ES2717230T3 - Control remoto de instalaciones seguras - Google Patents

Control remoto de instalaciones seguras Download PDF

Info

Publication number
ES2717230T3
ES2717230T3 ES13182696T ES13182696T ES2717230T3 ES 2717230 T3 ES2717230 T3 ES 2717230T3 ES 13182696 T ES13182696 T ES 13182696T ES 13182696 T ES13182696 T ES 13182696T ES 2717230 T3 ES2717230 T3 ES 2717230T3
Authority
ES
Spain
Prior art keywords
hardware
commands
allowed
logic
protected
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES13182696T
Other languages
English (en)
Inventor
Lior Frenkel
Andrew Ginter
Tomer Maor
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Waterfall Security Solutions Ltd
Original Assignee
Waterfall Security Solutions Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Waterfall Security Solutions Ltd filed Critical Waterfall Security Solutions Ltd
Application granted granted Critical
Publication of ES2717230T3 publication Critical patent/ES2717230T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/25—Integrating or interfacing systems involving database management systems
    • G06F16/258—Data format conversion from or to a database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Databases & Information Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Description

DESCRIPCIÓN
Control remoto de instalaciones seguras
La presente invención está relacionada de manera general con comunicaciones y control digitales y en concreto con sistemas y métodos para comunicaciones seguras.
En una red informática que maneja datos sensibles, partes de la red pueden estar conectadas mediante enlaces de datos unidireccionales. El término “enlace unidireccional” se utiliza en el contexto de la presente solicitud de patente y en las reivindicaciones para hacer referencia a un enlace de comunicación que está configurado físicamente para transportar señales en una dirección y para ser incapaz de transportar señales en la dirección contraria. Se pueden implementar enlaces unidireccionales, por ejemplo, utilizando sistemas Waterfall®, los cuales son fabricados por Waterfall Security Solutions, Ltd. (Rosh HaAyin, Israel). El sistema Waterfall proporciona una conexión unidireccional física basada en comunicación por fibra óptica, utilizando un protocolo de transferencia propietario subyacente. Cuando un ordenador transmisor está conectado mediante un sistema Waterfall (u otro enlace unidireccional) a un ordenador receptor, el ordenador receptor puede recibir datos procedentes del ordenador transmisor, pero no tiene ningún medio físico de enviar ninguna comunicación de retorno al ordenador transmisor.
Los enlaces unidireccionales se pueden utilizar para impedir que entren o salgan datos de una instalación protegida. Por ejemplo, datos confidenciales a los que no se debe acceder desde sitios externos pueden estar almacenados en un ordenador que está configurado para recibir datos a través de un enlace unidireccional y no tiene ningún enlace saliente físico a través del cual se podrían transmitir datos a un sitio externo. Por otro lado, en algunas aplicaciones, el operador de la instalación protegida puede estar preparado para permitir que salgan datos de la instalación libremente a través de un enlace unidireccional, impidiendo al mismo tiempo que entren datos en la instalación a fin de detener a los piratas informáticos y a los ciberterroristas.
En esta última categoría, por ejemplo, la Patente de EE.UU. 7.649.452 describe protección de redes de control utilizando un enlace unidireccional. Como se describe en esta patente, un método para monitorizar un proceso incluye recibir una señal procedente de un sensor que es indicativa de un atributo físico asociado con el proceso y transmitir datos indicativos de la señal recibida a través de un enlace unidireccional. Los datos transmitidos recibidos desde el enlace unidireccional se utilizan en la monitorización del proceso. El método se describe en la patente concretamente en el contexto de sistemas de Control de Supervisión y Adquisición de Datos (SCADA, del inglés Supervisory Control And Data Acquisition). Un sistema SCADA recibe datos de monitorización procedentes de la instalación monitorizada a través de un enlace unidireccional. El sistema SCADA es incapaz de transmitir ningún tipo de datos de vuelta a la instalación monitorizada (aunque para este fin se puede proporcionar una conexión independiente, en bucle abierto), y por lo tanto no se puede utilizar como base para un ataque a la instalación. El documento WO-A-2009/053990 describe un aparato de detección que incluye una cámara de red, la cual está configurada para capturar imágenes de una escena y proporcionar como salida una secuencia de paquetes de datos que contienen datos de video digitalizados en respuesta a las imágenes. Un enlace unidireccional está acoplado a la cámara de red para transmitir los paquetes de datos desde la cámara de red hasta una red de comunicación de paquetes.
Realizaciones de la presente invención que se describen más adelante en esta memoria proporcionan aparatos y métodos para controlar de forma automática entradas a un destino protegido. Por lo tanto se proporciona, en conformidad con un aspecto de la presente invención, un aparato de comunicación y un método para comunicación como se expone en las reivindicaciones independientes. Las realizaciones preferidas se establecen en las reivindicaciones dependientes.
En una realización, el aparato de comunicación incluye un relé de datos unidireccional, accionado por hardware, que incluye una primera interfaz hardware configurada para recibir una orden procedente de una red de comunicaciones y una segunda interfaz hardware configurada para transportar la orden recibida hasta un destino protegido cuando se acciona el relé. Un decodificador incluye una tercera interfaz hardware configurada para recibir una firma digital para la orden procedente de la red de comunicaciones y lógica de decodificación hardware acoplada para verificar la firma digital y para accionar el relé tras verificar la firma digital, por lo cual la orden es transportada a través de la segunda interfaz hardware hasta el destino protegido.
En una realización, el aparato incluye un enlace unidireccional, el cual es diferente e independiente del relé unidireccional y está configurado para transportar datos de salida desde el destino protegido hasta la red de comunicaciones pero es físicamente incapaz de transportar datos de entrada desde la red de comunicaciones hasta el destino protegido.
En una realización descrita, el destino protegido es una estación de control de servicio público, y la orden está configurada para controlar una configuración operativa de la estación.
En algunas realizaciones, el aparato incluye una estación de transmisión, la cual incluye lógica de codificación hardware, la cual está configurada para generar la firma digital para la orden para identificar una fuente de la orden. Un procesador de comunicaciones está configurado para transmitir la firma digital a través de la red a la tercera interfaz hardware, y para enviar la orden a través de la red desde la fuente de la orden hasta la primera interfaz hardware. La lógica de codificación hardware puede estar contenida en una unidad de autenticación del usuario, la cual está configurada para autenticar una identidad de un usuario de la estación de transmisión antes de generar la firma digital.
En una realización descrita, el aparato incluye lógica hardware, la cual está acoplada entre las interfaces hardware primera y segunda para recibir la orden procedente de la primera interfaz, para comparar la orden recibida con un conjunto de máscaras hardware correspondientes a órdenes permitidas, y para pasar la orden recibida a la segunda interfaz sólo cuando la orden recibida coincide con una de las máscaras.
En una realización, el aparato de comunicación incluye una primera interfaz hardware configurada para recibir una orden procedente de una red de comunicaciones y una segunda interfaz hardware configurada para transportar la orden recibida hasta un destino protegido. Entre las interfaces primera y segunda está acoplada lógica hardware para recibir la orden procedente de la primera interfaz, para comparar la orden recibida con un conjunto de máscaras hardware correspondientes a órdenes permitidas, y para pasar la orden recibida a la segunda interfaz sólo cuando la señal recibida coincide con una de las máscaras.
En una realización descrita, las órdenes permitidas tienen un formato de datos predefinido de tal manera que cada orden permitida consiste en un nombre y un valor permitido asociado con el nombre. En una realización, el destino protegido es una estación de control de servicio público, y el aparato incluye un monitor, el cual está acoplado para recibir la orden recibida de la segunda interfaz y para decodificar la orden recibida a partir del formato de datos predefinido a un protocolo de comunicaciones entre centros de control para entrada a la estación de control de servicio público. El aparato puede incluir una estación de transmisión, la cual está configurada para recibir una entrada en conformidad con el protocolo de comunicaciones entre centros de control desde una fuente de órdenes y para codificar la entrada en conformidad con el formato de datos predefinido para transmisión a través de la red a la primera interfaz.
En una realización, el método para comunicación incluye acoplar un relé accionado por hardware, unidireccional, para recibir una orden procedente de una red de comunicaciones y transportar la orden recibida hasta un destino protegido cuando se acciona el relé. Se recibe una firma digital procedente de la red de comunicaciones y se verifica utilizando lógica de decodificación hardware. Tras verificar la firma digital, se acciona el relé, con lo cual la orden es transportada hasta el destino protegido.
En una realización adicional, el método para comunicación incluye recibir una orden dirigida a un destino protegido procedente de una red de comunicaciones. La orden recibida se compara con un conjunto de máscaras hardware correspondientes a ordenes permitidas. La orden recibida se pasa al destino protegido sólo cuando la orden recibida coincide con una de las máscaras hardware.
La presente invención se entenderá más totalmente a partir de la siguiente descripción detallada de las realizaciones de la misma, tomada junto con los dibujos, en los cuales:
Breve descripción de los dibujos
La Figura 1 es un diagrama de bloques que ilustra de forma esquemática un sistema para monitorización y control seguros, en conformidad con una realización de la presente invención;
La Figura 2 es un diagrama de bloques que muestra de forma esquemática elementos funcionales de un sistema para control seguro de un destino protegido, en conformidad con una realización de la presente invención;
La Figura 3 es un diagrama de bloques que muestra de forma esquemática elementos funcionales de un sistema para control seguro de un destino protegido, en conformidad con otra realización de la presente invención;
La Figura 4 es un diagrama de bloques que muestra detalles de un controlador de enlace ascendente seguro, en conformidad con una realización de la presente invención; y
La Figura 5 es un diagrama de bloques que ilustra de forma esquemática un sistema de comunicación seguro basado en proxy, en conformidad con una realización de la presente invención;
Descripción detallada de realizaciones
