DE102016208284A1

DE102016208284A1 - Improve device authentication using device monitoring data

Info

Publication number: DE102016208284A1
Application number: DE102016208284.1A
Authority: DE
Inventors: Rainer Falk; Steffen Fries
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2016-05-13
Filing date: 2016-05-13
Publication date: 2017-11-16
Also published as: WO2017194332A1

Abstract

Die Erfindung betrifft ein Verfahren zum Verbessern einer Geräteauthentifizierung mit Hilfe von Geräteüberwachungsdaten. Dabei werden als Geräteüberwachungsdaten Informationen oder Nachweise eines Gerätes oder über ein Gerät in einem Backendsystem bereitgestellt. Es wird ferner eine Einschätzung einer Vertrauenswürdigkeit des Gerätes anhand der Geräteüberwachungsdaten und mittels einer konfigurierbaren Validierungsvorschrift während eines Betriebes des Gerätes durchgeführt. Eine kryptographische kommunikationsbasierte Authentifizierung des Gerätes wird ergänzt durch mindestens eine im Betrieb des Gerätes stattfindende erweiterte Validierung auf Grundlage der Einschätzung der Vertrauenswürdigkeit des Gerätes. Es wird somit eine erweiterte Geräteauthentifizierung ermöglicht, welche neben einer Authentisierung beispielsweise in einer initialen Phase eines Kommunikationsverbindungsaufbaus auch in der späteren Betriebsphase eines Gerätes die anhaltende Vertrauenswürdigkeit des Gerätes prüft.The invention relates to a method for improving device authentication by means of device monitoring data. In this case, information or proofs of a device or about a device in a backend system are provided as device monitoring data. Furthermore, an assessment of a trustworthiness of the device is carried out on the basis of the device monitoring data and by means of a configurable validation rule during operation of the device. A cryptographic communication-based authentication of the device is supplemented by at least one extended validation taking place in the operation of the device based on the assessment of the trustworthiness of the device. Thus, an extended device authentication is made possible which, in addition to an authentication, for example in an initial phase of a communication connection setup, also checks the ongoing reliability of the device in the later operating phase of a device.

Description

Im Umfeld von Internet of Things Technologien und sogenannten cyberphysikalischen Systemen finden geräteorientierte Kommunikation und geräteorientierte Interaktion statt. Es wird somit zunehmend wichtiger, eine Authentifizierung von Geräten in einem industriellen Umfeld sicherzustellen. In the context of Internet of Things technologies and so-called cyber-physical systems, device-oriented communication and device-oriented interaction take place. It is thus becoming increasingly important to ensure authentication of devices in an industrial environment.

Kryptographische IT-Security-Maßnahmen werden in sogenannten Smart Devices, beispielsweise innerhalb von industriellen Automatisierungsanlagen oder Energieautomatisierungsanlagen eingesetzt. Dabei werden Integrität und Vertraulichkeit von Daten oder von Kommunikationsteilnehmern überprüft. Insbesondere kommen Techniken zur Multifaktor-Authentisierung für menschliche Nutzer zum Einsatz, welche beispielsweise Zugang zu einer Automatisierungsanlage oder Zugriffsrechte für eine Kontrollanlage erhalten sollen. Cryptographic IT security measures are used in so-called smart devices, for example within industrial automation systems or energy automation systems. It checks the integrity and confidentiality of data or communication participants. In particular, techniques for multifactor authentication for human users are used, which should receive access to an automation system or access rights for a control system, for example.

Bei einer Authentifizierung wird eine behauptete Identität überprüft. Es sind Authentisierungstechniken für Nutzer bekannt, bei welchen mehrere Faktoren zur Authentisierung genutzt werden. Es ist ferner bekannt, eine Authentifizierung regelmäßig während einer Sitzung, beispielsweise im Rahmen einer TLS-Verbindung durchzuführen. Beispielsweise wird sowohl das Wissen über ein Passwort als auch das Besitzen eines Security-Tokens überprüft. Es ist ferner ein so genanntes Active Authentication Prinzip bekannt, bei welchem die Verhaltensweisen eines Nutzers während einer authentifizierten Session überprüft werden, um festzustellen, ob weiterhin der authentifizierte Nutzer die Session nutzt. Authentication verifies a claimed identity. Authentication techniques for users are known in which several factors are used for authentication. It is also known to perform an authentication regularly during a session, for example as part of a TLS connection. For example, knowledge of a password as well as having a security token is checked. There is also known a so-called Active Authentication principle in which the behavior of a user is checked during an authenticated session to determine whether the authenticated user continues to use the session.

Vor diesem Hintergrund ist es eine Aufgabe der vorliegenden Erfindung, eine Geräteauthentifizierung zu erweitern und den Einsatz von zu authentifizierenden Geräten sicherer zu gestalten. Diese Aufgabe wird durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen sind in den Ausführungsbeispielen angegeben. Against this background, it is an object of the present invention to extend a device authentication and to make the use of devices to be authenticated more secure. This object is solved by the subject matters of the independent claims. Advantageous embodiments are given in the embodiments.

