EP4356565A1 - Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts - Google Patents

Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts

Info

Publication number
EP4356565A1
EP4356565A1 EP22734894.3A EP22734894A EP4356565A1 EP 4356565 A1 EP4356565 A1 EP 4356565A1 EP 22734894 A EP22734894 A EP 22734894A EP 4356565 A1 EP4356565 A1 EP 4356565A1
Authority
EP
European Patent Office
Prior art keywords
automation
proof
authentication device
authentication
dvc
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP22734894.3A
Other languages
English (en)
French (fr)
Inventor
Sebastian Bode
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Siemens Corp
Original Assignee
Siemens AG
Siemens Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG, Siemens Corp filed Critical Siemens AG
Publication of EP4356565A1 publication Critical patent/EP4356565A1/de
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal

Definitions

  • the invention relates to a method and an automation system for integrating an automation device into the automation system.
  • Automation devices that are new, repaired, reconfigured, or have their software refreshed usually have to be configured before they can be used in the automation system or in interaction with other automation devices.
  • An adaptation of the automation device for example by configuring the configuration data stored on the automation device, for Integration into the automation system is also referred to as onboarding in the professional world.
  • parameterization of the automation device prior to its actual use is known for adapting an automation device for operation in a specific automation system.
  • This parameterization can include general configuration data, for example a network address permanently assigned to the automation device within the automation system, or application-specific configuration data, for example switching times of the automation device.
  • pre-shared keys or PSK or pre-shared secrets which are stored on the automation device, are used as proof of authorization.
  • Identification features of the automation device e.g. a serial number, are often used as proof of authorization or also as part of a proof of authorization for integrating the automation device into the automation system.
  • Stronger asymmetric cryptographic proofs of authorization are also known, in which a cryptographic custody module or also Trusted Platform Module, TPM for short, i.e. a hardware module for calculation and/or custody cryptographic phical data is used.
  • TPM Trusted Platform Module
  • a cryptographic key or a pair of cryptographic keys can already be stored in such a storage module when the automation device is delivered, with private cryptographic keys being stored within the automation device and not leaving it.
  • the object of the present invention is to provide means for integrating an automation device into an automation system, with which pre-installed proofs of authorization are required while maintaining the same level of security.
  • the object is achieved by a computer-implemented method having the features of patent claim 1.
  • the object is also achieved by an automation system with the features of an independent patent claim.
  • the object is also achieved by an authentication device with the entitlement with the features of a subordinate patent.
  • the object is also achieved by a computer program product for processing the method according to the invention.
  • the computer program is processed in a processor or controller, which executes the method with the processing.
  • an interface is formed between the automation device and the authentication device.
  • the interface can be designed as a logical communication channel or »session «. be formed.
  • this interface is a direct interface, so that for security reasons a direct connection between the automation device and the authentication device can be made necessary.
  • a proof of access authorization assigned to the automation device is generated.
  • the access authorization proof is generated, for example, in cooperation between the automation device and the authentication device connected to the automation device via the interface.
  • the access authorization proof can also be generated largely solely by the automation device, with data transmitted or exchanged, for example, from the authentication device via the interface being used in the generation.
  • the access authorization verification can also be generated largely solely by the authentication device, with data transmitted or exchanged from the automation device via the interface, for example, being used in the generation by the authentication device.
  • the proof of access authorization is received and authenticated on an automation server of the automation system and an access authorization is assigned to the automation device.
  • the proof of authorization received from the automation server can either be sent by the automation device or by the authentication device, see the exemplary embodiments explained further below.
  • the proof of authorization received by the automation server can be sent indirectly by the automation device or by the authentication device, ie passed on via one or more instances before it is received by the automation server.
  • the access authorization is not all-encompassing, but only refers to the reception of the proof of identity in the following procedural step. In other words, the access authorization is an intermediate stage in which the automation device has not yet been integrated into the automation system.
  • a proof of identity of the automation device authorized for access that is, the automation device to which access authorization was assigned—is received and authenticated on the automation server and the automation device whose identity has been authenticated is integrated into the automation system.
  • the integration of the automation device in the automation system is completed on the authorization side.
  • the integration of the automation device can also include parameterization, for example transmission and setting of configuration data on the automation device. This parameterization is ensured with the authorization-side means of the invention, but is neither a necessary prerequisite nor a necessary accompaniment of the method steps according to the invention or means according to the invention.
  • a presence of authentication tion device already acts as the first proof of authorization in the form of a multi-actuator authentication.
  • the authentication device can be plugged in and unplugged or connected and disconnected by an authorized service technician in order to activate or deactivate this first factor of the multi-factor authentication.
  • the interface may have to meet certain stricter requirements—for example, as an immediate direct connection, in order to additionally require the service technician to be present locally in the immediate vicinity of the automation device to be integrated.
  • an initial authentication procedure is carried out.
  • an automation server of the automation system receives evidence, documented by the authentication device, that a specific automation device has been connected to the authentication device. Based on this, the automation server can now assign properties to the automation device, for example set up access authorization or even at this stage—that is, before the automation device is finally integrated—cause the automation device to be parameterized.
  • a second authentication procedure is carried out.
  • This second authentication method now actually authenticates a proof of identity of the automation device with access authorization, using a proof of identity connected to the automation device.
  • "Connected” can also mean that the proof of identity is present in the automation device, but the proof of identity does not necessarily leave the automation device, for example by being transferred to the automation server.
  • the proof of identity can be provided, for example, by a challenge-response method in which the automation server sets a task or challenge for which the automation device must give a correct answer or response, for example to prove that the one knows certain information - a shared secret - without issuing or transmitting the proof of identity itself.
  • the proof of identity is connected to the automation device.
  • the proof of identity is not connected to the authentication device, as is possible in the first authentication method.
  • an authorization not an identity—is first linked to a proof—the access authorization proof.
  • the inventive feature of providing a first authentication method for authenticating a proof of access, followed by a second authentication method for authenticating a proof of identity has several advantages:
  • the access authorization according to the invention does not in itself allow access in the sense of integration. Rather, the access authorization according to the invention only allows access with the aim of linking an identity with an authorization, and thus the proof of identity according to the invention.
  • a particular advantage of the invention separate evidence - proof of access authorization and proof of identity - is when considering a provision or. »Deployment « of a number of automation devices, which are integrated via a single authentication device. It is true that the respective proof of access authorization generated with the cooperation of the individual authentication device granted each of the plurality of automation devices a comparable provisional access authorization. After the respective automation devices have been integrated, their respective access rights - i.e. their rights to store data in a specific memory area of the automation server or to read data from there - depend exclusively on the rights assigned to their identity, which in contrast to comparable provisional access authorization will definitely be different from automation device to automation device.
  • the access authorization proof and/or proof of identity according to the invention can be designed or used, for example, using a known public key infrastructure or PKI, for example using asymmetric or symmetric cryptographic keys and corresponding methods in connection with signing, certificate use, hierarchical trust models etc.
  • the interface between the automation device and the authentication device is formed by a direct optical or galvanic direct connection. While this interface can also be designed as a logical communication channel or "session" in a data network, possibly within the worldwide Internet, the interface in this development of the invention is a direct interface, so that for security reasons there is an immediate direct connection between the Automation device and the authentication device. Depending on the security criticality, this measure may be necessary in order to meet stricter requirements regarding the local presence of an authorized service technician in the immediate vicinity of the automation device to be integrated.
  • a direct connection is formed, for example, via an optical or galvanic patch cable.
  • Passive components for establishing the connection may also be involved in a direct connection.
  • an indirect connection is characterized in that at least one active unit is interposed in the optical or galvanic connection, for example a switch, a router, a repeater, a signal amplifier or signal shaper, a signal-optical component, etc.
  • an immediate direct connection is checked in order to rule out an indirect connection.
  • An examination or verification of a direct connection and/or an exclusion or falsification of an indirect connection means in particular that it can be ruled out that the automation device and the connected authentication device are connected together with a »transparent « network node, i.e. for example with a network switch.
  • Possible attackers could namely interpose active transparent units in a physical connection between the automation device and the connected authentication device.
  • transparent means that these units would not be recognized by existing monitoring procedures or intrusion detection procedures.
  • Such transparent units are connected in-line via a conventional LAN connection, but cannot be identified or detected by higher-layer surveillance systems, since their higher-layer effect can be compared to that of a passive patch cord.
  • the proof of access authorization is sent from the automation device to the automation server. This can be done in two ways:
  • the access authorization verification is sent from the automation device to the automation server, with the authentication device communicating exclusively with the automation device in this first embodiment.
  • the access authorization verification is sent from the authentication device to the automation server. Also in this second embodiment variant can Proof of access authorization are sent from the automation device according to the training explained here indirectly to the automation server, more specifically from the automation device to the authentication device and from this to the automation server.
  • the proof of access authorization is sent from the authentication device to the automation server.
  • the access authorization proof is sent directly from the authentication device to the automation server, with the automation device communicating exclusively with the authentication device.
  • the proof of access authorization is generated in cooperation with the automation device and the authentication device.
  • Such an interaction between automation device and authentication device is to be delimited from a mere request for a certificate or a signature provided with a private signing key and has the advantage that a transmission of sensitive evidence - for example a key that is to remain private - as well as an associated compromise to any man -in-the-middle attacks fen can be omitted in an advantageous manner.
  • Generating the proof of access authorization using a challenge-response method is a possible exemplary embodiment of such an interaction between the automation device and the authentication device for generating the proof of access authorization.
  • the proof of identity is received via a communication channel formed between the authentication device and the automation server.
  • This training one of the variants explained above applies, in which--although explained there for the case of transmission of the access authorization verification--an indirect or direct data exchange takes place via a communication channel configured between the authentication device and the automation server.
  • the embodiment explained here relates to the receipt of the proof of identity, which is transmitted via a communication channel configured between the authentication device and the automation server.
  • the communication channel for transmitting the proof of access authorization can be maintained until the proof of identity is transmitted between the authentication device and the automation server. In other words, the communication channel can be the same.
  • This communication channel can, for example, take place via one or more networks or network segments, so that measures to protect exchanged data from being compromised to secure this communication channel via any networks or network segments that are not subject to your own control have proven to be advantageous.
  • Such a safeguard can advantageously consist of encrypting the communication channel.
  • this measure is usually - although technically not completely correct - classified under the term of a Virtual Private Network or VPN.
  • the authentication device initiates the method according to the invention, for example by plugging the authentication device into a socket on the automation device or by plugging in a connection cable leading to the authentication device into the socket on the automation device.
  • the method according to the invention is initiated by actuating an input field displayed or provided on the authentication device
  • the authentication device is at least partially mobile Communication terminal is formed.
  • This configuration has the advantage of using commercially available hardware, which can be adapted to the respective application with suitable software for integrating the automation device using the mobile communication terminal as an authentication device.
  • the authentication device is at least partially configured as a network device, in particular as a router or as a network switch.
  • a router or network switch can use a communication channel in or via a reserved IP address space (for example in the case of a router) or a reserved communication channel, for example using (for example in the case of a network switch) a VLAN protocol (Virtual Local Area Network) can provide.
  • the reserved communication channel can be used both for the transmission of the access authorization proof and for the transmission of the proof of identity between the authentication device designed as a network device and the automation server.
  • the authentication device comprises a plurality of components that are communicatively coupled to one another.
  • this configuration can be provided in order to strive for redundant failsafety.
  • several components that are communicatively coupled to one another can also bring about continued multi-factor authentication.
  • provision could be made for a service technician to be entrusted with a first component of an authentication device and for a person responsible for the network-technical administration of the automation system to keep a second component of an authentication device.
  • FIG. 1 shows a schematic functional representation of communication paths for integrating an automation device into an automation system according to a first embodiment
  • FIG. 1 shows a section of an automation system whose administrative portal is represented in a simplified manner by an automation server SRV.
  • the automation system can also include servers and control components in addition to the automation server SRV.
  • the automation server SRV shown serves only as an example for one or more components that are used for onboarding automation devices.
  • an automation device DVC is integrated into an automation system in such a way that an interface IF is formed between the automation device DVC and the authentication device AUT, the automation device DVC being connected to the automation server via an additional communication channel NW SRV has.
  • This communication channel NW is usually designed as a possibly temporary, packet-oriented communication relationship or “session” via a packet-oriented network.
  • the interface IF can also apply to the interface IF.
  • the interface IF in order not to expose the connection of the interface IF to the arbitrary nature and risk of a poorly traceable network connection, which does not allow direct inspection of the connected authentication device AUT, provision can be made for the interface IF to be formed by an immediate optical or galvanic direct connection.
  • the automation device DVC to be connected and the authentication device AUT are provided with data for assigning the automation device DVC to be connected by the authentication device AUT.
  • An authentication process is then carried out, for example between the automation device DVC to be connected and the authentication device AUT.
  • the automation server SRV or an alternative higher-level system receives an access authorization certificate which, in its simplest form, contains a statement that a specific automation device DVC has been connected to the authentication device AUT.
  • the automation device DVC can now subsequently assign properties to the automation device DVC, for example setting up access rights.
  • the automation device DVC could be a controller and the authentication device AUT a USB stick.
  • the USB stick designed as an authentication device AUT contains, among other things, a Trusted Fiatform Module or TPM, for example, including a private key.
  • TPM Trusted Fiatform Module
  • the USB stick configured as an authentication device AUT thus makes it possible to carry out a challenge-response method for generating access authorization verification assigned to the automation device.
  • the associated challenge-response method can essentially be carried out on the automation device DVC to be connected and only to a lesser extent on the USB stick designed as an authentication device AUT.
  • an automation device DVC is integrated into an automation system in such a way that an interface IF is formed between the automation device DVC and the authentication device AUT, the authentication device AUT being connected to the automation server via an additional communication channel NW SRV has.
  • This communication channel NW can also be designed as a possibly temporary, packet-oriented communication relationship or “session” via a packet-oriented network.
  • the authentication device AUT could be a USB mobile phone adapter that is able to establish a mobile phone connection by submitting a subscriber identity, with the subscriber identity being embodied in a SIM card or stored as a digital eSIM in the USB mobile phone adapter.
  • the USB mobile radio adapter used as the authentication device AUT enables access to the additionally secured communication channel in a VPN network configured above the mobile radio connection, via which the exchange of the access authorization certificate and/or the identity certificate with the automation server SRV then takes place.
  • the authentication device AUT could be a programming device which registers connected devices after they have been identified.
  • the authentication device AUT could be designed as a network device, for example a router, or as a mobile terminal device, for example a smartphone.
  • the authentication device AUT could itself require authentication of a user or operator, for example when starting up or when the interface IF is set up with the automation device DVC.
  • the automation device DVC is provided with new access data in addition to existing access data after it has been integrated or "onboarded" into the automation system.
  • the automation system can also include servers and control components in addition to the automation server SRV.
  • the current device-specific operator data can also be linked to the authenticated proof of identity of the automation device by the policy enforcement server.
  • A--not shown--configuration server can be used to transfer current device-specific operator data to the policy enforcement server.
  • an authentication device permits access authorization which only results in a linking of an identity with an authorization in a subsequent step.
  • the method is particularly advantageous for manufacturers of automation devices DVC, which are sold as universal devices and are to be integrated into an automation system at a later date by the customer.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

