Sicherheit auf allen Ebenen werden immer wichtiger
Die zunehmende Anzahl von Hacker-Angriffen, die Entwicklung des Internets der Dinge (IoT), die Internetnutzung zur Ansteuerung, Auswertung und Überwachung von Anlagen und Maschinen (Condition Monitoring), die Entwicklungen hinsichtlich Smart City, oder auch der Einzug des Internets in das Smart Home und in das Privatleben (z.B. durch Wearables), erhöhen stetig die Anforderungen für eine bestmögliche Internetsicherheit.
Internetsicherheit nicht nur auf Softwareebene sicherstellen
Die klassischen Maßnahmen sind hinreichend bekannt, von einer Anti-Virus-Software angefangen, über eine Firewall hinweg bis hin zur Zwei-Faktoren-Autentifizierung. Der IT-Security Werkzeugkoffer ist aufgrund der Vielzahl von Anbietern je Schutzsegment sehr groß und auch unübersichtlich geworden. Um die Basis für diesen Artikel einfach zu gestalten, unterscheiden wir daher zwischen den Schutzmaßnahmen auf der Softwareebene und der Hardwareebene. Der Schutz auf der menschlichen Ebene haben wir im Artikel Human Firewall umfangreich beschrieben.
Eine IT-Weisheit besagt, dass es zu keinem Zeitpunkt eine 100-ige Sicherheit geben kann, sondern man nur die Erfolgswahrscheinlichkeit eines Hacker-Angriffs reduzieren kann.
Wir möchten den Impuls zur eingebetteten Sicherheit auf Hardwareebene (Embedded Security) geben, indem es sich nicht nur um eine Sicherheitsmaßnahme handelt, sondern gerade für Industrieanlagen auf der Sicherheits-Checkliste ganz oben stehen sollte.
Die Internetsicherheit beginnt beim Start der IoT-Geräte
Was sicherlich jeder nachvollziehen kann ist, dass die jeweiligen Betriebssysteme vollautomatisch im Hintergrund viele Dienste und Funktionen starten, damit die Anwender der jeweiligen Geräte, es so einfach als möglich haben, die Funktionen an der Bedienoberfläche zu nutzen. Trotz teilweise stündlicher oder täglicher Aktualisierung der Virendatenbanken von Anti-Malware oder Anti-Viren-Software, kann es sein, dass sich auf dem täglich genutzten Gerät, ein getarnter Dienst (auch Schläfer genannt), niedergelassen hat.
Für das Starten eines Geräts ist die Firmware verantwortlich, durch sie wird der Boot-Vorgang gesteuert. Bei älteren Computern kennt man die Firmware BIOS als blauen Bildschirm, der beim Hochfahren des Computers in der Wartezeit zu sehen war. Die heutige Firmware-Standardschnittstelle UEFI wurde 1998 von Intel veröffentlicht. Die dadurch empfohlenen Optimierungen tragen u.a. dazu bei, dass Systeme schneller hochfahren werden. Darüber hinaus bietet das UEFI eine detaillierte Systemübersicht und prüft die Festplatten, Treiber und Systeminformationen, um ihre Integrität zu gewährleisten. Ergänzend zur Prüfung von Hardware und Software erfüllt die UEFI auch die Systemanforderungen für die Nutzung der DBX (Denylist für Boot- und Ausführungsdateien). Da alle Komponenten werden kryptografische Signaturen signiert, um potenziell schädliche Elemente und gefährliche Rootkits zu blockieren. Insgesamt bietet UEFI durch die Kombination dieser Sicherheitsmaßnahmen ein vertrauenswürdiges und zuverlässiges Umfeld für das Starten und Betreiben des Systems.
Die Folge eines Schläfers muss nicht direkt ein Ausfall oder eine Funktionssperre sein. Ein Schläfer kann auch über eine sehr lange Zeit keinen Schaden verursachen, allerdings zu einem speziellen Zeitpunkt, beispielsweise nach einem Jahr, sich selbst aktivieren. Dann könnte es sein, dass Daten ungewünscht weitergesendet werden oder andere Aktionen im Hintergrund durchgeführt werden. Theoretisch sollten die softwarebasierenden Schutzmaßnahmen diese Trojaner erkennen, aber cleverere Hacker-Teams, sind geübt darin nicht sofort erkannt zu werden.
Die ergänzende Hardwaresicherheit nennt sich Secure Boot, indem schon während des Boot-Vorgangs (Start oder Neustart des Gerätes) Sicherheitsüberprüfungen stattfinden.
