-
Stand der Technik
-
Die Komponenten automatisierungstechnischer Anlagen tauschen Daten üblicherweise über kabelgebundene Feldbusse offen und unverschlüsselt aus. Insbesondere Sensoren, aber auch bestimmte Aktoren oder Ein- und Ausgabebaugruppen müssen jedoch je nach Komplexität der Maschinen oder Anlagen dezentral an exponierten Stellen prozessnah platziert werden.
-
Um umfangreiche und aufwendige Maschinen- und Anlagenkonstruktionen ohne großen Vedrahtungsaufwand und entsprechende Kosten zu automatisierenn, werden diese Knoten neuerdings häufig mittels Funk in automatisierungstechnische Netze eingebunden. So ergibt sich auch die Möglichkeit, Automatisierungsarchitekturen oder Produktionslinien leicht um weitere Module zu ergänzen.
-
Es ist bekannt, dass neue Teilnehmer ohne oder mit nur sehr wenigen Sicherheitsprüfungen an automatisierungstechnische Netze geschaltet werden können. Das bezieht sich nicht nur auf die in Automatisierungsarchitekturen üblichen Feldgeräte wie Umrichter, Steuerungen, Sensoren oder Karten mit Ein- und Ausgängen, sondern auch auf Programmiergeräte. Letztere sind üblicherweise als tragbare Rechner ausgeführt und dienen zur Parametrierung und Konfigurierung der Teilnehmer sowie zur Erstellung von Ablaufprogrammen speicherprogrammierbarer Steuerungen. Weiterhin können mit Programmiergeräten oder bestimmten tragbaren elektronischen Geräten Diagnosedaten und Programme ausgelesen und beeinflusst werden. Auf diese Weise ist es für Wirtschaftsspione oder Saboteure, aber auch für Wartungspersonal von Fremdfirmen sehr einfach, vertrauliche oder sicherheitsrelevante Prozess- oder Programmdaten auszulesen und zu verändern. Letztere sind teilweise sensibel, weil es sich entweder um vertrauliche Informationen über Produkte und Prozesse oder um sicherheitskritische Stellgrößen handeln kann.
-
Konkret bedroht wird der Netzverkehr durch Abhören und Verändern von Nachrichten (ggf. in Form von Janus-Angriffen), unbefugte Eingriffe in Steuerungsfunktionen, gezieltes oder unbewusstes Einschleusen ungewünschter Programme mit oder ohne Schadenswirkung auf die Automatisierungssysteme sowie Netzüberflutung mit unnützem Datenverkehr.
-
In kabellosen Netzen übertragene Nachrichten können nicht nur abgehört und so Information gestohlen werden, sondern von außen auch gezielt verändert und dann erneut in die Netze eingespeist werden, womit zum Beispiel Schadprogramme eingeschleust werken können. Bei Janus-Angriffen steht ein Angreifer entweder physikalisch oder logisch zwischen zwei Kommunikationspartnern und hat dabei mit seinem System vollständige Kontrolle über den Datenverkehr zwischen zwei oder mehreren Netzteilnehmern, was ihm erlaubt, alle Informationen mitzulesen und zu verändern.
-
Prinzipiell wird bei der Verwendung eines Funknetzes im Maschinen- und Anlagenbau eine große Netzreichweite angestrebt, um zuverlässig alle stationären und mobilen Teilnehmer erreichen zu können. Auf der anderen Seite soll aber die räumliche Ausdehnung des Funknetzes auf die Anlage oder Maschine beschränkt bleiben, weil der Netzverkehr sonst auch von anderen, unbefugten Stellen abgefangen und manipuliert werden kann [2, S. 165].
-
In der Praxis müssen deshalb Kompromisse geschlossen werden, da sich Funkwellen schwer kontrollieren lassen. Antennen und Sendeleistungen müssen sehr aufwendig geplant, Abstrahlcharakteristiken von Antennen berücksichtigt und Feldstärkemessungen durchgeführt werden, um die tatsächliche Ausdehnung eines Funknetzes bestimmen zu können.
