CN110278718B - 加密保护在it系统中的控制通信和/或对it系统服务访问的方法和计算机 - Google Patents

加密保护在it系统中的控制通信和/或对it系统服务访问的方法和计算机 Download PDF

Info

Publication number
CN110278718B
CN110278718B CN201880010836.6A CN201880010836A CN110278718B CN 110278718 B CN110278718 B CN 110278718B CN 201880010836 A CN201880010836 A CN 201880010836A CN 110278718 B CN110278718 B CN 110278718B
Authority
CN
China
Prior art keywords
blockchain
key length
computer
service
cipher suite
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201880010836.6A
Other languages
English (en)
Other versions
CN110278718A (zh
Inventor
R.法尔克
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of CN110278718A publication Critical patent/CN110278718A/zh
Application granted granted Critical
Publication of CN110278718B publication Critical patent/CN110278718B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2107—File encryption

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

为了改善在IT系统（ITS、EBS、VS、IN）中的控制通信和/或对IT系统（ITS、EBS、VS、IN）的服务访问的加密保护，提出：自动地并且动态地、尤其是定期地或者受事件控制地、或者手动地、尤其是应用户要求地通过自动配置来确定：被使用的或被激活的并且能使用的密码套件和/或密钥长度对于控制通信和/或服务访问的当前的加密保护来说是否足够强，其方式是1)通过查询在网络/系统中可支配的“密码套件”相关/特定的信息来确定参考密码套件，和/或2)通过查询或确定在网络/系统中可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，在确定区块链难度参数作为密钥长度估计参数的情况下，确定适合的参考密钥长度、尤其是对于加密算法来说所需的参考最短密钥长度，以及3)将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被使用的或被激活的并且能使用的密码套件和/或密钥长度进行对照。

