Cyber-Security
Die zunehmende Vernetzung von IT- und OT-Systemen innerhalb sowie über die Grenzen von Produktionsstätten hinweg erhöht den Bedarf an Cyber-Sicherheit in Produktionssystemen. Cyber-Sicherheit spielt daher eine entscheidende Rolle in industriellen Kommunikationssystemen und ist ein wichtiger Aspekt bei der Entwicklung von Automatisierungskomponenten geworden. Aus Gründen der Effizienz muss ein Sicherheitskonzept für Cyber-Security standardisiert sein und sich über alle Ebenen eines Fertigungsunternehmens erstrecken – von der OIT bis zur IOT.
Um den schnell wachsenden Cyber-Sicherheitsanforderungen gerecht zu werden, hat PI Aktivitäten für Cyber-Security in mehreren Arbeitsgruppen über verschiedene PI-Technologien hinweg initiiert. Sicherheitsrelevante Erweiterungen sind bereits in der PROFINET-Spezifikation berücksichtigt. Die Sicherheitsexperten von PI arbeiten eng mit dem TÜV Süd zusammen, um die Konformität mit dem Sicherheitsstandard IEC 62443-4-2 sicherzustellen.
Da jedoch nicht nur die Ethernet-basierte Kommunikation, sondern auch andere industrielle Kommunikationstechnologien wie IO-Link und PROFIBUS Sicherheitsbedrohungen ausgesetzt sein können, müssen auch diese berücksichtigt werden.
PI-Technologien – Überblick über Security-Aktivitäten
PROFINET
Security
PI Working Group CB/PG 10: PROFINET Security
- Zweck: Die CB/PG10 Security entwickelt Sicherheitsmechanismen für PROFINET und stellt Leitlinien, Dokumentationen und Best Practices für die PROFINET-Security bereit.
- Ressourcen: PROFINET-Spezifikation mit Security Funktionen, Implementierungs-und Nutzungsrichtlinien, Test Bundle zur Prüfung und Verifizierung von PROFINET-Security, Whitepaper
- Zielgruppe: Technologieanbieter und Gerätehersteller, die PROFINET-Komponenten und -Systeme entwickeln und produzieren sowie Maschinenbauer.
- Aktivitäten: Verbesserung des Protokoll- und Sicherheitskonfigurationsmanagements (z. B. Migration zu modernen TLS-Versionen); Verbesserung der sicheren Kommunikation über alle Schichten hinweg, einschließlich der vertikalen Integration;Vorbereitung auf die Post-Quantum-Kryptografie und langfristige kryptografische Agilität; Verbesserung der Update- und Lebenszyklussicherheit für Geräte und Software; Definition sicherer Modelle für das Geräte-Onboarding.
- Geplant: Whitepaper zu Cyber-Security für PROFINET für Anwender
Interop Testfield
AdHoc WG: PROFINET Security Interop Field Test for Ethernet APL and PROFINET
- Zweck: Koordinierung eines Interoperabilitäts-Feldtests für PROFINET Security für PROFINET-Feldgeräte in der Prozesautomatisierung, sowie Switches, Controller und DCS-Anbieter mit PN-Security-Fähigkeit mit Schwerpunkt Ethernet-APL-Geräte.
- Ressourcen: Präsentation "Security and PROFIsafe for PROFINET over APL"
- Zielgruppe: Anwender sowie Technologiehersteller, Gerätehersteller und Systemhersteller aus dem Bereich Prozessautomatisierung
- Aktivitäten: Untersuchung der Funktionalität und Nutzbarkeit von Workflows und Anwendungsfällen für eine PROFINET-Sicherheitsanwendung, z. B. Credentialing, sicheres Onboarding, Kommunikationsaufbau, Gerätetausch, Firmware-Update und Identitäts- sowie Zugriffsmanagement.
- Geplant: Veröffentlichung von Testergebnissen und Erkenntnissen zur Integration von PROFINET-Geräten in die Leitsysteme (frühestens Ende 2026)
Device/Tool Security
JWG: Device and Tool security for Ethernet-based communication protocols
Die Standardisierungsorganisationen FieldComm Group, ODVA, OPC Foundation und PROFIBUS & PROFINET International haben eine gemeinsame Arbeitsgruppe (Joint Working Group, JWG) zum Thema „Device and Tool security for Ethernet-based communication protocols“ etabliert, um gemeinsam an diesem wichtigen Thema zu arbeiten.
- Zweck: Einheitliche Interpretation und Implementierung von Cyber-Security in Ethernet-basierte Protokolle.
- Ressourcen: Call for Experts
- Zielgruppe: Anwender, sowie Technologie-und Gerätehersteller
- Geplant: Entwicklung eines Frameworks für Anbieter und Endanwender, um den Anforderungen der Industrie gemäß den Normen IEC 62443 und IEC 61784-6 (Teil 6: Sicherheit) gerecht zu werden und bei Bedarf Aktualisierungen zu empfehlen.