Die Erfindung betrifft ein Verfahren zum Verbessern einer Geräteauthentifizierung mit Hilfe von Geräteüberwachungsdaten. Dabei werden als Geräteüberwachungsdaten Informationen oder Nachweise eines Gerätes oder über ein Gerät in einem Backendsystem bereitgestellt. Es wird ferner eine Einschätzung einer Vertrauenswürdigkeit des Gerätes anhand der Geräteüberwachungsdaten und mittels einer konfigurierbaren Validierungsvorschrift während eines Betriebes des Gerätes durchgeführt. Eine kryptographische kommunikationsbasierte Authentifizierung des Gerätes wird ergänzt durch mindestens eine im Betrieb des Gerätes stattfindende erweiterte Validierung auf Grundlage der Einschätzung der Vertrauenswürdigkeit des Gerätes. Es wird somit eine erweiterte Geräteauthentifizierung ermöglicht, welche neben einer Authentisierung beispielsweise in einer initialen Phase eines Kommunikationsverbindungsaufbaus auch in der späteren Betriebsphase eines Gerätes die anhaltende Vertrauenswürdigkeit des Gerätes prüft. Die Geräteüberwachungsdaten geben Auskunft über eine Geräteintegrität oder eine Integrität des Gerätes im Kontext eines Systems, indem eine konfigurierbare Validierungsvorschrift als Referenz verwendet wird. Die Validierungsvorschrift beschreibt Gerätezustände oder Parameter, welche erfüllt sein müssen, oder Bereiche, innerhalb derer Werte liegen müssen, um eine Unversehrtheit oder korrekte Funktionsweise des Gerätes zu bestätigen. Eine Vertrauenswürdigkeit des Gerätes wird beispielsweise eingeschätzt anhand dessen, wie gut die Informationen aus den Geräteüberwachungsdaten mit denen aus der Validierungsvorschrift übereinstimmen, beziehungsweise ob die Geräteüberwachungsdaten durch die Validierungsvorschrift festgelegte gültige Zustände des Gerätes signalisieren. The invention relates to a method for improving device authentication by means of device monitoring data. In this case, information or proofs of a device or about a device in a backend system are provided as device monitoring data. Furthermore, an assessment of a trustworthiness of the device is carried out on the basis of the device monitoring data and by means of a configurable validation rule during operation of the device. A cryptographic communication-based authentication of the device is supplemented by at least one extended validation taking place in the operation of the device based on the assessment of the trustworthiness of the device. Thus, an extended device authentication is made possible which, in addition to an authentication, for example in an initial phase of a communication connection setup, also checks the ongoing reliability of the device in the later operating phase of a device. The device monitoring information provides information about device integrity or device integrity in the context of a system by using a configurable validation rule as a reference. The validation rule describes device states or parameters that must be met, or areas within which values must be in order to confirm the integrity or correct operation of the device. A trustworthiness of the device is estimated, for example, based on how well the information from the device monitoring data with those from the validation rule match, or whether the device monitoring data signal specified by the validation rule valid states of the device.

Die erweiterte Validierung anhand der Geräteüberwachungsdaten setzt auf einer erfolgreichen Authentisierung im Rahmen einer Kommunikationsverbindung auf. Für die Authentisierung kommen kryptographische Verfahren und insbesondere kryptographisches Schlüsselmaterial zum Einsatz. Ergibt die Einschätzung der Vertrauenswürdigkeit des Gerätes anhand der Geräteüberwachungsdaten, dass eine Integrität des Gerätes nach der erfolgten Authentisierung im Rahmen einer Kommunikationsverbindung auch im Betrieb bestätigt werden kann, so hat das Gerät eine erweiterte Validierung durchlaufen, die zusätzlich zur kryptographischen und kommunikationsbasierten Authentifizierung die Geräteauthentifizierung innerhalb eines Systems mit über ein Netzwerk verbundenen Geräten und Backend verbessert und insbesondere sicherer gestaltet. Geräteüberwachungsdaten sind vorteilhafterweise ohnehin im Rahmen von so genannten Predictive Maintenance Strukturen oder präventiven Instandhaltungs- oder Wartungsmodellen im Backend von Internet of Things Infrastrukturen vorhanden. Diese Geräteüberwachungsdaten zusätzlich zur Verbesserung der Geräteauthentifizierung zu nutzen, ermöglicht eine erweiterte Geräteauthentifizierung über eine Initialisierungsphase hinaus im Betrieb des Systems. Das Ausnutzen von Gerätemonitoringdaten zur Einschätzung der Vertrauenswürdigkeit des Gerätes erlaubt eine flexible Nutzung von Daten aus unterschiedlichen Quellen. Da die zusätzliche Authentisierung durch die erweiterte Validierung unabhängig von einer Kommunikationsverbindung durchgeführt wird, sind auch unterschiedliche Vertrauensbeziehungen des Backends zu Quellen der Geräteüberwachungsdaten unkritisch. Sie ermöglicht weiterhin während des Betriebs eine wiederholte oder dauerhafte Validierung als Bestätigung der Authentisierung, ohne dass eine erneute kryptographische Authentisierung oder Reauthentication, die zu einer zeitweisen Unterbrechung der Kommunikationsverbindung führen würde, erforderlich ist. The extended validation based on the device monitoring data is based on a successful authentication in the context of a communication connection. For the authentication, cryptographic methods and in particular cryptographic key material are used. If the assessment of the device's trustworthiness on the basis of the device monitoring data shows that an integrity of the device can also be confirmed during operation in the course of a communication connection, then the device has undergone an extended validation which, in addition to the cryptographic and communication-based authentication, the device authentication within a system with network connected devices and backend improved and in particular safer. Device monitoring data are advantageously already present in the context of so-called predictive maintenance structures or preventive maintenance or maintenance models in the back end of Internet of Things infrastructures. Using this device monitoring data in addition to improving device authentication allows extended device authentication beyond an initialization phase during system operation. The use of device monitoring data to assess the trustworthiness of the device allows flexible use of data from different sources. Since the additional authentication is carried out by the extended validation independently of a communication connection, different trust relations of the backend to sources of the device monitoring data are not critical. It also allows for repeated or permanent validation during operation, as confirmation of authentication, without any need for re-cryptographic authentication or re-authentication Interrupting the communication connection would be required.