A diferencia de los cortafuegos convencionales, los enlaces unidireccionales permiten que la información salga de una instalación protegida sin riesgo para la seguridad o disponibilidad de la red existente en la instalación debido a ataques que se originen en una red externa. En la práctica, sin embargo, existe a veces una necesidad de transmitir al menos pequeñas cantidades de información desde una red externa de vuelta al interior de la instalación protegida. Existen varios riesgos asociados con estas comunicaciones. Un riesgo es que si de alguna manera se ha introducido software malicioso en la red protegida (posiblemente por colaboración de un infiltrado), las comunicaciones que vuelven al interior de la red protegida se podrían utilizar para desencadenar un ataque. Por ejemplo, el software malicioso podría hacer que un ordenador de dentro de la instalación reconociera una cierta cadena enviada de vuelta al interior de la red protegida como una orden para iniciar alguna acción dañina. Otro riesgo es que un atacante podría utilizar el canal de comunicaciones hacia el interior de la instalación para provocar condiciones inseguras o poco fiables en la red protegida, por medio de un ataque de desbordamiento de búfer, por ejemplo. Un ataque de este tipo se podría utilizar entonces para introducir software malicioso de control remoto en el interior de la red protegida, y proporcionar a un atacante los medios para explorar y sabotear de manera interactiva la red protegida.
Realizaciones de la presente invención que se describen más adelante en esta memoria tratan estos riesgos permitiendo un flujo controlado de pequeñas cantidades de información hacia el interior de una red protegida. El flujo se controla automáticamente de modo que ataques basados en software sobre equipo protegido resultan difíciles o imposibles de llevar a cabo, incluso si partes de la propia orden y del propio sistema de comunicaciones resultan comprometidos. A diferencia de los cortafuegos convencionales, el control es llevado a cabo por lógica hardware, en lugar de software. Por consiguiente, los atacantes remotos son incapaces de modificar la configuración operativa de la lógica de protección o hacer que realice cualquier función diferente a las programadas inicialmente por el diseñador de la lógica. En las realizaciones descritas, la lógica hardware está configurada para controlar el formato y contenido de órdenes que se pueden enviar a un destino protegido. La lógica hardware también puede autenticar estas órdenes para garantizar que fueron producidas por un transmisor autorizado. Como resultado, comprometiendo a un transmisor autorizado, un atacante puede, en el peor de los casos, ser capaz de enviar una orden incorrecta al destino, pero no podrá obtener control sobre la instalación protegida.
Algunas realizaciones de la presente invención utilizan el concepto de un relé - hardware de datos que recibe y almacena un conjunto de órdenes de entrada digitales que son enviadas desde un conjunto de interfaces hardware de fuente y que están dirigidas a hardware informático de destino, una o más redes o una o más CPUs. Cuando se dispara el relé, las entradas son transferidas a las salidas del relé de datos y por tanto se ponen a disposición de interfaces hardware de destino del hardware informático de destino, de las una o más CPUs o de las una o más redes. Un componente hardware de autenticación opcional, tal como un decodificador de firma digital, puede estar configurado para disparar el relé de datos cuando se encuentra que la información de autenticación, tal como una firma digital, coincide con las órdenes de entrada digitales en el área de almacenamiento del relé de datos. Un componente de hardware de filtrado opcional, el cual puede ser parte del relé de datos, permite movimiento de las órdenes desde las interfaces de entrada hasta interfaces de salida si y sólo si las órdenes coinciden con una máscara hardware o lista blanca de órdenes permitidas.
Como se ha indicado anteriormente, los relés de datos de este tipo pueden ser particularmente útiles en conjunto con enlaces unidireccionales, por ejemplo en situaciones en las que se permite que fluya libremente información fuera de una instalación a través de un enlace unidireccional, mientras que el flujo de órdenes hacia el interior de la instalación está estrictamente controlado. Sin embargo, Los principios de tales relés de datos y proxies de comunicación segura que se describen en esta memoria, no están limitados de ninguna manera a este tipo de entorno operativo y se pueden utilizar con o sin un enlace unidireccional, dependiendo de requisitos del sistema y de la aplicación.
La Figura 1 es un diagrama de bloques que ilustra de forma esquemática un sistema 20 para monitorización y control seguros en conformidad con una realización de la presente invención. En este ejemplo, se utiliza un sistema 20 para monitorizar y controlar un sistema de control industrial en una estación 22 de control de servicio público, tal como por ejemplo una estación de transmisión y conmutación de una instalación de energía eléctrica. Aunque para mayor simplicidad, en la Figura 1 sólo se muestra una única estación 22, en la práctica los servicios públicos generalmente operan muchas estaciones de este tipo. La estación 22 comprende típicamente elementos operacionales, tales como interruptores 24, los cuales cierran y abren conexiones de alimentación. En muchos sistemas reales, las estaciones 22 son no atendidas, y los interruptores 24 son controlados de manera remota por estaciones de transmisión de órdenes, tales como un terminal 32 de control, por ejemplo.
Aunque el ejemplo representado está relacionado, a modo de ilustración, con una instalación de energía eléctrica, los principios de la presente invención no están limitados a este contexto operativo concreto. En lugar de esto, el aparato y los métodos que se describen más adelante se pueden aplicar a instalaciones de otros tipos (tales como instalaciones de gas o de agua, por ejemplo), así como en entornos industriales y substancialmente cualquier otra aplicación en la cual se deba ejercer un control estrecho sobre órdenes que se pueden proporcionar como entrada a un destino protegido. La estación 22 es sólo un ejemplo de un destino de este tipo, el cual se presenta aquí para mayor claridad de explicación. Algunas realizaciones de la presente invención se describen más adelante en esta memoria, para mayor claridad y sin limitación, con respecto a los elementos del sistema 20, pero los principios de estas realizaciones y las técnicas que ellas incorporan se pueden aplicar de manera similar en otros entornos operativos en los cuales se debe proteger un destino frente a entrada de datos no deseados y acceso no autorizado. La estación 22 está diseñada típicamente como una instalación cerrada, segura, protegida físicamente contra entradas no autorizadas. Un monitor 26 en la estación 22 proporciona como entradas órdenes a los interruptores 24 y monitoriza el funcionamiento de los interruptores y otros componentes de la estación.
Típicamente, el monitor 26 comprende múltiples sensores y actuadores, los cuales están distribuidos por toda la estación 22 y reportan a través de una red interna segura a un controlador (no mostrado), como se describe, por ejemplo, en la Patente de EE.UU. 7.649.452 mencionada anteriormente. El monitor 26 proporciona como salida datos recogidos de los sensores y actuadores a través de un enlace unidireccional 28 a una red 30, la cual transporta los datos hasta terminales 32. La red 30 puede comprender cualquier red conectada por cables o inalámbrica apropiada, o una combinación de redes de estos tipos, incluidas redes públicas, tales como la Internet.
El enlace unidireccional 28 transporta datos de salida desde la estación 22 hasta la red 30 pero es físicamente incapaz de transportar datos de entrada desde la red hasta la estación. Para este último propósito, la estación 22 comprende un controlador 34 de enlace ascendente, el cual típicamente tiene una interfaz acoplada a la red 30 y otra interfaz acoplada a los elementos protegidos de la estación. En este ejemplo, el controlador 34 proporciona como entrada órdenes al monitor 26, el cual a continuación acciona interruptores 24 para llevar a cabo las órdenes, El controlador 34 de enlace ascendente comprende lógica hardware, la cual autentica las órdenes que se proporcionan como entrada al monitor 26 y limita los tiempos, las cantidades, y/o el contenido de estas órdenes, como se describe con mayor detalle más adelante en esta memoria. El monitor 26 no recibe ninguna entrada procedente de la red 30 aparte de a través del controlador 34 de enlace ascendente, el cual está típicamente contenido en la estación 22 y por lo tanto está él mismo protegido frente a manipulación física y eléctrica.
Órdenes iniciadas por un operador del terminal 32 (o posiblemente iniciadas de manera autónoma por el propio terminal) son formateadas por un procesador 36, el cual típicamente comprende un procesador informático de propósito general que ejecuta software estándar. Las órdenes se pueden formular en conformidad con un protocolo estándar, tal como el protocolo de comunicaciones entre centros de control (ICCP), como es conocido en la técnica. Un codificador 38 seguro opera en conjunto con el procesador 36 para transmitir entradas al controlador 34 de enlace ascendente en la forma correcta, autenticada. Típicamente (aunque no necesariamente), el codificador 38 también comprende lógica hardware, para impedir que un atacante imite u obtenga control sobre las funciones de codificación. Sin embargo, incluso si un atacante obtiene control sobre el codificador 38, el daño que él o ella será capaz de hacer a la estación 22 estará generalmente limitado a la introducción de órdenes incorrectas (como por ejemplo configuraciones incorrectas de interruptores 24), ya que otras órdenes son bloqueadas por la lógica de protección en el controlador 34 de enlace ascendente.
La Figura 2 es un diagrama de bloques que muestra de forma esquemática elementos funcionales del sistema 20, en conformidad con una realización de la presente invención. En esta realización, el terminal 32 comprende una fuente 40 de órdenes, típicamente en forma de software que se ejecuta en el procesador 36, la cual genera una entrada de orden en un formato convencional (tal como ICCP) o cualquier formato propietario apropiado. Un codificador 42 hardware, el cual puede estar implementado en el codificador 38, codifica la entrada de orden en conformidad con un formato de datos predefinido que es soportado por el controlador 34 de enlace ascendente. Este formato define una sintaxis de órdenes permitidas, y puede especificar, por ejemplo, que cada orden permitida consiste en un nombre de parámetro y un valor asociado con el nombre. Los nombres y valores se seleccionan de listas limitadas, predefinidas, de nombres y valores permitidos. Entradas de orden procedentes de la fuente 40 que se pueden expresar de esta manera son aceptadas y codificadas por el codificador 42, mientras que órdenes que intentan invocar a otras funciones dentro de la estación 22, incluso si están compuestas legalmente en el formato de órdenes convencional, pueden ser rechazadas. Típicamente, el codificador 42 hardware está implementado en lógica conectada por cables o programable y no incluye ningún componente accionado por software, tal como una unidad central de proceso (CPU). El codificador hardware puede codificar las órdenes utilizando técnicas de encriptado fuerte y autenticación criptográfica, de modo que el controlador 34 de enlace ascendente puede distinguir órdenes procedentes de una fuente auténtica de otras órdenes y ataques.
