CN113748641A - 用于颁发公众信任的证书的方法和系统、工程系统或控制系统和技术设施 - Google Patents

Abstract

本发明涉及一种用于为技术设施的设施部件(G)颁发公众信任的证书(C)的方法，其中a)认证模块(ZM)从至少一个设施部件(G)查询至少一个部件标识符(K)，该设施部件应获取公众信任的证书(C)，b)认证模块(ZM)将至少一个部件标识符(K)连同对公众信任的证书(C)的证书申请(CSR)一起传输给注册机构(RA)，c)注册机构(RA)根据至少一个部件标识符(K)来检查，相关于部件标识符(K)的至少一个部件(G)是否与至少一个授权个人或至少一个授权公司相关联，d)对于肯定的情况，注册机构(RA)请求对于至少一个部件(G)的公众信任的证书(C)，e)创建所请求的公众信任的证书(C)并传输给认证模块(ZM)。此外，本发明涉及一种用于为技术设施的设施部件(G)颁发公众信任的证书(C)的系统(S)、一种用于技术设施的工程系统(ES)或控制系统以及一种技术设施。

Description

用于颁发公众信任的证书的方法和系统、工程系统或控制系 统和技术设施

技术领域

本发明涉及一种用于为技术设施的设施部件颁发公众信任的证书的方法。此外，本发明涉及一种用于为技术设施的设施部件颁发公众信任的证书的系统、一种用于技术设施的工程系统或控制系统和一种技术设施。

背景技术

数字证书用于技术设施的上下文中。特别在具有在运行期间使用的证书的情况下，该证书也称作操作证书。经由证书能够实现在不同的设施部件、例如设备和/或应用程序之间的安全、不妥协且可信赖的通信。例如，通过使用证书，能够通过加密手段实现通信参与者的身份验证和通信完整性。

在技术设施的公钥基础设施的范畴中，使用所谓的注册机构(英文：registrationauthorities或者简称：RA)，以便接收证书申请(所谓的certificate signing requests或简称CSR)，并且将这些证书申请——在批准/验证的情况下——转发给认证机构(英文：Certificate Authority或简称CA)。在此，RA是决定批准/验证哪些证书申请的实体，并且CA是创建证书的实体。

设施部件能够自己申请证书，该设施部件例如需要该证书以使用不同的安全协议、即如TLS(Transport Layer Security(传输层安全性协议))或OPC UA(OPC UnifiedArchitecture(OPC统一架构))。作为客户端或请求者的设施部件将该设施部件的证书申请发送到注册机构(RA)，该注册机构在批准/验证的情况下将该申请转发给例如位于设施(“Onsite-CA(现场CA)”)或信任中心(“Offsite-CA(异地CA)”或“CA as a Service(作为服务的CA)”)中的认证机构(CA)。

从需求的角度来看，网页中的安全连接(例如HTTPS或Secure Web Sockets(安全网络套接字))通常是必不可少的。为此需要证书。

特别是在工业环境中，通常存在分开的专用网络，并且通常无法从公共互联网联系设备(或处于该设备上的网络服务器)。

然而，特别在网络环境中存在非常多样化的环境，在该环境中不是所有参与者(特别是客户端)都能够完全或以低耗费的形式被控制或者被容纳到受管理的基础设施中。特别地，例如，移动终端设备通常不是基础设施的一部分(关键字BYOD，“Bring your owndevice自带设备”)。

从申请人的观点来看，将所有设备(客户端以及服务器)都能够集成到公共基础设施中是很值得的。证书不应仅由受控的终端设备接受(在该终端设备中该证书被存储为可信的)，而且还应能够随时由任何其他终端设备、例如移动终端设备进行验证。例如，由此可行的是，操作者/用户在移动终端设备(BYOD)上显示例如技术设施的控制装置的数据。

对于客户终端设备上的浏览器，对此要求证书必须在整个证书链中直至公认的可信根证书(TRC)都是可验证的(例如参见Google Chrome(谷歌浏览器)的“Root CA Policy(根CA策略)”)。后者是少数跨浏览器系统和运行系统被归类为可信的且不必单独安装的证书。

如果无法给出这种TRC的可验证性，则由于缺乏可验证性，功能能够受到限制甚至不可提供。这表示，在最好的情况下，用户得到错误消息，该错误消息至少能够被规避(其中确认，尽管检查失败仍希望继续是一种明显的安全风险，并不建议)，但是或者该功能默示被简单抑制(例如，由浏览器拒绝来自页面的AJAX调用或不显示嵌入的iframe)。

就申请人所知，目前为封闭设施获取公众信任的证书的耗费是巨大的，或者这根本不可能。

证书与Trust(信任)相关。因此，签证方必须能够验证并随后证明请求者具有对域的控制权。

就申请人所知，获取公众信任的证书的一种可能性是手动获取这种证书。为此，证书的请求者必须证明自己的身份并提交各种文件，该文件唯一地识别该请求者的身份并确保，请求者被授权/合法地获取所期望的域的证书。然后，请求者得到传输过来的证书并且能够将该证书与其的密钥材料一起——通常同样手动地——安装在其域中。

另一可能性在于使用Lets-Encrypt(例如，参见https://letsencrypt.org/)。在此，通过服务器的所有者必须说明该所有者具有对服务器和与服务器连接的域的控制权来创建信任。但是，认证机构(CA)在此以网络服务器的可直接访问为前提，由此该方案不能应用于封闭的网络和区域(LetsEncrypt基于ACME(自动化证书管理环境)协议)。例如，对于控制装置、例如具有封闭网络的技术设施的SPS，该要求无法被满足。

认证管理协议、例如证书管理协议(CMP，参见例如https：//de.wikipedia.org/wiki/Certificate_Management_Protocol)尽管允许自动实施证书请求、证书创建和证书分配。然而，为此需要完整的基础设施，该基础设施必须首先由技术设施的运营商建立。即使这种耗费是针对封闭的网络运行的，也不能够以这种方式签发公众信任的证书，因为外部CA不能证明自己在封闭系统中不能验证的内容。

因此，据申请人所知，实际上如今很多用户只采用自签名证书，该自签名证书具有上述所有缺点，因为该自签名证书回避了人工获取公众信任的证书的耗费或成本，或因为到目前为止，可能无法通过其他方式在工厂中实现。

