CN116057894B - 用于管理安全组的密钥的方法 - Google Patents

用于管理安全组的密钥的方法 Download PDF

Info

Publication number
CN116057894B
CN116057894B CN202180056341.9A CN202180056341A CN116057894B CN 116057894 B CN116057894 B CN 116057894B CN 202180056341 A CN202180056341 A CN 202180056341A CN 116057894 B CN116057894 B CN 116057894B
Authority
CN
China
Prior art keywords
key
publisher
publishers
security group
new
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202180056341.9A
Other languages
English (en)
Other versions
CN116057894A (zh
Inventor
托马斯·菲舍
斯特凡·赫默
康斯坦丁·容
斯文·克施鲍姆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Publication of CN116057894A publication Critical patent/CN116057894A/zh
Application granted granted Critical
Publication of CN116057894B publication Critical patent/CN116057894B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/065—Network architectures or network communication protocols for network security for supporting key management in a packet data network for group communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/30—Nc systems
    • G05B2219/31—From computer integrated manufacturing till monitoring
    • G05B2219/31094—Data exchange between modules, cells, devices, processors

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本公开描述了一种用于将第一发布者添加到安全组的方法。方法包括：接收对第一发布者的密钥的密钥请求，密钥请求包括与第一发布者相关联的一个或多个凭证和指示第一发布者的带宽的密钥参数指标；基于接收到的密钥请求的密钥参数指标，修改安全组的至少一个密钥的使用寿命值，其中，至少一个密钥的期满基于一个或多个密钥的使用寿命值；以及将至少一个密钥和至少一个密钥的修改后的使用寿命值发送至第一发布者。第一发布者被配置用于：在至少一个密钥期满之前，发布用至少一个密钥加密的一条或多条消息。

Description

用于管理安全组的密钥的方法
技术领域
本公开涉及安全性，更具体地，涉及工业系统中的“发布-订阅”技术中的密钥管理。OPC UA是用于自动化领域中一项成熟的通信标准。如今主要使用的是客户端/服务器方式。而在2018年2月，客户端/服务器方式就已经扩展到了发布/订阅方式。如此，能从一个发布者向多个订阅者传输数据。由此，发布者推送到网络的数据，基本上能够被每个参与者接收。
背景技术
OPC UA中的一个关键方面涉及安全性。具体而言，对于OPC UA“发布－订阅”模式，安全性不仅是数据完整和加密的需要，也是访问控制的需要。因为发布者和订阅者之间的联系是松散的(即，发布者不知道订阅者)，所以发布者和订阅者需要一种安全服务，来管理加密和解密密钥(用于认证和授权)。该服务即安全密钥服务(详见OPC 10000－14 5.3.7和5.4.3)。
安全密钥服务生成所需密钥，该密钥具有限定的使用寿命，能够由发布者在创建安全组时限定该限定的使用寿命。安全组是指一组订阅者和发布者，其使用一套相互关联的加密和解密密钥。在生成密钥之后，并且在接收到来自发布者或订阅者的密钥请求时，安全密钥服务将密钥发送至发布者和订阅者，使得发布者能够使用密钥来加密消息，并且订阅者能够使用密钥来解密消息。密钥的使用寿命可能受到各种因素的影响。出于安全原因，使用一个密钥，仅可传输规定的数据量，因此，发布者发布的周期时长和数据量会影响密钥的使用寿命。
通常，发布人在创建安全组时限定密钥资料的使用寿命。为此，发布者须确定按计划要在每个预定时间段发布的数据量。因此，安全组实际上能够仅由单个发布者使用。然而，将多个发布者划入一个安全组是明智之举，因为这减轻了密钥管理的负担。可是，现有技术中对此并没有解决方案。因此，需要一种能够创建具有多个发布者的安全组的方法和设备。尤其是需要一种当安全组的成员在运行时间期间改变时能够动态修改安全组密钥使用寿命的方法。
发明内容
相应地，本公开描述了解决上述各方面问题的如本发明所述的方法、如本发明所述的工业设备，以及如本发明所述的非瞬态存储介质。
相应地，在一方面，本公开描述了一种用于将第一发布者添加到安全组的方法。安全组包括一个或多个发布者和一个或多个订阅者。一个或多个发布者被配置用于发布用与安全组相关联的至少一个密钥加密的消息。该方法包括：接收对第一发布者的密钥的密钥请求，密钥请求包括与第一发布者相关联的一个或多个凭证和指示第一发布者的带宽的密钥参数指标；基于接收到的密钥请求的密钥参数指标，修改安全组的至少一个密钥的使用寿命值，其中，至少一个密钥的期满基于一个或多个密钥的使用寿命值；以及将至少一个密钥和至少一个密钥的修改后的使用寿命值发送至第一发布者。第一发布者被配置用于：在至少一个密钥期满之前，发布用至少一个密钥加密的一条或多条消息。
相应地，本公开提供了将发布者添加到现有安全组的动态方式。同时，基于与新添加的发布者相关联的带宽，调整密钥的使用寿命，从而维护安全组的安全性。因此，本公开通过在现有安全组中纳入新发布者，减少了对更多安全组的需要。
在一个实例中，密钥请求由配置工具代表第一发布者生成。因此，在将工业设备配置为发布者期间，配置工具能够配置工业设备，并将设备添加到安全组。在另一实例中，密钥请求由第一发布者生成。相应地，添加到工业设施的新工业设备能够通过生成密钥请求将其自身添加到安全组。在一个实施例中，该方法由安全密钥服务组件执行。类似地，密钥参数指标是由第一发布者生成的使用寿命估计值。因此，上述方法与OPC UA兼容。
在另一方面，本公开描述了一种用于管理安全组的至少一个密钥的方法。安全组包括一个或多个发布者和一个或多个订阅者。一个或多个发布者被配置用于发布用至少一个密钥加密的数据。该方法包括：检测与新发布者和一个或多个发布者中的发布者之一相关联的事件；确定与新发布者和该发布者之一相关联的密钥参数指标，其中，密钥参数指标指示新发布者和该发布者之一的带宽；以及基于确定后的密钥参数指标，修改至少一个密钥的使用寿命值，其中，至少一个密钥在基于至少一个密钥的使用寿命值的时刻期满。
相应地，除了动态地添加发布者之外，本公开还允许在发布者离开安全组时，或在发布者变为不活跃时，或在发布者改变其带宽时，调整安全组密钥的使用寿命。相应地，当发布者退出或变为不活跃时，能够延长密钥的使用寿命。
在一个实例中，方法还包括：在至少一个密钥期满时，向安全组的发布者和订阅者分发新密钥和与新密钥相关联的使用寿命值，其中，新密钥的使用寿命值基于与发布者相关联的带宽。在一个实例中，一个或多个发布者包括可编程逻辑控制器(PLC)。
在另一方面，本公开描述了一种用于管理安全组的至少一个密钥的工业设备。安全组包括一个或多个发布者和一个或多个订阅者。一个或多个发布者被配置用于发布用至少一个密钥加密的数据。工业设备包括一个或多个处理器，一个或多个处理器被配置用于检测与新发布者和一个或多个发布者中的发布者之一相关联的事件；确定与检测到的新发布者和该发布者之一相关联的密钥参数指标，其中，密钥参数指标指示新发布者和该发布者之一的带宽；以及基于确定后的密钥参数指标，修改至少一个密钥的使用寿命值，其中，至少一个密钥在基于至少一个密钥的使用寿命值的时刻期满。
在又一方面中，本发明描述一种用于管理安全组的至少一个密钥的非瞬时性存储介质。安全组包括一个或多个发布者和一个或多个订阅者。一个或多个发布者被配置用于发布用至少一个密钥加密的数据。非瞬时性存储介质包括多个指令，在由一个或多个处理器执行指令时，使得一个或多个处理器实施以下操作：检测与新发布者和一个或多个发布者中的发布者之一相关联的事件；确定与新发布者和该发布者之一相关联的密钥参数指标，其中，密钥参数指标指示新发布者和该发布者之一的带宽；以及基于确定后的密钥参数指标，修改至少一个密钥的使用寿命值，其中，至少一个密钥在基于至少一个密钥的使用寿命值的时刻期满。该方法的优点适用于本文所述的设备。将在图1至图5中进一步描述这些方面。
附图说明
以下详细描述参考附图，其中：
图1示出了包括多个发布者和订阅者的安全组；
图2示出了用于添加安全组的发布者的示例性方法；
图3示出了用于管理安全组的至少一个密钥的示例性方法；
图4是交互图，示出了安全密钥服务、多个发布者和订阅者之间的交互；以及
图5示出了用于管理安全组的至少一个密钥的示例性工业设备。
具体实施方式
图1描绘了工业设施中的工业自动化系统中的安全组100。此处，工业设施指的是其中能够发生一个或多个工业流程(比如，制造、精炼、熔炼、设备组装)的任何环境，包括制炼厂、炼油厂、汽车厂、仓库等。安全组100包括一个或多个发布者(图中示为发布者113和115)和一个或多个订阅者(图中示为订阅者123和125)。工业自动化系统包括多个工业设备和子系统，例如控制设备、现场设备、操作员站、流程历史数据库等。控制设备包括流程控制器、可编程逻辑控制器、监督控制器、自动引导车、机器人、操作员设备等。控制设备连接到多个现场设备(图中未示出)，例如，用于监视和控制工业设施中的工业流程的致动器和传感器设备。这些现场设备能够包括流量计、值致动器、温度传感器、压力传感器等。控制设备能够经由控制网络(经由有线和无线网络实现)彼此连接。操作员站向操作员显示工业厂区的状态，并且允许操作员限定用于控制设施中的工业流程的设定点。此处，发布者或订阅者指工业自动化系统的工业设备或子系统。例如，发布者能够包括被配置用于向订阅者(包括控制器、流程历史数据库、操作员站等)发布传感器数据的传感器。发布者被配置用于按周期性间隔或按不规则间隔发布工业数据。类似地，订阅者被配置用于接收来自其订阅的一个或多个发布者的数据。
