Bezpečnost

https//www.racom.eu/cz/support/crypt.html

Bezpečnost prenášených dat v MORSE síti je postavena na dvou funkcích:

  • Uzamčení radiomodemu proti neoprávněné změně konfigurace.
  • Kryptování přenášených uživatelských dat.

1. Uzamčení radiomodemu proti neoprávněné změně konfigurace

Uzamčený radiomodem je z hlediska konfiguračních struktur otevřen pouze pro čtení. Odemykání, zamykání a změna uživatelského jména a hesla se provádí pomocí aplikace Netlock (a_netloc pro Linux a netloc.exe pro MsWindows). Komunikace mezi radiomodemem a aplikací Netlock je kryptována. Pro kryptování jsou použity symetrické klíče o délce 64 bitů. Kryptovací algoritmus je neveřejný a je podobný DES algoritmu (bezpečnost je srovnatelná s bezpečností současných (2008) bankovních systémů). Pro výměnu symetrických klíčů je použit „Diffie Helman key exchange“ algoritmus.

Hesla jsou přenášena pouze v krytpované podobě. Paměť v radiomodemu kde jsou hesla uložena, je zveční nedostupná (řešeno prostředky operačního systému radiomodemu). Obraz hesel v paměti je randomizovaný (salted).

2. Kryptování přenášených uživatelských dat

2.1 Kryptování symetrickými klíči

Kryptování přenášených dat je v MORSE síti implementováno s použitím blowfish symetrického kryptovacího algoritmu v režimu ECB (Electronic Code Book) s SHA1 HMAC (SHA1 Hash Message Authentication Code) a 160bitů dlouhými symetrickými klíči. Režim ECB je použit z důvodu MULTI-POINT na MULTI-POINT charakteru MORSE sítě. Pro ochranu proti útokům opakovanými pakety lze zapnout používání časových značek. V celé síti se v daném okamžiku používá jeden stejný symetrický klíč (kromě procesu přepínání na nový klíč, viz níže).

V případě zapnutého kryptování jsou kryptována všechna uživatelská data (typ paketu 0x09 a 0x0A) procházející radiomodemem.

Uživatelské pakety vstupující do nódu jsou zpracovány v pořadí: komprese, kryptování, monitoring. Podobně při výstupu z nódu jsou uživatelské pakety zpracovány v pořadí: monitoring, dekryptování, dekomprese. Retranslační pakety prochází sítí zakryptované.

2.2 Výměna symetrických klíčů RSA asymetrickou kryptografií

Výměna symetrických klíčů v MORSE síti je implementována použitím RSA asymetrické kryptografie s 512bitů dlouhými asymetrickými klíči.

Každý z nódů v MORSE síti má dva symetrické klíče. Jeden z klíčů je používán pro kryptování aktuální komunikace. Druhý klíč se využívá pro výměnu aktivního klíče.

Výměna symetrických klíčů je řízena uživatelem pomocí speciální aplikace (RACOM Encryption control) z centrálního počítače (OS Linux nebo MsWindows), která vystupuje jako centrální autorita (CA – Central Authority). Při požadavku na výměnu aktivních klíčů (symetrických klíčů zajišťujících kryptování uživatelského provozu) je v CA vygenerován nový symetrický klíč a ten je postupně nahrán do všech radiomodemů v síti. Po úspěšném nahrání do všech radiomodemů jsou radiomodemy přepnuty na kryptování pomocí nového klíče. Občasnou výměnou klíčů je dosaženo vysoké bezpečnosi sítě proti prolomení šifry.

Pomocí CA se také konfigurují nově přidané radiomodemy (případně vyměněné při servisním zásahu) do sítě s nastaveným kryptováním.

Asymetrické klíče, používané pro bezpečnou výměnu symetrických klíčů, si každý radiomodem generuje sám a to buď po zapnutí kryptování (když zatím žádný klíč nemá), nebo po požadavku od CA.

3. Omezení implementace

Kryptování je podporováno pouze u řady MR400 (ne MR25) a je obsaženo jen ve některých verzích, např. 10.0.76.0.

Při použití kryptování je nutné radimodemy zamykat aplikací Netlock (viz kapitola 1/).


4. Doplňující informace

4.1 Zakryptovaný paket:

  • Index symetrickeho klice – 2 byte
  • Padding – doplneni na velikosti bloku blowfishe. Celkova delka encryptovanych dat musi byt delitelna 8.
    Delka paddingu = 1byte
    padding = 1…8 byte
  • Casova znacka = 4 byte
  • Uživatelská DATA
  • SHA1 hash, ktery se pridava ke kazde zakryptovane zprave,= 20byte.

To je celkem 25-35 byte plus uživatelská data

Je tedy nutné aby z protokolu do nódu šly pakety dlouhé maximálně 1570B. V případě, že je zapnutá komprese může být tato hodnota vyšší.

5. Otestované verze

Firmware 10.0.76.0
rrcryptctl 0.1.4.0
cryptctrl.exe 0.1.4.0

©  2024 RACOM s.r.o. All Rights Reserved.