Mobile-Menu

Industrial Security Sechs Herausforderungen bei der PKI-Implementierung

Quelle: BXC Security 2 min Lesedauer

In vernetzten Produktionsumgebungen spielt die Public-Key-Infrastructure (PKI) eine entscheidende Rolle zur Verwaltung von kryptografischen Identitäten. Bei OT-Umgebungen gibt es einige Besonderheiten, die Sicherheitsverantwortliche im Blick haben sollten.

Für die Absicherung von Produktionsanlagen spielt die Public-Key-Infrastructure (PKI) heute eine entscheidende Rolle.(Bild: / Pixabay)
Für die Absicherung von Produktionsanlagen spielt die Public-Key-Infrastructure (PKI) heute eine entscheidende Rolle.
(Bild: / Pixabay)

Diese sechs Herausforderungen gilt es heute bei der PKI-Implementierung in einer OT-Umgebung zu beachten:

  • Ressourcenbeschränkte Komponenten: 
    Häufig verfügen OT-Geräte nur über begrenzte CPU-, RAM- und Speicherkapazitäten. Dadurch passen vollständige Zertifikatssperrlisten (CRLs) unter Umständen nicht in den Arbeitsspeicher oder lange TLS-Handshakes können zu Timeouts führen. Deshalb ist es notwendig, die Architektur für die Zertifikatssperrung in OT-Umgebungen gezielt zu konzipieren. 
  • Segmentierte & eingeschränkte Konnektivität: 
    Viele OT-Netzwerkzonen haben keinen Internetzugang. Im laufenden Betrieb darf daher keine Abhängigkeit von Cloud-Diensten bestehen. Externe OCSP-Responder sind nicht erreichbar. Gleichzeitig erschwert die hohe Anzahl an Netzwerkzonen mit sehr restriktiven Kommunikationsvorgaben die Zertifikatsprüfung und den Zertifikatswiderruf. Das Identity-Lifecycle-Management muss deshalb auch ohne Internetzugang und über Zonengrenzen hinweg funktionieren. 
  • Ausfallzeiten sind nicht tolerierbar: 
    Die Verfügbarkeit der Certificate Authority (CA) ist Teil der kritischen Infrastruktur. Ausfälle von OCSP-Respondern können zu Kommunikationsfehlern führen, während eine gestörte CRL-Verteilung ein operatives Risiko darstellt. Eine hochverfügbare PKI ist daher nicht verhandelbar. Zertifikate müssen jederzeit widderrufen werden können. 
  • Anforderungen an deterministische Kommunikation: 
    Industrieprotokolle erfordern vorhersehbare, begrenzte Latenzen, stabiles Sitzungsverhalten und keine unvorhersehbaren Verzögerungen beim Verbindungsaufbau. Wird PKI ohne Berücksichtigung der OT-Anforderungen umgesetzt, können Widerrufsprüfungen unkontrollierte Latenzen verursachen, externe Abhängigkeiten die Kommunikation destabilisieren und Handshake-Verzögerungen Echtzeitanforderungen verletzen. Die Zertifikatsvalidierung darf Kommunikationszeiten daher weder verzögern noch unvorhersehbar variieren lassen. 
  • Sehr hohe Anzahl von Maschinenidentitäten: 
    Speicherprogrammierbare Steuerungen (SPS/PLC) und Fernwirkeinheiten (RTU), Sensoren und Messgeräte, Edge-Gateways sowie eingebettete Komponenten benötigen eigene Maschinenidentitäten. Während es in der IT oft um tausende Server geht, erreicht die Zahl der OT-Geräte schnell die Millionen. Automatisierung ist daher keine Frage des Komforts, sondern eine strukturelle Notwendigkeit.  
  •  Komplexe Vertrauensdomänen:
    Interne Betriebsteams, externe Dienstleister, OEM-Lieferanten, Wartungsteams und Cloud-Dienste agieren in unterschiedlichen Vertrauensdomänen. Vertrauen muss daher segmentiert, kontrolliert und auditierbar gestaltet werden.

Mehr Informationen zur PKI-Verwaltung mit Lösungen von BXC Security.

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte