Роль Pki в защите критических инфраструктурных систем

Понимание инфраструктуры открытых ключей и ее основных компонентов

Public Key Infrastructure (PKI) обеспечивает криптографическую структуру, которая позволяет доверять цифровые идентификаторы, зашифрованные коммуникации и проверку целостности данных в сетях. Для критической инфраструктуры - энергосистемы, водоочистные сооружения, системы управления транспортом и коммуникационные магистрали - PKI не является факультативным. Это основополагающий контроль безопасности, который лежит в основе всего, от удаленного доступа полевых инженеров до автоматизированных команд от машины до машины в средах надзорного контроля и сбора данных (SCADA).

Проще говоря, PKI связывает открытые ключи с идентификаторами с помощью цифровых сертификатов, выданных доверенным органом. Это связывание позволяет любой стороне проверить, что данный открытый ключ действительно принадлежит субъекту, который он претендует представлять. Система опирается на асимметричную криптографию, где каждый участник держит закрытый ключ, хранящийся в секрете, и открытый ключ, которым обмениваются открыто. Сообщения, зашифрованные с открытым ключом, могут быть расшифрованы только соответствующим закрытым ключом, а цифровые подписи, созданные с закрытым ключом, могут быть проверены любым, кто держит открытый ключ.

Сертификатный орган

Управление по сертификации (CA) является якорем доверия всей экосистемы PKI. Он выпускает, отзывает и управляет цифровыми сертификатами, которые подтверждают личность пользователей, устройств или услуг. В критических инфраструктурных контекстах CA могут управляться внутри организации или поступать от доверенной третьей стороны. Собственный сертификат CA должен быть защищен с особой тщательностью, потому что любой компромисс CA может подорвать доверие к каждому выданному сертификату. Лучшие практики рекомендуют автономные корневые CA, аппаратные модули безопасности (HSM) для хранения ключей и строгие политики выдачи.

Регистрационный орган

Регистрационный орган (RA) выступает в качестве органа проверки PKI. Перед выдачей сертификата RA подтверждает личность запрашивающего лица посредством внеполосной проверки, такой как физические учетные данные, биометрическая проверка или существующие сетевые учетные данные. В средах операционной технологии (OT) RA может проверить, что программируемый логический контроллер (PLC) серийный номер соответствует записям о закупках или что полевой техник имеет требуемый допуск к безопасности.

Свидетельство-хранилище

Выданные сертификаты и списки отзывов сертификатов (CRL) публикуются в сертификационном хранилище , часто доступном через LDAP или HTTP. Полагающиеся стороны проверяют это хранилище, чтобы определить, является ли сертификат действительным или был отозван до истечения срока действия. Для проверки в реальном времени многие развертывания критической инфраструктуры теперь используют протокол статуса онлайн-сертификата (OCSP), который обеспечивает статус немедленного отзыва без необходимости загрузки клиентами целых CRL.

Публичные и частные ключи

Криптографические ключи, лежащие в основе PKI, обеспечивают как конфиденциальность, так и неотказ. Публичные ключи встроены в сертификаты и свободно распространяются, в то время как приватные ключи должны оставаться строго конфиденциальными. Для критических систем защита приватных ключей часто включает выделенные HSM-системы, которые предотвращают извлечение ключа, даже если хост-система скомпрометирована. Длина ключа и выбор алгоритма имеют значение: многие операторы инфраструктуры теперь планируют миграцию из RSA-2048 или ECDSA P-256 в сторону постквантовых алгоритмов в будущее, чтобы защитить свою позицию безопасности.

Как PKI защищает критически важную инфраструктуру

Критические инфраструктурные системы когда-то работали в изоляции с воздушным движением, но цифровая трансформация подключила их к корпоративным сетям, облачным сервисам и точкам удаленного доступа. Это соединение вводит новые поверхности атак, которые PKI адресует через четыре основные функции безопасности: безопасная связь, сильная аутентификация, целостность данных и неотказ.

Зашифрованная связь для операционных технологий

Системы SCADA, удаленные терминалы (RTU) и интеллектуальные электронные устройства (IED) обмениваются данными по протоколам, таким как Modbus TCP, DNP3 и IEC 61850. Исторически эти протоколы передавали данные в открытом тексте, оставляя команды и показания датчиков уязвимыми для перехвата или манипулирования. PKI позволяет TLS или DTLS шифровать эти протоколы, гарантируя, что злоумышленник не может подслушивать трафик или вводить вредоносные команды управления. Например, утилита, развертывающая PKI, может шифровать связь между системой управления распределением и тысячами датчиков смарт-сетей, предотвращая считывание данных счетчика противника или отправку ложных сигналов отключения.

Безопасная связь выходит за рамки надзорных сетей. Дистанционный доступ поставщиков, инженеров и обслуживающего персонала должен быть защищен. Виртуальные частные сети на основе PKI (VPN) с использованием аутентификации сертификатов заменяют статические пароли или предварительно разделенные ключи, что значительно снижает риск кражи учетных данных и бокового перемещения. CISA рекомендует аутентификацию на основе сертификатов для всех удаленных доступов к критически важным инфраструктурным активам в качестве основной практики кибербезопасности.

Устройство и аутентификация пользователя

Аутентификация в критически важной инфраструктуре должна отвечать на два вопроса: «Кто запрашивает доступ?» и «Разрешены ли они выполнять это действие?» Цифровые сертификаты PKI обеспечивают криптографическое подтверждение личности, которое гораздо более устойчиво к подделке, чем пароли или биометрия. Каждое устройство — будь то контроллер клапана, камера безопасности или инженерная рабочая станция — может быть выдано уникальный сертификат, связанный с его ролью и разрешениями.

Этот подход согласуется с принципами нулевого доверия , которые все чаще принимаются операторами инфраструктуры. Вместо того, чтобы предполагать, что что-либо внутри периметра сети заслуживает доверия, нулевое доверие требует непрерывной проверки каждого запроса. Сертификаты PKI служат в качестве уровня идентификации для нулевого доверия, позволяя микросегментацию и мелкозернистую политику контроля доступа. Когда PLC пытается связаться с базой данных историка, сеть может проверить сертификат PLC и обеспечить соблюдение политики, которая позволяет только считывать операции на конкретных точках данных.