-
Überreichweiten lassen sich von Angreifern dahingehend ausnutzen, dass sie von öffentlich zugänglichen Plätzen aus oder beim Abfahren ganzer Industriegebiete mit dem Auto offene Funknetze suchen, um diese über Sicherheitslücken gezielt anzugreifen [8, S. 194]. Unzureichend oder gar nicht abgesicherte Datenkommunikation ist sehr einfach abzuhören, zu manipulieren oder zu sabotieren.
-
Mithin ist es notwendig, dies mit entsprechenden Mitteln, insbesondere durch Verschlüsselung und zuverlässige Authentifizierung, zu verhindern oder zumindest deutlich zu erschweren. Dabei gilt es zu beachten, dass geeignete Authentifizierungsverfahren mit der Kommunikationsgeschwindigkeit Schritt halten können, um die in der Automatisierungstechnik geltenden Echtzeitanforderungen zu erfüllen.
-
In der Praxis wird mit Verschlüsselungen und darin integrierten Authentisierungsalgorithmen gearbeitet, um die Vertraulichkeit der Kommunikation und die Authentifizierbarkeit von Netzknoten sicherzustellen. Diese Verschlüsselungen sind aus unterschiedlichen Gründen jedoch nicht für den Einsatz in der Automatisierungstechnik mit ihren hohen Echtzeitanforderungen geeignet.
-
Die Verschlüsselung nach dem Verfahren Wired Equivalent Privacy (WEP) verwendet den Algorithmus RC4 ([8, S. 69]). Wegen bewiesener Sicherheitsmängel wird das Verfahren für die praktische Anwendung nicht mehr empfohlen [2, S. 166], [8, S. 196].
-
Eine weitere bekannte Verschlüsselungsmethode ist Wireless fidelity Protected Access (WPA). Sie verwendet Pseudozufallszahlen zur Schlüsselerzeugung sowie ebenfalls den Algorithmus RC4. Neben den allgemein bekannten Schwächen der Verwendung von Pseudozufallszahlen in der Kryptographie ist das hier verwendete Temporal Key Integrity Protocol (TKIP) sehr rechenintensiv und genügt so den Echtzeitanforderungen der Automatisierungstechnik nicht [8, S. 198]. Auch gilt WPA in Teilbereichen als kompromittiert [7].
-
Das Verschlüsselungsverfahren WPA-2 basiert auf der bekannten kryptographischen Methode ABS. Letztere gilt bisher als nicht zu entschlüsseln, solange keine trivialen Passwörter verwendet werden. Dann kann AES mittels einer Wörterbuchattacke gebrochen werden [8, S. 81ff.]. Allerdings werden wie bei WPA das rechenintensive TKIP verwendet und so die Echtzeitanforderungen nicht erfüllt. Erfolgreich gegen ABS geführte Angriffe wurden in der Literatur beschrieben [1]. Als ein anderer Standard der drahtlosen Kommunikation findet Bluetooth weite Verbreitung. Hierbei werden unter anderem aus einer an den Funkknoten eingegebenen PIN Kommunikationsschlüssel zur Verschlüsselung der übertragenen Daten erzeugt. Allerdings lassen sich aus schwachen PINs erzeugte Schlüssel leicht erraten [2, S. 187] und der Verbindungsaufbau dauert zu lange [2, S. 190]. Obwohl in der Spezifikation Geräteklassen mit abgestuften Sendeleistungen eingeführt wurden, sind die Reichweiten unkalkulierbar [2, S. 189] und erlauben auch in größerer Entfernung noch das Abhören der Nachrichten.
-
Das bekannte Extensible Authentication Protocol (EAP) kann in seinen verschiedenen Varianten zur Authentisierung eingesetzt werden [2, S. 173ff.], [8, S. 194f.]. Allerdings ist die dann folgende Authentifizierung vom zeitlichen Aufwand her z. B. durch Nutzung von Authentisierungs-Servern oder Hintereinanderreihung mehrerer Authentisierungen nur zur anfänglichen, ersten Authentifizierung geeignet und nicht zur wiederholten Authentifizierung aller Funkknoten im laufenden Betrieb.
