Internet of Things absichern mit Keynoa
Viele IoT-Geräte schnell und sicher einbinden
Viele Geräte in industrielle Produktionssysteme einzubinden, ist mühsam und birgt IT-Sicherheitsrisiken. Mit der Software Keynoa will das Paderborner Startup Devity diesen Prozess skalierbar, sicher und möglichst automatisert abbilden. Dafür sorgen eindeutige Geräte-Identitäten, die den Assets automatisiert passende Konfigurationen zuteilen.
Damit Unternehmen Sensoren, Steuerungen und Maschinen in Industrieanwendungen nutzen können, müssen diese zunächst dafür bereit gemacht werden. Ein Spezialist konfiguriert das jeweilige Gerät und installiert die erforderlichen Anwendungen. Dabei muss in der Regel eine Verbindung zum Netzwerk hergestellt, eine Anmeldung an Servern erfolgen und ein Kommunikationskanal zu einer Datenplattform aufgebaut werden. Bei letzterem wird überprüft, ob das Gerät als vertrauenswürdig eingestuft werden kann. Dafür muss die Identität der zugreifenden Entität (Gerät und Applikation) festgestellt werden, um den Zugriff auf zulässige Aktionen zu beschränken.
Zertifikate von Herstellern
Anhand des Herstellerzertifikats lässt sich die Echtheit und Herkunft des gelieferten Geräts kontrollieren. Ein Zertifikat belegt die Identitätsinformationen des Geräts kryptographisch. Bei der Installation wird das Herstellerzertifikat durch ein Zertifikat aus dem Betreibernetzwerk getauscht. Um Zertifikate auszustellen, zu verteilen und zu überprüfen, ist eine Public-Key-Infrastruktur (PKI) Voraussetzung. Mit diesen Zertifikaten erhalten Geräte eine eindeutige Kennung, die das Gerät im Produktionssystem authentifiziert und vor Angriffen schützen soll. Digitale Zertifikate ermöglichen die gegenseitige Authentifizierung via TLS zwischen zwei beliebigen Entitäten, die eine gemeinsame Vertrauensbasis haben. Die meisten IIoT-Geräte kommunizieren über Protokolle, die mit TLS gesichert werden können, darunter HTTP, MQTT, AMQP und OPC UA. Auch die Prüfung des Herstellerzertifikats erfolgt wie die restliche Gerätekonfiguration bei der Installation in der Regel manuell, was jedoch langsam, teuer und unsicher ist. Dadurch übersteigen die Installationskosten oft sogar die Kosten für die Hardware. Forscher der Universität Paderborn haben ein Konzept entwickelt, um den Einrichtungsprozess von Zertifikaten sowie die Konfiguration vieler Geräte zu automatisieren. Die neunte Ausgabe von Rockwell Automations „State of Smart Manufacturing“ Report liefert Einblicke in Trends und Herausforderungen für Hersteller. Dazu wurden über 1.500 Fertigungsunternehmen befragt, knapp 100 der befragten Unternehmen kommen aus Deutschland. ‣ weiterlesen
KI in Fertigungsbranche vorn
Vorkonfiguration spart Mühe
Die Erkenntnisse sind in die Hochschulausgründung Devity geflossen, das die Software Keynoa vertreibt. Das System besteht aus einem Geräte-Client und einer Managementsoftware zur Verwaltung von Geräteidentitäten. Mithilfe der Software können IIoT-Geräte vor der physischen Installation vorkonfiguriert werden. So können IIoT-Protokolle wie MQTT, OPC UA oder HTTPS für Geräte mit dem gleichen Einsatzzweck synchron skalierbar eingerichtet und betrieben werden. Zusätzlich bietet die software eine Anbindung an PKI-Systeme und Datenplattformen. Wird ein Gerät aktiv, verbindet es sich mit Keynoa und die Konfigurationseinstellungen werden automatisch installiert. Ein Techniker muss nicht eingreifen.
Ohne proprietäre Technologie
Die Software ist als On-Premises-System auf eigenen Servern sowie als SaaS-Variante bezogen werden. Ein zentrales Gerätemanagement mit automatischer Registrierung in IoT-Clouds und Datenplattformen, Zugriffsverwaltung, Remote-Updates und automatischem Zertifikatsmanagement unterstützen Anwender dabei, ihre Komponenten sicher einzusetzen. Die PKI wird entweder von Devity gestellt oder Firmen nutzen ihre eigenen Systeme. Eine Kompatibilität kann über ein Gerät hergestellt werden, das bereits einen Keynoa-Client installiert hat oder als reine Software in Form eines Docker-Containers, der auf vorhandener Hardware installiert wird. Derzeit arbeitet Devity daran, die Software als App auf industriellen Markplätzen anzubieten. Der Geräte-Client basiert auf offenen IoT-ID-Protokollen und nutzt keine proprietären Technologien. So sollen die Einheiten mit möglichst vielen Assets kompatibel sein. Derzeit arbeitet Devity vor allem mit deutschen Sensor- und Steuerungsherstellern zusammen. Der Thin[gk]athon, veranstaltet vom Smart Systems Hub, vereint kollaborative Intelligenz und Industrie-Expertise, um in einem dreitägigen Hackathon innovative Lösungsansätze für komplexe Fragestellungen zu generieren. ‣ weiterlesen
Innovationstreiber Thin[gk]athon: Kollaborative Intelligenz trifft auf Industrie-Expertise
Option für Gerätehersteller
Auch Gerätehersteller können den Client einfach integrieren. Keynoa erzeugt während der Produktion für jedes Geräte eine eindeutige Identität, die kryptografisch gebunden und dem Gerät eindeutig zuzuordnen ist. Um die Identität hardwarebasiert zu sichern, empfiehlt das Paderborner Startup seinen Partnern den Einbau eines Trusted Plattform Module (TPM) oder vergleichbaren Hardwaresicherheits-Chips. Eine derart gesicherte Identität attestiert die Integrität des Geräts innerhalb der Lieferkette und bietet die notwendige Grundlage für den automatischen Bereitstellungsprozess. Vor der Versendung wird außerhalb des Geräts ein digitaler Eigentumsnachweis erstellt. Mit diesem digitalen Dokument kann sich der Besitzer des Geräts später im Bereitstellungsprozess ausweisen. Den Eigentumsnachweis erhält der Besitzer beim Kauf der Hardware.
Weltweite Netze verwalten
Die Assets werden in der Software automatisch angelegt und aktuelle Konfigurationen dokumentiert. Die Konfiguration der Geräte kann standartortunabhängig von IT-Teams überall auf der Welt stattfinden. Die Software ermöglicht dem Verwalter, den Geräten eine Reihe von Schlüsseln, Berechtigungsnachweisen, Konfigurationen und anderen Daten zur Verfügung zu stellen, um es aus der Ferne in Betrieb nehmen zu können. Betreiber können so auch erst sehr spät – kurz vor der Installation – entscheiden, in welche Datenplattformen die Geräte eingebunden werden sollen. So können IoT-Projekte im kleinen Rahmen beginnen, denn die Gerätehersteller sollten auf einen Vendor-Lock verzichten. Da sich die Geräte auch von weniger erfahrenen Personen einbinden lassen, sinken vergleichsweise die Installationskosten. Zudem unterstützt die Software Netzwerksegmentierung, indem über Conduits mit sicheren Kommunikationsprotokollen zwischen Zonen verschlüsselt kommuniziert werden kann. Über seine Authentifizierungen und Autorisierungen von Änderungen trägt das System also dazu bei, die industriellen Applikationen gegen unerwünschtes Eindringen zu härten.
