Verschlüsselung für Fertigungsnetze
Offen aber sicher
Industrie 4.0 verbindet zukünftig die funktionelle Sicherheit von Mensch, Maschine und Umwelt mit der IT. Parallel dazu verliert das bisherige Credo 'Sicherheit durch Abschottung' seine Berechtigung, denn eine regelmäßige Kommunikation mit Kunden, Lieferanten oder Partnern macht eine gewisse Offenheit unerlässlich. Im Rahmen dieses neuen Sicherheitsverständnisses gewinnt dementsprechend die Thematik Verschlüsselung zentrale Bedeutung. Dabei kann und muss dieses oft mit dem Ruf der Kompliziertheit versehene Feature kein Hexenwerk sein, sofern bestimmte Faktoren Beachtung finden.
Bild: ©hywards/shutterstock.comCheckliste Sicherheit
? IoT-Lösungen ohne Verschlüsselung setzen Produktion und Datenaustausch mit Partnern hohem Risiko aus
? Können auch ältere Maschinen eingebunden werden?
? Flexible Übertragungswege (Funk, LAN, WLAN) erleichtern die Anbindung der Maschinen!
? Welche Verschlüsselungstechnik wird eingesetzt? (Standard AES 128Bit)
? Zeitlich limitierte Schlüssel verbessern nochmals die Sicherheit.
? Prüfung der Daten auf Redundanz inklusive Zeitstempel vermeidet Fehler und nachträgliche Angriffe.
Eine der zentralen Folgen der Digitalisierung - und damit der Vernetzung - ist die nachhaltige Veränderung der bestehenden Sicherheitsarchitektur. Denn diese ist eine Grundvoraussetzung dafür, die notwendigen Schritte zur Sicherung der Produktion und des Unternehmens zu erreichen. Betrachtet man heute Fabriknetze, so sind diese nur aus ganz bestimmten Gründen überhaupt mit dem Internet gekoppelt, etwa um Fernwartungslösungen oder Logistikanwendungen zu ermöglichen. In Zukunft reichen diese Szenarien bei weitem nicht mehr aus - es werden deutlich mehr und komplexere Anwendungen ins Haus stehen. Eine vernetzte Betriebsintelligenz ist in der Lage, die verteilten operativen Daten zu verbinden und eine vereinheitlichte Sicht in Echtzeit zu liefern und schnellere Entscheidungen zu treffen, Energieeffizienzmaßnahmen senken die Kosten in der Produktion, der Datenaustausch mit Partnern, Lieferanten oder Kunden zur Verbesserung oder Individualisierung der Produkte verändert die gesamte Prozesskette. Ohne eine in- und externe Vernetzung ist das jedoch überhaupt nicht möglich. Vor diesem Hintergrund wird schnell deutlich, dass die seit Jahren eingesetzten IT-Sicherheitsregeln wie Viren-Scan, Backup-Strategie, Zugriffsrechte oder Firewalls zur Verhinderung ungewollter Zugriffe bei weitem nicht mehr ausreichen können. Denn Offenheit in der Kommunikation der Netzwerke mit Kunden, Partnern oder Zulieferern ist wesentliche Basis einer vernetzten Wirtschaft. Die langjährig bewährte Regel 'Sicherheit durch Abschottung' ist damit obsolet geworden.
Bild: ©KrulUA/istockphoto.comSchutz des Datenverkehrs
Offene Kommunikation erfordert dabei zuerst eine entsprechend ausgearbeitete bzw. überarbeitete IT-Sicherheit, denn der Schutz des exponentiell wachsenden Datenverkehrs sollte hohe Priorität genießen. Nur dann kann gewährleistet werden, dass Menschen und Unternehmen gegen Vorfälle wie Eingriffe in Maschinenbefehle, fremdgesteuerte Anlagen oder gar das Ausspähen von (Produktions-) Daten geschützt werden. Hilfreiches Instrument ist dafür aktuell - und auch mittel- bis langfristig - die Verschlüsselung. Sie leidet aber immer noch unter dem Ruf, kompliziert, rechenintensiv und anwenderunfreundlich zu sein. Allein das Handling von und mit privatem und öffentlichem Schlüssel, hält viele Anwender vom Einsatz der Verschlüsselung ab. Jedoch bietet gerade die exponentiell steigende Leistungsfähigkeit in der Digitalisierung die realistische Chance, Verschlüsselung einfach zu integrieren, so Datendiebstahl zu verhindern und unberechtigte Infrastruktur- oder Prozessmanipulation zu unterbinden.
