BR112016019052B1 - Método para autorizar um dispositivo por meio de uma mensagem e segundo dispositivo para autorizar um dispositivo por meio de uma mensagem - Google Patents

Abstract

MÉTODO PARA GERAR UMA MENSAGEM COMPREENDENDO UM CERTIFICADO DE UM DISPOSITIVO, MÉTODO PARA AUTORIZAR UM DISPOSITIVO POR MEIO DE UMA MENSAGEM, MENSAGEM, PRIMEIRO DISPOSITIVO PARA GERAR UMA MENSAGEM, E SEGUNDO DISPOSITIVO PARA AUTORIZAR UM DISPOSITIVO POR MEIO DE UMA MENSAGEM. A presente invenção refere-se a métodos e aparelhos para usar certificados (ZERT) usando uma lista positiva (WL). Isto compreende uma mensagem (VMSG), onde a mensagem (VMSG) envolve um certificado (ZERT) para um dispositivo (G), o certificado (ZERT) incluindo uma assinatura (SIG) para verificação (PROOF1) da autenticidade do certificado (ZERT), e uma informação de admissibilidade (ZINFO) para determinação (PROOF2) da admissibilidade do certificado (ZERT) usando uma lista positiva (WL), sendo tomada como base para executar autorização para o dispositivo (G) sujeito à verificação e determinação. A presente invenção também pode ser usada em ambientes industriais ou médicos.

Description

[001] A presente invenção refere-se a métodos e dispositivos para usar certificados por meio de uma lista positiva.

[002] Nos últimos tempos, ataques mal intencionados também conhecidos por "ataques hackers" a sistemas de automação vêm crescendo significativamente. Assim, certificados digitais vêm sendo usados em dispositivos, tais como robôs de produção ou dispositivos de controle, para autenticação de tais dispositivos. A autenticação garante, por exemplo, que somente dispositivos autenticados positivamente sejam operados no sistema de automação. Similarmente, certificados digitais pessoais também podem ser usados em um ambiente industrial, por exemplo, para dar acesso a um técnico de manutenção.

[003] De acordo com o documento [1], "um certificado digital [..] é um registro de dado digital, que confima características particulares de pessoas ou objetos, cuja autenticidade e integridade podem ser auferidas por métodos criptográficos. Em particular, o certificado digital contém os dados requeridos para testá-los".

[004] Ademais, de acordo com o documento [2], "um certificado de atributo [..] é um certificado digital e constitue uma vinculação digitalmente assinada por uma autoridade confiável, entre certas informações digitais (atributos) e um certificado digital adicional atribuído desta forma. O documento [2] também provê que certificados de atributo [..] que tipicamente são componentes de características que podem caracterizar quer o próprio certificado ou pessoas em maiores detalhes".

[005] Uma possibilidade adicional de restringir a validade de certificados digitais consta no documento [3]. Propõe-se no documento [3], que, como parte de uma rotina de autenticação, é verificado o certificado digital contra uma lista branca (ou lista branca de certificado). A lista branca (ou lista positiva), indica se o certificado digital a ser autenticado pela unidade deve ser autenticado (ou não). Assim, a unidade de autenticação pode buscar na lista positiva uma entrada que mostre o certificado digital a ser autenticado, ou se referencie ao mesmo. Se a entrada for encontrada, a autenticação é provida, caso contrário o processo é interrompido.

[006] Uma desvantagem da técnica anterior consiste em não ficar claro se a autenticação ou verificação de validade foi efetuada com base na lista positiva (ou não). Por outro lado, a unidade de autenticação pode já ter realizada uma autenticação do dispositivo com base no certificado enviado positivamente, sem verificar a lista positiva, embora uma verificação adicional do certificado com a lista positiva seja necessária, por exemplo, porque o dispositivo poderia ser operado em um ambiente pré-determinado.

[007] Assim, um objetivo da presente invenção consiste em especificar métodos e dispositivos que permitam aumentar a segurança no uso de certificados digitais.

[008] Este objetivo é alcançado. Desenvolvimentos da invenção podem ser encontrados.

[009] A presente invenção relaciona-se a um método para gerar uma mensagem compreendendo um certificado de um dispositivo G e o certificado exibe uma assinatura para verificar sua autenticidade, caracterizado pelo fato de um item de informação de permissibilidade para determinar a permissibilidade do certificado com uma lista positiva ser adicionado à mensagem.

[0010] A presente invenção exibe a vantagem de, durante autorização do dispositivo com a mensagem, além da assinatura também se determinar se o certificado consta na lista positiva. Por este meio, a segurança na autorização do dispositivo é aumentada pelo fato de serem realizadas ambas - verificação do certificado com assinatura e determinação da permissibilidade. A "compulsão" em realizar ambas - verificação e determinação - é controlada pela mensagem, e, portanto, não randomicamente dependente de se a unidade de autorização, além da verificação da assinatura do do certificado, também realizar a determinação do certificado com a lista positiva. Assim, se evita que a autorização venha a ser realizada com sucesso mesmo com uma verificação da assinatura positiva, a determinação por meio da lista positiva tenha sido omitida. Em adição, a segurança da autorização também é aumentada pelo fato de ser óbvio que no dispositivo com notificação de autorização ambas - verificação e determinação - são realizadas epositivas.

