Sieci smart grid są stworzone z elektronicznych liczników, które informują dostawców o zużyciu energii przez każdego użytkownika. Umożliwia to zdalną kontrolę zużycia, monitorowanie oraz lepsze planowanie, dzięki czemu dostawcy energii zyskają możliwość nie tylko rozliczania online, bez konieczności wystawiania prognoz, ale także lepszego planowania na podstawie dokładnych informacji, pochodzących wprost z sieci. Liczniki takie jednak komunikują się w bardzo dużej sieci, wymieniając istotne informacje, a samo wbudowane oprogramowanie jest trudne w aktualizacji. Sieć trudno zabezpieczyć, a jeszcze trudniej zapewnić poufność przesyłanych danych.

Problem 1Duża sieć

Sieć liczników w gospodarstwach domowych to instalacja o wielkiej skali, a zatem sieć będzie zawierać wiele węzłów, co stanowi wyzwanie dla operatora. Niewiele firm ma doświadczenie w eksploatacji sieci złożonej z setek tysięcy urządzeń, a na pewno nie mają go dostawcy energii elektrycznej. Problemy mogą dotyczyć skalowalności protokołów sieciowych, infrastruktury, narzędzi do zarządzania wszystkimi aktywnymi urządzeniami, a także zarządzania podatnościami w sieci. Przy dużej skali wdrożenia nawet niewielki błąd w oprogramowaniu urasta do rangi problemu, gdyż może zagrozić ciągłości działania. Nie zawsze badania w laboratorium wykryją problem, ponieważ trudno zasymulować pracę sieci choćby w zbliżonej skali.

Problem 2Aktualizacje

Każde urządzenie dołączone do sieci musi mieć aktualne oprogramowanie. Bez trudu można zabezpieczyć i aktualizować zwykły serwer, gdyż dostawcy oprogramowania i działy IT znają istotę problemu i zajmują się tym od lat. Nie można tego powiedzieć o rozległej sieci liczników, do których fizyczny dostęp jest ograniczony. Aktualizacje przenoszone przez sieć wymagają przesłania przynajmniej fragmentów firmware’u, a zatem w przypadku wykrycia podatności spowodują zatory komunikacyjne. Nie można zakładać, że oprogramowanie, z którym licznik opuszcza fabrykę, będzie jego docelowym, bo w niemal każdym programie znajdują się błędy i znalezienie krytycznej podatności staje się tylko kwestią czasu. Problemy już dziś obserwuje się w sieciach automatyki przemysłowej SCADA.

Problem 3Łatwość ataku

Prawdopodobieństwo ataku jest wprost proporcjonalne do pieniędzy, jakie mogą w ten sposób zarobić przestępcy. Historia kradzieży energii w Polsce jest długa i bogata, znajdowano podatności instalacji elektrycznych (połączenia z obcym zerem przy złym montażu) i samych urządzeń (cofanie liczników, hamowanie tarczy silnym magnesem), a licznik elektroniczny też nie zapewni wymaganego bezpieczeństwa.

Podczas ubiegłorocznej konferencji Black Hat w Las Vegas zaprezentowano przejęcie kontroli nad siecią radiową liczników stosowanych w USA oraz koncepcję ataku odmowy obsługi, polegającego na wyłączeniu dostaw energii na dużym obszarze. Możliwe jest napisanie wirusa, który sam się będzie przenosił między licznikami. Celem ataków może być chęć zmiany odczytów licznika - opisy działań można już znaleźć na rosyjskojęzycznych forach, przy czym atakowane są nie liczniki serii Merkurij, ale serwery rejestrujące zużycie energii w licznikach Centron połączone z nimi za pomocą łączy Bluetooth.

Problem 4Skala i szybkość ataku

Dużej sieci zagraża wielkoskalowy atak odmowy obsługi, którego celem byłoby sparaliżowanie całego miasta przez odłączenie zasilania w wielu licznikach jednocześnie. Dotychczas taki atak wymagałby sabotażu głównych punktów zasilania (GPZ) za pomocą działań na miejscu. Tymczasem sieć można zaatakować z jednego miejsca i objąć atakiem liczniki z całego dużego miasta, a atak będzie propagowany bardzo szybko, szybciej niż wszystkie zagrożenia, jakie dotąd znał sektor energetyczny. Jest to zatem ponętny cel dla terrorystów, ze względu na uzależnienie od energii elektrycznej w dzisiejszym świecie i szeroki obszar podatny na ataki.

Problem 5Systemy są już zarażone

Przed wdrożeniem sieci smart grid sektor utilities musi poradzić sobie z zagrożeniem we własnej sieci lokalnej. Brad Bauch z PricewaterhouseCoopers LLP mówi: "Gdy zajmujemy się rozpoznaniem bezpieczeństwa IT w firmach z sektora publicznego, zazwyczaj znajdujemy od 3 do 5% systemów z już przełamanymi zabezpieczeniami. Niejednokrotnie są to systemy przejęte przez kogoś z zewnątrz".

Firmy będą musiały wprowadzić restrykcyjną politykę bezpieczeństwa i powołać dział, nie mając doświadczenia w tym zakresie ani świadomości kosztów ochrony sieci przy tej skali wdrożenia.

Problem 6Prywatność użytkowników

Miesięczne rozliczenie zużycia energii w trybie offline sprawia, że nie jest możliwe ustalenie nawyków każdego z odbiorcy na bieżąco w krótkim czasie. Przejście na rozliczenia online sprawi, że dostawca będzie dysponował szczegółowymi informacjami o bieżącym zużyciu przez każdego z odbiorców. Chris Poulin, CSO w firmie Q1 Labs, uważa, że dzięki licznikom online można odnotować pracę lodówki w cyklu rozmrażania, użycie ekspresu do kawy, a nawet określić korelację zużycia energii przez telewizor z nadawanym właśnie programem TV. Zagrożenie jest poważne, gdyż informacje o zużyciu energii są przesyłane przez sieć o dużej skali (problem pierwszy) z urządzeń, które mogą być podatne na ataki (problem drugi) przy niedostatecznej ochronie samej sieci (problem trzeci) i stopniu jej spenetrowania (problem piąty).