Warum PKI für industrielle Steuerungssysteme so wichtig ist

Lange Zeit durch die Abschottung vom Netz geschützt, sehen sich Unternehmen im Industriesektor nun mit zunehmenden Cyberrisiken konfrontiert. Die Konvergenz von IT und Betriebstechnologie (OT) schafft neue Möglichkeiten für Effizienz und Innovation - und birgt die Möglichkeit eines Missbrauchs.

Industrielle Automatisierungs- und Steuerungssysteme (IACS) geraten zunehmend ins Visier von Bedrohungsakteuren. Im Gegensatz zu IT-Umgebungen sind OT-Systeme oft von Drittanbietern und Auftragnehmern abhängig, was leider oft zusätzliche Türen für böswillige Akteure offen lässt.

The risks of compromise for essential infrastructure are catastrophic. To mitigate risk, organizations must adopt a defense-in-depth approach, guided by the horizontal standards in IEC 62443. Encryption is a critical component of this strategy, providing a safeguard against data interception, manipulation, and unauthorized access. 

Im Folgenden werden die spezifischen Herausforderungen der industriellen Cybersicherheit, die Bedeutung der Verschlüsselung und die Implementierung von PKI zum Schutz kritischer Infrastrukturen näher erläutert.

Was ist IEC 62443?

The IEC 62443 series provides a comprehensive framework for securing industrial control systems (ICS). Unlike IT systems, ICS have unique characteristics and stringent performance, availability, and longevity requirements. Moreover, the consequences of a successful attack on industrial systems can be far more severe, potentially leading to environmental disasters or loss of life. 

IEC 62443 addresses these challenges by adopting a holistic approach encompassing not only technology but also human factors, work processes and countermeasures. The standard, developed in collaboration between government and industry, emphasizes risk-based methodology, focusing on protecting critical assets while maintaining operational efficiency. 

Der Rahmen besteht aus vier Hauptteilen: 

• General: Establishing foundational concepts, terminology, and models for IACS security. 
• Policy & Procedures: Outlining methods and process to implement and manage IACS security programs, including patch management and security service provider requirements. 
• System: Focusing on the system-level security of tools, risk assessments, and overall security requirements.
• Components & Requirements: Providing detailed security specifications for individual embedded devices, network components, and software applications.

Die IEC 62443 spielt eine wichtige Rolle beim Schutz kritischer Infrastrukturen und bei der Minderung der mit Cyberangriffen verbundenen Risiken, und auch die Kryptographie spielt eine wichtige Rolle beim erfolgreichen Schutz industrieller Netzwerke. 

Wie passt PKI in die IEC 62443?

Die Public-Key-Infrastruktur (PKI) - ein kryptografisches System für die Erstellung, Verwaltung, Verteilung, Speicherung und den Widerruf von digitalen Zertifikaten zur Überprüfung der Identität von Entitäten in der elektronischen Kommunikation - ist besonders für die Transport- und Anwendungsschichten von industriellen Automatisierungs- und Steuerungssystemen relevant. Diese Schichten sind verantwortlich für die Übertragung und Strukturierung von Daten zwischen der digitalen Architektur Ihres gesamten InVeKoS, einschließlich Geräten wie z. B.: 

• Programmable Logic Controllers (PLCs): Industrial computers controlling machines and processes
• Remote Terminal Units (RTUs): Devices that collect data from sensors and control equipment in remote locations

• Supervisory Control and Data Acquisition (SCADAs): Systems that monitor and control industrial processes, including PLCs and RTUs, to enable high-level supervision over wide surface area
• Human-Machine Interfaces (HMIs): Interfaces allowing humans to interact with machines and processes

The transport layer ensures reliable data delivery through protocols like HTTPS and TLS, which encrypt data in transit. Meanwhile, the application layer defines how data is structured and exchanged, using protocols like Modbus, OPC and DNP3. While these protocols have their own security mechanisms, they often rely on PKI for authentication and encryption. 

Durch die Nutzung von Zertifikaten und vertrauenswürdigen Zertifizierungsstellen (CAs) schafft PKI einen robusten Vertrauensrahmen innerhalb des industriellen Steuerungssystems. Dadurch wird sichergestellt, dass nur autorisierte Geräte und Systeme miteinander kommunizieren können, wodurch das Risiko eines unbefugten Zugriffs und einer Datenmanipulation gemindert wird. Der "digitale Pass" der PKI verifiziert die Identität jeder Einheit innerhalb des Netzwerks und erhöht die allgemeine Sicherheit gegen unerwünschtes Eindringen. 

Ohne Kryptografie und Zertifikate können unbefugte Benutzer Daten abfangen, sich in Systemen verstecken und bewegen und Schwachstellen für böswillige Zwecke ausnutzen. Ein robustes PKI-Verwaltungssystem blockiert diese unbefugten Zugangspunkte und zwingt jede digitale Identität, ihre Authentizität zu beweisen, bevor der Datenaustausch fortgesetzt wird.

Was betrifft die PKI noch?

Neben der Sicherung der Datenübertragung spielt die PKI eine zentrale Rolle bei mehreren anderen kritischen industriellen Sicherheitsprozessen: 

• Code signing: Encrypted code signing prevents malicious code injection and guarantees that only authorized software is executed. 
• Secure boot: Secure boot protects device startup by verifying the digital signatures of bootloaders and firmware, preventing unauthorized modifications. However, many secure boot implementations rely on native asymmetric cryptography instead of PKI, which can pose risks. While this approach leverages the chip’s built-in security, it often creates dependency on the chip vendor, potentially impacting your product security strategy.

• Over-the-air (OTA) updates: PKI secures the distribution and installation of software updates, protecting against tampering and ensuring only legitimate updates are applied.
• Mobile code execution: PKI authenticates and authorizes the execution of dynamic code, mitigating the risks associated with malicious scripts or applications.

Das PKI-Netz kommuniziert zwischen IT- und OT-Systemen. PKI sichert die Verteilung und den Austausch von Schlüsselmaterial zwischen Geräten und Systemen und ermöglicht den Schutz der Schlüssel selbst vor unbefugter Manipulation. Eindeutige Maschinenidentitäten, die jedes Gerät zur gegenseitigen Authentifizierung kennzeichnen, stellen sicher, dass nur autorisierte Geräte auf Netzwerke und Dienste zugreifen können. 

Bei all diesen Prozessen nutzt PKI die Leistungsfähigkeit der Kryptografie, um einen vertrauenswürdigen Rahmen für industrielle Automatisierungs- und Steuerungssysteme zu schaffen, indem jedes Gerät gezwungen wird, seine Authentizität jedes Mal zu beweisen, anstatt von seiner Vertrauenswürdigkeit auszugehen. Selbst wenn Cyber-Angreifer es auf Drittanbieter abgesehen haben, kann PKI sie daran hindern, Ihre Systeme zu erreichen. Für IACS, wo Zuverlässigkeit, Sicherheit und Betriebskontinuität an erster Stelle stehen, ermöglicht PKI die Authentifizierung, Validierung und Absicherung der wichtigsten Elemente der Infrastruktur Ihres Unternehmens gegen Angreifer. 

Die Automatisierung treibt Ihre Systeme an, und sie treibt auch Ihre Cybersicherheit an.

Large-scale industrial operations with numerous devices and systems need automated PKI management tools to consistently protect PKI exchanges across the environment and streamline certificate lifecycle management from issuance and deployment to revocation and renewal. Relying on manual processes for issuing, renewing, storing and revoking certificates just doesn’t make sense–especially when your production line likely uses automation itself.

Eine automatisierte PKI-Verwaltung reduziert den Verwaltungsaufwand für Ihr Sicherheitsteam und minimiert menschliche Fehler, genau wie in Ihren Anlagen, Fabriken und Lagern. Darüber hinaus unterstützt die automatisierte PKI-Verwaltung Unternehmen dabei, die Einhaltung von Standards wie IEC 62443 - oder anderer für Ihre Branche wichtiger Compliance-Kontrollen - zu erreichen und zu gewährleisten.

Integrating industrial PKI management alongside your other security controls creates a comprehensive and layered approach to cybersecurity that complements the holistic strategy of IEC 62443. 

Industrielle Cyber-Resilienz schützt kritische Systeme

Da die Bedeutung der Cybersicherheit weiter zunimmt, werden sich der IEC 62443 wahrscheinlich weitere Normen und Rahmenwerke anschließen, die eine Strategie der Tiefenverteidigung für industrielle Steuerungssysteme fördern. Die PKI spielt in dieser Strategie eine zentrale Rolle. Sie bildet die Grundlage für digitales Vertrauen und Sicherheit im gesamten industriellen Umfeld, indem sie die Datenübertragung sichert, das Signieren von Code ermöglicht, Firmware schützt und sichere Updates ermöglicht. 

Die Entwicklung hin zu einer vollständig sicheren Industrieumgebung ist zwar noch nicht abgeschlossen, aber Unternehmen, die mit älteren Geräten arbeiten, sollten jetzt proaktive Maßnahmen ergreifen. Komponenten von Industriesteuerungssystemen, die das Ende ihrer digitalen Lebensdauer erreicht haben, erhalten möglicherweise nie wieder ein Sicherheitsupdate vom Entwickler, wodurch Cyberangriffen Tür und Tor geöffnet werden. Verringern Sie das Risiko von IACS und schützen Sie Ihre Abläufe, indem Sie einen risikomindernden Ansatz und Sicherheitstechnologien wie PKI-Management für industrielle Steuerungssysteme anwenden.

Accelerate your journey to IEC 62443 compliance and protect your business by implementing PKI solutions from expert advisors like Keyfactor. Enterprise tools can give you visibility and automate control over your organization’s PKI to avoid critical outages and prevent exploitation. 

Ready to see the possibilities of PKI in action? Request a demo and start securing your organization’s future.