Sicherheitskomponenten für Industrie 4.0

Sicherheitskomponenten
für Industrie 4.0
Andreas Walz
([email protected])
Artem Yushev, Prof. Dr.-Ing. Axel Sikora
Institut für verlässliche Embedded Systems und Kommunikationselektronik (ivESK)
Hochschule Offenburg
microTEC Südwest Clusterkonferenz 2016
Freiburg, 14.03.2016
Einführung
Industrie 4.0 bringt eine durchgängige Vernetzung von
Komponenten der industriellen Produktion
• Kommunikationsknoten sind verteilt (distributed) und
meist eingebettet (embedded)
• Umfassende Kontrolle der physischen Umgebung über das
Netzwerk möglich (safety critical)
• Kommunikationskanäle sind offen und grundsätzlich
angreifbar
Hauptprobleme (lt. VDE Trendreport 2015, Industrie 4.0)
• Fehlende Normen & Standards
• Sicherheitsbedenken
Security als Voraussetzung für Safety: Wie kann (Daten-)Sicherheit erreicht werden?
Andreas Walz
Artem Yushev, Axel Sikora
2
14.03.2016
Einführung
Industrie 4.0 bringt eine durchgängige Vernetzung von
Komponenten der industriellen Produktion
• Kommunikationsknoten sind verteilt (distributed) und
meist eingebettet (embedded)
• Umfassende Kontrolle der physikalischen Umgebung über
das Netzwerk möglich
Ziel: Security-Techniken und -Erfahrungen aus der klassischen IT
• Kommunikationskanäle sind offen und grundsätzlich
für Industrie 4.0 nutzbar machen und nutzen!
angreifbar
Hauptprobleme (lt. VDE Trendreport 2015, Industrie 4.0)
• Fehlende Normen & Standards
• Sicherheitsbedenken
Security als Voraussetzung für Safety: Wie kann (Daten-)Sicherheit erreicht werden?
Andreas Walz
Artem Yushev, Axel Sikora
3
14.03.2016
Übersicht
Sicherheitskomponenten für Industrie 4.0
1. Taxonomie & Software-Werkzeug zur Systematisierung
von Schutzzielen, Angriffsszenarien, Anforderungen, …
2. Übertragung etablierter IT-Sicherheitsmechanismen
(insbesondere TLS) auf das industrielle Umfeld
3. Werkzeug zum Scannen von Zugangsmöglichkeiten auf
industriellen Gateways
Andreas Walz
Artem Yushev, Axel Sikora
4
14.03.2016
Übersicht
Sicherheitskomponenten für Industrie 4.0
1. Taxonomie & Software-Werkzeug zur Systematisierung
von Schutzzielen, Angriffsszenarien, Anforderungen, …
2. Übertragung etablierter IT-Sicherheitsmechanismen
(insbesondere TLS) auf das industrielle Umfeld
3. Werkzeug zum Scannen von Zugangsmöglichkeiten auf
industriellen Gateways
Andreas Walz
Artem Yushev, Axel Sikora
5
14.03.2016
Systematisierung von Betrachtungsgegenständen
Allgemeine Anforderungen
Schutzgegenstände
Anwendungsszenarien
Schutzziele
Angriffsszenarien
Bedrohungsszenarien
Funktionale
Sicherheitsanforderungen
Angriffsvektoren
Detaillierte
Sicherheitsanforderungen
Security-Framework
Security-Test-Framework
Testangriffe
Andreas Walz
Artem Yushev, Axel Sikora
6
14.03.2016
Management von Betrachtungsgegenständen
Software-Werkzeug zum Management von Betrachtungsgegenständen
• Abbildung von Zusammenhängen in einer Datenbank
• Einheitlich: Nutzbar zur Analyse & automatischen Erstellung von Dokumentation
• Universell: Systematik frei konfigurierbar
Systematik
Project
config
Project
config
Project
config
Betracht.gegenst.
Allgemeine Anforderungen
Schutzgegenstände
Anwendungsszenarien
Schutzziele
Angriffsszenarien
Bedrohungsszenarien
Management Tool
Funktionale
Sicherheitsanforderungen
Angriffsvektoren
Detaillierte
Sicherheitsanforderungen
Security-Framework
Analyse
Andreas Walz
Artem Yushev, Axel Sikora
Dokumentation
Security-Test-Framework
Testangriffe
7
14.03.2016
Übersicht
Sicherheitskomponenten für Industrie 4.0
1. Taxonomie & Software-Werkzeug zur Systematisierung
von Schutzzielen, Angriffsszenarien, Anforderungen, …
2. Übertragung etablierter IT-Sicherheitsmechanismen
(insbesondere TLS) auf das industrielle Umfeld
3. Werkzeug zum Scannen von Zugangsmöglichkeiten auf
industriellen Gateways
Andreas Walz
Artem Yushev, Axel Sikora
8
14.03.2016
Industrielle Kommunikation (1)
• Lokale Netze auf verschiedenen Ebenen
Visualisierung
WAN
• Verschaltung über dezentrale Gateways
• WAN-Anbindung über zentrales Gateway
Leitgerät
Steuergerät
Steuergerät
Steuergerät
Steuergerät
Gateway
Feldgerät
Feldgerät
Feldgerät/
Gateway
Sensor
Andreas Walz
Artem Yushev, Axel Sikora
Aktor
Sensor
9
14.03.2016
Industrielle Kommunikation (2)
• Evtl. weit verteilte Netze
Visualisierung
WAN
• Nutzung drahtloser Kommunikation
• Lokale Bedienteile an Sensoren/Aktoren
Leitgerät
Steuergerät
Steuergerät
Steuergerät
Steuergerät
Gateway
