El próximo gran paso en EtherNet / IP
Anteriormente explicamos lo extenso que es EtherNet/IP y todas sus funciones capaces a realizar, en este apartado se mencionara el próximo gran paso en EtherNet/Ip, a continuación lo explicaremos…
¿QUÉ ES LA SEGURIDAD CIP?
Las amenazas a las instalaciones y redes corporativas están aumentando, al igual que los ataques reales, pero rara vez se discuten, casi nadie escribe un comunicado de prensa después de un ataque exitoso en una de sus redes corporativas.
Con el tiempo, las entidades externas (extranjeras y nacionales) con intenciones maliciosas han dirigido sus energías a los sistemas de fabricación, Hay un par de razones para esto, uno, ya no hay mucho desafío, estima o recompensa financiera en los ataques dirigidos contra sistemas de computadoras personales, dos, estas entidades han aprendido que, si bien los sistemas de TI corporativos están bien protegidos, las redes de fabricación están mucho menos protegidas. A veces, los controladores son accesibles públicamente desde Internet.
Estas personas y grupos han descubierto que si pueden penetrar en las subredes de E/S del controlador programable, a menudo pueden acceder fácilmente a la tabla de datos o al código de control del controlador. Los controladores están bien defendidos de las amenazas externas cuando están vinculados a los sistemas de fabricación, empresas y en la nube, pero casi sin protección contra los ataques que se originan en sus redes de E/S, esta ruta de ataque suele ser más vulnerable con mucha menos resistencia.
ODVA diseñó la arquitectura CIP Security® para proteger a los controladores y dispositivos programables en redes de E/S de ataques originados en esas redes. A primera vista, los ataques en la red de E/S parecen poco probables. Las redes de E/S generalmente no están conectadas a Internet, entonces, ¿cuál es el problema? En la práctica, sin embargo, este tipo de ataques no son tan improbables.
Muchas personas tienen acceso a una red de fabricación, los integradores de sistemas, proveedores de productos, contratistas y empleados corporativos entran y salen de una instalación y se conectan a redes con computadoras portátiles que pueden verse comprometidas, los empleados pueden no deshabilitar los puertos abiertos en los conmutadores y, sin saberlo, hacer conexiones que enlazan a Internet, algunos empleados a sabiendas se involucran en el sabotaje, existen innumerables formas en que los atacantes pueden acceder a su red de E / S, CIP Security está diseñado para aumentar la inmunidad a tales ataques.
CIP Security proporciona integridad de mensajes, confidencialidad de mensajes, autenticación de mensajes y autenticación de punto final. La integridad del mensaje garantiza que el contenido del mensaje recibido sea idéntico al contenido del mensaje transmitido. La confidencialidad del mensaje garantiza que ninguna entidad externa tenga acceso a los datos que se transmiten a través de una red. Autenticación de mensajes significa que el remitente de un mensaje se autentica como el dispositivo que se espera que envíe el mensaje. Y la autenticación de punto final significa que un punto final debe probar que es el dispositivo que dice ser antes de instanciar una conexión.
¿COMO FUNCIONA?
Seguridad del sistema de TI estándar, fuera de la plataforma
EtherNet/IP admite comunicaciones tanto cíclicas como cíclicas. Las comunicaciones acíclicas se utilizan para mover información entre escáneres (dispositivos del lado del controlador) y dispositivos adaptadores (dispositivos de tipo E/S). Las comunicaciones cíclicas se utilizan para mover datos de E/S entre escáneres y adaptadores. Los mensajes acíclicos envían información o parámetros de configuración, como un tiempo de aceleración en un horario intermitente, mientras que las comunicaciones cíclicas se repiten continuamente.
Debido a las diferencias subyacentes entre las capas de transporte EtherNet/IP, CIP Security utiliza dos mecanismos de seguridad diferentes. Ambos son herramientas de software de TI estándar y estándar.
Las comunicaciones acíclicas (transporte TCP) utilizan TLS (Seguridad de la capa de transporte). TLS es un conocido estándar de seguridad de Internet diseñado para garantizar la integridad del mensaje, autenticar los puntos finales y mantener el contenido de los mensajes en privado. Estás usando TLS siempre que veas ese pequeño candado y el “https:” al comienzo de una URL en tu navegador.
Las comunicaciones cíclicas (transporte UDP) utilizan otro mecanismo de comunicación de TI estándar, DTLS (Datagram Transport Layer Security). DTLS, una variante de TLS, está diseñado para superar los problemas asociados con las comunicaciones UDP no reconocidas.
Dos modelos de confianza diferentes para validar las conexiones de dispositivos
Un modelo de confianza es una consideración importante en la fabricación de la seguridad del sistema. El modelo de confianza es la colección de reglas que gobiernan cómo un dispositivo decide confiar en otro dispositivo.
La implementación de CIP Security admite dos modelos de confianza: clave precompartida (PSK) y certificados X.509.
La clave precompartida es un sistema sencillo que funciona bien en sistemas pequeños, el intercambio de claves privadas funciona de manera muy simple. Una clave privada es conocida y compartida por todos los dispositivos en una red. Cualquier dispositivo que conoce la clave privada está autenticado y puede cifrar y descifrar mensajes.
Los certificados X.509 son una forma estándar para que dos dispositivos se comuniquen de forma segura a través de Internet. Cada dispositivo tiene un certificado que identifica a la entidad que emite el certificado y alguna autoridad de certificación que acredite a ese emisor, un dispositivo puede cifrar y descifrar mensajes utilizando las claves públicas y privadas asociadas con el certificado.
Los proveedores de CIP Security deben admitir ambos modelos de confianza. Los usuarios finales pueden decidir cuál tiene más sentido para sus instalaciones y encargar su dispositivo adecuadamente.
Tres nuevos objetos
Todas las tecnologías Common Industrial Protocol ™ (CIP), EtherNet/IP ™, CompoNet ™, ControlNet ™ y DeviceNet ™, son tecnologías basadas en objetos. Eso significa que los usuarios interactúan con los dispositivos CIP al interactuar con los objetos implementados en esos dispositivos.
Se han implementado tres nuevos objetos para admitir la seguridad CIP: el objeto de seguridad CIP, el objeto de administración de certificados y el objeto de seguridad EtherNet/IP.
El objeto de seguridad CIP es un objeto de control de alto nivel. Es el más simple de los objetos de seguridad CIP. Proporciona un indicador que las entidades externas pueden verificar para determinar si un dispositivo está en el estado de configuración de seguridad CIP. Mantiene una lista de autoridades de confianza e identifica los perfiles de seguridad CIP que admite el dispositivo.
El objeto de gestión de certificados (CMO) es el objeto de seguridad CIP que administra los certificados X.509 que mantiene el dispositivo y crea solicitudes de firma de certificado (CSR). Las solicitudes de firma son solicitudes a una Autoridad de certificación para la creación de un certificado X.509, en algunas aplicaciones de puesta en servicio, una herramienta de configuración solicitará el objeto de administración de certificados para crear una solicitud de firma. El objeto de gestión de certificados almacena la solicitud en el objeto de archivo donde la herramienta de configuración puede leerla y utilizarla para obtener un certificado de una autoridad de certificación local de la aplicación.
El objeto de seguridad EtherNet/IP es el objeto de seguridad CIP que administra los parámetros que gobiernan el funcionamiento de CIP Security en un dispositivo EtherNet/IP. Administra los parámetros que controlan el funcionamiento de TLS y DTLS, las suites de seguridad de cifrado, las listas de autoridades confiables y los mecanismos para obtener certificados X.509. Identifica el certificado de dispositivo activo actual que el dispositivo está utilizando para las comunicaciones seguras.
¿CÓMO SE COMISIONAN LOS DISPOSITIVOS?
No todos los dispositivos en una red EtherNet/IP tienen que ser compatibles con CIP Security, y no todos los dispositivos deben ponerse en servicio como un dispositivo seguro. Es perfectamente aceptable que un sistema tenga una mezcla de dispositivos no asegurados y seguros.
Hay varias formas en que los usuarios pueden encargar dispositivos seguros. En el nivel más alto, los usuarios deben elegir claves precompartidas o certificados X.509 como su modelo de confianza.
Modelo de confianza de clave precompartida: la puesta en marcha de un dispositivo para una clave precompartida requiere que un dispositivo de origen (Escáner) y un dispositivo de destino (Adaptador) compartan la clave de cifrado. Es simple y directo. La puesta en servicio de un dispositivo para una clave precompartida requiere una herramienta de configuración para establecer una conexión segura con un dispositivo y establecer el Atributo de clave precompartida del objeto EtherNet/IP Security en el valor clave.
Modelo de confianza del certificado X.509: la puesta en marcha de dispositivos en sistemas que utilizan certificados X.509 es más complicada pero más segura. Un certificado X.509 consiste en información de identificación, una clave pública disponible para todos y una clave privada que está protegida de manera segura. Los dispositivos intercambian certificados para validar su autenticidad cuando inician una conexión. Una vez conectados, usan sus claves para cifrar y descifrar datos de E/S y garantizar que el dispositivo de envío sea el dispositivo que formó la conexión inicial.
Los certificados pueden ser cargados previamente por un proveedor si sus usuarios finales aceptan al proveedor como una Autoridad de Certificación o si tiene un certificado acreditado de una Autoridad de Certificación. Los proveedores que ofrecen dispositivos con autoridad de certificación de Honeywell, Rockwell o un proveedor similar probablemente serán aceptados automáticamente por los usuarios finales.
De lo contrario, CIP Security proporciona dos mecanismos para que los usuarios finales carguen certificados X.509 en el campo: el modelo Push y el modelo Pull. En el modelo Push, una herramienta de configuración establece una conexión segura con un dispositivo y le inserta un certificado. En el Modelo de extracción, un dispositivo utiliza dispositivos como DNS (servidores de nombres de dispositivos), servidores de inscripción y dispositivos de autoridad de certificación para obtener un certificado.
¿ROCKWELL LO APOYA?
Rockwell Automation ya está enviando controladores que admiten CIP Security, se espera que comiencen a enviar dispositivos de Adaptador EtherNet/IP equipados con Seguridad CIP y una herramienta de configuración que automatizará el proceso de administración de dispositivos de Seguridad CIP en un futuro próximo.
Es probable que muchos fabricantes diseñen CIP Security en su próximo conjunto de dispositivos.
¿QUÉ DEBERÍA HACER DESPUÉS?
CIP Security está emergiendo en 2020 como una verdadera tecnología de cambio de juego dentro del ecosistema de Rockwell Automation, los proveedores de dispositivos deben identificar cómo implementarán esta nueva tecnología, cómo configurarán los dispositivos EtherNet/IP Adapter, qué sistemas de cifrado utilizarán, qué certificados aceptarán y mucho más. Tomar estas decisiones críticas está fuera de la experiencia de muchos ingenieros de control.
Los vendedores tienen un desafío aún más difícil, los proveedores que crean dispositivos de seguridad CIP deben decidir qué tipo de certificado deben proporcionar, cómo protegerán sus claves privadas y cómo abordarán los desafíos de cifrar y descifrar mensajes en dispositivos nunca diseñados para eso. Seguramente necesitarán revisar su pila de software EtherNet/IP y, posiblemente, volver a girar el hardware.
Para obtener información sobre nuestros productos, por favor visita nuestra pagina web Logicbus