Cyber Resilience Act Cybersecurity im IIoT CRA-konform umsetzen

Cybersicherheitsvorschriften wie der Cyber Resilience Act verändern die IoT-Landschaft. Für Gerätehersteller wird es umso wichtiger, funktionierende Kryptographiemaßnamen von Beginn an zu implementieren und über den gesamten Produktlebenszyklus aufrecht zu erhalten. Ein Authentifizierungs-Chip wie der TrustMANAGER ECC608 kann hier weiterhelfen.

Der Aufstieg des IoT und seines industriellen Pendants, des industriellen IoT (IIoT), zeigt keine Anzeichen einer Abschwächung. Mit dem IoT vernetzte Sensoren, Aktoren und andere intelligente Knoten sind in unseren Haushalten, Büros und Fabriken allgegenwärtig. Die Vielfalt dieser Anwendungen ist beeindruckend und reicht von einfachen Umgebungssensoren bis hin zum großflächigen Einsatz von Türschlössern in Hotelzimmern. In unseren Haushalten nimmt die Nutzung des IoT täglich zu. Der durchschnittliche Haushalt verfügt über intelligente Heizungs- und Lüftungssteuerungen, Türklingeln mit Fernbedienungsfunktion, intelligente Lautsprecher und immersive Audiosysteme.

Zweifellos bringt jeder IoT/IIoT-Einsatz, ob groß oder klein, erhebliche Vorteile mit sich, von mehr Komfort für den Nutzer bis hin zu einer effizienteren Fertigung. Die Betriebsarchitektur des IoT ist jedoch in der Regel komplex und umfasst viele Ebenen, Dienstleister und Hardwareumgebungen. Neben den zunehmenden Sicherheitsbedenken und dem wachsenden regulatorischen Umfeld stehen Gerätehersteller und Dienstleister vor zahlreichen Herausforderungen.

Bei der Cybersicherheit sind viele Aspekte zu berücksichtigen, insbesondere weil IoT-Geräte anfällig für böswillige Attacken sein können. Über diese wird versucht, auf sensible persönliche Daten wie Passwörter zuzugreifen oder die Kontrolle über einen industriellen Prozess zu übernehmen und Benutzer aus Systemen auszuschließen. Jeder Aspekt einer IoT/IIoT-Implementierung erfordert sorgfältige Sicherheitsvorkehrungen – von der Hardware über die Software bis hin zur Kommunikation.

Aktuelle Gesetze wie der EU Cyber Resilience Act (CRA) übertragen den Herstellern von IoT-Geräten die Verantwortung, die Sicherheitsmerkmale ihrer Geräte zu zertifizieren und einen Mechanismus bereitzustellen, mit dem Nutzer ein Gerät während seines gesamten Lebenszyklus, von der Produktion bis zum Ende seiner Lebensdauer, aktualisieren und verwalten können. Der CRA ist mit anderen international anerkannten Sicherheitsstandards harmonisiert, wie der Norm EN 303 645 des Europäischen Instituts für Telekommunikationsnormen (ETSI) und der Norm 62443 der International Society of Automation (ISA)/International Electrotechnical Commission (IEC) zur Sicherheit industrieller Automatisierungs- und Steuerungssysteme.

Herausforderungen bei der Bereitstellung

Neue Cybersicherheitsgesetze läuten eine neue Ära für das IoT/IIoT ein und erfordern einen umfassenden Ansatz für das Lebenszyklus-Management, um Nutzer, Daten und die Computing-Infrastruktur zu schützen. Bisher wurden vernetzte Geräte, egal ob zu Hause oder für industrielle Zwecke, meist installiert und dann vergessen. Sie erhielten selten Firmware-Updates, und selbst wenn diese verfügbar waren, konnte die Durchführung zeitaufwändig sein oder, schlimmer noch, die Mikrocontroller-Architektur (MCU) unterstütz die Sicherheitsfunktionen zum Patchen der identifizierten Schwachstelle nicht mehr. Infolgedessen stellten Unternehmen die Produktion ein, was bei den Kunden zu Frustration führte. Die Implementierung von Sicherheitspatches zum Schutz des Geräts und der zugehörigen Netzwerkumgebung vor neuen Cyberangriffen und Malware war äußerst schwierig. Auch die Auslieferung von Produkten mit demselben Passwort war weit verbreitet, was zu mehreren schwerwiegenden Sicherheitslücken führte. Durch solche Angriffe wurden sensible Benutzerdaten offengelegt und der Ruf der Marke geschädigt.

Die Möglichkeit, ein IoT-Gerät während seiner gesamten Lebensdauer zu verwalten, bietet Herstellern und Serviceanbietern erhebliche betriebliche Vorteile. So können in jeder Phase neue Softwarefunktionen hinzugefügt werden – von wichtigen Fehlerbehebungen bis hin zu kostenpflichtigen Zusatzfunktionen. Für Nutzer bedeutet diese Möglichkeit, Software-Sicherheitsupdates bei Bedarf durchzuführen, betriebliche Flexibilität und Kosteneffizienz. Bei groß angelegten Bereitstellungen sorgt die Möglichkeit, Sicherheitspatches für eine Vielzahl von Geräten bereitzustellen, ohne dass langwierige, zeitaufwändige und kostspielige Einsätze vor Ort erforderlich sind, für ein bisher unerreichtes Maß an Kundenservice.

Eine weitere Herausforderung bei groß angelegten Bereitstellungen sind Eigentümerwechsel innerhalb des Lebenszyklus von IoT-Geräten. Als Beispiel dient ein Hotel mit 500 Zimmern, in dem die Türschlösser für jeden neuen Gast mit Sicherheitszertifikaten und digitalen Signaturen aktualisiert werden müssen. Eine ähnliche Herausforderung tritt in Bürogebäuden auf, wenn für mehrere Mieter alle Türschlösser mit aktualisierten Sicherheitscodes versehen werden müssen, die den Vorgaben der jeweiligen Cybersicherheitsteams der Eigentümer/Mieter entsprechen sollen. Jedes Schloss einzeln zu aktualisieren – oder schlimmer noch, jedes einzelne auszutauschen – wäre eine enorme Aufgabe. Ist jedoch jedes Schloss mit einer Fernverwaltungsfunktion ausgestattet, lassen sich Sicherheitsberechtigungen und benutzerspezifische Optionen vor Ort bereitstellen. So lässt sich die Verwaltung der Schlösser und Zugriffsrechte für jedes Schloss problemlos steuern.

Dies gilt auch für Serviced Offices, wo Kunden je nach gewähltem Mietpaket Zugang zu bestimmten Etagen, Räumen und Einrichtungen haben. Auch hier sorgt die Möglichkeit, die für jede Einrichtung erforderlichen Sicherheitszugangsdaten schnell und per Fernzugriff zu ändern, für hohe Kundenzufriedenheit und betriebliche Effizienz.

Support während der gesamten Lebensdauer bereitstellen

Mit der Möglichkeit, Sicherheitszugangsdaten vor Ort, Firmware-Updates per Funk (FOTA) und dynamisches Lebenszyklus-Management bereitzustellen, bietet die Software-as-a-Service-/SaaS-Plattform „Microchip TrustMANAGER mit Kudelski keySTREAM“ einen umfassenden und effizienten Ansatz, Cybersicherheitsanforderungen wie die der CRA zu erfüllen.

Der Krypto-Authentifizierungs-IC TrustMANAGER ECC608 von Microchip mit keySTREAM SaaS ermöglicht eine digitale Vertrauenskette für IoT/IIoT-Bereitstellungen über den gesamten Produktlebenszyklus hinweg – vom ersten Designkonzept über die Produktion und Bereitstellung bis hin zum Ende der Lebensdauer. Eine Root-Zertifizierungsstelle (CA) ist eine wichtige Instanz auf oberster Ebene in jeder Public-Key-Infrastruktur (PKI). Das Ausstellen eines selbstsignierten Zertifikats schafft den ersten Vertrauensanker.

Ein ECC608-TMNGTLS ist eine Variante des Krypto-Authentifizierungs-ICs ECC608, der mit vorkonfigurierten kryptografischen Schlüsseln für die Verbindung mit der keySTREAM-SaaS-Plattform ausgestattet ist. Nach der Bereitstellung verbindet sich das IoT-Gerät mit dem ECC608-TMNGTLS plus keySTREAM SaaS und überträgt das Eigentumsrecht an dem IoT-Gerät vor Ort an den vorgesehenen Eigentümer. Dies erfolgt durch seine benutzerdefinierte PKI und ermöglicht einen eleganten Zero-Touch-Ansatz, ohne dass der Schlüsselaustausch manuell konfiguriert werden muss. Die kryptografischen Schlüssel können innerhalb der physischen Grenzen des sicheren Authentifizierungs-ICs über dessen gesamten Lebenszyklus hinweg fernverwaltet werden.

Die TrustMANAGER-Plattform umfasst Funktionen für funkbasierte Firmware-Updates, sicheres Signieren von Code und die Fernverwaltung kryptografischer Schlüssel. Das mit dem Gerätedesign zu erfolgende Einbinden einer Fernverwaltung wird neben den Anforderungen an Sicherheitsupdates für Gerätehersteller immer wichtiger, da sie Serviceagilität und Flexibilität bieten.

Vorschriften erfordern größeren Fokus auf Sicherheit

Die IoT-Landschaft verändert sich. Ein verstärkter Fokus auf Cybersicherheitsvorschriften und mehr Verantwortung für Gerätehersteller treiben den Wandel voran. Die europäische CRA, ein Beispiel für eine regionale Cybersicherheitsinitiative, schreibt vor, dass Hersteller die Sicherheitsfunktionen eines Geräts während der ersten fünf Jahre der Produktlebensdauer aufrechterhalten müssen. Obwohl die CRA zunächst auf IoT-Geräte für Endverbraucher abzielt, dürfte die europäische Verordnung nur die Spitze des Eisbergs sein, da immer mehr Staaten dem Beispiel der EU folgen und beginnen, ihre eigene Cybersicherheitsstrategie zu veröffentlichen und vorzuschreiben. Es ist sehr wahrscheinlich, dass die CRA auch die Grundlage für Cybersicherheitsstandards in anderen Märkten und Branchen bilden wird.

Cybersicherheitsvorschriften haben weitreichende Auswirkungen. Sie stärken das Vertrauen der Verbraucher in die Produktpalette eines Herstellers und dessen Marktglaubwürdigkeit. Dieser Faktor ist für den Aufbau von Geschäftsbeziehungen, Partnerschaften und den Nachweis der Marktführerschaft entscheidend.  (sg)

* Xavier Bignalet ist Produkt Marketing Manager in der Security Computing Group von Microchip.

(ID:50689501)