Feldgerät
Feldgerät
Feldgerät/
Gateway
BenutzerSchnittstelle
Andreas Walz
Artem Yushev, Axel Sikora
Sensor
Aktor
BenutzerSchnittstelle
Sensor
10
14.03.2016
Transport Layer Security (TLS)
(D)TLS = (Datagram) Transport Layer Security
• Client/Server-Modell
• Schafft „Ende-zu-Ende“-Absicherung
• Authentifikation der Gegenstelle ( Authentizität)
• Verschlüsselung der Nachrichten ( Vertraulichkeit)
• Authentifikation der Nachrichten ( Integrität)
• Sicherheit basiert auf starken Krypto-Verfahren
• Ausgereift und (im klassischen IT-Umfeld) etabliert
Anwendung
Anwendung
(D)TLS
(D)TLS
Netzwerk
Netzwerk
Icons: Freepik (http://creativecommons.org/licenses/by/3.0/), www.phys.org
Andreas Walz
Artem Yushev, Axel Sikora
11
14.03.2016
emb::TLS – TLS für eingebettete Systeme
Modulare TLS-Implementierung des ivESK:
• SSL v3.0 – TLS v1.2, (DTLS in Vorbereitung)
• Portabel: entwickelt in reinem ANSI C, kein Betriebssystem erforderlich
• Flexibel: unabhängig von konkreter Krypto-Implementierung durch
Nutzung einer generischen Krypto-Schnittstelle
• Effizient: max. 300 kByte Programmcode (inkl. vollständiger KryptoBibliothek in Software)
Anwendung
Krypto-Implementierungen:
• Software
• Software mit HardwareUnterstützung
• Hardware Security Module
Andreas Walz
Artem Yushev, Axel Sikora
Generische
KryptoSchnittstelle (API)
KryptoImplementierung
Schlüssel- &
ZertifikatsManagement
ProtokollImplementierung
Netzwerk
12
14.03.2016
TLS auf der Feldebene?!
Smart Metering des BSI
• TLS für die Kommunikation im LMN (Gateway <-> Zähler) über M-Bus
• Nutzung einer zusätzlichen Anpassungsschicht (AFL)
Zwei Forschungs- und
Entwicklungsprojekte am ivESK
• TLS für die In-Car-Kommunikation
• TLS für die industrielle
Kommunikation
Ansatz
• Nutzung der Flexibilität von (D)TLS
• Anwendungs- und bedarfsorientierte Anpassung von
Protokollparametern
Andreas Walz
Artem Yushev, Axel Sikora
„TLS over anything“?!
13
14.03.2016
Herausforderungen
IT-Sicherheit im industriellen Umfeld ist herausfordernd
• Erhaltung der Echtzeitfähigkeit
• Ressourcenknappheit von Kommunikationssystemen und -knoten
• Lebenszyklus der Geräte
• (Sichere) Verteilung von Schlüsselmaterial & Zertifikaten
• (Sicheres) Aktualisieren von Software-Komponenten
• Schlüssel- und Identitätsmanagement
• Public-Key-Infrastruktur (PKI)
• Vertrauensanker
• Vielfalt an industriellen Protokollen und Kommunikationssystemen
Andreas Walz
Artem Yushev, Axel Sikora
14
14.03.2016
Übersicht
Sicherheitskomponenten für Industrie 4.0
1. Taxonomie & Software-Werkzeug zur Systematisierung
von Schutzzielen, Angriffsszenarien, Anforderungen, …
2. Übertragung etablierter IT-Sicherheitsmechanismen
(insbesondere TLS) auf das industrielle Umfeld
3. Werkzeug zum Scannen von Zugangsmöglichkeiten auf
industriellen Gateways
Andreas Walz
Artem Yushev, Axel Sikora
15
14.03.2016
Scan-Werkzeug
Flexibles Software-Werkzeug zum Auffinden von offenen
Zugangsmöglichkeiten in industriellen Gateways
• Hierarchisch: Scan basiert auf baumartiger Struktur von Tests
• Schichtartiges Eindringen in das System
• Baumstruktur einfach konfigurierbar
• Satz von Tests vordefiniert
• Fernwartungszugänge (HTTP,
HTTPS, Telnet, SSH)
• BACnet
• Erweiterbar: Einfaches Ergänzen/
Anpassen von Tests möglich
Andreas Walz
Artem Yushev, Axel Sikora
16
14.03.2016
Zusammenfassung
Industrie 4.0
• Anwendungen und Szenarien für Industrie 4.0 erfordern IT-Sicherheitsmechanismen
• Security ist die Voraussetzung für Safety
• Nutzung von Techniken und Erfahrungen zum Thema Security aus dem klassischen ITUmfeld
Werkzeuge und Ansätze des ivESK
• Systematisierung & werkzeuggestütztes Management von Schutzzielen,
Angriffsszenarien, Anforderungen, etc. ermöglicht langfristige Wartbarkeit
• TLS-over-anything, insbesondere TLS für Feldbusse (z.B. CAN) ermöglicht sichere
Kommunikation bis auf die Feldebene
• Flexibles Scan-Werkzeug ermöglicht erweiterbare Sicherheitstest für industrielle
Gateways
Andreas Walz
Artem Yushev, Axel Sikora
17
14.03.2016
Kontakt
Vielen Dank für Ihre
Aufmerksamkeit!
Prof. Dr.-Ing. Axel Sikora, Dipl.-Ing. Dipl. Wirt.-Ing.
([email protected])
M.Sc. Artem yushev
([email protected])
Dipl.-Phys. Andreas Walz
([email protected])
Institut für verlässliche Embedded Systems und Kommunikationselektronik (ivESK)
https://ivesk.hs-offenburg.de
Hochschule Offenburg
Badstraße 24
77652 Offenburg
Andreas Walz
Artem Yushev, Axel Sikora
18
14.03.2016