Description

加密保护在IT系统中的控制通信和/或对IT系统服务访问的 方法和计算机
技术领域
本发明涉及一种用于加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问、尤其是与在自动化、控制或者监控系统中的诊断和配置相关地来加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问的方法和一种用于加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问、尤其是与在自动化、控制或者监控系统中的诊断和配置相关地来加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问的计算机。
背景技术
需要针对信息技术系统、即所谓的IT系统的组件、尤其是在自动化、控制或者监控系统和相对应的系统解决方案中的工业数据处理和控制组件的集成的加密保护，以便防御对这种系统的信息安全性的攻击（例如篡改、间谍行为等等）。
IT系统是电子数据处理系统，因为基于VNA（基于冯·诺依曼（Von-Neumann）架构的基础），所以例如任何类型的分布式系统和嵌入式系统、但是也包括基于哈佛（Harvard）架构的电子数据处理系统、各个计算机、大型计算机、高性能计算机等等、部分地也包括通信系统以及整个因特网都应属于该电子数据处理系统。
在此，重要的系统特定的功能是加密保护在IT系统中的控制通信（例如按照IEEE规范IEEE 802.1 AE的“MACsec”；“IPsec/IKEv2”基于“Internet Protocol security（因特网协议安全）”的协议栈，利用该基于“Internet Protocol security（因特网协议安全）”的协议栈，通过第2版（当前版本）的“Internet-Key-Exchange（因特网密钥交换）”协议，应该能够通过可能不安全的网络、如因特网来实现受保护的通信；“TLS”基于“Transport LayerSecurity（传输层安全）”的混合型加密协议，用于在因特网中的安全的数据传输）和/或加密保护对IT系统的服务访问。
在此，不同的加密算法和有效数据以密码套件（Cipher Suite）和/或加密算法的密钥长度的形式被支持。存在如下需求：保证在系统中的基于计算机的设备的整个使用时长内使用足够强的密码套件和/或一定的最短密钥长度。
存在不同的机构关于适合的密钥长度的公知的建议。这样，例如密钥长度在https://www.keylength.com下可支配。但是，所述密钥长度只基于估计。具有某个密钥长度的加密方法确实安全到什么时候也取决于事先未预料到的事件、例如新的攻击方法。所述建议也只是满足有限的时间段[例如德国联邦局针对信息技术中的安全性（BSI）的建议直至2021年]。因而，对于系统设备、例如具有10或20年的长时间的使用时长的系统设备（如其例如在自动化系统中情况如此）来说，这种结论从今天的角度来看并不足够。
还公知的是：加密方法的技术实现方案（如针对TLS协议的“OpenSSL”或者针对在IPsec的情况下的认证和密钥协商的“StrongSwan”）可以被配置。由此可以限制：哪些密码套件（Cipher Suite）被支持。
然而，特别是在嵌入式系统的情况下，这如今在研发或调试方面被考虑，而关于密钥长度的建议可以手动地被考虑。
因而，存在配置不与被改变的状况适配的风险。也存在用户或管理员激活弱程序的风险。
特别是关于区块链（Blockchain），公知“工作量证明（Proof-of-Work）”，其中用于确认区块链的区块的节点必须解决复杂的计算任务。在此，计算任务的复杂性与可支配的计算能力自适应地适配。（参见https://en.bitcoin.it/wiki/Proof of work）。
在此，在比特币（Bitcon）的情况下，“难度（Difficulty）”参数被选择为使得约每10分钟形成该区块链的一个新区块。例如http://bitcoindifficulty.com给出了关于“难度（Difficulty）”的随时间的发展的概况。关于比特币难度的其它信息在https://en.bitcoin.it/wiki/Difficulty下可支配。
发明内容
本发明所基于的任务在于：说明一种用于加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问、尤其是与在自动化、控制或者监控系统中的诊断和配置相关地来加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问的方法和计算机，其中对控制通信/或服务访问的加密保护被改善。
该任务基于按照本发明的方法通过按照本发明的特征来解决。
该任务还基于按照本发明的计算机通过按照本发明的特征来解决。
本发明所基于的技术教导的思路在于：为了加密保护在IT系统中的控制通信和/或加密保护对IT系统的服务访问，自动地并且动态地、尤其是定期地或者受事件控制地、或者手动地、尤其是应用户要求地通过自动配置来确定：被使用的或被激活的并且能使用的密码套件和/或密钥长度对于控制通信和/或服务访问的当前的加密保护来说是否足够强，其方式是
1) 通过查询在网络/系统中可支配的“密码套件（Cipher Suite）”相关/特定的信息来确定参考密码套件，和/或
2) 通过查询或确定在网络/系统中可支配的具有用于解决复杂的计算任务的被称作“工作量证明（Proof of Work）”的数据组的区块链信息，在确定区块链难度参数（Blockchain-Difficulty-Parameter）作为密钥长度估计参数的情况下，确定适合的参考密钥长度、尤其是对于加密算法来说所需的参考最短密钥长度，以及
3) 将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被使用的或被激活的并且能使用的密码套件和/或密钥长度进行对照。
在此，在没有明确的管理的情况下确定哪个密钥长度或哪些密码套件当前适合。为此，使用和分析在网络、例如因特网中可支配的信息、“密码套件”相关/特定的信息和/或区块链信息。这些信息几乎不能被篡改：
经认证的、众所周知的因特网服务有成效地被使用。相应的因特网服务的安全性取决于该因特网服务的配置。因而，这些因特网服务不安全地被配置是不可想象的。此外，在使用多个因特网服务的情况下可以通过多数决定来实现被提高的鲁棒性。
区块链难度或区块链难度参数不能向下被篡改，因为复杂性根据计算能力分散地被适配。这里，不存在可能会对这一点进行篡改的单个的实体。
这可以有利地并且十分常见地通过计算机来实现，其中该计算机优选地可以构造为现场设备、控制设备、IoT设备（“物联网（Internet-of-Things）”设备）、规划工具、服务工具、测试工具或诊断工具。根据所确定的信息，可以限制由该计算机所支持的密码套件（例如禁止不安全的密码套件）。
在另一变型方案中，输出报警提示，例如作为声音报警信号来输出报警提示，或者以光学方式在显示器上显示提示或者作为电开关信号来显示提示，例如在服务菜单中或在日志条目（日志条目）中显示提示：例如在计算机中激活了被断定为不安全或不再流行的密码套件。
在另一变型方案中，能激活的或被激活的密码套件可以被表征为当前适合或者不适合（或者多级地、例如用红色、黄色、绿色来表征）。由此，向本身不是安全专家的用户提供了哪些密码套件当前还适合的信息。
有利地，针对控制通信和/或服务访问，还可以限定用于使用密码套件的不同的行动（例如为了诊断和配置的目的）。这样，例如在使用被归类为弱的密码套件的情况下只能记录操作通信（报警提示）。而在使用被归类为弱的密码套件的情况下进行服务访问时，只还能存在显示可能性，但是对配置的改变不可能（即根据所使用的密码套件来限制能允许哪些角色或访问授权）。
哪些密码套件被认为适合的信息在运行时自动地被确定或更新。这可以以不同的方式来实现（单独地或者组合地）：
针对公知的、值得信任的因特网服务，试验性地建立加密保护的连接或试验性地开始建立连接，以便查询该因特网服务所支持的密码套件。
可以对多个服务进行查询。决定可以被形成为分别被支持的密码套件的交集或并集。
在另一变型方案中，形成所支持的密码套件的法定数量（Quorum）或多数决定。由此，可以从专业管理的因特网服务学习到哪些密码套件当前被这些因特网服务支持。
优选地，在使用区块链的情况下来估计所需的最短密钥长度。区块链、如尤其是比特币实现了“工作量证明”，其中必须解决至少一个复杂的计算任务。根据当前的区块链复杂性（比特币难度（Bitcoin Difficulty）），规定最短密钥长度，所述当前的区块链复杂性是对供支配的计算能力的量度。为此，确定当前的难度并且特定地针对加密算法[诸如高级加密标准（Advanced Encryption Standard，AES）；（根据Rivest、Shamir、Adleman的）RAS加密系统；数字签名算法（Digital Signature Algorithm，DSA）；椭圆曲线数字签名算法（Elliptic Curve Digital Signature Algorithm，ECDSA）；安全哈希算法2（Secure HashAlgorithmus 2，SHA2）；Diffie-Hellman密钥协商（DH）；椭圆曲线Diffie-Hellman密钥协商（ECDH）]来确定相应的最短密钥长度。