发明内容

基于上述内容，本发明的目的是，创建一种能够以合理的耗费为具有分开的、专用网络的技术设施的部件颁发公众信任的证书的可能性。

该目的是通过一种用于为技术设施的设施部件颁发公众信任的证书的方法实现，其中

a)认证模块从应获取公众信任的证书的技术设施的至少一个部件中查询至少一个优选的唯一的部件标识符和/或对于应获取公众信任的证书的技术设施的至少一个部件生成至少一个优选的唯一的部件标识符，

b)认证模块将至少一个查询的和/或至少一个生成的部件标识符连同对至少一个部件的公众信任的证书的证书申请传输给注册机构(RA)，

c)注册机构(RA)根据至少一个部件标识符来检查，是否至少一个相关于该部件标识符的部件与至少一个授权个人或至少一个授权公司相关联，该个人或该公司对至少一个部件负责，

d)对于肯定的情况，注册机构(RA)请求对于至少一个部件的公众信任的证书，并且

e)创建所请求的公众信任的证书并传输给认证模块，并且优选地存储在特别是认证模块的受保护的区域中。

换言之，本发明提出，提供认证模块，利用该认证模块能够唯一地识别应获取公众信任的证书的部件，或者特别在部件尚未投入运行进而(还)不能查询部件的标识符的情况下，利用该认证模块能够为待认证的部件生成至少一个优选的唯一的和/或临时的标识符。

随后，代替部件，认证模块联系中央服务并向该中央服务传输针对优选的唯一识别的或基于生成的(多个)标识符唯一能识别的(多个)部件连同(多个)标识符一起的公众信任的证书的(相应的)证书申请。

在使用提供的所查询的或生成的优选的唯一的(多个)标识符的情况下，随后注册机构能够检查，(相应的)识别的/能识别的部件是否能够与个人或公司相关联，该个人/公司负责该部件，特别地该个人/公司是部件的所有人。个人或公司优选是购买该部件的客户。由个人或公司负责的部件特别地表示为，个人或公司具有对部件的控制权，这优选是由合同保证的和/或合同规定了，如果所请求的证书出现可能的滥用，会产生什么后果。

至少一个部件标识符能够例如是序列号和/或机器证书/设备证书和/或指纹和/或类型名称。相应地，在步骤a)的改进方案中，查询和/或生成序列号和/或设备证书或机器证书和/或指纹和/或类型名称以作为部件标识符。

个人或公司能够(手动地)按合同保证，满足对部件的控制要求。于是，能够由注册机构在检查的范围中检测或识别或查询这种按合同保证的存在。

还可行的是，访问数据库，例如客户数据库，以便检查，是否待认证的部件与负责的个人/公司存在关联。

相应地，在改进方案中能够提出，在步骤c)中的检查包括，注册机构在数据库中查找用于与证书申请一起传输的部件标识符的至少一个条目，在数据库中存储部件标识符连同所属的授权个人和/或公司，该个人和/或公司优选为所属部件的所有者。在此，所属的部件被理解为相关于所存储的部件标识符的部件。优选适用的是，由授权个人/授权公司负责在数据库中存储标识符的部件，这特别优选地是由合同保证的。

如果在数据库中找到这种条目，则优选地批准/验证针对所涉及的部件的证书请求(证书申请)。相反，如果没有找到这种条目，以适宜的方式拒绝该证书申请，进而不创建所请求的证书。

例如，能够通过西门子的所谓“Industrial Mall(工业商场)”提供数据库。

如果使用数据库，则可行的是，该数据库包括自身的客户数据和第三方供应商、如OEM(Original Equipment Manufacturer(原始设备制造商))的数据。

在步骤e)中，能够将密钥材料连同公众信任的证书一起传输给认证模块。认证模块能够优选地以防读取和更改的受保护的方式将证书传输到设施部件/工业部件的受保护的存储器中。于是，设施部件/工业部件本身能够优选地借助于证书保护网络服务器或其他方面。

例如，与手动获取证书相比，通过根据本发明的处理方式满足如下方面：

-个人/公司以具有法律约束力的方式确认是部件的所有者，例如通过该个人/公司同意，将这适用于所有购买的和特别存储在数据库中的部件，或者(确定地)已知，所有者/负责人是谁(也能够在获取证书的范畴中、例如在工程系统中进行法律保证)。

-能够通过认证模块唯一地识别(相应的)部件，所申请的证书应适用于该部件。

-此外，通过认证模块确保，对于个人/公司、特别是客户从不可能直接访问证书和任何密钥材料，而是能够以安全的方式仅安装到预先确定的和相关联的目标部件中。

因此确保了，证书只能够安装在具有法律上负责的占有者的部件上。这不需要注册机构和/或认证机构必须访问该部件或这种部件的网络服务器。

应当注意，根据本发明的方法既适用于公众信任的证书的初始(第一次)颁发，也适用于证书更新(重新颁发)。因此，根据本发明的用于颁发证书的方法是用于初始颁发和/或更新公众信任的证书的方法。

相应地，证书申请能够是用于证书的初始申请(Bootstrapping)和更新(Update)的申请。

认证模块优选地位于技术设施的现场，特别是处于与技术设施相同的网络中。特别地，这在硬件上实施，该硬件形成技术设施和/或这种技术设施的网络的组成部分。

在相当特别优选的设计方案中，认证模块是技术设施的工程系统的组成部分或者与技术设施的工程系统在功能上连接。

工业工程系统、也被作为工业应用的项目工程工具能够用于解决方案的设计和实施以及用于随后的运行过程和/或管理过程。在此，解决方案理解为特别用于过程工业和/或离散工业的工业解决方案。

(例如用于设施的)自动化项目的工程通常包括以下一个或多个步骤：确定项目中所需的功能，确定需要哪些部件来提供该功能，将功能和实际物理位置与设施中的部件相关联，为部件分配通信结构(例如哪些部件允许与哪些其他部件进行通信以及它们如何进行通信，部件的实际目的是什么)等。

自动化项目与实际项目相关，例如与在新的或现有的工业设施或新的或现有的过程设施中的新的生产线/加工线的结构相关。在实现这种自动化项目的众多实例中的一些是在车辆工业中的汽车制造、电子产品制造、食品和饮料产品制造等等。

在该应用中，将工程系统通常用于，在用于工业自动化的项目的范畴中创建设施部件/自动化部件的一个或多个配置。工业自动化项目能够是例如工厂自动化项目、用于过程工业自动化的项目和在工业背景中的所有其他自动化项目。

