„Datendiode“ stärkt die Netzwerksicherheit von Industrie 4.0

Das Internet der Dinge und Industrie 4.0-Netzwerke erfordern zuverlässige und sichere Datenverbindungen. Heutzutage ist jedoch jedes Netzwerk anfällig für Cyberangriffe, selbst wenn es mit herkömmlichen Sicherheitsmethoden gesichert ist. Um dieses Problem zu lösen, erlaubt die Datendiode, ein Hard- und Softwaregerät, nur Datenuploads in die Außenwelt und vermeidet aus Sicherheitsgründen jegliche Rückwärtsdatendownloads.

Die Cyber-Diode erweitert die Fähigkeiten herkömmlicher Lösungen für die Netzwerksicherheit. Die Bedeutung sicherer Netze belegt eine Studie des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zu Cyberangriffen. Laut der Studie ist die Menge an Malware, darunter Trojaner, Ransomware und Trickbots, zwischen Juni 2019 und Mai 2020 auf 117 Milliarden gestiegen, wobei Variationen und Intensität der Malware weiter zunehmen. Die Anforderungen an optimale Sicherheit in der vernetzten Industrie und in kritischen Infrastrukturen sind sehr hoch, und die Schnittstellen von Industrieanlagen müssen vollständig geschützt werden, um negative Auswirkungen zu vermeiden. Ein weiterer wichtiger Punkt ist, dass die übermittelten Daten vertraulich und nicht manipulierbar sein müssen.

„Aber selbst bei bestehenden Sicherheitslösungen bleibt ein Restrisiko“, sagte Steve Schoner, strategischer Produktmarketing-Manager der Genua GmbH, gegenüber EE Times Europe . „Mit der Cyber-Diode schließen wir diese Lücke.“ Die 1992 gegründete Genua GmbH ist ein Geschäftsbereich der Bundesdruckerei. Es verfügt über umfangreiche Erfahrung mit privaten Einrichtungen, die mit Verschlusssachen umgehen, und ist auf den Schutz aller Netzwerke und digitaler Kommunikationen spezialisiert.

Die mangelnde Sicherheit in industriellen Netzwerken durch die zunehmende Vernetzung von IT und OT ist der Grund, warum viele Unternehmen auf die Fortschritte verzichten, ihre Fabriken über das Internet mit der Außenwelt zu verbinden. Die Vernetzung ermöglicht eine effiziente, kostengünstige und flexible Fertigung bis hin zu Losgröße 1. Zudem ermöglicht sie die Überwachung und Optimierung von Maschinen und Anlagen (z. B. für Predictive Maintenance und Analytics). Mit der Internetverbindung werden Industrie 4.0-Netzwerke jedoch zum Ziel von Sabotage und Spionage durch Cyberkriminelle.

Maximale Cybersicherheit

„Da bestehende Lösungen für Cybersecurity entweder proprietär oder sehr teuer sind, haben wir unsere industrielle Cyber-Diode entwickelt, die eine sichere, zuverlässige, hersteller- und plattformunabhängige Kommunikation gewährleistet“, erklärt Schoner. „Sie ist weltweit die einzige Datendiode, die auf einem zertifizierten vertraulichen Produkt basiert.“ Für den sicheren Datentransfer im industriellen Umfeld unterstützt es das OPC UA Protocol (OPC Unified Architecture), einen offenen Standard zum Austausch von Maschinendaten. Es ermöglicht auch eine verschlüsselte Übertragung von Daten an Client-Anwendungen über IPSec VPN. Wenn IPSec aktiviert ist, können externe Clients nur über eine verschlüsselte Kommunikation mit der Diode kommunizieren. Dafür sorgt die diodeninterne Firewall und ermöglicht eine extrem sichere Datenübertragung zu jedem gewünschten Dienst in der Cloud oder jedem anderen externen Ort.

