DE202011110926U1

DE202011110926U1 - Device for confidential communication between nodes in automation networks

Info

Publication number: DE202011110926U1
Application number: DE202011110926.0U
Authority: DE
Original assignee: Individual
Current assignee: Individual
Priority date: 2010-11-13
Filing date: 2011-04-05
Publication date: 2017-05-17
Anticipated expiration: 2021-04-06
Also published as: DE102011016106A1; DE102011016106B4

Abstract

Vorrichtung nach 1 mit einer Schnittstelle zu einem Bus (110), eine Ver-/Entschleierungseinheit (114), ein Ver-/Entschlüsselungsgerät (106), einen Schlüsselgenerator (108), einen Speicherbereich aus einem oder mehreren Speichern (101, 102, 103, 104) mit wahlfreiem Zugriff, einen als EEPROM ausgeführten Algorithmenspeicher (105), eine Schnittstelle zum Feldgerät (109), einen Generator echter Zufallszahlen (107), eine Quantenschlüsselverteilungseinheit QKD (112) mit Schnittstellen für Lichtwellenleiter (113) sowie einen Mikroprozessor mit Systemuhr (111) enthält.Device according to FIG. 1 with an interface to a bus (110), an encryption / de-obfuscation unit (114), an encryption / decryption device (106), a key generator (108), a memory area comprising one or more memories (101, 102, 103 , 104) random access, an algorithm memory (105) embodied as EEPROM, an interface to the field device (109), a random number generator (107), a fiber optic interface quantum key distribution unit (112) QKD (112), and a system clock microprocessor (111).

