EP3323076A1 - Verfahren und anordnung zum sicheren austausch von konfigurationsdaten einer vorrichtung - Google Patents

Verfahren und anordnung zum sicheren austausch von konfigurationsdaten einer vorrichtung

Info

Publication number
EP3323076A1
EP3323076A1 EP16727993.4A EP16727993A EP3323076A1 EP 3323076 A1 EP3323076 A1 EP 3323076A1 EP 16727993 A EP16727993 A EP 16727993A EP 3323076 A1 EP3323076 A1 EP 3323076A1
Authority
EP
European Patent Office
Prior art keywords
configuration data
digital signature
sigb
external storage
storage device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP16727993.4A
Other languages
English (en)
French (fr)
Inventor
Hendrik Brockhaus
Jens-Uwe Busser
Alexander WINNEN
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens Mobility GmbH
Original Assignee
Siemens AG
Siemens Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG, Siemens Corp filed Critical Siemens AG
Publication of EP3323076A1 publication Critical patent/EP3323076A1/de
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures

Definitions

  • the invention relates to a method and an arrangement for the secure exchange of configuration data between a first and a second device, in particular devices in an automation system.
  • PLC programmable logic controller
  • intelligent field devices in power distribution or element controllers in railway technology usually contain an individual for all devices of a series and version-identical firmware or software , different programming or configuration for each device.
  • this programming or configuration data can additionally be stored in separate external, persistent storage such as an SD card or a USB storage medium.
  • a service technician removes the defective device, removes the external memory, puts it in a replacement device and connects it to the system.
  • the replacement device reads in the data from the external memory, accepts the programming and configuration data stored on it, and is immediately ready for use in the same configuration as the replaced device.
  • the storage medium can also be permanently installed in the system, for example in a control cabinet, so that it remains in the system when a device is removed and is automatically connected to this device when a device is plugged in or installed.
  • Such an external storage device which can be plugged into a device or into a device has the advantage that the device immediately receives the correct, individual configuration data without administration effort.
  • programming and configuration data on an external pluggable memory device which are thus detachably connectable to a device or device, can have the disadvantage that an attacker who has physical access to the removable memory or physical access to the device has this data easier to manipulate.
  • the inventive method for the secure exchange of configuration data between a first and a second device comprises the steps:
  • the external storage device serves as the transmission medium of this information in the method. This ensures that the data on the external storage device has not been changed. This ensures that the current configuration information is present on the external storage device at all times. This makes it possible in particular for the current configuration of the first device to be transferred to the second device when the device is replaced by a second device. There is thus no additional administration effort, for example by a central configuration server, in which an update of the configuration data must be reported and the correspondingly updated configuration data must be retrieved.
  • the configuration data are checked by the second device by means of the signature and the security token of the first device and used in a successful verification.
  • the security information is a private key and the security token is a digital certificate.
  • the private key and the digital certificate are elements of an asymmetric cryptographic method, for example corresponding to a public key infrastructure.
  • the private key is uniquely assigned a public key that is contained in the digital certificate.
  • Data is encrypted with the private key and can be decrypted with the public key.
  • the digital certificate which is attached as a security token the configuration data
  • the authenticity of the configuration data can be checked by the existing certificate of the first device to an already existing in the second device certificate, such as an anchored in the firmware, trusted root Certificate from the manufacturer.
  • Such a trustworthy root certificate in particular of the manufacturer, is given in particular with devices from the same manufacturer. Is used as
  • Replacement device that is, as a second device, a device from another manufacturer used as the first device, it must be ensured that in the second device, a suitable certificate, for example, the root certificate of the manufacturer of the first device is available.
  • a first digital signature already exists for at least a first subset of the configuration data, then in an advantageous embodiment, only for a subset of the configuration data for which no signature is yet present, a second digital signature with security information of the first device is created or it is about all subsets of the configuration data and the already present signatures created a digital signature with security information of the first device.
  • the configuration data are stored encrypted on the external storage device.
  • a corresponding key must be present, for example, in the firmware of a first and second device, or such a key can be queried by a central component.
  • the arrangement according to the invention for the secure exchange of configuration data comprises a device having configuration data of the device, security information for at least one asymmetric cryptographic method, a cryptographic processor and a memory device detachably connected to the device, the cryptographic processor being adapted to provide a digital signature over the device Create configuration data and store the configuration data, the digital signature and a security token of the security information in the external storage device.
  • the external storage device may be released, e.g. withdrawn, and connected to a replacement device which thereby assumes the exact same configuration as the replaced device.
  • the administration effort is minimized when replacing a device and misconfiguration avoided.
  • the digital signature is created with a private key of the security information of the device and the security token exists as a digital certificate with a public key of the device.
  • the cryptographic processor is set up to calculate a new digital signature after a change in the configuration data in the device and to save the changed configuration data and the new digital signature to the external memory device.
  • the cryptographic processor is set up to read in secure configuration data from the external storage device, to check the secure configuration data by means of the digital signature and the security token contained in the secure configuration data and, if successful, to verify the secure configuration data to use in the device.
  • the signature can ensure that no manipulated data is transferred to the second device.
  • the cryptographic processor is set up in such a way as to provide a digital signature on the saved configuration data with a
  • Security information of the device to create and store on the external storage device. This makes it possible to update the configuration data of the device at any time and save them saved on the external storage device.
  • the cryptographic processor is set up to calculate a new digital signature after a renewal of the certificate of the device and to save the new digital signature and the renewed certificate to the external memory device.
  • a computer program product according to the invention can be loaded directly into a memory of a digital computer and comprises program code parts which are suitable for carrying out the aforementioned method steps. Accordingly, a data carrier according to the invention is claimed, which stores said computer program product.
  • Figure 1 shows an embodiment of the method according to the invention as a flowchart
  • FIG. 2A shows a first example of configuration data that was created according to the method according to the invention
  • FIG. 2B shows a second example of configuration data that has been created according to the method according to the invention
  • FIG. 3 shows configuration data that is used when updating
  • Configuration data are changed in a schematic representation
  • Figure 4 shows configuration data, which are generated for example when a change of the storage device from a first device to a second device, in a schematic representation
  • Figure 5 shows an embodiment of an inventive arrangement in block diagram.
  • Figure 1 shows a method for the secure exchange of configuration data between a first and a second device, in particular, perform the same task and are identical or very similar devices of a series.