Die Validierungsvorschrift ist konfigurierbar ausgestaltet, um zu erwartenden Änderungen von Zustandsgrößen des Systems, in welchem sich das Gerät befindet, über die Zeit Rechnung zu tragen. Die Einschätzung der Vertrauenswürdigkeit des Gerätes entscheidet darüber, ob die erweiterte Validierung erfolgreich ist. Die Kriterien zur Einschätzung der Vertrauenswürdigkeit können sich durch Alterung des Gerätes, Änderung der Umgebungsbedingungen, Änderung benachbarter Geräte einer Anlage oder strengere Security-Anforderungen ergeben. The validation rule is configurable to account for expected changes in state variables of the system in which the device is located over time. The assessment of the trustworthiness of the device decides whether the extended validation is successful. Criteria for assessing trustworthiness may be due to device aging, changes in environmental conditions, changes in adjacent equipment in a facility, or stricter security requirements.

Falls die Geräteüberwachungsdaten auf einen Zwischenstand oder einen Zustand oder einen Status des Gerätes hinweisen, welcher durch Abgleich mit der Validierungsvorschrift als kritisch oder unerwünscht eingestuft wird, so ist keine gültige Validierung möglich und die aufgrund einer anfänglichen kryptographischen Authentifizierung im Rahmen eines Kommunikationsaufbaus festgestellte Integrität des Gerätes kann beispielsweise ab dem Zeitpunkt der fehlgeschlagenen Validierung nicht weiter bestätigt oder aufrechterhalten werden. Beispielsweise kann eine Warnnachricht erstellt werden, welche Auswirkungen auf die Netzwerkkommunikation oder auf den Zugriff des Gerätes auf Netzwerkbestandteile haben kann. Es können Administratoren einbezogen werden, welche beispielsweise bestehende Kommunikationssitzungen zurückrufen oder Credentials, Kennungen oder Zugangskennungen des Gerätes zurückrufen bzw. sperren. Eine Netzwerkverbindung des Gerätes kann blockiert oder beendet werden. Für eine erfolgreiche Geräteauthentisierung ist eine kryptographische Authentisierung alleine nicht ausreichend, sondern es muss zusätzlich das kryptographisch authentisierte Gerät plausible, gültige Geräteüberwachungsdaten aufweisen. Ein manipuliertes Gerät, beispielsweise mit veränderter Software oder Konfiguration, wird daher selbst bei erfolgreicher kryptographischer Authentisierung nicht erfolgreich authentisiert. Diese Überwachung erfolgt nicht nur beim Verbindungsaufbau, sondern wiederholt bzw. kontinuierlich bei bestehender Kommunikationsverbindung. If the device monitoring data indicates an intermediate state or state or status of the device that is deemed critical or undesirable by comparison with the validation rule, then valid validation is not possible and the integrity of the device established as a result of initial cryptographic authentication as part of a communication setup can not be further confirmed or maintained, for example, from the time of the failed validation. For example, a warning message may be generated which may affect network communication or device access to network components. Administrators may be involved, for example, to recall existing communication sessions or to recall or block credentials, identifiers or access identifiers of the device. A network connection of the device can be blocked or terminated. For a successful device authentication, cryptographic authentication alone is not sufficient, but in addition the cryptographically authenticated device must have plausible, valid device monitoring data. A manipulated device, for example, with changed software or configuration, is therefore not successfully authenticated even with successful cryptographic authentication. This monitoring takes place not only when connecting, but repeatedly or continuously with existing communication link.

Das Bereitstellen der Geräteüberwachungsdaten erfolgt beispielsweise durch Zugriff auf im Backend gesammelte und gespeicherte Geräteüberwachungsdaten. Das Sammeln selbst kann regelmäßig oder kontinuierlich erfolgen oder zu fest vorgebbaren Zeitpunkten oder bei fest vorgebbaren Ereignissen. Die Geräteüberwachungsdaten sind also in einem Backend, beispielsweise auf einer device monitoring data platform oder Geräteüberwachungsdatenplattform, verfügbar. The device monitoring data is provided, for example, by accessing device monitoring data collected and stored in the backend. Collecting itself can take place regularly or continuously, or at fixed times or at predefinable events. The device monitoring data is thus available in a backend, for example on a device monitoring data platform or device monitoring data platform.

