Sécurisez votre système IIoT avec des bibliothèques cryptographiques personnalisées

La spécification OMG DDS Security avance vers la Version 1.0, apportant un modèle de sécurité natif centré sur les données dans le standard DDS. Cette évolution dote les solutions Industrial IoT (IIoT) de la flexibilité, fiabilité et performance temps réel que DDS offre déjà.

Une fonctionnalité remarquable de la spécification est l'architecture d'interface de plugin de service (SPI). Les SPI vous permettent d'adapter les mécanismes de sécurité — authentification, contrôle d'accès, cryptographie, journalisation et étiquetage de données — sans modifier votre code applicatif.

Cet article explique le cadre SPI et montre comment configurer les plugins intégrés de RTI Connext DDS Secure pour déléguer les opérations cryptographiques à la bibliothèque de votre choix.

Interfaces de Plugin de Service (SPI) DDS Secure

La spécification DDS Security ne modifie pas l'API applicative. Au lieu de cela, elle définit cinq composants plug-in que le middleware DDS invoque selon les besoins. Ces plug-ins fournissent des fonctions distinctes d'assurance de l'information via des interfaces standardisées.

Les cinq SPIs sont :

Nom du SPI	But de ses types et opérations
Authentication	Vérifie l'identité des DomainParticipants DDS, supporte l'authentification mutuelle et établit des secrets partagés.
AccessControl	Détermine quelles opérations DDS un participant authentifié peut effectuer, comme rejoindre un domaine ou créer Topics, DataReaders, DataWriters.
Cryptography	Effectue chiffrement/déchiffrement, hachage, signatures numériques et codes d'authentification de message.
Logging	Capture les événements liés à la sécurité pour un DomainParticipant.
Data Tagging	Ajoute des étiquettes ou tags de sécurité aux données pour usage applicatif spécifique.

L'architecture SPI offre une personnalisation extensive de chaque aspect de sécurité. Bien que vous puissiez remplacer toute implémentation SPI, le moment des invocations SPI reste gouverné par le middleware DDS, assurant la conformité à la spécification.

Les plugins intégrés décrits au Chapitre 9 de la spécification fournissent une interopérabilité transparente à travers les implémentations DDS. RTI Connext DDS Secure est livré avec ces plugins et un chemin direct pour la personnalisation.

Personnalisation des plugins intégrés RTI Connext DDS Secure

Les binaires de plugins de sécurité groupés permettent le déploiement immédiat d'un système DDS sécurisé. Configurez la PropertyQosPolicy de votre DomainParticipant pour pointer vers les artefacts de sécurité requis — fichiers de contrôle d'accès, documents de gouvernance, certificats d'identité — selon la spécification.

Si une modification plus profonde est nécessaire, RTI fournit les fichiers sources compilables. Pour la plupart des scénarios, cependant, tirer parti de l'API OpenSSL EVP offre une solution plus simple.

Remplacer les implémentations d'algorithmes cryptographiques

Les plugins intégrés utilisent le moteur EVP d'OpenSSL pour les fonctions cryptographiques, mais ils permettent d'injecter un moteur personnalisé. Votre moteur peut rediriger les appels vers une bibliothèque conforme FIPS ou tout autre fournisseur cryptographique supportant l'interface EVP.

Les fonctions exposées par les plugins incluent :

Fonctionnalité	Algorithmes Spécifiés pour les Plugins DDS Security Intégrés
Chiffrement/déchiffrement symétrique	AES-GCM avec clés 128-bit ou 256-bit
Signature/vérification	RSA-PSS ou ECDSA avec SHA-256
Échange de clés	DH ou ECDH avec paramètres définis
Codes d'authentification de message	HMAC-SHA256 et GMAC
Fonctions de hachage sécurisées	SHA-256
Génération de nombres aléatoires	RNG cryptographiquement forts

Pour utiliser un fournisseur cryptographique différent, configurez soit le plugin pour charger votre moteur EVP, soit implémentez un shim qui transfère les appels vers votre bibliothèque.

Modifier les plugins intégrés eux-mêmes

Si les algorithmes ou paramètres par défaut ne répondent pas à vos exigences, vous pouvez modifier le code source du plugin. Les changements courants incluent la sélection d'algorithmes alternatifs, l'ajustement des tailles de clés, ou le passage de liaison dynamique à statique.

Pour des personnalisations plus étendues — comme un nouveau schéma d'authentification d'identité — consultez les experts RTI pour assurer que vos modifications restent compatibles avec la Spécification DDS Security.