R&S FT5066 Trusted Filter Steuerkommando-Filter für Funkgeräte: Rot-Schwarz-Trennung nach STANAG

Transkript

1 Sichere Kommunikation Datenblatt R&S FT5066 Trusted Filter Steuerkommando-Filter für Funkgeräte: Rot-Schwarz-Trennung nach STANAG

2 R&S FT5066 Trusted Filter Auf einen Blick Das Trusted Filter R&S FT5066 wurde für den Einsatz in STANAG 5066-konformen Message-Handling- Systemen entwickelt, in denen Funkgeräte und/oder Modems auch automatisiert angesteuert werden. Das Filter wird in die Steuerleitung eingebunden und fungiert als Firewall für die Steuerungsinformationen des Funkgeräts, d.h. es stellt durch die strikte Rot-Schwarz-Trennung sicher, dass nur ausdrücklich erlaubte Steuerkommandos übertragen werden. Vertrauliche Daten werden weder versehentlich noch absichtlich preisgegeben. Die Bedrohung, die von falschen Steuerungs informationen ausgeht, wird oft vernachlässigt. Daher ist die Steuerleitung meistens ungesichert. Eine ungesicherte Steuerleitung kann sowohl versehentlich, z.b. durch einen Programmfehler, als auch absichtlich durch einen Angreifer dazu führen, dass die Verschlüsselung vertraulicher Informationen umgangen wird. Das R&S FT5066 sichert die Steuer leitung und verhindert dadurch, dass unkontrolliert rote Daten auf die gesicherte schwarze Seite gelangen. Diese Sicherung ist erforderlich, da das zu schützende Message-Handling-System unverschlüsselte rote Daten (die Payload) verarbeitet und zugleich für die Steuerung des Funkgeräts zuständig ist. Ein Fehlerzustand innerhalb des Message-Handling-Systems kann zu einer ungewollten Funkübertragung unter Umgehung der Verschlüsselung führen. Das R&S FT5066 erkennt, blockiert, signalisiert und protokolliert diese kompromittierenden Fehlerzustände. Mehrere selbstständige und voneinander unabhängige Selbsttests gewährleisten die fortlaufende Integrität der Firewall-Funktion innerhalb des R&S FT5066. Zur Fern abfrage des Gerätestatus ist es mit einer Logging- Schnittstelle ausgestattet, die nur lesenden Zugriff erlaubt. Hauptmerkmale Konsequente Filterung und Trennung roter und schwarzer Daten Verhindert Datenabfluss über die Steuerleitung Kann als Komponente in einem System bis zur Geheimhaltungsstufe Secret eingesetzt werden Eingebauter Selbsttest und Zugriffskontrolle Audio-visuelle Statussignalisierung und detaillierte Log Ausgaben Unterstützt die Funkgeräte R&S M3SR, Harris und RM6 sowie GA-123-Modems 2

3 R&S FT5066 Trusted Filter Wesentliche Merkmale und Vorteile Rot-Schwarz- Trennung zur Sicherung der Integrität des Gesamtsystems Kontrollierter Kommunikationsfluss unterbindet Sicherheitsverletzungen Zwei voneinander unabhängige Prozessoren überprüfen die Integrität der Rot-Schwarz-Trennung Mathematische Prüfsummmen schützen den Kommunikationsfluss innerhalb des Geräts Seite 4 Sicherheitskonforme und verbindliche Abbildung des Gesamtsystems Gesicherte Anwendung durch Positivliste ohne Toleranz Ausgiebige Tests gewährleisten Integrität des Gesamtsystems Seite 6 Statusinformationen direkt am Gerät und per Logging Eindeutige Anzeigen und Töne informieren präzise über den aktuellen Systemstatus Detaillierte Protokollierung für Wartung und Justierung Seite 7 Sicheres Konzept zum Schutz vor Manipulation und zur Wahrung der Geräteintegrität Physikalische und logische Methoden schützen vor verdeckter Manipulation Ausgefeilte Selbsttests stellen die Vertrauens würdigkeit jedes einzelnen Geräts sicher Seite 8 Rohde & Schwarz R&S FT5066 Trusted Filter 3

4 Rot-Schwarz- Trennung zur Sicherung der Integrität des Gesamtsystems Kontrollierter Kommunikationsfluss unterbindet Sicherheitsverletzungen Das R&S FT5066 ist mit zwei Prozessoren ausgestattet, die den Kommunikationsfluss innerhalb des Geräts sowie die Kommunikation mit dem Message-Handling-System (MHS) und dem Funkgerät/Modem (FuG) steuern. Ein Prozessor ist für die ungesicherte (rote) Kommunikation mit dem MHS zuständig, während der zweite Prozessor die gesicherte (schwarze) Kommunikation mit dem FuG übernimmt. Steuerkommandos fließen auf zwei getrennten Pfaden durch das Gerät: Ein unidirektionaler Treiber ermöglicht den Daten der schwarzen Seite (FuG) den Weg zur roten Seite (MHS) und versperrt Daten der roten Seite den Weg zum FuG. Rote Daten können nur über die beiden Prozessoren zum FuG gelangen. Protokollinformationen über den laufenden Betrieb bietet die Logging-Schnittstelle. Die Schnittstelle befindet sich auf der roten Seite des Geräts und kann nur lesend genutzt werden, d.h. Steuerkommandos können über die Schnittstelle weder auf die schwarze Seite gelangen, noch kann das R&S FT5066 über diese Schnittstelle kompromittiert werden. Rot-Schwarz-Trennung für die Steuerleitung Rote Seite Schwarze Seite STANAG 5066-PC R&S FT5066 Kryptogerät Steuerleitung Datenleitung Steuerleitung Datenleitung Funkgerät oder Modem 4

