AES-128-GCM · RS485 · ESP32-S3

Modbus RTU
под
защитой AES

Аппаратно-программный шлюз SmartBridge SIDP встраивается в разрыв RS485-линии и шифрует весь трафик между SCADA и полевым оборудованием. Без изменений в существующей инфраструктуре.

SMARTBRIDGE / ОБЪЕКТ #001 / РЕАЛ. ВРЕМЯ
ШИФРОВАНИЕ АКТИВНО
ПОРТ A · SCADA
Modbus RTU
9 600 baud · Slave
ЗАПРОСОВ / МИН
247
FC 03 / 06 / 16
ТРАНСЛЯЦИЯ
🔒 SmartBridge SIDP
1.4
мс · шифр.
AES
128-GCM
12
устройств
ЗАШИФРОВАНО
ПОРТ B · ПОЛЕ
SIDP
57 600 baud · Master
ЗАДЕРЖКА E2E
28
мс · avg
PWR
STAT
ACT-A
ACT-B
ERR
ESP32-S3 · DIN-рейка
0мс
Время шифрования AES-128-GCM
0мс
Задержка трансляции end-to-end
0
Запросов Modbus в секунду
0кВ
Гальваническая изоляция RS485

Три шага к защищённой шине

SmartBridge SIDP встраивается в существующую инфраструктуру за один рабочий день. SCADA продолжает работать по стандартному Modbus RTU — незаметно для неё всё шифруется.

01 / 06
🔌

Подключение к шине

Шлюз устанавливается в разрыв RS485-линии между SCADA и полевым оборудованием. Два порта с двойной гальванической изоляцией ≥ 2,5 кВ и независимыми питаниями.

Монтаж на DIN-рейку · установка < 1 ч
02 / 06
🔑

Ввод в эксплуатацию

Инженер подключает USB-конфигуратор и записывает Site Key за 15 минут. Ключ шифруется через Master Key (AES-128-GCM) прямо при передаче — MK никогда не передаётся в открытом виде.

Конфигурирование за 15 мин · никаких изменений в SCADA
03 / 06

Прозрачная трансляция

SCADA отправляет Modbus RTU-запрос на порт A. Шлюз переводит его в зашифрованный SIDP-кадр, отправляет на порт B. Полевое устройство отвечает — шлюз дешифрует и возвращает ответ в SCADA.

Задержка: ≤ 50 мс · повторы × 3 · Exception 0x0B
04 / 06
🛡️

AES-128-GCM шифрование

Каждый кадр SIDP шифруется с уникальным Nonce (DeviceID + Timestamp + Counter). AuthTag (128 бит) фиксирует любое изменение пакета. Аппаратное ускорение ESP32-S3: ≤ 2 мс на пакет 200 байт.

AES-128-GCM · AuthTag 128 бит · Nonce 96 бит
05 / 06
🔄

Ротация ключей

Site Key меняется без перепрошивки оборудования и без остановки производства. Новый ключ шифруется старым через AES-GCM и передаётся командой 0xF2. Переход бесшовный.

Ротация: онлайн · без остановки · версия 1-255
06 / 06
📡

OTA-обновление прошивки

Обновление firmware доставляется по зашифрованному SIDP-каналу фрагментами по 200 байт. Проверка целостности CRC32. Двухбанковая система — автоматический откат при сбое.

OTA через SIDP · CRC32 · двухбанковый откат

Четыре конфигурации под любой объект

От единичной установки до тиражной поставки на промышленное предприятие — одна платформа, масштабируемая защита.

SIDP-GW-S · Стандарт

SmartBridge
Standard

Малые объекты · ЖКХ · Ретрофит
от 18 000 ₽ / устройство
  • ESP32-S3, AES-128-GCM hw-ускорение
  • 2× RS485, изоляция ≥ 2,5 кВ (ISO3082)
  • Secure Boot v2 + Flash Encryption
  • До 64 устройств SIDP
  • Монтаж на DIN-рейку, IP20, −40…+70°C
SIDP-GW-P · Промышленный

SmartBridge
Pro

Нефтегаз · Металлургия · Промышленность
от 26 000 ₽ / устройство
  • ADM2587E — расширенная защита линии
  • Усиленная защита GDT + PTC + TVS
  • Мониторинг питания TPS386000
  • IP30, −40…+85°C расшир. диапазон
  • Журнал событий 512 записей в NVS
SIDP-GW-E · Энергетика

SmartBridge
Energy

Электроэнергетика · Ж/д · Атомная пром.
от 34 000 ₽ / устройство
  • Вибростойкое исполнение (ГОСТ Р 52931)
  • Подготовка к сертификации ФСТЭК
  • Расширенный диапазон питания 10–36В DC
  • Дублирование канала связи (опционально)
  • Паспорт изделия, заводская калибровка
SIDP SDK · Лицензия

SmartBridge
SDK

Производители ПЛК · Системные интеграторы
от 150 ₽ / устройство (роялти)
  • Полная спецификация протокола SIDP
  • Исходный код криптоподсистемы (C)
  • Python-библиотека конфигуратора
  • Техническая поддержка интеграции
  • Возможность встройки в ПЛК и датчики

Пять уровней защиты,
независимых друг от друга

Каждый уровень работает автономно. Компрометация одного не означает компрометации системы — злоумышленнику нужно преодолеть все пять барьеров одновременно.

L0

Аппаратный Secure Boot v2

Только подписанная прошивка запускается на устройстве. Ключ подписи записан в eFuse однократно — не может быть изменён или прочитан через UART/JTAG.