Una interfaz 44 de comunicación del terminal 32 genera una corriente de comunicación que contiene la orden codificada para su transmisión a través de la red 30 hasta la estación. La interfaz 44 puede, por ejemplo, establecer una conexión segura (tal como una conexión encriptada de Seguridad de la Capa de Transporte [TLS, del inglés Transport Layer Security], como es conocida en la técnica) con una interfaz 46 de comunicación correspondiente de controlador 34 de enlace ascendente. Este tipo de medida de seguridad de datos convencionales añade una capa de protección adicional al funcionamiento de la lógica hardware dedicada.
La interfaz 46 de comunicación pasa órdenes que recibe a la lógica 48 de decodificación de hardware, la cual como el codificador 42 típicamente no contiene ninguna CPU u otros componentes accionados por software. Como el codificador 42, el decodificador 48 puede ser parte de una unidad 49 decodificadora hardware/software. La lógica 48 puede autenticar órdenes recibidas, y aceptar sólo órdenes auténticas. La lógica 48 decodifica órdenes aceptadas y compara cada una de estas órdenes con un conjunto de máscaras hardware predefinidas correspondientes a órdenes permitidas (tales como parejas permitidas de nombres y valores, como se ha descrito anteriormente). Las órdenes que coinciden con una de las máscaras se hacen pasar a través de un destino 50 de órdenes, tal como el monitor 26. Asumiendo que el monitor 26 comprende componentes estándar, la unidad 49 decodificadora puede decodificar estas órdenes devolviéndolas a un formato convencional, tal como ICCP, al cual están programados para responder estos componentes. El decodificador 48 rechaza órdenes que no coinciden con ninguna de las máscaras hardware predefinidas. Como resultado, sólo órdenes que invocan ciertas acciones permitidas, predefinidas, en la estación 22 alcanzarán el monitor 26, mientras que órdenes mal formadas o peligrosas que pudieran ser utilizadas para montar un ataque son bloqueadas. La Figura 3 es un diagrama de bloques que muestra de forma esquemática elementos funcionales del sistema 20, en conformidad con otra realización de la presente invención. Esta realización se puede utilizar junto con la realización de la Figura 2 o con independencia de ella, dependiendo de las necesidades de seguridad. En esta realización, el terminal 32 comprende una unidad 52 de autenticación hardware, la cual puede estar comprendida (funcionalmente y/o físicamente) en el codificador 38. La unidad 52 comprende lógica de codificación hardware, la cual genera una firma digital para identificar la fuente de las órdenes. La firma digital se puede generar, por ejemplo, utilizando métodos de encriptado asimétrico que son conocidos en la técnica, o utilizando cualquier otra técnica apropiada. El procesador 36 genera órdenes para la estación 22, y la interfaz 44 de comunicación transmite estas órdenes junto con la firma digital a través de la red 30 hasta la estación 22.
La unidad 52 de autenticación puede comprender una unidad enchufable de autenticación de usuario, la cual genera la firma digital sólo después de autenticar la identidad del operador del terminal 32 que está introduciendo las órdenes. Para este fin, la unidad 52 puede comprender, por ejemplo, una memoria segura con una clave secreta y circuitos de encriptado para generar la firma digital, como es conocido en la técnica. Para mayor seguridad, la unidad 52 puede comprender un teclado para introducción de una contraseña por parte del usuario y/o un dispositivo de identificación biométrico, tal como un lector de huellas dactilares. De forma adicional o alternativa, la unidad 52 puede incluir una marca temporal y/o un número de secuencia en las firmas que genera para desbaratar ataques repetitivos.
El controlador 34 de enlace ascendente tiene dos interfaces con la red 30: una interfaz 46 de comunicación, la cual recibe las firmas digitales generadas por la unidad 52 de autenticación, y una interfaz de entrada con un relé 56 accionado por hardware, unidireccional, que recibe las órdenes generadas por el procesador 36. Las dos interfaces pueden ser interfaces físicas diferentes o simplemente puertos diferentes en una única interfaz física. La interfaz 46 pasa las firmas digitales a un decodificador 54, que comprende lógica de decodificación hardware, el cual verifica la firma digital. Tras verificar que la firma es correcta y auténtica, el decodificador 54 acciona el relé 56, de modo que la orden enviada por el procesador 36 es transportada a través del relé hasta el monitor 26.
De esta manera, la orden proporcionada como entrada al monitor 26 está abierta sólo durante periodos de tiempo cortos, controlados. Todas las transmisiones fuera de estos periodos (procedentes del terminal 32 o de otras fuentes) son bloqueadas. Debido a que el decodificador 54 y el relé 56 están implementados en hardware, el cual está situado dentro del entorno protegido de la estación 22, es esencialmente imposible puentear su funcionalidad de bloqueo por medio de un ataque software. Los periodos de tiempo durante los cuales se acciona el relé 56 pueden ser cortos (típicamente menores de 10 segundos, y posiblemente menores de 1 segundo, por ejemplo), y la cantidad de datos que se permite que pasen cada vez que el relé se abre puede estar restringida a un cierto número de bytes. Por consiguiente, incluso si un atacante es capaz de obtener control de la unidad 52 de autenticación, su capacidad para interactuar a través del controlador 34 de enlace ascendente con otros elementos de la estación 22 seguirá siendo muy limitada. Las funciones de conmutación del decodificador 54 y del relé 56 se pueden combinar con la función de enmascaramiento de la realización de la Figura 2 para una seguridad todavía mayor.
La Figura 4 es un diagrama de bloques que muestra de forma esquemática detalles del controlador 34 de enlace ascendente, en conformidad con una realización de la presente invención. En esta implementación, el controlador de enlace ascendente comprende una parte 60 abierta y una parte 62 a prueba de manipulaciones, segura. La interfaz 46 de comunicación, la cual comprende un componente hardware apropiado tal como una interfaz Ethernet, recibe y pasa paquetes de datos entrantes procedentes de la red 30 a un microcontrolador 64 externo (no seguro), tal como una unidad de procesamiento ARM9 con una memoria 66 para su procesamiento inicial. El microcontrolador 64 pasa las firmas digitales a través de un enlace unidireccional a la lógica 54 de decodificación hardware. La lógica 54 puede comprender una matriz de puertas o chip ASIC, la cual está programada para decodificar y verificar las firmas digitales utilizando claves y otros datos secretos almacenados en una memoria 70 segura. Tras verificar con éxito una firma digital entrante, la lógica 54 envía una señal un microcontrolador 72 interno, seguro, el cual de manera similar puede comprender una unidad de procesamiento ARM9 con una memoria 74. El microcontrolador 72 da instrucciones a la lógica 56 de control del relé para que abra un relé de datos unidireccional desde una interfaz 76 de entrada, la cual está conectada a la red 30, hasta una interfaz 78 de salida, la cual está conectada al monitor 26. Como la interfaz 46, las interfaces 76 y 78 comprenden componentes hardware apropiadas, tales como interfaces Ethernet, aunque de forma similar también pueden estar soportados otros estándares de comunicación.
La Figura 5 es un diagrama de bloques que ilustra de forma esquemática un sistema 80 de comunicación seguro basado en proxy, en conformidad con otra realización de la presente invención. En este ejemplo, proxies 86 y 88 ICCP seguros soportan una sesión de comunicaciones seguras, punto a punto (“peer-to-peer’), entre un Sistema de Gestión de Energía (EMS, del inglés Energy Management System) 82 dentro de un centro de control y un Sistema de Control Distribuido (DCS, del inglés Distributed Control System) 84, el cual controla un generador eléctrico. Una conexión convencional entre el EMS 82 y el DCS 84 utilizaría ICCP a través de una red de comunicaciones dedicada, de confianza, o a través de una Red Privada Virtual (VPN, del inglés Virtual Private Network) que atraviesa una red no de confianza. La configuración ilustrada permite que tanto el EMS como el DCS mantengan este modelo de comunicación ICCP convencional. Los proxies 86 y 88 ICCP seguros convierten estas comunicaciones convencionales en un par de canales de órdenes seguros de una manera que es transparente al EMS y al DCS. Los proxies 86 y 88 transmiten información a través de la red 30 no de confianza, por ejemplo la Internet pública, sin riesgo de que un ataque procedente de la red comprometa al EMS o el DCS, o sin riesgo de que un ataque procedente de un EMS o un DCS comprometido que se propaga a través de la conexión ICCP ponga en compromiso el punto DCS o EMS.
En la realización de la Figura 5, cada proxy 86, 88 ICCP seguro es tanto una fuente como un destino de un canal de órdenes seguro. En el proxy 86 ICCp seguro, por ejemplo, un procesador 90 de proxy ICCP recibe órdenes enviadas por el EMS 82, y las convierte en el tipo seguro de sintaxis nombre:valor descrito anteriormente. Un codificador 92 de fuente codifica las órdenes convertidas, típicamente utilizando lógica de codificación implementada en hardware como se ha descrito anteriormente, y un procesador 94 de comunicaciones envía de esta forma las órdenes de manera segura a través de la red 30 hasta el procesador de comunicaciones del proxy 88. Un decodificador 96 de destino existente en el proxy 88 decodifica las órdenes, típicamente utilizando lógica de decodificación implementada en hardware, y el procesador 90 de proxy ICCP del proxy 88 las convierte de vuelta al formato ICCP estándar para envío al DCS 84, como si el EMS las hubiera comunicado directamente al DCS.
De forma similar, el proxy 88 ICCP seguro recibe informes de datos ICCP procedentes del DCS 84 y convierte y codifica los informes para su transmisión al proxy 86. El proxy 86 decodifica y convierte los datos de vuelta al formato ICCP y pasa los datos al EMS 82, como si el DCS hubiera comunicado los informes directamente al EMS utilizando ICCP.
La configuración mostrada en la Figura 5 se puede adaptar de forma similar para su uso en otros escenarios de comunicación y con otros protocolos. Por ejemplo, este mismo tipo de configuración puede proteger comunicaciones EMS-a-subestación utilizando el Protocolo de Red Distribuida DNP3, substituyendo DNP3 por ICCP en la descripción anterior y sustituyendo una unidad terminal remota (RTU, del inglés Remote Terminal Unit) de la subestación por el dCs . Otras aplicaciones resultarán evidentes para las personas con experiencia en la técnica y se considera que están dentro del alcance de las reivindicaciones adjuntas.
De esta manera se apreciará que las realizaciones descritas anteriormente se citan a modo de ejemplo, y que la presente invención no está limitada a lo que se ha mostrado y descrito particularmente anteriormente en esta memoria. Más bien, el alcance de las reivindicaciones adjuntas incluye tanto combinaciones como subcombinaciones de los diferentes rasgos descritos anteriormente en esta memoria, así como variaciones y modificaciones de los mismos que se le ocurrirían a personas con experiencia en la técnica tras la lectura de la descripción anterior y que no se describen en la técnica anterior. El alcance de la invención está definido sólo por las reivindicaciones adjuntas. Las realizaciones que no caen dentro del alcance de las reivindicaciones se deben considerar ejemplos.