Gemäß einer Ausgestaltung wird mittels der Validierungsvorschrift eine Plausibilität oder Aktualität oder Gültigkeit der Geräteüberwachungsdaten eingeschätzt. Beispielsweise kann anhand von Zeitstempeln nachvollzogen werden, ob angefragte Informationen frisch oder aktuell genug sind oder ob ein aufgrund des Zeitpunkts als gültig erkannter Inhalt übertragen wurde. Ein Plausibilitätscheck kann anhand von erwarteten Statusmeldungen oder erwarteten Reaktionen eines oder mehrerer Geräte auf Anfragen des Backends durchgeführt werden. Das erwartete Verhalten des Gerätes kann aus Trainingsdaten angelernt sein und in der konfigurierbaren Validierungsvorschrift oder Validierungspolicy fixiert sein. Die Erwartungen können auch anhand von Berechnungen oder Modellierung in die Validierungspolicy eingehen. According to one embodiment, a plausibility or timeliness or validity of the device monitoring data is estimated by means of the validation rule. For example, time stamps can be used to trace whether requested information is fresh or up-to-date or whether content recognized as valid on the basis of the time has been transmitted. A plausibility check can be performed based on expected status messages or expected responses of one or more devices to requests from the backend. The expected behavior of the device may be learned from training data and fixed in the configurable validation rule or validation policy. Expectations may also be included in the validation policy through calculations or modeling.

Gemäß einer Ausgestaltung umfassen die Überwachungsdaten kryptographische Geräteauthentifizierungsinformationen, welche im Betrieb vom Gerät an das Backendsystem gesendet werden. Es werden Authentifizierungsinformationen als Nutzerdaten an das Backend geschickt, bei welchem sich das Gerät im Betrieb authentisiert. Beispielsweise werden signierte Datenstrukturen mittels digitaler Signaturverfahren erstellt. Diese können insbesondere aktuelle Zeitinformationen oder Angaben zu Geräteidentifizierern enthalten. Auf vorteilhafte Weise wird so eine zusätzliche kryptographisch basierte Authentisierung durch das Nutzen von Geräteüberwachungsdaten im Betrieb ermöglicht. Die Übertragen der kryptographischen Geräteauthentifizierungsinformationen kann regelmäßig oder kontinuierlich erfolgen oder zu fest vorgebbaren Zeitpunkten oder bei fest vorgebbaren Ereignissen. According to one embodiment, the monitoring data comprises cryptographic device authentication information, which in operation is sent from the device to the backend system. Authentication information is sent as user data to the backend, which authenticates the device during operation. For example, signed data structures are created by means of digital signature methods. These may in particular contain current time information or information on device identifiers. In an advantageous manner, an additional cryptographically based authentication is made possible by the use of device monitoring data during operation. The transmission of the cryptographic device authentication information can be carried out regularly or continuously, or at fixed predefinable times or at fixed predefinable events.

Gemäß einer Ausgestaltung umfassen die Geräteüberwachungsdaten Sensormesswerte oder Konfigurationswerte oder Netzwerkumgebungsinformationen oder Ortsinformationen oder Selbsttestinformationen oder Laufzeitinformationen. Anhand von Sensormessungen kann insbesondere die Plausibilität von Messwerten, die das Feldgerät über interne oder angeschlossene Sensoren empfängt, überprüft werden. Anhand des Abgleichs mit der Validierungsvorschrift wird das Gerät insbesondere auf eine erwartete und intakte Funktionsweise hin überprüft und bei erfolgreicher Validierung die Vertrauenswürdigkeit festgestellt. Ferner kann eine Netzwerkkonfiguration wie eine IP-Adresse oder eine IP-Routinginformation oder eine Gerätekonfigurationsinformation analysiert werden. Ferner kann eine Gerätesoftwareversion verwendet werden, um die erweiterte Validierung durchzuführen. Ferner können GPS-basierte Positionsinformationen oder Ortsinformationen, welche über die Information von benutzten Accesspoints oder Basisstationen oder Beacons in die Einschätzung der Vertrauenswürdigkeit eingehen. So genannte self-integrity attestations oder selfintegrity check messages können ebenso vorteilhaft verwendet werden wie Information über den Verlauf von Power-on-Selbsttests oder kontinuierlichen Selbsttests. In one embodiment, the device monitoring data includes sensor readings or configuration values or network environment information or location information or self-test information or transit time information. Based on sensor measurements, in particular the plausibility of measured values which the field device receives via internal or connected sensors can be checked. On the basis of the comparison with the validation rule, the device is checked in particular for an expected and intact functionality and the trustworthiness is established upon successful validation. Further, a network configuration such as an IP address or IP routing information or device configuration information may be analyzed. Further, a device software version may be used to perform the extended validation. Furthermore, GPS-based position information or location information, which can be used for the assessment of the trustworthiness via the information of used access points or base stations or beacons. So-called self-integrity attestations or selfintegrity check messages can be used as well as information about the course of power-on self-tests or continuous self-tests.

