在工业自动化设施中，在安全基础设施的范畴中使用凭证或安全凭证（securitycredentials），例如由认证实体或所谓的认证机构（certificationauthorities）颁发的数字证书。在这种情况下，自动化设施内的设备使用数字证书向第三方证明自己。证书借助于认证实体的签名确认证书中包含的关于例如设备的身份或公钥的说明是正确的。
可以通过铭牌来表征技术设备以唯一地表征硬件。例如，安全特征（如全息图）可以集成到铭牌中。此外，可以在生产期间将数据引入到设备中，也可以在使用期间请求所述数据。如果设备和检验点之间存在数据通信连接，则可以使用该数据通信连接以执行密码认证。
一般已知的是，存储具有设备的公钥和设备的标识信息的数字证书。在此情况下还已知的是，使用制造商证书以受保护地建立操作员证书。在这种情况下，通用的认证模块具有由认证模块的制造商设定的标识信息。
从公开文献de102013203101a1中已知，可以通过中间实体给证书请求补充其他参数或属性并从而提出扩展的证书请求。
技术实现要素：
存在使用凭证或安全凭证、如特别是数字证书来实现技术设备向检验点的可靠认证的需要。在这种情况下，既应当保证所呈现的凭证的完整性，又应当保证呈现证书的单元的真实性。
该任务通过独立权利要求中说明的特征来加以解决。在从属权利要求中说明了有利的构造。
本发明涉及一种借助于设备的凭证来证明设备真实性的方法，
其中，在第一步骤中提供凭证，并且可以基于凭证发行者的数字签名来检查凭证的身份说明的完整性，
其中，凭证具有硬件认证信息，并且在第二步骤中，借助于设备的属于硬件认证信息的硬件秘密来证明凭证对设备的归属性。
设备例如理解为现场设备，特别是在自动化设施内设置的现场设备。凭证被理解为所谓的安全凭证，其在数据结构中、例如以标准化数据结构的形式（例如构造为数字证书）具有用于认证的数据。
例如，数字证书形式的凭证包含凭证发行者或认证实体的唯一名称、设备的唯一名称或标识符或identifier（标识符）—例如由制造商给出、设备的公钥以及例如时间说明和可选扩展的其他说明。此外，数字证书具有凭证发行者的签名。借助于密码方法和凭证发行者的私钥，形成关于证书中说明的身份说明和可选扩展的数字签名。
特别地，凭证发行者应理解为安全基础设施（例如pki，公钥基础设施的简称）的认证实体。所谓的证书机构在此情况下代表系统中值得信赖的实体，该值得信赖的实体的公钥是已知的并且其私钥应严格保护以免遭刺探或操纵。
因此在第一步骤中，借助于数字签名和身份说明来执行凭证的检查。在第二步骤中，从特别是已经检查过的凭证中提取硬件认证信息，并且附加地应用硬件认证机制。这两个步骤也可以在时间上以相反的顺序执行。
凭证中的硬件认证信息作为附加认证信息设置，其证明了凭证对呈现凭证的设备的归属性。为此，在设备上设置硬件秘密，该硬件秘密属于硬件认证信息并且特别是仅对设备是已知的或者可以由设备确定。
因此，将实现双因素认证，该双因素认证特别是将设备的认证与将硬件特定的秘密用于检查联结在一起。这应该只能通过原始的、未经操纵的设备实现。因此实现了：例如设备的数字证书除了公共设备密钥之外附加地还具有用于改进硬件认证的另外的第二认证信息，所述公共设备密钥必要时直接是身份说明的组成部分。
硬件机密和/或硬件认证信息不同于身份说明或身份说明所引用的密钥材料，从而通过第二步骤中的附加认证实现了提高的安全性。特别地，硬件认证信息作为第二认证信息，除了包含在凭证或证书中的信息之外没有引用已经用于证书检查的公钥，而是引用与身份说明不同的硬件秘密。
例如，通过凭证来形成制造商证书，该制造商证书在制造阶段单独存储在设备中。制造商证书和属于制造商证书的表示硬件秘密的私钥例如存储在设备的硬件安全模块中或固件中。
为了证明真实性，设备因此可以启动或执行两个认证步骤。一方面进行凭证的通常呈现，其中借助于凭证中包含的认证点签名以及认证点的公钥来检查，包含在证书中的对身份、特别是设备的id和设备的公钥的说明是否已经由证书实体验证。附加地进行第二认证，其中硬件认证信息用于通过设备验证或证明硬件秘密的知识或拥有。因此，不仅实现了所呈现的数字证书的完整性，而且附加地实现了数字证书与呈现证书的站点（在这种情况下是设备）的绑定。
由制造商设定的硬件设备证书的扩展认证以有利的方式支持对可配置设备证书的防操纵的绑定，该可配置设备证书例如由操作员引入。在通常的基于证书的设备认证的范畴中用于设备认证的密钥长度或密码算法与密钥长度无关，并且与基于凭证中包含的硬件认证信息而对用于设备的硬件认证的加密算法的构造无关。
