EP4320819A1 - Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage - Google Patents

Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage

Info

Publication number
EP4320819A1
EP4320819A1 EP22728536.8A EP22728536A EP4320819A1 EP 4320819 A1 EP4320819 A1 EP 4320819A1 EP 22728536 A EP22728536 A EP 22728536A EP 4320819 A1 EP4320819 A1 EP 4320819A1
Authority
EP
European Patent Office
Prior art keywords
component
certificate
network
domain
device certificate
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP22728536.8A
Other languages
English (en)
French (fr)
Inventor
Andreas Furch
Oliver Pfaff
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from DE102021205549.4A external-priority patent/DE102021205549A1/de
Application filed by Siemens AG filed Critical Siemens AG
Publication of EP4320819A1 publication Critical patent/EP4320819A1/de
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3265—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate chains, trees or paths; Hierarchical trust model
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor

Definitions

  • the invention relates to a method for integrating a new component with a device certificate from a domain into a network, as well as a registrar component and an installation.
  • the communication of Internet-of-Things devices is often secured by means of cryptographic keys and associated certificates.
  • key pairs comprising a private key and a public key are used for this purpose.
  • Such key pairs enable encrypted and authenticated communication using asymmetric cryptographic processes.
  • the public key of a key pair is usually linked to a certificate with identity information to be verified beforehand using a so-called public key infrastructure (PKI infrastructure) in an authentic and integrity-protected manner.
  • PKI infrastructure public key infrastructure
  • a special certificate is the self-signed root certificate of such a PKI infrastructure. This serves as the root of trust of such a system of Internet of Things devices, particularly within a specific facility.
  • This root certificate must be communicated to all participants in the PKI infrastructure in a trustworthy manner, so that all participants in the PKI infrastructure can trust the root certificate. Introducing such root certificates is therefore a critical operation in IoT networks, since the root certificates determine whether IoT devices can be considered authenticated.
  • An Internet of Things device therefore requires a network-specific root certificate, a network-specific end device certificate and associated private keys for protected communication in the network.
  • An Internet of Things device whose communication is to be protected by means of such a PKI infrastructure can, in principle, receive certificates and keys, also referred to below as proof of authorization, in many different ways.
  • the Internet of Things device For the trustworthy integration of an Internet of Things device into a network, the Internet of Things device is accessible with the root certificate or a public key contained in the root certificate or a unique and secure reference to the root certificate or a key contained in the root certificate provided in order to later be able to derive the trustworthiness of other Internet of Things devices.
  • imprinting methods When transferring the root certificate to such an Internet of Things device, so-called imprinting methods are used, which are a security-critical and therefore risky process when managing Internet of Things networks with Internet of Things devices.
  • a new method should allow the introduction of network-specific Individual certificates for the new component can easily be made.
  • the object of the invention is to specify a registrar component by means of which a new component can be integrated into a network efficiently, cost-effectively and securely. It is also an object of the invention to create a system with a network in which new components can be easily and inexpensively and at the same time safely integrated into the network of the system.
  • This object of the invention is achieved with a method for integrating a new component into a network with the features specified in claim 1 and with a registrar component with the features specified in claim 10 and with a system with a network with the features specified in claim 13 features resolved.
  • Preferred developments of the invention are specified in the appertaining subclaims, which follow the description below and the drawing.
  • a new component with a device certificate from a domain with a domain root certificate is used.
  • the domain is preferably the manufacturer domain of a manufacturer of the new component.
  • a network is used in the method according to the invention, which comprises at least one inventory component that has an inventory device certificate of the domain.
  • a request from the new component signed with the device certificate, ie signed with a private key belonging to the device certificate of the domain is received, preferably subjected to an examination and the existing component with the existing device certificate is preferably after the examination has taken place he averages .
  • the request is transmitted to the inventory component, the device certificate being verified using the domain root certificate of the domain and the inventory component being used to verify a private key signed with the inventory device certificate, ie with a private key belonging to the inventory device certificate signed response provided with a network certificate, preferably a root certificate of the network, which is transmitted to the new component.
  • the new component is integrated into the network using the network certificate.
  • the A method step in which a response signed with the existing device certificate, ie signed with a private key corresponding to the existing device certificate, and provided with a network certificate is received from the inventory component.
  • the inventory component for providing the response signed with the existing device certificate, ie signed with a private key belonging to the existing device certificate is stopped, ie prompted, in particular prompted and/or triggered.
  • a manufacturer domain of the new component preferably acts as a domain that establishes a trustworthy relationship between the new component and the existing component.
  • a network certificate in particular a root certificate of the network, can then be transmitted in a trustworthy manner via this trustworthy relationship.
  • the at least one inventory component particularly preferably has both the device certificate of the domain and the network certificate of the network. In this development of the invention, the inventory component can therefore sign both with the network certificate, ie with a private key belonging to the network certificate, and with the existing device certificate, ie with a private key belonging to the existing device certificate.
  • the phrase “signed with a certificate” in the context of the present invention always means “signed with a private key belonging to the certificate”.
  • the device certificate or the existing device certificate or the network certificate can take the place of the certificate in this context.
  • an authenticated, signed message with the network certificate preferably the root certificate of the network
  • the network certificate preferably the root certificate of the network
  • authenticated messages can be transmitted between the existing component and the new component, which allow the network certificate to be transmitted to the new component in a tamper-proof manner.
  • such a transmission can take place in particular on the basis of a further request based on the root certificate of the network, in particular by an excellent registrar who decides on the inclusion of the new component in the inventory domain.
  • the network certificate usually the root certificate of the network
  • the network certificate can be transferred to the new component in a secure and authenticated manner, so that imprinting a network certificate onto the new component is automated, inexpensive, efficient and secure.
  • new components can consequently be integrated into a network, in particular a network of a plant, for example shared in the manner of an emergency replacement, without manual intervention or special, specially designed additional services being required for this.
  • the integration of new components can consequently take place without special human actions, so that zero-touch integration of new components can be carried out automatically using the method according to the invention.
  • the prerequisite of using a network with an existing component with the existing device certificate of the domain and a new component with a device certificate from the same domain is easy to fulfill, since the domain of the device certificate and the existing device certificate is regularly used by a manufacturer of new components and existing components component is defined, so that the prerequisite for executing the method according to the invention, ie the existence of a common domain root certificate, can be easily fulfilled by means of a component management of components of the network and new components as well as a corresponding choice of manufacturer.
  • the phrase according to which a device certificate is verified using the domain root certificate of the domain in the context of the present application means that the device certificate is validated using the domain root certificate, possibly including other certificates in between that have a hierarchy of Map PKI infrastructure. i.e. the validity of the device certificate is verified using the domain root certificate.
  • the network certificate is preferably not identical to the existing device certificate of the domain.
  • the common domain of the new component and the existing component is used as a trust-building aid. tel is used to reliably transmit the actual network certificate.
  • the network certificate is a root certificate of the network.
  • a trust relationship of the new component with other or all existing components of the network can easily be established.
  • the domain root certificate is preferably a root certificate of the device certificate and of the existing device certificate.
  • the device certificate can be easily verified using the domain root certificate known to the inventory device certificate.
  • the information about the domain root certificate is preferably obtained or derived from the existing device certificate or obtained by means of the existing device certificate.
  • a root certificate of the device certificate and the existing device certificate is understood to mean, in particular, a root certificate to which the device certificate and the existing device certificate refer.
  • the device certificate and legacy device certificate are signed by the device root certificate.
  • the method according to the invention is expediently carried out using a registrar component.
  • the registrar component is preferably fundamentally part of the network into which the new component is to be integrated. However, this is not necessarily required.
  • the registration component only conveys the trustworthy communication relationship between the new component and the existing component.
  • a trusting relationship also expediently exists between the registrar component and the existing device component, so that the registrar component transmits the response from the existing component with the network certificate to the new component, preferably again after verification.
  • the network is part of a system in the form of a production system or a processing system or a vehicle or a machine.
  • zero-touch solutions for the integration of new components into a network are particularly often required and allow a flexible and uncomplicated connection of a large number of network components.
  • the network is preferably an Internet of Things network.
  • the problem of integrating new components regularly arises, particularly in the case of Internet of Things networks.
  • the method according to the invention for integrating a new component into a network offers a particularly large cost advantage.
  • device certificates and existing device certificates and network certificates are expediently certificates which have a public key of an asymmetric cryptographic key pair.
  • the authentication can take place using certificates in a manner that is known and established per se.
  • the registrar component according to the invention is designed to carry out a method according to the invention for integrating a new component into a network, as described above.
  • the registrar component according to the invention is directed to the integration of a new component with a Device certificate of a domain with a domain root certificate in a network with at least one inventory component of the network, the inventory component having an inventory device certificate of the domain, the registrar component being set up to receive, and preferably also to check, a device certificate signed with the domain, ie one signed with a private key belonging to the device certificate of the domain, is a request for the new component and for determining the existing component with the existing device certificate and for transmitting the request for the component to the existing component.
  • the registrar component is for receiving, and preferably also for checking, a signed with the existing device certificate, ie signed with a private key belonging to the existing device certificate, and provided with a network certificate, preferably the root certificate of the new domain, response from the existing component and for transmission the response to the new component.
  • a signed with the existing device certificate ie signed with a private key belonging to the existing device certificate
  • a network certificate preferably the root certificate of the new domain
  • the registrar component according to the invention is set up to receive a request signed with the device certificate of the domain from the new component and to determine the existing component with the existing device certificate and to transmit the request from the component to the existing component, the request from the new component can be appropriately received using the registrar component according to the invention are determined, the stock component is determined and the stock component is sent the request.
  • the corresponding method steps of the method according to the invention can therefore advantageously be carried out with the registrar component according to the invention.
  • the registrar component of the invention also to receive a signed with the existing device certificate and provided with a network certificate response
  • Existing component and set up to transmit the response to the new component can be provided by means of the registrar component according to the invention expediently signed with the existing device certificate and provided with a network certificate response, which is transmitted to the new component, and thus the new component can be integrated into the network . Consequently, the other corresponding method steps of the method according to the invention can also be carried out advantageously with the registrar component according to the invention.
  • the registrar component is designed to verify the device certificate of the new component using the domain root certificate.
  • the registrar component according to the invention is preferably an Internet of Things device.
  • the system according to the invention has a network, in particular an Internet of Things network, and a registrar component according to the invention. Consequently, new components can be integrated particularly easily in the network of the system according to the invention.
  • FIG. 1 shows the implementation of the method according to the invention by means of a registrar component according to the invention of a system according to the invention with an Internet of Things network schematically in a basic sketch.
  • the system ANL has an Internet of Things network ISN and a registrar component REG.
  • the internet of things network ISN includes internet of things devices, for example the illustrated internet of things device BOONEI, which are connected to each other via Ethernet and which are able to communicate with other, neighboring internet net-of-things devices to communicate over this Ethernet.
  • a new Internet of Things component IOTCOM is not yet part of the Internet of Things network ISN.
  • the new Internet of Things component IOTCOM is provided with an asymmetric cryptographic key pair by the manufacturer, with the public key being included in the trust domain of the manufacturer of the Internet of Things component IOTCOM by means of an X.509 certificate.
  • a signature made using a private key of the asymmetric cryptographic key pair of the Internet of Things component IOTCOM can be checked on the basis of a certificate chain validation using a root certificate IDEVIDCA from the manufacturer of the Internet of Things component IOTCOM.
  • the root certificate from the manufacturer IDEVIDCA is already known to the registrar component REG as a result of an inventory component previously integrated into the Internet of Things network ISN in the form of the Internet of Things device BOONEI.
  • the registrar component REG consequently keeps the root certificate of the manufacturer IDEVIDCA in a memory with protection of its integrity.
  • the registrar component REG is a central management component of the Internet of Things network ISN, but is not part of the Internet of Things network ISN in the exemplary embodiment shown, but can be part of the Internet in other exemplary embodiments that are not specifically shown - be the things network's ISN.
  • the registrar component REG has a plant root certificate LDEVIDCA, which serves as a plant root certificate for the plant ANL at the same time as a network certificate for the Internet of Things network ISN.
  • the new component IOTCOM which is not yet part of the Internet of Things Network ISN, is now to be integrated into the Internet of Things Network ISN.
  • the new Internet of Things component IOTCOM initializes itself next network-specific and then sends an imprint request IMPREQ to the registrar component REG.
  • the Internet of Things component IOTCOM signs its imprint request IMPREQ with a terminal certificate IDEVIDEE using a private key of the cryptographic key pair of the Internet of Things component IOTCOM.
  • the registrar component REG checks the imprint request IMPREQ using the certificate chain and using known plan data of the Internet of Things network ISN of the system ANL, in which the new Internet of Things component IOTCOM would like to be integrated.
  • the registrar component REG can check using the certificate chain because it already knows the root certificate from the device manufacturer IDEVIDCA associated with the terminal certificate IDEVIDEE. Using the device certificate IDEVIDEE, the registrar component REG determines the root certificate IDEVIDCA and determines the Internet of Things device BOONEI in the Internet of Things network ISN, which has an existing device certificate that refers to the same root certificate IDEVIDCA of the device manufacturer as the device certificate IDEVIDEE of the Internet of Things component IOTCOM . The registrar component REG consequently determines the Internet of Things device BOONEI as an inventory component of the same manufacturer domain using the determination process CHESEA and sends the Internet of Things device BOONEI the imprint request IMPREQ of the Internet of Things component IOTCOM.
  • the determination process CHESEA is easily possible for the registrar component REG, since the registrar component REG forms a central management component of the Internet of Things network ISN and the inventory devices tecertificates of Internet of Things devices of the Internet of Things network ISN knows.
  • the imprint request IMPREQ is forwarded by a security relationship established between the Internet of Things device BOONEI and the registrar component REG, for example on the basis of the system-specific keys and certificates, which is cryptographically protected.
  • the registrar component REG asks the Internet of Things device BOONEI to create and sign an imprint response IMPRES.
  • the internet-of-things Device BOONEI creates the imprint response IMPRES and signs the imprint response IMPRES with its inventory device certificate IDEVIDEE owned private key.
  • the Internet of Things device BOONEI integrates the plant-specific root certificate LDEVIDCA, which is stored in an integrity-protected manner by this Internet of Things device BOONEI and previously transmitted in a trustworthy manner, into the imprint response IMPRES.
  • the Internet of Things device BOONEI transmits its imprint response IMPRES to the registrar component REG within the established security association.
  • the registrar component REG checks the imprint response IMPRES if necessary and sends the imprint response IMPRES as part of a new imprint response to the Internet of Things component IOTCOM.
  • the Internet of Things component IOTCOM can check the imprint response IMPRES using a certificate chain validation using the device manufacturer's own root certificate IDEVIDCA with a check step CHE. Since the Internet of Things device BOONEI is located in the same manufacturer domain of the device manufacturer, the signature verification by the Internet of Things component IOTCOM succeeds and the system certificate LDEVIDCA contained in the message is used by the new Internet of Things -Things component IOTCOM trusted and stored in integrity-protected storage.
  • the new Internet of Things component IOTCOM can use this plant-specific root certificate to establish a new security relationship with the registrar component REG.
  • a system-specific device certificate LDEVIDEE for the new Internet of Things component IOTCOM can be rolled out within such a new security relationship with the registrar component REG.
  • the new Internet of Things component IOTCOM does not accept any other message between the imprint request IMPREQ and the imprint response IMPRES.
  • the registrar component REG does not find any inventory component with an inventory component certificate from the manufacturer domain, i.e. the new Internet of Things component IOTCOM cannot be authenticated and verified as trustworthy by inventory components of the Internet of Things network ISN .
  • system-specific root certificates LDEVIDCA can be introduced in an organizationally protected environment after a dog check by IOTCOM.
  • the communication relationship between the new Internet of Things component IOTCOM and the registrar component REG, which is used for the imprint request IMPREQ it is possible for the communication relationship between the new Internet of Things component IOTCOM and the registrar component REG, which is used for the imprint request IMPREQ, to be accepted as trustworthy for the time being.
  • the new Internet of Things component IOTCOM accepts mutually authenticated communication, which cannot be finally validated due to a missing root certificate LDEVIDCA on the part of the new Internet of Things component IOTCOM, initially only provisionally and After processing the imprint response IMPRES, decides whether this security relationship is to be maintained or whether it needs to be rolled back.
  • the installation-specific root certificate LDEVIDCA contained in the imprint response IMPRES is used for this decision.
  • no old imprint response IMPRES or one not transmitted by the actual registrar component REG can be subordinated to the new Internet of Things component IOTCOM.
  • nonces are used in the various imprint requests IMPREQ and in the imprint response IMPRES in order to achieve unique imprint requests and imprint responses in each case.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

