Sichere Kommunikation in Multi-Vendor- und verteilten Fertigungsumgebungen

Autor/Redakteur: Nisarg Desai, Produktmanager IoT bei GlobalSign/gg

Die Zeiten sind lange vorbei, als sich Industrie- und Produktionsunternehmen nur um die Sicherheit am physischen Standort kümmern mussten. Inzwischen verwalten sie miteinander in einer Wertschöpfungskette verbundene physische Komponenten und Cybersysteme. Vernetzte OT-Geräte verknüpfen Informationen mit IT-Systemen und tauschen diese Daten mit anderen Teilnehmern der Wertschöpfungskette aus. Bei der Vielzahl der Systeme von unterschiedlichen Herstellern eine nicht ganz triviale Angelegenheit.

Zuletzt auf der Hannover Messe im April dieses Jahres haben das Industrial Internet Consortium (IIC) und die Plattform Industrie 4.0 (I4.0) gemeinsam eine heterogene Sicherheitsumgebung simuliert, in der Produkte von mehr als 20 verschiedenen Firmen miteinander kommunizieren sollten. Ziel war es, zu zeigen wie disparate Systeme kommunizieren und Daten über bereits existierende Produkte und Technologien austauschen können.

Bestandteil der Demonstration war ein durchgängiges Security Event Monitoring. Dabei wurden die sicherheitsrelevanten Ereignisse entlang der kompletten Wertschöpfungskette erfasst und gemeinsam genutzt. Alle teilnehmenden Firmen erhalten die für sie relevanten Events aus heterogenen Quellen und Systemen. Dazu wurden im Rahmen der Simulation Daten von entfernten und lokalen OT-Geräten (Sensoren) an ein Redirector-Gateway geschickt. Von dort wurden die Informationen an die Cloud oder lokale SIEMs (Event Monitore) gesendet, wo die Daten dann zum Auswerten bereitstehen oder auch um weitere Workflows auszulösen.

Das in der simulierten, verteilten Umgebung gemeinsame Security Event Monitoring umfasst folgende Bereiche und Funktionen:

• Security Events aus disparaten Systemen innerhalb der Wertschöpfungskette werden von allen Teilnehmern der Kette erfasst und gemeinsam ausgeschöpft.
• Die Simulation stützt sich auf bereits existierende Produkte und Technologien, die zeigen, wie Industrieunternehmen diese Art von Lösung schon heute umsetzen können, ohne dass sie Betriebsabläufe stören.

Grundlegend dafür ist eine Public Key Infrastructure. Sie sorgt dafür, dass nur vertrauenswürdige Systeme miteinander kommunizieren und Daten austauschen. Die PKI authentifiziert dazu die Datenquellen, sichert die Integrität der generierten Daten, verschlüsselt die Übertragung von Daten und anderen Mitteilungen und autorisiert schließlich den Zugriff auf ein oder von einem Gerät.

Vertrauenswürdige Identität schaffen und sicher kommunizieren

Ein Großteil des transformativen Werts dieser verbundenen Wertschöpfungsketten hängt davon ab welche Daten generiert werden und in welchem Umfang sie tatsächlich nutzbar sind. Dieser Prozess hängt entscheidend davon ab wie vertrauenswürdig die Daten sind. Sind sie es nicht oder ist nicht ausreichend nachweisbar, dass sie es sind, verlieren sie ihren Wert. Das gilt ebenso für das Austauschen von Daten aus dem Security Event Monitoring. Die Datenquelle muss vertraulich sein und es muss sichergestellt sein, dass die Informationen bei der Übermittlung nicht kompromittiert wurden.

Eine Methode, Probleme wie diese zu lösen ist die Public Key Infrastructure (PKI), eine Methode, die sich in anderen Anwendungsfeldern bereits über Jahre bewährt hat. Die Bereitstellung von PKI-basierten Identitäten in Form von X.509-Zertifikaten für die unterschiedlichen Komponenten innerhalb der Wertschöpfungskette stellt sicher, dass

• Sie der Quelle der Daten vertrauen können – Sie wissen, die Daten stammen aus einer autorisierten Quelle.
• die Daten vor Veränderungen bei der Übertragung geschützt sind – Sie wissen, die Daten sind korrekt.
• Daten nicht abgefangen werden – Sie wissen, die Daten, geistiges Eigentum, sind verschlüsselt und insofern sicher.

Und so funktioniert es in der Praxis

 

Eine Zertifizierungsstelle stellt Zertifikate für die einzelnen Komponenten innerhalb der Simulation aus – das sind die Geräte, Gateways und SIEMs. Die Zertifikate stammen von zwei verschiedenen ausstellenden CAs – eine für das IIC und eine für die I4.0 – wobei GlobalSign hier eine emulierte Bridge-CA zur Verfügung stellt, damit die beiden kommunizieren und ihren Zertifikaten gegenseitig vertrauen können. Dieses Setup zeigt wie ein bestehendes PKI-Setup verschiedener Hersteller, die Teil ein und derselben Wertschöpfungskette sind, kompatibel wird. Und zwar noch während sie einer PKI-basierten Identität eines anderen Mitglieds vertrauen.

Die Zertifikate werden dazu verwendet, jede Komponente des Systems zu identifizieren und zu authentifizieren. Das stellt sicher, dass nur autorisierte Geräte und SIEMs Daten generieren und ausschöpfen. Die für jede Komponente bereitgestellten Zertifikate ermöglichen es zusätzlich, die Datenübertragungen zu verschlüsseln und solcherart vor Manipulationen zu schützen. Server, Gateways oder Kontrollsysteme können die Zertifikate nutzen, um Richtlinien für das Zugangsmanagement durchzusetzen. So steuern sie die Berechtigungsvergabe bei den einzelnen Geräten auf der Grundlage von PKI-Anmeldeinformationen.

Skalierung auf IIoT-Bedürfnisse

Es liegt in der Natur der Sache, dass im industriellen Internet der Dinge sehr viele Zertifikate benötigt werden. Und das sehr schnell. Managed PKI-Plattformen, die in solchen Szenarien eingesetzt werden, geben über 3.000 Zertifikate pro Sekunde aus. Diese großen Mengen bei einer hohen Ausgabegeschwindigkeit entsprechen den Anforderungen von Geräteherstellern und OEM-Anbietern, die industrielle Systeme unterstützen.

Ein kurzes Video zur Demo findet sich hier: https://www.youtube.com/watch?v=SYKYZ325Tz8