![\"seguridad](\"https:\/\/www.logicbus.com.mx\/blog\/wp-content\/uploads\/2021\/04\/CIP-Security-1.png\" "\\"seguridad")
<\/p>\nAnteriormente explicamos lo extenso que es EtherNet\/IP y todas sus funciones capaces a realizar, en este apartado se mencionara el pr\u00f3ximo gran paso en EtherNet\/Ip, a continuaci\u00f3n lo explicaremos…<\/p>\n
<\/p>\n
Las amenazas a las instalaciones y redes corporativas est\u00e1n aumentando, al igual que los ataques reales, pero rara vez se discuten, casi nadie escribe un comunicado de prensa despu\u00e9s de un ataque exitoso en una de sus redes corporativas.<\/p>\n
Con el tiempo, las entidades externas (extranjeras y nacionales) con intenciones maliciosas han dirigido sus energ\u00edas a los sistemas de fabricaci\u00f3n, Hay un par de razones para esto, uno, ya no hay mucho desaf\u00edo, estima o recompensa financiera en los ataques dirigidos contra sistemas de computadoras personales, dos, estas entidades han aprendido que, si bien los sistemas de TI corporativos est\u00e1n bien protegidos, las redes de fabricaci\u00f3n est\u00e1n mucho menos protegidas. A veces, los controladores son accesibles p\u00fablicamente desde Internet.<\/p>\n
Estas personas y grupos han descubierto que si pueden penetrar en las subredes de E\/S del controlador programable, a menudo pueden acceder f\u00e1cilmente a la tabla de datos o al c\u00f3digo de control del controlador. Los controladores est\u00e1n bien defendidos de las amenazas externas cuando est\u00e1n vinculados a los sistemas de fabricaci\u00f3n, empresas y en la nube, pero casi sin protecci\u00f3n contra los ataques que se originan en sus redes de E\/S, esta ruta de ataque suele ser m\u00e1s vulnerable con mucha menos resistencia.<\/p>\n
ODVA dise\u00f1\u00f3 la arquitectura CIP Security\u00ae para proteger a los controladores y dispositivos programables en redes de E\/S de ataques originados en esas redes. A primera vista, los ataques en la red de E\/S parecen poco probables. Las redes de E\/S generalmente no est\u00e1n conectadas a Internet, entonces, \u00bfcu\u00e1l es el problema? En la pr\u00e1ctica, sin embargo, este tipo de ataques no son tan improbables.<\/p>\n
Muchas personas tienen acceso a una red de fabricaci\u00f3n, los integradores de sistemas, proveedores de productos, contratistas y empleados corporativos entran y salen de una instalaci\u00f3n y se conectan a redes con computadoras port\u00e1tiles que pueden verse comprometidas, los empleados pueden no deshabilitar los puertos abiertos en los conmutadores y, sin saberlo, hacer conexiones que enlazan a Internet, algunos empleados a sabiendas se involucran en el sabotaje, existen innumerables formas en que los atacantes pueden acceder a su red de E \/ S, CIP Security est\u00e1 dise\u00f1ado para aumentar la inmunidad a tales ataques.<\/p>\n
CIP Security proporciona integridad de mensajes, confidencialidad de mensajes, autenticaci\u00f3n de mensajes y autenticaci\u00f3n de punto final.\u00a0La integridad del mensaje garantiza que el contenido del mensaje recibido sea id\u00e9ntico al contenido del mensaje transmitido.\u00a0La confidencialidad del mensaje garantiza que ninguna entidad externa tenga acceso a los datos que se transmiten a trav\u00e9s de una red.\u00a0Autenticaci\u00f3n de mensajes significa que el remitente de un mensaje se autentica como el dispositivo que se espera que env\u00ede el mensaje.\u00a0Y la autenticaci\u00f3n de punto final significa que un punto final debe probar que es el dispositivo que dice ser antes de instanciar una conexi\u00f3n.<\/p>\n
Seguridad del sistema de TI est\u00e1ndar, fuera de la plataforma<\/strong> Debido a las diferencias subyacentes entre las capas de transporte EtherNet\/IP, CIP Security utiliza dos mecanismos de seguridad diferentes. Ambos son herramientas de software de TI est\u00e1ndar y est\u00e1ndar.<\/p>\n Las comunicaciones ac\u00edclicas (transporte TCP) utilizan TLS (Seguridad de la capa de transporte).\u00a0TLS es un conocido est\u00e1ndar de seguridad de Internet dise\u00f1ado para garantizar la integridad del mensaje, autenticar los puntos finales y mantener el contenido de los mensajes en privado.\u00a0Est\u00e1s usando TLS siempre que veas ese peque\u00f1o candado y el “https:” al comienzo de una URL en tu navegador.<\/p>\n Las comunicaciones c\u00edclicas (transporte UDP) utilizan otro mecanismo de comunicaci\u00f3n de TI est\u00e1ndar, DTLS (Datagram Transport Layer Security).