Bei dem Verfahren zur Integration einer neuen Komponente (IOTCOM) in ein Netzwerk (ISN) werden eine neue Komponente (IOTCOM) mit einem Gerätezertifikat (IDEVIDEE) einer Domäne mit einem Domänenwurzelzertifikat (IDEVIDCA) sowie ein Netzwerk mit mindestens einer Bestandskomponente (BOONEI), die ein Bestandsgerätezertifikat der Domäne aufweist, herangezogen und es wird eine mit dem Gerätezertifikat (IDEVIDEE) der Domäne (IDEVIDCA) signierte Anfrage (IMPREQ) der neuen Komponente (IOTCOM) entgegengenommen und die Bestandskomponente (BOONEI) mit dem Bestandsgerätezertifikat wird ermittelt und die Anfrage (IOMPREQ) wird an die Bestandskomponente (BOONEI) übermittelt, wobei das Gerätezertifikat (IDEVIDEE) anhand des Domänenwurzelzertifikats (IDEVIDCA) der Domäne verifiziert wird und wobei mittels der Bestandskomponente (BOONEI) eine mit dem Bestandsgerätezertifikat signierte und mit einem Netzwerkzertifikat (LDEVIDCA) versehene Antwort (IMPRES) bereitgestellt wird, die der neuen Komponente (IOTCOM) übermittelt wird und die neue Komponente (IOTCOM) mittels des Netzwerkzertifikats (LDEVIDCA) in das Netzwerk (ISN) integriert wird.