[0011] Em um exemplo, a mensagem pode ter um campo de endereçamento, certificado e informação de permissibilidade. Em outro exemplo, a mensagem compreende o certificado e a informação de permissibilidade. Em adição, a informação de permissibilidade em outra concretização é arranjada separada do certificado, ou fazendo parte do certificado na mensagem. Neste último caso, a mensagem também pode descrever um novo certificado.

[0012] Em um desenvolvimento adicional, um item da informação de validade é adicionada à informação de permissividade, a informação de permissividade tendo pelo menos um dos seguintes parâmetros, que caracterizam a lista positiva WL a ser usada na determinação da permissibilidade: - emissor permissível da lista positiva; - idade máxima permissível da lista positiva; - parâmetros de ambiente de aplicação AUP da lista positiva; - referência REF da lista positiva a ser usada.

[0013] Usando a informação de permissividade desta maneira adicionalmente aumenta a segurança na autorização do dispositivo, porque a informação de validade restringe o número de listas que pode ser usado na determinação. Se necessário, não há lista positiva para determinação depois da restrição, de modo que a autorização falha ou a autorização é provida apenas uma autorização do dispositivo com baixo nível de segurança.

[0014] Em um desenvolvimento vantajoso da presente invenção, um primeiro item de aplicação para realizar um primeira aplicação do G é adicionado à informação de permissividade, onde a primeira informação de aplicação no caso de autorização positiva do dispositivo com base em (i) uma verificação positiva da autenticidade da assinatura; e (ii) uma determinação positiva de permissibilidade de certificado por meio de lista positiva pode ser aplicada. Por este meio, os modos permissíveis de ação, diga-se aplicações, que são permissíveis devido à autorização, positiva podem ser alocados ao dispositivo. Assim, a segurança é aumentada pelo fato de a primeira aplicação, isto é, a primeira categoria de pelo menos uma aplicação, ser alocada ao dispositivo, dependendo da autorização.

[0015] Em um desenvolvimento vantajoso da presente invenção, um segundo item de informação de aplicação para realizar uma segunda aplicação do dispositivo é adicionado à informação de permissividade, sendo que o segundo item de informação de aplicação pode ser aplicado no caso de autorização positiva do dispositivo com base em: (i) uma verificação positiva da autenticação de assinatura; e (ii) uma determinação negativa da permissibilidade do certificado com a lista positiva. Assim, a segurança é aumentada pelo fato de a segunda aplicação, isto é, segunda categoria de pelo menos uma aplicação ser alocada ao dispositivo, dependendo da verificação e determinação, sendo que aplicações com baixo nível de segurança podem ser consideradas aplicações de segunda categoria.

[0016] Em um desenvolvimento da presente invenção, pelo menos um dos seguintes parâmetros de execução é adicionado à informação de permissividade, sendo que o respectivo parâmetro de execução descreve por meio de qual característica do certificado a determinação pode ser feita: - número de série do certificado; - emissor do certificado; - impressão digital do certificado; - impressão digital da chave pública; - cópia do certificado PI5.

[0017] Desta maneira, a segurança pode ser adicionalmente aumentada na autorização, uma vez que a mensagem pode informar a unidade que realiza a determinação explictamente quais dos parâmetros executivos a unidade deve ou pode usar para executar a determinação.

[0018] A presente invenção também se relaciona a um método para autorizar um dispositivo por meio de uma mensagem sendo que a mensagem pode ser gerada de acordo com uma das etapas descritas acima, o dispositivo sendo autorizado para aplicar uma primeira categoria a pelo menos uma aplicação se: a verificação da autenticidade do certificado for realizada positivamente; e a determinação da permissibilidade do certificado ZERT por meio de lista positiva for realizada realizada positivamente.

[0019] A invenção provê a vantagem de a autorização do dispositivo por meio da mensagem além da assinatura ser também determinada se o certificado estiver presente na lista positiva. Isto aumenta a segurança da autorização do dispositivo pelo fato de ambas verificação do certificado por meio da assinatura e determinação da permissibilidade serem realizadas. A compulsão para realizar ambas - verificação e determinação - é controlada pela mensagem, e, por conseguinte, não concidentemente depende de se a unidade para autorização além da verificação da assinatura do certificado também realizar a determinação do certificado por meio da lista positiva. Isto impede que a autorização seja bem sucedida, embora com uma verificação positiva da assinatura, se a determinação por meio da lista positiva é omitida. Em adição, a segurança da autorização também é aumentada pelo fato de o dispositivo, quando notificado da autorização, entender que ambas - verificação e determinação - foram realizadas e foram positivas.

[0020] A invenção também se relaciona a um método para autorizar um dispositivo por meio de uma mensagem particularmente de acordo com o método descrito acima, sendo que a mensagem VMSG pode ser gerada de acordo com uma das etapas descritas acima, e o dispositivo é autorizado para aplicar a segunda categoria a pelo menos uma aplicação se: a verificação da autenticidade do certificado ser realizada positivamente; e a determinação da permissibilidade do certificado por meio da lista positiva ser realizada negativamente.

