Den kryptografiske grunnlinjen antatt i hvert europeisk bud
Sen-stadie design-gjennomgang. Anleggseierens kryptografi-reviewer går gjennom produsentens produktsikkerhets-dokumentasjon, leter etter algoritme-erklæringene. Dokumentet er godt forberedt og fullstendig. Det lister protokollene enheten snakker, cipher-ene støttet, nøkkellengdene brukt, hashing-algoritmene anvendt på ulike punkter i firmwaren.
Reviewer-en pauser ved en bestemt linje. Firmware-signaturverifiseringen — den kryptografiske sjekken kontrolleren utfører før den aksepterer en firmware-oppdatering — bruker SHA-1 som hash-funksjon og RSA-2048 som signatur-algoritme.
Reviewer-en skriver et notat. To problemer med den linjen. For det første, SHA-1 har vært demonstrabelt knust for kollisjonsmotstand siden 2017 , har blitt utfaset på tvers av hvert større kryptografi-veiledningsorgan, og er formelt pensjonert av NIST for digital signatur-bruk på slutten av 2030. Den nåværende kryptografi-gjennomgangen vil ikke akseptere den i dag, uavhengig av den formelle fristen. For det andre, RSA-2048 sitter på grensen av hva som er akseptabelt; NIST SP 800-131A Rev. 2 anbefaler migrasjon til 3072-bits RSA eller til elliptisk-kurve-signaturer for enhver enhet med en service-levetid utover 2030, som beskriver i hovedsak hver industriell kontroller som anskaffes i 2026.
Produsentens ledende ingeniør er overrasket. SHA-1 var bevisst — valgt for rask beregning på den ressurs-begrensede kontrolleren for åtte år siden, aldri revisitert. RSA-2048 var standarden for bootloader-koden på det tidspunktet, forsvarbar da, på kanten nå. Begge valgene var rimelige da de ble gjort. Ingen overlever en nåværende kryptografi-gjennomgang.
Dette er den kryptografiske grunnlinje-samtalen, og det er området der leverandør-antagelser og EU-forventninger divergerer mest stille. De fleste av de arkitektoniske argumentene i denne serien dukker opp i tidlige konseptuelle samtaler; kryptografi, derimot, passerer ofte gjennom factory acceptance, blir installert på sted, og avslører sine mismatcher først når en sikkerhetsgjennomgang utføres seks måneder inn i drift. Långiverens tekniske rådgiver åpner et funn. Produsentens ingeniørteam står overfor en firmware-oppdatering som berører bootloaderen, distribuerbar bare under planlagte driftsstanser, krever re-sertifisering under produsentens eget kvalitetssystem. Utbedringen er dyr og treg. Samtalen, hatt på forslagsstadiet, ville ha kostet nesten ingenting.
Grunnlinjen på transportnivå
For nettverks-kommunikasjon er gulvet forventet i ethvert EU-finansiert prosjekt TLS 1.3 — den nåværende standarden, i utbredt utrulling siden 2018, foretrukket for alle nye produktdesign. TLS 1.2 forblir akseptabelt for legacy migrasjonsstier, men bare med en begrenset cipher-suite-liste: forward-secrecy nøkkelutveksling gjennom ECDHE snarere enn statisk RSA, AEAD cipher-moduser (AES-GCM, AES-CCM, ChaCha20-Poly1305), og fjerning av alle CBC-modus cipher-er bortsett fra der det er obligatorisk og riktig mitigert mot kjente angrep. SSL av enhver versjon — SSLv2, SSLv3 — har vært utfaset i over et tiår og må ikke være til stede, selv som et konfigurasjonsvalg. TLS 1.0 og TLS 1.1 er likeledes utenfor omfanget.
For asymmetrisk kryptografi er gulvet for nye design RSA-3072 eller elliptisk-kurve-kryptografi på NIST P-256 (eller høyere), med Ed25519 i økende grad akseptert for nyere implementeringer. RSA-2048 er akseptabelt for legacy-produkter under migrasjon, men er på grensen av hva som bør spesifiseres for nytt utstyr. For Diffie-Hellman nøkkelutveksling er ECDHE på standardkurver det forventede valget; finite-field DH bør være 2048 bit minimum, men EC-varianter er nå standard praksis.
