IT-Secu­ri­ty bis in die Steuerung

Die Con­trol­ler PFC100 und PFC200 von WAGO kodie­ren Daten nicht nur mit­tels SSL/TLS 1.2 in der Steue­rung, son­dern über­tra­gen die­se via VPN-Tun­nel auch sicher in über­ge­ord­ne­te Systeme.

IoT-Anwen­dun­gen erfor­dern zuver­läs­si­ge Auto­ma­ti­sie­rungs­tech­nik – gera­de mit Blick auf das The­ma der IT-Sicher­heit. Schließ­lich sind Pro­duk­ti­ons­da­ten ein wert­vol­les Gut – und müs­sen beson­ders geschützt wer­den. Die Con­trol­ler PFC100 und PFC200 von WAGO tra­gen die­sen Ent­wick­lun­gen Rech­nung. Sie zeich­nen sich durch ein platt­form­über­grei­fen­des Real­time-Linux aus, das als Open-Source-Betriebs­sys­tem lang­zeit­ver­füg­bar, ska­lier­bar und updatefä­hig ist und Tools wie Rsync unter­stützt. Sie sind dem­entspre­chend auch als Secu­re-Gate­way ein­setz­bar. Die instal­lier­te Linux®-Basis unter­stützt nicht nur wesent­li­che Sicher­heits­pro­to­kol­le, son­dern sorgt auch dafür, dass die­se dank der gro­ßen Linux®-Community auch stän­dig wei­ter­ent­wi­ckelt wer­den. Die WAGO-Con­trol­ler sind somit weni­ger eine ein­fa­che SPS, die zusätz­lich noch in der Lage ist, Daten in die Cloud zu schi­cken, als viel­mehr ein voll­wer­ti­ger Linux®-Rechner, der ganz neben­bei auch noch CODE­SYS-SPS-Run­ti­me unter­stützt. Ein wei­te­rer Plus­punkt: Es kön­nen außer­dem ver­schie­de­ne Schnitt­stel­len und Feld­bus­se wie CANopen, PROFIBUS DP, Device­Net und Mod­bus-TCP her­stel­ler­un­ab­hän­gig bedient werden.

Sicher­heit auf allen Ebenen

Die WAGO-PFC200-Fami­lie ist außer­dem für die Umset­zung der aktu­ell höchs­ten Sicher­heits­an­for­de­run­gen gemäß der ISO-27000-Rei­he auf­ge­stellt – je nach Ein­satz und Risi­ko­ana­ly­se. Sie bie­tet Onboard-VPN-Funk­tio­na­li­tät basie­rend auf dem soge­nann­ten „Strong­s­wan Packa­ge“ und dem OpenVPN-Paket, einer siche­ren Kom­mu­ni­ka­ti­ons­lö­sung für Linux®-Betriebssysteme. Dar­über hin­aus kön­nen die Daten bereits im PFC200-Con­trol­ler mit­tels SSL/TLS‑1.2‑Verschlüsselung (Secu­re Sockets Layer/Transport Lay­er Secu­ri­ty) kodiert wer­den. Einen VPN-Tun­nel baut die­ser dann direkt über IPsec oder OpenVPN auf und über­trägt die Daten, wenn gewünscht, sogar kabel­los in die Cloud. Wäh­rend IPsec auf Betriebs­sys­tem­ebe­ne bzw. Lay­er 3 ver­schlüs­selt, sorgt OpenVPN auf der Anwen­dungs­ebe­ne (Lay­er 5) für Daten­in­te­gri­tät. So ent­ste­hen abhör- und mani­pu­la­ti­ons­si­che­re Kom­mu­ni­ka­ti­ons­ver­bin­dun­gen zwi­schen den Con­trol­lern und den Netz­zu­gangs­punk­ten. Auch ein vor­ge­schal­te­ter VPN-Rou­ter ist nicht mehr erfor­der­lich. Bei der Kom­mu­ni­ka­ti­on mit einem PFC200-Con­trol­ler wird eine ver­schlüs­sel­te LAN/­WAN-Ver­bin­dung auf­ge­baut, deren Inhalt nur die bei­den End­punk­te ver­ste­hen kön­nen. Ver­bin­dun­gen wer­den nur nach erfolg­ter Authen­ti­fi­zie­rung aufgebaut.

Mit Pre-Shared-Key kommt ein Ver­schlüs­se­lungs­ver­fah­ren zum Ein­satz, bei dem die Schlüs­sel bei­den Teil­neh­mern vor der Kom­mu­ni­ka­ti­on bekannt sein müs­sen. Die­ses Ver­fah­ren hat den Vor­teil, dass es ein­fach zu rea­li­sie­ren ist. Alter­na­tiv ist das x509-Zer­ti­fi­kat ein Ver­fah­ren für eine Public-Key-Infra­struk­tur zum Erstel­len digi­ta­ler Zer­ti­fi­ka­te. Bereits heu­te erfüllt WAGO mit dem aus­ge­präg­ten Sicher­heits­kon­zept des PFC200 alle rele­van­ten Richt­li­ni­en im Bereich IT-Secu­ri­ty und sogar eine Viel­zahl der Vor­ga­ben aus dem BDEW-White Paper für Anwen­dun­gen im Bereich der Ener­gie- und Was­ser­ver­sor­gung, die zur soge­nann­ten „Kri­ti­schen Infra­struk­tur“ (KRITIS) zählen.

Über­zeu­gend flexibel

Der PFC200 ist zudem als ska­lier­ba­rer Kno­ten­punkt ein­setz­bar, der bei bereits bestehen­den Auto­ma­ti­sie­rungs­sys­te­men nach­ge­rüs­tet wer­den kann, ohne in den eigent­li­chen Auto­ma­ti­sie­rungs­pro­zess ein­zu­grei­fen – die Daten wer­den par­al­lel abge­grif­fen und per MQTT oder OPC UA in die Cloud geschickt. Hier pro­fi­tiert der Anwen­der eben­falls von den Sicher­heits­fea­tures des WAGO-Con­trol­lers. Auch eine pro­duk­ti­ons­in­ter­ne Ver­wen­dung der Daten via Anbin­dung an das MES ist mög­lich. Anla­gen­be­trei­ber haben dank Cloud-Fähig­keit die Mög­lich­keit, stets den Über­blick über ihre Pro­duk­ti­ons­an­la­gen zu behal­ten. Mit gerin­gem Auf­wand und rela­tiv ein­fa­chen Mit­teln kön­nen kom­ple­xe Pro­zes­se so nicht nur erfasst, son­dern per Smart­pho­ne oder Tablet auch visua­li­siert abge­bil­det wer­den. Rele­van­te Berei­che las­sen sich über eine Hier­ar­chie­ab­stu­fung nach Detail­tie­fe fil­tern. Auf die­se Wei­se sind mög­li­che Fehl­funk­tio­nen leich­ter und früh­zei­tig lokalisierbar.