附图说明
本发明的其它优点根据随后依据图1至4对本发明的实施例的描述而得到。这些附图中：
图1示出了在具有在例如被构造为自动化、控制或者监控系统的IT系统中的基于计算机的控制通信、例如为了诊断和配置的目的的基于计算机的控制通信和/或对其它IT系统的基于计算机的服务访问的IT环境下的典型的网络场景；
图2示出了用于在按照图1的网络场景下的控制通信和/或服务访问的计算机的原理性结构；
图3示出了用于基于密码套件来检查对控制通信和/或服务访问的加密保护的第一流程图；
图4示出了用于基于密钥长度、尤其是对于加密算法来说所需的最短密钥长度来检查对控制通信和/或服务访问的加密保护的第二流程图。
具体实施方式
图1示出了在具有在例如被构造为自动化系统AMS、控制系统STS或者监控系统KTS的IT系统ITS中的基于计算机的控制通信、例如为了诊断和配置的目的的基于计算机的控制通信和/或对其它IT系统ITS的基于计算机的服务访问的IT环境下的典型的网络场景。按照在本申请的介绍部分给出的针对信息技术系统的定义，IT系统ITS十分常见地可以表现为分布式系统、嵌入式系统、因特网要不然也可以表现为单个计算机。这在图1中同样示范性地示出。
据此，自动化系统AMS、控制系统STS或者监控系统KTS表现为嵌入式系统EBS，该嵌入式系统被构造为有线或无线局域网LNW，尤其是被构造为基于以太网（Ethernet）或WLAN的网络，而且在该嵌入式系统中进行基于计算机的控制通信。
按照该网络场景，还存在优选地充当因特网的全球网（Globales Netzwerk）GNW，该全球网能够在表现为IT系统的因特网IN中实现对不同的服务的访问，比如优选地按照图1是至少一个因特网服务（Internet-Service）ISV、至少一个云服务（Internet-Service）CSV、至少一个后台服务（Backend-Service）BESV和/或至少一个区块链服务（Blockchain-Service）BCSV，而且该全球网使在该全球网GNW之内的基于计算机的控制通信、即网络受限地在表现为IT系统的单个计算机CPT（“单计算机系统”）与表现为IT系统的分布式系统VS之间以及跨网络地在一方面单个计算机CPT和/或分布式系统VS与另一方面被构造为局域网LNW的嵌入式系统EBS之间的基于计算机的控制通信成为可能。
分布式系统VS以及嵌入式系统EBS一般是“多计算机系统”（在图1中，这代表两个系统，只关于嵌入式系统EBS来阐明），在该“多计算机系统”中，像在“单计算机系统”的情况下那样，分别基于计算机地进行网络受限制的或跨网络的控制通信和/或进行服务访问。这样，在两个系统EBS、VS中，分别对于每个跨网络的控制通信来说和/或对于每个服务访问来说都像在单计算机系统的情况下那样有计算机CPT决定性地参与。在此，跨网络的控制通信以及服务访问通过在下级网络中、按照图1是在局域网LNW中的与上级网络、按照图1是与全球网GNW的网络节点NWK来开展，该网络节点例如可以构造为网关。
而在网络受限制的控制通信的情况下，存在于系统EBS、VS中的计算机CPT中的至少两个计算机可以参与。
在被构造为“多计算机系统”的嵌入式系统EBS中，计算机CPT优选地被设计为现场设备、控制设备、IoT设备、规划工具、服务工具、测试工具或诊断工具，以便控制在自动化系统AMS、控制系统STS或监控系统KTS中出现的任务和功能、例如系统诊断和系统配置。这样，例如在具有多个现场设备和服务（例如云服务、因特网服务、后台服务等等）的自动化系统AMS中，其中现场设备与后台服务定期地进行通信，以便例如传输设备的状态数据，用于预见性维护“Predictive Maintenance”。该控制通信例如可以通过“IPsec/IKEv2”通信协议或者“TLS”加密协议来保护。此外，在自动化系统AMS中的多个现场设备也可以受保护地、例如通过以太网（Ethernet）-MACsec（按照IEEE规范IEEE 802.1 AE的“MACsec”）或者WLAN（按照IEEE 802.11的无线局域网（Wireless Local Area Network））来彼此进行通信。
而在“单计算机系统”中，计算机CPT优选地是非常普遍的台式个人计算机（Desktop-Personal-Computer）或笔记本电脑，所述台式个人计算机或笔记本电脑具有对全球网GNW或因特网的访问可能性。
对于在本申请的介绍部分阐述的系统相关的方面、即加密地足够安全地保护基于计算机的控制通信和/或基于计算机的服务访问来说，首先在计算机CPT中激活并且能使用密码套件和/或密钥长度，要不然就是这些密码套件和/或密钥长度已经明确地被使用。在此，被激活的并且能使用的或者被使用的密钥长度尤其是具有对于加密算法来说所需的最短密钥长度。但是，这对于足够安全的保护来说常常太少，因为不能保证这些密码套件和/或密钥长度足够强。依据对图2至4的随后的描述来阐述如何在计算机CPT（图2）中通过相对应的措施或者通过相对应的方法方式（图3和4）来保证使用足够强的密码套件和/或密钥长度。
图2示出了用于在按照图1的网络场景下的控制通信和/或服务访问的计算机CPT的原理性结构。这样，计算机CPT具有：非易失性可读存储器SP，在该存储器中存储有控制对控制通信和/或服务访问的加密保护的程序模块PGM的处理器可读的控制程序指令；与存储器SP连接的、优选地构造为微处理器“μΡ”的处理器PZ，该处理器实施程序模块PGM的控制程序指令；与处理器PZ连接的配置存储器KSP，在该配置存储器中存储在计算机CPT中被激活并且能使用的要不然被该计算机使用的密码套件和/或密钥长度，优选地以列表来存储在计算机CPT中被激活并且能使用的要不然被该计算机使用的密码套件和/或密钥长度；与处理器PZ连接的网络接口NWSS，计算机CPT的关于基于计算机的控制通信和/或基于计算机的服务访问方面的网络相关的双向的数据传输通过该网络接口来进行，而且为了该目的，该网络接口与网络节点NWK构成一个功能单元；以及输入接口ESS和输出接口ASS，用于与加密保护在IT系统ITS中的控制通信和/或加密保护对IT系统ITS的服务访问相关的用户特定的过程。
上文列举的计算机CPT的组件构成一个功能单元而且被构造为使得或者自动地并且动态地或者手动地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于控制通信和/或服务访问的当前的加密保护来说是否足够强。
优选地每隔一定时间就实现自动地并且动态地引入的确定，或者可以在出现某些事件时发生自动地并且动态地引入的确定（事件控制）。与此无关地，有利的是：在计算机CPT的专用的运行模式下、例如在维护模式下进行确定，以便不妨碍在该计算机上运行的其它过程或进程。
在手动地引入的确定的情况下，例如应计算机CPT的用户经由输入接口ESS的要求（例如输入控制命令），开始自动配置。
经由输入接口ESS也可能的是：通过手动配置来激活有关“密码套件”至少受限制的被激活的密码套件的列表或者当前被使用的或被激活的并且能使用的密码套件和/或密钥长度。
通过如下方式来确定被使用的或者被激活的并且能使用的密码套件和/或密钥长度是否足够强：
1) 分别在对因特网服务的至少一个提供商的“因特网服务（Internet-Service，ISV）”访问时建立第一通信连接和/或在对区块链服务的提供商的“区块链服务（Blockchain-Service，BCSV）”访问时建立第二通信连接；
2) 查询因特网提供商的因特网服务可支配的信息，以便针对控制通信和/或服务访问的加密保护确定适合的参考密码套件；和/或
3) 查询或确定对于区块链提供商的区块链服务来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对控制通信和/或服务访问的加密保护根据这些区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的参考密钥长度、例如对于加密算法来说所需的参考最短密钥长度；而且
4) 将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被存储在配置存储器KSP中的、被使用的或被激活的并且能使用的密码套件和/或密钥长度进行对照。
按照第1)点和第2)点来查询的信息例如是具有明确的“密码套件”参考的参数/信息，这些参数/信息被用在因特网提供商的因特网服务中。如果在查询时查询到多个因特网服务提供商的信息，则将这些信息进行加权，用来确定适合的参考密码套件。
在按照第3)点来查询或确定的区块链信息的情况下，或者直接查询区块链的区块，或者通过区块链来查询元服务，以便确定当前的区块链难度参数。
连接的建立不必为了数据传输的目的而故意地或有意地被激活，而是优选地试验性的或者为了试验一下而进行。这意味着：计算机CPT在没有真正的有效数据通信的情况下建立与因特网服务、诸如Microsoft®、Amazon®、Google®、IBM®、Siemens®等等的安全的通信连接。该通信例如又可以通过“IPsec/IKEv2”通信协议或者“TLS”加密协议来保护。
对信息的查询不必强制在所建立的第一和第二通信连接上进行，而是也可以在具有有效数据通信的连接上发生。
对所确定的参考密码套件和/或参考密钥长度的存储也可以像对在计算机CPT中被激活的并且能使用的要不然被该计算机使用的密码套件和/或密钥长度的存储那样以列表、优选地以参考列表来发生。按列表来执行对照在这种情况下适合而且也适宜。
如果按照第4)点来执行的将被存储在配置存储器KSP中的密码套件和/或密钥长度中的专用的、当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度与所确定的参考密码套件和/或所确定的参考密钥长度的对照得出：当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度不在所确定的参考密码套件和/或所确定的参考密钥长度中，则
a) 产生被寄给计算机CPT的用户的报警提示并且通过输出接口ASS来输出该报警提示；
b) 立即禁止当前被使用的密码套件和/或密钥长度；和/或
c) 在所输出的报警提示的等待期之后禁止当前被使用的密码套件和/或密钥长度。
在此，该报警提示可以以声音方式、例如作为报警信号来输出，要不然以光学方式在显示器上输出或者作为电开关信号输出。
如果基于所执行的对照而导致禁止当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度，则或者在等待时间之后自动地或者在服务技术人员的确认之后通过输入接口ESS来采用被用于对照的参考密码套件和/或参考密钥长度，用来在计算机CPT中使用/激活。
图3示出了用于基于密码套件来检查对控制通信和/或服务访问的加密保护的具有多个流程状态AZ1FIG3...AZ6FIG3的第一流程图。在第一流程状态AZ1FIG3下，开始检查对控制通信和/或服务访问的加密保护。
然后，在第二流程状态AZ2FIG3下，查询“密码套件”相关的信息/参数，这些“密码套件”相关的信息/参数被用在因特网提供商的因特网服务中。在此，优选地通过查询来确定来自多个用作参考的来源（因特网提供商的因特网服务）的信息，以便据此并且根据通过查询来确定的数据/信息在第三流程状态AZ3FIG3下确定当前适合的参考密码套件的例如经过可信性检查的参考列表。在此，例如可以对不同的信息来源进行加权，例如，如果至少3个来源（3个因特网提供商的因特网服务）支持参考密码套件，或者如果来源（多个因特网提供商的因特网服务）中的至少50%支持参考密码套件，则记录到参考列表中。
还可以根据最短密钥长度来进行过滤，该最短密钥长度根据区块链的难度来确定（参见图4）。
当前的参考密码套件的参考列表还可以适用于已被用于查询当前的参考密码套件的相同的通信协议，例如谷歌（Google）所使用的用于在因特网中进行安全的数据传输的基于“传输层安全（Transport Layer Security）”的混合型加密协议，以便确定在使用TLS协议时Google®所使用的参考密码套件。
优选地，但是针对其它应用、例如如下参考密码套件来进行使用，所述参考密码套件针对其它协议被确定。这样，根据Google®在“TLS”下支持哪些参考密码套件以及在比特币区块链的情况下当前适用怎样的难度，可以确定对于“MACsec”或者“IKEv2/IPsec”来说当前所容许的参考密码套件。所容许的参考密码套件也可以针对其它安全应用、如文件系统加密、在发布/订阅-消息（Publish/Subscribe-Messaging）服务中的消息保护、XML安全（Security）等等来适配。
紧接着，在第四流程状态AZ4FIG3下，将当前的参考密码套件的该参考列表与例如被存储在计算机CPT（参见图2）的配置存储器KSP中的具有在该计算机中被使用的或被激活的并且能使用的密码套件、也就是说在该计算机上技术上被支持的密码套件或通过手动配置来激活的密码套件的列表进行对照。在此，在有对照结果的情况下，按如下地进行询问：“当前被使用的或被激活的并且能使用的密码套件的列表包含至少一个不在当前所确定的参考密码套件的参考列表中的条目吗
Figure 18261DEST_PATH_IMAGE001
”
如果对该询问的回答是“是”，则在第五流程状态AZ5FIG3下，输出报警提示，例如以声音方式作为报警信号或者以光学方式在显示器上或者作为电开关信号来输出报警提示。在其它情况下，如果对该询问的回答是“否”，则在第六流程状态AZ6FIG3下，结束对控制通信和/或服务访问的加密保护的检查。
换言之，在该询问的情况下弄清楚没有包含在当前适合的参考密码套件的参考列表中的密码套件是否被支持。如果情况如此，则例如进行报警，优选地以在计算机的服务菜单中的报警提示的形式来进行报警，作为在识别的情况下的日志事件（Logging-Event）、作为在使用的情况下的日志事件。在另一替选的变型方案中，该密码套件自动地被禁止，例如立即被禁止或者在输出报警提示之后的一定的等待期之后被禁止。
优选地定期地或受事件控制地进行在图3中示出的检查，以及进行按照具有所属的附图说明的图2来执行的关于对控制通信和/或服务访问的加密保护的确定。还优选地在计算机的确定的运行模式下（例如在维护模式下）进行检查。此外，也可以自动地采用变化，在等待时间之后自动地采用变化或者在服务技术人员的确认（例如在计算机的服务菜单中的配置设置中的确认）之后采用变化。
图4示出了用于基于密钥长度、尤其是对于加密算法来说所需的最短密钥长度来检查对控制通信和/或服务访问的加密保护的具有多个流程状态AZ1FIG4...AZ6FIG4的第二流程图。在第一流程状态AZ1FIG4下，开始检查对控制通信和/或服务访问的加密保护。
然后，在第二流程状态AZ2FIG4下，查询具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，这些区块链信息被用在区块链提供商的区块链服务中。在此，优选地通过查询来确定来自多个用作参考的来源（区块链提供商或者实现区块链的区块链节点的区块链服务）的信息，以便据此并且根据通过查询来确定的数据/信息在第四流程状态AZ3FIG4下确定当前适合的参考密钥长度、例如针对加密算法的参考最短密钥长度的例如经过可信性检查的参考列表。在此，例如可以对不同的信息来源进行加权，例如，如果至少3个来源（3个区块链提供商或者实现区块链的区块链节点的区块链服务）支持参考密钥长度、尤其是参考最短密钥长度，或者如果来源（多个区块链提供商或多个实现区块链的区块链节点的区块链服务）中的至少50%支持参考密钥长度、尤其是参考最短密钥长度，则记录到参考列表中。在此，可以检查不同的区块链，例如比特币、以太坊（Ethereum）和超级账本（Hyperledger）。
还可以根据最短密钥长度来进行过滤，该最短密钥长度根据区块链的难度来确定。
紧接着，在第四流程状态AZ4FIG4下，将当前的参考密钥长度、尤其是参考最短密钥长度的该参考列表与例如被存储在计算机CPT（参见图2）的配置存储器KSP中的具有在该计算机中被使用的或被激活的并且能使用的密钥长度、尤其是最短密钥长度、也就是说在该计算机上技术上被支持的密钥长度、尤其是最短密钥长度或通过手动配置来激活的密钥长度、尤其是最短密钥长度的列表进行对照。在此，在有对照结果的情况下，按如下地进行询问：“当前被使用的或被激活的并且能使用的密钥长度、尤其是最短密钥长度的列表包含至少一个不在当前所确定的参考密钥长度、尤其是参考最短密钥长度的参考列表中的条目吗
Figure 404243DEST_PATH_IMAGE001
”
如果对该询问的回答是“是”，则在第五流程状态AZ5FIG4下，输出报警提示，例如以声音方式作为报警信号或者以光学方式在显示器上或者作为电开关信号来输出报警提示。在其它情况下，如果对该询问的回答是“否”，则在第六流程状态AZ6FIG4下，结束对控制通信和/或服务访问的加密保护的检查。
换言之，在该询问的情况下弄清楚没有包含在当前适合的参考密钥长度、尤其是参考最短密钥长度的参考列表中的密钥长度、尤其是最短密钥长度是否被支持。如果情况如此，则例如进行报警，优选地以在计算机的服务菜单中的报警提示的形式来进行报警，作为在识别的情况下的日志事件（Logging-Event）、作为在使用的情况下的日志事件。在另一替选的变型方案中，该密钥长度、尤其是最短密钥长度自动地被禁止，例如立即被禁止或者在输出报警提示之后的一定的等待期之后被禁止。
优选地，重新（像在图3中示出的检查那样）定期地或受事件控制地进行在图4中示出的检查，以及进行按照具有所属的附图说明的图2来执行的关于对控制通信和/或服务访问的加密保护的确定。还优选地在计算机的确定的运行模式下（例如在维护模式下）重新进行检查。此外，也可以重新自动地采用变化，在等待时间之后自动地采用变化或者在服务技术人员的确认（例如在计算机的服务菜单中的配置设置中的确认）之后采用变化。

