambiarla periódicamente. Eso es lo que define IEC 62351-9:2023 para la comunicación en grupo: un centro de distribución de claves (KDC) entrega las claves con el protocolo GDOI, un protocolo de IETF extendido para IEC 61850 (RFC 8052).
- Relé publicador o suscriptor en servicio
- Fase 1. El relé y el KDC se autentican con certificados y abren un canal seguro
- Solicitud de la clave. El relé pide la clave del flujo GOOSE o SV que publica o al que se suscribe
- ¿El relé está autorizado para ese flujo? Sí: continúa; No: El KDC no entrega la clave.
- Entrega de la clave. La clave de grupo y su vigencia llegan por el canal seguro
- El relé autentica o verifica cada mensaje con esa clave
La norma prevé dos formas de entrega: el equipo pide la clave (GROUPKEY-PULL) o el KDC la envía a los miembros (GROUPKEY-PUSH), por ejemplo al renovarla. La edición de 2023, que reemplazó la de 2017, actualizó GDOI con los hallazgos de pruebas de interoperabilidad, agregó consideraciones de operación, incluyó el soporte de GDOI para la sincronización de tiempo PTP del perfil de potencia y añadió el registro de eventos de seguridad con su mapeo a IEC 62351-14.
La parte 9 también trata el ciclo de vida de los certificados con los que cada equipo se autentica ante el KDC: emisión, verificación y revocación.
Qué cambia en la ingeniería del sistema
La seguridad de GOOSE y SV no es un ajuste que se activa al final; toca la ingeniería IEC 61850 completa:
- Grupos de claves coherentes con el SCD. Cada flujo GOOSE o SV tiene sus suscriptores en el archivo SCD; los grupos de claves deben reflejar exactamente esas suscripciones. Un cambio de suscripciones sin actualizar los grupos hace que el suscriptor descarte mensajes legítimos.
- Infraestructura de clave pública. Alguien emite los certificados de los IED y del KDC, fija su vigencia y publica las revocaciones.
- Disponibilidad del KDC. Si no está disponible al renovar las claves, los flujos pueden quedar sin clave válida. Su redundancia y su ubicación en la red son decisiones de diseño.
- Hora confiable. La vigencia de claves y certificados depende de la sincronización de tiempo.
- Tiempo de procesamiento. Calcular y verificar el código agrega trabajo al IED. El fabricante debe declarar el desempeño con seguridad activa, y la prueba de tiempos de los disparos por GOOSE se repite con ella habilitada. No hay un valor de referencia único: depende del equipo.
- Variantes enrutables. Cuando GOOSE o SV salen de la subestación por IP, como en R-GOOSE entre subestaciones, atraviesan redes compartidas y la autenticación se vuelve todavía más necesaria.
Cuando los equipos no lo soportan
Muchos IED en servicio no implementan IEC 62351-6. Para ellos, la protección viene de la red y del procedimiento, como pide IEC 62443:
- El bus de estación y el de proceso en zonas propias, sin conexión directa a redes externas.
- VLAN y filtrado de multidifusión en los switches, de modo que cada GOOSE llegue solo a los puertos que lo necesitan.
- Puertos no usados deshabilitados y control de los portátiles y equipos de prueba que se conectan, que la guía del CNO trata como ciberactivos transitorios.
- Detección de intrusos que conozca la línea base: qué publicadores existen, con qué identificadores y a qué ritmo. Un GOOSE nuevo o con un contador de estado que salta es una alerta. Vea detección de intrusos en redes de subestación.
- Supervisión en el suscriptor: los relés ya detectan pérdida de mensajes y calidad inválida, y esa supervisión debe llevar a un estado seguro.
Qué se prueba
- El suscriptor descarta un GOOSE alterado o sin el código correcto y genera un evento.
- Las claves se renuevan sin perder mensajes legítimos.
- El comportamiento ante la caída del KDC es el previsto en el diseño.
- Los tiempos de disparo por GOOSE con la seguridad habilitada siguen dentro de lo especificado; vea pruebas de protecciones con GOOSE.
- Los eventos de seguridad llegan al servidor central con la hora correcta.
Configuramos su ingeniería IEC 61850
En Tiza Group hacemos la ingeniería IEC 61850 de subestaciones: suscripciones GOOSE y SV, SCD, segmentación de la red y configuración de las funciones de seguridad que soporten sus IED, dentro de nuestras especialidades de IEC 61850 y de ciberseguridad de subestaciones y plantas. También configuramos los relés a distancia con la configuración remota de relés. Escríbanos con los equipos y la arquitectura de su proyecto.
Guías relacionadas
- IEC 61850 GOOSE
- IEC 61850 Sampled Values
- IEC 62351: ciberseguridad para IEC 61850, 104 y DNP3
- GOOSE entre subestaciones: R-GOOSE
- GOOSE que no llega o llega tarde
- Ancho de banda de Sampled Values y GOOSE
- Ciberseguridad de subestaciones y plantas: normas y mapa
- Monitoreo de la red y de los IED: IEC 62351-7
Referencias
- IEC 62351-6:2020, Security for IEC 61850.
- IEC 62351-9:2023, ed. 2.0, Cyber security key management for power system equipment.
- IETF RFC 8052, Group Domain of Interpretation (GDOI) Protocol Support for IEC 62351 Security Services.
- IEC 62351-14, registro de eventos de seguridad (en preparación).
- IEC 61850-8-1 e IEC 61850-9-2, mapeo de GOOSE y valores muestreados.
- IEC 62443-3-3:2013, requisitos de seguridad del sistema.
Preguntas frecuentes
¿Por qué GOOSE no se cifra como el tráfico MMS?
Porque el riesgo principal de un GOOSE es que alguien inyecte o altere un mensaje que abre un interruptor o bloquea una protección, no que alguien lo lea. Por eso el objetivo es autenticar el origen y la integridad sin agregar retardos, y TLS no aplica a mensajes de capa 2 en multidifusión.
¿Qué pasa con los GOOSE si el servidor de claves se cae?
Los equipos siguen usando la clave vigente mientras no venza. El riesgo aparece si el servidor no está disponible cuando toca renovarla: por eso la disponibilidad y la redundancia del centro de distribución de claves son parte del diseño, y su comportamiento ante fallas debe probarse en la puesta en servicio.
¿Si mis relés no soportan IEC 62351-6, cómo protejo los GOOSE?
Con medidas de red: el bus de estación y el de proceso en zonas propias, sin conexión directa a redes externas, VLAN y filtrado de multidifusión en los switches, puertos no usados deshabilitados, control de los portátiles que se conectan y un sistema de detección de intrusos que conozca la línea base de los GOOSE.