Automatisierungsgeräte müssen üblicherweise konfiguriert werden, bevor sie im Automatisierungssystem bzw. im Zusammenspiel mit anderen Automatisierungsgeräten genutzt werden können. Eine Anpassung des Automatisierungsgeräts, z.B. durch Konfiguration der auf dem Automatisierungsgerät gespeicherten Konfigurationsdaten, zur Einbindung in das Automatisierungssystem wird in der Fachwelt auch als Onboarding bezeichnet. Gemäß der vorliegenden Erfindung werden Verfahren zum Einbinden eines Automatisierungsgeräts in ein Automatisierungssystem bereitgestellt, mit denen auf den Automatisierungsgeräten vorinstallierte Berechtigungsnachweise bei gleichbleibender Sicherheit erlässlich sind. Das Verfahren ist insbesondere vorteilhaft für Hersteller von Automatisierungsgeräten, welche als Universalgeräte vertrieben werden und erst später, kundenseitig in ein Automatisierungssystem eingebunden werden sollen.

Description

Beschreibung
Verfahren und AutomatisierungsSystem zur Einbindung eines Au tomatisierungsgeräts
Die Erfindung betrifft ein Verfahren und ein Automatisie rungssystem zur Einbindung eines Automatisierungsgeräts in das AutomatisierungsSystem.
Mit einer zunehmenden Verbreitung verteilter, sogenannter cloudbasierter Architekturen in industriellen Fertigungsumge- bungen halten auch in industriellen Automatisierungsgeräten - also in intelligenten Feldgeräten, Sensoren, Aktoren und Steuerungseinheiten der Automatisierungstechnik sowie in Au tomatisierungsanlagen - Technologien Einzug, welche bislang einer Servergestützten Datenverarbeitung Vorbehalten waren. Auch ist eine Verlagerung von Rechenressourcen zu beobachten, durch welche ein stärkeres Gewicht auf Rechenoperationen »im Feld«, also in einer industriellen Feldebene, gelegt wird. In der Fachwelt wird diese Verlagerung auch als Edge Computing bezeichnet .
Im Zuge dieser Verlagerung von Rechenressourcen müssen zuneh mend Aufgaben auf einer Ebene der Automatisierungsgeräte be wältigt werden, welche bisher höheren Leitebenen Vorbehalten waren. Aufgrund einer steigenden Zahl solcher vernetzten Au tomatisierungsgeräts und der besonderen Bedingungen in der industriellen Feldebene sind die aus der Leitebene bekannten Lösungsansätze nicht unbedingt in die Feldebene übertragbar.
Neu hinzutretende, reparierte, rekonfigurierte oder bezüglich ihrer Software aufgefrischte Automatisierungsgeräte müssen üblicherweise konfiguriert werden, bevor sie im Automatisie rungssystem bzw. im Zusammenspiel mit anderen Automatisie rungsgeräten genutzt werden können. Eine Anpassung des Auto matisierungsgeräts, z.B. durch Konfiguration der auf dem Au tomatisierungsgerät gespeicherten Konfigurationsdaten, zur Einbindung in das AutomatisierungsSystem wird in der Fachwelt auch als Onboarding bezeichnet.
In gegenwärtigen AutomatisierungsSystemen ist zur Anpassung eines Automatisierungsgeräts zum Betrieb in einem spezifi schen AutomatisierungsSystem noch eine Parametrisierung des Automatisierungsgeräts vor seinem eigentlichen Einsatz be kannt. Diese Parametrisierung kann allgemeine Konfigurations- daten umfassen, beispielsweise eine dem Automatisierungsgerät innerhalb des AutomatisierungsSystems fest zugewiesene Netz werkadresse oder auch einsatzspezifische Konfigurationsdaten, beispielsweise SchaltZeiten des Automatisierungsgerätes.
Während in herkömmlichen AutomatisierungsSystemen eine solche Parametrisierung ungeschützt bereitgestellt wird, wird mitt lerweile ein Schutz vor Manipulationen bis herunter zur Feld ebene als unerlässlich angesehen. Dabei soll gewährleistet werden, dass Dritte keine Möglichkeit zur Manipulation von Konfigurationsdaten auf dem Automatisierungsgerät haben, selbst wenn sie Zugang zum AutomatisierungsSystem erlangen. Heutige Automatisierungsgeräte sind im Auslieferungszustand daher üblicherweise mit Berechtigungsnachweisen bzw. Creden- tials ausgestattet.
Als Berechtigungsnachweise werden beispielsweise von Pre- Shared Keys bzw. PSK oder Pre-Shared Secrets verwendet, wel che auf dem Automatisierungsgerät gespeichert werden. Auch Identifizierungsmerkmale des Automatisierungsgerät, z.B. eine Seriennummer, werden oftmals als Berechtigungsnachweis oder auch als Teil eines Berechtigungsnachweises zum Einbinden des Automatisierungsgerät in das AutomatisierungsSystem verwen det.
Weiterhin sind stärkere asymmetrische kryptographische Be rechtigungsnachweise bekannt, bei der ein kryptographische Verwahrungsmodul oder auch Trusted Platform Module, kurz TPM, also ein im Automatisierungsgerät meist isoliert angelegtes Hardwaremodul zur Berechnung und/oder Verwahrung kryptogra- phischer Daten zum Einsatz kommt. In einem solchen Verwah rungsmodul kann im Auslieferungszustand des Automatisierungs geräts schon ein kryptographischer Schlüssel oder ein krypto- graphisches Schlüsselpaar hinterlegt sein, wobei private kryptographische Schlüssel innerhalb des Automatisierungsge räts verwahrt bleiben und dieses nicht verlassen.
Die vorliegende Erfindung ist vor die Aufgabe gestellt, Mit tel zum Einbinden eines Automatisierungsgeräts in ein Automa tisierungssystem bereitzustellen, mit denen vorinstallierte Berechtigungsnachweise bei gleichbleibender Sicherheit er- lässlich sind.
Die Aufgabe wird durch ein Computerimplementiertes Verfahren mit den Merkmalen des Patentanspruchs 1 gelöst. Die Aufgabe wird weiterhin durch ein AutomatisierungsSystem mit den mit den Merkmalen eines nebengeordneten Patentanspruchs gelöst.
Die Aufgabe wird weiterhin durch ein Authentisierungsgerät mit den mit den Merkmalen eines nebengeordneten Patentan spruchs gelöst.
Die Aufgabe wird weiterhin durch ein Computerprogrammprodukt zur Abarbeitung des erfindungsgemäßen Verfahrens gelöst. Das Computerprogramm wird in einem Prozessor oder Controller ab gearbeitet, welcher mit der Abarbeitung das Verfahren aus führt.
In einem vorzugweise Computerimplementierten Verfahren zum Einbinden eines Automatisierungsgeräts in ein Automatisie rungssystem unter Verwendung eines mit dem Automatisierungs gerät verbindbaren Authentisierungsgeräts, sind dabei folgen de Schritte vorgesehen:
- In einem ersten Verfahrensschritt erfolgt eine Ausbildung einer Schnittstelle zwischen dem Automatisierungsgerät und dem Authentisierungsgerät. Die Schnittstelle kann dabei als ein logische Kommunikationskanal bzw. »Session« ausge- bildet sein. In einer bevorzugten Variante ist diese Schnittstelle eine direkte Schnittstelle, so dass aus Si cherheitsgründen eine direkte Verbindung zwischen dem Au tomatisierungsgerät und dem Authentisierungsgerät erfor derlich gemacht werden kann. Nach der Ausbildung dieser Schnittstelle zwischen dem Automatisierungsgerät und dem Authentisierungsgerät erfolgt eine Generierung eines dem Automatisierungsgerät zugeordneten Zugriffsberechtigungs- nachweises . Die Generierung des Zugriffsberechtigungsnach weises erfolgt beispielsweise in Zusammenarbeit des Auto matisierungsgeräts und des über die Schnittstelle mit dem Automatisierungsgerät verbundenen Authentisierungsgeräts. Alternativ kann eine Generierung des Zugriffsberechti- gungsnachweises auch weitgehend alleine vom Automatisie rungsgerät erfolgen, wobei z.B. vom Authentisierungsgerät über die Schnittstelle übermittelte bzw. ausgetauschte Da ten bei der Generierung verwendet werden. Entsprechend kann eine Generierung des Zugriffsberechtigungsnachweises auch weitgehend alleine vom Authentisierungsgerät erfol gen, wobei z.B. vom Automatisierungsgerät über die Schnittstelle übermittelte bzw. ausgetauschte Daten bei der Generierung durch das Authentisierungsgerät verwendet werden.