按照一种构造，硬件认证信息被构造为硬件认证模块的标识符。因此，在设备上为了双因素设备认证或第二因素（secondfactor）设备认证而特别设置的模块被用于向执行该认证的单元提供硬件认证信息。
按照一种实施方式，标识符被构造为硬件认证电路的标识符或序列号，或者构造为硬件认证模块的公钥的值或哈希值，或者构造为硬件认证模块的证书的值或哈希值，或者构造为在制造阶段中施加到设备的对称密钥的标识符，或者构造为在制造阶段中施加到设备的对称密钥表的索引或在设备上设置的物理上不可克隆的函数的索引，或者构造为密钥表的标识符。
因此，借助于标识符来呈现凭证或数字证书中的设备认证因素的描述。因此，标识符用作对设备的认证特征的指示或指针或索引。
按照一种构造，借助于属于硬件认证信息的硬件秘密对归属性的证明是基于对称或非对称的认证方法。根据硬件认证信息是指示对称密钥对还是非对称密钥对，进行对称或非对称认证。例如，在制造期间施加到设备的对称密钥的标识符发挥作用，使得由认证单元触发挑战-响应方法，在该方法中由设备仅借助于对称密钥来计算由检验点预期的正确响应。标识符还可以引用密钥表，然后从该密钥表中通过硬件认证信息中的索引说明可以生成挑战-响应请求。使用相应的密钥，设备可以再次生成匹配的响应。于是只有在响应匹配的情况下，第二认证才同样成功。在一个变型中，密钥表例如由操作员在设备中更新。
按照一种构造，物理上不可克隆的函数取代了对称密钥的效果。于是在证书中可以录入物理上不可克隆的函数puf的挑战-响应值表的索引。
如果设置直接或再次借助于证书引用设备的公钥或设备的硬件认证模块的硬件认证信息，则硬件认证方法—正如用于检查身份说明的方法那样—同样不对称地执行。例如，使用tls协议（传输层安全协议的简称）。然后借助于设备或认证模块的私有或秘密的密钥生成对挑战的预期响应。再次地，借助于非对称双因素认证实现证书与呈现证书的单元的绑定。
按照一种构造，硬件秘密被构造为私有或秘密的密钥或构造为物理上不可克隆的函数。与认证方法相匹配地选择硬件秘密。
按照一种构造，硬件秘密被存储在设备的存储器中。当使用物理上不可克隆的函数时，该函数用作存储器。
按照一种构造，硬件认证信息被合并到属性证书中，该属性证书引用另外的凭证，其中可以借助于该另外的凭证来检查身份说明。因此，可以容易地更新证书与硬件的绑定，特别是在更换设备的对于绑定至关重要的部分的情况下。在这些情况下，有利地只需要更新属性证书。
按照一种改进，凭证由凭证发行者应凭证请求而创建，并且凭证请求具有硬件认证信息作为扩展。为了例如从认证点获得数字证书，发送证书请求，即所谓的证书签名请求，简称csr。该证书签名请求具有应当由认证实体确认的身份说明。硬件认证信息可以以有利的方式作为扩展合并到csr中。
按照一种改进，硬件认证信息由设备合并到凭证请求中，或者由连接在设备和凭证发行者组件之间的组件、特别是注册点或注册机构合并到凭证请求中。在此情况下，注册机构可以承担附加功能，如特别是在证书请求被转发给认证实体之前检验凭证请求的内容。特别地，为此，注册机构可以使用硬件认证信息来执行设备认证。
本发明还涉及一种借助于设备的凭证来证明设备的真实性的装置，具有：
-用于提供凭证的部件，其中凭证的身份说明的完整性可借助于凭证发行者的公钥来予以检查，并且凭证具有硬件认证信息，
-用于借助于设备的属于硬件认证信息的硬件秘密来证明凭证对设备的归属性的部件。
与可用于检查凭证的机制不同的硬件认证机制被应用于证明凭证对设备的归属性。特别地，该设备具有用于执行挑战-响应机制的部件。
按照一种构造，该装置还具有用于存储硬件秘密的存储器。
按照一种改进，该装置还具有至凭证发行者的接口，其中向凭证发行者提供凭证请求，该凭证请求具有设备的身份说明和硬件认证信息，以及凭证发行者形成关于设备的身份说明以及硬件认证信息的数字签名。装置在此情况下可以是设备本身，其经由接口与认证实体或认证机构连接。同样地，作为替代方案，装置可以由设备（例如现场设备）和注册机构组成，其中注册机构在将证书请求消息转发给认证机构之前处理该证书请求消息。
按照一种改进，设置用于将硬件认证信息合并到凭证请求中的注册点。在此，凭证请求由设备产生并包含对第二认证可能性的必要指示，例如本地存储的对称密钥的索引。
按照一种改进，设置注册点，用于借助于所属的硬件秘密来检验硬件认证信息，并且用于在成功检验的情况下将凭证请求转发到凭证发行者。
按照一种构造，设置用于创建扩展的凭证请求的注册点，其中特别地，可以从数据库读取硬件认证信息。如果设备未在凭证请求中合并硬件认证的可能性，则这是特别有利的。但是，这要求注册点具有必要的关于硬件认证信息的信息，例如以数据库的形式。在借助于来自数据库的所属硬件秘密成功检验了硬件认证信息之后，设备的凭证请求由注册点相应地补充并转发给凭证发行者。
部件可以用软件、硬件或软件和硬件的组合来实现和执行。因此，由部件实现的步骤可以作为程序代码存储在存储介质上，特别是硬盘、cr-rom或存储器模块上，其中程序代码的各个指令由包括处理器的至少一个计算单元读取和处理。
附图说明
下面将基于附图的实施例进一步解释本发明。
图1示出了按照本发明实施例的用于证明设备真实性的系统的示意图；
图2示出了按照本发明另一实施例的用于证明设备真实性的方法的流程图。
具体实施方式
图1示意性地示出了向检验单元或认证服务器200执行认证的设备100。例如，设备100是自动化设备，其应当以防操纵的方式在工业自动化设施内例如向认证服务器200证明其真实性。认证在此情况下应当以由证书保护的方式执行。为此，可以访问现有的认证基础设施，其为设备100配备由认证实体签名的证书。认证实体的公钥特别是认证服务器200所已知的，从而可以检查关于证书中包含的数据的认证实体的数字签名是否可以确认所述数据的完整性。为此，设备100将证书作为凭证10传送到认证服务器200。证书包含例如认证实体的唯一名称、设备100的唯一名称、设备100的公钥、设定证书有效性的时间说明和关于所提及数据的认证实体的数字签名。
通过将认证实体的私钥应用于证书中传送的说明的哈希值来形成签名。可以借助于认证实体的公钥在回退步中确定哈希值，并将该哈希值与关于证书中包含的说明的哈希值形成的结果进行比较。另外，证书包含硬件认证信息20。
硬件认证信息20指示必须被用于证明证书对设备100的归属性的硬件秘密30。特别地，硬件认证模块的证书或公钥或借助于哈希值形成从其导出的值被用于传输应当在后续认证中使用哪个私有或秘密的密钥的信息。硬件认证电路的序列号或借助于索引引用密钥表的条目的指针可以有利地用于向认证服务器200传送用于附加硬件认证的所需信息。认证服务器200基于所接收的硬件认证信息20导出挑战c或请求消息，该挑战或请求消息将被传送到设备100。特别地，针对认证自身的设备100，在使用puf的情况下一定数量的挑战-响应对被存储在认证服务器上。基于索引选择这些挑战-响应对之一的挑战c。根据所选择的硬件认证方法，认证服务器也可以独立地计算响应，并在此基础上与接收的响应进行比较。
在使用存储在设备100的非易失性存储器102中的硬件秘密30的情况下，设备100借助于密码方法创建响应r。硬件秘密30在此情况下用作对称的秘密密钥或非对称私有的秘密密钥。如果由设备100返回的响应r与所选择的挑战c的挑战-响应对匹配，则认证服务器200除了在证书中呈现的关于设备100的身份和公钥的数据的完整性之外，还可以确认证书的发送者的真实性，即证书与设备100的硬件之间的绑定。
图2示意性地示出了如何进行按照本发明另一实施例的认证过程的流程图。在此在初始步骤s0中，例如认证服务器借助于tls协议启动认证过程。然后，设备在tls协议的范畴内在步骤s1中呈现其证书，该证书不仅包含通常的身份说明，还包含附加的硬件认证信息。随后在步骤s1a中认证服务器使用值得信赖的认证实体的公钥来检查证书，该认证实体曾为该设备颁发该证书。
基于证书并且特别是使用硬件认证信息，现在在认证服务器侧生成挑战，该挑战将被传送到设备。例如，为了在认证服务器和设备之间执行挑战-响应方法，应用http-digest协议，该协议可以基于已经建立的tls连接。在这种情况下，例如由认证服务器请求密码的指纹。对相应密码的指示由证书中的硬件认证信息提供，并因此在双方都存在。如果密码本身也存在于设备侧，则可以在步骤s2中生成响应并将其提供给认证服务器，该认证服务器基于接收的硬件认证信息而预期该响应。相应地，如果响应被正确呈现，则该设备被认为是真实的。
同样还可以想到，响应是在没有认证服务器的事先请求的情况下自动发送的。例如，可以一起提供挑战，使得认证服务器可以检查挑战和响应的匹配，并且还可以检查挑战和硬件认证信息的匹配。
下面为了说明目的示出根据x509的身份证书。
为了说明目的，还示出根据x509的属性证书。
为了描述设备的认证模块，作为上述证书之一中的扩展的硬件认证信息可以如下所示：
可以在证书中将扩展设置为关键或critical（关键），使得必须以必要的方式使用硬件认证信息来执行双因素认证。例如，可以进一步编码的是，仅当证书中说明的双因素认证已成功执行时，才应当将证书作为有效的来接受。这意味着，仅当同样成功执行了双因素认证时，才将通过证书确认的公钥作为有效密钥来接受。
尽管已经通过实施例进一步详细说明和描述了本发明，但是本发明不限于所公开的示例，并且本领域技术人员可以在不脱离本发明的范围的情况下从中导出其他变型。