Zusätzliche Quellen:
Whitepaper: Security-Erweiterungen für PROFINET
In diesem Dokument wird zunächst die Motivation und das Vorgehen bei der Entwicklung eines Sicherheitskonzepts beschrieben. Im Anschluss werden die Sicherheitsanforderungen und die Akteure im Sicherheitsprozess bestimmt. Danach werden die Grundprinzipien der PROFINET-Sicherheit erläutert.
PROFINET-Security Leitfaden
Die Security-Leitlinie zeigt die wesentlichen Aspekte für die Erstellung eines Sicherheitskonzepts im industriellen Umfeld auf und gibt entsprechende Empfehlungen. Die im November 2013 erschienene Leitlinie (Bestellnummer 7.001, 7002) wird durch eine aktualisierte Richtlinie ersetzt, die sowohl das PROFINET-Sicherheitskonzept als auch die Anforderungen der IEC 62443 berücksichtigt.
PROFINET Security-Klasse 1: Leitfaden
Dieses Dokument soll einen Überblick über die geplanten Methoden, Anwendungen und Prozesse der PROFINET-Security-Erweiterung der Klasse 1 geben. Es richtet sich an Komponentenhersteller, Systemanbieter und Anwender der PROFINET-Technologie.
PI-Whitepaper: OT-Security – Klassifizierung der IEC 62443
Dieses Whitepaper gibt zunächst einen Überblick über die verschiedenen Teile der Normenreihe IEC 62443 und beschreibt kurz deren Inhalte. Anschließend werden die Normteile den Akteuren im OT-Sicherheitsprozess zugeordnet. Im Bereich der Operational Technology (OT) sind dies die Anlagenbetreiber, Systemintegratoren und Produktlieferanten. Aufbauend auf diesen Überlegungen wird das Sicherheitskonzept von PROFINET auf die verschiedenen Teile der IEC 62443 abgebildet.
Mehr lesen
IT Security-Erweiterungen für PROFINET
Karl-Heinz Niemann
Dieser Beitrag wurde auf der 17. Internationalen Konferenz für industrielle Informatik (INDIN) 2019 vorgestellt. Es bietet einen Überblick über die PROFINET-Sicherheitskonzepte.
Mehr lesen
Security-Erweiterungen für PROFINET: Konzepte, Status und Perspektiven
Karl-Heinz Niemann, Andreas Walz, Axel Sikora
Dieser Beitrag wurde auf der „Embedded World 2023 Exhibition & Conference” vorgestellt. Er beschreibt die technologischen Konzepte der PROFINET-Security.
Ein Mechanismus zur nahtlosen kryptografischen Neuverschlüsselung in Echtzeit-Kommunikationssystemen
Heiko Bühler, Andreas Walz, Axel Sikora
Der Beitrag wurde auf der 17. IEEE-Konferenz „Factory Communication Systems“ (WFCS 2021) vorgestellt. Es stellt einen neuartigen Ansatz zur nahtlosen Neuverschlüsselung vor, der in den zyklischen Datenaustausch von Anwendungen eingebettet werden kann. Der entwickelte Demonstrator ist zwar unabhängig vom zugrundeliegenden Echtzeit-Kommunikationssystem, kann jedoch das weit verbreitete industrielle Ethernet-System PROFINET IO emulieren und diesen Re-Keying-Mechanismus erfolgreich nutzen.
PROFINET Security: Ein Überblick über ausgewählte Konzepte für eine sichere Kommunikation in der Automatisierungstechnik
Andreas Walz, Karl-Heinz Niemann, Julian Göppert, Kai Fischer, Simon Merklin, Dominik Ziegler, Axel Sikora
Der Beitrag wurde auf der „21st International Conference on Industrial Informatics (INDIN)” im Jahr 2023 veröffentlicht. Es bietet einen kurzen Überblick über die kryptographischen Sicherheitserweiterungen für PROFINET, wie sie von PROFIBUS & PROFINET International (PI) definiert und spezifiziert wurden.
So entwickelt man ein sicheres PROFINET-Gerät: Organisatorische und technische OT-Sicherheitsmaßnahmen bei der Entwicklung von PROFINET-Geräten
Karl-Heinz Niemann, Andreas Walz, Simon Merklin, Andreas Ziegler, Boris Waldeck
Dieser Artikel erschien ursprünglich im atp-Magazin 09/2023. Er zeigt, welche technischen und organisatorischen Maßnahmen bei der Entwicklung eines PROFINET-Geräts, das PROFINET Security unterstützt, zu beachten sind. Als Beispiel dient ein Ethernet-APL-Transmitter. Auf dieser Grundlage werden Anforderungen an die sichere Gestaltung der Ethernet-APL-Kommunikation in Verbindung mit PROFINET abgeleitet.
