PKI und Zertifikate für die Industrie IoT: Was sie sind und warum Sie sie brauchen

Cybersecurity must be a top priority for every industrial company: not only because of the increasing threat of cyber attacks, but also because compliance with security regulations such as CRA (Cyber Resilience Act) and NIS2 is more important than ever. 

Und alles beginnt mit dem Zertifikatsmanagement und der Public Key Infrastructure (PKI), die die grundlegenden Bausteine für die Umsetzung und Einhaltung von Cybersicherheitsvorschriften darstellen. Hier ein Blick auf das, was nötig ist.

Beweggründe und Herausforderungen der industriellen digitalen Transformation

Die Digitalisierung des Netzes der industriellen Betriebstechnik findet in diesem Moment statt. Überall öffnen Unternehmen bisher geschlossene Netzwerkumgebungen für die Welt der Cloud-Konnektivität und verteilten Dienste.

Whereas the industrial network has traditionally followed a very clear and structured communication pyramid from the field to the enterprise level, these communications are now opened up to the point where each part and sensor can communicate with any other actor in the service mesh.

Diese neue Verbindungsebene bietet aufgrund ihrer Flexibilität enorme Vorteile, wirft aber auch neue Fragen zu Sicherheit und Vertrauen auf. Daher ist es absolut notwendig, ein neues Sicherheitsparadigma für die Industrie 4.0 zu etablieren, bei dem die Sicherheit in jeden Schritt des Weges integriert ist. Mit einer soliden und robusten PKI (Public Key Infrastructure) als Grundlage für das Vertrauen in die Prozesse und Verfahren.

Der Stand der PKI-Normen und Vorschriften für die Industrie IoT

Bis vor kurzem glichen die Normen und Vorschriften für die notwendige PKI-Sicherheit für die Industrie IoT dem Wilden Westen. Aber glücklicherweise hat sich das in den letzten Jahren geändert. Und wir stehen gerade erst am Anfang.

Es gibt inzwischen mehrere Normen und Vorschriften für die Industrie IoT:

62443 IEC standard: This standard offers a basic framework for the security and functionality of the machinery and component manufacturing environment. It’s a very solid framework on which all of the upcoming regulations and directives rely since it gives clear guidelines in terms of product development, service providers, operators, machine builders, and what’s required to reach a dedicated security level, as well as which functionality is needed to implement those guidelines. It’s important to note that PKI is one of the main building blocks of this standard.

Cyber Resilience Act, NIS2, and Machinery Directive: These EU regulations and directives provide requirements for products with digital elements, overall cybersecurity standards, and how to increase trust in digital technologies. Organizations must now consider how to fulfill these requirements within their infrastructure.

IEEE 802.1 AR Secure Identity standard: This is an older standard, but it provides a guide for issuing secure device and machine identities. It’s referenced in many other standards, such as OPC 10000-12, which governs discovery and global services, including the need for a built-in certificate management service, and OPC 10000-21, which looks at secure device onboarding.

RFC 8995 (BRSKI): This standard addresses bootstrapping remote secure key infrastructure, which takes a different angle to secure device onboarding, with the same goal as the OPC standard of bringing devices into a network in such a way that teams can trust in the network in front of them.

Since the 62443 IEC standard underpins everything else, it’s important to understand exactly what it entails. This is a suite of international standards focused on cybersecurity for industrial automation and the control system environment. It splits the market into the component manufacturer, the machine builder, and the plant operator, with the goal of establishing a trusted and secure relationship between each one. 

Die Norm 62443 definiert mehrere Anforderungen, die erfüllt werden müssen, darunter Identifizierung und Zugangskontrolle, Nutzungskontrolle, Systemintegrität, Vertraulichkeit, Datenfluss und Verfügbarkeit. Letztlich müssen die Unternehmen PKI-Technologie einsetzen, um diese Anforderungen zu erfüllen. Sie benötigen beispielsweise eine ordnungsgemäße Identifizierung und Zugriffskontrolle, um Zertifikate ausstellen zu können, eine ordnungsgemäße Codesignierung und Over-the-Air-Update-Prozesse, um die Systemintegrität zu gewährleisten, und eine TLS -Verbindung, um die Vertraulichkeit der Daten zu wahren.

Der Standard sieht außerdem Sicherheitsstufen von null bis vier vor, die sich auf Hacking-Szenarien, Ressourcen, Fähigkeiten und Motivation stützen und die notwendigen Maßnahmen vorgeben, die ergriffen werden müssen. Ab Stufe 2, die ein einfaches Szenario für einen Hacker mit geringen Ressourcen, allgemeinen Kenntnissen und geringer Motivation abdeckt, wird PKI obligatorisch.

