IoT-Flottenmanagement CRA-konformes Flottenmanagement: So gelingen sichere OTA-Updates

Anbieter zum Thema

Danube Dynamics Embedded Solutions GmbH

Bürklin GmbH & Co. KG

RECOM Power GmbH

Wie gelingt sicheres Fleet Management für Embedded Systems? Erfahren Sie, wie Sie mit RAUC, WireGuard und Docker eine skalierbare OTA-Update-Architektur aufbauen, die Ausfälle vermeidet und den Cyber Resilience Act erfüllt.

Die langfristige sichere und zuverlässige Verwaltung von Embedded Systems ist eine zentrale Herausforderung in der modernen Geräteentwicklung und -wartung. Mit der zunehmenden Verbreitung vernetzter Geräte – insbesondere im industriellen und sicherheitskritischen Umfeld – steigt der Bedarf an skalierbaren, robusten und wartungsfreundlichen Lösungen für Over-the-Air (OTA) Updates und Fleet Management.

Der vorliegende Beitrag zeigt anhand eines praxisnahen Beispiels, wie der konsistente, sichere und effiziente Betrieb komplexer, heterogener Systemlandschaften langfristig sichergestellt werden kann. Durch den Einsatz geeigneter Architekturkonzepte, Automatisierungsmechanismen und Sicherheitsstrategien wird veranschaulicht, wie ein hochverfügbarer IT-Betrieb entsteht, der Betriebsausfälle, Sicherheitslücken und Integrationsprobleme systematisch vermeidet.

Im Folgenden wird die Architektur einer Fleet Management Lösung mit Fokus auf drei zentrale Ebenen betrachtet: die Struktur und Funktionalität des Embedded Devices, die serverseitige Infrastruktur sowie die Kommunikation zwischen beiden Systemkomponenten.

Architektur Embedded Device

Abbildung 1 zeigt die Systemarchitektur des Embedded Devices, wie sie nach dem initialen Flash-Vorgang des Geräts vorliegt. In diesem Zustand sind die beiden RootFS-Partitionen inhaltsgleich. Beim ersten Systemstart wird standardmäßig die Partition RootFS A als aktive Partition verwendet, während RootFS B als inaktive Partition und damit Ziel für das erste OTA-Update dient.

Während des Betriebs wird das RootFS im Read-Only-Modus eingehängt, um Manipulationen und Beschädigungen durch fehlerhafte Software oder unautorisierte Änderungen an Systemdateien zu verhindern. Diese Architektur ermöglicht eine sichere und konsistente Aktualisierung sämtlicher Komponenten innerhalb des RootFS. Ein wesentlicher Vorteil dieses Ansatzes besteht darin, dass auch sicherheitskritische Bestandteile – wie der Linux Kernel – als Teil des RootFS zuverlässig und ohne Risiko für die Systemintegrität aktualisiert werden können.

RAUC

Die Implementierung der notwendigen Update-Funktionalitäten des Geräts erfolgt mithilfe der Open-Source-Software RAUC. Nach dem Herunterladen eines Update-Pakets überprüft RAUC zunächst dessen kryptografische Signatur, um sicherzustellen, dass ausschließlich vertrauenswürdige und aus verifizierten Quellen stammende Updates installiert werden.

Nach erfolgreicher Verifikation wird das Update-Paket auf die inaktive RootFS-Partition des Systems installiert und als funktionsfähig markiert. Anschließend wird im Bootloader die aktive Partition umgeschaltet, sodass beim nächsten Systemneustart die aktualisierte Partition verwendet wird und das Update damit abgeschlossen ist.

Sollte das Update fehlerhaft sein oder der Boot-Vorgang mehrfach scheitern, wird nach drei erfolglosen Startversuchen automatisch auf die zuvor aktive Partition umgeschaltet. Die fehlerhafte Partition wird dabei als defekt markiert. Dieses Vorgehen gewährleistet, dass das System auch im Falle eines fehlerhaften Updates betriebsfähig bleibt.

WireGuard und Fleet Management Tool

Die für das Fleet Management erforderlichen Funktionalitäten werden durch den Service WireGuard sowie das Fleet Management Tool bereitgestellt. Bei WireGuard handelt es sich um ein effizientes, modernes VPN-Protokoll, das zur Herstellung einer sicheren Kommunikationsverbindung zwischen dem Embedded Device und dem Fleet Management Server eingesetzt wird. Diese VPN-Verbindung ermöglicht einen geschützten Fernzugriff auf sämtliche Geräte einer Flotte, ohne dass ein physischer Zugriff auf das jeweilige Gerät oder dessen lokale Netzwerkinfrastruktur erforderlich ist. Über diesen abgesicherten Kommunikationskanal können Software-Updates verteilt, Systemeinstellungen angepasst sowie Aktualisierungen einzelner Anwendungen durchgeführt werden.

Das Fleet Management Tool übernimmt zentrale Aufgaben für die Initialisierung, Überwachung und Aktualisierung des Geräts sowie die Kommunikation mit der Serverinfrastruktur. Beim Systemstart wird eine eindeutige Gerätekennung generiert und der Hostname gesetzt, um eine konsistente Identifikation innerhalb der Flotte zu gewährleisten. Während des Betriebs erkennt das Tool automatisch eingesteckte Wechseldatenträger, mountet deren Dateisystem sicher im Userspace mittels FUSE und installiert bei Bedarf validierte Update-Pakete. Darüber hinaus sammelt es kontinuierlich Statusinformationen wie Betriebssystemversion, Gerätezustand und Anwendungsstatus. Kommunikationsfehler werden durch automatische Überprüfung und Wiederherstellung der VPN-Verbindung abgefangen.

Neben der Verwaltung von Betriebssystemupdates über RAUC unterstützt das Tool auch das Validieren und Installieren von Applikationsupdates, wobei das Verhalten beim Versionswechsel konfigurierbar ist: Entweder wird zunächst die neue Version gestartet und anschließend die alte Instanz beendet, wodurch beide Versionen für einen kurzen Zeitraum parallel ausgeführt werden, oder die bestehende Instanz wird zuerst gestoppt, bevor die neue gestartet wird.

App-Runtime (Docker)

Ein weiterer zentraler Bestandteil des RootFS ist Docker, eine Open-Source-Technologie zum Erstellen und Ausführen von Containern. Sämtliche Anwendungen auf dem Embedded Device werden ausschließlich innerhalb von Containern ausgeführt. Diese Architektur bietet mehrere wesentliche Vorteile:

Die Anwendungen sind strikt von der kritischen Systeminfrastruktur getrennt, wodurch Fehlverhalten einzelner Softwarekomponenten im schlimmsten Fall lediglich zum Absturz des betroffenen Containers führt, nicht jedoch zum Ausfall des gesamten Geräts. Darüber hinaus ermöglicht die Containerisierung die Umsetzung modularer Microservice-Architekturen sowie eine klare Trennung zwischen dem Update-Prozess der Anwendungen und dem des Geräts selbst. Neue Versionen einzelner Container können zentral bereitgestellt und auf die gesamte Geräteflotte verteilt werden, ohne Eingriffe in das zugrunde liegende Betriebssystem vorzunehmen. Dies reduziert die Größe der erforderlichen Updates sowohl auf Betriebssystem- als auch Anwendungsebene und trägt somit zu einer höheren Effizienz bei Updates bei.

Der Docker Data Root befindet sich auf einer eigens dafür vorgesehenen Partition, die im Gegensatz zum RootFS nicht schreibgeschützt ist. Wie in Abbildung 1 dargestellt, wird diese Partition – anders als das RootFS – nicht redundant ausgeführt. Dadurch bleiben die Anwendungen auch nach einem Systemupdate erhalten und können ohne erneuten Download gestartet werden.

Architektur Serverinfrastruktur

Die in Abbildung 2 dargestellte Serverinfrastruktur der Fleet Management Lösung besteht aus mehreren logisch getrennten Komponenten. Diese implementieren die Kernaufgaben: Authentifizierung, Geräteverwaltung und sicherer Fernzugriff. Die Architektur ist auf Skalierbarkeit, Sicherheit und Wartbarkeit ausgelegt und folgt einem modularen Designansatz, bei dem jede Komponente eine klar definierte und voneinander abgegrenzte Funktion erfüllt.

Benutzer- und Zugriffskontrolle

Für das Identitäts- und Zugriffsmanagement kommt Keycloak in Kombination mit einer dedizierten Datenbank zum Einsatz. Keycloak ist für das User Management, die Authentifizierung von Personen sowie die Verwaltung von Access Tokens und Rollenrechten verantwortlich. Dadurch wird eine zentralisierte und standardkonforme Zugriffskontrolle ermöglicht, die sowohl Benutzer als auch Systeme abdeckt und sich nahtlos in bestehende Authentifizierungsmechanismen wie OAuth 2.0 oder OpenID Connect integrieren lässt.

Device Connection Server

Diese Komponente repräsentiert die zentrale Schnittstelle zwischen der Geräteflotte und der Serverinfrastruktur. Der Server übernimmt Aufgaben wie das Gerätemanagement (Pairing, Enrollment, Statusmeldungen und Konfigurationsupdates) sowie die Verwaltung des Kommunikationskanals zu den Geräten. Darüber hinaus stellt der Server einen VPN-Dienst auf Basis von WireGuard bereit, über den die Geräte sicher in das interne VPN-Netzwerk integriert werden.

Im Rahmen des Pairing-Prozesses werden für jedes Gerät individuell eindeutige VPN-Zugangsdaten generiert und ausschließlich diesem Gerät zugewiesen. Zudem betreibt der Device Connection Server einen DNS-Dienst, der die Hostnamen der Geräte in IP-Adressen innerhalb des VPN-Netzwerks auflöst.

Fleet Management Server

Der Server bildet das Kernsystem für die zentrale Verwaltung und Steuerung der gesamten Geräteflotte. Er verwaltet und validiert sowohl Betriebssystem-Images als auch Applikationen und ermöglicht die Durchführung von Bulk-Operationen, beispielsweise das Verschieben von Geräten zwischen Flotten oder das Ausrollen von Betriebssystem- und Applikationsupdates auf definierte Flotten.

Darüber hinaus stellt der Server eine öffentliche REST-API bereit, über die Benutzer, externe Systeme und Administrationswerkzeuge auf die Flottenverwaltung zugreifen können. Sämtliche Konfigurations- und Zugangsdaten werden in einer zugehörigen Datenbank gespeichert, die als persistente Datenbasis für den Fleet Management Server dient.

SSH-Proxy-Server

Zur Durchführung administrativer Tätigkeiten auf den Geräten steht ein SSH-Proxy-Server zur Verfügung. Die Authentifizierung erfolgt über Keycloak, wodurch sichergestellt wird, dass ausschließlich autorisierte Benutzer Zugriff erhalten. Der SSH-Proxy baut eine sichere Verbindung zu den Geräten über das VPN-Netzwerk auf, wodurch auch Systeme hinter NAT-Strukturen oder Firewalls erreicht werden können.

Ein wesentlicher Sicherheitsvorteil besteht darin, dass die SSH-Schlüssel der einzelnen Geräte ausschließlich dem Proxy-Server bekannt sind und nicht an Personen weitergegeben werden müssen. Die SSH-Schlüssel verbleiben auf dem Proxy-Server, geschützt durch Authentifizierung und Rollenverwaltung. Dieses Konzept ermöglicht eine kontrollierte, sichere und nachvollziehbare Remote-Wartung der gesamten Flotte.

Kommunikation zwischen Embedded Device und Serverinfrastruktur

Die Grundlage für das Management, die Überwachung und die Aktualisierung der gesamten Geräteflotte bildet die Kommunikation zwischen den Geräten und der zugehörigen Serverinfrastruktur. Der Datenaustausch erfolgt über die sichere VPN-Verbindung und folgt einem definierten Kommunikationsprotokoll, das sowohl den initialen Verbindungsaufbau (Pairing) als auch den zyklischen Informationsaustausch umfasst.

Initialer Verbindungsaufbau – Pairing

Beim erstmaligen Aufbau der Verbindung generiert das Embedded Device zunächst ein Schlüsselpaar für die VPN-Verbindung. Anschließend wird eine Pairing-Anfrage an den Server übermittelt, die die eindeutige Device-ID sowie den öffentlichen VPN-Schlüssel des Geräts enthält. Die Authentifizierung erfolgt über mTLS mittels Client-Zertifikaten.

Nach erfolgreicher Authentifizierung sendet der Server eine Pairing-Antwort, die die vom Server zugewiesene IP-Adresse im VPN-Netzwerk sowie den öffentlichen VPN-Schlüssel des Servers enthält. Das Gerät konfiguriert daraufhin seine VPN-Schnittstelle und tritt dem VPN-Netzwerk bei. Infolgedessen ist das Gerät eindeutig identifizierbar und besitzt eine dem Server bekannte IP-Adresse. Der Server stellt einen entsprechenden DNS-Eintrag bereit, der die Device-ID auf die VPN-IP-Adresse abbildet. Dadurch kann der Server zu jedem Zeitpunkt eine direkte, gesicherte Verbindung zum Gerät aufbauen – beispielsweise für Wartungszwecke über SSH.

Zyklische Kommunikation

Nach Abschluss des Pairing-Prozesses findet eine periodische Statuskommunikation zwischen dem Gerät und dem Server statt. Das Embedded Device übermittelt dabei regelmäßig ein Statuspaket, das folgende Informationen enthält:

• Aktuelle Betriebssystemversion sowie den Fortschritt eines laufenden Betriebssystem-Updates

• Status und Gesundheitszustand aller installierten Applikationen, einschließlich der Information, ob aktuell Applikationen installiert oder entfernt werden

• Die aktuelle Systemkonfiguration

• Allgemeine Systeminformationen wie Uptime und Boot-ID

Auf Basis dieser Statusmeldungen antwortet der Server mit einem Datenpaket, das die Zielversion des Betriebssystems samt Download-Link zum entsprechenden Artefakt, die Zielkonfiguration der Anwendungen inklusive zugehöriger Download-Links sowie optionale Kommandos (wie beispielsweise einen automatischen Neustart) enthält.

Das Embedded Device wertet die empfangenen Daten aus und überprüft, ob lokale Maßnahmen erforderlich sind. Dazu zählen:

• Das Umsetzen von Kommandos (z. B. Neustarten des Geräts)

• Das Einleiten eines Betriebssystem-Updates, wenn Abweichungen zwischen lokaler Version und Zielversion festgestellt werden

• Das Installieren oder Entfernen von Anwendungen, um den aktuellen Zustand an die serverseitig vorgegebene Konfiguration anzupassen

Fehlerbehandlung und Re-Pairing

Im Fall von Kommunikations- oder Authentifizierungsproblemen überprüft das Embedded Device die Gültigkeit seiner VPN-Zugangsdaten. Sollten die Zertifikate abgelaufen oder ungültig sein, wird automatisch ein erneutes Pairing mit dem Server durchgeführt.

Da die Device-ID des Geräts unverändert bleibt, kann der Server das Gerät eindeutig zuordnen und ihm wieder dieselbe IP-Adresse im VPN-Netzwerk zuweisen. Dieser Vorgang erfolgt vollständig transparent für übergeordnete Managementsysteme und Benutzer der Fleet Management API.

Zusammenfassung

Die vorgestellte Fleet Management Lösung beschreibt ein durchgängig sicheres und skalierbares System zur Verwaltung von Embedded Devices, das zentrale Prinzipien des Cyber Resilience Act (CRA) erfüllt. Das Konzept folgt dem Ansatz *Security by Design*. Sämtliche Kommunikationskanäle sind verschlüsselt und Geräte authentifizieren sich über Client-Zertifikate. Anwendungen laufen isoliert in Containern, während das schreibgeschützte RootFS Manipulationen am System verhindert. Alle externen Schnittstellen und Protokolle sind standardmäßig deaktiviert und Softwareinstallationen erfolgen ausschließlich aus kryptografisch verifizierten Quellen.

Das Fleet Management ermöglicht die kontinuierliche Bereitstellung von Sicherheitsupdates, wodurch Schwachstellen zeitnah behoben werden können. Die eingesetzten Softwarekomponenten werden regelmäßig auf Sicherheitslücken überprüft, um eine Auslieferung ohne bekannte Schwachstellen zu gewährleisten.

Durch die kontinuierliche Kommunikation zwischen den Geräten und der Serverinfrastruktur können Überwachungsmechanismen implementiert werden, die Anomalien und sicherheitskritische Ereignisse detektieren und unverzüglich an den Server übermitteln. Die Fleet Management Lösung bietet damit eine langfristig wartbare Grundlage für den sicheren Betrieb komplexer und verteilter Systemlandschaften. (mc)

* Markus Lindner hat an der Fachhochschule Oberösterreich Embedded Systems Design studiert. Er verfügt über Erfahrung in den Bereichen Security, Hardware bring-up und Softwareentwicklung für Embedded Devices. Bei Danube Dynamics ist er derzeit für den Bereich Systems Engineering verantwortlich. Sein fachlicher Schwerpunkt liegt auf Low Level-Linux-Entwicklung, Yocto und Buildroot.

* Philipp Knaack hat an der Fachhochschule Oberösterreich studiert. In seiner beruflichen Laufbahn hat er Erfahrungen in der Software-Entwicklung von Medizinprodukten, Smart-Card-Systemen, biometrischen Sensoren, Echtzeitbetriebssystemen, Kernel, Treibern und Embedded-Linux-Anwendungen gesammelt. Er ist Co-Founder und CTO von Danube Dynamics, verantwortet die technische Leitung und führt das Entwicklungsteam sowie Projekte im Bereich Embedded Systems.

(ID:50919224)