Stan­dards bei Internet-Sicherheit

Die Kryp­to­gra­phie-Arbeits­grup­pe der Inter­net Stan­dar­di­sie­rungs-Orga­ni­sa­ti­on IETF (Inter­net Engi­nee­ring Task For­ce) hat das von Endress+Hauser ent­wi­ckel­te CPace-Pro­to­koll als emp­foh­le­nes Ver­fah­ren für den Ein­satz in Inter­net-Stan­dards aus­ge­wählt. Das Pro­to­koll CPace ging nach umfang­rei­chen Sicher­heits­ana­ly­sen als Sie­ger aus einem Wett­be­werb mit Ein­rei­chun­gen von Mit­ar­bei­ten­den nam­haf­ter Fir­men hervor.
Der siche­re Zugriff auf Feld­ge­rä­te hat bei Betrei­bern in allen Zwei­gen der Pro­zess­in­dus­trie höchs­te Prio­ri­tät. Moder­ne Anla­gen ent­hal­ten Hun­der­te bis Tau­sen­de Mess‑, Steu­er- und Regel­ge­rä­te, auf die immer häu­fi­ger aus der Fer­ne zuge­grif­fen wer­den muss. Zudem müs­sen Feld­ge­rä­te regel­mä­ßig instal­liert, kon­trol­liert oder gewar­tet wer­den. Die siche­re pass­wort­ba­sier­te Authen­ti­fi­zie­rung der Nut­zer, vor allem bei Gerä­ten mit digi­ta­len Daten­schnitt­stel­len, spielt dabei heut­zu­ta­ge eine beson­de­re Rolle.

Sicher­heit trotz benut­zer­freund­li­cher Passwortlängen

Für den Ein­satz von Blue­tooth-Kom­mu­ni­ka­ti­on im Indus­trie­um­feld iden­ti­fi­zier­ten die Secu­ri­ty-Exper­ten von Endress+Hauser den Bedarf für einen zusätz­li­chen Schutz und ent­war­fen hier­zu eine Lösung namens CPace. CPace gehört zur Klas­se der PAKE-Ver­fah­ren (Pass­word-authen­ti­ca­ted key exchan­ge). Sie kommt unter ande­rem auch im deut­schen Per­so­nal­aus­weis zum Ein­satz, um das kryp­to­gra­phi­sche Sicher­heits­ni­veau weit­ge­hend von der Pass­wort­län­ge zu ent­kop­peln. CPace bie­tet dabei den Vor­teil, dass die Leis­tung selbst kleins­ter Feld­ge­rä­te aus­reicht, um die Gerä­te und damit die Indus­trie­an­la­gen best­mög­lich vor Cyber-Angrif­fen zu schüt­zen. Gleich­zei­tig stößt die Lösung auf hohe Akzep­tanz bei Anwen­dern, da das Sicher­heits­ni­veau auch ohne lan­ge Pass­wör­ter erreicht wird.
„Wir haben nach einer eige­nen Lösung gesucht, um einen siche­ren Ver­bin­dungs­auf­bau mit den Gerä­ten zu schaf­fen, weil bis­he­ri­ge Ver­fah­ren, mit adäqua­tem Secu­ri­ty Niveau für Indus­trie­an­wen­dun­gen auf­grund der beschränk­ten Res­sour­cen aus­schie­den. Eine Pass­wort-Über­prü­fung hät­te eine Log­in-Ver­zö­ge­rung von zwei Minu­ten und mehr bedeu­tet“, sagt Endress+Hauser-Projektleiter Dr. Björn Haase.

CPace macht es Angrei­fern schwer

Die Sicher­heit der PAKE-basier­ten Lösung mit Blue­tooth-Tech­no­lo­gie von Endress+Hauser, wur­de bereits 2016 durch ein Review des Fraun­ho­fer-Insti­tuts für Ange­wand­te und Inte­grier­te Sicher­heit (AISEC) bestä­tigt. Das Schutz­ni­veau des Endress+Hauser-Sicherheitslayers, des­sen Kern­kom­po­nen­te jetzt für den Ein­satz im Inter­net-Umfeld aus­ge­wählt ist, wur­de als „hoch“ eingestuft.

PAKE

Pass­word-authen­ti­ca­ted key exchan­ge bezeich­net eine Grup­pe von Pro­to­kol­len, die ein Pass­wort zur Zugangs­be­rech­ti­gung veri­fi­zie­ren, ohne dabei einem Angrei­fer mit Hacker-Werk­zeu­gen Off­line-Angrif­fe auf das Pass­wort zu ermöglichen.

PACE

Das PAKE-Pro­to­koll PACE (Pass­word-authen­ti­ca­ted con­nec­tion estab­lish­ment) ist ein pass­wort­ba­sier­tes Authen­ti­sie­rungs- und Schlüs­sel­ei­ni­gungs­ver­fah­ren, wel­ches vom deut­schen Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (BSI) für den Ein­satz im neu­en Per­so­nal­aus­weis ent­wi­ckelt wurde.

CPace

Com­po­sable pass­word-authen­ti­ca­ted con­nec­tion estab­lish­ment ist die Wei­ter­ent­wick­lung des PACE-Ver­fah­rens des BSI durch Endress+Hauser und passt die­ses auf die begrenz­ten Rechen­res­sour­cen von klei­nen Feld­ge­rä­ten an.

IETF

Die Inter­net Engi­nee­ring Task For­ce (Inter­net­tech­nik-Arbeits­grup­pe) ist eine offe­ne, inter­na­tio­na­le Frei­wil­li­gen­ver­ei­ni­gung von Netz­werk­tech­ni­kern, Her­stel­lern, Netz­be­trei­bern, For­schern und Anwen­dern, wel­che die Stan­dar­di­sie­rung des Inter­nets orga­ni­siert und sich mit der tech­ni­schen Wei­ter­ent­wick­lung des Inter­nets befasst. Die Mit­glie­der erstel­len tech­ni­sche Doku­men­te, die Nut­zung, Wei­ter­ent­wick­lung und Ver­wal­tung des Inter­nets beein­flus­sen. Ins­be­son­de­re küm­mert sich die IETF um die Stan­dar­di­sie­rung der im Inter­net ein­ge­setz­ten Kom­mu­ni­ka­ti­ons­pro­to­kol­le und Kryptographieverfahren