Forschung für den Mittelstand - Die IGF-Projektdatenbank

Durchgängige Integration von PKI-basierten Sicherheitsarchitekturen in die Feldebene von Industrie 4.0-Anwendungen

Im Rahmen der sogenannten vierten industriellen Revolution nimmt die Vernetzung von Geräten und Anlagen im industriellen Bereich rapide zu. Daraus resultieren für diese Systeme ganz neue Anforderungen an die Datensicherheit (Security), welche auch eine wesentliche Voraussetzung für die funktionale Sicherheit (Safety) darstellt. Zahlreiche Angriffe auf industrielle IT-Systeme haben eindringlich gezeigt, dass gängige Systeme und Anlagen keine ausreichenden Schutzmechanismen umsetzen.

Im Fokus des geplanten Forschungsvorhabens steht daher die Entwicklung von prak-tikablen und wirtschaftlichen Methoden und Lösungen zur Ende-zu-Ende-Sicherung der Kommunikation von Geräten auf der Feldebene untereinander sowie insbesonde-re von diesen Feldgeräten zu mobilen oder statischen Bedienelementen und Geräten in anderen Netzen und insbesondere im Internet. Als zentrale Komponente soll dabei das im klassischen Internet weit verbreitete Transport Layer Security (TLS) Protokoll in der aktuellen Version 1.2 zum Einsatz kommen, das die Authentizität der Kommunika-tionspartner sowie die Vertraulichkeit und Integrität der übertragenen Daten sicherstel-len kann. Zu diesem Zweck soll ein generisches und skalierbares Anpassungssche-ma entwickelt werden, das den flexiblen Einsatz von TLS über industrielle Bussysteme verschiedenster Leistungsklassen, wie z.B. Profinet, Modbus TCP, CAN oder FOUNDATION Fieldbus, erlaubt.

Zur Unterstützung der TLS-basierten Kommunikationslösung soll zudem eine Public-Key-Infrastruktur (PKI) entworfen und umgesetzt werden, die Geräte bis hinunter auf die Feldebene abdeckt und dabei an die Sicherheitsanforderungen angepasst werden kann.

Zur Umsetzung der vorgeschlagenen Sicherheitslösung sollen im Rahmen einer vorwettbewerblichen Plattformentwicklung entsprechende Hardware- und Softwaremodule bzw. -bibliotheken entwickelt werden, die es insbesondere KMU erlauben, sichere Industrie-4.0-Lösungen zu entwickeln und zu vermarkten.

Ergebniszusammenfassung:

Im Projektverlauf konnte ein generisches Konzept zur Ende-zu-Ende-Absicherung von Kommunikation im industriellen Umfeld erarbeitet werden. Es besteht aus zwei generischen Modellen.

(1) Ein Kommunikationsmodell ist die Basis des Ansatzes „(D)TLS-over-Anything“ und befasst sich mit der Abbildung einer (D)TLS-basierten Protokollschicht auf einen nahezu beliebigen Transportkanal. Zentrales Element ist eine parametrierbare Adaptionsschicht, die die Eigenschaften des Transportkanals, welche nicht im Einklang mit den Anforderungen von (D)TLS stehen, ausgleicht. Hierzu wird ein universelles Charakterisierungsmodell für den Transportkanal entwickelt und die jeweiligen Auswirkungen der Kanaleigenschaften auf die Adaptionsschicht beschrieben. Es kann der weiteren Entwicklung von Werkzeugen zur automatischen Code-Generierung der Adaptionsschicht dienen.

(2) Ein Authentifikationsmodell befasst sich mit der Authentifikation von Feldgeräten mithilfe einer Public-Key-Infrastruktur (PKI) aus einer Protokoll- und einer Prozesssicht. Es basiert auf zwei Identitätsebenen: vom Gerätehersteller eingebrachte und kontrollierte Herstellerzertifiakate, sowie die vom Anlagenbetreiber eingebrachte und verwaltete Betreiberzertifikate. Letztere wird als zwingend vorhanden angenommen, da diese der Absicherung der operativen Kommunikation dient. Das Authentifikationsmodell stellt die Ausgangsbasis für feldbusspezifische Spezifikationen und Implementierungen dar.

Weiterhin wurde im Rahmen der Arbeiten an „SecureField“ intensiv in Standardisierungsgruppen verschiedener Feldbussysteme, insbesondere in der Security-Arbeitsgruppe (CB/PG10) der PROFIBUS Nutzerorganisation e. V. (PNO), mitgearbeitet.

Im Projektverlauf ist zudem eine Reihe von Softwareartefakten sowie Prototypen- und De-monstratoraufbauten entstanden, die eine Umsetzung des Ansatzes von „SecureField“ für SafetyNET p und CANopen FD leisten und eine gute Ausgangsbasis für weitere Entwicklungsarbeiten darstellen können.