Schließlich sind auch so genannten Liveliness-Daten, insbesondere zur Bestätigung, ob das Gerät hochgefahren ist und läuft, sinnvoll zu verwerten ebenso wie Gerätelaufzeitinformationen, wie beispielsweise Prozessabläufe, CPU-Auslastung, Speicherverbrauch oder Kommunikationsauslastung. Finally, so-called Liveliness data, in particular to confirm whether the device is started up and running, meaningful to use as well as device runtime information, such as processes, CPU utilization, memory consumption or communication load.

Gemäß einer Ausgestaltung werden die Geräteüberwachungsdaten dem Backendsystems kryptographisch geschützt bereitgestellt. Beispielsweise werden Message Authentication Code-Verfahren oder digitale Signaturverfahren oder kryptographische Attestations genutzt. Diese kryptographisch geschützten Informationen können entweder auf dem Nachrichtenlevel selbst geschützt werden oder über einen kryptographisch geschützten Kommunikationskanal geschützt übermittelt werden. According to one embodiment, the device monitoring data are provided cryptographically protected to the backend system. For example, message authentication code methods or digital signature methods or cryptographic attestations are used. This cryptographically protected information can either be protected at the message level itself or transmitted protected via a cryptographically protected communication channel.

Gemäß einer Ausgestaltung wird die Authentifizierung auf Grundlage der Einschätzung der Vertrauenswürdigkeit des Gerätes während eines Netzwerkzugangsvorganges durchgeführt. So kann auf vorteilhafte Weise zu ausgewählten Zeitpunkten eine erweiterte Validierung durchgeführt werden, um eine erweiterte Geräteauthentifizierung sicherzustellen, bevor beispielsweise das Gerät eine Verbindung zu einer Backenddatenbank herstellen kann oder bevor Daten von dem Gerät oder hin zu dem Gerät übermittelt werden. Beispielsweise kann bei einer gescheiterten erweiterten Validierung die erweiterte Geräteauthentifizierung nicht bestätigt werden, ein Zugang des Gerätes zu einem Device Management Service über die Netzwerkschnittstelle allerdings zugelassen werden, insbesondere um Updates der Gerätekonfiguration, wie beispielsweise Firmwareupdates oder Securitysoftwareupdates oder Konfigurationsupdates, vorzunehmen. According to one embodiment, the authentication is performed based on the assessment of the trustworthiness of the device during a network access process. Thus, at selected times, extended validation may advantageously be performed to ensure enhanced device authentication before, for example, the device can connect to a back-end database or before data is transmitted from or to the device. For example, in the event of a failed extended validation, the extended device authentication may not be acknowledged, but the device may be allowed to access the device management service via the network interface, in particular to update the device configuration, such as firmware updates or security software updates or configuration updates.

Gemäß einer Ausgestaltung wird ein Fehlschlagen der zusätzlichen Authentifizierung auf Grundlage der Einschätzung der Vertrauenswürdigkeit des Gerätes während des Betriebs dazu benutzt, Reparaturmaßnahmen einzuleiten. According to one embodiment, a failure of the additional authentication based on the assessment of the trustworthiness of the device during operation is used to initiate repair actions.

Die Erfindung betrifft ferner eine Backendkomponente zum Verbessern einer Geräteauthentifizierung mit Hilfe von Geräteüberwachungsdaten, aufweisend:

– Eine erste Einheit zum Ermitteln von Geräteüberwachungsdaten, wobei die Geräteüberwachungsdaten als Informationen oder Nachweise eines über ein Netzwerk mit den Backend gekoppelten Gerätes oder über ein solches Gerät ausgestaltet sind;
– eine zweite Einheit zum Einschätzen einer Vertrauenswürdigkeit des Gerätes anhand der Geräteüberwachungsdaten und mittels einer konfigurierbaren Validierungsvorschrift während eines Betriebes des Gerätes;
– eine dritte Einheit zum Ergänzen einer kryptographischen kommunikationsbasierten Authentifizierung durch eine erweiterte Validierung auf Grundlage der Einschätzung der Vertrauenswürdigkeit des Gerätes.

The invention further relates to a backend component for improving device authentication using device monitoring data, comprising:

A first unit for determining device monitoring data, wherein the device monitoring data is configured as information or evidence of a device coupled to the backend via a network or via such a device;
- a second unit for assessing a trustworthiness of the device based on the device monitoring data and by means of a configurable validation rule during operation of the device;
A third unit for supplementing a cryptographic communication-based authentication by an extended validation based on the assessment of the trustworthiness of the device.

Die Erfindung betrifft ferner ein System zum Verbessern einer Geräteauthentifizierung mit Hilfe von Geräteüberwachungsdaten, aufweisend:

– eine Backend-Komponente gemäß Anspruch 8,
– eine Geräteüberwachungsdatenbank zum Bereitstellen der Geräteüberwachungsdaten,
– das mindestens eine Gerät,
– eine Security Komponente zum Durchführen der kryptographischen kommunikationsbasierten Authentifizierung.

The invention further relates to a system for improving device authentication using device monitoring data, comprising:

A backend component according to claim 8,
A device monitoring database for providing the device monitoring data,
The at least one device,
A security component for performing the cryptographic communication-based authentication.

