Public Key Infrastructure

Sichere Protokolle auch für kleine IoT-Geräte

Die Zahl der Geräte im Internet of Things wächst stetig, doch noch immer mangelt es an verbindlichen Standards für die Sicherheit bei der Datenübertragung. Eine der größten Herausforderungen des IoT ist die Bereitstellung vertrauenswürdiger Identitäten für Geräte mit begrenzten Ressourcen. Mit Public-Key-Factor-basierten Protokollen ließe sich das lösen.

Bild: Nexus Technology GmbH

Der Branchenverband Cloud Security Alliance hat in seinem Report ‚Future Proofing the Connected World‘ einen Katalog konkreter Maßnahmen veröffentlicht, um die Sicherheit vernetzter Geräte zu verbessern. Eine zentrale Rolle spielt dabei die Implementierung von Funktionen für die starke Authentifizierung, Autorisierung sowie für die Zugriffskontrolle. Für die Authentifizierung benötigt jedes Gerät eine vertrauenswürdige Identität. Im Bereich Netzwerkkommunikation ist dabei eine Public Key Infrastructure (PKI) der De-Facto-Standard, um vertrauenswürdige Identitäten in Form von digitalen Zertifikaten bereitzustellen. Die Zertifikate werden von einem vertrauenswürdigen Dritten (in der Regel eine sogenannte Certificate Authority) ausgestellt und sorgen dafür, dass Geräte oder auch Menschen, die bislang nichts voneinander wussten, sicher miteinander kommunizieren können. Die Herausforderung dabei ist die Zertifikatsverteilung.

Automatisierte Zertifikate

Möchte man auf einem Smartphone ein digitales Zertifikat nutzen, beispielsweise für die E-Mail-Verschlüsselung oder für das digitale Signieren von Dokumenten, so wird das Zertifikat zunächst auf einem sicheren Weg auf das Telefon übertragen bzw. direkt auf dem Smartphone erzeugt. Um die Identität des Zertifikats zu schützen, wird es mit einem PIN versehen. Dieser muss bei jeder Verwendung angegeben werden. Alternativ zum PIN ist die Bestätigung des Zertifikats auch per Fingerabdruck möglich. Bei einem Sensor funktioniert dies nicht, da keine Benutzeroberfläche vorhanden ist. Daher muss die Zertifikatsverteilung auf diese Geräte automatisiert werden. Zwar existieren bereits Protokolle, die dafür genutzt werden. Allerdings sind sie zu komplex, um auch für Geräte mit begrenzten Ressourcen, wie beispielsweise batteriebetriebene Geräte, geeignet zu sein. Häufig verwenden Hersteller anstelle der PKI-Technologie geteilte Schlüssel (symmetrische Verschlüsselung) oder PINs und Passwörter für die Kommunikation zwischen vernetzten Geräten.

Was ist ein gutes IoT-Protokoll?

Ein gutes IoT-Protokoll sollte folgende drei Anforderungen erfüllen:

CRM Reifegrad im Vertrieb

In 9 Stufen vom CRM zur Kundendaten-DNA? Welche Stufen das CRM-Reifegradmodell charakterisieren und wie andere Unternehmen diese ausgestalten, lesen Sie im aktuellen Whitepaper der T-Systems MMS.‣ weiterlesen

PKI-basiert: Im Netzwerk ausgetauschte Information wird mittels asymmetrischer Kryptographie verschlüsselt
Automatisierte Zertifikatsverteilung: Zertifikate können in Sekundenschnelle an Tausende Geräte verteilt werden, ohne dass sie manuell bestätigt werden müssen
Leichtgewichtig: Das Protokoll funktioniert auch für Geräte mit geringer Rechenleistung und begrenzter Energie

