Kun puhutaan yritysverkon tietoturvasta Unitree-robotin kanssa, lähtökohta on valmistajan dokumentoima arkkitehtuuri, ei se osasto, jolla robotti tulee kävelemään. G1 tai Go2 ei ole eristetty kodinkone: siinä on käyttöjärjestelmä, tili, päivityskanava ja G1 EDU -versiossa SSH-yhteys kehitystyöhön. IT-vastaavan tehtävä on päättää, mitkä näistä kanavista pidetään avoinna, missä segmentissä ja millä tunnuksilla.
Yleistä tietoa, ei oikeudellista tai kyberturvallisuusneuvontaa. Kokoonpanot on sovitettava verkkoon, sopimukseen ja robotin versioon; yksittäistapauksessa tarvitaan toimittaja ja tarvittaessa asiantuntija.
Yritysverkon tietoturva: kolme erotettavaa tasoa
Ensimmäinen taso on verkko: kuka voi puhua robotille ja mihin kohteisiin. Toinen on päätepiste: tunnukset, avoimet palvelut, Bluetooth, USB-portit ja tilit. Kolmas on data: video, ääni, kartat, telemetria ja varmuuskopiot. Jos puututaan vain yhteen kolmesta, kaksi muuta jäävät suojaamatta.
Hyödyllinen kysymys on, mitä kanavia todella tarvitaan. Kaukosäätimellä käytettävä Go2 ei vaadi etäteleoperointia; ROS 2:ta varten käytettävä G1 EDU vaatii yhteyden robotin verkkoon ja SSH:n, ei välttämättä sovellusta internetin kautta.
Mitä sovelluksia ja pilvipalveluita Unitree-robotti käyttää
Kehittäjädokumentaatio kuvaa Go2:lle ja G1:lle yhteisen arkkitehtuurin. Robotti yhdistyy pilvipalveluihin vasta käyttäjän luvalla. Pilveä käytetään kolmeen asiaan: telemetria ja diagnostiikka, järjestelmäpäivitykset ja etäteleoperointi WebRTC:n kautta. Ilmoitetut kanavat ovat MQTT IoT-viestintään ja päivityksiin, HTTP tiliin ja sidontaan, TURN/STUN videon reititykseen, kun suora yhteys ei toimi. Bluetooth LE:tä käytetään verkon määritykseen ja turvallisuuden tarkistukseen; robotin sisällä moduulien välinen viestintä kulkee DDS:n kautta.
| Kanava | Mihin käytetään | Ohje IT:lle |
|---|---|---|
| Ethernet ja DDS | Paikallinen ohjaus ja kehitys, ROS 2 -aiheet | Erillinen robotin verkko, ei reititystä käyttäjien verkkoon |
| Wi-Fi infrastruktuuritilassa | Sovellus, telemetria ja pilvipalvelut | Oma SSID ja robotin VLAN |
| Wi-Fi AP-tilassa | Alkumääritys: robotti luo hotspotin | Vain käyttöönotossa, valvotulla alueella |
| Bluetooth LE | Verkon määritys ja turvallisuuden tarkistus | Rajattu fyysinen pääsy, kirjattu käyttöönotto |
| MQTT ja HTTP pilveen | OTA, diagnostiikka, tili ja sidonta | Lähtevä yhteys vain tarvittaessa, lokien kanssa |
| WebRTC, TURN ja STUN | Video ja komennot etänä | Estä, jos et käytä etäteleoperointia |
Paikallisverkko: Ethernet, DDS ja 192.168.123.x
Kaksi yksityiskohtaa muuttavat suunnitelmaa. Ensimmäinen: robotin sisäinen verkko käyttää aliverkkoa 192.168.123.x; G1:n kehitystietokone vastaa osoitteessa 192.168.123.164, Go2:n sulautettu tietokone osoitteessa 192.168.123.161. Tätä aliverkkoa ei pidä altistaa yritysverkolle. Toinen: Go2 Air- ja Pro-versioissa Ethernet- ja SBUS-liitäntöjä ei ole saatavilla; ne on varattu EDU-versioille. Jos projekti vaatii kaapelin, versio on valittava ennen tilausta, ei sen jälkeen.
