Cybersecurity mit Bihl+Wiedemann dauerhaft gewährleisten

Cybersecurity ist aktueller denn je. Im industriellen Umfeld gewinnen vor allem die Prozess- und Produktionsstabilität zunehmend an Bedeutung.

AS-Interface ist von jeher systembedingt nahezu abhörsicher, dies gilt insbesondere für den neuesten Kommunikationsstandard ASi-5 und ASi-5 Safety. Der Grund hierfür: Durch die Datenübertragung mittels OFDM bei dynamischer Frequenzzuweisung ist das Mitschneiden der ausgetauschten Nachrichten sehr aufwendig. Benötigt wird dazu nämlich der gesamte Kontext des Verbindungsaufbaus zwischen ASi Master und ASi Teilnehmer. Zudem ist eine genaue Synchronisierung der Taktfrequenzen, wie sie zwischen ASi Master und ASi Teilnehmer gemäß ASi-5 Protokoll stattfindet, erforderlich.

Die Cyber-Sicherheit wird auch durch die Tatsache erhöht, dass durch das Gateway ein Logikbruch zwischen TCP/IP und ASi, sowie ASi Safety erfolgt. Hohe Sicherheitsanforderungen müssen somit nur noch an den ASi Master gestellt werden, der die Verbindung zu TCP/IP herstellt. ASi Module sind dagegen sicherheitstechnisch sehr viel unproblematischer, da sie nicht in TCP/IP Netze kommunizieren können. Die für die Netzwerksicherheit Verantwortlichen müssen sich somit auf deutlich weniger Geräte konzentrieren und können diese sorgfältiger prüfen.

Durch die starke Vernetzung von Industrie 4.0 Geräten gewinnt das Thema Datensicherheit enorm an Bedeutung. Schließlich kann jedes Gerät mit Zugang zu anderen Geräten in einem Netzwerk als Angriffsplattform genutzt werden. Wir ermöglichen die nahtlose Integration unserer Geräte in bestehende IT-Security-Konzepte und stellen die Datensicherheit wie folgt sicher:

• Alle modernen ASi-5/ASi-3 Gateways sind updatefähig und können lange nach der Inbetriebnahme zukünftige Sicherheitsanforderungen erfüllen.
• Die Firmware auf dem Update-Server ist signiert.
• Jedes TCP/IP-fähige Gerät erhält in der Produktion ein individuelles Zertifikat zur SSL-Kommunikation.
• ASi erhöht durch den kommunikativen Bruch zwischen TCP/IP und den Feldgeräten die Sicherheit.
• OPC UA nutzt etablierte Verschlüsselungsverfahren wie AES-256 mit SHA bis 512 oder RSA.
• Software-Updates und OPC UA lassen sich auch lokal am Gerät sperren – ein zuverlässiger und absoluter Schutz.

Geräte mit AS-Interface (ASi) fallen in aller Regel unter die Kategorie "Produkte mit digitalen Elementen", aber nicht unter die wesentlich schärferen Kategorien "Wichtige Produkte mit digitalen Elementen" oder "Kritische Produkte mit digitalen Elementen". Damit sind einige grundlegende Risikobewertungen und Funktionen zu erfüllen, die aber sowohl mit ASi-3 als auch mit ASi-5 realisiert werden können.

Insbesondere wird bei den komplexeren, parametrierbaren Geräten von Bihl+Wiedemann, also Gateways und Safety Gateways, eine Benutzerverwaltung implementiert, die dann auch für die angeschlossenen Module gilt. Auch muss für diese Geräte Software-Updates im Feld möglich sein, was bei allen unseren aktuellen Gateways bzw. Safety Gateways heute schon der Fall ist.

Zudem sind die Hersteller verpflichtet, Sicherheitslücken in ihrer Software und in verwendeten Bibliotheken zu beobachten und gegebenenfalls zu beheben. Bihl+Wiedemann ist sich der Verantwortung bewusst und handelt schon heute entsprechend.

Wie werden Ersatzteile gehandhabt?

Produkte mit Nachfolgemodellen können weiterhin unverändert als Ersatzteile bezogen werden und fallen somit nicht unter die Anforderungen des CRA. Diese Ersatzteile dürfen im Rahmen eines 1:1-Austauschs in bestehenden Anlagen verwendet werden, solange sie ihren ursprünglichen Zweck erfüllen. Alle benötigten Geräte können Sie bei uns weiterhin beziehen.

Was empfehlen wir für neue Projekte?

Für neue Projekte bieten wir Produkte an, die schon heute viele Anforderungen der CRA-Richtlinie erfüllen. Das wichtigste Feature ist hierbei das „Secure Firmware Update“, womit sich alle ASi-5/ASi-3 Gateway im Feld updaten lassen.

Der CRA konzentriert sich auf die Sicherheit von Produkten mit digitalen Elementen. Hersteller solcher Produkte müssen über den gesamten Produktlebenszyklus hinweg Cybersicherheitsaspekte berücksichtigen.