-
Das Verfahren aus [9] geht auf die Nutzung von lizensierten bzw. behördlich kontrollierten Frequenzen durch die Allgemeinheit ein. Das soll in zwar reservierten, jedoch nur schwach ausgelasteten Frequenzbereichen möglich sein. Die dargestellte Kommunikation bezieht sich auf die Prüfung, ob ein solches Frequenzband zur Verfügung steht und ob bzw. durch wen es genutzt wird. Die lizensierten Nutzer besitzen eine vorrangige Priorität den nicht-lizensierten Nutzern gegenüber, so dass nicht-lizenierte Nutzer nur dann die Frequenzen nutzen können, wenn ein lizensierter Nutzer in seiner Kommunikation nicht beeinträchtigt wird. Der nicht-lizensierte Nutzer muss dann entweder die Frequenz wechseln oder die Kommunikation einstellen. Für sicherheitsgerichtete Systeme, wie sie in automatisierten Maschinen und Anlagen eingesetzt werden, ist diese Art der Frequenzvergabe ungeeignet und kann zu großen Sicherheitsrisiken führen, wenn ein Knoten wegen des Frequenzwechsels nicht kommunizieren kann.
-
Das Verfahren in [10] schlägt zur Verschlüsselung die Kombination aus dem bekannten Diffie-Hellmann Verfahren, dem 3PKDP (Three-party-key-distribution-protocol) und einem SEV (Secure Environmental Value) vor. Der Diffie-Hellmann-Schlüsseltausch beruht nach [2, 8] auf einem asymmetrischen Prinzip und ist, im Gegensatz zum Verfahren der Einmalverschlüsselung, nicht als perfekt sicher bewiesen. Auch sind asymmetrische Verfahren zu langsam für die harten Echtzeitbedingungen der Automatisierungstechnik [2, 8].
-
Problem
-
Vor dem oben umrissenen Hintergrund besteht die Aufgabe der vorliegenden Erfindung darin, ein Verfahren bereitzustellen, das in Funknetzen den authentifizierten Betrieb von Netzknoten gewährleistet, sichere Kommunikation ausschließlich unter den authentifizierten Netzknoten erlaubt und das keine Angreifer in das Netz eindringen oder dort agieren lässt.
-
Lösung
-
In [4] wird eine Vorrichtung und ein Verfahren zur sicheren Kommunikation zwischen Netzknoten vorgestellt. Die dazu erforderlichen Zufallszahlen werden durch den in [3] beschriebenen und in [4] verwendeten Zufallszahlengenerator erzeugt.
-
Die in einem Automatisierungsnetz vorhandenen Geräte erhalten jeweils eines der in [4] beschriebenen Kryptomodule. Dieses wird bei den im Funkbetrieb arbeitenden Geräten und beim Leitknoten um ein Funkmodul ergänzt.
-
Die Kryptomodule des Funknetzes wickeln die gesamte Kommunikation im Netz ab und senden und empfangen auf drei überlappungsfreien Funkkanälen K1, K2 und K3. Auf dem Kommunikationskanal genannten K1 werden die verschlüsselten Prozessdaten übertragen, der Übermittlungskanal K2 dient zur zeitlichen Synchronisierung sowie zur Übermittlung kryptographischer Daten und über den Verteilkanal K3 werden neue Zufallszahlen zur Schlüsselerzeugung verteilt.
-
Im folgenden Ausführungsbeispiel wird der Ablauf beschrieben.
-
Ausführungsbeispiel
-
Bei der Inbetriebnahme eines Automatisierungsnetzes werden im Leitmodul Zufallszahlen erzeugt und auf einem vertrauenswürdigen Weg an die mit Funkmodul ausgestatteten Kryptomodule übergeben. Dazu wird das Leitmodul erweitert und mit einem Aufsatz für Funkmodule ausgerüstet. In diesen Aufsatz werden die einzelnen Funkmodule gesteckt und quantenphysikalisch initiale Zufallszahlen eingebracht. Diese werden für jedes Funkmodul im Leitmodul zwischengespeichert und befinden sich nun im Leitmodul und in den jeweiligen Funkmodulen.
-
Nach Montage der Funkmodule an die Kryptomodule werden aus den initialen Zufallszahlen in jedem Funkmodul in einem eigenen Speicherbereich und nach einem für alle Funkmodule gleichen Algorithmus aus dem Algorithmenspeicher des Kryptomoduls initiale Einmalschlüssel erzeugt, so dass in allen Funkmodulen gleiche Schlüssel hinterlegt sind.