  • Such devices are, for example, intelligent field devices that are installed in the same series and version, for example in an automation system, but perform different tasks. Therefore, the individual field devices differ only in part of their configuration data.
  • configuration data is placed on an external storage device such as an SD card or a USB storage medium connected to it during normal operation of a device.
  • an external storage device such as an SD card or a USB storage medium connected to it during normal operation of a device.
  • Such a removable storage device is removed from the device during replacement and connected to the second device replacing the first one.
  • security information for an asymmetrical encryption method which is usually present in such a device, is now used for the backup.
  • security information of the first device is, for example, a private cryptographic key of the first device.
  • a security token is, for example, a digital certificate in that, in addition to an identifier for the device, a public key matching the private key used for signing is also included.
  • the external storage device is now released from the first device and connected to a second device and loaded into the second device. The configuration data can thus be checked for authenticity and integrity.
  • this checks the configuration data by means of the digital signature and the security token, which was added to the configuration data. This is shown in dashed lines as method step 14.
  • the second device uses the configuration data only in a successful check 15. Thus, a change in the configuration data can be checked on the external storage device and the uploading of such manipulated configuration data can be avoided.
  • only a part of the configuration data is used by the second device before successfully checking the authenticity and integrity of the configuration data in the second device, for example, to load more data over a network, and the test is later executed or repeated ,
  • the authenticity of the data is checked by returning the existing security token, for example an already existing certificate of the first device, to a trusted root certificate anchored in the firmware of the second device.
  • a trusted root certificate anchored in the firmware of the second device.
  • devices of the same series and the same version of a manufacturer are equipped with a uniform certificate from the manufacturer.
  • a root certificate of the manufacturer is suitable for securing the configuration data.
  • the second device perform a new signature of the data with its own security information and replace the signature and associated security tokens on the external storage device.
  • the first and the second device may preferably use as a security token a signature certificate for signing the data on the external storage device.
  • Such a signature certificate can also be used for signing measurement or logging data or also for control commands.
  • FIGS. 2A and 2B Various options for the signature of configuration data A, B are shown in FIGS. 2A and 2B.
  • the subset A of the configuration data is, for example, configuration data that has been assigned centrally during the configuration of the device.
  • the subset B of configuration data are, for example, device-specific calibration data, which were generated individually during the commissioning of the device.
  • the subset of the configuration data A are signed both in FIG. 2A and in FIG. 2B by a digital signature of, for example, a project engineer.
  • FIG. 2A only the subset B of the configuration data is signed by the security information of the first device B, and a corresponding security token Cert (b), also designated reference 105, is added.
  • a corresponding security token Cert also designated reference 105
  • a signature Sigb (A, Siga (A), B) or a signature Sigb (A, Siga (A), B) or over the subset A and the subset B is transmitted over the entire available quantity of configuration data 103, here subset A, of a signature Siga (A) Sigb (103) and in turn attached the security token Cert (b) of the device.
  • FIG. 3 shows configuration data 201 which are generated by a first device and stored in the external storage device as configuration data 201. If at least parts of the configuration data change, see changed configuration data B ", these are updated, as shown here by the arrow, and we also calculate a signature Sigb (B") via the changed configuration data B " In this case, the changed configuration data 203 changed compared to the configuration data 201. These are, in particular, the updated subset B 'of the configuration data and an updated digital signature Sigb (B').
  • FIG. 4 shows how the configuration data 201 of a first device changes when the first device receives a new security token, in particular a new certificate Cert (c). This may for example be the case after the expiration of the previous certificate Cert (b).
  • the security token is then replaced by the new security token Cert (c) and a digital signature over the subset B of the configuration data with security information corresponding to the security token
  • the same configuration data 203 results when the external storage device is connected to a second device and after checking the signature and the
  • FIG. 5 now shows an arrangement with a first device 100 that is connected to an external memory device 200.
  • the storage device 200 may be detachably connected to the first device 100 via a USB interface.
  • secure digital memory cards also called SD card for short, can be used as an external storage device. Such a card can also be inserted or removed, for example, into a corresponding slot in the first device 100.
  • the first device comprises an internal memory 102, on which the memory data 103, in particular the subsets A, B from FIGS.
  • Such a first device 100 typically includes security information for at least one asymmetric cryptographic method, for example a signature method, in particular a private key 104 and a security token 105, which, for example, as a digital certificate one for private
  • asymmetric cryptographic method for example a signature method, in particular a private key 104 and a security token 105, which, for example, as a digital certificate one for private
  • Key 104 belonging public key, as well as a device identifier of the device 100 includes and is signed by a credible body. This credible job is represented by a root certificate.
  • the internal memory 102 is connected to a cryptographic processor 101.
  • the cryptographic computing unit 101 signs the configuration data 103 with the private key 104, that is, a digital signature is formed. Subsequently, the configuration data 103, the digital signature and the security token 105 are stored on the external storage device as configuration data 201. If configuration data of the first device 100 changes, as already described, the changed configuration data are re-signed and updated on the external memory device 200. If the device 100 is replaced by a second device 300, the external storage device 200 is detached from the first device and connected to the second device 300, see dashed connection.
  • a second device Device 300 differs from the first device in particular by a device-specific private key 104 'of the second device and a correspondingly different security token 105' or digital certificate 105 '.
  • the second device 300 now reads the configuration data 201 from the external storage device 200, and verifies the digital signature with the supplied, in the certificate located public key. The authenticity of the configuration data is checked by returning the digital certificate 105 to a common root certificate. If both the authenticity and the integrity of the configuration data are confirmed, the second device 300 loads the configuration data into the internal memory 102 and thus has the exact same configuration 103 as the first device 100. The cryptographic computing device 101 then sends a digital signature of the configuration data 103 with the private key 104 ', the second device 300 generated and stored together with the certificate 105' of the second device 300 to the external storage device. Thus, the second device may in turn update its own configuration at any time on the external storage device 200.
  • Security tokens or operational certificates 100, 105 for example for a measurement data signature, communication or the like present on the first and second devices 100, 300 can also be used to secure the externally stored configuration data. This achieves protection of the configuration data on the external storage device 200 against physical access manipulation. Furthermore, no additional administration effort is necessary, for example, for a service technician or for a higher-level configuration server in order to require a replacement device with the exact same configuration of the device to be replaced. All described and / or drawn features can be advantageously combined with each other within the scope of the invention. The invention is not limited to the described embodiments.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)

