Architekturen und Schutz der Kommunikation von CPS

Transkript

1 Universität Stuttgart Institute of Industrial Automation and Software Engineering Prof. Dr.-Ing. Dr. h. c. P. Göhner Architekturen und Kommunikation von CPS Prof. Michael Weyrich IoT / CPS Workshop im Rahmen von MicroTEC 30. Oktober 2013

2 Mikrosysteme und CPS digitalisieren unsere Lebenswelt Quelle: comsoc.org/blog; blog.cebit.de; VDMA/ZVEI/Bitcom; acatech 2

3 Gliederung CPS im Einsatz in der Industrie 4.0 Angriffsvektoren Beispielprozess - Kommunikation Architektur des Schutzes Realisierung und Demonstrator 3

4 Beispiel: Industrie 4.0 Szenarios zur Produktkonfiguration Univ.-Kooperation zw. Automatisierungstechnik und Informatik Anwendungsidee MyJoghurt: Der Kunde kann über das Internet eine beliebige Menge frei konfigurierbaren Joghurt bestellen, der auf unterschiedlichen Anlagen gefertigt wird. Bildquelle: [Christian Diedrich, OvGU] Forschungsaspekte Virtuelle Zuteilung der Anlage Anlagenoptimierung Rekonfigurierbarkeit Diagnose / Fehlerprävention

5 Forschungsverbundanlage - Vernetzung über das Internet mit Virtual Private Network sowie auf der Feldebene mit CAN Network Management - Web Based Enterprise Management (WBEM) Cloud-Dienst zur Validierung eingebetteter Systeme Systemübergreifende Diagnose mit Service-orientierter Architektur Planung von Aufträgen an die Produktionsanlagen über Agenten Bildquelle: [Christian Diedrich, OvGU]

6 Angriffesvektoren Angriffe von höheren Ebenen Angriffe von unten mit physischem Zugriff Absicherung durch Standard- IT-Schutz Angriff von höheren Ebenen Technischer Prozess Angriff mit physischem Zugriff Für die Eigenschaften der Feldebene geeigneter Schutz erforderlich Eigenschaften der Feldebene Unterschiedliche Technologien unterschiedliche Verwundbarkeiten Variable, zumeist geringe Ressourcen Enge Kopplung 6

7 Forschung zum Kommunikation am IAS Sind Automatisierungssysteme über die Feldebene angreifbar? Anlage Kraftfahrzeug Aufzug Angriffsarten Abhören Manipulation inhaltlicher Integrität Erzeugung eigener Daten Manipulation zeitlicher Integrität (z.b. senden abgehörter Botschaften) Manipulation der Funktionalität (z.b. Verändern der Firmware) 7

8 Angriffe auf IAS-Modellprozess Aufzug (1) Ereignisgesteuerter Bus mit zufälligem Buszugriffsverfahren (CSMA/CA) CAN-Bus IAS-WebBoard Angreifer E/A-Knoten Manipulation des Buszugriffs Vortäuschung ständiger Busbelegung durch kontinuierliches Senden von hochprioren Nachrichten Keine Buskommunikation mehr möglich Auswirkungen: z. B. Aufzug kollidiert mit Schacht-Ende, Motor schaltet sich nicht ab. 8

9 Angriffe auf IAS-Modellprozess Aufzug (2) Angriff auf Adressierung CAN-Bus IAS-WebBoard Angreifer E/A-Knoten Manipulation der Adressierung Aufzug verwendet Nachrichten-ID zur Identifikation des Absenders Senden der Nachricht Tür geschlossen mit Absender-ID des Tür-Knotens Auswirkung: Aufzug fährt trotz offener Tür an (c) (c) IAS, IAS, Universität Stuttgart, Prof. Felix Dr.-Ing. Gutbrodt Michael Weyrich 9

10 Entwurf des Schutzes zur Detektion von Manipulationen Mehrfachverwendung gleichartiger Operationen durch unterschiedliche Schutzfunktionalitäten Vertraulichkeit inhaltlichen Integrität Modulare Schutzmechanismen 5 Codeüberwachung 4 Zeitmarkierungen Feldgerätefunktionalität zeitlichen Integrität Autorisierung Identifikationsmerkmal / Rechte Hashfunktionen Verschlüsselung 11

11 Architektur des Schutzes zur Detektion von Manipulationen Schutzmechanismen bauen auf anderen Schutzmechanismen auf Vertraulichkeit inhaltlichen Integrität Codeüberwachung Feldgerätefunktionalität Zeitmarkierungen Identifikationsmerkmal / Rechteverwaltung zeitlichen Integrität Eigenschaften der Architektur Anpassbar Ressourcenschonend Echtzeitfähig Autorisierung Hashfunktionen Verschlüsselung Modulare Schutzfunktionalitäten und Schutzmechanismen Mehrfachverwendung, Auswahl ressourcenschonender Module Festlegung von Mechanismen, Auswahl zeitl. deterministischer Module 12

12 Realisierung des Schutzes Komponentenbasierte Realisierung mittels Softwarekomponenten Realisierung der Softwarearchitektur Strukturierte Programmiersprache (C) Funktionsentwicklung durch Auswahl, Verknüpfung und Parametrierung Werkzeugunterstützung Auswahl, Verknüpfung, Parametrierung Codegenerierung Schutzschicht 2 Schutzschicht 1 13

13 Demonstrator Kfz-Steuergerätenetzwerk mit unterschiedlichen Feldgerätetypen und Feldbusse Evaluierung der Schutzwirkung durch Penetrationstests Durchführung von Angriffen Auswertung der Reaktionen des Systems Messung des Ressourcenkonsums 45 kb (ROM) 14

14 Zusammenfassung Schutzkonzept zur Absicherung der IT Sicherheit auf der Feldebene von Automatisierungssystemen Verwendung bewährter Funktionsprinzipien der IT Sicherheit Wirksam gegen Manipulationen Modular Hohe Anpassbarkeit Ressourcenschonender Entwurf und Implementierung Hohe Effizienz Ressourcen Schutzumfang Schutzstärke 15