Die jeweiligen Einheiten und Komponenten können hardwaretechnisch und/oder auch softwaretechnisch implementiert sein. Bei einer hardwaretechnischen Implementierung kann die jeweilige Einheit oder Komponente als Vorrichtung oder als Teil einer Vorrichtung, zum Beispiel als Computer oder als Mikroprozessor ausgebildet sein. Bei einer softwaretechnischen Implementierung kann die jeweilige Einheit oder Komponente als Computerprogrammprodukt, als eine Funktion, als eine Routine, als Teil eines Programmcodes oder als ausführbares Objekt ausgebildet sein. The respective units and components can be implemented in hardware and / or software technology. In a hardware implementation, the respective unit or component may be embodied as a device or as part of a device, for example as a computer or as a microprocessor. In a software implementation, the respective unit or component may be embodied as a computer program product, as a function, as a routine, as part of a program code, or as an executable object.

Die Erfindung betrifft ferner ein Computerprogrammprodukt mit einem Computerprogramm, das Mittel zur Durchführung des oben beschriebenen Verfahrens aufweist, wenn das Computerprogramm auf einer programmgesteuerten Einrichtung zur Ausführung gebracht wird. The invention further relates to a computer program product with a computer program having means for carrying out the method described above when the computer program is executed on a program-controlled device.

Ein Computerprogrammprodukt, wie z.B. ein Computerprogramm-Mittel, kann beispielsweise als Speichermedium, wie z.B. Speicherkarte, USB-Stick, CD-ROM, DVD, oder auch in Form einer herunterladbaren Datei von einem Server in einem Netzwerk bereitgestellt oder geliefert werden. Dies kann zum Beispiel in einem drahtlosen Kommunikationsnetzwerk durch die Übertragung einer entsprechenden Datei mit dem Computerprogrammprodukt oder dem Computerprogramm-Mittel erfolgen. Als programmgesteuerte Einrichtung kommt insbesondere eine Steuereinrichtung in Frage. A computer program product, such as a computer program means may, for example, be used as a storage medium, e.g. Memory card, USB stick, CD-ROM, DVD, or even in the form of a downloadable file provided by a server in a network or delivered. This can be done, for example, in a wireless communication network by the transmission of a corresponding file with the computer program product or the computer program means. As a program-controlled device is in particular a control device in question.

Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen mit Hilfe der Figuren näher erläutert. Es zeigen: The invention will be explained in more detail by means of embodiments with the aid of the figures. Show it:

1 eine schematische Darstellung einer Systemumgebung für Feldgeräte mit einem Backendservice und herkömmlicher Geräteauthentifizierung; 1 a schematic representation of a system environment for field devices with a backend service and conventional device authentication;

2 eine schematische Darstellung einer Systemumgebung für Feldgeräte mit Backendservice und einer erweiterten Geräteauthentifizierung gemäß einem Ausführungsbeispiel der Erfindung. 2 a schematic representation of a system environment for field devices with backend service and an extended device authentication according to an embodiment of the invention.

In den Figuren sind funktionsgleiche Elemente mit denselben Bezugszeichen versehen, sofern nichts anderes angegeben ist. In the figures, functionally identical elements are provided with the same reference numerals, unless stated otherwise.

1 zeigt ein Beispiel eines herkömmlichen Systems, in welchem mehrere Feldgeräte F1, F2, F3, F4, F5 einer Industrieanlage über ein offenes Netzwerk 100 oder Open Network, beispielsweise ein Büronetzwerk, beispielsweise Internet oder Intranet, mit einem Backendservice 20 verbunden sind. Der Backendservice 20 greift dabei insbesondere auf gesammelte Daten zurück, welche auf einem Server gespeichert werden. Insbesondere werden Datenanalysen durchgeführt, um eine Überwachung der Gerätekomponenten durchzuführen. Dadurch sollen beispielsweise Ausfälle von einzelnen Feldgeräten entdeckt werden. Die Feldgeräte F1 bis F5 authentisieren sich über eine Kommunikationsverbindung, beispielsweise über TLS oder DTLS, und nutzen dabei ihre jeweiligen Geräte-Credentials oder -Kennungen. Es kann sich insbesondere um kryptographische Schlüssel des Gerätes handeln oder um Gerätezertifikate, die Schlüsselmaterial von einer Zertifizierungsinstanz beglaubigt übermitteln. Einzelne Feldgeräte F1, F2, F3 können innerhalb eines Automatisierungsnetzwerkes 200 der Industrieanlage angeordnet sein und dort für Aufgaben in einer Automatisierungsanlage benutzt werden. Das Automatisierungsnetzwerk 200 ist insbesondere mit einem Büronetzwerk über ein Gateway 10 verbunden. Andere Feldgeräte F4, F5 sind beispielsweise direkt über das offene Netzwerk mit dem Backend verbunden. 1 shows an example of a conventional system in which several field devices F1, F2, F3, F4, F5 of an industrial plant via an open network 100 or Open Network, for example an office network, such as the Internet or Intranet, with a backend service 20 are connected. The backend service 20 In particular, it uses the collected data stored on a server. In particular, data analyzes are performed to perform monitoring of the device components. As a result, for example, failures of individual field devices are to be discovered. The field devices F1 to F5 authenticate themselves via a communication link, for example via TLS or DTLS, using their respective device credentials or identifiers. In particular, these may be cryptographic keys of the device or device certificates that transmit key material certified by a certification authority. Individual field devices F1, F2, F3 can be used within an automation network 200 be arranged in the industrial plant and used there for tasks in an automation system. The automation network 200 is in particular with an office network via a gateway 10 connected. Other field devices F4, F5 are connected, for example, directly to the backend via the open network.