Abstract

Ein Verfahren zum sicheren Austausch von Konfigurationsdaten (103) zwischen einer ersten Vorrichtung (100) und einer zweiten (300) Vorrichtung, umfassend die Schritte - Erstellen (11) einer digitalen Signatur (Sigb) über die Konfigurationsdaten (103) der ersten Vorrichtung (100) mit einer Sicherheitsinformation (104) der ersten Vorrichtung (100), - Speichern (12) der Konfigurationsdaten (103), der digitalen Signatur (Sigb) sowie eines Sicherheitstokens (105) in einer externen Speichervorrichtung (200), und - Laden (13) der Konfigurationsdaten (103), der digitalen Signatur (Sigb) sowie des Sicherheitstokens (105) von der externen Speichervorrichtung (200) in die zweite Vorrichtung (300). Des Weiteren eine Anordnung zum sicheren Austausch von Konfigurationsdaten (103) umfassend eine Vorrichtung (100), sowie eine lösbar mit der Vorrichtung (100) verbundene erste Speichervorrichtung (200).

Description

Beschreibung
Verfahren und Anordnung zum sicheren Austausch von Konfigurationsdaten einer Vorrichtung
Die Erfindung betrifft ein Verfahren sowie eine Anordnung zum sicheren Austausch von Konfigurationsdaten zwischen einer ersten und einer zweiten Vorrichtung, insbesondere Vorrichtungen in einer Automatisierungsanlage.
In Automatisierungsanlagen verbaute Komponenten wie beispielsweise speicherprogrammierbare Steuerungen (SPS/PLC) in der Fertigungs- und Prozesstechnik, intelligente Feldgeräte in der Energieverteilung oder Elementcontroller in der Eisen- bahntechnik beinhalten üblicherweise zusätzlich zu einer für alle Geräte einer Baureihe und versionsidentischen Firmware oder Software noch eine individuelle, für jedes Gerät unterschiedliche Programmierung oder Konfiguration. Zum einfachen und schnellen Austauschen von beispielsweise ausgefallenen Geräten kann diese Programmierung beziehungsweise Konfigurationsdaten zusätzlich in separaten externen, persistenten Speichern wie beispielsweise einer SD-Karte oder einem USB-Speichermedium abgelegt werden. Bei einem Defekt zieht ein Wartungstechniker das defekte Gerät ab, entnimmt den externen Speicher, steckt diesen in ein Ersatzgerät und schließt dieses in der Anlage an. Beim Starten liest das Ersatzgerät die Daten vom externen Speicher ein, übernimmt die darauf abgelegten Programmier- und Konfigurationsdaten und ist sofort in der gleichen Konfiguration wie das ersetzte Gerät betriebsbereit.
Das Speichermedium kann auch fest in der Anlage, beispielsweise in einem Schaltschrank, verbaut sein, so dass es beim Abziehen eines Gerätes in der Anlage verbleibt und beim Anstecken / Einbau eines Gerätes automatisch mit diesem Gerät verbunden ist. Eine solche externe, in ein Gerät beziehungsweise in eine Vorrichtung einsteckbare Speichervorrichtung hat den Vorteil, dass die Vorrichtung ohne Administrationsaufwand sofort die richtigen, individuellen Konfigurationsdaten erhält. Bei ei- ner Verteilung von Programmierungs- und/oder Konfigurationsdaten über beispielsweise ein lokales Netzwerk der Anlage muss erst festgestellt werden, wo in der Anlage ein neues Gerät sich befindet und welche Daten es benötigt. Andererseits können Programmierungs- und Konfigurationsdaten auf einer externen einsteckbaren Speichervorrichtung, die somit lösbar mit einem Gerät oder einer Vorrichtung verbindbar sind, den Nachteil, dass von einem Angreifer, der physikalischen Zugriff zu den lösbaren Speichern beziehungsweise phy- sikalischen Zugang zur Vorrichtung hat, diese Daten einfacher manipuliert werden können.
Es ist somit die Aufgabe der vorliegenden Erfindung, einen manipulationssicheren Austausch von Konfigurationsdaten zwi- sehen Vorrichtungen zu ermöglichen.
Das erfindungsgemäße Verfahren zum sicheren Austausch von Konfigurationsdaten zwischen einer ersten und einer zweiten Vorrichtung umfasst die Schritte:
- Erstellen einer digitalen Signatur über die Konfigurationsdaten der ersten Vorrichtung mit einer Sicherheitsinformation der ersten Vorrichtung,
- Speichern der Konfigurationsdaten, der digitalen Signatur sowie eines Sicherheitstokens in einer externen Speichervor- richtung und
- Laden der Konfigurationsdaten, der digitalen Signatur sowie des Sicherheitstokens von der externen Speichervorrichtung in die zweite Vorrichtung. Durch die Signatur der Konfigurationsdaten der ersten Vorrichtung kann die Integrität der Daten geprüft werden. Die dazu notwendigen Mittel erhält die zweite Vorrichtung durch den Sicherheitstoken, der zusammen mit den signierten Konfi- gurationsdaten in die zweite Vorrichtung geladen wird. Die externe Speichervorrichtung dient in dem Verfahren als Übertragungsmedium dieser Informationen. Somit kann sichergestellt werden, dass die Daten auf der externen Speichervor- richtung nicht verändert wurden. Somit ist sichergestellt, dass jederzeit die aktuelle Konfigurationsinformation auf der externen Speichervorrichtung vorliegt. Dies ermöglicht es insbesondere, dass bei einem Austausch der Vorrichtung durch eine zweite Vorrichtung die aktuelle Konfiguration der ersten Vorrichtung auf die zweite Vorrichtung übertragen wird. Es entsteht somit kein zusätzlicher Administrationsaufwand, beispielsweise durch einen zentralen Konfigurationsserver, in dem eine Aktualisierung der Konfigurationsdaten gemeldet und die entsprechend aktualisierten Konfigurationsdaten abgerufen werden müssen.
In einer vorteilhaften Ausführungsform werden die Konfigurationsdaten durch die zweite Vorrichtung mittels der Signatur und dem Sicherheitstoken der ersten Vorrichtung überprüft und bei einer erfolgreichen Überprüfung verwendet.
Damit wird sichergestellt, dass lediglich unveränderte Konfigurationsdaten in die zweite Vorrichtung geladen werden und somit kein nachträglich eingebrachter Schadcode in die Konfi- gurationsdaten eingefügt wird. Dies ist insbesondere bei der Verwendung einer externen Speichervorrichtung von Vorteil, da diese einfach aus einer Vorrichtung entfernt und nach einer Manipulation wieder eingesteckt werden kann. In einer vorteilhaften Ausführungsform wird in der zweiten
Vorrichtung nach dem Laden und Prüfen der Konfigurationsdaten durch die zweite Vorrichtung eine digitale Signatur über die Konfigurationsdaten mit einer Sicherheitsinformation der zweiten Vorrichtung erstellt und auf der externen Speicher- Vorrichtung abgespeichert. Dadurch können nun von der zweiten Vorrichtung wiederum geänderte Konfigurationsdaten auf der externen Speichervorrichtung aktualisiert werden. In einer vorteilhaften Ausführungsform ist die Sicherheitsinformation ein privater Schlüssel und der Sicherheitstoken ein digitales Zertifikat.