For hashing er gulvet SHA-256, med SHA-384 forventet for høyere sikkerhetsnivå-soner og SHA-512 akseptabelt. SHA-1 er ikke akseptabelt for noe kryptografisk formål — verken for signatur-verifikasjon, eller for HMAC, eller for fil-integritetssjekking. Den formelle NIST-pensjonsfristen er slutten av 2030, men i praksis vil anleggseierens reviewer flagge SHA-1-bruk i dag, ikke i 2030. MD5 har vært knust siden 2004 og har ingen legitim kryptografisk bruk i industrielt utstyr.
For symmetrisk kryptering er AES gulvet, med AES-128 akseptabelt for de fleste bruksområder og AES-256 forventet for SL-T 3-soner og over. ChaCha20 er akseptabelt som et alternativ, særlig på ressurs-begrensede enheter som sliter med maskinvare-akselerert AES. 3DES er uakseptabelt. DES, RC4 og enhver eksport-grade cipher er uakseptable og bør ikke være til stede i firmware selv som fallback-alternativer.
For digitale signaturer — den mest konsekvensbringende anvendelsen av asymmetrisk kryptografi i industrielt utstyr, fordi firmware-signaturverifikasjon avhenger av det — er ECDSA på NIST P-256 (eller høyere) det standard valget, med Ed25519 i økende grad foretrukket for nyere design og RSA-3072 akseptabelt. Signatur-algoritmen brukt av bootloaderen for å verifisere firmware-oppdateringer er en av de kryptografiske sjekkene anleggseierens reviewer vil undersøke mest nøye, fordi en kompromittert firmware-signatur-mekanisme kompromitterer hver annen sikkerhets-kontroll enheten har.
Dette er ikke parameter-valg å overlate til utrullings-konfigurasjon alene. Enheten må støtte disse algoritmene i firmware. Svakere algoritmer bør ikke være tilgjengelige som fallback-alternativer utrullings-konfigurasjonen må huske å deaktivere. Der svake algoritmer er til stede for historisk kompatibilitet — en TLS 1.2-server som fortsatt kan forhandle SHA-1 med gamle klienter, en HMAC-implementering som beholder MD5 for legacy-interoperabilitet — må fjerningen deres planlegges som en del av produkt-veikartet, ikke overlates som et fremtidig vedlikeholds-tema.
Sertifikater og PKI-integrasjon
De kryptografiske algoritmene er en halvdel av grunnlinjen. Den andre halvdelen er hvordan enheten håndterer den kryptografiske identitets-infrastrukturen anleggseieren driver.
Et vedvarende problem med industrielt utstyr er det selv-signerte eller leverandør-rotete sertifikatet bakt inn i firmwaren ved produksjon. En enhet som leveres med et selv-signert sertifikat og ikke tilbyr noen mulighet for erstatning, er en enhet hvis kryptografiske identitet ikke kan integreres i anleggseierens public key infrastructure. Hver TLS-håndhilsen enheten utfører faller utenfor anleggseierens tillitskjede; hver sertifikat-validering krever eksplisitt overstyring; hver revisjon av den kryptografiske grensen returnerer samme funn.
Forventningen er at enheter aksepterer sertifikater utstedt av anleggseierens PKI, utrullet gjennom anleggseierens sertifikat-enrollment-prosess. Protokollene for den enrollmentet er standardisert — SCEP (Simple Certificate Enrollment Protocol), EST (Enrollment over Secure Transport, RFC 7030) , og i økende grad ACME (Automated Certificate Management Environment, RFC 8555) — og enheten bør støtte minst én av dem. En enhet som krever manuell sertifikat-import gjennom et leverandør-spesifikt verktøy kan teknisk passere akseptanse, men det skaper operasjonell friksjon anleggseierens identitetsteam vil reise under onboarding og pågående drift.
Sertifikat-rotasjon må støttes. Lang-levede sertifikater — fem år, ti år, enhetens service-levetid — er i økende grad uakseptable. Forventningen i moderne PKI er kort-levede sertifikater, ofte 90 dager eller mindre for tilkoblings-nivå-legitimasjon, rotert automatisk gjennom enrollment-protokollen. En enhet som bare støtter sertifikater med fler-års levetid, er en enhet inkompatibel med anleggseierens PKI-policy.
Enheten må også støtte sertifikat-tilbakekalling på en måte anleggseieren kan verifisere — enten gjennom OCSP (Online Certificate Status Protocol) eller gjennom Certificate Revocation List-distribusjon. Et tilbakekalt sertifikat som enheten fortsetter å stole på, er en sikkerhets-svikt anleggseieren ikke kan tolerere. Verifiseringsstien må være konfigurerbar: pekende på anleggseierens tilbakekallings-infrastruktur, ikke på produsentens.
