Vernetzung und Fernzugriff Warum echte Safety nur mit Security zu haben ist

Mit steigender Vernetzung von Automatisierungsbaugruppen werden diese auch zunehmend „safety-critical". Einige nachfolgende Beispiele sollen zeigen, wie wichtig es ist, dem Thema Security bei der Vernetzung und dem Fernzugriff von Anlagen eine erhöhte Aufmerksamkeit zu schenken.

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

MicroControl GmbH & Co. KG

Echte Safety – hierzulande etwas sperrig als „Funktionale Sicherheit“ bezeichnet – kann es allerdings nur geben, wenn parallel angemessene Security-Maßnahmen ergriffen und implementiert werden, um rundum sichere Systeme zu realisieren. So darf beispielsweise ein Lackierroboter keinesfalls zu einer Gefahr für Leib und Leben werden, nur weil sich etwa ein Servicetechniker bei Wartungsarbeiten versehentlich auf die falsche Steuerung eingeloggt hat oder ein externer Zugriff das System so stark belastet, dass zeitkritische Prozesse beeinträchtigt werden. Bei der oft anzutreffenden Abschottung der produktionsnahen IT beschränken sich die Sicherheitsaktivitäten meist ausschließlich auf den Safety-Bereich, das heißt auf die Vermeidung von Gefahren für den Maschinenführer, bzw. die Abwendung kostspieliger Beschädigungen von Maschinen oder Material. Die Verbindungen zum Fabrik-LAN oder lediglich temporär genutzte Wartungszugänge stehen eher selten im Fokus. Insbesondere dann, wenn man sich aus den großen Fabriken heraus in eher kleinere Anlagen begibt.

Bildergalerie

Großbaustelle Internetverbindung

Bereits seit vielen Jahren besitzen unzählige MSR-Baugruppen und Steuerungen ein Ethernet-Interface, Modbus-Schnittstellen und eingebettete Webserver als Benutzerinterface. So dienen HMI-Systeme zur Konfiguration und – neben dem Modbus-Zugriff – zum webbasierten Lesen von Eingangssignalen, bzw. zum Schreiben von Ausgabewerten. Sicherheitsaspekte wurden dabei von fast allen Herstellern vernachlässigt. Anfangs war man sogar meist der Meinung, dass eine Benutzerauthentifizierung durch Name und Passwort für den Webzugriff genügt. Zudem war der Einsatzort solcher Baugruppen aus Sicht der Anbieter stets ein völlig sicheres lokales Netz, in dem sich ausschließlich vertrauenswürdige Benutzer mit 100 Prozent von Schadsoftware freien PCs befinden und keinerlei Verbindungen zum Internet existieren. Dass diese Meinung sich in der Praxis inzwischen nicht mehr halten lässt, ist längst durch etliche Negativbeispiele belegt worden.

Die Anwender selbst störten sich in der Vergangenheit allerdings nicht unbedingt an der unzureichenden Sicherheit und nutzen, bzw. nutzten, in ihren Applikationen den integrierten Webserver sogar für Fernzugriffe aus dem Internet. Wie das funktioniert, illustriert die Abbildung 2..

Die LAN-Schnittstelle einer beliebigen MSR-Baugruppe wird kurzerhand mit einem geeigneten Router verbunden. Im Router selbst wird das „Port Forwarding“ (Portweiterleitung) für den TCP-Port 80 eingeschaltet, der Dyn-DNS-Dienst (dynamischer DNS-Service) aktiviert und ein entsprechender Account eingerichtet. Dadurch kann von unterwegs oder einem anderen beliebigen Ort aus über einen leicht zu merkenden Hostnamen auf den Webserver der MSR-Baugruppe zugegriffen werden. Die ständig wechselnde IP-Adresse des Routers im Internet wird so stets dynamisch angepasst. Das schlimme einer solchen Lösung ist nur, dass nun praktisch jeder, der Benutzername und Passwort kennt, per Internet die Daten der Baugruppe lesen bzw. schreiben kann. Da als Name/Passwort-Kombination vielfach die Standardeinstellungen der Hersteller oder sehr einfache Kombinationen (zum Beispiel „admin/admin“) zur Anwendung kommen, ist einem Missbrauch der Verbindung im wahrsten Sinne des Wortes Tür und Tor geöffnet.

Noch brisanter als die Nutzung eines dynamischen DNS-Dienstes ist die Verwendung einer fixen IP-Adresse für den Internetzugang des Routers. In diesem Fall ist die entsprechende Baugruppe immer unter der gleichen IP-Adresse per Internet erreichbar. Spezial-Suchmaschinen wie Shodan, die das gesamte Internet nach erreichbaren Geräten bzw. Anlagen indizieren und die Ergebnisse als Webseiten mit Hyperlinks für jeden frei zugänglich anbieten, werden früher oder später auch den Webserver der MSR-Baugruppe finden und den entsprechenden Link veröffentlichen. Der erste Hackerangriff ist dann nur noch eine Frage der Zeit und kann nahezu überall passieren.

(ID:42536257)