Claims (47)

1.一种用于加密保护在IT系统（ITS）中的控制通信和/或加密保护对IT系统（ITS）的服务访问的方法，其中
a) 所述控制通信在计算机（CPT）之间在有线或无线局域网（LNW）之内或者从局域网（LNW）到全球网（GNW）跨网络地进行；
b) 所述服务访问或者从所述局域网（LNW）跨网络地或者直接进入到所述全球网（GNW、IN）中地对至少一个因特网服务（ISV）、对至少一个云服务（CSV）、对至少一个后台服务（BESV）和/或对至少一个区块链服务（BCSV）进行；
c) 多个不同的、用于所述控制通信和/或所述服务访问的通信协议所支持的以及为了对所述控制通信和/或所述服务访问的加密保护而在计算机（CPT）中被使用的或者被激活的并且能使用的密码套件和/或密钥长度被存储，
其特征在于，
d) 自动地并且动态地或者手动地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于所述控制通信和/或所述服务访问的当前的加密保护来说是否足够强，其方式是
d1) 分别在对因特网服务的至少一个提供商的“因特网服务（ISV）”访问的过程中建立第一通信连接和/或在对区块链服务的至少一个提供商或者对至少一个实现区块链的区块链节点的“区块链服务（BCSV）”访问的过程中建立第二通信连接；
d2) 查询因特网提供商的因特网服务可支配的“密码套件”相关/特定的信息，以便针对所述控制通信和/或所述服务访问的加密保护确定适合的参考密码套件，和/或查询或确定对于区块链提供商的区块链服务来说或者对于实现区块链的区块链节点的所述区块链来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对所述控制通信和/或所述服务访问的加密保护根据所述区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的参考密钥长度；
d3) 将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被存储的、被使用的或被激活的并且能使用的密码套件和/或密钥长度进行对照。
2.根据权利要求1所述的方法，其特征在于，
通过手动配置来激活有关“密码套件”至少受限制的被激活的密码套件的列表或者当前被使用的或被激活的并且能使用的密码套件和/或密钥长度。
3.根据权利要求1或2所述的方法，其特征在于，
如果被存储的密码套件和/或密钥长度中的当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度与所确定的参考密码套件和/或所确定的参考密钥长度的对照得出：当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度不在所确定的参考密码套件和/或所确定的参考密钥长度中，则
(i) 产生并且输出被寄给所述计算机（CPT）的用户的报警提示；
(ii) 立即禁止当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度；和/或
(ii) 在所输出的报警提示的等待期之后禁止当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度。
4.根据权利要求1或2所述的方法，其特征在于，
在所述计算机（CPT）的专用的运行模式下进行自动地并且动态地被执行的确定。
5.根据权利要求3所述的方法，其特征在于，
在等待时间之后自动地或者在服务技术人员的确认之后，采用如下参考密码套件和/或参考密钥长度，所述参考密码套件和/或参考密钥长度已经导致了对当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度的禁止。
6.根据权利要求1或2所述的方法，其特征在于，
从因特网服务提供商查询到的信息被加权，用来确定适合的参考密码套件。
7.根据权利要求1所述的方法，其特征在于，
所述加密保护与在自动化、控制或者监控系统（AMS、STS、KTS）中的诊断和配置相关地进行。
8.根据权利要求1所述的方法，其特征在于，
所述计算机（CPT）构造为现场设备、控制设备、IoT设备、规划工具、服务工具、测试工具或诊断工具。
9.根据权利要求1所述的方法，其特征在于，
所述局域网（LNW）是基于以太网或WLAN的网络。
10.根据权利要求1所述的方法，其特征在于，
所述全球网（GNW）是因特网（IN）。
11.根据权利要求1所述的方法，其特征在于，
所述密钥长度是对于加密算法来说所需的最短密钥长度。
12.根据权利要求1所述的方法，其特征在于，
多个不同的、用于所述控制通信和/或所述服务访问的通信协议所支持的以及为了对所述控制通信和/或所述服务访问的加密保护而在计算机（CPT）中被使用的或者被激活的并且能使用的密码套件和/或密钥长度以列表来存储。
13.根据权利要求1所述的方法，其特征在于，
定期地或者受事件控制地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于所述控制通信和/或所述服务访问的当前的加密保护来说是否足够强。
14.根据权利要求1所述的方法，其特征在于，
应用户要求地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于所述控制通信和/或所述服务访问的当前的加密保护来说是否足够强。
15.根据权利要求1所述的方法，其特征在于，
分别试验性地在对因特网服务的至少一个提供商的“因特网服务（ISV）”访问的过程中建立第一通信连接和/或在对区块链服务的至少一个提供商或者对至少一个实现区块链的区块链节点的“区块链服务（BCSV）”访问的过程中建立第二通信连接。
16.根据权利要求1所述的方法，其特征在于，
所述“密码套件”相关/特定的信息是支持所述因特网提供商的因特网服务的密码套件。
17.根据权利要求1所述的方法，其特征在于，
在所建立的第一通信连接上，查询因特网提供商的因特网服务可支配的“密码套件”相关/特定的信息，以便针对所述控制通信和/或所述服务访问的加密保护确定适合的参考密码套件。
18.根据权利要求1所述的方法，其特征在于，
查询因特网提供商的因特网服务可支配的“密码套件”相关/特定的信息，以便针对所述控制通信和/或所述服务访问的加密保护确定适合的、被存储在参考列表中的参考密码套件。
19.根据权利要求1所述的方法，其特征在于，
在所建立的第二通信连接上，查询或确定对于区块链提供商的区块链服务来说或者对于实现区块链的区块链节点的所述区块链来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对所述控制通信和/或所述服务访问的加密保护根据所述区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的参考密钥长度。
20.根据权利要求1所述的方法，其特征在于，
查询或确定对于区块链提供商的区块链服务来说或者对于实现区块链的区块链节点的所述区块链来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对所述控制通信和/或所述服务访问的加密保护根据所述区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的、被存储在参考列表中的参考密钥长度。
21.根据权利要求1所述的方法，其特征在于，
所述参考密钥长度是对于加密算法来说所需的参考最短密钥长度。
22.根据权利要求1所述的方法，其特征在于，
将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被存储的、被使用的或被激活的并且能使用的密码套件和/或密钥长度按列表来进行对照。
23.根据权利要求4所述的方法，其特征在于，
所述确定定期地或者受事件控制地被执行。
24.根据权利要求4所述的方法，其特征在于，
所述专用的运行模式是维护模式。
25.一种用于加密保护在IT系统（ITS）中的控制通信和/或加密保护对IT系统（ITS）的服务访问的计算机（CPT），
a) 所述计算机具有网络接口（NWSS）以及配置存储器（KSP），所述网络接口以及配置存储器被构造为使得
a1) 通过所述网络接口（NWSS），与其它计算机（CPT）的控制通信在有线或无线局域网（LNW）之内或者通过所述局域网（LNW）的能与所述网络接口（NWSS）连接的网络节点（NWK）从所述局域网（LNW）到全球网（GNW）跨网络地进行；
a2) 通过所述网络接口（NWSS），所述服务访问或者通过所述局域网（LNW）的能与所述网络接口（NWSS）连接的网络节点（NWK）跨网络地或者直接进入到所述全球网（GNW、TCP/IP）中地对至少一个因特网服务（ISV）、对至少一个云服务（CSV）、对至少一个后台服务（BESV）和/或对至少一个区块链服务（BCSV）进行；
a3) 在所述配置存储器（KSP）中存储多个不同的、用于所述控制通信和/或所述服务访问的通信协议所支持的以及为了对所述控制通信和/或所述服务访问的加密保护而在所述计算机（CPT）中被使用的或者被激活的并且能使用的密码套件和/或密钥长度，
其特征在于
b) 非易失性可读存储器（SP），在所述存储器中存储有控制对所述控制通信和/或所述服务访问的加密保护的程序模块（PGM）的处理器可读的控制程序指令；和与所述存储器（SP）连接的处理器（PZ），所述处理器实施所述程序模块（PGM）的控制程序指令，与所述网络接口（NWSS）和所述配置存储器（KSP）连接并且为了控制对所述控制通信和/或所述服务访问的加密保护而与所述网络接口（NWSS）和所述配置存储器（KSP）一起构造为功能单元，使得