Description

Stand der Technik Die Komponenten automatisierungstechnischer Anlagen tauschen üblicherweise über Feldbusse offen und unverschlüsselt Daten aus. Letztere sind teilweise sensibel, weil es sich entweder um vertrauliche Informationen über Produkte und Prozesse oder um sicherheitskritische Stellgrößen handeln kann. Es ist bekannt, dass neue Teilnehmer ohne oder nur mit sehr wenigen Sicherheitsprüfungen an automatisierungstechnische Netze geschaltet werden können. Das bezieht sich nicht nur auf die in Automatisierungsarchitekturen üblichen Feldgeräte wie Umrichter, Steuerungen, Sensoren oder Karten mit Ein- und Ausgängen, sondern auch auf Programmiergeräte. Letztere sind üblicherweise als tragbare Rechner ausgeführt und dienen zur Parametrierung und Konfigurierung der Teilnehmer sowie zur Erstellung von Ablaufprogrammen speicherprogrammierbarer Steuerungen. Weiterhin können mit Programmiergeräten Diagnosedaten und Programme ausgelesen und beeinflusst werden. Auf diese Weise ist es für Wirtschaftsspione oder Saboteure sehr einfach, vertrauliche oder sicherheitsrelevante Prozess- oder Programmdaten auszulesen und zu verändern. Vertraulichkeit kann mit aufwändigen physikalischen Mitteln gewährleistet werden. Es ist jedoch günstig und effektiv, dafür geeignete kryptographische Methoden zu verwenden. Die praktisch eingesetzten symmetrischen oder asymmetrischen Verschlüsselungsverfahren verwenden geheime Schlüssel, mit denen die Teilnehmer gegenseitig Daten ver- und entschlüsseln können. Das Prinzip von Kerckhoffs besagt als anerkannter Grundsatz der Kryptographie, dass Schlüssel im Gegensatz zu Verschlüsselungsalgorithmen geheim zu halten sind [12, S. 38]. Diese Schlüssel müssen sicher ausgetauscht werden und dürfen nur den jeweils autorisierten Teilnehmern bekannt sein. Gelingt es Fremden auf irgendeine Weise, in den Besitz von Schlüsseln zu gelangen, können auch sie die ausgetauschten Daten verstehen und sich als vermeintlich berechtigte Teilnehmer unerkannt an der Kommunikation beteiligen. Diese als Janusangriff bezeichnete Angriffsform stellt ein erhebliches Sicherheitsrisiko dar. Nach dem für die Informationstheorie grundlegenden Satz von Shannon gilt ein Verschlüsselungssystem dann als perfekt sicher, wenn die Anzahl der möglichen Schlüssel mindestens so groß wie die Anzahl der möglichen Nachrichten ist. Damit ist die Anzahl der Schlüssel ebenfalls mindestens so groß wie die Anzahl der möglichen Chiffrate, die ihrerseits mindestens so groß wie die Anzahl der möglichen Klartexte sein muss. Heute bekannte Verschlüsselungsverfahren verwenden aber oftmals über längere Zeiträume hinweg ein und dieselben Schlüssel und sind somit durch kryptoanalytische Methoden angreifbar. Beispielsweise wurde in [8] gezeigt, dass die asymmetrische Verschlüsselung nach dem RSA-Verfahren mit 768 Bits langen Schlüsseln zumindest theoretisch gebrochen wurde. Auch das symmetrische Kryptosystem DES gilt nach heutigem Stand bereits als unsicher und wird nicht mehr für die praktische Anwendung empfohlen [1, S. 49]. Andere Verfahren wie 3DES oder AES gelten z. Zt. nur deswegen als sicher, weil die momentan verfügbare Rechenleistung noch nicht hoch genug zum Brechen der Schlüssel ist [1, S. 50 und S. 56]. Es ist also nur eine Frage der Zeit, bis auch solche Verfahren unsicher werden. Lediglich Einmalverschlüsselung ist deshalb wegen der Einmaligkeit der Schlüsselverwendung nach dem Satz von Shannon perfekt sicher [12, S. 11, S. 40ff.]. Nach dem Stand der Technik werden als Grundlage der Schlüsselerzeugung Zufallszahlen verwendet, und zwar in der Regel Pseudozufallszahlen, weil sie schnell und einfach generiert werden können. Diese sind jedoch deterministisch und müssen für die kryptographische Verwendung mit großem Aufwand statistisch nachbereitet werden. Im Unterschied zu Pseudozufallszahlen besitzen echte Zufallszahlen folgende Eigenschaften: Zahlenfolgen sind nicht vorhersagbar; an jeder Stelle einer Zahlenfolge kommt jede Zufallszahl mit gleicher Wahrscheinlichkeit vor; auch Teilsequenzen solcher Folgen sind zufällig; die Zufälligkeit von Zahlenfolgen ist unabhängig von ihren Anfangswerten; bei wiederholter Erzeugung von Zufallszahlen unter gleichen Randbedingungen werden nicht die gleichen Werte produziert. Echte Zufallszahlen sind in Aufgaben der Kryptographie Pseudozufallszahlen vorzuziehen. Ein möglicher Generator echter Zufallszahlen wird in [3] beschrieben. Die Zykluszeiten der Datenkommunikation in der Automatisierungstechnik liegen aktuell bei unter 1 ms, wodurch sich hohe Echtzeitanforderungen ergeben. Ein perfekt sicheres Verschlüsselungssystem muss also mit diesen Zykluszeiten mithalten und in entsprechend kurzer Zeit große Anzahlen neuer, einmaliger Schlüssel zur Verfügung stellen können. Bekannt ist, dass asymmetrische Verschlüsselungsmethoden wie RSA gegenüber symmetrischen wie DES etwa 500 mal langsamer sind (der Baustein Rico-1 von IBM verschlüsselt bspw. ein Datenpaket der Länge 128 Bytes asymmetrisch mit RSA in 23 ms und symmetrisch mit DES hingegen in 54 μs [7]) und deshalb für den kontinuierlichen Kommunikationsbetrieb in der Automatisierungstechnik nicht in Frage kommen. Weiterhin ist bekannt, dass das Protokoll BB84 die sichere quantenphysikalische Übertragung von Bits erlaubt [11]. Allerdings ist die Anzahl der sicher übertragbaren Bits bei weitem nicht ausreichend, um diese allein nach den Anforderungen der Automatisierungstechnik zur Schlüsselerzeugung zu verwenden. Heute im Labor untersuchte Systeme erreichen eine Datenrate von 95 kBd [10, S. 79], womit nur etwa 8 Ethernet-Pakete mit je 12 kBit Nutzlast pro Sekunde verschlüsselt werden können. Auch diese Methode genügt also nicht den harten Echtzeitanforderungen der Automatisierungstechnik. Um sicherzustellen, dass Verschlüsselungsoperationen unter Einhaltung von Echtzeitbedingungen vorgenommen werden können, sehen [13, 4, 5] einige Vorkehrungen wie deren Auslagerung auf separate Module oder Bereithaltung von Schlüsseln in Netzknoten vor. Echt zufällige Saatwerte werden erzeugt und verteilt, um damit in den Netzknoten Einmalschlüssel zu generieren. Nach [4] werden die Verschlüsselungen nacheinander übertragener Nutzdatenblöcke ineinander verschränkt. Die drei Konzepte nach [13, 4, 5] haben gemeinsam, dass sie für jegliche Datenübertragungen jeweils nur ein einziges Netz zur Verfügung stellen.PRIOR ART The components of automation systems usually exchange data openly and unencrypted via field buses. The latter are sometimes sensitive because it can either be confidential information about products and processes or safety-critical variables. It is known that new subscribers can be switched to automation networks without or with very few security checks. This not only applies to the field devices customary in automation architectures, such as converters, controllers, sensors or cards with inputs and outputs, but also to programming devices. The latter are usually designed as portable computers and are used for parameterization and configuration of the participants as well as for creating sequence programs of programmable logic controllers. Furthermore, diagnostic data and programs can be read out and influenced with programming devices. In this way it is very easy for business spies or saboteurs to read and modify confidential or security-relevant process or program data. Confidentiality can be guaranteed with complex physical means. However, it is convenient and effective to use suitable cryptographic methods for this. The symmetric or asymmetric encryption methods used in practice use secret keys with which the users can mutually encrypt and decrypt data. The principle of Kerckhoffs, as a recognized principle of cryptography, is that keys, unlike encryption algorithms, are kept secret [12, p. 38]. These keys must be securely exchanged and may only be known to the authorized subscribers. If strangers somehow manage to gain possession of keys, they too can understand the data that has been exchanged and, as the supposedly legitimate participants, participate in the communication unrecognized. This form of attack, known as the Janus attack, poses a significant security risk. According to Shannon's basic information theory theorem, an encryption system is considered perfectly secure if the number of possible keys is at least as large as the number of possible messages. Thus, the number of keys is also at least as large as the number of possible ciphers, which in turn must be at least as large as the number of possible plain texts. However, cryptographic methods known today often use one and the same key over a longer period of time and can therefore be attacked by cryptanalytic methods. For example, it was shown in [8] that asymmetric encryption using the RSA method with 768-bit keys was at least theoretically broken. Even the symmetric cryptosystem DES is considered to be uncertain at present and is no longer recommended for practical use [1, p. 49]. Other methods such as 3DES or AES apply z. At the moment, it is only certain because the currently available computing power is not yet high enough to break the key [1, p. 50 and p. 56]. So it's only a matter of time before such procedures become uncertain. Therefore, single-use encryption is perfectly secure because of the uniqueness of key usage according to Shannon's theorem [12, p. 11, p. 40ff.]. According to the state of the art, random numbers are used as the basis of the key generation, generally pseudorandom numbers, because they can be generated quickly and easily. However, these are deterministic and must be statistically postprocessed for cryptographic use with great effort. In contrast to pseudo-random numbers, true random numbers have the following properties: Number sequences are unpredictable; at every point of a sequence of numbers every random number occurs with equal probability; also partial sequences of such consequences are coincidental; the randomness of sequences of numbers is independent of their initial values; with repeated generation of random numbers under the same boundary conditions, the same values are not produced. Real random numbers are preferable to cryptographic pseudorandom numbers in cryptography tasks. A possible generator of true random numbers is described in [3]. The cycle times of data communication in automation technology are currently under 1 ms, which results in high real-time requirements. A perfectly secure encryption system must therefore keep up with these cycle times and be able to provide large numbers of new, one-time keys in a correspondingly short time. It is known that asymmetric encryption methods such as RSA are about 500 times slower than symmetric ones like DES (the module Rico-1 from IBM, for example, encrypts a data packet of length 128 bytes asymmetrically with RSA in 23 ms and symmetrically with DES in 54 μs [7 ]) and therefore not suitable for continuous communication operation in automation technology. Furthermore, it is known that the BB84 protocol allows the secure quantum-physical transmission of bits [11]. However, the number of securely transferable bits is far from sufficient to use them alone according to the requirements of automation technology for key generation. Today, systems tested in the laboratory achieve a data rate of 95 kBd [10, p. 79], which means that only about 8 Ethernet packets with 12 kBit payload per second can be encrypted. This method, too, does not meet the hard real-time requirements of automation technology. To ensure that encryption operations are performed under real-time conditions [13, 4, 5] provide some precautions, such as outsourcing them to separate modules or keeping keys in network nodes. Really random seed values are generated and distributed to generate one-time keys in the network nodes. According to [4], the encryptions of consecutively transmitted payload data blocks are interlaced. The three concepts according to [13, 4, 5] have in common that they provide only a single network for each data transmission.

