Industrielle Automation 6/2018

Bild: Adobe Stock
Echtzeitkommunikation anpassen lassen.
Wie verhalten sich diese in Echtzeit? Oder wie
lässt sich eine einfache Zertifikatsprüfung
vornehmen? Dabei steht die Working Group
immer im engen Kontakt zu den Anwendern,
um später auch eine praxistaugliche Vorgehensweise
zu entwickeln.
Security-Maßnahmen
in PROFINET-Netzwerken
VERANTWORTUNG
ÜBERNEHMEN
Die Vernetzung in Anlagen nimmt immer mehr zu und damit auch Bedrohungen,
z. B. durch unberechtigte Zugriffe oder Manipulation des Datenverkehrs.
Vor diesem Hintergrund ist es nur folgerichtig, Automatisierungsnetzwerke
immer wieder neu zu bewerten und entsprechende Security-Konzepte zu erarbeiten.
Daher hat die PI-Working Group Industrie 4.0 das Thema Security zu
einem Schwerpunkt erklärt – ein Statusbericht.
Das Thema Security ist für die Kommunikationsspezialisten
nichts Neues. So hat PI (PRO-
FIBUS & PROFINET International) bereits im
Jahr 2005 ein Security-Konzept veröffentlicht,
das in mehreren Schritten weiter detailliert
wurde. Aber Security ist ein Thema, das nie
abgeschlossen ist – im Gegenteil!
Bevor Konzepte und Maßnahmen erarbeitet
werden, muss erst einmal genau geschaut
werden, wo mögliche Angriffspunkte liegen.
Bei einer solchen Bedrohungsanalyse orientierte
sich PI an bewährten Konzepten aus
der Informationstechnologie. Eins davon ist
das STRIDE-Prinzip, das sich aus den sechs
Anfangsbuchstaben der Begriffe zusammensetzt:
Spoofing, Tampering, Repudiation,
Information disclosure, Denial of service,
Elevation of privilige. Darauf aufbauend
wurden die schützenswerten Assets eines
PROFINET-Systems identifiziert, mögliche
Bedrohungen aufgezeigt, und diese bewertet,
um anschließend Gegenmaßnahmen zu
entwickeln. Dabei zeigte sich, dass z. B. schon
heute die Durchführung von Netzlasttests,
die sog. Security Level1 Tests, wichtiger Bestandteil
bei der Zertifizierungsprüfung sind.
Diese schützen in einem gewissen Umfang
vor Denial of Service-Attacken. Auch das
schon früh von PI eingeführte Zellenschutzkonzept
hat immer noch Bestand.
AKTIVITÄTEN VON PI
Angesichts einer zukünftigen stärkeren Vernetzung
müssen weitere Maßnahmen ergriffen
werden. Allerdings hat die Working
Group in ihren Untersuchungen festgestellt,
dass sich Konzepte aus der Informationstechnologie
nicht ohne weiteres auf die Automatisierungswelt
übertragen lassen. Daher ist
ein Schwerpunkt der Working Group die Beurteilung,
wie sich gängige Schutzkonzepte
aus der IT-Welt auf die Automatisierung und
So wurde zum Beispiel bei Probeimplementierungen
evaluiert, welche Cipher Suites
echtzeitfähig sind. Cipher Suites sind eine
standardisierte Sammlung kryptographischer
Verfahren. Aus PI-Sicht wird es darum gehen,
aus diesen Cipher Suites diejenigen auszuwählen,
welche die erforderlichen Einsatzbereiche
abdecken, etwa einen zyklischen
Datentransfer ohne Unterbrechung durch
zusätzlichen Security-Traffic oder eine sichere
Erkennung von gefälschten Parametrierdaten.
Auch bei der Authentifizierung und Integritätssicherung,
also der Sicherstellung, dass
die Daten auch wirklich von einem vertrauenswürdigen
PROFINET-Gerät stammen
und unverfälscht sind, ist man inzwischen
einen Schritt weiter. Auf der SPS/IPC Drives in
Nürnberg wird in einer Live-Demonstration
ein Man-in-the-Middle-Angriff simuliert und
gezeigt, wie ein Prototyp eines PROFINET-
Gerätes reagiert, das bereits Security-Mechanismen
integriert hat, die das Verfälschen von
Daten erkennen. Ebenfalls extrem wichtig ist
das Schlüsselmanagement (Key Deployment).
Dabei geht es nicht nur um die Frage, wie der
Schlüssel ins Feldgerät, also in diesem Fall in
die PROFINET-Komponente, übertragen wird,
sondern wie man diese Technologie auch
ohne ausgebildete IT-Techniker anwendet.
Diese Beispiele zeigen nur einen kleinen Ausschnitt
aus der derzeitigen Themenbreite,
mit der sich das Security-Team innerhalb von
PI beschäftigt. Security verlangt vom Anwender,
dass er Verantwortung übernimmt und
ein Systemkonzept implementiert. Daher
reicht ein dem Anwender an die Hand gegebenes
einfaches Systemfeature nicht aus. PI
wird im Rahmen seiner Security-Spezifikation
Strategien empfehlen, mit denen eine Anlage
bestmöglich geschützt wird. Bei allen
Konzepten achtet PI darauf, dass die angebotenen
Lösungen praktikabel bleiben und sich
für zukünftige Anwendungen eignen.
Joachim Koppers, Leiter PI WG „Security“
20 PI-Magazin 2/2018