Die NIS2-Richtlinie zielt hingegen auf die Sicherheit von Diensten und Infrastrukturen in wesentlichen und kritischen Bereichen ab.

Der Update-Prozess bei Bihl+Wiedemann Komponenten folgt der Prämisse: Die System-Integrität muss stets gewährleistet sein.

Integrität von Daten ist eine verbreitete Grundforderung in Automatisierungssystemen. Mit zunehmender Vernetzung der Geräte ist diese Forderung jedoch nicht mehr ausreichend. Vielmehr muss die Integrität des gesamten Systems gewährleistet sein, nicht nur die Übertragung, sondern auch die Soft- bzw. Firmware der einzelnen Komponenten.

ZVEI e. V., der Verband der Elektro- und Digitalindustrie, hat in einem Whitepaper zusammengefasst, worauf es beim Thema Integrität ankommt

• Updates spielen eine wichtige Rolle, um sicherheitsrelevante Schwachstellen in Komponenten zu beseitigen
• Updates müssen vor dem Einspielen auf ihre Integrität und Authentizität geprüft werden (vor allem, um Veränderungen durch mögliche Angreifer auszuschließen)
• Falls die Integrität verletzt ist, darf das Update nicht eingespielt werden
• Einfache Prüfsummen bieten keinen Schutz vor absichtlichen Veränderungen durch Angreifer, da diese ebenfalls manipuliert werden können
• Signaturen oder schlüsselbasierte, kryptografische Hashfunktionen schützen wirksam gegen eine Veränderung der Prüfsumme

Unsere Maßnahmen berücksichtigen konsequent die Vorgaben von ZVEI. Wie wir Ihre Sicherheit im Update-Prozess zuverlässig gewährleisten:

• zertifikatsbasierte Ende-zu-Ende-Verschlüsselung zwischen dem Update-Server und dem zu aktualisierenden Gerät
• Ende-zu-Ende-Verschlüsselung verhindert das Einschleusen von Schadsoftware in Bihl+Wiedemann Geräte
• Abgleich mit dem Server sorgt für die Entdeckung veralteter Firmwarestände
• Das TÜV-geprüfte Verfahren ist auch für Firmware bei Safety Produkten zugelassen

Diese Normenreihe ist unserer Meinung nach die zur Zeit beste Norm für Security im Bereich Industrial Automation and Control Systems (IACS). Es ist davon auszugehen, dass eine Weiterentwicklung dieser Normen für den CRA harmonisiert, d.h. als Stand der Technik gemäß CRA akzeptiert wird. Die Normenreihe sieht je nach Gefährdung unterschiedliche Security Level (SL) vor, die sich in der Stärke der Schutzmaßnahmen unterscheiden. Vermutlich werden Geräte der höheren Einstufung nach CRA (kritische oder wichtige Produkte) dann höhere SLs erfüllen müssen.

Sowohl ASi-3 als auch ASi-5 haben spezielle Kommunikationsmethoden, die sehr schwierig abzuhören und zu analysieren sind. Dies ist im Falle von ASi-3 durch die spezifischen sin² Impulse und im Falle von ASi-5 durch das angepasste OFDM-Verfahren (Orthogonal Frequency-Division Multiplexing) gewährleistet.

Diese Verfahren machen ASi weitaus abhörsicherer als vorhandene industrielle Ethernet-Protokolle, die durch handelsübliche Netzwerk-Komponenten abgehört werden können.

Verwendet Bihl+Wiedemann Open Source-Software in Geräten?

In einigen unserer Geräte werden unter anderem auch Open Source-Komponenten verwendet.

Alle Software-Komponenten werden sorgfältig ausgewählt, intern qualifiziert und geprüft und ihre Funktion durch abschließende Qualitätstests in den Geräten nachgewiesen.

Bei einem Update von Komponenten wird jede Änderung ebenfalls geprüft und die betreffenden Komponenten neu bewertet sowie die Funktion des Gerätes erneut getestet.

Software sendet keine Informationen nach außen

In den Geräten sind keinerlei Dienste implementiert, welche interne Daten an dritte Server übertragen.

Abgesehen von den beworbenen Möglichkeiten einer passwortgeschützten (Fern-)Wartung existieren keine verstecken Wartungs- und Fernzugänge, über die passiv oder aktiv Gerätedaten weitergegeben werden.

Bei den ASi-5/ASi-3 Gateways lassen sich die Zugänge auch separat direkt am Gerät abschalten.

Sollten wir eine Schwachstelle in der Software bei einem oder mehreren Geräten finden, werden die Lagerbestände sofort gesperrt und überprüft, sodass keine weiteren Geräte ausgeliefert werden bevor die Schwachstelle nicht behoben wurde.

Bei den neueren Geräten bieten wir seit 2019 die Möglichkeit, dass auch Kunden schon erhaltene Geräte selbst updaten können. Wir bieten ein Firmware-Update auch für sicherheitsrelevante Firmware in einem TÜV-geprüften Verfahren an.

Sollten uns Security Probleme auffallen, dann werden alle Kunden zeitnah informiert.