Beispielsweise handelt es sich um Geräte, die innerhalb der Industrieanlage Daten zu Temperaturbedingungen melden und nicht Bestandteil des gesicherten Automatisierungsnetzwerkes sind. For example, these are devices that report data on temperature conditions within the industrial plant and are not part of the secure automation network.

In 2 ist ebenfalls eine über ein offenes Netzwerk 100 an ein Backendsystem gekoppelte Industrieanlage skizziert. Es ist ein Internet of Things System dargestellt mit Internet of Things oder IoT Geräten 1, 2, 3, 4, 5, welche mit einer IoT-Backendplattform 20 kommunizieren. Die Kopplung erfolgt für einige Geräte 1, 2, 3 eines Automatisierungsnetzwerkes 200 über ein Gateway 10 zum offenen Netzwerk 100. Für andere Geräte 4, 5 erfolgt eine direkte Kopplung, beispielsweise über ein Büronetzwerk, mit der IoT Backendplattform 20. Die Geräte stellen der IoT Backendplattform 20 sogenannte Monitoring Informationen oder Überwachungsinformationen bereit. Diese können Informationen über den Gerätestatus, über Messungen mittels zu den Geräten gehörigen Sensoren usw. enthalten. Diese Informationen werden als Device Monitoring Daten oder Device Monitoring Data auf der Plattform hinterlegt als IoT Geräteüberwachungsdaten 1‘, 2‘, 3‘, 4‘, 5‘. Hier können insbesondere zur Optimierung der Industrieanlage Digital Twin Funktionalitäten durch den Backendservice bereitgestellt werden. So kann eine Vielzahl von Umgebungsinformationen über die Systemumgebung eines Gerätes hinterlegt werden, beispielsweise indem das Gerät selbst die Informationen liefert oder indem benachbarte Geräte in die Erfassung der Überwachungsdaten mit einbezogen werden. In 2 is also one over an open network 100 Outlined on a backend system coupled industrial plant. It is an Internet of Things system presented with Internet of Things or IoT devices 1 . 2 . 3 . 4 . 5 that with an IoT backend platform 20 communicate. The coupling is done for some devices 1 . 2 . 3 an automation network 200 via a gateway 10 to the open network 100 , For other devices 4 . 5 There is a direct coupling, for example via an office network, with the IoT backend platform 20 , The devices represent the IoT backend platform 20 so-called monitoring information or monitoring information ready. These may include information about the device status, about measurements by sensors associated with the devices, and so on. This information is stored as device monitoring data or device monitoring data on the platform as IoT device monitoring data 1' . 2 ' . 3 ' . 4 ' . 5 ' , Here, in particular for optimizing the industrial plant, digital twin functionalities can be provided by the backend service. Thus, a variety of environmental information about the system environment of a device can be deposited, for example by the device itself provides the information or by neighboring devices are included in the collection of monitoring data.

Es erfolgt eine Authentifizierung einiger oder aller Geräte gegenüber einem Device Security Service 40 in Backend. Der Device Security Service umfasst Informationen über registrierte Geräte und beispielsweise deren Zugriffsrechte. Dazu wird ein Identitätsmanagement- oder eine Identity and Access Management-Funktionalität 41 verwirklicht. Überdies kann der Device Security Service 40 Geräte-Credentials ausstellen und/oder zurückrufen. Dazu verfügt der Device Security Service 40 über eine Zertifizierungsinstanz oder Certification Authority 42. Insbesondere werden Zertifikate ausgestellt oder Authentifizierungstoken vergeben. Diese kommunikationsbasierte Authentifizierung erfolgt beispielsweise nur bei Aufbau einer Verbindung. In Varianten kann auch eine mehrfache Authentifizierung über die bestehende Kommunikationsverbindung gefordert werden, um eine anhaltende Integrität der beteiligten Geräte sicherzustellen. Zusätzlich kann nun noch der Betrieb der Geräte überwacht werden und durch einen Device Data Validation Service 30 oder Gerätedatenvalidierungsservice die Integrität einzelner Geräte bestätigt oder verneint werden. Der Service fordert Informationen über die IoT Geräte aus der IoT Backendplattform 20 an und überprüft die Gültigkeit der Geräteüberwachungsdaten 1‘, 2‘, 3‘, 4‘, 5‘ anhand einer Validierungsvorschrift 31. There is an authentication of some or all devices against a Device Security Service 40 in backend. The Device Security Service includes information about registered devices and, for example, their access rights. This will be an identity management or an identity and access management functionality 41 realized. Moreover, the device security service 40 Issue and / or recall device credentials. The Device Security Service has this feature 40 via a certification authority or certification authority 42 , In particular, certificates are issued or authentication tokens are issued. This communication-based authentication takes place, for example, only when establishing a connection. In variants, a multiple authentication over the existing communication connection can be required to ensure a lasting integrity of the devices involved. In addition, the operation of the devices can now be monitored and by a Device Data Validation Service 30 or device data validation service, the integrity of individual devices is confirmed or denied. The service requests information about the IoT devices from the IoT backend platform 20 and checks the validity of the device monitoring data 1' . 2 ' . 3 ' . 4 ' . 5 ' based on a validation rule 31 ,