特别对于在上述自动化项目中的使用而言，设施部件或自动化部件能够是硬件部件和/或软件部件或两者的组合。设施部件或自动化部件还包括：可编程逻辑控制器(SPS)、I/O模块、工业通信设备、工业网络部件、传感器、执行器、驱动器和其他经常在过程工业或自动化工业中使用的工业设备。与其他部件共享硬件的软件部件同样能够经由工程系统进行配置。

工程系统(部分地也称为工程工具)对设施中的自动化产品具有非常准确的了解。因此，该工程系统了解精确的硬件(例如根据序列号)或具体产品(例如根据MLFB，即机器可读的产品名称)，但是也能够唯一地识别组件(例如设备)或使组件(例如设备)可识别(例如经由永久烙印的或安全安装的机器证书或设备证书)。同样地，工程系统通常已经具有的可能性为，将数据安全传输到相应的自动化设备上(就防伪以及第三方不可见或不可读的意义而言)。

需要注意的是，即使将认证模块集成到设施的工程系统中是非常有利的，但没有排除该认证模块是独立工具或独立模块，或者形成其他工具的一部分。随后，优选地存在与工程系统的功能性连接。由此，例如如果设施部件/工业部件在不能从外部联系且本身不能与其他网络进行对外通信的网络中运行，则工具也能够切换网络。在该情况下，所谈及的是完全封闭的网络。

本发明提供了多个优点。对于设施能够获得集成到工程中的且特别地与客户合同关系绑定的证书创建和部署过程。

特别地，以集成到工程中的方式提供了经扩展的、更简单和更安全的操作，例如与将标准化协议集成到每个设施部件/每个产品中相比，具有明显更小的障碍性。工程系统自然知道设备特定的访问路线和分配路线。

支持离线工程是可行的，例如，这对于LetsEncrypt系统是无法掌控的，但对于技术设施的工程是基本的。

能够通过优选集成到工程系统中的认证模块来实现CSR创建和/或CSR传输，必要时也在存在和安装实际设备之前。

证书和必要时可能的密钥材料的部署能够在下载或启动过程中进行，再次优选地通过工程的支持进行。

间接离线场景也是可行的(例如，在用于SIMATIC PLC或HW DongleSiPlug的特殊SD卡上)。

在认证机构(CA)与设施部件、例如终端设备之间能够获得技术信任关系，因为基于部件标识符(即一个或多个唯一的特征)能够识别客户和客户实际获取的设备。

在此，必要的步骤能够自动运行，而不必用户或客户手动干预。

部件中没有用于证书管理的基础设施，特别是以客户为前提的，取而代之的是，认证模块从优选的外部的CA获取证书，该认证模块优选是设施的工程系统的组成部分，或者与这种工程系统功能性连接。

证书获取能够作为服务(证书作为服务Certificate as a Service，CaaS)提供，例如为已经获取待认证的设施部件的客户提供。

认证模块能够是功能性单元，在适当硬件上例如能够通过软件部件实施该功能性单元。能够实现，通过软件实施该认证模块，该软件处于技术设施的某个/该工程系统的硬件上。显然还可行的是，认证模块包括独立的“专用”硬件。于是，在优选的设计方案中，认证模块或认证模块的硬件与技术设施的某个/该工程系统功能性连接。

将技术设施的注册机构理解为功能性实体，该功能性实体从技术设施的部件接收注册请求如证书申请，检查该注册请求并且在成功的情况下特别转发给技术设施的认证机构。在当前的情况下，注册机构主要设置用于，处理技术设施的设施部件的证书申请。注册机构能够是能够与上级的全球注册机构通信的本地注册机构，该上级的全球注册机构例如又能够直接与技术设施的认证机构建立连接。注册机构能够包括注册服务或通过这种注册服务提供。

根据本发明，认证模块将至少一个部件标识符连同证书申请一起传输到的注册机构被构造和/或设计用于，根据至少一个部件标识符，换言之根据一个或多个唯一的特征得出/检查/验证，是否将(相应的)部件与个人/公司相关联且个人/公司对该部件负责，特别地，对于(相应的)部件是否存在法律约束的客户关系。

还能够实现，由注册机构得出/检查/验证，对于哪个应用在至少一个部件上设置所请求的公众信任的证书。于是，相应地构造和/或设计注册机构。

技术设施特别是制造设施或过程设施。其能够是例如来自过程工业的设施，即例如化学、制药、石化工业的设施或来自食品工业和饮料工业的设施。借此也包括来自生产工业，例如生产所有类型的车辆或商品的工厂中的任何设施。适合于执行根据本发明的方法的技术设施也能够来自能源生产领域。用于能源生产的风力涡轮机、太阳能设施或发电厂同样包括在技术设施的术语中。

通常，该设施分别具有控制系统或至少一个计算机辅助模块，以用于控制和调节运行的过程或生产。

术语“公钥基础设施”(简称PKI)与用于技术设施的安全基础设施相关，该安全基础设施提供用于在技术设施的通信伙伴之间进行安全数据交换的服务。借助于公钥基础设施，能够签发、分配和检查证书。

将证书理解为确认确定的特性(在该情况下为机器、设备、应用程序等的确定的特性)的数字数据集。能够借助于加密方法验证证书的真实性和完整性。将公众信任的证书特别理解为那些在整个证书链中直至普遍认可的可信根证书(TRC)都能验证的证书。能够将公众信任的证书也称为公共认可的证书。公众信任/认可的证书特别是那些由CA/浏览器论坛成员分发的证书(参见https://cabforum.org/)。特别优选地，在根据本发明的方法的范畴内请求/颁发的公众信任/认可的证书是SSL(Secure Socket Layer，安全套接字层)或TLS(Transport Layer Security，传输层安全性)证书。

设施部件例如能够是控制装置，例如SPS(可编程逻辑控制器，英文：ProgrammableLogic Controller，PLC)、设备、特别是现场设备、应用程序等。特别地，设施部件为自动化部件或自动化设备。

至少一个设施部件优选地具有至少一个网络服务器或作为网络服务器。

能够使用证书管理协议将至少一个证书申请从认证模块传输给注册机构。这能够是通用协议，该协议通常在技术设施、特别是技术设施的控制系统的证书管理的背景内使用，例如证书管理协议(简称CMP，参见例如互联网工程任务组(Internet EngineeringTask Force，IETF)的RFC4210/4211(RFC：Request for Comments，请求意见稿))。CMP特别能够经由https实现或是已经经由https实现。应该强调的是，能够使用标准协议，但并非必须如此。认证模块和RA也能够以纯专有的方式相互通信。

