Härtung von Authentifizierungsmaßnahmen
Bei der Einführung von neuartigen Vernetzungskonzepten für die Industrie 4.0 fällt insbesondere der Ende-zu-Ende Sicherheit (E2E) eine entscheidende Rolle zu. Im Unterschied zu etablierten Schutzkonzepten, findet bei E2E die Authentifizierung von empfangenen Nachrichten auf der Seite der direkten Empfänger statt. Dadurch werden Angriffe durch zwischengeschaltete Stationen vermieden.
Auf Ebene des Internet-Protokolls (IP) kann eine E2E Sicherheit mittels vielen Protokollerweiterungen erreicht werden. Um eine vollständige E2E Sicherheit zu erreichen, muss die Authentizität der Verbindung bei beiden Kommunikationspartnern geprüft werden. Die Kommunikation in industriellen Infrastrukturen ist hier überwiegend in Client/Server Modellen abgebildet, in welcher sehr oft Transport Layer Security (TLS) zum Schutz der Kommunikationskanäle zum Einsatz kommt. Auf der Seite des Clients erfolgt die Überprüfung der Authentizität des Servers meist über kryptographische Verfahren, welche auf Zertifikaten aufbauen. Die Überprüfung der Authentizität des Clients gegenüber der jeweiligen Server-Ressource erfolgt oft über eine sehr viel schwächere Passwort-Authentifikation.
Diese sehr häufig verwendete Kombination aus Zertifikaten und Passwörtern stellt allerdings nur so lange eine Sicherheit des Kanals sicher, so lange die Authentizität des Servers über Zertifikatsprüfung sichergestellt ist.
Um den kompletten Netzwerkverkehr analysieren zu können, werden in zunehmenden Maße Verfahren in die industriellen Netzwerke eingebracht, welche die TLS Verbindungen aufbrechen und damit die erstrebte E2E Sicherheit aufheben. Da TLS nach dem aktuellen Stand der Technik als sicher zu bewerten ist, greifen diese Verfahren an der Zertifikats-basierten Server-Authentifikation an, um ein Abhören der TLS geschützten Kommunikation zu ermöglichen. Die erarbeiteten Vorteile eine TLS geschützten Verbindung (E2E Schutz), werden unterlaufen.
Der Einsatz von Client-Zertifikaten als technischer Schutz gegen diese Abhörmaßnahmen ist wegen des zusätzlichen Aufwandes im Bezug auf die Zertifikatsverwaltung für viele industrielle Anwendungen oft keine Option.
Im Rahmen von IUNO wurde ein Verfahren erarbeitet, welches die Sicherheit von Fernwartungsverbindungen bewerten kann. Es ermöglicht die Analyse, ob eine mit TLS abgesicherte Kommunikation tatsächlich einen Ende-zu-Ende Schutz gewährleistet. Die Lösung benutzt hierfür einen zusätzlichen Kommunikationskanal und QR-Technologie über ein Smartphone. Dazu fließen sowohl eine serverseitig stets neu generierte Sitzungs-ID als auch ein individuell extrahierter TLS Sitzungswert in die Generierung einer speziellen Einmalverschlüsselung ein, deren Eigenschaften und Echtheit geprüft werden kann.
Referenzen
Die genauen Details sowie das komplette Verfahren werden auf der „IEEE 1st International Conference on Data Intelligence and Security“ im April 2018 präsentiert. Im Anschluss an die Konferenz steht das 8-seitige Paper auf der Online Proceedings Plattform der IEEE zum Download bereit.