Claims (15)

REIVINDICACIONES
1. Aparato de comunicación, que comprende:
una estación (32) de transmisión que comprende:
un procesador (36) que ejecuta software que genera órdenes en un formato de orden predeterminado, en respuesta a entrada procedente de un usuario;
lógica (38) de codificación hardware configurada para recibir órdenes en el formato de orden predeterminado procedentes del software que se ejecuta en el procesador (36), para convertir las órdenes recibidas en un formato de datos convertidos predefinido de órdenes permitidas que incluye sólo un subconjunto limitado de las órdenes en el formato de orden predeterminado; y
un procesador (36) de comunicaciones configurado para transmitir las órdenes convertidas a través de una red (30) de comunicaciones; y
un controlador (34) de enlace ascendente, que comprende:
una primera interfaz (46) hardware configurada para recibir órdenes procedentes de la estación (32) de transmisión a través de la red (30) de comunicaciones;
una segunda interfaz hardware configurada para transportar las órdenes recibidas hasta un destino (50) protegido; y
lógica (48) hardware, la cual está acoplada entre las interfaces primera y segunda para recibir órdenes procedentes de la primera interfaz, para comparar las órdenes recibidas con un conjunto de máscaras hardware correspondientes a órdenes permitidas para comprobar que las órdenes están en el formato de datos predefinido, y para pasar a la segunda interfaz sólo órdenes recibidas que coinciden con una de las máscaras.
2. El aparato de acuerdo con la reivindicación 1, y que comprende un enlace unidireccional configurado para transportar datos de salida desde el destino protegido hasta la red de comunicaciones pero es físicamente incapaz de transportar datos de entrada desde la red de comunicaciones hasta el destino protegido.
3. El aparato de acuerdo con la reivindicación 1 ó 2, en el cual el destino protegido es un sistema de control industrial, y en el cual las órdenes permitidas están configuradas para controlar una configuración operativa del sistema de control industrial.
4. El aparato de acuerdo con cualquiera de las reivindicaciones 1-3, en el cual la lógica de codificación hardware de la estación de transmisión está configurada para encriptar las órdenes que recibe y la lógica hardware del controlador de enlace ascendente está configurada para desencriptar las órdenes recibidas.
5. El aparato de acuerdo con la reivindicación 1, en el cual la lógica de codificación hardware está contenida en una unidad de autenticación de usuario, la cual está configurada para autenticar una identidad de un usuario de la estación de transmisión antes de generar la firma digital.
6. El aparato de la reivindicación 1, en el cual la lógica (38) de codificación hardware está configurada para generar una firma digital para órdenes permitidas, y en el cual la lógica hardware del controlador de enlace ascendente está configurada además para recibir la firma digital con órdenes recibidas y para transportar órdenes permitidas a través de la segunda interfaz hardware sólo tras verificar la firma digital.
7. El aparato de acuerdo con la reivindicación 1, en el cual la lógica de codificación hardware de la estación de transmisión y la lógica hardware del controlador de enlace ascendente comprenden lógica hardware no accionada por software.
8. El aparato de acuerdo con la reivindicación 1, en el cual el conjunto de máscaras hardware indica órdenes permitidas indicando un nombre de la orden y valores permitidos asociados con el nombre.
9. El aparato de acuerdo con la reivindicación 1 u 8, en el cual las órdenes permitidas tienen un formato de datos predefinido, y en el cual el destino protegido es una estación de control de servicio público, y en el cual el aparato comprende un monitor, el cual está acoplado para recibir la orden recibida procedente de la segunda interfaz y para decodificar la orden recibida desde el formato de datos predefinido a un protocolo de comunicaciones entre centros de control para entrada a la estación de control de servicio público.
10. El aparato de acuerdo con la reivindicación 9, en el cual la estación de transmisión está configurada para recibir una entrada en conformidad con el protocolo de comunicaciones entre centros de control desde una fuente de órdenes y para codificar la entrada en conformidad con el formato de datos predefinido para transmisión a través de la red a la primera interfaz.
11. Un método para comunicación, que comprende:
recepción, por parte de una estación (32) de transmisión, de una entrada que indica una orden que debe ser dirigida a un destino (50) protegido desde un usuario;
generación de una orden en un formato de orden predeterminado, por parte de un procesador (36) que ejecuta software, en respuesta a la entrada del usuario;
conversión de la orden generada a un formato de datos convertidos predefinido de órdenes permitidas que incluye sólo un subconjunto limitado de las órdenes en el formato de orden predeterminado, mediante lógica (38) de codificación hardware;
transmisión, por parte de un procesador (36) de comunicaciones, de la orden convertida a través de una red (30) de comunicaciones a un controlador de enlace ascendente;
comparación de la orden recibida con un conjunto de máscaras hardware correspondientes a órdenes permitidas, mediante lógica hardware del controlador (48) de enlace ascendente; y
pasar la orden recibida al destino (50) protegido sólo cuando la orden recibida coincide con una de las máscaras hardware.
12. El método de acuerdo con la reivindicación 11, y que comprende transportar datos de salida desde el destino protegido hasta la red (30) de comunicaciones a través de un enlace unidireccional, el cual es diferente e independiente de las máscaras hardware y que es físicamente incapaz de transportar datos de entrada desde la red de comunicaciones hasta el destino protegido.
13. El método de acuerdo con la reivindicación 11, en el cual la comparación de la orden recibida con un conjunto de máscaras hardware correspondientes a órdenes permitidas comprende comparar la orden recibida con un conjunto de máscaras que tienen un formato de datos predefinido tal que cada orden permitida dentro del conjunto está definida por nombre de la orden y valores permitidos asociados con el nombre.
14. El método de acuerdo con la reivindicación 11, en el cual la conversión de la orden generada a un formato de datos convertidos predefinido, mediante la lógica de codificación hardware comprende encriptar las órdenes.
15. El método de la reivindicación 11, y que comprende la generación de una firma digital para órdenes permitidas mediante la lógica (38) de codificación hardware y la recepción, por el controlador de enlace ascendente, de la firma digital con las órdenes recibidas y el transporte de órdenes permitidas hasta el destino protegido sólo tras verificar la firma digital.
ES13182696T 2012-09-06 2013-09-02 Control remoto de instalaciones seguras Active ES2717230T3 (es)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
US13/604,677 US9635037B2 (en) 2012-09-06 2012-09-06 Remote control of secure installations

Publications (1)

Publication Number Publication Date
ES2717230T3 true ES2717230T3 (es) 2019-06-19

Family

ID=49118323

Family Applications (1)

Application Number Title Priority Date Filing Date
ES13182696T Active ES2717230T3 (es) 2012-09-06 2013-09-02 Control remoto de instalaciones seguras

Country Status (5)

Country Link
US (2) US9635037B2 (es)
EP (1) EP2706722B8 (es)
ES (1) ES2717230T3 (es)
HU (1) HUE042025T2 (es)
IL (1) IL228287B (es)

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
IL180748A (en) 2007-01-16 2013-03-24 Waterfall Security Solutions Ltd Secure archive
US9191203B2 (en) 2013-08-06 2015-11-17 Bedrock Automation Platforms Inc. Secure industrial control system
US9600434B1 (en) 2011-12-30 2017-03-21 Bedrock Automation Platforms, Inc. Switch fabric having a serial communications interface and a parallel communications interface
US11967839B2 (en) 2011-12-30 2024-04-23 Analog Devices, Inc. Electromagnetic connector for an industrial control system
US8862802B2 (en) 2011-12-30 2014-10-14 Bedrock Automation Platforms Inc. Switch fabric having a serial communications interface and a parallel communications interface
US11314854B2 (en) 2011-12-30 2022-04-26 Bedrock Automation Platforms Inc. Image capture devices for a secure industrial control system
US8971072B2 (en) 2011-12-30 2015-03-03 Bedrock Automation Platforms Inc. Electromagnetic connector for an industrial control system
US9437967B2 (en) 2011-12-30 2016-09-06 Bedrock Automation Platforms, Inc. Electromagnetic connector for an industrial control system
US10834094B2 (en) * 2013-08-06 2020-11-10 Bedrock Automation Platforms Inc. Operator action authentication in an industrial control system
US9727511B2 (en) 2011-12-30 2017-08-08 Bedrock Automation Platforms Inc. Input/output module with multi-channel switching capability
US8868813B2 (en) 2011-12-30 2014-10-21 Bedrock Automation Platforms Inc. Communications control system with a serial communications interface and a parallel communications interface
US11144630B2 (en) 2011-12-30 2021-10-12 Bedrock Automation Platforms Inc. Image capture devices for a secure industrial control system
US10834820B2 (en) 2013-08-06 2020-11-10 Bedrock Automation Platforms Inc. Industrial control system cable
US9467297B2 (en) * 2013-08-06 2016-10-11 Bedrock Automation Platforms Inc. Industrial control system redundant communications/control modules authentication
CA2906447A1 (en) * 2013-03-13 2014-10-09 Prolucid Technologies Inc. Distributed micro-grid controller
US8898227B1 (en) * 2013-05-10 2014-11-25 Owl Computing Technologies, Inc. NFS storage via multiple one-way data links
US10613567B2 (en) 2013-08-06 2020-04-07 Bedrock Automation Platforms Inc. Secure power supply for an industrial control system
JP2016019281A (ja) * 2014-07-07 2016-02-01 ベドロック・オートメーション・プラットフォームズ・インコーポレーテッド 産業用制御システムのオペレータ・アクション認証
US9870476B2 (en) * 2014-09-23 2018-01-16 Accenture Global Services Limited Industrial security agent platform
IL235175A (en) 2014-10-19 2017-08-31 Frenkel Lior Secure desktop remote control
IL250010B (en) * 2016-02-14 2020-04-30 Waterfall Security Solutions Ltd Secure connection with protected facilities
DE102016207546A1 (de) * 2016-05-02 2017-11-02 Siemens Aktiengesellschaft Verfahren und Integritätsprüfsystem zur rückwirkungsfreien Integritätsüberwachung
DE102016117073A1 (de) 2016-09-12 2018-03-15 Samson Aktiengesellschaft Steuerungs-Interaktions-Verfahren und Kommunikationsvorrichtung zum Durchführen einer Steuerungs-Interaktion zwischen einer Bedienelektronik und einem Stellgerät
US10257163B2 (en) 2016-10-24 2019-04-09 Fisher-Rosemount Systems, Inc. Secured process control communications
US10619760B2 (en) 2016-10-24 2020-04-14 Fisher Controls International Llc Time-series analytics for control valve health assessment
US10270745B2 (en) 2016-10-24 2019-04-23 Fisher-Rosemount Systems, Inc. Securely transporting data across a data diode for secured process control communications
US10877465B2 (en) 2016-10-24 2020-12-29 Fisher-Rosemount Systems, Inc. Process device condition and performance monitoring
US10530748B2 (en) 2016-10-24 2020-01-07 Fisher-Rosemount Systems, Inc. Publishing data across a data diode for secured process control communications
CN109672580B (zh) * 2018-09-21 2022-01-18 平安科技（深圳）有限公司 全链路监控方法、装置、终端设备及存储介质
DE102019209009A1 (de) * 2019-06-20 2020-12-24 Siemens Mobility GmbH Filter, Anordnung und Betriebsverfahren für eine Anordnung
CN111030984B (zh) * 2019-10-22 2022-08-19 上海泰宇信息技术股份有限公司 一种数据安全传输系统及方法
RU2770458C1 (ru) * 2021-10-14 2022-04-18 Акционерное общество "Лаборатория Касперского" Сетевой шлюз и способ передачи данных из первой сети во вторую сеть

Family Cites Families (178)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3377541A (en) 1966-03-07 1968-04-09 Zoltan D. Farkas Voltage multiplying inverter/converter system
US4213177A (en) 1978-04-24 1980-07-15 Texas Instruments Incorporated Eight bit standard connector bus for sixteen bit microcomputer using mirrored memory boards
US4375665A (en) 1978-04-24 1983-03-01 Texas Instruments Incorporated Eight bit standard connector bus for sixteen bit microcomputer using mirrored memory boards
US4214302A (en) 1978-04-24 1980-07-22 Texas Instruments Incorporated Eight bit standard connector bus for sixteen bit microcomputer
US4163289A (en) 1978-05-01 1979-07-31 Texas Instruments Incorporated Sixteen bit microcomputer memory boards for use with eight bit standard connector bus
EP0293517B1 (de) 1987-06-02 1992-11-25 Deutsche ITT Industries GmbH Steuerprozessor
US5185877A (en) 1987-09-04 1993-02-09 Digital Equipment Corporation Protocol for transfer of DMA data
EP0343567A3 (en) 1988-05-25 1991-01-09 Hitachi, Ltd. Multi-processing system and cache apparatus for use in the same
JPH0294836A (ja) 1988-09-30 1990-04-05 Aisin Seiki Co Ltd 秘匿通信制御装置
US5347579A (en) 1989-07-05 1994-09-13 Blandford Robert R Personal computer diary
US5163138A (en) 1989-08-01 1992-11-10 Digital Equipment Corporation Protocol for read write transfers via switching logic by transmitting and retransmitting an address
US4987595A (en) 1989-09-11 1991-01-22 Motorola, Inc. Secure cryptographic processor arrangement
US5289478A (en) 1991-03-11 1994-02-22 Fujitsu Limited Method and means for verification of write data
US5454039A (en) 1993-12-06 1995-09-26 International Business Machines Corporation Software-efficient pseudorandom function and the use thereof for encryption
US5835726A (en) 1993-12-15 1998-11-10 Check Point Software Technologies Ltd. System for securing the flow of and selectively modifying packets in a computer network
GB2285524B (en) 1994-01-11 1998-02-04 Advanced Risc Mach Ltd Data memory and processor bus
US5530758A (en) 1994-06-03 1996-06-25 Motorola, Inc. Operational methods for a secure node in a computer network
US5548646A (en) 1994-09-15 1996-08-20 Sun Microsystems, Inc. System for signatureless transmission and reception of data packets between computer networks
EP0842471A4 (en) * 1995-07-31 2006-11-08 Hewlett Packard Co METHOD AND APPARATUS FOR MANAGING RESOURCES UNDER THE CONTROL OF A PROTECTED MODULE OR OTHER PROTECTED PROCESSOR
US5748871A (en) 1995-08-11 1998-05-05 Symbios Logic Inc. Dual bus architecture for a storage device
US5696822A (en) 1995-09-28 1997-12-09 Symantec Corporation Polymorphic virus detection module
US5829046A (en) 1995-10-27 1998-10-27 Emc Corporation On-line tape backup using an integrated cached disk array
US6331856B1 (en) 1995-11-22 2001-12-18 Nintendo Co., Ltd. Video game system with coprocessor providing high speed efficient 3D graphics and digital audio signal processing
JPH10178421A (ja) 1996-10-18 1998-06-30 Toshiba Corp パケット処理装置、移動計算機装置、パケット転送方法及びパケット処理方法
JP3526524B2 (ja) 1996-10-31 2004-05-17 松下電器産業株式会社 一方向データ変換装置及び機器認証システム
US5703562A (en) 1996-11-20 1997-12-30 Sandia Corporation Method for transferring data from an unsecured computer to a secured computer
JP3381055B2 (ja) 1997-01-27 2003-02-24 裕典 若山 ウィルスの侵入防止方法、及びウィルスの侵入防止機構
US5940507A (en) 1997-02-11 1999-08-17 Connected Corporation Secure file archive through encryption key management
US5946399A (en) 1997-02-18 1999-08-31 Motorola, Inc. Fail-safe device driver and method
US5995628A (en) 1997-04-07 1999-11-30 Motorola, Inc. Failsafe security system and method
JP3710257B2 (ja) 1997-06-10 2005-10-26 キヤノン株式会社 カメラ制御システムおよびその制御方法およびその制御を実行するプログラムを記憶した記憶媒体
US6289377B1 (en) 1997-11-10 2001-09-11 General Instrument Corporation Dynamic network configuration of a one-way adapter using a proxy agent that communicates with a resource server through a configured return path adapter
US6023570A (en) 1998-02-13 2000-02-08 Lattice Semiconductor Corp. Sequential and simultaneous manufacturing programming of multiple in-system programmable systems through a data network
GB9816503D0 (en) 1998-07-30 1998-09-23 Ncr Int Inc Self-service terminal
US6356546B1 (en) 1998-08-11 2002-03-12 Nortel Networks Limited Universal transfer method and network with distributed switch
DE19838253C2 (de) 1998-08-22 2001-01-18 Inst Telematik E V Datenverbindung zwischen zwei Rechnern und Verfahren zur Datenübertragung zwischen zwei Rechnern
US6970183B1 (en) 2000-06-14 2005-11-29 E-Watch, Inc. Multimedia surveillance and monitoring system including network configuration
US6738388B1 (en) 1998-09-10 2004-05-18 Fisher-Rosemount Systems, Inc. Shadow function block interface for use in a process control network
US6317831B1 (en) 1998-09-21 2001-11-13 Openwave Systems Inc. Method and apparatus for establishing a secure connection over a one-way data path
US6170023B1 (en) 1998-10-07 2001-01-02 International Business Machines Corporation System for accessing an input/output device using multiple addresses
US6185638B1 (en) 1998-10-07 2001-02-06 International Business Machines Corporation Method and system for dynamically assigning addresses to an input/output device
US6202095B1 (en) 1998-10-07 2001-03-13 International Business Machines Corporation Defining characteristics between processing systems
US6167459A (en) 1998-10-07 2000-12-26 International Business Machines Corporation System for reassigning alias addresses to an input/output device
US6467009B1 (en) 1998-10-14 2002-10-15 Triscend Corporation Configurable processor system unit
US6615244B1 (en) 1998-11-28 2003-09-02 Tara C Singhal Internet based archive system for personal computers
US6275891B1 (en) 1999-02-25 2001-08-14 Lsi Logic Corporation Modular and scalable system for signal and multimedia processing
US6957330B1 (en) 1999-03-01 2005-10-18 Storage Technology Corporation Method and system for secure information handling
US6640308B1 (en) 1999-04-16 2003-10-28 Invensys Systems, Inc. System and method of powering and communicating field ethernet device for an instrumentation and control using a single pair of powered ethernet wire
DE10033673B4 (de) 1999-08-17 2005-10-20 Ibm Verfahren zum Archivieren und Ausliefern von Dokumenten unter Verwendung eines Zentralarchivsystems
US6754185B1 (en) 1999-09-27 2004-06-22 Koninklijke Philips Electronics N.V. Multi link layer to single physical layer interface in a node of a data communication system
US6643701B1 (en) 1999-11-17 2003-11-04 Sun Microsystems, Inc. Method and apparatus for providing secure communication with a relay in a network
US20020178370A1 (en) 1999-12-30 2002-11-28 Gurevich Michael N. Method and apparatus for secure authentication and sensitive data management
CA2314573C (en) 2000-01-13 2009-09-29 Z.I. Probes, Inc. System for acquiring data from a facility and method
US6601126B1 (en) 2000-01-20 2003-07-29 Palmchip Corporation Chip-core framework for systems-on-a-chip
US6915435B1 (en) 2000-02-09 2005-07-05 Sun Microsystems, Inc. Method and system for managing information retention
US6636838B1 (en) 2000-02-23 2003-10-21 Sun Microsystems, Inc. Content screening with end-to-end encryption
US8959582B2 (en) 2000-03-09 2015-02-17 Pkware, Inc. System and method for manipulating and managing computer archive files
JP2001285296A (ja) 2000-03-29 2001-10-12 Fujitsu Ltd 中継装置
DE60134696D1 (de) 2000-05-23 2008-08-21 Hitachi Ltd Rechnersystem mit Fernkopiereinrichtung
US6931549B1 (en) 2000-05-25 2005-08-16 Stamps.Com Method and apparatus for secure data storage and retrieval
US6862663B1 (en) 2000-06-30 2005-03-01 Intel Corporation Cache having a prioritized replacement technique and method therefor
BR0113510A (pt) 2000-08-25 2003-07-01 Research In Motion Ltd Sistema e método para implementar um protocolo de segurança de camada de transporte aprimorado
US7734724B2 (en) 2000-09-06 2010-06-08 Xanboo Inc. Automated upload of content based on captured event
JP2004512735A (ja) 2000-10-18 2004-04-22 コーニンクレッカ　フィリップス　エレクトロニクス　エヌ　ヴィ コンテンツ保護のための複数認証セッション
US7143289B2 (en) 2000-10-30 2006-11-28 Geocodex Llc System and method for delivering encrypted information in a communication network using location identity and key tables
US6986061B1 (en) 2000-11-20 2006-01-10 International Business Machines Corporation Integrated system for network layer security and fine-grained identity-based access control
US20040071311A1 (en) 2000-12-09 2004-04-15 Jong-Uk Choi Network camera apparatus, network camera server and digital video recorder for preventing forgery and alteration of a digital image, and apparatus for authenticating the digital image from said apparatus, and method thereof
US20020112181A1 (en) 2000-12-12 2002-08-15 Smith Mark Elwin Multilevel secure network access system
US7165096B2 (en) 2000-12-22 2007-01-16 Data Plow, Inc. Storage area network file system
GB2371125A (en) 2001-01-13 2002-07-17 Secr Defence Computer protection system
US20020114453A1 (en) 2001-02-21 2002-08-22 Bartholet Thomas G. System and method for secure cryptographic data transport and storage
US7392541B2 (en) 2001-05-17 2008-06-24 Vir2Us, Inc. Computer system architecture and method providing operating-system independent virus-, hacker-, and cyber-terror-immune processing environments
US6990199B2 (en) 2001-06-12 2006-01-24 Corrent Corporation Apparatus and method for cipher processing system using multiple port memory and parallel read/write operations
JP4226231B2 (ja) 2001-06-13 2009-02-18 株式会社日立国際電気 映像信号処理システム
US6941575B2 (en) 2001-06-26 2005-09-06 Digeo, Inc. Webcam-based interface for initiating two-way video communication and providing access to cached video
KR100547060B1 (ko) 2001-06-29 2006-01-31 가부시끼가이샤 도시바 조건부-액세스 모듈 장치, 수신 단말 장치, 및 방법
SG124290A1 (en) 2001-07-23 2006-08-30 Ntt Docomo Inc Electronic payment method, system, and devices
US20030039354A1 (en) 2001-08-27 2003-02-27 Kimble David E. FIFO architecture with in-place cryptographic service
US7162630B2 (en) 2001-08-31 2007-01-09 Adaptec, Inc. Systems and methods for implementing host-based security in a computer network
US7009530B2 (en) 2001-09-13 2006-03-07 M&Fc Holding, Llc Modular wireless fixed network for wide-area metering data collection and meter module apparatus
GB2385951A (en) 2001-09-21 2003-09-03 Sun Microsystems Inc Data encryption and decryption
US6671525B2 (en) 2001-12-13 2003-12-30 Motorola, Inc. Beacon assisted hybrid asynchronous wireless communications protocol
JP4122777B2 (ja) 2002-01-18 2008-07-23 日本ビクター株式会社 コンテンツ記録再生装置
JP3713491B2 (ja) 2002-02-28 2005-11-09 株式会社エヌ・ティ・ティ・ドコモ サーバ装置、及び情報処理方法
US20030177401A1 (en) 2002-03-14 2003-09-18 International Business Machines Corporation System and method for using a unique identifier for encryption key derivation
JP2003280826A (ja) 2002-03-27 2003-10-02 Hitachi Ltd 記憶サブシステム
US7324515B1 (en) 2002-03-27 2008-01-29 Cisco Technology, Inc. Proxy addressing scheme for cable networks
JP4447821B2 (ja) 2002-04-15 2010-04-07 ソニー株式会社 情報処理装置および方法
US7679649B2 (en) 2002-04-19 2010-03-16 Ralston John D Methods for deploying video monitoring applications and services across heterogenous networks
JP3764125B2 (ja) 2002-04-26 2006-04-05 富士通株式会社 ゲートウェイ、通信端末装置、および通信制御プログラム
US20030212845A1 (en) 2002-05-07 2003-11-13 Court John William Method for high-speed data transfer across LDT and PCI buses
FI113121B (fi) 2002-05-30 2004-02-27 Metso Automation Oy Järjestelmä, tietoliikenneverkko ja menetelmä tietojen lähettämiseksi
US7366894B1 (en) 2002-06-25 2008-04-29 Cisco Technology, Inc. Method and apparatus for dynamically securing voice and other delay-sensitive network traffic
US20040080615A1 (en) 2002-08-21 2004-04-29 Strategic Vista Intenational Inc. Digital video security system
JP3900058B2 (ja) 2002-09-30 2007-04-04 株式会社日立製作所 データ通信方法および情報処理装置
JP2004133733A (ja) 2002-10-11 2004-04-30 Sony Corp 表示装置および方法、並びにプログラム
KR20040079596A (ko) 2003-03-08 2004-09-16 주식회사 성진씨앤씨 허브를 내장한 네트워크 카메라
US6842133B2 (en) 2003-04-30 2005-01-11 Intel Corporation Strobe through differential signaling
US7469311B1 (en) 2003-05-07 2008-12-23 Nvidia Corporation Asymmetrical bus
JP2004343627A (ja) 2003-05-19 2004-12-02 Canon Inc デジタルカメラ
EP1631914B1 (en) 2003-05-19 2012-09-19 Verizon Patent and Licensing Inc. Method and system for providing secure one-way transfer of data
US7246156B2 (en) 2003-06-09 2007-07-17 Industrial Defender, Inc. Method and computer program product for monitoring an industrial network
US7260833B1 (en) 2003-07-18 2007-08-21 The United States Of America As Represented By The Secretary Of The Navy One-way network transmission interface unit
US20050060693A1 (en) * 2003-08-27 2005-03-17 Terry Robison Command string parsing
JP3972879B2 (ja) 2003-09-18 2007-09-05 ソニー株式会社 情報記録処理装置、情報再生処理装置、情報記録媒体、および方法、並びにコンピュータ・プログラム
US7792300B1 (en) 2003-09-30 2010-09-07 Oracle America, Inc. Method and apparatus for re-encrypting data in a transaction-based secure storage system
US7685436B2 (en) 2003-10-02 2010-03-23 Itt Manufacturing Enterprises, Inc. System and method for a secure I/O interface
US20050085964A1 (en) 2003-10-21 2005-04-21 Knapp Benjamin P. Network coupled diagnosis and maintenance system
US20050091173A1 (en) 2003-10-24 2005-04-28 Nokia Corporation Method and system for content distribution
US7587591B2 (en) 2003-10-31 2009-09-08 Juniper Networks, Inc. Secure transport of multicast traffic
JP4450609B2 (ja) 2003-11-28 2010-04-14 株式会社日立製作所 記憶装置
BRPI0417358B1 (pt) 2003-12-05 2018-12-11 Blackberry Ltd aparelho e método para controlar tráfego não-solicitado destinado a um dispositivo de comunicação sem fio
WO2005059623A1 (ja) 2003-12-19 2005-06-30 Hitachi Metals, Ltd. 光スイッチ
CN100470439C (zh) 2004-01-08 2009-03-18 松下电器产业株式会社 内容分发系统,许可证分发方法和终端设备
JP4859348B2 (ja) 2004-02-18 2012-01-25 大日本印刷株式会社 コンピュータシステム
JP2005286989A (ja) 2004-03-02 2005-10-13 Ntt Docomo Inc 通信端末及びアドホックネットワーク経路制御方法
BRPI0400265A (pt) 2004-03-10 2006-02-07 Legitimi Ltd Sistema de controle de acesso a serviços de informação baseado em assinatura de hardware e software do dispositivo solicitante
US7120723B2 (en) 2004-03-25 2006-10-10 Micron Technology, Inc. System and method for memory hub-based expansion bus
US7119678B2 (en) 2004-05-26 2006-10-10 Honeywell International, Inc. Wireless light sensor input to a security system
EP1603088A1 (fr) 2004-06-03 2005-12-07 Nagracard S.A. Composant pour module de sécurité
US7757074B2 (en) 2004-06-30 2010-07-13 Citrix Application Networking, Llc System and method for establishing a virtual private network
US7761529B2 (en) 2004-06-30 2010-07-20 Intel Corporation Method, system, and program for managing memory requests by devices
US7254663B2 (en) 2004-07-22 2007-08-07 International Business Machines Corporation Multi-node architecture with daisy chain communication link configurable to operate in unidirectional and bidirectional modes
US7200693B2 (en) 2004-08-27 2007-04-03 Micron Technology, Inc. Memory system and method having unidirectional data buses
JP4555040B2 (ja) 2004-09-22 2010-09-29 株式会社日立製作所 ストレージ装置及びストレージ装置のライトアクセス処理方法
JP4555046B2 (ja) 2004-10-15 2010-09-29 ヒタチグローバルストレージテクノロジーズネザーランドビーブイ データ転送システム及びデータ転送方法
US7441060B2 (en) 2004-10-29 2008-10-21 International Business Machines Corporation System, method and storage medium for providing a service interface to a memory system
JP4520840B2 (ja) 2004-12-02 2010-08-11 株式会社日立製作所 暗号化通信の中継方法、ゲートウェイサーバ装置、暗号化通信のプログラムおよび暗号化通信のプログラム記憶媒体
US20060165108A1 (en) 2005-01-21 2006-07-27 Mr. Sezen Uysal Method and system for unidirectional packet processing at data link layer
US20060195704A1 (en) 2005-01-27 2006-08-31 Hewlett-Packard Development Company, L.P. Disk array encryption element
US7685636B2 (en) 2005-03-07 2010-03-23 International Business Machines Corporation System, service, and method for enabling authorized use of distributed content on a protected media
US7761704B2 (en) 2005-03-17 2010-07-20 Oracle International Corporation Method and apparatus for expiring encrypted data
US7269704B2 (en) 2005-03-30 2007-09-11 Atmel Corporation Method and apparatus for reducing system inactivity during time data float delay and external memory write
US8069250B2 (en) 2005-04-28 2011-11-29 Vmware, Inc. One-way proxy system
US8041832B2 (en) 2005-05-05 2011-10-18 Verizon Services Corp. Network data distribution system and method
US7941860B2 (en) 2005-05-13 2011-05-10 Intel Corporation Apparatus and method for content protection using one-way buffers
US20060288010A1 (en) 2005-05-20 2006-12-21 Jeffrey Chen Networking at a convention
DE102005025169B4 (de) 2005-06-01 2007-08-02 Infineon Technologies Ag Kommunikationsvorrichtung und Verfahren zur Übermittlung von Daten
US20070063866A1 (en) 2005-06-02 2007-03-22 Andisa Technologies, Inc. Remote meter monitoring and control system
US20060294295A1 (en) 2005-06-24 2006-12-28 Yukio Fukuzo DRAM chip device well-communicated with flash memory chip and multi-chip package comprising such a device
US20070028027A1 (en) 2005-07-26 2007-02-01 Micron Technology, Inc. Memory device and method having separate write data and read data buses
JP4764103B2 (ja) 2005-08-18 2011-08-31 株式会社東芝 コンテンツデータ配信システム、及び情報処理装置
US7509141B1 (en) 2005-09-29 2009-03-24 Rockwell Collins, Inc. Software defined radio computing architecture
US7716467B1 (en) 2005-12-02 2010-05-11 Sprint Communications Company L.P. Encryption gateway service
US20070174362A1 (en) 2006-01-18 2007-07-26 Duc Pham System and methods for secure digital data archiving and access auditing
US8046821B2 (en) 2006-02-13 2011-10-25 Qualcomm Incorporated Mechanism and method for controlling network access to a service provider
US7441102B2 (en) 2006-02-28 2008-10-21 Freescale Semiconductor, Inc. Integrated circuit with functional state configurable memory and method of configuring functional states of the integrated circuit memory
US7849330B2 (en) 2006-03-20 2010-12-07 Hitachi, Ltd. Apparatus and method for secure data disposal
WO2007116487A1 (ja) 2006-03-31 2007-10-18 Fujitsu Limited メモリ装置、そのエラー訂正の支援方法、その支援プログラム、メモリ・カード、回路基板及び電子機器
US7814316B1 (en) 2006-04-14 2010-10-12 Oracle America, Inc. System, method and data storage device for encrypting data
US7675867B1 (en) 2006-04-19 2010-03-09 Owl Computing Technologies, Inc. One-way data transfer system with built-in data verification mechanism
US20070283297A1 (en) 2006-05-30 2007-12-06 Thomas Hein Signal processing circuit
WO2008001344A2 (en) * 2006-06-27 2008-01-03 Waterfall Solutions Ltd One way secure link
US20080005325A1 (en) 2006-06-28 2008-01-03 Microsoft Corporation User communication restrictions
US20080008207A1 (en) 2006-06-28 2008-01-10 Kellum Charles W One-way data link for secure transfer of information
IL177756A (en) * 2006-08-29 2014-11-30 Lior Frenkel Encryption-based protection against attacks
US20080066192A1 (en) 2006-09-07 2008-03-13 International Business Machines Corporation Keyless copy of encrypted data
US7660959B2 (en) 2006-09-28 2010-02-09 International Business Machines Corporation Managing encryption for volumes in storage pools
EP2101884A1 (en) 2006-12-21 2009-09-23 International Business Machines Corporation Training coordinator device and method
US20080155273A1 (en) 2006-12-21 2008-06-26 Texas Instruments, Inc. Automatic Bus Encryption And Decryption
IL180748A (en) 2007-01-16 2013-03-24 Waterfall Security Solutions Ltd Secure archive
US7649452B2 (en) * 2007-06-29 2010-01-19 Waterfall Solutions Ltd. Protection of control networks using a one-way link
US7992209B1 (en) 2007-07-19 2011-08-02 Owl Computing Technologies, Inc. Bilateral communication using multiple one-way data links
US7698470B2 (en) 2007-08-06 2010-04-13 Qimonda Ag Integrated circuit, chip stack and data processing system
CN101374042B (zh) 2007-08-21 2011-03-02 联想(北京)有限公司 辅助显示系统、装置、及方法
US7941828B2 (en) 2007-08-24 2011-05-10 The Boeing Company Method and apparatus for simultaneous viewing of two isolated data sources
US20090080659A1 (en) * 2007-09-21 2009-03-26 Texas Instruments Incorporated Systems and methods for hardware key encryption
US8223205B2 (en) 2007-10-24 2012-07-17 Waterfall Solutions Ltd. Secure implementation of network-based sensors
US8046443B2 (en) 2008-08-21 2011-10-25 Red Hat, Inc. Rapid deployment remote network monitor
US8583979B1 (en) 2008-10-17 2013-11-12 Sk Hynix Memory Solutions Inc. Multiple interleavers in a coding system
IL194943A0 (en) * 2008-10-27 2009-09-22 Human Interface Security Ltd Verification of data transmitted by computer
US8484723B2 (en) * 2009-06-05 2013-07-09 Signix, Inc. Method and system for signing and authenticating electronic documents via a signature authority which may act in concert with software controlled by the signer
US8548417B2 (en) * 2009-08-10 2013-10-01 Freeport Technologies, Inc. Secure control for desktop secure video teleconferencing
US9098210B2 (en) 2009-10-29 2015-08-04 Oracle America, Inc. Automatically linking partitions on a tape media device
US20110295708A1 (en) 2010-05-25 2011-12-01 beonSoft Inc. Systems and methods for providing software rental services to devices connected to a network
WO2012144041A1 (ja) 2011-04-20 2012-10-26 富士通株式会社 中継装置、及び復旧方法
US8646094B2 (en) * 2011-12-07 2014-02-04 Owl Computing Technologies, Inc. Method and apparatus for preventing unauthorized access to information stored in a non-volatile memory
US9736121B2 (en) 2012-07-16 2017-08-15 Owl Cyber Defense Solutions, Llc File manifest filter for unidirectional transfer of files

Also Published As

Publication number Publication date
HUE042025T2 (hu) 2019-06-28
US20140068712A1 (en) 2014-03-06
US9635037B2 (en) 2017-04-25
EP2706722B1 (en) 2018-12-26
EP2706722A3 (en) 2014-05-07
US20170201379A1 (en) 2017-07-13
IL228287B (en) 2019-01-31
IL228287A0 (en) 2014-06-30
US10432404B2 (en) 2019-10-01
EP2706722A2 (en) 2014-03-12
EP2706722B8 (en) 2019-03-06

Similar Documents

Publication Publication Date Title
ES2717230T3 (es) Control remoto de instalaciones seguras
CN110996318B (zh) 一种变电站智能巡检机器人安全通信接入系统
CN108965215B (zh) 一种多融合联动响应的动态安全方法与系统
US11134064B2 (en) Network guard unit for industrial embedded system and guard method
ES2672340T3 (es) Sistema y método para asegurar las comunicaciones Máquina a Máquina
CN109088870A (zh) 一种新能源厂站发电单元采集终端安全接入平台的方法
ES2616076T3 (es) Procedimiento para la gestión de claves segura frente a manipulaciones
US11171922B2 (en) Method and system for secure data transmission with a VPN box
TW201010370A (en) Integrated cryptographic security module for a network node
US20150215279A1 (en) Bi-directional data security for supervisor control and data acquisition networks
CN104065485A (zh) 电网调度移动平台安全保障管控方法
ES2833368T3 (es) Escritorio remoto seguro
JP2023510002A (ja) エアギャッピングハードウェアプロトコルを使用したセキュアなデータ転送のためのシステムおよび方法
CN113591109A (zh) 可信执行环境与云端通信的方法及系统
KR20210086999A (ko) Hybrid-quantum channel에 적용된 one-way-ring/two-way-ring network qrn key 분배방법 및 하이브리드 양자통신 시스템 단말기 및 이종망 qrn key 분배 하이브리드 양자통신 폐쇄망 시스템
US10356226B2 (en) Secure connection with protected facilities
CN210839642U (zh) 一种物联网终端数据安全接收、发送的装置
Guillen et al. Crypto-Bootloader–Secure in-field firmware updates for ultra-low power MCUs
KR102236235B1 (ko) 공공 다중이용시설 재난재해 동보방송 구내방송장치(PA)와 원격 협업기능 A/V(Audio/Video) 스마트 방송장치 및 폐쇄자가망 시스템
CN110492994B (zh) 一种可信网络接入方法和系统
KR102013148B1 (ko) 양자난수와 의사난수를 결합한 보안 인증 cctv 영상방범 시스템
KR101628094B1 (ko) 보안 장비 및 그것의 접근 허용 방법
Song et al. Secure remote control of field-programmable network devices
KR20180109653A (ko) 양자보안 단말기
CN101621510A (zh) 在电路仿真设备中实现数据安全的传输技术