Security in der vernetzten Automatisierung Wirkungsvoller Zugriffsschutz setzt Spitzel vor die Tür

Webbasierte Konfigurationsschnittstellen werden von unzähligen Automatisierungs-Baugruppen genutzt, damit Anwender möglichst einfach auf eine integrierte Benutzerschnittstelle zugreifen können. Weil sie aber meistens völlig unzureichend gesichert sind, steht qualifizierten Angreifern Tür und Tor offen.

Anbieter zum Thema

AZO GmbH + Co. KG

HECHT Technologie GmbH

Dinnissen Process Technology

SSV Software Systems GmbH

Durch das Internet der Dinge, Cyber-physikalische Systeme und Industrie 4.0 wird die Anzahl der vernetzten Baugruppen in der Automatisierung in den nächsten Jahren sehr stark anwachsen. Da praktisch jedes System zumindest eine webbasierte Benutzerschnittstelle für Inbetriebnahme- und Serviceaufgaben besitzt, steigt auch die Anzahl möglicher Angriffspunkte. Um derartige Schnittstellen besser zu schützen, besteht aus Expertensicht akuter Handlungsbedarf.

Mithören bei Ethernet-Netzwerken ist ganz leicht

In einer typischen Netzwerkkonfiguration bildet ein Ethernet-LAN-Switch die zentrale Infrastrukturbaugruppe. Alle Systeme eines Netzwerks sind sternförmig mit den einzelnen Switch-Ports verbunden. Im Switch existiert eine Adresstabelle, in der festgehalten wird, welches System bzw. welche Ethernet-MAC-Adresse mit welchem Port verbunden ist. Mit Hilfe dieser Tabelle laufen die Datenpakete bei der Kommunikation zweier Rechner im LAN nur über die jeweiligen Kabelverbindungen zwischen dem betreffenden System und dem Switch-Port. Alle anderen Rechner am gleichen Switch bekommen diese Datenpakete nicht zu sehen.

Bildergalerie

Aus dem Switch-Verhalten sollte man nicht schlussfolgern, dass die Kommunikation zwischen zwei LAN-Systemen nicht ohne weiteres durch ein drittes System abhörbar ist. Es existiert zum Beispiel mit Arpspoof ein Werkzeug, mit dem jeder entsprechend vorgebildete Angreifer von einem dritten Rechner aus die Kommunikation zweier anderer Systeme im gleichen LAN abhören kann und jederzeit durch einen Men-in-the-Middle-Angriff manipulieren kann, ohne das die anderen Systeme im LAN etwas davon mitbekommen.

Ein Eingriff in die LAN-Verkabelung ist nicht erforderlich. Es wird lediglich das Packet-Forwarding aktiviert und auf dem anzuhörenden Rechner die ARP-Tabelle manipuliert. Letztes erfolgt mit Arpspoof vom Rechner des Angreifers aus. Mit einer solchen Vorgehensweise lässt sich die Kommunikation zwischen dem eingebetteten Webserver einer Automatisierungsbaugruppe und einem Benutzer-PC innerhalb des gleichen LANs abhören, aufzeichnen, manipulieren und sogar ins Internet übertragen.

Die Angriffsmethode XSS ist weit verbreitet

XSS ist die Abkürzung für Cross-Site Scripting. Gemeint ist damit eine Angriffsform, bei der einem HTTP(S)-Server innerhalb einer Anfrage (HTTP-Request) ein ausführbares Codefragment übermittelt wird, um mit diesem Code einen Speicherbereich des Servers zu infizieren (persistentes XSS) oder dafür zu sorgen, dass der Code in der Serverantwort (HTTP-Response) direkt an den Client zurückgeschickt wird (reflektierendes bzw. nicht persistentes XSS). Im ersten Fall wird der Code zu einem späteren Zeitpunkt als Antwort auf eine Abfrage an den Client geschickt – zum Beispiel in einem Forumseintrag. In beiden Fällen führt der Client – typischerweise ein Webbrowser – den Code aus.

