Vernetzung und Fernzugriff Warum echte Safety nur mit Security zu haben ist

Mit steigender Vernetzung von Automatisierungsbaugruppen werden diese auch zunehmend „safety-critical". Einige nachfolgende Beispiele sollen zeigen, wie wichtig es ist, dem Thema Security bei der Vernetzung und dem Fernzugriff von Anlagen eine erhöhte Aufmerksamkeit zu schenken.

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

Echte Safety – hierzulande etwas sperrig als „Funktionale Sicherheit“ bezeichnet – kann es allerdings nur geben, wenn parallel angemessene Security-Maßnahmen ergriffen und implementiert werden, um rundum sichere Systeme zu realisieren. So darf beispielsweise ein Lackierroboter keinesfalls zu einer Gefahr für Leib und Leben werden, nur weil sich etwa ein Servicetechniker bei Wartungsarbeiten versehentlich auf die falsche Steuerung eingeloggt hat oder ein externer Zugriff das System so stark belastet, dass zeitkritische Prozesse beeinträchtigt werden. Bei der oft anzutreffenden Abschottung der produktionsnahen IT beschränken sich die Sicherheitsaktivitäten meist ausschließlich auf den Safety-Bereich, das heißt auf die Vermeidung von Gefahren für den Maschinenführer, bzw. die Abwendung kostspieliger Beschädigungen von Maschinen oder Material. Die Verbindungen zum Fabrik-LAN oder lediglich temporär genutzte Wartungszugänge stehen eher selten im Fokus. Insbesondere dann, wenn man sich aus den großen Fabriken heraus in eher kleinere Anlagen begibt.

Bildergalerie

Großbaustelle Internetverbindung

Bereits seit vielen Jahren besitzen unzählige MSR-Baugruppen und Steuerungen ein Ethernet-Interface, Modbus-Schnittstellen und eingebettete Webserver als Benutzerinterface. So dienen HMI-Systeme zur Konfiguration und – neben dem Modbus-Zugriff – zum webbasierten Lesen von Eingangssignalen, bzw. zum Schreiben von Ausgabewerten. Sicherheitsaspekte wurden dabei von fast allen Herstellern vernachlässigt. Anfangs war man sogar meist der Meinung, dass eine Benutzerauthentifizierung durch Name und Passwort für den Webzugriff genügt. Zudem war der Einsatzort solcher Baugruppen aus Sicht der Anbieter stets ein völlig sicheres lokales Netz, in dem sich ausschließlich vertrauenswürdige Benutzer mit 100 Prozent von Schadsoftware freien PCs befinden und keinerlei Verbindungen zum Internet existieren. Dass diese Meinung sich in der Praxis inzwischen nicht mehr halten lässt, ist längst durch etliche Negativbeispiele belegt worden.

Die Anwender selbst störten sich in der Vergangenheit allerdings nicht unbedingt an der unzureichenden Sicherheit und nutzen, bzw. nutzten, in ihren Applikationen den integrierten Webserver sogar für Fernzugriffe aus dem Internet. Wie das funktioniert, illustriert die Abbildung 2..

Die LAN-Schnittstelle einer beliebigen MSR-Baugruppe wird kurzerhand mit einem geeigneten Router verbunden. Im Router selbst wird das „Port Forwarding“ (Portweiterleitung) für den TCP-Port 80 eingeschaltet, der Dyn-DNS-Dienst (dynamischer DNS-Service) aktiviert und ein entsprechender Account eingerichtet. Dadurch kann von unterwegs oder einem anderen beliebigen Ort aus über einen leicht zu merkenden Hostnamen auf den Webserver der MSR-Baugruppe zugegriffen werden. Die ständig wechselnde IP-Adresse des Routers im Internet wird so stets dynamisch angepasst. Das schlimme einer solchen Lösung ist nur, dass nun praktisch jeder, der Benutzername und Passwort kennt, per Internet die Daten der Baugruppe lesen bzw. schreiben kann. Da als Name/Passwort-Kombination vielfach die Standardeinstellungen der Hersteller oder sehr einfache Kombinationen (zum Beispiel „admin/admin“) zur Anwendung kommen, ist einem Missbrauch der Verbindung im wahrsten Sinne des Wortes Tür und Tor geöffnet.

Noch brisanter als die Nutzung eines dynamischen DNS-Dienstes ist die Verwendung einer fixen IP-Adresse für den Internetzugang des Routers. In diesem Fall ist die entsprechende Baugruppe immer unter der gleichen IP-Adresse per Internet erreichbar. Spezial-Suchmaschinen wie Shodan, die das gesamte Internet nach erreichbaren Geräten bzw. Anlagen indizieren und die Ergebnisse als Webseiten mit Hyperlinks für jeden frei zugänglich anbieten, werden früher oder später auch den Webserver der MSR-Baugruppe finden und den entsprechenden Link veröffentlichen. Der erste Hackerangriff ist dann nur noch eine Frage der Zeit und kann nahezu überall passieren.