Problem Vor dem oben umrissenen Hintergrund besteht die Aufgabe der vorliegenden Erfindung darin, eine Vorrichtung zur sicheren Verteilung von Zufallszahlen bereitzustellen, die permanent neue Einmalschlüssel generieren und mit diesen dann verschlüsselte Bitströme erzeugen kann, die perfekt sicher den hohen Echtzeitanforderungen der Automatisierungstechnik genügen. Eine weitere Aufgabe ist der authentifizierte Betrieb von Netzknoten und deren gegenseitige Überwachung. Die Vorrichtung und das darin ablaufende Verfahren sollen nicht nur verhindern, dass Kommunikationsinhalte offengelegt werden, sondern darüber hinaus auch sicherstellen, dass die berechtigten Netzteilnehmer einer ständigen Kontrolle unterliegen, so dass keine Angreifer in die Netze eindringen oder dort agieren können.Problem Against the background outlined above, the object of the present invention is to provide a device for the secure distribution of random numbers that can permanently generate new one-time keys and then generate encrypted bit streams with them, which perfectly perfectly meet the high real-time requirements of automation technology. Another task is the authenticated operation of network nodes and their mutual monitoring. The device and the method running therein are not only intended to prevent communication contents from being disclosed, but also to ensure that the authorized network subscribers are subject to constant control, so that no attackers can penetrate or act on the networks.

