PKI in industriellen Umgebungen

Einführung (Part 1)

Diese Blog-Serie bietet eine grundlegende Einführung in die Kryptografie und Public-Key-Infrastrukturen (PKI). Sie erläutert, warum PKI in vielen Situationen die bevorzugte Lösung zur Absicherung von Kommunikationswegen ist, insbesondere in Kontext industrieller Netzwerke (OT – Operational Technology).

Die Serie richtet sich sowohl an technische als auch an nicht-technische Leser, die ein besseres Verständnis der zugrunde liegenden Techniken und Mechanismen erlangen möchten. Wir werden dafür auf einer recht hohen Abstraktionseben bleiben, aber detailliert und technisch genug bleiben um auf oft verwendete Metaphern verzichten zu können, da diese oft zu Fehlinterpretationen und Unklarheiten führen. Allgemein sind keine Kenntnisse fortgeschrittenen Mathematik oder Konzepte der Informatik nötig, um den Inhalten folgen zu können.

Operational Technology (OT)-Netzwerke sind in Sektoren wie der Fertigung, Energie, Bergbau und im Transportwesen zu finden. Diese Netzwerke bestehen aus Geräten wie speicherprogrammierbaren Steuerungen (SPS/PLCs), Aktoren und Sensoren, die verschiedene Arten von Maschinen und Anlagen steuern. Traditionell waren OT-Netzwerke isoliert („Air-Gapped“) und basierten weitgehend auf unverschlüsselten Kommunikationskanälen, wobei die physische Trennung lange als ausreichender Schutz gegen Cyberangriffe galt.

Heute durchlaufen diese Netzwerke aufgrund von zwei Hauptfaktoren eine tiefgreifende Transformation.

Zum einem ist mittlerweile offensichtlich, dass eine physische Trennung nicht mehr ausreicht, um solche Netzwerke zu sichern. Der erste groß angelegte Angriff auf solche isolierten Netzwerke wurde Anfang der 2010er Jahre unter dem Namen Stuxnet bekannt (https://de.wikipedia.org/wiki/Stuxnet), der die Systeme des iranischen Atomprogramms angriff. Cyberangriffe auf solche OT-Systeme sind mittlerweile keine Seltenheit mehr.

Zum anderen ist es heute immer erstrebenswerter OT-Netzwerke bewusst mit dem Internet zu verbinden, insbesondere im Kontext von Industrie 4.0. Dies ermöglichten die Erfassung, Aggregation und Analyse großer Datenmengen, die diese Systeme produzieren. Diese Daten können wertvolle Erkenntnisse liefern, um Prozesse zu optimieren, Wartungsbedarf vorherzusagen und durch den Einsatz von KI sogar die Notwendigkeit menschlicher Kontrolle und Eingriffe zu reduzieren. Diese sogenannte IT/OT-Konvergenz kann folglich die betriebliche Effizienz erheblich steigern und die Betriebskosten solcher Systeme senken.

Wenn OT-Netzwerke jedoch immer stärker vernetzt werden und Angriffe immer häufiger vorkommen, sind entsprechende Cybersicherheitsmaßnahmen erforderlich. Die Grundlagen zur Sicherung solcher Systeme sind (1) die Etablierung einer zuverlässigen Identifizierung und Authentifizierung von Geräten und (2) die Einführung von Mechanismen zur Verschlüsselung und zum Schutz aller Kommunikationskanäle.

In dieser Blog-Serie werden wir verschiedene Lösungsmöglichkeiten aufzeigen und deren Vor- und Nachteile gegenüberstellen. Dies wird uns letztendlich zum Thema digitale Zertifikate und Public-Key-Infrastrukturen führen und wir werden sehen warum dies oft der am besten geeignete Ansatz für OT-Umgebungen ist. Dies gilt insbesondere, wenn gute Zertifikatsmanagement- und PKI-Software verwendet wird um den Betriebsaufwand klein zu halten. Eines solcher Tools, welches insbesondere dazu dient die Komplexität des Betriebs zu reduzieren, ist die open-source Software trustpoint (Disclaimer: Der Autor ist Teil des Entwicklungsteams des Projekts), welche wir uns in einem späteren Kapitel genauer anschauen werden.

Im Verlauf der Serie werden wir häufig auf das folgende Diagramm zurückgreifen, um ein vereinfachtes Netzwerk von IIoT (Industrial-IoT) Geräten in einer OT-Umgebung zu veranschaulichen.

In den folgenden zwei Teilen werden wir die allgemeinen Schutzziele vorstellen, die zum sichern von Kommunikationskanälen erforderlich sind, und anschließend einen Überblick über die Kryptografie geben.

In den verbleibenden Teilen werden wir uns detaillierter mit symmetrischer und asymmetrischer Verschlüsselung sowie mit Public-Key-Infrastrukturen befassen. Wir werden aufzeigen, wie diese Ansätze auf unser OT-Umgebungsbeispiel angewendet werden können und welche Sicherheitsziele in den jeweiligen Szenarien erreicht werden.