-
Danach beginnt auf dem Übermittlungskanal K2 ein kontinuierlicher Abgleich der Systemzeit aller Teilnehmer zur Erzeugung von synchronen Zeitstempeln.
-
Die zentral erzeugten Zufallszahlen zur Generierung der im Betrieb für Verschlüsselung und Prüfung verwendeten Einmalschlüssel werden an die Funkmodule wie folgt in zwei Paketen verteilt (vgl. 1). Das Leitmodul (101) sendet in Paket PVz1 über den Verteilkanal K3 verschlüsselt und verschleiert echte Zufallszahlen, verschleiert die Absendeadresse sowie im Klartext den Zeitstempel mit Empfangsadresse. Über den Übermittlungskanal K2 werden als Paket PUz1 im Klartext die Empfangsadresse mit Verschleierungszeiger sowie verschleiert die Absendeadresse, der Zeitstempel sowie Informationen der zur Verschlüsselung verwendeten Speicherplätze in Paket PVz1 an die Funkmodule (102, 103, 104) versendet.
-
Die empfangenden Funkmodule (202, 203, 204) (vgl. 2) entschleiern die Pakete, identifizieren zueinander gehörende Partnerpakete über die Zeitstempel, entschlüsseln die echten Zufallszahlen und verwenden sie zur Erzeugung der Schlüssel in den Speichern 1, 2 und 3 gemäß [4]. Gleichzeitig senden sie als Paket PVz2 verschlüsselt und verschleiert die erhaltenen Zufallszahlen, die eigene Absendeadresse und eine lokal erzeugte neue, nur ein einziges Mal zum Schutz gegen Wiedereinspielen zu gebrauchende Zufallszahl zur Bestätigung über den Verteilkanal K3 an das Leitmodul (201) zurück. In diesem Paket sind auch verschleiert Zeitstempel und Absendeadresse sowie im Klartext Empfangsadresse und Verschleierungszeiger enthalten. Über den Übermittlungskanal K2 werden in einem dazu gehörenden Partnerpaket PUz2 im Klartext Empfangsadresse und Zeitstempel sowie verschleiert Absendeadresse und Speicherplatzinformationen der verwendeten Schlüsselspeicherplätze an das Leitmodul verschickt.
-
Das Leitmodul entschlüsselt diese zurückerhaltenen Informationen und vergleicht die erhaltenen Zufallszahlen mit den anfangs gesendeten Zufallszahlen sowie die erhaltenen Absendeadressen aus Klartext, Verschleierung und Verschlüsselung. Sind die Werte gleich, betrachtet das Leitmodul (301) die Informationen als korrekt verteilt und bestätigt dies an die Funkknoten (302, 303, 304) (vgl. 3). Sind die Informationen ungleich, sendet das Leitmodul ein kurzes Signal, um die letzte versendete Zufallszahl zu verwerfen und einen neuen Versand anzustoßen. In diesem Fall wird angenommen, dass ein Angriff stattgefunden hat.
-
Alle anderen Kommunikationsdaten werden nach [4] verschlüsselt und verschleiert und in zwei weiteren Partnerpaketen über das Funkmodul versendet. Der Übertragungsweg Feldbus wird im Funknetz durch Kanal K1 ersetzt und der Übertragungsweg Lichtwellenleiter wird auf die beiden Funkkanäle K2 und K3 verteilt. Auf Kanal K1 wird das Paket PFs übertragen, das im Klartext Absende- und Empfangsadresse sowie Zeitstempel, verschleiert die Bezeichnung der verwendeten Schlüsselspeicherplätze sowie verschlüsselt und verschleiert die Nutzdaten enthält. Auf Kanal K2 wird das zweite Paket PLs übertragen, das im Klartext den Verschleierungszeiger, Absende- und Empfangsadresse sowie verschleiert den Zeitstempel enthält. Die Verbindungsglieder und eindeutigen Zuordnungsmerkmale der Partnerpakete sind mithin Absende- und Empfangsadresse sowie der Zeitstempel.
-
Die Verschleierung des Zeitstempels verhindert die offensichtliche Verbindung zueinander gehörender Partnerpakete. Potentielle Angreifer und Abhörer können aus der Adressenzuordnung lediglich Absende- und Zielort identifizieren. Es kann aber unmittelbar nicht festgestellt werden, welche Partnerpakete miteinander verbunden sind.
-
Beide Pakete werden dem gleichen Empfänger zugestellt und dort zunächst zwischengespeichert. Paket PLs wird mit Hilfe des mitversandten Verschleierungszeigers als erstes entschleiert und legt den Zeitstempel offen. Durch den offengelegten Zeitstempel wird das Partnerpaket PFs identifiziert und kann mit dem Verschleierungszeiger entschleiert und anschließend mit den offengelegten Schlüsselspeicherplätzen vollständig entschlüsselt werden. Die dann als Klartext vorliegenden Prozessdaten werden zur Weiterverarbeitung an das automatisierungstechnische Gerät gegeben.
-
Zu Authentifizierungszwecken bestimmt der Leitknoten (401) in unbestimmten Abständen immer zwei Funkknoten (402, 403) als Prüfinstanzen für einen dritten Funkknoten (404) (vgl. 4). Durch verschlüsselte Abfrage von Prüfschlüsselplätzen und Vergleich mit den Inhalten der entsprechenden eigenen Prüfschlüsselplätze prüfen erstere (502, 503) die Legitimation des letzteren (504) zur Teilnahme an der Kommunikation, die sie dann erteilen oder verweigern (vgl. 5). Das Abfrageergebnis wird in jedem Fall dem Leitknoten mitgeteilt, der über die Legitimationen ein Logbuch führt.
-
Durch die Erfindung erreichte Vorteile
-
Das dargestellte, neue Verfahren für Funknetze erfüllt den Anspruch an perfekte Sicherheit durch Verwendung von Einmalschlüsseln zur Verschlüsselung der Datenkommunikation. Durch ständige Bereitstellung einer großen Anzahl von Einmalschlüsseln als Prüfschlüssel, auf die ohne zeitliche Verzögerung kontinuierlich und endlos zugegriffen werden kann, ist die fortlaufenden Authentifizierung der Funkknoten im laufenden Betrieb unter den Echtzeitbedingungen der Automatisierungstechnik möglich. Durch Verteilung der Kommunikation auf drei überlappungsfreie Kanäle und die damit verbundene Trennung von Steuerbefehlen, kryptographischen Informationen und Prozessdaten ist maximaler Prozessdatendurchsatz möglich.
-
Literatur
-
- [1] D. J. Bernstein: Cache timing attacks an AES. Department of Mathematics, Statistics and Computer Science, University of Illinois, Chicago 2005
- [2] R. Bless, S. Mink, E. Blaß, M. Conrad, H. Hof, K. Kutzner und M. Schöller: Sichere Netzwerkkommunikation. Berlin-Heidelberg: Springer-Verlag 2005
- [3] W. A. Halang und L. Schleupner: Verfahren zur Erzeugung zufälliger Bitströme. Patentantrag DE 10 2010 021 307.1-53
- [4] W. A. Halang und L. Schleupner: Vorrichtung und Verfahren zur authentifizierten vertraulichen Kommunikation zwischen den Knoten von Automatisierungsnetzen. Patentantrag DE 10 2011 016 106.6
- [5] IBM Tokyo Research Laboratory: High Performance RSA Hardware Accelerator Design. RSA Conference 1998, http://www.trl.ibm.com/projects/rsa/rsaconf.pdf
- [6] T. Kleinjung, K. Aoki, J. Franke, A. K. Lenstra, E. Thomé, J. W. Bos, P. Gaudry, A. Kruppa, P. L. Montgomery, D. A. Osvik, H. te Riele, A. Timofeev und P. Zimmermann: Factorization of a 768-bit RSA modulus. Version 1.4, 18. Feb. 2010, http://eprint.iacr.org/2010/006
- [7] T. Ohigashi und M. Morii: A Practical Message Falsification Attack an WPA. Universität Hiroshima, Universität Kobe 2009
- [8] J. Swoboda, S. Spitz und M. Pramateftakis: Kryptographie und IT-Sicherheit. Vieweg + Teubner Verlag 2008
- [9] US 2009/0268 674 A1 – Apparatus and Method for medium access control in wireless comunication networks
- [10] US 2009/0 268 914 A1 – Securing wireless body sensor networks using physological data