在根据本发明的方法的范畴内能够支持多种变型方案，特别地：

在线工程：部件(或服务器)已安装在设施中。在此，认证模块能够读取特征，唯一地识别部件(并确保，不存在具有相同特征的任何其他的实体)并将数据以及证书安全地传输到部件上。

离线工程：在设施中尚未安装部件(服务器)，必要时仍可对该部件进行规划。对此，认证模块可能须先产生对于目标部件所需的至少一个部件标识符(换言之，一个或多个唯一的特征，例如机器证书)。但是，目前已经能够提前请求和创建公众信任的证书，并对于规划的设备将该公众信任的证书保留在认证模块的内部中。稍后在启动时，认证模块随后优选地确保，实际存在或能够以防伪方式引入且随后优选地引入至少一个优选的唯一的部件标识符(换言之，唯一的特征)。如果这已经被确保，则公众信任的证书也能够被传输到那里。

因此，另一有利实施方式的特征在于，对于在步骤a)中没有由认证模块请求部件标识符(特别地，因为至少一个部件尚未运行——离线场景)的情况，认证模块在将公众信任的证书传输给至少一个部件和/或与至少一个部件连接或能够与其连接的存储装置之前，从至少一个部件查询至少一个部件标识符，并且将所查询的部件标识符优选传输给注册机构。(随后)能够将所查询的部件标识符传输给注册机构。注册机构能够将该部件标识符存储在数据库中。

替选地或附加地能够设置，认证模块在将公众信任的证书传输给至少一个部件和/或与至少一个部件连接或能够与其连接的存储装置之前检查，是否由认证模块在步骤b)中生成的至少一个部件标识符能够防伪地存储/归档在部件中。

间接离线情况：特别是在自动化中存在的特殊情况，即有时实际部件完全没设有配置，而是代理者设有配置。因此，例如SD卡或(USB)加密狗(Dongle)能够在下载时获得控制装置(例如SPS)的完整配置，然而实际部件在替换情况下被立即更换。在此，因此，仅间接地下载到实际部件上。然而，在该情况下，必须唯一地识别代理者、例如SD卡或(USB)加密狗(Dongle)并且代理者必须被保护免于不允许的访问——因此受保护区域中的数据不允许被轻易地读取。于是，相关的/相应的部件能够从代理者、例如SD卡或加密狗(Dongle)中提取配置。证书应优选地被加密并且应优选地，相关的/相应的部件对此仅在读入配置时能够将证书解密。

认证模块能够以有利的方式(至少在任何时间点)访问待验证的部件或表示为代理者的存储装置、例如SD卡或加密狗(Dongle)。这特别适用于，当认证模块是工程系统的组成部分或与这种工程系统功能性连接时。

特别地，在在线情况下，公众信任的证书(必要时具有附带材料)能够优选地直接为目标部件加密。因此确保，证书是普遍被保护的，并且只能在那里解密。此外，工程系统中的每个项目都能够设有客户特定的密钥，使得在离线情况下认证机构(CA)能够保护至少直至认证模块的传输。用于具体部件的材料、例如用于具体的终端设备的材料能够再次在相应的项目中加密。因此，普遍保护同样是可行的。

能够设置，对于在步骤c)中的检查得出，相关于至少一个部件标识符的多个部件与至少一个授权个人或至少一个授权公司相关联、特别与至少一个授权个人或至少一个授权公司的所有权相关联的情况，将特别存储在数据库中的潜在命中的可用数量减一。例如，数据库特别能够包括条目，根据该条目用户/个人/公司具有确定数量的给定类型的自动化部件。在批准证书申请之后或在为这种部件签发证书之后，将数量减一。如果随后安装证书，优选地复原特别是唯一的部件标识符，即将部件标识符传输给数据库并存储在那里。随后，证书更新应当尽可能不再针对这种“一般性命中”而执行，而是针对具体标识符而执行。

根据本发明的方法的另一有利的实施方式的特征在于，在步骤d)中，注册机构向认证机构请求公众信任的证书，特别是通过该注册机构验证证书申请和/或将证书申请转发给认证机构。认证机构随后能够为至少一个部件创建或获取所请求的公众信任的证书。

认证模块还优选地将在步骤e)中传输给认证模块的公众信任的证书传输给至少一个部件和/或传输给与至少一个部件连接的或能够与其连接的存储装置。存储装置优选是“代理者”，例如SD卡、(USB)加密狗(Dongle)或其他存储介质，部件的配置安装/能够安装在该“代理者”上。

能够连同公众信任的证书传输密钥材料。密钥材料特别是那些与证书一起传输给认证模块的密钥材料，特别是由认证机构传输的。

公众信任的证书优选地存储在至少一个部件和/或与至少一个部件连接的或能够与其连接的存储装置的防伪证书存储器中。

为了将公众信任的证书从认证模块传输给至少一个部件和/或传输给与至少一个部件连接或能够与其连接的存储装置，能够在认证模块或硬件(在该硬件上实施认证模块)与至少一个部件和/或与至少一个部件连接或能够与其连接的存储装置之间存在或创建直接连接。“直接”在此特别理解为，认证模块能够与部件“直接”通信。这优选地表示，认证模块位于如下网络中，能够从该网络联系部件并且不需要中介。在认证模块(或硬件，在该硬件上实施认证模块)与至少一个部件之间可能存在点对点连接(例如串行线缆连接、USB线缆等)。特别能够存在或创建直接的有线或无线连接。

类似内容能够适用于查询至少一个部件标识符。因此能够设置，在步骤b)中，认证模块从至少一个部件查询至少一个部件标识符，其中，为此在认证模块或在硬件(在该硬件上实施认证模块)与至少一个部件之间存在或创建直接连接。

本发明的另一主题是一种用于为技术设施的设施部件颁发公众信任的证书的系统，该系统包括认证模块和注册机构，

其中，认证模块被构造和/或设计用于，从应获得公众信任的证书的至少一个设施部件查询至少一个优选的唯一的部件标识符，和/或为应获得公众信任的证书的至少一个设施部件生成至少一个优选的唯一的部件标识符，