Description

Beschreibung
Verfahren zur Integration einer neuen Komponente in ein Netz werk, Registrarkomponente und Anlage
Die Erfindung betrifft ein Verfahren zur Integration einer neuen Komponente mit einem Gerätezertifikat einer Domäne in ein Netzwerk sowie eine Registrarkomponente und eine Anlage.
Die Kommunikation von Internet-der-Dinge-Geräten wird häufig mittels kryptografisehen Schlüsseln und zugehörigen Zertifi katen abgesichert. In der Regel werden dazu Schlüsselpaare herangezogen, welche einen privaten Schlüssel und einen öf fentlichen Schlüssel umfassen. Solche Schlüsselpaare ermögli chen die verschlüsselte und authentisierte Kommunikation mit tels asymmetrischer kryptografischer Verfahren. Der öffentli che Schlüssel eines Schlüsselpaares wird zumeist mittels ei ner sogenannten Public-Key-Infrastruktur (PKI-Infrastruktur) mit einem Zertifikat mit zuvor sicherzustellender Identitäts information authentisch und integritätsgeschützt verbunden. Ein besonderes Zertifikat bildet dabei das selbstsignierte WurzelZertifikat einer solchen PKI-Infrastruktur. Dieses dient als Vertrauensanker eines solchen Systems von Internet- der-Dinge-Geräten, insbesondere innerhalb einer spezifischen Anlage.
Dieses WurzelZertifikat muss allen Teilnehmern der PKI- Infrastruktur vertrauenswürdig mitgeteilt werden, damit alle Teilnehmer der PKI-Infrastruktur dem WurzelZertifikat ver trauen können. Das Einbringen solcher WurzelZertifikate ist daher ein kritischer Vorgang bei Internet-der-Dinge- Netzwerken, da die WurzelZertifikate festlegen, ob Internet- der-Dinge-Geräte als authentifiziert betrachtet werden kön nen. Ein Internet-der-Dinge-Gerät benötigt also zur geschütz ten Kommunikation im Netzwerk ein netzwerkspezifisches Wur zelzertifikat, ein netzwerkspezifisches Endgerätezertifikat sowie zugehörige private Schlüssel. Ein Internet-der-Dinge-Gerät, dessen Kommunikation mittels einer solchen PKI-Infrastruktur geschützt werden soll, kann grundsätzlich auf viele verschiedene Arten Zertifikate und Schlüssel, im Folgenden auch Berechtigungsnachweise genannt, erhalten. Zur vertrauenswürdigen Einbindung eines Internet- der-Dinge-Geräts in ein Netzwerk ist das Internet-der-Dinge- Gerät mit dem WurzelZertifikat oder einem im WurzelZertifikat enthaltenen öffentlichen Schlüssel oder einer eindeutigen und sicheren Referenz auf das WurzelZertifikat oder einen im Wur zelzertifikat enthaltenen Schlüssel zu versehen, um daraus später die Vertrauenswürdigkeit anderer Internet-der-Dinge- Geräte ableiten zu können. Beim Übertragen des WurzelZertifi kats auf ein solches Internet-der-Dinge-Gerät kommen soge nannte Imprinting-Methoden zum Einsatz, welche einen Sicher heitskritischen und folglich risikobehafteten Vorgang bei der Verwaltung von Internet-der-Dinge-Netzwerken mit Internet- der-Dinge-Geräten bilden.
Es ist bekannt, WurzelZertifikate auf Internet-der-Dinge- Geräte manuell, d. h. händisch, zu übertragen. Dies ist aber bei Internet-der-Dinge-Netzwerken einer bestimmten Größe nur aufwändig und teuer ausführbar. Es ist ferner bekannt, netz werkspezifische WurzelZertifikate mittels automatischer Ver fahren mit oder ohne organisatorische Sicherheit auf Inter net-der-Dinge-Geräte zu übertragen. Dies führt jedoch gegebe nenfalls zu Sicherheitsrisiken. Ferner gibt es automatische Verfahren mit Sicherheitsmechanismen, mittels welchen ein solches Imprinting erfolgen kann, etwa das sogenannte Bootstrapping Remote Secure Key Infrastructures (BRSKI) Ver fahren. Allerdings erfordern solche automatische Verfahren mit Sicherheitsmechanismen neue Dienste oder Systemkomponen ten, etwa herstellerautorisierte Signing Authorities oder weitere Authorities.
Es ist daher Aufgabe der Erfindung, ein verbessertes Verfah ren zur Integration von neuen Komponenten in ein Netzwerk zu schaffen. Dabei soll mittels eines solchen neuen Verfahrens insbesondere eine Einbringung von netzwerkspezifischen Wur- zelzertifikaten auf die neue Komponente leicht möglich sein. Ferner ist es Aufgabe der Erfindung, eine Registrarkomponente anzugeben, mittels welcher eine Integration einer neuen Kom ponente in ein Netzwerk effizient, kostengünstig und sicher erfolgen kann. Es ist zudem Aufgabe der Erfindung, eine Anla ge mit einem Netzwerk zu schaffen, bei welcher neue Komponen ten leicht und kostengünstig und zugleich sicher in das Netz werk der Anlage integriert werden können.
Diese Aufgabe der Erfindung wird mit einem Verfahren zur In tegration einer neuen Komponente in ein Netzwerk mit den in Anspruch 1 angegebenen Merkmalen sowie mit einer Registrar- komponente mit den in Anspruch 10 angegebenen Merkmalen und mit einer Anlage mit einem Netzwerk mit den in Anspruch 13 angegebenen Merkmalen gelöst. Bevorzugte Weiterbildungen der Erfindung sind in den zugehörigen Unteransprüchen, der nach folgenden Beschreibung und der Zeichnung angegeben.
Bei dem erfindungsgemäßen Verfahren zur Integration einer neuen Komponente in ein Netzwerk wird eine neue Komponente mit einem Gerätezertifikat einer Domäne mit einem Domänenwur zelzertifikat herangezogen. Die Domäne ist vorzugsweise die Herstellerdomäne eines Herstellers der neuen Komponente. Zu dem wird bei dem erfindungsgemäßen Verfahren ein Netzwerk herangezogen, das mindestens eine BeStandskomponente umfasst, die ein Bestandsgerätezertifikat der Domäne aufweist. Bei dem erfindungsgemäßen Verfahren wird eine mit dem Gerätezertifi kat signierte, d. h. mit einem zum Gerätezertifikat der Domä ne gehörenden privaten Schlüssel signierte, Anfrage der neuen Komponente entgegengenommen, vorzugsweise einer Prüfung un terzogen und es wird, vorzugsweise nach erfolgter Prüfung, die BeStandskomponente mit dem Bestandsgerätezertifikat er mittelt . Bei dem erfindungsgemäßen Verfahren wird die Anfrage an die BeStandskomponente übermittelt, wobei das Gerätezerti fikat anhand des DomänenwurzelZertifikats der Domäne verifi ziert wird und wobei mittels der BeStandskomponente eine mit dem Bestandsgerätezertifikat signierte, d. h. mit einem zum Bestandsgerätezertifikat gehörenden, privaten Schlüssel signierte, und mit einem Netzwerkzertifikat, vorzugsweise einem WurzelZertifikat des Netzwerks, versehene Antwort bereitgestellt wird, die der neuen Komponente übermittelt wird. Mittels des Netzwerkzertifikats wird die neue Komponente in das Netzwerk integriert. Alternativ und ebenfalls vorteilhaft kann bei dem erfindungsgemäßen Verfahren anstelle des Verfahrensschritts, dass mittels der Bestandskomponente eine mit dem Bestandsgerätezertifikat signierte, d. h. mit einem zum Bestandsgerätezertifikat korrespondierenden privaten Schlüssel signierte, und mit einem Netzwerkzertifikat, vorzugsweise einem WurzelZertifikat des Netzwerks, versehene Antwort bereitgestellt wird, der Verfahrensschritt, dass von der Bestandskomponente eine mit dem Bestandsgerätezertifikat signierte, d. h. mit einem zum Bestandsgerätezertifikat korrespondierenden privaten Schlüssel signierte, und mit einem Netzwerkzertifikat versehene Antwort erhalten wird, vorgesehen sein. Bei dem erfindungsgemäßen Verfahren wird zweckmäßig die Bestandskomponente zur Bereitstellung der mit dem Bestandsgerätezertifikat signierten, d. h. mit einem zum Bestandsgerätezertifikat gehörenden privaten Schlüssel signierten, Antwort angehalten, d. h. veranlasst, insbesondere aufgefordert und/oder getriggert.