In einem zweiten Verfahrensschritt erfolgt ein Empfang und Authentisierung des Zugriffsberechtigungsnachweises an ei nem AutomatisierungsServer des AutomatisierungsSystems und Zuweisung einer Zugriffsberechtigung an das Automatisie rungsgerät . Der vom AutomatisierungsServer empfangene Be rechtigungsnachweis kann entweder vom Automatisierungsge rät oder vom Authentisierungsgerät gesendet werden, siehe hierzu die weiter unten erläuterten Ausführungsbeispiele. Entsprechend kann der vom AutomatisierungsServer empfange ne Berechtigungsnachweis vom Automatisierungsgerät oder vom Authentisierungsgerät indirekt gesendet werden, d.h. über ein oder mehrere Instanzen weitergereicht werden, be vor dieser von Seiten des AutomatisierungsServers empfan gen wird. Nach einer erfolgreichen Authentisierung des Zu- griffsberechtigungsnachweises durch den Automatisierungs server und nach der Zuweisung der Zugriffsberechtigung an das Automatisierungsgerät ist das Automatisierungsgerät zugriffsberechtigt am AutomatisierungsServer oder am Auto matisierungssystem. Die Zugriffsberechtigung ist jedoch nicht allumfassend, sondern bezieht sich nur auf den Emp fang des Identitätsnachweises im folgenden Verfahrens schritt. Mit anderen Worten ist die Zugriffsberechtigung ein ZwischenStadium, in der noch keine Einbindung des Au tomatisierungsgeräts im AutomatisierungsSystem erfolgt ist.
In einem dritten Verfahrensschritt erfolgt ein Empfang und Authentisierung eines Identitätsnachweises des zugriffsbe rechtigten Automatisierungsgeräts - also des Automatisie rungsgeräts, dem eine Zugriffsberechtigung zugewiesen wur de - am AutomatisierungsServer und Einbinden des bezüglich seiner Identität authentisierten Automatisierungsgeräts in das AutomatisierungsSystem. Mit der Authentisierung der Identität des Automatisierungsgeräts ist die Einbindung des Automatisierungsgeräts im AutomatisierungsSystem be rechtigungsseitig abgeschlossen. Selbstverständlich kann die Einbindung des Automatisierungsgeräts auch eine Para metrisierung, beispielsweise eine Übermittlung und Ein stellung von Konfigurationsdaten am Automatisierungsgerät umfassen. Diese Parametrisierung wird mit den berechti gungsseitigen Mitteln der Erfindung gewährleistet, ist aber weder eine notwendige Voraussetzung noch eine notwen dige Begleitung der erfindungsgemäßen Verfahrensschritte bzw. erfindungsgemäßen Mittel.
Die Erfindung sieht vor, eine Schnittstelle zwischen dem zu verbindenden Automatisierungsgerät und einem erstmals in die ser Form vorgeschlagenen Authentisierungsgerät bestehen muss, um durch über diese Schnittstelle ausgetauschte Daten zu nächst eine Zuordnung des Automatisierungsgerät zum Authenti sierungsgerät zu ermöglichen. Eine Präsenz des Authentisie- rungsgeräts wirkt also bereits als erster Berechtigungsnach weis in Form einer Mehrtaktor-Authentifizierung.
Das Authentisierungsgerät kann bei Bedarf durch einen hierzu autorisierten Servicetechniker ein- und ausgesteckt oder ver bunden und getrennt werden, um diesen ersten Faktor der Mehr- faktorenauthentifizierung zu aktivieren oder zu deaktivieren. Je nach Sicherheitskritikalitat kann gefordert sein, dass die Schnittstelle bestimmte strengere Anforderungen - beispiels weise als unmittelbare Direktverbindung vorliegen muss, um zusätzlich eine örtliche Präsenz des Servicetechnikers im un mittelbaren Umfeld der einzubindenden Automatisierungsgeräts zu fordern - erfüllen muss.
Nach Verbindung der Geräte wird ein erstes Authentisierungs- verfahren durchgeführt. Ein AutomatisierungsServer des Auto matisierungssystems erhält in diesem Schritt einen durch das Authentisierungsgerät belegten Nachweis, dass ein bestimmtes Automatisierungsgerät mit dem Authentisierungsgerät verbunden wurde. Der AutomatisierungsServer kann nun dem Automatisie rungsgerät basierend darauf Eigenschaften zuweisen, bei spielsweise eine Zugriffsberechtigung einrichten oder auch schon in diesem Stadium - also noch vor der endgültigen Ein bindung des Automatisierungsgeräts - eine Parametrisierung des Automatisierungsgerät veranlassen.
Nach Vorliegen der Zugriffsberechtigung wird ein zweites Au- thentisierungsverfahren durchgeführt. Dieses zweite Authenti- sierungsverfahren authentisiert nun tatsächlich einen Identi tätsnachweis des zugriffsberechtigten Automatisierungsgeräts, unter Verwendung eines mit dem Automatisierungsgerät verbun denen Identitätsnachweises. »Verbunden« kann auch bedeuten, dass der Identitätsnachweis im Automatisierungsgerät vor liegt, der Identitätsnachweis das Automatisierungsgerät aber nicht notwendigerweise verlässt, indem dieser beispielswiese an den AutomatisierungsServer übergeben wird. Der Identitätsnachweis kann beispielsweise durch ein Challen- ge-Response-Verfahren erbracht werden, bei der seitens des AutomatisierungsServers eine Aufgabe bzw. Challenge gestellt wird, für die das Automatisierungsgerät eine richtige Antwort bzw. Response geben muss, etwa um zu belegen, dass des eine bestimmte Information - ein Shared Secret - kennt, ohne den Identitätsnachweis selbst herauszugeben bzw. zu übertragen. Der Identitätsnachweis ist in diesem breiten Sinn mit dem Au tomatisierungsgerät verbunden. Der Identitätsnachweis ist al so insbesondere nicht - wie im ersten Authentisierungsverfah ren möglich - mit dem Authentisierungsgerät verbunden. Mit der Authentisierung der Identität des Automatisierungsgeräts von Seiten des AutomatisierungsSystems ist die Einbindung des Automatisierungsgeräts im AutomatisierungsSystem berechti gungsseitig abgeschlossen.
Ein wichtiger Unterschied der Erfindung gegenüber bekannten - auch mehrstufigen - Authentisierungsverfahren ist der Um stand, dass aus dem Stand der Technik bekannten Lösungen stets eine Identität mit einem Nachweis - also einem Creden- tial wie z.B. einem kryptografisehen Schlüssel - verknüpfen.
Im Gegensatz zu diesen aus dem Stand der Technik bekannten Lösungen wird bei der erfindungsgemäß vorgeschlagenen Lösung zunächst eine Berechtigung - keine Identität - mit einem Nachweis - dem Zugriffsberechtigungsnachweis - verknüpft.
Erst in einem folgenden zweiten Authentisierungsverfahren wird eine Identität mit einem Nachweis - dem Identitätsnach weis - verknüpft.
Das erfindungsgemäße Merkmal einer Vorsehung eines ersten Au thentisierungsVerfahrens zur Authentisierung einer Zugriffs berechtigungsnachweises, gefolgt von einem zweiten Authenti- sierungsVerfahrens zur Authentisierung eines Identitätsnach weises hat mehrere Vorteile:
Während im Stand der Technik bekannte Verfahren, bei denen kryptographische Schlüssel eingesetzt werden, welche mit einem Zugangsmedium - beispielsweise ein USB-Stick mit ei nem kryptographischen Verwahrungsmodul bzw. TPM - verbun den sind, ein Besitz des Zugangsmediums allein zur Gewähr einer Zugriffsberechtigung ausreicht, gestattet die erfin dungsgemäße Zugriffsberechtigung demgegenüber für sich ge nommen noch keinen Zugang im Sinne einer Einbindung. Die erfindungsgemäße Zugriffsberechtigung erlaubt vielmehr nur einen Zugriff mit dem Ziel einer Verknüpfung einer Identi tät mit einer Berechtigung, mithin des erfindungsgemäßen Identitätsnachweises.
