用于通信设备的安全通信协议制造技术

本发明专利技术涉及一种用于在通信线路(CL)上传输安全以太网帧的方法，所述方法包括在发送器模块(TM)中的以下步骤：从网络层接收(S1)包括有效载荷数据的以太网帧，检索(S1)安全策略(SP)，定义待应用于以太网帧的安全类型，基于加密计数器和发送器模块的物理地址产生(S2)初始化向量(IV)，通过使用共享密钥和初始化向量对安全策略、初始化向量和有效载荷数据应用认证算法来创建(S3)认证标签(AT)，将安全策略(SP)、初始化向量(IV)和认证标签(AT)添加(S4)到有效载荷数据，以创建安全以太网帧，将安全以太网帧发送(S5)到数据链路层，用于在通信线路上传输。路上传输。路上传输。

【技术实现步骤摘要】
用于通信设备的安全通信协议


[0001]本公开总体上涉及网络，如工业网络，并且更具体地，涉及支持多种工业以太网协议、现场总线协议并且为工业架构中的通信提供高性能的系统。

技术介绍

[0002]工业自动化/控制系统用于控制广泛类型的系统的运行，包括过程、机器等，并且通常通过多个控制系统部件或设备(例如控制模块、输入/输出(I/O)模块、I/O设备等)的配置和互连而适用于不同的控制应用。现有的工业控制系统通常包括处理器，处理器运行或执行控制程序以与I/O系统(例如，通常一个或多个I/O模块或设备)交互，从而从现场传感器接收模拟和/或数字输入形式的系统信息，并向一个或多个致动器提供输出(模拟和/或数字)。工业控制系统越来越多地与制造设施中的管理信息和其他系统互连，并且可以可操作地连接到任意数量的通信网络，以在过程/机器控制功能之外促进各种商业管理功能，例如库存控制、会计、制造控制等。
[0003]随着快速以太网(例如，以具有全双工能力的交换模式)的演进和发展，集成商业和控制网络结构以将工业控制系统与通用系统互连的期望已经允许工业以太网(例如，诸如允许现场设备直接连接到以太网的以太网/IP网络)广泛用于工业应用中。事实上，工业以太网正在成为(如果当前不是)工业自动化中的主导技术。
[0004]在切片I/O架构中，独立的I/O岛通过如以太网/IP等现场总线连接到如可编程逻辑控制器PLC等控制设备，并包含通过集群管理器分别驱动I/O模块集群的头部。集群是一组I/O模块，多至32个模块，通过背板物理链接在一起，而I/O模块是将电信号转换为数字值的常用自动化模块。在集群中，集群管理器和不同的模块可以借助于其各自的交换机通过多点通信线路进行通信。
[0005]这种系统提供了受控的以太网网络，其可能遭受各种类型的网络攻击。因此，必须实施适当的网络安全架构来挫败任何最终的IO系统篡改企图。实际上，设备之间的通信必须确保数据的完整性(如果需要的话，还必须确保保密性)，因为很容易在网络上插入恶意设备。例如，恶意设备可以破坏传输中的数据，窃取敏感数据，充当正常设备然而返回无效数据，或者迫使其他设备认为它们被放置在其他地方。
[0006]目前存在许多允许设备安全通信的协议(例如IPsec、MACsec、TLS、DTLS、OPC
‑
UA Secure)。然而，它们都不能满足嵌入式系统通信的所有要求，例如轻便、快速、与时间敏感联网的兼容性以及在客户端/服务器配置或发布/订阅配置中与OPC
‑
UA(开放平台通信联合架构)的兼容性。
[0007]因此，需要缓解这些问题。

技术实现思路

[0008]提供本概述是为了介绍与本专利技术主题相关的概念。该概述不旨在标识所要求保护的主题的必要特征，也不旨在用于确定或限制所要求保护的主题的范围。
[0009]在一个实施方式中，提供了一种用于在通信线路上传输安全以太网帧的方法，所述方法包括在发送器模块中的以下步骤：
[0010]从网络层接收包括有效载荷数据的以太网帧，
[0011]检索安全策略，定义应用于以太网帧的安全类型，
[0012]基于加密计数器和发送器模块的物理地址产生初始化向量，
[0013]通过使用共享密钥和初始化向量对安全策略、初始化向量和有效载荷数据应用认证算法来创建认证标签，
[0014]将安全策略、初始化向量和认证标签添加到有效载荷数据，以创建安全以太网帧，
[0015]将安全以太网帧发送到数据链路层，以便在通信线路上传输。
[0016]有利的是，安全以太网帧为在TSN(时间敏感网络)嵌入式环境中保护通信的问题提供了答案。通常，通信安全层在确定安全性方面不提供灵活性。此外，安全以太网帧被设计成保护以太网层，并且可以被引入成本非常低的系统，并避免特定以太网安全模块的成本。
[0017]安全以太网帧可以集成在以太网驱动层上，需要可以按需激活的固件对象(不需要特定的硬件)。
[0018]通过选择开销长度，与安全策略、初始化向量和认证标签相关联的安全开销可以是灵活的。认证算法可以依赖于现在嵌入在几乎任何新微控制器中的硬件密码加速器，这带来了更快和更确定的密码计算。
[0019]在一个实施例中，该方法还包括通过使用共享密钥和初始化向量对有效载荷数据应用加密算法来加密有效载荷数据。
[0020]在一个实施例中，安全策略定义了用于加密和认证或仅用于认证的策略。
[0021]在一个实施例中，认证标签的大小至少为8字节，并且认证标签被添加到包含有效载荷数据的第二字段之后的第一字段中。
[0022]在一个实施例中，共享密钥是对称密码密钥。
[0023]在一个实施例中，共享密钥是从接收器模块获知的，安全以太网帧在通信线路上被传输到该接收器模块。
[0024]在另一实施方式中，提供了一种用于在通信线路上接收安全以太网帧的方法，所述方法包括接收器模块中的以下步骤：
[0025]从数据链路层接收包括有效载荷数据的安全以太网帧，
[0026]检索包含在安全以太网帧中的安全策略，定义应用于安全以太网帧的安全类型，
[0027]检索包含在安全以太网帧中的初始化向量，
[0028]通过使用共享密钥和初始化向量对安全策略、初始化向量和有效载荷数据应用认证算法来创建验证认证标签，
[0029]如果验证认证标签与包括在安全以太网帧中的认证标签匹配，则认证安全以太网帧，
[0030]将所述安全以太网帧发送到网络层，用于分析所述安全以太网帧的有效载荷数据的内容。
[0031]在一个实施例中，有效载荷数据被加密，并且该方法还包括通过使用共享密钥和初始化向量对有效载荷数据应用解密算法来解密有效载荷数据。
[0032]在一个实施例中，共享密钥是从发送器模块获知的，从该发送器模块在通信线路上接收安全以太网帧。
[0033]在另一实施方式中，提供了一种用于在通信线路上传输安全以太网帧的发送器模块，所述发送器模块包括：
[0034]一个或多个网络接口，用于与接收器模块通信；
[0035]联接到网络接口并被配置成执行一个或多个过程的处理器；和
[0036]存储器，被配置为存储可由处理器执行的过程，该过程在被执行时可操作用于：
[0037]从网络层接收包括有效载荷数据的以太网帧，
[0038]检索安全策略，定义待应用于以太网帧的安全类型，
[0039]基于加密计数器和发送器模块的物理地址产生初始化向量，
[0040]通过使用共享密钥和初始化向量对安全策略、初始化向量和有效载荷数据应用认证算法来创建认证标签，
[0041]将安全策略、初始化向量和认证标签添加到有效载荷数据中，以创建安全的以太网帧。
[0042]将安全以太网帧发送到数据链路层，以便在通信线路上传输。
[0043]在另一实施方式中，提供了一种用于在通信线路上接收安全以太本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种用于在通信线路(CL)上传输安全以太网帧的方法，所述方法包括在发送器模块(TM)中的以下步骤：从网络层接收(S1)包括有效载荷数据的以太网帧，检索(S1)安全策略(SP)，定义待应用于所述以太网帧的安全类型，基于加密计数器和所述发送器模块的物理地址产生(S2)初始化向量(IV)，通过使用共享密钥和所述初始化向量对所述安全策略、所述初始化向量和所述有效载荷数据应用认证算法来创建(S3)认证标签(AT)，将所述安全策略(SP)、所述初始化向量(IV)和所述认证标签(AT)添加(S4)到所述有效载荷数据，以创建安全以太网帧，将所述安全以太网帧发送(S5)到数据链路层，以便在所述通信线路上传输。2.根据权利要求1所述的方法，进一步包括：通过使用共享密钥和所述初始化向量对所述有效载荷数据应用加密算法来加密(S4)所述有效载荷数据。3.根据前述权利要求中任一项所述的方法，其中，所述安全策略定义了用于加密和认证或仅用于认证的策略。4.根据前述权利要求中任一项所述的方法，其中，所述认证标签(AT)的大小至少为8字节，并且所述认证标签(AT)被添加到包含所述有效载荷数据的第二字段(Fpd)之后的第一字段(Fat)中。5.根据前述权利要求中任一项所述的方法，其中，所述共享密钥是对称密码密钥。6.根据前述权利要求中任一项所述的方法，其中，所述共享密钥是从接收器模块获知的，所述安全以太网帧在所述通信线路上被传输到所述接收器模块。7.一种用于在通信线路(CL)上接收安全以太网帧的方法，所述方法包括在接收器模块(RM)中的以下步骤：从数据链路层接收(S6)包括有效载荷数据的安全以太网帧，检索(S6)包括在所述安全以太网帧中的安全策略(SP)，定义应用于所述安全以太网帧的安全类型，检索(S7)包含在所述安全以太网帧中的初始化向量(IV)，通过使用共享密钥和所述初始化向量对所述安全策略、所述初始化向量和所述有效载荷数据应用认证算法来创建(S9)验证认证标签(VAT)，如果所述验证认证标签(VAT)与包含在所述安全以太网帧中的认证标签(AT)匹配，则认证(S9)所述安全以太网帧，将所述安全以太网帧发送(S10)到网络层，用于分析所述安全以太网帧的有效载荷数据的内容。8.根据权利要求7所述的方法，其中，所述有效载荷数据被加密，并且所述方法还包括：通过使用共享密钥和所述初始化向量对所述有效载荷数据应用解密算法来解密(S9)所述有效载荷数据。9.根据权利要求7或8所述的方法，...

【专利技术属性】
技术研发人员：W，
申请(专利权)人：施耐德电气工业公司，
类型：发明
国别省市：