Niemand hat die Absicht, eine Firewall zu errichten

Dass unautorisierte Fernzugriffe über solche Schwachstellen in der Praxis auch tatsächlich vorkommen, musste Anfang 2013 ein führender deutscher Hersteller von Hightech-Heizungen erfahren, der in seinen Anlagen Steuerungen eines bekannten Schweizer Anbieters auf die in der Abbildung 2 dargestellte Art und Weise einsetzt. Da ein „unzuverlässiger“ Nutzer oder interner Angreifer den Klartext-LAN-Verkehr auf der Kabelverbindung zwischen Steuerung und Router in seiner Anlage abgehört hat und dadurch sogar in den Besitz der Name/Passwort-Eingaben für Servicetechniker kam, konnte er auch Heizungen anderer Betreiber nach Belieben per Internet ein- und ausschalten. Da die betreffenden Hightech-Heizungen auch als Mikrokraftwerke elektrischen Strom in das öffentliche Netz einspeisen und somit die öffentliche Infrastruktur betroffen war, wurde in diesem Fall sogar das BSI (Bundesamt für Sicherheit in der Informationstechnik) eingeschaltet. Presse, Funk und Fernsehen berichteten ausgiebig über den Vorfall. Die betroffenen Hersteller mussten in der Folge Kunden und Öffentlichkeit die Ursachen erklären und darlegen, wie man gedenkt, derartige Probleme in Zukunft abzustellen.

Unsicher trotz Virtual Private Network (VPN)

Ähnlich fahrlässig ist es, für den Internet-basierten Anlagenfernzugriff die integrierte VPN-Funktion einiger weit verbreiteter Standard-Router auszunutzen. Bei dieser VPN-Eigenschaft handelt es sich in der Regel fast immer um einen eingebetteten IPSec-Server, der über sogenannte Pre-shared Keys (fest vereinbarte Schlüssel) von einem Client genutzt werden kann. Um den Router jederzeit per Internet erreichen zu können, wird auch hier wieder Dyn-DNS verwendet. Auf allen Rechnersystemen, die aus der Ferne auf die Anlage oder eine einzelne MSR-Baugruppe zugreifen sollen, wird ein IPSec-Client installiert und mit dem entsprechenden Pre-shared Key konfiguriert (Abbildung 3).

Ein Knackpunkt einer solchen Lösung ist, dass die IPSec-Verschlüsselung im Router endet – also in der Regel ziemlich weit weg von der Anlage. Innerhalb des lokalen Netzwerks hinter dem Router gibt es allerdings keinen VPN-Schutz. Darüber hinaus kann ein IPSec-Client natürlich nicht nur auf die Anlage, sondern auch auf alle anderen Rechner im LAN zugreifen. Das weitaus größte Problem ist aber die Verwendung von Pre-shared Keys für Internet-Fernzugriffe auf Baugruppen und Steuerungen. Jeder, der im Besitz eines solchen Keys ist, hat uneingeschränkten Fernzugriff. Es können weder benutzer- noch rollenabhängige Rechte vergeben werden, noch lässt sich ein einzelner Benutzer sperren, weil etwa ein Fernwartungs-Notebook abhanden gekommen ist.

Risiko Mobilfunkbetreiber

Das Risiko lässt sich aber noch weiter steigern. Bei der zuvor beschriebenen Vorgehensweise hat der Betreiber des Routers immerhin noch die Möglichkeit der Fernzugriffskontrolle. Man findet im Bereich der M2M-Anwendungen und der Fernwirktechnik allerdings sogar IPSec-VPN-Anwendungen, in denen das gesamte Virtual Private Network durch einen Mobilfunkprovider verwaltet und kontrolliert wird. Der Nutzer kann in solchen Lösungen dem Provider nur blind vertrauen.

Dass die Sicherheitsmechanismen der Mobilfunkprovider nicht besonders zuverlässig sind, zeigte sich im September des vergangenen Jahres. Seinerzeit musste Vodafone einräumen, dass ein Hacker rund zwei Millionen Kundendaten gestohlen hat. Die Automatisierer unter diesen Provider-Kunden können in solch einem Fall nur hoffen, dass die Daten ihrer Prozessanlagen-Wartungszugänge oder Ihrer Signaltechnik nicht dazu gehören. Seitdem die Mehrzahl an Anlagen mit dem Internet und/oder anderen Systemen kommunizieren, gibt es ganz neue Einfallstore für eventuelle Manipulationen.

Sobald durch gewollte oder ungewollte Manipulationen Schäden vorkommen, sicherheitsrelevante Systeme ausfallen (oder deren Reaktion verzögert wird), wird klar, dass Safety ohne Security nicht machbar ist. Selbst wenn dabei niemand zu Schaden kommt, kann der Image-Verlust riesig sein – und Image-Verlust bei einem OEM heißt fast zwangsläufig „heftige Umsatzeinbußen“.

Herausforderungen und Hausaufgaben

Die Beispiele zeigen, dass dem Thema Security bei der Vernetzung und dem Fernzugriff von Anlagen eine erhöhte Aufmerksamkeit geschenkt werden muss, der Security-Plattformen wie sie beispielsweise das hannoversche Unternehmen SSV Software Systems anbietet, gerecht werden. Längst ist nicht mehr nur die Safety relevante Baugruppe oder das einzelne System, sondern die gesamte Infrastruktur zu betrachten. Dazu müssen die Anlagen rundum sicher aufgebaut werden – zum einen in punkto Safety, zum anderen aber auch und besonders in Bezug auf die Security. Hierzu müssen beide Aspekte zusammen schon beim Aufbau einer Anlage bedacht und analog zu den im Safetybereich verankerten ISO-Normen als Prozess angesehen werden, der mit den jeweiligen – über die Zeit steigenden und sich verändernden - Anforderungen „mitwächst“.

Quellenangaben:

[1] http://www.heise.de/ct/artikel/Fuenf-nach-zwoelf-1897198.html.

* Dipl.-Red. (FH) Jörg Neumann, Vertrieb & Marketing, SSV Software Systems

(ID:42536257)