- Erfindungsgemäß wird sowohl bei der Durchführung des er findungsgemäßen Verfahrens zum Einbinden des Automatisie rungsgeräts in das AutomatisierungsSystem unter Verwendung des mit dem Automatisierungsgerät verbindbaren Authenti- sierungsgeräts als auch nach Abarbeitung dieses Verfahrens weiterhin zwischen den einzelnen Geräten unterschieden. Eine spätere Entscheidung über Berechtigungen erfolgt also primär anhand des Identitätsnachweises und nicht anhand der Zugriffsberechtigungsnachweises unter Mitwirkung des ehemals verbundenen Authentisierungsgeräts.
- Ein besonderer Vorteil der erfindungsgemäß getrennten Nachweise - Zugriffsberechtigungsnachweis und Identitäts nachweis - wird bei einer Betrachtung einer Bereitstellung bzw . »Deployment« einer Mehrzahl von Automatisierungsgerä ten deutlich, welche über ein einzelnes Authentisierungs- gerät eingebunden werden. Zwar hat der unter Mitwirkung des einzelnes Authentisierungsgeräts generierte jeweilige Zugriffsberechtigungsnachweis jedem einzelnen der Mehrzahl von Automatisierungsgeräten eine vergleichbare vorläufige Zugriffsberechtigung erteilt. Nach Einbindung der jeweili- gen Automatisierungsgeräte hängen deren jeweilige Zu griffsrechte - also deren Rechte, Daten auf einem bestimm ten Speicherbereichs des AutomatisierungsServers abzulegen oder Daten von dort zu lesen - ausschließlich von den ih rer Identität zugewiesenen Rechte ab, die im Gegensatz zur vergleichbaren vorläufigen Zugriffsberechtigung durchaus von Automatisierungsgerät zu Automatisierungsgerät unter schiedlich sein wird. Der erfindungsgemäße Zugriffsberechtigungsnachweis und/oder Identitätsnachweis kann beispielsweise unter Anwendung be kannter Public-Key-Infrastruktur bzw. PKI gestaltet sein oder eingesetzt werden, also beispielsweise unter Einsatz asymmet rischer oder symmetrischer kryptografischer Schlüssel sowie entsprechender Verfahren im Zusammenhang mit einer Signie rung, Zertifikatverwendung, hierarchischen Vertrauensmodellen etc.
Weitere Ausgestaltungen der Erfindung sind Gegenstand der ab hängigen Patentansprüche.
Gemäß einer Fortbildung der Erfindung ist vorgesehen, dass die Schnittstelle zwischen dem Automatisierungsgerät und dem Authentisierungsgerät durch eine unmittelbare optische oder galvanische Direktverbindung gebildet wird. Während diese Schnittstelle auch als ein logische Kommunikationskanal bzw. »Session« in einem Datennetzwerk, möglicherweise innerhalb des weltweiten Internets ausgebildet sein kann, ist in die Schnittstelle in dieser Fortbildung der Erfindung eine direk te Schnittstelle, so dass aus Sicherheitsgründen eine unmit telbare Direktverbindung zwischen dem Automatisierungsgerät und dem Authentisierungsgerät. Je nach Sicherheitskritikali- tät kann diese Maßnahme erforderlich sein, um strengere An forderungen bezüglich einer örtlichen Präsenz eines autori sierten Servicetechnikers im unmittelbaren Umfeld der einzu bindenden Automatisierungsgeräts zu erfüllen. Eine unmittel bare Verbindung wird beispielweise über ein optisches oder galvanisches Patchkabel gebildet. Zusätzlich kann vorgesehen, dass Schnittstelle mit vorbehaltenen, auch proprietären pha- sischen Buchsen bzw. Steckern gebildet wird. An einer direk ten Verbindung sind möglicherweise auch passive Komponenten zur Herstellung der Verbindung z.B. Anschlussdosen, Patchpa nels, etc. beteiligt. Eine mittelbare Verbindung ist demge genüber dadurch gekennzeichnet, dass in der optischen oder galvanischen Verbindung zumindest eine aktive Einheit zwi schengeschaltet ist, beispielsweise ein Switch, ein Router, ein Repeater, ein Signalverstärker bzw. Signal Shaper, eine signaloptische Komponente etc.
Gemäß einer weiteren möglichen Fortbildung der Erfindung ist vorgesehen, dass eine Prüfung auf eine unmittelbare Direkt verbindung erfolgt, um eine mittelbare Verbindung auszu schließen . Eine Prüfung bzw. eine Verifizierung einer unmit telbaren Verbindung und/oder ein Ausschluss bzw. eine Falsi fizierung einer mittelbaren Verbindung bedeutet insbesondere, dass auszuschließen ist, dass das Automatisierungsgerät mit dem verbundenen Authentisierungsgerät gemeinsam mit einem »transparenten« Netzknoten verbunden sind, also beispielswei se mit einem Netzwerk-Switch. Mögliche Angreifer könnten näm lich aktive transparente Einheiten in eine physische Verbin dung zwischen dem Automatisierungsgerät und dem verbundenen Authentisierungsgerät Zwischenschalten. Transparent bedeutet dabei, dass diese Einheiten von vorhandenen Überwachungsver fahren bzw. Intrusion Detection Verfahren nicht erkannt wür den. Derlei transparente Einheiten sind über eine herkömmli che LAN-Verbindung inline verbunden, können jedoch von Über wachungssystemen in höheren Schichten nicht identifiziert oder erkannt werden, da ihre Wirkung in höheren Schichten mit der eines passiven Patchkabels verglichen werden kann.
Gemäß einer möglichen Fortbildung der Erfindung ist vorgese hen, dass der Zugriffsberechtigungsnachweis vom Automatisie rungsgerät an den AutomatisierungsServer gesendet wird. Dies kann auf zwei Weisen erfolgen:
- In einer ersten AusgestaltungsVariante ist vorgesehen, dass der Zugriffsberechtigungsnachweis vom Automatisie rungsgerät an den AutomatisierungsServer gesendet wird, wobei das Authentisierungsgerät in dieser ersten Ausge staltungsVariante ausschließlich mit dem Automatisie rungsgerät kommuniziert.
- In einer zweiten AusgestaltungsVariante ist vorgesehen, dass der Zugriffsberechtigungsnachweis vom Authentisie rungsgerät an den AutomatisierungsServer gesendet wird. Auch in dieser zweiten AusgestaltungsVariante kann der Zugriffsberechtigungsnachweis vom Automatisierungsgerät entsprechend der hier erläuterten Fortbildung indirekt an den AutomatisierungsServer gesendet werden, genauer gesagt also vom Automatisierungsgerät an das Authenti- sierungsgerät und von diesem an den AutomatisierungsSer ver .
Gemäß einer möglichen Fortbildung der Erfindung ist vorgese hen, dass der Zugriffsberechtigungsnachweises vom Authenti- sierungsgerät an den AutomatisierungsServer gesendet wird. In dieser Fortbildung ist also vorgesehen, dass der Zugriffsbe- rechtigungsnachweis vom Authentisierungsgerät direkt an den AutomatisierungsServer gesendet wird, wobei das Automatisie rungsgerät ausschließlich mit dem Authentisierungsgerät kom muniziert .
Gemäß einer möglichen Fortbildung der Erfindung ist vorgese hen, dass die Generierung des Zugriffsberechtigungsnachweises in Zusammenwirkung des Automatisierungsgerät und des Authen tisierungsgerät erfolgt. Eine solche Zusammenwirkung zwischen Automatisierungsgerät und Authentisierungsgerät ist abzugren zen von einer reinen Anforderung eines Zertifikats oder einer mit einem privaten SignierungsSchlüssel versehenen Signatur und hat den Vorteil, dass eine Übertragung sensibler Nachwei se - beispielsweise privat zu bleibendem Schlüssel - sowie eine damit verbundene Kompromittierung gegenüber eventuellen Man-in-the-Middle-Angrif fen in vorteilhafter Weise unterblei ben können. Eine Generierung des Zugriffsberechtigungsnach weises unter Durchführung eines Cha11enge-Response-Verfahrens ist ein mögliches Ausführungsbeispiel für eine solche Zusam menwirkung des Automatisierungsgerät und des Authentisie rungsgerät zur Generierung des Zugriffsberechtigungsnachwei ses.
