Cyber-Security @IoP
Das Thema Sicherheit in der Produktion hat im Kontext des Internet of Production (IoP) einen wichtigen Stellenwert. Denn sobald Produktionsmaschinen untereinander und mit dem Internet vernetzt werden und hierdurch vielfältige Kommunikationswege entstehen, ergeben sich nicht nur die immensen Vorteile vernetzter Produktion – sondern auch neue Herausforderungen beim Schutz dieser sensiblen Daten und der entsprechenden Infrastruktur. Im Rahmen der Exzellenzclusterforschung befassen sich die beiden Wissenschaftler Jan Pennekamp und Markus Dahlmanns mit dem wichtigen, dennoch teilweise unterschätzten Thema Sicherheit, welches gleichermaßen Daten, deren Verarbeitung, Anlagen und Netzwerke betrifft.
Die Absicherung von Produktionsnetzwerken mithilfe angemessen konfigurierter Sicherheitsprotokolle ist für Unternehmen essentiell, um Wirtschaftlichkeit und Konkurrenzfähigkeit beizubehalten und zum Beispiel sensible Kundendaten zu schützen. Das Thema erhält allerdings noch nicht immer die gebotene Aufmerksamkeit und Unternehmen sind gelegentlich nicht ausreichend darüber informiert, wie sie ihre Netzwerke konkret schützen können. Bereits Ende 2020 sensibilisierte ein Forscherteam im Rahmen des Internet of Production ein Paper mit dem Titel „Easing the Conscience with OPC UA“ (dt.: „Das Gewissen mit OPC UA erleichtern“) für dieses Thema und zeigte mit seiner hohen Sichtbarkeit das Diskussionspotenzial des Themas sichere Kommunikationsprotokolle auf. Zurecht, wenn man sich die potenziellen Konsequenzen unsicherer Kommunikationswege in einem Unternehmen mit zahlreichen vernetzten Produktionsmaschinen vor Augen führt. Pennekamp und Dahlmanns geben Auskunft über spezifische Herausforderungen der IT-Sicherheit im Unternehmen und die nötige Awareness, die Firmen benötigen, um ihre Daten abzusichern.
OPC UA steht für “Open Platform Communications Unified Architecture”. Hierbei handelt es sich um ein Kommunikationsprotokoll, eine Sammlung von Standards für den Datenaustausch in der Industrieautomation. Es gehört zu den wichtigsten Protokollen im Rahmen der Industrie 4.0. und ermöglicht den standardisierten Zugriff auf Maschinen, Geräte und andere Systeme im industriellen Umfeld. Diese Art der Kommunikation ist plattformübergreifend und ermöglicht damit einen herstellerunabhängigen Datenaustausch. Der Sicherheitsstandard ist hoch - es kann hier beispielsweise bei der netzwerkübergreifenden Kommunikation ein Zertifikatsaustausch zum Einsatz kommen, so dass sich jeder Client eindeutig vor dem Zugriff per Zertifikat authentifizieren muss.
Jan arbeitet wie Markus am Lehrstuhl Informatik 4: Kommunikation und verteilte Systeme in der Informatik (COMSYS) als Wissenschaftler im Exzellenzcluster Internet of Production. Jan ist dort Leiter des Workstreams A.I. „Dort befassen wir uns mit der Infrastruktur eines Internet of Production, das heißt wir schauen uns die Datenverarbeitung an. Oder konkret: Wie werden Informationen erfasst, dann in der Edge oder im Netzwerk verarbeitet, bis sie dann in unserem sogrannten „Data Lake“ landen. Dazu schauen wir uns aber auch den Informationstransfer z.B. konkret zwischen Unternehmen an. In diesem Kontext geht es nicht nur um Datensicherheit, sondern auch um Netzwerksicherheit allgemein, da nun Maschinen an das Internet angeschlossen werden, die vorher isoliert in eigenen Netzwerken betrieben wurden, weshalb entsprechende Sicherheitsanforderungen meist nicht existierten. Ich befasse mich im Kern mit dem Thema Sicherheit (Security) und Privatsphäre (Privacy), vor allen Dingen mit dem Austausch von Daten über Firmengrenzen hinweg. Themen wie Netzwerksicherheit und ähnliche Aspekte rund um das große Thema „Security“ waren bereits in meinem Studium einer meiner Schwerpunkte.
