Privacy preserving protocols for smart meters and electric vehicles

Tese de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2015Actualmente existe a tendência para se adicionar mais inteligência em vários pontos da rede elétrica, permitindo uma comunicação bidireccional entre a empresa fornecedora de energia eléctrica e as nossas casas. Ao longo dos próximos anos, os contadores de energia nas nossas casas serão gradualmente substituídos por um equipamento com mais capacidades, denominado medidor inteligente. Os medidores inteligentes podem colher informações sobre os gastos de energia em tempo real, e encaminhar os dados para o fornecedor. Além disso, podem receber comandos do fornecedor (ou outros intervenientes) e agir em conformidade, nomeadamente através da interacção com equipamentos locais (por exemplo, ar condicionado ou congelador) para ajustar o seu modo de operação, diminuindo temporariamente o consumo de energia. Os medidores inteligentes podem ainda apoiar a produção local de energia (com painéis solares ou geradores eólicos) e o seu armazenamento (através de um banco de baterias ou veículo eléctrico), sendo necessário haver coordenação entre a sua operação e as empresas fornecedoras de energia eléctrica. Estes medidores, quando coordenados de uma forma apropriada, podem permitir uma redução dos picos globais de consumo. Deste modo evitam investimentos na rede energética direccionados para lidar com estas condições extremas, que tendem a ocorrer durante o horário laboral. A evolução no uso de veículos eléctricos irá gerar também um grande consumo de energia. Caso todos os veículos se tornem eléctricos, a rede actual não tem capacidade para lidar com o enorme pico gerado. No entanto, estes veículos poderão também ter a capacidade de transferir para a rede parte da sua energia, o que significa que, poderão ser usados em caso de necessidade para colmatar flutuações no consumo de energia (juntamente com outras fontes alternativas de geração). Esta coordenação, quando eficiente, pode permitir grandes vantagens em situações limite, como por exemplo quando há um fornecimento reduzido de energia, em que os medidores podem desactivar total ou parcialmente os aparelhos domésticos, permitindo uma melhor distribuição de energia por todos, priorizando, se necessário, certos locais como por exemplo hospitais. Como esperado, este tipo de configuração é propenso a muitas formas de ataque, desde a espionagem de comunicações até à manipulação física dos medidores inteligentes. Por isso, é necessário desenvolver protocolos seguros que possam ser usados para proteger os dispositivos e aplicações que irão operar na rede eléctrica futura. Este projecto em particular, desenvolve uma solução que protege as comunicações entre o medidor inteligente e a empresa distribuidora de energia no que diz respeito aos ataques à privacidade. Nestes ataques, o adversário obtém informação sobre o que o utilizador está a fazer em sua casa, monitorizando em tempo real a informação que é transmitida pelo medidor inteligente. Nos últimos anos tem-se assistido igualmente a uma evolução rápida nas tecnologias de transferência de energia sem fios, existindo actualmente alguns protótipos em funcionamento, como o carregamento de baterias em autocarros eléctricos numa universidade da Coreia do Sul. Uma eventual utilização generalizada desta tecnologia obriga à definição de novas formas de pagamento, possibilitando que os veículos eléctricos se possam abastecer em movimento. Se existir um protocolo demasiado simples que faça esta tarefa, pode levar a que o condutor seja identificado quando e onde carregar as baterias do seu veículo, algo que não acontece com um tradicional abastecimento de combustível pago com notas ou moedas. Este projecto lida com duas vertentes relacionadas que tratam da aferição do consumo de energia. Uma é baseada nos contadores inteligentes das casas, e outra nos “contadores” em veículos (mais concretamente, a forma de pagamento da energia transferida sem fios para um veículo em movimento). Apresentam-se diferentes técnicas/algoritmos já propostos que podem contribuir para uma solução, mas que apesar disso não conseguem atingir todos os requisitos e funcionalidades pretendidas de forma isolada. Estabelece-se também uma relação com o trabalho já realizado que utiliza tais técnicas. É estudado um protocolo especifico, o Low Overhead PrivAcy (LOPA), que organiza vários medidores num grupo. Em cada grupo é gerada secretamente uma chave entre cada medidor do grupo, depois é criada a partir dessa chave uma outra chave, que é somada a cada medição que cada medidor envia para um agregador, sem que ninguém consiga ver o valor da medição individual (devido à chave). O agregador, ao somar todas as medições de todos os medidores de um grupo, obtém o valor total de consumo de todos os medidores. O agregador, no entanto, não consegue saber cada medição individual, devido ao modo como a chave é gerada, garantindo a privacidade de cada casa. Este protocolo é explicado em detalhe, implementado e avaliado. São propostos também três protocolos para o pagamento da transferência de energia, que permitem manter o anonimato de um veículo, evitando que se saiba quando ou onde este circula. Os protocolos também lidam com ineficiências de transmissão, assegurando uma rapidez, simplicidade e segurança adequadas para serem aplicados em carros em movimento a velocidades habituais de circulação. Um dos protocolos permite uma transferência de energia pós-paga, e os outros dois usam uma modalidade de pré-pagamento, um com contas temporárias e o outro com dinheiro digital. Estes protocolos baseiam-se num conjunto de mensagens que empregam técnicas como assinaturas digitais (para garantir a integridade e autenticação das comunicações), técnicas de cifra, dinheiro digital, ou entidades terceiras confiáveis para permitir a confidencialidade. Pretende-se que seja assegurada a segurança do pagamento, ao mesmo tempo que é permitido ao ponto de carregamento identificar o responsável pelo veículo, em caso de incumprimento. O dinheiro digital e o protocolo de perfis pseudo-anónimos foram implementados e avaliados em duas plataformas diferentes. Os resultados experimentais foram muito satisfatórios, dando indicações de que estes protocolos poderiam ser utilizados na prática.There is currently a trend to add more intelligence to various points of the electric grid, thus enabling a bidirectional communication path between the electrical utility company and our homes, by upgrading the existing components along the way. For example, the metering devices in our homes will be gradually replaced with a more capable equipment, called smart meter. Smart meters can collect information about energy spending in real-time, and forward this data to the utility. Moreover, they can receive information from the utility (or other operators) and act on it, for instance, by interacting with local equipments (e.g., air conditioner or refrigerator) to adjust their operation mode (e.g., make them decrease the energy use). Smart meters can also support local energy production (e.g., solar panels or windmills) and storage (e.g., batteries), by coordinating its operation with the utility companies. As expected, this sort of setting is prone to many forms of attack, ranging from eavesdropping on the communications to the physical tampering of the smart meters. Therefore, it is necessary to develop secure protocols that can be used to protect the devices and applications that will be operating in this future smart grid. In particular, in this project we study and evaluate a solution that protects the communications between the smart meter and the electrical company with respect to attacks on privacy. For instance, it addresses a form of attack where the adversary learns information about what a person is doing at home by monitoring the messages transmitted by the smart meter in real-time. In recent years there have been rapid developments in Wireless Power Transfer technology (WPT). There are currently some prototypes in operation, such as charging batteries in electric buses at a university in South Korea. In the event of a widespread use of this technology, it is required that new forms of accounting and payment of energy are established. This project proposes a protocol for the payment of energy transfer that ensures the anonymity of the vehicle, precluding attacks that attempt to determine where it circulates. The protocol also handles transmission inefficiencies, ensuring a fast, simple and adequate application in cars moving at normal speeds of movement