Der private Schlüssel und das digitale Zertifikat sind dabei Elemente einer asymmetrischen kryptographisehen Verfahrens beispielsweise entsprechend einer Publik-Key-Infrastruktur . Dem privaten Schlüssel ist dabei ein öffentlicher Schlüssel eindeutig zugeordnet, der in dem digitalen Zertifikat enthalten ist. Daten werden dabei mit dem privaten Schlüssel ver- schlüsselt und können mit dem öffentlichen Schlüssel entschlüsselt werden. Durch die Überprüfung des digitalen Zertifikates, das als Sicherheitstoken den Konfigurationsdaten beigefügt ist, kann auch die Authentizität der Konfigurationsdaten geprüft werden, indem das vorhandene Zertifikat der ersten Vorrichtung auf ein in der zweiten Vorrichtung bereits vorhandenes Zertifikat, beispielsweise ein in der Firmware verankertes, vertrauenswürdiges Root-Zertifikat des Herstellers, zurückgeführt wird. Ein solches vertrauenswürdiges Root-Zertifikat , insbesondere des Herstellers, ist insbeson- dere bei Geräten des gleichen Herstellers gegeben. Wird als
Ersatzgerät, das heißt als zweite Vorrichtung ein Gerät eines anderen Herstellers wie die erste Vorrichtung verwendet, so ist sicherzustellen, dass in der zweiten Vorrichtung ein geeignetes Zertifikat, beispielsweise das Root-Zertifikat des Herstellers der ersten Vorrichtung, verfügbar ist.
Liegt für zumindest eine erste Teilmenge der Konfigurationsdaten bereits eine erste digitale Signatur vor, so wird in einer vorteilhaften Ausführungsform lediglich für eine Teil- menge der Konfigurationsdaten, für die noch keine Signatur vorliegt, eine zweite digitale Signatur mit einer Sicherheitsinformation der ersten Vorrichtung erstellt oder es wird über alle Teilmengen der Konfigurationsdaten und die bereits vorliegenden Signaturen eine digitale Signatur mit einer Sicherheitsinformation der ersten Vorrichtung erstellt.
In beiden Fällen wird sichergestellt, dass keine Teilmenge der Konfigurationsdaten ohne digitale Signatur ist und somit deren Integrität und Authentizität nicht prüfbar ist. Werden solche nicht signierten Teilmengen der Konfigurationsdaten beispielsweise von einer zweiten Vorrichtung akzeptiert, so kann eine Fehlkonfiguration oder Manipulation der zweiten Vorrichtung möglich werden.
In einer vorteilhaften Ausführungsform werden die Konfigurationsdaten verschlüsselt auf der externen Speichervorrichtung abgespeichert. Dazu muss jedoch ein entsprechender Schlüssel beispielsweise in der Firmware einer ersten und zweiten Vorrichtung vorhanden sein, oder ein solcher Schlüssel von einer zentralen Komponente abgefragt werden können.
Die erfindungsgemäße Anordnung zum sicheren Austausch von Konfigurationsdaten umfasst eine Vorrichtung aufweisend Konfigurationsdaten der Vorrichtung, eine Sicherheitsinformation für mindestens ein asymmetrisches kryptographisches Verfahren, eine kryptographische Recheneinheit sowie eine lösbar mit der Vorrichtung verbundene Speichervorrichtung, wobei die kryptographische Recheneinheit derart eingerichtet ist, eine digitale Signatur über die Konfigurationsdaten zu erstellen sowie die Konfigurationsdaten, die digitale Signatur und einen Sicherheitstoken der Sicherheitsinformation in die externe Speichervorrichtung abzuspeichern.
Bei einer solchen Anordnung kann bei einem Austausch der Vorrichtung die externe Speichervorrichtung gelöst, beispielsweise abgezogen, werden und mit einer Ersatzvorrichtung verbunden werden, die damit die exakt gleiche Konfiguration übernimmt, die die ersetzte Vorrichtung hatte. Somit wird der Administrationsaufwand bei Austausch einer Vorrichtung minimiert und Fehlkonfigurationen vermieden. In einer vorteilhaften Ausführungsform ist die digitale Signatur mit einem privaten Schlüssel der Sicherheitsinformation der Vorrichtung erstellt und der Sicherheitstoken liegt als ein digitales Zertifikat mit einem öffentlichen Schlüssel der Vorrichtung vor.
Durch die Verwendung eines digitalen Zertifikats kann neben der Integrität der Konfigurationsdaten auch deren Authentizität überprüft werden und somit sichergestellt werden, dass die Konfigurationsdaten von dem im Zertifikat genannten Zertifikatseigentümer ausgestellt sind.
In einer vorteilhaften Ausführungsform ist die kryptographi - sehe Recheneinheit derart eingerichtet, nach einer Änderung der Konfigurationsdaten in der Vorrichtung eine neue digitale Signatur zu berechnen und die geänderten Konfigurationsdaten und die neue digitale Signatur auf die externe Speichervorrichtung abzuspeichern. In einer vorteilhaften Ausführungsform ist die kryptographi - sehe Recheneinheit derart eingerichtet, gesicherte Konfigurationsdaten von der externen Speichervorrichtung einzulesen, die gesicherten Konfigurationsdaten mittels der digitalen Signatur und dem Sicherheitstoken, die in dem gesicherten Konfigurationsdaten enthalten sind, zu prüfen und bei einer erfolgreichen Überprüfung die gesicherten Konfigurationsdaten in der Vorrichtung zu verwenden.
Durch die Signatur kann sichergestellt werden, dass keine ma- nipulierten Daten in die zweite Vorrichtung übernommen werden .
In einer vorteilhaften Ausführungsform ist die kryptographi - sehe Recheneinheit derart eingerichtet, eine digitale Signa- tur über die gesicherten Konfigurationsdaten mit einer
Sicherheitsinformation der Vorrichtung zu erstellen und auf der externen Speichervorrichtung abzuspeichern. Dies ermöglicht es, die Konfigurationsdaten der Vorrichtung jederzeit aktualisieren zu können und diese auf der externen Speichervorrichtung gesichert abzuspeichern.
In einer vorteilhaften Ausführungsform ist die kryptographi - sehe Recheneinheit derart eingerichtet, nach einer Erneuerung des Zertifikats der Vorrichtung eine neue digitale Signatur zu berechnen und die neue digitale Signatur sowie das erneuerte Zertifikat auf die externe Speichervorrichtung abzuspeichern .
Ein erfindungsgemäßes Computerprogrammprodukt ist direkt in einen Speicher eines digitalen Computers ladbar und umfasst Programmcodeteile, die dazu geeignet sind, die vorgenannten Verfahrensschritte durchzuführen. Entsprechend wird ein erfindungsgemäßer Datenträger beansprucht, der das genannte Computerprogrammprodukt speichert .
Ausführungsbeispiele des erfindungsgemäßen Verfahrens sowie der erfindungsgemäßen Anordnung sind in den Zeichnungen beispielhaft dargestellt und werden anhand der nachfolgenden Beschreibung näher erläutert. Es zeigen:
