IT-Sicherheit als Herzstück eines digitalen Produktlebenszyklus

Komponenten für’s digitale Zeitalter wappnen

Obwohl die Digitalisierung für die industrielle Automatisierung viele Vorteile mit sich bringt, können unzureichende Schutzmaßnahmen bei Entwurf und Herstellung von Komponenten das Vertrauen in die IT-Sicherheit schnell untergraben. Um den immer strengeren Kundenanforderungen und Regulierungen wie der NIS-2.0-Richtlinie und dem Cyber Resilience Act gerecht zu werden, benötigen Gerätehersteller in diesem Jahr skalierbare Lösungen.
 Während der Produktion von industriellen Gateways bei Janz Tec wird der 
Keynoa-Client von Devity installiert, der eindeutig zugeordnete Identitäten erzeugt.
Während der Produktion von industriellen Gateways bei Janz Tec wird der Keynoa-Client von Devity installiert, der eindeutig zugeordnete Identitäten erzeugt.Bild: Devity

Um Geräte zu sichern, bedarf es keiner innovativen Vorgehen und Methoden. Security by Design ist ein Modell aus dem IT-Umfeld, das die IT-Sicherheit der Hard- oder Software über alle Phasen des Lebenszyklus eines Produkts von der Idee bis zum ‚End-of-Life‘ berücksichtigt. Ziel ist es, Produkte auf den Markt zu bringen, die frei von Schwachstellen sind und sich gegenüber Sicherheitsbedrohungen robust verhalten. Dieses Konzept ist ein wichtiger Bestandteil der IEC62443, die sich in den letzten Jahren als wichtigste Norm für IT-Sicherheit in der industriellen Automatisierung durchgesetzt hat.

Die Teilnorm IEC62443-4-1 beschreibt die sichere Produktentwicklung. Dazu gehören insbesondere der Integritätsschutz von Daten, der Schutz von privaten Schlüsseln sowie die Authentifizierung und Verschlüsselung von Schnittstellen. Um diese Anforderungen zu erfüllen, werden digitale Zertifikate vorausgesetzt. Bei einem digitalen Zertifikat handelt es sich um einen elektronischen Echtheitsnachweis, der von einer sogenannten Public-Key-Infrastruktur (PKI) ausgestellt, verteilt und geprüft wird. Das Zertifikat belegt die Identitätsinformationen des Geräts kryptographisch.

 Keynoa enthält eine Managementsoftware, mit der sich die Geräteidentitäten verwalten lassen. Damit lässt sich der Einrichtungsprozess von Zertifikaten und Konfigurationsdaten automatisieren.
Keynoa enthält eine Managementsoftware, mit der sich die Geräteidentitäten verwalten lassen. Damit lässt sich der Einrichtungsprozess von Zertifikaten und Konfigurationsdaten automatisieren. Bild: Devity

Schutz der Geräteidentität

Ein digitales Zertifikat enthält einen öffentlichen und einen privaten Schlüssel sowie eine Signatur.

  • Der öffentliche Schlüssel wird für die Verschlüsselung der Kommunikation verwendet.
  • Der private Schlüssel gewährleistet die Integrität und Authentizität des Zertifikats.
  • Die Signatur wird von der Zertifizierungsstelle ausgestellt und ermöglicht es die Gültigkeit des Zertifikats zu prüfen.

Zertifikate werden während des Produktionsprozesses auf die Geräte gespielt. Der Standard RFC 3647 beschreibt, wie dieser Zertifizierungsprozess vertrauenswürdig abläuft, um die Vertrauensanker (Root-Zertifikate) sicher zu nutzen.

Die verwendeten privaten Schlüssel benötigen im gesamten Produktlebenszyklus angemessenen Schutz. Für hohe Sicherheitsniveaus (Stufe 3 und 4) des Standards IEC62443 wird hardwarebasierte Sicherheit (TPM) empfohlen. Durch das Speichern kritischer Daten auf einem dedizierten Sicherheitschip ist ein höherer Schutzgrad möglich, da der Chip sowohl logischen als auch physischen Angriffen besser widersteht. Wurde der private Teil des Schlüssels in einem Sicherheitschip erzeugt und gespeichert, lässt er sich nicht stehlen oder kopieren.