Mutual TLS — der begge sider av en tilkobling presenterer og verifiserer sertifikater — er forventet for maskin-til-maskin-tilkoblinger i høyere sikkerhetsnivå-soner. Server-side-only TLS er akseptabelt for noen bruksområder, men utilstrekkelig for kontrollsystem-kommunikasjon der begge endepunkter trenger kryptografisk identitet.
Referansestandarden som binder dette sammen er IEC 62443-4-2 komponent-krav 1.8 (public key infrastructure certificates) og CR 1.9 (strength of public key authentication), med sistnevntes høyere sikkerhetsnivå-utvidelse som krever maskinvare-basert beskyttelse av autentiserings-nøkler.
Maskinvare-tillitsrot og sikker oppstart
Den kryptografiske grunnlinjen er i økende grad forankret på maskinvare-nivået, ikke bare i firmware-konfigurasjon.
En maskinvare-tillitsrot — en brikke eller brikke-område dedikert til kryptografiske operasjoner og nøkkel-lagring, atskilt fra den generelle applikasjons-prosessoren — er fundamentet. Vanlige implementeringer inkluderer TPM 2.0 (Trusted Platform Module, ISO/IEC 11889), ARM TrustZone med et sikkert element, dedikerte sikre kryptografiske brikker (Microchip ATECC608, Infineon OPTIGA, NXP A71CH og deres etterfølgere), og FPGA-baserte maskinvare-sikkerhets-moduler. Rollen er konsistent: gi en tamper-resistent plassering for lagring av private nøkler, utføre kryptografiske operasjoner, og forankre tillitskjeden for sikker oppstart.
Sikker oppstart er disiplinen som bruker maskinvare-tillitsroten til å verifisere, kryptografisk, at hvert stadium av oppstart-prosessen — bootloader, kjerne, root-filsystem, applikasjon — har blitt signert av en autorisert part før det får lov til å kjøre. Et modifisert eller usignert image avvises ved det første verifiserings-trinnet. Tillitskjeden strekker seg fra den uforanderlige maskinvare-roten gjennom hver lastet komponent, med hvert stadium som verifiserer det neste før det overlater kontroll. Tukling på et hvilket som helst punkt bryter kjeden og forhindrer enheten fra å starte opp.
For SL-T 3-soner og over antas maskinvare-tillitsrot og sikker oppstart i økende grad. En enhet uten disse funksjonene kan utrulles i lavere sikkerhetsnivå-soner med kompenserende kontroller, men dens tilstedeværelse i en SL-T 3-sone krever eksplisitt risiko-aksept en anleggseier i økende grad er uvillig til å gi. Trenden på tvers av industrien er mot maskinvare-forankret sikkerhet som standard praksis, med kostnaden ved inkludering falt til det punktet der det ikke lenger er en meningsfull BOM-vurdering på de fleste kontroller-klasse-maskinvarer.
De kryptografiske nøklene holdt i maskinvare-tillitsroten er enhetens identitet. De klargjøres ved produksjon, ideelt i et kontrollert miljø med auditerbare prosesser. Enhetens sertifikat, utstedt av anleggseierens PKI, er bundet til et nøkkel-par hvis private nøkkel aldri forlater det sikre elementet. Denne bindingen er det som gjør enhetens kryptografiske identitet pålitelig — den private nøkkelen kan ikke ekstraheres, klones eller erstattes, selv av en angriper med fysisk tilgang til enheten.
Post-kvante og det lange perspektivet
Et tema den kryptografiske grunnlinje-samtalen nå berører, der den ikke ville for fem år siden, er post-kvante kryptografi.
Risikoen er veldefinert. Tilstrekkelig store kvantedatamaskiner — når de eksisterer, på en tidslinje fortsatt debattert men generelt plassert et sted mellom 2030 og 2040 — vil knuse RSA og elliptisk-kurve-kryptografi. Kryptert data fanget i dag, lagret, og dekryptert senere vil være lesbar. Autentiserte tilkoblinger etablert i dag, med logger bevart, vil være tilbakevirkende imiterbare. «Harvest now, decrypt later»-angreps-modellen tas seriøst av etterretningstjenester og i økende grad av långiver-risiko-team som underskriver tjuefem-års-aktiva.
