Erweiterter Security-standard OPC UA Sicherheit für Industrie 4.0

Soll Industrie 4.0 Wirklichkeit werden, ist es notwendig, dass Eindringlinge ausgesperrt werden und sich die einzelnen Einheiten störungs- und unterbrechungsfrei austauschen können. Dies ist das Ziel des Interoperabilitätsstandards »OPC Unified Architecture«. Was verbirgt sich dahinter, und wie wird der Security-Aspekt adressiert?

Hinter der Idee von Industrie 4.0 steckt eine wachsende Vernetzung in der »intelligenten« Produktion: Einzelne Maschinen, Anlagen, Automatisierungssysteme und Geräte tauschen sich mit Steuerungen sowie ganz kleinen Sensoren und Aktoren aus. Dabei geht es um den Dialog und die Weitergabe von Daten und Informationen entlang der Prozesse der gesamten Wertschöpfungskette.

Dies funktioniert jedoch nur, wenn jede einzelne Einheit im direkten Kontakt mit jeder beliebigen anderen Einheit steht. Notwendig ist, dass Eindringlinge ausgesperrt werden, um mögliche Angriffe auf die Produktion und jede Art von Manipulation zu unterbinden, und dass sich die einzelnen Einheiten störungs- und unterbrechungsfrei austauschen können.

Ganz unterschiedliche internationale Hersteller haben sich zur OPC Foundation zusammengeschlossen und für die Kommunikationsanforderungen von Industrie 4.0 die klassische OPC-Technik weiterentwickelt. Das Ergebnis von Verbesserungen und Erweiterungen heißt »OPC Unified Architecture«, kurz »OPC UA«. Neben Plattformunabhängigkeit, Objektorientierung und Typsicherheit adressiert OPC UA nun auch Security und lässt sich durchgängig vom kleinsten Gerät bis zu großen Maschinen und sogar in der Cloud einsetzen. Beim offenen OPC-UA-Standard tauscht jedes der einzelnen Systeme mit jedem anderen Daten aus. Das geeignete Schutzkonzept sollte die folgenden Herausforderungen lösen (Bild 1): 

  • Datenverschlüsselung gegen Spionage und Produktpiraterie (Confidentiality), 
  • Datenintegrität gegen Verändern (Integrity), 
  • Anwendungsauthentifizierung, damit die Anwendungen, die Daten austauschen, sich gegenseitig kennen (Application Authentication), 
  • Benutzerauthentifizierung, damit nur Berechtigte das System bedienen können (User Authentication), 
  • rollenbasierte Berechtigungsmodelle für Anwender (User Authorization), 
  • Aufzeichnung sicherheitsrelevanter Ereignisse (Auditing) sowie 
  • Verfügbarkeit des Systems, beispielsweise kann hier nicht einfach ein Virencheck erfolgen, der das System viele Minuten lahmlegt (Availability). 

Bei OPC UA vertrauen sich die einzelnen Systeme und Einheiten. Über offene und etablierte Sicherheitsstandards wie X.509-Zertifikate können sich alle OPC-Geräte und OPC-Anwendungen authentifizieren. Die Zuweisung einzelner Zertifikate an kleine Sensoren und Aktoren ist problematisch, da sie oft keine Eingabemöglichkeit über Tastatur haben. Soll diese Zuweisung manuell erfolgen, so wäre dies zeitlich und technisch ziemlich aufwendig oder sogar unmöglich.

Grundsätzlich dienen zwei Methoden zur Vergabe von Zertifikaten: das Pull- und das Push-Modell. Bei Ersterem holt sich das OPC-UA-Gerät selbstständig seine Zertifikate von einer zentralen Stelle ab, während beim Push-Modell ein zentraler Server die entsprechenden Zertifikate an alle Geräte verteilt, die über ein Netzwerk verbunden sind.

Implementierung des Push-Modells

Schon vor über zehn Jahren hat Wibu-Systems eine technisch präventive Lösung namens »CodeMeter« zum Softwareschutz und zur Lizenzierung entwickelt. Für die Bedürfnisse der Industrie bietet CodeMeter jetzt auch Integritätsschutz. Die Technologie kommt heutzutage bei eingebetteten Systemen zum Einsatz, einschließlich Security, wobei sie auch OPC UA berücksichtigt. CodeMeter ist so konzipiert, dass ein hoher Sicherheitsgrad mit modernen und sicheren Verschlüsselungsverfahren wie der symmetrischen Verschlüsselung nach AES (Advanced Encryption Standard) mit 128-Bit-Schlüsseln und der asymmetrischen Verschlüsselung ECC (Elliptic Curve Cryptography) mit 224-Bit-Schlüsseln erreicht wird.

Da im industriellen Umfeld pro Maschine viele Zertifikate benötigt werden, wurde das datenbankbasierte Verwaltungstool »CodeMeter License Central« insofern erweitert, dass es automatisiert nicht nur Lizenzen zur Softwarenutzung sondern auch X.509-Zertifikate gemäß OPC UA erzeugen, verwalten und ausrollen (verteilen) kann (Bild 2).

Die CodeMeter-Schlüsselspeicher, auch »CmContainer« genannt, enthalten die Nutzungsrechte, dienen als Zertifikatsspeicher unter Einhaltung von OPC UA und speichern die Zertifikate sicher im Smart-Card-Chip eines CmDongles oder in einer verschlüsselten »CmActLicense«-Datei. Damit jeder Sensor, Aktor oder jede Steuerung eindeutig identifiziert werden kann, ist jeder CmContainer einzigartig.

CodeMeter License Central kann die komplette PKI (Public Key Infrastructure) abbilden und speichern. Um die Integrität des Codes zu sichern, erzeugt das Werkzeug Zertifikate und signiert damit diesen Code (Bild 3). Damit nur bestimmte Abteilungen oder auch Dritte mit dem signierten Code arbeiten dürfen, erhalten sie über Zertifikatsketten die entsprechende Berechtigung und dürfen den Code signieren. Die unterschiedlichen Zertifikatsketten werden vom Root-Zertifikat abgeleitet, das als eigentlicher Vertrauensanker sicher aufbewahrt wird und selten zum Einsatz kommt. So lagert das Root-Zertifikat vor Missbrauch geschützt und dient auch als Grundlage für sogenannte »Certificate Revocation Lists« (CRLs), mit deren Hilfe bei Bedarf die im Feld befindlichen Zertifikate zurückgezogen werden können. OPC UA berücksichtigt Zertifikate für Geräte oder Applikationen und für den Anwender oder Benutzer.

Neben der Zertifikatsverwaltung verschlüsselt die CodeMeter-Technologie auch Embedded-Software. Auf sichere Weise werden die entsprechenden Schlüssel gleichfalls im CmContainer gespeichert. Weiterhin schützen elektronisch signierter Code und Prüfung gegen eine Zertifikatskette den Programmcode vor Manipulation.

Der Nutzen und die Einsatzmöglichkeiten von CodeMeter sind vielfältig: Sie erlauben »Protection«, also den Schutz gegen Kopieren und Reverse-Engineering; »Licensing«, das neue Geschäftsmodelle durch flexible Funktionsfreischaltung und Integration in den Vertriebsprozess ermöglicht; sowie »Security«, das heißt Schutz vor Manipulation und Cyber-Angriffen. Dies versetzt Hersteller in die Lage, ihre unterschiedlichen Sicherheitsbedürfnisse zu erfüllen und auch international anerkannte Standards wie OPC UA effizient mit einzusetzen.

Über den Autor:

Oliver Winzenried ist Vorstand von Wibu-Systems.