DE102016207441A1

DE102016207441A1 - Method and device for controlling safety measures in automation, control and / or control systems

Info

Publication number: DE102016207441A1
Application number: DE102016207441.5A
Authority: DE
Inventors: Rainer Falk; Kai Fischer; Markus Heintel; Wolfgang Klasen; Dominik Merli; Axel Pfau; Stefan Pyka; Daniel Schneider; Hans Aschauer
Original assignee: Siemens AG
Current assignee: Siemens Mobility GmbH
Priority date: 2016-04-29
Filing date: 2016-04-29
Publication date: 2017-11-02

Abstract

Um zur Steuerung von Sicherheitsmaßnahmen in Automatisierungs-, Steuerungs- und/oder Kontrollsystemen, bei der bedingt durch die Tatsache, dass die Realisierung von robusten Sicherheitsmaßnahmen einen hohen Entwicklungsaufwand erfordert, mit der Schaffung einer verfahrens- und vorrichtungsgemäßen robusten Security-Funktionalität eine unmittelbare Vermarktung gegeben ist, wodurch der hohe Entwicklungsaufwand kompensiert werden kann, wird es vorgeschlagen, auf der Grundlage eines gespeicherten sicheren Basisschlüssels (BSL) und von mindestens einem vorgegebenen Ableitungsparameter (AP) ein Security-Schlüssel (SSL) software- oder hardwarebasiert zu berechnen sowie zu speichern und/oder bereitzustellen und dabei im Sinne der Realisierung einer robusten Security-Funktionalität die Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels (SSL) in Abhängigkeit von der Überprüfung einer Freischaltinformation (FSI, HLC), die vorzugsweise als Lizenzinformation (HLC), insbesondere als Lizenzcode oder als Lizenzdatei ausgebildet ist, generell freizugegeben und zu aktivieren, kontrolliert freizugegeben und zu aktivieren oder zu sperren und zu deaktivieren.In order to control safety measures in automation, control and / or control systems, given by the fact that the realization of robust security measures requires a high development effort, with the creation of a procedural and device robust security functionality given a direct marketing is, whereby the high development effort can be compensated, it is proposed based on a stored secure base key (BSL) and at least one predetermined derivative parameter (AP) to calculate a security key (SSL) software or hardware based and store and In the context of realizing a robust security functionality, the calculation as well as storage and / or provision of the security key (SSL) as a function of the verification of an activation information (FSI, HLC), preferably as license information (HL C), in particular as a license code or as a license file, is generally released and activated, controlled to be released and activated or blocked and deactivated.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Steuerung von Sicherheitsmaßnahmen in Automatisierungs- und/oder Steuerungssystemen gemäß dem Oberbegriff des Patentanspruches 1 und eine Vorrichtung zur Steuerung von Sicherheitsmaßnahmen in Automatisierungs-, Steuerungs- und/oder Kontrollsystemen gemäß dem Oberbegriff des Patentanspruches 7. The invention relates to a method for controlling safety measures in automation and / or control systems according to the preamble of claim 1 and a device for controlling safety measures in automation, control and / or control systems according to the preamble of claim 7.

Mit der internationalen mehrteiligen (Teil 1-1, Teil 2-1, Teil 3-1 und Teil 3-3) Normenreihe IEC 62443 (vgl. https://de.wikipedia.org/wiki/IEC_62443 in der Version vom 14.08.2012 ) existiert das erste Mal ein grundlegendes Konzept für die Standardisierung der IT Security in industriellen Automatisierungs-, Steuerungs- und Kontrollsystemen. Bei diesem Standard handelt es sich um ein Dokument, das die IT Security ganz allgemein von Produkten, wie z.B. Komponenten, Anlagen, Systemen, etc., von Systemintegratoren, Wartungsdienstleistern und nicht zuletzt von Produktherstellern zum Gegenstand hat. With the international multi-part (part 1-1, part 2-1, part 3-1 and part 3-3) series of standards IEC 62443 (cf. https://de.wikipedia.org/wiki/IEC_62443 in the version of 14.08.2012 ) is the first time a basic concept for the standardization of IT security in industrial automation, control and monitoring systems. This standard is a document that generally deals with IT security of products such as components, systems, systems, etc., of system integrators, maintenance service providers, and not least of product manufacturers.

Weiterhin ist bekannt, mehrere unterschiedliche leistungsfähige Varianten eines Produkts zu entwickeln und zu vermarkten. Dies ist jedoch mit einem hohen Aufwand bezüglich Entwicklung, Logistik und Pflege verbunden. It is also known to develop and market several different powerful variants of a product. However, this is associated with a great deal of development, logistics and maintenance.

Darüber hinaus ist eine Lizensierung bzw. Feature Activation von Software-basierten Funktionen bekannt. Dabei wird eine Funktion nur dann freigeschaltet, wenn eine entsprechende Lizenz vorliegt (z.B. ein Lizenzcode, eine Lizenzdatei, etc.). In addition, a licensing or feature activation of software-based functions is known. In this case, a function is only released if there is a corresponding license (for example, a license code, a license file, etc.).

Der Standard IEC62443 definiert für industrielle Automatisierungs- und Steuerungssysteme vier unterschiedliche Sicherheitsstufen SL1, SL2, SL3, SL4. Bei den Sicherheitsstufen SL3 und SL4 ist dabei ein Hardware-basierter Schutz der Schlüsselspeicherung gefordert (vgl. Anna Palmin, Dr. Pierre Kobes: "Security-Management und Security-Transparenz in der industriellen Automatisierung"; KommA 2012, Seiten 149 bis 155; ISBN 978-3-981406-2-1 ). Of the Standard IEC62443 defines four different security levels SL1, SL2, SL3, SL4 for industrial automation and control systems. At the security levels SL3 and SL4, a hardware-based protection of the key storage is required (cf. Anna Palmin, dr. Pierre Kobes: "Security Management and Security Transparency in Industrial Automation"; Comma 2012, pages 149 to 155; ISBN 978-3-981406-2-1 ).

Die der Erfindung zugrundeliegende Aufgabe besteht darin, ein Verfahren und eine Vorrichtung zur Steuerung von Sicherheitsmaßnahmen in Automatisierungs-, Steuerungs- und/oder Kontrollsystemen anzugeben, bei dem bzw. bei der bedingt durch die Tatsache, dass die Realisierung von robusten Sicherheitsmaßnahmen einen hohen Entwicklungsaufwand erfordert, mit der Schaffung einer verfahrens- und vorrichtungsgemäßen robusten Security-Funktionalität eine unmittelbare Vermarktung gegeben ist, wodurch der hohe Entwicklungsaufwand kompensiert werden kann. The object underlying the invention is to provide a method and a device for controlling safety measures in automation, control and / or control systems, in which or in which due to the fact that the realization of robust security measures requires a high development effort , with the creation of a process and device robust security functionality is given a direct marketing, whereby the high development cost can be compensated.

Diese Aufgabe wird ausgehend von dem im Oberbegriff des Patentanspruchs 1 definierten Steuerungsverfahren durch die im Kennzeichen des Patentanspruches 1 angegebenen Merkmale gelöst. This object is achieved on the basis of the control method defined in the preamble of claim 1 by the features specified in the characterizing part of claim 1.

Darüber hinaus wird die Aufgabe ausgehend von der im Oberbegriff des Patentanspruchs 7 definierten Steuerungsvorrichtung durch die im Kennzeichen des Patentanspruches 7 angegebenen Merkmale gelöst. In addition, the object is achieved on the basis of the control device defined in the preamble of claim 7 by the features specified in the characterizing part of claim 7.

