- - bei der Datenübertragung über IP-Netze, besteht ein erhöhtes Manipulationsrisiko.
- - die IP-Verbindungen müssen deshalb unter bestimmten Vorraussetzungen verschlüsselt und mit erhöhten Sicherheitsanforderungen erfolgen.
- - falls bei dem verwendeten IP-Netz eine Manipulation durch Dritte nicht ausgeschlossen werden kann, muss die Datenübertragung verschlüsselt erfolgen.
- - die Crypto-Schlüssel können innerhalb der Objektprogrammierung nur bei VdS-Objekten zugeordnet werden, welche über eine Ethernetverbindung (IP-Empfangsmodul) aufgeschaltet sind.
- - die Anzahl der Schlüssel ist nicht limitiert (außer durch die Kapazität des zur Verfügung stehenden Speichers). Somit besteht die Möglichkeit, für jedes, in der AE angelegtes Objekt, mindestens einen individuellen Schlüssel vorzuhalten und zuzuordnen.
- - entsprechend der gültigen VdS-Richtlinie, muss jedem Objekt, welches verschlüsselt aufgeschaltet wird ein eigener individueller Schlüssel zugeordnet werden.
| Sicherheit durch Schlüsselprüfung |
Um Manipulationen, wie oben beschrieben, zu vermeiden, muss in der AE eine Schlüsselprüfung eingestellt werden. Diese Prüfung sollte auch dauerhaft aktiviert sein. Bei jedem IP-Verbindungsaufbau werden Schlüsselnummer und die zugehörige Objektnummer geprüft. Verbindungsaufbauten, bei denen eine eventuelle Manipulation erkannt wird, müssen von der AE abgelehnt werden. Bei jeder Ablehnung muss eine Fehlermeldung ausgegeben werden. Bei einer verschlüsselten Übertragung handelt es sich um eine gesicherte Übertragung. Eine Datenmanipulation (siehe nachstehende Szenarien) ist innerhalb einer Verbindung ausgeschlossen.
|
Verschlüsselung erforderlich |
|
|
Unzulässiger Schlüssel |
|
|
Mehrfachverbindung |
|
Wenn in der Vergangenheit Schlüssel bereits mehrfach verwendet wurden, müssen zuerst die betroffenen Objekte umprogrammiert werden, bevor die Schlüsselprüfung aktiviert werden kann. |
|
Bei Verwendung eines übergeordneten Leitstellenprogramms sollte sichergestellt sein, dass alle Fehlermeldungen angezeigt und mit Maßnahmen hinterlegt werden. |
| Manipulationsmöglichkeiten (Sabotage) |
Wenn man nun unterstellt, dass ein weiteres AWUG mit gleicher Objektnummer programmiert und aufschaltet wird, können folgende Szenarien entstehen:
|
|
Das AWUG versucht eine unverschlüsselte Verbindung aufzubauen, obwohl ein Schlüssel angelegt ist. |
|
|
Das AWUG verwendet einen Schlüssel, der zu einem anderen Objekt gehört. |
|
|
Das AWUG versucht eine Verbindung aufzubauen, die bereits existiert. |
In allen drei Fällen kann die Ursache eine versehentlich falsche Programmierung, aber auch der Versuch, der AE eine gleiche Verbindung vorzutäuschen. Durch gezielte Alarme bzw. Scharf- Unscharfschaltungen könnte der Versuch unternommen werden, ein Ignorieren von Alarmen bzw. Meldungen oder gar eine Abschaltung des simulierten Objektes zu erreichen.