并且注册机构被构造和/或设计用于，根据至少一个部件标识符来检查，相关于部件标识符的至少一个部件是否与至少一个授权个人或至少一个授权公司相关联，特别地与至少一个授权个人或至少一个授权公司的所有权相关联，并且对于肯定的情况，请求对于至少一个部件的公众信任的证书，

并且认证模块被构造和/或设计用于，接收所请求的公众信任的证书并且优选地存储在受保护的区域中。

根据本发明的系统特别适用于执行根据本发明的方法。

在改进方案中，根据本发明的系统包括数据库，在该数据库中存储部件标识符连同所属的授权个人和/或公司，该个人和/或公司优选为所属部件的所有者，并且注册机构被构造和/或设计用于，对于相关于部件标识符的至少一个部件是否与至少一个授权个人或至少一个授权公司相关联的检查或者在该检查的范畴中，在数据库中查找用于连同证书申请一起传输的至少一个部件标识符的至少一个条目。

认证模块优选地形成系统的(本地)“前端”或(本地)“前端”单元或者是这种前端或这种前端单元的组成部分。注册机构——必要时连同数据库和认证机构一起——优选地是系统的(中央)的“后端”或中央的“后端”单元的一部分。认证模块优选地处于现场的技术设施处或技术设施内，而注册服务优选地远离该技术设施，例如处于计算中心中。特别地，能够由多个、能够处于不同设施处/中的认证模块联系注册服务，并且注册服务能够获得连同部件标识符的证书申请。

除了注册机构——并且必要时除了数据库——认证机构能够是系统的“后端”/“后端”单元的另外的组成部分。替选地或附加地，能够存在信任根据本发明的系统的注册机构的独立的/外部的认证机构。能够通过诸如VeriSign的认证机构或其他已知的认证机构(该认证机构优选具有可信根证书(TRC))提供独立的/外部的认证机构。

本发明还涉及一种用于技术设施的工程系统或控制系统，该工程系统或控制系统包括认证模块，该认证模块被构造和/或设计用于，

-从应获得公众信任的证书的至少一个设施部件查询至少一个优选的唯一的部件标识符，和/或为应获得公众信任的证书的至少一个设施部件生成至少一个优选的唯一的部件标识符，

-将至少一个查询的和/或至少一个生成的部件标识符连同对至少一个部件的公众信任的证书的证书申请一起传输给注册机构(RA)，

-接收设施部件的公众信任的证书并且优选地存储在受保护的区域中。

认证模块能够包括检查单元和/或部署单元。

如果存在检查单元，则该检查单元优选地被构造和/或设计用于，从应接收公众信任的证书的至少一个部件中查询(换言之读取)至少一个优选的唯一的部件标识符，和/或对于应接收公众信任的证书的至少一个部件生成至少一个优选的唯一的部件标识符。

如果存在部署单元，则该部署单元优选地被构造和/或设计用于，将所创建的公众信任的证书传输给(相应的)部件，即安装到该部件上。该部署单元优选地被构造和/或设计用于，接收由认证机构创建的公众信任的证书，以便随后能够将该证书转发给(相应的)部件。

最后，本发明涉及一种技术设施、特别是制造设施或过程设施。根据本发明的技术设施优选地包括至少一个根据本发明的工程系统或控制系统。

在根据本发明的处理方式的范畴中，替选地或附加地，也能够使用网关设备和/或边缘设备。特别地能够设置，在边缘设备上设有/实施认证模块。例如，认证模块能够作为应用程序在边缘设备/边缘装置上实施。如果使用边缘设备，则能够全自动地在部件、例如技术设施的本地网络中的设备上请求(证书申请)、更新和安全装入公众信任的证书，同时网关设备/边缘设备还允许访问互联网和公共基础设施。边缘设备以有利的方式(顾名思义)处于封闭网络的外边缘处，并具有两个网络接入点/网络适配器。因此，边缘设备特别处于封闭内部网络中还处于公共互联网中。相反，在封闭网络中的设备或部件通常无法访问互联网。这在自动更新的运行中是特别有用的，因为不需要工程系统并且认证模块也不在内部使用以获得标识符，以便因此随后手动地切换到公共互联网中。

附图说明

本发明的其他的特征和优点，按照根据本发明的实施方式的下面的描述，参考所附附图变得显而易见。

附图以纯粹的示意性视图示出设施部件G和用于颁发公众信任的证书的根据本发明的系统的实施例。

具体实施方式

在此处描述的实例中，设施部件G通过可编程逻辑控制器、简称SPS提供，并且是未进一步示出的技术设施、特别是制造设施或过程设施的组成部分。该设施以本身已知的方式还包括多个传感器以及执行器，该传感器为控制装置G提供测量值，该执行器接收来自控制装置G的操纵变量值。因此，能够监控在该设施中运行的过程并且影响该过程。

控制装置G以本身已知的方式经由设施网络与传感器和执行器以及另外的设施部件连接。设施网络是本地的、封闭的网络，并且不能从外部经由互联网联系控制装置G。

控制装置G的特征在于唯一的部件标识符K，在此描述的实施例中，通过设备证书K提供该部件标识符。

特别地，因此可行的是，用户也能够在移动终端设备上查看控制装置G的数据，控制装置G应获得证书。

在浏览器在客户端终端设备上的情况下，为此，证书必须在整个证书链中直至普遍认可的可信根证书(TRC)都是能验证的(例如参见谷歌浏览器(Google Chrome)的“根CA策略(Root CA Policy)”)。该证书是少数跨浏览器和操作系统被归类为可信的且不必单独安装的证书。

控制装置G或控制装置上的网络服务器应获得那些直至可信根证书TRC都能验证的证书，该证书也称作为公众信任的证书C。

控制装置G具有防伪的证书库CS，该证书库以本身已知的方式用于，安全地保存或存储数字证书。在证书库CS中能够保存这种公众信任的证书C。

为了能够签发公众认可的(受信任的)证书C，CA必须能够确保，请求证书的人或请求证书的公司实际上对部件或在该部件上实施的服务器和指向该部件的域具有控制权和/或责任。根据现有技术，这能够经由相应的部件/相应的服务器的可联系性来确保——然而这在工业设施中并不提供。

因此，根据本发明的系统S被设置用于，为技术设施的设施部件G颁发公众信任的证书C，该系统能够被用于，为控制装置G获取这种证书C并将该证书保存在其中(也称为“部署”)。