[0021] Neste contexto, é vantajoso além das vantagem descritas acima que no caso de uma determinação negativa a autorização não falhe mandatoriamente, mas também há a possibilidade de realizar uma autenticação com baixo nível de segurança, isto é, o dispositivo não realiza qualquer aplicação crítica com respeito à segurança ou participa de qualquer aplicação crítica com respeito à segurança. Assim, o dispositivo, por exemplo, não pode realizar atualizações, mas não participa de realizar a produção com outros dispositivos.

[0022] Em um desenvolvimento vantajoso, a determinação da permissibilidade do certificado é realizada pelo menos por meio de um dos seguintes parâmetros executivos, onde o respectivo parâmetro de execução reproduz uma característica do certificado: - número de série do certificado; - emissor do certificado; - impressão digital do certificado; - impressão digital da chave pública; - cópia do certificado.

[0023] Desta maneira, a segurança da autorização pode ser aumentada adicionalmente, uma vez que a mensagem pode informar explicitamente a unidade que realiza a determinação de quais dos parâmetros executivos a unidade deve usar ou pode usar para executar a determinação.

[0024] Em um desenvolvimento da invenção, um item de informação de validade pode ser avaliada como parte da determinação da permissibilidade a informação de validade exibindo pelo menos um dos seguintes parâmetros que caracterizam a lista positiva a ser usada para determinar permissibilidade: - emissor permissível da lista positiva; - idade máxima permissível MAXG da lista positiva; - parâmetro de ambiente de aplicação (AUP) da lista positiva; - referência RE da lista positiva a ser usada.

[0025] O uso deste tipo de informação de permissividade aumenta adicionalmente a segurança para autorizar o dispositivo, porque o número de listas positivas que pode ser usado na determinação é restringido pela informação de validade. Se necessário, não deve haver uma lista positiva disponível para determinação após restrição de modo que autorização falha, ou sendo provida apenas uma autorização do dispositivo com baixo nível de segurança.

[0026] A invenção também se relaciona a uma mensagem compreendendo um certificado de um dispositivo, sendo que o certificado inclui uma assinatura para verificar autenticidade do certificado ZERT e um item de informação de permissividade para determinar a permissibilidade do certificado com uma lista positiva. Em adição, a mensagem pode ser configurada de acordo com uma das etapas para gerar mensagem.

[0027] As vantagens da mensagem podem ser encontradas nos respectivos itens mostrados acima para gerar a mensagem.

[0028] A invenção também se relaciona a um primeiro dispositivo para gerar uma mensagem, compreendendo: - uma primeira unidade para inserir o certificado de um dispositivo na mensagem, qual certificado ZERT inclui assinatura SIG para verificar autenticidade do certificado; - uma segunda unidade para adicionar um item de informação de permissividade para determinar a permissibilidade do certificado com uma lista positiva.

[0029] A segunda unidade também pode ser designada de maneira que a informação de permissividade possa ser estendida de acordo com um dos itens mostrados para gerar a mensagem.

[0030] As vantagens com respeito ao primeiro dispositivo são idênticas àquelas dos respectivos itens mostrados acima para gerar a mensagem.

[0031] Em adição, a invenção também se relaciona a um segundo dispositivo para autorizar um dispositivo por meio de uma mensagem, onde a mensagem pode ser gerada de acordo com uma das etapas descritas acima, compreendendo uma terceira unidade para verificar a autenticidade de uma mensagem VMSG, uma quarta unidade para determinar permissibilidade do certificado por meio da lista positiva e uma quinta unidade para autorizar o dispositivo a aplicar uma primeira categoria K1 a pelo menos uma aplicação, se a verificação e determinação forem, em cada caso, positivas.

[0032] Ademais, a quinta unidade pode ser designada para autorizar o dispositivo a aplicar uma primeira categoria a pelo menos uma aplicação, se a verificação for positiva e a determinação negativa.

[0033] Ademais, a terceira unidade, quarta unidade, e quinta unidade podem ser previstas de maneira que pelo menos um dos desenvolvimentos da informação de permissividade possa ser executado de acordo com o método mostrado.

[0034] As vantagens com respeito ao respectivo segundo dispositivo são idênticas àquelas dos respectivos itens mostrados acima para autorizar a mensagem.

[0035] A presente invenção e seus desenvolvimentos serão explicados em maiores detalhes por desenhos, nos quais, em detalhes:

[0036] a Figura 1 mostra uma transmissão de uma mensagem de um dispositivo para uma unidade de verificação;

[0037] a Figura 2 mostra a estrutura de uma mensagem compreendendo um certificado e um item de informação de permissibilidade;

[0038] a Figura 3 mostra a informação de validade como parte da informação de permissibilidade da mensagem;

[0039] a Figura 4 mostra um fluxograma e primeiro dispositivo para gerar a mensagem;

[0040] a Figura 5 mostra um fluxograma e segundo dispositivo para autorizar um dispositivo por meio da mensagem;

[0041] a Figura 6 mostra um certificado codificado de acordo com standard ASN 1.

[0042] Aos elementos de mesma função e modo de operação são designados os mesmos símbolos de referência nas Figuras.

