Embedded-Security im IoT-Zeitalter

IoT-Anbieter verfügen meistens über wenig Erfahrung mit Security und unterschätzen deshalb die zahlreichen IT-Probleme. So fehlt beispielsweise oftmals eine Update-Strategie für die Behebung von Sicherheitslücken. Zudem müssen sich Firmen auf Veränderungen einstellen und das Produkt auch in Zukunft unter dem Aspekt Sicherheit betreuen. So waren Steuerungssysteme in der Industrie beispielsweise nicht darauf ausgelegt, sich mit dem Internet zu verbinden – da es das Internet zum Zeitpunkt der Herstellung noch gar nicht gab. Heutzutage müssen Updates über das Internet verteilt und installiert werden.

Ein weiteres Problem: Viele Entwickler nutzen Open-Source-Libraries etwa für die Programmierung von Secure Sockets Layer (SSL). Wenn es dort Schwachstellen gibt und die Libraries aktualisiert werden, müssen die Unternehmen die Veränderungen in ihre Software übernehmen und an den Nutzer weitergeben.

Verantwortliche sollten daher die folgenden Sicherheitstipps für den IoT-Bereich beachten:

• Security by Design und sichere Entwicklung gemäß ISO 27034, den Microsoft Security Development Lifecycle oder den OWASP-Top-10-Listen sollte Standard sein.
• Einsatz stärkerer Passwörter sowie Verzicht auf Standardpasswörter.
• Passwörter im Backend niemals im Klartext speichern.
• Nur moderne WLAN-Sicherheitsverfahren nutzen (WPA2 als Standard, kein WEP).
• Langfristige Update-Strategie zum Schließen von Sicherheitslücken auf den Endgeräten und im Backend.
• Kryptografie-Schlüssel nicht im Code ablegen, sondern in spezieller Hardware wie TPM- oder Crypto-Chips.
• Verschlüsselte Verbindung zum Backend mit Key Exchange und Verifizierung über Passwort und Zertifikate, um Man-in-the-Middle-Attacken zu verhindern.
• Bewährte Standards, Frameworks und Bibliotheken nutzen (Verschlüsselung nicht selbst programmieren).
• Least Privilege: Rechte auf die zentralen Funktionen beschränken.

Cyberschutz industrieller Steuerungssysteme

Wenn über Cybersicherheit von IoT-Geräten und -Verbindungen gesprochen wird, darf der Schutz industrieller Steuerungssysteme nicht fehlen. Egal ob Automationsprozesse in Raffinerien, Smart Grids, mobilen Automationssystemen oder der Fabrikautomation großer Produktionsanlagen, sie alle können gehackt und somit zum Ziel von Cyberangriffen werden.

Doch wie verpasst man solchen kritischen Systemen einen passenden IT-Schutz? Die für IoT-Komponenten aufgeführten Sicherheitsaspekte greifen zu kurz. Ein großes Problem beim Cyberschutz industrieller Steuerungssysteme ist, dass sich ein Security-Update nachträglich schwer realisieren lässt. Bei der Entwicklung neuer Systeme sollten daher Security-by-Design und eine professionelle Cybersicherheitsstrategie Standard sein.

Dies wird in einem umkämpften Markt wie der Industrieautomation oftmals vernachlässigt. Das geschieht auch deshalb, weil immer häufiger Drittanbieterlösungen bei Betriebssystemen, Echtzeit-Engines, Kommunikations- und Fieldbus-Protokoll-Stacks sowie Logic Engines zum Einsatz kommen, die per se Software-Schwachstellen aufweisen und industrielle Steuerungssysteme daher anfällig für Cyberangriffe machen.

Die meisten Softwaretechnologien sind im Embedded-Bereich von Haus aus nicht sicher. Ein Beispiel ist der ausführende Code von Logic Engines in einem Development System wie dem Tool IEC 61131. Die Qualität, die Stabilität, die Performance sowie die schnelle Markteinführung haben meist Priorität, was zu Lasten der Cybersicherheit geht. Hinzu kommt, dass vielen Herstellern die Expertise fehlt, um ein industrielles Steuerungssystem gegen Internetbedrohungen zu immunisieren.

Was ist also zu tun? Im ersten Schritt sollte das System in Kombination mit spezieller Software neu aufgesetzt werden. Die eingebettete Software muss auf verschiedene Domains verteilt werden und als ein anderer Prozess laufen. Die Kommunikation unter den Prozessen muss über ein spezielles Sicherheitssystem laufen, das jegliche Kommunikation hinsichtlich der vordefinierten Sicherheitsrichtlinien kontrollieren kann.

Ein Produkt zur Absicherung industrieller Automatisierungsprozesse haben Kaspersky Lab und BE.services vorgestellt. Die Lösung „Embedded Security Shield“bietet Schutz für SPS (Speicherprogrammierbare Steuerungen) beziehungsweise RTUs (Remote Terminal Unit), die auf der Technologie Codesys basieren. Basis der Lösung ist Kaspersky Security System, eine Plattform zum Schutz sicherheitskritischer Aufgaben und Infrastrukturen. Das System steht Anbietern auch als OEM-Komponente zur Verfügung. Mit der Security-Plattform können industrielle Kontrollsysteme abgesichert werden, unabhängig von der verwendeten Software-Technologie.