Ich war bereits während meiner Zeit als studentische Hilfskraft in einem Projekt in diese thematische Richtung der Privacy unterwegs, in dem wir die Cloud-Nutzung auf Smartphones analysiert haben. Da ging es um den Nutzerschutz und darum, dass wertvolle persönliche Informationen preisgegeben werden. Analog habe ich dann selbst auch als Student bei einer Research Focus Class mitgemacht, bei der Studenten bereits eigenständige Forschungsaufgaben übertragen werden. Dort ging es um das Schützen von DNA-Informationen während der Analyse von Ärzten in der Cloud. Wir haben als Team mit mehreren Studierenden an einem medizinisch-informatischen Wettbewerb in Amerika teilgenommen und den zweiten Platz erlangt. Die Techniken sind recht ähnlich zu dem, woran ich heute arbeite und forsche. Im Consumerbereich oder im Industriebereich gibt es natürlich spezifische Besonderheiten, beteiligte Stakeholder, deren Interessen und auch die Datenmengen unterscheiden sich. Aber der Fokus meiner Forschung ist relativ ähnlich geblieben, nur, dass es jetzt um ein anderes Anwendungsgebiet geht. Das Gute an diesem Feld ist, dass hier noch relativ viel möglich ist, da noch nicht so viele Ansätze bestehen. Im Produktionskontext ist es eine eher noch junge Forschungsrichtung.
Die zugrundeliegenden Bausteine vom Secure Computing oder Confidential Computing, die wir nutzen sind gleich. Sie versprechen zum Großteil Sicherheit und Privatsphäre „by Design“, wenn man sie richtig verwendet. Dann werden nur die Informationen preisgegeben, die man auch hergeben möchte. Das ist im Gesundheits- und Industriebereich natürlich gleich. Im HealthCare-Bereich sind es sensible Patientendaten, im Industriebereich können es vertrauliche Parameter für Maschinen sein, die ich der Konkurrenz nicht preisgeben möchte. Gleichermaßen könnte ich aber dennoch als Unternehmen Interesse daran haben, spezifische Daten mit ausgewählten Empfängern zu teilen, um Prozesse zu optimieren, z.B. bei der Abstimmung von Lieferketten.“
Wie kommen Sicherheitsprotokolle wie OPC UA ins Spiel?
Jan Pennekamp: „In der Vergangenheit waren Industrienetze von Büronetzen getrennt, da es wenig bis keine Gründe gab, Informationen zwischen diesen auszutauschen. Mit der fortschreitenden Digitalisierung verschwimmen die Grenzen dieser Netzwerke und Daten werden auch zwischen ihnen zunehmend ausgetauscht. Ein Problem hierbei ist, dass in diesen Industrienetzen teilweise sehr alte Protokolle laufen, die keinerlei Sicherheitsstandards bieten, wodurch Risiken von Cyberangriffen und Datenlecks existieren - gerade im Hinblick auf ein Internet of Production, bei den Informationen, Maschinen und Daten auch global zugänglich sein sollen.
In der Vergangenheit wurden die Protokolle also nicht mit Sicherheit im Hinterkopf entworfen, da es aufgrund der Anwendungsszenarien nicht benötigt war. Durch die globale Vernetzung von Maschinen und Unternehmen wird es nun notwendig, dass auch die Sicherheit berücksichtigt wird. Ein Kandidat hierfür ist OPC UA, wo Sicherheit explizit eine Rolle beim Design gespielt hat und somit auch heutigen Sicherheitsanforderungen genügt.“
Sein Kollege Markus Dahlmanns, auch im Workstream A.I, ist ebenfalls Experte für das Thema Network Security im Rahmen des IoP und konzentriert sich vor allem auf entsprechende Protokolle, u.a. vor allem bezüglich OPC UA. „OPC UA ist dabei im Vergleich zu anderen Protokollen relativ neu und erst seit 2008 in Benutzung. Es entfaltet seine Relevanz vor allem für die moderne Industriekommunikation, weil verschiedene Hersteller beteiligt sind.“
Welche Herausforderungen ergeben sich bei der Verwendung von OPC OA?
Jan Pennekamp: „Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zertifiziert, dass OPC UA ‚Security by Design‘ bietet. Das bedeutet, dass der Sicherheitsaspekt bereits in der Produktentwicklung mitgedacht wird und in den Lebenszyklus des Produktes eingefügt wird. In diesem Fall heißt das, das Protokoll wurde spezifisch mit Blick auf die Datensicherheit entwickelt. Was OPC UA allerdings nicht bietet ist ‘Security by Default’. Security by Default bedeutet, dass die Sicherheitsaspekte so in das Produkt integriert werden, dass sie ohne extra Konfiguration bereits im Hintergrund mitlaufen und der Nutzer sich nicht selbst um die Einrichtung kümmern muss. Bei OPC UA müssen die Firmen das Protokoll selbst konfigurieren, um es sicher zu nutzen. Unsere Forschung hat gezeigt, dass dies in der Praxis leider nicht immer gelingt.
