工业智能电子装置的安全有效注册制造方法及图纸

一种用于向认证机构(16)注册智能电子装置(14)的方法包括：在认证机构(16)处登记配置工具(12)；生成智能电子装置(14)的一次性密码(28)并且将一次性密码(28)存储在认证机构(16)中和配置工具(20)中；将智能电子装置(14)与配置工具(20)连接，其中配置工具(20)在智能电子装置(14)处进行认证；将一次性密码(28)从配置工具(20)发送给智能电子装置(14)；采用一次性密码(28)在认证机构(16)处登记智能电子装置(14)，并且向认证机构(16)注册智能电子装置(14)；以及在智能电子装置(14)中从认证机构(16)接收装置证书(34)。

【技术实现步骤摘要】
工业智能电子装置的安全有效注册
本专利技术涉及用于向认证机构注册智能电子装置的方法、计算机程序和系统。
技术介绍
对公用事业和所谓的“智能电网”的网络安全要求变得越来越重要。例如，标准IEC(国际电工技术委员会)62351-9描述密钥、证书登记、生成和撤消将如何在自动化工业中管理。数字(X.509)证书是一种形式的数字身份。数字证书用于若干用途，包含用户、过程和装置的认证。因此，安全地进行证书的分发是重要的。挑战是要提供有效分发过程，同时还确保恶意智能电子装置没有接收有效证书。为了确保只有有效智能电子装置获得有效证书，智能电子装置可需要保持/提出某种形式的有效凭证。一次性密码通常是由装置在执行其初始证书签署请求时使用的凭证。注册数据通常经由配置工具按照带外机制手动和个别地传递给智能电子装置，其中经授权的工程师或网络安全管理员将注册数据从存储媒体(例如USB棒)推送到每个智能电子装置中作为装置配置的组成部分。例如，US20130145449A1和US20130132721A1涉及一种使用USB棒或CD向智能电子装置分发一次性密码的解决方案。一次性密码按照专有方式用来增加对证书签署请求数据的篡改保护。但是，在每一个单装置中安装注册数据可能是非常劳动密集的并且易于出错的。
技术实现思路
本专利技术的一个目的是提供一种用于采用注册数据的智能电子装置的初始配置以用于向认证机构登记的有效方法。这个目的通过独立权利要求的主题来实现。通过从属权利要求和以下描述，另外的示范实施例是显而易见的。本专利技术的第一方面涉及一种用于向认证机构注册智能电子装置的方法。智能电子装置可以是包括可编程硬件(其在通信上与功率电气和/或电子装置相连接)的任何装置。例如，智能电子装置可以是直接控制电子装置和/或接收来自电子装置的测量数据的嵌入式装置。也许还有可能的是，智能电子装置远离电子装置和/或适合于传送来自电子装置的数据和/或向电子装置传送数据。智能电子装置可用于工业过程中。认证机构可以是计算装置、例如服务器，从而提供认证机构以及可选地是注册机构，其可提供公有密钥基础设施。认证机构可发出数字证书。注册机构可充当认证机构的前端，认证证书登记请求并且仅将经认证的请求传递到认证机构上，其然后发出对应的数字证书。认证机构可以不直接操控证书登记请求。数字证书或者简单来说的证书可包括数据集，其唯一地识别密钥对、即用于加密的公有密钥和私有密钥以及持有者。证书可包含证书的持有者的公钥以及可选地包含其他信息。证书可由认证机构以数字方式来签署，由此将公钥绑定到持有者。数字签署可表示数据的密码变换，其提供一种用于检验数据的原始认证、数据完整性和签署人不可抵赖的机制。按照本专利技术的实施例，该方法包括：在认证机构处登记配置工具。配置工具可以是运行于配置装置(其可以是膝上型或PC或者其他计算装置)上的软件。配置工具可例如经由因特网来建立与认证机构的通信连接。通信连接可以是安全的，和/或配置工具可必须在认证机构处进行认证。按照本专利技术的实施例，该方法还包括：生成智能电子装置的一次性密码，并且将智能电子装置的一次性密码存储在认证机构中和配置工具中。一次性密码可由认证机构、配置工具或另外的装置来生成。所生成的一次性密码可例如由配置工具来提供有注册数据。一次性密码可连同与智能电子装置有关的数据一起存储在认证机构中。通常，可生成多个智能电子装置(例如特定工厂或设施的所有智能电子装置)的一次性密码。这些一次性密码都可以是不同的。在配置任何智能电子装置之前，配置工具可向智能电子装置的持有者的公有密钥基础设施、即注册/认证机构登记。必须注意，这个持有者无需是智能电子装置的制造商，其可以不能够定制具有正确注册数据的智能电子装置。登记可准许配置工具“代表”一个或多个智能电子装置安全地生成和/或请求一次性密码。因此，信任能够在认证机构与配置工具之间建立。在这里和下文中，信任可表示指示实体正确、公平和平等地执行某些功能或服务的能力的它的特性连同该实体及其标识符是真实的保证。按照本专利技术的实施例，该方法还包括：将智能电子装置与配置工具连接，其中配置工具在智能电子装置处进行认证；以及将一次性密码从配置工具发送给智能电子装置。在下一步骤中，配置工具可例如经由因特网来建立与智能电子装置的通信连接。通信连接可以是安全的，和/或配置工具可必须在智能电子装置处进行认证，使得信任可在配置工具与智能电子装置之间建立。一次性密码然后可经由置信的通信连接发送给相应的智能电子装置。一次性密码以及与在认证机构处的智能电子装置的注册过程对应的可选另外的注册数据可存储在智能电子装置中。按照本专利技术的实施例，该方法还包括：采用一次性密码向认证机构登记智能电子装置，并且在认证机构中注册智能电子装置；以及在智能电子装置中从认证机构接收装置证书。通过一次性密码并且通过可选另外的注册数据，智能电子装置可例如经由因特网来建立与认证机构的通信连接，并且可采用一次性密码在认证机构处进行认证。认证机构然后可向智能电子装置发送数字装置证书。由于认证机构按照安全方式向配置工具提供了一次性密码或者按照安全方式接收了一次性密码，并且智能电子装置连同一次性密码一起在认证机构中已经列示，所以还可建立智能电子装置与认证机构之间的置信的通信连接。没有被配置工具启用的智能电子装置可能接收来自认证机构的证书也许是不可能的。该方法可在智能装置在其最终地点处的安装过程期间执行。通过初始装置的方法生产率和安全性，可改进安装过程。必须注意，为了准予方法的安全性，可能必须假定标准网络安全实践适用，例如物理安全性、网络边界保护、入侵检测、认证、补丁管理等。该方法还符合IEC62351-9标准，即用于功率系统的密钥管理并且描述将如何管理数字证书和编组对称会话密钥以用于保护功率系统的标准。标准IEC62351-9规定智能电子装置在变成操作之前将如何向注册/认证机构执行其证书登记。具体来说，智能电子装置如上文和下文所述在认证机构处的登记可按照标准IEC62351-9来执行。该标准还规定每个智能电子装置将配置有其自己的“注册/认证机构注册数据”。但是，该标准没有提到进行这个配置的有效和安全方式。按照本专利技术的实施例，配置工具向认证机构请求配置证书。也许有可能的是，配置工具的登记基于与智能电子装置中的公有密钥基础设施相同的公有密钥基础设施。按照这种方式，配置工具还可接收数字证书，其可用于在配置工具向认证机构请求一次性密码的任何时间来认证它。例如，为了请求一次性密码，配置工具在认证机构处采用配置证书自行认证。按照本专利技术的实施例，一次性密码由认证机构来生成，并且发送给配置工具。例如，配置工具可向认证机构请求智能电子装置的一次性密码。在这种情况下，一次性密码可由认证机构采用配置工具的配置证书来加密。这还可对安全通信连接提供进一步安全性。按照本专利技术的实施例，该方法还包括：向配置工具的用户请求认证，并且由认证机构对配置工具授权用户。也许有可能的是，操作配置工具的用户还可必须在认证机构处例如手动地认证。因此，配置工具和用户可必须具体采用不同方法进行认证。配置工具可经由用户标识和用户密码来认证配置工具的用户。只有经认证和经授权的用户可以能够请求一次性密码和/或向智能电子装置发送一次性密码。按照本专利技术的本文档来自技高网...

【技术保护点】
一种用于向认证机构(16)注册智能电子装置(14)的方法，所述智能电子装置(14)适合于控制功率电气装置并且是功率电气装置的嵌入式控制器，所述方法包括：在所述认证机构(16)处登记配置工具(12)；生成所述智能电子装置(14)的一次性密码(28)，并且将所述一次性密码(28)存储在所述认证机构(16)中和配置工具(20)中；将所述智能电子装置(14)与所述配置工具(20)连接，其中所述配置工具(20)在所述智能电子装置(14)处进行认证；将所述一次性密码(28)从所述配置工具(20)发送给所述智能电子装置(14)，其中所述一次性密码(28)包含在发送给所述智能电子装置(14)的配置数据(32)中，其中所述配置数据(32)还包含所述认证机构(16)的地址和/或所述认证机构(16)的根证书中的至少一个；采用所述一次性密码(28)在所述认证机构(16)处登记所述智能电子装置(14)，并且向所述认证机构(16)注册所述智能电子装置(14)，其中所述一次性密码包含到由所述智能电子装置(14)从所述配置数据(32)所创建的RA/CA注册数据(36)中；在所述智能电子装置(14)中从所述认证机构(16)接收装置证书(34)。...

【技术特征摘要】
2016.06.16 EP 16174840.51.一种用于向认证机构(16)注册智能电子装置(14)的方法，所述智能电子装置(14)适合于控制功率电气装置并且是功率电气装置的嵌入式控制器，所述方法包括：在所述认证机构(16)处登记配置工具(12)；生成所述智能电子装置(14)的一次性密码(28)，并且将所述一次性密码(28)存储在所述认证机构(16)中和配置工具(20)中；将所述智能电子装置(14)与所述配置工具(20)连接，其中所述配置工具(20)在所述智能电子装置(14)处进行认证；将所述一次性密码(28)从所述配置工具(20)发送给所述智能电子装置(14)，其中所述一次性密码(28)包含在发送给所述智能电子装置(14)的配置数据(32)中，其中所述配置数据(32)还包含所述认证机构(16)的地址和/或所述认证机构(16)的根证书中的至少一个；采用所述一次性密码(28)在所述认证机构(16)处登记所述智能电子装置(14)，并且向所述认证机构(16)注册所述智能电子装置(14)，其中所述一次性密码包含到由所述智能电子装置(14)从所述配置数据(32)所创建的RA/CA注册数据(36)中；在所述智能电子装置(14)中从所述认证机构(16)接收装置证书(34)。2.如权利要求1所述的方法，其中，所述配置工具(20)向所述认证机构(16)请求配置证书(26)。3.如权利要求2所述的方法，其中，所述配置工具(20)采用配置证书(26)在所述认证机构(16)处自行认证。4.如权利要求2或3所述的方法，其中，所述一次性密码(28)采用所述配置工具(20)的所述配置证书(26)来加密。5.如前述权利要求中的一个所述的方法，还包括：向所述配置工具(20)的用户请求认证，并且由所述认证机构(16)对所述配置工具(20)授权所述用户。6.如前述权利要求中的一个所述的方法，其中，所述一次性密码(28)经由安全通信连接在线请求；其中所述一次性密码(28)经由TLS和/或HTTPS连接来请求。7.如前述权利要求中的一个所述的方法，其中，所述配置工具(20)在所述智能电子装置(14)处采用用户密码(30)进行认证；其中用于在所述智能电子装置(14)处的所述配置工具(20)的认证的所述用户密码(30)是用于多于一个智能电子装置(14)的标准密码。8.如前述权利要求中的一个所述的方法，其中，所述配置工具(20...

【专利技术属性】
技术研发人员：A博塞，F阿瓦雷兹，R德维森，
申请(专利权)人：ABB瑞士股份有限公司，
类型：发明
国别省市：瑞士,CH