为了确保安全性，发布者使用数字密钥来签名或签署发布的数据并加密。订阅者被配置用于基于发布者的签名来确定发布数据的真实性。类似地，订阅者能够使用解密密钥，解密来自发布者的发布数据。相应地，安全组100还包括安全密钥服务130。安全密钥服务130负责管理安全组的一个或多个密钥。安全组的一个或多个密钥，按照上述方式，由发布者和订阅者使用。下面参照图2和图3对密钥的管理进行说明。
图2示出了将第一发布者117添加到安全组100的方法200。如前所述，安全组包括发布者113和115，以及订阅者123和125。发布者113和115是现有的发布者，并且已经使用安全组100的至少一个密钥来进行发布。相应地，在图中，使用矩形110表示现有发布者。订阅者123和125是现有订阅者，并且已经使用安全组100的至少一个密钥来验证或解密来自发布者的发布数据。相应地，在图中，用矩形120表示现有的订阅者。第一发布者117不是安全组的成员，因此不具有安全组100的至少一个密钥。因此，在一个实例中，第一发布者117向安全密钥服务130发送安全组100的至少一个密钥和加入安全组100的密钥请求。
因此，在步骤210，安全密钥服务130接收对第一发布者117密钥的密钥请求。密钥请求包括与第一发布者117相关联的一个或多个凭证和指示第一发布者117的带宽的密钥参数指标。第一发布者117的凭证能够由与工业设施相关联的配置工具或控制系统生成。安全密钥服务130使用与第一发布者117相关联的一个或多个凭证，确定第一发布者117是否获准纳入安全组100并接收安全组100的至少一个密钥。在一个实例中，一个或多个凭证是在工业设施中设置或配置工业设备的过程中，由配置工具生成的。
请求的密钥参数指标指示与第一发布者117相关联的带宽。此处，带宽指的是发布者计划在单位时间内发布的数据量。在长时间段内，与发布数据量少的发布者相比，发布数据量大的发布者频繁出现高带宽。因此，为了确保足够的安全性，并且因为高带宽发布者更易受攻击，所以，将高带宽发布者使用的密钥的使用寿命保持为较短，以便确保新密钥的使用频率更高。类似地，因为低带宽发布者较不易受攻击，所以，将低带宽发布者使用的密钥的使用寿命保持为较长(相对于高带宽发布者的密钥使用寿命而言)。安全组密钥的使用寿命取决于安全组的发布者的累积带宽。因此，基于密钥请求的密钥参数指标，安全密钥服务能够确定第一发布者117具有高带宽还是低带宽。
然后，在步骤220，安全密钥服务130基于接收到的密钥请求的密钥参数指标，修改安全组的至少一个密钥的使用寿命值。至少一个密钥的期满基于至少一个密钥的使用寿命值。如上所述，安全密钥服务能够基于密钥参数指标的值来估计第一发布者117是否具有高带宽或低带宽。相应地，由于第一发布者117是添加到安全组的新发布者，并且将使用至少一个密钥来发布消息，所以修改至少一个密钥的使用寿命，从而确保安全组的安全性。相应地，基于密钥指标参数的值，减少至少一个密钥的使用寿命。另外，至少一个密钥在基于密钥使用寿命值的时刻期满。因此，在至少一个密钥期满时，发布者停止使用至少一个密钥。
然后，在步骤230，安全密钥服务130将至少一个密钥和至少一个密钥的修改后的使用寿命值(统称为密钥响应)发送至第一发布者117。在接收到密钥之后，第一发布者117被配置用于：基于至少一个密钥的使用寿命，在至少一个密钥期满之前，或直到至少一个密钥期满为止，发布用至少一个密钥加密的一条或多条消息。
相应地，在上述方法200中，描述了通过修改安全组的密钥的使用寿命而将新的发布者添加到安全组而不危害安全组安全性的动态方式。虽然上述方法是结合新发布者的添加来说明的，但是本公开能够应用于与发布者相关联的其他此类事件。将参考图3对此作进一步说明。
图3示出了用于管理安全组100的至少一个密钥的方法300。如前所述，安全组100包括一个或多个发布者和一个或多个订阅者。一个或多个发布者被配置用于使用至少一个密钥来发布数据。方法300由安全密钥服务130实现。
在步骤310，安全密钥服务130检测与新发布者和一个或多个发布者(也称为现有发布者)中的发布者之一相关联的事件。例如，与新发布者相关联的事件包括接收对新发布者的密钥请求。对于现有发布者，与发布者相关联的事件包括：接收来自现有发布者的通知消息，该通知消息指示与发布者相关联的带宽的改变；或接收来自现有发布者的通知消息，该通知消息指示发布者要离开安全组；或发布者不再响应的超时事件。
然后，在步骤320，安全密钥服务130获得与检测到的新发布者和活跃发布者中的至少一个发布者相关联的密钥参数指标。密钥参数指标指示新发布者和该发布者之一的带宽。继续参考上述实例，在事件与新发布者的添加相关联的情况下，从新发布者的密钥请求中获得密钥参数指标。类似地，在事件与现有发布者的带宽的改变相关联的情况下，从来自现有发布者的通知消息中获得密钥参数指标。类似地，在事件是发布者不再活跃的超时事件的情况下，在将现在不活跃的发布者添加到安全组110的同时，从接收到的密钥请求中获得与不活跃的发布者相关联的密钥参数指标。
然后，在步骤330，安全密钥服务130基于确定后的密钥参数指标，修改至少一个密钥的使用寿命值。至少一个密钥在基于至少一个密钥的使用寿命值的时刻期满。对此，下面将结合图4实例来进一步说明。
图4是交互图400，示出了安全密钥服务410、发布者(430，440)和订阅者420之间的交互。在第一时刻(记为T1)，安全密钥服务410接收来自发布者430的密钥请求431。由于此时没有创建安全组，因此安全密钥服务410创建具备密钥的安全组。密钥请求431包括与发布者430相关联的一个或多个证书和指示发布者440带宽的密钥参数指标。基于来自发布者430的密钥请求431中的密钥参数指标，确定密钥的使用寿命。在一个实例中，密钥参数指标是由发布者为其带宽确定的使用寿命值。例如，密钥参数指标的值是1小时。由于发布者430是组中唯一的发布者，所以安全组的密钥的使用寿命被设置为来自发布者430的使用寿命值，即1小时。然后，安全密钥服务410发送密钥响应433，从而对发布者430做出响应，密钥响应433包含安全组的密钥、与安全组相关联的标识符和与安全组的密钥相关联的使用寿命。
在第二时刻(在第一时刻之后)，安全密钥服务410接收来自订阅者420的密钥请求411。来自订阅者420的密钥请求包含与安全组相关联的标识符和订阅者420的凭证。在使用订阅者420凭证，对订阅者420进行认证之后，安全密钥服务410向订阅者420发送包含安全组的密钥和密钥使用寿命值的密钥响应413。
在第三时刻(记为T3，在第一时刻之后)，安全密钥服务410接收来自发布者440的密钥请求441。密钥请求441包括与发布者440相关联的一个或多个证书和指示发布者440带宽的密钥参数指标。然后，基于与发布者440相关联的密钥参数指标，安全密钥服务410修改安全组的密钥的使用寿命。在一个实例中，密钥参数指标是由发布者440为其带宽确定的使用寿命值。例如，与发布者440相关联的密钥参数指标的值是30分钟。因为正将新发布者添加到组，所以安全组的累积带宽增加，并且基于来自发布者440的使用寿命值，相应地减少该组的密钥的使用寿命。修改能够基于一个或多个已知的数学函数，例如平均值确定、最小值确定等。然后，安全密钥服务410发送密钥响应444，从而对发布者440做出响应，密钥响应444包含安全组的密钥、与安全组相关联的标识符和与安全组的密钥相关联的修改后的使用寿命。由于密钥的使用寿命已被修改，因此安全密钥服务410通过密钥使用寿命修改消息436向发布者430通知密钥修改后的使用寿命。在一个实例中，安全密钥服务还向订阅者410发送指示密钥修改后的寿命的密钥使用寿命修改消息。