\u00a0DTLS, una variante de TLS, est\u00e1 dise\u00f1ado para superar los problemas asociados con las comunicaciones UDP no reconocidas.<\/p>\n Dos modelos de confianza diferentes para validar las conexiones de dispositivos<\/strong> La implementaci\u00f3n de CIP Security admite dos modelos de confianza: clave precompartida (PSK) y certificados X.509.<\/p>\n La clave precompartida es un sistema sencillo que funciona bien en sistemas peque\u00f1os, el intercambio de claves privadas funciona de manera muy simple. Una clave privada es conocida y compartida por todos los dispositivos en una red. Cualquier dispositivo que conoce la clave privada est\u00e1 autenticado y puede cifrar y descifrar mensajes.<\/p>\n Los certificados X.509 son una forma est\u00e1ndar para que dos dispositivos se comuniquen de forma segura a trav\u00e9s de Internet. Cada dispositivo tiene un certificado que identifica a la entidad que emite el certificado y alguna autoridad de certificaci\u00f3n que acredite a ese emisor, un dispositivo puede cifrar y descifrar mensajes utilizando las claves p\u00fablicas y privadas asociadas con el certificado.<\/p>\n Los proveedores de CIP Security deben admitir ambos modelos de confianza.\u00a0Los usuarios finales pueden decidir cu\u00e1l tiene m\u00e1s sentido para sus instalaciones y encargar su dispositivo adecuadamente.<\/p>\n Tres nuevos objetos<\/strong> Se han implementado tres nuevos objetos para admitir la seguridad CIP: el objeto de seguridad CIP, el objeto de administraci\u00f3n de certificados y el objeto de seguridad EtherNet\/IP.<\/p>\n El\u00a0objeto de seguridad CIP<\/strong>\u00a0es un objeto de control de alto nivel.\u00a0Es el m\u00e1s simple de los objetos de seguridad CIP.\u00a0Proporciona un indicador que las entidades externas pueden verificar para determinar si un dispositivo est\u00e1 en el estado de configuraci\u00f3n de seguridad CIP.\u00a0Mantiene una lista de autoridades de confianza e identifica los perfiles de seguridad CIP que admite el dispositivo.<\/p>\n El\u00a0objeto de gesti\u00f3n de certificados<\/strong> (CMO) es el objeto de seguridad CIP que administra los certificados X.509 que mantiene el dispositivo y crea solicitudes de firma de certificado (CSR). Las solicitudes de firma son solicitudes a una Autoridad de certificaci\u00f3n para la creaci\u00f3n de un certificado X.509, en algunas aplicaciones de puesta en servicio, una herramienta de configuraci\u00f3n solicitar\u00e1 el objeto de administraci\u00f3n de certificados para crear una solicitud de firma. El objeto de gesti\u00f3n de certificados almacena la solicitud en el objeto de archivo donde la herramienta de configuraci\u00f3n puede leerla y utilizarla para obtener un certificado de una autoridad de certificaci\u00f3n local de la aplicaci\u00f3n.<\/p>\n El\u00a0objeto de seguridad EtherNet\/IP<\/strong> es el objeto de seguridad CIP que administra los par\u00e1metros que gobiernan el funcionamiento de CIP Security en un dispositivo EtherNet\/IP. Administra los par\u00e1metros que controlan el funcionamiento de TLS y DTLS, las suites de seguridad de cifrado, las listas de autoridades confiables y los mecanismos para obtener certificados X.509. Identifica el certificado de dispositivo activo actual que el dispositivo est\u00e1 utilizando para las comunicaciones seguras.<\/p>\n No todos los dispositivos en una red EtherNet\/IP tienen que ser compatibles con CIP Security, y no todos los dispositivos deben ponerse en servicio como un dispositivo seguro. Es perfectamente aceptable que un sistema tenga una mezcla de dispositivos no asegurados y seguros.<\/p>\n Hay varias formas en que los usuarios pueden encargar dispositivos seguros.\u00a0En el nivel m\u00e1s alto, los usuarios deben elegir claves precompartidas o certificados X.509 como su modelo de confianza.<\/p>\n Modelo de confianza de<\/strong> clave precompartida: la puesta en marcha de un dispositivo para una clave precompartida requiere que un dispositivo de origen (Esc\u00e1ner) y un dispositivo de destino (Adaptador) compartan la clave de cifrado. Es simple y directo. La puesta en servicio de un dispositivo para una clave precompartida requiere una herramienta de configuraci\u00f3n para establecer una conexi\u00f3n segura con un dispositivo y establecer el Atributo de clave precompartida del objeto EtherNet\/IP Security en el valor clave.