Gemäß einer Fortbildung der Erfindung ist vorgesehen, dass der Empfang des Identitätsnachweises durch einen zwischen dem Authentisierungsgerät und dem AutomatisierungsServer ausge bildeten Kommunikationskanal erfolgt. Diese Fortbildung be- trifft also einer der oben erläuterten Varianten, bei denen - dort allerdings für den Fall der Übertragung des Zugriffs berechtigungsnachweises erläutert - ein indirekter oder di rekter Datenaustausch über einen zwischen dem Authentisie- rungsgerät und dem AutomatisierungsServer ausgebildeten Kom munikationskanal stattfindet. Die hier erläuterte Ausgestal tung betrifft den Empfang des Identitätsnachweises, welcher über einen zwischen dem Authentisierungsgerät und dem Automa tisierungsserver ausgebildeten Kommunikationskanal übertragen wird. Dabei kann der Kommunikationskanal zur Übertragung des Zugriffsberechtigungsnachweises aufrechterhalten bleiben, bis eine Übertragung des Identitätsnachweises zwischen dem Au thentisierungsgerät und dem AutomatisierungsServer erfolgt. Mit anderen Worten kann der Kommunikationskanal der gleich sein. Dieser Kommunikationskanal kann beispielsweise über ein oder mehrere Netzwerke oder Netzwerksegmente erfolgen, so dass sich Maßnahmen zum Schutz vor Kompromittierung ausge tauschter Daten zur Sicherung dieses Kommunikationskanals über eventuelle nicht einer eigenen Kontrolle unterliegenden Netzwerke oder Netzwerksegmente als vorteilhaft erweisen. Ei ne solche Sicherung kann in vorteilhafter Weise darin beste hen, den Kommunikationskanal zu verschlüsseln. Diese Maßnahme wird in der Fachwelt üblich - wenngleich technisch nicht vollständig korrekt - unter dem Begriff eines Virtual Private Network oder VPN eingeordnet.
Gemäß einer Fortbildung der Erfindung ist vorgesehen, dass das Authentisierungsgerät das erfindungsgemäße Verfahren ini tiiert, beispielsweise durch Einstecken des Authentisierungs- geräts an einer Buchse des Automatisierungsgeräts oder durch Einstecken eines zum Authentisierungsgerät führenden Verbin dungskabels an der Buchse des Automatisierungsgeräts. Alter nativ wird das erfindungsgemäße Verfahren durch eine Betäti gung eines am Authentisierungsgerät angezeigten oder vorgese henen Eingabefelds initiiert
Gemäß einer Fortbildung der Erfindung ist vorgesehen, dass das Authentisierungsgerät zumindest teilweise als mobiles Kommunikationsendgerät ausgebildet ist. Diese Ausgestaltung hat den Vorteil eines Einsatzes handelsüblicher Hardware, welche mit geeigneter Software zum Einbinden des Automatisie rungsgeräts unter Verwendung des mobiles Kommunikationsendge- räts als Authentisierungsgerät auf den jeweiligen Einsatz zweck anpassbar ist.
Gemäß einer Fortbildung der Erfindung ist vorgesehen, dass das Authentisierungsgerät zumindest teilweise als Netzwerkge rät, insbesondere als Router oder als Netzwerkswitch ausge bildet ist. Diese Ausgestaltung hat den Vorteil, dass ein Router oder Netzwerkswitch einen Kommunikationskanal in oder über einen Vorbehalten IP-Adressraum (beispielsweise im Fall eines Routers) oder einen vorbehaltenen Kommunikationskanal, etwa unter (beispielsweise im Fall eines Netzwerkswitches) Anwendung eines VLAN Protokolls (Virtual Local Area Network) bereitstellen kann. Der vorbehaltene Ko munikationskanal kann sowohl zur Übertragung des Zugriffsberechtigungsnachweises als auch zur Übertragung des Identitätsnachweises zwischen dem als Netzwerkgerät ausgebildeten Authentisierungsgerät und dem AutomatisierungsServer dienen.
Gemäß einer Fortbildung der Erfindung ist vorgesehen, dass das Authentisierungsgerät mehrere miteinander kommunikativ gekoppelte Komponenten umfasst. Diese Ausgestaltung kann ei nerseits vorgesehen sein, eine redundante AusfallSicherheit anzustreben . Andererseits können mehrere miteinander kommuni kativ gekoppelte Komponenten auch eine fortgesetzte Mehrfak- torauthentifizierung bewirken. In einem möglichen Ausfüh rungsbeispiel könnte vorgesehen sein, dass einem Servicetech niker eine erste Komponente eines Authentisierungsgeräts an vertraut wird und dass ein zur netzwerktechnischen Administ ration des AutomatisierungsSystems Beauftragter eine zweite Komponente eines Authentisierungsgeräts verwahrt. Nach der Ausbildung der Schnittstelle zwischen dem Automatisierungsge rät und der ersten Komponente des Authentisierungsgeräts wird eine Generierung des dem Automatisierungsgerät zugeordneten Zugriffsberechtigungsnachweises so lange verschoben, bis der zur netzwerktechnischen Administration des Automatisierungs systems Beauftragte Kenntnis über die Ausbildung der Schnitt stelle zwischen dem Automatisierungsgerät und der ersten Kom ponente des Authentisierungsgerät erlangt hat und über seine zweite Komponente des Authentisierungsgeräts eine Freigabe erteilt hat. Eine Kenntniserlangung kann so eingerichtet sein, dass der Servicetechniker nach der Ausbildung der Schnittstelle zwischen dem Automatisierungsgerät und der ers ten Komponente des Authentisierungsgeräts zunächst eine An frage an die zweite Komponente des Authentisierungsgeräts senden muss.
Im Folgenden werden weitere Ausführungsbeispiele und Vorteile der Erfindung anhand der Zeichnung näher erläutert. Dabei zeigen:
Fig. 1: eine schematische FunktionaldarStellung von Kommu nikationsziehungen zum Einbinden eines Automatisie rungsgeräts in ein AutomatisierungsSystem gemäß ei ner ersten Ausführungsform; und;
Fig. 2: eine schematische FunktionaldarStellung von Kommu nikationsziehungen zum Einbinden eines Automatisie rungsgeräts in ein AutomatisierungsSystem gemäß ei ner zweiten Ausführungsform.
Fig. 1 zeigt einen Ausschnitt aus einem AutomatisierungsSys tem, dessen administratives Portal in vereinfachter Weise durch einen AutomatisierungsServer SRV dargestellt ist. In realen Implementierungen kann das AutomatisierungsSystem, je nach Komplexität und Größe, neben dem AutomatisierungsServer SRV weiter Server und Steuerungskomponenten umfassen. Für dies Beschreibung dient der dargestellte AutomatisierungsSer ver SRV lediglich als exemplarisch für einen oder mehrere Komponenten, welche für ein Onboarding von Automatisierungs geräten zum Einsatz kommen. Gemäß der in Fig. 1 gezeigten Darstellung erfolgt ein Einbin den eines Automatisierungsgeräts DVC in ein Automatisierungs system derart, dass zwischen dem Automatisierungsgerät DVC und dem Authentisierungsgerät AUT eine Schnittstelle IF aus gebildet wird, wobei das Automatisierungsgerät DVC über einen zusätzlichen Kommunikationskanal NW mit dem Automatisierungs server SRV verfügt. Dieser Kommunikationskanal NW wird übli cherweise als möglicherweise vorübergehende, paketorientierte Kommunikationsbeziehung bzw. »Session« über ein paketorien tiertes Netzwerk gestaltet.
Das oben zum Kommunikationskanal NW gesagte kann grundsätz lich auch für die Schnittstelle IF zutreffen. Um aber die Verbindung der Schnittstelle IF nicht der beliebigen Natur und Gefahr einer schlecht rückverfolgbaren Netzwerkverbindung auszusetzen, welche keine unmittelbare Inspektion des verbun denen Authentisierungsgeräts AUT gestattet, kann vorgesehen sein, die Schnittstelle IF durch eine unmittelbare optische oder galvanische Direktverbindung zu bilden.