Figur 1 ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens als Ablaufdiagramm;
Figur 2A ein erstes Beispiel für Konfigurationsdaten, die gemäß dem erfindungsgemäßen Verfahren erstellt wurden;
Figur 2B ein zweites Beispiel für Konfigurationsdaten, die gemäß dem erfindungsgemäßen Verfahren erstellt wurden;
Figur 3 Konfigurationsdaten, die bei der Aktualisierung von
Konfigurationsdaten geändert werden in schemati- scher Darstellung; Figur 4 Konfigurationsdaten, die beispielsweise bei einem Wechsel der Speichervorrichtung von einer ersten Vorrichtung an eine zweite Vorrichtung erzeugt werden, in schematischer Darstellung; und
Figur 5 ein Ausführungsbeispiel eine erfindungsgemäßen Anordnung in Blockdarstellung.
Einander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.
Figur 1 zeigt ein Verfahren zum sicheren Austausch von Konfigurationsdaten zwischen einer ersten und einer zweiten Vorrichtung, die insbesondere die gleiche Aufgabe ausführen und identische oder sehr ähnliche Geräte einer Baureihe sind.
Solche Vorrichtungen sind beispielsweise intelligente Feldgeräte, die in gleicher Baureihe und Version beispielsweise in einer Automatisierungsanlage installiert sind, aber unterschiedliche Aufgaben erfüllen. Daher unterscheiden sich die einzelnen Feldgeräte lediglich in einem Teil ihrer Konfigurationsdaten. Um den Aufwand beim Austausch eines solchen Gerätes durch ein Ersatzgerät zu vereinfachen, werden Konfigurationsdaten auf einer externen Speichervorrichtung, wie beispielsweise einer SD-Karte oder einem USB-Speichermedium, das im normalen Betrieb eines Gerätes mit diesem verbunden ist, eingesetzt. Eine solche lösbare Speichervorrichtung wird beim Austausch von der Vorrichtung entfernt und mit der zweiten Vorrichtung, die die erste ersetzt, verbunden. Um dabei sicherzustellen, dass nicht beim Austausch die externe Spei- chervorrichtung manipuliert und die Konfigurationsdaten geändert wurden, wird nun eine Sicherheitsinformation für ein asymmetrisches Verschlüsselungsverfahren, das üblicherweise in einer solchen Vorrichtung vorliegt, zur Sicherung verwendet. Bei einer solchen Sicherheitsinformation der ersten Vor- richtung handelt es sich beispielsweise um einen privaten kryptographisehen Schlüssel der ersten Vorrichtung. Anschließend werden die Konfigurationsdaten zusammen mit der digitalen Signatur und einem Sicherheitstoken in der externen Spei- chervorrichtung abgespeichert. Ein Sicherheitstoken ist beispielsweise ein digitales Zertifikat, indem neben einer Kennung für die Vorrichtung auch ein öffentlicher Schlüssel passend zum privaten Schlüssel, der zur Signierung verwendet wurde, enthalten ist. Bei einem Austausch von Konfigurationsdaten wird nun die externe Speichervorrichtung von der ersten Vorrichtung gelöst und mit einer zweiten Vorrichtung verbunden und in die zweite Vorrichtung geladen. Die Konfigurationsdaten können somit auf ihre Authentizität und Integrität überprüft werden.
Beim Starten der zweiten Vorrichtung prüft diese die Konfigurationsdaten mittels der digitalen Signatur und dem Sicherheitstoken, der den Konfigurationsdaten beigefügt wurde. Dies ist als Verfahrensschritt 14 gestrichelt eingezeichnet. Vorteilhafterweise verwendet die zweite Vorrichtung die Konfigurationsdaten lediglich bei einer erfolgreichen Überprüfung 15. Somit kann eine Änderung der Konfigurationsdaten auf der externen Speichervorrichtung überprüft und das Hochladen sol- eher manipulierter Konfigurationsdaten vermieden werden.
In einer vorteilhaften Ausführung wird vor der erfolgreichen Prüfung der Authentizität und Integrität der Konfigurationsdaten in der zweiten Vorrichtung nur ein Teil der Konfigura- tionsdaten von der zweiten Vorrichtung verwendet, beispielsweise um weitere Daten über ein Netzwerk zu laden, und die Prüfung wird später ausgeführt oder wiederholt.
Die Authentizität der Daten wird geprüft, indem der vorhande- ne Sicherheitstoken, beispielsweise ein bereits vorhandenes Zertifikat des ersten Gerätes, auf ein in der Firmware der zweiten Vorrichtung verankertes vertrauenswürdiges Root- Zertifikat zurückgeführt wird. Üblicherweise sind Vorrichtungen der gleichen Baureihe und der gleichen Version eines Her- stellers mit einem einheitlichen Zertifikat des Herstellers ausgerüstet. Somit eignet sich ein solches Root-Zertifikat des Herstellers für die Absicherung der Konfigurationsdaten. Nach einer erfolgreichen Prüfung kann die zweite Vorrichtung mit einer eigenen Sicherheitsinformation eine neue Signatur der Daten durchführen und auf der externen Speichervorrichtung die Signatur und dazugehörige Sicherheitstoken ersetzen. Die erste und auch die zweite Vorrichtung kann vorzugsweise als Sicherheitstoken ein Signaturzertifikat für das Signieren der Daten auf der externen Speichervorrichtung verwenden. Ein solches Signaturzertifikat kann auch für das Signieren von Mess- oder Protokollierungsdaten oder auch von Steuerbefehlen verwendet werden. Es muss kein eigenes Zertifikat für die digitale Signatur der Konfigurationsdaten verwendet werden. Verfügt die Vorrichtung über kein derartiges Zertifikat, kann prinzipiell auch ein anderes, beliebiges Zertifikat, beispielsweise für den Aufbau einer sicheren TLS-Verbindung, verwendet werden. Ein solches Zertifikat ist für eine solche Datensignatur nicht notwendigerweise vorgesehen, kann aber trotzdem verwendet werden, da dies bei der Implementierung der Funktion für Verwendung und Prüfung des Zertifikats leicht berücksichtigt werden kann.
In Figur 2A und 2B sind verschiedene Optionen für die Signatur von Konfigurationsdaten A, B dargestellt. Bei der Teilmenge A der Konfigurationsdaten handelt es sich beispielsweise um Konfigurationsdaten, die zentral bei der Projektierung der Vorrichtung zugewiesen wurden. Die Teilmenge B an Konfigurationsdaten sind beispielsweise vorrichtungsspezifische Einmessdaten, die bei der Inbetriebnahme der Vorrichtung individuell generiert wurden. Die Teilmenge der Konfigurationsdaten A sind sowohl in Figur 2A als auch in Figur 2B durch eine digitale Signatur beispielsweise eines Projektierers signiert. In Figur 2A wird lediglich die Teilmenge B der Konfigurationsdaten durch die Sicherheitsinformation der ersten Vorrichtung B signiert und ein entsprechendes Sicherheitstoken Cert (b) , auch mit Referenz 105 bezeichnet, angefügt. In der in Figur 2B dargestellten Variante wird über die gesamte vorhandene Menge an Konfigurationsdaten 103, hier die Teilmenge A, einer Signatur Siga(A) über die Teilmenge A und die Teilmenge B eine Signatur Sigb(A, Siga(A), B) bzw. Sigb(103) erstellt und wiederum der Sicherheitstoken Cert (b) der Vorrichtung angehängt .
