Warum echte Safety nur mit Security zu haben ist

Anbieter zum Thema

Niemand hat die Absicht, eine Firewall zu errichten

Dass unautorisierte Fernzugriffe über solche Schwachstellen in der Praxis auch tatsächlich vorkommen, musste Anfang 2013 ein führender deutscher Hersteller von Hightech-Heizungen erfahren, der in seinen Anlagen Steuerungen eines bekannten Schweizer Anbieters auf die in der Abbildung 2 dargestellte Art und Weise einsetzt. Da ein „unzuverlässiger“ Nutzer oder interner Angreifer den Klartext-LAN-Verkehr auf der Kabelverbindung zwischen Steuerung und Router in seiner Anlage abgehört hat und dadurch sogar in den Besitz der Name/Passwort-Eingaben für Servicetechniker kam, konnte er auch Heizungen anderer Betreiber nach Belieben per Internet ein- und ausschalten. Da die betreffenden Hightech-Heizungen auch als Mikrokraftwerke elektrischen Strom in das öffentliche Netz einspeisen und somit die öffentliche Infrastruktur betroffen war, wurde in diesem Fall sogar das BSI (Bundesamt für Sicherheit in der Informationstechnik) eingeschaltet. Presse, Funk und Fernsehen berichteten ausgiebig über den Vorfall. Die betroffenen Hersteller mussten in der Folge Kunden und Öffentlichkeit die Ursachen erklären und darlegen, wie man gedenkt, derartige Probleme in Zukunft abzustellen.

Unsicher trotz Virtual Private Network (VPN)

Ähnlich fahrlässig ist es, für den Internet-basierten Anlagenfernzugriff die integrierte VPN-Funktion einiger weit verbreiteter Standard-Router auszunutzen. Bei dieser VPN-Eigenschaft handelt es sich in der Regel fast immer um einen eingebetteten IPSec-Server, der über sogenannte Pre-shared Keys (fest vereinbarte Schlüssel) von einem Client genutzt werden kann. Um den Router jederzeit per Internet erreichen zu können, wird auch hier wieder Dyn-DNS verwendet. Auf allen Rechnersystemen, die aus der Ferne auf die Anlage oder eine einzelne MSR-Baugruppe zugreifen sollen, wird ein IPSec-Client installiert und mit dem entsprechenden Pre-shared Key konfiguriert (Abbildung 3).

Ein Knackpunkt einer solchen Lösung ist, dass die IPSec-Verschlüsselung im Router endet – also in der Regel ziemlich weit weg von der Anlage. Innerhalb des lokalen Netzwerks hinter dem Router gibt es allerdings keinen VPN-Schutz. Darüber hinaus kann ein IPSec-Client natürlich nicht nur auf die Anlage, sondern auch auf alle anderen Rechner im LAN zugreifen. Das weitaus größte Problem ist aber die Verwendung von Pre-shared Keys für Internet-Fernzugriffe auf Baugruppen und Steuerungen. Jeder, der im Besitz eines solchen Keys ist, hat uneingeschränkten Fernzugriff. Es können weder benutzer- noch rollenabhängige Rechte vergeben werden, noch lässt sich ein einzelner Benutzer sperren, weil etwa ein Fernwartungs-Notebook abhanden gekommen ist.

Risiko Mobilfunkbetreiber

Das Risiko lässt sich aber noch weiter steigern. Bei der zuvor beschriebenen Vorgehensweise hat der Betreiber des Routers immerhin noch die Möglichkeit der Fernzugriffskontrolle. Man findet im Bereich der M2M-Anwendungen und der Fernwirktechnik allerdings sogar IPSec-VPN-Anwendungen, in denen das gesamte Virtual Private Network durch einen Mobilfunkprovider verwaltet und kontrolliert wird. Der Nutzer kann in solchen Lösungen dem Provider nur blind vertrauen.

Dass die Sicherheitsmechanismen der Mobilfunkprovider nicht besonders zuverlässig sind, zeigte sich im September des vergangenen Jahres. Seinerzeit musste Vodafone einräumen, dass ein Hacker rund zwei Millionen Kundendaten gestohlen hat. Die Automatisierer unter diesen Provider-Kunden können in solch einem Fall nur hoffen, dass die Daten ihrer Prozessanlagen-Wartungszugänge oder Ihrer Signaltechnik nicht dazu gehören. Seitdem die Mehrzahl an Anlagen mit dem Internet und/oder anderen Systemen kommunizieren, gibt es ganz neue Einfallstore für eventuelle Manipulationen.

Sobald durch gewollte oder ungewollte Manipulationen Schäden vorkommen, sicherheitsrelevante Systeme ausfallen (oder deren Reaktion verzögert wird), wird klar, dass Safety ohne Security nicht machbar ist. Selbst wenn dabei niemand zu Schaden kommt, kann der Image-Verlust riesig sein – und Image-Verlust bei einem OEM heißt fast zwangsläufig „heftige Umsatzeinbußen“.

Herausforderungen und Hausaufgaben

Die Beispiele zeigen, dass dem Thema Security bei der Vernetzung und dem Fernzugriff von Anlagen eine erhöhte Aufmerksamkeit geschenkt werden muss, der Security-Plattformen wie sie beispielsweise das hannoversche Unternehmen SSV Software Systems anbietet, gerecht werden. Längst ist nicht mehr nur die Safety relevante Baugruppe oder das einzelne System, sondern die gesamte Infrastruktur zu betrachten. Dazu müssen die Anlagen rundum sicher aufgebaut werden – zum einen in punkto Safety, zum anderen aber auch und besonders in Bezug auf die Security. Hierzu müssen beide Aspekte zusammen schon beim Aufbau einer Anlage bedacht und analog zu den im Safetybereich verankerten ISO-Normen als Prozess angesehen werden, der mit den jeweiligen – über die Zeit steigenden und sich verändernden - Anforderungen „mitwächst“.

Quellenangaben:

[1] http://www.heise.de/ct/artikel/Fuenf-nach-zwoelf-1897198.html.

* Dipl.-Red. (FH) Jörg Neumann, Vertrieb & Marketing, SSV Software Systems

(ID:42536257)

Vernetzung und Fernzugriff