Bild: Devity

Sichere Authentifizierung für den Betrieb

Um ein Gerät für den Datenaustausch in Betrieb zu nehmen, muss es mit einem Netzwerk verbunden werden. Dabei ist die Authentifizierung der Mechanismus, mit dem das Vertrauen in die Geräteidentität sichergestellt wird, um mit anderen Entitäten wie Geräten, Anwendungen oder Datenplattformen in einer IIoT-Umgebung zu interagieren. Digitale Zertifikate ermöglichen die gegenseitige Authentifizierung via TLS zwischen zwei beliebigen Entitäten, die eine gemeinsame Vertrauensbasis haben. Die meisten IIoT-Geräte kommunizieren über Protokolle, die mit TLS gesichert werden können, darunter HTTP, MQTT, AMQP und OPC UA.

Anhand eines Herstellerzertifikats lässt sich die Echtheit und Herkunft des gelieferten Geräts kontrollieren, jedoch muss das Gerät z.B. über die Seriennummer eindeutig identifiziert werden. Für die Prüfung des Gerätezertifikats muss die Zertifikatskette bis zum Vertrauensanker korrekt sein. Danach ist zu kontrollieren, ob das Gerätezertifikat auch zur Komponente passt. Anschließend wird der Komponente ein Zertifikat im Betreibernetzwerk zugeordnet. Mit diesem Zertifikaten erhalten Geräte eine eindeutige Kennung, die das Gerät im Automatisierungssystem authentifiziert und vor Angriffen schützt.

Anschließend kann das Gerät mit den spezifischen Anwendungen z.B. zur Datenübertragung konfiguriert werden. Die Prüfung des Herstellerzertifikats und die Gerätekonfiguration erfolgt bei der Installation in der Regel manuell durch einen Facharbeiter, was jedoch langsam, teuer und unsicher ist. Dadurch übersteigen die Installationskosten oftmals sogar die Kosten für die Hardware. Eine Automatisierung ist nur dann möglich, wenn die Geräteidentität digital über den Lieferweg übertragen wird.

Startup entwickelt flexible Lösungen

Forscher der Universität Paderborn haben ein Konzept entwickelt, das es jedem Akteur in der industriellen Wertschöpfungskette ermöglicht, Geräte sicher zu konfigurieren, eine eigene Root of Trust für Geräte zu erzeugen und die Besitzrechte zu übertragen. Damit wird der Einrichtungsprozess von Zertifikaten und Konfigurationsdaten automatisiert.

Seiten: 1 2Auf einer Seite lesen

Das könnte Sie auch Interessieren

Weitere Beiträge

Bild: Brühl Safety GmbH
Bild: Brühl Safety GmbH
Uneingeschränkt arbeitsfähig – und sicher!

Uneingeschränkt arbeitsfähig – und sicher!

Schutz ist wichtig – und das nicht nur im persönlichen Alltag, sondern besonders auch in Industriebetrieben. Im Rahmen des Trends zur Automatisierung übernehmen immer mehr Roboter wichtige Aufgaben in der Fertigung. So lassen sich Zeit, Personal und Kosten sparen. Doch gleichzeitig steigen die Anforderungen an trennende Schutzeinrichtungen, denn diese müssen z.B. einer möglichen mechanischen Kollision mit dem Roboterarm und umherfliegenden Teilen standhalten – und dies in einer Zeit, in der Roboter immer größer und leistungsstärker werden. Das Schutzzaunsystem High Resistant von Brühl Safety wurde unter diesen Gesichtspunkten entwickelt.

mehr lesen
Bild: TTTech Industrial Automation AG
Bild: TTTech Industrial Automation AG
Cybersecurity beginnt an der Maschine

Cybersecurity beginnt an der Maschine

In der IT und in Rechenzentren ist Cybersecurity schon lange ein Begriff. Durch die immer stärker vernetzten Maschinen und Anlagen wurde es aber auch in der Industrie zu einem wichtigen Thema. Cybersicherheit betrifft aber nicht mehr nur die Maschinenhersteller selbst, sondern die gesamte Lieferkette und den gesamten Lebenszyklus der Maschine, ihrer Software und ihrer Konfiguration – gerade wenn es um die Nutzung von Produktionsdaten in unternehmensübergreifenden Systemen geht.

mehr lesen