In Figur 3 sind Konfigurationsdaten 201 dargestellt, die von einer ersten Vorrichtung erstellt und in der externen Speichervorrichtung als Konfigurationsdaten 201 abgelegt sind. Ändern sich zumindest Teile der Konfigurationsdaten, siehe geänderte Konfigurationsdaten B", so werden diese aktualisiert, wie hier durch den Pfeil dargestellt. Außerdem wir ei- ne Signatur Sigb(B") über die geänderten Konfigurationsdaten B" berechnet. Die gestrichelt dargestellten Bereiche sind in resultierenden geänderten Konfigurationsdaten 203 dabei gegenüber den Konfigurationsdaten 201 geändert. Dies sind insbesondere die aktualisierte Teilmenge B' der Konfigurations- daten und eine aktualisierte digitale Signatur Sigb(B') .
Figur 4 zeigt, wie sich die Konfigurationsdaten 201 einer ersten Vorrichtung ändern, wenn die erste Vorrichtung ein neues Sicherheitstoken, insbesondere ein neues Zertifikat Cert(c) erhält. Dies kann beispielsweise nach Ablauf des vorhergehenden Zertifikats Cert (b) der Fall sein. Auf der externen Speichervorrichtung wird dann der Sicherheitstoken durch den neuen Sicherheitstoken Cert(c) ersetzt und eine digitale Signatur über die Teilmenge B der Konfigurationsdaten mit Sicherheitsinformation entsprechend dem Sicherheitstoken
Cert(c) generiert und zu den Konfigurationsdaten hinzugefügt.
Die gleichen Konfigurationsdaten 203 ergeben sich, wenn die externe Speichervorrichtung mit einer zweiten Vorrichtung verbunden wird und nach dem Überprüfen der Signatur und des
Sicherheitstokens die Konfigurationsdaten, hier die Teilmenge B mit den Sicherheitsinformationen und dem Sicherheitstoken der zweiten Vorrichtung signiert wird und beide Daten angehängt werden. Hierbei entspricht dann der Sicherheitstoken Cert(c) dem Sicherheitstoken beziehungsweise dem digitalen Zertifikat der zweiten Vorrichtung. Figur 5 zeigt nun eine Anordnung mit einer ersten Vorrichtung 100, die mit einer externen Speichervorrichtung 200 verbunden ist. Die Speichervorrichtung 200 kann beispielsweise über eine USB-Schnittstelle lösbar mit der ersten Vorrichtung 100 verbunden sein. Ebenso sind sichere digitale Speicherkarten, kurz auch SD-Karte genannt, als externe Speichervorrichtung verwendbar. Auch eine solche Karte kann beispielsweise in einen entsprechenden Slot in der ersten Vorrichtung 100 eingesteckt beziehungsweise wieder herausgenommen werden. Die ers- te Vorrichtung umfasst einen internen Speicher 102, auf dem die Speicherdaten 103, insbesondere die Teilmengen A, B aus den Figuren 2, 3 und 4, abgelegt sind. Eine solche erste Vorrichtung 100 umfasst üblicherweise Sicherheitsinformationen für mindestens ein asymmetrisches kryptographisches Verfah- ren, bspw. ein Signaturverfahren, insbesondere einen privaten Schlüssel 104 sowie einen Sicherheitstoken 105, der beispielsweise als digitales Zertifikat einen zum privaten
Schlüssel 104 gehörenden öffentlichen Schlüssel umfasst, sowie eine Geratekennung der Vorrichtung 100 umfasst und durch eine glaubwürdige Stelle signiert ist. Diese glaubwürdige Stelle wird durch ein Root-Zertifikat repräsentiert.
Der interne Speicher 102 ist mit einer kryptographisehen Recheneinheit 101 verbunden. Die kryptographisehen Rechenein- heit 101 signiert die Konfigurationsdaten 103 mit dem privaten Schlüssel 104, das heißt es wird eine digitale Signatur gebildet. Anschließend werden die Konfigurationsdaten 103, die digitale Signatur sowie der Sicherheitstoken 105 auf der externen Speichervorrichtung als Konfigurationsdaten 201 ab- gelegt. Ändern sich Konfigurationsdaten der ersten Vorrichtung 100, so werden wie bereits beschrieben, die geänderte Konfigurationsdaten erneut signiert und auf der externen Speichervorrichtung 200 aktualisiert. Wird das Gerät 100 durch eine zweite Vorrichtung 300 ersetzt, so wird die externe Speichervorrichtung 200 von der ersten Vorrichtung gelöst und mit der zweiten Vorrichtung 300 verbunden, siehe gestrichelte Verbindung. Eine zweite Vorrich- tung 300 unterscheidet sich von der ersten Vorrichtung insbesondere durch einen vorrichtungsspezifischen privaten Schlüssel 104 ' der zweiten Vorrichtung und ein entsprechend anderes Sicherheitstoken 105' beziehungsweise digitales Zertifikat 105 ' .
Die zweite Vorrichtung 300 liest nun die Konfigurationsdaten 201 aus der externen Speichervorrichtung 200 aus, und überprüft die digitale Signatur mit dem mitgelieferten, im Zerti- fikat befindlichen öffentlichen Schlüssel. Die Authentizität der Konfigurationsdaten wird durch die Zurückführung des digitalen Zertifikats 105 auf ein gemeinsames Root-Zertifikat überprüft. Wird sowohl die Authentizität wie auch die Integrität der Konfigurationsdaten bestätigt, lädt die zweite Vor- richtung 300 die Konfigurationsdaten in den internen Speicher 102 und weist somit die exakt gleiche Konfiguration 103 auf, wie die erste Vorrichtung 100. Anschließend wird durch die kryptographische Rechenvorrichtung 101 eine digitale Signatur der Konfigurationsdaten 103 mit dem privaten Schlüssel 104 ' , der zweiten Vorrichtung 300 erzeugt und zusammen mit dem Zertifikat 105' der zweiten Vorrichtung 300 auf die externe Speichervorrichtung abgelegt. Somit kann die zweite Vorrichtung wiederum ihre eigene Konfiguration zu einer beliebigen Zeit auf der externen Speichervorrichtung 200 aktualisieren.
Auf der ersten und zweiten Vorrichtung 100, 300 vorhandene Sicherheitstoken beziehungsweise operative Zertifikate 100, 105 beispielsweise für eine Messdatensignatur, Kommunikation oder ähnliches, kann auch für die Absicherung der extern ge- speicherten Konfigurationsdaten verwendet werden. Dadurch wird ein Schutz der Konfigurationsdaten auf der externen Speichervorrichtung 200 gegen Manipulation bei physikalischem Zugang erreicht. Des Weiteren ist kein zusätzlicher Administrationsaufwand beispielsweise für einen Wartungstechniker oder für einen übergeordneten Konfigurationsserver notwendig, um eine Ersatzvorrichtung mit der genau gleichen Konfiguration der zu ersetzenden Vorrichtung notwendig. Alle beschriebenen und/oder gezeichneten Merkmale können im Rahmen der Erfindung vorteilhaft miteinander kombiniert werden. Die Erfindung ist nicht auf die beschriebenen Ausführungsbeispiele beschränkt.