<\/p>\n Modelo de confianza del certificado X.509: la puesta en<\/strong> marcha de dispositivos en sistemas que utilizan certificados X.509 es m\u00e1s complicada pero m\u00e1s segura. Un certificado X.509 consiste en informaci\u00f3n de identificaci\u00f3n, una clave p\u00fablica disponible para todos y una clave privada que est\u00e1 protegida de manera segura. Los dispositivos intercambian certificados para validar su autenticidad cuando inician una conexi\u00f3n. Una vez conectados, usan sus claves para cifrar y descifrar datos de E\/S y garantizar que el dispositivo de env\u00edo sea el dispositivo que form\u00f3 la conexi\u00f3n inicial.<\/p>\n Los certificados pueden ser cargados previamente por un proveedor si sus usuarios finales aceptan al proveedor como una Autoridad de Certificaci\u00f3n o si tiene un certificado acreditado de una Autoridad de Certificaci\u00f3n.\u00a0Los proveedores que ofrecen dispositivos con autoridad de certificaci\u00f3n de Honeywell, Rockwell o un proveedor similar probablemente ser\u00e1n aceptados autom\u00e1ticamente por los usuarios finales.<\/p>\n De lo contrario, CIP Security proporciona dos mecanismos para que los usuarios finales carguen certificados X.509 en el campo: el modelo Push y el modelo Pull.\u00a0En el modelo Push, una herramienta de configuraci\u00f3n establece una conexi\u00f3n segura con un dispositivo y le inserta un certificado.\u00a0En el Modelo de extracci\u00f3n, un dispositivo utiliza dispositivos como DNS (servidores de nombres de dispositivos), servidores de inscripci\u00f3n y dispositivos de autoridad de certificaci\u00f3n para obtener un certificado.<\/p>\n Rockwell Automation ya est\u00e1 enviando controladores que admiten CIP Security, se espera que comiencen a enviar dispositivos de Adaptador EtherNet\/IP equipados con Seguridad CIP y una herramienta de configuraci\u00f3n que automatizar\u00e1 el proceso de administraci\u00f3n de dispositivos de Seguridad CIP en un futuro pr\u00f3ximo.<\/p>\n Es probable que muchos fabricantes dise\u00f1en CIP Security en su pr\u00f3ximo conjunto de dispositivos.<\/p>\n CIP Security est\u00e1 emergiendo en 2020 como una verdadera tecnolog\u00eda de cambio de juego dentro del ecosistema de Rockwell Automation, los proveedores de dispositivos deben identificar c\u00f3mo implementar\u00e1n esta nueva tecnolog\u00eda, c\u00f3mo configurar\u00e1n los dispositivos EtherNet\/IP Adapter, qu\u00e9 sistemas de cifrado utilizar\u00e1n, qu\u00e9 certificados aceptar\u00e1n y mucho m\u00e1s. Tomar estas decisiones cr\u00edticas est\u00e1 fuera de la experiencia de muchos ingenieros de control.<\/p>\n Los vendedores tienen un desaf\u00edo a\u00fan m\u00e1s dif\u00edcil, los proveedores que crean dispositivos de seguridad CIP deben decidir qu\u00e9 tipo de certificado deben proporcionar, c\u00f3mo proteger\u00e1n sus claves privadas y c\u00f3mo abordar\u00e1n los desaf\u00edos de cifrar y descifrar mensajes en dispositivos nunca dise\u00f1ados para eso. Seguramente necesitar\u00e1n revisar su pila de software EtherNet\/IP y, posiblemente, volver a girar el hardware.<\/p>\n
\nEtherNet\/IP admite comunicaciones tanto c\u00edclicas como c\u00edclicas. Las comunicaciones ac\u00edclicas se utilizan para mover informaci\u00f3n entre esc\u00e1neres (dispositivos del lado del controlador) y dispositivos adaptadores (dispositivos de tipo E\/S). Las comunicaciones c\u00edclicas se utilizan para mover datos de E\/S entre esc\u00e1neres y adaptadores. Los mensajes ac\u00edclicos env\u00edan informaci\u00f3n o par\u00e1metros de configuraci\u00f3n, como un tiempo de aceleraci\u00f3n en un horario intermitente, mientras que las comunicaciones c\u00edclicas se repiten continuamente.<\/p>\n
\nUn modelo de confianza es una consideraci\u00f3n importante en la fabricaci\u00f3n de la seguridad del sistema.\u00a0El modelo de confianza es la colecci\u00f3n de reglas que gobiernan c\u00f3mo un dispositivo decide confiar en otro dispositivo.<\/p>\n
\n![\"Diagrama](\"https:\/\/www.rtautomation.com\/wp-content\/uploads\/2019\/05\/CIP-Security-Message-Router-Diagram.jpg\" "\\"objeto")
\nTodas las tecnolog\u00edas Common Industrial Protocol \u2122 (CIP), EtherNet\/IP \u2122, CompoNet \u2122, ControlNet \u2122 y DeviceNet \u2122, son tecnolog\u00edas basadas en objetos. Eso significa que los usuarios interact\u00faan con los dispositivos CIP al interactuar con los objetos implementados en esos dispositivos.<\/p>\n\u00bfC\u00d3MO SE COMISIONAN LOS DISPOSITIVOS?<\/h2>\n
\u00bfROCKWELL LO APOYA?<\/h2>\n
\u00bfQU\u00c9 DEBER\u00cdA HACER DESPU\u00c9S?<\/h2>\n