Lösung Im Folgenden wird zunächst eine Vorrichtung, genannt Kryptomodul, beschrieben (vgl. 1), die als Netzknoten jeweils zwischen ein automatisierungstechnisches Gerät und einen Feldbus geschaltet wird und eine Schnittstelle zu diesem Automatisierungsfeldbus (110), eine Ver-/Entschleierungseinheit (114), ein Ver-/Entschlüsselungsgerät (106), einen Schlüsselgenerator (108), einen Speicherbereich aus einem oder mehreren Speichern (101, 102, 103, 104) mit wahlfreiem Zugriff, einen als EEPROM ausgeführten Algorithmenspeicher (105), eine Schnittstelle zum Feldgerät (109), einen Generator echter Zufallszahlen (107), eine Quantenschlüsselverteilungseinheit QKD (112) mit Schnittstellen für Lichtwellenleiter (113) sowie einen Mikroprozessor mit Systemuhr (111) enthält. Die Verschleierungseinheit (114) sowie deren Funktionsweise sind in [2], die zur Schlüsselerzeugung notwendigen Algorithmen des Algorithmenspeichers (105) in [9, S. 46f. und S. 76f.], ein echtzeitfähiges Bussystem mit Zeitsynchronisierung ist in [6, S. 54ff.] und eine Einheit zur quantenphysikalischen Verteilung von Schlüsseln über Lichtwellenleiter (112) in [14] ausführlich beschrieben. Über letztere Einheit werden in der vorliegenden Erfindung die Zeitsynchronisierung aus [6] vorgenommen und zusätzlich noch weitere Daten ausgetauscht. Sie besitzt jeweils einen Ein- und einen Ausgang als Schnittstelle für Lichtwellenleiter (113). Desweiteren übernimmt ein gerätetechnisch ausgeführter und mit einem Kryptomodul ausgerüsteter Leitknoten (201) als übergeordnete Instanz zentrale Aufgaben im Netz, z. B. zeitliche Synchronisierung aller Teilnehmer (202, 203, 204), die mögliche Identitätsprüfung aller Teilnehmer sowie Erzeugen und Versenden neuer, echter Zufallszahlen zur Schlüsselerzeugung (vgl. 2 und [6]). Die Kryptomodule übernehmen als Netzknoten die gesamte Kommunikation im Netz und sind untereinander durch zwei Leitungen verbunden: Zum Einen durch den Feldbus (205) zur Kommunikation der Prozessdaten und zum Anderen durch den Lichtwellenleiter (206), über den die zeitliche Synchronisierung erfolgt und kryptographische Daten und die Zufallszahlen quantenphysikalisch übermittelt werden. Da mit Laserdioden arbeitende Lichtwellenleitersysteme in der Lage sind, durch Modenmodifikation unterschiedliche Kanäle gleichzeitig im Lichtwellenleiter zu nutzen, können quantenphysikalisch als auch nicht-quantenphysikalisch erzeugte Daten über einen einzigen Lichtwellenleiter auf unterschiedlichen Kanälen gesendet werden. Das im Folgenden beschriebene Verfahren unterscheidet drei Betriebsarten (vgl. auch Zeile 353). Neu eingeschaltete Kryptomodule (202, 203, 204) befinden sich im Inbetriebnahmemodus und die Speicher (101, 102, 103, 104) aller dieser Knoten sind dann leer. Lediglich das Betriebssystem und die Programme in den Algorithmenspeichern sind fest und auslesesicher implementiert. Die Kryptomodule melden sich beim Leitknoten (201) an und fordern dort durch einen Protokollbefehl echte Zufallszahlen sowie die Systemzeit an. Der Leitknoten startet daraufhin die Synchronisierung der Systemzeit, erzeugt die Zufallszahlen Z_k und verteilt sie quantenphysikalisch über den Lichtwellenleiter (206) an die jeweiligen Kryptomodule (202, 203, 204). Der Index k bezeichnet dabei die Reihenfolge, in der die Zufallszahlen von den empfangenden Kryptomodulen verarbeitet werden müssen. Weiterhin teilt der Leitknoten allen Kryptomodulen die Gesamtzahl N der im Netz vorhandenen Kryptomodule mit und weist jedem Kryptomodul eine Ordnungsnummer N_m aufsteigend von m = 1 bis N zu. Das Kryptomodul des Leitknotens erhält immer die Ordnungsnummer N₀. In jedem Kryptomodul (202, 203, 204) werden dann die vorhandenen Speicher (101, 102, 103) in so viele Speicherbereiche S_N eingeteilt, wie Kryptomodule im Netz vorhanden sind. Diese Speicherbereiche werden nochmals in je drei gleichgroße Sektoren unterteilt. Mit den übertragenen Zufallszahlen erzeugen dann die Kryptomodule Kommunikationsschlüssel K_kj nach einem durch den Leitknoten zufällig ausgewählten, für alle Kryptomodule identischen und im Algorithmenspeicher (105) vorgehaltenen Algorithmus und schreiben diese in die vorbereiteten sektorisierten Speicherbereiche der Speicher (101, 102, 103) und in den Identspeicher (104), sodass anschließend die einander entsprechenden Speicherbereiche sowie die Identspeicher aller Kryptomodule identischen Inhalt aufweisen. Die vorgenommene Organisation der Speicher führt zwar dazu, dass alle Kryptomodule identische Informationen über die vorhandenen Schlüssel besitzen. Jedes Kryptomodul verwendet jedoch individuell für die Verschlüsselung der eigenen Daten ausschließlich und eineindeutig den Speicherbereich mit genau den drei Sektoren, der seiner Ordnungsnummer entspricht. Für jedes Kryptomodul N_m ist das der Speicherbereich S_m. Die anderen Bereiche dienen ausschließlich der Entschlüsselung der von den jeweils anderen Kryptomodulen verschickten Daten. Um informationstheoretische Sicherheit zu gewährleisten, muss die Länge der in den Speichern abgelegten Schlüssel nach dem Satz von Shannon der Länge der zu verschlüsselnden Daten entsprechen. Je nach verwendetem Feldbusstandard muss die Schlüssellänge an die jeweilige Nutzdatenlänge angepasst werden. Zur Bestätigung, dass alle Kryptomodule die gleichen Zufallszahlen erhalten und daraus an den entsprechenden Speicherplätzen identische Schlüssel erzeugt haben, fragt der Leitknoten verschlüsselt zufällig ausgewählte Speicherplätze ab und vergleicht diese mit den entsprechenden Speicherplätzen des eigenen Kryptomoduls. Ist die Schlüsselabfrage erfolgreich, startet der Leitknoten den im folgenden Ausführungsbeispiel beschriebenen Betriebsmodus.Solution In the following, first a device, called crypto module, is described (cf. 1 ), which is connected as a network node in each case between an automation device and a field bus and an interface to this automation field bus ( 110 ), an obfuscation unit ( 114 ), an encryption / decryption device ( 106 ), a key generator ( 108 ), a memory area from one or more memories ( 101 . 102 . 103 . 104 ) with random access, an algorithm memory executed as EEPROM ( 105 ), an interface to the field device ( 109 ), a generator of real random numbers ( 107 ), a quantum key distribution unit QKD ( 112 ) with interfaces for optical waveguides ( 113 ) and a microprocessor with system clock ( 111 ) contains. The obfuscation unit ( 114 ) as well as their mode of operation are in [2], the algorithms of the algorithm memory necessary for the key generation ( 105 ) in [9, p. 46f. and p. 76f.], a real time-capable bus system with time synchronization is described in [6, p. 54ff.] and a unit for the quantum physical distribution of keys via optical fibers ( 112 ) in [14]. About the latter unit in the present invention, the time synchronization made from [6] and additionally exchanged more data. It has one input and one output as interface for optical fibers ( 113 ). Furthermore, a device-specific executed and equipped with a crypto module master node ( 201 ) as a higher-level instance central tasks in the network, eg. B. temporal synchronization of all participants ( 202 . 203 . 204 ), the possible identity check of all participants and generation and sending of new, real random numbers for key generation (cf. 2 and [6]). The crypto modules take over the entire communication in the network as a network node and are interconnected by two lines: On the one hand through the fieldbus ( 205 ) for the communication of the process data and on the other hand through the optical waveguide ( 206 ), via which the temporal synchronization takes place and cryptographic data and the random numbers are transmitted by quantum physics. Since optical waveguide systems operating with laser diodes are able to use different channels simultaneously in the optical waveguide by mode modification, data generated by quantum physics as well as non-quantum physics can be transmitted on different channels via a single optical waveguide. The procedure described below differentiates between three operating modes (see also line 353). Newly activated crypto modules ( 202 . 203 . 204 ) are in commissioning mode and the memories ( 101 . 102 . 103 . 104 ) of all these nodes are then empty. Only the operating system and the programs in the algorithm memories are fixed and read-only implemented. The crypto modules report to the master node ( 201 ) and request there by a protocol command true random numbers and the system time. The master node then starts the synchronization of the system time, generates the random numbers Z _k and distributes them quantum physically via the optical waveguide (FIG. 206 ) to the respective cryptomodule ( 202 . 203 . 204 ). The index k designates the order in which the random numbers have to be processed by the receiving crypto modules. Furthermore, the master node notifies all crypto modules the total number N of the crypto modules present in the network and assigns each ordinate an ordinal number N _m ascending from m = 1 to N to each crypto module. The crypto module of the master node always receives the ordinal number N ₀ . In each crypto module ( 202 . 203 . 204 ) then the existing memory ( 101 . 102 . 103 ) are divided into as many storage areas S _N as there are crypto modules in the network. These memory areas are again divided into three equal sectors. With the transferred random numbers, the crypto modules then generate communication keys K _kj according to a randomly selected by the master node, identical for all crypto modules and in the algorithm memory ( 105 ) and write them into the prepared sectorized memory areas of the memories ( 101 . 102 . 103 ) and in the memory ( 104 ), so that then have the corresponding memory areas and the memory Idents of all crypto modules identical content. The organization of the memory, however, leads to the fact that all crypto modules have identical information about the existing ones Own key. However, each crypto module uses only for the encryption of its own data exclusively and one-to-one the memory area with exactly the three sectors, which corresponds to its ordinal number. For each crypto module N _{m this} is the memory area S _m . The other areas serve only for the decryption of the data sent by the other crypto modules. To ensure information-theoretical security, the length of the keys stored in the memories must correspond to the length of the data to be encrypted according to the Shannon theorem. Depending on the fieldbus standard used, the key length must be adapted to the respective user data length. To confirm that all crypto modules have received the same random numbers and have generated identical keys at the corresponding memory locations, the master node queries encrypted randomly selected memory locations and compares them with the corresponding memory locations of the own crypto module. If the key inquiry is successful, the master node starts the operating mode described in the following exemplary embodiment.

Ausführungsbeispiel Je ein Kryptomodul wird je einem der im Automatisierungsnetz eingesetzten Geräte vorgeschaltet. Die Geräte selbst erzeugen und verarbeiten fortlaufend Prozessdaten. Von den Geräten abgehende Daten werden über die Schnittstelle (109) an das Kryptomodul übergeben, dort mit einem Zeitstempel versehen, mit einem zufällig aus dem individuell zugehörenden Speicherbereich entnommenen Schlüssel verschlüsselt, verschleiert und anschließend über die Schnittstelle (110) an den Feldbus übergeben und verschickt. Wie bereits beschrieben, besteht jeder individuell genutzte Speicherbereich aus genau drei Sektoren, beziffert mit 1, 2 und 3 (vgl. 3). Jeder dieser Sektoren (301, 302, 303) kann sich in genau einem Betriebszustand befinden. Im Aktivzustand (A) befindet sich ein mit Schlüsseln gefüllter und aktiv arbeitender Sektor, ein weiterer im Passivzustand (P) befindlicher Sektor ist ebenfalls mit Schlüsseln gefüllt und so vorbereitet, dass bei Bedarf umgeschaltet und sofort Schlüssel entnommen werden können. Da durch den laufenden Betrieb aus dem jeweils im Aktivzustand befindlichen Sektor Schlüssel entnommen werden und in diesem Sektor wegen der Einmalverwendung der Schlüssel immer weniger ungebrauchte Schlüssel bereit stehen, ist ein Regenerierungszustand (R) notwendig, in dem der zuletzt sich im Aktivzustand befunden habende Sektor mit neuen Schlüsseln befüllt wird. Durch ein Ablaufprogramm mit entsprechenden Verriegelungen wird erreicht, dass sich nur ein Sektor immer in der gleichen Reihenfolge in genau einem der drei Zustände befinden kann. Nach der Initialisierung durch den Inbetriebnahmemodus steht dann Sektor 1 im Zustand A (aktiv), Sektor 2 im Zustand P (passiv) und Sektor 3 im Zustand R (regenerieren).Exemplary embodiment Each crypto module is preceded in each case by one of the devices used in the automation network. The devices themselves continuously generate and process process data. Data coming from the devices is sent via the interface ( 109 ) to the crypto module, provided there with a time stamp, encrypted with a random taken from the individually belonging memory area key, concealed and then via the interface ( 110 ) to the fieldbus and sent. As already described, each individually used memory area consists of exactly three sectors, numbered 1, 2 and 3 (cf. 3 ). Each of these sectors ( 301 . 302 . 303 ) can be in exactly one operating state. In the active state (A) there is a sector filled with keys and actively working, another sector in the passive state (P) is also filled with keys and prepared in such a way that it can be switched over as required and keys can be removed immediately. Since keys are removed by the current operation from the respectively active in the active sector and in this sector due to the one-time use of the keys less and less unused keys are ready, a regeneration state (R) is necessary, in which the last was in the active state having sector filled with new keys. A sequence program with corresponding interlocks ensures that only one sector can always be in exactly the same order in exactly one of the three states. After initialization by the commissioning mode then sector 1 is in the state A (active), sector 2 in the state P (passive) and sector 3 in the state R (regenerate).

Mittels von im Zufallszahlengenerator des Kryptomoduls erzeugter Zufallszahlen werden die für die Verschlüsselung notwendigen Schlüssel zufällig aus dem jeweiligen im Aktivzustand befindlichen Sektor ausgewählt. Die Speicherplatzadresse des Schlüssels und die Nummer des verwendeten Sektors werden mit dem Paket der Nutzdaten verschleiert übertragen. Die zufällige Auswahl des Speicherplatzes dient ebenso wie die Verschleierung der Daten der kryptographischen Konfusion und Diffusion. Zur Umsetzung des Konzepts der Einmalverschlüsselung muss durch geeignete Mechanismen sichergestellt sein, dass jeder Schlüssel vom jeweiligen Kryptomodul nur einmal verwendet werden kann. Zum Beispiel kann durch Setzen eines Merkers angezeigt werden, dass die jeweilige Adresse für die Verschlüsselung verwendet wurde und somit nicht mehr zur Verfügung steht. Nach einem definierten Zeitintervall gibt der Leitknoten einen Umschaltbefehl, durch den die Zustände der Sektoren gewechselt werden (vgl. 4 und 5). Der bisher im Passivzustand stehende Sektor 2 geht in den Aktivzustand A (302), der regenerierte Sektor 3 geht in den Passivzustand als neuer passiv bereiter Sektor (303) über und der zuletzt im Aktivzustand befindliche Sektor 1 wird im Regenerationszustand R mit neuen Schlüsseln geladen (301). Nach erneutem Ablauf des definierten Zeitintervalls gibt der Leitknoten wieder den Umschaltbefehl zum Zustandswechsel (vgl. 6 und 7). Der bisher im Passivzustand befindliche Sektor 3 geht in den Aktivzustand A (303) und der bisher im Regenerationszustand befindliche Sektor 1 in den Passivzustand (301) über, während der bisher im Aktivzustand befindliche Sektor 2 in den Regenerationszustand wechselt und die Schlüssel erneuert (302). In definierten Zeitintervallen werden die Zustandswechsel kontinuierlich wiederholt (vgl. 6 und 7). Damit auch Daten entschlüsselt werden können, die zeitlich vor einem Umschaltbefehl versendet wurden, aber durch die Signallaufzeiten erst nach dem Umschaltbefehl beim Empfänger ankommen, beginnt die Regenerierung des jeweiligen Sektors um eine der maximal im Netz möglichen Signallaufzeit entsprechenden Zeitspanne später, um die Schlüssel nicht sofort zu verlieren. Dazu wird die Regenerierung entsprechend vom Mikroprozessor gesteuert. Die Verschleierung erfolgt nach [2] durch zufallsbestimmte Zerstückelung von Bytes in kleinere Bitfolgen, die dann jeweils mit Zufallsbits zu ganzen Bytes aufgefüllt werden. So entstandene Bytes enthalten also eine zufällig bestimmte Zahl von Datenbits und eine zu 8 ergänzende Anzahl Zufallsbits. Dieser vom Zufallsgenerator des Kryptomoduls lokal immer neu generierte Verschleierungszeiger wird nicht in das zu übertragende Paket der Nutzdaten integriert, sondern in einer separaten Nachricht über den Lichtwellenleiter an den Empfänger verschickt. Es existieren damit zwei unterschiedliche, gleichzeitig verschickte und zueinander gehörende Partnerpakete auf den beiden unterschiedlichen Übertragungswegen: Ein Paket P_Fs, das über den Feldbus übertragen wird und im Klartext Start- und Zieladresse und den Zeitstempel, verschleiert die Bezeichnung der verwendeten Schlüsselspeicherplätze sowie verschlüsselt und verschleiert die Nutzdaten enthält, sowie ein zweites Paket P_Ls, das zwar mittels der Quantenschlüsselverteilungseinheit, aber nicht quantenphysikalisch über den Lichtwellenleiter übertragen wird und im Klartext den Verschleierungszeiger, die Absende- und Empfangsadresse und verschleiert den Zeitstempel enthält. Die Verbindungsglieder und eindeutigen Zuordnungsmerkmale der Partnerpakete sind also die Absende und Empfangsadresse sowie der Zeitstempel (2). Die Verschleierung des Zeitstempels verhindert die offensichtliche Verbindung zueinander gehörender Partnerpakete. Potentielle Angreifer können aus der Adressenzuordnung lediglich den Absende- und Zielort identifizieren. Es kann aber nicht festgestellt werden, welche Partnerpakete miteinander verbunden sind. Beide Pakete werden dem gleichen Empfänger zugestellt und dort zunächst zwischengespeichert. Paket P_Ls wird mit Hilfe des mitversandten Verschleierungszeigers als erstes entschleiert und legt den Zeitstempel offen. Durch den offengelegten Zeitstempel wird das Partnerpaket P_Fs identifiziert und kann mit dem Verschleierungszeiger entschleiert und anschließend mit den offengelegten Schlüsselspeicherplätzen vollständig entschlüsselt werden. Die dann als Klartext vorliegenden Prozessdaten werden zur Weiterverarbeitung an das automatisierungstechnische Gerät weitergegeben. Ein weiterer Verfahrensinhalt ist die Zuordnung und Steuerung von Kontrollinstanzen (vgl. 8). Der Leitknoten (801) bestimmt zufällig und temporär wechselnd für jedes Kryptomodul (804) zwei andere Kryptomodule (802, 803) als Kontrollinstanzen. Diese prüfen in zufällig bestimmten Zeitabständen das zugeordnete Kryptomodul (804) durch Abfragen des Inhalts zufällig bestimmter Speicheradressen des Identspeichers. Diese Abfragen erfolgen über den Lichtwellenleiter, um den Datenverkehr auf dem Feldbus nicht zu belasten. Der Inhalt des Identspeichers ist nur autorisierten Teilnehmern bekannt. Mit einer Abfrage wird das zu prüfende Kryptomodul (804) aufgefordert, verschlüsselt, jedoch nicht quantenphysikalisch den Inhalt eines bestimmten Speicherbereichs des Identspeichers über den Lichtwellenleiter zu senden. Das jeweils anfragende Kryptomodul (802, 803) prüft die Antwort durch Vergleich mit dem entsprechenden Eintrag im eigenen Identspeicher und leitet gegebenenfalls das Ergebnis „falsch” an den Leitknoten (801) weiter. Als übergeordnete Instanz fragt dieser das betreffende Kryptomodul (804) noch einmal ab und alarmiert bei erneuter Fehlermeldung das Bedienpersonal oder schaltet das Kryptomodul (804) in den Haltmodus.By means of random numbers generated in the random number generator of the crypto module, the keys necessary for the encryption are randomly selected from the respective sector in active state. The memory location address of the key and the number of the sector used are transmitted with the packet of user data obfuscated. The random selection of the memory space serves as well as the concealment of the data of the cryptographic confusion and diffusion. In order to implement the concept of the one-time encryption, suitable mechanisms must ensure that each key can only be used once by the respective crypto module. For example, by setting a flag, it can be displayed that the respective address was used for the encryption and thus is no longer available. After a defined time interval, the master node issues a switchover command which changes the states of the sectors (cf. 4 and 5 ). The previously passive state sector 2 goes into the active state A ( 302 ), the regenerated sector 3 enters the passive state as a new passive sector ( 303 ) and the last active state in the sector 1 is loaded in the regeneration state R with new keys ( 301 ). After renewed expiration of the defined time interval, the master node again gives the changeover command to the state change (cf. 6 and 7 ). The previously in passive state sector 3 goes into the active state A ( 303 ) and the previously in the regeneration state sector 1 in the passive state ( 301 ), while the previously active state in the sector 2 changes to the regeneration state and renewed the keys ( 302 ). At defined time intervals, the state changes are continuously repeated (cf. 6 and 7 ). So that data can also be decrypted, which were sent in time before a switching command, but arrive at the receiver by the signal delays only after the switching command, the regeneration of the respective sector begins by one of the maximum signal propagation time possible in the network later time to the keys not immediately to lose. For this purpose, the regeneration is controlled accordingly by the microprocessor. The obfuscation is carried out according to [2] by randomly fragmenting bytes into smaller bit sequences, which are then filled with random bits into whole bytes. So resulting bytes thus contain a randomly determined number of data bits and a number of random bits complementary to 8. This randomly generated locally from the random generator of the crypto module obfuscation pointer is not integrated into the packet to be transmitted of the user data, but sent in a separate message via the optical fiber to the receiver. There are thus two different, simultaneously sent and mutually belonging partner packages on the two different transmission paths: A Packet P _Fs , which is transmitted via the fieldbus and plaintext start and end address and the time stamp, disguises the name of the key storage locations used and encrypted and veiled contains the payload, and a second packet P _Ls , although by means of the quantum key distribution unit, but not quantum physically transmitted over the optical fiber and contains in plain text the concealment pointer, the send and receive address and obscured the time stamp. The connecting links and unique assignment characteristics of the partner packets are therefore the sender and recipient address as well as the time stamp ( 2 ). The obfuscation of the timestamp prevents the obvious connection of affiliated partner packages. Potential attackers can only identify the sender and destination from the address mapping. However, it can not be determined which partner packages are interconnected. Both packets are delivered to the same recipient and stored there first. Package P _Ls is first unveiled with the help of the concealed obstruction pointer and opens the time stamp. The disclosed timestamp identifies the partner packet P _Fs and can be unveiled with the obscurity pointer and then completely decrypted with the disclosed key memory locations. The process data then available in plain text are forwarded to the automation device for further processing. Another content of the procedure is the assignment and control of control bodies (cf. 8th ). The master node ( 801 ) determines randomly and temporarily changing for each crypto module ( 804 ) two other cryptomodules ( 802 . 803 ) as control bodies. These check the allocated crypto module (at randomly determined intervals) ( 804 ) by querying the contents of randomly determined memory addresses of the ident memory. These queries are made via the optical fiber so as not to burden the data traffic on the fieldbus. The content of the ID memory is known only to authorized subscribers. With a query, the crypto module to be tested ( 804 ), but not encrypted, but not quantum physical to send the contents of a specific memory area of the memory Idents via the optical fiber. The requesting crypto module ( 802 . 803 ) examines the answer by comparison with the corresponding entry in its own memory and, if appropriate, forwards the result "false" to the master node (FIG. 801 ) further. As a higher-level instance, this queries the crypto module ( 804 ) again and alerts the operating personnel if the error message appears again or switches the crypto module ( 804 ) into the hold mode.

Durch die Erfindung erreichte Vorteile Das dargestellte, neue Verfahren erfüllt den Anspruch an perfekte Sicherheit durch Verwendung der Einmalverschlüsselung. Durch ständige Bereitstellung einer großen Anzahl von Einmalschlüsseln, auf die ohne zeitliche Verzögerung kontinuierlich und endlos zugegriffen werden kann, sind hohe Verarbeitungsgeschwindigkeiten unter Echtzeitbedingungen möglich. Durch den gemeinsamen Einsatz von Verschlüsselung und Verschleierung wird die Sicherheit noch erhöht. Das Verfahren ist für alle Feldbusse anwendbar, da es unabhängig von den bekannten Protokollen arbeitet. Die praktische Verwendbarkeit ist durch den Einsatz von Standardkomponenten gewährleistet. Durch fortlaufende Überprüfung der Knoten durch Kontrollinstanzen werden Fremdknoten, die nicht-autorisiert im Netz agieren, erkannt und von der weiteren Kommunikation ausgeschlossen, um Spionage zu verhindern.Advantages Achieved by the Invention The presented new method meets the requirement of perfect security by using the one-time encryption. Constantly providing a large number of disposable keys that can be continuously and endlessly accessed without time delay allows high processing speeds under real-time conditions. Through the combined use of encryption and concealment, security is increased. The method is applicable to all fieldbuses because it operates independently of the known protocols. The practical usability is ensured by the use of standard components. By continuously checking the nodes by control bodies, foreign nodes acting unauthorized in the network are recognized and excluded from further communication in order to prevent espionage.

