Comprendre RTI Connext DDS Secure

Notre produit Connext DDS Secure suscite un intérêt sans précédent. Nous voyons rarement autant de demande et de curiosité pour un produit. C'est particulièrement inhabituel car le produit est encore en version bêta, mais les clients prévoient néanmoins de l'expédier dès que possible. J'ai pensé répondre à quelques-unes des questions les plus courantes.

Tout d'abord, la nouvelle norme de sécurité DDS spécifie une architecture et un modèle de sécurité. La norme Beta a été adoptée en mars par OMG. Nous (RTI) présidons le comité de finalisation; il devrait être définitif l'année prochaine. RTI est le premier à prendre en charge la nouvelle norme. Je suis sûr que d'autres fournisseurs de DDS l'implémenteront également, mais personne d'autre n'a encore de produit.

La sécurité DDS est unique dans l'espace middleware pour plusieurs raisons. Premièrement, il aborde la sécurité plus complètement que les autres normes. La spécification couvre l'authentification, le contrôle d'accès, la confidentialité, l'intégrité, la non-répudiation et la journalisation. Deuxièmement, il a une conception "plug-in". La spécification définit un ensemble de composants de plug-in standard et une spécification de fil interopérable. Mais, vous pouvez définir vos propres algorithmes pour les plugins. Enfin, il protège les "sujets" DDS, pas les nœuds ou les connexions. Ainsi, il offre un contrôle fin et peut s'adapter aux exigences uniques de l'Internet des objets industriel (IIoT). Il s'agit de la première norme de sécurité qui cible les réseaux IIoT d'appareil à appareil et d'appareil à cloud plutôt que les architectures centrées sur l'humain ou le serveur.

Peut-être qu'un exemple rendra cela plus clair. Considérez ce système (très) simple :

Sécurité DDS

Ici, "PMU" représente un capteur (une unité de mesure de phase, courante dans le contrôle de puissance). Le composant d'analyse « CBM » (maintenance basée sur les conditions) surveille le système et recherche les problèmes de santé du système. Le fonctionnement simple de ce système :le capteur PMU écrit l'état, la commande lit cet état et écrit un point de consigne. Le CBM lit l'état et écrit les alarmes. L'opérateur peut surveiller le système.

Dans DDS, ce système est facilement configuré comme flux de données entre les sujets. Bien sûr, DDS spécifie les débits de données, les exigences de fiabilité, etc.

Pour sécuriser ce système avec Connext DDS Secure, vous devez créer un fichier de configuration qui transmettait ceci :

PMU : État(w)CBM : État(r); Alarmes(w)Contrôle :État(r), Point de consigne(w)Opérateur :*(r), Point de consigne(w)

Cela dit, simplement, que PMU ne peut écrire que State. Le contrôle ne peut lire que l'état et écrire le point de consigne. CBM peut uniquement lire l'état et régler les alarmes. Et l'opérateur peut tout lire et écrire le SetPoint (peut-être pour éteindre le système). Connext DDS Secure applique directement ces contraintes système très logiques.

C'est vraiment aussi simple sur le plan conceptuel. Bien entendu, vous devez toujours distribuer les certificats et le fichier de configuration. Mais, cette sécurité « thématique » est beaucoup plus intuitive pour les systèmes IIoT que les conceptions basées sur le verrouillage de protocoles, ou l'isolement de nœuds, ou la restriction d'accès en fonction des rôles des utilisateurs. Connext DDS Secure agit sur le flux de données lui-même, directement et simplement.

Il est important de noter que notre produit Connext DDS Secure ne nécessite pas non plus de modification du code de l'application. Vous le configurez et c'est parti. Connext DDS Secure offre une protection pratique et intuitive pour les systèmes existants.

Bien sûr, aucune protection de sécurité n'est infaillible. Ainsi, la plupart des systèmes de sécurité pratiques combinent protection (arrêter les mauvaises choses) et détection (trouver et isoler les failles). C'est la raison, par exemple, que votre ordinateur portable dispose à la fois d'un pare-feu (protection) et d'un antivirus (détection). Ensemble, la protection et la détection fournissent des systèmes beaucoup plus sûrs.

DDS, étant un logiciel "DataBus", permet également une surveillance aisée. Nous l'avons utilisé avec le PNNL pour mettre en œuvre un test de sécurité de « retrofit » pour le réseau électrique, remplaçant une ancienne ligne DNP3 par une ligne DDS sécurisée, mettant ainsi en œuvre une protection. En puisant dans le trafic DataBus et le flux de méta-trafic, nous pourrions alors ajouter une capacité de script (nous avons un composant Lua élégant). Des scripts simples pourraient alors détecter de nombreuses attaques potentielles, notamment des systèmes compromis, des attaques de type man-in-the-middle, etc.

Construire un système de contrôle industriel sécurisé avec Connext DDS »

Ainsi, DDS permet de combiner protection (le standard) et détection (via le DataBus). Les deux sont relativement simples à mettre en œuvre.

Notre produit est actuellement en version d'accès anticipé. Cependant, il subit déjà des essais au feu. Voici une activité de test très étendue :

Le banc d'essai de cybersécurité USS SECURE est une collaboration entre la National Security Agency, le Department of Defense Information Assurance Range Quantico, Combat Systems Direction Activity Dam Neck, NSWCDD, NSWC Carderock/Philadelphie, Office of Naval Research, Johns Hopkins University Applied Physics Lab et Real Time Innovations Inc. Le banc d'essai de l'USS SECURE détermine la meilleure combinaison de technologies de cyberdéfense pour sécuriser un combattant naval sans affecter les exigences de performances prévues en temps réel.

Comme vous pouvez le voir, notre produit de sécurité attend des clients très exigeants. Nous ne pouvons pas vous en dire beaucoup sur ces tests pour des raisons évidentes. Cependant, je peux dire que je suis très fier de notre produit Connext DDS Secure. Sur ce site et sur de nombreux autres, il s'avère extrêmement efficace.

RTI Connext DDS Secure sera généralement disponible l'année prochaine. Si vous avez des questions, veuillez vous adresser à votre représentant local...

DDS activé par le Web, l'IoT et le cloud Connecter DDS + Android

Technologie de l'Internet des objets

Embarqué

Capteur

Cloud computing

Technologie de l'Internet des objets