这种根据本发明的系统S的在附图中示出的实施例包括认证模块ZM，该认证模块为系统1的“前端”单元或“前端”部件并且在现场位于技术设施处或技术设施内。当前，认证模块ZM集成到技术设施的工程系统ES中。其具体为功能单元或通过位于工程系统ES的硬件上的软件实施的功能模块。工程系统形成根据本发明的用于颁发公众信任的证书的系统S的示出的实施例的组成部分。工程系统ES能够在标准硬件上运行，例如在通常的PC或工业PC上运行。

应该注意的是，作为认证模块ZM——如在示出的实例中那样——集成到设施的工程系统S中的替选方案，该认证模块也能够是独立工具或独立模块或者是其他工具的一部分。然后，以有利的方式在工程系统ES与认证模块ZM之间存在功能性连接。认证模块ZM也能够在边缘设备上实施，该边缘设备位于封闭设施网络的外边缘处并且具有两个网络接入点/网络适配器，使得该边缘设备既位于封闭的内部设施网络中又位于公共互联网中。

工程系统ES对技术设施中的自动化产品具有非常精确的了解。因此，该工程系统了解确切的硬件(例如根据序列号)或具体的产品(例如根据MLFB)，但也能够唯一地识别或能够唯一地识别部件、例如控制装置G(例如经由固定烧入的或能够安全安装的机器或设备证书)。同样地，工程系统ES通常总归具有如下可行性，即将数据安全地传输到相应的部件、例如自动化设备上(就防伪以及使第三方不可见或不可读的意义而言)。

除了具有认证模块ZM的工程系统ES之外，根据本发明的系统S还包括具有注册机构RA、数据库D和认证机构CA的后端或后端单元BE。后端或后端单元BE未设置在设施现场，而是处于例如距设施几公里或数公里远的计算中心内。在认证模块ZM与后端BE之间的通信能够经由公共互联网实现。

与后端BE相比具有认证模块ZM和控制装置G的工程系统ES在现场处于技术设施处或技术设施内，具体地为形成该技术设施的组成部分，在附图中通过边缘处的弧形括号表明，该括号将现场的部件组合在一起。

认证模块ZM被构造用于与设施的部件G进行通信。

认证模块ZM包括检查单元IE，该检查单元被构造用于，从应获得公众信任的证书C的部件G优选查询(换言之读取)唯一的部件标识符K，以及为应获得公众信任的证书C的部件G优选生成唯一的部件标识符K。该查询或“探查”在附图中通过从检查单元IE指向形成部件标识符K的设备证书的箭头表明。

检查单元IE还被构造用于，将查询的和/或生成的部件标识符K分别连同用于相应部件G的公众信任的证书C的证书申请CSR一起传输给注册机构RA。该传输在附图中通过从检查单元IE指向注册机构RA的箭头表明，除此以外，示例性地纯示意性示出连同控制装置G的设备证书K的控制装置G的证书申请CSR。

此外，认证模块ZM具有部署单元DE，该部署单元被构造用于，将公众信任的证书C传输给(相应的)部件G，即安装到该部件上。该部署单元被构造用于，接收由认证机构CA创建的或获取的公众信任的证书C，并且随后将该证书转发给(相应的)部件G。这在图中通过箭头表示，从认证机构CA指向部署单元DE，并从该部署单元指向控制装置G的证书库CS，并且除此以外，分别纯示意性地示出证书C。

注册机构RA被构造用于，根据至少一个部件标识符K检查，相关于部件标识符K的至少一个部件、当前为控制装置G是否与至少一个授权个人或至少一个授权公司相关联，特别地与至少一个授权个人或至少一个授权公司的所有权相关联，并且对于肯定的情况，请求至少一个部件G的公众信任的证书C。注册机构RA能够根据所传输的唯一的部件特征K验证法律约束的客户关联。

利用根据本发明的系统S的所示的实施例，能够执行根据本发明的用于为技术设施的设施部件G颁发公众信任的证书C的方法的实施例。

在此，在第一步骤中，认证模块ZM从应获得公众信任的证书的控制装置G查询至少一个优选唯一的部件标识符、当前为设备证书K。当前集成到设施的工程系统中的认证模块ZM直接访问控制装置G，使得能够无问题地进行该查询。工程系统G是封闭设施网络的参与者，使得该工程系统——进而集成的认证模块ZM——访问控制装置G。

替选地或附加地，除了查询/读出至少一个部件标识符K之外，认证模块ZM还能够为应获得公众信任的证书的控制装置G生成至少一个优选的唯一的部件标识符，当前为(必要时是临时的)设备证书。

当至少一个部件、例如控制装置G尚未投入运行，且该控制装置可能仍在规划中时，这是特别有利的。换言之，还支持离线工程或预先工程。这也使得工程系统ES(仍)不必处于设施网络中。通过由认证模块ZM生成至少一个唯一的标识符K，能够唯一地识别部件。随后，已经能够提前请求和产生公众信任的证书C并在认证模块ZM中为规划的部件G内部保留该证书。稍后在启动时，认证模块ZM随后优选确保，能够实际上存在或者以防伪方式引入至少一个部件标识符K。如果这已经得到确保，则能够将公众信任的证书C转移到那里。

在查询和/或生成至少一个部件标识符、当前为所查询的设备证书K之后，认证模块ZM将该设备证书连同用于控制装置G的公众信任的证书C的证书申请CSR一起传输给注册机构RA。

在此，能够由认证模块ZM或由控制装置G创建或已经创建认证模块ZM传输给注册机构RA的证书申请CSR。

注册机构RA随后根据设备证书K来检查，相关于部件标识符K的至少一个控制装置G是否与至少一个授权个人或至少一个授权公司相关联，该个人或公司负责该控制装置。通过注册机构RA在数据库D中查找用于与证书申请CSR一起传输的部件标识符、当前为控制装置G的设备证书K的至少一个条目，在所示的实施例中进行该检查，在该数据库中存储部件标识符K、特别是设备证书K连同所属的授权个人和/或公司，该个人和/或公司为相关于部件标识符K的部件G的所有者。

如果在数据库中找到随证书申请CSR一起传输的部件标识符K的条目，则由注册机构RA批准/验证证书申请CSR。

应该注意，优选在客户购买控制装置G进而已经成为所有者之后，在数据库中创建这种条目。经由在数据库D中的查找或查询，因此能够检查，控制装置G是否为授权客户所有。

还应该注意的是，能够实现，根据数据库D存在多个结构相同的部件、例如控制装置G，该部件与个人或公司相关联，特别是相关于个人或公司。如果出现这种情况，则证书申请CSR被批准，并且潜在命中的数量、即结构相同的部件G的数量在数据库中减一。

