Op het gebied van automatisering wordt beveiliging steeds belangrijker. Daarom hebben de beveiligingsexperts van PI (PROFIBUS & PROFINET International) met erkende methodes & middelen een uitgebreid beveiligingsconcept opgesteld. Afhankelijk van de situatie kunnen nu drie PROFINET-beveiligingsklassen worden geïmplementeerd.
Een onderdeel van klasse 1 is het ondertekenen van de GSDML-bestanden, die alle kenmerken van een apparaat beschrijft in XML-notatie. Ondertekening van het GSDML-bestand door een fabrikant zorgt nu voor zowel authenticiteit als integriteit, dat wil zeggen dat het GSDML-bestand veilig gemaakt is door de verantwoordelijke fabrikant en dat er niet mee geknoeid is op weg naar de gebruiker.
De technische basis bestaat uit beproefde methodes:
De basis is de XML-handtekening – de W3C-aanbeveling/IETF RFC 3275 voor handtekeningobjecten in het XML-formaat. Uitgebreide vereisten worden ondersteund door de XAdES B-LT-uitbreiding van de XML-handtekeningspecificatie, gedocumenteerd door ETSI EN 319 132-1 en als een W3C-opmerking. Het handtekeningobject wordt samen met de bekende inhoud van het GSDML-bestand volgens ISO/IEC 29500-2:2021 (“OPC” = Open Packaging Convention) verpakt in een bestand, vandaar de nieuwe naamextensie: GSDX.
Het eenvoudig genereren van deze ondertekening vereist een bijbehorende toolomgeving, die het Support Center van de PROFIBUS Nutzerorganisation e.V. (PNO) biedt en daarbij wordt ondersteund door beveiligingsbedrijven. Deze handtekeningtool ondertekent GSDML-bestanden met behulp van een lokale privésleutel en genereert GSDX-bestanden. De bijbehorende publieke validatiesleutel wordt geleverd in de vorm van een door de PNO uitgegeven public key-certificaat. Ondertekening kan zowel direct bij het PNO Support Center als bij de fabrikant, die een afgeleid certificaat en smartcard heeft ontvangen. Inmiddels zijn de eerste testen succesvol gebleken. De PNO bouwt momenteel een PKI-interface voor veilige communicatie tussen het ondersteuningscentrum en fabrikanten.
Het ondertekenen van GSDML-bestanden is een van de eerste use cases van certificaten, en andere zullen volgen met beveiligde PROFINET-communicatie in beveiligingsklassen 2 en 3.
Net als andere functies zorgen PNO en PI door een consistente specificatie en de bijbehorende tools voor een werkbare beveiligingsimplementatie.