Wie funktioniert Secure Boot?
Bevor das Gerät gestartet wird, bzw. während des Boot-Vorgangs, findet eine Authentifizierung statt, indem der aktuelle Zustand und die laut Boot-Code im Hintergrund zu startenden Dienste, mit der ursprünglichen Herstellerversion verglichen werden. Über diesen Weg kann ausgeschlossen werden, dass die aktuell installiere Software- und Treiberumgebung (Boot-Image und Betriebssystem), zwischenzeitlich böswillige Komponenten während der Internetnutzung, automatisch und unbemerkt im Hintergrund installiert hat. Die Abfolge bzw. Reihenfolge der zu startenden Dienste und Treiber ist vergleichbar mit einem Code, der anhand von vertrauenswürdigen Sicherheitsmerkmalen im Zweifelsfall auf ungewünschte Differenzen der Installationsumgebung hinweist.
In der UEFI-Spezifikation, die über mehrere Versionen hinweg gereift ist, spielt Secure Boot eine wichtige Rolle, indem die Sicherheit des Startzustands auf dem Mainboard sicherstellt wird. Dabei wird die DBX (Denylist für Boot- und Ausführungsdateien) vor dem Laden des Betriebssystems überprüft. Die Treiber und Systeminformationen müssen signiert sein, um unautorisierte oder mit Rootkits versehene Dateien zu blockieren. Die Überprüfung der signierten Komponenten ist ein wichtiger Schutzmechanismus, der Rootkits und andere bösartige Elemente beim Startvorgang des Systems erkennt und so die Sicherheit auf Hardwareebenene, wie beispielsweise auf dem Mainboard gewährleistet.
Beispiel für Secure Booting
- Erzeugung von sicheren Schlüsseln / Zertifikat
- Erstellung eines Boot-Images
- Verwendung der Schlüssel zur Generierung des Boot-Codes
- Während des sicheren Startens (Secure Boot), werden zuerst die notwendigen Tools anhand der erzeugten Zertifikatsdaten überprüft
- Wenn die kryptischen Schlüsseldaten, Boot-Image und aufzurufenden Tools übereinstimmen, wird das Boot-Image ausgeführt. (Bootloader)
- Nachdem der Prozess das Boot-Image als sicher deklariert hat, wird das Betriebssystem-Image und somit die Softwarekomponenten authentifiziert
- Am Ende des Startvorgangs können Sie eine mehrstufig verifizierte und sichere Umgebung nutzen
Um diesen Artikel für jeden nachvollziehbar zu gestalten, gehen wir auf weitere Sicherheitsmechanismen für Secure Booting nicht ein, erwähnen diese jedoch wie folgt und empfehlen ein Gespräch mit unseren Experten im Netzwerk:
- Root-Schlüssel werden aus Ihrem Zertifikat generiert
- Root-Schlüssel werden gehasht und in den Prozessor gebrannt und kann somit nicht mehr verändert werden
- Signierung des Boot-Images mit demselben Zertifikat
- UEFI Secure Boot
- CPU interne Bootloader
- SHA Hashing Algorithmus (SHA-256)
- AES Blockverschlüsselung in Bitlänge AES-128 / AES-256
Secure Boot Beispiele
Grundsätzlich hilft Secure Boot dabei zu vermeiden, dass fremde und ungewünschte Komponenten geladen werden.
- Smartphone-Beispiel: Die Endbenutzer von Android-Geräten, könnten z.B. daran gehindert werden, dass benutzerdefinierte ROMs ausgeführt werden, so könnten Funktionen mittels Secure Boot eingeschränkt werden.
— - IP-Kamera Beispiel: Ohne Secure Boot könnte es passieren, dass das jeweilige Gerät Teil eines Botnetzwerks wird, indem die Kamera fremdgesteuert Bildmaterial ins Internet überträgt und dieses manipuliert und weiterverwendet.
— - Windows-Boot Beispiel: Secure Boot in der Windows-Welt ist nichts Neues, hat jedoch seit Windows 8 eine höhere Priorität erhalten. Der Grund war, dass die Windows-8-Lizenzierung ein aktiviertes Secure-Boot-Feature voraussetzt, um die Geräte nutzen zu können. Hardwarehersteller waren gezwungen, die Geräte mit Windows-8-Zertifikat und aktiviertem Secure Boot auszuliefern. Wurde ein Startvorgang vom USB-Stick gewünscht, musste das Secure Boot Feature deaktiviert werden.