在下一步骤中，特别是通过注册机构将证书申请CSR转发给认证机构CA，注册机构RA向认证机构CA请求公众信任的证书C。

随后，认证机构CA为控制装置G创建或获取所请求的公众信任的证书C。在此，在描述的实例中，表示为后端BE的一部分的认证机构CA联系另外的、中央认证机构zCA，该中央认证机构具有可信根证书TRC。由于zCA具有与CA的信任关系，后者可直接执行CSR。

证书C由后端BE的zCA或注册机构CA创建或在其中创建。

证书C连同所属的密匙材料一起转发给认证模块ZM的部署单元DE，在那里或在工程系统Es的其他位置处存储在受保护的区域中，该受保护的区域不能从外部读取或改变。

此外，证书C和所属的密钥材料由部署单元“部署”，即引入到控制装置G中，具体为安全地保存在证书库CS中。这在图1中重新通过相应的箭头表明。

在所示的实施例中，证书C(也能够称为客户证书或英文customer certificat)指向CA的中间证书zC，该中间证书又指向zCA的可信根证书TRC。在图中，该证书链通过具有虚线的箭头表示。也能够说，该箭头表示“信任”，即在机构或证书之间的信任。如人们所见，TRC是证书链的末端。在部件G中的(客户)证书C必须在整个链直至zCA的TRC都是有效的。

应该注意的是，能够、但不是必须设置且经由CA联系该中央认证机构zCA。替选于图中所示的实施例，还能够实现，CA直接签发证书C，而无需依赖其他CA的外部协作。如果CA具有有效的密钥材料，则尤其如此。

如果ES使用临时的、未调用的、而是生成的标识符K，则目前从部件G查询唯一的标识符K并向回传输给后端BE。目前在那里，能够用实际标识符替换临时标识符。(如果ES提前创建唯一的标识符K并且能够将该标识符引入到部件G中，则取消向回传输，或传递其他的标志、如序列号，用以在数据库D中的正确关联。)

还应该注意的是，在RA在数据库中无法找到与CSR一起传输的部件标识符K的条目的情况下，申请CSR被拒绝，并且不会创建证书C。

具有认证模块ZM的工程系统ES能够支持以下三种变型方案：

-在线工程：部件/服务器已安装在设施中。ES能够在此读出特征、唯一地识别部件G(并确保不存在具有相同特征的其他实体)并将数据以及证书C安全地传输到部件G上。

-离线工程：在设施中尚未安装部件/服务器，而且必要时仍可对该部件/服务器进行规划。对此，工程系统ES可能首先创建对于目标部件G所需的唯一的特征(至少一个部件标识符K)(例如机器证书)。然而，能够已经提前请求和创建证书C，但是在工程系统ES、具体为在认证模块ZM中，为规划的部件G内部保留该证书。随后在启动时ES确保了，实际上能够存在或能够以防伪的方式引入唯一的特征。如果这已经得到确保，则也能够将已经保留的证书C转移到那里。

-间接离线情况：在自动化中存在特殊情况，即有时实际部件G完全没设有配置，而是代理者、例如SD卡或(USB)加密狗(Dongle)设有配置。因此，例如SD卡/加密狗(Dongle)能够在下载时获得用于SPS G的完整配置，然而该实际控制装置G在替换情况下被立即更换。因此，在此仅间接地下载到实际设备G上。然而在该情况下，代理者、即卡/加密狗必须被唯一地识别并且必须被保护免于所不允许的访问——因此，不允许轻易地读取该卡或该加密狗的受保护的区域中的数据。

在所有三种情况下，工程系统ES至少在某个时间点访问待验证的部件G。

在在线的情况下，能够直接为目标部件G加密该具有附带材料的证书C。因此确保了，证书C是普遍受保护的，并且只能在那里进行解密。此外，在工程系统ES中的每个项目都能够设有(客户)特定的密钥，使得在离线情况下CA能够保护至少直至ES的传输。在相应的项目中能够再次将用于具体终端设备G的材料加密。因此，同样能够实现普遍的保护。

应该注意的是，工程系统ES表示为技术设施的根据本发明的工程系统的实施例或者为用于技术设施的根据本发明的工程系统的实施例，其中，将认证模块ZM集成到该工程系统中或者认证模块ZM形成该工程系统的组成部分。

此外，控制装置G和工程系统ES形成其组成部分的技术设施为根据本发明的技术设施的实施例。

尽管详细地通过优选的实施例进一步阐述和描述本发明，然而本发明不受所公开的实例的限制，并且能够由本领域技术人员从中推导出其他的变型方案，而没有偏离本发明的保护范围。

不言而喻，例如，即使借助技术设施的部件、具体为控制装置G的部件，根据本发明的实施方式已在上面阐述，但显而易见地对于任意多个其他的部件以相应的方式能够请求并且必要时创建公众信任的证书C，并且将该证书传输给该部件。在此，对于技术设施(或多个技术设施)的多个部件能够使用认证模块ZM或根据本发明的系统S。

特别地，根据本发明的系统的后端BE也能够表示为控制中心，该控制中心与多个认证模块ZM通信，并且应(必要时为不同设施的)多个认证模块ZM的请求创建公众信任的证书C，并将该证书传输给多个认证模块ZM。

Claims (16)

1.一种用于为技术设施的设施部件(G)颁发公众信任的证书(C)的方法，其中

a)认证模块(ZM)从应获得公众信任的证书(C)的至少一个设施部件(G)查询至少一个优选的唯一的部件标识符(K)，和/或为应获得公众信任的证书(C)的至少一个设施部件(G)生成至少一个优选的唯一的部件标识符(K)，

b)所述认证模块(ZM)将至少一个查询的和/或至少一个生成的所述部件标识符(K)连同对至少一个部件(G)的公众信任的证书(C)的证书申请(CSR)一起传输给注册机构(RA)，

c)所述注册机构(RA)根据至少一个所述部件标识符(K)来检查，相关于所述部件标识符(K)的至少一个所述部件(G)是否与至少一个授权个人或至少一个授权公司相关联，所述个人或所述公司对至少一个所述部件(G)负责，

d)对于肯定的情况，所述注册机构(RA)对于至少一个所述部件(G)请求公众信任的证书(C)，

e)创建所请求的所述公众信任的证书(C)并将所请求的所述公众信任的证书传输给所述认证模块(ZM)，并且优选地存储在特别是所述认证模块(ZM)的受保护的区域中。

2.根据权利要求1所述的方法，其特征在于，在步骤d)中，特别是通过所述注册机构验证所述证书申请(CSR)和/或将所述证书申请转发给认证机构(CA)，所述注册机构(RA)向所述认证机构(CA)请求所述公众信任的证书(C)，并且所述认证机构(CA)为至少一个所述部件(G)创建或获取所请求的所述公众信任的证书(C)。

3.根据权利要求1或2所述的方法，其特征在于，所述认证模块(ZM)将所述公众信任的证书(C)传输给至少一个所述部件(G)或传输给与至少一个所述部件(G)连接或能够与其连接的存储装置，其中，所述公众信任的证书(C)优选地存储在至少一个所述部件(G)的或与至少一个所述部件(G)连接或能够与其连接的所述存储装置的防伪证书存储器(CS)中。

4.根据权利要求3所述的方法，其特征在于，为了将所述公众信任的证书(C)从所述认证模块(ZM)传输给至少一个所述部件(G)和/或传输给与至少一个所述部件(G)连接或能够与其连接的所述存储装置，在所述认证模块(ZM)或硬件与至少一个所述部件(G)和/或与至少一个所述部件(G)连接或能够与其连接的所述存储装置之间存在或建立直接连接，在所述硬件上实施所述认证模块(ZM)。

5.根据权利要求3或4所述的方法，其特征在于，对于在步骤a)中所述认证模块(ZM)没有查询所述部件标识符(K)的情况，所述认证模块(ZM)在将所述公众信任的证书(C)传输给至少一个所述部件(G)之前从至少一个所述部件(G)查询至少一个部件标识符(K)，并且将所查询的所述部件标识符(K)优选传输给所述注册机构(RA)。

6.根据前述权利要求中任一项所述的方法，其特征在于，由所述认证模块(ZM)或由至少一个所述部件(G)创建所述认证模块(ZM)在步骤b)中传输给所述注册机构(RA)的所述证书申请(CSR)。

7.根据前述权利要求中任一项所述的方法，其特征在于，如果步骤c)中的检查得出，相关于至少一个所述部件标识符(K)的多个部件(G)与至少一个授权个人或至少一个授权公司相关联，特别是与至少一个授权个人或至少一个授权公司的所有权相关联，那么将特别存储在数据库中的潜在命中的可用的数量减一。

8.根据前述权利要求中任一项所述的方法，其特征在于，在步骤a)中，查询和/或生成序列号和/或设备证书或机器证书(K)和/或指纹和/或型号名称以作为部件标识符。

9.根据前述权利要求中任一项所述的方法，其特征在于，步骤c)中的检查包括：所述注册机构(RA)在数据库(D)中查找用于与所述证书申请(CSR)一起传输的至少一个部件标识符(K)的至少一个条目，在所述数据库中存储部件标识符(K)连同所属的授权个人和/或公司，所述个人和/或公司优选为所属部件的所有者。

10.根据前述权利要求中任一项所述的方法，其特征在于，步骤b)中所述认证模块(ZM)从至少一个所述部件(G)查询至少一个所述部件标识符(K)，其中，为此在所述认证模块(ZM)或硬件(在所述硬件上实施所述认证模块(ZM))与至少一个所述部件(G)之间存在或建立直接连接。

11.根据前述权利要求中任一项所述的方法，其特征在于，所述认证模块(ZM)位于所述技术设施的现场，特别是在硬件上实施，所述硬件形成所述技术设施和/或这种技术设施的控制系统的组成部分和/或处于与所述技术设施相同的车间内。

12.根据前述权利要求中任一项所述的方法，其特征在于，所述认证模块(ZM)是所述技术设施的工程系统(ES)的组成部分或者与所述技术设施的工程系统(ES)功能性连接。

13.一种用于为技术设施的设施部件(G)颁发公众信任的证书(C)的系统(S)，所述系统包括认证模块(ZM)和注册机构(RA)，

其中，所述认证模块(ZM)被构造和/或设计用于，从应获得公众信任的证书(C)的至少一个设施部件(G)查询至少一个优选的唯一的部件标识符(K)，和/或为应获得公众信任的证书(C)的至少一个设施部件(G)生成至少一个优选的唯一的部件标识符(K)，

并且所述注册机构(RA)被构造和/或设计用于，根据至少一个所述部件标识符(K)来检查，相关于所述部件标识符(K)的至少一个所述部件(G)是否与至少一个授权个人或至少一个授权公司相关联，特别地是否与至少一个授权个人或至少一个授权公司的所有权相关联，并且对于肯定的情况，请求对于至少一个所述部件(G)的公众信任的证书(C)，

并且所述认证模块(ZM)被构造和/或设计用于，接收所请求的所述公众信任的证书(C)并且优选地存储在受保护的区域中。

14.根据权利要求13所述的系统，其特征在于，所述系统(S)包括数据库(D)，在所述数据库中存储部件标识符(K)连同所属的授权个人和/或公司，所述个人和/或公司优选为所属部件(G)的所有者，并且所述注册机构(RA)被构造和/或设计用于，用于或在检查是否相关于所述部件标识符(K)的至少一个所述部件(G)与至少一个授权个人或至少一个授权公司相关联的范畴中，在所述数据库(D)中查找用于与证书申请(CSR)一起传输的所述部件标识符(K)的至少一个条目。

15.一种用于技术设施的工程系统(ES)或控制系统，所述工程系统或控制系统包括认证模块(ZM)，所述认证模块被构造和/或设计用于，

-从应获得公众信任的证书(C)的至少一个设施部件(G)查询至少一个优选的唯一的部件标识符(K)，和/或为应获得公众信任的证书(C)的至少一个设施部件(G)生成至少一个优选的唯一的部件标识符(K)，

-将至少一个查询的和/或至少一个生成的所述部件标识符(K)连同对至少一个所述部件(G)的公众信任的证书(C)的证书申请(CSR)一起传输给注册机构(RA)，

-接收所述设施部件的公众信任的证书(C)并且优选地存储在受保护的区域中。

16.一种技术设施、特别是制造设施或过程设施，所述技术设施包括根据权利要求15所述的至少一个工程系统(ES)或控制系统。

Images