Cyber-Diode im Detail

Cyber-Dioden-Hardware ist durch die Verwendung einer I/O-Speicherverwaltungseinheit (IOMMU) für die Fächertrennung sicher. Das schwarze Fach (links) im Funktionsblockschaltbild zeigt den Sender, in diesem Fall ein OPC-UA-Client. Im Zentrum stellt die patentierte One-Way-Task die Einweg-Datenübertragungsfunktion dar. Das rote Fach (rechts) ist die VPN-fähige Seite, die VPN-gesicherte Daten über die Netzwerkschnittstelle (NIC) an das externe Zielsystem überträgt. Das zusätzliche Update-Fach (oben) ermöglicht die Integration neuer Funktionalitäten oder Upgrades, die aus Sicherheitsgründen vom Netzwerk nicht zugelassen werden. Updates können nur auf das Gerät selbst hochgeladen werden — über die Netzwerkeinstellungen sind keine Änderungen an der Grundkonfiguration möglich. Die Hardware ist für platzsparende DIN-Schienen oder 19-Rack-Gehäuse geeignet und bietet UEFI- und Secure-Boot-Unterstützung. Die Cyber-Diode kann für die Anbindung über Mobilfunk (LTE) und WLAN erweitert werden, teilte das Unternehmen mit.

Blockschaltbild einer Cyber-Diode (Bildquelle:Genua)

Der Kern der Software basiert auf einem minimalistischen gehärteten Mikrokernel und einem gehärteten OpenBSD-Betriebssystem. Beide enthalten nur wenige Zeilen Code, was die Einstiegspunkte für Hacker und Angriffsvektoren minimiert. „Eine solche Architektur ist extrem schwer angreifbar“, sagt Schoner. Auch Schwachstellen im Betriebssystem haben keinen Einfluss auf die patentierte One-Way-Funktionalität. Auf den Cyber-Dioden kann nur die von Genua bereitgestellte Software ausgeführt werden. „Es ist kostengünstig und als lebenslange Lizenz erhältlich, die die Hardware und die gesamte Software für ein System umfasst“, sagte Schoner. Auch ein Hotline-Service oder ein kompletter System-Management-Service ist gewährleistet. Die Anzahl der benötigten Cyber-Dioden in einem Netzwerk hängt von den Risikoanforderungen des Benutzers und der Netzwerkstruktur ab.

Sicherheitsfunktionen verbessern

Im Vergleich zu herkömmlichen Methoden der Cybersicherheit wie Air Gap, Firewalls und Glasfaser bieten Cyber-Dioden verschiedene Vorteile, behauptet Schoner. Ein Air Gap trennt beispielsweise die IT von OT-Netzen, vermeidet einen automatisierten Datenaustausch und sorgt so für Sicherheit. Aber in der Industrie 4.0 müssen Umweltdaten ohnehin zwischen verschiedenen Netzwerken ausgetauscht werden. In diesem Fall erfolgt die Datenübertragung meist über einen USB-Stick oder andere Speichergeräte, was nicht effizient und störanfällig ist. USB-Sticks und andere Speichergeräte können möglicherweise Malware enthalten.

Die Alternativen sind Firewalls, die so konfiguriert werden können, dass sie Daten nur in eine Richtung übertragen. Das könnte eine Lösung sein, ist aber sehr komplex, da fast alle Firewalls mehr als nur ein Regelwerk haben. Dies bedeutet auch, dass diese Regelwerke versehentlich geändert werden können oder im Laufe der Jahre veraltet sind. Dies erschwert die Anbindung neuer Netzsegmente oder erfordert zumindest große Kenntnisse. Es kann vorkommen, dass die Einwegfunktion deaktiviert wird.

Diese Risiken sind bei Cyber-Dioden ausgeschlossen. Faserdioden, die dritte traditionelle Option, können Daten in Rückwärtsrichtung blockieren, benötigen jedoch einen separaten Kanal, um zu wissen, ob die Datenübertragung erfolgreich war. Um die zuverlässige Datenübertragung zu erhöhen, bestätigt die Cyber-Diode die erfolgreiche Datenübertragung durch Zurücksenden nur eines Bits. Schließlich lassen sich Cyber-Dioden problemlos in bestehende Industrienetzwerke integrieren.

>> Dieser Artikel wurde ursprünglich auf unserer Schwesterseite EE published veröffentlicht Mal Europa.