Eristetyn VLANin määritys vaihe vaiheelta
Jokaiselle kohteelle sopivaa kokoonpanoa ei ole, mutta vaiheiden järjestys on aina sama. Esimerkki kuvitteellisilla numeroilla: VLAN 210 robotille, aliverkko 192.168.210.0/24, yhdyskäytävä 192.168.210.1, varatut osoitteet .10:stä .30:een; VLAN 200 hallinnalle, jossa on jump host.
- Eritä liikenne. Luo oma VLAN ja SSID. Älä käytä uudelleen PC:iden tai hallintaverkon VLANia.
- Estä sivusuuntainen reititys. Robotin VLAN ei saa päästä käyttäjien verkkoon. Ainoa hallintayhteys kulkee VLAN 200:n jump hostin kautta, nimetyin säännöin ja lokein.
- Anna vakaa osoite. DHCP-varaukset tai staattiset IP:t jokaiselle robotille, MAC-osoite ja sarjanumero inventaariossa.
- Aloita lähtevän liikenteen default deny -periaatteella. Avaa vain OTA:n, sovelluksen ja etäteleoperoinnin tarvitsemat kohteet ja vain ikkunoissa, joissa niitä tarvitaan.
- Pidä DDS VLANin sisällä. Kehitystietokoneen ja robotin välinen paikallinen viestintä käyttää DDS:ää; löytämiseen tarkoitettua multicastia ei pidä päästää reitittimien tai palomuurien läpi ilman omaa kokoonpanoa. Ensimmäisissä testeissä seuraa opasta ROS 2 Unitree-roboteissa.
- Älä altista aliverkkoa 192.168.123.x. Jos toimittaja pyytää etäyhteyttä, varaa väliaikainen ja kirjattu istunto.
- Mittaa ennen sulkemista. Anna liikenteen kulkea muutama päivä, kirjaa kohteet ja määrät ja rakenna sääntö vasta sitten. Ilman lähtötasoa allowlist muuttuu poikkeusluetteloksi.
Mitä voi poistaa käytöstä tai rajoittaa, jos ei tarvita
| Elementti | Milloin tarvitaan | Mitä tehdä, jos ei tarvita |
|---|---|---|
| Robotin Wi-Fi-hotspot | Alkumääritys tai ympäristöt ilman Wi-Fiä | Käytä Ethernetiä tai infrastruktuuri-Wi-Fiä; vältä AP-tilaa tuotannossa |
| Sovellus ja pilvitili | Sidonta, OTA, etäteleoperointi | Estä lähtevä yhteys; paikallinen ohjaus ja DDS jäävät |
| 4G-moduuli eSIMillä (integroitu SIM) | Käyttö kentällä tai liikkuvuus | Valitse versio ilman moduulia tai rajoita yhteyttä operaattorin kanssa |
| Bluetooth LE | Määritys ja alkutarkistus | Ei käyttökanava: keskity käyttöönottoon valvotulla alueella |
| SSH EDU-versioissa | Kehitys ja huolto | Vaihda salasana, käytä avaimia, pääsy vain jump hostin kautta |
| WebRTC ja TURN | Etäteleoperointi | Estä lähtevä liikenne, jos robotti työskentelee vain omissa tiloissa |
| USB-portit ja telakointiasema | Päivitykset ja kehitys | Valvottu fyysinen pääsy ja kirjaus toimenpiteistä |
Kehittäjädokumentaatio ilmoittaa G1 EDUlle käyttäjän unitree ja tunnetun alkusalasanan; sama koskee Go2:n telakointiasemaa. Ne ovat laboratoriotunnuksia: ne on vaihdettava ennen kuin robotti liitetään verkkoon, samoin hotspotin tunnukset. Jaetulla tilillä yhteyttä ei voida kohdistaa henkilöön.
Sovellus käyttää Bluetoothia verkon määrittämiseen ja yhteyden turvallisuuden tarkistamiseen. Hyödyllinen toimenpide on fyysinen: määritys rajatulla alueella, yrityksen puhelimella ja kirjatusti. Sen jälkeen pääsy alueelle ja portteihin pidetään rajattuna.
Päivitykset: miten ne hoidetaan avaamatta koko verkkoa
Unitree ilmoittaa OTA-päivitykset pilven kautta G1- ja Go2-roboteille; Go2-sivu täsmentää, että robotti yhdistyy vain käyttäjän luvalla, ja arkkitehtuuri mainitsee MQTT:n päivityksiä varten. Ilman internetyhteyttä oleva VLAN ei saa OTA-päivityksiä: se on otettava huomioon jo ennen asennusta.