L1

Flash Encryption + NVS Encryption

Весь Flash зашифрован аппаратным ключом из eFuse. Раздел NVS (ключи, конфигурация, Nonce) зашифрован отдельным eFuse-ключом. JTAG заблокирован.

L2

AES-128-GCM · Аутентификация кадров

Каждый кадр SIDP имеет AuthTag 128 бит. Любое изменение пакета в линии — подмена данных, байта адреса, флагов — немедленно обнаруживается и отклоняется.

L3

Replay Protection · Скользящее окно

64-битная маска на каждое из 64 устройств независимо. Повторная отправка перехваченного пакета с валидным AuthTag — обнаруживается и блокируется в реальном времени.

L4

Двухуровневые ключи · Изоляция объектов

Master Key (заводской, уникальный) блокируется после ввода в эксплуатацию. Site Key (объектный) — разный на каждом предприятии. Устройства разных объектов не могут взаимодействовать.

🔒 Ключи никогда не передаются открыто

При конфигурировании Site Key шифруется через Master Key (AES-128-GCM) прямо в программе настройки — открытый текст ключа никогда не появляется в линии. Master Key читается только до ввода в эксплуатацию и немедленно блокируется флагом mk_locked в eFuse.

⚡ Exponential backoff при атаках

При каждой неудачной попытке аутентификации задержка удваивается: 1 с → 2 с → 4 с → ... → 64 с. Попытка перебора ключей методом brute-force становится практически невозможной в реальном времени.

🔄 Wear-leveling для счётчика Nonce

Счётчик Nonce сохраняется в NVS каждые 500 пакетов или 5 минут. После перезагрузки защита восстанавливается немедленно — скользящее окно 64 пакета покрывает потери во время перезапуска без ложных срабатываний.

📋 Журнал событий безопасности

128 событий в RAM-буфере, сброс в NVS каждые 60 секунд. Фиксируются: ошибки AuthTag, Replay-попытки, превышение порога ошибок CRC, попытки записи без MK, ротации ключей, OTA-сессии.

Ключи от завода до объекта

Трёхэтапный жизненный цикл криптографических ключей — каждый этап строго изолирован. Компрометация одного этапа не компрометирует другие.

Производство

Заводское конфигурирование (Master Key)

Генерируется уникальный Device ID и Master Key (16 байт, аппаратный ГСЧ ESP32). Записываются в зашифрованный NVS. Включается Secure Boot v2. JTAG блокируется через eFuse.

устройство готово к отправке
Ввод в эксплуатацию

Объектное конфигурирование (Site Key)

Инженер ПНР через USB-конфигуратор аутентифицирует шлюз по MK, генерирует Site Key объекта, шифрует его через MK (AES-GCM) и записывает. MK блокируется — повторная запись невозможна.

все устройства объекта → общий SK
Эксплуатация

Плановая ротация Site Key

Раз в 1–5 лет или при инциденте. Новый SK шифруется старым через AES-GCM, команда 0xF2 доставляется без остановки производства. Старый ключ хранится 24 ч для плавного перехода.

бесшовно · без остановки
Вывод из эксплуатации

Factory Reset — стирание всех ключей

Удержание GPIO0 более 3 секунд: все ключи стираются, Device ID перегенерируется. Устройство возвращается в заводское состояние готовности к новой настройке.

физический доступ · GPIO0 > 3 сек
ИЕРАРХИЯ КЛЮЧЕЙ
Master Key (L1) 128 бит · заводской · уникальный
Site Key (L2) 128 бит · объектный · ротируемый
Nonce (per-packet) 96 бит · уникальный · счётчик
AuthTag (per-packet) 128 бит · GCM · целостность
🏭 Изоляция объектов Устройства разных предприятий используют разные Site Key. Даже при совпадении адресов устройств пакет с неверным ключом отбрасывается на уровне AuthTag. Компрометация одного объекта не затрагивает другие.
МАТРИЦА ДОСТУПА К КЛЮЧАМ
Чтение/запись данных SIDP→ Site Key
Запись Site Key→ Master Key
Ротация Site Key→ старый Site Key
Factory Reset→ физический доступ
Чтение Master Key→ ЗАПРЕЩЕНО всегда

Работает с любым Modbus-оборудованием

Нативная поддержка промышленных стандартов. Интеграция без изменений существующих ПЛК и SCADA-систем.

📡
Modbus RTU
FC 03/04/06/16 · Slave on Port A
🔒
SIDP v1.0
AES-128-GCM · Master on Port B
🔌
RS485 · 2-wire
Half-duplex · 9 600–115 200 baud
24В DC
Промышленное питание · ≤ 3 Вт
🏗️
WinCC / Intouch
Совместимость без изменений
🔧
ОВЕН · Siemens S7
ПЛК без модификации прошивки
💻
USB · Python SDK
provision.py · configurator.py
📊
OTA через SIDP
0xF4/F5/F6 · CRC32 · откат
🛡️
Secure Boot v2
ESP32-S3 eFuse · подпись прошивки
🔐
Flash Encryption
AES-XTS · аппаратный ключ eFuse
🌡️
−40…+70°C
ГОСТ Р 52931 · группа В4
📜
ТР ТС 020/2011
Сертификация ЭМС (в процессе)

Реальные объекты,
реальная защита

Производится разработка прототипа и подготовка к пилотному тестированию на промышленных объектах и к стендовым испытаниям в лаборатории.

Запросите предложение
для вашей сети

Наш инженер проанализирует топологию сети, рассчитает количество шлюзов и ответит на технические вопросы.