Nach Ausbildung der Schnittstelle IF dem zu verbindenden Au tomatisierungsgerät DVC und dem Authentisierungsgerät AUT werden vom Authentisierungsgerät AUT Daten zur Zuordnung des zu verbindenden Automatisierungsgerät DVC zu Verfügung ge stellt.
Daraufhin wird z.B. zwischen dem zu verbindenden Automatisie rungsgerät DVC und dem Authentisierungsgerät AUT ein Authen- tisierungsverfahren durchgeführt.
Der AutomatisierungsServer SRV oder ein alternatives überge ordnetes System erhält einen Zugriffsberechtigungsnachweises, welcher in seiner einfachsten Gestaltung eine Aussage ent hält, dass ein bestimmtes Automatisierungsgerät DVC mit dem Authentisierungsgerät AUT verbunden wurde. Der Automatisie rungsgerät DVC kann dem Automatisierungsgerät DVC nun in Fol ge darauf Eigenschaften zuweisen, beispielsweise Zugangsrech te einrichten. In einer Ausführungsform könnte das Automatisierungsgerät DVC eine Steuerung sein und das Authentisierungsgerät AUT ein USB-Stick . Der als Authentisierungsgerät AUT ausgestaltete USB-Stick enthält unter anderem ein beispielsweise ein Trus- ted Fiatform Module oder TPM inkl. eines privaten Schlüssels. Der als Authentisierungsgerät AUT ausgestaltete USB-Stick er möglicht somit die Durchführung eines Cha11enge-Response- Verfahren zur Generierung eines dem Automatisierungsgerät zu geordneten Zugriffsberechtigungsnachweises. Das zugehörige Cha11enge-Response-Verfahren kann im Wesentlichen auf dem zu verbindenden Automatisierungsgerät DVC und nur zu einem klei neren Teil auf dem als Authentisierungsgerät AUT ausgestalte te USB-Stick durchgeführt werden.
Gemäß der in Fig. 2 gezeigten Darstellung erfolgt ein Einbin den eines Automatisierungsgeräts DVC in ein Automatisierungs system derart, dass zwischen dem Automatisierungsgerät DVC und dem Authentisierungsgerät AUT eine Schnittstelle IF aus gebildet wird, wobei das Authentisierungsgerät AUT über einen zusätzlichen Kommunikationskanal NW mit dem Automatisierungs server SRV verfügt. Auch dieser Kommunikationskanal NW kann als möglicherweise vorübergehende, paketorientierte Kommuni kationsbeziehung bzw. »Session« über ein paketorientiertes Netzwerk gestaltet sein.
In einer möglichen Ausführungsform könnte das Authentisie rungsgerät AUT ein USB-Mobilfunkadapter sein, welcher eine Mobilfunkverbindung unter Vorlage einer TeilnehmerIdentität auszubilden vermag, wobei die Teilnehmeridentität in einer SIM-Karte verkörpert oder als digitale eSIM im USB- Mobilfunkadapter gespeichert ist. Der als Authentisierungsge rät AUT ein USB-Mobilfunkadapter ermöglicht in dieser Ausfüh rungsform einen Zugang zu oberhalb der Mobilfunkverbindung ausgebildeten zusätzlich gesicherten Kommunikationskanal in einem VPN-Netz, über welches dann der Austausch des Zugriffs berechtigungsnachweises und/oder des Identitätsnachweises mit dem AutomatisierungsServer SRV stattfindet. In einer weiteren möglichen Ausführungsform könnte das Au- thentisierungsgerät AUT ein Programmiergerät sein, welches eine Anmeldung angeschlossener Geräte nach deren Identifizie rung durchführt. In einer weiteren möglichen Ausführungsfor men könnte das Authentisierungsgerät AUT als ein Netzwerkge rät, z.B. Router oder als ein mobiles Endgerät, z.B. Smart- phone ausgestaltet sein. In einer weiteren möglichen Ausfüh rungsform könnte das Authentisierungsgerät AUT seinerseits eine Authentisierung eines Nutzers oder Bedieners erfordern, beispielsweise bei Inbetriebnahme oder bei Ausbildung der Schnittstelle IF mit dem Automatisierungsgerät DVC. In einer weiteren möglichen Ausführungsform werden dem Automatisie rungsgerät DVC nach dessen Einbinden bzw. »Onboarding« in das AutomatisierungsSystem zusätzlich zu vorhandenen Zugangsdaten neue Zugangsdaten bereitgestellt.
In realen Implementierungen kann das AutomatisierungsSystem, je nach Komplexität und Größe, neben dem AutomatisierungsSer ver SRV weiter Server und Steuerungskomponenten umfassen. Ne ben einem - nicht dargestellten - AuthentisierungsServer zur eigentlichen Authentifizierung des Zugriffsberechtigungsnach weises bzw. des Identitätsnachweises kann ein - nicht darge stellter - Policy Enforcement Server vorgesehen sein. Dieser Policy Enforcement Server dient beispielsweise dazu, aktuelle gerätespezifische Betreiberdaten zu binden, sobald dem Policy Enforcement Server eine erfolgreiche Authentisierung des Au tomatisierungsgerätes gegenüber dem AuthentisierungsServer gemeldet wird. Auch eine Bindung der aktuellen gerätespezifi schen Betreiberdaten an den authentisierten Identitätsnach weis des Automatisierungsgerätes kann bei einer möglichen Ausführungsform durch den Policy Enforcement Server erfolgen. Ein - nicht dargestellter - KonfigurationsServer kann dazu dienen, aktuelle gerätespezifische Betreiberdaten an den Po licy Enforcement Server zu übergeben.
Ein wesentlicher Unterschied der hier vorgeschlagenen Ausfüh rungsformen zu bekannten Lösungen mit einer PKI-basierten (Public-Key-Infrastruktur) Anmeldung an Diensten mittels ei nes Verwahrungsmodul ist, dass diese aus dem Stand der Tech nik bekannten Lösungen eine Verknüpfung einer Identität mit einem Berechtigungsnachweis - wie etwa einem kryptografisehen Schlüssel - vorsehen. Im Gegensatz dazu wird gemäß der erfin- dungsgemäßen Lösung zunächst keine Identität, sondern eine Berechtigung mit dem Berechtigungsnachweis verbunden.
Zwar gibt es im Stand der Technik auch Lösungen, bei denen es vorgesehen ist, dass das Zugangsmedium, welches das Verwah rungsmodul und den Schlüssel enthält, weitergegeben wird. Dennoch binden auch solche Lösungen den Schlüssel an eine Identität, nämlich die des Zugangsmediums. Diese Logik ist insbesondere auch daran zu sehen, dass in der Regel die Zu ordnung der Berechtigungen zu dem Zugangsmedium dynamisch ist und der Besitz des Zugangsmediums alleine ausreicht, um Zu gang gewährt zu bekommen.
Erfindungsgemäß erlaubt eine dem oben genannten Zugangsmedium vergleichbarere Maßnahme jedoch für sich allein genommen noch keinen Zugang. Ein erfindungsgemäßes Authentisierungsgerät erlaubt vielmehr eine Berechtigung zum Zugriff, welche erst in einem folgenden Schritt eine Verknüpfung einer Identität mit einer Berechtigung nach sich zieht.
Darüber hinaus wird auch weiterhin zwischen individuellen Au tomatisierungsgeräten DVC unterschieden. Eine spätere Ent scheidung über Berechtigungen erfolgt also primär anhand des Identitätsnachweises und nicht anhand eines ehemals verbunde nen Authentisierungsgeräts AUT.
Besonders deutlich wird dieses, wenn eine Vielzahl von Gerä ten über ein Authentisierungsgerät die Berechtigung erhält, Daten auf einem bestimmten Speicher abzulegen und eigene Da ten zu lesen. Der Lesezugriff hängt zwar wie auch der SchreibZugriff auch davon ab, eine Nutzungsberechtigung er halten zu haben, primär aber davon, ob die entsprechenden Da ten von dem Gerät selbst geschrieben wurden. Die Erfindung ermöglicht also eine einfache Konfiguration ei ner AutomatisierungsSystems bei hoher Sicherheit, nämlich ei nen Schutz gegen Angriffe von Dritten aufgrund von Nachläs sigkeiten bei der Konfiguration.
Das Verfahren ist insbesondere vorteilhaft für Hersteller von Automatisierungsgeräten DVC, welche als Universalgeräte ver trieben werden und erst später, kundenseitig in ein Automati sierungssystem eingebunden werden sollen.