5 Zwei voneinander unabhängige Prozessoren überprüfen die Integrität der Rot-Schwarz-Trennung Das R&S FT5066 nutzt einen Prozessor für die ungesicherte (rote) Seite und einen weiteren Prozessor für die gesicherte (schwarze) Seite. Jeder Prozessor verfügt über einen eigenen physischen Speicher für Bootloader, Firmware und Filtervorgaben, mit denen das R&S FT5066 während der Herstellung initialisiert wird. Beide Prozessoren prüfen beim Startvorgang unabhängig voneinander ihre Firmware. Anschließend überprüft der rote Prozessor die Firmware-Version des schwarzen Prozessors. Der Betrieb wird erst aufgenommen, wenn alle Prüfungen erfolgreich durchlaufen wurden. Mathematische Prüfsummmen schützen den Kommunikationsfluss innerhalb des Geräts Steuerkommandos, die der rote Prozessor während der Laufzeit vom MHS erhält und als gültig betrachtet, werden mit einem Startbyte, einem Headerbyte sowie einem Endbyte markiert und versendet. Das Headerbyte enthält eine Prüfsumme (CRC) und die Datenlänge. Der schwarze Prozessor empfängt und prüft die Daten. Nur wenn alle mathematischen Parameter übereinstimmen, sendet er die Steuerkommandos an das FuG und quittiert dem roten Prozessor die korrekte Ausführung. Die Steuerkommandos vom MHS werde nur an das FuG weitergeleitet, wenn beide Prozessoren korrekt und ineinandergreifend arbeiten. Datenfluss im FT5066 Logging-Schnittstelle Rote Schnittstelle Rotes Prozessorsystem Unidirektionaler Treiber Schwarzes Prozessorsystem Schwarze Schnittstelle Rohde & Schwarz R&S FT5066 Trusted Filter 5

6 Sicherheitskonforme und verbindliche Abbildung des Gesamtsystems Gesicherte Anwendung durch Positivliste ohne Toleranz Das R&S FT5066 basiert auf Positivlisten (Whitelists). Auch kleinste Abweichungen werden nicht toleriert. Der Betrieb des Geräts erfordert und gewährleistet somit klar definierte Umgebungen. Zur Umgebung gehören insbesondere die Steuerleitung sowie das MHS und das FuG. Ausgiebige Tests gewährleisten Integrität des Gesamtsystems Intensive Beratung und Tests mit allen Teilnehmern sind erforderlich, bevor das Gerät für den entsprechenden Anwendungsfall ausgeliefert und eingesetzt werden kann. Jede Abweichung muss im Hinblick auf Sicherheitsrisiken untersucht werden. Nichtkonforme Kommunikationsprotokolle werden entweder zurückgewiesen, oder die abweichende Protokollimplementation muss angepasst werden. Typische Betriebsumgebung Kunden-PC -Client Kunden-PC TCP/IP-Anwendung LAN Fernsteuerung R&S STANAG 5066 Server (R&S PSL1) Serielle Datenübertragung R&S FT5066 Trusted Filter R&S ED4-2 Kryptogerät R&S XK4115 HF-Transceiver 6

7 Statusinformationen direkt am Gerät und per Logging Eindeutige Anzeigen und Töne informieren präzise über den aktuellen Systemstatus Akustische und optische Signale vermitteln schnell und einfach zentrale Informationen zum aktuellen Systemstatus. Die Frontblende enthält gut sichtbare LEDs, die entweder den korrekten Betrieb oder das Warnlevel signalisieren. Getrennte LEDs für die schwarze und die rote Seite unterstützen bei der Eingrenzung der Fehlerursache. Wenn die Maximalzahl an Warnungen erreicht wurde oder ein kritischer Fehler auftritt, wechselt das Gerät in den Blockiermodus mit einem deutlich hörbaren Ton. Detaillierte Protokollierung für Wartung und Justierung Die Protokollierung über die Logging-Funktion macht weitergehende Informationen zum Systemstatus zugänglich. Fehlerhafte Steuerkommandos werden zusammen mit dem Fehlergrund ausgegeben. Diese Details werden benötigt, um die Fehler auf den roten bzw. schwarzen Prozessor, andere Komponenten oder andere Implementationen einzuschränken. Drei verschiedene Fehlerlevel signalisieren die potenzielle Gefahr der Kompromittierung, die durch die fehlerhafte Übertragung für das System bestünde. Log-Daten Zeitstempel Funkgerät/Modem Fehlernummer/-beschreibung Fehlerhafte Übertragung, Information blockiert Rohde & Schwarz R&S FT5066 Trusted Filter 7

