Proteja Seu Sistema IIoT com Bibliotecas de Criptografia Personalizadas

A Especificação de Segurança OMG DDS está avançando para Versão 1.0, trazendo um modelo de segurança nativo centrado em dados para o padrão DDS. Esta evolução capacita soluções Industrial IoT (IIoT) com a flexibilidade, confiabilidade e performance em tempo real que o DDS já oferece.

Um recurso de destaque da especificação é a arquitetura Service Plugin Interface (SPI). SPIs permitem personalizar mecanismos de segurança — autenticação, controle de acesso, criptografia, logging e marcação de dados — sem modificar seu código de aplicação.

Este artigo explica o framework SPI e mostra como configurar os plugins built-in do RTI Connext DDS Secure para delegar operações criptográficas à biblioteca de sua escolha.

Interfaces de Plugin de Serviço (SPIs) do DDS Secure

A Especificação de Segurança DDS não altera a API da aplicação. Em vez disso, define cinco componentes de plugin que o middleware DDS invoca conforme necessário. Esses plugins fornecem funções distintas de informação e garantia através de interfaces padronizadas.

Os cinco SPIs são:

Nome SPI	Propósito de seus tipos e operações
Autenticação	Verifica identidade de DomainParticipants DDS, suporta autenticação mútua e estabelece segredos compartilhados.
ControleDeAcesso	Determina quais operações DDS um participante autenticado pode realizar, como ingressar em domínio ou criar Topics, DataReaders e DataWriters.
Criptografia	Realiza criptografia/descriptografia, hashing, assinaturas digitais e códigos de autenticação de mensagem.
Logging	Captura eventos relacionados à segurança para um DomainParticipant.
MarcaçãoDeDados	Adiciona rótulos ou tags de segurança a dados para uso específico da aplicação.

A arquitetura SPI oferece ampla personalização de cada aspecto de segurança. Embora você possa substituir qualquer implementação SPI, o momento das invocações SPI permanece governado pelo middleware DDS, garantindo conformidade com a especificação.

Plugins built-in descritos no Capítulo 9 da especificação fornecem interoperabilidade perfeita entre implementações DDS. RTI Connext DDS Secure vem com esses plugins e um caminho direto para personalização.

Personalizando os Plugins Built-In do RTI Connext DDS Secure

Os binários de plugins de segurança incluídos permitem implantação imediata de um sistema DDS seguro. Configure a PropertyQosPolicy do seu DomainParticipant para apontar para os artefatos de segurança necessários — arquivos de controle de acesso, documentos de governança e certificados de identidade — conforme a especificação.

Se modificação mais profunda for necessária, a RTI fornece arquivos fonte compiláveis. Para a maioria dos cenários, no entanto, aproveitar a API OpenSSL EVP oferece uma solução mais simples.

Substituindo Implementações de Algoritmos Criptográficos

Os plugins built-in usam o motor EVP do OpenSSL para funções criptográficas, mas permitem injetar um motor personalizado. Seu motor pode redirecionar chamadas para uma biblioteca compatível com FIPS ou qualquer outro provedor criptográfico que suporte a interface EVP.

As funções expostas pelos plugins incluem:

Funcionalidade	Algoritmos Especificados para Plugins Built-In DDS Security
Criptografia/descriptografia simétrica	AES-GCM com chaves de 128-bit ou 256-bit
Assinatura/verificação	RSA-PSS ou ECDSA com SHA-256
Troca de chaves	DH ou ECDH com parâmetros definidos
Códigos de autenticação de mensagem	HMAC-SHA256 e GMAC
Funções hash seguras	SHA-256
Geração de números aleatórios	RNGs criptograficamente fortes

Para usar um provedor criptográfico diferente, configure o plugin para carregar seu motor EVP ou implemente um shim que encaminhe chamadas para sua biblioteca.

Modificando os Próprios Plugins Built-In

Se os algoritmos ou parâmetros padrão não atendem seus requisitos, você pode alterar o código fonte do plugin. Mudanças comuns incluem selecionar algoritmos alternativos, ajustar tamanhos de chave ou trocar linking dinâmico por estático.

Para personalizações mais extensas — como novo esquema de autenticação de identidade — consulte especialistas da RTI para garantir que suas modificações permaneçam compatíveis com a Especificação de Segurança DDS.