Netzwerksicherheit - Bosch PRAESENSA Installationsanleitung

PRAESENSA
4.6.4

Netzwerksicherheit

Die OMNEO-Netzwerktechnologie bietet zwei Arten der Sicherheit:
–
–
Die Steuerungssicherheit wird über TLS (Transport Layer Security) realisiert. Für diesen
Mechanismus sind eine TCP-Verbindung und ein PSK (Pre‑Shared Key, „vorher vereinbarter
Schlüssel") erforderlich. Der PSK muss auf einer Systemkomponente vorhanden sein, bevor
eine sichere Verbindung mit dieser Systemkomponente hergestellt werden kann. OMNEO
verwendet die Diffie-Hellman-Schlüsselaustauschmethode, mit der zwei Parteien zusammen
ohne Vorkenntnisse voneinander einen gemeinsam genutzten, geheimen Schlüssel über einen
unsicheren Kanal einrichten können. Mit diesem Schlüssel kann die zukünftige Kommunikation
verschlüsselt werden. Bei dieser Lösung ist das System kurz ungeschützt, während der
werkseitige Standardschlüssel zu einem systemspezifischen Schlüssel geändert wird. In
diesem Moment können Angreifer den Systemschlüssel erfahren, indem Sie den Diffie-
Hellman-Schlüsselaustausch während der Verbindungseinrichtung mit dem werkseitigen
Standardschlüssel abhören. Dieser Teil der Einrichtung sollte daher vorzugsweise in einem
geschlossenen Netzwerk erfolgen. Der PSK wird dauerhaft in der Systemkomponente
gespeichert. Zur späteren Änderung des PSK muss der Schlüssel bekannt sein. Wenn der
Schlüssel verloren geht und/oder die Systemkomponenten zu einem anderen System
transferiert werden, können die Systemkomponenten mit einer manuellen Reset-Taste auf die
Werkseinstellungen zurückgesetzt werden. Hierzu ist der physikalische Zugriff auf die
Systemkomponente erforderlich.
Die von OMNEO verwendete Cipher Suite ist TLS_DHE_PSK_WITH_AES_128_CBC_SHA. Dies
bedeutet:
–
–
Bei der Audiosicherheit wird eine proprietäre Implementierung eines auf Standards
basierenden Algorithmus für Verschlüsselung und Authentifizierung verwendet. Der
Hauptgrund hierfür ist die erforderliche niedrige Latenzzeit. Der Algorithmus sorgt für eine nur
0,1 ms lange, zusätzliche Sample-Verzögerung für Codierung und Decodierung. Er verwendet
eine AES‑128-Verschlüsselung im Cipher Feedback Mode (CFB) für die
Selbstsynchronisierung, selbst wenn der Audiostream lange nach seinem eigentlichen Start
empfangen wurde oder wenn einige Samples beim Empfang verloren gehen. Nur sechs Audio-
Samples (125 µs bei Abtastrate von 48 kHz) reichen für eine Neusynchronisierung aus.
Für die Authentifizierung verwendet der Algorithmus CMAC (Cipher-based Mandatory Access
Control). Dabei werden 8 Bit zu jedem 24‑Bit-Audio-Sample hinzugefügt, wodurch 32‑Bit-
Samples entstehen.
Der Audiosicherheitsalgorithmus verwendet einen PSK, der für Sender und Empfänger
identisch sein muss. Der Schlüssel wird flüchtig auf der Systemkomponente gespeichert und
beim Aus‑ und Einschalten gelöscht, weshalb er über eine sichere Steuerungsverbindung neu
zugeteilt werden muss. Ein zufälliger Schlüssel wird jedes Mal definiert, wenn eine
Audioverbindung hergestellt wird, sodass jede Audioverbindung einen anderen Schlüssel hat.
Weitere Sicherheitsmaßnahmen in PRAESENSA sind:
–
–
Bosch Security Systems B.V.
Steuerungssicherheit mithilfe von Verschlüsselung und Authentifizierung der TCP-
(OCA-)Steuerungsdaten
Audiosicherheit mithilfe von Verschlüsselung und Authentifizierung der Audiostreams
Verschlüsselung mit AES‑128
Authentifizierung und Datenintegrität mit HMAC-SHA-1
Der Systemcontroller speichert Passwörter und tauscht Passwörter über den sicheren
Hash-Algorithmus SHA-2 (Version SHA-256) mit den Open-Interface‑/API-Clients aus.
Ein Backup von Konfiguration und Mitteilungen ist über eine authentifizierte sichere
Verbindung (HTTPS) basierend auf Transport Layer Security (TLS 1.2) möglich.
Allgemeine Installationsverfahren und ‑anweisungen | de
Installation manual
27
2019.11 | V1.00 |