[0043] Em uma primeira concretização exemplar da invenção, uma bomba defeituosa deve ser trocada e autorizada antes de ser ligada a uma comunicação de controle da instalação de purificação de água residual em uma instalação industrial para purificação de água residual. Com este propósito, um técnico da manutenção instala uma nova bomba G no lugar da bomba defeituosa. Depois de a nova bomba, também, dispositivo G no texto a seguir, ter sido conectada à energia elétrica, é gerada uma mensagem VMSG, qual mensagem VMSG inclui um certificado da bomba G, como nas Figuras 1 e 2. O certificado ZERT, por sua vez, inclui pelo menos uma assinatura SIG, usando a assinatura SIG, uma verificação PROOF1, com respeito à autenticidade e validade do certificado ZERT, pode ser executada.

[0044] Em adição, a bomba G suplementa a mensagem VMSG com um item de informação de permissividade ZINFO. A informação de permissividade ZINFO tem o propósito de ser usada para informar a unidade de verificação Z, que, além da verificação da assinatura SIG, a determinação de permissibilidade do certificado ZERT por meio de uma lista positiva deve ser realizada. A informação de permissividade preferivelmente deve ser incluída no certificado da bomba G. No entanto, também é possível que a informação de permissividade seja incluída em outra parte da mensagem VMSG.

[0045] O certificado da bomba G, por exemplo, pode ser um certificado de dispositivo emitido pelo fabricante da bomba, um certificado assinado da bomba G, ou um certificado que foi emitido para a bomba pelo operador da instalação de purificação de água residual e configurado na bomba G, antes de sua instalação. Também é possível que no comissionamento da bomba G, a bomba primeiro crie uma mensagem de pedido de certificado e em seguida o envie para pedir um certificado para bomba G que seja válido na instalação de purificação de água residual. Um servidor de certificado da instalação de purificação de água residual pode com isso prover um certificado que compreende um item de informação de permissividade para bomba G, que pode ser usado pela bomba G, como descrito acima, para comunicação com a unidade de verificação Z.

[0046] A Figura 2 mostra a mensagem VMSG por meio de exemplo. A mensagem VMSG inclui assinatura SIG e uma ou mais notas para informação de permissividade ZINFO. Na primeira concretização exemplar, a informação de permissividade apenas mostra um sinal indicativo FLG (de FLAG), que indica que o certificado ZERT, além da verificação, também deve ser testado contra determinação PROOF2 da permissibilidade do certificado ZERT, por meio da lista positiva WL.

[0047] A lista positiva WL também conhecida como "lista branca", representa uma compilação de uma ou mais entradas, onde a respectiva entrada pode ser prevista para um certo certificado. Em geral, a determinação da permissibilidade do certificado com a lista positiva significa que é verificado se o certificado (ou item derivado de informação do certificado) se encontra na lista positiva (ou não). Se não for encontrada nenhuma entrada para o certificado verificado na lista positiva, a determinação é negativa, e caso contrário positiva. A lista positiva WL pode ser provida para a unidade de verificação Z por uma entidade de nível mais elevado, e compreende, neste exemplo, uma lista de certificados de dispositivos que apenas podem ser verificados, de qualquer modo, positivamente na instalação industrial, isto é, neste ambiente especial.

[0048] Na presente primeira concretização exemplar, a assinatura SIG do certificado ZERT é verificada ser positiva por meio da verificação PROOF1 com respeito à autenticidade do certificado ZERT. A determinação PROOF2 da permissibilidade do certificado ZERT com a lista positiva WL, mostra que o certificado ZERT consta na lista positiva WL, e que a segunda verificação PROOF2 também é positiva. Uma vez constatado positivas ambas - primeira e segunda verificações PROOF1 e PROOF2 - a bomba G é liberada para uso na instalação industrial. A bomba G subsequentemente será informada disto por meio de uma mensagem de resposta RMSG. Assim, a bomba G é autorizada aplicar uma primeira categoria K1 à aplicação. Assim, a bomba pode receber, por exemplo, de um computador central, dados de controle de maneira protegida à manipulação, por exemplo, comandos de controle para ativar ou desativar a bomba. Em outro exemplo, a bomba pode prover de maneira protegida por exemplo, dados de diagnóstico a um servidor de diagnóstico da instalação de purificação de água residual.

[0049] Ao par da possibilidade de informar a unidade de verificação Z por meio de sinal indicativo FLG que ambas - verificação PROOF1 e determinação PROOF2 - devem ser realizadas, a unidade de verificação Z também pode ser acompanhada da informação de validade GI, que ajusta a unidade de verificação Z à verificação da validade da lista positiva WL, como parte da determinação, ver Figura 3. Com este propósito, a informação de validade GI pode incluir, por exemplo, um ou mais dos seguintes parâmetros:

[0050] - Emissor(es) permissível(is) ZULA da lista positiva WL: isto indica que, na determinação da permissibilidade do certificado ZERT, apenas as listas positivas WL poderão ser usadas que foram geradas por um ou mais emissores dados como permissíveis pela informação de validade, por exemplo, o certificado da bomba deve ser listado em uma lista positiva da Siemens ou em uma lista positiva do operador da instalação de purificação de água residual.

[0051] - Idade máxima permissível MAXG da lista positiva WL:

[0052] Isto determina quão antiga é a lista positiva WL, que compõe a base para determinação PROOF2. Por exemplo, a idade máxima permissível MAXG indica o período de cinco semanas. Um de um número de listas positivas possíveis a ser usado para determinar a permissibilidade que foi gerada há seis semanas. Esta lista positiva, assim, não pode mais ser usada como parte da determinação, uma vez que ela é mais antiga que cinco meses.

[0053] - Parâmetro de ambiente de aplicação AUP da lista positiva WL: neste contexto, a mensagem VMSG pode indicar um item de informação com respeito à localização de uso ou ambiente do dispositivo G. Por exemplo, o endereço IP de um particular domínio foi designado para a bomba G depois da conexão com o sistema de energia, por exemplo, 192.168.180.x. O parâmetro de ambiente AUP é ajustado em 192.168.180.x. Por meio da unidade de verificação Z, é verificado durante a seleção de uma ou mais listas positivas WL para determinação da permissibilidade, se a respectiva lista positiva foi permitida para o respectivo parâmetro de ambiente de aplicação AUP. Por exemplo, uma primeira lista positiva apenas é permitida para um parâmetro de ambiente de aplicação de 192.168.180.x e uma segunda lista positiva é permitida para um parâmetro de ambiente de aplicação 192.168.180.x. Assim, somente a segunda lista positiva é usada para testar permissibilidade através da determinação de permissibilidade. Em geral, o parâmetro de ambiente de aplicação AUP descreve uma ou mais características específicas que descrevem a localização de uso do dispositivo, neste caso, a bomba G, em maiores detalhes. Além do endereço IP, podem ser incluídos também temperatura, umidade do ar, características específicas de dispositivos vizinhos ao dispositivo, tal como endereço MAC ou IP, ou também informações de dados de rádio, tais como componentes de identificação de uma rede WLAN sem fio (WLAN Wireless Local Area Network) ou informação de local em GPS (Global Positioning System).

[0054] Em um exemplo da primeira concretização exemplar, um primeiro item de informação de aplicação ANWI1 para realizar uma primeira aplicação APP1 do dispositivo 1 também pode ser adicionado à informação de permissividade ZINFO. O primeiro item de informação de aplicação AUTH1 indica qual aplicação (ou aplicações) APP1 pode ser executada pelo dispositivo G, se ambas verificações PROOF1 e PROOF2 - forem positivas. Por exemplo, a bomba pode ser operada em uma área crítica da instalação industrial, neste caso, por exemplo, em uma área na qual a bomba tem que bombear uma mídia muito quente ou muito fria. Assim, pode ser indicado, com ajuda da especificação da primeira aplicação APP1, em quais áreas da instalação industrial a bomba pode ser usada. Assim, a informação de permissividade ZINFO para primeira aplicação pode ser determinada.

[0055] Em um desenvolvimento do exemplo, a informação de permissividade ZINFO pode ser suplementada de um segundo item de informação de permissividade ANWI2 para realizar uma ou mais segundas aplicações APP2. Neste contexto, são especificadas quais tarefas ou aplicações se permite que o dispositivo realize, se a verificação PROOF1 for positiva, e a determinação PROOF2 da permissibilidade negativa. Isto significa que, embora válida a assinatura do certificado, o certificado (ou referência ao mesmo) não é acessível a qualquer lista válida da unidade de verificação Z. Uma possível segunda aplicação APP2 pode ser prevista neste caso, de maneira que a bomba G não possa ser usada na instalação industrial. Em outra concretização, apenas uma tarefa não crítica podem ser transferidas para a bomba G, tal como, por exemplo, o uso de uma mídia de bombeamento em uma faixa de temperatura não crítica, por exemplo dentro de uma faixa de 10°C a 25°C. Ademais, uma concretização da segunda aplicação poderia ser realizada de maneira que a bomba, embora permitida a participar na comunicação com um ou mais dispositivos adjacentes e unidade de verificação, não possa bombear a própria mídia.

[0056] A geração da mensagem VMSG será explicada em detalhes na Figura 4. Na Figura 4 são mostradas quatro etapas S0, ..., S3 que representam um fluxograma de geração. Ademais, a Figura 4 também incorpora um primeiro dispositivo VOR1 com primeira e segunda unidades M1 e M2, para realizar as etapas para gerar a mensagem.

[0057] Na etapa S0, o fluxograma começa.

[0058] Em uma primeira etapa S1, implementada pela primeira unidade M1, o certificado compreendendo pelo menos a assinatura SIG é gerado.

[0059] Em uma segunda etapa S2, a informação de permissividade ZINFO é adicionada à mensagem VMSG. A segunda etapa é executada pela segunda unidade M2. A adição da informação de permissividade ZINFO à mensagem VMSG pode ser efetuada, em particular, adicionando o certificado compreendendo a informação de permissividade à mensagem ZINFO.

[0060] O fluxograma, de acordo com a Figura 2, termina em uma terceira etapa S3.

[0061] Em uma concretização exemplar adicional, etapas específicas para autorizar a bomba por meio da mensagem VMSG serão explicadas em detalhes com ajuda da Figura 5. A Figura 5 mostra, de um lado, um fluxograma com as etapas T0 a T10, e também um número de unidades M3, ..., M5 para realizar as etapas. As unidades incorporam um segundo dispositivo VOR2.