Das EST-Protokoll

Das sogenannte Enrollment over Secure Transport (EST)-Protokoll wurde 2013 standardisiert und von Cisco in Zusammenarbeit mit der Internet Engineering Taskforce entwickelt. Mit dem Protokoll können Zertifikatsverteilungsprozesse beschleunigt und automatisiert werden – ein großer Vorteil in komplexen IoT-Umgebungen. Das ältere SCEP-Protokoll (Simple Certificate Enrollment Protocol) wiederum unterstützt keine Erstellung und Verteilung von Schlüsseln auf Server-Seite und ist daher nur bedingt geeignet, Zertifikate für Clients und Certificate Authorities (CA) zu erneuern. Außerdem ist SCEP nicht standardisiert und erzeugt daher oft Probleme beim Zusammenspiel verschiedener Implementierungen. Auch CMP (Certificate Management Protocol) und CMS (Certificate Management over CMS) sind weit verbreitete Protokolle, die zwar standardisiert sind, bei denen es aber schwieriger ist, sie auf Clients zu implementieren. Für Geräte mit begrenzten Ressourcen sind sie daher ungeeignet. Als als Anbieter von Identity- und Security-Lösungen war Nexus Anfang 2017 unter den ersten Unternehmen, die das EST-Protokoll in einem kommerziellen Produkt unterstützen. Allerdings fehlt dem EST-Protokoll die Funktionalität für die automatische Zertifikatserneuerung. Dies wurde mittels einer REST API (Representational State Transfer, Application Programming Interface) für die Nexus PKI gelöst, die es für Kunden und Entwickler einfacher machen soll, entsprechende Funktionen für die Zertifikatserneuerung zu implementieren.

Das Cebot Protokoll

Das EST-Protokoll ist zwar besser geeignet als seine Vorgänger, dennoch bietet es keine wirklich praktikable Lösung für das erstmalige Verteilen und Widerrufen von Zertifikaten auf vielen verteilten Geräten. Ein wichtiger Schritt in diese Richtung ist das Cebot-Protokoll (Certificate Enrollment for Billions of Things). Cebot ist ein Projekt des schwedischen Forschungsinstituts Rise SICS und Nexus, das mit den Unternehmen Ericsson, Saab, Intel und Scypho bereits einige Unterstützer hat. Das Protokoll wurde speziell für die Anforderungen des IoT entwickelt. Die Funktionsweise ist einfach: Beim Kauf einer smarten LED-Lampe hat der Hersteller beispielsweise bereits ein Zertifikat auf der Lampe installiert. Sobald diese angeschlossen wird, verbindet sie sich automatisch mit der Certificate Authority, um das Zertifikat bestätigen zu lassen. Für diese Kommunikation sorgt Cebot. Das Protokoll löst damit das Problem, Zertifikate auch für Geräte mit begrenzten Ressourcen automatisch bereitzustellen. Cebot soll in einem nächsten Schritt der Internet Engineering Task Force (IETF) vorgelegt werden, um als Standardprotokoll anerkannt zu werden.

EU investiert in IoT-Sicherheit

Um PKI noch skalierbarer und leichtgewichtiger für das IoT zu machen, hat sich Nexus mit verschiedenen Partnern aus Forschung und Wirtschaft zusammengetan. Das Secure IoT-Projekt wird von Eurostars gefördert, einem gemeinsamen Programm der europäischen Forschungsinitiative Eureka und der Europäischen Kommission. Ziele des Projekts sind u.a. eine Lösung für das automatische erstmalige Verteilen und Widerrufen von Zertifikaten für batteriebetriebene IoT-Geräte zu finden sowie die Entwicklung eines IoT-Gateways, das sowohl moderne Protokolle für die IoT-Sicherheit als auch ältere Protokolle unterstützt. Das Projekt wurde im September 2016 gestartet und ist auf 36 Monate ausgelegt.

Datenschutz autonomer Fahrzeuge

Secredas steht für ‚Product Security for Cross Domain Reliable Dependable Automated Systems‘ und ist ein von der EU im Rahmen von Horizon 2020 gefördertes Projekt. Das Ziel ist, eine Lösung für die Sichereit und den Datenschutz vernetzter und automatisierter Fahrzeuge sowie anderer automatisierter Systeme zu finden. Im Rahmen des Projekts soll eine Softwarelösung zur Validierung von Architekturmethoden, Referenzarchitekturen, Komponenten und Integrationen entwickelt, die auch die sichere Kommunikation zwischen verschiedenen automatisierten Systemen ermöglicht. Secredas soll damit Vertrauenswürdigkeit in IoT-Netzwerke bringen, insbesondere um die europäische Auto- und Medizinindustrie in dieser Hinsicht zu stärken. Das Forschungsprojekt bringt ein Konsortium von Partnern aus 15 Ländern zusammen, das die gesamte Wertschöpfungskette der Automobilindustrie, Schlüsselakteure im medizinischen Bereich, eine Reihe von Akteuren in anderen Verkehrsbereichen (Eisenbahnen, Luft- und Raumfahrt) und Forschungsinstitute umfasst.