NIST fullførte den første runden av post-kvante kryptografi-standardisering i august 2024, og publiserte FIPS 203 (ML-KEM, tidligere CRYSTALS-Kyber, for key encapsulation), FIPS 204 (ML-DSA, tidligere CRYSTALS-Dilithium, for digitale signaturer), og FIPS 205 (SLH-DSA, tidligere SPHINCS+, for hash-baserte signaturer). Det europeiske kryptografi-fellesskapet har bredt godkjent disse algoritmene. Overgangen er nå en ingeniør-sak snarere enn en standards-sak.
Forventningen for nytt industrielt utstyr i 2026 er ikke at produkter implementerer post-kvante kryptografi i dag — det ville være foran mainstream-praksis og kan ikke interoperere med resten av økosystemet. Forventningen er at produsenter har et troverdig veikart for det, at de sporer standardiserings-utfallene, og at deres kryptografiske agility — evnen til å bytte algoritmer uten å redesigne produktet — støtter en fremtidig migrasjon. Hybrid TLS 1.3-implementeringer, som kombinerer en klassisk algoritme og en post-kvante-algoritme i en enkelt håndhilsen, sees i økende grad i seriøse utrullinger og er sannsynligvis migrasjons-stien for industrielle systemer.
En enhet hvis kryptografiske implementering er hardkodet — algoritmer kompilert inn i firmware uten mulighet for erstatning, nøkkel-størrelser faste, cipher-er uforanderlige — er en enhet som ikke kan gjøre post-kvante-overgangen uten firmware-erstatning. For utstyr med tjuefem-års service-levetid er dette en vesentlig kommersiell risiko långiverens risikoteam vil prise inn i sin vurdering.
På forslagsstadiet
Et produsents bud som inkluderer et kryptografisk konfigurasjons-dokument — som lister algoritmene støttet, protokollene implementert, nøkkelhåndterings-tilnærmingen, maskinvare-tillitsroten hvis til stede, sikker-oppstart-kjeden hvis til stede, sertifikat-enrollment-protokollene støttet, og post-kvante-veikartet — er et bud som har forutsett samtalen. Långiverens tekniske rådgiver gjennomgår dokumentet, identifiserer eventuelle spesifikke bekymringer, og samtalen fortsetter.
Et produsents bud som ikke adresserer kryptografi, eller som adresserer det generisk med fraser som «bransje-standard kryptering» eller «sikre protokoller støttet», signaliserer at teamet ennå ikke har vurdert spesifikasjonene. Kryptografi-gjennomgangen vil avdekke gap; gapene vil kreve firmware-modifikasjoner; firmware-modifikasjonene vil måtte planlegges, testes og distribueres før igangkjøring. Kostnaden for modifikasjonene er sjelden stor i absolutte termer. Tidsplan-påvirkningen, hvis avdekket sent, kan være betydelig.
Den kryptografiske grunnlinjen er, på noen måter, det mest universelle av temaene i denne serien. Den avhenger ikke av regulering på den måten rapporterings-programmet eller stykklisten gjør. Den avhenger ikke av prosjekt-strukturen på den måten nettverks- og transformatorstasjons-grensene gjør. Det er en egenskap ved utstyret, anvendelig for hver utrulling, hver kunde, hver jurisdiksjon. En produsent som bygger kryptografisk disiplin inn i produktlinjen sin er en produsent som har redusert friksjon på tvers av hele markedet sitt — EU-finansiert og ellers.
Den neste artikkelen plukker opp ingeniør-funksjonen som kryptografi støtter, men ikke alene leverer: identitets- og tilgangs-modellen for ingeniører, tjeneste-kontoer og maskin-til-maskin-tilkoblinger, der produsentens vane med navngitt-team-tilgang gjennom delt legitimasjon møter anleggseierens forventning om navngitt-person-tilgang gjennom identitets-infrastrukturen deres.
Denne artikkelen reflekterer det kryptografiske landskapet ved publisering. NIST-veiledning om algoritme-utfasing fortsetter å utvikle seg, særlig rundt SHA-1-pensjons-fristen og post-kvante-migrasjons-tidslinjene. Referanser til kommersielle sikre-element-leverandører er illustrative snarere enn anbefalinger. Hvis et sitat har råtnet eller en klausul har flyttet seg, er LinkedIn veien å flagge det på.