在第四时刻(记为T4，在第三时刻之后)，安全密钥服务410接收来自发布者430的指示发布者430正在离开安全组的退出通知439。相应地，基于请求431的密钥参数指标，安全密钥服务修改或调整组的密钥使用寿命。因为现有发布者正要离开安全组，因此安全组的累积带宽减小，相应地，延长该组的密钥使用寿命。由于密钥的使用寿命已被修改，因此安全密钥服务410通过密钥使用寿命修改消息446向发布者440通知密钥修改后的寿命。在一个实例中，安全密钥服务还向订阅者410发送指示密钥修改后的寿命的密钥使用寿命修改消息。
能够注意到，虽然使用一个安全组和一个安全密钥服务为例来说明本发明，但是安全密钥服务能够管理多个安全组。另外，虽然上述方法是使用源自发布者和订阅者的请求来说明的，但是这些密钥请求也能够源自配置工具。在设置发布者时，配置工具能够代表发布者发送该请求。
本公开能够采取计算机程序产品的形式，计算机程序产品包括能够从计算机可用介质或计算机可读介质访问的程序模块，该计算机可用介质或计算机可读介质存储有程序代码，该程序代码由一个或多个计算机、处理单元或指令执行系统使用或与一个或多个计算机、处理单元或指令执行系统结合使用。例如，方法200和方法300能够在一个或多个设备上实现。
因此，本公开描述了用于管理安全组的至少一个密钥的工业设备500。工业设备500包括网络接口510和一个或多个处理器520，一个或多个处理器520被配置用于执行存储在存储器模块或非瞬态存储介质530上的多个指令(533，536)。在执行发布者事件检测指令533时，一个或多个处理器520被配置用于检测与新发布者和一个或多个发布者中的发布者之一相关联的事件。然后，一个或多个发布者被配置用于获得与新发布者和该发布者中被检测到的一个发布者相关联的密钥参数指标，其中，密钥参数指标指示新发布者和该发布者中被检测到的一个发布者的带宽。在执行密钥使用寿命修改指令536时，一个或多个处理器520被配置用于：基于获得的密钥参数指标，修改至少一个密钥的使用寿命值，其中，至少一个密钥在基于至少一个密钥的使用寿命值的时刻期满。
出于本说明书的目的，计算机可用或计算机可读的非瞬态存储介质能够是能够包含、存储、传送、传播或传输供指令执行系统、装置或设备使用或与之结合使用的程序的任何装置。该介质能够是电子介质、磁介质、光介质、电磁介质、红外介质，或半导体系统(或装置或设备)或其自身的传播介质，因为信号载体不包括在实体计算机可读介质的定义中，实体计算机可读介质包括半导体或固态存储器、磁带、可移动计算机盘、随机存取存储器(RAM)、只读存储器(ROM)、诸如光盘只读存储器(CD-ROM)的刚性磁盘和光盘、光盘读/写器和DVD。如本领域技术人员已知的，用于实现本技术的每个方面的处理单元和程序代码都能够是集中式或分布式(或其组合)。
虽然对本公开的描述只参考了少数工业设备，但是，在本公开的上下文中能够利用多个工业设备。虽然已经参考某些实施例详细描述了本公开，但是应当理解，本公开不限于这些实施例。在本公开中，对于本领域技术人员而言，在不脱离在此所述的本公开的各种实施例的范围的情况下，能够存在许多基于本公开的修改和变化。因此，本公开的保护范围仅由所附权利要求限定，而不是由前面的描述来表明。不超出权利要求等同物的含义和范围的所有改变、修改和变化，均视作包含在本公开范围内。在方法权利要求中要求保护的全部有利的实施例，也能够应用于设备/非瞬态存储介质权利要求。

