Computertechnologien finden seit Jahrzehnten Einsatz in unterschiedlichen Industrieanwendungen. Eine immer bedeutendere Rolle spielen dabei modulare Lösungen wie Embedded-Module, die sich durch ihre Kompaktheit, einfache Skalierbarkeit in der Prozessorleistung und festgeschriebene Pin-outs der Stecker auszeichnen. Durch die Diskussion einer Industrie 4.0 oder Smart Factory rücken die Embedded-Module noch stärker in den Fokus industrieller Anwendungen, geht man doch davon aus, dass sie Grundstock sogenannter Cyber Physical Systems (CPS) werden, die wiederum die Basis der modernen Fabriken sein sollen.

Eine zentrale Kernfrage zur Umsetzung einer Smart Factory ist die Datensicherheit der Kommunikation und der Schutz gegen Spionage- und Hacker-Attacken von außen. Zum einen muss dieses Thema über neue Software-Architekturen gelöst werden, auf der anderen Seite kann auch die Hardware zur Systemsicherheit wesentlich beitragen. Spezielle Security-Features werden schon heute beim Einsatz von standardisierten Embedded-PC-Modulen in der Praxis umgesetzt.

Trusted Platform Module

Bereits heute sind beispielsweise alle Qseven- und COM-Express-Modul­familien von MSC Technologies mit einem „Trusted Platform Modul“ (TPM) bestückt, das eine Sicherheitsfunktionalität entsprechend der Spezifikation 1.2 der Industrie-Standardisierungsorganisation Trusted Computing Group (TCG) bietet. Das TPM ist eine passive Komponente, die von einem übergreifenden Host-System aktiviert werden muss und zahlreiche Aufgaben übernimmt:

Zum einen erzeugt und verwaltet es eine „Chain of Trust“, wodurch sichergestellt werden kann, dass das System vom Boot-Up über das Hochlaufen des Betriebssystems bis zum Laden der entsprechenden Applikations-Software komplett sicher ins Netzwerk eingebunden wird. In die Chain of Trust können dabei das BIOS selbst, Master Boot Record (MBR) des Speichermediums, Bootloader sowie sicherheitsrelevante Elemente des Betriebssystems und der eigentlichen Anwender-Software mit einbezogen werden.

Weiter generiert und verwaltet es kryptografische Schlüssel, welche mit Hilfe eines Device Master Key (DMK) eine eindeutige und weitestgehend fälschungssichere Device-Identifizierung innerhalb des Netzwerkes ermöglichen. Mit dieser Funktion soll verhindert werden, dass Software illegal kopiert beziehungsweise installiert werden kann, die dann unter anderem auf System-fremder Hardware ausgeführt werden könnte.

Das TPM versiegelt aber auch Speichermedien (zum Beispiel HD oder SSD), indem es die Verschlüsselungssoftware Bitlocker von Microsoft nutzt, die seit Windows Vista standardmäßig zur Verfügung steht. Der Bitlocker nutzt das TPM zur sicheren Speicherung seiner erzeugten Schlüsselcodes und stellt dadurch sicher, dass Komponenten nur mit richtigem Bitlocker-Schlüssel gebootet beziehungsweise ausgelesen werden können. Der Microsoft-Bitlocker bietet zwangsläufig noch zwei weitere Features, die für eine Industrie-Applikation von wesentlicher Bedeutung sein können. Sollte das TPM defekt und somit auch der Schlüssel im TPM verloren gegangen sein, kann durch Bitlocker über einen Wiederherstellungs-Key immer noch auf Dateninhalte des Speichermediums zugegriffen werden. Darüber hinaus ist es möglich, durch die Versiegelung des Speichermediums über Bitlocker veraltete Hardware ohne mühsame Deinstallation beziehungsweise Löschung diverser Softwaredaten zu entsorgen, da niemand ohne entsprechenden Zugriffscode auf das Medium zugreifen kann.

Und last but not least erlaubt das TPM eine sichere Einbindung von LAN und WLAN Devices. Auch hier verwaltet das TPM entsprechend generierte Codes und achtet darauf, dass nur über dem Netzwerk bekannte Systemkomponenten ins System aktiv eingegriffen (Fernwirken) werden kann.

Abgesicherter Boot-Prozess

Um die Datensicherheit ihrer Embedded-Module weiter zu erhöhen, verwendet MSC Technologies mittlerweile ausschließlich das auf dem Unified Extensible Firmware Interface (UEFI) basierende Aptio von American Mega­trends (AMI), das unter anderem die Möglichkeit eines SecureBoot-Vorgangs bietet. UEFI ist die weiterführende Firmware des Anfangs der 80er-Jahre von IBM eingeführten Basic Input Output System (BIOS), das während des Boot-Vorgangs als Bindeglied zwischen PC, Betriebssystem sowie entsprechend notwendiger Firmware diverser Einzelkomponenten dient. UEFI ist ein plattformunabhängiges Standard-Interface, das dem Betriebssystem über Firmware-Routinen erlaubt, bereits während des Ladevorgangs auf System-relevante Ressourcen zuzugreifen, die dann später von Betriebssystem-abhängigen Treibern übernommen werden. Im Vergleich zum klassischen BIOS ist der Boot-Vorgang über ein UEFI deutlich schneller und bietet dem Nutzer folgende zusätzlichen Features:

■ Eine hochauflösende Boot-Menü-Grafikoberfläche, die eine einfache Bedienung mit Standard-Mouse oder Touch ermöglicht.
■ Die Unterstützung der EFI Shell als Quasi-Betriebssystem-Umgebung für Tests und Systempflege.
■ Die Unterstützung von Pre-Boot-Applikationen, mit denen es möglich ist, auf wesentliche Systemkomponenten auch ohne Betriebssystem zuzugreifen.
■ Einen Netzwerk-Support mit komplett unterstütztem Protokoll-Stack.
■ Die Unterstützung einer Globally-Unique-Identifier-Partitionstabelle (GUID) anstelle der früheren Master-Boot-Record-Partitionstabelle (MBR) zur Verwaltung von Spei­chermedien mit Kapazitäten über 2,2 TByte.
■ Eine SecureBoot-Funktionalität, die gewährleistet, dass nur zuvor signierte, sichere Software ausgeführt wird. Folglich wird auch verhindert, dass Trojaner, Viren und Würmer, die sich am Betriebssystem vorbei in den Boot-Sektor schreiben, nicht ausgeführt werden können und somit keine Manipulationsmöglichkeiten auf das System erhalten. UEFI-SecureBoot kann demzufolge den Start eines unsignierten Bootloaders und das Laden eines dem System unbekannten Betriebssystems verhindern. Die Secure­Boot-Implementierung für einen sicheren Ablauf stützt sich dabei auf die Verwendung des Platform Key (PK), eines Key Exchange Key (KEK) und den zugehörigen Signatur-Datenbanken zur Verwaltung der erzeugten Signatur-Codes.

Für die Rückwärtskompatibilität zu Betriebssystemen, die keine UEFI-Firmware unterstützen, kommt das Compatibility-Support-Module (CSM) zum Einsatz. Dieses installiert die erforderlichen legacy-BIOS-Schnittstellen, welche während des Boot-Vorganges und zur Laufzeit von legacy-Betriebssystemen wie Windows XP oder Windows 7 genutzt werden.

Application Control Software

Um den SecureBoot-Vorgang, der nur im reinen UEFI-Modus ausführbar ist, auch zur Laufzeit des Betriebssystems zu vervollständigen, kann man beispielsweise auf die von McAfee ent­wickelte Application-Control-Software zurückgreifen, die auf Basis der Whitelist-Technologie arbeitet. Das dyna­mische Whitelist-Vertrauensmodell kommt ohne manuellen Verwaltungsaufwand aus. McAfee-Application-Control kann Applikationen als für das System gefährlich oder un­ge­fähr­lich einstufen und deren Aus­führung gegebenenfalls blockieren. Dabei bietet es nicht nur Schutz vor eindeutig erkennbaren Ausführungs-Dateien (*.exe), sondern erweitert diesen unter anderem auf ActiveX-Steuerelementen und Java-Apps.

Somit ist eine ordnungsgemäße Verwaltung, selbst von neu zu installierender Software, sowohl auf 64- als auch 32-Bit-Betriebssystemen gewährleistet.

Moderne Prozessor­architekturen

Dass auch bei den beiden größten Prozessorherstellern Intel  und AMD das Thema Security ein wichtiges Thema geworden ist, zeigt sich nicht zuletzt dadurch, dass sie neben den Firmen Lockheed Martin, Honeywell und RSA, Gründungsmitglieder der im Jahr 2012 gegründeten „Cyber Security Research Alliance“ (CSRA) sind. Die CSRA hat sich in Kooperation mit der US-Normierungsbehörde „National Institut of Standards and Technologies“ (NSIT) zur primären Aufgabe gemacht, eine neue Stufe der Cyper-Sicherheit zu erklimmen.

Aber auch in den aktuellen Prozessor­architekturen spiegelt sich das Thema Security wider. So unterstützt Intel bei verschiedenen Prozessoren spezielle Befehle zur Beschleunigung von kryptografischen Berechnungen (AES-NI) oder integriert eine Security-Engine, um ein auf Hardware basierendes Root-of-Trust zu schaffen. Ebenso ist es bei der neuen Intel-Quark-Plattform möglich, SecureBoot mit Hardware-basierendem Root-of-Trust zu realisieren. Idealerweise kombiniert man diese Hardware-Eigenschaften mit einer darauf abgestimmten Software. Hier bieten sich die Lösungen von McAfee (McAfee Embedded Control Software) an, die einheitliche Security- und Manage­ability-Funktionen von den Quark- bis hinauf zu den Core-Prozessoren bietet.

Allerdings bleibt zu beachten: Auch wenn die Embedded-Hersteller ihre Produkte auf die heute zur Verfügung stehenden Security-Features optimieren, eine absolute Sicherheit gibt es nicht. Denn die Sicherheit eines Systems kann nur durch vertrauenswürdige, autorisierte User gewährleistet werden. Missbraucht ein Nutzer ihm zugewiesene sicherheitsrelevante Rechte, wird jede Security-Infrastruktur ausgehebelt. Letztlich ist und bleibt, bei aller modernen Technik, der Mensch immer noch das alles entscheidende Stellglied in der Prozesskette.

Autor: Ralf Kapahnke ist Senior Business Development Manager bei MSC Technologies.