Es gibt hinreichend Gründe, warum Industrie und kritische Infrastruktur (Kritis) auf eine hohe Qualität von IT-Security Wert legen müssen. Dabei sind die Anforderungen vergleichbar. Grundsätzlich müssen eine hohe Verfügbarkeit, Auslastung sowie Produktionsgeschwindigkeit der Anlagen sichergestellt werden. Das Problem ist: Security ist schwer nachzurüsten bzw. on top zu gewährleisten. Sie ist bereits beim Grundaufbau von Netzwerken zu berücksichtigen. Betreiber sind zudem häufig an existierende, proprietäre und oft kostspielige Lösungen gebunden. Sie unterliegen einem hohen Abhängigkeitsgrad und sind in der Flexibilität beim Ausbau ihrer Netze und der Optimierung ihrer Kommunikation eingeschränkt. Die Gretchenfrage lautet also: Ist es möglich, unabhängig vom Maschinenhersteller die Effizienz von Anlagen durch Vernetzung zu optimieren, ohne ihre Verfügbarkeit und Integrität zu gefährden?
Hochsichere Datendiode für die Industrie
Möglich ist dies durch den Einsatz der industriellen Datendiode Cyber-Diode in Kombination mit OPC UA und IPSec VPN. Die Diode ist aktuell die weltweit einzige industrielle Software-Datendiode, die auf einem zugelassenen Produkt aus dem Geheimschutz basiert, der Genua VS-Diode. Gemäß dem Ansatz des Security by Design wurden bereits in der Konzeptionsphase der essenzielle Security-Aspekte berücksichtigt. Für den sicheren Datentransport im industriellen Umfeld unterstützt die Datendiode das OPC UA Protokoll. Darüber hinaus ermöglicht sie einen verschlüsselten Versand der ausgeleiteten Daten an Client-Applikationen über IPSec-VPN-Verschlüsselung aus dem Geheimschutz. So lassen sich Daten hochsicher an ein beliebiges Ziel in der Cloud oder einen anderen Standort übertragen.
Ein Blick in das Innere
Die Diode ist in mehrere Compartments getrennt (siehe Bild 1). Das schwarze Compartment stellt den Versender dar, im Falle von OPC UA den Client. In der Mitte befindet sich der One-Way-Task, der die Einwegfunktion abbildet. Das rote Compartment entspricht der empfangenden, VPN-ready Seite. Sie leitet den Datentransfer über ein Netzwerkinterface (NIC) nach außen, z.B. um die Datenpakete via VPN gesichert an das Zielsystem zu senden. Ergänzend besitzt die Diode ein Update Compartment, das es erlaubt, neue Funktionalitäten oder System-Updates einzuspielen. Über Netzwerke ist dies nicht möglich. Diese restriktive Update-Funktionalität ist eine gewollte Sicherheitsbarriere. Updates lassen sich nur an dem Device selbst aufspielen, um über Netzwerkeinstellungen keine Änderungen an der Grundkonfiguration vornehmen zu können. Das Software-Herzstück bilden ein minimalistischer, gehärteter Mikrokernel sowie ein ebenfalls gehärtetes OpenBSD Betriebssystem. Beide umfassen wenige Codezeilen, sodass Einfallstore und Angriffsvektoren verringert werden. Eine solche Architektur ist extrem schwer anzugreifen. Selbst im Falle einer Schwachstelle im Betriebssystem hätte dies keinen Einfluss auf die One-Way-Funktionalität der Diode. Der Mikrokernel ist mittels Secure Boot zusätzlich vor Manipulation geschützt.
Einsatzszenarien
Die Datendiode bietet sich z.B. für das Anlagenmonitoring, Predictive Maintenance oder Analytics-Aufgaben in der Industrie an. Ein typisches Szenario zeigt Bild 2. In der Mitte befindet sich die Diode, links davon die sendenden Geräte, in unserem Szenario die OPC UA Server in Maschinen, die Maschinendaten aufnehmen und an die Datendiode schicken. Dort werden diese per One-Way nach außen geleitet und, optional per IPSec VPN, an den empfangende OPC UA Client übertragen. Dieser kann an vielerlei Orten stehen: als On-Premise-System im Gebäude oder als Cloud-Infrastruktur, als virtualisiertes System oder physikalische Hardware.
Fazit
Mit der Cyber-Diode steht die einzige industrielle Software-Datendiode zur Verfügung, die auf einem zugelassenen Produkt basiert. Die hochsichere, minimalistische Diode bietet eine herstellerunabhängige Alternative für die Optimierung der Kommunikation von Maschinen und Anlagen. Mit der CyberDiode wird eine konfigurierte, verlässliche Kommunikationsverbindung geschaffen, die einen definierten, festen Verbindungskanal mit einem hohen Durchsatz etabliert, der keine Rückwirkung zulässt. Sie ist somit nicht angreifbar. Es kann kein Schadcode übertragen werden, kein ungewollter Einblick in ein sensibles Anlagensegment erfolgen und kein Ausspähen stattfinden. Die Lösung adressiert gleichermaßen Kritis und die Automatisierungsindustrie.