Bild: Q-loud GmbHDurchgängige Digitalisierung
Dabei steht die Produktion vor einer besonderen Herausforderung, denn längst nicht alle Komponenten sind mit der erforderlichen Technologie für die durchgängige Digitalisierung ausgestattet. Daher sollte bei der Investitionsentscheidung für Komponenten deren Fähigkeit im Vordergrund stehen, bestehende Fertigungsnetzwerke auch nachträglich in eine digitale Prozesskette einbinden zu können. Dieser Retrofit-Ansatz bietet jedoch die Chance, mit der richtigen Investitionsentscheidung zügig die gesamte Produktion nachrüsten zu können. Idealerweise verfügen derartige Lösungen bereits auf Ebene der Microcontroller über ein Verschlüsselungs-Tool, sodass die Kommunikation zwischen Maschine und Gateway über die gängigen Übertragungswege Funk, Kabel oder via WLAN gesichert ablaufen kann. Hier sollte der bewährte Advanced Encryption Standard (AES mit 128 Bit) das Mittel der Wahl sein. Der Vorteil liegt auf der Hand: Verschlüsselte Sensordaten können weder von Dritten mitgelesen noch durch unbefugte Schaltbefehle gestört werden. Besitzt zudem jedes Gerät einen individuellen Schlüssel, dann ist selbst ein erfolgreicher, interner Angriff nicht in der Lage, das gesamte System zu korrumpieren. Die bereits erwähnten Vorbehalte gegenüber der Verschlüsselung und deren Handhabbarkeit lassen sich relativ einfach umgehen - die für die Verschlüsselung notwendigen Schlüssel sollten bereits bei der Produktion der Sensoren integriert werden. So kann deren Einrichtung entfallen, das Risiko einer Fehlbedienung tendiert gegen Null. Hochmoderne Lösungen gehen an dieser Stelle noch einen kleinen, aber entscheidenden Schritt weiter, der das Sicherheitsniveau nochmals steigern kann: Sie verwenden die vorinstallierten Schlüssel selbst nicht für die Verschlüsselung, sondern nutzen sie lediglich zur Generierung neuer Schlüssel in vorab definierten Abständen. Erhält ein Angreifer einmal einen Schlüssel, so ist dessen Gültigkeit zeitlich begrenzt und dieser begrenzte Zeitraum kann jeweils individuell festgelegt werden.
Zyklische Redundanzprüfung
Zur weiteren Absicherung bietet sich der sogenannte CRC-Check (Cyclic Redundancy Check) an, der die übertragenen Daten zyklisch auf ihre Redundanz überprüft. Sind Daten fehlerhaft oder wurden sie gar von Unbefugten erzeugt, werden sie direkt verworfen - der Sensor überträgt das entsprechende Datenpaket nochmals. Dieses Vorgehen steigert gepaart mit einem integrierten Zeitstempel nachhaltig das Sicherheitsniveau, denn so sind auch nachträgliche Angriffe, sogenannte Replay-Attacken, ausgeschlossen. Denn der Zeitstempel ist integraler Bestandteil der AES-Verschlüsselung. Dementsprechend können Angreifer einmal aufgezeichnete Daten nicht mit einem anderen Zeitstempel versehen und in das System einschleusen. Abgerundet wird eine professionelle Verschlüsselungslösung durch ein möglichst granulares, integriertes User-Management. Es gestattet extern Beteiligten wie Partnern, Lieferanten oder Kunden den temporären Zugriff auf für sie vorab definierte Datensätze. Die direkte, dauerhafte und komplette Offenheit der Produktionskette ist nicht erforderlich. Last but not least können auch Aktoren sicher angesteuert werden, beinhaltet die gesicherte Kommunikation doch auch die Geheimhaltung der Aktorkommandos. Angreifer haben dadurch keine Gelegenheit, dieses mitzulesen, wiederzuerkennen oder zu verfälschen. Das Security-by-Design-Prinzip ermöglicht eine Sicherheitsarchitektur, die jedoch nicht technischen Begrenzungen unterliegt. Denn der Aufwand beim Versand der Daten ist so gering, dass Strom- und Datennetz alle Maßnahmen problemlos durchführen können. Produzierende Unternehmen sind also in der Lage, sowohl die Vertraulichkeit von Sensordaten, als auch die der Schaltbefehle an Aktoren mit der Verschlüsselung ebenso zu wahren, wie die an- und abgehenden Daten von Partnern, Lieferanten und Kunden. Sie können daher sicher sein, Chancen und Möglichkeiten der Digitalisierung zu nutzen und Optimierungspotenziale beispielsweise durch niedrigere Fertigungskosten, eine höhere Produktivität oder eine klare Kalkulation der Maschinenauslastung zu heben. An Sicherheitsfragen und der Integrität und Vertraulichkeit der Produktion scheitern Projekte der Digitalisierung jedenfalls nicht - die bewährte Verschlüsselung stellt die notwendige Sicherheit bereit.
Industrie 4.0 verbindet zukünftig die funktionelle Sicherheit von Mensch, Maschine und Umwelt mit der IT. Parallel dazu verliert das bisherige Credo 'Sicherheit durch Abschottung' seine Berechtigung, denn eine regelmäßige Kommunikation mit Kunden, Lieferanten oder Partnern macht eine gewisse Offenheit unerlässlich. Im Rahmen dieses neuen Sicherheitsverständnisses gewinnt dementsprechend die Thematik Verschlüsselung zentrale Bedeutung. Dabei kann und muss dieses oft mit dem Ruf der Kompliziertheit versehene Feature kein Hexenwerk sein, sofern bestimmte Faktoren Beachtung finden.
Bild: ©hywards/shutterstock.comCheckliste Sicherheit
? IoT-Lösungen ohne Verschlüsselung setzen Produktion und Datenaustausch mit Partnern hohem Risiko aus
? Können auch ältere Maschinen eingebunden werden?
? Flexible Übertragungswege (Funk, LAN, WLAN) erleichtern die Anbindung der Maschinen!
? Welche Verschlüsselungstechnik wird eingesetzt? (Standard AES 128Bit)
? Zeitlich limitierte Schlüssel verbessern nochmals die Sicherheit.
? Prüfung der Daten auf Redundanz inklusive Zeitstempel vermeidet Fehler und nachträgliche Angriffe.
Eine der zentralen Folgen der Digitalisierung - und damit der Vernetzung - ist die nachhaltige Veränderung der bestehenden Sicherheitsarchitektur. Denn diese ist eine Grundvoraussetzung dafür, die notwendigen Schritte zur Sicherung der Produktion und des Unternehmens zu erreichen. Betrachtet man heute Fabriknetze, so sind diese nur aus ganz bestimmten Gründen überhaupt mit dem Internet gekoppelt, etwa um Fernwartungslösungen oder Logistikanwendungen zu ermöglichen. In Zukunft reichen diese Szenarien bei weitem nicht mehr aus - es werden deutlich mehr und komplexere Anwendungen ins Haus stehen. Eine vernetzte Betriebsintelligenz ist in der Lage, die verteilten operativen Daten zu verbinden und eine vereinheitlichte Sicht in Echtzeit zu liefern und schnellere Entscheidungen zu treffen, Energieeffizienzmaßnahmen senken die Kosten in der Produktion, der Datenaustausch mit Partnern, Lieferanten oder Kunden zur Verbesserung oder Individualisierung der Produkte verändert die gesamte Prozesskette. Ohne eine in- und externe Vernetzung ist das jedoch überhaupt nicht möglich. Vor diesem Hintergrund wird schnell deutlich, dass die seit Jahren eingesetzten IT-Sicherheitsregeln wie Viren-Scan, Backup-Strategie, Zugriffsrechte oder Firewalls zur Verhinderung ungewollter Zugriffe bei weitem nicht mehr ausreichen können. Denn Offenheit in der Kommunikation der Netzwerke mit Kunden, Partnern oder Zulieferern ist wesentliche Basis einer vernetzten Wirtschaft. Die langjährig bewährte Regel 'Sicherheit durch Abschottung' ist damit obsolet geworden.
Q-loud GmbH
Dieser Artikel erschien in Industrial Communication Journal 4 2017 - 08.12.17.Für weitere Artikel besuchen Sie www.sps-magazin.de
