Industrie-Gateway mit Linux schützt Automatisierungsgeräte Sicherheit ist kein Zufall

Hausgemachte und systembedingte Probleme

Neben den Angriffen, die ihren Ursprung außerhalb eines Unternehmens haben, drohen Gefahren oft auch von innen. Aufgrund der einfachen Vernetzungsmöglichkeiten setzen viele Unternehmen in wachsendem Maße Funkverbindun-gen ein. WLAN-Zugänge (Wireless Local Area Network) ermöglichen die schnelle Vernetzung von Rechnern und ermöglichen unter anderem das Arbeiten an schwer zugänglichen Orten. Sie erfordern allerdings in Bezug auf Datensicherheit eine erhöhte Aufmerksamkeit. Durch die Möglichkeit des drahtlosen und unkomplizierten Zugangs zum Firmennetz können sich zum Beispiel Mitarbeiter eigene 802.11-WLAN- Funkzugangs-punkte einrichten, um von beliebigen Standorten im Firmengebäude arbeiten zu können. Dazu werden teilweise auch private, funkgestützte Notebooks in das Firmennetz eingebunden. Das Beunruhigende dabei ist allerdings nicht unbedingt der dadurch anzurichtende Schaden, sondern vielmehr ein eventueller Informationsdiebstahl. Wenn solche Zugangspunkte ohne Wissen der IT-Verantwortlichen eingerichtet werden, kann nicht garantiert werden, dass diese gegen Zugriff von außen gesichert sind.

Auch die Ausbreitung der Funkstrahlung ist praktisch nicht kontrollierbar und strahlt oft über Gebäudegrenzen hinweg. Dadurch kann entweder der gesamte Datenverkehr „abgehört“ oder – im schlimmsten Fall – uneingeschränkter Zugriff auf das gesamte Firmennetzwerk erlangt werden. Ein weiterer Punkt, durch den WLANs besonders angreifbar sind, liegt in der Verwendung festgelegter ISM-Frequenzen (industrial, scientific, medical). In einem WLAN-Funknetz nach dem 802.11b-Verfahren wird auf einem von dreizehn zur Verfügung stehenden Kanälen im 2,4-GHz-Bereich gefunkt. Jeder Kanal besteht dabei aus mehreren Frequenzen: Kanal 1 hat z.B. Frequenzen von 2,401 bis 2,423 GHz. Kanal 2 reicht von 2,406 bis 2,428 GHz, d.h., die Kanäle überlappen sich gegenseitig. Das bedeutet, dass sich mehrere parallel betriebene WLANs gegenseitig stören und der Datendurchsatz sinkt. Die Störanfälligkeit wird noch dadurch erhöht, dass z.B. Bluetooth und Mikrowellen im gleichen Frequenzbereich senden. Diese Störanfälligkeit macht auch absichtliche Störungen potentieller Angreifer möglich.

Doch auch ohne die Verwendung von Funknetzen sind viele Firmen Attacken aus den eigenen Reihen nahezu schutzlos ausgeliefert. In den meisten Fällen wird überhaupt nicht an die Möglichkeit gedacht, dass etwa ein unzufriedener Mitarbeiter der eigenen Firma Schaden zufügen möchte. Dabei hatten im Jahr 2003 ca. 77 Prozent der Netzwerk-Angriffe ihren Ursprung innerhalb der betreffenden Unternehmen [2]. Dies geschieht allerdings nicht unbedingt bewusst. In durchgängigen IP-Netzwerken reicht oft schon eine kleine Unachtsamkeit des Servicetechnikers, um Viren und Würmern Tür und Tor zu öffnen.

Angesichts solcher Sicherheitsrisiken verwundert es nicht sonderlich, dass der Markt auf Ethernet basierender Sicherheitssysteme zunehmend größer wird. Um Embedded-Systeme der Feld- und Steuerungsebene mit der Managementebene (Office-Ebene) zu verbinden – und diese ohne Sicherheitsrisiko von benachbarten Netzwerken aus zugänglich zu machen –, sind oft zusätzliche Geräte notwendig.

Über ein Verbindungs-Gateway können die in ein eigenständiges IP-Netz integrierten Embedded-Systeme gegen unbefugte Zugriffe abgeschirmt werden. Gleichzeitig kann aber auch z.B. für von zu Hause aus agierende Servicetechniker eine gesicherte TCP/IP-Verbindung zum Netzwerk der Embedded-Systeme aufgebaut werden. Da die gesamte Datenübertragung des Internet auf den sehr gut dokumentierten TCP/IP-Protokollen aufsetzt, ist es für Angreifer eine leichte Übung, ein schlecht gesichertes System zu entern.