Um XSS-Angriffe auf Automatisierungsbaugruppen zu unterbinden, muss der jeweilige Server jeden eingehenden Request systematisch nach den XSS-typischen Zeichenfolgen durchsuchen und alle kritischen Sequenzen ausfiltern. Das gilt auch für alle Erweiterungen, die in Form von CGI-Modulen oder sonstigen serverseitigen Skripten erstellt werden und die Antworten für Clientsysteme erzeugen. Darüber hinaus sollten alle Webschnittstellen einer Automatisierungsbaugruppe mit professionellen Testwerkzeugen, wie zum Beispiel ZAP durch entsprechend geschulte Fachkräfte geprüft werden.

In den USA betreibt die Regierung ein ICS-CERT (Industrial Control Security Computer Emergency Response Team). Es ist dem US Department of Homeland Security unterstellt und veröffentlicht auf der Website fortlaufend Schwachstellen in Automatisierungsprodukten. Hier findet man auch etliche namhafte deutsche Hersteller, die mit den XSS-Schwachstellen in ihren Produkten aufgefallen sind.

Zwei-Faktor-Authentifizierung ist der bessere Zugriffsschutz

Nur durch Benutzername-Passwort-Kombinationen geschützte Weboberflächen in Automatisierungsbaugruppen sind aus Security-Sicht völlig unsicher und praktisch für jedermann zugänglich.

Ein deutlich besserer Zugriffsschutz für Weboberflächen in Automatisierungsbaugruppen lässt sich mit Hilfe einer Zwei-Faktor-Authentifizierung realisieren. Bei dieser Authentifizierungsmethodik erfolgt der Identitätsnachweis eines Nutzers durch die Kombination zweier voneinander unabhängiger Komponenten (Faktoren). Dabei unterscheidet man zwischen:

• Etwas, was der Nutzer besitzt (having something), z.B. einem Dongle bzw. Token.

• Etwas, was der Nutzer weiß (knowing something), z.B. eine Benutzername-Passwort-Kombinationen bzw. eine PIN.

• Etwas, was als körperliches Charakteristikum untrennbar zum Nutzer gehört (being something), z.B. ein Fingerabdruck.

So funktioniert ein wirkungsvoller Zugriffsschutz

Ein recht wirkungsvoller Zugriffsschutz lässt sich etwa durch einen Security-Dongle mit Challenge-Response-Authentifizierung realisieren, der zunächst einmal mit einer Schnittstelle der Automatisierungsbaugruppe verbunden werden muss. Dadurch wird die Weboberfläche überhaupt erst freigeschaltet, um die Benutzername-Passwort-Kombination einzugeben.

Bildergalerie

Bei der Challenge-Response-Authentifizierung teilen sich beide Seiten – in diesem Fall die Automatisierungsbaugruppe und der Security-Dongle – ein Geheimnis bzw. einen Schlüssel. Dieser ist, in der Regel durch einen Ab-Werk-Setup, in einem speziellen Speicherbereich hinterlegt. Der Schlüssel selbst wird niemals ausgelesen und über einen Übertragungskanal gesendet oder visualisiert.

Abbildung 4 illustriert die Funktionsweise. Nach dem Aufstecken des Dongles auf die Automatisierungs-Baugruppenschnittstelle wird eine einmalige Zufallszahl (Nonce) gebildet und als Challenge an den Dongle übertragen. Dieser ermittelt aus der Zufallszahl und dem hinterlegten Schlüssel über eine geeignete Hashfunktion einen digitalen Fingerabdruck. Der wird als Response vom Dongle an die Automatisierungsbaugruppe zurückgeschickt. Die kennt ebenfalls den Schlüssel und die Hashfunktion des Dongles. Somit kann die Automatisierungsbaugruppe selbst den digitalen Fingerabdruck für die Challenge erzeugen und das Ergebnis mit der vom Dongle erhaltenen Response vergleichen. Sind beide Fingerabdrücke identisch, wird die Challenge-Response Authentifizierung erfolgreich abgeschlossen. Nun kann der Nutzer die Benutzername-Passwort-Kombination eingeben.

SPS IPC Drives: SSV, Halle 10, Stand 301

Der Beitrag erschien zuerst auf dem Portal unserer Schwestermarke elektrotechnik.

* Stefan Klünder, Sales- und Project Manager, SSV Software Systems

(ID:43055677)