Die Wendung, dass „von der Bestandskomponente eine Antwort erhalten wird" meint, dass „eine von der Bestandskomponente gesendete Antwort erhalten, also empfangen oder entgegengenommen, wird". Es wird also die Antwort, die die Bestandskomponente sendet, erhalten, d. h. empfangen.
Vorzugsweise fungiert eine Herstellerdomäne der neuen Kompo nente als Domäne, welche eine vertrauenswürdige Beziehung zwischen neuer Komponente und Bestandskomponente herstellt. Über diese vertrauenswürdige Beziehung kann dann vertrauens würdig ein Netzwerkzertifikat, insbesondere ein Wurzelzerti fikat des Netzwerks, übermittelt werden. Besonders bevorzugt weist die mindestens eine Bestandskompo nente sowohl das Gerätezertifikat der Domäne als auch das Netzwerkzertifikat des Netzwerks auf. Die Bestandskomponente kann also in dieser Weiterbildung der Erfindung sowohl mit dem Netzwerkzertifikat, d. h. mit einem zum Netzwerkzertifi kat gehörenden privaten Schlüssel, signieren als auch mit dem Bestandsgerätezertifikat, d. h. mit einem zum Bestandsgeräte- zertifikat gehörenden privaten Schlüssel, signieren.
Es versteht sich, dass die Wendung „mit einem Zertifikat sig niert" im Rahmen der vorliegenden Erfindung stets „mit einem zum Zertifikat gehörenden privaten Schlüssel signiert" meint. An die Stelle des Zertifikats kann in dieser Wendung insbe sondere das Gerätezertifikat oder das BestandsgeräteZertifi kat oder das Netzwerkzertifikat treten.
Auf diese Weise kann zwischen der neuen Komponente und einer Bestandskomponente des Netzwerks aufgrund des Gerätezertifi kats und des Bestandsgerätezertifikats derselben Domäne eine authentifizierte signierte Nachricht mit dem Netzwerkzertifi kat, vorzugsweise dem WurzelZertifikat des Netzwerks, an die neue Komponente übermittelt werden. Aufgrund der Verifizie rung mittels des DomänenwurzelZertifikats der gemeinsamen Do mäne der neuen Komponente und der Bestandskomponente können zwischen Bestandskomponente und der neuen Komponente authen tifizierte Nachrichten übermittelt werden, die eine manipula tionssichere Übermittlung des Netzwerkzertifikats an die neue Komponente erlauben. Weiterhin kann eine solche Übermittlung insbesondere auf Basis einer weiteren AnfrageSicherung auf Basis des WurzelZertifikats des Netzwerks, insbesondere durch einen ausgezeichneten Registrar, der über die Aufnahme der neuen Komponente in die Bestandsdomäne entscheidet, erfolgen. Folglich kann der neuen Komponente das Netzwerkzertifikat, üblicherweise das WurzelZertifikat des Netzwerks, auf sichere und authentifizierte Weise übertragen werden, sodass ein Im- printing eines Netzwerkzertifikats auf die neue Komponente automatisiert, kostengünstig, effizient und sicher möglich ist. Mittels des erfindungsgemäßen Verfahrens lassen sich folglich neue Komponenten in ein Netzwerk, insbesondere ein Netzwerk einer Anlage, integrieren, etwa in der Art von Notfallersatz teilen, ohne dass dazu ein manuelles Zutun oder besondere, speziell ausgestaltete, Zusatzdienste erforderlich sind. Ins besondere kann die Integration neuer Komponenten folglich oh ne spezielle menschliche Handlungen erfolgen, sodass eine Ze ro-Touch-Integration neuer Komponenten mittels des erfin dungsgemäßen Verfahrens automatisiert durchführbar ist. Die Voraussetzung, ein Netzwerk mit einer Bestandskomponente mit dem Bestandsgerätezertifikat der Domäne sowie eine neue Kom ponente mit einem Gerätezertifikat der gleichen Domäne heran zuziehen, ist leicht erfüllbar, da die Domäne des Gerätezer tifikats und des Bestandsgerätezertifikats regelmäßig etwa durch einen Hersteller von neuer Komponente und Bestandskom ponente festgelegt wird, sodass mittels einer Komponentenver waltung von Komponenten des Netzwerks und neuen Komponenten sowie entsprechender Herstellerwahl die Voraussetzung zur Ausführung des erfindungsgemäßen Verfahrens, also das Vorlie gen eines gemeinsamen DomänenwurzelZertifikats, leicht er füllbar ist.
Unter der Wendung, gemäß welcher im Rahmen der vorliegenden Anmeldung ein Gerätezertifikat anhand des DomänenwurzelZerti fikats der Domäne verifiziert wird, ist zu verstehen, dass das Gerätezertifikat anhand des DomänenwurzelZertifikats va lidiert wird, gegebenenfalls noch unter Einbeziehung dazwi schen liegender weiterer Zertifikate, die eine Hierarchie der PKI-Infrastruktur abbilden. D. h. die Validität des Geräte zertifikats wird anhand des DomänenwurzelZertifikats verifi ziert.
Bevorzugt ist bei dem erfindungsgemäßen Verfahren das Netz werkzertifikat nicht identisch mit dem BestandsgeräteZertifi kat der Domäne. In dieser Weiterbildung des erfindungsgemäßen Verfahrens wird die gemeinsame Domäne der neuen Komponente und der Bestandskomponente als vertrauensbildendes Hilfsmit- tel herangezogen, um das eigentliche Netzwerkzertifikat ver trauenswürdig zu übertragen.
Vorzugsweise ist das Netzwerkzertifikat ein WurzelZertifikat des Netzwerks. In dieser Weiterbildung der Erfindung lässt sich eine Vertrauensbeziehung der neuen Komponente mit weite ren oder sämtlichen Bestandskomponenten des Netzwerks leicht etablieren .
Vorzugsweise ist bei dem erfindungsgemäßen Verfahren das Do mänenwurzelzertifikat ein WurzelZertifikat des Gerätezertifi kats und des Bestandsgerätezertifikats. Infolge des gemeinsa men WurzelZertifikats des Gerätezertifikats und des Bestands gerätezertifikats kann das Gerätezertifikat anhand des dem Bestandsgerätezertifikat bekannten DomänenwurzelZertifikats leicht verifiziert werden. Vorzugsweise wird die Information über das DomänenwurzelZertifikat aus dem BestandsgeräteZerti fikat bezogen oder abgeleitet oder mittels des Bestandsgerä tezertifikats gewonnen. Unter einem WurzelZertifikat des Ge rätezertifikats und des Bestandsgerätezertifikats wird im Rahmen der vorliegenden Anmeldung insbesondere ein Wurzelzer tifikat verstanden, auf welches das Gerätezertifikat und das Bestandsgerätezertifikat verweisen. Idealerweise sind Geräte zertifikat und Bestandsgerätezertifikat vom GerätewurzelZer tifikat signiert.
Zweckmäßig wird das erfindungsgemäße Verfahren mittels einer Registrarkomponente ausgeführt. Dabei ist die Registrarkompo- nente vorzugsweise grundsätzlich Teil des Netzwerks, in wel ches die neue Komponente integriert werden soll. Dies ist allerdings nicht notwendigerweise erforderlich. Es ist zudem- nicht erforderlich, dass die neue Komponente mit der Re gistrarkomponente selbst eine vertrauenswürdige Kommunikati onsbeziehung unterhält. Vielmehr kann mittels der vertrauens würdigen Kommunikationsbeziehung zwischen der neuer Komponen te und der Bestandskomponente infolge der gemeinsamen Domäne von Gerätezertifikat und BestandsgeräteZertifikat eine ver trauenswürdige Beziehung aufgebaut werden. In dieser Weiter- bildung des erfindungsgemäßen Verfahrens vermittelt die Re gistrarkomponente lediglich die vertrauenswürdige Kommunika tionsbeziehung zwischen neuer Komponente und BeStandskompo nente. Zweckmäßig besteht zwischen der Registrarkomponente und der Bestandsgerätekomponente ebenfalls eine Vertrauensbe ziehung, sodass die Registrarkomponente die Antwort der Be standskomponente mit dem Netzwerkzertifikat an die neue Kom ponente, bevorzugt wiederum nach Prüfung, übermittelt.
In einer vorteilhaften Weiterbildung des erfindungsgemäßen Verfahrens ist das Netzwerk ein Teil einer Anlage in Form ei ner Fertigungsanlage oder einer Bearbeitungsanlage oder eines Fahrzeugs oder einer Maschine. Gerade in solchen Anlagen sind Zero-Touch-Lösungen zur Integration von neuen Komponenten in ein Netzwerk besonders häufig gefordert und erlauben eine flexible und unaufwändige Verbindung einer Vielzahl von Kom ponenten des Netzwerks.
Bevorzugt ist bei dem erfindungsgemäßen Verfahren das Netz werk ein Internet-der-Dinge-Netzwerk. Gerade bei Internet- der-Dinge-Netzwerken stellt sich das Problem einer Integrati on neuer Komponenten regelmäßig. In diesem Fall bietet das erfindungsgemäße Verfahren zur Integration einer neuen Kompo nente in ein Netzwerk einen besonders großen Kostenvorteil.
Zweckmäßig sind bei dem erfindungsgemäßen Verfahren Geräte zertifikat und Bestandsgerätezertifikat und Netzwerkzertifi kate jeweils Zertifikate, die einen öffentlichen Schlüssel eines asymmetrischen kryptografisehen Schlüsselpaars aufwei sen. In dieser Weiterbildung des erfindungsgemäßen Verfahrens kann die Authentifizierung mittels Zertifikaten in an sich bekannter und etablierter Weise erfolgen.
Die erfindungsgemäße Registrarkomponente ist ausgebildet zur Ausführung eines erfindungsgemäßen Verfahrens zur Integration einer neuen Komponente in ein Netzwerk wie vorhergehend be schrieben . Die erfindungsgemäße Registrarkomponente ist ein gerichtet zur Integration einer neuen Komponente mit einem Gerätezertifikat einer Domäne mit einem Domänenwurzelzertifi kat in ein Netzwerk mit mindestens einer Bestandskomponente des Netzwerks, wobei die Bestandskomponente ein Bestandsgerä tezertifikat der Domäne aufweist, wobei die Registrarkompo- nente eingerichtet zum Empfang, und vorzugsweise auch zur Prüfung, einer mit dem Gerätezertifikat der Domäne signierten, d. h. einer mit einem zum Gerätezertifikat der Domäne gehörenden privaten Schlüssel signierten, Anfrage der neuen Komponente und zur Ermittlung der Bestandskomponente mit dem Bestandsgerätezertifikat sowie zur Übermittlung der Anfrage der Komponente an die Bestandskomponente ist. Ferner ist die erfindungsgemäße Registrarkomponente zum Empfang, und vorzugsweise zudem zur Prüfung, einer mit dem Bestandsgerätezertifikat signierten, d. h. einer mit einem zum Bestandsgerätezertifikat gehörenden privaten Schlüssel signierten, und mit einem Netzwerkzertifikat, vorzugsweise dem WurzelZertifikat der neuen Domäne, versehenen Antwort der Bestandskomponente und zur Übermittlung der Antwort an die neue Komponente eingerichtet. Auf diese Weise ist die Registrarkomponente zur Ausführung aller Verfahrensschritte des erfindungsgemäßen Verfahrens ausgebildet.
Da die erfindungsgemäße Registrarkomponente zum Empfang einer mit dem Gerätezertifikat der Domäne signierten Anfrage der neuen Komponente und zur Ermittlung der Bestandskomponente mit dem Bestandsgerätezertifikat sowie zur Übermittlung der Anfrage der Komponente an die Bestandskomponente eingerichtet ist, kann mittels der erfindungsgemäßen Registrarkomponente zweckmäßig die Anfrage der neuen Komonente entgegengenommen werden, die Bestandskomponente ermittelt werden und der Bestandskomponente die Anfrage übermittelt werden. Es können also vorteilhaft die entsprechenden Verfahrensschritte des erfindungsgemäßen Verfahrens mit der erfindungsgegemäßen Registrarkomponente ausgeführt werden.
Da die erfindungsgemäße Registrarkomponente zudem zum Empfang einer mit dem Bestandsgerätezertifikat signierten und mit einem Netzwerkzertifikat versehenen Antwort der Bestandskomponente und zur Übermittlung der Antwort an die neue Komponente eingerichtet ist, kann mittels der erfindungsgemäßen Registrarkopmonente zweckmäßig eine mit dem Bestandsgerätezertifikat signierte und mit einem Netzwerkzertifikat versehene Antwort bereitgestellt werden, die der neuen Komponente übermittelt wird, und somit die neue Komponente in das Netzwerk integriert werden. Folglich lassen sich auch die übrigen entsprechenden Verfahrensschritte des erfindungsgemäßen Verfahrens vorteilhaft mit der erfindungsgemäßen Registrarkomponente ausführen.
In einer vorteilhaften Weiterbildung der Erfindung ist die Registrarkomponente ausgebildet, das Gerätezertifikat der neuen Komponente anhand des DomänenwurzelZertifikats zu veri fizieren.
Vorzugsweise ist die erfindungsgemäße Registrarkomponente ein Internet-der-Dinge-Gerät .
Die erfindungsgemäße Anlage weist ein Netzwerk, insbesondere ein Internet-der-Dinge-Netzwerk sowie eine erfindungsgemäße Registrarkomponente auf. Bei dem Netzwerk der erfindungsgemä ßen Anlage können folglich neue Komponenten besonders einfach integriert werden.
Nachfolgend wird die Erfindung anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert. Die ein zige Zeichnungsfigur 1 zeigt die Durchführung des erfindungs gemäßen Verfahrens mittels einer erfindungsgemäßen Registrar komponente einer erfindungsgemäßen Anlage mit einem Internet- der-Dinge-Netzwerk schematisch in einer Prinzipskizze.
Die erfindungsgemäße Anlage ANL weist ein Internet-der-Dinge- Netzwerk ISN und eine Registrarkomponente REG auf. Das Inter net-der-Dinge-Netzwerk ISN umfasst Internet-der-Dinge-Geräte, beispielsweise das dargestellte Internet-der-Dinge-Gerät BOONEI, welche mittels Ethernet miteinander verbunden sind und welche in der Lage sind, mit anderen, benachbarten Inter- net-der-Dinge-Geräten über dieses Ethernet zu kommunizieren. Eine neue Internet-der-Dinge-Komponente IOTCOM ist noch nicht Bestandteil des Internet-der-Dinge-Netzwerks ISN.
Die neue Internet-der-Dinge-Komponente IOTCOM ist hersteller seitig mit einem asymmetrischen kryptographischen Schlüssel paar versehen, wobei der öffentliche Schlüssel durch ein X.509-Zertifikat in die Vertrauensdomäne des Herstellers der Internet-der-Dinge-Komponente IOTCOM aufgenommen ist. Das heißt, die Internet-der-Dinge-Komponente IOTCOM weist ein Ge rätezertifikat einer Herstellerdomäne auf. Eine mittels eines privaten Schlüssels des asymmetrischen kryptografisehen Schlüsselpaars der Internet-der-Dinge-Komponente IOTCOM er folgte Signatur kann auf Basis einer Zertifikatskettenvali- dierung mittels eines WurzelZertifikats IDEVIDCA des Herstel lers der Internet-der-Dinge-Komponente IOTCOM geprüft werden.
Das WurzelZertifikat des Herstellers IDEVIDCA ist der Re gistrarkomponente REG bereits infolge einer zuvor in das In- ternet-der-Dinge-Netzwerk ISN integrierten BeStandskomponente in Form des Internet-der-Dinge-Geräts BOONEI bekannt. Die Re gistrarkomponente REG hält folglich das Wurzelzertifikat des Hersteller IDEVIDCA integritätsgeschützt in einem Speicher vor.
Die Registrarkomponente REG ist eine zentrale Verwaltungskom ponente des Internet-der-Dinge-Netzwerks ISN, ist aber im ge zeigten Ausführungsbeispiel nicht Teil des Internet-der- Dinge-Netzwerks ISN, kann aber in weiteren, nicht eigens dar gestellten Ausführungsbeispielen durchaus Teil des Internet- der-Dinge-Netzwerks ISN sein. Die Registrarkomponente REG verfügt über ein AnlagenwurzelZertifikat LDEVIDCA, welches als AnlagenwurzelZertifikat der Anlage ANL zugleich als Netz werkzertifikat des Internet-der-Dinge-Netzwerks ISN dient.
Die neue Komponente IOTCOM, welche noch nicht Bestandteil des Internet-der-Dinge-Netzwerks ISN ist, soll nun in das Inter net-der-Dinge-Netzwerk ISN integriert werden. Dazu initiali siert sich die neue Internet-der-Dinge-Komponente IOTCOM zu- nächst netzwerksspezifisch und schickt dann eine Imprint- Anfrage IMPREQ an die Registrarkomponente REG. Die Internet- der-Dinge-Komponente IOTCOM signiert ihre Imprint-Anfrage IMPREQ mit einem Endgerätezertifikat IDEVIDEE unter Heranzie hung eines privaten Schlüssels des kryptografischen Schlüs selpaars der Internet-der-Dinge-Komponente IOTCOM . Die Re gistrarkomponente REG prüft die Imprint-Anfrage IMPREQ anhand der Zertifikatskette und unter Rückgriff auf ihr bekannte Plandaten des Internet-der-Dinge-Netzwerks ISN der Anlage ANL, in welches die neue Internet-der-Dinge-Komponente IOTCOM integriert werden möchte. Die Prüfung anhand der Zertifikats kette ist der Registrarkomponente REG dadurch möglich, dass sie das zum Endgerätezertifikat IDEVIDEE zugehörige Wurzel zertifikat des Geräteherstellers IDEVIDCA bereits kennt. An hand des Gerätezertifikats IDEVIDEE ermittelt die Registrar komponente REG das WurzelZertifikat IDEVIDCA und ermittelt im Internet-der-Dinge-Netzwerk ISN das enige Internet-der-Dinge- Gerät BOONEI, welches ein Bestandsgerätezertifikat aufweist, welches auf dasselbe WurzelZertifikat IDEVIDCA des Geräteher stellers verweist wie das Gerätezertifikat IDEVIDEE der In ternet-der-Dinge-Komponente IOTCOM . Die Registrarkomponente REG ermittelt folglich das Internet-der-Dinge-Gerät BOONEI als Bestandkomponente derselben Herstellerdomäne mittels des ErmittlungsVorgangs CHESEA und übermittelt dem Internet-der- Dinge-Gerät BOONEI die Imprint-Anfrage IMPREQ der Internet- der-Dinge-Komponente IOTCOM . Der Ermittlungsvorgang CHESEA ist der Registrarkomponente REG leicht möglich, da die Re gistrarkomponente REG eine zentrale Verwaltungskomponente des Internet-der-Dinge-Netzwerks ISN bildet und die Bestandsgerä tezertifikate von Internet-der-Dinge-Geräten des Internet- der-Dinge-Netzwerks ISN detailliert kennt. Die Weiterleitung der Imprint-Anfrage IMPREQ erfolgt durch eine zwischen dem Internet-der-Dinge-Gerät BOONEI und der Registrarkomponente REG etablierte Sicherheitsbeziehung, etwa auf Basis der anla genspezifischen Schlüssel und Zertifikate, die kryptogra- phisch geschützt ist. Die Registrarkomponente REG fordert das Internet-der-Dinge-Gerät BOONEI auf, eine Imprint-Antwort IMPRES zu erstellen und zu signieren. Das Internet-der-Dinge- Gerät BOONEI erstellt die Imprint-Antwort IMPRES und signiert die Imprint-Antwort IMPRES mit seinem BestandsgeräteZertifi kat IDEVIDEE gehörenden privaten Schlüssel. Das Internet-der- Dinge-Gerät BOONEI integriert in die Imprint-Antwort IMPRES das durch dieses Internet-der-Dinge-Gerät BOONEI integritäts geschützt gespeicherte und vorher vertrauenswürdig übermit telte anlagenspezifische WurzelZertifikat LDEVIDCA. Das In- ternet-der-Dinge-Gerät BOONEI übermittelt seine Imprint- Antwort IMPRES an die Registrarkomponente REG innerhalb der etablierten Sicherheitsbeziehung. Die Registrarkomponente REG prüft die Imprint-Antwort IMPRES im Bedarfsfall und sendet die Imprint-Antwort IMPRES als Teil einer neuen Imprint- Antwort an die Internet-der-Dinge-Komponente IOTCOM.
Die Internet-der-Dinge-Komponente IOTCOM kann die Imprint- Antwort IMPRES anhand einer Zertifikatskettenvalidierung un ter Nutzung des eigenen WurzelZertifikats IDEVIDCA des Gerä teherstellers mit einem Prüfschritt CHE prüfen. Da das Inter- net-der-Dinge-Gerät BOONEI in der gleichen Herstellerdomäne des Geräteherstellers befindlich ist, gelingt die Signatur prüfung durch die Internet-der-Dinge-Komponente IOTCOM und das in der Nachricht enthaltene Anlagenzertifikat LDEVIDCA wird von der neuen Internet-der-Dinge-Komponente IOTCOM als vertrauenswürdig anerkannt und in einem integritätsgeschütz ten Speicher abgelegt.
Die neue Internet-der-Dinge-Komponente IOTCOM kann nach dem vertrauenswürdig empfangenen WurzelZertifikat LDEVIDCA dieses anlagenspezifische WurzelZertifikat nutzen, um eine neue Si cherheitsbeZiehung zur Registrarkomponente REG aufzubauen. Innerhalb einer solchen neuen Sicherheitsbeziehung zur Re gistrarkomponente REG kann etwa ein anlagenspezifisches Gerä tezertifikat LDEVIDEE für die neue Internet-der-Dinge- Komponente IOTCOM ausgerollt werden.
Zwischen der Imprint-Anfrage IMPREQ und der Imprint-Antwort IMPRES akzeptiert die neue Internet-der-Dinge-Komponente IOTCOM keine andere Nachricht. Für den Fall, dass die Registrarkomponente REG keine Be standskomponente mit einem Bestandskomponentenzertifikat der Herstellerdomäne findet, also die neue Internet-der-Dinge- Komponente IOTCOM nicht durch Bestandskomponenten des Inter net-der-Dinge-Netzwerks ISN als vertrauenswürdig authentifi ziert und verifiziert werden kann, findet eine Ausnahmeproze dur statt. In dieser Ausnahmeprozedur können anlagenspezifi sche WurzelZertifikate LDEVIDCA nach eventuell hündischer Prüfung von IOTCOM in einer organisatorisch geschützten Umge bung eingebracht werden.
In einem weiteren, nicht eigens dargestellten Ausführungsbei spiel ist es möglich, dass die Kommunikationsbeziehung zwi schen der neuen Internet-der-Dinge-Komponente IOTCOM und der Registrarkomponente REG, die für die Imprint-Anfrage IMPREQ genutzt wird, vorläufig als vertrauenswürdig akzeptiert wird. Innerhalb einer solchen vorläufigen Vertrauensbeziehung ak zeptiert die neue Internet-der-Dinge-Komponente IOTCOM eine beidseitig authentifizierte Kommunikation, welche aufgrund eines fehlenden WurzelZertifikats LDEVIDCA auf Seiten der neuen Internet-der-Dinge-Komponente IOTCOM nicht endgültig validiert werden kann, zunächst nur vorläufig und entscheidet nach Abarbeitung der Imprint-Antwort IMPRES, ob diese Sicher- heitsbeZiehung weiterhin aufrechterhalten wird oder aber zu rückgerollt werden muss. Für diese Entscheidung wird das in der Imprint-Antwort IMPRES enthaltene anlagenspezifische Wur zelzertifikat LDEVIDCA herangezogen. In dieser Weiterbildung der Erfindung kann der neuen Internet-der-Dinge-Komponente IOTCOM keine alte oder nicht von der eigentlichen Registrar komponente REG übermittelte Imprint-Antwort IMPRES unterge schoben werden. In weiteren, nicht eigens dargestellten Aus- führungsbeispielen, werden in den verschiedenen Imprint- Anfragen IMPREQ und in der Imprint-Antwort IMPRES Nonces ver wendet, um jeweils einzigartige Imprint-Anfragen und Imprint- Antworten zu erreichen.

Claims

Patentansprüche
1. Verfahren zur Integration einer neuen Komponente
(IOTCOM) in ein Netzwerk (ISN), wobei eine neue Komponente (IOTCOM) mit einem Gerätezertifikat (IDEVIDEE) einer Domäne mit einem DomänenwurzelZertifikat (IDEVIDCA) sowie ein Netz werk mit mindestens einer Bestandskomponente (BOONEI), die ein Bestandsgerätezertifikat der Domäne aufweist, herangezo gen werden und bei welchem eine mit dem Gerätezertifikat (IDEVIDEE) der Domäne signierte Anfrage (IMPREQ) der neuen Komponente (IOTCOM) entgegengenommen wird und die Bestandskomponente (BOONEI) mit dem Bestandsgerätezertifikat ermittelt wird und die Anfrage (IOMPREQ) an die Bestandskom ponente (BOONEI) übermittelt wird, wobei das Gerätezertifikat (IDEVIDEE) anhand des DomänenwurzelZertifikats (IDEVIDCA) der Domäne verifiziert wird und wobei mittels der Bestandskomponente (BOONEI) eine mit dem Bestandsgerätezertifikat signierte und mit einem Netzwerkzertifikat (LDEVIDCA) versehene Antwort (IMPRES) bereitgestellt oder von der Bestandskomponente (BOONEI) eine mit dem Bestandsgerätezertifikat signierte und mit einem Netzwerkzertifikat (LDEVIDCA) versehene Antwort (IMPRES) erhalten wird, die der neuen Komponente (IOTCOM) übermittelt wird und die neue Komponente (IOTCOM) mittels des Netzwerkzertifikats (LDEVIDCA) in das Netzwerk (ISN) integriert wird.
2. Verfahren nach dem vorhergehenden Anspruch, bei welchem das Netzwerkzertifikat (LDEVIDCA) ein WurzelZertifikat des Netzwerks (ISN) ist.
3. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem das DomänenwurzelZertifikat ein Wurzelzertifikat des Gerätezertifikats (IDEVIDEE) und des BestandsgeräteZertifi kats ist.
4. Verfahren nach einem der vorhergehenden Ansprüche, welches mittels einer Registrarkomponente (REG) ausgeführt wird.
5. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem die Registrarkomponente (REG) nicht Teil des Netz werks (ISN) ist un3 vorzugsweise zur Kommunikation mit Kompo nenten des Netzwerks (ISN) ausgebildet und eingerichtet ist.
6. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem die Registrarkomponente (REG) eine Vertrauensbezie hung mit der Bestandkomponente (BOONEI) unterhält.
7. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem das Netzwerk (ISN) ein Teil einer Anlage (ANL) in Form einer Fertigungsanlage oder einer Bearbeitungsanlage oder eines Fahrzeugs oder einer Maschine ist.
8. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem das Netzwerk (ISN) ein Internet-der-Dinge-Netzwerk ist.
9. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem Gerätezertifikat (IDEVIDEE) und BestandsgeräteZerti fikat und Netzwerkzertifikat (LDEVIDCA) jeweils Zertifikate sind, die einen öffentlichen Schlüsselteil eines asymmetri schen kryptographischen Schlüsselpaares aufweisen.
10. Registrarkomponente, ausgebildet zur Ausführung eines Verfahrens nach einem der vorhergehenden Ansprüche, und eingerichtet zur Integration einer neuen Komponente (IOTCOM) mit einem Gerätezertifikat (IDEVIDEE) einer Domäne mit einem DomänenwurzelZertifikat (IDEVIDCA) in ein Netzwerk (ISN) mit mindestens einer Bestandskomponente (BOONEI) mit einem Bestandsgerätezertifikat der Domäne, welche, insbesondere zur Ausführung von Verfahrensschritten des Verfahrens, zum Empfang einer mit dem Gerätezertifikat (IDEVIDEE) der Domäne signierten Anfrage (IMPREQ) der Komponente (IOTCOM) und zur Ermittlung der Bestandskomponente (BOONEI) mit dem Bestandsgerätezertifikat sowie zur Übermittlung der Anfrage (IMPREQ) der Komponente (IOTCOM) an die Bestandskomponente (BOONEI) eingerichtet ist, und welche zum Empfang einer mit dem Bestandsgerätezertifikat signierten und mit einem Netzwerkzertifikat (LDEVIDCA) versehenen Antwort der Bestandkomponente (BOONEI) und zur Übermittlung der Antwort an die neue Komponente (IOTCOM) eingerichtet ist.
11. Registrarkomponente nach dem vorhergehenden Anspruch, welche ausgebildet ist, das Gerätezertifikat (IDVIDEE) der neuen Komponente (IOTCOM) anhand des DomänenwurzelZertifikats (IDEVIDCA) zu verifizieren.
12. Registrarkomponente nach einem der vorhergehenden Ansprü che, welche ein Internet-der-Dinge-Gerät ist.
13. Anlage mit einem Netzwerk (ISN), insbesondere einem In ternet-der-Dinge-Netzwerk, und mit einer Registrarkomponente (REG) nach dem vorhergehenden Anspruch.
EP22728536.8A 2021-05-31 2022-05-10 Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage Pending EP4320819A1 (de)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102021205549.4A DE102021205549A1 (de) 2021-05-31 2021-05-31 Verfahren zur Integration einer neuen Komponente in ein Netzwerk, Registrarkomponente und Anlage
EP21198331.7A EP4099616A1 (de) 2021-05-31 2021-09-22 Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage
PCT/EP2022/062647 WO2022253530A1 (de) 2021-05-31 2022-05-10 Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage

Publications (1)

Publication Number Publication Date
EP4320819A1 true EP4320819A1 (de) 2024-02-14

Family

ID=81975203

Family Applications (1)

Application Number Title Priority Date Filing Date
EP22728536.8A Pending EP4320819A1 (de) 2021-05-31 2022-05-10 Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage

Country Status (3)

Country Link
US (1) US20240267236A1 (de)
EP (1) EP4320819A1 (de)
WO (1) WO2022253530A1 (de)

Also Published As

Publication number Publication date
WO2022253530A1 (de) 2022-12-08
US20240267236A1 (en) 2024-08-08

Similar Documents

Publication Publication Date Title
EP3157281B1 (de) Verfahren zur geschützten kommunikation eines fahrzeugs
EP3649768B1 (de) Verfahren zum sicheren ersetzen eines bereits in ein gerät eingebrachten ersten herstellerzertifikats
DE60119857T2 (de) Verfahren und Vorrichtung zur Ausführung von gesicherten Transaktionen
EP3605253B1 (de) Automatisierte public key infrastructure initialisierung
DE102016215917A1 (de) Gesichertes Verarbeiten einer Berechtigungsnachweisanfrage
EP3417395B1 (de) Nachweisen einer authentizität eines gerätes mithilfe eines berechtigungsnachweises
WO2022028975A1 (de) System und verfahren zum verifizieren von komponenten eines industriellen kontrollsystems
DE102016224537A1 (de) Masterblockchain
EP4193567B1 (de) Verfahren zur sicheren ausstattung eines fahrzeugs mit einem individuellen zertifikat
EP3226464B1 (de) Datenstruktur zur verwendung als positivliste in einem gerät, verfahren zur aktualisierung einer positivliste und gerät
DE102013203101A1 (de) Erweitern der Attribute einer Credentialanforderung
EP3681102A1 (de) Verfahren zur validierung eines digitalen nutzerzertifikats
EP3422274A1 (de) Verfahren zur konfiguration oder änderung einer konfiguration eines bezahlterminals und/oder zur zuordnung eines bezahlterminals zu einem betreiber
EP2548358B1 (de) Verfahren zur dynamischen autorisierung eines mobilen kommunikationsgerätes
DE102018102608A1 (de) Verfahren zur Benutzerverwaltung eines Feldgeräts
EP1126655A1 (de) Verfahren zur Authentizitätssicherung von Hard- und Software in einem vernetzten System
EP3734478A1 (de) Verfahren zur vergabe von zertifikaten, leitsystem, verwendung eines solchen, technische anlage, anlagenkomponente und verwendung eines identitätsproviders
EP4320819A1 (de) Verfahren zur integration einer neuen komponente in ein netzwerk, registrarkomponente und anlage
EP2816777B1 (de) Rechnernetz, Netzknoten und Verfahren zur Bereitstellung von Zertifizierungsinformationen
EP2449494A1 (de) Vorrichtungen und verfahren zum erstellen und validieren eines digitalen zertifikats
DE102021205549A1 (de) Verfahren zur Integration einer neuen Komponente in ein Netzwerk, Registrarkomponente und Anlage
DE102018132979A1 (de) Abgesichertes und intelligentes Betreiben einer Ladeinfrastruktur
EP3881486B1 (de) Verfahren zur bereitstellung eines herkunftsortnachweises für ein digitales schlüsselpaar
DE102015208176A1 (de) Gerät und Verfahren zur Autorisierung eines privaten kryptographischen Schlüssels in einem Gerät
EP3899766A1 (de) Aufbauen einer geschützten datenkommunikationsverbindung zwischen einer steuerung einer personentransportanlage und einem mobilgerät

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20231110

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)