Kestävässä yrityskäytännössä on kuusi vaihetta:
- Versioiden inventaario. Kirjaa robotin laiteohjelmisto, sovelluksen versio ja tarvittaessa telakan tai laskentamoduulin versio.
- Päivitysikkuna. Avaa yhteys valmistajan palveluihin vain sovitussa ikkunassa, yksi robotti kerrallaan.
- Testaa yhdellä yksilöllä. Päivitä ensin laboratoriorobotti, tarkista liike, anturit, verkko ja oma sovellus.
- Tarkista päivityksen jälkeen. Tarkista asennettu versio ja tee verkkotesti uudelleen. Jos päivitys muuttaa toimintaa, pysähdy ja avaa tiketti.
- Loki. Tallenna versio, päivämäärä, tulos ja tekijä.
- Varasuunnitelma täydelliseen eristykseen. Jos verkossa ei ole lähtöyhteyttä, pyydä toimittajalta offline-menettely ja viralliset paketit. Ei kolmannen osapuolen laiteohjelmistoa.
G1:n osalta sovelluksen puolen menettely, ennen aloitusta tehtävät tarkistukset ja vältettävät virheet ovat oppaassa G1:n laiteohjelmiston päivitys. Yleisesti: akku täynnä, vakaa verkko, ei keskeytyksiä ja toimittajan kanssa sovittu palautusmenettely.
Data: video, ääni ja telemetria
G1:ssä on syvyyskamera, LiDAR, neljä mikrofonia ja kaiutin; Go2:ssa on kamera, LiDAR ja joissakin versioissa ääni ja interkom. Ne ovat sovellukselle hyödyllisiä antureita, mutta keräävät myös robotin ympäristöä. Jos robotti kuvaa tai tallentaa tunnistettavia henkilöitä, käsittely kuuluu GDPR:n ja tietosuojaviranomaisten ohjeiden piiriin, esimerkiksi Italian tietosuojaviranomaisen videovalvontaa koskevan UKK:n: käyttötarkoitus, tietojen minimointi, informointi, säilytysajat ja tarvittaessa vaikutustenarviointi.
Unitree ilmoittaa, ettei pilven keräämiin käyttötietoihin sisälly yksityisyyteen liittyviä tietoja ja ettei palvelin kerää tai analysoi WebRTC-liikennettä. Ne ovat sopimuksessa hyödyllisiä ilmoituksia, mutta ne eivät korvaa rekisterinpitäjän arviota. Ennen etäteleoperointia päätä, mihin tallenteet päätyvät ja kuka voi nähdä ne.
Robotin osalta kysy, onko levy salattu ja miten tiedot poistetaan ennen vaihtoa tai korjausta. Jos sitä ei ole dokumentoitu, kohtele sitä kuin kannettavaa tietokonetta.
Cyber Resilience Act: tärkeimmät faktat
Asetus (EU) 2024/2847, Cyber Resilience Act, on ollut voimassa 10. joulukuuta 2024 alkaen. Ilmoitusvelvollisuudet tulevat sovellettaviksi 11. syyskuuta 2026; päävelvoitteet 11. joulukuuta 2027. Se koskee EU:n markkinoille saatettavia digitaalisia elementtejä sisältäviä tuotteita, siis myös verkkoon liitettyä robottia.
Euroopan komission tietosivun mukaan valmistajan on varmistettava sisäänrakennettu turvallisuus, hallittava haavoittuvuuksia tukijakson ajan, ilmoitettava sen päättymisestä, annettava käyttöohjeet ja kiinnitettävä CE-merkintä. Se ei ole automaattinen velvoite ostajalle.
Ostajalle CRA on kysymyslista ennen tilausta: tuen päättyminen, kanava haavoittuvuuksille, päivitykset, turvallisen asennuksen ohjeet. Ne ovat tietoja, jotka valmistajan on annettava ja jotka ostajan kannattaa tarkistaa. Se, joka saattaa tuotteen markkinoille omalla merkillään, voi ottaa valmistajan velvoitteet.
CRA ei korvaa koneasetusta (EU) 2023/1230: koneiden turvallisuutta säännellään edelleen kyseisellä asetuksella. Opas vuoden 2027 koneasetukseen kertoo koneita koskevasta osasta.