Claims

Patentansprüche
1. Verfahren zum sicheren Austausch von Konfigurationsdaten (103) zwischen einer ersten Vorrichtung (100), verbunden mit einer externen Speichervorrichtung (200) , und einer zweiten (300) Vorrichtung, umfassend die Schritte
- Erstellen (11) einer digitalen Signatur (Sigb) über die Konfigurationsdaten (103) der ersten Vorrichtung mit einer Sicherheitsinformation (104) der ersten Vorrichtung (100), - Speichern (12) der Konfigurationsdaten (103), der digitalen Signatur (Sigb) sowie eines Sicherheitstokens (105) in einer externen Speichervorrichtung (200) ,
- Laden (13) der Konfigurationsdaten (103), der digitalen Signatur (Sigb) sowie des Sicherheitstokens (105) von der ex- ternen Speichervorrichtung (200) in die zweite Vorrichtung (300) ,
- Überprüfen (14) der Konfigurationsdaten (103) mittels der digitalen Signatur (Sigb) und dem Sicherheitstoken (105) der ersten Vorrichtung (100) durch die zweite Vorrichtung (300) , und
- Erstellen einer digitalen Signatur (Sigc) über die Konfigurationsdaten (103, 201) mit einer Sicherheitsinformation (105") der zweiten Vorrichtung (300) in der zweiten Vorrichtung (300) und abspeichern auf der externen Speichervorrich- tung (200) .
2. Verfahren nach Anspruch 1, wobei
nach einer Änderung der Konfigurationsdaten (103") in der ersten Vorrichtung (100) eine neue digitale Signatur
(Sigb(103"), Sigb(B)) ermittelt wird und die geänderten Konfigurationsdaten (103", B) und die neue digitale Signatur ( (Sigb (103 ") , Sigb(B)) auf die externe Speichervorrichtung (200) abgespeichert werden.
3. Verfahren nach Anspruch 1 oder 2, umfassend den zusätzlichen Schritt
- Verwenden (15) der Konfigurationsdaten (103) bei einer erfolgreichen Überprüfung.
4. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Sicherheitsinformation (Sigb, Sigc) ein privater Schlüssel und der Sicherheitstoken (105, 105") ein digitales Zerti- fikat ist.
5. Verfahren nach Anspruch 1, wobei für mindestens eine erste Teilmenge (A) der Konfigurationsdaten (103) bereits eine erste digitale Signatur (Siga(A)) vorliegt und
lediglich für eine zweite Teilmenge (B) der Konfigurationsdaten (103, 103"), für die noch keine Signatur vorliegt, eine zweite digitale Signatur (Sigb(B)) mit einer Sicherheitsinformation der ersten Vorrichtung erstellt wird oder über alle Teilmengen (A, B) der Konfigurationsdaten und die bereits vorliegenden Signaturen (Siga(A)) eine digitale Signatur
(Sigb(103), Sigb(103")) mit einer Sicherheitsinformation der ersten Vorrichtung (100) erstellt wird.
6. Verfahren nach einem der vorhergehenden Ansprüche, wobei die Konfigurationsdaten (103,) verschlüsselt auf der externe
Speichervorrichtung (200) abgespeichert werden.
7. Anordnung zum sicheren Austausch von Konfigurationsdaten (103) zwischen einer ersten Vorrichtung (100) und einer zwei- ten (300) Vorrichtung umfassend eine erste Vorrichtung (100) , aufweisend Konfigurationsdaten (103) der Vorrichtung (100), eine Sicherheitsinformation (104, 105) für mindestens ein asymmetrisches kryptographisches Verfahren und eine kryptog- raphische Recheneinheit (101) , eine zweite (300) Vorrichtung mit einer kryptographisehen Recheneinheit (101) sowie eine lösbar mit der ersten Vorrichtung (100) und der zweiten Vorrichtung (300) verbindbare externe Speichervorrichtung (200) , wobei
die kryptographisehe Recheneinheit (101) der ersten Vorrich- tung (100) derart eingerichtet ist, eine digitale Signatur
(Sigb) über die Konfigurationsdaten (103) zu erstellen, sowie die Konfigurationsdaten (103) , die digitale Signatur (Sigb) und einen Sicherheitstoken (105) der Sicherheitsinformation in die externe Speichervorrichtung (200) abzuspeichern, wobei die kryptographische Recheneinheit (101) der zweiten Vorrichtung (100) derart eingerichtet ist,
- gespeicherte Konfigurationsdaten (201) von der externe Speichervorrichtung (200) einzulesen,
- die gespeicherten Konfigurationsdaten (201) mittels der digitalen Signatur (Sigb) und dem Sicherheitstoken (105) die in den gesicherten Konfigurationsdaten (201) enthalten sind, zu überprüfen, und
eine digitale Signatur (Sigc) über die Konfigurationsdaten (103, 201) mit einer Sicherheitsinformation (105") der zweiten Vorrichtung (300) in der zweiten Vorrichtung (300) zu erstellen und auf der externen Speichervorrichtung (200) abzu- speichern.
8. Anordnung nach Anspruch 7, wobei die digitale Signatur mit einem privaten Schlüssel (104, 104") der Sicherheitsinformation der ersten bzw. zweiten Vorrichtung (100, 300) erstellt wird und der Sicherheitstoken (105) ein digitales Zertifikat mit einem öffentlichen Schlüssel der ersten bzw. zweiten Vorrichtung (100) ist.
9. Anordnung nach Anspruch 7 oder 8, wobei
die kryptographische Recheneinheit (101) derart eingerichtet ist, nach einer Änderung der Konfigurationsdaten (B", 103") in der Vorrichtung (100) eine neue digitale Signatur
(Sigb(B"), Sigb(103")) zu ermitteln und die geänderten Konfigurationsdaten (B", 103") und die neue digitale Signatur (Sigb(B"), Sigb(103") auf die externe Speichervorrichtung (200) abzuspeichern.
10. Anordnung nach einem der Ansprüche 7 bis 9, wobei die kryptographische Recheneinheit (101) derart eingerichtet ist, - bei einer erfolgreichen Überprüfung die gespeicherten Konfigurationsdaten (201) in der Vorrichtung (100) zu verwenden.
11. Anordnung nach einem der Ansprüche 7 bis 10, wobei die kryptographische Recheneinheit (101) derart eingerichtet, nach einer Erneuerung des Zertifikats der Vorrichtung (100) eine neue digitale Signatur zu berechnen und die neue digita- le Signatur sowie das erneuerte Zertifikat (Cert(c)) auf die externe Speichervorrichtung (200) abzuspeichern.
12. Computerprogrammprodukt, das direkt in einen Speicher eines digitalen Computers ladbar ist, umfassend Programmcode- teile, die dazu geeignet sind, die Schritte des Verfahrens nach einem der Ansprüche 1 bis 6 durchzuführen.
13. Datenträger, der das Computerprogrammprodukt nach Anspruch 12 speichert.
EP16727993.4A 2015-07-16 2016-06-03 Verfahren und anordnung zum sicheren austausch von konfigurationsdaten einer vorrichtung Withdrawn EP3323076A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102015213412.1A DE102015213412A1 (de) 2015-07-16 2015-07-16 Verfahren und Anordnung zum sicheren Austausch von Konfigurationsdaten einer Vorrichtung
PCT/EP2016/062656 WO2017008953A1 (de) 2015-07-16 2016-06-03 Verfahren und anordnung zum sicheren austausch von konfigurationsdaten einer vorrichtung

Publications (1)

Publication Number Publication Date
EP3323076A1 true EP3323076A1 (de) 2018-05-23

Family

ID=56116417

Family Applications (1)

Application Number Title Priority Date Filing Date
EP16727993.4A Withdrawn EP3323076A1 (de) 2015-07-16 2016-06-03 Verfahren und anordnung zum sicheren austausch von konfigurationsdaten einer vorrichtung

Country Status (5)