Mehr lesen
OT-Sicherheitsanforderungen für Ethernet-APL-Feldgeräte
Karl-Heinz Niemann, Simon Merklin
Dieser Beitrag wurde im atp-Magazin 05/2022 veröffentlicht. Darin werden Angriffsszenarien auf die Cybersicherheit von Automatisierungssystemen beschrieben, die Stromschleifen mit HART, PROFIBUS PA und Ethernet APL in Kombination mit PROFINET verwenden.
Kryptographischer Schutz der zyklischen Echtzeitkommunikation in Ethernet-basierten Feldbussen. Wie viel Hardware wird benötigt?
Matthias Skuballa, Andreas Walz, Heiko Bühler, Axel Sikora
Dieser Beitrag wurde auf der 26. „IEEE International Conference on Emerging Technologies and Factory Automation“ (ETFA) im Jahr 2021 vorgestellt. Es bewertet die Leistung des EAS-GCM-Algorithmus, der für die PROFINET-Sicherheit eingesetzt wird.
IO-Link
Secure Deployment
IO-Link Secure Deployment Guideline
- Zweck: Unterstützung der Endanwender bei der Beurteilung und Umsetzung von Sicherheitsmaßnahmen für Cyber-Security für die Nutzung von IO-Link.
- Ressourcen: IO-Link Secure Deployment Guideline
- Zielgruppe: Anwender, sowie Technologie- und Gerätehersteller
- Aktivitäten: Derzeit sind keine weiteren Aktivitäten geplant.
Secure Design and Development
IO-Link Secure Design and Development Guideline (in Arbeit)
- Zweck: Unterstützung von Entwicklern und Implementierern von IO-Link-Produkten bei der Interpretation der Sicherheitsstandards.
- Aktivitäten: Ein Leitfaden ist in Entwicklung.
- Zielgruppen: Technologiehersteller, Gerätehersteller
- Aktivitäten: Abschluss der redaktionellen Arbeit am Entwicklungsleitfaden.
Non-Ethernet-Protokolle
Device/Tool Security
JWG: “Device / tool security for non-Ethernet-based protocols”
- Zweck: Einheitliche Interpretation und Implementierung von Cyber-Sicherheit in unseren digitalen Schnittstellen einschließlich der Tools für Non-Ethernet-basierte Protokolle.
- Ressourcen: Call For Experts
- Zielgruppe: Technologiehersteller, Gerätehersteller und Anwender
- Aktivitäten: : High-Level-Risikobewertung von Cyber-Security-Bedrohungen für Prozessautomatisierungsanlagen und die jeweiligen digitalen Schnittstellen.
omlox
omlox Hub
omlox Hub Spec with Security Recommendations (chapter 17)
- Zweck: Die omlox Hub API gewährleistet durch eine robuste Kombination aus OAuth-basierter Authentifizierung (z. B. über OpenID), fein abgestufter Autorisierung und rollenbasierter Zugriffskontrolle (RBAC) einen sicheren und kontrollierten Zugriff auf unternehmenskritische Standortdaten. Durch die Überprüfung der Identität von Benutzern und Anwendungen über branchenübliche OAuth-Protokolle sowie die Durchsetzung rollenspezifischer Berechtigungen stellt das System sicher, dass nur autorisierte Stellen auf sensible Standortdaten zugreifen oder diese ändern können. Dieses mehrschichtige Sicherheitsmodell schützt nicht nur vor unbefugtem Zugriff und Missbrauch, sondern bildet auch eine zukunftssichere Grundlage, die den EU Cyber Resilience Act (CRA) berücksichtigt. Somit stellt es das ideale Toolset zur Erfüllung der strengen Anforderungen an sichere, vernetzte Systeme in industriellen Umgebungen dar.
- Ressourcen: omlox Hub Spec with Security Recommendations (chapter 17)
- Zielgruppe: Endanwender
- Aktivitäten: Anpassung von PI Security an den omlox-Kernbereich für sichere Ultrabreitbandkommunikation und -ortung (geplant).
NOA
Security
JWG "NOA Security-Validation“ (planned)
- Zweck: Die JWG sammelt Spezifikationen, die in anderen Cyber-Sicherheits-Arbeitsgruppen entwickelt wurden und validiert sie anhand von NOA-Anwendungsfällen.
- Ressourcen: NE 175: NAMUR Open Architecture – NOA Concept; NE 177 – NOA Security Zones and Security Gateway
- Zielgruppe: Technologiehersteller, Gerätehersteller und Anwender
- Aktivitäten: Zunächst findet ein Kick-off-Meeting für die JWG-Leiter des neuen NOA-Committees CF statt. Anschließend wird ein Call-for-Experts veröffentlicht.