[0062] O fluxograma começa na etapa T0.

[0063] Na primeira etapa T1, o segundo dispositivo V2 recebe a mensagem VMSG. Na representação da Figura 5, se assume que a mensagem VMSG, ao par do certificado, também compreende informação de permissividade ZINFO, a informação de permissividade compreendendo informação de validade GI do tipo idade máxima permissível MAXG da lista positiva WL. Preferivelmente, a informação de permissividade ZINFO é codificada no certificado. No entanto, ela também pode ser codificada como informação separada na mensagem VMSG. Em adição, a mensagem VMSG adicionalmente também exibe primeiro e segundo itens de informação de aplicação ANWI1 e ANW2. Os primeiro e segundo itens itens de informação de aplicação ANWI1 e ANW2, então, podem ser codificados em cada caso no certificado ou como informação separada na mensagem VMSG.

[0064] Em uma segunda etapa subsequente T2, a verificação PROOF1 para autenticidade do certificado é realizado com ajuda da assinatura SIG do certificado ZERT. Uma terceira unidade M3 implementa a segunda etapa T21 e uma quinta unidade M5 implementa a terceira etapa T3.

[0065] Em uma terceira etapa T3, é verificada se a verificação PROOF1 é positiva ou negativa. Se negativa, a terceira etapa T3 na trajetória N é descartada, e, subsequentemente, uma décima etapa T10 é executada. Se a verificação PROOF1 for positiva, a terceira etapa T3 será descartada via trajetória J, e subsequentemente uma terceira etapa será executada.

[0066] Em uma quarta etapa T4, a informação de validade, representada pela idade permissível máxima MAXG, é primeiro usada para selecionar a lista positiva WL presente para determinação da permissibilidade. Se nenhuma lista positiva WL que preencha informação de validade GI a este respeito for encontrada para a unidade de verificação Z, um primeiro estágio da determinação PROOF2 é negativa. Caso contrário, este primeiro estágio é positivo.

[0067] No caso de resultado negativo no primeiro estágio, uma trajetória N é percorrida em uma quinta etapa T5 que termina em uma nona etapa T9. Caso contrário, a quinta etapa T5 conduz o fluxograma via trajetória J para uma sexta etapa T6.

[0068] Em uma sexta etapa T6, é determinado, como parte de um segundo estágio da determinação PROOF2, se o certificado ou valor de busca derivado do mesmo pode ser encontrado na lista positiva WL. Se houver uma entrada para o certificado ou valor de busca derivado na lista positiva que se relacione com o certificado, o segundo estágio da determinação será positivo na sexta etapa T6. Caso contrário, o segundo estágio será negativo na sexta etapa T6.

[0069] Em uma sétima etapa subsequente T7, o segundo estágio da determinação da sexta etapa T61 é analisada. Se a sétima etapa for negativa, ela será descartada via trajetória N, e o fluxograma segue para a nona etapa T9. Caso contrário, o fluxograma segue via trajetória J da sétima etapa para a oitava etapa T8.

[0070] Em uma concretização adicional da presente invenção, a mensagem VMSG pode ser estruturada de maneira que apenas a informação de permissividade ZINFO seja formada na forma de sinal indicativo FLG, isto é, não havendo nenhuma informação de validade GI na mensagem VMSG. Neste caso, a determinação PROOF2 da permissibilidade será implementada apenas pelas etapas T6, T7. As quarta e quinta etapas T4 e T5 são abandonadas neste processo. A quarta unidade M4 implementa as quarta e sexta etapas T4 e T6 respectivamente, e a quinta unidade M5 implementa quinta e sétima etapas T6, F7, respectivamente.

[0071] Na oitava etapa T8, o fluxograma será localizado, se ambas verificação PROOF1 para autenticidade do certificado e determinação PROOF2 com respeito à permissibilidade do certificado com a lista positiva WL, forem positivas. Neste caso, o dispositivo, isto é, a bomba G, é autorizado na oitava etapa T8 a realizar uma primeira categoria K1 de aplicações, tal como, por exemplo da primeira aplicação APP1. Depois da conclusão, a oitava etapa é terminada chamando a última etapa T10. A primeira categoria pode ser definida, mas não necessariamente, pelo primeirao item de informação de aplicação. Assim, pode ser especificado, por default, que a primeira categoria de aplicações representa a liberação do dispositivo para operação.

[0072] Na nona etapa T9, o fluxograma indica que a verificação para autenticar o certificado foi positiva . No entanto, a determinação da permissibilidade do certificado por com a lista positiva é negativa na nona etapa T9. Assim, na nona etapa, a bomba pode ser autorizada para uma segunda categoria da aplicação. A segunda categoria da aplicação pode ser prevista, por exemplo, pelo fato de nenhuma aplicação poder ser executada e a bomba não ser permitida para uso na instalação industrial. Alternativamente, uma segunda aplicação APP2 que, por exemplo, não seja crítica com respeito à segurança, pode ser executada pela bomba na nona etapa T9. Depois de concluída a nona etapa T9, o fluxograma segue para a décima etapa T10.

[0073] Na décima etapa T10, o fluxograma da Figura 5 termina.

[0074] A determinação PROOF2 com respeito à permissibilidade do certificado pode ser realizada por pelo menos um dos seguintes parâmetros de execução APA do certificado ZERT e lista positiva: - número de série do certificado: por meio do número de série do certificado contido na mensagem VMSG, a unidade de verificação Z pode localizar o certificado na lista positiva WL.

[0075] - Emissor do certificado: a unidade de verificação Z pode realizar a segunda verificação, também dependendo do emissor do certificado. Se, por exemplo, um emissor do certificado não estiver na lista positiva, a segunda verificação PROOF2 será negativa.

[0076] - Impressão digital do certificado: o impressão digital do certificado deve ser entendido que não é o certificado per se mas o certificado em forma codificada, por exemplo, codificação hash, usada para realizar a determinação da permissibilidade. Assim, o valor hash do certificado pode ser obtido a partir do certificado da mensagem VMSG com a unidade de verificação. Seguindo isto, o valor hash é usado para identificar um valor hash idêntico na lista positiva. Se o valor hash idêntico não for encontrado, a determinação será negativa, caso contrário positiva.

[0077] - Impressão digital da chave pública na assinatura: o procedimento para isto é análogo ao item "impressão do certificado" apenas a chave pública da assinatura sendo usada para determinação ao invés de todo o certificado.

[0078] - Cópia do certificado: o procedimento é análogo àquele da impressão digital do certificado, onde, ao invés de forma codificada do certificado, o certificado pode ser usado em texto normal nesta variante da invenção. Assim, o certificado em texto normal representa o índice que deve ser buscado na lista positiva.

[0079] Em um desenvolvimento da invenção, a mensagem também pode exibir um dos acima mencionados parâmetros APA. A mensagem informa à unidade de verificação qual dos parâmetros deve ser usado para localizar o certificado na lista positiva.

[0080] A Figura 6 mostra uma mensagem com o certificado ZERT e informação de permissividade ZINFO. O exemplo da Figura 6 representa a codificação de acordo com x,509 por meio de codificação ASN,1

[0081] (ASN,1- Abstract Sybtax Notation One) para a o chamado certificado de identidade. A mensagem de acordo com a Figura 6 é subdividida em uma área de certificado ZERT e área que descreve informação de permissividade ZINFO. A informação de permissividade ZINFO também descreve a informação de validade GI da lista positiva REF a ser usada e emissor permissível ZULA da lista positiva e parâmetros de execução APA para realizar a determinação da permissibilidade PROOF2. Trata-se de um aspecto especial com respeito aos parâmetros de execução APA que a unidade de verificação Z seja acompanhada de três opções para realizar a determinação. Assim, a unidade de verificação Z pode realizar a segunda verificação por meio do número de série, impressão digital do certificado ou chave pública. Ao invés de usar um certificado de identidade, a invenção também pode ser usada para um certificado de atributo. Neste contexto, o procedimento é análogo àquele da Figura 6.

[0082] Um primeiro dispositivo para gerar a mensagem é implementado pela primeira e segunda unidades. As primeira e segunda unidades assim representam a unidade de verificação Z. O segundo dispositivo para autorizar o dispositivo é implementado pelas terceira, quarta, e quinta unidades.

[0083] As unidades mostradas ao longo da descrição podem ser implementadas em software ou hardware ou em uma combinação de software e hardware. Neste contexto, etapas individuais da invenção podem ser gravadas de forma legível por máquina em uma memória, a memória sendo conectada a um processador de maneira que o processador possa ler e processar os comandos legíveis por máquina. Ademais, as interfaces de entrada e saída para trocar dados com o processador podem ser acopladas com o processador.

[0084] A presente invenção e seus desenvolvimentos foram explicados através de um número de exemplos. A presente invenção, contudo, não se restringe a tais concretizações exemplares. Em adição, as concretizações e os desenvolvimentos exemplares podem ser combinados de qualquer modo ou maneira.

Claims (7)

1. Método para autorizar um dispositivo (G) por meio de uma mensagem (VMSG), sendo que a mensagem (VMSG) compreende um certificado (ZERT) do dispositivo (G) e o certificado (ZERT) tem uma assinatura (SIG) para uma verificação (PROOF1) da autenticidade do certificado (ZERT), caracterizado por, adição de uma informação de permissibilidade (ZINFO) à mensagem (VMSG), sendo que as informações de permissibilidade (ZINFO) indicam que, além da verificação da assinatura (SIG), a determinação da permissibilidade do certificado (ZERT) também deve ser realizada utilizando uma lista positiva (WL), e autorização do dispositivo (G) a aplicar uma primeira categoria (K1) a pelo menos uma aplicação, se (a) a verificação (PROOF1) da autenticidade do certificado (ZERT) ser realizada positivamente, e (b) a determinação (PROOF2) da permissibilidade do certificado (ZERT) por meio da lista positiva (WL) ser realizada positivamente.

2. Método para autorizar um dispositivo (G) por meio de uma mensagem (VMSG), de acordo com a reivindicação 1, caracterizado pelo fato de o dispositivo (G) ser autorizado a aplicar a segunda categoria (K2) a pelo menos uma aplicação, se (a) a verificação (PROOF1) da autenticidade do certificado (ZERT) ser realizada positivamente, e (b) a determinação (PROOF2) da permissibilidade do certificado (ZERT) por meio da lista positiva (WL) ser realizada negativamente.

3. Método, de acordo com qualquer uma das reivindicações 1 ou 2, caracterizado pelo fato de a determinação (PROOF2) da permissibilidade do certificado (ZERT) ser realizada pelo menos por meio de um dos seguintes parâmetros de execução (APA), sendo que o respectivo parâmetro de execução (APA) reproduz uma característica do certificado (ZERT): - número de série do certificado (PI1); - emissor do certificado (PI4); Impressão digital do certificado (PI2); - impressão digital da chave pública (PI3); - cópia do certificado (PI5).

4. Método, de acordo com qualquer uma das reivindicações 1 a 3, caracterizado pelo fato de que, como parte da determinação (PROOF2) da permissibilidade, um item de informação de validade (GI) ser avaliado, sendo que a informação de validade (GI) exibe pelo menos um dos seguintes parâmetros que definem a lista positiva (WL) a ser usada na determinação (PROOF2) da permissibilidade: - emissor permissível (ZULA) da lista positiva (WL); - idade máxima permissível (MAXG) da lista positiva (WL); - parâmetro de ambiente de aplicação (AUP) da lista positiva (WL); - referência (REF) da lista positiva (WL) a ser usada.

5. Segundo dispositivo (VOR2) para autorizar um dispositivo (G) por meio de uma mensagem (VMSG), a mensagem (VMSG) caracterizada pelo fato de compreender um certificado (ZERT) de um dispositivo (G), o certificado (ZERT) tendo uma assinatura (SIG) para verificar (PROOF1) a autenticidade do certificado (ZERT), e sendo que um item de informação de permissibilidade (ZINFO) é adicionado à mensagem (VMSG), sendo que o item de informação de permissibilidade (ZINFO) indica que, além da verificação da assinatura (SIG), a determinação da permissibiliidade do certificado (ZERT) também deve ser feita com base em uma lista positiva (WL), - uma terceira unidade (M3) para verificar (PROOF1) a autenticidade de um certificado (ZERT) da mensagem (VMSG); - uma quarta unidade (M4) para determinar (PROOF2) a permissibilidade do certificado (ZERT) por meio da lista positiva (WL), - uma quinta unidade (M5) para autorizar o dispositivo (G) a aplicar uma primeira categoria (K1) a pelo menos uma aplicação, se a verificação e determinação (PROOF1 e PROOF2) forem positivas em cada caso.

6. Segundo dispositivo (VOR2), de acordo com a reivindicação 5, caracterizado pelo fato de a quinta unidade (M5) também ser projetada para autorizar o dispositivo (G) a aplicar uma segunda categoria (K2) a pelo menos uma aplicação se a verificação (PROOF1) for positiva e se a determinação (PROOF2) for negativa.

7. Segundo dispositivo (VOR2), de acordo com qualquer uma das reivindicações 5 ou 6, caracterizado pelo fato de a terceira unidade (M3), a quarta unidade (M4), e a quinta unidade (M5) também serem configuradas de maneira que pelo menos um dos desenvolvimentos da informação de permissibilidade (ZINFO) possa ser executado, sendo que o desenvolvimento das informações de permissibilidade (ZINFO) são selecionados a partir do grupo composto por, uma informação de validade (GI), sendo que a informação de validade (GI) exibe pelo menos um dos seguintes parâmetros que caracterizam a lista positiva (WL) a ser usada na determinação (PROOF2) da permissibilidade: - emissor permissível (ZULA) da lista positiva (WL); - idade máxima permissível (MAXG) da lista positiva (WL); - parâmetro de ambiente de aplicação (AUP) da lista positiva (WL); - referência (REF) da lista positiva (WL) a ser usada. uma primeira informação de aplicação (ANWI1) para realizar uma primeira aplicação (APP1) do dispositivo (G), sendo que a primeira informação de aplicação (ANWL1) no caso de autorização positiva do dispositivo (G) pode ser aplicado com base em (i) verificação positiva da autenticidade da assinatura (SIG1) e (ii) determinação positiva (PROOF2) da permissibilidade do certificado (ZERT) por meio da lista positiva (WL), e/ou uma segunda informação de aplicação (ANWI2) para realizar uma segunda aplicação (APP2) do dispositivo (G), sendo que a segunda informação de aplicação (ANWI2) pode ser aplicada no caso de autorização positiva do dispositivo (G) com base em (i) verificação positiva da autenticidade da assinatura (SIG1); e (ii) determinação negativa (PROOF2) da permissibilidade do certificado (ZERT) por meio da lista positiva (WL), e/ou pelo menos um dos seguintes parâmetros de execução (APA), sendo que o respectivo parâmetro de execução (APA) descreve por meio de quais características do certificado (ZERT) a determinação (PROOF2) pode ser realizada: - número de série do certificado (PI1); - emissor do certificado (PI4); Impressão digital do certificado (PI2); - impressão digital da chave pública (PI3); - cópia do certificado (PI5).

Images