Identitäten verwalten seit 20 Jahren

Der IT-Sicherheitsspezialist hat bereits seit 20 Jahren eine eigene PKI-Identitätsplattform auf dem Markt, die für IoT-Anwendungen genutzt wird. Mit 10.000 Zertifikaten pro Sekunde ist das System nach Angaben des Anbieters sogar dazu geeignet, die nächste Generation der vernetzten Fahrzeugkommunikation V2X (auch als Car2X bezeichnet) zu unterstützen.

Datum:9. Januar 2019

Autoren:Thorsten Gahrmann ist Head of Software Sales bei Nexus.

Themen: Industrie 4.0 / IoT

Schlagwörter: Industrial Internet of Things, Industrielle Kommunikation, Internet of Things (IoT), IT-Sicherheit, Protokolle

Webseite: www.nexusgroup.com

Das könnte Sie auch interessieren:

Reihe Wissen Kompakt

KI Künstliche Intelligenz

Immer mehr Anbieter von Maschinen, Automatisierungstechnik und Industriesoftware integrieren künstliche Intelligenz in ihre Produkte. Das ganze Potenzial spielen selbstlernende Systeme aber erst aus, wenn sie passgenau auf ihren Einsatz in Fertigung und Büro zugeschnitten wurden. Über beide Möglichkeiten, als Fertiger die Vorzüge von industrieller KI zu nutzen, geht es im regelmäßig aktualisierten Themenheft Künstliche Intelligenz.
IIoT Industrial Internet of Things

Das Internet of Things verändert Produktwelten und die Vernetzung in der Fertigung gleichermaßen. Entstehende Ökosysteme laden zur einer neuen Form der Zusammenarbeit ein. Die Spezialausgabe IoT Wissen Kompakt informiert über die Technologie, Projektierung und Anbieter für die eigene Applikation, in- und außerhalb der Fabrik.
MES Manufacturing Execution Systems

Um alle Potenziale eines MES umfassend ausnutzen zu können, beleuchten unsere Autoren in der Serie von MES Wissen Kompakt die erfolgskritischen Faktoren, um Fertigungsunternehmen präventiv zu steuern. Darüber hinaus präsentiert MES Wissen Kompakt ein breites Spektrum an Firmenportraits, Produkt- neuheiten und Dienst- leistungen im MES-Umfeld.
ERP und CRM

Ein Unternehmen, das sich mit der Auswahl eines ERP- Systems befasst, muss sich gleichsam mit einem viel- schichtigen Software-Markt und unklaren Interessen- lagen an interne Abwick- lungsprozesse auseinander- setzen. Guter Rat bei der Investitionsentscheidung ist teuer. ERP/CRM Wissen Kompakt unterstützt Sie bei der gezielten Investition in die IT-Infrastruktur.

Partner-Netzwerke

Microsoft-Partner

Mittelständische Unternehmen investieren selbst in schwierigen Zeiten in Microsoft-Technologien, weil sie überzeugt sind, dass ihre Mitarbeiterproduktivität steigt und sich ihre Kostenstruktur bessert. Microsoft hat mit dem Microsoft-Partner-Network ein Netzwerk aufgebaut, das ein Forum für den Aufbau von Partnerschaften, Zugang zu Ressourcen und einen Rahmen für Dialoge und Kooperationen bietet. Für unsere Leser gibt die Microsoft-Partnerübersicht in Ausgabe Juli/August der IT&Production Tipps für die Suche nach einer geeigneten Branchen- oder Speziallösung im Bereich des produzierenden Gewerbes.
SAP-Partner

Auf der Suche nach Innovation, nach neuen Lösungen und der Abgrenzung zum Mitbewerb vernetzen sich zunehmend mehr Unternehmen mit externen Experten und Partnern. SAP hat mit dem SAP-Ecosystem ein Netzwerk aufgebaut, das ein Forum für den Aufbau von Partnerschaften, Zugang zu Ressourcen und einen Rahmen für Dialoge und Kooperationen bietet. In der Maiausgabe der Fachzeitschrift IT&Production erhalten unsere Leser einen aktuellen Überblick zum SAP-Ecosystem im Bereich des produzierenden Gewerbes.