Die der Erfindung zugrundeliegende Idee gemäß der in den Ansprüchen 1 und 7 jeweils angegebenen technischen Lehre besteht darin, auf der Grundlage (Basis) eines gespeicherten sicheren Basisschlüssels und von mindestens einem vorgegebenen Ableitungsparameter einen Security-Schlüssel software- oder hardwarebasiert zu berechnen sowie zu speichern und/oder bereitzustellen und dabei im Sinne der Realisierung einer robusten Security-Funktionalität die Berechnung sowie die Speicherung und/oder Bereitstellung des Security-Schlüssels in Abhängigkeit von der Überprüfung einer Freischaltinformation, die vorzugsweise (gemäß der Ansprüche 2 und 8) als Lizenzinformation, insbesondere als Lizenzcode oder als Lizenzdatei ausgebildet ist, generell freizugegeben und zu aktivieren, kontrolliert freizugegeben und zu aktivieren oder zu sperren und zu deaktivieren. The idea underlying the invention according to the technical teaching specified in claims 1 and 7 is based on (base) a stored secure base key and at least one predetermined derivation parameter to calculate a security key software or hardware based and store and In the sense of realizing a robust security functionality, the calculation as well as the storage and / or provision of the security key in dependence on the verification of activation information, which preferably (according to claims 2 and 8) as license information, in particular as License code or as a license file is designed to be generally released and activated, controlled release and activate or block and disable.

Auf diese Art und Weise können in Bezug auf die gattungsgemäßen Automatisierungs-, Steuerungs- und/oder Kontrollsysteme Gerätevarianten abhängig von der aktivierten Robustheit der Security-Implementierung mit wenig Aufwand realisiert werden. Insbesondere müssen nicht separate Gerätevarianten entwickelt, gefertigt und gelagert werden. In this way, with regard to the generic automation, control and / or control systems, device variants can be realized with little effort, depending on the activated robustness of the security implementation. In particular, separate device variants do not have to be developed, manufactured and stored.

Allgemein wird vorgeschlagen, die Robustheit einer Schlüsselspeicherung abhängig von einer Freischaltinformation, insbesondere eines Lizenzcode, oder einer Lizenzdatei, anzupassen bzw. die Robustheit einer Security-Maßnahme abhängig von der Freischaltinformation (Lizenz) zu aktivieren. Dadurch kann ein Produkt realisiert werden, das abhängig von der Freischaltinformation einen Software-basierten Schlüsselspeicher oder einen Hardware-basierten Schlüsselspeicher bereitstellt. Dieses Produkt lässt sich dann so vermarkten, dass es entweder nur für Sicherheitsstufen SL1 und SL2 gemäß der IEC62443 Normenreihe geeignet ist oder als separates Feature benutzt wird, um die für Sicherheitsstufen SL3 und SL4 gemäß der IEC62443 Normenreihe geforderte Hardware-basierte Schlüsselspeicherung freizuschalten. Dies kann anschaulich auch so verstanden werden, dass abhängig von einer Freischaltinformation eine bezüglich der Angriffsrobustheit unterschiedlich aufwendig geschützte Realisierungsvariante einer Schlüsselspeicherung verwendet wird. It is generally proposed to adapt the robustness of a key storage depending on a release information, in particular a license code, or a license file, or to activate the robustness of a security measure depending on the activation information (license). As a result, a product can be realized which, depending on the activation information, provides a software-based key memory or a hardware-based key memory. This product can then be marketed so that it can be used only for security levels SL1 and SL2 according to the IEC62443 Standard series or is used as a separate feature to enable the hardware-based key storage required for SL3 and SL4 safety levels in accordance with the IEC62443 series of standards. This can also clearly be understood as meaning that, depending on an activation information, a realization variant of a key storage that is protected with different complexity with respect to the attack robustness is used.

Wird stattdessen für den angegebenen Zweck ein Software-basierter Schlüsselspeicher, auch als Datenstruktur bezeichnet, verwendet, der bzw. die in Software geschützte konfigurierte Schlüssel enthält, so kann bei Aktivierung des Features mit der geforderte Freischaltung der Hardware-basierte Schlüsselspeicherung für die Sicherheitsstufen SL3 und SL4 gemäß der IEC62443 Normenreihe entweder umverschlüsselt, d.h. es wird mit einem Software-Key entschlüsselt und mit dem Hardware-Key neu verschlüsselt, oder auf ein Hardware-Security-Modul übertragen werden. Falls die Freischaltinformation bzw. der Freischaltcode gelöscht oder sogar ungültig wird, so erfolgt keine Rückübertragung bzw. Rücktransformation in einen Software-basierten Schlüsselspeicher. If, instead, a software-based keystore, also called a data structure, is used for the specified purpose and contains the configured protected key protected by software, the hardware-based keystore for SL3 and security levels can be activated when the feature with the required activation is activated SL4 according to the IEC62443 Standard series either re-encrypted, ie it is decrypted with a software key and re-encrypted with the hardware key, or transferred to a hardware security module. If the release information or the activation code is deleted or even invalidated, there is no retransmission or transformation into a software-based key memory.

In einer vorteilhaften Weiterbildung bzw. konkreten Realisierung gemäß der Ansprüche 3 und 9 wird abhängig von der Freischalt- oder Lizenzinformation eine, insbesondere über ein "Application Programmable Interface (API)" zugreifbare, Security-Funktionalität in, insbesondere einem Hardware-Security-Modul von, dem Automatisierungs- und/oder Steuerungssystem generell freigegeben, kontrolliert freigegeben oder gesperrt. In an advantageous development or concrete realization according to claims 3 and 9, depending on the activation or license information, in particular via an "Application Programmable Interface (API)" accessible security functionality in, in particular a hardware security module of , the automation and / or control system generally enabled, controlled enabled or disabled.

Weiterhin kann gemäß der Ansprüche 6 und 12 in vorteilhafter Weise durch die in dem Automatisierungs-, Steuerungs- und/oder Kontrollsystem generell freigegebene und aktivierte, kontrolliert freigegebene und aktivierte oder gesperrte und deaktivierte Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels eine Attestierungsinformation erzeugt werden, mit der die generell freigegebene und aktivierte, kontrolliert freigegebene und aktivierte oder gesperrte und deaktivierte Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels angezeigt wird. Die Attestierungsinformation gibt dabei beispielsweise an, ob ein Hardware-Schlüsselspeicher in dem Gerät bzw. dem Hardware-Security-Modul oder noch genereller in dem Automatisierungs-, Steuerungs- und/oder Kontrollsystem aktiviert ist. Mit einer Überwachungskomponente kann dann erkannt werden, wenn ein nur für die Sicherheitsstufe SL1 bzw. SL2 gemäß der IEC62443 Normenreihe geeignetes Produkt (Gerät, System etc.) in einer SL3-Sicherheitszone betrieben wird. Furthermore, according to claims 6 and 12 in an advantageous manner by the in the automation, control and / or control system generally enabled and activated, controlled enabled and enabled or disabled and disabled calculation and storage and / or provision of the security key Attestierungsinformation generated, with the generally released and activated, controlled released and enabled or disabled and disabled calculation and storage and / or provision of the security key is displayed. The attestation information indicates, for example, whether a hardware key memory in the device or the hardware security module or even more generally in the automation, control and / or control system is activated. With a monitoring component can then be detected, if only for the security level SL1 or SL2 according to the IEC62443 Standard series suitable product (device, system, etc.) is operated in a SL3 safety zone.

Vorteilhaft ist ferner, wenn gemäß der Ansprüche 5 und 11 die Freischaltinformation im Rahmen der Fertigung des Automatisierungs-, Steuerungs- und/oder Kontrollsystems bei einer "End-of-Line"-Programmierung oder durch einen Anwender des Automatisierungs-, Steuerungs- und/oder Kontrollsystems eingegeben wird. It is also advantageous if according to claims 5 and 11, the release information in the context of the production of the automation, control and / or control system in an "end-of-line" programming or by a user of the automation, control and / or control system is entered.

Weitere Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispieles der Erfindung ausgehend von dem mit der 1 erläuterten und angegebenen Stand der Technik anhand der 2 und 3. Die einzelnen FIGUREN zeigen: Further advantages of the invention will become apparent from the following description of an embodiment of the invention, starting from the with the 1 explained and indicated prior art with reference to 2 and 3 , The individual FIGURES show:

1 als Ausgangspunkt für das Ausführungsbeispiel der Erfindung den prinzipiellen Aufbau eines Feldgerätes mit einem "Field Programmable Gate Array(FPGA)"-basierten System-On-Chip zur Schlüsselableitung auf der Grundlage eines Basisschlüssels und eines vorgegebenen Ableitungsparameters, 1 as a starting point for the embodiment of the invention, the basic structure of a field device with a "Field Programmable Gate Array (FPGA)" - based system-on-chip for key derivation on the basis of a base key and a predetermined derivative parameter,

2 ausgehend von der 1 den modifizierten prinzipiellen Aufbau zur Schlüsselableitung im Sinne der Realisierung einer robusten Security-Funktionalität, 2 starting from the 1 the modified basic structure for the key derivation in the sense of the realization of a robust security functionality,

3 ein Meldungsflussdiagramm für die Schlüsselableitung im Sinne der Realisierung einer robusten Security-Funktionalität gemäß der 2. 3 a message flow diagram for the key derivation in the sense of realizing a robust security functionality according to the 2 ,

1 zeigt als Ausgangspunkt für die das Ausführungsbeispiel der Erfindung den prinzipiellen Aufbau eines Feldgerätes FG' mit einem "Field Programmable Gate Array(FPGA)"-basierten System-On-Chip SOC' zur Schlüsselableitung. Das Feldgerät FG' bzw. der System-On-Chip SOC' enthält dazu neben einer Programmierbaren Hardware PHW', die vorzugsweise als "Field Programmable Gate Array" FPGA' ausgebildet ist, eine z.B. als "Central Processing Unit" ausgebildete Zentrale Steuereinheit CPU', die beispielsweise als Hardware-"Central Processing Unit" H-CPU' oder als Software-"Central Processing Unit" S-CPU' ausgestaltet sein kann. 1 shows as a starting point for the embodiment of the invention, the basic structure of a field device FG 'with a "Field Programmable Gate Array (FPGA)" - based system-on-chip SOC' for key derivation. The field device FG 'or the system-on-chip SOC' contains for this purpose in addition to a programmable hardware PHW ', which is preferably designed as a "Field Programmable Gate Array"FPGA', for example, as a "Central Processing Unit" formed central control unit CPU ' , which can be configured, for example, as a hardware "Central Processing Unit" H-CPU "or as a software" Central Processing Unit "S-CPU.

Gemäß dieser Unterscheidung zwischen Software- und Hardware-CPU kann das System-On-Chip SOC' beispielsweise ein "Field Programmable Gate Array" FPGA' mit der Software-"Central Processing Unit" S-CPU' (z.B. NIOS II auf Altera Cyclone IV oder Cyclone V; Microblaze auf Xilinx Kintex-7/Virtex-7/Artix-7) ausgebildet sein. Alternativ ist es aber auch möglich, dass das System-On-Chip SOC' ein FPGA-basiertes System-On-Chip SOC' mit der Hardware-"Central Processing Unit" H-CPU' (z.B. ARM Core wie Xilinx Zynq oder Altera Cyclone V SoC) ist. According to this distinction between software and hardware CPU, the system-on-chip SOC ', for example, a "Field Programmable Gate Array" FPGA' with the software "Central Processing Unit" S-CPU '(eg NIOS II on Altera Cyclone IV or Cyclone V; Microblaze on Xilinx Kintex-7 / Virtex-7 / Artix-7). Alternatively, however, it is also possible for the system-on-chip SOC 'to be an FPGA-based system-on-chip SOC' with the hardware "central processing unit" H-CPU (eg ARM core such as Xilinx Zynq or Altera Cyclone V SoC) is.

In beiden Fällen ist dem System-On-Chip SOC' z.B. eine Speicheranordnung SPA, bestehend aus einem "Electrically Erasable Programmmable Read Only Memory" EEPROM, einem FLASH-Speicher FLS und einem "Random Access Memory" RAM, zugeordnet oder die Speicheranordnung SPA ist mit dem System-On-Chip SOC' verbunden. In both cases, the system on chip SOC 'is e.g. a memory arrangement SPA, comprising an Electrically Erasable Programmable Read Only Memory EEPROM, a FLASH memory FLS and a Random Access Memory RAM, or the memory arrangement SPA is connected to the system-on-chip SOC '.

Zu dem Feldgerät gemäß der 1 gehört ferner ein Sensor SE und ein Aktor AK, die beide über eine I/O-Schnittstelle IOS mit dem System-On-Chip SOC verbunden sind. Darüber hinaus ist die Programmierbare Hardware PHW' mit einem externen Netzwerk NW' verbunden. To the field device according to the 1 Also includes a sensor SE and an actuator AK, both of which are connected via an I / O interface IOS to the system-on-chip SOC. In addition, the Programmable hardware PHW 'connected to an external network NW'.

In der Zentralen Steuereinheit CPU', S-CPU', H-CPU' sind ein als "Operating-System Kernel (OS Kernel)" bezeichnetes Betriebssystem-Programmmodul BSPM und zwei als "App" bezeichnete Applikation-Softwaremodule ASWM enthalten. Auf dieser Zentralen Steuereinheit CPU', S-CPU', H-CPU' wird vorzugsweise ein "Embedded Linux"-Betriebssystem ausgeführt. Included in the central control unit CPU ', S-CPU', H-CPU 'are an operating system program module BSPM called "Operating System Kernel (OS Kernel)" and two application software modules ASWM called "App". An "embedded Linux" operating system is preferably executed on this central control unit CPU ', S-CPU', H-CPU '.

Die Programmierbare Hardware PHW' bzw. das "Field Programmable Gate Array" FPGA' des System-On-Chips SOC' enthält ein Hardware Secure Modul HSM', das vorzugsweise als Software-Programmmodul realisiert ist. In diesem Hardware Secure Modul HSM' ist wiederum eine als "Key Derivation Function (KDF)" bezeichnete Schlüsselableitungsfunktionalität SAF enthalten, mit der im Zuge einer Schlüsselableitung (key derivation) ein Security-Schlüssel SSL berechnet und gespeichert wird. In diese Berechnung, die vorzugsweise software- oder hardwarebasiert erfolgt, passiert auf der Grundlage eines als "Secure Hardware Key (SHK)" bezeichneten, gespeicherten, sicheren Basisschlüssel BSL und mindestens eines vorgegebenen Ableitungsparameters AP. Bezüglich dieses Ableitungsparameters AP bildet das Hardware Secure Modul HSM' eine Funktionseinheit mit der Zentralen Steuereinheit CPU', S-CPU', H-CPU' und dem darauf laufenden "Embedded Linux"-Betriebssystem, gemäß der in einem Meldungsaustausch der Ableitungsparameters AP dem Hardware Secure Modul HSM' durch die Zentralen Steuereinheit CPU', S-CPU', H-CPU' zur Verfügung gestellt wird. Bei diesem Meldungsaustausch wird auf Anfrage durch das Hardware Secure Modul HSM' von der Zentralen Steuereinheit CPU', S-CPU', H-CPU' mit einer Meldung "getkey(AP)" der Ableitungsparameter AP an das Hardware Secure Modul HSM' übermittelt, das daraufhin den Erhalt des Ableitungsparameters AP mit einer weiteren Meldung "OK(AP)" quittiert. The programmable hardware PHW 'or the "Field Programmable Gate Array" FPGA' of the system-on-chip SOC 'contains a hardware secure module HSM', which is preferably implemented as a software program module. In this hardware secure module HSM 'is in turn a "Key Derivation Function (KDF)" designated key derivation functionality SAF contained, with the in the course of a key derivation (key derivation) a security key SSL is calculated and stored. This calculation, which is preferably software-based or hardware-based, takes place on the basis of a stored, secure basic key BSL designated as "Secure Hardware Key (SHK)" and at least one predetermined derivation parameter AP. With regard to this derivation parameter AP, the hardware secure module HSM 'forms a functional unit with the central control unit CPU', S-CPU ', H-CPU' and the "embedded Linux" operating system running thereupon, according to a message exchange of the derivation parameters AP to the hardware Secure module HSM 'is provided by the central control unit CPU', S-CPU ', H-CPU'. In this message exchange, the derivation parameter AP is transmitted to the hardware secure module HSM 'on request by the hardware secure module HSM' from the central control unit CPU ', S-CPU', H-CPU 'with a message "getkey (AP)", which then acknowledges the receipt of the derivative parameter AP with another message "OK (AP)".

2 zeigt ausgehend von der 1 den prinzipiellen Aufbau eines modifizierten Feldgerätes FG mit einem "Field Programmable Gate Array(FPGA)"-basierten System-On-Chip SOC zur Schlüsselableitung im Sinne der Realisierung einer robusten Security-Funktionalität. Das Feldgerät FG bzw. der System-On-Chip SOC enthält dazu neben einer modifizierten Programmierbaren Hardware PHW, die vorzugsweise als modifiziertes "Field Programmable Gate Array" FPGA ausgebildet ist, eine z.B. als "Central Processing Unit" ausgebildete modifizierte Zentrale Steuereinheit CPU, die beispielsweise als modifizierte Hardware-"Central Processing Unit" H-CPU oder als modifizierte Software-"Central Processing Unit" S-CPU ausgestaltet sein kann. 2 shows starting from the 1 the basic structure of a modified field device FG with a "Field Programmable Gate Array (FPGA)" - based system-on-chip SOC for key derivation in the sense of realizing a robust security functionality. The field device FG or the system-on-chip SOC contains this in addition to a modified Programmable Hardware PHW, which is preferably designed as a modified "Field Programmable Gate Array" FPGA, designed as a "Central Processing Unit" modified central control unit CPU, the For example, it can be configured as a modified hardware "Central Processing Unit" H-CPU or as a modified software "Central Processing Unit" S-CPU.

Gemäß dieser Unterscheidung zwischen modifizierter Software- und Hardware-CPU kann das System-On-Chip SOC beispielsweise ein "Field Programmable Gate Array" FPGA mit der Software- "Central Processing Unit" S-CPU (analog zu der 1 z.B. NIOS II auf Altera Cyclone IV oder Cyclone V; Microblaze auf Xilinx Kintex-7/Virtex-7/Artix-7) ausgebildet sein. Alternativ ist es aber auch möglich, dass das System-On-Chip SOC ein FPGA-basiertes System-On-Chip SOC mit der Hardware-"Central Processing Unit" H-CPU (analog zu der 1 z.B. ARM Core wie Xilinx Zynq oder Altera Cyclone V SoC) ist. According to this distinction between modified software and hardware CPU, the system-on-chip SOC may, for example, have a "Field Programmable Gate Array" FPGA with the software "Central Processing Unit" S-CPU (analogous to the one of FIG 1 eg NIOS II on Altera Cyclone IV or Cyclone V; Microblaze on Xilinx Kintex-7 / Virtex-7 / Artix-7). Alternatively, however, it is also possible for the system-on-chip SOC to have an FPGA-based system-on-chip SOC with the hardware "central processing unit" H-CPU (analogous to that of FIG 1 eg ARM Core such as Xilinx Zynq or Altera Cyclone V SoC).

In beiden Fällen ist dem modifizierten System-On-Chip SOC (wie dem System-On-Chip SOC' in der 1) z.B. die Speicheranordnung SPA, bestehend aus dem "Electrically Erasable Programmmable Read Only Memory" EEPROM, dem FLASH-Speicher FLS und dem "Random Access Memory" RAM, zugeordnet oder die Speicheranordnung SPA ist (wie mit dem System-On-Chip SOC' in der 1) mit dem System-On-Chip SOC verbunden. In both cases, the modified system-on-chip SOC (such as the system-on-chip SOC 'in the 1 ) eg the memory arrangement SPA, consisting of the "Electrically Erasable Programmable Read Only Memory" EEPROM, the FLASH memory FLS and the "Random Access Memory" RAM, assigned or the memory arrangement SPA is (as with the system-on-chip SOC ' in the 1 ) is connected to the system-on-chip SOC.

Zu dem modifizierten Feldgerät FG gemäß der 2 gehört (wie zu dem Feldgerät FG' in der 1) ferner der Sensor SE und der Aktor AK, die beide über eine I/O-Schnittstelle IOS mit dem System-On-Chip SOC verbunden sind. Darüber hinaus ist die Programmierbare Hardware PHW mit einem externen Netzwerk NW verbunden. To the modified field device FG according to the 2 belongs (as to the field device FG 'in the 1 Further, the sensor SE and the actuator AK, which are both connected via an I / O interface IOS to the system-on-chip SOC. In addition, the programmable hardware PHW is connected to an external network NW.

In der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU sind wieder das als "Operating-System Kernel (OS Kernel)" bezeichnetes Betriebssystem-Programmmodul BSPM und die zwei als "App" bezeichnete Applikation-Softwaremodule ASWM enthalten. Auch auf dieser modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU wird vorzugsweise wieder das "Embedded Linux"-Betriebssystem ausgeführt. In the modified central control unit CPU, S-CPU, H-CPU are again referred to as the "operating system kernel (OS kernel)" operating system program module BSPM and the two referred to as "App" application software modules ASWM. Also on this modified central control unit CPU, S-CPU, H-CPU is preferably again executed the "embedded Linux" operating system.

Die modifizierte Programmierbare Hardware PHW bzw. das modifizierte "Field Programmable Gate Array" FPGA des System-On-Chips SOC enthält zur Schlüsselableitung im Sinne der Realisierung einer robusten Security-Funktionalität ein modifiziertes Hardware Secure Modul HSM, das vorzugsweise wieder als Software-Programmmodul realisiert ist. In diesem Hardware Secure Modul HSM ist wiederum die als "Key Derivation Function (KDF)" bezeichnete Schlüsselableitungsfunktionalität SAF enthalten, mit der im Zuge der Schlüsselableitung (key derivation) der Security-Schlüssel SSL berechnet und gespeichert wird. In diese Berechnung, die vorzugsweise wieder software- oder hardwarebasiert erfolgt, passiert wieder auf der Grundlage des als "Secure Hardware Key (SHK)" bezeichneten, gespeicherten, sicheren Basisschlüssel BSL und des mindestens einen vorgegebenen Ableitungsparameters AP. The modified programmable hardware PHW or the modified "Field Programmable Gate Array" FPGA of the system-on-chip SOC contains a modified hardware secure module HSM for key derivation in the sense of realizing a robust security functionality, which is preferably realized again as a software program module is. This hardware secure module HSM again contains the key derivation function SAF called "Key Derivation Function (KDF)", with which the security key SSL is calculated and stored in the course of the key derivation. In this calculation, which is preferably again software or hardware-based happens again on the basis of the "Secure Hardware Key (SHK)" designated stored secure base key BSL and the at least one predetermined derivative parameter AP.

Der Ableitungsparameters AP wird aber im Unterschied zu dem beschriebenen Fall gemäß der 1 nun nicht unmittelbar der Schlüsselableitungsfunktionalität SAF zur Berechnung des Security-Schlüssels SSL zugeführt, sondern einer zum Hardware Secure Modul HSM gehörenden Ableitungsparametereinheit APE, die einen Satz von Ableitungsparametern unterstützt und die der Schlüsselableitungsfunktionalität SAF zur bidirektionalen Kommunikation mit dieser vorgeschaltet ist. Neben dieser Ableitungsparametereinheit APE weist das Hardware Secure Modul HSM noch eine Informationsüberprüfungsinstanz IÜI auf, die für die Berechnung des Security-Schlüssels SSL der Ableitungsparametereinheit APE zugeordnet und der im Weiteren der Basisschlüssel BSL zuführbar ist. The derivative parameter AP is, however, unlike the case described in the 1 now not directly the key derivation functionality SAF supplied to the calculation of the security key SSL, but one belonging to the hardware secure module HSM derivative parameter unit APE, which supports a set of derivative parameters and which is the key derivation functionality SAF upstream for bidirectional communication with this. In addition to this derivation parameter unit APE, the hardware secure module HSM also has an information checking entity IÜI, which is assigned to the derivation parameter unit APE for the calculation of the security key SSL and to which the basic key BSL can subsequently be supplied.

Bezüglich des Ableitungsparameters AP bildet das entsprechend modifizierte Hardware Secure Modul HSM wieder eine Funktionseinheit mit der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU und dem darauf laufenden "Embedded Linux"-Betriebssystem, gemäß der in einem Meldungsverkehr der Ableitungsparameters AP dem Hardware Secure Modul HSM durch die Zentralen Steuereinheit CPU, S-CPU, H-CPU zur Verfügung gestellt wird. Bei diesem Meldungsverkehr zwischen dem modifizierten Hardware Secure Modul HSM und der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU werden gemäß dem richtungsabhängigen Prinzip des Sendens bzw. dem Empfangen eines Kommandos KM und dem Empfangen bzw. des Sendens einer Antwort AW Informationen, insbesondere eine Freischaltinformation FSI und der mindestens eine Ableitungsparameter AP, übertragen. Was dabei im Einzelnen übertragen wird sowie wann und wie diese Übertragung abläuft, wird weiter unten im Zusammenhang mit 3 erläutert. With regard to the derivative parameter AP, the correspondingly modified hardware secure module HSM again forms a functional unit with the modified central control unit CPU, S-CPU, H-CPU and the "embedded Linux" operating system running on it, according to the derivation parameters AP in a message traffic to the hardware Secure module HSM is provided by the central control unit CPU, S-CPU, H-CPU. In this message traffic between the modified hardware secure module HSM and the modified central control unit CPU, S-CPU, H-CPU are in accordance with the directional principle of sending or receiving a command KM and the receiving or sending a response AW information, in particular, a release information FSI and the at least one derivative parameters AP, transmitted. What is being transmitted in detail and when and how this transfer will take place is discussed below 3 explained.

Unabhängig davon sind die Ableitungsparametereinheit APE und die Informationsüberprüfungsinstanz IÜI in dem modifizierten programmierbaren Hardware-Security-Modul HSM für die Berechnung sowie die Speicherung und/oder Bereitstellung des Security-Schlüssels SSL durch die Schlüsselableitungsfunktionalität SAF derart ausgebildet, dass im Rahmen der zwischen dem modifizierten Hardware-Security-Modul HSM und der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU bestehenden Funktionseinheit und im Zuge des Meldungsverkehrs KM, AW zwischen der Ableitungsparametereinheit APE und der Zentralen Steuereinheit CPU, S-CPU, H-CPU die von der Zentralen Steuereinheit CPU, S-CPU, H-CPU übermittelte Freischaltinformation FSI, die vorzugsweise als eine Lizenzinformation z.B. in der Ausprägung eines "Hardware License Code (HLC)", eines Lizenzcodes oder einer Lizenzdatei ausgebildet ist, in der Informationsüberprüfungsinstanz IÜI überprüft wird und in Abhängigkeit von dem Überprüfungsergebnis der Ableitungsparametereinheit APE

1. ein generelles Freigabesignal oder eine generelle Freigabeinformation bereitgestellt und dadurch die Berechnung sowie die Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert wird,
2. ein kontrolliertes Freigabesignal oder eine kontrollierte Freigabeinformation bereitgestellt und dadurch die Berechnung sowie die Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert wird oder
3. ein Sperrsignal oder eine Sperrinformation bereitgestellt und dadurch die Berechnung sowie die Speicherung und/oder Bereitstellung des Security-Schlüssels SSL deaktiviert wird.

Independently of this, the derivation parameter unit APE and the information checking entity IÜI in the modified programmable hardware security module HSM are designed for the calculation as well as the storage and / or provision of the security key SSL by the key derivation functionality SAF such that between the modified hardware -Security module HSM and the modified central control unit CPU, S-CPU, H-CPU existing functional unit and in the course of the message traffic KM, AW between the derivative parameter unit APE and the central control unit CPU, S-CPU, H-CPU from the control panel Control unit CPU, S-CPU, H-CPU transmitted enabling information FSI, which is preferably designed as a license information, for example in the form of a "Hardware License Code (HLC)", a license code or a license file is checked in the information verification authority IÜI and depending from the review result of the derivative parameter unit APE

1. a general release signal or a general release information provided and thereby the calculation and the storage and / or provision of the security key SSL is activated,
2. a controlled release signal or a controlled release information provided and thereby the calculation and the storage and / or provision of the security key SSL is activated or
3. a blocking signal or a blocking information provided and thereby the calculation and the storage and / or provision of the security key SSL is disabled.

In Abhängigkeit von der Freischaltinformation bzw. der Lizenzinformation HLC wird nicht nur die Berechnung sowie die Speicherung und/oder Bereitstellung des Security-Schlüssels SSL generell freigegeben, kontrolliert freigegeben oder gesperrt, sondern es wird vorzugsweise auch die Security-Funktionalität, auf die vorzugsweise über ein "Application Programmable Interface (API)" zugegriffen werden kann, in einem Automatisierungs-, Steuerungs- und/oder Kontrollsystem (das "API" und das System sind in den 1 und 2 nicht explizit dargestellt) zur Steuerung von darin zu treffender Sicherheitsmaßnahmen generell freigegeben, kontrolliert freigegeben oder gesperrt. Depending on the activation information or the license information HLC not only the calculation and the storage and / or provision of the security key SSL is generally released, controlled enabled or disabled, but it is preferably the security functionality, preferably on a "Application Programmable Interface (API)" can be accessed in an automation, control and / or control system (the "API" and the system are in the 1 and 2 not explicitly shown) for the control of security measures to be taken in general released, controlled released or disabled.

Weiterhin erfolgt in Bezug auf den mindestens einen Ableitungsparameter AP

(i) die generelle Freigabe der Berechnung sowie der Speicherung und/oder Bereitstellung des Security-Schlüssels SSL durch die Aktivierung einer ersten Ableitungsparameter-Policy "OPEN" in Abhängigkeit von dem Überprüfen der Freischaltinformation FSI, HLC,
(ii) die kontrollierte Freigabe der Berechnung sowie der Speicherung und/oder Bereitstellung des Security-Schlüssels SSL durch die Aktivierung einer zweiten Ableitungsparameter-Policy "RESTRICTED" in Abhängigkeit von dem Überprüfen der Freischaltinformation FSI, HLC oder
(iii) die Sperre der Berechnung sowie der Speicherung und/oder Bereitstellung des Security-Schlüssels SSL durch die Aktivierung einer dritten Ableitungsparameter-Policy "DENIED" in Abhängigkeit von dem Überprüfen der Freischaltinformation FSI, HLC.

Furthermore, in relation to the at least one derivative parameter AP

(i) the general release of the calculation as well as the storage and / or provision of the security key SSL by the activation of a first derivation parameter policy "OPEN" as a function of checking the activation information FSI, HLC,
(ii) the controlled release of the calculation as well as the storage and / or provision of the security key SSL by the activation of a second derivation parameter policy "RESTRICTED" in response to the verification of the activation information FSI, HLC or
(iii) the blocking of the calculation as well as the storage and / or provision of the security key SSL by the activation of a third derivation parameter policy "DENIED" in response to the verification of the clearance information FSI, HLC.

Die im Zuge des Meldungsverkehrs von der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU zur Verfügung gestellte Freischaltinformation FSI, HLC wird vorzugsweise im Rahmen der Fertigung des vorstehend erwähnten und nicht explizit dargestellten Automatisierungs-, Steuerungs- und/oder Kontrollsystems bei einer "End-of-Line"-Programmierung oder durch einen Anwender des Automatisierungs-, Steuerungs- und/oder Kontrollsystems über das externe Netzwerk NW durch ein "Remote Service Access" RSA konfiguriert. The release information FSI, HLC provided in the course of the message traffic by the modified central control unit CPU, S-CPU, H-CPU is preferably used in the production of the above-mentioned and not explicitly shown automation, control and / or control system at a "End-of-line" - Programming or by a user of the automation, control and / or control system via the external network NW configured by a "Remote Service Access" RSA.

Darüber hinaus besteht die Möglichkeit, dass durch die in dem Automatisierungs-, Steuerungs- und/oder Kontrollsystem generell freigegebene und aktivierte, kontrolliert freigegebene und aktivierte oder gesperrte und deaktivierte Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL eine Attestierungsinformation erzeugt wird, mit der die generell freigegebene und aktivierte, kontrolliert freigegebene und aktivierte oder gesperrte und deaktivierte Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels angezeigt wird. In addition, there is the possibility that an attestation information is generated by the generally enabled and activated in the automation, control and / or control system, and enabled and disabled or disabled calculation and storage and / or provision of the security key SSL, with which the generally released and activated, controlled released and activated or locked and deactivated calculation as well as storage and / or provision of the security key is displayed.

3 zeigt in Bezug auf den bei der Erläuterung der 2 erwähnten Meldungsverkehr KM, AW zwischen dem modifizierten Hardware Secure Modul HSM und der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU ein Meldungsflussdiagramm für die Schlüsselableitung im Sinne der Realisierung einer robusten Security-Funktionalität gemäß der 2. 3 shows in reference to the explanation of the 2 mentioned message traffic KM, AW between the modified hardware secure module HSM and the modified central control unit CPU, S-CPU, H-CPU a message flow diagram for the key derivation in the sense of realizing a robust security functionality according to the 2 ,

Die 3 zeigt dabei einen möglichen Ablauf. Nach dem Start (z.B. Power-Up, Reboot) des modifizierten Feldgerätes FG bzw. des modifizierten System-On-Chip SOC benötigt die Zentrale Steuereinheit CPU, S-CPU, H-CPU einen kryptographischen Schlüssel für eine geladene, kryptographisch geschützte Firmware. Dazu wird von dem modifizierten Hardware Secure Modul HSM ein "Firmware-Boot-Key" durch die Zentralen Steuereinheit CPU, S-CPU, H-CPU angefragt. Als Anfrage wird von der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU mittels eines ersten Kommandos "getkey("Firmware-Boot")" KM-1 der Ableitungsparameter AP in der Ausprägung der Zeichenkette "Firmware-Boot" an das Hardware Secure Modul HSM übergeben. Das Hardware Secure Modul HSM bestimmt daraufhin einen entsprechenden abgeleiteten Schlüssel "Key firmware boot (Kfwb)" und stellt diesen Kfwb-Schlüssel mit einer ersten Antwort "OK("Kfwb")" AW-1 der Zentralen Steuereinheit CPU, S-CPU, H-CPU zur Verfügung. The 3 shows a possible process. After the start (eg power-up, reboot) of the modified field device FG or of the modified system-on-chip SOC, the central control unit CPU, S-CPU, H-CPU requires a cryptographic key for a loaded, cryptographically protected firmware. For this purpose, a "firmware boot key" is requested from the modified hardware secure module HSM by the central control unit CPU, S-CPU, H-CPU. The request is made by the modified central control unit CPU, S-CPU, H-CPU by means of a first command "getkey (" firmware boot ")" KM-1 of the derivative parameters AP in the form of the string "firmware boot" to the hardware Secure module HSM passed. The hardware secure module HSM then determines a corresponding derived key "key firmware boot (Kfwb)" and provides this Kfwb key with a first answer "OK (" Kfwb ")" AW-1 of the central control unit CPU, S-CPU, H -CPU available.

Im Anschluss daran wird von dem modifizierten Hardware Secure Modul HSM ein Schlüssel für einen Hardware-Schlüsselspeicher durch die Zentrale Steuereinheit CPU, S-CPU, H-CPU angefragt. Als Anfrage wird von der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU mittels eines zweiten Kommandos "getkey("HWKeyStore")" KM-2 der Ableitungsparameter AP in der Ausprägung der Zeichenkette "HWKeyStore" an das Hardware Secure Modul HSM und im Speziellen an die Ableitungsparametereinheit APE übermittelt. Allerdings antwortet das Hardware Secure Modul HSM der Zentralen Steuereinheit CPU, S-CPU, H-CPU mit einer zweiten Antwort "Error" AW-2 als Fehlernachricht, weil in der Ableitungsparametereinheit APE des Hardware Secure Moduls HSM überprüft worden ist, dass der Ableitungsparameter AP mit der Zeichenkette "HWKeyStore" nicht zulässig ist. Subsequently, the modified hardware secure module HSM requests a key for a hardware key memory from the central control unit CPU, S-CPU, H-CPU. As a request from the modified central control unit CPU, S-CPU, H-CPU by means of a second command "getkey (" HWKeyStore ")" KM-2 of the derivative parameters AP in the expression of the string "HWKeyStore" to the hardware secure module HSM and specifically, to the derivation parameter unit APE. However, the hardware secure module HSM of the central control unit CPU, S-CPU, H-CPU responds with a second response "Error" AW-2 as an error message because it has been checked in the derivation parameter unit APE of the hardware secure module HSM that the derivation parameter AP with the string "HWKeyStore" is not allowed.

Die Zentrale Steuereinheit CPU, S-CPU, H-CPU setzt daraufhin die Freischaltinformation FSI in Ausprägung der Lizenzinformation bzw. des Lizenzcodes HLC mit dem Codeinhalt ("0x71e254ecda782146") und überträgt mit einem dritten Kommando "setHLC("0x71e254ecda782146")" KM-3 die Freischaltinformation FSI bzw. die Lizenzinformation oder den Lizenzcodes HLC an das Hardware Secure Modul HSM. Das Hardware Secure Modul HSM überprüft die übermittelte Information. Diese Überprüfung der Freischaltinformation FSI bzw. die Lizenzinformation oder den Lizenzcodes HLC – auch als "HLC-Check" bezeichnet – wird in dem Hardware Secure Modul HSM von der Informationsüberprüfungsinstanz IÜI durchgeführt. Es wird dabei deren Gültigkeit überprüft (z.B. ein kryptographischer Integritätscode, z.B. eine digitale Signatur oder ein Message Authentication Code). Bei erfolgreicher Überprüfung wird eine entsprechende Information gespeichert, z.B. in einem Register, und es wird in der Ableitungsparametereinheit APE ein generelles Freigabesignal oder eine generelle Freigabeinformation bereitgestellt und dadurch die Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert. Die Ableitungsparametereinheit APE und die Informationsüberprüfungsinstanz IÜI sind hierzu vorzugsweise derart ausgebildet, dass mit dem generellen Freigabesignal bzw. der generellen Freigabeinformation in Abhängigkeit von dem Überprüfen der Freischaltinformation FSI bzw. des Lizenzcodes HLC eine erste Ableitungsparameter-Policy "OPEN" zur Freigabe der Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert wird. The central control unit CPU, S-CPU, H-CPU then sets the enabling information FSI in the form of the license information or the license code HLC with the code content ("0x71e254ecda782146") and transmits with a third command "setHLC (" 0x71e254ecda782146 ")" KM 3 the activation information FSI or the license information or the license codes HLC to the hardware secure module HSM. The hardware secure module HSM checks the transmitted information. This verification of the activation information FSI or the license information or the license codes HLC - also referred to as "HLC check" - is carried out in the hardware secure module HSM by the information verification entity IÜI. Its validity is checked (e.g., a cryptographic integrity code, e.g., a digital signature or a message authentication code). Upon successful verification, corresponding information is stored, e.g. in a register, and a general release signal or a general release information is provided in the derivation parameter unit APE, thereby activating the calculation, storage and / or provision of the security key SSL. For this purpose, the derivation parameter unit APE and the information checking instance IÜI are preferably designed such that a first derivation parameter policy "OPEN" for enabling the calculation and storage is provided with the general release signal or the general release information depending on the verification of the activation information FSI or the license code HLC and / or provision of the security key SSL is activated.

Bei einer erfolgreichen Überprüfung ist es aber auch möglich, dass ein kontrolliertes Freigabesignal oder eine kontrollierte Freigabeinformation bereitgestellt und dadurch die Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert wird. In diesem Fall sind die Ableitungsparametereinheit APE und die Informationsüberprüfungsinstanz IÜI vorzugsweise derart ausgebildet, dass mit dem kontrollierten Freigabesignal bzw. der kontrollierten Freigabeinformation in Abhängigkeit von dem Überprüfen der Freischaltinformation FSI bzw. des Lizenzcodes HLC eine zweite Ableitungsparameter-Policy "RESTRICTED" zur kontrollierten Freigabe der Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert wird. In a successful review, it is also possible that a controlled release signal or a controlled release information provided and thereby the calculation and storage and / or provision of the security key SSL is activated. In this case, the derivation parameter unit APE and the information checking instance IÜI are preferably designed such that with the controlled release signal or the controlled release information depending on the verification of the activation information FSI or the license code HLC, a second derivation parameter policy "RESTRICTED" for the controlled release of the Calculation as well as storage and / or provision of the security key SSL is activated.

Ist hingegen die Überprüfung negativ, so wird der Ableitungsparametereinheit APE ein Sperrsignal oder eine Sperrinformation bereitgestellt und dadurch die Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL deaktiviert. In diesem Fall sind die Ableitungsparametereinheit APE und die Informationsüberprüfungsinstanz IÜI vorzugsweise derart ausgebildet, dass mit dem Sperrsignal bzw. der Sperrinformation in Abhängigkeit von dem Überprüfen der Freischaltinformation FSI bzw. des Lizenzcodes HLC eine dritte Ableitungsparameter-Policy "DENIED" zur Sperre der Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL aktiviert wird. If, on the other hand, the check is negative, a blocking signal or blocking information is provided to the derivation parameter unit APE, thereby deactivating the calculation, storage and / or provision of the security key SSL. In this case, the derivation parameter unit APE and the information checking entity IÜI are preferably designed such that with the blocking signal or the blocking information, depending on the checking of the enabling information FSI or the license code HLC, a third derivation parameter policy "DENIED" for inhibiting the calculation and storage and / or provision of the security key SSL is activated.

Ist der übermittelte Code korrekt (Vorliegen einer erfolgreichen Überprüfung), so antwortet das Hardware Secure Modul HSM der Zentralen Steuereinheit CPU, S-CPU, H-CPU mit einer dritten Antwort "OK" AW-3. Dies geschieht in dem Hardware Secure Modul HSM über die Ableitungsparametereinheit APE, die von der Informationsüberprüfungsinstanz IÜI über das positive Überprüfungsergebnis informiert worden ist. If the transmitted code is correct (successful check), the hardware secure module HSM of the central control unit CPU, S-CPU, H-CPU responds with a third answer "OK" AW-3. This is done in the hardware secure module HSM via the derivation parameter unit APE, which has been informed by the information check instance IÜI about the positive check result.

Von der modifizierten Zentralen Steuereinheit CPU, S-CPU, H-CPU wird daraufhin nochmals mittels des zweiten Kommandos "getkey("HWKeyStore")" KM-2 der Ableitungsparameter AP in der Ausprägung der Zeichenkette "HWKeyStore" an das Hardware Secure Modul HSM und im Speziellen an die Ableitungsparametereinheit APE übermittelt. Nach der erfolgreichen Überprüfung der Freischaltinformation FSI bzw. des Lizenzcodes HLC in der Informationsüberprüfungsinstanz IÜI des Hardware Secure Moduls HSM wird der Ableitungsparameter AP in der Ausprägung der Zeichenkette "HWKeyStore" von der Ableitungsparametereinheit APE als zulässig angesehen und akzeptiert. Die Ableitungsparametereinheit APE aktiviert daraufhin die Berechnung sowie Speicherung und/oder Bereitstellung des Security-Schlüssels SSL auf der Grundlage des gespeicherten, sicheren Basisschlüssel BSL durch die Schlüsselableitungsfunktionalität SAF in dem Hardware Secure Modul HSM. Ist der Security-Schlüssel SSL, vorzugsweise ein entsprechend abgeleiteter Schlüssel "Key hardware key store (Khwks)", gespeichert und berechnet, so stellt das Hardware Secure Modul HSM, insbesondere die Ableitungsparametereinheit APE, diesen Khwks-Schlüssel mit einer vierten Antwort "OK("Khwks")" AW-4 der Zentralen Steuereinheit CPU, S-CPU, H-CPU zur Verfügung. From the modified central control unit CPU, S-CPU, H-CPU is then again by means of the second command "getkey (" HWKeyStore ")" KM-2 of the derivative parameters AP in the expression of the string "HWKeyStore" to the hardware secure module HSM and specifically, to the derivation parameter unit APE. After the successful verification of the activation information FSI or of the license code HLC in the information checking entity IÜI of the hardware secure module HSM, the derivative parameter AP in the form of the character string "HWKeyStore" is considered admissible by the derivation parameter unit APE and accepted. The derivation parameter unit APE then activates the calculation and storage and / or provision of the security key SSL on the basis of the stored, secure base key BSL by the key derivation function SAF in the hardware secure module HSM. If the security key SSL, preferably a correspondingly derived key "key hardware key store (Khwks)", is stored and calculated, then the hardware secure module HSM, in particular the derivation parameter unit APE, provides this khwks key with a fourth response "OK ( "Khwks") "AW-4 of the central control unit CPU, S-CPU, H-CPU available.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte Nicht-PatentliteraturCited non-patent literature

https://de.wikipedia.org/wiki/IEC_62443 in the version from 14.08.2012 [0002]
Standard IEC62443 [0005]
Anna Palmin, dr. Pierre Kobes: "Security Management and Security Transparency in Industrial Automation"; Comma 2012, pages 149 to 155; ISBN 978-3-981406-2-1 [0005]
IEC62443 [0011]
IEC62443 [0012]
IEC62443 [0014]

Claims

Method for controlling security measures in automation, control and / or control systems, in which a security key (SSL) is calculated on the basis of a stored secure base key (BSL) and of at least one predetermined derivation parameter (AP) in a software or hardware-based manner; stored and / or provided, characterized in that in terms of the realization of a robust security functionality, the calculation and storage and / or provision of the security key (SSL) in response to the review of a release information (FSI, HLC) generally released and activated, controlled released and activated or locked and deactivated.

A method according to claim 1, characterized in that a license information (HLC), in particular a license code or a license file, as the enabling information (FSI, HLC) is used.

A method according to claim 2, characterized in that depending on the license information (HLC), the security functionality in the automation, control and / or control systems generally released, controlled released or disabled.

The method of claim 1, 2 or 3, characterized in that the general release of the calculation and storage and / or provision of the security key (SSL) by activating a first derivative parameter policy "OPEN" in response to checking the activation information ( FSI, HLC), the controlled release of the calculation as well as storage and / or provision of the security key (SSL) by activating a second derivation parameter policy "RESTRICTED" depending on the verification of the activation information (FSI, HLC) or the lock of the Calculation / storage of the security key (SSL) by activating a third derivation parameter policy "DENIED" in response to checking the activation information (FSI, HLC).

Method according to one of claims 1 to 4, characterized in that the enabling information (FSI, HLC) in the context of the production of the automation, control and / or control system in an "end-of-line" programming or by a user of the Automation, control and / or control system is configured by a Remote Service Access (RSA).

Method according to one of claims 1 to 5, characterized in that by the in the automation, control and / or control system generally enabled and activated, controlled enabled and enabled or disabled and disabled calculation and storage and / or provision of the security key Attestation information is generated (SSL) with which the generally released and activated, controlled released and activated or disabled and disabled calculation and storage and / or provision of the security key is displayed.

Device (SOC, FPGA, CPU, H-CPU, S-CPU) for controlling safety measures in automation, control and / or control systems, with a central control unit (CPU), preferably as a software-based central control unit (S-CPU). CPU) or as a hardware-based central control unit (H-CPU), and a programmable hardware security module (HSM), which is formed in such a way and with the central control unit (CPU, S-CPU, H-CPU) forms a functional unit in that based on a secure base key (BSL) stored in the programmable hardware security module (HSM) and at least one of the functional unit of the central control unit (CPU, S-CPU, H-CPU) and the hardware security Module (HSM) predefined Ableitungsparameter (AP) by a in the programmable hardware security module (HSM) implemented key derivation functionality (SAF) a security key (SSL) calculated and stored and / or about is provided, characterized in that in terms of the realization of a robust security functionality in the hardware security module (HSM) for the calculation and storage and / or provision of the security key (SSL) a derivative parameter unit (APE), the one sentence supported by derivation parameters, and containing an Information Checking Entity (IÜI) associated with the Derivation Parameter Unit (APE), which are designed such that, in the context of the between the Hardware Security Module (HSM) and the Central Control Unit (CPU, S-CPU, H -CPU) in the course of a message traffic (KM-1 ... 4, AW-1 ... 4) between the derivative parameter unit (APE) and the central control unit (CPU, S-CPU, H-CPU) one of the release number information (FSI, HLC) transmitted to the central control unit (CPU, S-CPU, H-CPU) is checked in the information check instance (IÜI) and depending on the check result of the lead-out tion parameter unit (APE) a) a general release signal or a general release information provided and thereby the calculation and storage and / or Providing the security key (SSL) is activated, b) a controlled release signal or a controlled release information provided and thereby the calculation and storage and / or provision of the security key (SSL) is activated or c) a blocking signal or a blocking information provided and As a result, the calculation and storage and / or provision of the security key (SSL) is deactivated.

Apparatus according to claim 7, characterized in that the enabling information (FSI, HLC) is a license information (HLC), in particular a license code or a license file.

Apparatus according to claim 8, characterized in that the license information (HLC) is such that in response to this, the security functionality in the automation, control and / or control systems generally enabled, controlled released or disabled.

Apparatus according to claim 7, 8 or 9, characterized in that the derivation parameter unit (APE) and the information checking entity (IÜI) are designed such that a) with the general release signal or the general release information depending on the verification of the activation information (FSI, HLC) a first derivation parameter policy "OPEN" for enabling the calculation and storage and / or provision of the security key (SSL), b) with the controlled release signal or the controlled release information depending on the verification of the activation information (FSI, HLC ) a second derivation parameter policy "RESTRICTED" for controlled release of the calculation and storage and / or provision of the security key (SSL) or c) with the blocking signal or the blocking information in response to checking the activation information (FSI, HLC) a third derivation parameter policy "DENIED" to block d he calculation as well as storage and / or provision of the security key (SSL) is activated.

Device according to one of claims 7 to 10, characterized in that the central control unit (CPU, S-CPU, H-CPU) is configured such that the enabling information (FSI, HLC) in the context of manufacturing the automation, control and / or control system is configured in an end-of-line programming or by a user of the automation, control and / or control system over a network (NW) through a Remote Service Access (RSA).

Device according to one of Claims 7 to 11, characterized in that the functional unit formed from that of the central control unit (CPU, S-CPU, H-CPU) and the hardware security module (HSM) is designed such that, on the basis of the general Generated and activated, controlled released and activated or locked and deactivated calculation as well as storage and / or provision of the security key (SSL) an attestation information is generated with which the generally released and activated, controlled released and activated or locked and deactivated calculation / Storage of the security key is displayed.

Device according to one of claims 7 to 12, characterized in that it is designed as a field device (FG) with a "Field Programmable Gate Array <FPGA>" based system-on-chip (SOC).