Startseite > Office & Kommunikation > Alternative zu IPsec und VPN in der Fernwartung

M2M, Industrie 4.0, IoT

Alternative zu IPsec und VPN in der Fernwartung

1. Juli 2015, 9:49 Uhr | Dr. Ulrich Pilz, Wireless Netcontrol

Fortsetzung des Artikels von Teil 1

Neue Wege bei der Absicherung im Fernwirk- und Fernwartungsbereich

Vor diesem Hintergrund hat Wireless Netcontrol das Thema der Sicherheit von Fernwirk- und Fernwartungstechnik von Grund auf analysiert und die bekannten, zwar leistungsfähigen, aber ebenso angreifbaren Techniken auf den Prüfstand gestellt. Folgende Aspekte haben sich dabei als essenziell herauskristallisiert:

Die Ansprüche an moderne Fernwartung sind gestiegen. Die Anwender fordern verstärkt grafische Oberflächen und wollen jederzeit auf große Datenbestände zugreifen, zum Beispiel, um Zeitverläufe darzustellen oder statistische Auswertungen zu erstellen. Die dafür erforderlichen Daten und Nutzeroberflächen sollten aber zweckmäßigerweise zentral gespeichert, gesichert und geschützt werden.

Die in diesem Zusammenhang eingesetzten Front-End-Systeme beinhalten typischerweise leistungsfähige Kleinrechner, sehr oft auf Linux-Basis, die nur mit sehr viel Fachwissen und Aufwand sicher gemacht werden können. Für automatisierte Softwarewartung geöffnete Ports sollen diese Arbeiten automatisieren, bilden aber selbst ein hohes Sicherheitsrisiko für den Eintritt von Schadsoftware, die sich als Firmware-Update tarnt. Dabei benötigen die Front-End-Systeme einen Großteil der Parametrier- und Einstellfunktionen gar nicht, beziehungsweise diese werden praktisch nie genutzt.

Mit anderen Worten: Es ist im Prinzip nicht nötig, für einfache Aufgaben wie die Erfassung verschiedener Temperatur-Messwerte über das Internet auf einen Kleinrechner mit (unsicherem) Betriebssystem, 32 GByte Datenspeicher, Browser und E-Mail-Programm zuzugreifen.
Nicht zuletzt verführen die Leistungsfähigkeit der in den Front-End-Systemen verbauten Kleinrechner und die gewachsenen Möglichkeiten des Internets zu einem hohen, vielfach völlig sinnlosen Datentraffic, indem über das Internet auf die lokalen Bedienoberflächen des Front-End zugegriffen wird.

Um regelmäßig einen Satz von zehn Temperatur-Messwerten abzurufen, würde es reichen, genau diese Werte vom Front- zum Back-End zu transportieren. In der Realität werden aber ganze grafische Bedienoberflächen auf dem Front-End aufgerufen und dann darüber hinaus zum Back-End transferiert. Dies erfolgt in jedem Einzelfall wieder aufs Neue. Wären die Informationen von vornherein bereits beim Back-End verfügbar, wäre damit sogar der Komfortzuwachs verbunden, dass das Benutzer-Interface schneller zur Verfügung stünde.