Claims (9)

1.一种用于将第一发布者(117)添加到安全组的方法(200)，所述安全组包括一个或多个发布者(113，115)和一个或多个订阅者(123，
125)，所述一个或多个发布者(113，115)被配置用于使用与所述安全组相关联的至少一个密钥来发布消息；所述方法(200)包括：
a.接收(210)对所述第一发布者(117)的密钥的密钥请求，其中，所述密钥请求包括与所述第一发布者(117)相关联的一个或多个凭证和指示所述第一发布者(117)的带宽的密钥参数指标；
b.基于接收到的所述密钥请求的所述密钥参数指标，修改(220)所述安全组的至少一个密钥的使用寿命值，其中，所述至少一个密钥的期满是基于所述至少一个密钥的所述使用寿命值；以及
c.将所述至少一个密钥和所述至少一个密钥的修改后的使用寿命值发送(230)至所述第一发布者(117)，其中，所述第一发布者(117)被配置用于，在所述至少一个密钥期满之前，使用所述至少一个密钥来发布一条或多条消息。
2.根据权利要求1所述的方法(200)，其中，所述密钥请求由配置工具生成。
3.根据权利要求1所述的方法(200)，其中，所述密钥请求由所述第一发布者(117)生成。
4.根据权利要求1所述的方法(200)，其中，所述方法(200)由安全密钥服务(130)执行。
5.一种用于管理安全组(100)的至少一个密钥的方法(300)，所述安全组(100)包括一个或多个发布者(113，115)和一个或多个订阅者(123，125)，所述一个或多个发布者(113，115)被配置用于使用所述至少一个密钥来发布数据，所述方法(300)包括：
a.检测(310)与新发布者(117)和所述一个或多个发布者(113，
115)中的发布者之一相关联的事件；
b.确定(320)与所述新发布者(117)和发布者之一相关联的密钥参数指标，其中，所述密钥参数指标指示所述新发布者和发布者之一的带宽；以及
c.基于确定后的所述密钥参数指标，修改(330)所述至少一个密钥的使用寿命值，其中，所述至少一个密钥在基于所述至少一个密钥的所述使用寿命值的时刻期满。
6.根据权利要求5所述的方法(300)，其中，所述方法(300)还包括在所述至少一个密钥期满时，向所述安全组(110)的发布者(113，
115)和订阅者(123，125)分发新密钥和与所述新密钥相关联的使用寿命值，其中，所述新密钥的所述使用寿命值是基于与发布者(113，115)相关联的带宽。
7.根据权利要求5所述的方法(300)，其中，所述一个或多个发布者(113，115)包括可编程逻辑控制器(PLC)。
8.一种用于管理安全组(100)的至少一个密钥的工业设备(500)，所述安全组(100)包括一个或多个发布者(113，115)和一个或多个订阅者(123，125)，所述一个或多个发布者(113，115)被配置用于使用所述至少一个密钥来发布数据，所述工业设备(500)包括一个或多个处理器(520)，所述处理器被配置用于：
a.检测与新发布者(117)和所述一个或多个发布者(113，115)中的发布者之一相关联的事件；
b.确定与所述新发布者(117)和发布者之一相关联的密钥参数指标，其中，所述密钥参数指标指示所述新发布者(117)和发布者之一的带宽；以及
c.基于确定后的所述密钥参数指标，修改所述至少一个密钥的使用寿命值，其中，所述至少一个密钥在基于所述至少一个密钥的所述使用寿命值的时刻期满。
9.一种用于管理安全组(100)的至少一个密钥的非瞬时性存储介质(530)，所述安全组(100)包括一个或多个发布者(113，115)和一个或多个订阅者(123，125)，所述一个或多个发布者(113，115)被配置用于使用所述至少一个密钥来发布数据，所述非瞬时性存储介质(530)包括多个指令，在由一个或多个处理器(520)执行所述指令时，使得所述一个或多个处理器(520)：
a.检测与新发布者(117)和所述一个或多个发布者(113，115)中的发布者相关联的事件；
b.确定与所述新发布者(117)和发布者(113，115)之一相关联的密钥参数指标，其中，所述密钥参数指标指示所述新发布者(117)和发布者之一的带宽；以及
c.基于确定后的所述密钥参数指标，修改所述至少一个密钥的使用寿命值，其中，所述至少一个密钥在基于所述至少一个密钥的所述使用寿命值的时刻期满。
CN202180056341.9A 2020-08-10 2021-07-06 用于管理安全组的密钥的方法 Active CN116057894B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP20190195.6A EP3955537B1 (en) 2020-08-10 2020-08-10 A method for managing keys of a security group
EP20190195.6 2020-08-10
PCT/EP2021/068610 WO2022033771A1 (en) 2020-08-10 2021-07-06 A method for managing keys of a security group