8 Sicheres Konzept zum Schutz vor Manipulation und zur Wahrung der Geräteintegrität Physikalische und logische Methoden schützen vor verdeckter Manipulation Um das R&S FT5066 vor Fehlfunktionen durch Manipulation zu schützen, wurde es mit verschiedenen physikalischen und logischen Sicherheitsmaßnahmen ausgestattet. So wird das Gerät beispielsweise bereits in der Produktion in einer sicheren Umgebung mit separaten Filterlisten für jeden Prozessor initialisiert. Anschließend wird das R&S FT5066 versiegelt, um den unerkannten Zugriff auf die internen Schnittstellen zu verhindern. Innerhalb des Geräts werden Prüfsummen-Verfahren für die Kommunikation zwischen den Prozessoren angewendet (Dateinamen, Steuerkommandos etc.), und externe Schnittstellen (Logging-Funktion) erlauben nur lesenden Zugriff. Ausgefeilte Selbsttests stellen die Vertrauenswürdigkeit jedes einzelnen Geräts sicher Nach dem Einschalten und nach jedem Neustart durchläuft das R&S FT5066 einen Selbsttest. Während dieses Selbsttests ist die Verbindung zwischen dem roten und dem schwarzen Geräteteil blockiert. Beide grüne LEDs leuchten, sobald der Selbsttest erfolgreich, d.h. fehlerfrei durchlaufen wurde. Andernfalls ertönt ein durchgehendes Audiosignal und mindestens eine rote LED blinkt. Dieser Status kann nur durch Reinitialisierung des Geräts in den Werken von Rohde & Schwarz behoben werden. Siegel zum Schutz vor physischen Manipulationen Siegel Rohde & Schwarz R&S FT5066 Trusted Filter 8

9 Technische Daten Technische Daten Schnittstellen Logging Schwarze Steuerung Rote Steuerung CE Konformität EMI Sicherheit V.28, D-Sub-9-Buchse, Bd V.28, D-Sub-9-Buchse, Bd fix (Modell.02: 9600 Bd fix) V.28, D-Sub-9-Buchse, Bd fix (Modell.02: 9600 Bd fix) EN Class B (Emissionen), EN (Immunität) EN (Vorschriften für die Sicherheit von IT-Systemen) Umgebungsbedingungen Max. Betriebstemperatur +70 C Max. Lagertemperatur +85 C Min. Betriebstemperatur 30 C Min. Lagertemperatur 40 C Relative Luftfeuchtigkeit bei +40 C max. 95 % Vibration HVO 149 Class A von Rohde & Schwarz Stoß-Test HVO 149 Class B von Rohde & Schwarz Stromversorgung Betriebsspannung 20 V bis 28 V (24 V nominal) Max. Stromaufnahme 4 W Stromanschluss KYCON KPJX-3S (Buchse) Allgemeine Daten Abmessungen B H T 130 mm 45 mm 165 mm Gewicht ca. 700 g Bestellangaben Bezeichnung Typ Bestellnummer Trusted Filter, für R&S XK2100, RM6, GA-123 R&S FT Trusted Filter, für R&S XK4115 R&S FT Trusted Filter, für Harris 5710A R&S FT Rohde & Schwarz R&S FT5066 Trusted Filter 9

10 Service Ihres Vertrauens J J Weltweit J Lokal J Lokal und und persönlich J J Flexibel und und maßgeschneidert J J Kompromisslose Qualität J J Langfristige Sicherheit Rohde & Schwarz Der Elektronikkonzern Rohde & Schwarz ist ein führender Lösungsanbieter in den Arbeitsgebieten Messtechnik, Rundfunk, Funküberwachung und -ortung sowie sichere Kommunikation. Vor mehr als 75 Jahren gegründet ist das selbst ständige Unternehmen mit seinen Dienstleistungen und einem engmaschigen Servicenetz in über 70 Ländern der Welt präsent. Der Firmensitz ist in Deutschland ( München). Der Umwelt verpflichtet Energie-effiziente Produkte Kontinuierliche Weiterentwicklung nachhaltiger Umweltkonzepte ISO zertifiziertes Umweltmanagementsystem Certified Quality System ISO 9001 Rohde & Schwarz SIT GmbH Am Studio 3 D Berlin Fax info.sit@rohde-schwarz.com Kontakt Europa, Afrika, Mittlerer Osten customersupport@rohde-schwarz.com Nordamerika TEST RSA ( ) customer.support@rsa.rohde-schwarz.com Lateinamerika customersupport.la@rohde-schwarz.com Asien/Pazifik customersupport.asia@rohde-schwarz.com R&S ist eingetragenes Warenzeichen der Rohde & Schwarz GmbH & Co. KG Eigennamen sind Warenzeichen der jeweiligen Eigentümer Printed in Germany (ft) PD Version Juli 2010 R&S FT5066 Daten ohne Genauigkeitsangabe sind unverbindlich Änderungen vorbehalten 2010 Rohde & Schwarz GmbH & Co. KG München, Germany