b1) 自动地并且动态地或者手动地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于所述控制通信和/或所述服务访问的当前的加密保护来说是否足够强，其方式是
b2) 分别在对因特网服务的至少一个提供商的“因特网服务（ISV）”访问的过程中建立第一通信连接和/或在对区块链服务的至少一个提供商的“区块链服务（BCSV）”访问的过程中建立第二通信连接，
b3) 查询因特网提供商的因特网服务可支配的信息，以便针对所述控制通信和/或所述服务访问的加密保护确定适合的参考密码套件，和/或查询或确定对于区块链提供商的区块链服务来说或者对于实现区块链的区块链节点的所述区块链来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对所述控制通信和/或所述服务访问的加密保护根据所述区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的参考密钥长度，
b4) 将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被存储在所述配置存储器（KSP）中的、被使用的或被激活的并且能使用的密码套件和/或密钥长度进行对照。
26.根据权利要求25所述的计算机（CPT），其特征在于，
包含输入接口（ESS），所述输入接口与所述处理器（PZ）连接而且通过所述连接来构成第一功能单元，所述第一功能单元被设计为使得通过手动配置来激活有关“密码套件”至少受限制的被激活的密码套件的列表或者当前被使用的或被激活的并且能使用的密码套件和/或密钥长度。
27.根据权利要求25或26所述的计算机（CPT），其特征在于，
包含输出接口（ASS），所述输出接口与所述处理器（PZ）连接并且通过所述连接与由所述处理器（PZ）来实施的程序模块（PGM）和所述配置存储器（KSP）共同构成第二功能单元，所述第二功能单元被设计为使得如果被存储在所述配置存储器（KSP）中的密码套件和/或密钥长度中的当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度与所确定的参考密码套件和/或所确定的参考密钥长度的对照得出：当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度不在所确定的参考密码套件和/或所确定的参考密钥长度中，则
(i) 产生被寄给所述计算机（CPT）的用户的报警提示并且通过所述输出接口（ASS）来输出所述报警提示；
(ii) 立即禁止当前被使用的密码套件和/或密钥长度；和/或
(iii) 在所输出的报警提示的等待期之后禁止当前被使用的密码套件和/或密钥长度。
28.根据权利要求25或26所述的计算机（CPT），其特征在于，
所述处理器（PZ）和所述程序模块（PGM）被构造为使得在所述计算机（CPT）的专用的运行模式下进行自动地并且动态地被执行的确定。
29.根据权利要求27所述的计算机（CPT），其特征在于，
所述处理器（PZ）和所述程序模块（PGM）被构造为使得在等待时间之后自动地或者在服务技术人员通过输入接口（ESS）的确认之后，采用如下参考密码套件和/或参考密钥长度，所述参考密码套件和/或参考密钥长度已经导致了对当前被使用的或者被激活的并且能使用的密码套件和/或密钥长度的禁止。
30.根据权利要求25或26所述的计算机（CPT），其特征在于，
所述处理器（PZ）和所述程序模块（PGM）被构造为使得从因特网服务提供商查询到的信息被加权，用来确定适合的参考密码套件。
31.根据权利要求25所述的计算机（CPT），其特征在于，
所述加密保护与在自动化、控制或者监控系统（AMS、STS、KTS）中的诊断和配置相关地进行。
32.根据权利要求25所述的计算机（CPT），其特征在于，
所述计算机（CPT）被设计为现场设备、控制设备、IoT设备、规划工具、服务工具、测试工具或诊断工具。
33.根据权利要求25所述的计算机（CPT），其特征在于，
所述局域网（LNW）是基于以太网或WLAN的网络。
34.根据权利要求25所述的计算机（CPT），其特征在于，
所述全球网（GNW）是因特网（TCP/IP）。
35.根据权利要求25所述的计算机（CPT），其特征在于，
所述密钥长度是对于加密算法来说所需的最短密钥长度。
36.根据权利要求25所述的计算机（CPT），其特征在于，
在所述配置存储器（KSP）中以列表来存储多个不同的、用于所述控制通信和/或所述服务访问的通信协议所支持的以及为了对所述控制通信和/或所述服务访问的加密保护而在所述计算机（CPT）中被使用的或者被激活的并且能使用的密码套件和/或密钥长度。
37.根据权利要求25所述的计算机（CPT），其特征在于，
定期地或者受事件控制地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于所述控制通信和/或所述服务访问的当前的加密保护来说是否足够强。
38.根据权利要求25所述的计算机（CPT），其特征在于，
应经由与所述处理器（PZ）连接的输入接口（ESS）的用户要求地通过自动配置来确定：被使用的或者被激活的并且能使用的密码套件和/或密钥长度对于所述控制通信和/或所述服务访问的当前的加密保护来说是否足够强。
39.根据权利要求25所述的计算机（CPT），其特征在于，分别试验性地在对因特网服务的至少一个提供商的“因特网服务（ISV）”访问的过程中建立第一通信连接和/或在对区块链服务的至少一个提供商的“区块链服务（BCSV）”访问的过程中建立第二通信连接。
40.根据权利要求25所述的计算机（CPT），其特征在于，在所建立的第一通信连接上，查询因特网提供商的因特网服务可支配的信息，以便针对所述控制通信和/或所述服务访问的加密保护确定适合的参考密码套件。
41.根据权利要求25所述的计算机（CPT），其特征在于，查询因特网提供商的因特网服务可支配的信息，以便针对所述控制通信和/或所述服务访问的加密保护确定适合的、被存储在参考列表中的参考密码套件。
42.根据权利要求25所述的计算机（CPT），其特征在于，
在所建立的第二通信连接上，查询或确定对于区块链提供商的区块链服务来说或者对于实现区块链的区块链节点的所述区块链来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对所述控制通信和/或所述服务访问的加密保护根据所述区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的参考密钥长度。
43.根据权利要求25所述的计算机（CPT），其特征在于，
查询或确定对于区块链提供商的区块链服务来说或者对于实现区块链的区块链节点的所述区块链来说可支配的具有用于解决复杂的计算任务的被称作“工作量证明”的数据组的区块链信息，以便针对所述控制通信和/或所述服务访问的加密保护根据所述区块链信息通过确定区块链难度参数作为密钥长度估计参数来确定适合的、被存储在参考列表中的参考密钥长度。
44.根据权利要求25所述的计算机（CPT），其特征在于，所述参考密钥长度是对于加密算法来说所需的参考最短密钥长度。
45.根据权利要求25所述的计算机（CPT），其特征在于，
将所确定的参考密码套件和/或通过密钥长度估计参数来确定的参考密钥长度与被存储在所述配置存储器（KSP）中的、被使用的或被激活的并且能使用的密码套件和/或密钥长度按列表来进行对照。
46.根据权利要求28所述的计算机（CPT），其特征在于，
所述确定定期地或者受事件控制地被执行。
47.根据权利要求28所述的计算机（CPT），其特征在于，
所述专用的运行模式是维护模式。
CN201880010836.6A 2017-02-08 2018-01-11 加密保护在it系统中的控制通信和/或对it系统服务访问的方法和计算机 Active CN110278718B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102017202002.4A DE102017202002A1 (de) 2017-02-08 2017-02-08 Verfahren und Computer zum kryptografischen Schützen von Steuerungskommunikation in und/oder Service-Zugang zu IT-Systemen, insbesondere im Zusammenhang mit der Diagnose und Konfiguration in einem Automatisierungs-, Steuerungs- oder Kontrollsystem
DE102017202002.4 2017-02-08
PCT/EP2018/050609 WO2018145847A1 (de) 2017-02-08 2018-01-11 Verfahren und computer zum kryptografischen schützen von steuerungskommunikation in und/oder service-zugang zu it-systemen, insbesondere im zusammenhang mit der diagnose und konfiguration in einem automatisierungs-, steuerungs- oder kontrollsystem