Die Beispiele zeigen, dass ein Secure Boot immer dann Sinn ergibt, wenn Dritte keine Komponenten oder andere Betriebssysteme auf dem Gerät laden sollen.
Secure Boot Herausforderungen
Hardwarehersteller sind gezwungen, die neu entwickelte Hardware den Anforderungen entsprechend zu signieren und die entsprechenden Zertifizierungsschlüssel zu nutzen. Neben der Sicherheit führt sicherlich auch ein wirtschaftliches Interesse zu diesem Zwang.
Wenn man alte Hardware weiter nutzen möchte, im Sinne von Green IT, könnte Secure Boot hinderlich sein. Durch unzureichende Berücksichtigung der gesamten IT-Infrastruktur und der einzelnen Prozesse besteht die Gefahr, dass ein Secure Booting zu Produktivitätseinschränkungen führt, beispielsweise durch die Verweigerung eines Rechnerstarts.
Das von vielen IT-Experten als sicherstes Betriebssystem empfundene LINUX (im Vergleich zu Microsoft oder auch Apple, Android und Co.), führt teilweise zu Kompatibilitätsproblemen, die zufällig oder gewollt herbeigeführt werden. Alle Anwender, die sich mit alternativen Betriebssystemen auseinandersetzen, sollten hierauf ein gewisses Augenmerk legen.
Secure Booting in der Industrie
Die Industrie ist seit geraumer Zeit dabei, Anlagen und Maschinen an das Internet anzubinden. Oftmals führt die Unsicherheit hinsichtlich eines drohenden Stillstands dazu, dem Trend der Digitalisierung in der Fertigung nicht zu folgen. Doch nicht jedes Unternehmen kann sich dieser Entwicklung verweigern, wenn dies überhaupt sinnvoll ist! Zumindest Geräte- und Komponentenhersteller stehen unter dem Zugzwang eine Investitionssicherheit zu bieten und auf die Kompatibilität Ihrer Systeme, auch im Kontext IoT, zu achten.
Embedded Security
Im Zuge der Nachfrage für Embedded IoT wird auf allen Ebenen an der bestmögliche Sicherheit in der Produktion und deren Fertigungshallen gearbeitet. Organisatorisch entstehen teilweise eigene IT-Abteilungen, um den Fokus sicherzustellen. Diese nennen sich dann OT-Abteilungen (Operational Technology) und schaffen zudem neue Arbeitsplätze, z.B. durch einen Leiter OT. Im Vergleich zur IT soll die OT näher an den Anlagen und Maschinen sein, was dann auch teilweise ein Ingenieurswissen erfordert. Organisatorisch scheint das Bewusstsein in der Industrie geschaffen zu sein. Auch hardwaretechnisch werden Industriekomponenten teilweise schon mit integrierter Firewall bzw. integrierter Sicherheitstechnik ausgeliefert (Embedded Security).
Die Angriffsflächen in der Fertigung sind vielseitig. Sensoren, die Messdaten digitalisieren, welche bislang noch nicht bekannt waren, neue Softwarelösungen, welche unter anderem Daten mittels IoT-Technologie an Smartphones übertragen, aber auch integrierte IoT-Module in Anlagen und Maschinen, müssen strengstens abgesichert werden.
Wer aus der Windows-Welt kommt und sich frühzeitig auf das BIOS aufschalten musste, dem ist Secure Boot schon lange ein Begriff. Doch oft wird diese Basisabsicherung bei Anlagen, Maschinen und Industriekomponenten vergessen. Besonders bei einer agilen IIoT-Integration, bei der eine Maschine oder Fertigungslinie schrittweise mit dem Internet verbunden werden, ist es von großer Bedeutung, kontinuierlich sicherzustellen, dass nur gewollte und sichere Komponenten Zugang zum industriellen Internet haben, um autorisierte Dienste durchzuführen.
Fragen zur IIoT-Integration vorhandenen oder neu geplanten Industriekomponenten?
Wir freuen uns im Forum Experten für die IoT-Integration zu haben. Wenn Sie sich die Frage stellen, ob Sie alles Mögliche für die Internetsicherheit auf Hardwareebene getan haben, dann nutzen Sie unseren kostenlosen Vermittlungsservice durch das nachfolgende Kontaktformular. Wichtig ist es für Sie dabei zu wissen, dass es sich nicht nur um IT-Experten in unserem Netzwerk handelt, sondern um Entwickler von Hardware, die z.B. Ventilsteuerungssysteme im Sinne von IoT erweitert haben.
