Política de certificación de la PKI de contadores inteligentes

BSI TR-03109 de la Oficina Federal Alemana de Seguridad de la Información

Con la progresiva adopción de contadores inteligentes, una gran cantidad de datos de consumo se almacenarán y transmitirán en línea. Es crucial garantizar que ninguna persona no autorizada pueda acceder a estos datos o, peor aún, manipular redes eléctricas enteras. En este contexto, la Oficina Federal Alemana de Seguridad de la Información (BSI) publicó la directriz técnica BSI TR-03109 y la correspondiente política de certificación de la PKI de contadores inteligentes (sólo en alemán). En ellas se especifican los requisitos que deben cumplir los componentes informáticos de los entornos de medición inteligente en materia de funcionalidad, interoperabilidad y seguridad.

Las partes 3 y 4 de esta directriz técnica definen las "especificaciones criptográficas para la infraestructura de los sistemas de medición inteligente" y las especificaciones relacionadas con la "PKI de medición inteligente". Una PKI garantiza la integridad, confidencialidad y autenticidad de los datos que circulan por la pasarela de medición inteligente (SMGW), la unidad central de comunicación de la arquitectura de red inteligente.

Los HSM de Utimaco son especialmente adecuados en este contexto. El CryptoServer CSe de Utimaco ha sido evaluado con éxito y cumple los requisitos de la Política de Certificación.

Requisitos para los Módulos de Seguridad Hardware utilizados en entornos de medición inteligente

BSI TR-03109 y la Política de Certificación de la PKI de contadores inteligentes requieren que se utilicen Módulos de Seguridad de Hardware (HSM) especializados para generar, almacenar y utilizar claves criptográficas de forma segura. El capítulo 6.2 de la Política de Certificación establece que los HSM para contadores inteligentes deben estar certificados de acuerdo con los perfiles de protección de Common Criteria a los que se hace referencia. La seguridad del HSM puede ser evaluada alternativamente por un laboratorio de evaluación acreditado, demostrando

• la alta calidad de un verdadero generador de números aleatorios, así como
• seguridad física mediante protección contra manipulaciones y
• resistencia a los canales laterales.

Una actualización anual de BSI TR-03116, Parte 3 (sólo en alemán) sobre requisitos criptográficos para proyectos de medición inteligente del Gobierno Federal Alemán complementa la directriz técnica BSI TR-03109. En ella se definen los procedimientos criptográficos obligatorios y las longitudes de clave a utilizar....

Evaluación satisfactoria de los HSM de Utimaco

Utimaco CryptoServer CSe ha sido evaluado y cumple los requisitos de la Política de Certificación:

• Generador seguro de números aleatorios DRG.4 según AIS31
• Protección contra manipulación contra potencial de ataque "alto" (excede el nivel requerido "moderado")
• Resistencia de canal lateral contra potencial de ataque "alta" (excede el nivel requerido "moderado") para algoritmos AES-256, intercambio de claves Diffie-Hellman, generación y verificación de firmas ECDSA e intercambio de claves ECDH.

Certificado de evaluación de Utimaco CryptoServer CSe (PDF)

Esta evaluación ha sido realizada por una instalación de evaluación Common Criteria (CC) basada en la directriz técnica alemana BSI TR-03109 y en la política de certificación. Ofrece a las empresas de servicios públicos y a sus clientes la certeza de que los componentes y dispositivos de TI desplegados, como los HSM de Utimaco, cumplen los requisitos de seguridad exigidos.

El objetivo de la Oficina Federal Alemana de Seguridad de la Información (BSI) es establecer normas de seguridad informática adecuadas mediante la publicación de directrices técnicas, entre otras cosas. Básicamente se dirigen a todas las empresas que desarrollan, instalan o protegen sistemas informáticos. Proporcionan "criterios y prácticas para las evaluaciones de conformidad que garantizan la interoperabilidad de los componentes de seguridad informática, así como la aplicación de los requisitos de seguridad informática definidos".

Las directrices técnicas, que podrían considerarse simples recomendaciones o buenas prácticas, hacen referencia o complementan normas existentes como los perfiles de protección de la CC. Sin embargo, una vez que las leyes o reglamentos hacen referencia a ellas, pueden convertirse en obligatorias. Lo mismo ocurre con las licitaciones públicas, que exigen que el licitador se ajuste a dichas directrices técnicas.

Los fabricantes y distribuidores pueden solicitar a BSI que confirme y certifique la conformidad de sus productos o sistemas de TI con directrices técnicas específicas.