Embedded-Systeme gegen Hacker absichern

Anbieter zum Thema

MicroConsult Microelectronics Consulting & Training GmbH

Parasoft® Deutschland GmbH

Karamba Security GmbH

Embedded-Systeme sind weniger leistungsfähig als klassische IT-Systeme und haben einen wesentlich längeren Lebenszyklus. Sicherheit für Embedded Systems braucht folglich neue Konzepte, die die Eigenheiten des Internet of Things (IoT) berücksichtigt – zum Beispiel einen deterministischen Ansatz.

Industrie 4.0 und Industrial IoT verändern die Produktion, in Fabrikanlagen verbreiten sich vernetzte Maschinen. Im Unterschied zu den abgeschlossenen Produktionsstätten der Vergangenheit eröffnet die Vernetzung mit dem Internet neue Angriffsvektoren wie beispielsweise Malware oder Hacking. Durch die Vernetzung auf der Basis von IT-Standards ähneln Werkzeugmaschinen und Industriegeräte nun einem herkömmlichen Computer und müssen mit vergleichbaren Vorkehrungen abgesichert werden. Doch viele erprobte Verfahren, die in einem Rechenzentrum erfolgreich sind, eignen sich nicht für vernetzte IoT-Geräte.

Industrieanwendungen benötigen kleinen Footprint

Der Grund: IoT-Geräte sind eine stark begrenzte Systemumgebung. Dies betrifft vor allem Embedded Systems in Maschinen und Anlagen. Bei ihnen sind Hauptprozessoren, Speicher und Eingabe/Ausgabe wenig leistungsfähig und bei vielen Anwendungen auch weitgehend ausgelastet. Die Systeme werden häufig aus Kostengründen möglichst sparsam ausgelegt, aber auch um in bestimmten Einsatzszenarien Strom zu sparen. Deshalb sind herkömmliche Security-Konzepte mit hohem Leistungsabruf von vornherein ausgeschlossen.

Notwendig sind Sicherheitsanwendungen mit einem kleinen binären Footprint, sowohl auf den Speichermedien als auch im Arbeitsspeicher. Die Anforderung gilt auch für Updates der Security-Lösung. Wegen der enormen Dynamik in der Entwicklung von Malware gibt es in Rechenzentren teilweise mehrmals täglich ein Update von Signaturdatenbanken. Dies lässt sich in der begrenzten IoT-Systemumgebung nicht nachbilden und unter der Annahme von Tausenden vernetzten Geräten wären auch die besten Breitbandnetze überfordert.

Versiegelung von geschlossenen Industriesystemen

Kurz: IoT-Security sollte anderen Sicherheitskonzepten folgen als IT-Security. Vernetzte Industriegeräte sind geschlossene Systeme, die häufig über einen langen Zeitraum ohne Benutzereingriff von außen auskommen müssen. Experten sprechen hier von deterministischen Systemen, die endlich viele Operationen ausführen, welche allesamt in der Firmware der Geräte definiert sind. Die Folge aus Security-Sicht: Jede nicht in der Gerätesoftware vorgesehene Operation kann als Hackerangriff interpretiert und entsprechend abgewehrt werden.

Die Software von Maschinen und Anlagen im Industriebereich muss gegen verschiedene Arten von Angriffen versiegelt werden. Anbieter wie Karamba Security verfolgen dabei einen neuartigen Ansatz: Auf Basis einer statischen Analyse ermittelt die Lösung, welche Funktionsaufrufe gültig sind. Technisch ausgedrückt überprüfen sie dabei die Control-Flow-Integrity (CFI). Anhand eines Aufrufdiagramms stellt die Firmware zur Laufzeit sicher, dass nur legitime Funktionsaufrufe ausgeführt werden können. Dadurch wird beispielsweise jeder Versuch blockiert, Malware direkt in den Speicher zu laden – ein typisches Einfallstor für Cyberkriminelle.