Was brauchen Unternehmen jetzt, um ihre Nutzung von Angeboten des Internet of Production zu optimieren?
Markus Dahlmanns: „Bei richtiger Einstellung ist OPC UA durchaus sicher: Es erfolgt eine Authentifizierung, also kann sich nicht jeder mit den entsprechenden Geräten verbinden. Zusätzlich ist auch die Kommunikation vor Abhörangriffen und Veränderungen geschützt, wenn das Protokoll korrekt konfiguriert ist. Die Betonung liegt hier allerdings auf dem „wenn“. In der durchgeführten Studie wurde betrachtet, ob Geräte, die via OPC UA aus dem Internet erreichbar waren, entsprechend sicher konfiguriert wurden. Da das häufig nicht der Fall war, lautet die Folgefrage, wie man die festgestellten Konfigurationsfehler künftig verhindern kann. Produktionsanlagen müssen möglichst schnell installiert werden und die Benutzenden, welche die Geräte einstellen, haben oft keine Zeit sich um IT-Security zu kümmern, oder ihnen ist nicht bewusst, welche Auswirkungen die entsprechenden Einstellungen haben. Eine zu erforschende Möglichkeit wäre beispielsweise eine automatisierte Setup-Unterstützung.“
Jan Pennekamp: „Während in der Vergangenheit Konfigurationsentscheidungen hauptsächlich lokale Auswirkungen hatten, kommen durch die Internetanbindung von Maschinen auch globale Auswirkungen hinzu. Das heißt eine sichere Konfiguration von Maschinen und Netzwerken ist unabdingbar, um IT-Sicherheit zu gewährleisten. In diesem Zuge ist es wichtig, dass auch die Unternehmen die nötige Awareness haben, dass eine solche Konfiguration zu jeder Zeit sicher eingestellt sein muss. Um Unternehmen von der Idee eines Internet of Production zu überzeugen, müssen wir natürlich auch die Sicherheit berücksichtigen. Das bedeutet, Unternehmen möchten nicht, dass ihre Daten unkontrolliert abfließen und gleichermaßen möchten sie nicht Opfer von Cyberangriffen werden. In diesem Kontext ist es wichtig, dass wir Lösungen aufzeigen, wie sichere Datenkommunikation im Rahmen eines Internet of Production funktionieren kann, aber eben auch aufzeigen, wie Unternehmen selbstständig prüfen können, ob ihre Netzwerke und Maschinen sicher konfiguriert sind. Und an diesen Sachen arbeiten wir aktuell.”
Wie sieht es denn abseits von OPC UA mit der Sicherheit von Netzwerkprotokollen im Kontext von Anlagen und Produktionsnetzwerken aus?
Markus Dahlmanns: „In einer Nachfolgestudie (Missed Opportunities: Measuring the Untapped TLS Support in the Industrial Internet of Things) haben wir zehn unsichere Protokolle untersucht, zu denen es auch 10 sichere Varianten oder Weiterentwicklungen gibt um zu untersuchen, ob im Falle der Verfügbarkeit von sicheren Versionen auch diese im produktiven Einsatz verwendet werden. Leider zeigt sich auch hier ein ähnliches Bild: Bei den von uns gefundenen Systemen verwenden nur 6,5% die sichere Version des Protokolls. Dabei haben wir bei vielen dieser vermeintlich sicher konfigurierten Systeme ähnliche Probleme wie bei dem zuvor betrachteten OPC UA Kommunikationsprotokoll entdeckt. Auch hier sind Anlagen durch veraltete oder unsichere Konfigurationen nur scheinbar in der Praxis geschützt.“
Jan Pennekamp: „Wir sehen also, dass es noch ein weiter Weg ist, bis Systeme zuverlässig geschützt sind. Um diesen Weg weiterzugehen, sehen wir es zusätzlich als essentiell an, dass Betreiber unterstützt werden ihre Anlagen sicher zu konfigurieren und eben auch sicher zu halten. Neben einem Verständnis dieser Problematik sollten sich Unternehmen idealerweise auch eigenes Wissen und Knowhow aneignen. Wir hoffen, dass zukünftige Studien dann auch entsprechende Fortschritte aufzeigen.”