Claims

Patentansprüche
1. Verfahren zum Einbinden eines Automatisierungsgeräts in ein AutomatisierungsSystem unter Verwendung eines mit dem Au tomatisierungsgerät verbindbaren Authentisierungsgeräts, um fassend die Schritte:
- Ausbildung einer Schnittstelle (IF) zwischen dem Automati sierungsgerät (DVC) und dem Authentisierungsgerät (AUT) und Generierung eines dem Automatisierungsgerät (DVC) zu geordneten Zugriffsberechtigungsnachweises (ACC);
- Empfang und Authentisierung des Zugriffsberechtigungsnach weises (ACC) an einem AutomatisierungsServer (SRV) des Au tomatisierungssystems und Zuweisung einer Zugriffsberech tigung an das Automatisierungsgerät (DVC);
- Empfang und Authentisierung eines Identitätsnachweises (IDC) des zugriffsberechtigten Automatisierungsgeräts (DVC) am AutomatisierungsServer (SRV) und Einbinden des bezüglich seiner Identität authentisierten Automatisie rungsgeräts (DVC) in das AutomatisierungsSystem.
2. Verfahren nach Patentanspruch 1, dadurch gekennzeichnet, dass die Schnittstelle (IF) durch eine unmittelbare optische oder galvanische Direktverbindung gebildet wird.
3. Verfahren nach einem der vorgenannten Patentansprüche, dadurch gekennzeichnet, dass der Zugriffsberechtigungsnach weises (ACC) vom Automatisierungsgerät (DVC) an den Automati sierungsserver (SRV) gesendet wird.
4. Verfahren nach einem der vorgenannten Patentansprüche, dadurch gekennzeichnet, dass der Zugriffsberechtigungsnach weises (ACC) vom Authentisierungsgerät (AUT) an den Automati sierungsserver (SRV) gesendet wird.
5. Verfahren nach einem der vorgenannten Patentansprüche, dadurch gekennzeichnet, dass die Generierung des Zugriffsbe- rechtigungsnachweises (ACC) in Zusammenwirkung des Automati- sierungsgeräts (DVC) und des Authentisierungsgerät (AUT) er folgt.
6. Verfahren nach einem der vorgenannten Patentansprüche, dadurch gekennzeichnet, dass die Generierung des Zugriffsbe- rechtigungsnachweises (ACC) unter Durchführung eines Challen- ge-Response-Verfahrens erfolgt.
7. Verfahren nach einem der vorgenannten Patentansprüche, dadurch gekennzeichnet, dass der Empfang des Identitätsnach weises (IDC) durch einen zwischen dem Authentisierungsgerät (AUT) und dem AutomatisierungsServer (SRV) ausgebildeten Kom munikationskanal erfolgt.
8. Verfahren nach einem der vorgenannten Patentansprüche, dadurch gekennzeichnet, dass das Authentisierungsgerät (AUT) dieses Verfahren initiiert.
9. AutomatisierungsSystem zum Einbinden eines Automatisie rungsgeräts in ein AutomatisierungsSystem unter Verwendung eines mit dem Automatisierungsgerät verbindbaren Authentisie- rungsgeräts, das AutomatisierungsSystem umfassend:
- eine Schnittstelle (IF) zwischen dem Automatisierungsgerät (DVC) und dem Authentisierungsgerät (AUT) zur Generierung eines dem Automatisierungsgerät (DVC) zugeordneten Zu griffsberechtigungsnachweises (ACC);
- ein AutomatisierungsServer (SRV) eingerichtet zum Empfang und zur Authentisierung des Zugriffsberechtigungsnachwei ses (ACC) sowie zur Zuweisung einer Zugriffsberechtigung an das Automatisierungsgerät (DVC);
- der AutomatisierungsServer (SRV) ferner eingerichtet zum Empfang und zur Authentisierung eines Identitätsnachweises (IDC) des zugriffsberechtigten Automatisierungsgeräts (DVC) und zur Einbindung des bezüglich seiner Identität authentisierten Automatisierungsgeräts (DVC) in das Auto matisierungssystem.
10. Authentisierungsgerät zum Einbinden eines Automatisie rungsgeräts in ein AutomatisierungsSystem gemäß Patentan spruch 9, dadurch gekennzeichnet, dass das Authentisierungs gerät zumindest teilweise als mobiles Kommunikationsendgerät ausgebildet ist.
11. Authentisierungsgerät zum Einbinden eines Automatisie rungsgeräts in ein AutomatisierungsSystem gemäß Patentan spruch 9, dadurch gekennzeichnet, dass das Authentisierungs- gerät zumindest teilweise als Netzwerkgerät, insbesondere als Router oder als Netzwerkswitch ausgebildet ist.
12. Authentisierungsgerät zum Einbinden eines Automatisie rungsgeräts in ein AutomatisierungsSystem gemäß einem der vorgenannten Patentansprüche 9 bis 11, dadurch gekennzeich net, dass das Authentisierungsgerät mehrere miteinander kom munikativ gekoppelte Komponenten umfasst.
EP22734894.3A 2021-07-13 2022-06-08 Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts Pending EP4356565A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP21185262.9A EP4120624A1 (de) 2021-07-13 2021-07-13 Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts
PCT/EP2022/065573 WO2023285039A1 (de) 2021-07-13 2022-06-08 Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts

Publications (1)

Publication Number Publication Date
EP4356565A1 true EP4356565A1 (de) 2024-04-24

Family

ID=76920542

Family Applications (2)

Application Number Title Priority Date Filing Date
EP21185262.9A Withdrawn EP4120624A1 (de) 2021-07-13 2021-07-13 Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts
EP22734894.3A Pending EP4356565A1 (de) 2021-07-13 2022-06-08 Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts

Family Applications Before (1)

Application Number Title Priority Date Filing Date
EP21185262.9A Withdrawn EP4120624A1 (de) 2021-07-13 2021-07-13 Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts

Country Status (4)

Country Link
US (1) US12615255B2 (de)
EP (2) EP4120624A1 (de)
CN (1) CN117941320A (de)
WO (1) WO2023285039A1 (de)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20240430687A1 (en) * 2023-06-21 2024-12-26 Verizon Patent And Licensing Inc. Derived credential service for implementing delegated functions

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007046079A1 (de) * 2007-09-26 2009-04-02 Siemens Ag Verfahren zur Herstellung einer sicheren Verbindung von einem Service Techniker zu einer von einem Störfall betroffenen Komponente einer ferndiagnostizierbaren und/oder fernwartbaren Automatisierungs-Umgebung
US20170026385A1 (en) * 2015-07-23 2017-01-26 Satellite Technologies Llc Method and system for proximity-based access control
US11093626B2 (en) * 2015-11-17 2021-08-17 Idee Limited Security systems and methods for continuous authorized access to restricted access locations
CN110839005B (zh) * 2018-08-17 2023-08-01 恩智浦美国有限公司 装置利用云平台的安全登记
US12069095B2 (en) * 2020-01-22 2024-08-20 Valimail Inc. Automated authentication and authorization in a communication system

Also Published As

Publication number Publication date
WO2023285039A1 (de) 2023-01-19
CN117941320A (zh) 2024-04-26
EP4120624A1 (de) 2023-01-18
US20240340282A1 (en) 2024-10-10
US12615255B2 (en) 2026-04-28

Similar Documents

Publication Publication Date Title
EP2250598B1 (de) Client/server-system zur kommunikation gemäss dem standardprotokoll opc ua und mit single sign-on mechanismen zur authentifizierung sowie verfahren zur durchführung von single sign-on in einem solchen system
EP3125492B1 (de) Verfahren und system zum erzeugen eines sicheren kommunikationskanals für endgeräte
DE102004045147A1 (de) Einstellungsinformations-Verteilungsvorrichtung, Verfahren, Programm und Medium, Authentifizierungseinstellungs-Transfervorrichtung, Verfahren, Programm und Medium und Einstellungsinformations-Empfangsprogramm
DE102008008970B4 (de) Bordnetz-System eines Kraftfahrzeugs mit austauschbarem kryptografischen Schlüssel und/oder Zertifikat
DE102007025162A1 (de) Alarmgesteuerte Zugriffskontrolle in einem Unternehmensnetz
DE102009059893A1 (de) Vorrichtung und Verfahren zum Absichern eines Aushandelns von mindestens einem kryptographischen Schlüssel zwischen Geräten
EP4255004B1 (de) Verfahren und system zum onboarding für ein iot-gerät
EP4179758B1 (de) Authentisierung eines kommunikationspartners an einem gerät
EP3935808B1 (de) Kryptographisch geschütztes bereitstellen eines digitalen zertifikats
DE102018002466A1 (de) Verfahren und Anordnung zum Herstellen einer sicheren Datenübertragungsverbindung
DE102017212474A1 (de) Verfahren und Kommunikationssystem zur Überprüfung von Verbindungsparametern einer kryptographisch geschützten Kommunikationsverbindung während des Verbindungsaufbaus
DE102011007199A1 (de) Verfahren und Kommunikationseinrichtung zum kryptographischen Schützen einer Feldgerät-Datenkommunikation
EP3266186B1 (de) Netzwerkgerät und verfahren zum zugriff einer netzwerkkomponente auf ein datennetz
EP4356565A1 (de) Verfahren und automatisierungssystem zur einbindung eines automatisierungsgeräts
DE102016220231A1 (de) Sichere Ansteuerung von Fahrzeugkomponenten in einem Telekommunikationsnetzwerk
WO2022233806A1 (de) Verfahren zur kommunikation von iot knoten oder iot geräten in einem lokalen netzwerk
EP3585084A1 (de) Einrichtung einer zugangsberechtigung zu einem teilnetzwerk eines mobilfunknetzes
EP4054143A1 (de) Authentifizieren eines gerätes in einem kommunikationsnetz einer automatisierungsanlage
DE112023000147T5 (de) Sicherer unverwalteter netzwerk-switch und entsprechende methoden
WO2023217645A1 (de) Abgesichertes zugriffssystem
EP4115584B1 (de) Gesicherter und dokumentierter schlüsselzugriff durch eine anwendung
EP4687359A1 (de) Verfahren zum einrichten eines benutzergerätes, einrichtungsprogramm, computerlesbarer datenträger, benutzergerät und einrichtungsanordnung dafür
EP4505669A1 (de) Provisionieren von endgeräten in funkkommunikationsnetzen
EP3451263A1 (de) Sicherheitssystem zur ausführung einer elektronischen anwendung
WO2026002646A1 (de) Verfahren und gerät zur bereitstellung und validierung kryptographisch gesicherter geräteidentitätsinformationen

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20240115

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20250131