Das Verhalten einer Hauptfunktionalität oder einer regulären Funktionalität eines Gerätes der überwachten Geräte kann überwacht werden und auf Plausibilität hin geprüft werden. Die Geräte des IoT Systems stellen Überwachungsdaten oder Monitoring oder Statusinformationen in einer herkömmlichen Industrieanlage ohnehin an das IoT Backendsystem bereit. Der Abgleich der Geräteüberwachungsdaten oder Monitoring Daten im Rahmen des Device Data Validation Service ermöglicht eine Verknüpfung der reinen Geräteüberwachung mit einer Aussage zur Integrität, indem konfigurierbare, insbesondere über die Zeit anpassbare Konfigurationsvorschriften eingehalten werden müssen, damit ein Gerät in einem laufenden Betrieb eines IoT Systems auch fortlaufend als authentifiziert und integer oder unversehrt eingestuft wird. Schlägt eine erweitere Validierung anhand der Geräteüberwachungsdaten fehl, so werden Maßnahmen zur Instandsetzung angestoßen. Beispielsweise wird eine Fehlermeldung oder Alarmmeldung ausgegeben, welche auf einem Display eines Dashboards oder einer Anzeigetafel angezeigt wird. Die Alarmnachricht kann auch in das Set der Geräteüberwachungsdaten des jeweiligen Gerätes, welches im IoT Backend verfügbar ist, eingebunden werden. Es können ferner Nachrichten verschickt werden, welche eine IoT Backendplattform dazu veranlassen, Kommunikationssitzungen mit den betroffenen IoT Feldgeräten zu beenden. Zugriffsrechte oder Credentials des IoT Feldgerätes können zurückgenommen werden. The behavior of a main functionality or a regular functionality of a device of the monitored devices can be monitored and checked for plausibility. The devices of the IoT system provide monitoring data or monitoring or status information in a conventional industrial plant to the IoT backend system in any case. The comparison of the device monitoring data or monitoring data in the context of the Device Data Validation Service allows linking the pure device monitoring with a statement on the integrity by configurable, especially over time customizable configuration rules must be followed, so that a device in a running operation of an IoT system continuously classified as authenticated and with integrity or intact. If an extended validation fails based on the device monitoring data, measures for repair are initiated. For example, an error message or alarm message is output, which is displayed on a display of a dashboard or a display panel. The alarm message can also be included in the set of device monitoring data of the respective device, which is available in the IoT backend. Messages may also be sent which cause an IoT backend platform to terminate communication sessions with the affected IoT field devices. Access rights or credentials of the IoT field device can be withdrawn.

Obwohl die Erfindung im Detail durch die Ausführungsbeispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen. Although the invention has been further illustrated and described in detail by the embodiments, the invention is not limited by the disclosed examples, and other variations can be derived therefrom by those skilled in the art without departing from the scope of the invention.

Claims

A method of improving device authentication using device monitoring data; - Being provided as device monitoring data information or evidence of at least one device or at least one device in a back-end system; - wherein an assessment of a trustworthiness of the device based on the device monitoring data and by means of a configurable validation rule is performed during operation of the device; - Wherein a cryptographic communication-based authentication of the device is supplemented by at least one occurring during operation of the device extended validation based on the assessment of the trustworthiness of the device.

The method of claim 1, wherein by means of the validation rule a plausibility or timeliness or validity of the device monitoring data is estimated.

The method of claim 1 or 2, wherein the device monitoring data comprises cryptographic device authentication information sent from the device to the back-end system during operation.

Method according to one of the preceding claims, wherein the device monitoring data comprise sensor measured values or configuration values or network environment information or location information or self-test information or transit time information.

Method according to one of the preceding claims, wherein the device monitoring data are provided cryptographically protected to the backend system.

The method of any one of the preceding claims, wherein the authentication is performed based on the assessment of the trustworthiness of the device during a network access process.

Method according to one of the preceding claims, wherein a failing additional authentication based on the assessment of the trustworthiness of the device during operation is used to initiate repair measures.

Backend component for improving device authentication using device monitoring data, comprising: A first unit for determining device monitoring data, the device monitoring data being configured as information or evidence of at least one device coupled to the backend via a network or via at least one such device; - a second unit for assessing a trustworthiness of the device based on the device monitoring data and by means of a configurable validation rule during operation of the device; A third unit for supplementing a cryptographic communication-based authentication by an authentication based on the assessment of the trustworthiness of the device.

A system for improving device authentication using device monitoring data, comprising: A backend component according to claim 8, A device monitoring database for providing the device monitoring data, The at least one device, A security component for performing the cryptographic communication-based authentication.

A computer program product comprising a computer program having means for carrying out the method according to one of claims 1 to 7 when the computer program is executed on a program-controlled device.