Whitelisting vereinfacht die Überprüfung

Die Firmware wird sie mit einer Whitelist-Komponente ergänzt. Diese enthält eine Datenbank mit den Signaturen aller legitim ausführbaren Binärdateien, beispielsweise Anwendungen und Systembibliotheken. Sobald eine Binärdatei geladen wird, berechnet die Security-Software ihre eindeutige Signatur und vergleicht sie mit der Signatur aus der Datenbank. Kommt es hier zu Abweichungen, wird die Ausführung der jeweiligen Binärdatei verhindert.

Control-Flow-Integrity und Whitelisting erkennen Angriffe, bevor das System kompromittiert wird. Dadurch kann sich das Gerät vor Angriffen schützen, ohne auf Patch-Updates über die Verbindung mit einem Netzwerk angewiesen zu sein. Gerade in Szenarien, in denen eine ständige Verbindung zu einem Netzwerk nicht garantiert werden kann, können nicht oder verspätet ausgeführte Aktualisierungen zu Sicherheitsverstößen führen. Deshalb ist eine Lösung besser, die nicht auf Updates angewiesen ist.

Funktions-Updates sind auch weiterhin möglich

Deterministische Sicherheit hat zudem einen weiteren Vorteil gegenüber herkömmlichen Security-Ansätzen: Sie vermeidet Fehlalarme, also „False Positives” genauso wie „False Negatives”. Wenn eine Lösung Datenbanken mit Angriffstechniken und Malware-Signaturen einsetzt, gibt es regelmäßig False Positives. Bei Systemen mit hohem Datendurchsatz ist ein Fehlalarm sogar wahrscheinlicher als ein echter Angriff. Dies führt in der Industrie zu vermeidbaren Produktionsausfällen, die letztlich einen Umsatzverlust und Kosten für die Fehlerbehebung verursachen.

Doch es ist eine schlechte Idee, ein IoT-Gerät vollständig abzuschirmen. Neben dem Datenaustausch, der zum Zweck des Systems gehört, sind auch zusätzliche Datenflüsse notwendig. Hersteller möchten ihre Geräte mit Softwareaktualisierungen ausstatten, beispielsweise um Fehler zu verbessern und Funktionen zu ergänzen. Diese Updates müssen trotz der Versiegelung der Geräte durch die Security-Lösung möglich sein. Der Weg dahin: Der Aktualisierungsmechanismus wird auf die Sicherheitslösung erweitert, sodass bei einem Update neue Komponenten in der Whitelist erscheinen, wie es auch bei einem „fabrikneuen“ Build der Software wäre.

Anforderungen an IoT-Security in der Produktion steigen

Nebenbei: Natürlich müssen alle Update-Routinen ebenfalls maximale Sicherheit bieten. Dies wird üblicherweise durch den Einsatz einer verschlüsselten Verbindung mit HTTPS und einer Ende-zu-Ende-Verschlüsselung der eigentlichen Nutzdaten erreicht. Dadurch ist die Verbindung abhörsicher und die Daten werden vor der Übertragung verschlüsselt und nach dem Empfang entschlüsselt. So wird verhindert, dass Cyberkriminelle Schadcode in die Übertragung einschleusen.

Diese Erläuterung zeigen, dass die formalen Anforderungen mit zunehmender Komplexität der Industriesysteme steigen. Dabei ist für die Hersteller sehr wichtig, die bekannten Normen für funktionale Sicherheit (Safety) ebenso zu berücksichtigen wie Aspekte der Cybersicherheit (Security). Mit zunehmender Konnektivität im Rahmen von Industrie 4.0 muss beides genauso berücksichtigt werden. Die Hersteller müssen sie deshalb in ihrer Produktentwicklung integrieren und Cybersecurity direkt bei der Konzeption von Maschinen und Geräten berücksichtigen. Denn nachträgliche Patches sind für die Sicherheit von Embedded Systems keine (gute) Lösung.

Warum Patches für Embedded Security keine Lösung sind

Über den Autor: Rainer Witzgall ist Managing Director Deutschland bei Karamba Security und verfügt über langjährige Erfahrung in den Bereichen Cybersicherheit und Software für die Automobil- und IoT-Industrie.

Dieser Beitrag stammt von unserem Partnerportal Security-Insider.com.

(ID:46457478)