Warum Connext DDS Secure die smarte Wahl für Industrial IoT Security ist

„Security sollte built-in sein, nicht bolted-on.“ Dieses Prinzip ist besonders wahr, während sich das Industrial Internet of Things (IIoT) ausdehnt. Doch viele Systeme adoptieren Security noch als Afterthought. Zu verstehen, warum, hilft Architekten, kostspielige Retrofits zu vermeiden.

Oft sind Threat Models und Security Requirements nicht vollständig in die Architekturphase integriert. Bestehende Lösungen werden dann mit Encryption oder Access Controls nachgerüstet, was teuer, fragil und unzureichend sein kann. Management priorisiert möglicherweise Performance über Security, in der Annahme, dass Isolation oder Air-Gap das System schützen. Wenn Security dann hinzugefügt wird, kann Re-Architektur der gesamten Lösung prohibitiv teuer sein.

Sichere Systeme zu designen erfordert Balance zwischen Schutz vor Angriffen und minimalem Impact auf Performance, Interoperabilität und Skalierbarkeit – Herausforderungen, die sich intensivieren, je komplexer Systeme werden. Die DDS Security Spezifikation und RTIs Connext® DDS Secure adressieren diese Herausforderungen mit einem Peer-to-Peer, datenzentrischen Framework, das native feingranulare Security-Kontrollen, Multicast und Zero-Copy-Datenverteilung unterstützt.

Wenn Sie bereits DDS nutzen oder evaluieren, bietet Connext DDS Secure einen klaren Pfad, Security mit Business-Risiko und Performance-Zielen zu alignieren. Unten erkunden wir, wie es die Bedürfnisse kritischer IIoT-Umgebungen erfüllt und illustrieren seinen Impact mit einer Medical-Device-Interoperabilitäts-Case-Study.

Passt DDS Security zu Ihrem Use Case?

RTI-Ingenieure evaluieren potenzielle Kunden anhand fünf Schlüsselfragen. Wenn mindestens drei mit „Ja“ beantwortet werden, ist DDS wahrscheinlich das optimale Konnektivitäts-Framework:

1. Ist ein kurzer Ausfall für Ihr System inakzeptabel?
2. Haben Sie in den letzten zwei Wochen die Begriffe „Millisekunde“ oder „Mikrosekunde“ verwendet?
3. Haben Sie mehr als zehn Software-Ingenieure?
4. Müssen Sie Daten an multiple Destinations publizieren (z. B. Cloud, Database, Edge Devices)?
5. Entwerfen Sie eine neue IIoT-Architektur?

Frage 1 – Verfügbarkeit
Wenn Uptime kritisch ist, eliminiert DDS' Peer-to-Peer-Topologie Single Points of Failure. QoS-Policies wie Ownership, Durability, Liveliness und Deadline ermöglichen graceful degradation. DDS Security fügt Domain-Segregation, Participant-Authentifizierung und Message-Authentifizierung hinzu, die DoS-Angriffe mildern, während Verfügbarkeit erhalten bleibt.

Frage 2 – Echtzeit-Performance
Hochfrequente Datenströme fordern minimale Latenz. DDS Security lässt Sie Confidentiality, Integrity und Authenticity pro Topic oder Participant konfigurieren, ohne Applikationscode zu ändern. Dieser feinjustierte Ansatz stellt sicher, dass nur notwendige Security-Mechanismen angewendet werden, wodurch Round-Trip-Times niedrig bleiben.

Frage 3 – Entwicklungseffizienz
Große Teams profitieren von DDS' datenzentrischem Design, das Datenmodelle von Processing-APIs entkoppelt. Security-Policies werden in deklarativen Dateien (Domain Governance, Participant Permissions) definiert, die unabhängig vom Code auditiert und aktualisiert werden können, was Integrationsrisiko reduziert und Delivery beschleunigt.

Frage 4 – Multicast-Optimierung
Im Gegensatz zu TLS/DTLS, das Multicast nicht nutzen kann, unterstützt DDS Security Multicast nativ für effiziente Datenverteilung. Dies ist essenziell für Broadcast-style Applikationen wie Telemetrie, Diagnostik und Control-Messaging.

Frage 5 – Neue-Architektur-Flexibilität
Wenn Sie ein frisches System bauen, können Sie Security von Anfang an einbetten. DDS ist ein offener, vendor-neutraler Standard, und DDS Security bietet pluggable Authentication, Authorization, Cryptography und Logging APIs, was es ideal für skalierbare, cross-vendor IIoT-Deployments macht.

RTI Connext DDS Secure wurde von zahlreichen kommerziellen und Regierungs-Kunden validiert. Feedback hat kontinuierlich Produktverbesserungen und Beiträge zur DDS-Community informiert.

Beispiel: DDS Security für sichere Medical-Device-Interoperabilität

Der ASTM F2761-09 Integrated Clinical Environment (ICE) Standard fördert Interoperabilität unter heterogenen Medizinprodukten. OpenICE, eine Open-Source-ICE-Implementierung, nutzt DDS als Kommunikations-Rückgrat. Ohne explizite Security könnte ein Insider als Man-in-the-Middle agieren, Patientendaten fälschen und Pflege kompromittieren.

OpenICE ermöglicht Konnektivität über diverse Medizinprodukte. Durch Anwenden von DDS Security können Administratoren per-Device Access Controls erzwingen, sodass nur autorisierte Teilnehmer sensible Topics publizieren oder abonnieren. Dies mildert Insider-Bedrohungen und bewahrt Patientensicherheit.

Transport-Level Security allein reicht nicht

Selbst wenn der gesamte Traffic mit TLS/DTLS verschlüsselt ist, kann ein kompromittiertes Gerät noch bösartige Daten publizieren, fehlen feingranulare Controls. DDS Securitys rollenbasierte Access Policies verhindern solche Angriffe ohne bestehende Transport-Security zu beeinträchtigen.

Für ressourcenbeschränkte Geräte oder bandbreitensensitive Applikationen können Sie Security-Level maßschneidern – nur Integrity oder Authenticity aktivieren, wo appropriate – Overhead minimieren bei Compliance-Erhalt.

RTI bietet auch Custom TLS/DTLS Transports an, die mit DDS integriert werden können für Use Cases, die sie erfordern. Unsere Architecture Studies helfen Ihnen, den richtigen Blend aus Transport- und Middleware-Security basierend auf Risiko und Performance zu wählen.

Fazit und Referenzen

Für kritische Infrastruktur empfehlen wir die Adoption von RTI Connext DDS Secure und dem OMG DDS Security Standard. Schlüsselreferenzen:

• [1] OMG DDS Security Specification – https://www.omg.org/spec/DDS-Security/
• [2] Industrial Internet Reference Architecture (IIRA) – https://www.iiar.org/
• [3] Industrial Internet Connectivity Framework (IICF) – https://www.iicf.org/
• [4] Industrial Internet Security Framework (IISF) – https://www.iisf.org/
• [5] ICE Security – https://www.ice-security.org/