Publications (2)

Publication Number Publication Date
CN110278718A CN110278718A (zh) 2019-09-24
CN110278718B true CN110278718B (zh) 2020-12-08

Family

ID=61094414

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201880010836.6A Active CN110278718B (zh) 2017-02-08 2018-01-11 加密保护在it系统中的控制通信和/或对it系统服务访问的方法和计算机

Country Status (6)

Country Link
US (1) US11095444B2 (zh)
EP (1) EP3563279B1 (zh)
JP (1) JP6999682B2 (zh)
CN (1) CN110278718B (zh)
DE (1) DE102017202002A1 (zh)
WO (1) WO2018145847A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3618348B1 (de) * 2018-08-31 2021-03-10 Siemens Aktiengesellschaft Verfahren zum betreiben eines verteilten datenbanksystems, verteiltes datenbanksystem und industrieautomatisierungssystem
US20210092103A1 (en) * 2018-10-02 2021-03-25 Arista Networks, Inc. In-line encryption of network data
EP3825880B1 (de) * 2019-11-20 2022-10-05 Siemens Energy Global GmbH & Co. KG Geschütztes rücksetzen eines iot-geräts
CN111600871B (zh) * 2020-05-13 2022-08-02 中国联合网络通信集团有限公司 一种防止攻击方法及装置
CN111756743B (zh) * 2020-06-24 2021-12-14 腾讯科技（深圳）有限公司 基于区块链的资源转移方法、装置、计算机设备和存储介质
KR102211876B1 (ko) * 2020-07-14 2021-02-03 강재종 기존 필드버스 기반 자동제어 시스템의 사물인터넷 연동 장치 및 방법
CN113347145B (zh) * 2021-04-14 2022-07-26 浙江东安检测技术有限公司 5g无线通信应用密评系统与方法
CN113627108B (zh) * 2021-08-13 2023-08-25 山东大学 Fpga中密码算法的最大运行频率自动化搜索方法和系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6202157B1 (en) * 1997-12-08 2001-03-13 Entrust Technologies Limited Computer network security system and method having unilateral enforceable security policy provision
CN103731432A (zh) * 2014-01-11 2014-04-16 西安电子科技大学昆山创新研究院 一种支持多用户的可搜索加密系统及方法
CN104025505A (zh) * 2011-12-31 2014-09-03 英特尔公司 用于管理用户认证的方法、装置和系统