Publications (2)

Publication Number Publication Date
CN116057894A CN116057894A (zh) 2023-05-02
CN116057894B true CN116057894B (zh) 2023-12-26

Family

ID=72039368

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202180056341.9A Active CN116057894B (zh) 2020-08-10 2021-07-06 用于管理安全组的密钥的方法

Country Status (4)

Country Link
US (1) US12003621B2 (zh)
EP (1) EP3955537B1 (zh)
CN (1) CN116057894B (zh)
WO (1) WO2022033771A1 (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101981864A (zh) * 2008-04-04 2011-02-23 三星电子株式会社 通信系统中用于使用加密密钥提供广播服务的方法和装置
CN107580766A (zh) * 2015-06-09 2018-01-12 英特尔公司 用于网络的群组密钥分发的系统、装置和方法
CN107637038A (zh) * 2015-06-09 2018-01-26 英特尔公司 用于管理安全发布‑订阅系统的生命周期的系统、装置和方法
CN110418342A (zh) * 2019-08-08 2019-11-05 深圳成谷科技有限公司 长期密钥的管理方法、装置及设备

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070248232A1 (en) * 2006-04-10 2007-10-25 Honeywell International Inc. Cryptographic key sharing method
US20080292105A1 (en) * 2007-05-22 2008-11-27 Chieh-Yih Wan Lightweight key distribution and management method for sensor networks
DE102011002703A1 (de) * 2011-01-14 2012-07-19 Siemens Aktiengesellschaft Verfahren und Vorrichtung zum Bereitstellen eines kryptographischen Schlüssels für ein Feldgerät
CN104737513B (zh) * 2012-09-13 2018-11-16 西门子公司 具有用于安全网络通信的内部生成的工业控制系统
US9106413B2 (en) * 2012-11-02 2015-08-11 Alcatel Lucent Method and apparatus for resilient end-to-end message protection for large-scale cyber-physical system communications
EP2890084B1 (en) * 2013-12-31 2018-04-18 Thales Nederland B.V. A data securing system and method
US10250698B2 (en) * 2014-08-25 2019-04-02 Futurewei Technologies, Inc. System and method for securing pre-association service discovery
US10104049B2 (en) * 2014-09-12 2018-10-16 Vmware, Inc. Secure distributed publish/subscribe system
EP3297206B1 (en) * 2015-05-08 2020-04-22 Panasonic Intellectual Property Management Co., Ltd. Authentication method, authentication system, and controller
US11750381B2 (en) * 2017-04-28 2023-09-05 Nicira, Inc. Minimizing traffic drop when rekeying in a distributed security group
KR101940983B1 (ko) * 2018-11-15 2019-01-22 주식회사 유니온플레이스 멀티캐스트 그룹 내의 디바이스
KR102008670B1 (ko) * 2019-04-18 2019-08-08 주식회사 유니온플레이스 멀티캐스트 그룹을 모니터링하는 장치
US11496301B2 (en) * 2020-02-21 2022-11-08 International Business Machines Corporation Publish/subscribe messaging

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101981864A (zh) * 2008-04-04 2011-02-23 三星电子株式会社 通信系统中用于使用加密密钥提供广播服务的方法和装置
CN107580766A (zh) * 2015-06-09 2018-01-12 英特尔公司 用于网络的群组密钥分发的系统、装置和方法
CN107637038A (zh) * 2015-06-09 2018-01-26 英特尔公司 用于管理安全发布‑订阅系统的生命周期的系统、装置和方法
CN110418342A (zh) * 2019-08-08 2019-11-05 深圳成谷科技有限公司 长期密钥的管理方法、装置及设备

Also Published As

Publication number Publication date
EP3955537B1 (en) 2023-06-07
US12003621B2 (en) 2024-06-04
EP3955537A1 (en) 2022-02-16
WO2022033771A1 (en) 2022-02-17
CN116057894A (zh) 2023-05-02
EP3955537C0 (en) 2023-06-07
US20230231700A1 (en) 2023-07-20

Similar Documents

Publication Publication Date Title
CN111712792B (zh) 在云计算环境中管理子租户的方法和系统
AU2022201606B2 (en) Cloaking authority system
CN108880788B (zh) 在用于技术设备的控制系统中的认证方法以及控制系统
CN110391910B (zh) 自动化证书管理
KR20200097744A (ko) 게이트웨이 장치에 연결된 비-ip 엔드포인트 장치 및 연결된 서비스 간의 데이터 전송을 보호하기 위한 시스템 및 방법
EP3099037B1 (en) Providing a password for temporary access privilege escalation in a control program
CN102739623B (zh) 授权方法和终端设备
CN111510474B (zh) 基于消息中间件的数据传输方法及相关设备
CN105635320A (zh) 一种用于调用配置信息的方法与设备
EP3667526B1 (en) Rapid file authentication on automation devices
CN114363034B (zh) 验证码生成及校验方法、装置、电子设备及存储介质
CN116057894B (zh) 用于管理安全组的密钥的方法
CN110072199B (zh) 一种监控短消息发送异常的方法及系统
CN112560051A (zh) 一种工业数据安全管理方法、装置、电子设备及存储介质
CN108900475B (zh) 用户权限控制方法及装置
EP4203385A1 (en) Method for distributing keys amongst industrial devices in an industrial facility
WO2020184186A1 (ja) 制御装置および制御システム
EP4087208A1 (en) Method of onboarding a user device
CN113157472A (zh) 一种服务信息处理方法、装置、设备及计算机存储介质
US20240236671A1 (en) Method of onboarding a user device
CN111917775B (zh) 机组控制方法、空调机组系统和存储介质
CN102273135B (zh) 域用户权限的处理方法、设备和系统
EP4266626A1 (en) Method for onboarding industrial devices
CN111062058A (zh) 基于区块链的密钥对处理方法、装置、终端及可读存储介质
CN117473567A (zh) 一种车辆配置方法、装置、电子设备和存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant