RTI Connext DDS Secure: Deep Dive in fortschrittliche IoT-Sicherheit

RTI Connext DDS Secure entwickelt sich rasant zur meistgefragten Sicherheitslösung im DDS-Ökosystem. Obwohl das Produkt noch in Beta ist, planen Kunden bereits den Produktionseinsatz. Im Folgenden beantworten wir die häufigsten Fragen, um ein klares Verständnis zu vermitteln, was diese Lösung auszeichnet.

Der neue DDS Security Standard definiert eine umfassende Sicherheitsarchitektur und ein Modell. Die Beta-Version wurde im März von der OMG angenommen, und RTI leitet das Finalisierungskomitee. Wir sind der erste Anbieter mit vollem Standard-Support und erwarten General Availability nächstes Jahr. Andere DDS-Anbieter ziehen nach, aber keiner bietet derzeit ein Produkt, das den Standard implementiert.

DDS Security zeichnet sich durch mehrere Aspekte aus:

• Umfassende Abdeckung – Die Spezifikation adressiert Authentifizierung, Zugriffskontrolle, Vertraulichkeit, Integrität, Non-Repudiation und Logging.
• Plug-in-Architektur – Sie definiert standardisierte Plug-in-Komponenten und ein interoperables Wire-Protokoll, erlaubt Kunden aber weiterhin eigene Algorithmen zu implementieren.
• Topic-Level-Schutz – Sicherheit wird auf einzelnen DDS-Topics durchgesetzt, nicht auf Knoten oder Verbindungen, was feingranulare Kontrolle ermöglicht – ideal für Industrial Internet of Things (IIoT) Netzwerke.

Im Gegensatz zu vielen Sicherheitsmodellen, die Protokolle oder Knoten sperren, schützt DDS Security den Datenfluss selbst. Dieser Ansatz passt natürlich zu IIoT-Use-Cases, wo Geräte direkt miteinander und mit Cloud-Services kommunizieren.

Beispiel-Use-Case

Betrachten Sie ein vereinfachtes Stromnetz-Monitoring-System:

• PMU – Phasenmessgerät, das Sensordaten publiziert.
• CBM – Condition-Based-Maintenance-Analytics, liest Status und publiziert Alarme.
• Control – Liest Status und schreibt Steuer-Sollwerte.
• Operator – Kann alle Topics lesen und Sollwerte schreiben.

In DDS wird dieses System als Datenflüsse zwischen Topics ausgedrückt. Um es mit Connext DDS Secure abzusichern, stellen Sie eine Konfigurationsdatei bereit wie diese:

PMU: State(w) CBM: State(r); Alarms(w) Control: State(r), SetPoint(w) Operator: *(r), Setpoint(w)

Die Konfiguration besagt: PMU darf nur das State-Topic schreiben, Control nur State lesen und SetPoint schreiben, CBM State lesen und Alarms schreiben, und der Operator hat vollen Lesezugriff und darf SetPoint schreiben. Connext DDS Secure setzt diese Constraints direkt auf dem Datenstrom durch, was das Sicherheitsmodell für IIoT-Systeme intuitiv macht.

Ein großer Vorteil: Die Lösung erfordert keine Änderungen am Applikationscode. Sie konfigurieren lediglich die Plug-ins und deployen; die Middleware erledigt den Rest.

Keine Sicherheitslösung kann absolute Sicherheit beanspruchen, doch DDS Security ergänzt Schutz durch Detektion. DDS ist ein Software-„DataBus“, der Echtzeit-Monitoring ermöglicht. In Partnerschaft mit PNNL implementierten wir einen Retrofit-Sicherheitstest für das Stromnetz: Eine sichere DDS-Leitung ersetzte einen alten DNP3-Link, und wir nutzten Lua-Skripte zur Analyse von DataBus-Traffic und Erkennung von Anomalien wie kompromittierten Knoten oder Man-in-the-Middle-Angriffen.

Built a Secure Industrial Control System with Connext DDS

Durch Kombination des robusten Schutzes des DDS Security Standards mit Echtzeit-Detektion über den DataBus erreichen Sie eine mehrschichtige Verteidigungsstrategie, die sowohl effektiv als auch einfach zu implementieren ist.

Das Produkt befindet sich derzeit im Early-Access-Release und durchläuft bereits rigorose Tests. Eine umfangreiche Testaktivität ist der USS SECURE Cybersecurity Testbed, eine Kollaboration u. a. mit National Security Agency, Department of Defense Information Assurance Range Quantico, Combat Systems Direction Activity Dam Neck, NSWCDD, NSWC Carderock/Philadelphia, Office of Naval Research, Johns Hopkins University Applied Physics Lab und Real Time Innovations Inc. Dieser Testbed evaluiert die beste Kombination von Cyber-Abwehrtechnologien zur Sicherung eines Marinekampfschiffs ohne Beeinträchtigung der Echtzeit-Deadline-Performance.

Wir sind stolz auf Connext DDS Secures Performance in diesen anspruchsvollen Umgebungen und glauben, dass es einen neuen Benchmark für IoT-Sicherheit setzen wird. Das Produkt wird nächstes Jahr allgemein verfügbar sein. Für mehr Informationen kontaktieren Sie Ihren lokalen RTI-Vertreter.