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000048061A1 (en) 1999-02-15 2000-08-17 Hewlett-Packard Company Protection of the configuration of modules in computing apparatus
US7219223B1 (en) * 2002-02-08 2007-05-15 Cisco Technology, Inc. Method and apparatus for providing data from a service to a client based on encryption capabilities of the client
US8909926B2 (en) 2002-10-21 2014-12-09 Rockwell Automation Technologies, Inc. System and methodology providing automation security analysis, validation, and learning in an industrial controller environment
US7346922B2 (en) 2003-07-25 2008-03-18 Netclarity, Inc. Proactive network security system to protect against hackers
ES2384634T7 (es) * 2003-09-26 2018-10-11 Telefonaktiebolaget Lm Ericsson (Publ) Diseño de seguridad mejorado para criptografía en sistemas de comunicaciones de móviles
US7602903B2 (en) * 2004-01-16 2009-10-13 Microsoft Corporation Cryptography correctness detection methods and apparatuses
US7461398B2 (en) * 2004-10-21 2008-12-02 At&T Intellectual Property I, L.P., By Transfer Of Ownership From At&T Delaware Intellectual Property, Inc. Methods, systems, and computer program products for dynamic management of security parameters during a communications session
US7849497B1 (en) 2006-12-14 2010-12-07 Athena Security, Inc. Method and system for analyzing the security of a network
US8302196B2 (en) * 2007-03-20 2012-10-30 Microsoft Corporation Combining assessment models and client targeting to identify network security vulnerabilities
US7584508B1 (en) * 2008-12-31 2009-09-01 Kaspersky Lab Zao Adaptive security for information devices
GB2471455A (en) * 2009-06-29 2011-01-05 Nec Corp Secure network connection
CN102137400B (zh) * 2010-01-23 2015-04-01 中兴通讯股份有限公司 一种rrc连接重建立时的安全处理方法和系统
US9755836B2 (en) * 2010-11-19 2017-09-05 International Business Machines Corporation Identifying and locating authenticated services using broadcast encryption
US8856936B2 (en) 2011-10-14 2014-10-07 Albeado Inc. Pervasive, domain and situational-aware, adaptive, automated, and coordinated analysis and control of enterprise-wide computers, networks, and applications for mitigation of business and operational risks and enhancement of cyber security
JP2013247442A (ja) 2012-05-24 2013-12-09 Ntt Docomo Inc データ送信装置、通知方法およびプログラム
US9176838B2 (en) 2012-10-19 2015-11-03 Intel Corporation Encrypted data inspection in a network environment
US9531705B1 (en) * 2013-03-14 2016-12-27 United Services Automobile Association Systems and methods for computer digital certificate management and analysis
CN105359139B (zh) 2013-06-24 2019-04-09 日本电信电话株式会社 安全信息管理系统及安全信息管理方法
WO2015176227A1 (en) * 2014-05-20 2015-11-26 Nokia Technologies Oy Method, network element, mobile terminal, system and computer program product for cryptographic algorithm negotiation
JP2016029787A (ja) 2014-07-16 2016-03-03 キヤノン株式会社 情報処理装置、暗号化通信方法、およびプログラム
JP2016061915A (ja) 2014-09-17 2016-04-25 株式会社リコー 情報処理装置、情報処理システム、情報処理方法及びプログラム
US9973481B1 (en) * 2015-06-16 2018-05-15 Amazon Technologies, Inc. Envelope-based encryption method
US10454689B1 (en) * 2015-08-27 2019-10-22 Amazon Technologies, Inc. Digital certificate management
US20170289185A1 (en) * 2016-03-31 2017-10-05 Qualcomm Incorporated Device assisted traffic anomaly detection
US10218686B2 (en) * 2016-10-24 2019-02-26 International Business Machines Corporation Dynamically managing, from a centralized service, valid cipher suites allowed for secured sessions

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6202157B1 (en) * 1997-12-08 2001-03-13 Entrust Technologies Limited Computer network security system and method having unilateral enforceable security policy provision
CN104025505A (zh) * 2011-12-31 2014-09-03 英特尔公司 用于管理用户认证的方法、装置和系统
CN103731432A (zh) * 2014-01-11 2014-04-16 西安电子科技大学昆山创新研究院 一种支持多用户的可搜索加密系统及方法

Also Published As

Publication number Publication date
DE102017202002A1 (de) 2018-08-09
EP3563279A1 (de) 2019-11-06
WO2018145847A1 (de) 2018-08-16
US11095444B2 (en) 2021-08-17
US20190394027A1 (en) 2019-12-26
JP2020506485A (ja) 2020-02-27
EP3563279B1 (de) 2021-01-06
JP6999682B2 (ja) 2022-01-18
CN110278718A (zh) 2019-09-24

Similar Documents

Publication Publication Date Title
CN110278718B (zh) 加密保护在it系统中的控制通信和/或对it系统服务访问的方法和计算机
US11586709B2 (en) Secure provisioning and management of devices
US11153101B2 (en) Scalable certificate management system architectures
US10341321B2 (en) System and method for policy based adaptive application capability management and device attestation
TWI643508B (zh) 用於物聯網智能設備的智慧路由系統
RU2744849C2 (ru) Использование аппаратно-обеспечиваемой защищенной изолированной области для предотвращения пиратства и мошенничества в электронных устройствах
US20160014159A1 (en) Separated security management
JP4807562B2 (ja) プラント制御システム
EP3884405B1 (en) Secure count in cloud computing networks
WO2021084221A1 (en) Attestation for constrained devices
US11811922B2 (en) Key generation device, a vehicle-internal communication system, and a method for the vehicle-internal management of cryptographic keys
CN114281068A (zh) 无人设备远程接管系统、方法、装置、设备及存储介质
EP3511858A1 (en) Update of mac security settings in autonomous industrial control devices
WO2021084220A1 (en) Iterative key generation for constrained devices
CN112513840A (zh) 可缩放证书管理系统架构
JP2022138824A (ja) 制御システムおよびその制御方法
CN113226858A (zh) 信息处理装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant