Die Geräte-Identität, die -Wartung und der Umgang mit Zertifikaten Auswirkungen des Cyber Resilience Act und der IEC 62443 auf die (IT-)Produkte

Anbieter zum Thema

achelos GmbH

SEPPmail - Deutschland GmbH

Der Cyber Resilience Act ist in Kraft getreten und verlangt von Herstellern, Integratoren und Betreibern digitaler Produkte umfangreiche Cyber-Sicherheitsmaßnahmen über den gesamten Lebenszyklus hinweg. Zentral für deren Umsetzung bei der Vernetzung von IoT-Geräten ist eine Public Key Infrastruktur (PKI) sowie ein Secure Development Lifecycle für alle Produkte mit digitalen Elementen. kein Grund zum Verzweifeln - mit dem richtigen Partner.

Cyber-Sicherheit ist ein heißes Thema: 2023 wurden die Cyber-Sicherheitsvorschriften der EU durch die NIS2-Richtlinie aktualisiert, am 24. Juli ist das EU-Gesetz über Cyber-Resilienz, der Cyber Resilience Act (CRA), vom Europäischen Parlament verabschiedet worden. Nach der Verabschiedung durch den Europäischen Rat – eine reine Formsache – haben Hersteller 36 Monate Zeit, die Vorgaben umzusetzen.

Er gilt für Produkte, Software und Hardware, mit digitalen Elementen und damit ist auch die Industrie angesichts von vernetzter Fertigung im Industrial Internet of Things (IIOT) voll im Fokus: Geräte, Maschinen und Komponenten in der Produktion sammeln und erzeugen Daten mit Sensoren und Aktoren und tauschen sie aus, industrielle Steuerungssysteme (Industrial Control Systems) arbeiten damit.

Sicherheitskritische Produkte mit digitalen Elementen werden im Anhang III des CRA sogar als kritische Hard- und Softwareprodukte gelistet: Dazu zählen unter anderem Firewalls, Angriffserkennungs- und -präventionssysteme, Router, Modems und Switches - auch im industriellen Kontext.

Der Anforderungskatalog

Für all diese Produkte legt der CRA einen umfangreichen Anforderungskatalog fest. Sie benötigen:

• einen sicheren Produkt- und Entwicklungslebenszyklus (Security by Design), der Cyber-Sicherheit im gesamten Lebenszyklus berücksichtigt.

• ein kontinuierliches Schwachstellen-Management: Cyber-Sicherheitsrisiken müssen dokumentiert werden und die Hersteller aktiv ausgenutzte Schwachstellen und Zwischenfälle melden.

• ein sicheres Software-Update-Management: Die Hersteller müssen nach dem Verkauf weiterhin sicherstellen, dass für die Dauer des Support-Zeitraums Schwachstellen ihrer Produkte wirksam behandelt werden. Außerdem sind Sicherheitsaktualisierungen und Patches für die voraussichtliche Nutzungsdauer des Produkts vorgeschrieben.

• eine sicherheitsbezogene Dokumentation mit klaren und verständlichen Anweisungen.

• Vorgaben zur Konformitätsbewertung beziehungsweise der Produktkonformität und der Risikobewertung.

Cyber-Sicherheitsanforderungen und kritische Produkte

Die konkreten Cyber-Sicherheitsanforderungen stehen in Anhang I des CRA: Produkte mit digitalen Elementen benötigen auf Grundlage ihrer Risikobewertung geeignete Kontrollmechanismen, die Schutz vor unbefugtem Zugriff bieten. Genannt werden hier Authentifizierungs-, Identitäts- oder Zugangsverwaltungssysteme. Sie müssen die Integrität gespeicherter, übermittelter oder anderweitig verarbeiteter Daten, ob personenbezogener oder sonstiger Daten, Befehle, Programme und Konfigurationen vor einer Manipulation schützen.

Ihre Beschädigung muss gemeldet werden. Außerdem muss sichergestellt werden, dass Schwachstellen durch (automatische) Sicherheitsaktualisierungen behoben werden können.

Die normativen Anforderungen legt die IEC 62443 fest, die wichtigste Sicherheitsnorm der Automatisierungsindustrie. Diese Sicherheitsanforderungen des CRA zu erfüllen und die IEC 62443 umzusetzen, ist keine einfache Aufgabe - weder für Hersteller noch für Integratoren und Betreiber: Nicht nur, dass die speziellen Anforderungen an die Vernetzung mit Routern und smarten Geräten oft nicht im Fokus liegen.

Viele Unternehmen sind per se keine IT-Sicherheitsspezialisten und verfügen nur über limitierte IT-Sicherheitskapazitäten in einem allgemeinen Sicherheitsumfeld wie IT Security Management Systems (EN ISO 270001). Zudem sind Verantwortlichkeiten oft nicht klar definiert und es fehlt die Expertise.

Public-Key-Infrastruktur (PKI)

Mit elektronischen Zertifikaten können die wichtigsten Sicherheitsanforderungen des CRA realisiert werden: Sie werden über eine Public Key Infrastruktur (PKI) bereitgestellt.

Eine PKI gilt als das sicherste Verfahren für die Vernetzung von IoT-Geräten und industriellen Steuerungssystemen. Sie ist eine asymmetrische Kryptographietechnologie, die mit öffentlichen und privaten Schlüsseln einen vertraulichen Datenaustausch ermöglicht. Die Daten werden dafür signiert und verschlüsselt. Digitale Zertifikate erzeugen einen Zertifizierungspfad und stellen die Authentizität der Schlüssel sicher.

Über die Zertifikate der PKI greifen vier Schutzmechanismen: Die initiale Geräte-Identität in der Produktion beim Hersteller wird durch eine zertifikatsbasierte Authentifizierung im Netzwerk sichergestellt – ein Geburtszertifikat identifiziert und authentifiziert das jeweilige Gerät, so dass ein sicherer Kommunikationskanal ins Internet aufgebaut werden kann.

Die Zertifikate

Elektronische Zertifikate sichern auch das Update-Management ab: Die PKI prüft darüber die Authentizität der Software, so dass keine Malware eingeschleust oder unerlaubte Änderungen vorgenommen werden können.

Die Firmware-Updates durch den Hersteller sind signiert. Über Zertifikate kann ebenfalls die Autorisierung von Updates von Drittanbietern gesteuert werden.

Dritter Anwendungsfall ist der sichere Gerätestart, das Secure Boot. Hierbei wird gewährleistet, dass die Firmware der Geräte vor jedem Start authentifiziert ist und sie über einen sicheren Integritätscode verfügen. Eine PKI ermöglicht auch die sichere Inbetriebnahme eines Geräts bei seinem Betreiber – nach einer Authentisierung wird eine lokale Geräte-Identität generiert.

Secure Development Lifecycle

Die CRA konforme Entwicklung von Steuergeräten und Systemen unter Berücksichtigung industrieller Sicherheitsstandards gemäß IEC 62443 gelingt mit einem Secure Development Lifecycle (SDL) Ansatz. Eine Bestandsaufnahme des Produkts mit Gap-Analyse zu CRA-Anforderungen macht hier den Anfang.

Dem schließt sich im Rahmen von Security Requirements Engineering / TARA eine Bedrohungs- und Schwachstellenanalyse und Risikobewertung an, um Sicherheitsanforderungen spezifizieren zu können. Danach werden im Security Architecture Engineering Prozess Sicherheitskonzeption und -architektur entwickelt.

Auch die Update- und Boot-Prozesse der ICS-Komponenten müssen sicher sein – hier greift das Embedded Security Engineering, bei dem kryptographische Funktionen implementiert werden. Unternehmen benötigen nun leistungsfähige Testwerkzeuge, um ihre ICS- Produkte herstellerunabhängig auf Sicherheit und Konformität mit der IEC 62443 und individuellen Sicherheitsanforderungen zu testen – unter anderem in Form von Robustheitstests, Code-Analysen oder Penetrationstests. Danach sind Produkt-Evaluierungen nach IEC 62443 sinnvoll.

(ID:50148360)