Mit PKI die Vertrauensbasis für digitale Identitäten schaffen

Wie genau kommen all diese Leitlinien in der Praxis zusammen? Letztlich sind digitale Zertifikate (verwaltet durch PKI) die Vertrauensgrundlage für die gesamte sichere Kommunikation. 

On the authentication side, having all components certificate-enabled ensures that only authenticated communication parts can connect to the OT environment and establish a trusted communication network. On the signing side, having signing and encryption functionality based on X.509 certificates protects against data interception for all communications, including software updates, over-the-air updates, and more.

Diese Anforderungen sind jedoch nur so gut wie die implementierte Technologie und Governance. Leider sind diese Implementierungen oft unzureichend. Viele Unternehmen haben beispielsweise Probleme mit selbstsignierten Zertifikaten, die nicht verwaltet werden und zu Ausfällen führen können. Diese Situationen können zu ernsthaften Schwachstellen führen.

Um das Problem zu verstehen, das sich dahinter verbirgt, muss man sich mit TLS befassen, das die Grundlage für viele Protokolle in der OT-Umgebung ist, um eine sichere Verbindung herzustellen. Dies geschieht in zwei Schritten:

1. TLS Handshake: Authentifizierung des Kommunikationspartners durch Abfrage eines Zertifikats
2. TLS aufzeichnen: Verwendet den symmetrischen Schlüssel, um einen sicheren Kommunikationskanal aufzubauen

But what if you use a self-signed certificate? A self-signed certificate means that someone generates a certificate on their own, similar to writing your name down on a piece of paper and presenting that to border control as your passport. There’s simply no proof of identity and no basis for trust. Beyond that, the expiration date for the certificate is completely unmanaged, which creates further challenges for future authentication.

Ein ordnungsgemäß verwaltetes PKI-Programm löst dieses Problem, indem es eine vertrauenswürdige Infrastruktur mit den erforderlichen Grundeinheiten schafft:

• Ausstellung von digitalen Identitäten in Form von X.509-Zertifikaten
• Verknüpfung jeder Identität mit einem kryptografischen Schlüssel
• Überprüfung der Vertrauenswürdigkeit des Emittenten

Auf diese Weise entsteht eine vertrauenswürdige digitale Identität für Geräte und Einheiten wie Server und Komponenten. Da ein zentralisiertes PKI-Programm die Zertifikate ausstellt, können die Sicherheitsteams sie über ihren gesamten Lebenszyklus hinweg verwalten und nachverfolgen, so dass eine nahtlose Erneuerung möglich ist, wenn Zertifikate ablaufen oder gefährdet sind.

Die Zukunft von PKI und Zertifikaten für die Industrie IoT

Inzwischen gibt es mehrere Vorschriften und Richtlinien, die klare Standards für die Verwendung von PKI und X.509-Zertifikaten in der Industrie IoT und darüber hinaus geschaffen haben. Und wir werden in Zukunft noch mehr Standards sehen.

Vor diesem Hintergrund muss jedes Unternehmen, das in der Industrie tätig ist IoT , eine klare und zielgerichtete PKI-Strategie haben, die auf ihrem Anwendungsfall basiert und auf einer skalierbaren Infrastruktur aufbaut.

Keyfactor Command and EJBCA Enterprise are examples of modern PKI solutions built to support this focus and scalability. A version of EJBCA is also offered as an open-source solution, available in an extensive GitHub repository, which provides a variety of samples, especially for the industrial world, of how to implement and configure certificates for device and machine identities based on today’s standards. You can also find Keyfactor in the Node-RED, where you can use EJBCA nodes in your workflow engine to design your workflows and implement PKI management and fetching mechanisms directly into the Node-RED workflow engine.

Schließlich hat sich Keyfactor vor kurzem einem neuen Projekt namens TrustPoint angeschlossen, mit dem Ziel, eine PKI-Lösung als open-source Stack für den Maschinen- und Anlagenbau zu entwickeln. Diese Lösung basiert auf der Erkenntnis, dass man insbesondere im Maschinenbau keine vollwertige PKI benötigt, sondern eher einen kleinen, dedizierten, offline verfügbaren Dienst, der Zertifikate in der Umgebung ausstellen und verwalten kann.

Ready to learn more? Watch our recent webinar on PKI and certificates for the industrial IoT.