Country Link
US (1) US20180131520A1 (de)
EP (1) EP3323076A1 (de)
CN (1) CN107851158A (de)
DE (1) DE102015213412A1 (de)
WO (1) WO2017008953A1 (de)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RS65854B1 (sr) 2015-01-28 2024-09-30 Inexto Sa Postupak i uređaj za identifikaciju i praćenje jedinica i kontejnera
EP3051372B1 (de) * 2015-01-31 2019-03-06 Inexto Sa Sichere Produktidentifizierung und -verifizierung
US20180205543A1 (en) 2015-08-13 2018-07-19 Inexto Sa Enhanced obfuscation or randomization for secure product identification and verification
EA034935B1 (ru) 2015-08-25 2020-04-08 Инексто Са Верификация с допуском ошибок для защищенных идентификаторов продукта
US10594494B2 (en) 2015-08-25 2020-03-17 Inexto Sa Multiple authorization modules for secure production and verification
DE102017102677A1 (de) 2017-02-10 2018-08-16 Endress+Hauser Conducta Gmbh+Co. Kg Verfahren zur Authentifizierung eines Feldgeräts der Automatisierungstechnik
DE102018211597A1 (de) 2018-07-12 2020-01-16 Siemens Aktiengesellschaft Verfahren zur Einrichtung eines Berechtigungsnachweises für ein erstes Gerät
JP6697038B2 (ja) * 2018-07-31 2020-05-20 日本電信電話株式会社 情報処理装置、検証方法および検証プログラム
US11469903B2 (en) * 2019-02-28 2022-10-11 Microsoft Technology Licensing, Llc Autonomous signing management operations for a key distribution service
US10924347B1 (en) 2019-10-16 2021-02-16 Microsoft Technology Licensing, Llc Networking device configuration value persistence
WO2023275947A1 (ja) * 2021-06-28 2023-01-05 日本電信電話株式会社 回路情報の完全性検証システムおよび回路情報の完全性検証方法
US20240354494A1 (en) * 2023-04-18 2024-10-24 Dropbox, Inc. Generating, applying, and verifying audio signatures for digital documents
EP4472132A1 (de) * 2023-05-30 2024-12-04 Abb Schweiz Ag Anwendung eines wechselsatzes mit verbesserter cybersicherheit

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7027880B2 (en) * 2003-09-30 2006-04-11 Rockwell Automation Technologies, Inc. Safety controller providing rapid recovery of safety program data
GB2413654B (en) * 2004-04-29 2008-02-13 Symbian Software Ltd A method of backing up and restoring data in a computing device
US20050283662A1 (en) * 2004-06-21 2005-12-22 Li Yi Q Secure data backup and recovery
US8117461B2 (en) * 2006-09-13 2012-02-14 Igt Method of randomly and dynamically checking configuration integrity of a gaming system
ATE508568T1 (de) * 2007-06-15 2011-05-15 Research In Motion Ltd Verfahren und vorrichtungen zur bereitstellung eines sicheren datenbackups von einem mobilen kommunikationsgerät zu einer externen berechnungsvorrichtung
US8208637B2 (en) * 2007-12-17 2012-06-26 Microsoft Corporation Migration of computer secrets
CN102014008A (zh) * 2010-12-29 2011-04-13 华为技术有限公司 一种数据容灾方法及系统
DE102011081804B4 (de) * 2011-08-30 2015-02-12 Siemens Aktiengesellschaft Verfahren und System zum Bereitstellen von gerätespezifischen Betreiberdaten, welche an ein Authentisierungs-Credential gebunden werden, für ein Automatisierungsgerät einer Automatisierungsanlage
AU2012300852C1 (en) * 2011-08-31 2018-01-04 Thomson Licensing Method for a secured backup and restore of configuration data of an end-user device, and device using the method
EP2672414A1 (de) * 2012-06-08 2013-12-11 Sodge IT GmbH Verfahren zur Übertragung von Konfigurationsdaten zu Steuerungsvorrichtungen, ein System und ein Computerprogrammprodukt
CN103916848B (zh) * 2013-01-09 2019-06-14 中兴通讯股份有限公司 一种移动终端数据备份和恢复的方法及系统
DE102013205051A1 (de) * 2013-03-21 2014-09-25 Siemens Aktiengesellschaft Aktualisieren eines digitalen Geräte-Zertifikats eines Automatisierungsgeräts

Also Published As

Publication number Publication date
US20180131520A1 (en) 2018-05-10
CN107851158A (zh) 2018-03-27
WO2017008953A1 (de) 2017-01-19
DE102015213412A1 (de) 2017-01-19

Similar Documents

Publication Publication Date Title
WO2017008953A1 (de) Verfahren und anordnung zum sicheren austausch von konfigurationsdaten einer vorrichtung
EP3985532B1 (de) Zertifikatsmanagement für technische anlagen
DE102017111928A1 (de) Verfahren zur autorisierten Aktualisierung eines Feldgeräts der Automatisierungstechnik
EP3382616A1 (de) Verfahren und vorrichtung zum rechnergestützten bereitstellen eines sicherheitsgeschützten digitalen zwillings
EP3437012B1 (de) Verfahren, prozessor und gerät zur integritätsprüfung von nutzerdaten
WO2018137856A1 (de) Verfahren und vorrichtung zum rechnergestützten erstellen und ausführen einer steuerfunktion
WO2019034509A1 (de) Verfahren zum sicheren ersetzen eines bereits in ein gerät eingebrachten ersten herstellerzertifikats
EP3951516A1 (de) System und verfahren zum verifizieren von komponenten eines industriellen kontrollsystems
EP3080950A1 (de) Verfahren und system zur deterministischen autokonfiguration eines gerätes
EP3695337B1 (de) Verfahren und bestätigungsvorrichtung zur integritätsbestätigung eines systems
EP4578140B1 (de) Sicheres technisches modul
EP3111609B1 (de) Verwendung von zertifikaten mittels einer positivliste
DE102020003072B3 (de) Verfahren zur sicheren Nutzung von kryptografischem Material
WO2023025642A1 (de) Sicheres betreiben einer industriellen steuerungsvorrichtung zusammen mit einem ai-modul
EP4018300A1 (de) Konfigurationsverfahren für eine eisenbahnsignalanlage und aktualisierungssystem
EP4031945A1 (de) Verfahren zur validierung oder verifikation eines feldgeräts
EP3758320A1 (de) Geräte und verfahren zum überprüfen von geräten
EP3873051B1 (de) Verfahren zur validierung eines digitalen zertifikats
EP3820081B1 (de) Verfahren zur durchführung einer erlaubnisabhängigen kommunikation zwischen wenigstens einem feldgerät der automatisierungstechnik und einem bediengerät
EP4250150A1 (de) Verfahren und vorrichtung zum betreiben eines automatisierungssystems
DE102019005545A1 (de) Verfahren zum Betreiben eines Maschinendatenkommunikationsnetzwerks, sowie Maschinendatenkommunikationsnetzwerk
DE102018133605A1 (de) Verfahren und Vorrichtung zur Prüfung der Integrität von Modulen einer Windkraftanlage
EP4471636A1 (de) Kombination von attestierungsergebnissen eines app-fähigen systems
DE102020203922A1 (de) Verteilungsverfahren für Lizenzen auf elektronische Bauteile
DE102020203919A1 (de) Verifizierungsverfahren für ein elektronisches Bauteil und Bauteil

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20171017

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
RAP1 Party data changed (applicant data changed or rights of an application transferred)

Owner name: SIEMENS MOBILITY GMBH

17Q First examination report despatched

Effective date: 20200309

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20200721