Tarkistuslista ennen robotin viemistä tuotantoon
- Oma VLAN ja SSID, ei reititystä käyttäjien verkkoon.
- Vakaat osoitteet ja inventaario, jossa MAC, sarjanumero ja laiteohjelmistoversio.
- Robotin, hotspotin ja tilin salasanat vaihdettu; ei henkilökohtaisia tilejä.
- Internet-yhteys oletuksena suljettu, avataan vain OTA-päivityksiin ja etäteleoperointiin.
- Kirjallinen päivitysmenettely, testaus yhdellä yksilöllä ja loki.
- Tietosuoja-arvio, jos robotti kuvaa tai tallentaa henkilöitä.
- Sopimus, jossa tukijakso ja kanava haavoittuvuuksien ilmoittamiseen.
- Käytöstä poiston suunnitelma: tietojen poisto, tilien peruutus, poisto VLANista.
Usein kysytyt kysymykset
Voiko Unitree-robotti olla samassa VLANissa yrityksen PC:iden kanssa?
Ei. Se kuuluu omaan VLANiin, josta ei ole reititystä käyttäjien verkkoon; hallintayhteys kulkee jump hostin kautta. Näin robotin ongelma ei altista muuta verkkoa.
Mitkä portit minun on avattava Unitree-robottia varten?
Älä avaa saapuvia portteja. Robotti avaa lähteviä yhteyksiä pilvipalveluihin OTA-päivityksiä, sovellusta ja etäteleoperointia varten; salli vain ne kohteet ja vain silloin, kun niitä tarvitaan. Paikalliseen käyttöön riittää robotin verkko.
Voinko käyttää Unitree-robottia liittämättä sitä pilveen?
Kyllä, paikallinen ohjaus Ethernetin ja DDS:n kautta onnistuu EDU-versioissa. Menetät OTA-päivitykset ja sovelluksen etäteleoperoinnin; offline-päivitysmenettely on pyydettävä toimittajalta.
Miten päivitän laiteohjelmiston eristetyssä verkossa?
Käytä päivitys-VLANia, jolla on lähtevä yhteys vain päivitysikkunan aikana, päivitä yksi robotti kerrallaan ja pidä versiolokia. Jos eristys on täydellinen, tarvitaan toimittajan menettely.
Koskeeko Cyber Resilience Act myös yritystä, joka käyttää robottia?
Päävelvoitteet ovat valmistajalla. Ostajan on kysyttävä tukijakso, kanava haavoittuvuuksille ja päivitykset. Se, joka saattaa tuotteen markkinoille omalla merkillään, voi ottaa valmistajan velvoitteet.
Lähteet
- Unitree, Go2:n järjestelmäarkkitehtuuri (pilvi käyttäjän luvan jälkeen, MQTT, HTTP, WebRTC, BLE): support.unitree.com
- Unitree, G1:n järjestelmäarkkitehtuuri (pilvi käyttäjän luvan jälkeen, MQTT, HTTP, TURN/STUN, BLE, DDS): support.unitree.com
- Unitree, Go2:n virallinen sivu (Wi-Fi 6, Bluetooth, 4G-moduuli, OTA pilven kautta käyttäjän luvalla): unitree.com/go2
- Unitree, G1:n virallinen sivu (Wi-Fi 6, Bluetooth 5.2, OTA): unitree.com/g1
- Unitree, Go2:n sähköliitännät ja versiot (Ethernet ja SBUS vain EDUssa): support.unitree.com
- Unitree, G1-kehittäjien UKK (alkukäyttäjätunnus ja alkusalasana, PC1:n ja PC2:n IP-osoitteet): support.unitree.com
- Unitree, Go2-pikaopas (verkko 192.168.123.x ja sulautetun tietokoneen IP): support.unitree.com
- Unitree, Go2:n telakointiasema (alkukäyttäjätunnus ja alkusalasana): support.unitree.com
- Euroopan komissio, Cyber Resilience Actin yhteenveto: digital-strategy.ec.europa.eu
- Euroopan komissio, valmistajien velvoitteet CRA:n mukaan: digital-strategy.ec.europa.eu
- Asetus (EU) 2024/2847 (Cyber Resilience Act), virallinen teksti: EUR-Lex
- Italian tietosuojaviranomainen, UKK videovalvonnasta: garanteprivacy.it