Literaturliterature

[1] R. Bless, S. Mink, E. Blass, M. Conrad, H. Hof, K. Kutzner and M. Scholler: Secure Network Communication. Berlin-Heidelberg: Springer-Verlag 2005
[2] Patent DE 10 2005 006 713
[3] Patent Application DE 10 2010 021 307.1
[4] Disclosure DE 10 2010 042 539 A1
[5] Disclosure DE 10 2011 014 950 A1
[6] Th. Erdner: Design of a real-time capable fault-tolerant fieldbus system. Fortschr.-Ber. VDI Series 10 No. 722. Dusseldorf: VDI Verlag 2003, ISBN 3-18-372210-0
[7] IBM Tokyo Research Laboratory: High Performance RSA Hardware Accelerator Design. RSA Conference 1998, http://www.trl.ibm.com/projects/rsa/rsaconf.pdf
[8th] T. Kleinjung, K. Aoki, J. Franke, AK Lenstra, E. Thomé, JW Bos, P. Gaudry, A. Kruppa, PL Montgomery, DA Osvik, H. te Riele, A. Timofeev and P. Zimmermann: Factorization of a 768-bit RSA modulus. Version 1.4, 18th Feb. 2010, http://eprint.iacr.org/2010/006
[9] P. Li: Spatiotemporal Chaos-based Multimedia Cryptosystems. Fortschr.-Ber. VDI Series 10 No. 777. Dusseldorf: VDI-Verlag 2007, ISBN 318-377710-5
[10] S. Schreiner: Free Space Optical Quantum Cryptography. Diploma thesis in the Department of Physics of the Ludwig-Maximilians-University Munich, 2007 http: //xqp.physik.unimuenchen.de/publications/files/theses_diplom/diplom_schreiner.pdf
[11] SECOQC Press Release, Oct. 8, 2008, http://www.secoqc.net/downloads/pressrelease/SECOQC_PRESSE%20INF0_english.pdf
[12] J. Swoboda, S. Spitz and M. Pramateftakis: Cryptography and IT Security. Vieweg + Teubner Verlag 2008
[13] Disclosure US 2003/0018892 A1
[14] Y. Zhao, B. Qi, X. Ma, H. Lo, and Li Qian: Experimental Quantum Key Distribution with Decoy States, Feb. 24, 2006, http://www.ecf.utoronto.ca/qianli/publications/Decoy_PRL_2006 .pdf

Erläuterungen zu den eingereichten ZeichnungenExplanations to the submitted drawings

1: Aufbau des Kryptomoduls 1 : Structure of the crypto module

2: Anbindung der Kryptomodule durch Lichtwellenleiter 2 : Connection of cryptomodules by optical fibers

3: Initialisierungsphase 3 : Initialization phase

4: Funktionsweitergabe 4 : Function transfer

5: Betriebsphase mit neuen Funktionen 5 : Operating phase with new functions

6: Funktionsweitergabe 6 : Function transfer

7: Betriebsphase mit neuen Funktionen 7 : Operating phase with new functions

8: Kontrollinstanzen 8th : Control bodies

Claims

Device after 1 with an interface to a bus ( 110 ), an obfuscation unit ( 114 ), an encryption / decryption device ( 106 ), a key generator ( 108 ), a memory area from one or more memories ( 101 . 102 . 103 . 104 ) with random access, an algorithm memory executed as EEPROM ( 105 ), an interface to the field device ( 109 ), a generator of real random numbers ( 107 ), a quantum key distribution unit QKD ( 112 ) with interfaces for optical waveguides ( 113 ) and a microprocessor with system clock ( 111 ) contains.

Apparatus according to claim 1, characterized in that the individual memories are also memory areas of only one memory.

Apparatus according to claim 1 or 2, characterized in that the device is integrated in a network node.

Apparatus according to claim 1 to 3, characterized in that the device is a single device and can act independently of a network node.

Apparatus according to claim 1 to 4, characterized in that the interfaces ( 109 . 110 . 113 ) are each a wireless connection.

Apparatus according to claim 1 to 5, characterized in that the random number generator ( 107 ) generates values other than true random numbers.

Apparatus according to claim 1 to 6, characterized in that the individual elements according to 1 are logically distributed across multiple devices.