Der Schutz solch einer Verbindung durch eine bereits im Unternehmen vorhandene Hardware-Firewall ist meist unzureichend. Da diese Firewall in der Regel für völlig andere Aufgaben und Erfordernisse ausgelegt wurde, dürfte sie für die Anwendung im in-dustriellen Umfeld vergleichsweise schwer und unflexibel zu handhaben sein. Die aus der Büroumgebung bekannten Softwarelösungen, wie etwa Sicherheits-Komplettpakete, die als Ergänzung zu einem Betriebssystem installiert werden können, übersteigen mit ihren Hardwareansprüchen oft die zur Verfügung stehenden Ressourcen der in Maschinen und Anlagen verwendeten Embedded-Geräte. Daher kommt auch eine solche Softwarelösung im industriellen Umfeld nicht in Frage. In Folge dessen gehen inzwischen immer mehr Unternehmen dazu über, industriegerechte Gateways zum Schutz ihrer Automatisierungskomponenten einzusetzen.

Besonders um Embedded-Systeme, die aus Sicherheitsgründen in einem gesonderten IP-Netzwerk betrieben werden, mit Home-Office-Arbeitsplätzen von Servicetechnikern zu verbinden, bieten sich flexible Lösungen wie das IGW/100 von SSV Embedded Systems an. Das mit 165 x 25 x 106 mm äußerst kompakte Industrial-Gateway-System verfügt über ein robustes Metallgehäuse und verzichtet vollständig auf bewegliche und damit fehleranfällige Bauteile, wodurch es auch für den Einsatz in etwas rauheren Umgebungen oder gelegentlichen Transport gewappnet ist. Die Basis des Gerätes bildet ein durch seine Zuverlässigkeit bewährter Vertreter der DIL/NetPC-Familie – der ADNP/1520 [3]. Dieses Modul verfügt über einen mit 133 MHz getakteten Elan-SC520-Pro-zessor mit integrierter Gleitkomma-Einheit. Weiterhin sind 16 Mbyte Flash, 64 Mbyte SDRAM und ein ispMACH-CPLD mit 256 Makrozellen an Bord.

Da Linux gerade in Sicherheitsbelangen so ausgefeilte und leistungsfähige Schutzfunktionen bietet wie kein anderes 32-bit-Betriebssystem, kommt beim IGW/100 softwareseitig ein speziell für den Einsatz in Embedded-Geräten konzipiertes, frei skalierbares Security-Linux zum Einsatz [4]. Dieses „AMSEL“-Linux (Advanced Modular Secure Embedded Linux) verfügt unter anderem über einen „gehärteten“ Kern und Stack-Protection, wodurch verhindert wird, dass ein Angreifer Teile des Stacks überschreibt und Rücksprungadressen von Funktionen manipuliert, um seinen eigenen Code anzuspringen (Buffer Overflow). Während der Virenschutz und die Filterlisten anderer Betriebssysteme regelmäßig manuell aktualisiert werden müssen, kann AMSEL vollautomatisch aus der Ferne auf den neuesten Stand gebracht werden. Voraussetzung dafür ist eine Netzwerkverbindung und ein Vertrag mit den Anbietern.

Darüber hinaus wird beim IGW/100 ganz bewusst auf die Verwendung offener Standards gesetzt. Der Grund dafür liegt darin, dass die vermeintlich sichere Verwendung von proprietären closed-source Betriebssystemen konzeptbedingt immer ein gewisses Sicherheitsrisiko in sich birgt – und dies nicht erst seit Windows XP. Mit seiner RS-232- und den drei LAN-Schnittstellen lässt sich das IGW/100 denkbar einfach in ein bestehendes Netzwerk integrieren. Dazu wird das Gerät einfach dem zu schützenden Embedded-System vorgeschaltet. Die Konfiguration der bestehenden Maschinen und Anlagen braucht nicht angetastet zu werden. AMSEL unterstützt Firewall-, VPN- und Sicherheitsfunktionen, wie SSH, Netfiltersupport, und enthält einen IPSec-Netzwerkstack. Eine über CryptoAPI nutzbare Verschlüsselung mit Scatterlist (ein Verfahren, das die Verschlüsselung beschleunigt) ist bereits in den zukünftigen 2.6er-Linux-Kern von AMSEL integriert. Schließlich ist AMSEL-Linux auch echtzeitfähig und wartet mit intuitiven Konfigurationswerkzeugen auf.

Durch Gateways wie dem IGW/100 lassen sich vorhandene IP-Netzwerke sicher erweitern und mit benachbarten IP-Netzen verbinden. Bild 2 zeigt solch eine mögliche Verbindung zweier vormals unabhängiger IP-Netzwerke. Die Vertraulichkeit und Authentizität der Daten vom PC bis hin zum Embedded-System kann dabei durch die Einrichtung eines VPN (Virtual Private Network) gewährleistet werden.